Sveriges Kommuner och Regioner, väntetidsdatabas

dataskyddsförordningen och bestämmelsen om behandling av känsliga personuppgifter i artikel 9 i dataskyddsförordningen?

SKR har förvaltat väntetidsdatabasen i dess nuvarande form sedan 2010. Eftersom dataskyddsförordningen började tillämpas den 25 maj 2018 är IMY:s prövning enligt dataskyddsförordningen begränsad till tiden därefter. Behandlingen av personuppgifter med anledning av förandet av väntetidsdatabasen innan den 25 maj 2018 ligger därmed utanför IMY:s tillsyn.

Tillsynen omfattar endast frågan om SKR:s ansvar för behandling av personuppgifter vid förandet av väntetidsdatabasen. Andra aktörers – till exempel regionernas – eventuella ansvar för personuppgiftsbehandlingen omfattas därför inte av IMY:s tillsyn.

2.3 Vad som framkommit i ärendet

SKR har i ärendet uppgett bland annat följande.

Regionerna har en skyldighet enligt lag och förordning att rapportera uppgifter om väntetider till den nationella väntetidsdatabasen som förs av SKR. Den lagstadgade skyldigheten att rapportera kompletteras med modeller som SKR utvecklat tillsammans med regionerna. I överenskommelser mellan SKR och staten anges att det finns modeller för uppföljning av tillgänglighet, och att regionerna ska rapportera uppgifter till SKR och väntetidsdatabasen i enlighet med dessa. SKR har förvaltat väntetidsdatabasen i dess nuvarande form sedan vårdgarantin trädde i kraft 2010.

Ändamålet med personuppgiftsbehandlingen är att tillgängliggöra statistik över tillgänglighet till svensk hälso- och sjukvård för att bland annat kunna följa hur den lagstadgade vårdgarantin infrias. I väntetidsdatabasen finns sammanställd statistik över tillgängligheten till svensk hälso- och sjukvård. Statistiken är öppen för alla att ta del av, men är främst riktad till beslutsfattare och utövare inom hälso- och sjukvård (förtroendevalda och tjänstepersoner) samt samhällsbevakare.

Väntetidsdatabasen innehåller personuppgifter men endast den region som rapporterat in uppgifterna har möjlighet att identifiera enskilda patienter i väntetidsdatabasen.

SKR är inte personuppgiftsansvarig för den personuppgiftsbehandling som sker i den nationella väntetidsdatabasen. Personuppgiftsansvariga är Sveriges 21 regioner. Behandlingen i databasen genomförs på regionernas uppdrag med personuppgiftsbiträdeavtal (inkl. instruktioner) mellan respektive personuppgiftsansvarig region och SKR.

SKR anser, i sin roll som personuppgiftsbiträde, att behandlingen i väntetidsdatabasen stöder sig på artikel 6.1 c (rättslig förpliktelse) och 6.1 e (uppgift av allmänt intresse) samt artikel 9.2 g i dataskyddsförordningen. Genom ändamålsbestämmelsen i 2 kap. 4 § patientdatalagen (2008:355), PDL, är det tillåtet för personuppgiftsansvariga att behandla personuppgifter (inklusive känsliga sådana) för bland annat statistiska ändamål. Vidare får personuppgiftsansvariga i enlighet med 2 kap. 5 § PDL behandla personuppgifter för att fullgöra uppgiftslämnande enligt lag eller förordning. Den behandling av personuppgifter som SKR utför i egenskap av personuppgiftsbiträde grundar sig på ett personuppgiftsbiträdeavtal mellan regionerna och SKR. Vidare finns bestämmelser i 9 kap. 3 § hälso- och sjukvårdslagen (2017:30), HSL, och 6 kap. 3 § hälso- och sjukvårdsförordningen (2017:80), HSF, enligt vilka det framgår att

uppgiftslämnande ska fullgöras genom att regionerna lämnar uppgifter om väntetider till den nationella väntetidsdatabas som förs av SKR. Behandlingen sker även på grundval av regeringsbeslut om överenskommelser om väntetider i vården i vilka kriterierna för inrapportering av personuppgifterna är fastställda. I sådana överenskommelser anges att det finns modeller för uppföljning av tillgänglighet och att regionerna ska rapportera uppgifter till SKR och väntetidsdatabasen i enlighet med dessa. SKR anser vidare i sin roll som personuppgiftsbiträde att de registrerades rättigheter och intressen skyddas genom tystnadsplikt, dels genom personuppgiftsbiträdesavtal, dels genom lagen (2020:914) om tystnadsplikt vid utkontraktering av teknisk bearbetning eller lagring av uppgifter.

