prop · H80357 · 2020-12-07 00:00:00 — Av ändamålsbestämmelsen i 2 kap. 4 § första stycket 1 patientdatalagen framgår bl.a. att personuppgifter får behandlas inom hälso- och sjukvården om det behövs för att fullgöra den skyldighet att föra patientjournal som anges i 3 kap. patientdatalagen. Syftet med bestämmelserna om information, betänketid och samtycke är att stärka skyddet för den enskildes liv och hälsa vid estetiska kirurgiska ingrepp och estetiska injektionsbehandlingar, att tillförsäkra att den enskilde får tillräckligt med information om åtgärden, har tid att överväga informationen samt säkerställa att åtgärden utförs i enlighet med den enskildes vilja. Sammanfattningsvis bedömer regeringen att den behandling av personuppgifter som sker inom de aktuella estetiska verksamheterna för att uppfylla kraven som ställs enligt den föreslagna lagen bedöms ha stöd enligt artikel 6.1 c och e i EU:s dataskyddsförordning, 1, 5–8 och 10–12 §§ lagen om estetiska kirurgiska ingrepp och estetiska injektionsbehandlingar samt 2 kap. 4 § och 3 kap. patientdatalagen. En behandling av personuppgifter måste dock i det enskilda fallet vara nödvändig i förhållande till uppgiften av allmänt intresse eller den rättsliga förpliktelsen och följa de grundläggande principer som gäller för personuppgiftsbehandling i artikel 5 i EU:s dataskyddsförordning. Regeringen anser vidare att kraven på proportionalitet och legitimitet i artikel 6.3 i EU:s dataskyddsförordning är uppfyllt, vilket redogörs för närmare nedan. Patientdatalagen ska komplettera EU:s dataskyddsförordning för den personuppgiftsbehandling som sker med det rättsliga stödet rättslig förpliktelse och allmänt intresse Som Datainspektionen konstaterar får medlemsstaterna enligt artikel 6.2 i EU:s dataskyddsförordning behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i förordningen med hänsyn till personuppgiftsbehandling för att följa artikel 6.1 c och e. Datainspektionen påpekar vidare att personuppgiftsbehandlingar som har det rättsliga stödet fullgörande av avtal eller intresseavvägning, enligt EU:s dataskyddsförordning inte får omfattas av kompletterande nationella be- stämmelser och att patientdatalagen således inte kan göras tillämplig på sådan personuppgiftsbehandling. Patientdatalagen kompletterar EU:s dataskyddsförordning när det gäller personuppgiftsbehandling inom hälso- och sjukvårdsverksamhet och innehåller bland annat särskilda ändamålsbestämmelser. Den som utgör vårdgivare enligt patientdatalagen ska tillämpa både dataskyddsförordningen och kompletterande bestämmelser i patientdatalagen och dataskyddslagen. I förarbetena till patientdatalagen benämns lagens tillämpningsområde vara vårdgivarnas kärnverksamhet och omfatta den individinriktade patientvården inom hälso- och sjukvården. Vidare uttalas följande. Till den beskrivna kärnverksamheten – individinriktad patientvård – hör ett ansvar att administrera och att i olika avseenden utveckla verksamheten. Även i den verksamheten behöver vårdgivare behandla personuppgifter, oftast samma uppgifter som samlats in i patientvården. Även denna personuppgiftsbehandling ska regleras av patientdatalagen. Däremot anser regeringen att personuppgiftsbehandlingen i den rent administrativa verksamheten utan nära koppling till patientverksamheten – t.ex. i internadministrativ verksamhet vid personuppgiftsbehandling rörande anställda eller rörande leverantörer av varor och tjänster – ska falla utanför patientdatalagens tillämpningsområde. Således förekommer även hos en vårdgivare som omfattas av bestämmelserna i patientdatalagen, personuppgiftsbehandling som faller utanför denna lags tillämpningsområde (prop. 2007/08:126 s. 48 f.). Regeringen ser inget hinder mot att patientdatalagen görs tillämplig för de verksamheter som omfattas av den föreslagna lagen. För de personuppgifter som behandlas i de estetiska verksamheternas kärnverksamhet, då de tillhandahåller estetiska kirurgiska