sou · H8B353 · 2020-09-02 00:00:00 — Punkten 5 innebär att en vårdgivare fortlöpande eller vid särskilda tillfällen kan administrera, planera, följa upp, utvärdera och utöva tillsyn av verksamheten på olika nivåer. Den administration och planering som avses här sker på ett mer övergripande plan än vad som avses med den patientadministration som omfattas av ändamålet vårddokumentation (se punkterna 1 och 2). Ett ytterligare område som stöds av punkten är kravet på att hälso- och sjukvården ska bedriva kontinuerlig verksamhetsuppföljning. Med uppföljning i patientdatalagens mening avses fortlöpande och regelbunden mätning och beskrivning av behov, verksamheter och resursåtgången angivet i termer av till exempel behovstäckning, produktivitet och nyckeltal. Som exempel kan nämnas läkemedelsanvändningen hos vårdgivaren. Uppföljningen tjänar till att ge en översiktlig bild av verksamhetens utveckling och att ge en signal om avvikelser som bör beaktas. Med utvärdering avses analys och värdering av kvalitet, effektivitet och resultat av en verksamhet i förhållande till de mål som bestäms för denna. Ett annat område som omfattas av bestämmelsen är den personuppgiftsbehandling som krävs för vårdgivarens interna tillsyn av sin verksamhet, såväl på individnivå som på ett mer övergripande plan. Av punkten 6 framgår att framställning av statistik är ett särskilt ändamål för personuppgiftsbehandling. Inom hälso- och sjukvården framställs statistik om många faktorer, bland annat sådan verksamhetsstatistik som kan anses inrymmas inom ändamålen administration och verksamhetsuppföljning. Därutöver framställs statistik som inte utan vidare kan hänföras till något annat ändamål, till exempel när statistik tas fram för att informera befolkningen om verksamheten. Personuppgifter som behandlas med stöd av något eller några av de sex nämnda ändamålen får behandlas också för sådant uppgiftsutlämnande som sker i överensstämmelse med lag eller förordning. Personuppgifterna får även behandlas för andra ändamål under förutsättning att de inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in (finalitetsprincipen, som kommer till uttryck i artikel 5.1 b). Detta följer av 2 kap. 5 § patientdatalagen. Till skillnad från vissa andra sektorsspecifika författningar görs ingen uppdelning av primära eller sekundära ändamål i 2 kapitlets ändamålsbestämmelser. I förarbetena till lagen bedömdes det inte innebära en risk för ett försämrat integritetsskydd att även sådana ändamål som föll vid sidan av den individinriktade, operativa, verksamheten får vara primära, eftersom det i allt väsentligt rör sig om en efterkommande användning av uppgifter som härrör från den individinriktade verksamheten. Detta ansågs överensstämma med strävandena inom hälso- och sjukvården att förbättra och effektivisera verksamheten, bland annat genom att skapa en ändamålsenlig och enhetlig vårddokumentation som minskar det administrativa merarbetet.40 För nationella och regionala kvalitetsregister gäller, i stället för 2 kapitlets ändamålsbestämmelser, att personuppgifter i sådana register får behandlas primärt för ändamålet att systematiskt och fortlöpande utveckla och säkra vårdens kvalitet (7 kap. 4 §, se också 5 kap. 4 § hälso- och sjukvårdslagen). Dessutom får personuppgifterna användas för vissa sekundära ändamål (7 kap. 5 § patientdatalagen): 2007/08:126 s. 56. 