Behandling av personuppgifter vid Myndigheten för vård- och omsorgsanalys

Myndigheten för vård- och omsorgsanalys remissyttrande över betänkandet Behandling av personuppgifter vid Myndigheten för vård- och omsorgsanalys (SOU 2018:52, S2018/03893/FS)

Myndigheten för vård- och omsorgsanalys (Vårdanalys) har enligt sin instruktion till uppgift att ur ett patient-, brukar-, och medborgarperspektiv följa upp och analysera verksamheter och förhållanden inom hälso- och sjukvården, tandvården och omsorgen. Det är utifrån dessa utgångspunkter som Vårdanalys lämnar synpunkter.

 

1. Inledning

Myndigheten för vård- och omsorgsanalys (Vårdanalys) uppskattar utredningen om ett författningsstöd för myndigheten och att denna har kommit till stånd. Vårdanalys anser att den lagstiftning som föreslås skulle möjliggöra för myndigheten att fullgöra sina uppgifter enligt instruktionen i högre grad och på ett mycket mer effektivt sätt än idag. Vi ser samtidigt att integritetsperspektivet tillgodoses på ett ändamålsenligt sätt.

Då myndighetens verksamhet består i att analysera och göra uppföljningar av hälso- och sjukvården, tandvården och omsorgen ur ett patient- brukar- och medborgarperspektiv innebär det att myndigheten i sin verksamhet har ett löpande behov av att behandla personuppgifter, framför allt uppgifter om hälsa. Även personuppgifter såsom demografiska och socioekonomiska uppgifter, uppgifter om socialförsäkringsförmåner, vård- och omsorgsbehov, vårdinsatser samt uppgifter om patienters och brukares upplevelser och medicinska resultat behandlas inom myndighetens projekt. I många av projekten analyseras specifika frågor kring till exempel en viss patientgrupp eller vårdkategori. I dessa fall har myndigheten ibland behov av att kunna hämta in uppgifter från mer specifika grupper än vad dagens tillvägagångssätt med befolkningsenkäter riktade till ett urval av befolkningen medger. Utöver uppgifter som samlas in från den registrerade själv har Vårdanalys för sina analyser ibland också behov av att samla in uppgifter från andra aktörer. Många gånger har dock personuppgiftssekretess enligt 21 kap. 7 § offentlighets- och sekretesslagen (2009:400) eller andra aspekter, såsom långa handläggningstider, i praktiken hindrat detta. Ytterligare ett viktigt behov för myndigheten är att kunna bearbeta och analysera sådana uppgifter på egen hand. I de fall myndigheten tilldelas redan framtagen statistik finns en risk att den inte kan ge tillräckliga svar, att väsentliga resultat missas, att analysen inte blir oberoende och att kvaliteten och omfattningen begränsas.

Vårdanalys tillstyrker därför utredningens förslag med undantag för bestämmelsen att vissa behandlingar som avser färre än 100 individer ska kunna undantas en extern etisk prövning. Utöver det lämnar Vårdanalys ett antal synpunkter nedan där vi önskar en ändring eller ett förtydligande av förslaget.
Vissa av synpunkterna har samband med att det under utredningens gång uppstod en osäkerhet kring hälso- och sjukvårds- respektive statistikundantagen i dataskyddsförordningen och dess tillämplighet för myndigheten (se art. 9.2 h och j dataskyddsförordningen). Osäkerheten uppstod till följd av skrivningar i propositionen till dataskyddslag (prop. 2017/18:105 s. 93) som innebar en vidare tolkning av undantagen än utredningen tidigare gjort och som innebar ett antal sena ändringar av förslagen och argumenten.

2. Etikprövning vid etikprövningsmyndigheten alternativt en egen prövningsorganisation (10.3)

Vårdanalys ser konstruktionen med en extern prövning som något positivt och som en bra lösning som borgar för en legitim och gedigen prövningsprocess. Vårdanalys tillstyrker därför både alternativ A och B, men föredrar alternativ A. Även alternativ B skulle dock kunna fungera väl. Nedan utvecklar vi ett antal specifika aspekter kring de olika alternativ som utredningen har föreslagit.

