sou · H8B353 · 2020-09-02 00:00:00 — till att den som är sjuk blir frisk och minska risken för att den som är frisk får problem med sin hälsa . Att har en stark internationell konkurrenskraft är dessutom värdefullt ur ett samhällsekonomiskt perspektiv.10 4.3.1Många olika intressenter berörs av antalsberäkning Flera intressenter berörs av personuppgiftsbehandling vid antalsberäkning, se sammanställning i tabell 4.1. En av de centrala intressenterna är den som uppfyller kriterierna för att ingå i en studie och träffas av antalsberäkningen. Även den som inom ramen för sin anställning inom hälso- och sjukvården har i uppgift att genomföra antalsberäkningen berörs, samt den som är personuppgiftsansvarig. Ytterligare intressenter är vårdgivaren, regionen och forskningshuvudmannen11. Därtill berörs som nation samt medborgare i och globalt, särskilt den som har ett visst medicinskt tillstånd, som riskerar att drabbas av det eller är anhörig. Ömsesidig förståelse kan skapas genom att involvera intressenterna i processen med att utarbeta ett förslag till ändrat regelverk för antalsberäkning, och då vara noga med att så många röster som möjligt kommer till tals och att olika perspektiv belyses. Dessutom behövs ett gott informations- och kommunikationsarbete då en eventuell förändring av regelverket kommer till stånd. 10Internationell attraktivitet och konkurrenskraft är ett av de områden som lyfts fram som särskilt angelägna av regeringen. En nationell strategi för life science, (2019). 11Den som efterfrågar antalsberäkning, till exempel forskare vid ett lärosäte, forskare inom hälso- och sjukvården eller ett företag. Problem och allmänna överväganden Tabell 4.1 Intressenter som berörs vid antalsberäkning Exempel på maktresurser, eller brist på sådana resurser Brist på maktresurser: Beroende av hälso- och sjukvården Brist på maktresurser: Kan inte avstå att utföra uppgift inom Maktresurser: Möjlighet att stoppa icke korrekt person- Maktresurser: Ansvar för rutiner för hantering av person- uppgifter inom vårdgivarens verksamhet. prioritering av hälso- och sjukvård Maktresurser: Fördelning och prioritering av finansiering och strukturella resurser till hälso- och sjukvård inom regionen. Möjlighet att göra hanteringsordning för hur antalsberäkning praktiskt och administrativt ska göras inom regionen Maktresurser: Initierar och driver en fråga om antals- beräkning i förberedande steg inför klinisk forskning Brist på maktresurser: Beroende av att få uppgift om antal från hälso- och sjukvården i det specifika ärendet Maktresurser: Lagstiftning. Fördelning och prioritering av finansiering och strukturella resurser till hälso- och sjuk- Maktresurser: Kan rösta i allmänna val för att välja politiska företrädare i region och riksdag Källa: Tabellen har upprättats av kansliet som ett stöd för att fundera kring hur intressenter kan påverkas. 4.3.2Värdet av integritet, men också av kunskap som följer av forskning En rad olika värden behöver beaktas. Ett av de mest uppenbara är värdet av att värna integriteten hos den vars personuppgifter behandlas. Det finns flera texter som förklarar hur integritet kan definieras och förstås i ett etiskt perspektiv.12 Integritet kan ses som en och villkorslös egenskap som är knuten till varje människas egenvärde. En människa har rätt till sin integritet, även om hen inte själv förmår hävda denna rätt. Samhället har ett ansvar att säkerställa att respekten upprätthålls, till exempel genom att se till att det finns 12Se till exempel (2018). Fjärde omarbetade upplagan. Problem och allmänna överväganden regelverk som ser till att den enskildes integritet har ett tillräckligt skydd. Till den personliga integriteten hör möjligheten att råda över information som rör en själv och att slippa oönskade intrång i den personliga sfären. Andra värden som rör den vars personuppgifter behandlas är autonomi (till exempel möjlighet till valet