sou · H8B353 · 2020-09-02 00:00:00 — 2007/08:126 s. 203– 205. lingen är nödvändig för att utföra en uppgift av allmänt intresse som följer av unionsrätt eller medlemsstaternas nationella lagstiftning. I avses med lagstiftning bestämmelser i lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning (2 kap. 2 § dataskyddslagen). Formuleringen omfattar även uppgifter som med stöd av kommunallagen har getts till kommunala myndigheter och kommunala bolag genom beslut i fullmäktige. Vilken grad av tydlighet och precision som krävs i fråga om den rättsliga grunden för att en viss behandling av personuppgifter ska anses vara nödvändig får bedömas från fall till fall, utifrån behandlingens och verksamhetens karaktär. Behandling av känsliga personuppgifter inom hälso- och sjukvården kräver att den rättsliga grunden är mer preciserad än vad som kan anses vara behövligt när behandling av personuppgifter inte utgör någon egentlig kränkning av den personliga integriteten.27 På hälso- och sjukvårdsområdet och folkhälsoområdet har regeringen i tidigare lagstiftningsärende bedömt att bestämmelser hälso- och sjukvårdslagen (med särskilt omnämnande av 18 kap. 2 §) uppfyller dataskyddsförordningens krav på att en reglering ska vara tydlig, precis och förutsägbar för att en uppgift av allmänt intresse ska vara fastställd i nationell rätt (se skäl 41). Det anfördes vidare att forskning hör till området där regioner (då benämnda landsting) och kommuner kan göra frivilliga åtaganden inom ramen för sin befogenhet.28 Hälso- och sjukvårdslagen gäller, som framgått, dels för samtliga vårdgivare, dels för regioner och kommuner som huvudmän. Med huvudman avses den region eller den kommun som enligt lagen ansvarar för att erbjuda hälso- och sjukvård. Inom en huvudmans geografiska område kan en eller flera vårdgivare bedriva verksamhet (2 kap. 2 § hälso- och sjukvårdslagen). Med vårdgivare avses, som nämnts, statlig myndighet, region, kommun, annan juridisk person eller enskild näringsidkare som bedriver hälso- och sjukvårdsverksamhet (2 kap. 3 § hälso- och sjukvårdslagen). En huvudman som bedriver hälso- och sjukvårdsverksamhet i egen regi träffas också av definitionen för vårdgivare, och därmed även bestämmelser som gäller för vårdgivare. På grund av avmonopolisering och konkurrensutsättning av offentlig verksamhet i utför också privaträttsliga organ allt 2017/18:105 s. 51. 2017/18:298 s. 49. oftare uppgifter som är av allmänt intresse. Det gäller inte minst hälso- och sjukvård. De uppgifter av allmänt intresse som utförs i syfte att utföra ett uttryckligt uppdrag, eller till följd av ett åliggande, anses vara av denna karaktär oavsett om de faktiskt utförs i myndighetens egen regi, eller om de genom utkontraktering eller entreprenad utförs av någon annan. När en juridisk eller fysisk person, på uppdrag av en eller statlig myndighet, utför en förvaltningsuppgift som åligger kommunen eller myndigheten, bör alltså även den privata utföraren, entreprenören eller det kommunala bolaget anses utföra en uppgift av allmänt intresse. Ett privaträttsligt organ som fullgör ett uppdrag från en myndighet som avser en sådan uppgift som är fastställd i författning, regeringsbeslut eller kommunalt beslut i fullmäktige kan därför vidta nödvändiga behandlingsåtgärder på samma rättsliga grund som om myndigheten själv utfört uppgiften, det vill säga med stöd av artikel 6.1 e i dataskyddsförordningen.29 Sammanfattningsvis kan konstateras att det finns en författningsreglerad uppgift av allmänt intresse som i dataskyddsförordningens mening kan utgöra en rättslig grund för sådan personuppgiftsbehandling som utförs i syfte att beräkna antalet personer som potentiellt kan ingå i forskning inom hälso- och sjukvården. Kravet på att sådan nationell reglering ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas (artikel 6 andra stycket i tredje punkten i dataskyddsförordningen) får anses