sou · H9B343 · 2022-01-01 00:00:00 — I 25 kap. 1 § OSL regleras sekretessen inom hälso- och sjukvården för uppgifter om en enskilds hälsotillstånd eller andra personliga för- hållanden. Regleringen gäller även i annan medicinsk verksamhet, exempelvis rättsmedicinsk och rättspsykiatrisk undersökning, insemi- nation, befruktning utanför kroppen, fastställande av könstillhörig- het, abort, sterilisering, omskärelse och åtgärder mot smittsamma sjukdomar. Av förarbetena till bestämmelsen framgår att med annan medicinsk verksamhet åsyftas i 25 kap. 1 § OSL verksamhet som inte primärt har vård- eller behandlingssyfte. Vår bedömning är att bestämmelsen i OSL blir tillämplig vid hälso- och sjukvårdens spår- säkring såsom annan medicinsk verksamhet eller rättsmedicinsk undersökning och eftersom spårsäkring utförs inom en hälso- och sjukvårdsverksamhet av legitimerad läkare och annan hälso- och sjukvårdspersonal. Sekretessen för hälso- och sjukvården upphävs i huvudsak vid våldtäkt, försök till våldtäkt samt alla brott mot barn. Detta innebär att hälso- och sjukvården på begäran av t.ex. åklagare eller polis i dessa fall ska lämna ut uppgifter som den förfogar över, om inte uppgiften är sekretessbelagd eller det skulle hindra arbetets behöriga gång (6 kap. 5 § OSL). De sekretessbrytande bestämmelserna inne- bär även att hälso- och sjukvården har en möjlighet att lämna ut uppgifter om misstanke om sådana brott till polis och åklagare men ingen skyldighet att på eget initiativ anmäla misstankar om brott.76 Vår bedömning är att gällande sekretessbestämmelser om utläm- nande av uppgifter även vid en spårsäkringssituation från hälso- och sjukvården till andra myndigheterna är väl avvägda och att någon utvidgning inte behövs i spårsäkringshänseende. 2005/06:161, Sekretessfrågor – Skyddade adresser, m.m., s. 104. 9.10.9Utlämnande av proverna och fynden från en spårsäkring Förslag: Proverna och fynden från en spårsäkring får inte lämnas ut av hälso- och sjukvården utan den enskildes samtycke till eller en åklagarmyndighet, om inte något annat följer av andra stycket. Proverna och fynden från en spårsäkring som avser en måls- ägande ska dock på begäran lämnas ut till eller en åklagarmyndighet utan den enskildes samtycke efter att en polisanmälan om brott har gjorts 1.vid misstanke om brott enligt 6 kap. för vilket det inte är föreskrivet lindrigare straff än fängelse eller försök till brott för vilket det inte är föreskrivet lindrigare straff än fängelse , eller 2.vid misstanke om brott enligt 6 kap. mot någon som inte har fyllt . Enligt 2 kap. 3 § tryckfrihetsförordningen (TF) förstås med hand- ling framställning i skrift eller bild samt upptagning som kan läsas, avlyssnas eller på annat sätt uppfattas endast med tekniskt hjälp- medel. I 2 kap. 4 § TF anges att en handling är allmän, om den för- varas hos en myndighet och enligt 9 eller 10 § är att anse som inkommen till eller upprättad hos myndigheten. I ett avgörande från (RÅ 1994 not. 465) hade en person begärt att få ta del av bl.a. två blodprov som fanns i vid rörande två angivna barn. Hälso- och sjuk- vårdsnämnden vid konstaterade i sitt beslut att provmaterial inte är allmän handling och prövade inte frågan om utlämnande. Både kammarrätten och Högsta förvalt- ningsdomstolen bedömde att det material som begärts utlämnat inte är handling i tryckfrihetsförordningens mening och därför inte kunde lämnas ut. När en spårsäkringssats har använts av hälso- och sjukvården kan den innehålla spår från brottsoffret men även från andra personer. Spår från brottsoffret utgörs bl.a. av blodprov för dna-analys, blod- och urinprover för analys av förekomst av alkohol och narkotika. Spårsäkringssatsen kan även innehålla fibrer, hårstrån, spermier och andra spår som efter dna-analys kan kopplas till en förövare eller annan person. En spårsäkringssats innehåller således andra vävnads- prover än enbart blodprov. Med hänsyn till definitionen