Vårdanalys bedömer att alternativ A med etikprövning vid Etikprövningsmyndigheten har förutsättningar att bli ett välfungerande alternativ till en rimlig kostnad. Myndigheten har inget att invända mot en sådan lösning och delar till stor del de skäl som framförs för detta alternativ i utredningen. Vårdanalys bedömer att detta alternativ bidrar positivt till prövningens förtroende, oberoende och genomförbarhet. För det första anser vi att denna redan etablerade etikprövningsordning med sitt höga förtroende på ett positivt sätt skulle bidra till ett stort förtroende för Vårdanalys personuppgiftsbehandling. Det är en väletablerad funktion med högst relevant kompetens vilket borgar för goda förutsättningar att göra den etiska bedömningen av Vårdanalys personuppgiftsbehandlingar. För det andra uppfyller det alternativet kravet på att det organ som ska pröva personuppgiftsbehandlingen är oberoende och inte på något sätt kan komma att omfattas av Vårdanalys granskningsmandat, det vill säga bli föremål för Vårdanalys kommande utvärderingar. Slutligen bedömer Vårdanalys att detta redan etablerade alternativ skapar goda förutsättningar för att snabbt få en lösning på plats, vilket är mycket positivt för verksamheten.

För det fall detta alternativ inte skulle bli aktuellt ser vi även att alternativ B, med innebörden att ett särskilt organ inrättas för prövning av Vårdanalys personuppgiftsbehandlingar, skulle fungera väl. Vi delar utredningens bedömning att inget redan existerande organ uppfyller de krav som den prövande instansen bör uppfylla. Vårdanalys förordar därför, ifråga om alternativ B, att ett särskilt organ inrättas för prövningen av myndighetens ansökningar om behandling av känsliga personuppgifter. Om en sådan lösning blir aktuell skapar det samtidigt vissa möjligheter att dels i högre utsträckning anpassa organets sammansättning efter den specifika prövning som ska göras enligt lagförslaget, dels att organets arbetssätt kan anpassas mer efter hur Vårdanalys arbetar. Vi utvecklar dessa aspekter nedan.

Det första aspekten, att organets sammansättning kan anpassas mer efter just prövningen av behandling av känsliga personuppgifter inom ramen för Vårdanalys analysverksamhet, har att göra med den avvägningsnorm som ska tillämpas. Etikprövningsmyndigheten ska vid prövning av forskning göra en intresseavvägning där riskerna för den personliga integriteten vägs mot forskningens vetenskapliga värde (7-11 §§ lag (2003:460) om etikprövning av forskning som avser människor). Vid en etikprövning av Vårdanalys behandlingar ska istället den personliga integriteten ställas mot samhällsintresset av att behandlingen genomförs. Vi ser därför att den kompetens, bakgrund och de perspektiv som behöver finnas representerade vid prövningen av samhällsintresset i Vårdanalys projekt inte nödvändigtvis behöver vara densamma som vid prövning av forskning, utan kan se något annorlunda ut. Det är givetvis av stort värde att det vetenskapliga perspektivet finns representerat, men det kan då också kompletteras med andra perspektiv utifrån samhällsintresset.

Även ett särskilt organ enligt alternativ B måste dock självfallet, precis som alternativ A, uppfylla kravet på oberoende och att det inte i någon del kan omfattas av Vårdanalys granskningsområde. Under utredningens gång diskuterades hur ett sådant särskilt organ skulle kunna se ut. Ett förslag som då framfördes, och som vi ser som en god idé, är att det särskilda organet består av arvoderade ledamöter som sammanträder ett antal gånger per år och som administrativt stöds av en resurs som knyts till Etikprövningsmyndigheten. I och med att alternativ B föreslås vara någon slags myndighetsform ställs också samma krav på bland annat saklighet och opartiskhet som på Etikprövningsmyndigheten och andra myndigheter. Det lägger grunden för att även prövningar av ett nytt särskilt organ får hög legitimitet.