vara uppfyllt.30 Den i 18 kap. 2 § hälso- och sjukvårdslagen fastställda uppgiften att bland annat medverka i planering och genomförande av forskning kan dock användas som stöd för personuppgiftsbehandling vid antalsberäkning bara om regioner och kommuner också är vårdgivare eller om verksamheten bedrivs på uppdrag av regioner och kommuner. Det som avses med vårdgivare i hälso- och sjukvårdslagen överensstämmer i sak med samma begrepp i 1 kap. 3 § patientdatalagen se också 2 kap. 6 § och, i förhållande till nationella och regionala kvalitetsregister samma lag, 7 kap. 7 §. Vårdgivare enligt både hälso- och sjukvårdslagen och patientdatalagen kan, vid sidan av offentliga, också en annan juridisk person eller enskild näringsidkare vara. För sådana, privata vårdgivare, vars hälso- och sjukvårdsverksamheten saknar koppling till statliga myn- 2017/18:298 s. 36. 2017/18:105 s. 50. digheter, regioner eller kommuner kan bestämmelsen i 18 kap. 2 § däremot inte åberopas som en sådan fastställd grund som förutsätts för tillämpning av artikel 6.1 e i dataskyddslagen. Som anförts i det föregående avsnittet finns då möjlighet att stödja personuppgiftbehandlingen på den rättsliga grunden intresseavvägning (se dock följande avsnitt om förutsättningar för att behandla känsliga personuppgifter). 5.6Tillåten behandling av känsliga personuppgifter Bedömning: Med beaktande av antalsberäkningens syfte och med hänsyn till den breda definitionen av begreppet folkhälsa kan det antas att sådan behandling av känsliga personuppgifter som sker för antalsberäkning kan utföras med stöd av folkhälsoundantaget i dataskyddsförordningen (artikel 9.2 i). Behandlingen kan också antas omfattas av förordningens undantag för forskningsändamål (artikel 9.2 j). Undantagen kan dock tillämpas bara av offentliga vårdgivare och av sådana privata vårdgivare som bedriver hälso- och sjukvårdsverksamhet på uppdrag av regioner och kommuner. För vårdgivare som saknar koppling till offentlig hälso- och sjukvårdsverksamhet finns inte något tillämpligt undantag i dataskyddsförordningen för behandling av känsliga personuppgifter för antalsberäkning. Behandling av känsliga personuppgifter får ske endast under de förutsättningar som anges i dataskyddsförordningen. Enligt huvudregeln i dataskyddsförordningen är behandling av känsliga personuppgifter förbjuden (artikel 9.1). Huvudregeln kompletteras dock av ett antal undantag i en uttömmande uppräkning (artikel 9.2). Det är inte tillåtet för medlemsstaterna att föreskriva ytterligare undantag från förbudet. Däremot får medlemsstaterna behålla eller införa mer specifika bestämmelser i fråga om behandling som sker med stöd av artikel 6.1 c (rättslig förpliktelse) och e (uppgift av allmänt intresse eller led i myndighetsutövning), även när det gäller känsliga personuppgifter (artikel 6.2 och skäl 10). Vissa av undantagen i artikel 9.2 innehåller också uttryckliga hänvisningar till och krav på innehållet i unionsrätten och medlemsstaternas nationella Detta gäller bland annat bestämmelserna i artikel (viktigt allmänt intresse), h (hälso- och sjukvård m.m.), i (folkhälsa) och j (arkiv, forskning och statistik) samt artikel 9.3. Som redan framgått innehåller patientdatalagen bland annat bestämmelser om för vilka ändamål personuppgifter får behandlas inom hälso- och sjukvården och i nationella och regionala kvalitetsregister. Enligt lagen anses den behandling av känsliga personuppgifter som omfattas av lagens tillämpningsområde ha stöd i dataskyddsförordningen.31 Detta kommer till uttryck i bestämmelsen i 2 kap. 7 a § patientdatalagen, som hänvisar till artikel 9.2 h i förordningen. Detta undantag avser behandling av känsliga personuppgifter som är nödvändig av skäl som hör samman med förebyggande hälso- och sjukvård och yrkesmedicin, bedömningen av en arbetstagares arbetskapacitet, medicinska diagnoser, tillhandahållande av hälso- och