att inte ingå i antalsberäkningen) och människovärde (till exempel att inte bli reducerad till en siffra i ett antal). När det gäller autonomi går det att se en principiell skillnad för den enskilde i de fall data hämtas från patientjournaler (det går inte att motsätta sig att patientjournal förs) i jämförelse med att data hämtas från kvalitetsregister (det är möjligt att välja att inte ingå i registret). I praktiken ser vi dock inte att det blir någon skillnad för den enskilde just när det gäller personuppgiftsbehandling vid antalsberäkning, oavsett vilken av dessa källor som uppgifter hämtas från. Skälet till detta är att personen, enligt vårt förslag, inte tillfrågas i samband med antalsberäkningen. Tekniska förutsättningar för åtkomst till personuppgifter och reglering av behörigheter för dem som ska utföra antalsberäkning säkerställer nödvändigt skydd mot risken för intrång i den personliga integriteten. Se vidare avsnitt 5.8 om skyddsåtgärder. Ytterligare en aspekt är ett intresse för den enskilde patienten att bidra till ny kunskap som kan bli till gagn för egen eller andra människors hälsa.13 För forskningshuvudmannen finns värdet av att i ett tidigt skede kunna göra en rimlig bedömning av om forskningen skulle vara möjlig att genomföra. Detta så att inte alltför mycket tid och resurser läggs på en forskningsidé som sedan inte kan genomföras för att det inte går att få tillräckligt många deltagare. Vårdgivaren och regionen har ett intresse av att i ett senare skede få möjlighet att delta i forskning och därmed ta del av kunskapsuppbyggnad inom ett område som är relevant. Relevansen följer av att det område där underlag för antalsberäkning efterfrågas är ett område där man bedriver verksamhet och har ansvar för patienter. Det finns också ett värde av att ha goda förutsättningar att handla på ett korrekt sätt. 13Se till exempel Forskningsöversikt 2019. Klinisk behandlingsforskning, VR1902, , samt Patientmedverkan och inflytande i hälso- och sjukvård. Fem fallstudier på nationell nivå, PM 2015:07, Tillväxtanalys. Problem och allmänna överväganden Slutligen finns ett värde av likabehandling och rättvisa. I detta sammanhang kan det ta sig uttryck i att det finns samma möjlighet att i ett senare skede delta i forskning, oavsett region och vårdgivare, och att behandling av personuppgifter görs på lika sätt i hela landet. 4.3.3Ställningstagande grundat på rättvisa och intresseavvägning Det skulle kunna finnas en intressekonflikt mellan värdet av att värna integriteten hos enskilda vid behandling av känsliga personuppgifter i förhållande till värdet av att ge uppgift om antal. I en bredare mening skulle man kunna se en konflikt mellan intressen hos den enskilda personen vars personuppgifter behandlas vid antalsberäkning och samhället i stort. En person kan behöva insatser från hälso- och sjukvården för att hantera sin sjukdom och hen har också behov av respekt för sin personliga integritet. Samhället har i sin tur behov av forskning som kan leda till kunskap och utveckling som gynnar människor . Vi föreslår i det här betänkandet att det uttryckligen ska framgå att det är ett tillåtet ändamål att behandla personuppgifter inom hälso- och sjukvården i syfte att göra antalsberäkning av möjliga deltagare för forskning. Avvägningen bakom förslagen är att vi menar att risken för den personliga integriteten står i proportion till värdet av att kunna genomföra antalsberäkning som ett förberedande steg inför klinisk forskning. Tabell 4.2 ger en sammanställning av de värden som kan stå på spel, samt en bedömning av effekter och långsiktiga konsekvenser för var och en av intressenterna. Vi ser rättvisa som den överordnade principen i motiveringen till vårt ställningstagande, i det att alla intressenter ska behandlas enligt likalydande regelverk oavsett vid vilken vårdgivare eller inom vilken region hälso- och sjukvården bedrivs. Genom att