3. Motivering av beslutet

3.1 De uppgifter som behandlas vid förandet av den nationella väntetidsdatabasen utgör personuppgifter

För att dataskyddsförordningen ska vara tillämplig i ärendet krävs det att de uppgifter som behandlas vid förandet av den nationella väntetidsdatabasen utgör personuppgifter.

3.1.1 Tillämpliga bestämmelser m.m.

Enligt 9 kap. 3 § HSL ska regionerna rapportera in uppgifter om väntetider till en nationell databas. Rapporteringsskyldigheten ska enligt 6 kap. 3 § HSF fullgöras genom att regionerna lämnar uppgifter om väntetider till den nationella väntetidsdatabas som förs av Sveriges Kommuner och Landsting .

Socialstyrelsen får enligt 6 kap. 4 § HSF meddela ytterligare föreskrifter om regionernas rapporteringsskyldighet enligt 9 kap. 3 § HSL. Socialstyrelsen har inte meddelat sådana föreskrifter eller tagit fram nationella riktlinjer som rör rapporteringsskyldigheten.

Med personuppgifter avses enligt artikel 4.1 i dataskyddsförordningen varje upplysning som avser en identifierad eller identifierbar fysisk person, varvid en identifierbar fysisk person är en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller onlineidentifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet.

I skäl 26 till dataskyddsförordningen anges att personuppgifter som har pseudonymiserats och som skulle kunna tillskrivas en fysisk person genom att kompletterande uppgifter används bör anses som uppgifter om en identifierbar fysisk person. I samma skäl anges vidare att man – för att avgöra om en fysisk person är identifierbar – bör beakta alla hjälpmedel, som t.ex. utgallring, som, antingen av den personuppgiftsansvarige eller av en annan person, rimligen kan komma att användas för att direkt eller indirekt identifiera den fysiska personen.

3.1.2 SKR:s uppgifter i ärendet

Väntetidsdatabasen hanterar uppgifter om vårdkontakter (planerade/väntande och genomförda/produktion), ålder men där två regioner rapporterar åldersspann, kön,

enhet för vårdkontakt, åtgärdskoder i form av KVÅ-koder samt diagnoskoder enligt ICD10SE.

Uppgift om vårdenhet utgörs av belägenhet i form av län och kommun, sjukhuskod och klinikkod enligt Socialstyrelsens klassificering samt HSA-id. Från den så kallade HSAkatalogen för SKR in uppgift om vilka vårdenheter som rapporterats in av regionerna, det vill säga vårdenhets-ID.

Personuppgifter som lagras i systemet utgörs av avidentifierad vårdkontakt, ålder, kön, folkbokföringskommun, vårdtyp, diagnoser enligt ICD-10 och åtgärder i form av KVÅkoder.

För varje datapost som rapporteras in av regionerna väljer regionerna själva ett vårdkontakts-id som fungerar som en kodnyckel. Vårdkontakts-id är den uppgift som gör att regionerna kan koppla uppgiften till en patient. SKR har inte tillgång till de kodnycklar som kopplar ihop den inrapporterade datan med originaluppgifterna i regionernas journal- och tidssystem.

Personuppgifter behandlas för att göra beräkningar avseende både väntande för vård och genomförda besök. Det sker genom att SKR även tar in uppgifter om från vilken tidpunkt väntetiden börjat och avslutats.

Genom att aggregera data i intervaller säkerställs att det inte är möjligt att identifiera enskilda personer. Därmed säkerställs att SKR i egenskap av personuppgiftsbiträde inte kan använda dessa för att identifiera enskilda individer i väntetidsdatabasen.