1.framställning av statistik, 2.forskning inom hälso- och sjukvården, 3.utlämnande till den som ska använda uppgifterna för dessa ändamål och ändamålet enligt 7 kap. 4 §, och 4.fullgörande av någon annan uppgiftsskyldighet som följer av lag eller förordning än den som anges i 6 kap. 5 § offentlighets- och sekretesslagen. Med statistik avses här sådan statistik som ska användas för andra ändamål än att förbättra vårdens kvalitet. Det kan till exempel röra sig om statistik som framställs för att ge särskilt underlag åt politiker och administratörer för planering av verksamheten inom hälso- och sjukvården. Det sekundära ändamålet forskning medger att personuppgifter, som har samlats in för kvalitetssäkringsarbete, också får användas i forskning inom hälso- och sjukvårdsområdet, inbegripet epidemiologiska studier. Ändamålet forskning i paragrafen utgör inget undantag från regleringen i etikprövningslagen, det vill säga forskning som avser människor får utföras bara om den har godkänts vid en etikprövning. I motsats till övriga personuppgifter som behandlas inom hälso- och sjukvården gäller inte finalitetsprincipen vid behandling av personuppgifter i nationella och regionala kvalitetsregister (7 kap. 6 §). Ändamålen i 7 kap. 4 och 5 §§ är alltså uttömmande. Med den enskildes uttryckliga samtycke får dock personuppgifter om honom eller henne behandlas för något annat ändamål än för vilka de har samlats in (2 kap. 3 §). Att i en lag, såsom patientdatalagen, bestämma ändamål för helt eller delvis automatiserade behandlingar av personuppgifter syftar till att tydliggöra var gränserna går för de användningsområden där den personuppgiftsansvarige får registrera och använda personuppgifter. Det är viktigt inte minst mot bakgrund av att den enskilde normalt inte kan motsätta sig att hans eller hennes uppgifter används för de ändamål som har fastslagits av lagstiftaren. I fråga om nationella och regionala kvalitetsregister får dock personuppgifter inte behandlas, om den enskilde motsätter sig det. Om den enskilde motsätter sig personuppgiftsbehandlingen sedan den påbörjats, ska uppgifterna utplånas ur registret (7 kap. 2 §). Den valda lösningen för patientdatalagen är att så uttömmande som möjligt bestämma ändamålen – om än relativt generellt utformade – för sådan personuppgiftsbehandling som regleras i lagen. I linje med detta förhållningssätt finns det skäl att överväga att antalsberäkning anges i patientdatalagen som ett uttryckligt ändamål för behandling av personuppgifter. 5.7.3Ett nytt ändamål för personuppgiftsbehandling inom hälso- och sjukvården och i nationella och regionala kvalitetsregister Av redovisningen i föregående avsnitt framgår att det inte finns något lagstadgat ändamål som uttryckligen tar sikte på personuppgiftsbehandling för att antalsberäkna möjliga deltagare för forskning inom hälso- och sjukvården. Detsamma gäller sådan behandling i nationella eller regionala kvalitetsregister. Enligt vad som har redovisats medför denna omständighet att det råder olika uppfattningar om huruvida det är tillåtet att utföra antalsberäkning och att förfrågningar om detta behandlas på olika sätt, beroende på vilken bedömning som gjorts om tillåtligheten. Detta drabbar forskningsaktörer men också hälso- och sjukvården, inom vilken det kan behöva utföras personuppgiftsbehandling på oklara grunder eller läggas tid på att utreda och förhålla sig till frågan. Som framgått kan denna rättsosäkerhet och varierande praxis i landets regioner och kommuner ha negativ inverkan på hur många forskningsstudier inom hälso- och sjukvården som förläggs i landet. Förslaget som lämnades av Utredningen om rätt information i vård och omsorg – att införa (bland annat) antalsberäkning som ett tillåtet ändamål för behandling av personuppgifter inom hälso- och sjukvården41 (se avsnitt 2.2) – ansågs av de remissinstanser som uttalade sig positivt kunna verka för att förbättra möjligheter till klinisk forskning och ha potential att vända trenden med ett minskat antal kliniska läkemedelsprövningar i . Sist men inte minst kan patienter som har nytta och intresse av att delta i forskning drabbas om själva forskningen aldrig kommer till stånd. För att forskningshuvudmannen ska välja att starta klinisk 41SOU 2014:23 s. 158–170. forskning behövs en bedömning av om det finnas tillräckligt många personer som kan medverka, vilket i sin tur kräver att det finns rättsliga förutsättningar för antalsberäkning. Risken att drabbas gäller även framtidens patienter, det vill säga medborgare som skulle