prop · H803172 · 2021-04-19 00:00:00 — Enligt medför denna brist att det inte går att ta ställning till dels om personuppgiftsbehandlingen uppfyller kraven i och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upp- hävande av direktiv /46/EG (allmän dataskyddsförordning), nedan kallad EU:s dataskyddsförordning, dels om det behövs kompletterande nationell dataskyddslagstiftning. Myndigheten kan därför inte tillstyrka promemorian. pekar även på kravet på konsekvensbedömning i artikel 35 i EU:s dataskyddsförordning. Skälen för regeringens bedömning EU-förordningarna om medicintekniska produkter är s.k. produktlagstift- ningar som syftar till att säkerställa den inre marknaden men med en utgångspunkt i en hög hälsoskyddsnivå för patienter och användare. Hur medicintekniska produkter ska användas av hälso- och sjukvården eller andra användare regleras inte i EU-förordningarna utan av den lagstiftning som gäller för hälso- och sjukvårdsverksamhet eller annan verksamhet. I detta sammanhang kan nämnas att regeringen beslut- ade propositionen Lag om estetiska kirurgiska ingrepp och estetiska injek- tionsbehandlingar (prop. 2020/21:57). I den propositionen föreslås lagstöd 2020/21:172 för användning av vissa medicintekniska produkter som inte används för medicinska ändamål. I den propositionen behandlas också personuppgifts- behandlingen vid estetiska kirurgiska ingrepp och estetiska injektions- behandlingar. EU:s dataskyddsförordning är i alla delar bindande och direkt tillämplig i samtliga EU:s medlemsländer. Förordningen, som utgör den generella regleringen av personuppgiftsbehandling inom EU, tillåter och ibland för- utsätter att medlemsstaterna kompletterar förordningen med nationell lag- stiftning. För att personuppgiftsbehandling rörande medicintekniska pro- dukter ska vara tillåten måste den uppfylla de krav som ställs i data- skyddsregelverket. EU:s dataskyddsförordning är direkt tillämplig och kompletteras i av lagen (2018:218) med kompletterande bestäm- melser till EU:s dataskyddsförordning (dataskyddslagen). Enligt 1 kap. 6 § dataskyddslagen gäller att om en annan lag eller förordning innehåller någon bestämmelse som avviker från dataskyddslagen, ska den bestäm- melsen tillämpas. De verksamheter som hanterar medicintekniska produkter och andra produkter som omfattas av EU-förordningarna och de kompletterande lag- arna kommer att vara personuppgiftsansvariga för personuppgiftsbehandl- ingen och kommer i den egenskapen att behöva bevaka att den person- uppgiftsbehandling som sker är laglig och korrekt utifrån bestämmelserna i dataskyddsförordning och i nationell lag. För att personuppgiftsbehandling ska vara tillåten enligt EU:s data- skyddsförordning krävs att behandlingen omfattas av någon av de rättsliga grunder som anges i förordningen (artikel 6). En av de rättsliga grunderna är att personuppgiftsbehandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige (artikel 6.1 c). En annan av de rättsliga grunderna är att behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgifts- ansvariges myndighetsutövning (artikel 6.1 e). Grunden för behandlingen ska vara fastställd i enlighet med nationell rätt eller i unionsrätten, och syftet med behandlingen ska fastställas i den rättsliga grunden. Unionsrätten eller medlemsstaternas nationella rätt ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas (artikel 6.3). Utöver att laglig behandling av personuppgifter endast kan ske om be- handlingen är förenlig med något av de villkor som uppställs i artikel 6, måste all behandling även uppfylla förordningens principer om laglig be- handling enligt artikel 5, exempelvis att uppgifterna behandlas på ett korrekt och öppet sätt i förhållande till den registrerade samt att de samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. Av artikel 9.1 i EU:s dataskyddsförordning framgår att behandling av personuppgifter som avslöjar bl.a. uppgifter