prop · H903257 · 2022-06-16 00:00:00 — bestämmelser när prover samlas in för vård och behandling, inklusive tandvård, blir således en följd av skyldigheten att erbjuda vård och tand- vård enligt denna lagstiftning. Enligt 15 kap. 1 § i HSL får regioner och kommuner med bibehållet huvudmannaskap sluta avtal med någon annan om att utföra de uppgifter som regionen eller kommunen ansvarar för enligt denna lag. ska framgå de särskilda villkor som gäller för överlämnandet. svarande bestämmelse för tandvård finns i 5 § tredje stycket i tand- De skyldigheter som följer av avtalet medför att även privata vårdgivare behöver samla in och bevara prover om det är en förutsättning för att ge god vård och tandvård. Den personuppgiftsbehandling som i dessa fall behöver ske för att uppfylla den föreslagna biobankslagens regler har således också stöd i artikel 6.3 i EU:s dataskyddsförordning. tillämpningen av den rättsliga grunden uppgift av allmänt intresse enligt artikel 6.1 e i EU:s dataskyddsförordning har det ingen betydelse om den personuppgiftsansvarige är en offentlig eller en privat aktör (jfr prop. 2017/18:105 s. 190). Om den uppgift som den personuppgiftsansvarige utför är av allmänt intresse och denna uppgift är fastställd i enlighet med unionsrätten eller den nationella rätten finns det rättslig grund för nöd- vändig behandling enligt artikel 6.1 e. Enligt den nya biobankslagen får prover även samlas in, bevaras och användas för kvalitetssäkring, utvecklingsarbete och utbildning inom ramen för de tillåtna ändamålen, dvs. vård, behandling eller andra medicinska ändamål i en vårdgivares verksamhet, forskning, eller pro- I fråga om hälso- och sjukvård och tandvård är denna typ av åtgärder en förutsättning för att säkerställa att vården och tand- vården som ges håller den kvalitet som lagen kräver, jfr 5 kap. 1 § HSL och 3 § tandvårdslagen. Den personuppgiftsbehandling som blir aktuell med anledning av den föreslagna biobankslagens regler när prover han- teras för utbildning, kvalitetssäkring eller utvecklingsarbete inom ramen för vård, behandling eller andra medicinska ändamål i en vårdgivares verk- samhet är således nödvändig för utförandet av en uppgift av allmänt intresse som är fastställd i HSL respektive tandvårdslagen, och har därmed stöd i artikel 6.1 e i EU:s dataskyddsförordning. Personuppgiftsbehandling inom både privat och offentlig hälso- och sjukvård regleras även av patientdatalagen. Så som anförts ovan ska bestämmelser om behandling av personuppgifter i annan lag gälla om inte annat följer av biobankslagen. Mot bakgrund av att den föreslagna bio- bankslagen innehåller mycket få bestämmelser om personuppgiftsbehand- ling kommer patientdatalagen i de flesta fall att tillämpas i samband med att personuppgifter behandlas inom ramen för biobanksverksamhet för vårdändamål. Regeringen bedömer att den behandling som blir en följd av den nya biobankslagens regler enligt genomgången ovan inte går utöver vad som är tillåten personuppgiftsbehandling enligt patientdatalagen. När prover samlas in, bevaras eller tillgängliggörs för forsknings- ändamål behöver en uppdelning göras mellan forskning som följer av ett reglerat uppdrag att bedriva forskning och sådan forskning som bedrivs i privat regi på initiativ av forskningshuvudmannen. I det förstnämnda fallet, i de fall forskningen innefattar insamling och bevarande av bio- banksprover, borde den personuppgiftsbehandling som behöver ske på grund av den nya biobankslagens regler ha stöd i artikel 6.1 e i EU:s data- skyddsförordning. Forskning är en förutsättning för att kunna utveckla och förbättra tillgänglig vård och behandling samt tillgängliga läkemedel, för att bota sjukdomar, göra behandlingar mer ändamålsenliga och i förläng- ningen förbättra folkhälsan. Folkhälsa tas upp som exempel på allmän- intresse i skäl 45 i EU:s dataskyddsförordning. Regeringen anser att även forskning, inklusive klinisk prövning, som