av handling enligt TF samt det ovanför redogjorda notisfallet från Högsta för- valtningsdomstolen är vår bedömning att en spårsäkringssats inte utgör handling i tryckfrihetsförordningens mening och vid en begä- ran om utlämnande av allmän handling inte bör kunna lämnas ut av hälso- och sjukvården till brottsutredande myndigheter eller till någon annan. För att en spårsäkringssats ska lämnas över från hälso- och sjukvården till brottsutredande myndigheter krävs således att det finns ett samtycke till detta från sexualbrottsoffret. I de flesta fall görs polisanmälningar av sexualbrott av sexual- brottsoffret själva och då finns normalt ett samtycke till att spår- säkringssatsen lämnas ut till de brottsutredande myndigheterna. Det förekommer dock att den enskilde har uppsökt hälso- och sjukvår- den för vård efter att ha blivit utsatt för ett sexualbrott. Skulle brottet t.ex. vid ett senare skede komma till polisens kännedom och målsäganden, trots att denne har gett sitt samtycke till spår- säkringen, vägrar att ge sitt samtycke till att spårsäkringssatsen lämnas ut till brottsutredande myndigheter finns det enligt bestäm- melserna i offentlighets- och sekretesslagen oavsett samtycke möj- ligheter för polisen eller åklagare att vid grövre sexualbrott erhålla nödvändiga uppgifter från sjukvården, i vissa fall i form av ett rätts- intyg. Enligt vår bedömning bör liknande bestämmelser när det kommer till vuxna gälla en spårsäkringssats, dvs. frågan om utläm- nande av en sådan bör vara förenlig med aktuella bestämmelser i offentlighets- och sekretesslagen och lagen om rättsintyg i anledning av brott (jfr 10 kap. 23 § OSL samt 5 § lagen om rättsintyg i anled- ning av brott). En spårsäkringssats bör kunna begäras ut av brotts- utredande myndigheter på samma sätt som uppgifter om den en- skildes hälsotillstånd eller andra personliga förhållanden vid ett sexualbrott samt vad gäller utfärdande av rättsintyg utan samtycke från målsäganden. Har målsäganden inte fyllt bör spårsäkrings- satsen lämnas ut på begäran av brottsutredande myndigheter oavsett straffskala efter en polisanmälan, likt bestämmelsen i 5 § punkten 3 i lagen om rättsintyg i anledning av brott. Spårsäkringssatsen ska i övrigt inte lämnas ut av hälso- och sjukvården till någon annan än brottsutredande myndigheter oavsett den enskildes samtycke. 9.10.10Behandling av personuppgifter samt dokumentation i patientjournalen Förslag: Vid hälso- och sjukvårdens personuppgiftbehandling i samband med spårsäkringar ska patientdatalagen tillämpas. Patientdatalagens definition av hälso- och sjukvård ska dessutom omfatta hälso- och sjukvårdens spårsäkring efter sexualbrott. Bedömning: Hälso- och sjukvårdens personuppgiftsbehandling aktualiseras först när uppgifter i samband med en spårsäkring förs in i patientjournalen eller annars behandlas automatiserat och inte i samband med hanteringen eller förvaringen av spårsäkrings- satsen. Den personuppgiftsbehandling som följer med spårsäkringen omfattas som huvudregel av dataskyddsförordningen. Det är där- emot möjligt att personuppgiftsbehandlingen i vissa delar av spårsäkringen även skulle kunna omfattas av brottsdatalagen enligt uttalandena i förarbetena om författningsreglerad stöd- verksamhet. Dataskyddsregleringarna skulle i sådana fall kunna bli tillämpliga parallellt om personuppgiftsbehandlingen har olika syften. Den personuppgiftsbehandling som följer av förslaget till den föreslagna lagen om hälso- och sjukvårdens spårsäkring efter sexualbrott anses förenlig med dataskyddsförordningen. Genom att även göra patientdatalagen tillämplig, med de förändringar som föreslås, bör detta leda till en tydligare reglering för de vård- givare och den hälso- och sjukvårdspersonal som ska utföra spår- säkringar och därmed en mer rättssäker reglering av behandlingen av personuppgifter och ett starkare integritetsskydd för den en- skilde. Genom den föreslagna lagen och att