Den andra aspekten är att ett särskilt prövningsorgan bättre skulle kunna anpassas efter Vårdanalys särskilda önskemål på hög tillgänglighet och behov av kort handläggningstid från ansökan till beslut. Vårdanalys genomför ett antal regeringsuppdrag varje år, somliga av dem ges med kort varsel och med en relativt kort löptid. Den tid ansöknings- och beslutsprocessen tar i anspråk har därmed stor påverkan på vad myndigheten kan hinna genomföra inom ramen för ett uppdrag. Under 2018 har myndigheten till exempel tilldelats regeringsuppdrag med löptider på mellan 7 och 8 månader (se S2018/03916/FS, S2018/04673/JÄM), ibland med delredovisningar av uppdraget efter en kortare tid. Myndigheten är angelägen om att kunna svara mot uppdragsgivarens förväntningar och på bästa sätt leverera även regeringsuppdrag med korta löptider med en hög kvalitet och med hög relevans. Den externa etikprövningen och hur tillgänglig den är får givetvis en avgörande påverkan på dessa förutsättningar. Långa ledtider i denna process riskerar att orsaka onödig press i en redan snäv tidsplan och kan i värsta fall leda till att någon del av arbetet inte kan genomföras. Vårdanalys vinnlägger sig överlag om att ha effektiva arbetssätt och processer där vi jobbar fokuserat och koncentrerat med våra projekt i syfte att komma fram snabbt med våra rapporter. Det har bland annat att göra med vikten av att rapporterna är aktuella vilket gör dem angelägna för beslutsfattare i de sektorer som vi arbetar inom. Vi ser således av dessa skäl, att det är angeläget att ledtiderna är korta och processen effektiv samt att det är av stor vikt att organet har en viss möjlighet att anpassa sig vad gäller tidpunkten för prövningen för att skapa de mest effektiva verksamhetsförutsättningarna.

Slutligen vill vi påtala att oavsett om alternativ A eller B blir aktuellt så ser vi att det finns ett stort värde i en viss flexibilitet i arbetssätt vid det organ som slutligen blir ansvarigt för etikprövningsprocessen. Bland annat ser vi att det skulle vara värdefullt för vår verksamhet om etikprövningsorganet kan begära kompletteringar eller förtydliganden i de fall organet tycker sig sakna information eller önska tydliggöranden. Kan en sådan flexibilitet skapas skulle det vara mycket ändamålsenligt sett till Vårdanalys uppdrag och arbetssätt samtidigt som en robust och gedigen prövning och process säkerställs.

3. Behandling av känsliga personuppgifter och personuppgifter om lagöverträdelser som avser färre än 100 personer ska inte kräva extern etikprövning (11.4.2 och 12.2.2)

Vårdanalys avstyrker förslaget om att behandlingar av känsliga personuppgifter och uppgifter om lagöverträdelser som avser 100 individer eller färre ska undantas extern etisk prövning.

Det föreslagna undantaget ger visserligen Vårdanalys viss flexibilitet men vi har svårt att se att förslaget överensstämmer med principerna för vad som kan anses vara integritetskänsligt, etiskt motiverat eller de bakomliggande principerna i dataskyddsförordningen eller regeringsformen (2 kap. 6 §). Utgångspunkten i dataskyddsförordningen och grunden för vilka personuppgifter som får behandlas för vilka ändamål är personuppgifternas natur. Handlar uppgifterna till exempel om hälsa anses de utgöra känsliga personuppgifter enligt dataskyddsförordningen och grundregeln är att det är förbjudet att behandla dem. Endast om det finns en särskild grund får personuppgifterna trots allt behandlas. Vi har svårt att se att en antalsbestämning är en sådan grund. Den typ av och mängd data som kan samlas in om 100 individer behöver inte vara mindre integritetskänslig än en datamängd innehållande tusentals personer. Skyddsintresset påverkas istället av vilken typ av uppgifter som registreras om individerna och hur de används och för vilka ändamål.

Undantaget uppstod som Vårdanalys uppfattat det, under utredningens gång på grund av en osäkerhet kring hälso- och sjukvårds- respektive statistikundantagen i dataskyddsförordningen och dess tillämplighet för myndigheten (se art. 9.2 h och j dataskyddsförordningen). Osäkerheten uppstod till följd av skrivningar i propositionen till dataskyddslag (prop. 2017/18:105 s. 93) som innebar en vidare tolkning av bestämmelserna än utredningen tidigare gjort. Mot bakgrund av detta tillkom förslaget om undantagsbestämmelsen i ett mycket sent skede i utredningen. Vårdanalys har svårt att se hur gränsdragningen vid just 100 individer motiveras och utredningen anför inte några starka argument för att gränsen bestäms till just denna nivå. Möjligen hade en annan typ av undantag varit relevant men då inte baserat på en antalsbestämning.