om hälsa ska vara förbjuden. Huvudregeln i artikel 9.1 i EU:s dataskyddsförordning kompletteras med ett antal undantag i artikel 9.2, som anger att förbudet i artikel 9.1 inte ska tillämpas i vissa fall. Tröskeln för att den personuppgiftsansvarige ska få behandla känsliga personuppgifter är således högre än den som gäller för behandling av personuppgifter som inte anses vara känsliga. I artikel 9.2 j finns ett undantag från förbudet mot behandling av känsliga personupp- gifter om behandlingen är nödvändig för bland annat forskningsändamål i enlighet med artikel 89.1. Ett annat undantag finns i artikel 9.2 i. Enligt den artikeln kan behandling ske om det är nödvändigt av allmänt intresse på folkhälsoområdet, såsom behovet av att säkerställa ett skydd mot all- varliga gränsöverskridande hot mot hälsan eller säkerställa höga kvalitets- och säkerhetsnormer för vård och läkemedel eller medicintekniska produkter. Enligt artikel 33 i MDR-förordningen och artikel 30 IVDR-förordningen ska kommissionen upprätta, underhålla och förvalta den Europeiska data- basen för medicintekniska produkter (Eudamed). I Eudamed ska följande elektroniska system ingå: a)Det elektroniska system för registrering av produkter som avses i artikel 29.4 i MDR-förordningen och 26 i IVDR-förordningen, b)den UDI-databas som avses i artikel 28 i MDR-förordningen och 25 IVDR-förordningen, c)det elektroniska system för registrering av ekonomiska aktörer som avses i artikel 30 i MDR-förordningen och 27 i IVDR-förordningen, d)det elektroniska system för anmälda organ och intyg som avses i artikel 57 i MDR-förordningen och 52 i IVDR-förordningen, e)det elektroniska system för kliniska prövningar som avses i artikel 73 iMDR-förordningen och 69 i IVDR-förordningen, f)det elektroniska system för säkerhetsövervakning och för övervakning av produkter som släppts ut på marknaden som avses i artikel 92 i MDR- förordningen och 87 i IVDR-förordningen, och g)det elektroniska system för marknadskontroll som avses i artikel 100 iMDR-förordningen och 95 i IVDR-förordningen. I artikel 33.4 i MDR-förordningen anges det att medlemsstaterna, de an- mälda organen, de ekonomiska aktörerna och sponsorerna ska lägga in data i Eudamed i enlighet med bestämmelserna i . Denna fråga tas upp i avsnittet under rubriken medicintekniska produkter. I artikel 33.7 i MDR-förordningen anges det att medlemsstaterna ska säkerställa att de registrerade effektivt kan utöva sina rättigheter i fråga om information, tillgång, korrigering och att göra invändningar i enlighet med direktiv /46/EG. De ska också säkerställa att de registrerade effektivt kan utöva rätten att få tillgång till uppgifter som gäller dem och rätten att få inkorrekta eller ofullständiga uppgifter korrigerade och raderade. Inom ramen för sina respektive skyldigheter ska kommissionen och medlems- staterna säkerställa att inkorrekta och olagligt behandlade uppgifter rader- as, i enlighet med tillämplig lagstiftning. Uppgifterna ska korrigeras eller raderas så fort som möjligt, dock senast efter att en registrerad har lämnat en begäran om detta. Direktiv /46/EG (dataskyddsdirektivet) ersattes av EU:s dataskyddsförordning. Av artikel 94.2 i EU:s dataskyddsförordning framgår att hänvisningar till dataskyddsdirek- tivet ska anses som hänvisningar till EU:s nya dataskyddsförordning. Där- med kommer hänvisningen till direktiv /46/EG i EU-förordningarna om 2020/21:172 medicintekniska produkter att vara en hänvisning till EU:s nya data- skyddsförordning. De uppgifter som en medlemsstat ska säkerställa enligt artikel 33.7 i MDR-förordningen är reglerade i EU:s dataskyddsförord- ning. I den EU-förordningen finns bestämmelser om den registrerades rätt- igheter. I artikel 12 anges det att den registrerade ska få klar och tydlig information om personuppgiftsbehandling och om de villkor som gäller för behandlingen (artikel 12). Den registrerade har enligt