utgångspunkt är av allmänt intresse. Är det fråga om forskning som utförs som ett led i universitets och högskolors uppdrag enligt högskolelagen, i regionernas eller kom- munernas uppgift enligt 18 kap. 2 § i HSL, eller på grund av någon annan reglerad skyldighet som följer av lag, kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning, är uppgiften reglerad i nationell rätt, på så vis som krävs i artikel 6.3 i EU:s dataskyddsförordning. Den personuppgiftsbehandling som blir en följd av den föreslagna bio- bankslagens regler när forskningen innefattar insamling och bevarande av prover som omfattas av lagen, har därmed rättslig grund i artikel 6.1 e. Detsamma bör vara fallet om det är fråga om kvalitetssäkring, utveck- lingsarbete eller utbildning inom ramen för forskningen. Som anförts ovan kan provhantering som faller inom den nya bio- bankslagens tillämpningsområde ske även inom ramen för verksamhet som inte bedrivs på grund av någon reglerad skyldighet. Forskning och produktutveckling sker i många fall inom ramen för privata vinstdrivande bolag, som således – i tillämpliga fall naturligtvis med stöd av godkänd etikprövning – samlar in, bevarar och använder prover inom ramen för egna initiativ. Den föreslagna biobankslagen medför i princip ingen skyldighet att samla in prover. Om en insamling av prover ändå sker medför dock lagen att vissa personuppgifter behöver behandlas. I dessa fall kan man inte finna rättslig grund i artikel 6.1 e i EU:s data- skyddsförordning. I många fall kan dock samtycke utgöra rättslig grund 2021/22:257 för personuppgiftsbehandlingen. Det är i dessa fall upp till den person- uppgiftsansvarige biobankshuvudmannen som hanterar proverna att se till att det finns rättslig grund för den personuppgiftsbehandling som behöver ske med anledning av den nya biobankslagen, och i de fall de krävs samla in samtycke till personuppgiftsbehandlingen enligt bestämmelserna i Kan man inte hitta rättslig grund för den nödvändiga behandlingen, medför det ett hinder mot att samla in och En del av den personuppgiftsbehandling som behöver ske enligt den föreslagna biobankslagen kan även ha stöd i artikel 6.1 c i EU:s data- Där anges att personuppgiftsbehandling är laglig om och i den mån den är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige. Så är fallet vad gäller bestämmelsen om att en anmälan från provgivaren att ett prov inte får användas till ett eller flera av de ändamål som är tillåtna enligt föreslagen biobankslag ska dokumenteras i provgivarens patientjournal eller i ett register som förs hos Den rättsliga förpliktelsen följer direkt av biobankslagen. Av artikel 6.3 följer även att unionsrätten eller medlemsstaternas nationella rätt ska vara proportionell mot det legitima mål som efter- Personuppgiftbehandlingen som det är fråga om här blir en följd dels av uppgiften att ge god vård och tandvård respektive att bedriva forskning, dels av den nya biobankslagens regler som enligt ovan genom- gång medför att sådan behandling behöver ske. Biobankslagens syfte är att reglera hur insamling till och bevarande i biobank samt användning av prover ska få ske för vissa ändamål, med respekt för den enskilda De regleringar som medför att personuppgifts- behandling behöver ske har i de flesta fall en koppling just till frågan om den enskildes integritet, framför allt att tillse att prover inte används på ett sätt som den enskilde inte samtyckt till. Det är också syftet med regeln som medför en rättslig förpliktelse att dokumentera en anmälan om begränsning av samtycke i provgivarens journal eller i ett register som förs i anslutning till biobanken. Sådan personuppgiftsbehandling får anses pro- Det får även anses proportionerligt att behandla uppgifter om vilken typ av biologiskt material ett prov utgörs av när det krävs för att provet ska kunna bevaras på ett korrekt sätt. I sammanhanget kan erinras om den reglering som medför att prover som tillgängliggörs