sjukvård, behandling, social omsorg eller förvaltning av hälso- och sjukvårdstjänster och social omsorg och av deras system.32 De uppräknade verksamheterna ska utföras på grundval av unionsrätten, medlemsstaternas nationella lagstiftning eller enligt avtal med yrkesverksamma på hälsoområdet. En ytterligare förutsättning enligt artikel 9.2. h, som måste vara uppfylld för att undantaget ska vara tillämpligt, är att känsliga personuppgifter får behandlas bara av eller under ansvar av den som omfattas av tystnadsplikt. Bestämmelsen i 2 kap. 7 a § patientdatalagen utgör en påminnelse om detta. Motsvarande bestämmelse för nationella och regionala kvalitetsregister finns i 7 kap. 8 § fjärde stycket patientdatalagen. Det har visserligen ansetts vara rimligt att även aktiviteter med bäring på hälso- och sjukvård utanför det primära vårdområdet kan inbegripas i hälso- och sjukvårdsundantaget.33 När det gäller behandling av känsliga personuppgifter som är aktuell för antalsberäkning finns dock anledning att överväga om sådan behandling kan vara tillåten med tillämpning av dataskyddsförordningens övriga undantag. De som, vid sidan av hälso- och sjukvårdsundantaget, skulle kunna vara aktuella är undantagen i 2017/18:171 s. 99–106. 32Innebörden av kravet på att behandlingen ska vara nödvändig är densamma i artikel 9 som i artikel 6, se prop. 2017/18:105 s. 75 f. 2005/06:70 s. 144. –Artikel 9.2 i, som tar sikte på behandling av känsliga personuppgifter som är nödvändig av skäl av allmänt intresse på folkhälsoområdet, och –Artikel 9.2. j, avseende behandling som är nödvändig för bland annat forskningsändamål. Iartikel 9.2 i, folkhälsoundantaget, finns en exemplifierande uppräkning. Av uppräkningen följer att folkhälsoundantaget omfattar behovet av att säkerställa ett skydd mot allvarliga gränsöverskridande hot mot hälsan eller säkerställa höga kvalitets- och säkerhetsnormer för vård och läkemedel eller medicintekniska produkter. I skäl 54 till dataskyddsförordningen anges att termen folkhälsa bör tolkas i enlighet med förordning (EG) nr 1338/2008 om gemenskapsstatistik om folkhälsa och hälsa och säkerhet i arbetet. 34 Den definition som anges där är mycket vid och omfattar alla aspekter som rör hälsosituationen, det vill säga allmänhetens hälsotillstånd, inbegripet sjuklighet och funktionshinder, hälsans bestämningsfaktorer, hälso- och sjukvårdsbehov, resurser inom hälso- och sjukvården, tillhandahållande av och allmän tillgång till hälso- och sjukvård, utgifter för och finansiering av hälso- och sjukvården samt dödsorsaker. Folkhälsoundantaget saknade motsvarighet i dataskyddsdirektivet, varför behandling av känsliga personuppgifter på folkhälsoområdet tidigare fick ske med stöd av bestämmelser som grundades på till exempel hälso- och sjukvårdsundantaget (artikel 8.3 i dataskyddsdirektivet).35 För att undantaget ska kunna tillämpas måste den personuppgiftsansvarige ha stöd i unionsrätten eller i nationell rätt för att utföra en uppgift på folkhälsoområdet. Dessutom måste lämpliga och specifika åtgärder för att skydda den registrerades rättigheter och friheter vara fastställda, särskilt tystnadsplikt, i berörd rättsordning. I likhet med artikel 6, om rättsliga grunder för personuppgiftsbehandling, är det arbetsuppgiften som behandlingen är nödvändig för, som måste ha stöd i rättsordningen, inte personuppgiftsbehandlingen i sig (se avsnitt 5.4). Denna förutsättning är uppfylld så snart verksamheten bedrivs i enlighet med verksamhetslagstiftningen på 34Europaparlamentets och rådets förordning (EG) nr 1338/2008 av om gemenskapsstatistik om folkhälsa och hälsa och säkerhet i arbetet. 