EU:s dataskydds- förordning rätt till rättelse och rätt till radering i vissa fall (artiklarna 16 och 17). Vidare har den registrerade rätt att kräva att personuppgiftsbe- handlingen begränsas (artikel 18). I EU-förordningen ges den registrerade även rätt att göra invändningar mot behandlingen av personuppgifter om honom eller henne (artikel 21). EU:s dataskyddsförordning är direkt tillämplig i . De krav som anges i artikel 33.7 i MDR-förordningen tillgodoses således genom de krav som uppställs i EU:s dataskyddsför- ordning. Av artikel 33.7 i MDR-förordningen framgår även att inkorrekta och olagligt behandlade uppgifter ska korrigeras eller raderas så fort som möjligt, dock senast efter det att en registrerad har lämnat en be- gäran om detta. I artiklarna 16 och 17 i EU:s dataskyddsförordning anges det i stället att rättelse eller radering ska göras utan onödigt dröjsmål. Av båda EU-förordningarna framgår att rättelse och radering ske så fort som möjligt eller utan dröjsmål. Att detta ska ske senast efter det att begäran har lämnats framgår av MDR-förordningen och får anses gälla som lex specialis i de fall rättelser eller raderingar ska ske i personuppgifts- behandling enligt MDR-förordningen. Vidare kan det noteras att det av artikel 33.9 i MDR-förordningen fram- går att kommissionen är, med avseende på sina skyldigheter i artikel 33 och behandlingen av personuppgifter i samband med dessa, ansvarig för Eudamed och dess elektroniska system. Mot denna bakgrund bedöms några bestämmelser med anledning av artikel 33.7 inte behövas. De reg- istrerade kan effektivt utöva sina rättigheter i fråga om information, till- gång, korrigering och att göra invändningar gällande personuppgifts- behandling. Tillhandahållande av medicintekniska produkter Enligt EU-förordningarna ska ekonomiska aktörer lämna uppgifter om de produkter som de tillverkar, importerar och tillhandahåller till behöriga myndigheter och till Eudamed. De personuppgifter som kan förekomma är namn på den ekonomiska aktören eller kontaktpersoner för den ekonom- iska aktören. Dessa uppgifter kommer således att behandlas av svenska myndigheter, främst . I avsnitt 9.12 införs en skyldighet för ekonomiska aktörer att registrera sin verksamhet. De ska lämna uppgifter om sin produkt och sin verksamhet till de myndigheter som utsetts av regeringen. Även den som reprocessar eller återanvänder engångsprodukter i ska lämna uppgifter om sin verksamhet och sina produkter till myndigheter som regeringen utser. Hos myndigheterna kommer uppgifterna att utgöra ett register över de ekonom- iska aktörerna och den som reprocessar eller återanvänder produkter. I registren kommer det att finnas uppgifter om berörda aktörer, deras pro- dukter och deras verksamhet. Denna uppgiftsbehandling får anses vara nödvändig för att kunna utöva tillsyn vilket är en uppgift av allmänt Prop. 2020/21:172 intresse och behandlingen får även anses vara ett led i myndigheternas myndighetsutövning. För att säkerställa en hög hälsoskyddsnivå för patienter och de som använder medicintekniska produkter och medicin- tekniska produkter för in vitro-diagnostik får det även anses vara pro- portionellt att myndigheten får behandla dessa uppgifter i sin tillsyn. Upp- giftsbehandlingen i de register som dessa myndigheter kan föra till följd av ovan nämnda anmälningsskyldigheter kan göras med stöd av artikel 6.1e och 6.3 i EU:s dataskyddsförordning. Ytterligare bestämmelser i detta avseende bedöms inte behövas. Unik produktidentifiering (UDI) För en effektiv spårning av medicintekniska produkter införs ett system med unik produktidentifiering (UDI). Alla produkter, med undantag av specialanpassade produkter, prövningsprodukter och produkter avsedda för prestandastudier, ska märkas med UDI. Enligt artikel 27.7 i MDR-för- ordningen och artikel 24.7 i IVDR-förordningen ska tillverkaren ha en uppdaterad förteckning över alla tilldelade