Nya föreskrifter om uppgiftsskyldighet till Socialstyrelsens patientregister
Integritetsskyddsmyndigheten (IMY) har granskat förslaget huvudsakligen utifrån myndighetens uppgift att arbeta för att människors grundläggande fri- och rättigheter skyddas i samband med behandling av personuppgifter.
IMY tillstyrker inte förslaget eftersom det saknas en ordentlig integritetsanalys och en analys av förslagets förenlighet med dataskyddsförordningen. IMY lämnar följande synpunkter.
Socialstyrelsen föreslår att myndighetens föreskrifter om uppgiftsskyldighet till myndighetens patientregister upphävs och ersätts av en ny föreskrift som skiljer sig från den nuvarande i ett antal avseenden. Förslaget är att föreskrifterna utökas till att även omfatta uppgifter som rör patienter som har behandlats av annan hälso- och sjukvårdspersonal än läkare inom den psykiatriska öppenvården och uppgifter om vilken kategori hälso- och sjukvårdspersonal som då behandlat patienten. Vidare ska även uppgift om psykiatrisk vårdform inrapporteras när patienter varit inskrivna för vård enligt lagen (1991:1128) om psykiatrisk tvångsvård (LPT) eller lagen (1991:1129) om rättspsykiatrisk vård (LRV).
Inledningsvis finner IMY att det är positivt att Socialstyrelsen arbetar med att ta fram en konsekvensbedömning av patientregistret enligt artikel 35 i dataskyddsförordningen.
Avsnitt 6 i Socialstyrelsens konsekvensutredning till föreskrifterna benämns ”Integritetsanalys”. IMY anser att det avsnittet innehåller alltför övergripande analyser vad gäller den personuppgiftsbehandling som är tänkt att ske gällande psykiatrisk vårdform. Utöver att personuppgifterna i sig är mycket känsliga, är det dessutom tänkt att uppgifterna ska kopplas till enskildas personnummer istället för vårdkontakts-id. IMY delar därmed Socialstyrelsens bedömning att en sådan koppling kan innebära en kartläggning av enskildas liv, vilket utgör ett särskilt stort integritetsintrång.
Eftersom behandlingen kan komma att utgöra ett stort integritetsintrång är det extra viktigt att Socialstyrelsen, som är personuppgiftsansvarig för behandlingen, gör noggranna överväganden vid en sådan behandling för att den ska anses vara proportionerlig och förenlig med dataskyddsförordningen, jämför artikel 6.3 i dataskyddsförordningen.
Detta yttrande har beslutats av den tillförordnade enhetschefen Linn Sandmark. Vid den slutliga handläggningen har även avdelningsdirektören Suzanne Isberg deltagit.
Linn Sandmark, 2021-10-27 (Det här är en elektronisk signatur)