4. Samtliga krav tar sikte på ”projekt” istället för ”behandlingar” (14.2.5)

Vårdanalys finner det olyckligt att lagen som helhet utgår från begreppet ”projekt” istället för ”behandlingar”. Dels är ”behandling” det mer gängse begreppet att använda i personuppgiftssammanhang till skillnad från ”projekt” som är ett delvis främmande begrepp i lagstiftningen. Dels ser vi att det får en viss ”inlåsningseffekt” för verksamheten när uppgifterna knyts till ett enskilt projekt istället för att kunna godkännas och användas för ett ändamål som är gemensamt i flera projekt parallellt. Vårdanalys ser också att användningen av begreppet projekt kan skapa otydlighet i ansvarsfördelningen mellan myndigheten och prövningsorganet och att det kan framstå som att prövningsorganet ska pröva projektets relevans som helhet och inte bara den behandling av känsliga personuppgifter som eventuellt förekommer. Vårdanalys förordar därför att begreppet ”projekt” i lagtexten ersätts med det mer etablerade begreppet ”behandlingar”. Vi menar också att det behöver förtydligas i det kommande lagstiftningsarbetet att prövningsorganet inte ska pröva projektets relevans som helhet utan att prövningen ska avse den specifika personuppgiftsbehandlingen.

Begreppet projekt är som nämnts ovan ett som vi uppfattar som främmande i förhållande till dataskyddsförordningen där utgångspunkten är just den enskilda behandlingen. Projekt är överlag också ett sällan använt begrepp i lagstiftningen då begreppets innebörd kan anses ge ett stort tolkningsutrymme. Knytningen till projekt följer inte någon tydlig logik och innebär inte som vi kan se någon integritetsvinst. I de flesta fall är det troligt att ändamålet för en personuppgiftsbehandling avgränsas till ett projekt men det kan också komma att finnas behov av att behandla uppgifter för ett ändamål som givetvis är väl avgränsat och uppfyller de allmänna kraven på ändamålsbestämning men som ändå sträcker sig över flera projekt. Detta kan uppstå till exempel i långtidsuppföljning av en större reform där alla delprojekt inte är givna i inledningen av arbetet. Inlåsningen i enskilda projekt blir därför ett ineffektivt sätt att arbeta för såväl oss som prövningsorganet.

Om lagen istället tar fasta på behandlingen så finns möjligheten att viss godkänd behandling kan vara gemensam för flera projekt inom ramen för ett gemensamt ändamål. Ändamålet med behandlingen måste givetvis uppfylla de allmänna kraven på att vara tydligt och avgränsat med mera.
Som myndigheten kan bedöma kan lagen utan större svårigheter skrivas om så att begreppet ”projekt” tas bort och att lagen istället utgår från behandlingsbegreppet.

5. Otydlighet kring omfattningen av den etiska prövningen (13.2)

Utredningen föreslår enligt 6 § att när känsliga personuppgifter eller uppgifter om lagöverträdelser, efter en extern etisk prövning får behandlas i ett projekt så ska även andra personuppgifter få behandlas utan de registrerades samtycke. Vårdanalys uppfattar lagformuleringen som att det enbart är ett förtydligande av vad som egentligen redan följer av 4 §, det vill säga att det bara är känsliga personuppgiftsbehandlingar som behöver prövas och godkännas av prövningsorganet. Utredningen anger dock i sitt utvecklade resonemang kring förslaget flera aspekter som kan tolkas som att även okänsliga personuppgifter i ett projekt måste godkännas av prövningsorganet om de ingår i ett projekt med känsliga personuppgifter som etikprövas. Vårdanalys menar att dessa texter skapar en otydlighet kring vad som ska innefattas i den externa prövningen och därför behöver ändras. Det externa prövningsorganet har ett viktigt uppdrag att värna integriteten och göra nödvändiga avvägningar gentemot samhällsintresset. Detta uppdrag riskerar att urvattnas och ansvarsfördelningen mellan myndigheten och det externa prövningsorganet blir otydlig. Vårdanalys vill av skäl som utvecklas nedan se ett förtydligande i denna del.

