sou · H6B352 · 2018-06-28 00:00:00 — Eftersom myndighetens uppdrag avser uppföljning och analys av verksamheter och förhållanden inom hälso- och sjukvård, tandvård och omsorg, omfattar nödvändigt analysmaterial av naturliga skäl känsliga personuppgifter i form av bl.a. uppgifter om hälsa. I vissa fall kan det även förekomma uppgifter om lagöverträdelser. Analys- materialet kan dessutom vara så omfattande att även behandling av Begränsning av skyddet mot betydande intrång... sådana personuppgifter som inte är känsliga eller uppgifter om lag- överträdelser sker i så stor omfattning att de tillsammans medför en sådan kartläggning av de registrerade och ett sådant betydande in- trång i den personliga integriteten som avses i 2 kap. 6 § andra stycket regeringsformen. Utredningens förslag till lag gör behandling av känsliga person- uppgifter om hälsa och etniskt ursprung tillåten, utan stöd av sam- tycke, under förutsättning att den prövats och godkänts av en extern forskningsetisk prövningsinstans. Samma sak gäller uppgifter om lagöverträdelser. Utredningen föreslår dock undantag från kravet på etikprövning för behandling av känsliga personuppgifter och lag- överträdelser i vissa fall, avsnitt 11.4.2 och 12.2.2. Andra personupp- gifter tillåts behandlas utan samtycke om de ingår i ett etikgodkänt projekt. Även sådan behandling av andra personuppgifter än känsliga personuppgifter och uppgifter om lagöverträdelser, som inte kan genomföras på grund av 2 kap. 6 § andra stycket regeringsformen, tillåts utan samtycke om projektet har prövats och godkänts av den externa instansen. Med hänsyn till att den behandling som tillåts genom lagen omfattar stora mängder personuppgifter, varav en del är känsliga och avser uppgifter om hälsa, får behand- lingen till stor del anses innebära en kartläggning av den enskildes personliga förhållanden och ett betydande intrång i den personliga integriteten. Utredningen föreslår alltså att en förutsättning för att behandling av personuppgifter ska vara tillåten enligt lagen är att den är prövad och godkänd av en extern forskningsetisk prövningsinstans. Tillväga- gångssättet med etikprövning, som beskrivs närmare i avsnitt 10.4.1, styrs genom klara och tydliga regler i etikprövningslagen. Syftet med lagen är att skydda den enskilda människan och respekten för män- niskovärdet vid forskning. Forskning får godkännas bara om de risker som den kan medföra för forskningspersoners hälsa, säkerhet och personliga integritet uppvägs av dess vetenskapliga värde. Mänskliga rättigheter och grundläggande friheter ska alltid beaktas vid etikpröv- ningen som hänsyn ska tas till intresset av att ny kunskap kan utvecklas genom forskning. Forskning får inte godkännas, om det förväntade resultatet kan uppnås på ett annat sätt som innebär mindre risker för forskningspersoners hälsa, säkerhet och personliga integritet. verksamhet är reglerad i lag Begränsning av skyddet mot betydande intrång... och deras sammansättning och ledamöternas kompetens regleras också i lag. Systemet med etikprövning av forskning är väl beprövat och inklu- derar, förutom en prövning av själva forskningsprojektet, en prövning av behandlingen av personuppgifter enligt gällande dataskyddslag- stiftning. Granskningen ska säkerställa att personuppgifter behand- las bara i de undantagsfall där ett visst intrång i den personliga integriteten verkligen är befogat. Prövningsorganet har också möj- lighet att ställa upp särskilda villkor för behandlingen av person- uppgifter. Systemet tillämpas redan för forskningsprojekt som innefattar behandling av bl.a. patientuppgifter och uppgifter från kvalitets- register, dvs. samma uppgifter som Myndigheten för vård- och om- sorgsanalys avser att behandla. har myndigheten inte be- handlat känsliga personuppgifter utan samtycke, utan i stället gett externa forskare i uppdrag att göra detta. Forskarna har då ansökt om etikprövning. Ett förfarande som möjliggör behandling av käns- liga