sou · H6B352 · 2018-06-28 00:00:00 — Bestäm- melserna i artiklarna 13–15 i dataskyddsförordningen om informa- tion och rätt att få tillgång till personuppgifter gäller inte uppgifter som den personuppgiftsansvarige inte får lämna ut till den registrerade enligt lag eller annan författning eller enligt beslut som meddelats med stöd av författning. Om den personuppgiftsansvarige inte är en myndighet gäller undantaget för uppgifter som hos en myndighet skulle ha varit sekretessbelagda enligt offentlighets- och sekretess- lagen (5 kap. 1 § dataskyddslagen). Bestämmelsen i dataskyddsför- ordningen om den registrerades rätt till tillgång till personuppgifter m.m.gäller inte personuppgifter i löpande text som utgör utkast eller minnesanteckning eller liknande. Undantaget gäller dock inte om uppgifterna har lämnats ut till tredje part, om uppgifterna be- handlas enbart för arkivändamål av allmänt intresse eller för statistiska ändamål eller om de har behandlats i löpande text som inte har fått sin slutliga utformning (5 kap. 2 § dataskyddslagen). Regeringen får meddela ytterligare föreskrifter om begränsningar enligt dataskyddsförordningen (5 kap. 3 § dataskydds- lagen). Dataskyddslagens sjätte kapitel innehåller bestämmelser om till- synsmyndighetens handläggning och beslut. befogenheter enligt dataskyddsförordningen gäller vid myndighetens tillsyn över att bestämmelserna i dataskyddslagen och andra före- skrifter som kompletterar förordningen följs. Det finns också närmare bestämmelser om sanktionsavgifter vid överträdelse av dataskydds- förordningen. I det sjunde och avslutande kapitlet finns bestämmelseser som rör skadestånd och överklagande. Av 7 kap. 1 § dataskyddslagen framgår att rätten till ersättning från den personuppgiftsansvarige eller per- sonuppgiftsbiträdet enligt artikel 82 i dataskyddsförordningen gäller vid överträdelser av bestämmelser i dataskyddslagen och andra före- skrifter som kompletterar dataskyddsförordningen, dvs. även andra registerförfattningar. Myndigheten för vård- och omsorgsanalys inrättades , då under namnet Myndigheten för vårdanalys. Myndigheten hade till en början till uppgift att följa upp och analysera verk- samheter och förhållanden inom hälso- och sjukvård, tandvård samt i gränssnittet mellan vård och omsorg. De huvudsakliga skälen till att myndigheten bildades var behovet av mer kvalificerad och systematisk analys och uppföljning av de aktu- ella sektorerna, en oberoende analys samt ett patient- och brukar- perspektiv i utvärderingen. I direktiven till den organisationskommitté som fick i uppdrag att förbereda och genomföra bildandet av Myndigheten för vårdanalys angavs att behöver en oberoende aktör som kan bedriva en kvalificerad och systematisk uppföljning, utvärdering och effektivi- tetsgranskning av hälso- och sjukvården. Myndighetens verksamhet ska vara oberoende på så sätt att den kan granska alla delar av hälso- och sjukvården, däribland myndigheternas arbete. Vidare ska myn- digheten inte stå i beroendeställning i förhållande till vårdgivarna, intresseorganisationer eller andra intressenter. Myndigheten ska också ha ett patient- och medborgarperspektiv i syfte att stärka dessa gruppers ställning och inflytande över hälso- och sjukvården.1 utvidgades myndighetens uppdrag till att även omfatta omsorgen. Med det avses hela område och de verksamheter som bedrivs med stöd av lagen (1990:52) med sär- skilda bestämmelser om vård av unga, lagen (1988:870) om vård av missbrukare i vissa fall och lagen (1993:387) om stöd och service till Myndigheten för vård- och omsorgsanalys vissa funktionshindrade med flera författningar. I samband med att uppdraget utvidgades fick myndigheten sitt nuvarande namn. Myndigheten för vård- och omsorgsanalys har enligt 1 § förord- ningen (2010:1385) med instruktion för Myndigheten för vård- och omsorgsanalys till uppgift att ur ett patient-, brukar-, och med- borgarperspektiv följa upp och analysera verksamheter och förhåll- anden inom