3.1.3 IMY:s bedömning

Avgörande för frågan om de uppgifter som behandlas vid förandet av den nationella väntetidsdatabasen utgör personuppgifter är om uppgifterna avser identifierade eller identifierbara fysiska personer. Som framgår av skäl 26 till dataskyddsförordningen krävs det inte att behandlingen avser t.ex. namn eller personnummer, utan även information som har kodats men som kan kopplas till en fysisk person med hjälp av kompletterande uppgifter utgör personuppgifter, under förutsättning att någon rimligen kan komma att använda sådana kompletterande uppgifter för att identifiera personen.

IMY delar SKR:s uppfattning att de uppgifter som behandlas vid förandet av väntetidsdatabasen utgör personuppgifter eftersom vårdkontakts-id möjliggör för regionerna att koppla uppgifter till en patient. Regionerna har också behörighet att komma åt de inrapporterade uppgifterna och således en faktisk möjlighet att identifiera patienterna.

Enligt IMY finns även skäl att bedöma om uppgifterna utgör personuppgifter även utan beaktande av vårdkontakts-id. IMY konstaterar att personuppgifter kan utgöras av en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet.

Utöver vårdkontakts-id behandlas bland annat uppgifter om enhet för vårdkontakt, åtgärdskoder i form av KVÅ-koder och diagnoskoder i form av ICD10SE.

Enhet för vårdkontakt består av uppgifter om län och kommun, sjukhuskod och 4 5 klinikkod enligt Socialstyrelsens klassificering samt HSA-id .

KVÅ-koder utgörs av uppgifter om åtgärder i hälso- och sjukvården som patientinriktade insatser som huvudsakligen utförs i ett utredande, behandlande eller förebyggande syfte. En medicinsk kroppsundersökning, till exempel att lyssna på hjärta eller lungor på en patient, är en utredande åtgärd. Operativa ingrepp, som blindtarmsoperation eller starroperation, är exempel på behandlande åtgärder. Stöd för att sluta röka är en förebyggande åtgärd.

ICD (International Statistical Classification of Diseases and Related Health Problems) är ett klassificeringssystem som syftar till att möjliggöra klassificering och statistisk beskrivning av sjukdomar och andra hälsoproblem som är orsak till människors död eller kontakter med hälso- och sjukvården. Förutom traditionella diagnoser omfattar klassifikationen ett brett spektrum av symtom, onormala fynd, besvär och sociala förhållanden. Den svenska versionen av ICD-10 heter ICD-10-SE, Internationell statistisk klassifikation av sjukdomar och relaterade hälsoproblem – systematisk förteckning.

Därutöver behandlas uppgifter om patienters ålder, kön, folkbokföringskommun, vårdtyp och uppgifter om från vilken tidpunkt väntetiden börjat och avslutats.

IMY bedömer att de uppgifter som behandlas sammantaget är så pass särskiljande i fråga om enskilda patienter att uppgifterna i många fall möjliggör identifiering av enskilda patienter. Personuppgifter behandlas därför vid förandet av väntetidsdatabasen även i frånvaro av uppgift om vårdkontakts-id.

Vad SKR uppgett om att personer inte kan identifieras av SKR eftersom datan aggregeras i intervaller påverkar inte IMY:s bedömning i denna del eftersom uppgifterna även behandlas av SKR i icke aggregerad form.

Sammanfattningsvis bedömer IMY att de uppgifter som behandlas vid förandet av den nationella väntetidsdatabasen utgör personuppgifter.

3.2 Personuppgifterna utgör uppgifter om hälsa

3.2.1 Tillämplig bestämmelse

Med uppgifter om hälsa avses enligt artikel 4.15 i dataskyddsförordningen personuppgifter som rör en fysisk persons fysiska eller psykiska hälsa, inbegripet tillhandahållande av hälso- och sjukvårdstjänster, vilka ger information om dennes hälsostatus.

3.2.2 IMY:s bedömning

Som framkommit ovan avser uppgifterna som rapporteras in till den nationella väntetidsdatabasen bland annat uppgift om vårdenhet, vårdtyp, diagnoser och

åtgärder. IMY konstaterar att det således är fråga om uppgifter som rör en fysisk persons fysiska eller psykiska hälsa och som ger information om dennes hälsostatus. Vid förandet av väntetidsdatabasen behandlas således uppgifter om hälsa enligt artikel 4.15 i dataskyddsförordningen.