personuppgifter genom att myndigheten åläggs att ansöka om etikprövning skulle således inte öka den totala omfattningen av behandling av känsliga personuppgifter i någon större utsträckning. Genom att ställa krav på att myndigheten låter samtliga projekt som inkluderar behandling av känsliga personuppgifter utan samtycke genomgå en prövning av etikprövningsnämnd, motsvarande den som alla forskningsprojekt med sådana personuppgifter måste genomgå, uppfylls kravet på skyddsåtgärd enligt artikel 9.2 j i dataskydds- förordningen (se avsnitt 11.2.2). Utredningens förslag om etikpröv- ning utgör även ett skydd vid behandling av uppgifter om lagöver- trädelser och vid sådan behandling av andra personuppgifter som omfattas av det föreslagna kravet på etikprövning. Utöver etikpröv- ningen och de eventuella villkor prövningsorganet ställer upp, gäller även de skyddsåtgärder som utredningen föreslår i övrigt. Det inne- bär att samtliga personuppgifter som huvudregel ska pseudonymiseras senast när de kommer in till Myndigheten för vård- och omsorgs- analys och att de omfattas av föreslagna behörighetsbegränsningar. Även kravet på en formaliserad ändamålsbestämning ska beaktas. Mot bakgrund av etikprövningssystemets beprövade funktion, tillför kravet på etikprövning en skyddsåtgärd som bör garantera såväl verksamhetens integritet som skyddet av personuppgifterna. Begränsning av skyddet mot betydande intrång... Eftersom det gäller stark sekretess för de behandlade personupp- gifterna (se avsnitt 6.5) och utredningen dessutom föreslår ytterligare skyddsåtgärder, kan intrånget i den personliga integriteten begränsas på ett sådant sätt att det får anses proportionerligt i förhållande till det samhälleliga intresset av att Myndigheten för vård- och omsorgs- analys kan bedriva sin verksamhet på ett ändamålsenligt sätt. Etikprövningslagen och 19 § första stycket personuppgiftslagen, som tidigare tillät behandling av känsliga personuppgifter om be- handlingen godkänts enligt etikprövningslagen, infördes innan skyddet enligt 2 kap. 6 § andra stycket regeringsformen började gälla 2011. Utredningen anser ändå att en bestämmelse som tillåter behandling av personuppgifter efter godkännande enligt etikprövningslagen uppfyller det som krävs enligt 2 kap. 20 och 21 §§ regeringsformen. Genom vad som föreskrivits i etikprövningslagen om förutsättning- arna för godkännande och om verk- samhet och ledamöter garanteras att begränsningen av skyddet inte går utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett begränsningen eller utgör ett hot mot den fria åsikts- bildningen. Utredningen gör motsvarande bedömning i fråga om alternativet att en annan extern instans än gör pröv- ningen. Enligt detta alternativ finns bestämmelserna om prövnings- instansens sammansättning och den prövning som ska göras i den föreslagna lagen (se avsnitt 10.3.3. och 10.4.2). Detta motsvarar vad som gällde enligt den ursprungliga lydelsen av 19 § första stycket personuppgiftslagen och vad som gäller enligt 3 kap. 7 § dataskydds- lagen. 17Möjligheterna för och att lämna ut personuppgifter till Myndigheten för vård- och omsorgsanalys Utredningen ska enligt utredningsdirektiven analysera de rättsliga möjligheterna för och att lämna ut personuppgifter till Myndigheten för vård- och omsorgs- analys för användning i myndighetens analysprojekt och, vid behov, lämna författningsförslag som möjliggör nödvändigt uppgiftsutläm- nande. Uppgifter som avser en enskilds personliga eller ekonomiska förhållanden hos och är skyd- dade av sekretess enligt 24 kap. 8 § offentlighets- och sekretesslagen (2009:400), s.k. statistiksekretess. Även andra sekretessbestämmelser kan bli tillämpliga vid begäran om utlämnande av personuppgifter från och . Enligt 21 kap. 9 § offent- lighets- och sekretesslagen gäller t.ex. sekretess för personuppgift, om det kan antas att personuppgiften efter ett utlämnande kommer att behandlas i strid med dataskyddsförordningen eller dataskyddslagen. har emellertid inget annat framkommit än att det är statistiksekretessen som skulle kunna medföra att Social- styrelsen och inte kan lämna ut personupp- gifter till Myndigheten för vård- och omsorgsanalys i den omfatt- ning som den senare myndigheten är i behov av. Denna framställning kommer därför att fokusera på möjligheten för och att lämna ut uppgifter som omfattas av stati- stiksekretess till Myndigheten för vård- och omsorgsanalys. Möjligheterna för och ... 