kunna få en bättre diagnostik och behandling (eller helt undvika att drabbas av sjukdom) till följd av ny kunskap som är vunnen genom forskning. Det finns anledning att anta att förutsättningarna för klinisk forskning förbättras genom att antalsberäkning uttryckligen anges som ett tillåtet ändamål för behandling av personuppgifter inom hälso- och sjukvården och i nationella och regionala kvalitetsregister. Eftersom det är fråga om en behandling av personuppgifter som kan ske med stöd av artikel 6.1 e finns det förutsättningar för att införa nationella bestämmelser (artikel 6.2 och 6.3 i dataskyddsförordningen). Att det är fråga om behandling av känsliga personuppgifter som får anses nödvändig av skäl av allmänt intresse på folkhälsoområdet eller för vetenskapliga forskningsändamål, innebär att nationella preciseringar kan anses, om inte nödvändiga (artikel 9.2 j) så ändå, tillåtna (artikel 9.2. i).42 5.7.4Nya bestämmelser införs i patientdatalagen Frågan är huruvida ändamålsbestämmelser om personuppgiftsbehandling för sådan antalsberäkning som föreslås bör tas in i patientdatalagen eller i någon annan författning. Patientdatalagen utgör den centrala lagen för behandling av personuppgifter på vårdområdet, inbegripet nationella och regionala kvalitetsregister.43 Att patientdatalagen koncentreras till att omfatta all personuppgiftsbehandling i den individinriktade patientvården inom hälso- och sjukvården är en allmän utgångspunkt för lagen. Det följer också av lagens bestämmelse om tillämpningsområde (1 kap. 1§), som kopplar behandlingen till personuppgifter inom hälso- och sjukvården genom hänvisning till hälso- och sjukvårdslagens definition av hälso- och sjukvård. Som redovisats hör till denna kärn- 2017/18:171 s. 108. 43Särskilda bestämmelser om behandling av personuppgifter på vårdområdet finns också i till exempel i lagen (1996:1156) om receptregister, lagen (2005:258) om läkemedelsförteckning, lagen (2006:496) om blodsäkerhet, lagen om biobanker i hälso- och sjukvården m.m. och apoteksdatalagen (2009:367). verksamhet åtgärder för att förebygga, utreda och behandla sjukdomar och skador hos enskilda, om verksamheten sker enligt vissa lagar, däribland hälso- och sjukvårdslagen. Det bör här tilläggas att bland de tillåtna ändamålen finns också behandlingar av personuppgifter inom hälso- och sjukvården som inte är direkt kopplade till patientvård, till exempel framställning av statistik. Hälso- och sjukvårdslagen är en ramlag med bestämmelser om övergripande mål och ansvarsfördelning, och som därför inte lämpar sig för bestämmelser som det nu är fråga om (se avsnitt 5.5.3). Det finns inget krav på att nationella bestämmelser som kompletterar dataskyddsförordningen är samlade i en och samma nationella författning. Den omständigheten att den i lag fastslagna rättsliga grunden för personuppgiftsbehandling vid antalsberäkning finns i hälso- och sjukvårdslagen är alltså inte i sig ett skäl till att föreslå att de nya bestämmelserna om personuppgiftsgiftbehandling för ändamålet antalsberäkning ska införas i den lagen. Personuppgiftsbehandling för ändamålet att beräkna hur många personer som potentiellt kan ingå i forskning inom hälso- och sjukvården utgör en efterkommande användning av uppgifter som härrör från den individinriktade verksamheten i hälso- och sjukvården. Den är av administrativ karaktär, men kan inte likställas med ändamålet statistikframställning eller övriga behandlingar för administration som anges i 2 kap. 4 § patientdatalagen. Inte heller träffas sådan behandling av den uttömmande uppräkningen av tillåtna, sekundära ändamål som finns i 7 kap. 5 § samma lag. Personuppgiftsbehandlingen vid antalsberäkning utförs av vårdgivaren på förfrågan av den som överväger att inleda forskning inom hälso- och sjukvården. Det kan därmed inte sägas vara fråga om sådan behandling av personuppgifter som är föremål för regleringen i etikprövningslagen. En ändamålsbestämmelse avseende