prop · H903257 · 2022-06-16 00:00:00 — för behandling av personuppgifter inom EU och syftar till att upprätthålla en hög och enhetlig skyddsnivå för personuppgifter utan att hindra flödet av sådana uppgifter inom unionen. EU-förordningen är direkt tillämplig i alla EU-medlemsstater men förutsätter och möjliggör komplette- rande bestämmelser i nationell rätt. Personuppgifter definieras i artikel 4.1 i EU:s dataskyddsförordning som varje upplysning som avser en identifierad eller identifierbar fysisk person. Med behandling avses enligt artikel 4.2 en åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av person- uppgifter, oberoende av om de utförs automatiserat eller ej, såsom insam- ling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller samman- förande, begränsning, radering eller förstöring. All behandling av personuppgifter måste ha stöd i någon av de rättsliga grunder som anges i artikel 6 i EU:s dataskyddsförordning. artikel är behandlingen av personuppgifter laglig bl.a. om den registrerade har lämnat sitt samtycke till att dennes personuppgifter behandlas för ett eller flera specifika ändamål (artikel 6.1 a), om behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgifts- ansvarige (artikel 6.1 c), eller om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgifts- ansvariges myndighetsutövning (artikel 6.1 e). De rättsliga grunderna är i viss mån överlappande. Flera rättsliga grunder kan därför vara tillämpliga på en och samma behandling. Enligt artikel 6.3 i EU:s dataskyddsförordning ska en uppgift av allmänt intresse eller en rättslig förpliktelse som avses i artikel 6.1 c respektive e fastställas i unionsrätten eller den nationella rätten för att kunna läggas till grund för personuppgiftsbehandlingen. Detta krav innebär inte att själva behandlingen av personuppgifter måste regleras. Det är i stället den rätts- 2021/22:257 liga förpliktelsen, uppgiften av allmänt intresse respektive myndighets- utövningen som ska ha stöd i rättsordningen. nationella rätten ska uppfylla ett mål av allmänt intresse och vara propor- tionell mot det legitima mål som eftersträvas. Den rättsliga förpliktelsen, uppgiften av allmänt intresse respektive myndighetsutövningen är enligt regeringen fastställd i enlighet med svensk rätt, om den följer av författning eller beslut som har meddelats i enlighet med regeringsformens bestämmelser (prop. 2017/18:105 s. 48 f.). Utöver att laglig behandling av personuppgifter kan ske endast om behandlingen är förenlig med något av de villkor som uppställs i artikel 6, måste all behandling även uppfylla EU-förordningens principer om laglig behandling enligt artikel 5, exempelvis att uppgifterna behandlas på ett korrekt och öppet sätt i förhållande till den registrerade samt att de samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. Det finns särskilda regler i EU:s dataskyddsförordning när det är fråga om känsliga personuppgifter. Behandling av sådana uppgifter, som inkluderar genetiska uppgifter och uppgifter om hälsa, är som utgångs- punkt förbjuden (artikel 9.1). Undantag från förbudet kan dock göras under vissa förutsättningar, bl.a. om den registrerade uttryckligen har lämnat sitt samtycke till behandlingen av dessa personuppgifter för ett eller flera specifika ändamål, utom då unionsrätten eller medlemsstaternas nationella rätt föreskriver att förbudet i punkt 1 inte kan upphävas av den registrerade (artikel 9.2 a), behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse (artikel ), av skäl som hör samman med bl.a. förebyggande hälso- och sjukvård och yrkesmedicin, medicinska diagnoser, tillhanda- hållande av hälso- och sjukvård, behandling, social omsorg eller förvalt- ning av hälso- och sjukvårdstjänster (artikel 9.2 h), av skäl av allmänt intresse på folkhälsoområdet, såsom behovet av att säkerställa höga kvalitets- och säkerhetsnormer