Utredningen anger att den prövande instansen ska göra en helhetsbedömning av Vårdanalys projekt då den totala omfattningen av behandlingen av personuppgifter inom projektet kan få betydelse vid organets bedömning av om behandlingen är nödvändig och om samhällsintresset av projektet klart överväger den risk för otillbörligt intrång i den personliga integriteten som behandlingen kan innebära. Utredningen menar vidare att de projekt som bedrivs vid myndigheten ofta behandlar olika typer av personuppgifter integrerat med varandra, det vill säga att det inte går att skilja ut den del som avser behandling av känsliga personuppgifter eller uppgifter om lagöverträdelser från behandlingen av övriga personuppgifter. Vidare anges att det är utredningens uppfattning att den etiska prövningen utgör en garanti för att samtlig behandling av personuppgifter inom ett godkänt projekt är välgrundad och proportionerlig. Dessa skrivningar talar således för att den externa prövningen också kan omfatta de icke känsliga personuppgifterna i respektive projekt. Vidare anges att information om att myndigheten planerar att behandla andra personuppgifter än känsliga sådana ska ingå i det underlag som är föremål för den etiska prövningen. Här anas en begränsning i omfattningen men begreppet information i sammanhanget och dess omfattning definieras inte närmare.

Utredningens texter (ej lagförslaget) kan tolkas med innebörden att även okänsliga behandlingar som ingår i ett projekt med känsliga behandlingar måste godkännas vid en etikprövning för att få genomföras. Detta rimmar inte med de grunder som finns i dataskyddsförordningen och dataskyddslagen som får tillämpas för att få behandla personuppgifter. Enligt artikel 6.1.e dataskyddsförordningen är det tillåtet att behandla personuppgifter som inte är av känslig karaktär om det är nödvändigt utifrån ett allmänt intresse. Utredningen konstaterar att det Vårdanalys gör inom ramen för sin instruktion är att utföra uppgift av allmänt intresse. Så länge behandlingen av personuppgifter är nödvändig för det allmänintresset (samt i övrigt uppfyller kraven i art. 5 dataskyddsförordningen) får uppgifterna därför behandlas. Det finns således inga argument för varför Vårdanalys, på samma sätt som andra myndigheter, inte skulle få tillämpa den grunden utan behöva etikpröva behandlingen av de okänsliga uppgifterna inom projekten. Den omständigheten att de okänsliga personuppgifterna ingår i ett projekt med känsliga personuppgifter gör inte de okänsliga uppgifterna mer känsliga.

Möjligen är det så att utredningen sett en typ av behandlingar framför sig där det är fråga om ett dataset där vissa uppgifter om individerna är av känslig natur och andra av okänslig natur. I sådana fall kan det givetvis vara motiverat att datasetet som helhet prövas. Men i den stora delen av fall rör det sig om helt separata behandlingar och då får förslaget alltför orimliga konsekvenser. Behandling av okänsliga personuppgifter förekommer i princip i samtliga analysprojekt. Det handlar om allt från kontaktlistor med uppgifter till verksamhetsföreträdare som ingår i expert- eller referensgrupper till deltagarlistor, intervju- och mötesanteckningar, mailkontakter med mera. Att samtliga dessa behandlingar ska förutses och beskrivas i samband med den etiska prövningen är orimligt och skulle innebära en påtaglig arbetsinsats för myndigheten. Det skulle även innebära en avsevärd arbetsinsats för prövningsorganet som ska ta emot behandlingarna och pröva dem. Vårdanalys har svårt att se nyttan med detta och förutsätter att det inte är utredningens avsikt att sådana uppgifter ska omfattas av prövningen. Myndigheten bör rimligtvis få ta ställning till behandlingen av dessa okänsliga uppgifter inom projekten internt.

Vårdanalys tillstyrker däremot utredningens förslag i de delar som innebär att i de fall Vårdanalys i något sammanhang finner det nödvändigt eller lämpligt av någon anledning att låta prövningsorganet pröva en behandling av okänsliga personuppgifter så bör den möjligheten finnas. Det är då, enligt förslagets § 7, Vårdanalys som avgör om myndigheten önskar pröva behandlingen av dessa uppgifter i en extern etisk prövning. En sådan prövning kan till exempel vara aktuell i de fall uppgifterna kan upplevas integritetskänsliga även om de formellt sett inte är av känslig natur enligt dataskyddsförordningen.

