Lov om ændring af lov om retshåndhævende myndigheders behandling af personoplysninger, lov om massemediers informationsdatabaser og forskellige andre love (Konsekvensændringer som følge af databeskyttelsesloven og databeskyttelsesforordningen samt medieansvarslovens anvendelse på offentligt tilgængelige informationsdatabaser m.v.) § 20

Forarbejder til Lov om ændring af lov om retshåndhævende myndigheders behandling af personoplysninger, lov om massemediers informationsdatabaser og forskellige andre love (Konsekvensændringer som følge af databeskyttelsesloven og databeskyttelsesforordningen samt medieansvarslovens anvendelse på offentligt tilgængelige informationsdatabaser m.v.) § 20

Til nr. 1

Efter den gældende bestemmelse i sundhedslovens § 37, stk. 1, 1. pkt., har den, om hvis helbredsforhold, der er udarbejdet patientjournaler mv., på anmodning ret til aktindsigt heri. Efter den gældende bestemmelse i sundhedslovens § 37, stk. 1, 2. pkt., har patienten endvidere på anmodning ret til på en letforståelig måde at få meddelelse om, hvilke oplysninger der behandles i patientjournalen mv., formålet hermed, kategorierne af modtagere af oplysningerne og tilgængelig information om, hvorfra disse oplysninger stammer. Bestemmelsen er formuleret som en indsigtsregel, der svarer til den ret til indsigt, den registrerede har efter § 31 i lov om behandling af personoplysninger.

Sundhedslovens § 37, stk. 1, 1. og 2. pkt. gælder både for manuelle og elektroniske patientjournaler.

Det foreslås at ændre bestemmelsen i § 37, stk. 1, 2. pkt., som en konsekvens af databeskyttelsesforordningen. Det følger således af EU-retlige regler, at en forordning er almengyldig og gælder umiddelbart i hver medlemsstat. Det indebærer, at forordningen ikke må gennemføres i national ret. Det bemærkes i den forbindelse, at sundhedslovens § 37, stk. 1, 2. pkt., giver patienten en mere begrænset ret til indsigt, end den ret til indsigt, som følger af databeskyttelsesforordningen. Patientens ret til indsigt bliver således med databeskyttelsesforordningen udvidet, idet den dataansvarlige region, privatpraktiserende læge m.fl. efter databeskyttelsesforordningens artikel 15, ud over de oplysninger der skal gives meddelelse om efter sundhedslovens § 37, stk. 1, 2. pkt., bl.a. skal oplyse den registrerede om opbevaringsperioden samt retten til berigtigelse, sletning og indgivelse af klager.

Databeskyttelsesforordningen gælder for behandling af personoplysninger, der helt eller delvis foretages ved hjælp af automatisk databehandling, og på anden ikke-automatisk behandling af personoplysninger, der er eller vil blive indeholdt i et register, jf. databeskyttelsesforordningens artikel 2, stk. 1. Begrebet ”automatisk databehandling” er sammenfaldende med begrebet ”elektronisk databehandling”.

Indsigtsretten efter databeskyttelsesforordningens artikel 15 omfatter således alene oplysninger i patientjournaler, der helt eller delvis behandles ved hjælp af elektronisk databehandling, eller som er eller vil blive indeholdt i et register.

Det betyder, at retten til indsigt efter databeskyttelsesforordningen vil gælde for patientoplysninger, der er registreret i elektroniske patientjournaler. Det bemærkes i den forbindelse, at langt de fleste patientjournaler efterhånden er overgået fra at være registreret i en manuel, papirbaseret journal til at være registreret i elektroniske systemer.

Manuelle patientjournaler vedrørende de enkelte patienter vil derimod sædvanligvis være af en sådan karakter, at de ikke kan antages at udgøre et register i databeskyttelsesforordningens forstand. Indsigtsretten efter databeskyttelsesforordningen vil derfor som udgangspunkt ikke gælde for patientoplysninger, der er registreret i manuelle patientjournaler.

Det foreslås på den baggrund at videreføre indsigtsretten i sundhedslovens § 37, stk. 1, 2. pkt., for så vidt angår manuelle patientjournaler. ”Manuelle patientjournaler” skal i forlængelse heraf forstås som patientjournaler, der ikke er omfattet af forordningens almindelige anvendelsesområde, jf. databeskyttelsesforordningens artikel 2, stk. 1.