ska vara Övervägandena har redogjorts för ovan i avsnitt 9.1. anser att denna skyddsåtgärd bidrar i positiv riktning vid proportionalitets- Regeringen finner sammanfattningsvis mot bakgrund av ovan resone- mang att det finns stöd i artikel 6.1 e och 6.3 i EU:s dataskyddsförordning för den personuppgiftsbehandling som behöver utföras för att uppfylla den föreslagna lagens bestämmelser i samband med att prover samlas in, bevaras och tillgängliggörs för de i lagen angivna ändamålen. Utöver de ändamål som här har berörts kommer prover i en biobank som omfattas av lagen även att under vissa omständigheter att få användas även för vissa särskilda ändamål, nämligen utredning av skada enligt patientskadelagen och identifiering av avlidna. De specifika frågor om personuppgiftsbehandling som blir aktuella i samband med dessa åtgärder behandlas längre ner i detta avsnitt. Även frågor om personuppgifts- behandling i samband med överklaganden och tillsyn behandlas nedan. Särskilt om känsliga personuppgifter Det finns skäl att särskilt gå igenom den behandling som i viss mån kan behöva ske av känsliga personuppgifter som en följd av den föreslagna biobankslagens regler. Så som nämnts ovan behöver uppgifter om ett barns hälsotillstånd behandlas då huvudmannen för en biobank ska ta ställning till om ett prov ska samlas in och bevaras i biobanken för ett barns vård och behandling trots att vårdnadshavarna inte samtycker till det. Sådana uppgifter måste också behandlas löpande då huvudmannen ska ta ställning om det finns stöd för fortsatt bevarande. Vidare reglerar den föreslagna biobankslagen, liksom den nuvarande, förutsättningar för utlämnande av en journalhandling inom enskild hälso- och sjukvård. Behandling av uppgifter om en enskilds hälsa är, i likhet med flera andra typer av känsliga personuppgifter, som utgångspunkt förbjuden enligt artikel 9.1 i EU:s dataskyddsförordning. De undantag som medger att personuppgifter ändå får behandlas finns beskrivna ovan. De prover som är i fråga här får samlas in, bevaras och användas endast för vård- och behandlingsändamål. Eftersom god vård måste erbjudas enligt HSL, blir personuppgiftsbehandling som följer av den aktuella bestämmelsen nödvändig för den vårdgivare som ställs inför en situation som den i bestämmelsen reglerade. Undantaget i artikel 9.2 h i EU:s dataskyddsförordning gäller när personuppgiftsbehandlingen är nöd- vändig för bl.a. förebyggande hälso- och sjukvård och yrkesmedicin, medicinska diagnoser, tillhandahållande av hälso- och sjukvård eller behandling, på grundval av unionsrätten eller medlemsstaternas nationella rätt eller enligt avtal med yrkesverksamma på hälsoområdet. Undantaget gäller vidare under förutsättning att bestämmelsen om tystnadsplikt i artikel 9.3 är uppfylld, dvs. att den som ansvarar för personuppgifts- behandlingen omfattas av tystnadsplikt enligt nationell rätt eller EU-rätt. Artikeln behandlas i 3 kap. 5 § dataskyddslagen. Enligt förarbetena till den bestämmelsen framgår att behandlingen ska vara nödvändig av skäl som hör samman med någon av de angivna verksamheterna, och att den aktuella verksamheten ska utföras på grundval av unionsrätten eller medlemsstaternas nationella rätt eller enligt avtal med yrkesverksamma på hälsoområdet (prop. 2017/18:105 s. 93 f.). För att ett prov från ett barn ska få samlas in och bevaras utan vård- nadshavarnas samtycke, krävs att det finns en påtaglig risk för att barnets hälsa annars skadas. Den situation som avses är således direkt kopplad till vården av barnet, och personuppgiftsbehandlingen är nödvändig av skäl som hör samman med denna. Vidare krävs för att undantaget ska vara tillämpbart att den aktuella verksamheten utförs på grundval av unions- rätten eller medlemsstaternas nationella rätt eller enligt avtal med yrkes- verksamma på hälsoområdet. Regeringen har bedömt att denna förut- sättning är uppfylld så snart verksamheten bedrivs i enlighet med