antalsberäkning bör därför inte införas i den lagen. Personuppgiftsbehandling får anses vara en naturlig administrativ uppgift inom hälso- och sjukvården, också med hänsyn till hälso- och sjukvårdens betydelse och ansvar för forskning på detta område. Dessutom finns en likhet mellan personuppgiftsbehandling för antalsberäkning och personuppgiftsbehandling som vårdgivaren utför som ett led i att systematiskt och fortlöpande utveckla och säkra kvaliteten i verksamheten och för statistikframställning. Den aktuella personuppgiftsbehandlingen kan alltså sägas ske för flera närliggande och sammanhängande ändamål, vilket inte är ovan- ligt inom hälso- och sjukvården. Som framgått finns redan sådana ändamål som faller vid sidan av den individinriktade verksamheten bland befintliga ändamål enligt patientdatalagen. Sammantaget bedömer vi att personuppgiftsbehandling för antalsberäkning kan och bör omfattas av regleringen i patientdatalagen. Att det finns explicit stöd för all personuppgiftsbehandling som sker inom hälso- och sjukvården ligger i linje med både förhållningssättet och förarbetsuttalanden när det gäller patientdatalagen.44 Som redovisats förekommer denna personuppgiftsbehandling. Det råder enighet om att den i många fall är av avgörande betydelse för ställningstagande till att initiera klinisk forskning. Integritetsintrånget som behandlingen medför får anses stå i rimlig proportion till den nytta som den avsedda behandlingen innebär. Att ge personuppgiftsansvariga och de individer som i praktiken utför personuppgiftsbehandlingen ett entydigt stöd för behandlingen och komma till rätta med den rättsosäkerhet som föreligger, är ett ytterligare, viktigt skäl för en lagreglering. Förslaget syftar alltså till att klargöra att den personuppgiftsbehandling som är nödvändig vid antalsberäkning är ett tillåtet ändamål enligt patientdatalagen. Den föreslagna lagregleringen får anses vara en proportionerlig begränsning av skyddet mot betydande intrång i den personliga integriteten enligt 2 kap. 6 § regeringsformen. Bedömningen görs mot bakgrund av att antalsberäkning är av central betydelse för ställningstagande om att inleda klinisk forskning, som är ett mycket angeläget allmänt intresse. Av betydelse är också vissa i patientdatalagen befintliga, och vid antalsberäkning tillämpliga, bestämmelser om skyddsåtgärder, liksom vårt förslag om ytterligare reglering på föreskiftsnivå av sådana åtgärder, som ska tillämpas specifikt vid antalsberäkning (se vidare nedan). Förslaget till reglering kompletterar och preciserar dataskyddsförordningens bestämmelser på ett sådant sätt att enskildas integritet tillgodoses genom att behandlingen får ske enbart efter förfrågan, i syfte att beräkna möjliga individer för en specifik klinisk studie, och utan att personuppgifter lämnas ut till frågeställaren. I föreskrifter bör fastställas, som skyddsåtgärder, ytterligare begränsningar av hälso- och sjukvårdens möjligheter att behandla personuppgifter. Sammantaget bidrar detta till öppenhet på så sätt att enskilda kan skapa sig en bild av ramarna för hälso- och sjukvårdens behandling av personuppgifter 2007/08:126 s. 56. för ändamålet antalsberäkning. Det är vår sammantagna bedömning att förslaget är förenligt med såväl regeringsformen som internationella förpliktelser i berörda avseenden. Bestämmelser om personuppgiftsbehandling för ändamålet antalsberäkning bör därför införas i 2 kapitlet respektive 7 kapitlet patientdatalagen. Privata vårdgivare utan koppling till offentligrättslig hälso- och sjukvårdsverksamhet är förhindrade att utföra antalsberäkning eftersom det inte finns något tillämpligt undantag från förbudet mot behandling av känsliga uppgifter. Detta föranleder inte något behov av särskild författningsreglering. Såväl förbudet som undantagen i artikel 9 i dataskyddsförordningen är direkt tillämpliga (avsnitt 5.6). Benämningen antalsberäkning får anses vara väletablerad bland berörda aktörer inom