Behandling av känsliga personuppgifter inom hälso- och sjukvård

I personuppgiftslagen anges att känsliga personuppgifter får behandlas för hälso- och sjukvårdsändamål, om behandlingen är nödvändig för förebyggande hälso- och sjukvård, medicinska diagnoser, vård eller behandling, eller administration av hälso- och sjukvård. Enligt lagen får den som är yrkesverksam inom hälso- och sjukvårdsområdet och som har tystnadsplikt, behandla känsliga personuppgifter som omfattas av tystnadsplikten. Detsamma gäller den som är underkastad en liknande tystnadsplikt och som har fått känsliga personuppgifter från verksamhet inom hälso- och sjukvård.¹⁷⁷

Enligt propositionen till läkemedelslagen, som reglerar Läkemedelsverkets säkerhets-övervakning av läkemedelsområdet, har regeringen angett att den bestämmelse som ligger närmast till hands att åberopa när det kommer till den behandling av person-uppgifter som sker som ett led i säkerhetsövervakningen är 18 § personuppgiftslagen.

Detta eftersom bestämmelsen inte ska ges en alltför snäv räckvidd, då aktiviteter som har en bäring på hälso- och sjukvård måste, enligt regeringen, kunna inbegripas. Syftet med säkerhetsövervakningen är att förebygga medicinska skador till följd av läkemedelsanvändning och innebär indirekt en uppföljning av den medicinering som sker inom sjukvården.¹⁷⁸

176 Case of Malone v. the United Kingdom, Judgment of 2 August 1984, para. 66 och 79.

177 Se, 18 § personuppgiftslagen.

178 Prop 2005/06: s 144-145.

56

Läkemedelsverket skulle med stöd av stadgandet i 18 § personuppgiftslagen kunna behandla kontrollgruppindividernas personuppgifter utan samtycke, eftersom uppgifterna lämnas till verket från verksamhet inom hälso- och sjukvård och tystnadsplikten, eller rättare sagt sekretessen, medföljer enligt bestämmelserna om överföring av sekretess.

Enligt Öman och Lindblom möjliggör lagen en behandling av känsliga personuppgifter för hälso- och sjukvårdsändamål, men möjliggör även en behandling av känsliga personuppgifter som omfattas av hälso- och sjukvårdssekretess.¹⁷⁹ Enligt författarna innebär bestämmelsen att det finns goda möjligheter att behandla känsliga person-uppgifter inom hälso- och sjukvårdsområdet utan ett krav på uttryckligt samtycke.¹⁸⁰ Enligt författarna innebär reglerna om överföring av sekretess i offentlighets- och sekretesslagen¹⁸¹ att hanteringen av personuppgifterna skulle vara godtagbar enligt lagen, eftersom uppgifterna fortfarande omfattas av sekretess och uppgifterna har lämnats från verksamhet inom hälso- och sjukvård.¹⁸²

Rynning har angett att bestämmelsen förefaller medge att känsliga personuppgifter får behandlas utan samtycke för i stort sätt vilka ändamål som helst inom hälso- och sjukvården, så länge behandlingen bedöms vara nödvändig enligt de krav som personuppgiftslagen uppställer och behandlingen utförs av personer som är underkastade tystnadsplikt. Rynning har i anslutning till detta noterat att bestämmelsen inte överensstämmer med den engelskspråkiga originalversionen av direktivet.¹⁸³ I artikel 8.3 i den engelska versionen av dataskyddsdirektivet anges följande.

“Paragraph 1 shall not apply where processing of the data is required for the purposes of preventive medicine, medical diagnosis, the provision of care or treatment or the management of health-care services, and [min markering] where those data are processed by a health professional subject under national law or rules

179 Öman och Lindblom, 2011, s 309-313.

180 För kravet på uttryckligt samtycke vid behandling av känsliga personuppgifter, se 15 § personuppgiftslagen.

181 Se, 11 kapitlet 3 § offentlighets- och sekretesslagen om överföring av sekretess för forskning.

182 Öman och Lindblom, 2011, s 309-313.

183 Rynning, 2003, s 112.

57

established by national competent bodies to the obligation of professional secrecy or by another person also subject to an equivalent obligation of secrecy.”¹⁸⁴

Den svenska översättningen har därmed ändrat ordet ”och (and)” till ”eller (or)”, vilket har lett till ett generöst undantag från hanteringen av känsliga personuppgifter. Enligt Rynning har de generösa undantagen kommenterats i förarbetena, utan att någon har uppmärksammat att generositeten beror på en felöversättning. Slutsatsen blir enligt Rynning en vid och svårbegriplig bestämmelse för behandlingen av hälsorelaterade uppgifter och bestämmelsen medger att såväl hälso- och sjukvårdspersonal, som andra personer med motsvarande tystnadsplikt får behandla patientuppgifter för helt andra syften än de som uppgifterna samlades in för. Därutöver är det, enligt Rynning, möjligt för vem som helst som inte är underkastad tystnadsplikt att med stöd av bestämmelsen behandla uppgifter om hälsa om behandlingen är nödvändig för de syften som räknas upp i bestämmelsen. Rynning konstaterar att bestämmelsen inte överensstämmer med direktivets krav.¹⁸⁵

Som Rynning har poängterat har det inte varit avsikten med dataskyddsdirektivet att en stor krets individer ska få behandla personuppgifter med stöd av bestämmelsen, utan avsikten har varit att hälso- och sjukvårdspersonal ska kunna hantera känsliga personuppgifter för att kunna vara verksamma inom hälso- och sjukvårdsområdet.¹⁸⁶ Det skulle således strida mot dataskyddsdirektivets uttryckliga syfte, att skydda enskilda mot att deras personliga integritet kränks vid behandling av personuppgifter, om Läkemedelsverket eller någon annan tredje part, för helt andra syften än de uppgifterna samlades in för, skulle få behandla känsliga personuppgifter enbart på grund av att uppgifterna omfattas av sekretess, enligt reglerna om överföring av sekretess.

Av personuppgiftslagen framgår att regeringen kan meddela ytterligare undantag från förbudet att behandla känsliga personuppgifter, vilket också har skett i läkemedelsförordningen för Läkemedelsverkets del. Detta talar mot att 18 § personuppgiftslagen ska anses vara tillämplig på den behandling av personuppgifter

184 Directive 95/46/EC of the European Parliament and of the Council of 24 October 1995 on the

protection of individuals with regard to the processing of personal data and on the free movement of such data, EUT L 281, 23.11.1995, s 31-50.

185 Rynning, 2003, s 112.

186 Rynning, 2003, s 112.

58

som sker hos Läkemedelsverket i samband med biverkningsforskning, eftersom om det redan fanns stöd i personuppgiftslagen att behandla känsliga personuppgifter varför skulle regeringen meddela ytterligare undantag från förbudet i sådana fall?¹⁸⁷

Den sammanlagda bedömningen blir att 18 § personuppgiftslagen inte kan användas för den behandling av personuppgifter som sker hos Läkemedelsverket, eftersom 18 § inte motsvarar direktivets skydd och eftersom regeringen har meddelat ett ytterligare undantag för Läkemedelsverket i läkemedelsförordningen.