verksam- hetslagstiftningen på de aktuella områdena, t.ex. HSL eller social- tjänstlagen (2001:453), och påminner om att det är i dessa författningar som den personuppgiftsansvarige finner den rättsliga grunden för att över- huvudtaget få behandla personuppgifter utan den registrerades samtycke (prop. 2017/18:105 s. 94). Eftersom det i de aktuella fallen alltid är fråga om en vårdsituation, regleras verksamheterna som skulle komma att behandla uppgifterna i gällande hälso- och sjukvårdslagstiftning. ligen gäller kravet på tystnadsplikt kan följande sägas. biobanken i fråga är del av en offentlig vårdgivares verksamhet finns regler om tystnadsplikt i 25 kap. 1 § OSL. Beträffande biobanker för vård- och behandling i privat regi gäller patientsäkerhetslagen, förkortad PSL, som reglerar enskild näringsidkare som bedriver hälso- och sjukvård. innehåller regler om tystnadsplikt i 6 kap. 12–16 §§. finner regeringen att det finns stöd i undantaget i 9.2 h för den behandling av känsliga personuppgifter som blir aktuell i samband med att ett prov från ett barn samlas in och bevaras utan vårdnadshavarnas samtycke. I fråga om utlämnande av känsliga personuppgifter genom tillgänglig- görande av journalhandling inom enskild hälso- och sjukvård kan följande I den föreslagna bestämmelsen anges att en journalhandling inom enskild hälso- och sjukvård ska lämnas ut till den som fått tillgång till ett kodat prov från patienten, om patienten samtyckt till det. övrigt samtycke enligt den nya biobankslagen, som alltså reglerar sam- tycke till hanteringen av själva provet och inte till den tillhörande person- uppgiftsbehandlingen, gäller det samtycke som krävs enligt denna bestämmelse personuppgiftsbehandlingen som sådan. kan samtycke enligt artikel 9.2 a i EU:s dataskyddsförordning utgöra rättslig grund för att behandling av känsliga personuppgifter, så länge det är uttryckligt och gäller ett eller flera specifika ändamål. motsvarighet i 4 kap. 4 a § i den nuvarande biobankslagen, behandlades i förarbetena till den lagen. I den ursprungliga utformningen av den bestäm- melsen fanns en hänvisning till den nu upphävda personuppgiftslagen med, genom vilken en upplysning infördes om de särskilda bestämmelser som fanns i den lagen om känsliga personuppgifter. gjorde då att det som avsågs med hänvisningen var att om känsliga personuppgifter ska lämnas ut krävs det enligt 15 § personuppgiftslagen att den registrerade har lämnat sitt uttryckliga samtycke eller att behand- lingen har godkänts av en forskningsetisk kommitté enligt 19 § andra stycket personuppgiftslagen (prop. 2001/02:44 s. 51 och 87). melsen var föremål för översyn i det lagstiftningsarbete som föranleddes av EU:s dataskyddsförordnings införande inom ramen för socialdeparte- I förhållande till den aktuella bestämmelsen erinrades i propositionen om att det förhållandet att EU:s dataskyddsför- ordning är tvingande innebär att om ett utlämnande av känsliga person- uppgifter enligt EU:s dataskyddsförordning får ske bara med samtycke, ska det samtycket enligt artikel 9.2 a i EU:s dataskyddsförordning vara Det lyftes också fram att det av annan lagstiftning följer att det i vissa fall finns krav som är av betydelse för den personliga integriteten t.ex. etikprövningslagen, om det är fråga om ett tillgängliggörande av en journalhandling i samband med forskning. Den lagen innehåller bestäm- melser om att godkännande vid etikprövning krävs för forskning som inne- fattar behandling av känsliga personuppgifter och om samtycke till sådan (Se prop. 2017/18:171 s. 220). I samband med översynen togs hänvisningen till personuppgiftslagen bort. Regeringen har i likhet med utredningen bedömt att bestämmelsen om samtycke vid utlämnande av journalhandling i enskild hälso- och sjukvård ska föras över till den nya biobankslagen. I de fall personuppgiftsbehand- lingen sker med stöd av samtycket i bestämmelsen, dvs. då det inte finnas annan rättslig grund, ska