hälso- och sjukvård, tandvård och omsorg. Av 2 och 3 §§ samma förordning framgår att uppgiften mer specifikt innebär att myndigheten ska •följa upp och analysera vårdens och omsorgens funktionssätt, •effektivitetsgranska statliga åtaganden och verksamheter, •inom sitt verksamhetsområde bistå regeringen med underlag och rekommendationer för effektivisering av statlig verksamhet och styrning, •kontinuerligt utvärdera sådan information om vården och om- sorgen som lämnas till den enskilde, i fråga om informationens innehåll, kvalitet, ändamålsenlighet och tillgänglighet, •på regeringens uppdrag bistå med utvärderingar och uppfölj- ningar av beslutade eller genomförda statliga reformer och andra statliga initiativ, samt •inom sitt verksamhetsområde bedriva omvärldsbevakning och genomföra internationella jämförelser. Myndighetens uppgift beskrivs något mer utförligt i direktiven till den organisationskommitté som hade i uppdrag att förbereda och genomföra bildandet av myndigheten. I direktiven2 uttalade reger- ingen följande. Den nya myndighetens ansvarsområde omfattar all offentligt finan- sierad hälso- och sjukvård (inklusive tandvård), oavsett huvudmanna- skap eller driftsform, samt den privat finansierade hälso- och sjukvår- den. Utgångspunkten för myndighetens verksamhet ska vara att ur ett patient- och medborgarperspektiv följa upp, utvärdera, effektivitets- granska och redovisa förhållanden inom hälso- och sjukvården särskilt med fokus på verksamhetens kvalitet och effektivitet. Myndighetens uppgift är att följa upp hur väl hälso- och sjukvården totalt sett fungerar Myndigheten för vård- och omsorgsanalys och analysera större satsningar och reformer ur ett patient- och med- borgarperspektiv. Centrala frågeställningar handlar om hur kvaliteten och effektiviteten i hälso- och sjukvården utvecklas och vilka effekter och konsekvenser som kan mätas till följd av olika satsningar och reformer. Det skulle exempelvis kunna röra sig om frågor som handlar om tillgängligheten till hälso- och sjukvården, patientsäkerhet, sam- verkan mellan sjukvårdshuvudmännen etc. Utvärderingar kan omfatta hela kedjan från lagstiftning, normering och tillsyn till tillämpning och utfall på regional och lokal nivå. För patienternas och medborgarnas del handlar det om att underlätta deras möten med hälso- och sjukvården genom ökad kunskap, exem- pelvis genom att stärka deras möjligheter att göra informerade val. För beslutsfattarna genereras underlag som kan ligga till grund för ett mer kunskapsbaserat beslutsstöd för framtida styrning, verksamhets- uppföljning, förbättringsarbete och prioriteringar i hälso- och sjuk- vården. Uppföljning och utvärdering på hälso- och sjukvårdens makronivå underlättas ofta av jämförelser med andra länder. Internationella studier och jämförelser mellan och andra länder ska således vara en del av myndighetens verksamhet. Som anges ovan omfattar myndighetens uppdrag numera även hela område och de verksamheter som bedrivs med stöd av lagen med särskilda bestämmelser om vård av unga, lagen om vård av missbrukare i vissa fall och lagen om stöd och service till vissa funktionshindrade med flera författningar. Myndigheten ska enligt 4 § i instruktionen i en särskild analys- och granskningsplan ange vilken huvud- saklig inriktning verksamheten ska ha . Resultatet av så- dana analyser, granskningar, uppföljningar och utvärderingar som avses i 1–3 §§ ska enligt 12 § i instruktionen löpande redovisas till regeringen. 