3.3 SKR är personuppgiftsansvarig för behandlingen av personuppgifter vid förandet av den nationella väntetidsdatabasen

3.3.1 Tillämpliga bestämmelser m.m.

Med personuppgiftsansvarig avses enligt artikel 4.7 i dataskyddsförordningen en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Vidare framgår av artikeln att om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt.

Med personuppgiftsbiträde avses, enligt artikel 4.8 i dataskyddsförordningen, en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som behandlar personuppgifter för den personuppgiftsansvariges räkning.

I Europeiska dataskyddsstyrelsens (EDPB) riktlinjer angående begreppen personuppgiftsansvarig och personuppgiftsbiträde anges bland annat följande. Begreppen personuppgiftsansvarig och personuppgiftsbiträde är funktionella begrepp: de syftar till att fördela ansvar enligt parternas faktiska roller. Detta innebär att en aktörs rättsliga status som antingen ”personuppgiftsansvarig” eller ”personuppgiftsbiträde” i princip måste fastställas av deras faktiska aktiviteter i en specifik situation, snarare än vid den formella tilldelningen av en aktör som antingen en ”personuppgiftsansvarig” eller ett ”personuppgiftsbiträde” (t.ex. i ett avtal). Detta innebär att rollfördelningen vanligtvis bör härröra från en analys av ärendets faktiska element eller omständigheter och är som sådan inte förhandlingsbar.

Vid bedömningen av vem som fastställer ändamål och medel kan enligt EDPB två situationskategorier särskiljas, dels kontroll som härrör från lagbestämmelser, dels kontroll som härrör från faktiskt inflytande. I avsaknad av kontroll som följer av lagbestämmelser måste en parts kvalificering som personuppgiftsansvarig fastställas på grundval av en bedömning av de faktiska omständigheterna kring behandlingen. Alla relevanta faktiska omständigheter måste beaktas för att nå en slutsats om huruvida en viss enhet utövar ett avgörande inflytande när det gäller behandlingen av personuppgifterna i fråga.

I riktlinjerna anges bland annat följande avseende kontroll som härrör från lagbestämmelser. Det finns fall där kontroll kan utläsas av uttrycklig juridisk kompetens, t.ex. när den personuppgiftsansvarige eller de specifika kriterierna för nominering av denne fastställs av nationell lagstiftning eller unionsrätt. Där den

personuppgiftsansvarige har identifierats specifikt av denna lagstiftning, kommer detta att vara fastställande för etablerandet av vem som fungerar som personuppgiftsansvarig. Men vanligare är att istället för att direkt utse den personuppgiftsansvarige eller fastställa kriterierna för utnämnandet, kommer lagen att fastställa en uppgift eller ålägga någon skyldighet att samla in och behandla vissa uppgifter. I sådana fall fastställs ändamålet med behandlingen ofta av rådande lagstiftning. Den personuppgiftsansvarige kommer normalt att vara den som utses av rådande lagstiftning för utförande av detta syfte, detta offentliga åtagande. I så fall anger lagen, om än indirekt, vem som är personuppgiftsansvarig. Mer allmänt kan lagen också ålägga antingen offentliga eller privata enheter att behålla eller tillhandahålla vissa uppgifter. Dessa enheter skulle då normalt betraktas som personuppgiftsansvariga med avseende på den behandling som är nödvändig för att fullgöra denna skyldighet.

I samma riktlinjer ges följande exempel:

3.3.2 SKR:s uppgifter i ärendet

Det är regionerna och inte SKR som är personuppgiftsansvariga för den personuppgiftsbehandling som sker i den nationella väntetidsdatabasen. SKR:s behandling i databasen genomförs på regionernas uppdrag med personuppgiftsbiträdeavtal mellan respektive personuppgiftsansvarig region och SKR.

Regionerna bestämmer över vilka behandlingar som ska göras i väntetidsdatabasen. I egenskap av personuppgiftsansvariga ger regionerna SKR, som personuppgiftsbiträde, olika uppdrag. Gemensam beredning av aktuella uppdrag sker av regionerna via en nätverksstruktur med tillhörande arbets- och beredningsgrupper. Dessutom finns en regiongemensam styrgrupp, med en regionrepresentant som innehar ordförandeskapet. SKR har tillsammans med regionerna utvecklat modeller som regionerna ska rapportera i enlighet med. Styrgruppernas uppdrag omfattar inte endast modellerna utan även helheten och långsiktigt strategiska behov för uppföljningen av vårdens tillgänglighet. SKR arbetar på uppdrag av regionerna enligt den beskrivna nätverksstrukturen. Beslut om rammedel för väntetidsdatabasen beslutas årligen vid överenskommelse mellan staten och SKR som ombud för regionerna, samt via tilläggsfinansiering från regionerna. Tekniska och organisatoriska frågor kopplat till det nationellt gemensamma arbetet med väntetidsdatabasen har regionerna delegerat till SKR.