patientdatalagen blir tillämplig får hälso- och sjukvården stöd för att dokumentera uppgifter från en spårsäkring för de ändamål som framgår av patientdatalagen. När blir personuppgiftsbehandling vid spårsäkring aktuell? Det humanbiologiska material som omhändertas vid en spårsäkring som i vart fall kommer från ett sexualbrottsoffer och eventuellt även från en förövare eller någon annan person utgör prov, som exem- pelvis vävnadsprov eller blodprov. Som vi redovisat i avsnitt 9.6 har olika aktörer haft skilda uppfattningar om sådana prov från en patient ska anses som personuppgifter eller inte. När det gäller en förövare eller annan så har sådana prov emellertid genomgående inte bedömts som personuppgifter. Av om beslag anges t.ex. att en spårsäkringssats ska betraktas som spår. Som redogjorts för ovan omfattas inte spår av någon lagstiftning. Även hanterar innehållet i en spårsäkringssats som spår förutom underkläder (punkten 2 i riktlinjer för spårsäkringssatser vid sexualbrottsutredningar). Tidi- gare Artikel 29-gruppen har i ett yttrande bedömt att vävnadsprover inte i sig är personuppgifter, utan utgör källor som personuppgifter kan utvinnas ur. När det kommer till prover som gäller en förövare eller annan anser utredningen därmed att sådana inte i sig är person- uppgifter. När det kommer till sexualbrottsoffret förekommer dock per- sonuppgifter i en använd spårsäkringssats genom att proven i sig identitetmärks med personnummer eller namn på sexualbrotts- offret.77 Det går därför inte att utesluta att spårsäkringssatserna genom märkningen innehåller personuppgifter från sexualbrotts- offret genom att personuppgifter medföljer proverna. Vår bedöm- ning är dock att hälso- och sjukvårdens hantering av spårsäkrings- satser inte i sig innebär personuppgiftshantering. Vid förvaringen av spårsäkringssatser hos hälso- och sjukvården är inte avsikten att proverna ska föras in i ett register, varken manuellt eller automatiskt, utan syftet är att de ska förvaras i väntan på att sexualbrottsoffret gör en polisanmälan så att de kan lämnas över till polisen. Efter att hälso- och sjukvården har utfört en spårsäkring läggs spårsäkrings- satsen undan i en hylla för förvaring av det torra materialet och i kylskåp för förvaring av blod- och urinprov. Det finns inget identi- fieringsnummer i syfte att söka fram spårsäkringssatsen i patient- journalen. Spårsäkringssatserna eller proverna är således inte direkt sökbara i hälso- och sjukvårdens journalsystem eller på annat sätt. 77Jfr SOU 2017:40 s. 159. Det enda sättet att hitta uppgiften om att hälso- och sjukvården förvarar en viss spårsäkringssats är genom att söka på patientens personnummer och läsa igenom journalen från besökstillfället för att se om en spårsäkring har utförts eller genom att manuellt ta fram spårsäkringssatsen. Det kan även nämnas att Utredningen om data- skydd vid i betänkandet Stärkt integritet i verksamhet (SOU 2017:80) bedömt att hantering av humanbiologiskt material inom myndigheten inte omfattas av personuppgiftslagarna.78 Enligt vår bedömning bör personuppgiftsbehandlingen därför aktualiseras först när uppgifter ska behandlas helt eller delvis automatiserat, och för annan behandling av personuppgifter som ingår i eller är avsedda att ingå i ett register. Vi bedömer därmed att det är de uppgifter som förs in i patientjournalen eller som annars behandlas automatiserat som omfattas av personuppgiftslagarna och inte proverna i en spårsäk- ringssats i sig. I förarbetena till biobankslagen uttalade dock reger- ingen att hanteringen av vävnadsprover i en biobank ändå är så integritetskänslig att den i allt väsentligt bör uppfylla krav på integ- ritetsskydd motsvarande de i personuppgiftslagarna. När det kom- mer till själva utförandet av en spårsäkring och förvaringen av spår- säkringssatsen krävs det samtycke från patienten. Finns det inget samtycke från patienten så ska en spårsäkring inte