hälso- och sjukvården och bland berörda forskningshuvudmän. För tydlighets skull bör ändå uttrycket och dess innebörd tas in i definitionsbestämmelsen i 1 kap. 3 § patientdatalagen. Av samma skäl finns det anledning att i lagens tillämpningsparagraf göra ett tillägg, så att det framgår att också personuppgiftsbehandling för antalsberäkning omfattas. Till följd av de nya bestämmelserna behöver paragrafhänvisningarna i 2 kap. 4 § samt 7 kap. 4 och 6 §§ justeras. De nya ändamålsbestämmelserna föranleder inte några ändringar beträffande gällande personuppgiftsansvar (2 kap. 6 § och 7 kap. 7 §). Behov av reglering av bland annat vilka som får utföra den aktuella behandlingen behandlas i nästa avsnitt. Behandling innebär inte att det lämnas ut några personuppgifter. Mottagaren får enbart en uppgift om storleken av möjligt antal personer. Det behövs därför inte nya eller ändrade sekretessbestämmelser. Bedömning och förslag: Det finns inte anledning att fastställa ytterligare skyddsåtgärder i patientdatalagen för att behandla personuppgifter för det föreslagna ändamålet behandling av personuppgifter för antalsberäkning. Däremot bör det i lagen upplysas om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter som närmare reglerar hur personuppgiftsbehandlingen för detta ändamål ska utföras. Som redogjorts för i kapitel 3 innebär antalsberäkningen att ett antal behandlingar av känsliga personuppgifter utförs. Genom de i förfrågan angivna kriterierna söks uppgifter ur exempelvis journalhandlingar och kvalitetsregister för att sammanställas i ett resultat i form av en summa. Dataskyddsförordningen innehåller inte några bestämmelser som särskilt tar sikte på sökning. Sökning och sammanställning av personuppgifter är dock en form av behandling av personuppgifter som omfattas av dataskyddsregleringen. Det innebär bland annat att en sökning måste vara förenlig med angivna ändamål för att vara tillåten. Utifrån de bedömningar som gjorts beträffande antalsberäkning och personuppgiftsbehandlingens rättsliga grunder, och tillämpliga undantag från förbudet mot behandling av känsliga personuppgifter, måste behovet av anpassade regler, särskilt om skyddsåtgärder, övervägas. Vid behandling av känsliga personuppgifter med tillämpning av artikel 9.2. i (allmänt intresse på folkhälsoområdet) eller artikel 9.2. j (exempelvis vetenskapliga eller historiska forskningsändamål) i dataskyddsförordningen krävs det åtgärder eller skyddsåtgärder enligt nationell rätt. Även artikel 89.1 om skyddsåtgärder och undantag för behandling för bland annat vetenskapliga forskningsändamål kan utgöra stöd för den nationella lagstiftaren att närmare reglera lämpliga skyddsåtgärder (skäl 156 i förordningen). 5.8.2Generell reglering av åtgärder som begränsar behandlingen av personuppgifter Dataskyddsförordningen innehåller både allmänna principer och bestämmelser som föreskriver åtgärder som begränsar behandlingen av personuppgifter för att ytterst skydda den registrerades integritet. Alla personuppgiftsansvariga är skyldiga att beakta de allmänna principerna i artikel 5, bland andra de om uppgiftsminimering, lagringsminimering, samt integritet och konfidentialitet (artikel 5.1 c, 5.1e och 5.1 f). Personuppgiftsansvariga har också skyldigheter att vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen utförs i enlighet med dataskyddsförordningen (artikel 24), och säkerställa en lämplig säkerhetsnivå (artikel 32). Ansvaret enligt artikel 24 preciseras i artikel 25, som föreskriver inbyggt dataskydd och dataskydd som standard (se även skäl 78). Dataskyddsförordningen anger sällan att vissa specifika skyddsåtgärder ska vidtas. För behandling av känsliga personuppgifter för bland annat hälso- och sjukvårdsändamål anges dock tystnadsplikt uttryckligen som en skyddsåtgärd (artikel 9.2 h och 9.3). I några sammanhang används termerna ”skyddsåtgärder”, ”säkerhetsåtgärder” 45, ”tekniska och organisatoriska åtgärder” eller liknande