Enligt överenskommelser mellan SKR och staten ska regionerna rapportera data i enlighet med framtagna modeller för uppföljning av tillgänglighet för att få del av medlen i överenskommelsen. SKR kan dock kan inte på något sätt tvinga regionerna att rapportera.

Beskrivning av systemet och behandlingen

Regionernas rapportering till väntetidsdatabasen går till på så sätt att regionerna samlar ihop data från sina journal- och tidssystem och skickar uppgifterna till Signe, som är ett system som förvaltas av SKR, där uppgifterna från regionerna lagras. I

Signe finns uppgifter från innevarande år och föregående år. Signe har funnits sedan år 2007 och har successivt utvecklats. Signe kommunicerar med väntetidsdatabasen och med analysverktyget QlikView som används för att visa uppgifter som finns i Signe.

QlikView är en egen databas och rådata finns i både Signe och Qlikview. Analysverktyget finns i QlikView och det är i QlikView som aggregeringarna görs. I QlikView finns både den öppna applikationen och den detaljerade applikationen.

I den öppna applikationen i QlikView kan regionerna se uppgifter om alla regioner på aggregerad nivå för att göra jämförelser. Den detaljerade applikationen i QlikView är i grunden lik den öppna applikationen men innehållet är lite annorlunda. Den detaljerade applikationen består inte av aggregerade uppgifter utan av faktiska siffror avseende varje region. Loggar man in som en region visas uppgifter om ens egen region i den detaljerade applikation, men även andra regioners uppgifter visas ner till filteringsnivån klinik. I den detaljerade applikationen går det även att se diagnoskod.

Den detaljerade applikationen används främst för lite djupare analys än den öppna, då det går att filtrera på mer detaljerad nivå än i den öppna applikationen. I den detaljerade applikationen finns även en flik som heter datakvalitet, och under den kan SKR göra rimlighetsbedömningar avseende lämnade uppgifter, t.ex. om antal besök.

När applikationerna i QlikView används sker en behandling av hela databasmängden.

För att kunna utveckla vården återkopplar SKR uppgifter till regionerna efter de beräkningar som SKR gjort, genom att regionerna får tillbaka uppgifter om måluppfyllelsen som SKR har beräknat. Syftet i denna del för SKR är utveckling av verksamhet och tillgänglighet.

SKR har tre behörigheter till den detaljerade applikationen. Regionerna kontaktar SKR vid behov av assistans för att förstå hur de ska använda applikationen och få ut mer av sin egna uppgifter. Regionen (genom utsedda väntetidssamordnare) bestämmer vilka som ska ha tillgång till regionens detaljerade data och de olika applikationerna/rapporterna.

3.3.3 IMY:s bedömning

Frågan som IMY har att ta ställning till i denna del är om SKR är personuppgiftsansvarig för den behandling av personuppgifter som sker vid förandet av den nationella väntetidsdatabasen, dvs. behandlingen i väntetidsdatabasen och de system som upprättats för att ta emot och bearbeta uppgifterna från regionerna.

SKR:s uppfattning är att SKR agerar som personuppgiftsbiträde avseende behandlingen av personuppgifter vid förandet av väntetidsdatabasen och har till stöd för detta bland annat lämnat in ett antal personuppgiftsbiträdesavtal. Enligt IMY måste dock – i likhet med vad som anges i EDPB:s riktlinjer – en aktörs rättsliga status som antingen personuppgiftsansvarig eller personuppgiftsbiträde fastställas av de faktiska omständigheterna i ärendet, snarare än av den formella tilldelningen av en aktör som antingen en personuppgiftsansvarig eller ett personuppgiftsbiträde i till exempel ett avtal. De inlämnade personuppgiftsbiträdesavtalen saknar därför avgörande betydelse för frågan om SKR är personuppgiftsansvarig för den i ärendet aktuella behandlingen.