genomföras och samtycke krävs också som huvudregel för att en spårsäkringssats ska kunna lämnas ut till brottsutredande myndigheter. Enligt utred- ningens mening bör kraven på samtycke i dessa avseenden innebära ett tillräckligt integritetsskydd för den enskilde. Personuppgiftsbehandlingen vid spårsäkring omfattas av dataskyddsförordningen När det gäller behandling av personuppgifter för hälso- och sjukvår- dens syften omfattas all sådan personuppgiftsbehandling av data- skyddsförordningen och av de kompletterande bestämmelser som finns i dataskyddslagen och den sektorsspecifika patientdatalagen som kan avvika från dataskyddsförordningens och dataskyddslagens bestämmelser i den mån förordningen medger sådana avvikelser. Utgångspunkten vid hälso- och sjukvårdens spårsäkring är att den 78SOU 2017:80 Stärkt integritet i verksamhet. personuppgiftsbehandling som utförs utgår från medicinska ut- gångspunkter eftersom den utförs som en del i vårdens medicinska omhändertagande av ett sexualbrottsoffer. Det kan återigen nämnas exempel såsom att det medicinska omhändertagandet innebär att blodprover tas av hälso- och sjukvården i syfte att utesluta sexuellt överförbara infektioner. Blodprover tas dock även som en del i spår- säkringen. Vid t.ex. en gynekologisk undersökning kontrolleras bl.a. huruvida kvinnan har erhållit skador på de inre könsorganen och provtagning tas för klamydia och gonorréodling. I samband med detta tas även topsprov från livmoderhalsen och bakre fornix för exempelvis påvisande av spermier. Utredningens bedömning är att den personuppgiftsbehandling som följer med spårsäkringen som huvudregel omfattas av dataskyddsförordningen eftersom person- uppgiftshanteringen i de flesta fall är svår att bryta ut och särskilja från journalföringen och kring personuppgiftsbehandlingen som i övrigt utförs för vårdändamål. Avsikten är självfallet inte att jour- nalföringen självständigt ska användas såsom ett rättsintyg, dvs. att läkaren tar ställning till omständigheter som har direkt koppling till det eventuella brottet och dess händelseförlopp. Förvisso kan det göras anteckningar i en patientjournal om brottet (t.ex. i anamnesen) vilket kan användas som direkt bevisning i rättegång. Journal- föringen utgår framför allt ifrån den kliniska undersökning som görs och fokus ligger på den vårdande aspekten. Bedömningar av exem- pelvis hur och när skadorna uppkommit eller huruvida dessa varit förenade med risk för framtida skador görs sällan vid en klinisk undersökning. Provtagningar för rättskemisk och kriminalteknisk analys tas av hälso- och sjukvården men dessa analyseras inte förrän det finns en brottsanmälan och det av brottsutredande myndigheter beslutas att provtagningarna ska skickas på analys. Det går däremot inte att utesluta att personuppgiftsbehandlingen vid spårsäkringen även skulle kunna omfattas av brottsdatalagen enligt uttalandena i förarbetena om författningsreglerad stödverksamhet. Dataskydds- regleringarna skulle i sådana fall eventuellt kunna bli tillämpliga parallellt om personuppgiftsbehandlingen har olika syften (se mer om detta längre ner om förhållandet till brottsdatalagen). Patientdatalagen föreslås bli tillämplig För att behandlingen av personuppgifter vid hälso- och sjukvårdens spårsäkring ska vara laglig krävs att det finns stöd för behandlingen i dataskyddsförordningen. Vid hälso- och sjukvårdens spårsäkring föreslås patientdatalagen att vara tillämplig. En genomgång av patient- datalagen och dess överensstämmelse med dataskyddsförordningen görs i avsnitt 9.6. De bedömningar som redovisas nedan avser hälso- och sjukvårdens personuppgiftsbehandling vid spårsäkring med an- ledning av förslaget till ny lag och att patientdatalagen föreslås bli tillämplig. De grunder som bör bli aktuella att tillämpa vid spårsäkring är främst artikel 6.1 c och e i dataskyddsförordningen som anger att behandling av personuppgifter är laglig om behandlingen