For så vidt angår patientjournaler, der er omfattet af databeskyttelsesforordningens anvendelsesområde, vil indsigtsretten følge direkte af databeskyttelsesforordningen artikel 15.

Sundhedslovens § 37, stk. 1, 1. pkt., hvoraf det fremgår, at den, om hvis helbredsforhold der er udarbejdet patientjournaler mv., på anmodning har ret til aktindsigt heri, vil fortsat gælde for både elektroniske og manuelle patientjournaler.

Til nr. 2

Efter den gældende bestemmelse i sundhedslovens § 41, stk. 5, skal en patient, når der sker videregivelse af helbredsoplysninger mv. efter sundhedslovens § 41, stk. 2, nr. 4, som udgangspunkt orienteres om videregivelsen, samt formålet med videregivelsen. Videregivelse efter sundhedslovens § 41, stk. 2, nr. 4, kan ske uden samtykke fra patienten, hvis videregivelsen er nødvendig til berettiget varetagelse af en åbenbar almen interesse eller af væsentlige hensyn til patienten, sundhedspersonen eller andre. Orientering efter sundhedslovens § 41, stk. 5, kan dog udelades, hvis der er hjemmel hertil i anden lovgivning, eller hvis det sker af hensyn til offentlige eller private interesser svarende til dem, der beskyttes i denne lovgivning. Med anden lovgivning sigtes navnlig til persondatalovens regler om oplysningspligt. Pligten til at orientere efter § 41, stk. 5, kan således undlades i samme omfang, som den dataansvarlige kan undlade at opfylde sin oplysningspligt efter persondataloven.

Det foreslås som en konsekvens af databeskyttelsesforordningen at begrænse anvendelsesområdet for § 41, stk. 5, således at orienteringspligten alene gælder ved manuel videregivelse af helbredsoplysninger mv.

”Manuel videregivelse” skal forstås som videregivelse, der ikke er omfattet af forordningens almindelige anvendelsesområde, jf. databeskyttelsesforordningens artikel 2, stk. 1.

Det bemærkes i den forbindelse, at den dataansvarlige region, privatpraktiserende læge m.fl. efter databeskyttelsesforordningens artikel 13 og artikel 14 vil have pligt til at give patienten en række oplysninger, når der indsamles oplysninger hos patienten, og når der indsamles oplysninger om den registrerede hos andre end patienten.

Databeskyttelsesforordningen gælder for behandling af personoplysninger, der helt eller delvis foretages ved hjælp af automatisk databehandling, og på anden ikke-automatisk behandling af personoplysninger, der er eller vil blive indeholdt i et register, jf. databeskyttelsesforordningens artikel 2, stk. 1. Begrebet ”automatisk databehandling” er sammenfaldende med begrebet ”elektronisk databehandling”.

Oplysningspligten efter databeskyttelsesforordningens artikel 13 og 14 gælder således alene i det omfang videregivelsen af personoplysningerne i medfør af sundhedslovens § 41, stk. 2, nr. 5, foretages helt eller delvis ved hjælp af elektronisk databehandling, eller er eller vil blive indeholdt i et manuelt register.

Det bemærkes i den forbindelse, at manuelle patientjournaler vedrørende de enkelte patienter sædvanligvis vil være af en sådan karakter, at de ikke kan antages at udgøre et manuelt register i databeskyttelsesforordningens forstand.

Oplysningspligten efter databeskyttelsesforordningen vil således gælde i forbindelse med videregivelse af helbredsoplysninger mv. fra elektroniske patientjournaler. Det gælder, uanset om videregivelsen sker elektronisk eller manuelt, jf. U 2011.2343 H, hvor en sagsbehandlers mundtlige videregivelse af personoplysninger, der var registreret elektronisk, blev anset for at være omfattet af persondatalovens almindelige anvendelsesområde, jf. persondatalovens § 1, stk. 1. Bestemmelsen i persondatalovens § 1, stk. 1, svarer i vidt omfang til databeskyttelsesforordningens artikel 2, stk. 1.

Oplysningspligten efter databeskyttelsesforordningen vil desuden gælde, når helbredsoplysninger mv. videregives fra manuelle patientjournaler, hvis oplysningerne videregives elektronisk, f.eks. ved at en sundhedsperson scanner helbredsoplysninger mv. fra en manuel patientjournal og sender oplysningerne med digital post, eller hvis de helbredsoplysninger mv., der videregives fra en manuel patientjournal, indgår i en elektronisk patientjournal hos modtageren af oplysningerne.