SKR har även anfört att regionerna delvis finansierar väntetidsdatabasen och att det är regionerna som tillsammans med SKR tagit fram modellerna enligt vilka regionerna

ska rapportera in uppgifter. Frågan om SKR är att betrakta som personuppgiftsansvarig är dock inte avhängig bedömningen av om även regionerna i någon del kan anses vara personuppgiftsansvariga för behandlingen eftersom begreppet personuppgiftsansvarig även omfattar situationer där aktören i fråga tillsammans med andra bestämmer ändamål och medel med behandlingen. Som framgått ovan i detta beslut omfattar IMY:s granskning i detta ärende inte regionernas eventuella ansvar för personuppgiftsbehandlingen.

IMY konstaterar att det inte uttryckligen reglerats i svensk rätt att SKR eller någon annan aktör är personuppgiftsansvarig för personuppgiftsbehandlingen i väntetidsdatabasen. Genom 9 kap. 3 § HSL och 6 kap. 3 § HSF har dock SKR av lagstiftaren tilldelats uppgiften att i den nationella väntetidsdatabasen behandla de uppgifter om väntetider som regionerna är skyldiga att rapportera till databasen. Vidare anges i överenskommelser med staten att SKR ska förvalta den nationella väntetidsdatabasen.

Detta innebär enligt IMY att lagstiftningen indirekt pekar ut SKR som ansvarig för den uppgiftsbehandling som är nödvändig för att föra väntetidsdatabasen. Detta talar enligt IMY:s bedömning med styrka för att SKR är ansvarig för behandlingen av uppgifter i databasen.

IMY konstaterar vidare att det övergripande syftet med regionernas rapporteringsskyldighet primärt har bestämts av lagstiftaren. I förarbetena till 9 kap. 3 § HSL anges att de uppgifter som ska rapporteras i första hand bör avse uppgifter som kan användas i syfte att kontrollera efterlevnaden till vårdgarantin samt att ett ytterligare syfte med uppgifterna bör vara information till hälso- och sjukvårdspersonalen och beslutsfattare liksom till befolkningen. Uttalandet gjordes i anslutning till att regeringen konstaterade att det i förordning eller myndighetsföreskrifter bör lämnas mer detaljerad reglering av de uppgifter som landstingen ska rapportera till databasen. Som tidigare angetts har Socialstyrelsen genom 6 kap. 4 § HSF bemyndigats att meddela föreskrifter om regionernas rapporteringsskyldighet, men några sådana föreskrifter har inte meddelats. Däremot kan konstateras att regeringen och SKR i överenskommelser lämnat närmare information om rapporteringsskyldighetens innehåll, t.ex. genom att ange att statistiken i väntetidsdatabasen ska möjliggöra jämförelse av väntetider utifrån kön och ålder och att regionerna ska rapportera i enlighet med de överenskomna modellerna. Dessa modeller har tagits fram av SKR tillsammans med regionerna i enlighet med uppdrag som angetts i överenskommelse med staten.

Av överenskommelserna framgår vidare att SKR ska förvalta den nationella väntetidsdatabasen och att SKR årligen tilldelas medel för bland annat detta syfte. Enligt flera av överenskommelserna ska SKR utveckla databasen, genomföra tester och kvalitetssäkring samt utveckla underlag för återkoppling och presentation. Vidare framgår att statistiken i databasen ska möjliggöra jämförelser inom såväl som mellan regioner samt att SKR genom anvisningar och riktlinjer framtagna tillsammans med regionerna ska ge stöd i regionernas kvalitetssäkring av data.

SKR får enligt IMY anses ha ett starkt egenintresse av att iaktta den författningsreglerade skyldigheten att föra den nationella väntetidsdatabasen och att uppfylla sina åtaganden i överenskommelserna med staten. IMY konstaterar även att SKR har inrättat digitala system för mottagande och bearbetning av personuppgifterna.

SKR sammanställer personuppgifterna och gör dem tillgängliga för regionerna. SKR gör även egna rimlighetsbedömningar avseende lämnade uppgifter.

