sou · H9B343 · 2022-01-01 00:00:00 — I förarbetena till lagen benämns tillämpningsområdet som vårdgivarnas kärnverksamhet och anges omfatta den individ- inriktade patientvården som innefattar vård, undersökning eller behandling inom hälso- och sjukvården.43 Lagen är tillämplig hos såväl offentliga vårdgivare, dvs. statliga myndigheter, regioner och kommuner, som privata vårdgivare, dvs. andra juridiska personer eller enskilda näringsidkare som bedriver hälso- och sjukvård. I 2 kap. 4–5 §§ PDL anges de ändamål som personuppgifter får behandlas för. Av ändamålsbestämmelsen i 2 kap. 4 § första stycket 1 PDL framgår bl.a. att personuppgifter får behandlas inom hälso- och sjukvården om det behövs för att fullgöra den skyldighet att föra patientjournal som anges i 3 kap. PDL. Den behandling av personuppgifter som sker i syfte att föra patientjournal är således nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige i enlighet med artikel 6.1 c i dataskydds- förordningen. Utöver skyldigheten att föra patientjournal i patient- datalagen finns det andra författningar som föreskriver att vård- givare inom hälso- och sjukvården ska dokumentera och lämna ut uppgifter till olika myndigheter. Det anges därför i 2 kap. 4 § första stycket 3 PDL att personuppgifter får behandlas om det behövs för att upprätta annan dokumentation som följer av lag, förordning eller annan författning. Även behandling som sker för detta ändamål är nödvändig för att fullgöra rättsliga förpliktelser enligt artikel 6.1 c i dataskyddsförordningen. Detsamma gäller behandling av personupp- gifter för att fullgöra uppgiftslämnande som sker i överensstämmelse 2017/18:105, Ny dataskyddslag, s. 21–23 och Prop. 2019/20:106 s. 16. 2007/08:126, m.m., s. 48 f. med lag eller förordning enligt 2 kap. 5 § PDL om det sker på grund av en uppgiftsskyldighet. I den mån uppgiftslämnandet inte grundar sig på en skyldighet utan på en möjlighet att lämna uppgifter, får upp- giftslämnandet anses utgöra en arbetsuppgift av allmänt intresse enligt artikel 6.1 e i dataskyddsförordningen.44 De andra ändamål som räknas upp i 2 kap. 4 § första stycket är upprättande av annan dokumentation som behövs i och för vården av patienter, administration som rör patienter och som syftar till att ge vård i enskilda fall eller som annars föranleds av vård i enskilda fall, systematisk och fortlöpande utveckling och kvalitetssäkring i verksamheten, administration, planering, uppföljning, utvärdering och tillsyn av verksamheten samt framställning av statistik om hälso- och sjukvården. Bedrivandet av en god hälso- och sjukvård är i vissa fall, särskilt för det allmänna, en rättslig förpliktelse, t.ex. enligt HSL. I 5 kap. 1 § HSL finns det en generell rättslig förpliktelse för den som bedriver hälso- och sjukvård, dvs. de vårdgivare som om- fattas av patientdatalagen, att bedriva denna så att den uppfyller kraven på en god vård. Detta får också anses vara det yttersta syftet med den behandling av personuppgifter som tillåts enligt patient- datalagen – att uppnå en god vård. Större delen av den behandling av personuppgifter som sker för de ändamål som anges i patient- datalagen har således stöd i artikel 6.1 c i dataskyddsförordningen. Behandling enligt patientdatalagen, som inte är nödvändig för att uppfylla en rättslig förpliktelse, får anses nödvändig för att utföra en arbetsuppgift av allmänt intresse enligt artikel 6.1 e i dataskydds- förordningen.45 När det gäller behandling av känsliga personuppgifter får detta ske med stöd av 2 kap. 4, 5 och 7 §§ patientdatalagen som anger att en vårdgivare endast får behandla sådana personuppgifter som be- hövs för vissa uppräknade ändamål (mer om känsliga personupp- gifter nedan). Behandling av personuppgifter som inte är tillåten enligt patient- datalagen får enligt 2 kap. 3 § PDL ändå ske om den enskilde har lämnat ett uttryckligt samtycke till behandlingen. Undantag finns såväl i patientdatalagen som i annan lagstiftning och regeringen får meddela föreskrifter om ytterligare undantag. Samtycke utgör enligt dataskyddsförordningen en rättslig grund för behandling av person- 44SOU 2017:66 s. 327. 