ingrepp och estetiska injektionsbehandlingar till enskilda, kommer patientdatalagen att vara tillämplig. Personuppgiftsbehandling för den rent administrativa verksamheten utan direkt koppling till patientverksamheten – t.ex. personaladministration – faller dock utanför lagens tillämpningsområde (jfr prop. 2007/08:126 s. 222). Regeringen föreslår därmed att patientdatalagen ändras på så sätt att definitionen av hälso- och sjukvård även omfattar verksamhet som avses i lagen om estetiska kirurgiska ingrepp och estetiska injektionsbehandlingar. Den som bedriver verksamhet enligt den lagen blir därmed vårdgivare vid tillämpningen av patientdatalagen. Den personuppgiftsbehandling som aktuella verksamheter utför av annan anledning än att uppfylla den föreslagna lagens krav och som har det rättsliga stödet samtycke, fullgörande av avtal eller intresseavvägning faller utanför patientdatalagens tillämpningsområde. Samma förhållande gäller även för övriga vårdgivare som omfattas av patientdatalagen, exempelvis i de fall en privat vårdgivare bedriver direktmarknadsföring till en patient. Det är således upp till den personuppgiftsansvariga att bedöma syftet med personuppgiftsbehandlingen och avgöra om patientdatalagen ska tillämpas eller inte. Datainspektionen påpekar att enligt artikel 6.3 i EU:s dataskyddsförordning ska den nationella rätten även uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas och kan innehålla särskilda bestämmelser för att anpassa tillämpningen av bestämmelserna i dataskyddsförordning, bland annat, de allmänna villkor som ska 2020/21:57 gälla för den personuppgiftsansvariges behandling, vilken typ av uppgifter som ska behandlas, vilka registrerade som berörs, de enheter till vilka personuppgifterna får lämnas ut och för vilka ändamål, ändamålsbegränsningar, lagringstid m.m. Regeringen gör bedömningen att bestämmelserna om estetiska kirurgiska ingrepp och estetiska injektionsbehandlingar uppfyller mål av allmänt intresse och är proportionella mot det legitima mål som eftersträvas. Skälen för varför det är angeläget att införa dessa bestämmelser framgår av avsnittet om förslaget till ny lag. Utförandet av estetiska kirurgiska ingrepp och estetiska injektionsbehandlingar bedöms, som redovisas ovan, på det sätt som verksamheten föreslås vara reglerad genom den föreslagna lagen motsvara hälso- och sjukvård i nationell rätt när det handlar om den personuppgiftsbehandling som sker och är enligt regeringens mening en uppgift av allmänt intresse. Regeringen bedömer att det är av allmänt intresse att estetiska kirurgiska ingrepp och estetiska injektionsbehandlingar utförs patientsäkert och under tillsyn av Inspektionen för vård och omsorg. För att myndigheten ska kunna utöva tillsyn över verksamheterna på ett ändamålsenligt sätt är det av vikt att dokumentation finns bevarad över de estetiska ingreppen och behandlingarna. Att verksamheterna bedriver ett systematiskt patientsäkerhetsarbete på motsvarande sätt som inom hälso- och sjukvården och att verksamheterna är skyldiga att ha en patientförsäkring enligt patientskadelagen, ökar förutsättningarna för att den enskilde ska skyddas vid estetiska kirurgiska ingrepp och estetiska injektionsbehandlingar. Det står var och en fritt att genomgå en estetisk behandling, men att riskera sitt liv för att genomgå en sådan behandling kan inte få vara frivilligt utifrån ett etiskt och samhälleligt perspektiv. Det är således av allmänt intresse att patientsäkerheten upprätthålls vid dessa ingrepp och behandlingar, och detta väger tyngre än den integritetsrisk som personuppgiftsbehandlingen inom dessa verksamheter i vissa fall innebär. Den föreslagna lagen bedöms därmed uppfylla ett mål av allmänt intresse. För att den nationella rätten ska vara proportionell mot det legitima mål som eftersträvas bedömer regeringen att det finns skäl att införa vissa skyddsbestämmelser och en begränsning av för vilka ändamål personuppgifter får