UDI. Av artikel 27.8 i MDR- förordningen och artikel 24.8 i IVDR-förordningen framgår att de eko- nomiska aktörerna ska, företrädesvis på elektronisk väg, lagra och förvara UDI för de produkter som de har levererat eller som har levererats till dem. Detta gäller implantat i den högsta riskklassen (klass III) och de produkter som kommissionen kan komma att fastställa igenomförandeakter. Även hälso- och sjukvårdsinstitutioner ska lagra och förvara UDI för de produkter som de har levererat eller som har levererats till dem. Detta gäller för produkter som tillhör implantat i klass III. I avsnitt 9.11 föreslås det att ett bemyndigande införs om att regeringen eller den myndighet som regeringen bestämmer ska få meddela föreskrifter om att lagra och förvara UDI även för andra produkter än implantat i klass III. Det förfarande med UDI som regleras i MDR-förordningen innebär inte någon personuppgiftsbehandling. Spårbarheten går från tillverkare till hälso- och sjukvårdsinstitutioner för implantat III. UDI skulle även kunna registreras i patientjournalen när ett implantat i klass III inopererats i en person. Inom hälso- och sjukvården reglerar patientdatalagen den personuppgiftsbehandling och journalföring som görs. Lagen gäller för alla vårdgivare oavsett om verksamheten bedrivs i privat eller offentlig regi och anger vilka grundläggande principer som ska gälla för informationsbehandlingen avseende uppgifter om patienter inom hälso- och sjukvården. Lagen anger vilken behandling av personuppgifter som är tillåten och innehåller övergripande krav rörande informationsbe- handling. Enligt 3 kap. 1 § patientdatalagen ska det föras patientjournal vid vård av patienter. Syftet med att föra journal är i första hand att bidra till en god och säker vård av patienten (3 kap. 2 § patientdatalagen). I 5 kap. 5 § föreskrifter och allmänna råd (HSLF-FS 2016:40) om journalföring och behandling av personuppgifter i hälso- och sjukvården framgår det att vårdgivaren ska säkerställa att en patient- journal, i förekommande fall, ska innehålla uppgifter om bland annat de medicintekniska produkter som har förskrivits till, utlämnats till eller till- förts en patient på ett sådant sätt att de kan spåras. Implantat av klass III kan även användas utan medicinskt syfte, dvs. vid estetiska kirurgiska ingrepp. Sådana ingrepp utförs av legitimerad hälso- och sjukvårdspersonal. I propositionen Lag om estetiska kirurgiska in- grepp och estetiska injektionsbehandlingar (prop. 2020/21:57) som beslut- ades föreslås det att patientdatalagen blir tillämplig på estetiska kirurgiska ingrepp och estetiska injektionsbehandlingar. Personuppgiftsbehandlingar för spårbarhet av medicintekniska produkt- er regleras således i separata lagstiftningar och frågan kommer inte ytter- ligare behandlas i detta lagstiftningsarbete. Ansökan om kliniska prövningar och prestandastudier En sponsor ska ansöka om godkännande för att få genomföra en klinisk prövning eller prestandastudie. I vissa fall ska en anmälan lämnas in. Av EU-förordningarna framgår det att ansökningar och anmälningar även ska genomgå en etisk granskning. har i lagen med kompletterande bestämmelser om etisk granskning till EU:s förordningar om medicintekniska produkter utsetts till den myndighet som ska utföra den granskningen, se avsnitt 10.2–10.4. Ansökan eller anmälan om att genomföra en klinisk prövning eller prestandastudie ska även skickas till berörd biobank om det finns skäl för det. En ansökan och anmälan om klinisk prövning eller prestandastudie görs innan det finns försökspersoner i projektet. De personuppgifter som före- kommer i ansökningarna respektive anmälningarna är de om sponsorn och prövarna. Inte heller kommer personuppgifter på försökspersoner att finnas i en ansökan om ändring av en redan godkänd prövning eller studie. Personuppgiftsbehandlingarna vid ansökan om kliniska prövningar och prestandastudier, inklusive