regleringen görs i lag gäller likalydande regelverk i hela landet. Vidare menar vi att värdet av att få god livskvalitet och hälsa för medborgarna samt hög internationell konkurrenskraft står i proportion mot risken för bristande integritet, autonomi eller respekt för människovärdet hos den enskilde. Ett skäl till detta är att riskerna för den enskilde bedöms vara små när antalsberäkningen görs i enlighet med vårt förslag, det vill säga ett förfarande där personuppgiftsbehandlingen görs helt och hållet inom hälso- och sjukvården, Problem och allmänna överväganden och enbart uppgift om antalet personer lämnas till forskningshuvudmannen. Vi menar att det finns en etisk aspekt av en tydlig rättslig grund för behandling av känsliga personuppgifter. För att undvika en glidning i användandet av antalsberäkning som ändamål är det viktigt med en tydlig definition av vad ändamålet antalsberäkning omfattar. Tabell 4.2 Värden på spel, samt effekterna för intressenterna Värden samt effekter på kort, respektive lång sikt Värden på spel: Integritet, autonomi, människovärde, rättvisa Effekt på kort sikt: Risk för brister i att värna integriteten, att reduceras till siffra i beräkning, att ej bli inkluderad (om man tillhör en liten grupp) samt för bristande autonomi Konsekvens på lång sikt: Bidrar till bättre diagnos och Värden på spel: Professionellt ansvar i sin yrkesroll Effekt : Trygghet i korrekt hantering Värden på spel: Ansvar för personuppgiftsbehandlingen Effekt : Trygghet i korrekt hantering Värden på spel: Rättvisa och likabehandling av patienter, arbetsgivaransvar, möjlighet att bidra till klinisk forskning Effekt på kort sikt: Trygghet i korrekt hantering Konsekvens på lång sikt: Kunskap inom relevant område samt starkare forskningsanknytning för klinisk verksamhet. blir förbigången då likalydande regelverk gäller Värden på spel: Effekt på kort sikt: Möjlighet att få uppgift om antal. Tydlighet ger möjlighet till snabbt besked Konsekvens på lång sikt: Goda möjligheter att planera klinisk Mindre risk för snedvridning av deltagare Värden på spel: Internationellt anseende samt konkurrens- kraft för forskning, innovation och näringsliv Effekt på kort sikt: Starkt anseende. väljer att lägga klinisk forskning i till följ d av snabba Konsekvens på lång sikt: God konkurrenskraft och möjlighet att sprida goda exempel internationellt. drabbas av ett medicinskt tillstånd har bättre möjlighet till adekvat diagnos och behandling Källa: Tabellen har upprättats av kansliet som ett stöd för att fundera kring hur intressenter kan påverkas. 5 Reglering av antalsberäkning 5.1Behov av tydligt lagstöd Vid sådan antalsberäkning som ryms inom ramarna för detta betänkande görs en sökning av uppgifter som redan finns inom hälso- och sjukvården. Uppgifter som behövs vid antalsberäkning är registrerade i patientjournaler eller kvalitetsregister, men den som gör beräkningen kan också behöva uppgifter som vårdgivaren har använt vid exempelvis administration, kvalitetssäkring, planering, uppföljning eller utvärdering av hälso- och sjukvårdsverksamheten. Antalsberäkning innebär inte något utlämnande av personuppgifter till frågeställaren. Som redan anförts utgör de beskrivna åtgärderna behandling av personuppgifter (se definitioner i avsnitt 2.5). Att få en uppfattning om storleken av underlaget är nödvändigt för att kunna ta ställning till huruvida det finns förutsättningar för att inleda klinisk forskning inom hälso- och sjukvården. Såvitt framkommit råder samstämmighet om beskrivningen av vad antalsberäkning är och dess betydelse för att genomföra klinisk forskning i . Också osäkerheten om befintligt lagstöd för den personuppgiftsbehandling som sker vid antalsberäkning, vilken framgår av de initiativ som tidigare tagits för att påtala och komma till rätta med den, har bekräftats av myndighetsrepresentanter och företrädare för akademin och intresseorganisationer, som vi