45SOU 2017:66 s. 327. Av artikel 6.1 a följer att behandling är laglig om den registrerade har lämnat sitt samtycke till att dennes personuppgifter behandlas för ett eller flera specifika ändamål. Samtycke definieras i artikel 4.11 i dataskyddsförordningen som varje slag av frivillig, spe- cifik, informerad och otvetydig viljeyttring, genom vilken den registrerade, antingen genom ett uttalande eller genom en entydig bekräftande handling, godtar behandling av personuppgifter som rör honom eller henne. I artikel 7 och 8 i dataskyddsförordningen finns vissa ytterligare bestämmelser om samtycke som rättslig grund för behandling av personuppgifter. Av skäl 43 till dataskyddsförord- ningen framgår dock att samtycke inte bör utgöra giltig rättslig grund i ett särskilt fall där det råder betydande ojämlikhet mellan den registrerade och den personuppgiftsansvarige, särskilt om den person- uppgiftsansvarige är en offentlig myndighet och det därför är osanno- likt att samtycket har lämnats frivilligt när det gäller alla förhållanden som denna särskilda situation omfattar. Artikel 29-gruppen har i ett yttrande gjort vissa uttalanden avseende data- skyddsdirektivets krav på att samtycke ska ha lämnats frivilligt. Iyttrandet anges att typen av registeransvarig kan vara avgörande för valet av rättslig grund för behandling av personuppgifter. Detta gäller framför allt registeransvariga inom den offentliga sektorn, där behandlingen av personuppgifter normalt är knuten till fullgörandet av en rättslig förpliktelse eller utförandet av en arbetsuppgift av allmänt intresse. Att använda samtycke som rättslig grund i dessa fall är inte lämpligt. Detta är särskilt tydligt när det gäller hur person- uppgifter behandlas av offentliga myndigheter som har officiella maktbefogenheter, t.ex. rättsvårdande myndigheter som agerar inom ramen för sina uppdrag i samband med polisiära och rättsliga aktiviteter. I samma yttrande anges att ett samtycke som i en vård- situation getts under hot om att medicinsk vård annars inte kommer att ges, eller att medicinsk vård av lägre kvalitet kommer att ges, inte kan betraktas som frivilligt.46 Bestämmelsen i artikel 6.1 a i dataskyddsförordningen om att behandling är laglig om den registrerade har lämnat sitt samtycke till att dennes personuppgifter behandlas för ett eller flera specifika ändamål är direkt tillämplig och inte försedd med någon möjlighet till nationell begränsning. Det är därför inte tillåtet att förbjuda enskilda att behandla personuppgifter med stöd av ett giltigt sam- 46Yttrande 15/2011 s. 13–14 och 16–17. tycke från den registrerade annat än när det gäller bl.a. känsliga per- sonuppgifter (artikel 9.2 a dataskyddsförordningen). Av artikel 9.1 i dataskyddsförordningen framgår att behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fack- förening och behandling av genetiska uppgifter, biometriska upp- gifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning ska vara förbjuden. Huvudregeln är alltså enligt artikel 9.1 i data- skyddsförordningen att behandling av känsliga personuppgifter är förbjuden. Huvudregeln kompletteras med ett antal undantag i artikel 9.2, som anger när behandling av känsliga personuppgifter ändå kan tillåtas. Vissa av undantagen är direkt tillämpliga medan andra kräver viss reglering i den nationella lagstiftningen för att be- handlingen ska få ske. Känsliga personuppgifter kan enligt artikel 9.2 a behandlas med stöd av samtycke. Det är också enligt artikel 9.2 c tillåtet att be- handla känsliga personuppgifter om behandlingen är nödvändig för att skydda en fysisk persons grundläggande intressen när den registrerade är förhindrad att ge sitt