ansökan om väsentlig ändring av sådan forsk- ning, är reglerad i EU-förordningarna och i svensk kompletterande lag- stiftning till dessa EU-förordningar. Uppgiftsbehandlingen får anses vara nödvändig behandling för att fullgöra en rättslig förpliktelse i enlighet med artikel 6.1 c i EU:s dataskyddsförordning. Uppgiftsbehandlingen får även anses vara nödvändig för att kunna ge tillstånd och utöva tillsyn vilket är uppgifter av allmänt intresse och behandlingen får även anses vara ett led i myndigheternas myndighetsutövning. Åtgärderna utförs för att säkerställa en hög hälsoskyddsnivå för försöks- personer och behandlingen av personuppgifter får anses vara proportionell för att trygga försökspersonernas hälsa. Uppgiftsbehandlingen i de register som dessa myndigheter kan föra till följd av ovan nämnda anmälnings- skyldigheter kan göras med stöd av artikel 6.1 c, 6.1 e och 6.3 i EU:s data- skyddsförordning. Personuppgiftsbehandling vid genomförande av kliniska prövningar och prestandastudier Av artikel 72.3 och 72.4 i MDR-förordningen och artikel 68.3 och 68.4 i IVDR-förordningen framgår att all information som rör den kliniska pröv- ningen eller prestandastudien ska, beroende på vad som är tillämpligt, registreras, behandlas, hanteras och lagras av sponsorn eller prövaren på ett sådant sätt att den kan rapporteras, tolkas och kontrolleras på ett korrekt sätt, som konfidentialiteten när det gäller försökspersonernas journaler och personuppgifter skyddas i enlighet med gällande rätt avse- ende skydd av personuppgifter. Lämpliga tekniska och organisatoriska åt- gärder ska vidtas för att skydda de personuppgifter och den information som behandlas från obehörig åtkomst, obehörigt röjande, obehörig sprid- ning, ändring eller förstöring samt från förlust genom olyckshändelse, sär- skilt om behandlingen innefattar överföring av uppgifter i ett nätverk. EU-förordningarna reglerar således inte personuppgiftsbehandlingar vid prövningarna och studierna utan det anges där att uppgifterna om försöks- personerna ska vara korrekta och skyddade enligt gällande data- skyddslagstiftning. EU:s dataskyddsförordning reglerar personuppgiftsbehandling för vet- enskapliga forskningsändamål. Till ledning för tolkningen av detta be- grepp anges det att begreppet vetenskapliga forskningsändamål i EU-för- ordningen bör ges en vid tolkning och omfatta t.ex. teknisk utveckling och demonstration, grundforskning, tillämpad forskning och privatfinansierad forskning. Även studier som utförs av ett allmänt intresse inom folkhälso- området bör omfattas av begreppet (skäl 159 i EU:s dataskyddsförord- ning). Kliniska prövningar och prestandastudier är verksamheter som till stor del faller under begreppet forskningsändamål i EU:s dataskyddsför- ordning. I propositionen Behandling av personuppgifter för forsknings- ändamål (prop. 2017/18:298) bedömdes det att de rättsliga grunder som är relevanta när det gäller behandling av personuppgifter för forskningsända- mål är främst att den registrerade har lämnat sitt samtycke till att dennes personuppgifter behandlas för ett eller flera specifika ändamål (samtycke, artikel 6.1 a), att behandlingen är nödvändig för att utföra en uppgift av allmänt intresse (uppgift av allmänt intresse, artikel 6.1 e) och att behandl- ingen är nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intress- en eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, särskilt när den registrerade är ett barn (intresse- avvägning, artikel 6.1 f). Enligt propositionen kan också den rättsliga grunden att behandlingen är nödvändig för att fullgöra en rättslig förplikt- else som åvilar den personuppgiftsansvarige (rättslig förpliktelse, artikel 6.1c) vara aktuell. Europeiska dataskyddsstyrelsen har publicerat ett yttrande 3/2019 om frågor och svar angående samspelet mellan förordningen om kliniska prövningar och den allmänna data- skyddsförordningen (artikel 70.1 b). Den förordning om kliniska pröv- ningar som avses i det yttrandet är och rådets förord- ning (EU) nr 536/2014 av om kliniska prövningar av humanläkemedel och om upphävande av direktiv /20/EG. I yttrandet anför Europeiska dataskyddsstyrelsen att sådan behandling som uttryck- ligen anges i EU-förordningen om kliniska prövningar och i relevanta nationella bestämmelser, och som gäller ändamål som avser tillförlitlighet och säkerhet, kan anses omfattas av en ”rättslig förpliktelse som åvilar den personuppgiftsansvarige” enligt artikel 6.1 c i EU:s dataskyddsförordning. Detta yttrande har bäring även på kliniska prövningar av medicintekniska produkter och prestandastudier eftersom liknande bestämmelser som de som finns i EU-förordningen om kliniska prövningar finns i MDR-och IVDR-förordningarna. Vid kliniska prövningar och prestandastudier kommer personuppgifter om hälsa att behandlas och i vissa fall kan behandling omfatta genetiska och biometriska uppgifter. I artikel 9.1 i EU:s dataskyddsförordning anges 2020/21:172 att behandling av sådana uppgifter, som i svensk rätt benämns som känsliga personuppgifter, är förbjuden. I artikel 9.2 j finns emellertid ett uttryckligt undantag från förbudet mot behandling av känsliga person- uppgifter, som anger att förbudet inte gäller om behandlingen är nöd- vändig för bland annat forskningsändamål i enlighet med artikel 89.1, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenlig med det väsent- liga innehållet i rätten till dataskydd och innehålla bestämmelser om lämp- liga och särskilda åtgärder för att säkerställa den registrerades grundlägg- ande rättigheter och intressen. Av artikel 89.1 följer att all personuppgifts- behandling för bland annat forskningsändamål ska omfattas av lämpliga skyddsåtgärder för den registrerades rättigheter och friheter. åtgärderna ska säkerställa att tekniska och organisatoriska åtgärder har införts för att se till att särskilt principen om uppgiftsminimering iakttas. EU:s dataskyddsförordning ger därmed en explicit möjlighet till behandl- ing av känsliga personuppgifter för forskningsändamål och i det avseendet både förutsätter och möjliggör förordningen en kompletterande nationell reglering (artiklarna 9.2 j och 89). Syftet med de skyddsåtgärder som enligt artikel 9.2 j i EU:s dataskydds- förordning ska omfatta behandling av känsliga personuppgifter för forsk- ningsändamål ska vara att säkerställa den registrerades grundläggande rättigheter och intressen. Detta görs genom att säkerställa lämpliga och I propositionen Behandling av personuppgifter för forskningsändamål (prop. 2017/18:298) bedömer regeringen att etikpröv- ning av forskning enligt lagen (2003:460) om etikprövning av forskning som avser människor är en sådan lämplig och särskild åtgärd, fastställd i svensk rätt, som krävs för behandling av känsliga personuppgifter för För forskning som innebär kliniska läkemedelspröv- ningar enligt och rådets förordning (EU) nr 536/2014 av om kliniska prövningar av humanläkemedel och om upphävande av direktiv /20/EG kommer den etiska granskningen göras enligt lagen (2018:1091) med kompletterande bestämmelser om etisk granskning till EU:s förordning om kliniska prövningar av human- Denna etiska granskning bedömdes av regeringen vara en sådan lämplig och särskild åtgärd, fastställd i svensk rätt, som krävs enligt EU:s dataskyddsförordning för behandling av känsliga personuppgifter för forskningsändamål inom ramen för klinisk läkemedelsprövning. I nu aktuella EU-förordningar och kompletterande svenska lagstiftning- ar fastställs samma godkännandeförfarande för kliniska prövningar och prestandastudier som för de granskningar som ska göras enligt EU-förord- ningen om kliniska läkemedelsprövningar och kompletterande svenska Regeringen gör således bedömningen att den etiska granskning som ska göras enligt lagen med kompletterande bestämmelser om etisk gransk-