17.2Utlämnande av personuppgifter kan inte ske med stöd av undantaget för uppgifter som behövs för forskningsändamål Utredningens bedömning: och Statistiska central- byrån kan inte lämna ut uppgifter som avser enskilds person- liga och ekonomiska förhållanden till Myndigheten för vård- och omsorgsanalys med stöd av undantaget för uppgifter som behövs för forskningsändamål. Som konstateras i avsnitt 6.4.8 anges det inte närmare i offentlighets- och sekretesslagen eller förarbetena till lagen vad som avses med forskningsändamål. Undantagsbestämmelsen om utlämnande av upp- gifter för forskningsändamål motiveras i förarbetena med att det finns behov av att genombryta sekretessen i vissa särskilda fall, så- som för forskning om yrkessjukdomar.1 Av praxis på området kan slutsatsen dras att det inte ska vara fråga om ärendehandläggning, samt att skillnaden mellan forskning å ena sidan och uppföljning, utvärdering och kvalitetssäkring å andra sidan bör upprätthållas.2 Viss vägledning bör kunna hämtas från Centrala etikprövnings- nämndens praxis vid bedömningen av om ett projekt ska anses inne- fatta forskning, och om det därmed faller inom etikprövningslagens tillämpningsområde.3 Enligt nämnden torde det stå klart att forsk- ning förutsätter att det finns ett vetenskapligt syfte, dvs. en inom- vetenskapligt relevant frågeställning som man avser att belysa på ett systematiskt sätt eller med vetenskapliga metoder. I vissa fall krävs dessutom en avsikt att göra resultaten tillgängliga. I de fall ett pro- jekt är avsett att läggas till grund för en disputation eller annars ingå som en del i en doktorsavhandling eller utföras av eller under handledning av kvalificerade forskare finns det en presumtion för att projektet är att betrakta som forskning. När det gäller kravet på vetenskapligt angreppssätt har nämnden i flera fall, trots att kvali- ficerade forskare har varit inblandade, framhållit att det projekt som prövas inte innehåller några studier som avviker från klinisk rutin 1979/80:2 del A s. 264. 2RÅ 1992 not 456 och RÅ 2004 ref. 9. 3Centrala etikprövningsnämndens praxis när det gäller forskningsbegreppet, , revi- derad , . Möjligheterna för och ... och således inte innefattar några vetenskapliga moment. När det gäl- ler gränsdragningen mellan forskning å ena sidan och kvalitetssäk- ring och resultatuppföljning har nämnden, med utgångspunkt i för- arbetsuttalanden, framför allt beaktat om resultaten av ett projekt uppges vara avsedda att publiceras i en vetenskaplig tidskrift.4 Om avsikten är att sprida resultatet av undersökningen utanför hälso- och sjukvården i vetenskapliga publikationer, kan syftet inte sägas vara begränsat till myndighetsinternt utvärderingsarbete. Det har då bedömts som forskning, dvs. utvecklingsarbete på vetenskaplig grund, om det i övrigt uppfyller de krav som gäller för detta. Som konstaterats i avsnitt 4.2.2 använder sig Myndigheten för vård- och omsorgsanalys i vissa fall av vetenskapliga metoder, och många av de som arbetar i myndighetens projekt har forskarkompe- tens. Myndigheten för vård- och omsorgsanalys har emellertid inte något uttryckligt forskningsuppdrag från regeringen och myndig- heten har därför inte uppfattat att den har möjlighet att bedriva forskning. Med hänsyn till att inte ens Myndigheten för vård- och omsorgs- analys anser sig utföra forskning gör utredningen bedömningen att och således inte till Myn- digheten för vård- och omsorgsanalys kan lämna ut uppgifter som avser enskilds personliga och ekonomiska förhållanden med stöd av undantaget för uppgifter som behövs för forskningsändamål. 