är nödvän- dig för att fullgöra en rättslig förpliktelse som åvilar den personupp- giftsansvarige, eller om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgifts- ansvariges myndighetsutövning. Behandlingen av personuppgifter föreslås inte ha sin lagliga grund i samtycke från den enskilde. Enligt vårt förslag åläggs regionerna att ansvara för hälso- och sjukvårdens spårsäkringar i de fall sexualbrottsoffret inte har gjort en polisanmälan. har bedömt att det är rimligt att anta att uppgifter som utförs av statliga myndigheter i syfte att uppfylla ett uttryckligt uppdrag av riksdag eller regering är av allmänt intresse och på motsvarande sätt anses de obligatoriska uppgifter som utförs av kommuner och regioner, till följd av deras åligganden enligt lag eller förordning, vara av allmänt intresse i data- skyddsförordningens mening.79 Utredningen gör bedömningen att uppgiften att hälso- och sjukvården utför spårsäkringar, oavsett om det sker på begäran av eller inte, får anses utgöra en uppgift av allmänt intresse. Vi bedömer vidare att den nya lagen även kommer att innebära en rättslig förpliktelse för regionerna att utföra spårsäkringar, i de fall de inte sker på begäran av en brottsutredande myndighet. I de fall spårsäkring sker på begäran av en brottsutredande myndighet finns redan en lagstadgad rättslig förpliktelse för hälso- och sjukvårdspersonal, dvs. för den offentlige läkaren, i 6 kap. 9 § PSL. Rättsliga förpliktelser för de vårdgivare och den hälso- och sjukvårdspersonal som utför spårsäkringar kommer 79SOU 2017:39, Ny dataskyddslag, s. 124. även att finnas i patientdatalagen, både vad avser personuppgifts- behandling, men även genom kraven på dokumentation och inre sekretess, information till den enskilde, omhändertagande och åter- lämnande av patientjournal med mera. Vi bedömer därför att grund för laglig behandling av personuppgifter vid hälso- och sjukvårdens spårsäkringar finns i artikel 6.1 c om nödvändig behandling för att fullgöra en rättslig förpliktelse. Enligt artikel 6.3 i dataskyddsförordningen ska den grund för behandlingen som avses i artikel 6.1 c och e fastställas i enlighet med unionsrätten, eller en medlemsstats nationella rätt som den person- uppgiftsansvarige omfattas av. Syftet med behandlingen ska fastställas i den rättsliga grunden eller, i fråga om behandling enligt artikel 6.1 e, vara nödvändigt för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Den rättsliga grunden kan innehålla särskilda bestämmelser för att anpassa tillämpningen av bestämmelserna i förordningen, som t.ex. de all- männa villkor som ska gälla för den personuppgiftsansvariges behand- ling, vilken typ av uppgifter som ska behandlas, vilka registrerade som berörs, de enheter till vilka personuppgifterna får lämnas ut och för vilka ändamål, ändamålsbegränsningar, lagringstid samt typer av behandling och förfaranden för behandling, inbegripet åtgärder för att tillförsäkra en laglig och rättvis behandling, däribland för behandling i andra särskilda situationer enligt kapitel IX i dataskyddsförord- ningen. Unionsrätten eller medlemsstaternas nationella rätt ska upp- fylla ett mål av allmänt intresse och vara proportionell mot det legi- tima mål som eftersträvas. Utredningen bedömer att syftet med den personuppgiftsbehand- ling som hälso- och sjukvården utför vid en spårsäkring har en rättslig grund i förslaget till ny lag som bl.a. syftar till att reglera hälso- och sjukvårdens ansvar i samband med vårdens spårsäkringar. Rättslig grund för behandlingen finns även i patientdatalagen. Vi bedömer vidare att bestämmelserna om spårsäkring för hälso- och sjukvården uppfyller mål av allmänt intresse och är proportionellt mot det legitima mål som eftersträvas, dvs. att den enskilde ska få möjlighet att få en rättssäker prövning av rättsväsendet om hon eller han väljer att göra en polisanmälan. Det får därmed anses att det intrång som görs i den enskildes