4.2.1Egeninitierad verksamhet och regeringsuppdrag Verksamheten vid Myndigheten för vård- och omsorgsanalys består av både egeninitierade analyser och genomförande av särskilda upp- drag från regeringen. När det gäller den egeninitierade verksamheten konkretiseras den breda arbetsuppgift som följer av instruktionen i den analysplan som myndigheten ska ta fram . I analysplanen beskrivs ett antal analysområden som myndigheten avser att arbeta Myndigheten för vård- och omsorgsanalys Arbetet inom ett analysområde pågår i . Exempel på områden som är med analysplan är en jämlik vård och omsorg utan omotiverade skillnader och effektiva vård- och om- sorgssystem för en god vård och omsorg. Inom varje analysområde utarbetas frågeställningar som ska besvaras. Utifrån analysplanen tar myndigheten fram en verksamhetsplan som konkretiserar vilka specifika projekt som ska bedrivas inom respektive analysområde under verksamhetsåret. Där preciseras också syfte, mål och fråge- ställningar samt budget och övergripande tidsplan. När verksam- hetsplanen har beslutats, tas projekten vidare inom ramen för myn- dighetens projektstyrningsmodell. Vid sidan av analysområdena arbetar myndigheten även med det den kallar för ”Aktuell respons”. Inom den verksamheten kan myn- digheten med kort varsel initiera och genomföra avgränsade analyser av angelägna frågor med hög aktualitet. Projekten bedrivs normalt än övriga projekt. Utöver den egeninitierade verksamheten får myndigheten sär- skilda uppdrag av regeringen antingen i myndighetens regleringsbrev eller genom särskilda regeringsbeslut. Regeringsuppdragen åtföljs som regel av särskild finansiering för att myndigheten ska ha möj- lighet att själv bestämma inriktningen på den egeninitierade verk- samheten. Regeringsuppdragen är ofta ganska omfattande och pågår . Analysverksamheten bedrivs i projektform. Det gäller oavsett om det är en återkommande undersökning som ska göras eller om det är en specifik fråga som ska besvaras . Ett projekt är, enligt den definition myndigheten använder, en tidsbegränsad arbetsuppgift som ska genomföras inom bestämda ramar, exempelvis i fråga om tid, arbetsinsatser och ekonomi. Arbetet inleds genom att det tas fram ett projektdirektiv som beskriver bakgrunden till att en analys bör genomföras, syfte, mål och övergripande resursbehov. Därefter utformas en detaljerad pro- jektplan som bl.a. innehåller syfte, mål, frågeställningar, omfattning, avgränsningar, bakgrund, intressenter, samverkan och beroenden till andra projekt, metod och beskrivning av datainsamling, aktivitets- Myndigheten för vård- och omsorgsanalys och tidsplan, juridiska och etiska aspekter samt riskanalys. När pro- jektplanen är beslutad påbörjas arbetet. Projekten ska bedrivas i enlighet med myndighetens projektstyrningsmodell. Resultatet av analysarbetet presenteras i rapporter eller promemorior. Myndigheten har inget uttryckligt uppdrag att bedriva och anser inte att dess verksamhet utgör forskning. Det kan i detta sammanhang dock konstateras att merparten av myndighetens an- ställda är disputerade forskare och att myndigheten anlitar externa forskare som bedriver forskning på myndighetens uppdrag. Myn- digheten utgår också från vetenskapliga principer och metoder i sitt analysarbete. Som en del i detta använder den statistiska metoder. Myndigheten vinnlägger sig om att ha effektiva processer som till- godoser behovet av användbara kunskapsunderlag. Varje projekt har en styrgrupp som består av generaldirektören, analyschefen, chefsjuristen samt enhetschefen (projektdirektören) för den enhet som håller i projektet. Styrgruppen fattar de mer avgörande besluten i projekten, medan det dagliga arbetet leds av en projektledare. Till projektet finns en arbetsgrupp knuten. Projekt- deltagarna har olika kompetens beroende på vad projektet handlar om. Vid myndigheten finns exempelvis hälsoekonomer, statsvetare, jurister och personer med medicinsk bakgrund. En stor andel av personalen på analysavdelningen är disputerad. Personuppgifter samlas in i ett särskilt projekt i syfte att kunna besvara frågeställningarna i det specifika projektet. Myndigheten har alltså inte några egna databaser där insamlade uppgifter lagras i syfte att användas för olika ändamål . När personuppgifterna har samlats in ersätts personnummer med löpnummer med hjälp av en kodnyckel. Det förekommer inte personnummer eller namn i de datafiler som används inom projektet. Endast ett fåtal personer har tillgång till