Sammanfattningsvis bedömer IMY att SKR indirekt utpekas som personuppgiftsansvarig i 9 kap. 3 § HSL och 6 kap. 3 § HSF samt att det av de faktiska omständigheterna i ärendet framgår att SKR har sådan kontroll över behandlingen av personuppgifter att de bestämmer ändamålen och medlen för behandlingen av personuppgifter i dataskyddsförordningens mening. SKR är därmed personuppgiftsansvarig för behandlingen av personuppgifter vid förandet av den nationella väntetidsdatabasen.

3.4 SKR har inte rättslig grund för personuppgiftsbehandlingen enligt artikel 6 i dataskyddsförordningen

3.4.1 Tillämpliga bestämmelser m.m.

För att en behandling av personuppgifter ska vara laglig krävs att den har stöd i någon av de rättsliga grunder som anges i artikel 6.1 i dataskyddsförordningen. Vid behandling av personuppgifter för hälso- och sjukvårdsändamål är det främst artikel 6.1 c (rättslig förpliktelse) eller 6.1 e (allmänt intresse eller myndighetsutövning) som kan vara tillämpliga.

Enligt artikel 6.1 c i dataskyddsförordningen får personuppgifter behandlas om behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige.

Av artikel 6.1 e i dataskyddsförordningen följer att personuppgifter får behandlas om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning.

Enligt artikel 6.3 i dataskyddsförordningen ska den grund för behandlingen som avses i artikel 6.1 c eller e fastställas i enlighet med unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av. Syftet med behandlingen ska fastställas i den rättsliga grunden eller, i fråga om behandling enligt punkt 1 e, ska vara nödvändigt för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Den rättsliga grunden kan innehålla särskilda bestämmelser för att anpassa tillämpningen av bestämmelserna i denna förordning, bland annat: de allmänna villkor som ska gälla för den personuppgiftsansvariges behandling, vilken typ av uppgifter som ska behandlas, vilka registrerade som berörs, de enheter till vilka personuppgifterna får lämnas ut och för vilka ändamål, ändamålsbegränsningar, lagringstid samt typer av behandling och förfaranden för behandling, inbegripet åtgärder för att tillförsäkra en laglig och rättvis behandling, däribland för behandling i andra särskilda situationer enligt kapitel IX.

Av skäl 41 till dataskyddsförordningen framgår att den rättsliga grunden bör vara tydlig och precis och dess tillämpning förutsebar för personer som omfattas av den, i enlighet med rättspraxis vid EU-domstolen och Europadomstolen. EU-domstolen har i sin praxis ställt höga krav på utformningen av de rättsliga grunder som ska ligga till grund för personuppgiftsbehandling.

Enligt 2 kap. 1 och 2 §§ lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen) får personuppgifter behandlas med stöd av artikel 6.1 c och e i dataskyddsförordningen om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna fullgöra en rättslig förpliktelse eller för att utföra en uppgift av allmänt intresse som följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning eller som ett led i den personuppgiftsansvariges myndighetsutövning enligt lag eller annan författning.

I förarbetena till dataskyddslagen anges bland annat följande. Vilken grad av tydlighet och precision som krävs i fråga om den rättsliga grunden för att en viss behandling av personuppgifter ska anses vara nödvändig måste enligt regeringen bedömas från fall till fall, utifrån behandlingens och verksamhetens karaktär. En behandling av personuppgifter som inte utgör någon egentlig kränkning av den personliga integriteten kan enligt regeringen ske med stöd av en rättslig grund som är allmänt hållen. Ett mer kännbart intrång, till exempel behandling av känsliga personuppgifter inom hälso- och sjukvården, kräver emellertid att den rättsliga grunden är mer preciserad och därmed gör intrånget förutsebart.

En rättslig förpliktelse kan inte utgöra en rättslig grund för behandling av personuppgifter om förpliktelsen är för svepande och ger den personuppgiftsansvarige en alltför stor handlingsfrihet i fråga om hur den ska uppfyllas.

Vid bedömningen av om en rättslig förpliktelse, en arbetsuppgift eller myndighetsutövning följer av exempelvis en lagbestämmelse kan bland annat förarbetsuttalanden, bestämmelsens syfte och den rättsliga kontext bestämmelsen befinner sig i behöva beaktas. Det är alltså inte bara lagtextens ordalydelse som är av relevans för att avgöra om något följer av lag.