för vård och läkemedel eller medicin- tekniska produkter (9.2 i), eller då behandlingen är nödvändig för arkiv- ändamål av allmänt intresse, vetenskapliga eller historiska forsknings- ändamål (artikel 9.2 j). I artikel 13 och 14 i EU:s dataskyddsförordning finns bestämmelser om den information som måste lämnas till den registrerade om person- uppgifter som rör en registrerad person samlas in från denne själv eller från någon annan. Ett centralt begrepp när det gäller personuppgifter är personuppgifts- I artikel 4.7 i EU:s dataskyddsförordning definieras en person- uppgiftsansvarig som en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Det anges vidare att om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt kan den person- uppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt. som är personuppgiftsansvarig kan alltså särskilt anges i en lag eller för- Den personuppgiftsansvarige kan överlåta den faktiska behandlingen av personuppgifter, men personuppgiftsansvaret kan inte överlåtas. alltid den personuppgiftsansvarige som ytterst svarar för att person- uppgiftsregleringen följs och att de registrerade behandlas korrekt. Bio- banken som sådan kan inte ha personuppgiftsansvaret. Vanligen är den personuppgiftsansvariga en juridisk person. Inför att EU:s dataskyddsförordning skulle börja tillämpas och lagen (2018:218) med kompletterande bestämmelser till EU:s dataskydds- förordning, här kallad dataskyddslagen, skulle träda i kraft genomfördes en översyn av lagar inom verksamhetsområde (prop. 2017/18:171). Bland annat infördes nya regler om att lagarna om personuppgiftsbehandling i de berörda verksamheterna skulle utgöra kompletteringar till EU:s dataskyddsförordning och dataskyddslagen. Hänvisningar till personuppgiftslagen (1998:204) togs bort och ersattes i vissa fall av hänvisningar till EU:s dataskyddsförordning och dataskydds- lagen. Inom ramen för översynen gjordes dock inte någon kartläggning av behandling av personuppgifter inom verksamhets- område eller hur den förhöll sig till EU:s dataskyddsförordning, då rege- ringen inte ansåg det möjligt att genomföra inom den mycket korta tidsperioden innan EU-förordningen skulle börja tillämpas. Det aktuella lagstiftningsärendet medförde bl.a. en ändring i lagen om biobanker i hälso- och sjukvården m.m. på så vis att det anges i lagen att den vid behandling av personuppgifter kompletterar EU:s dataskydds- förordning. Bestämmelsen motiverades i förarbetena med att biobanks- lagen reglerar viss personuppgiftsbehandling som omfattas av EU:s dataskyddsförordnings tillämpningsområde och att överträdelser av reglerna i den lagen kan medföra skadeståndsansvar. (Se prop. 2017/18:171 s. 218). Regeringen anser att samma resonemang kan föras avseende den föreslagna biobankslagen En bestämmelse om att lagen kompletterar EU:s dataskyddsförordning ska därför införas även i denna lag. Förhållandet till annan dataskyddsreglering I samband med ovan behandlade lagstiftningsärende infördes även en reglering i den nuvarande biobankslagen om att lagens bestämmelser om personuppgiftsbehandling, samt sådana bestämmelser i föreskrifter som meddelats i anslutning till den lagen, skulle ha företräde framför bestäm- melser om personuppgiftsbehandling i dataskyddslagen och föreskrifter som meddelats i anslutning till den lagen. Dataskyddslagen är till sin karaktär subsidiär, varför nämnda reglerings primära syfte är att uttryck- ligen upplysa om att det kan finnas tillämpliga bestämmelser i dataskydds- lagen, och föreskrifter meddelade med stöd av den lagen, som ska gälla om det inte finns andra särskilda bestämmelser i den nya biobankslagen eller föreskrifter meddelade med stöd av den lagen (se prop. 2017/18:171 s. 73). Regeringen anser att en sådan upplysningsbestämmelse bör införas även i den föreslagna biobankslagen. Dataskyddslagen är som sagt subsidiär