kodnyckeln, som är krypterad och förvaras inlåst. Per- sonuppgifterna arkiveras senast när projektet avslutas. Om det skulle visa sig att personuppgifterna är nödvändiga att behandla i ett annat projekt, görs en bedömning av om den nya behandlingen av per- sonuppgifterna är tillåten och förenlig med finalitetsprincipen enligt dataskyddsförordningen och om uppgifterna kan lämnas ut till det andra projektet trots sekretessregleringen. Myndigheten för vård- och omsorgsanalys 4.3Rättsligt stöd för myndighetens behandling av personuppgifter Myndigheten för vård- och omsorgsanalys behandlade tidigare per- sonuppgifter med stöd av personuppgiftslagen. För att myndigheten skulle kunna behandla personuppgifter måste därmed varje behand- ling föregås av en prövning enligt bl.a. 10 § personuppgiftslagen, där det föreskrevs att personuppgifter endast får behandlas om den registrerade har lämnat sitt samtycke till behandlingen eller om be- handlingen är nödvändig för vissa i paragrafen angivna syften. Be- handlingen kunde t.ex. vara tillåten om den ansågs nödvändig för att en arbetsuppgift av allmänt intresse skulle kunna utföras. Behand- lingen kunde också vara tillåten om den var nödvändig för att ett ändamål som rörde ett berättigat intresse hos den personuppgifts- ansvarige eller den till vilken personuppgifterna ska lämnas ut ska kunna tillgodoses, om detta intresse vägde tyngre än den registrerades intresse av skydd mot kränkning av den personliga integriteten. Myndigheten för vård- och omsorgsanalys hade med denna re- glering endast möjlighet att behandla känsliga personuppgifter med stöd av den registrerades uttryckliga samtycke enligt 15 § person- uppgiftslagen. Myndigheten anser sig inte bedriva någon forskning, och behandling av känsliga personuppgifter kunde därför inte heller ske med stöd av undantaget avseende forskningsändamål i 19 § första stycket personuppgiftslagen. Personuppgiftslagen upphävdes i anslutning till att dataskyddsförordningen började tillämpas. Eftersom Myndigheten för vård- och omsorgsanalys saknade särskild registerförfattning , måste myndigheten i stället enbart tillämpa data- skyddsförordningen och den kompletterande dataskyddslagen. Redan i samband med att Myndigheten för vårdanalys bildades uppmärksammade organisationskommittén att myndigheten inte hade författningsstöd för att utföra all den behandling av person- uppgifter som behövdes. I den promemoria som togs fram kon- staterade kommittén att myndigheten i viss utsträckning skulle kunna utföra behandling av känsliga personuppgifter, t.ex. uppgifter om hälsa, med stöd av samtycke eller därför att den sker för statistik- ändamål. Någon mer omfattande behandling av känsliga person- uppgifter kunde enligt kommittén dock inte grundas på de undan- tagen. Kommittén gjorde därför bedömningen att det i normalfallet Myndigheten för vård- och omsorgsanalys inte skulle vara möjligt för myndigheten att behandla känsliga per- sonuppgifter. Kommittén ansåg att myndigheten borde ges utökade möjligheter att behandla personuppgifter i syfte att ge myndigheten möjlighet att genomföra fler typer av analyser och därmed kunna få fram ytterligare resultat. Kommitténs slutsats var att frågan om myndighetens behov av att behandla personuppgifter krävde författ- ningsändringar som borde utredas särskilt.3 Myndigheten för vård- och omsorgsanalys har därefter, alltsedan myndigheten bildades, fört en dialog med angå- ende behovet av författningsstöd som möjliggör behandling av de personuppgifter som behövs i analysverksamheten. 