behandlas som är nödvändiga för att uppfylla den föreslagna lagen. De skyddsbestämmelser och den ändamålsbegränsning som föreslås införas är de som anges i patientdatalagen och redogörs för nedan. Närmare om regleringen enligt patientdatalagen Patientdatalagen innehåller bestämmelser som innebär att alla personuppgifter får behandlas under vissa förutsättningar. Personuppgifter får enligt 2 kap. 4 § 1–6 patientdatalagen behandlas inom hälso- och sjukvården (patientdatalagens definition av hälso- och sjukvård) om det behövs för 1. att fullgöra de skyldigheter som anges i 3 kap. patientdatalagen och upprätta annan dokumentation som behövs i och för vården av patienter, 2. administration som rör patienter och som syftar till att ge vård i enskilda fall eller som annars föranleds av vård i enskilda fall, 3. att upprätta annan dokumentation som följer av lag, förordning eller annan författning, 4.att systematiskt och fortlöpande utveckla och säkra kvaliteten i verksamheten, 5.administration, planering, uppföljning, utvärdering och tillsyn av verksamheten, eller 6.att framställa statistik om hälso- och sjukvården. Enligt 4 kap. 5 § patientdatalagen får personuppgifter som behandlas för ändamål som anges i 4 kap. 4 § också behandlas för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Vidare får personuppgifterna även behandlas för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. Regeringen bedömer att de ändamålsbestämmelser som anges i patientdatalagen är relevanta och väl avvägda även för den personuppgiftsbehandling som sker inom de aktuella estetiska verksamheterna med stöd av artikel 6.1 c och e i EU:s dataskyddsförordning. Gemensamt för dessa ändamål är, liksom för hälso- och sjukvården i stort, främjandet av hög patientsäkerhet inom verksamheter där det utförs estetiska kirurgiska ingrepp och estetiska injektionsbehandlingar. Det är av stor vikt både för den individinriktade vården samt för det allmänna intresset att personuppgiftsbehandlingen kan ske inte enbart för att utövaren ska kunna utföra den enskilda medicinska åtgärden, men även för kvalitetssäkring, uppföljning, administration och statistik så att dessa verksamheter kan förbättras, vilket främjar patientsäkerheten. I 4 kap. patientdatalagen finns det även skyddsbestämmelser för att obehöriga inte ska få tillgång till personuppgifter. I 2 kap. 8 § patientdatalagen finns begränsningar i fråga om känsliga personuppgifter som sökbegrepp. Dessa bestämmelser i patientdatalagen anser regeringen även ska gälla för uppgifter som dokumenteras när estetiska kirurgiska ingrepp och estetiska injektionsbehandlingar utförs för att uppfylla lagens krav, och regeringen anser därmed att det finns tillräckligt skydd för att information inte obehörigen sprids. Skyddsbestämmelserna i patientdatalagen som föreslås gälla gör att det eventuella integritetsintrång som personuppgiftsbehandlingen innebär för den enskilde står i rimlig proportion till syftet att behandlingarna ska kunna utföras på ett patientsäkert sätt. Patientdatalagens ändamålsreglering tydliggör också för utförare av estetiska kirurgiska ingrepp och estetiska injektionsbehandlingar att de själva inte får besluta om ytterligare ändamål för vilket eller vilka personuppgifter kan samlas in i verksamheten, i vart fall inte utan den registrerades samtycke. Begränsningarna som patientdatalagen ställer upp utgör enligt regeringens mening lämpliga skyddsåtgärder för behandlingen av personuppgifter inom de verksamheter där det utförs estetiska kirurgiska ingrepp och estetiska injektionsbehandlingar. Utlämnande av personuppgifter genom direktåtkomst är enligt 5 kap. 4 § patientdatalagen endast tillåten i den utsträckning som anges i lag eller förordning. Enligt 5 kap. 5 § patientdatalagen finns det en möjlighet för den enskilde att genom direktåtkomst få tillgång till sina egna journalhandlingar. En journalhandling ska bevaras enligt 3 kap. 17 § patientdatalagen. Detta bör