6. Regleringen om återanvändning av uppgifter, gallring m.m. (15.2)

Vårdanalys föreslår en ändring av utredningens förslag enligt 11 §, nämligen att tidsfristen för att gallra personuppgifter som behandlats i ett projekt utökas från 6 månader till 12 månader.

Vårdanalys ser vidare att det är en förutsättning med hänsyn till myndighetens uppdrag, som innefattar bland annat långsiktig uppföljning, att beslut om undantag från gallring kan fattas av Riksarkivet eller regeringen i enlighet med utredningens förslag. Om sådana undantag inte kan komma till stånd så får det direkta konsekvenser för myndighetens verksamhet. En tidsfrist på 6 månader skulle dock innebära att myndigheten i flertalet projekt skulle vara beroende av att sådana undantag kom på plats vilket skapar en onödig osäkerhet i verksamheten i arbetet med planeringen av kommande projekt.

En av Vårdanalys huvuduppgifter är att följa upp reformer och andra satsningar inom hälso- och sjukvård, tandvård och socialtjänst. Ibland genomförs uppföljningar och utvärderingar kort efter att en reform ägt rum, till exempel utvärderingar av införandet av en ny lag eller effekterna av en satsning för en viss patientgrupp. Implementeringen av sådana reformer tar ofta lång tid och det är därför nödvändigt att data kan sparas på ett sätt som möjliggör en uppföljning över tid. Detta då effekterna av förändringar ofta tar lång tid och det kan vara först efter att en viss tid passerat som det är möjligt att se förändringar som behöver följas upp. Vid en gallring går mycket värdefull information förlorad. Detta kan innebära att möjligheten till långsiktiga jämförelser försvinner, försvåras eller att vi blir mindre träffsäkra i vår analys.

I Vårdanalys uppdrag ingår även att analysera strukturella förändringar över tid. Data som är nödvändiga i ett projekt kan ibland vara nödvändiga även i ett annat. Det är dock svårt att förutse detta inom en så kort tidsram som 6 månader efter projektets avslut. Detta innefattar även de regeringsuppdrag som myndigheten får, som nämnts innan med kort varsel och ibland korta löptider. Det skulle då innebära stora tidsvinster för myndigheten att kunna återanvända data som redan samlats in. Detta blir främst aktuellt i de fall myndigheten vill vända sig till samma personer igen eller i de fall då vi i efterhand vill komplettera med ytterligare variabler än de vi hade i en första undersökning.

En annan viktig aspekt av gallring av data är att vi inte i onödan vill belasta samma personer, som till exempel redan besvarat en enkät, igen. Som nämnts tidigare är det fördelaktigt om data kan återanvändas i ett annat projekt utan en ny prövning och utan att belasta de aktuella respondenterna. Det är fördelaktigt både ur ett kostnads- och effektivitetsmässigt perspektiv och även i linje med myndighetsförordningens bestämmelse om begränsning av de kostnadsmässiga konsekvenserna när en myndighet begär in uppgifter (19 § myndighetsförordningen (2007:515)). Vidare bör också påpekas att en uppföljning kan ha ett bredare ändamål, exempelvis användas för fortsatt forskning av universitet och lärosäten. Av dessa skäl korrelerar inte en kort tidsfrist om 6 månader med hur Vårdanalys relevanta uppföljningar och utvärderingar identifieras och tas fram över tid. Ändamålet med behandlingen kan ofta förutses men svårligen inom vilket specifikt projekt. Vårdanalys projekt har ofta en löptid på 12 månader men ibland upp till 3 år. Att på endast 6 månader efter avslutat projekt förutse om vidare långsiktiga uppföljningar kan vara nödvändiga är svårt då effekterna av en reform kan bli synliga först senare. Vårdanalys finansiering med en stor del särskilda regeringsuppdrag som påverkar projektvolymen gör också att det är svårt att på förhand alltid veta vilka möjligheter till uppföljande studier som kommer att finnas.