detta precis som vara uttryckligt för att vara förenligt med dataskyddsförordningen. I sammanhanget kan nämnas att utrymmet för att använda samtycke som rättslig grund vid behandling av personuppgifter är begränsat, bland annat med hänsyn till skäl 43 i EU:s dataskyddsförordning enligt vilken samtycke inte bör utgöra giltig rättslig grund för behandling av personuppgifter i ett särskilt fall där det råder betydande ojämlikhet mellan den registrerade och den personuppgifts- ansvarige. Även när det är fråga om privata vårdgivare kan en sådan ojämlikhet råda. Samtycket som krävs enligt bestämmelsen kommer därför i många fall att ha mer av en integritetshöjande karaktär än det utgör den rättsliga grunden. I avsnitt 9.1 framgår även att det finns utrymme för den patientjournalansvarige att neka tillgång till den begärda journalhand- lingen och att det beslutet kan överklagas. Behandling av känsliga personuppgifter, i form av uppgifter om diagnos och analysresultat, kan komma att bli aktuell även i andra delar av prov- hanteringsverksamheten. Den föreslagna biobankslagens bestämmelser medför dock inte att sådana uppgifter måste behandlas. En sådan behandling är således inte en förutsättning för att biobankslagen ska kunna tillämpas. Det är huvudmannen för biobanken, i egenskap av personupp- giftsansvarig, som ansvarar för att varje behandling av personuppgifter har stöd i gällande dataskyddsreglering. För att prover ska vara identifierbara på så vis som den nya biobankslagen kräver är det sannolikt att personnummer används som en identifikations- uppgift. I artikel 87 i EU:s dataskyddsförordning framgår att medlems- staterna får närmare bestämma på vilka särskilda villkor ett nationellt identifikationsnummer eller något annat vedertaget sätt för identifiering får behandlas. Ett nationellt identifikationsnummer eller ett annat veder- taget sätt för identifiering ska i sådana fall användas endast med iakt- tagande av lämpliga skyddsåtgärder för de registrerades rättigheter och friheter enligt denna EU-förordning. Sådana villkor finns införda i data- skyddslagen. Enligt 3 kap. 10 § i dataskyddslagen gäller att personnummer och samordningsnummer får behandlas utan samtycke endast när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. För att kunna säkerställa det integritetsskydd som är avsett genom bl.a. de föreslagna reglerna om rätten att återkalla samtycke till bevarande och användning av ett prov, samt rätten att begränsa vad provet får användas för, är det av mycket stor vikt att rätt prov kan härledas till rätt individ. Det gäller oavsett för vilket eller vilka ändamål detta har samlats in och bevaras. Vad gäller särskilt prover som samlas in och bevaras för en patients vård eller behandling är det vidare, för att säkerställa en god och säker vård, av yttersta vikt att prover kopplas samman med rätt personer. Användning och registrering av personnummer ger goda förutsättningar för att kunna säkerställa att insamlade prover kopplas samman med rätt personer. Regeringen anser således att det är av största vikt att identifieringen är säker och det får mot bakgrund av ovan sagda anses vara klart motiverat att provgivarens personnummer ska få hanteras i samband med prov- hanteringen enligt den nya biobankslagen. Den behandling av person- 2021/22:257 nummer som kan komma att behöva ske med anledning av den föreslagna biobankslagen har således, i regeringens mening, stöd i dataskyddslagen. Personuppgiftsbehandling i vissa särskilda fall Som behandlats i avsnitt 9.1 uppställer den föreslagna biobankslagen vissa krav kopplade till personuppgiftsbehandlingen i samband med att prover ur en biobank tillgängliggörs. Huruvida personuppgifter ska lämnas ut tillsammans med ett kodat prov som tillgängliggörs för någon utanför biobanken regleras inte i den föreslagna biobankslagen, med undantag för den ovan behandlade bestämmelsen om journalhandling i enskild hälso- och sjukvård