haft kontakter med under arbetets gång. I det följande redovisar vi relevanta bestämmelser om integritets- och dataskydd samt hur personuppgiftsbehandlingen vid antalsberäkning förhåller sig till dessa regler. I avsnitten 5.7 och 5.8 redovisar vi våra förslag. EU:s dataskyddsförordning utgör grunden för den generella personuppgiftsbehandlingen inom EU. Förordningen syftar till att harmonisera skyddet av fysiska personers grundläggande rättigheter och friheter vid behandling av personuppgifter och att säkerställa det fria flödet av personuppgifter mellan medlemsstaterna. Skyddet för fysiska personer vid behandling av personuppgifter är en grundläggande rättighet. Detta följer av Europeiska unionens stadga om de grundläggande rättigheterna (2010/C 83/02). Uppgifter ska behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund. Vidare har var och en rätt att få tillgång till insamlade uppgifter som rör honom eller henne och att få rättelse av dem (se artiklarna 7 och 8). Också i fördraget om Europeiska unionens funktionssätt föreskrivs att var och en har rätt till skydd av de personuppgifter som rör honom eller henne (artikel 16.1). Regler om integritetsskydd i vidare bemärkelse finns i den av antagna allmänna förklaringen om de mänskliga rättigheterna (se främst artikel 12). Också i europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna, förkortad , finns bestämmelser till skydd för den enskildes rätt till respekt för privat- och familjelivet (artikel 8.1). Ytterligare en central konvention är konvention om skydd för enskilda vid automatisk databehandling av personuppgifter.1 Grundläggande nationella bestämmelser om skydd för den personliga integriteten finns i regeringsformen. Av 2 kap. 6 § andra stycket regeringsformen följer att var och en gentemot det allmänna är skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Skyddet får under vissa förutsättningar begränsas genom lag (2 kap. 20 §). En sådan begränsning får endast göras för att tillgodose ändamål som är godtagbara i 1I anslutning till dataskyddskonventionen finns ett antal antagna rekommendationer som syftar till att förtydliga bland annat vad som gäller för personuppgifter om hälsa (hälsouppgifter) enligt artikel 6 i dataskyddskonventionen (Recommendation No. R [97] 5 of to Member States on the protection of data). Rekommendationen är tillämplig på insamling och automatiserad behandling av hälsouppgifter. För en mer detaljerad genomgång såväl när det gäller internationell som nationell reglering, se exempelvis prop. 2017/18:171: s. 52–56. ett demokratiskt samhälle och aldrig gå utöver vad som är nödvändigt med hänsyn till ändamålet (2 kap. 21 §). 5.3Dataskyddsförordningen och nationell lagstiftning om skydd för personuppgifter Dataskyddsförordningen är direkt tillämplig på motsvarande sätt som en lag antagen av . Genom förordningsformen gäller reglerna på samma sätt i alla EU:s medlemsstater. I det följande redovisas vissa centrala bestämmelser i dataskyddsförordningen, men redan här kan nämnas att förordningen lämnar visst utrymme för kompletterande nationella bestämmelser med ytterligare krav eller undantag. De nationella bestämmelser som bedömts behövas i och som är av generell karaktär, i betydelsen att de rör hela samhället eller flertalet myndigheter, finns i lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning, benämnd dataskyddslagen. Dessutom finns flera sektorsspecifika författningar, ibland även kallade registerförfattningar, som tillåter viss behandling av känsliga personuppgifter hos myndigheterna.2 Exempel på sådana författningar är patientdatalagen, lagen (2002:297) om biobanker i hälso- och sjukvården m.m. (benämnd biobankslagen) och lagen (2018:1212) om nationell läkemedelslista. Lagarna kompletteras av förordningar samt i vissa fall av myndighetsföreskrifter. I patientdatalagen, liksom i många andra registerförfattningar, anges uttryckligen att lagen kompletterar dataskyddsförordningen (1 kap. 4 §). Det betyder att dataskyddsförordningens regler är det som den personuppgiftsansvarige primärt ska följa. Kompletterande bestämmelser, såsom dem i patientdatalagen, kan endast behållas eller införas om och på det sätt dataskyddsförordningen tillåter.3 2017/18:105 s. 84. 