17.3Utlämnande av personuppgifter kan ske med stöd av undantaget för uppgifter som behövs för statistikändamål Utredningens bedömning: och Statistiska central- byrån kan lämna ut uppgifter som avser enskilds personliga och ekonomiska förhållanden till Myndigheten för vård- och omsorgs- analys med stöd av undantaget för uppgifter som behövs för sta- tistikändamål. 2002/03:50 s. 91. Möjligheterna för och ... I förarbetena till offentlighets- och sekretesslagen dras slutsatsen att med statistik avses i 24 kap. 8 § offentlighets- och sekretesslagen sammanställningar av data, vanligen i tabeller eller liknande, som ofta åstadkoms med de olika metoder för insamling, bearbetning, redo- visning och analys som utvecklats inom den statistiska vetenskapen.5 All statistikframställning omfattas, enligt propositionen, emellertid inte av bestämmelserna om statistiksekretess. Bestämmelsen är bara tillämplig i viss verksamhet som avser framställning av statistik. Det gäller dels särskild statistikverksamhet hos myndigheter, dels vissa undersökningar hos myndigheter. Med särskild verksamhet avses verksamhet som är skild från annan verksamhet hos myndigheten. Utmärkande är att verksamheten är organiserad som en egen enhet eller liknande. Vid bedömningen av frågan om en särskild verksam- het är en verksamhet för framställning av statistik måste en helhets- bedömning göras av verksamheten (se vidare avsnitt 6.4.2 och 6.4.3).6 Myndigheten för vård- och omsorgsanalys är ingen statistik- ansvarig myndighet. Visst stöd i tolkningen av statistikbegreppet bör ändå kunna hämtas från förarbetena till lagen (2001:99) om den officiella statistiken, statistiklagen. Statistiklagens reglering avser sådan statistik som har ett vidare syfte än intern driftstatistik.7 Denna statistik bygger på uppgifter som antingen samlas in direkt från enskilda fysiska eller juridiska personer eller inhämtas från administrativa källor. Denna typ av statistik, den officiella stati- stiken, får inte påverkas av ovidkommande faktorer och den får inte heller utformas för att tjäna vissa syften. Statistiska metoder ska användas som garanterar att statistiken inte kan ifrågasättas ur så- dana synvinklar. Statistiken ska också offentliggöras på sådant sätt att den är enkelt åtkomlig för de behov som ska tillgodoses. Den verksamhet som Myndigheten för vård- och omsorgsanalys bedriver motsvarar i stor utsträckning den som beskrivs i föregående stycke. Myndigheten använder sig av statistiska metoder för insam- ling, bearbetning, redovisning och analys. Uppgifterna hämtas direkt från enskilda eller hämtas från andra datakällor, t.ex. myndighets- register. Myndighetens verksamhet ska vara oberoende och resul- taten av myndighetens analyser ska inte utformas för att tjäna vissa syften, även om avsikten är att regeringen ska kunna använda dem 2013/14:162 s. 8. 1979/80:2 del A s. 265 och prop. 2013/14:162 s. 8. 1991/92:118 s. 12 f. och 22 f. Möjligheterna för och ... Vidare ska myndighetens resultat offentliggöras så att det är lätt åtkomligt för patienter, brukare och andra med- borgare. Begreppet statistikändamål i offentlighets- och sekretesslagens betydelse diskuteras även i förarbetena till den senaste ändringen av 24 kap. 8 § offentlighets- och sekretesslagen.8 Det konstateras att det inte framgår av lagtexten eller förarbetena vad som avses med statistikändamål. Mot bakgrund av lagstiftningens syfte anses det dock i propositionen rimligt att tolka uttrycket statistikändamål så att det endast omfattar användning av uppgifterna för framställning av statistik utan anknytning till något särskilt ärende. Om uppgifterna i och för sig ska bearbetas med statistiska metoder, men sedan i bearbetad form ska användas i ett särskilt ärende, kan de således inte lämnas ut med stöd av undantaget för uppgifter som behövs för statistikändamål. Myndigheten för vård- och