Personuppgiftsombudet Avdelning för informationssäkerhet Regionhuset, Lund Eva Plym Forshell Tel: 044-3093524 eva.plym-forshell@skane.se Datum 2005-03-21 2009-10-31 reviderad Personuppgiftsbehandling i forsknings- och kvalitetsstudier inom hälso- och sjukvård PM Postadress: Box 1, 221 01 Lund Besöksadress: Baravägen 1, Lund Telefon: Växel 044 3093000
2 Personuppgiftsbehandling i forsknings- och kvalitetsstudier inom hälso- och sjukvård Innehållsförteckning Sid Inledning 3 Information som ska lämnas självmant 3 Information som ska lämnas efter ansökan 3 Samtycke vid behandling av personuppgifter 4 Definitioner och anvisningar 4 - personuppgiftsansvar 4 - ändamål 4 - typ av personuppgifter som ska behandlas 4 - mottagare av personuppgifterna 4 - hur länge personuppgifterna ska bevaras 5 - rätten att ansöka om information 5 - rätten till rättelse 5 - överföring till tredje land 5 Exempel på patientinformation 6 Förhandskontroll 6
3 Personuppgiftsbehandling i forsknings- och kvalitetsstudier inom hälso- och sjukvård Inledning Forsknings- och kvalitetsstudier inom hälso- och sjukvårdsområdet innefattar i allmänhet behandling av personuppgifter enligt personuppgiftslagen (PuL). Personuppgiftsbehandling i forskningsstudier omfattas alltid av PuL, medan kvalitetsstudier i vården omfattas av patientdatalagen (PDL). Nationella kvalitetsregister regleras av PDL. Båda lagarna korresponderar med varandra när det gäller obligatorisk informationsskyldighet till dem som ska registreras. I samband med att ansökan upprättas för etisk prövning av en forskningsstudie eller inför uppstart av en kvalitetsstudie är registerföraren skyldig att informera sig om vad som gäller för den personuppgiftsbehandling som ska göras inom ramen för studien. I Region Skånes informationssäkerhetshandbok på www.skane.se/infosakbok finns i PM Anvisningar för behandling av personuppgifter i Region Skåne en sammanfattning av gällande regler och riktlinjer. Dessa anvisningar syftar särskilt till att ge vägledning i vad som ska iakttas innan personuppgiftsbehandling påbörjas i forsknings- och kvalitetsstudier i huvudsak med utgångspunkt från PuL och Datainspektionens allmänna råd och föreskrifter till PuL. I tillämpliga delar belyses förhållandet till PDL och biobankslagen. Information som ska lämnas självmant (PuL 23-25) För att personuppgiftsbehandling ska vara förenlig med PuL:s bestämmelser krävs att de registrerade får information om vissa preciserade uppgifter innan de lämnar sitt uttryckliga samtycke till behandlingen av personuppgifterna. De preciserade uppgifterna är vem som är personuppgiftsansvarig för behandlingen ändamålen med behandlingen av personuppgifterna all övrig information som behövs för att den registrerade ska kunna ta till vara sina rättigheter i samband med behandlingen, såsom uppgift om - vilka personuppgifter eller kategorier av personuppgifter som ska behandlas - mottagarna av personuppgifterna - hur länge personuppgifterna ska bevaras - rätten att ansöka om information och få rättelse av felaktiga personuppgifter - personuppgifter ska överföras till tredje land. Information som ska lämnas efter ansökan (PuL 26) Den personuppgiftsansvarige är skyldig att en gång per kalenderår gratis lämna besked om personuppgifter som rör en viss person behandlas eller ej, om den personen ansöker om det. Behandlas sådana uppgifter skall skriftlig information lämnas också om vilka uppgifter om sökanden som behandlas, varifrån dessa uppgifter har hämtats, vilka ändamålen med behandlingen är och till vilka mottagare eller kategorier av mottagare som uppgifterna lämnas ut. Rätten att ansöka om information är också föreskriven i PDL, 8 kap, 5-13.