3För en närmare beskrivning av dataskyddsförordningen och hur dataskyddslagen och viss annan nationell lagstiftning förhåller sig till förordningen, hänvisas till propositionen Ny dataskyddslag med bakomliggande utredningsbetänkande, prop. 2017/18:105 respektive SOU 2017:39. 5.4Dataskyddsförordningens allmänna principer och krav på rättslig grund för behandling av personuppgifter All behandling av personuppgifter måste vara förenlig med de allmänna principer som räknas upp i artikel 5.1 i förordningen. Dessa principer måste iakttas för att behandlingen ska vara tillåten enligt förordningen. Principerna innebär bland annat att personuppgifter ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade (led a), att uppgifterna bara får samlas in för vissa särskilda och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål (led b), att de ska vara korrekta, adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (leden c och d), att de inte får förvaras i en form som möjliggör identifiering av den registrerade än vad som behövs (led e) och att de ska behandlas på ett sätt som säkerställer lämplig säkerhet (led f). Den personuppgiftsansvarige ska kunna visa att dessa principer efterlevs (artikel 5.2). Utöver dessa principer utgår förordningen från att varje behandling av personuppgifter ska vila på åtminstone en av de rättsliga grunder som uttömmande anges i artikel 6.1. Om ingen av dessa grunder är tillämplig, är personuppgiftsbehandlingen inte laglig och får därmed inte utföras. De rättsliga grunderna är i viss mån överlappande, och flera rättsliga grunder kan vara tillämpliga avseende en och samma behandling.4 Vid sidan av den registrerades samtycke till en viss personuppgiftsbehandling (artikel 6.1 a), är behandling av personuppgifter rättsligt grundad, om den är nödvändig för ett antal utpekade omständigheter eller åtgärder, nämligen att fullgöra ett avtal i vilket den registrerade är part (artikel 6.1 b), att fullgöra en rättslig förpliktelse som vilar på den som är personuppgiftsansvarig (artikel 6.1 c), att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan fysisk person (artikel 6.1 d), eller att utföra en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning (artikel 6.1 e). Slutligen kan behandling av personuppgifter ske med stöd av det som brukar benämnas intresseavvägning. För att behandla personuppgifter efter en intresseavvägning krävs att behandlingen är nödvändig för ett ändamål som rör ett berättigat intresse, 2017/18:105 s. 46–48. och att den registrerades intresse av skydd för sina personuppgifter inte väger tyngre (artikel 6.1 f). Enligt andra stycket i artikel 6.1 är det dock inte möjligt för myndigheter att stödja sig på denna grund. Den registrerade har rätt att när som helst, av skäl som hänför sig till hans eller hennes specifika situation, göra invändningar mot behandling av sina personuppgifter som sker med stöd av intresseavvägning (artikel 21. Den personuppgiftsansvarige får, efter sådan invändning, inte längre behandla personuppgifterna, såvida denne inte kan påvisa tvingande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter eller om det sker för fastställande, utövande eller försvar av rättsliga anspråk.5 När det gäller grunderna rättslig förpliktelse samt uppgift av allmänt intresse och myndighetsutövning uppställs krav på att de ska vara fastställda i unionsrätten eller den nationella rätten för att grunderna ska kunna användas som lagligt stöd för personuppgiftsbehandling (artikel 6.3 första stycket). I fråga om grunden rättslig förpliktelse ska dessutom syftet med