4.4Behovet av att behandla personuppgifter För att myndigheten ska kunna fullgöra sitt uppdrag enligt instruk- tionen behöver myndigheten behandla personuppgifter. Eftersom myndighetens verksamhet består i att följa upp och analysera vården och omsorgen ur ett patient-, brukar och medborgarperspektiv, är det ofta aktuellt att behandla känsliga personuppgifter om hälsa. Myndighetens projekt inkluderar dock även andra typer av person- uppgifter. Det kan röra sig om demografiska uppgifter om t.ex. ålder, kön, bostadsuppgifter, civilstånd och familj. Det finns också behov av att behandla socioekonomiska uppgifter om t.ex. utbild- ning, ekonomi, bidrag, sysselsättning och sysselsättningsgrad. Vidare kan det förekomma fall då det behövs uppgifter om socialförsäk- ringsförmåner. Uppgifter om vård- och omsorgsbehov samt vård- och omsorgsinsatser behöver behandlas och detsamma gäller upp- gifter om patienters och brukares upplevelser samt om medicinska resultat. Gemensamt för alla dessa behov är att utgångspunkten för undersökningarna är att fånga hälso- och sjukvården och omsorgen ur patienters, brukares och medborgares perspektiv. I avsnitt 6.5 berörs frågan om sekretess för uppgifter hos Myn- digheten för vård- och omsorgsanalys. 3Promemoria av Utredningen om inrättande av en ny oberoende granskningsmyndighet med ansvar för uppföljning och utvärdering av hälso- och sjukvården (S 2010:05). Myndigheten för vård- och omsorgsanalys 4.4.2Behov av uppgifter från andra aktörer Eftersom myndigheten är beroende av att inhämta samtycke för att kunna behandla känsliga personuppgifter (se avsnitt 4.3), är myndig- heten begränsad till vissa arbetssätt. Myndigheten kan rikta sig antingen till ett urval av befolkningen i allmänhet, till patientpaneler som finns hos undersökningsföretag och som har samtyckt till att bli tillfrågade om deltagande eller till vård- och omsorgspersonal för att samla in personuppgifter direkt från enskilda. Personerna till- frågas om de exempelvis har varit patienter och om de i så fall vill delta i en viss studie och samtycka till nödvändig behandling av personuppgifter. Uppgifterna samlas sedan in med stöd av samtycket genom enkäter eller intervjuer. Att vända sig till ett urval av befolkningen i allmänhet är en framkomlig väg i många fall, särskilt när myndigheten undersöker breda populationers uppfattningar om något de flesta har erfarenhet av, exempelvis allmänhetens syn på primärvården eller apotekens verksamhet. I flera av myndighetens projekt, både de egeninitierade och i regeringsuppdragen, analyseras dock mer specifika frågor som rör exempelvis vården för personer med kronisk sjukdom, miss- bruksvården eller cancerläkemedel. Då rör det sig om mer specifika grupper av patienter, brukare eller medborgare som är berörda. Det kan gälla t.ex. patienter med cancer, personer med missbruk, perso- ner i en viss åldersgrupp, personer som lever under socioekonomiskt utsatta förhållanden eller personer som använder särskilt dyra eller nya läkemedel. Myndigheten har därför behov av att i vissa fall kunna nå specifika grupper för att genomföra enkätundersökningar eller intervjuer och på så sätt inhämta deras uppfattning om, inställning till eller erfarenhet av en viss fråga. Många av de analyser Myndigheten för vård- och omsorgsanalys behöver utföra, såväl sådana som härrör från regeringsuppdrag som analyser för den egeninitierade verksamheten, förutsätter behand- ling av personuppgifter som samlas in från andra aktörer och inte enbart från den registrerade själv. Myndigheten har framför allt behov av att behandla personuppgifter som finns i , hos samt i kvalitetsregister och databaser hos kommuner och landsting. Även uppgifter som finns hos andra aktörer kan behövas i vissa fall. Myndigheten för vård- och omsorgsanalys åberopats som hinder för att lämna ut personuppgifterna till Myn- digheten för vård- och omsorgsanalys. Som ett sätt att ändå lösa sina uppgifter har det förekommit att myndigheten tagit hjälp av externa forskare vid universitet och högskolor som utför forskning på de aktuella områdena och som har kunnat utföra studier åt myndigheten. Dessa forskare hade tidigare möjlighet att behandla personuppgifter med stöd av undantaget avseende forskningsändamål i 19 § första stycket personuppgifts- lagen under förutsättning att behandlingen godkänts enligt lagen (2003:460) om etikprövning av forskning som avser