2017/18:171 s. 107. de aktuella områdena, exempelvis hälso- och sjukvårdslagen, socialtjänstlagen (2001:453) och andra relevanta författningar.36 Det är i dessa författningar som den personuppgiftsansvarige finner den rättsliga grunden för att överhuvudtaget få behandla personuppgifter (utan den registrerades samtycke). Till skillnad från hälso- och sjukvårdsundantaget (artikel 9.2 h) har det inte ansetts vara behövligt att införa ett generellt folkhälsoundantag eller ytterligare bestämmelser i registerförfattningar som tillåter behandling av känsliga personuppgifter med stöd av artikel 9.2 i.37 Regeringen har i tidigare lagstiftningsärenden bedömt att förutsättningarna för att behandling ska få ske enligt folkhälsoundantaget är uppfyllda, om de känsliga personuppgifterna är sekretessreglerade i den aktuella verksamheten. Om sekretessreglering saknas kan det däremot inte tas för givet att dataskyddsförordningens krav på lämpliga och specifika åtgärder för att skydda den registrerades rättigheter och friheter är uppfyllda.38 Till exempel regleras sekretess inom hälso- och sjukvården liksom vid åtgärder mot smittsamma sjukdomar i 25 kap. offentlighets- och sekretesslagen, samt i 21 kap. 1 § samma lag. Dataskyddsförordningen ger också en explicit möjlighet till behandling av känsliga personuppgifter för bland annat forskningsändamål. Undantaget i artikel 9.2 j i dataskyddsförordningen tillåter sådan behandling, om den är nödvändig för forskningsändamål i enlighet med artikel 89.1, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. I likhet med förbudet är undantaget direkt tilllämpligt genom förordningen och kräver alltså inga åtgärder av medlemsstaterna. En förutsättning är dock att nationell rätt innehåller bestämmelser om skyddsåtgärder. Detta följer av hänvisningen till artikel 89.1 i dataskyddsförordningen (se även skäl 52). Personuppgiftsbehandling för bland annat forskningsändamål ska omfattas av lämpliga skyddsåtgärder för den registrerades rättigheter och friheter. Skyddsåtgärderna ska säkerställa att tekniska och organisa- 2017/18:105 s. 94. 2017/18:105 s. 95 f. 2017/18:105 s. 96. toriska åtgärder har införts för att se till att särskilt principen om uppgiftsminimering iakttas (se vidare avsnitt 5.8). Enligt vad som anförts i det föregående kan personuppgiftsbehandling för antalsberäkning anses vara nödvändig för att utföra en uppgift av allmänt intresse (avsnitt 5.5.2). Antalsberäkning bedöms vara en del av den i hälso- och sjukvårdslagen fastställda uppgiften att medverka bland annat vid planering av kliniskt forskningsarbete på hälso- och sjukvårdens område, dels folkhälsovetenskapligt forskningsarbete (18 kap. 2 §). Denna uppgift har offentliga vårdgivare, liksom andra vårdgivare som driver hälso- och sjukvårdsverksamhet på uppdrag av regioner och kommuner. Mot bakgrund av antalsberäkningens syfte och med hänsyn till den breda definitionen av begreppet folkhälsa kan det antas att personuppgiftsbehandling för antalsberäkning omfattas av folkhälsoundantaget. Behandlingen kan också antas omfattas av undantaget för forskningsändamål. De olika undantagen förutsätter att det finns fastställda lämpliga och specifika åtgärder som skyddar den registrerades grundläggande intressen, rättigheter och friheter samt, såvitt gäller folkhälsoundantaget, säkerställer att det råder tystnadsplikt. Skyddsåtgärder behandlas i avsnitt 5.8. För privata vårdgivare helt utan koppling till offentligrättslig hälso- och sjukvårdsverksamhet är nämnda undantag inte tillämpliga. För sådana vårdgivare finns ingen koppling till bestämmelsen i 18 kap. 2 § hälso- och sjukvårdslagen. Inte heller finns det någon generell bestämmelse som möjliggör för privata aktörer att åberopa uppgift av allmänt intresse som rättslig grund för behandling av personuppgifter för exempelvis forskningsändamål.39 Som nämndes inledningsvis i detta avsnitt har i annat lagstiftningsärende aktiviteter med bäring på hälso- och sjukvård utanför det primära vårdområdet ansetts kunna inbegripas i hälso- och sjukvårdsundantaget. Det rörde viss behandling av känsliga personuppgifter i syfte att fullgöra uppgifter med anknytning till säkerhetsövervakning enligt den