tillsammans med en exemplifierande uppräkning. Till tekniska åtgärder räknas till exempel brandväggar, kryptering, pseudonymisering46, säkerhetskopiering och anti-virus-skydd. Organisatoriska åtgärder handlar till exempel om interna rutiner, instruktioner och riktlinjer. Kryptering och pseudonymisering är exempel på åtgärder som tillgodoser principen om uppgiftsminimering, eftersom sådana åtgärder innebär att den personuppgiftsansvarige inte behandlar fler direkt identifierande personuppgifter än vad som är nödvändigt för ändamålet med behandlingen. Krav på kryptering och pseudonymisering uppfyller också villkoren i principen om integritet och konfidentialitet i artikel 5.1 f i dataskyddsförordningen. Samtycke till en behandling av personuppgifter kan ibland utgöra ytterligare en skyddsåtgärd. Denna skyddsåtgärd kan användas när behandlingen har en annan rättslig grund än samtycke, till exempel myndighetsutövning. Att det föreskrivs att den registrerade ska samtycka till behandlingen anses då vara en integritetshöjande åtgärd. Krav på ett sådant samtycke finns exempelvis i bestämmelserna om sammanhållen journalföring i patientdatalagen. Artikel 89.1 i dataskyddsförordningen, som gäller skyddsåtgärder och undantag för behandling specifikt för bland annat vetenskapliga eller historiska forskningsändamål, preciserar de mer allmänna bestämmelserna om skyddsåtgärder som nämnts ovan, bland annat genom att ange att den personuppgiftsansvarige i första hand ska överväga om det är möjligt att behandla sådana uppgifter som inte medger identifiering av de registrerade. Detta kan dock anses följa redan av den grundläggande principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen samt de allmänna bestämmelserna om säkerhet. 45Benämningen skyddsåtgärder förordas framför säkerhetsåtgärd, prop. 2017/18:171 s. 138. 46Pseudonymisering innebär att alla personuppgifter som kan identifiera en viss person ersätts med icke-identifierande information (se vidare definitionen i artikel 4.11 i dataskyddsförordningen. Liksom övriga nämnda principer och bestämmelser om skyddsåtgärder, är artikel 89.1 i förordningen direkt tillämplig. Utan att den personuppgiftsansvariges eget ansvar för att vidta lämpliga åtgärder för den skull upphör kan nationella bestämmelser fastställas med stöd av artikel 89.1. Också bestämmelserna i artikel 6.2 och 6.3 möjliggör nationell reglering för anpassad tillämpning av den rättsliga grunden nödvändig behandling för att utföra en uppgift av allmänt intresse (artikel 6.1 e). I ett tidigare lagstiftningsärende har regeringen uttalat att bestämmelser om åtgärder eller skyddsåtgärder som finns i registerförfattningar, såsom patientdatalagen, är sådana mer specifika, eller särskilda, bestämmelser som det enligt artikel 6.2 och 6.3 i dataskyddsförordningen är tillåtet att ha i nationell rätt för att reglera behandling som grundar sig på bland annat en arbetsuppgift av allmänt intresse (artikel 6.1 e).47 Det kan också vara sådana åtgärder som är nödvändiga att fastställa enligt till exempel artikel 9 i förordningen. 5.8.3Patientdatalagen innehåller nödvändiga skyddsåtgärder Patientdatalagen innehåller ett antal bestämmelser som föreskriver skyddsåtgärder och begränsningar av behandling av personuppgifter till skydd för de registrerade. Dessa utgörs av såväl tekniska och organisatoriska skyddsåtgärder som mer rättsligt orienterade åtgärder såsom sekretessregler. Flertalet bestämmelser med skyddsåtgärder och andra begränsningar i personuppgiftsbehandling är generella, medan andra gäller specifikt för en viss behandling eller verksamhet. Exempel på det senare är lagens bestämmelser om den registrerades möjlighet att motsätta sig behandling, bland annat när det gäller regleringen om sammanhållen journalföring i 6 kap. patientdatalagen. Inledningsvis kan nämnas att personuppgifter ska utformas och i övrigt behandlas så att patienters och övriga registrerades integritet respekteras.