gälla även för uppgifter som dokumenteras i journalen vid estetiska kirurgiska ingrepp och estetiska injektionsbehandlingar. Även övriga skyddsbestämmelser i patientdatalagen när det gäller journalföring bör omfatta verksamhet som utför sådana estetiska behand- lingar, såsom regler om omhändertagande och återlämnande av patient- journal i 9 kap. och om överklagande i 10 kap. I 7 kap. patientdatalagen finns bestämmelser om kvalitetsregister. Behandling av personuppgifter i nationella och regionala kvalitetsregister sker med stöd av artikel 6.1 c och e i EU:s dataskyddsförordning (prop. 2017/18:171 s. 165). Personuppgifter i nationella och regionala kvalitets- register får behandlas för ändamålet att systematiskt och fortlöpande utveckla och säkra vårdens kvalitet (7 kap. 4 § patientdatalagen). enligt regeringens mening finnas anledning att utveckla och säkra vårdens kvalitet inom de verksamheter där det utförs estetiska kirurgiska ingrepp och estetiska injektionsbehandlingar. De bestämmelser i 7 kap. patient- datalagen om den enskildes möjlighet att motsätta sig behandling i ett nationellt eller regionalt kvalitetsregister, den ändamålsbegränsning och bestämmelser om vilka uppgifter som får behandlas i ett nationellt eller regionalt kvalitetsregister (7 kap. 2–8 a §§ patientdatalagen) bedömer regeringen utgör lämpliga skyddsåtgärder för den enskildes integritet även avseende verksamheter som omfattas av den föreslagna lagen. Enligt 2 kap. 2 § patientdatalagen får behandling av personuppgifter som är tillåten enligt lagen utföras även om den enskilde motsätter sig den. Detta gäller dock inte i de fall som anges i 4 kap. 4 §, 6 kap. och 7 kap. 2 § patientdatalagen eller om något annat framgår av annan lag eller förord- Bestämmelsen i 2 kap. 2 § patientdatalagen kan ses mot bakgrund av artikel 21.1 i EU:s dataskyddsförordning som föreskriver att en enskild ska ha möjlighet att när som helst göra invändningar mot en behandling av personuppgifter avseende honom eller henne som bl.a. grundar sig på artikel 6.1 e (allmänt intresse eller myndighetsutövning). giftsansvarige får då inte längre behandla personuppgifterna om det inte kan påvisas avgörande berättigande skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter eller friheter eller om det sker för fastställande, utövande eller försvar av rättsliga anspråk. artikel 23.1 i EU:s dataskyddsförordning får en begränsning av den enskil- des rätt att göra invändningar införas i nationell rätt om den sker med res- pekt för andemeningen i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa någon av de punkter som räknas upp i artikeln. estetiska kirurgiska ingrepp och estetiska injektionsbehandlingar bör punkten e bli aktuell. Av artikel 23.1 e framgår att begränsning kan göras i syfte att säkerställa andra av unionens eller en medlemsstats viktiga mål av generellt allmänt intresse, särskilt ett av unionens eller en medlemsstats viktiga ekonomiska eller finansiella intressen, däribland penning-, budget- eller skattefrågor, folkhälsa och social trygghet. Som ovan nämnts utgör utförandet av estetiska kirurgiska ingrepp och estetiska injektionsbehandlingar genom den föreslagna regleringen åt- gärder som bedöms motsvara hälso- och sjukvårdsverksamhet. patientsäkerhet är enligt regeringens mening ett mål av generellt allmänt Regeringen bedömer att en begränsning av den enskildes rätt att motsätta sig att hans eller hennes personuppgifter behandlas inom aktuella estetiska verksamheter är möjlig då en sådan bestämmelse får anses som både en nödvändig och en proportionell åtgärd. Vid en estetisk behandling eller ett ingrepp har den enskilde valet att avstå från att genomföra den. Dessa åtgärder görs i utseendeförändrande syfte. Om den enskilde väljer att genomgå ett sådant ingrepp eller en sådan behandling, skulle en möjlig- Prop. 2020/21:57 het att göra invändningar mot den behandling av de personuppgifter som dokumenteras i verksamheten