I det omfang videregivelsen af helbredsoplysninger mv. er omfattet af databeskyttelsesforordningens almindelige anvendelsesområde, jf. forordningens artikel 2, stk. 1, vil den foreslåede ændring således indebære, at den dataansvarlige region, privatpraktiserende læge m.fl. alene skal opfylde oplysningspligten efter databeskyttelsesforordningen. Det bemærkes i den forbindelse, at langt de fleste patientoplysninger efterhånden er overgået fra at være registreret i en manuel journal til at være registreret i elektroniske systemer.

Da der imidlertid fortsat i et vist omfang manuelt videregives helbredsoplysninger mv., foreslås det at bibeholde forpligtelsen til at orientere patienten, når helbredsoplysninger mv. videregives manuelt efter sundhedslovens § 41, stk. 2, nr. 4. ”Manuel videregivelse” skal i forlængelse heraf forstås som videregivelse, der ikke er omfattet af forordningens almindelige anvendelsesområde, jf. databeskyttelsesforordningens artikel 2, stk. 1.

Til nr. 3

Efter den gældende bestemmelse i sundhedslovens § 43, stk. 4, skal en patient, hvis der sker videregivelse af helbredsoplysninger mv. efter sundhedslovens § 43, stk. 2, nr. 2, som udgangspunkt orienteres om videregivelsen, samt formålet med videregivelsen. Videregivelse efter sundhedslovens § 43, stk. 2, nr. 3, kan ske uden samtykke fra patienten, hvis videregivelsen er nødvendig til berettiget varetagelse af en åbenbar almen interesse eller af væsentlige hensyn til patienten, sundhedspersonen eller andre. Orientering kan dog udelades, hvis der er hjemmel hertil i anden lovgivning, eller hvis det sker af hensyn til offentlige eller private interesser svarende til dem, der beskyttes i denne lovgivning. Med anden lovgivning sigtes navnlig til persondatalovens regler om oplysningspligt. Pligten til at orientere efter § 41, stk. 5, kan således undlades i samme omfang, som den dataansvarlige kan undlade at opfylde sin oplysningspligt efter persondataloven.

Det foreslås som en konsekvens af databeskyttelsesforordningen at begrænse anvendelsesområdet for orienteringspligten i § 43, stk. 4, til at gælde ved manuel videregivelse af helbredsoplysninger mv.

”Manuel videregivelse” skal forstås som videregivelse, der ikke er omfattet af forordningens almindelige anvendelsesområde, jf. databeskyttelsesforordningens artikel 2, stk. 1.

Det bemærkes i den forbindelse, at den dataansvarlige region, privatpraktiserende læge m.fl. efter databeskyttelsesforordningens artikel 13 og artikel 14 vil have pligt til at give patienten en række oplysninger, når der indsamles oplysninger hos patienten, og når der indsamles oplysninger om den registrerede hos andre end patienten.

Databeskyttelsesforordningen gælder for behandling af personoplysninger, der helt eller delvis foretages ved hjælp af automatisk databehandling, og på anden ikke-automatisk behandling af personoplysninger, der er eller vil blive indeholdt i et register, jf. databeskyttelsesforordningens artikel 2, stk. 1. Begrebet ”automatisk databehandling” er sammenfaldende med begrebet ”elektronisk databehandling”.

Oplysningspligten efter databeskyttelsesforordningens artikel 13 og 14 gælder således alene i det omfang videregivelsen af personoplysningerne i medfør af sundhedslovens § 43, stk. 4, foretages helt eller delvis ved hjælp af elektronisk databehandling, eller, hvis de omhandlede personoplysninger, der videregives, er eller vil blive indeholdt i et manuelt register.

Det bemærkes i den forbindelse, at manuelle patientjournaler vedrørende de enkelte patienter sædvanligvis vil være af en sådan karakter, at de ikke kan antages at udgøre et manuelt register i databeskyttelsesforordningens forstand.

Oplysningspligten efter databeskyttelsesforordningen vil således gælde i forbindelse med videregivelse af helbredsoplysninger mv. fra elektroniske patientjournaler. Det gælder uanset om videregivelsen sker elektronisk eller manuelt, jf. U 2011.2343 H, hvor en sagsbehandlers mundtlige videregivelse af personoplysninger, der var registreret elektronisk, blev anset for at være omfattet af persondatalovens almindelige anvendelsesområde, jf. persondatalovens § 1, stk. 1. Persondatalovens § 1, stk. 1, svarer i vidt omfang til databeskyttelsesforordningens artikel 2, stk. 1.