tidigare gällande läkemedelslagen (1992:859). Med hänsyn främst till det bakomliggande syftet med och utförandet av arbetsuppgifterna kunde det hävdas att personuppgiftsbehandling föll in under det motsvarande hälso- och sjukvårdsundantaget i dataskyddsdirektivet som var genomfört i 18 kap. i den då gällande personuppgiftslagen (1998:204). Det får dock anses vara tveksamt om 2017/18:298 s. 43 och 59–56. hälso- och sjukvårdsundantaget (artikel 9.2 h) skulle kunna tillämpas vid personuppgiftsbehandling för antalsberäkning. Eftersom samtyckesundantaget (artikel 9.2 a) inte kan anses tilllämpligt med hänsyn till att personuppgifterna insamlats och registrerats i en vårdsituation (se avsnitt 5.5.2), och övriga, icke behandlade undantag enligt artikel 9.2 (led b–g) inte är relevanta för personuppgiftsbehandling för antalsberäkning, råder förbud att behandla personuppgifter för antalsberäkning för privata vårdgivare utan koppling till offentligrättslig hälso- och sjukvårdsverksamhet. 5.7Personuppgiftsbehandling för antalsberäkning bör utgöra ett i lag fastställt ändamål Förslag: I patientdatalagen införs nya bestämmelser som tillåter att personuppgifter behandlas för att beräkna hur många personer som genom att uppfylla på förväg uppställda kriterier kan ingå i forskning inom hälso- och sjukvården. Till följd av de nya bestämmelserna görs ett tillägg i lagens tillämpningsparagraf så att tillämpningsområdet omfattar också personuppgiftsbehandling för att utföra antalsberäkningar. Dessutom införs en definition av termen antalsberäkning i bestämmelsen med vissa definitioner av uttryck som används i lagen, samt görs justeringar av vissa paragrafhänvisningar. Personuppgiftsbehandling för ändamålet att beräkna hur många personer som potentiellt kan ingå i en studie inom klinisk forskning inom hälso- och sjukvården får anses vara nödvändig för att utföra en uppgift av allmänt intresse enligt artikel 6.1 e i dataskyddsförordningen (se avsnitten 5.5.2 och 5.5.3). Dataskyddsförordningen uppställer inte något krav på att ändamålet för behandlingen som sådant ska vara fastställt i författning. Men det finns inte heller något som hindrar att detta görs, förutsatt att en sådan bestämmelse eller författning uppfyller ett mål av allmänt intresse och är proportionell mot det legitima mål som eftersträvas (artikel 6.3 andra stycket). Oberoende av om ett ändamål fastställts i en specifik bestämmelse eller författning, är det dock alltid den personuppgiftsansvarige som ansvarar för, och ska kunna visa att, principerna i artikel 5 efterlevs (artikel 5.2). Personuppgiftsansvariga ska också genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen utförs i enlighet med dataskyddsförordningen, samt säkerställa en lämplig säkerhetsnivå (se avsnitt 5.8). I de flesta fall följer skyldigheterna direkt av förordningen. Beträffande skyddsåtgärder ges i förordningen ett visst utrymme för, eller förutsätter till och med krav på, unionsrättslig eller nationell reglering av skyddsåtgärder, såsom i artikel 9.2. j. Även artikel 89.1 kan utgöra stöd för den nationella lagstiftaren att närmare reglera lämpliga skyddsåtgärder (jfr skäl 156). När det gäller behandling av personuppgifter inom hälso- och sjukvården finns nationella bestämmelser, främst i patientdatalagen, som uttryckligen anger för vilka ändamål personuppgifter får behandlas samt under vilka övriga förutsättningar det får ske. Som tidigare angetts utgör patientdatalagen en kompletterande reglering till dataskyddsförordningen. Lagen innehåller de särbestämmelser och förtydliganden som det bedömts föreligga behov av för vårdgivare för att kunna behandla personuppgifter inom hälso- och sjukvården. Primärt gäller dock dataskyddsförordningen. I patientdatalagen finns bland annat bestämmelser om för vilka ändamål personuppgifter får behandlas inom hälso- och sjukvården och i nationella och regionala kvalitetsregister. I