människor, etikprövningslagen. Enligt ett remitterat utkast till lagrådsremiss om behandling av personuppgifter för forskningsändamål kan behand- ling av personuppgifter ske direkt med stöd av artikel 6.1 dataskydds- förordningen. När det gäller behandling av känsliga personuppgifter kan behandling för forskningsändamål enligt bedömningen i utkastet ske med stöd av artikel 9.2 j i dataskyddsförordningen och 2, 3, 6 och 10 §§ etikprövningslagen.4 Det förekommer också att person- uppgifter som finns hos exempelvis eller avidentifieras och sammanställs till statistik och därefter lämnas ut till myndigheten. Exempel på personuppgifter som finns hos andra aktörer I syfte att åskådliggöra behoven av att behandla personuppgifter som finns hos andra aktörer ges nedan några exempel på regeringsupp- drag där frågan har aktualiserats. Ett regeringsuppdrag handlade om att följa och utvärdera nyttan med ordnat införande av nya läkemedel. Uppdraget bestod bl.a. av att analysera om ordnat införande leder till en ordnad och jämlik tillgång till nya kostnadseffektiva läkemedel till de som behöver det oavsett t.ex. bostadsort, ålder, kön och socioekonomiska faktorer.5 För att kunna genomföra den analysen behövdes individuppgifter om läkemedelsanvändning och de bakgrundsfaktorer som nämns i uppdraget samlas in från olika myndigheter. 4Utkast till lagrådsremiss dnr U2018/01639/F s. 40 ff. och s. 79 f. 5Regeringens beslut dnr S2016/01693/FS (delvis). Myndigheten för vård- och omsorgsanalys Ett liknande exempel är ett regeringsuppdrag som handlade om att ta fram ett kunskapsunderlag kring införande, användning och uppföljning av cancerläkemedel. Myndigheten skulle med anledning av uppdraget analysera vilka patienter som får tillgång till läkemedel och vilka hinder mot jämlik tillgång som finns.6 För att genomföra en sådan analys behövde myndigheten behandla personuppgifter från flera olika myndigheters register. Eftersom myndigheten inte hade författningsstöd för en sådan behandling av känsliga person- uppgifter, använde myndigheten i stället tidigare publicerade ana- lyser vilket medförde en begränsning när det gällde vilka frågor som var möjliga att undersöka. Ytterligare ett exempel är ett regeringsuppdrag rörande primär- vårdens verksamhet där det angavs att myndigheten skulle göra en fördjupad analys av förutsättningarna för en jämlik och patient- centrerad primärvård. Utifrån befintliga data och kunskap om pri- märvårdens funktionssätt skulle primärvårdens förutsättningar att erbjuda en god vård efter behov analyseras.7 Uppdraget medförde att myndigheten behövde uppgifter från landstingen om hur befolk- ningen använder primärvården. Alla landsting kunde inte göra sådana utdrag ur sina databaser och de landsting som hade möjlighet att göra det bedömde att de inte kunde lämna ut personuppgifterna till myndigheten eftersom myndigheten saknade författningsstöd för att behandla sådana uppgifter. Landstingen kunde inte heller avsätta resurser för att sammanställa uppgifterna i sådan form att de inte längre var att betrakta som personuppgifter. 4.4.3Myndighetens egen bearbetning av personuppgifter Myndigheten behöver inte bara kunna samla in personuppgifter från andra aktörer. För att utföra de analyser som ingår i myndighetens uppdrag behöver myndigheten också kunna bearbeta uppgifterna och analysera dem på egen hand. Det finns behov av att analysera uppgifterna ur olika synvinklar, för att exempelvis se vilka parametrar som sticker ut, vilka förhåll- anden som verkar förekomma och hur de hänger ihop. Det är också nödvändigt att kunna gå tillbaka till materialet för att kontrollera att 6Regeringens beslut dnr S2017/00359/FS (delvis). 7Regeringens beslut dnr S2015/04519/RS och S2015/08135/RS (delvis). Myndigheten för vård- och omsorgsanalys resultaten stämmer, är relevanta och tillräckligt säkra för att dra en viss slutsats eller därför att det i analysprocessen framkommit ny information och kunskap som inte var möjlig att förutse.