i förhållande till bestämmelser i andra lagar eller förordningar som rör behandling av personuppgifter. Även patientdatalagen innehåller dock bestämmelser om behandling av personuppgifter som är parallellt tillämpliga med bestämmelserna om , och i många situationer också med de bestämmelser om behandling av personuppgifter som föreslås i den nya biobankslagen. Patientdatalagen tillåter en vidare personuppgiftsbehandling än vad 2021/22:257 nuvarande och föreslagen biobankslag medger för , vilket innebär motsättningar. För tydlighetens och rättssäkerhetens skull ska det anges i den nya biobankslagen att vid behandling av personuppgifter enligt biobankslagen gäller bestämmelser om behandling av personuppgifter i annan lag samt dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av biobankslagen eller föreskrifter som har meddelats i anslutning till lagen. På så vis framgår att bestämmelserna om behandling av personuppgifter i den nya biobanks- lagen ska ha företräde framför sådana bestämmelser i andra lagar. Efter- som den föreslagna biobankslagen kommer att ha få bestämmelser som direkt reglerar personuppgiftsbehandling i samband med hanteringen av prover, vilket behandlas i det följande, kommer dock sådan behandling i många fall att regleras i annan lag, i fråga om hälso- och sjukvård framför allt i patientdatalagen. Den föreslagna bestämmelsen innebär att det inte längre behövs en särbestämmelse beträffande att biobankslagen ska ha företräde vad avser . Nödvändig personuppgiftsbehandling till följd av den nya biobankslagen Den föreslagna biobankslagen reglerar insamling, bevarande och användande för vissa ändamål av identifierbara prover. Lagen innehåller även bestämmelser om inrättande av biobank och provsamlingar, samt reglerar huvudmannaskap, ansvar och tillsyn. Utöver reglerna om det så kallade finns det i den föreslagna lagen, liksom i den nuvarande, endast några få bestämmelser som direkt rör behandling av personuppgifter. Inga särskilda regler finns i lagen gällande vilka person- uppgifter som får eller ska samlas in och bevaras tillsammans med ett prov. Förslagen om ett nytt nationellt biobanksregister ska, som framgår ovan i avsnitt 10.2 utredas vidare, varför den personuppgiftsbehandling ett sådant register skulle ge upphov till inte behandlas vidare här. tas upp särskilt nedan. som den nya biobankslagen alltså, utöver nämnda register, inte innehåller några uttryckliga bestämmelser vad gäller insamling och registrering av personuppgifter medför flera av lagens bestämmelser, precis som den nuvarande biobankslagens, att person- uppgiftsbehandling ändå kommer att behöva ske för att kunna leva upp till de krav lagen ställer upp. Regeringen instämmer i IMY:s påpekande att det behöver göras en genomgripande utredning av vilken behandling av personuppgifter som blir aktuell med anledning av den nya biobankslagen och hur den förhåller sig till kraven i EU:s dataskyddsförordning. Det bör i sammanhanget nämnas att den föreslagna, liksom den nuvarande, biobankslagen inte i sig medför skyldighet att samla in prover för olika ändamål. Insamling och bevarande av prover till en biobank kan däremot bli nödvändigt för att uppfylla skyldigheter som följer av annan lagstiftning. Så blir exempelvis fallet när prover samlas in för vård och behandling på grund av de skyldigheter som vårdgivare har enligt HSL. Av högskolelagen följer vidare ett uppdrag för universitet och högskolor att bedriva forskning. I HSL finns reglerat regioners och kommuners skyldighet att medverka vid finansiering, planering och genomförande av dels kliniskt forskningsarbete på hälso- och sjukvårdens område, dels folkhälsovetenskapligt forskningsarbete (se 18 kap. 2 §). Viss forskning förutsätter hantering av biobanksprover. Insamling och bevarande av prover för de ändamål som regleras i den nya biobankslagen kan dock