omsorgsanalys sysslar inte med myn- dighetsutövning och inte heller någon annan handläggning eller beslutsfattande som rör enskilda personer eller organ. Myndighetens uppgift är i stället att undersöka allmänna förhållanden och att analy- sera och följa upp viss verksamhet på ett generellt plan. Myndig- hetens verksamhet i ett visst projekt kan inte sägas utgöra sådan verksamhet som har anknytning till ett särskilt ärende i den mening som avses i förarbetena. När det gäller utlämnande av personuppgifter för statistikända- mål kräver varken eller att den mottagande myndigheten ska vara en statistikansvarig myndig- het. Ett krav som båda myndigheterna ställer är emellertid att stati- stiksekretess ska gälla för uppgifterna även hos den mottagande myndigheten. Hos Myndigheten för vård- och omsorgsanalys gäller sekretess för uppgifter som avser en enskilds personliga eller ekono- miska förhållanden dels i undersökningar som rör vårdens och om- sorgens funktionssätt samt om effektiviteten i statliga åtaganden och verksamheter inom vård och omsorg, dels utvärderingar av informa- tion om vård och omsorg som lämnas till enskilda samt av statliga reformer och andra statliga initiativ inom vård och omsorg (24 kap. 8§ andra stycket offentlighets- och sekretesslagen och 7 § offentlig- hets- och sekretessförordningen [2009:641] ). 2013/14:162 s. 11 Möjligheterna för och ... för vård- och omsorgsanalys motsvarar denna sekretessbestämmelse väl hela myndighetens analysverksamhet. och har därutöver inga i förväg uppställda kriterier som ska vara uppfyllda för att undantaget för uppgifter som behövs för statistikändamål i 24 kap. 8 § tredje stycket offentlighets- och sekretesslagen ska bli tillämpligt. En bedöm- ning görs från fall till fall, med utgångspunkt i de uttalanden som finns i förarbetena till bestämmelsen (se avsnitt 6.4). För att undersöka om det skulle vara möjligt för och att lämna ut personuppgifter till Myn- digheten för vård- och omsorgsanalys med stöd av undantaget för uppgifter som behövs för statistikändamål gjorde den senare myn- digheten två fiktiva ansökningar om utlämnande av personuppgifter för användning i ett av myndighetens analysprojekt. Efter prövning av omständigheterna i de enskilda fallen kunde det konstateras att och kunde lämna ut de be- gärda uppgifterna till Myndigheten för vård- och omsorgsanalys. fall det fanns hinder mot utlämnande kunde de vanligtvis undan- röjas genom råd och rekommendationer från de utlämnande myndig- heterna, som gjorde att Myndigheten för vård- och omsorgsanalys kunde modifiera sin begäran. Utredningens slutsats är att och Statistiska central- byrån kan lämna ut personuppgifter till Myndigheten för vård- och omsorgsanalys med stöd av undantagsbestämmelsen för uppgifter som behövs för statistikändamål. Eventuella hinder mot utlämnande kan vanligtvis lösas genom en aktiv dialog mellan myndigheterna. Möjligheten att lämna ut personuppgifter till Myndigheten för vård- och omsorgsanalys med stöd av undantaget för statistikända- mål innebär också att bestämmelserna om kodnyckelförfarande i 16– 17 §§ statistiklagen blir tillämpliga. När en statistikansvarig myn- dighet, i det här fallet eller , lämnar ut uppgifter som inte är direkt hänförliga till en enskild, får myndigheten förse uppgifterna med en beteckning som kan kopplas till personnummer eller liknande. Denna s.k. kodnyckel får under vissa omständigheter sparas hos den utlämnande myndigheten för att göra det möjligt med senare komplettering av det statistiska mate- rialet, uppföljning och longitudinella studier. Möjligheterna för och ... 