samtycke. Behandling av käns- liga personuppgifter får enligt artikel vidare ske av hänsyn till ett, på grundval av eller nationell rätt, viktigt allmänt intresse. Behandling av känsliga personuppgifter får enligt arti- kel 9.2 h och artikel 9.3 också ske i anslutning till hälso- och sjuk- vård, yrkesmedicin och social omsorg, på grundval av eller medlemsstaternas nationella rätt under förutsättning att upp- gifterna behandlas av eller under ansvar av en yrkesutövare som om- fattas av tystnadsplikt. Enligt artikel 9.4 får medlemsstaterna behålla eller införa ytterligare villkor, även begränsningar, för behandlingen av genetiska eller biometriska uppgifter eller uppgifter om hälsa. Såsom konstaterats ovan innehåller patientdatalagen uttryckliga bestämmelser om att känsliga personuppgifter, eller alla slags per- sonuppgifter inklusive känsliga, får behandlas under vissa förutsätt- ningar. Brottsdatalagen ska tillämpas av de som är behöriga myndigheter en- ligt lagen, om syftet med personuppgiftsbehandlingen är att före- bygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla all- män ordning och säkerhet (1 kap. 2 § brottsdatalagen). Det är så- ledes syftet med behandlingen av personuppgifter i det enskilda fallet som blir avgörande för när lagen ska tillämpas, inte i vilken verksamhet behandlingen utförs. I brottsdatalagen definieras en be- hörig myndighet som en myndighet som har till uppgift att före- bygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder, eller upprätthålla allmän ordning och säkerhet. Som behörig myndighet ska också för- stås en annan aktör som anförtrotts att utöva myndighet för något av dessa syften (1 kap. 6 § brottsdatalagen). Det framgår således inte direkt av lagen vilka som är behöriga myndigheter. Det avgörande är om myndigheten har en uppgift inom brottsbekämpning, lagföring, straffverkställighet eller upprätthållande av allmän ordning och säkerhet. Myndigheten är behörig myndighet bara när den behandlar personuppgifter i sådant syfte. En myndighet kan alltså vara både behörig och icke behörig i lagens mening beroende på i vilket syfte som personuppgifter behandlas.47 operativa verk- samhet utgörs till stor del av verksamhet som omfattas av brotts- datalagens tillämpningsområde samt registerförfattningen lagen (2018:1693) om polisens behandling av personuppgifter inom brotts- datalagens område (polisens brottsdatalag). Den senare lagen har ersatt polisdatalagen (2010:361). I likhet med den tidigare lagen ska den ge polisen utrymme att behandla personuppgifter i den brottsbekämpande verksamheten, som de personer som berörs så långt som det är möjligt ska skyddas mot att deras per- sonliga integritet kränks. Den gäller utöver brottsdatalagen och inne- håller enbart bestämmelser som innebär preciseringar, undantag eller andra avvikelser från den lagen. Myndigheterna i rättskedjan behöver ibland stöd från myndigheter med annan kompetens. Sådan stödverksamhet kan avse t.ex. foren- 2017/18:232, Brottsdatalag, s. 109 f. och 429 f. sisk, medicinsk eller psykiatrisk kompetens. Stödet kan också avse särskilda resurser. Den som har en författningsreglerad skyldighet att biträda behöriga myndigheter med särskild kompetens eller särskilda resurser bör vid utförandet av sådana uppgifter anses som behörig myndighet och tillämpa lagen. Annat stöd som inte är författnings- reglerat och som lämnas till en behörig myndighet av en myndighet eller annan aktör som inte själv är behörig myndighet i lagens mening ligger däremot utanför lagens tillämpningsområde, t.ex. stöd från myndigheter som deltar i olika insatser för att förebygga brott eller att samverka mot brott och oordning. Ett exempel är när en statlig myndighet som t.ex. bistår åklagare i förunder- sökningar om ekonomisk brottslighet.48 Enligt brottsdatalagen är en personuppgift varje upplysning om en identifierad eller identifierbar fysisk person som är i