riskera patientsäkerheten. Det kan t.ex. uppstå komplikationer efter behandlingen eller vara nödvändigt av andra skäl att granska genomförandet av behandlingen i fråga. Ett undantag från den enskildes rätt att göra invändningar bör därmed kunna anses nödvändig enligt artikel 23.1 i EU:s dataskyddsförordning. En begränsning bör också kunna anses proportionerlig enligt samma artikel då den enskilde både kan avstå från att genomföra estetiska behandlingar och ingrepp samt begära rättelse eller journalförstöring i de fall den enskilde anser att personuppgifterna inte är korrekta eller att de har behandlats felaktigt. Bestämmelsen i 2 kap. 2 § patientdatalagen kan därmed enligt regeringens mening gälla även inom den verksamhet som omfattas av lagen om estetiska kirurgiska ingrepp och estetiska injektionsbehandlingar. Det kan nämnas att en behandling av personuppgifter i en patientjournal som ovan konstaterats har rättslig förpliktelse enligt artikel 6.1 c i EU:s dataskyddsförordning som behandlingsgrund. Den enskilde har därmed i dessa fall ingen möjlighet enligt EU:s dataskyddsförordning att motsätta sig att hans eller hennes personuppgifter behandlas. Regeringen finner sammanfattningsvis att den reglering som finns i 1– 5, 7–10 kap. patientdatalagen ska gälla för verksamhet som omfattas av lagen om estetiska kirurgiska ingrepp och estetiska injektionsbehandlingar på samma sätt som för övrig hälso- och sjukvårdsverksamhet. I 6 kap. patientdatalagen finns bestämmelser om sammanhållen journalföring. Detta innebär att en vårdgivare under vissa förutsättningar får ha direktåtkomst till elektroniska journalhandlingar och andra personuppgifter som behandlas för ändamål som rör vårddokumentation hos en annan vårdgivare. Det finns ett förbud mot sammanhållen journalföring i de fall den enskilde har motsatt sig detta. Grundtanken med en sammanhållen journalföring är att skapa en bättre och en mer patientsäker hälso- och sjukvård. I förarbetena till patientdatalagen anges att det genom den sammanhållna journalföringen ges en tillgänglighet till uppgifter om patienter som i praktiken låter information följa patienterna i olika vårdkedjor och vårdprocesser (prop. 2007/08:126 s. 247). För att rättslig förpliktelse eller allmänt intresse enligt artikel 6.1 c och e i EU:s dataskyddsförordning ska kunna utgöra den lagliga grunden för en behandling av personuppgifter krävs att behandlingen ska anses vara nödvändig. Regeringen bedömer att det kan vara tveksamt om en vårdgivare inom estetiska verksamheter behöver ha direktåtkomst till personuppgifter som behandlas av andra vårdgivare för ändamål som anges i 2 kap. 4 § 1 och 2 patientdatalagen. Visserligen krävs enligt 6 kap. 3 § patientdatalagen för att en vårdgivare ska få behandla uppgifter som en annan vårdgivare gjort tillgängliga i systemet med sammanhållen journalföring att det finns en aktuell patientrelation, att patienten lämnat sitt samtycke samt att uppgifterna kan antas ha betydelse för att förebygga, utreda eller behandla sjukdomar och skador. Vid estetiska kirurgiska ingrepp och estetiska injektionsbehandlingar är det rimligt att anta att den enskilde inte kommer att ha del i flera olika vårdprocesser, eftersom så- 2020/21:57 dana planerade åtgärder normalt utförs på friska individer. Det kan givetvis ändå uppstå tillfällen då det kan vara av vikt för en vårdgivare att känna till att den enskilde har genomgått en estetisk behandling eller ingrepp, t.ex. vid komplikationer. Eftersom detta får anses vara undantagsfall bedömer regeringen att skyddet för individens integritet i dessa fall väger tyngre än behovet av att tillåta sammanhållen journalföring. Regeringen föreslår med anledning av ovanstående att det i den föreslagna lagen ska läggas in en bestämmelse om att den som utför ett estetiskt kirurgiskt ingrepp eller en estetisk injektionsbehandling inte får ha direktåtkomst till personuppgifter om den enskilde som behandlas av