17.4Utlämnande av personuppgifter kan ske med stöd av undantaget för uppgifter som inte är direkt hänförliga till den enskilde Utredningens bedömning: och Statistiska central- byrån kan lämna ut personuppgifter till Myndigheten för vård- och omsorgsanalys med stöd av undantaget för uppgifter som inte är direkt hänförliga till den enskilde. Enligt 24 kap. 8 § tredje stycket offentlighets- och sekretesslagen får uppgift som inte genom namn, annan identitetsbeteckning eller liknande förhållande är direkt hänförligt till den enskilde lämnas ut, om det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider skada eller men. Undantaget är generellt tillämpligt, och gäller inte enbart vid utlämnande för forsk- ning- och statistikändamål. Begreppet enskild omfattar också avliden. Undantaget infördes med tanke på behovet av detaljerad statistik.9 Med ”därmed jämförbart förhållande” avses t.ex. telefonnummer och fastighetsbeteckning. Däremot avses i och för sig inte uppgifter som genom s.k. bakvägsidentifiering kan hänföras till en viss person.10 Personuppgifter definieras i dataskyddsförordningen som varje upplysning som avser en identifierad eller identifierbar fysisk per- son. En identifierbar fysisk person är en person som direkt eller indirekt kan identifieras särskilt med hänvisning till namn, identi- fikationsnummer, en lokaliseringsuppgift eller onlineidentifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet. Även uppgifter som gör det möjligt att indi- rekt identifiera en fysisk person utgör således personuppgifter enligt dataskyddsförordningens definition. I dataskyddsförordningen före- kommer t.ex. begreppet pseudonymisering, som innebär behandling av personuppgifter på ett sätt som innebär att personuppgifterna kan tillskrivas en specifik registrerad utan att kompletterande uppgifter används. De kompletterande uppgifterna ska förvaras sepa- rat och vara föremål för tekniska och organisatoriska åtgärder som säkerställer att personuppgifterna inte tillskrivs en identifierad eller 1979/80:2 Del A s. 264. 1979/80:2 Del A s. 265. Möjligheterna för och ... identifierbar fysisk person (artikel 4.5 i dataskyddsförordningen). I de fall en statistikansvarig myndighet med stöd av 16 § statistik- lagen lämnar ut uppgifter som inte direkt kan hänföras till en enskild, men förser uppgifterna med en beteckning som hos myndigheten kan kopplas till personnummer eller motsvarande, utgör de utlämnade uppgifterna personuppgifter i dataskyddsförordningens bemärkelse. Undantaget i 24 kap. 8 § tredje stycket offentlighets- och sekre- tesslagen gör det alltså möjligt för och att, trots statistiksekretess, lämna ut personuppgifter som inte är direkt hänförliga till en enskild person. Detta gäller även om myndigheterna lämnar ut så många variabler att det genom sam- manläggning av information, s.k. bakvägsidentifiering, är möjligt att identifiera en enskild person. En förutsättning för utlämnande av personuppgifter med stöd av undantagsbestämmelsen är dock att den utlämnande myndigheten vid en skadeprövning bedömer att uppgifterna kan röjas utan att den enskilde eller någon närstående till denne lider skada eller men. När det gäller skadeprövningen i samband med utlämnande av per- sonuppgifter till Myndigheten för vård och omsorgsanalys kan det konstateras att absolut sekretess gäller hos myndigheten för uppgifter som avser en enskilds personliga eller ekonomiska förhållanden i undersökningar som rör vårdens och omsorgens funktionssätt samt om effektiviteten i statliga åtaganden och verksamheter inom vård och omsorg. Sådan sekretess gäller också vid utvärderingar av infor- mation om vård och omsorg som lämnas till enskilda samt av statliga reformer och andra statliga initiativ inom vård och omsorg. Sekre- tesskyddet hos Myndigheten för vård- och omsorgsanalys är således detsamma som i statistikverksamheten hos och . Som konstateras i avsnitt 6.6.3 borde Social- styrelsens och skadeprövningar således vanligtvis kunna resultera i att personuppgifter kan lämnas till Myn- digheten för vård och omsorgsanalys med stöd av den aktuella undan- tagsbestämmelsen. Möjligheterna för och ... 17.5Det bör inte införas någon uppgiftsskyldighet för och Utredningens bedömning: Det bör inte införas någon skyldig- het för eller att lämna personuppgifter till Myndigheten för vård- och omsorgsanalys.