livet (1 kap. 6 § brottsdatalagen). Varje upplysning som kan hänföras till en fysisk person är en personuppgift. Det gäller även upplysningar som kan hänföras till en individ om en fysisk person kan identifieras med hjälp av informationen. Det krävs inte att den personuppgiftsansva- rige ska förfoga över samtliga uppgifter som gör identifieringen möjlig. Det innebär att t.ex. oidentifierade fingeravtryck och DNA- profiler är personuppgifter, eftersom det är möjligt att identifiera en person med hjälp av dem. Även bild- eller ljudupptagningar kan utgöra personuppgifter, om man direkt eller indirekt kan avgöra vil- ken individ som upptagningen avser.49 Brottsdatalagen gäller som ovan nämnts vid sådan behandling av personuppgifter som är helt eller delvis automatiserad och för annan behandling av personuppgifter som ingår i eller är avsedda att ingå i en strukturerad samling av personupp- gifter som är tillgängliga för sökning eller sammanställning enligt sär- skilda kriterier (1 kap. 3 § brottsdatalagen). Enligt lagen innebär behandling av personuppgifter en åtgärd eller kombination av åtgär- der som vidtas i fråga om personuppgifter eller uppsättningar av person- uppgifter, oavsett om det görs automatiserat eller inte, t.ex. insamling, registrering, organisering, strukturering, lagring, bearbetning eller änd- 2017/18:232 s. 112. 2017/18:232 s. 437. ring, framtagning, läsning, användning, utlämnande, spridning eller tillhandahållande på annat sätt, justering, sammanföring, begränsning, radering eller förstöring (1 kap. 6 § brottsdatalagen). På brottsplatser kan det samlas in spår som utgör underlaget för analyser och andra forensiska undersökningar. Enligt Lexinos kom- mentar till 27 kap. 1 § RB (, Rättegångsbalk [, Lexino], kommentaren till 27 kap. 1 § ) är spår material som varken har något värde eller är i någons besittning. Till spår räknas vanligen kroppsvätskor som blod, saliv och sekret, samt föremål som kan anträffas på en brottsplats och som kan bli föremål för en teknisk undersökning, t.ex. cigarettfimpar, patron- hylsor och tomflaskor. Någon reglering i RB eller i annan lagstift- ning avseende spår finns inte. Sådan reglering har dessutom avvisats i förarbetena.50 Av om beslag anges att spår är föremål som skäligen kan antas ha betydelse för utredning om brott. I handboken anges att ett s.k. rapekit (dvs. Spårsäkrings- sats efter sexuella övergrepp) är att anse som spår.51 I förarbetena som utarbetades i samband med omorganisationen av den svenska polisen till en myndighet uttalades bl.a. följande i frågan. I fältverksamheten samlas det material in som utgör under- laget för analyser och andra forensiska undersökningar. Spår kan också säkras i ett inledande skede i laboratoriemiljö, t.ex. genom tejpning eller annan spårsäkring från material. Någon personupp- giftsbehandling äger inte rum i den fysiska miljön när insamlingen av spår eller annat material pågår. Frågan om vilken reglering som träffar personuppgiftsbehandlingen aktualiseras först när uppgifter ska behandlas helt eller delvis automatiserat, eller om uppgifterna ingår i eller avses ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier (1 kap. 2 § första stycket polisdatalagen, numera 1 kap. 3 § brottsdatalagen). 2015/16:68, Förstärkt rättssäkerhet och effektivitet i förundersökningsförfarandet, s. 50 f. 51Åklagarmyndighetens handbok s. 42. 