7. Kravet att publicera beslut om personuppgiftsbehandling ”på lämpligt sätt” (14.3)

Vårdanalys anser att lagförslaget bör ändras i denna del. Bestämmelsen bör lyda ”Myndigheten för vård- och omsorgsanalys ska på lämpligt sätt offentliggöra information om sådana beslut om ändamål och begränsningar av vilka kategorier av personuppgifter om vilka kategorier av personer som får behandlas i ett visst projekt som avses i 3 § första stycket lagen (2019:xx) om behandling av personuppgifter vid Myndigheten för vård- och omsorgsanalys.” Vi menar att utredningens förslag kan läsas som att det är det formella myndighetsbeslutet som ska publiceras på lämpligt sätt. Vårdanalys menar att det formella myndighetsbeslutet inte nödvändigtvis uppfattas som tillgängligt och transparent i den utsträckning som en särskilt formulerad information riktad till allmänheten kan vara. Vi förordar istället att myndigheten åläggs publicera information om personuppgiftsbehandlingen på lämpligt sätt. Det formella myndighetsbeslutet är självfallet tillgängligt för den som önskar ta del av det enligt reglerna om allmänna handlingar i 2 kap. tryckfrihetsförordningen.

Förslaget syftar till att allmänheten ska kunna ta del av information om de behandlingar av personuppgifter som myndigheten gör och därmed också en möjlighet att invända mot dem. Syftet anges också vara att övriga intresserade ska kunna ta del av vilka analys- och uppföljningsmål som myndigheten arbetar med för tillfället. Vårdanalys anser att transparens i myndighetens arbete, och myndighetens behandling av personuppgifter specifikt, är en självklarhet. För att myndighetens personuppgiftsbehandling ska uppfattas som transparent är det dock en förutsättning att den information som publiceras är utformad på ett tillgängligt sätt så att mottagaren kan ta till sig informationen. Vårdanalys anser att en publicering av det interna beslutet, med alla dess formella beståndsdelar, inte bidrar till tillgänglighet och transparens. Just dessa värden är något Vårdanalys månar om då de är särskilt viktiga ur patient-, brukar- och medborgarperspektivet, det vill säga grunden för myndighetens uppdrag. Detta skulle bättre tillgodoses av en publicering av information om myndighetens personuppgiftsbehandling. Sådan information kan och bör utformas på ett för allmänheten tydligt och tillgängligt sätt samtidigt som det uppfyller kraven på Vårdanalys som personuppgiftsansvarig enligt art. 13 och 14 i dataskyddsförordningen.

8. Krav om skyddsåtgärder – pseudonymisering (14.5)

Vårdanalys ser att kravet på skyddsåtgärden pseudonymisering delvis är otydligt sett till dess innebörd och önskar att kravet förtydligas. Detta är av vikt för att skapa en förutsägbarhet i myndighetens verksamhet.

Pseudonymisering är en av flera ”lämpliga tekniska” skyddsåtgärder som ska vidtas för att skydda personuppgifter enligt dataskyddsförordningen och som kan minska riskerna för de registrerade som berörs och hjälpa personuppgiftsansvariga och personuppgiftsbiträden att fullgöra sina skyldigheter i fråga om dataskydd (beaktandesats 28 dataskyddsförordningen).

Dataskyddsförordningen definierar pseudonymisering som behandling av personuppgifter på ett sätt som innebär att personuppgifterna inte längre kan tillskrivas en specifik registrerad person utan att kompletterande uppgifter används, under förutsättning att dessa kompletterande uppgifter förvaras separat och är föremål för tekniska och organisatoriska åtgärder som säkerställer att personuppgifterna inte tillskrivs en identifierad eller identifierbar fysisk person (art. 4 dataskyddsförordningen). Personuppgifter som har pseudonymiserats och som skulle kunna tillskrivas en fysisk person genom att kompletterande uppgifter används bör anses som uppgifter om en identifierbar fysisk person (beaktandesats 29 dataskyddsförordningen).

Utredningen anger att det oftast räcker med att ta bort uppgifter om namn och personnummer för att uppgifterna ska vara att betrakta som pseudonymiserade men att andra variabler som kan möjliggöra bakvägsidentifiering också kan behöva tas bort. Här anges olika exempel på uppgifter som skulle kunna behöva tas bort ur datan såsom kön, bostadsort och diagnos.

