Manuella register med uppgifter om hälsa
Kommuner och landsting
Fråga:
Önskar samråd i nedan beskrivna ärende "Yrkesastma i länet" huruvida personuppgiftslagen är tillämplig eller inte.
Nyinsjuknade i ålder 20 – 65 år i astma ska identifieras och tillsändas ett frågeformulär om yrkesmässig exponering, boendeförhållanden, atopi, rökvanor, mediciner och vissa övriga sjukdomar. Till varje fall väljs en kontrollperson som ska vara en ickeastmatiker med överensstämmande ålder och kön. Dessa kontrollpersoner tillsänds också ett frågeformulär. Beräknar samla cirka 500 fall och lika många kontroller under 2 – 3 årsperiod.
Fallidentifieringen sker via utdata ur journalsystemet.
Patienterna informeras av yrkes- och miljömedicinska kliniken via ett följebrev där det framgår att det pågår en undersökning rörande sambandet mellan hälsa och arbetsmiljön i länet. Patienten ska av metodologiska skäl inte få veta av sin distriktsläkare att patienten är utvald just på grund av sin astma.
Födelseår och kön matas in i datafilen. Materialet finns i ett
frågeformulär i papper. När dessa är ifyllda och avprickade på sändlista matas uppgifterna in i datorn och individen avidentifieras.
Är frågeformuläret som sparas att betrakta som ett personregister? Frågeformuläret innehåller namn, personnummer, yrkesmässig exponering, boendeförhållanden, atopi, rökvanor, mediciner samt övriga sjukdomar. Om i så fall måste information enligt personuppgiftslagen finnas med i brevet till patienten?
Svar:
Med anledning av Din begäran om samråd lämnas följande vägledning.
Personuppgiftslagen är tillämplig på behandling av personuppgifter. Personuppgifter är enligt definitionen all slags information som direkt eller indirekt kan hänföras till en person som är i livet. Det är således tillräckligt att informationen indirekt kan hänföras till en individ. Också i sig anonyma uppgifter som gör det möjligt med så kallad baklängesidentifikation av en fysisk person omfattas.
I vissa fall kan uppgifter direkt hänföras till en så begränsad grupp personer att en enskild individ med hjälp av andra uppgifter enkelt kan identifieras och uppgifterna får då betraktas som personuppgifter. Även om en eventuell kodnyckel inte har sparats kan det i vissa fall ändå vara möjligt att identifiera enskilda individer
Om det finns någon koppling — exempelvis genom numrering — mellan de aktuella pappersenkäterna och de enkätsvar som registreras i datorformat, så att det är möjligt att identifiera enskilda försökspersoner, utgör de datorbehandlade uppgifterna personuppgifter i personuppgiftslagens mening. Finns däremot ingen möjlighet att koppla de datorregistrerade uppgifterna till enskilda individer är det inte längre fråga om personuppgifter och personuppgiftslagen är följaktligen inte tillämplig. Förutsättningen är givetvis att det verkligen är omöjligt att identifiera enskilda personer.
Om de uppgifter som registreras i datorformat inte utgör personuppgifter återstår frågan om personuppgiftslagens bestämmelser ändå kan bli tillämpliga på de pappersenkäter som skall sparas.
Personuppgiftslagen gäller för sådan behandling av personuppgifter som är helt eller delvis automatiserad. Lagen gäller även för annan (det vill säga manuell) behandling av personuppgifter, om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier.
Även delvis automatiserad behandling av personuppgifter omfattas av personuppgiftslagen. Det innebär att lagen tillämpas redan när någon samlar in personuppgifter manuellt, exempelvis via enkäter, med syfte att senare registrera uppgifterna i datorformat. Är syftet inte att registrera personuppgifter i datorformat utan endast att registrera avidentifierade uppgifter blir personuppgiftslagen inte tillämplig på insamlandet och lagringen av enkäterna.
Om det till en samling av pappershandlingar finns ett datoriserat register med hänvisningar till handlingarna krävs det att den automatiserade delen av behandlingen (det vill säga de uppgifter som registrerats i datorformat) omfattar personuppgifter för att det överhuvudtaget skall kunna bli aktuellt att tillämpa reglerna om automatiserad behandling. Kan man inte med hjälp av automatiserad behandling söka fram uppgifter om individer i pappersmaterialet kan det inte vara fråga om en sådan delvis automatiserad behandling av personuppgifter som omfattas av lagen.
För att enkäterna skall anses utgöra sådan manuell behandling som omfattas av personuppgiftslagen måste de vara ordnade som ett register. Det krävs att uppgifterna är sökbara på mer än ett kriterium vilket innebär att det måste finnas mer än en sökingång. Det är således inte tillräckligt att enkäterna exempelvis ordnats i bokstavsordning. Hur enkäterna ordnats i det aktuella fallet framgår inte.
Av det ovan sagda följer att det beskrivna förfarandet faller utanför personuppgiftslagens tillämpningsområde under förutsättning att det inte är möjligt att härleda de datorhanterade uppgifterna till enskilda individer och pappersenkäterna inte heller har ordnats som ett register med minst två sökingångar. Det kan dock finnas anledning till tveksamhet om ett visst tillvägagångssätt endast syftar till att kringgå personuppgiftslagens bestämmelser om exempelvis information.
Datainspektionen vill understryka att informationen till de registrerade är en viktig del av integritetsskyddet i personuppgiftslagen. Om det visar sig att de aktuella uppgifterna utgör personuppgifter i personuppgiftslagens mening, skall försökspersonerna, innan de lämnar sitt uttryckliga samtycke till personuppgiftsbehandlingen, få information om vem som är personuppgiftsansvarig, ändamålen med behandlingen av personuppgifterna samt all övrig information som behövs för att den registrerade skall kunna ta till vara sina rättigheter i samband med behandlingen, såsom uppgift om vilka uppgifter eller kategorier av uppgifter som behandlas, mottagarna av personuppgifterna, skyldighet att lämna uppgifter och rätten att ansöka om information (det vill säga rätten att på begäran få registerutdrag) och få rättelse av eventuellt felaktiga personuppgifter.
Observera att detta svar inte innebär att Datainspektionen lämnat något bindande förhandsbesked.
(Oktober 2003)
Samrådsyttranden
Ett personuppgiftsombud kan fråga Datainspektionen om råd när han eller hon är osäker på vilka regler som gäller för hur personuppgifter ska behandlas eller hur de ska användas. På de här sidorna har vi samlat en del av dessa samrådsfrågor och -svar som kan vara av allmänt intresse.
Till listan med samrådsyttranden
Frågor & svar
För dig som vill veta mer har Datainspektionen sammanställt en mängd vanliga frågor och svar om personuppgiftslagen och andra områden.