även bli aktuellt utifrån egna initiativ från den insamlande aktören. I båda dessa fall, dvs. oaktat om insamling och bevarande sker som ett led i utövandet av en lagreglerad uppgift eller om det sker på eget initiativ, måste biobankslagens bestämmelser följas så länge insamling och bevarande sker för något av de ändamål som medför lagens tillämplighet. Den personuppgiftsbehandling som behöver ske med anledning av den före- slagna biobankslagens olika krav, som behandlas i det följande, blir dock i strikt mening nödvändig endast i det förstnämnda fallet, dvs. då en prov- hantering är en följd av skyldigheter i annan lag. Är det fråga om insamling och bevarande av prover som sker på initiativ av den insamlande aktören, utan koppling till någon lagstadgad skyldighet, är det upp till den insamlande aktören att se till att det finns stöd i gällande dataskydds- reglering för personuppgiftsbehandlingen som följer av den föreslagna biobankslagens bestämmelser. Detsamma gäller naturligtvis om identifier- bara prover begärs ut från en annan biobank genom tillgängliggörande. Den nya biobankslagen, frånsett kapitlet om PKU-biobanken som inne- håller särskilda regler om provhantering, innehåller således inte någon skyldighet varken att samla in och bevara prover eller att tillgängliggöra dessa (se avsnitt 9.1). Däremot regleras i lagen vissa andra uppgifter som medför att personuppgiftsbehandling i många fall måste ske. Så är fallet med bestämmelserna om tillsyn och i viss mån om överklagande, vilket behandlas mer nedan. Den föreslagna biobankslagen ska vara tillämplig bara på identifierbara prover. I lagen ska uttrycket identifierbart prov förklaras som ett prov vars ursprung direkt eller indirekt kan härledas till den människa eller det det härrör från. Detta innebär att samtliga prover som lagen kommer att vara tillämplig på kommer att ha tillhörande, identifierande person- uppgifter, såsom personnummer och eventuellt namn och att behandling av dessa kommer att behöva ske i samband med hanteringen av provet. I den föreslagna biobankslagen regleras att prover som bevaras i en biobank inte får användas för något annat än de ändamål som omfattas av tidigare information och samtycke utan att den som lämnat samtycket har informerats om och samtyckt till det nya ändamålet. För att denne ska kunna informeras om och samtycka till ett ändrat ändamål för provets bevarande och användning, behöver kontaktuppgifter samlas in. Behand- ling av sådana personuppgifter får därför ses som en konsekvens av de förslagna reglerna. Är provgivaren ett barn behöver uppgifter om vård- nadshavare behandlas. Den föreslagna regleringen medför vidare att upp- gifter om vilket eller vilka ändamål ett prov får användas för enligt lämnat samtycke behöver sparas tillsammans med provet. Den som lämnat samtycke kan när som helst anmäla att ett prov inte får användas till ett eller flera av de ändamål som är tillåtna enligt föreslagen biobankslag. En sådan anmälan ska dokumenteras i provgivarens patientjournal eller i ett register som förs hos biobanken. Den föreslagna biobankslagen reglerar uttryckligen att prover i en biobank ska förvaras på ett sådant sätt att de inte riskerar att förstöras. Olika biologiska material behöver förvaras och hanteras på olika sätt för att inte riskera att bli förstörda. För att efterleva lagens bestämmelser i denna del krävs således att uppgifter registreras om vilken typ av bio- logiskt material ett prov utgör. Huruvida biologiskt material från en 2021/22:257 människa i sig är en personuppgift eller inte i EU:s dataskyddsförordnings mening har diskuterats. Enligt artikel 29-gruppens rådgivande yttrande ska det inte anses vara en personuppgift i sig, utan en källa som personuppgifter kan utvinnas ur (se Artikel 29-gruppens rådgivande yttrande 4/2007, s. 8 f.). Det förhållandet att en viss identifierbar