och när det är fråga om tillgängliggörande för identifiering av avliden. Det är alltid den personuppgiftsansvariges skyldighet att se till att den personuppgiftsbehandling som sker har stöd i gällande data- skyddsreglering. I det följande redogörs särskilt för vad som gäller person- uppgiftsbehandling i samband med att prover tillgängliggörs för identifiering av avliden eller för utredning av skada enligt patientskade- lagen, vilka i övrigt behandlas i avsnitt 7.2 och 7.3. För att en identifiering av en avliden ska kunna ske av någon av de aktuella myndigheterna måste det prov som skickas för åtgärden kunna kopplas till en identifierbar provgivare. Enligt bestämmelsen ska därför provet och de tillhörande personuppgifter som behövs skickas till Polis- myndigheten eller () om förutsättningarna för det är uppfyllda. Enligt skäl 27 i EU:s dataskyddsförordning gäller denna inte behandling av personuppgifter rörande avlidna personer. Eftersom man vid tillgängliggörandet av provet och tillhörande uppgifter inte ännu vet om det är provgivaren som är den avlidne som ska identifieras – att fastställa det är ju själva ändamålet med tillgängliggörandet i dessa fall – kommer det dock i vissa fall vara en levande persons prov och person- uppgifter som tillgängliggörs. För att personuppgifter ska få lämnas ut på detta sätt krävs därför att det finns rättslig grund i EU:s dataskydds- förordning. Enligt den föreslagna biobankslagen ska ett prov och de tillhörande personuppgifterna på begäran skickas till RMV eller , om kravet på särskilda skäl är uppfyllt. Ett beslut i denna fråga ska även vara överklagbart till , vars beslut i frågan därefter kan överklagas till allmän förvaltningsdomstol. Skyldigheten att lämna ut personuppgifterna är således en sådan rättslig förpliktelse som avses i artikel 6.1 c i EU:s dataskyddsförordning, och ett utlämnande av uppgifterna är nödvändigt för att uppfylla denna förpliktelse. Syftet med personuppgiftsbehand- lingen, dvs. identifiering av avliden, framgår av bestämmelsen. Vidare anser regeringen att bestämmelsen om att biobanksprover ska kunna användas för identifiering av avlidna uppfyller ett mål av allmänt intresse, varför även artikel 6.1 e kan utgöra rättslig grund för behandlingen. Regleringen är, bl.a. mot bakgrund av att det ska finnas särskilda skäl, proportionerlig mot målet att kunna identifiera avlidna. Personuppgifts- behandlingen i fråga sker därför i enlighet med vad som föreskrivs i artikel 6.3 i EU:s dataskyddsförordning. När det är fråga om tillgängliggörande av prover för utredning av skada enligt patientskadelagen finns det inga motsvarande krav i den nya biobankslagen gällande att personuppgifter ska tillgängliggöras. redogjorts för ovan är det en personuppgiftsansvariges ansvar att se till att det finns stöd i gällande dataskyddsreglering för den personuppgifts- behandling som sker, bl.a. i samband med tillgängliggörande av prover. Bedömningen av om det finns stöd för att personuppgifter kan behandlas vid tillgängliggörande av provet behöver, som sagt, göras i varje enskilt fall. Det finns i dessa fall ingen skyldighet att tillgängliggöra prover, utan en bedömning görs av den som är ansvarig för biobanken i enlighet med vad som i övrigt gäller för tillgängliggörande. På sökandens begäran ska beslutet omprövas av huvudmannen för biobanken. Finns det inte stöd för den personuppgiftsbehandling som ett tillgängliggörande skulle kräva, kan ett sådant nekas den som begärt tillgång till ett prov. Biobanksprover ska också under vissa förutsättningar få skickas utom- lands. Frågor om personuppgiftsbehandling i samband med sådant tillgängliggörande har behandlats ovan, under avsnitt 9.2. Utifrån reglerna i den föreslagna biobankslagen kommer prover under vissa omständigheter att behöva förstöras. Så är till exempel fallet om de bevarandetiden har passerats, eller om ett samtycke till att ett prov bevaras återkallas i sin helhet.