integritet genom hälso- och sjuk- vårdens personuppgiftsbehandling vid hälso- och sjukvårdens spår- säkring med de ändringar i patientdatalagen som föreslås står i pro- portion till det syfte som eftersträvas. Vi anser att patientdatalagen bör tillämpas i sin helhet på vård- givarens behandling av personuppgifter i samband med en spårsäk- ring. Behandling av personuppgifter som är tillåten enligt patient- datalagen får enligt 2 kap. 2 § PDL utföras även om den enskilde motsätter sig den. Den enskilde har dock möjlighet att motsätta sig att annan vårdenhet eller vårdprocess genom elektronisk åtkomst ges tillgång till uppgifterna, den enskilde har också möjlighet att motsätta sig sammanhållen journalföring eller att hans eller hennes personuppgifter behandlas i ett nationellt eller regionalt kvalitets- register. Vi bedömer även att den enskilde inte bör ha möjlighet att göra invändningar mot hälso- och sjukvårdens behandling av person- uppgifter vid spårsäkringar med stöd av artikel 21.1. dataskydds- förordningen eftersom denna har sin lagliga grund i både artikel 6.1 c och e. Den personuppgiftsbehandling som främst kommer att utföras är med stöd av ändamålet vårddokumentation, men att även övriga ändamål kan bli aktuella. Det kommer t.ex. ur ett patientperspektiv vara viktigt med dokumentation vid tillsyn av Inspektionen för vård och omsorg samt ur ett kvalitetsperspektiv och för uppföljning och utvärdering av spårsäkringarna. Med vårt förslag om att PDL blir tillämplig blir Integritetsskydds- myndigheten ansvarig tillsynsmyndighet över personuppgiftsbehand- lingen, vilket enligt utredningens mening är lämpligt. Behandling av känsliga personuppgifter Vid hälso- och sjukvårdens spårsäkring behandlas känsliga person- uppgifter, detta gäller framför allt uppgifter om hälsa, men även andra uppgifter såsom om sexualliv och sexuell läggning kan komma att behandlas. Känsliga personuppgifter får behandlas enligt data- skyddsförordningens artikel 9.2 h om behandlingen är nödvändig av skäl som hör samman med förebyggande hälso- och sjukvård och yrkesmedicin, bedömningen av en arbetstagares arbetskapacitet, medicinska diagnoser, tillhandahållande av hälso- och sjukvård, eller förvaltning av hälso- och sjukvårdstjänster m.m. Eftersom PDL föreslås göras tillämplig vid hälso- och sjukvårdens spårsäkring kom- mer personuppgiftsbehandlingen, utöver bestämmelserna i data- skyddsförordningen, även regleras i patientdatalagen. Stöd för be- handling av känsliga personuppgifter bör därför finnas i artikel 9.2 h som avser personuppgiftsbehandling vid tillhandahållande av hälso- och sjukvård. Känsliga personuppgifter får även behandlas enligt dataskydds- förordningens artikel som avser personuppgiftsbehandling som är nödvändig med hänsyn till ett viktigt allmänt intresse. Bestäm- melser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen i dessa fall finns t.ex. i OSL och ändamålsbegränsningen i PDL. Vi bedömer alltså att det finns stöd för behandling av känsliga personuppgifter även enligt denna artikel. Hur bör patientdatalagen göras tillämplig? Enligt 1 kap. 1 § patientdatalagen ska lagen tillämpas vid vårdgivares behandling av personuppgifter inom hälso- och sjukvården samt i tillämpliga delar även uppgifter om avlidna personer. Vad som avses med hälso- och sjukvård definieras i 1 kap. 3 § där det bl.a. anges att verksamhet som avses i hälso- och sjukvårdslagen, tandvårdslagen, lagen om psykiatrisk tvångsvård, lagen om rättspsykiatrisk vård och smittskyddslagen anses som hälso- och sjukvård enligt PDL. Även verksamheter vars åtgärder helt eller delvis faller utanför hälso- och sjukvårdslagens definition av hälso- och sjukvård ingår i PDL:s definition av hälso- och sjukvård. I förarbetena till patientdatalagen anges att lagen ska vara till- lämplig för personuppgiftsbehandling i all individinriktad patient- verksamhet som innefattar vård, undersökning eller behandling.