person har lämnat en viss typ av prov utgör dock en personuppgift om prov- Som behandlats i avsnitt 8.3 medger den nya biobankslagen att prover från barn under vissa förutsättningar samlas in, bevaras och används utan Regleringen medför en skyldighet att fort- löpande pröva om förutsättningarna för ett bevarande är uppfyllda, vilket innebär att barnets hälsostatus fortlöpande behöver kontrolleras. krav medför således att uppgifter om barnets hälsotillstånd behöver fort- Utöver denna reglering, och reglerna om PKU- registret som behandlas nedan, innehåller inte den nya biobankslagen några bestämmelser som medför krav på behandling av analysresultat eller I övrigt är det således upp till den personuppgiftsansvarige att se till att det finns laglig grund för personuppgiftsbehandlingen om det är aktuellt att spara uppgifter om analysresultat och diagnoser. Den föreslagna biobankslagen ska innehålla en bestämmelse om under vilka förutsättningar en journalhandling inom enskild hälso- och sjukvård som rör en viss patient ska tillgängliggöras för den som fått tillgång till ett kodat prov från patienten. Ett sådant tillgängliggörande medför att känsliga personuppgifter om patientens hälsotillstånd kan komma att I samband med att en biobank inrättas ska huvudmannen göra en anmälan till Inspektionen för vård och omsorg (). innehålla uppgifter om vem som är ansvarig för biobanken. serna behandlas i avsnitt 6.1 och innebär att identitetsuppgifter om den biobanksansvarige behöver behandlas. Två typer av beslut ska kunna överklagas enligt den föreslagna bio- bankslagen, nämligen beslut om insamlande eller bevarande av ett prov från ett barn utan vårdnadshavarens samtycke och beslut gällande skickande av ett prov för identifiering av en avliden, se avsnitt 11.2. första hand sker en överprövning av . därefter kunna överklagas till allmän förvaltningsdomstol. respektive förvaltningsdomstolarna ska kunna fatta korrekta beslut behöver de kunna ta del av personuppgifter som är kopplade till proverna. När det gäller prover från barn kan särskilt nämnas att barnets hälsotillstånd är en avgörande faktor vid bedömningen, varför uppgifter om detta, dvs. känsliga personuppgifter, kommer att behöva behandlas av de överprövande myndigheterna för det fall ett överklagande skulle ske. Så som framgår i avsnitt 11.1 ska fortsatt utöva tillsyn över att biobankslagen och föreskrifter som har meddelats i anslutning till lagen Vid en inspektion har den som utför inspektionen, enligt den före- slagna biobankslagen, rätt att tillfälligt omhänderta handlingar, prover och annat material som rör verksamheten. Tillsynsansvaret gäller hela den föreslagna biobankslagen och föreskrifter meddelade i anslutning till denna, varför frågor av olika karaktär kan komma att bli aktuella. därmed inte att säga vilken personuppgiftsbehandling konkret som kan bli aktuell på grund av uppgiften att bedriva tillsyn. som har redogjorts för i det föregående kan dock komma att bli föremål för behandling, beroende på vad som i det enskilda fallet har påkallat en inspektion. Rättslig grund för personuppgiftsbehandling i samband med att prover samlas in, bevaras och tillgängliggörs Den nya biobankslagen är uppbyggd kring att det ska finnas samtycke för att ett prov ska få samlas in och bevaras i en biobank, om det inte i någon annan lag finns stöd för att samla in prover utan samtycke (se avsnitt 8.1). anför, i fråga om de föreslagna samtyckesreglerna i den nya biobankslagen, att det råder en viss oklarhet om förslaget harmonierar med skäl 43 i EU:s dataskyddsförordning, det vill säga huruvida samtycke utgör rättslig grund när betydande ojämlikhet råder mellan huvudman och provgivare i en vård- och behandlingssituation. framför vidare att det är otydligt om samtycket enligt den föreslagna biobankslagen avser endast ett generellt krav på rätt