4 Ansökan om informationen ska göras skriftligen hos den personuppgiftsansvarige och vara undertecknad av den sökande själv. Samtycke vid behandling av personuppgifter Med samtycke avses varje slag av frivillig, särskild och otvetydig viljeyttring genom vilken den registrerade, efter att ha fått information, godtar behandling av personuppgifter som rör honom eller henne. Det finns dock inget krav på att samtycket ska vara skriftligt. Samtycke kan återkallas, vilket innebär att personuppgiftsbehandlingen ska avbrytas. Som tidigare nämnts omfattas kvalitetsstudier/vårdregister av PDL, sådan personuppgiftsbehandling fordrar inte samtycke. För register/behandlingar som regleras enligt PuL, som t ex forsknings-/läkemedelsstudier, fordras däremot informerat samtycke. Härvid ska också beaktas det samtycke som kan bli erforderligt enligt biobankslagen om vävnadsprover tas eller används inom ramen för studien. För personuppgiftsbehandlingar i nationella och regionala kvalitetsstudier/-register gäller informerat samtycke samt att patient kan avböja deltagande i sådant register. Vid personuppgiftsbehandling i forskningsstudier måste framgå av samtyckesformuleringen, att de registrerades samtycke även omfattar den datoriserade behandling av personuppgifter som ska utföras i studien. Det är inte tillräckligt att de registrerade samtycker enbart till att delta i studien som sådan. Definitioner och anvisningar Personuppgiftsansvar Personuppgiftsansvar innehas av den juridiska person (styrelse eller nämnd) hos landsting/region, universitet/högskola eller läkemedelsbolag/motsv för vars ändamål personuppgifter i hälso- och sjukvård behandlas. Ett personuppgiftsansvar kan inte överlåtas på en fysisk person inom organisationen. För närmare information om personuppgiftsansvar se Överenskommelse om personuppgiftsansvar i Skåne på www.skane.se/infosakbok / Handboken i pdf-format / Rutiner. Innehar Region Skåne personuppgiftsansvar ska Region Skåne/förvaltningens namn anges i informationen. Om personuppgiftsansvar ska delas mellan Region Skåne och exempelvis ett läkemedelsföretag ska detta framgå. Ändamål Ändamålen med personuppgiftsbehandlingen ska tydligt anges. För personuppgifter gäller att inga andra uppgifter får behandlas än de som står i överensstämmelse med ändamålet. Typ av personuppgifter som ska behandlas De personuppgifter eller kategorier av personuppgifter som ska behandlas måste definieras. Ex: Namn, adress, personnummer/motsv, diagnoser, journaluppgifter/kliniska data/ laboratoriedata, enkätsvar. Mottagare av personuppgifterna Om uppgifter i personuppgiftsbehandling lämnas ut ska anges till vem eller vilka detta görs. Med utlämnande här avses till juridisk person, ej personal vid vårdenheten eller den personal som är behjälplig med personuppgiftsbehandlingen. I Datainspektionens allmänna råd anges att en förhållandevis allmän information kan godtas som t ex Socialstyrelsen, Lunds universitet, läkemedelsföretag, annat landsting, kommun.