patientdatalagen finns också bestämmelser om skyldigheten att föra patientjournal (3 kap.). Vid sidan av det primära syftet – att bidra till en god och säker vård av patienterna – är patientjournalen en informationskälla för patienten, för uppföljning och utveckling av verksamheten, för tillsyn och rättsliga krav, för uppgiftsskyldighet enligt lag samt för forskning (3 kap. 2 §). Patientdatalagen specificerar inte närmare vilka personuppgifter eller personuppgiftskategorier som får behandlas. I stället är det bestämmelserna om ändamålsbestämningar som styr över vilka personuppgifter som är nödvändiga att behandla. Detta gäller även för sådana personuppgiftskategorier som särregleras i dataskyddsförordningen, till exempel känsliga personuppgifter (artikel 9.1) och personnummer (artikel 87). Enligt 2 kap. 4 § första stycket i lagen får personuppgifter behandlas inom hälso- och sjukvården om det behövs för 1.att fullgöra de skyldigheter som anges i 3 kap. och upprätta annan dokumentation som behövs i och för vården av patienter, 2.administration som rör patienter och som syftar till att ge vård i enskilda fall eller som annars föranleds av vård i enskilda fall, 3.att utföra viss personuppgiftsbehandling för att fullgöra författningsreglerad uppgiftsskyldighet till andra myndigheter, 4.att bedriva kvalitetssäkring och kvalitetsutveckling av den egna verksamheten, 5.att administrera, planera, följa upp, utvärdera och utöva tillsyn av den egna verksamheten på olika nivåer, och 6.att framställa statistik som inte utan vidare kan hänföras till något annat ändamål, exempelvis när statistik tas fram för att informera befolkningen om hälso- och sjukvårdsverksamheten. Ändamålet i punkten 1 (vårddokumentation) behandlar dokumentation i samband med eller i anledning av individuell vård och behandling av en patient. utgör dokumentationen journalhandlingar i patientjournalen, men en del personuppgifter behandlas helt separat från den ordinära journalföringen, till exempel vid medicinska serviceenheter. Även sådan dokumentation som faller vid sidan av skyldigheten att föra journal omfattas dock av ändamålet som rör den individinriktade patientverksamheten alldeles oavsett dess formella status. Därför avses med detta ändamål inte bara själva insamlingen och registreringen av personuppgifterna utan även senare användning av de registrerade uppgifterna i den omfattning som behövs för vård och administration av patienter. Ändamålet i punkten 2 tar också sikte på den individbaserade patientvården. En viktig bas i denna informationshantering är patientjournalhanteringen och den administration av patientvården som behövs. Med administration avses såväl patientrelaterad ekonomiadministration som annan administration som behövs för eller för- anleds av vård i enskilda fall, till exempel uppgift om patientavgifter och takbelopp. Även dessa uppgifter utgör vårddokumentation. Det finns flera olika författningar som föreskriver att hälso- och sjukvården ska lämna ut uppgifter till olika myndigheter. I allmänhet är det fråga om utlämnande av uppgifter som primärt samlats in som vårddokumentation. Punkten 3 tillåter vårdgivare att utföra viss nödvändig behandling av personuppgifter där dokumentationen måste utformas utifrån hur uppgiftsskyldigheten ska fullgöras och där man inte kan tala om en ren “återanvändning” av för andra ändamål redan insamlade personuppgifter, till exempel uppgiftsskyldighet enligt 14 kap. 1 § socialtjänstlagen. Punkten 4 möjliggör för vårdgivare inom hälso- och sjukvården att bygga system för att kunna fullgöra sitt författningsreglerade krav att bedriva såväl kvalitetssäkring som kvalitetsutveckling (5 kap. 4 § hälso- och sjukvårdslagen). Det saknar betydelse om uppgifterna som behandlas för detta ändamål först registrerats för det primära ändamålet vårddokumentation, eller samlats in enbart för det särskilda syftet kvalitetssäkring.