till självbestämmande för den enskilde vid lämnande av biobanksprover eller om detta samtycke även ska ses som en sådan rättslig grund för personuppgiftsbehandlingen som avses i artikel 6 i EU:s dataskyddsförordning. Det bör mot den bak- grunden påpekas att samtyckesregleringen i den föreslagna biobankslagen inte omfattar själva personuppgiftsbehandlingen kopplad till prov- hanteringen, utan endast hanteringen av provet. Det finns naturligtvis inget som hindrar att, i de fall det är lämpligt, samtycke inhämtas även gällande personuppgiftsbehandlingen i samband med ett prov samlas in. Detta kan även komma att bli nödvändigt för att det ska finnas rättslig grund för behandlingen i vissa fall, vilket tas upp nedan. Det samtycke som är reglerat i den nya biobankslagen är dock ett samtycke till provhanteringen som är att anse som en integritetshöjande åtgärd som ger en positiv effekt för enskildas integritetsskydd, men det utgör inte i sig ett samtycke enligt artikel 6.1 a i EU:s dataskyddsförordning. För den personuppgifts- behandling som blir en nödvändig följd av den föreslagna biobankslagen för de aktörer som kommer att behöva tillämpa lagen för att kunna leva upp till sina skyldigheter enligt annan författning, finns det annan rättslig grund att stödja sig på. Så är således fallet när det är fråga om en vård- eller behandlingssituation, som hänvisar till. Detta redogörs för i det följande. Som lyfts fram tidigare i denna lagrådsremiss utgör den dominerande delen av nytillkomna prover i biobanker av prover insamlade inom ramen för sjukvården för ändamålen diagnos och behandling. När insamlande och bevarande av prover sker inom ramen för hälso- och sjukvården eller tandvården för vård- och behandlingsändamål, utgör det ett led i den enskildes vård. Den föreslagna biobankslagens regler medför i detta sammanhang att vissa ytterligare krav ställs på vårdgivaren när vården innefattar provhantering i biobank och att dessa medför viss personuppgiftsbehandling. Regeringen anser att när provhantering sker inom ramen för regionernas hälso- och sjukvård och tandvård, den rättsliga grunden för personuppgiftsbehandlingen som den nya biobankslagen medför bör kunna finnas i artikel 6.1 e. I artikeln anges att personuppgifts- behandlingen är tillåten om den är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndig- 2021/22:257 hetsutövning. Begreppet allmänt intresse definieras inte i EU:s data- skyddsförordning. Av skäl 45 i EU:s dataskyddsförordning följer dock att allmänintresset inbegriper hälso- och sjukvårdsändamål, folkhälsa, socialt skydd och förvaltning av hälso- och sjukvårdstjänster. Det är upp till varje medlemsstat att fastställa de uppgifter som är av allmänt intresse. ringen har ansett att begreppet uppgift av allmänt intresse måste ges en vid betydelse (prop. 2017/18:105 s. 56). Det borde i regeringens mening inte råda något tvivel om att hälso- och sjukvård samt tandvård utgör uppgifter av allmänt intresse. För att personuppgiftsbehandling ska få ske med det rättsliga stödet i artikel 6.1 e i EU:s dataskyddsförordning krävs vidare enligt artikel 6.3 att grund för behandlingen ska fastställas i enlighet med unionsrätten, eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas I 2 kap. 2 § 1 dataskyddslagen förtydligas att den uppgift som utförs, och som är av allmänt intresse, ska följa av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller Regionernas, och i vissa fall kommunernas, skyldig- heter att ge god vård och tandvård finns beskrivna främst HSL och tand- Det finns även andra författningar som medför en uppgift att erbjuda vård, exempelvis lagen (2008:344) om hälso- och sjukvård åt asyl- sökande m.fl. och lagen (2013:407) om hälso- och sjukvård till vissa utlän- ningar som vistas i utan nödvändiga tillstånd. giftsbehandling som blir nödvändig utifrån den nya biobankslagens