2014/15:94, Den nya polisorganisationen – några frågor om personuppgiftsbehandling m.m., s. 58. Behandling av känsliga personuppgifter Uppgifter som behandlas i anknytning till en sexualbrott kan vara känsliga ur ett integritetshänseende, eftersom de kan röra uppgifter om hälsa, sexualliv eller sexuell läggning (2 kap. 11 § brottsdata- lagen). Det är enligt brottsdatalagen inte tillåtet att behandla per- sonuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa, sexualliv eller sexuell läggning. Om andra uppgif- ter om en person samlas in och behandlas får de dock kompletteras med känsliga personuppgifter när det är absolut nödvändigt för ända- målet med behandlingen. I en förundersökning som gäller brottet hets mot folkgrupp kan det t.ex. finnas skäl att anteckna uppgifter om mål- sägandens religiösa övertygelse eller etniska ursprung.53 I samband med EU:s dataskyddsreform har det tillkommit två nya kategorier av känsliga personuppgifter, biometriska och gene- tiska uppgifter. I brottsdatalagen anges att biometriska uppgifter är personuppgifter som rör en persons fysiska, fysiologiska eller bete- endemässiga kännetecken, som tagits fram genom särskild teknisk behandling och som möjliggör eller bekräftar unik identifiering av personen. Med genetiska uppgifter avses personuppgifter som rör en persons nedärvda eller förvärvade genetiska kännetecken och som härrör från analys av ett spår av eller ett prov från personen (1 kap. 6 § brottsdatalagen). Biometriska och genetiska uppgifter får endast behandlas om det är särskilt föreskrivet och det är absolut nödvän- digt för ändamålet med behandlingen (2 kap. 12 § brottsdatalagen). För finns sådana föreskrifter i polisens brotts- datalag. Där anges det att bl.a. får behandla bio- metriska uppgifter om det är absolut nödvändigt för ändamålet med behandlingen (2 kap. 4 § polisens brottsdatalag). Stöd finns alltså inte för behandling av genetiska uppgifter vid i allmänhet. Däremot får både biometriska och genetiska uppgifter behandlas vid Nationellt forensiskt centrum om det är absolut nöd- vändigt för ändamålet med behandlingen (6 kap. 4 § polisens brotts- datalag). Om material har samlats in på en brottsplats eller annars tagits om hand inom ramen för en brottsutredning och materialet 53Lindblom, Brottsdatalagen (, Karnov), kommentaren till 2 kap. 11 § brotts- datalagen. behöver analyseras forensiskt, anses det vara absolut nödvändigt att behandla de personuppgifter som blir aktuella.54 Rättslig grund och ändamål för personuppgiftsbehandling på brottsdatalagens tillämpningsområde Av 2 kap. 1 § brottsdatalagen, som genomför art. 8.1 i dataskydds- direktivet, framgår att personuppgifter får behandlas om det är nöd- vändigt för att en behörig myndighet ska kunna utföra sin uppgift att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa en straffrättslig påföljd eller upprätt- hålla allmän ordning och säkerhet. Arbetsuppgiften ska framgå av en lag, en förordning eller ett särskilt beslut i vilket regeringen uppdragit åt den behöriga myndigheten att ansvara för en sådan uppgift. Enligt 2 kap. 2 § brottsdatalagen får personuppgifter dessutom behandlas om det är nödvändigt för diarieföring, eller om uppgifterna har läm- nats till en behörig myndighet i en anmälan, ansökan eller liknande och behandlingen är nödvändig för myndighetens handläggning. Vad gäller begreppet nödvändig framgår av förarbetena till brotts- datalagen att personuppgiftsbehandlingen ska vara ”nödvändig” för att en behörig myndighet ska kunna utföra sina uppgifter. EU-dom- stolen har i ett avgörande (mål C-524/06) kommit fram till att ordet ”nödvändig” ska tolkas som att det är fråga om något som behövs för att på ett effektivt sätt kunna utföra arbetsuppgiften.55 Kravet på nödvändighet innebär dock att personuppgifter inte får behandlas om syftet med behandlingen kan uppnås med andra medel, t.ex. genom att anonymisera uppgifterna. Av 2 kap. 3 § brottsdatalagen framgår vidare att personuppgifter bara får behandlas för särskilda, uttryckligt angivna och berättigade ändamål. Om det ändamål som personuppgifterna behandlas för inte framgår av sammanhanget eller på annat sätt, ska det tydliggöras genom en särskild upplysning. Det är skillnad mellan ändamålet med behandlingen och den rättsliga grunden för behandlingen. Ända- målet ska i de flesta fall vara mer konkret. Ändamålen måste bestäm- mas redan när personuppgifter behandlas första gången. Att ända- målet ska vara särskilt innebär att det måste vara tillräckligt preci- serat för att det ska kunna avgöras om de personuppgifter som 2017/18:269, Brottsdatalag – kompletterande lagstiftning, s. 313. 