andra vårdgivare. Dessutom föreslår regeringen att en bestämmelse om att en vårdgivare inte får ha direktåtkomst till personuppgifter som behandlas av en annan vårdgivare enligt lagen om estetiska kirurgiska ingrepp och estetiska injektionsbehandlingar läggs in i patientdatalagen. Vidare ska en upplysning anges i patientdatalagen om att det finns särskilda bestämmelser om elektronisk åtkomst i lagen om estetiska kirurgiska ingrepp och estetiska injektionsbehandlingar. Behandling av känsliga personuppgifter I artikel 9.1 i EU:s dataskyddsförordning finns ett principiellt förbud mot att behandla särskilda kategorier av personuppgifter. Sådana uppgifter brukar kallas känsliga uppgifter och bland dessa ingår uppgifter om hälsa. Uppgifterna får dock behandlas bl.a. om behandlingen är nödvändig av skäl som hör samman med förebyggande hälso- och sjukvård och yrkesmedicin, bedömningen av en arbetstagares arbetskapacitet, medicinska diagnoser, tillhandahållande av hälso- och sjukvård, behandling, social omsorg eller förvaltning av hälso- och sjukvårdstjänster och social omsorg och av deras system, på grundval av unionsrätten eller medlemsstaternas nationella rätt eller enligt avtal med yrkesverksamma på hälsoområdet och under förutsättning att de villkor och skyddsåtgärder som avses i punkt 3 är uppfyllda (artikel 9.2. h i EU:s dataskyddsförordning). Av 3 kap. 5 § dataskyddslagen framgår att känsliga personuppgifter bl.a. får behandlas med stöd av artikel 9.2 h i EU:s dataskyddsförordning om behandlingen är nödvändig för tillhandahållande av hälso- och sjukvård eller behandling, under förutsättning att kravet på tystnadsplikt i artikel 9.3 i EU:s dataskyddsförordning är uppfyllt. En bestämmelse som påminner om kravet på tystnadsplikt enligt artikel 9.3 i EU:s dataskyddsförordning har tagits in i 2 kap. 7 a § patientdatalagen. De verksamheter som utförs enligt lagen om estetiska kirurgiska ingrepp och estetiska injektionsbehandlingar kommer att utgöra hälso- och sjukvård vid tillämpningen av patientdatalagen, patientsäkerhetslagen och patientskadelagen. Vidare ska bestämmelser om god vård enligt HSL tillämpas vid sådan verksamhet. De estetiska verksamheterna utförs således på grundval av nationell rätt. Med anledning av att behandling av känsliga personuppgifter enligt artikel 9.2 h i EU:s dataskyddsförordning får ske om den är nödvändig av skäl som hör samman med hälso- och sjukvård eller behandling samt förvaltning av hälso- och sjukvårdstjänster och deras system, bedömer regeringen att känsliga personuppgifter inom aktuella estetiska verksamheter kan ske med stöd av undantagsbestämmelsen. Personuppgiftsbehandlingen är nödvändig av skäl som hör sam- man med behandling, vilket i aktuellt fall handlar om kirurgiska ingrepp Prop. 2020/21:57 och injektionsbehandlingar. Dessa medicinska åtgärder är behandlingar som motiverar att känsliga personuppgifter, dvs. uppgifter om hälsa, behandlas. Vidare kommer det råda tystnadsplikt för de yrkesutövare som behandlar uppgifterna, till följd av regeringens förslag om att patientsäkerhetslagen ska vara tillämplig och den bedömning som görs om att offentlighets- och sekretesslagen omfattar verksamheterna (se avsnitt 5.9). Känsliga personuppgifter får behandlas med stöd av 2 kap. 4, 5 och 7 §§ patientdatalagen som anger att en vårdgivare endast får behandla sådana personuppgifter som behövs för vissa uppräknade ändamål. Regeringen har tidigare gjort bedömningen att den behandling som sker enligt patientdatalagen ryms inom de syften som nämns i artikel 9.2 h i EU:s dataskyddsförordning (prop. 2017/18:171 s. 97 f. och 162). Patientdatalagens reglering avseende känsliga personuppgifter inom de verksamheter som omfattas av den föreslagna lagen bedöms sammanfattningsvis vara förenlig med EU:s dataskyddsförordning. Regeringens förslag: Det ska vara straffbart att uppsåtligen eller av oaktsamhet utföra ett estetiskt kirurgiskt ingrepp eller en estetisk