behandlingen vara fastställt i den nationella rätten. Unionsrätten eller den nationella rätten som fastställer de rättsliga grunderna ska vidare uppfylla ett mål av allmänt intresse och vara proportionerlig mot det legitima mål som eftersträvas (artikel 6.3 andra stycket). I skäl 41 anges att en rättslig grund bör vara tydlig och precis och att dess tillämpning bör vara förutsägbar för personer som omfattas av den. I propositionen som ligger till grund för dataskyddslagen har regeringen med hänvisning till legalitetsprincipen (1 kap. 1 § regeringsformen) konstaterat att myndigheternas maktutövning i vidsträckt mening, även i den mån denna förutsätter behandling av personuppgifter, förutsätter stöd i någon av de källor som tillsammans bildar rättsordningen. Det uttalades att det inte torde finnas någon offentlig verksamhet i av vikt för samhällets funktioner som saknar stöd i författning eller beslut som har meddelats i enlighet med regeringsformens bestämmelser, och verksamhet som sker som ett led i myndighetsutövning får därmed anses vara fastställd på det sätt som dataskyddsförordningen kräver. Myndigheters uppdrag enligt deras instruktion eller i regleringsbrev till myndigheterna kan också, i vissa fall, utgöra en i enlighet med nationell rätt fastställd 5Den registrerades rättighet enligt artikel 21 gäller också i fråga om den rättsliga grunden utförande av arbetsuppgift av allmänt intresse, eller som ett led i myndighetsutövning (artikel 6.1 e). rättslig förpliktelse i dataskyddsförordningens mening. Regeringen anförde vidare att alla uppgifter som riksdag eller regering gett i uppdrag åt statliga myndigheter att utföra är av allmänt intresse, i annat fall skulle myndigheterna inte ålagts att utföra dem. På motsvarande sätt är de obligatoriska uppgifter som ålagts kommuner och regioner att utföra av allmänt intresse. Detta ansågs gälla även i dataskyddsförordningens mening, eftersom det är upp till varje medlemsstat att fastställa de uppgifter som är av allmänt intresse. Den verksamhet som en statlig eller myndighet bedriver, inom ramen för sin befogenhet, är också av allmänt intresse.6 De rättsliga grunderna samtycke, uppgift av allmänt intresse och intresseavvägning i relation till personuppgiftsbehandling vid antalsberäkning behandlas ytterligare i avsnitt 5.5.2. Dataskyddsförordningen både förutsätter och ger medlemsstaterna ett visst utrymme för att bibehålla eller införa bestämmelser i nationell lagstiftning i syfte att anpassa tillämpningen av förordningen beträffande de rättsliga grunderna rättslig förpliktelse, uppgift av allmänt intresse och myndighetsutövning. Även artikel 9 om känsliga personuppgifter ställer krav på unionsrättslig eller nationell reglering (se avsnitt 5.6). Om det inte säkerställs att det finns nationell lagstiftning där dataskyddsförordningen så kräver och behov finns, kan det leda till att samhällsviktiga behandlingar av personuppgifter kan komma att sakna rättsligt stöd. Detta gör sig särskilt gällande beträffande de verksamheter som hanterar känslig eller integritetskänslig information. På nationell nivå är det alltså möjligt att i dessa fall bestämma om särskilda krav som ska gälla för personuppgiftsbehandlingen. Som nämnts är bland annat patientdatalagen ett exempel på sådan kompletterande, nationell reglering (se vidare nedan). 5.5Rättslig grund för personuppgiftsbehandling vid antalsberäkning Bedömning: Den behandling av personuppgifter som sker vid antalsberäkning är tillåten enligt artikel 6.1 och 6.3 i dataskyddsförordningen. 2017/18:105, främst s. 50–63. 5.5.1En administrativ åtgärd för att utföra en uppgift av allmänt intresse Behandlingen av personuppgifter som sker vid antalsberäkning utgör en kombination av åtgärder (se avsnitt 3.5, tabell 3.3). Syftet är att tillgodose frågeställarens behov av att veta om det finns ett tillräckligt stort underlag för en framtida klinisk forskningsstudie.