Oplysningspligten efter databeskyttelsesforordningen vil desuden gælde, når helbredsoplysninger mv. videregives fra manuelle patientjournaler, hvis oplysningerne videregives elektronisk, f.eks. ved at en sundhedsperson scanner helbredsoplysninger mv. fra en manuel patientjournal og sender oplysningerne med digital post, eller hvis de helbredsoplysninger mv., der videregives fra en manuel patientjournal indgår i en elektronisk patientjournal hos modtageren af oplysningerne.

I det omfang videregivelsen af helbredsoplysninger mv. er omfattet af databeskyttelsesforordningens almindelige anvendelsesområde, jf. forordningens artikel 2, stk. 1, vil den foreslåede ændring således indebære, at den dataansvarlige region, privatpraktiserende læge m.fl. alene skal opfylde oplysningspligten efter databeskyttelsesforordningen. Det bemærkes i den forbindelse, at langt de fleste patientoplysninger efterhånden er overgået fra at være registreret i en manuel journal til at være registreret i elektroniske systemer.

Da der imidlertid fortsat i et vist omfang manuelt videregives helbredsoplysninger mv., foreslås det at bibeholde forpligtelsen til at orientere patienten, når der manuelt videregives helbredsoplysninger mv. efter sundhedslovens § 43, stk. 4. ”Manuel videregivelse” skal i forlængelse heraf forstås som videregivelse, der ikke er omfattet af forordningens almindelige anvendelsesområde, jf. databeskyttelsesforordningens artikel 2, stk. 1.

Til nr. 4

Efter den gældende bestemmelse i § 196, stk. 3, kan sundheds- og ældreministeren bestemme, at den registrerede skal have indsigtsret i oplysninger, der er registreret om vedkommende i de kliniske kvalitetsdatabaser, som er nævnt i § 196, stk. 2.

Bemyndigelsesbestemmelsen i § 196, stk. 3, er udmøntet ved § 5 i bekendtgørelse nr. 909 af 26. juni 2016 om indberetning til godkendte kliniske kvalitetsdatabaser og videregivelse af data til Sundhedsdatastyrelsen. Det fremgår af denne bestemmelse, at den, der er registreret i en klinisk kvalitetsdatabase, hos den dataansvarlige for kvalitetsdatabasen kan anmode om at få indsigt i de oplysninger, der behandles om vedkommende. Det fremgår desuden, at henvendelsen skal behandles efter reglerne i §§ 31-34 i persondataloven bortset fra § 32, stk. 4, der ikke finder anvendelse på kliniske kvalitetsdatabaser.

Den, der er registreret i en klinisk kvalitetsdatabase har efter gældende regler – ud over indsigtsretten – de øvrige rettigheder, der følger af persondataloven, herunder retten til indsigelse mod behandling af personoplysninger, jf. persondatalovens § 35, og retten til berigtigelse, sletning eller blokering af personoplysninger, jf. persondatalovens § 37. Den registreredes rettigheder, herunder den registreredes indsigtsret, vil med virkning fra den 25. maj 2018 følge direkte af databeskyttelsesforordningen.

Det foreslås på den baggrund at nyaffatte sundhedslovens § 196, stk. 3, således, at det fremgår af bestemmelsen, at de rettigheder, som den, der er registreret i en klinisk kvalitetsdatabase, har efter databeskyttelsesforordningen, kan begrænses efter den foreslåede bestemmelse i databeskyttelseslovens § 22, bortset fra denne bestemmelses stk. 5, der ikke finder anvendelse på kliniske kvalitetsdatabaser.

Det følger af forslag til databeskyttelseslovens § 22, stk. 5, at databeskyttelsesforordningens artikel 15, 16, 18 og 21, ikke finder anvendelse, hvis oplysningerne udelukkende behandles i videnskabeligt øjemed, eller til at udarbejde statistikker

Artikel 15 vedrører den registreredes indsigtsret, artikel 16 vedrører den registreredes ret til berigtigelse, artikel 18 vedrører den registreredes ret til begrænsning af behandling og artikel 21 vedrører den registreredes ret til indsigelse.

Med den foreslåede bestemmelse i sundhedslovens § 196, stk. 3, videreføres de rettigheder, som den, der er registreret i en klinisk kvalitetsbase, allerede har i dag med de konsekvensændringer, der er nødvendige som følge af databeskyttelsesforordningen og forslag til databeskyttelsesloven.