5 Om provgivares personuppgifter lämnas ut samtidigt som ett kodat vävnadsprov från denne, ska de enligt Biobankslagen lämnas ut på ett sådant sätt att personuppgifterna inte kan kopplas samman med vävnadsprovet. Förfarandet ska således tillgodose att den enskilde provgivaren inte kan identifieras. Hur länge personuppgifterna ska bevaras Personuppgifter ska inte bevaras under en längre tid än vad som är nödvändigt med hänsyn till ändamålen med personuppgiftsbehandlingen. Giltighetstiden/bevarandet ska därför anges så långt möjligt. För personuppgiftsbehandling som utgör elektronisk journal gäller PDL:s regler och Region Skånes föreskrifter att patientjournaler upprättade fr o m regionstarten 1999 ska bevaras. Rätten att ansöka om information Vid personuppgiftsbehandling i studier - vare sig uppgifterna behandlas enligt PuL eller PDL - ska den registrerade upplysas om att sådan ansökan kan inges till Personuppgiftsombudet, Region Skåne, 291 89 Kristianstad. Det underlättar därvid om studiens namn och studieorten anges i ansökan. När ansökan inkommit expedieras utdrag ur regionala register automatiskt till den sökande av företrädaren för Region Skånes personuppgiftsombud/puo i förvaltningen och/eller systemansvarig för regiongemensamma system. I samband med detta begärs rutinmässigt in uppgifter från verksamhetsregister, i vilka den sökande förekommer. Härvid ska även uppgifter i forsknings- och kvalitetsstudier lämnas ut Undantag från skyldigheten att lämna ut information enligt PuL kan begränsas av regler om sekretess och tystnadsplikt. Rätten till rättelse Rätten till rättelse är reglerad i PuL 28. Regeln är även tillämplig för register enligt PDL. Region Skåne är skyldig att på begäran av den registrerade snarast rätta, blockera (spärra) eller utplåna sådana personuppgifter som inte har behandlats i enlighet med PuL eller föreskrifter som har utfärdats med stöd av lagen. Rutiner för rättelse/borttag av uppgifter finns närmare beskrivna i Region Skånes informationssäkerhetshandbok. Vid rättelse av en felaktighet i journalhandling måste alltid PDL:s regler iakttas, vilket innebär att det måste föreligga beslut från Socialstyrelsen innan en felaktighet kan tas bort. Överföring till tredje land PuL medger att överföring av personuppgifter till tredje land (land utanför EU och EES) får göras, om landet ifråga anses ha en rimlig skyddsnivå för sådana uppgifter. När detta bedöms ska hänsyn tas till ändamålet med behandlingen och det tredje landets regler. Den registrerade ska alltid få information om överföring samt också lämna sitt samtycke. Exempel på patientinformation Broschyren Hur Dina personuppgifter behandlas i Region Skåne lämnar allmän information om behandling av personuppgifter i regionens olika verksamheter och ska vara tillgänglig för dem som uppsöker verksamheterna.
6 Nedanstående text kan i tillämpliga delar tjäna som stöd för den specifika information som ska lämnas enl PuL: I studien kommer personuppgifter om Dig att behandlas med datorregistrering. Region Skåne är personuppgiftsansvarig enligt PuL för denna personuppgiftsbehandling. / Region Skåne och läkemedelsföretaget har delat personuppgiftsansvar. Om Du samtycker till att delta i studien samtycker Du också till att personuppgiftsbehandling sker. Ändamålet med personuppgiftsbehandlingen är att... De uppgifter som registreras är personnummer/motsv, namn, adress, journaluppgifter/kliniska data/laboratoriedata, och i förekommande fall enkätsvar från Dig som patient eller frisk kontrollperson. Uppgifterna kommer endast att finnas hos den projektansvarige vid kliniken. / Uppgifterna lämnas till läkemedelsföretaget. Uppgifterna kommer att bevaras under studiens gång, cirka 4 år, därefter avidentifieras de. / Uppgifterna kommer ej att gallras. Du har rätt att ansöka om utlämnande av Din information i denna studies personuppgiftsbehandling enligt Pul 26. Du ska då ange studiens namn och den studieort/vårdenhet som informationen finns vid. Detta gör Du genom att skriva till Personuppgiftsombudet, Region Skåne, 291 89 Kristianstad. Din ansökan måste vara egenhändigt undertecknad. Du har också rätt att få eventuella felaktiga personuppgifter rättade. Bifogad broschyr Hur mina personuppgifter behandlas i Region Skåne lämnar allmän information. Förhandskontroll Anmälan om förhandskontroll ska göras till Datainspektionen då personuppgifter om genetiska anlag som framkommit efter genetisk undersökning ska behandlas. Eftersom personuppgiftsansvar ej kan överlåtas på en fysisk person inom organisationen kan en förhandskontroll inte inges av den enskilde forskaren/kontaktpersonen för studien. En förhandskontroll ska därför undertecknas av firmatecknare/motsvarande som är förvaltningschefen. Rutiner för ingivande av förhandskontroll finns på www.skane.se/infosakbok / Handboken i pdf-format / Rutiner.