2017/18:232 s. 117. behandlas är adekvata och relevanta för ändamålet med behandlingen eller om för många personuppgifter behandlas. Det får inte vara så vagt eller omfattande att en prövning blir omöjlig i praktiken. Ända- målet kan t.ex. vara förundersökningen om ett visst brott, åtalet för vissa gärningar eller handläggningen av en begäran om ett kontakt- förbud.56 Härutöver kan nämnas att det i 2 kap. 7 § brottsdatalagen finns ett krav på att personuppgifter som behandlas ska vara korrekta och, om det är nödvändigt, uppdaterade. Uppgifter som beskriver en persons utseende ska utformas på ett objektivt sätt med respekt för människovärdet. Dessutom ska personuppgifter som behandlas vara adekvata och relevanta i förhållande till ändamålen med behand- lingen. Fler personuppgifter får inte behandlas än vad som är nöd- vändigt med hänsyn till ändamålen med behandlingen (2 kap. 8 § brottsdatalagen). 9.7Dokumentation i patientjournalen enligt patientdatalagen Enligt 3 kap 1 § PDL ska patientjournal föras vid vård av patienter. Hälso- och sjukvården har således en skyldighet att föra patient- journal, vilket innebär att det inte krävs något samtycke från den enskilde för att dokumentera uppgifter i journalen. En patientjour- nal får endast innehålla de uppgifter som behövs för vissa angivna ändamål och ska innehålla de uppgifter som behövs för en god och säker vård av patienten. Om uppgifterna finns tillgängliga, ska en patientjournal alltid innehålla uppgift om patientens identitet, väsentliga uppgifter om bakgrunden till vården, uppgift om ställd diagnos och anledning till mera betydande åtgärder, väsentliga upp- gifter om vidtagna och planerade åtgärder, uppgift om den infor- mation som lämnats till patienten, dennes vårdnadshavare och övriga närstående och om de ställningstaganden som gjorts i fråga om val av behandlingsalternativ och om möjligheten till en ny medicinsk bedömning, samt uppgift om att en patient har beslutat att avstå från viss vård eller behandling. 56Lindblom, Brottsdatalagen (, Karnov), kommentaren till 2 kap. 3 § brottsdata- lagen. uppgift om vem som har gjort en viss anteckning i journalen och när anteckningen gjordes (3 kap. 5 och 6 §§ PDL). Utöver detta får en patientjournal innehålla de uppgifter som enligt lag eller annan författning ska antecknas i en patientjournal (3 kap. 7 § PDL). Sådana bestämmelser finns i 2 § lagen om om- skärelse av pojkar, 3 kap. 7 § lagen om biobanker i hälso- och sjuk- vården, 4 kap. 2 och 3 §§ smittskyddslagen, 3 § lagen om läke- medelsförteckning, 3 kap. 8 § patientsäkerhetslagen samt 2 § förord- ningen (1991:1472) om psykiatrisk tvångsvård och rättspsykiatrisk vård. I 5 kap. i föreskrifter och allmänna råd om journalföring och behandling av personuppgifter i hälso- och sjuk- vården anges vilka uppgifter en patientjournal ska innehålla. I en spårsäkringssats finns numera guiden som används vid spår- säkring. I NCK:s webbstöd anges att den ifyllda guiden ska sparas som originaljournal av hälso- och sjukvården. Eftersom guiden är en journalhandling ska den förvaras på sjukhuset enligt gällande regler om journalhandlingar. Enligt NCK går det bra att guiden skannas in i journalsystemet. Inspektionen för vård- och omsorg har tillsyn över all hälso- och sjukvård (utom hälso- och sjukvården inom försvarsmakten) genom att inspektera vårdverksamheterna och utreda vissa anmälningar. ansvarar också för tillsyn av hälso- och sjukvårdspersonal (7 kap. 1 § PSL). Datainspektionen, numera Integritetsskyddsmyndighe- ten57, har tillsyn över hur vårdgivarna tillämpar dataskyddsbestäm- melser enligt dataskyddsförordningen och dataskyddslagen (2 a § för- ordningen med instruktion för ).