Att direkt hänförliga personuppgifter som personnummer och namn inte ska användas i dataset utan separeras och ersättas med löpnummer och löpnummernyckel är självklart. Vårdanalys är väl medvetna om riskerna med så kallad bakvägsidentifiering och det är alltid en viktig faktor i våra riskanalyser inför personuppgiftsbehandling i analysprojekten. För att datan ska vara användbar i vårt arbete så är sammansättningen av de indirekt hänförliga variablerna dock mycket viktig för att kunna genomföra nödvändiga analyser. Här behöver man göra en avvägning i varje enskilt fall, vilket innebär att även andra uppgifter kan behöva tas bort i enskilda fall. Vårdanalys förordar dock en ordning som möjliggör en avvägning i varje enskilt fall och där sådana uppgifter inte måste raderas som huvudregel.

Visserligen innebär lagförslaget en möjlighet för generaldirektören att besluta om undantag från pseudonymiseringskravet. Vårdanalys ser dock gärna som nämnts inledningsvis att det förtydligas vad som kommer att krävas i samband med pseudonymiseringen av data så att det skapas en förutsebarhet i detta. Det är av stor vikt för Vårdanalys att tydlighet finns och att datan kan behålla en hög användbarhet i möjligaste mån.

9. Övriga synpunkter

Utöver möjligheten att få behandla känsliga personuppgifter som godkänts vid en särskild etisk prövning anser Vårdanalys att det också är värdefullt att utredningen på ett tydligt sätt betonar myndighetens möjligheter att basera personuppgiftsbehandling på den rättsliga grunden samtycke enligt art. 6.1.a dataskyddsförordningen. Dataskyddsförordningen lyfter fram att det inte får finnas en maktobalans mellan den personuppgiftsansvarige och den registrerade. Mot bakgrund av detta och att det vid tillämpningen av samtyckesregeln uppstått osäkerheter vid vissa myndigheter vill Vårdanalys understryka de argument utredningen framför kring varför Vårdanalys inte är att betrakta som en myndighet den enskilde står i beroendeställning till. Utredningen framhäver att Vårdanalys har ett renodlat uppdrag som består i analys och uppföljning på övergripande nivå. Vi analyserar inte frågor på individnivå och vi hanterar inte heller enskilda personers ärenden. Myndigheten har därmed inte möjlighet att påverka utfallet i enskilda ärenden eller enskilda personers situation på ett direkt sätt. Myndigheten fördelar inte heller ekonomiska bidrag eller har någon direkt inverkan på resursfördelning som skulle kunna påverka enskilda individers situation. Vidare påpekas att Vårdanalys inte heller har något tillsynsuppdrag eller andra typer av maktbefogenheter. Sammantaget innebär detta att Vårdanalys är helt fristående från den verksamhet som analyseras och att personer som exempelvis medverkar i en enkätundersökning som ingår i ett analysprojekt inte befinner sig i någon beroendeställning till myndigheten. Kravet på frivillighet anses därmed vara uppfyllt. Detta innebär att myndigheten som utgångspunkt kan tillämpa den rättsliga grunden samtycke enligt art. 6.1.a till exempel i fall då myndigheten inhämtar personuppgifter från den registrerade själv.

Avslutningsvis vill myndigheten även beröra begreppet omsorg enligt 1 § i lagförslaget. Vårdanalys analysverksamhet omfattar enligt förordningen (2010:1385) med instruktion för Myndigheten för vård- och omsorgsanalys hälso- och sjukvård, tandvård och omsorg. Precis som utredningen lyfter fram avser begreppet omsorg hela socialtjänstens område och de verksamheter som bedrivs med stöd av socialtjänstlagen (2001:453), lagen (1990:52) med särskilda bestämmelser om vård av unga, lagen (1988:870) om vård av missbrukare i vissa fall och lagen (1993:387) om stöd och service till vissa funktionshindrade med flera författningar.

____________________________________
Beslut om detta yttrande har fattats av generaldirektören Jean-Luc af Geijerstam. I den slutliga handläggningen har analyschefen Cecilia Stenbjörn och projektdirektörerna Nils Janlöv, Hanna Sjöberg och Marianne Svensson deltagit. Juristen Timothy Hallgren har varit föredragande.

Jean-Luc af Geijerstam
Timothy Hallgren

Dela sidan