Enligt 9 kap. 3 § HSL ska regionerna rapportera in uppgifter om väntetider till en nationell databas. Rapporteringsskyldigheten ska enligt 6 kap. 3 § HSF fullgöras genom att regionerna lämnar uppgifter om väntetider till den nationella väntetidsdatabas som förs av SKR.

3.4.2 IMY:s bedömning

IMY konstaterar inledningsvis att SKR uppgett att SKR behandlar personuppgifter med stöd av personuppgiftsbiträdesavtal mellan SKR och regionerna. Eftersom IMY ovan bedömt att SKR är personuppgiftsansvarig för behandlingen av personuppgifter vid förande av den nationella väntetidsdatabasen kan dock inte personuppgiftsbiträdesavtalen utgöra stöd för SKR att utföra behandlingen.

De rättsliga grunder som kan bli aktuella för den personuppgiftsbehandling som föranleds av förandet av den nationella väntetidsdatabasen är enligt IMY rättslig förpliktelse (artikel 6.1 c i dataskyddsförordningen) och uppgift av allmänt intresse

(artikel 6.1 e i dataskyddsförordningen). Som framkommit ovan måste den rättsliga förpliktelsen eller uppgiften av allmänt intresse enligt artikel 6.3 i dataskyddsförordningen fastställas i unionsrätten eller nationell rätt.

IMY konstaterar att det – i enlighet med vad SKR framfört – finns regler i PDL som möjliggör behandling av personuppgifter för bland annat statistiska ändamål och för att fullgöra uppgiftslämnande enlig lag eller förordning. Eftersom det framgår av 1 kap. 1 § PDL att lagen endast avser vårdgivares behandling av personuppgifter och SKR inte är en vårdgivare kan dock bestämmelserna i PDL inte utgöra rättslig grund för den i ärendet aktuella behandlingen av personuppgifter.

Frågan är då om bestämmelserna i 9 kap. 3 § HSL och 6 kap. 3 § HSF kan utgöra rättslig grund för behandlingen.

Kravet på utformningen av den rättsliga grunden är högre om det är fråga om en behandling som innebär ett mer kännbart intrång. IMY konstaterar att SKR behandlar personuppgifter om patienter som regionerna samlat från sina journal- och tidssystem och rapporterat in till SKR. De uppgifter som behandlas omfattar uppgifter om patienters hälsa, dvs. känsliga personuppgifter. Regionerna rapporterar drygt 40 miljoner vårdkontakter per år till SKR. Av exempelvis överenskommelsen för år 2023 mellan staten och SKR framgår att överenskommelsen omfattar insatser riktade till barn- och ungdomspsykiatrin. Barns personuppgifter förtjänar särskilt skydd, eftersom barn kan vara mindre medvetna om berörda risker, följder och skyddsåtgärder samt om sina rättigheter när det gäller behandling av personuppgifter. Mot bakgrund av behandlingens art, omfattning och sammanhang bedömer IMY att det måste ställas höga krav på den rättsliga grundens tydlighet, precision och förutsägbarhet för att den ska kunna ligga till grund för den aktuella behandlingen.

Av 9 kap. 3 § HSL framgår att regionerna ska rapportera in uppgifter om väntetider till en nationell databas och av 6 kap. 3 § HSF framgår att denna skyldighet ska fullgöras genom att uppgifter om väntetider redovisas till den nationella väntetidsdatabasen som förs av SKR. Genom regleringen i HSF har SKR således fått en uppgift att ta emot uppgifter från regionerna. IMY bedömer att detta är en uppgift av allmänt intresse. Frågan är om regleringen av denna uppgift kan ligga till grund för behandlingen av personuppgifter vid förandet av väntetidsdatabasen.

Av förarbetena till 9 kap. 3 § HSL framgår att det under remissbehandlingen uttryckligen efterfrågades överväganden kring integritetsaspekterna om inrapporteringen av väntetidsdata skulle innefatta personuppgifter. Regeringen konstaterade dock att de uppgifter som skulle rapporteras var avidentifierade och inte utgjorde personuppgifter enligt den då gällande personuppgiftslagen (1998:204). Därför bedömde regeringen att det inte fanns några integritetsaspekter att ta hänsyn till. Det framgår således tydligt av förarbetena att avsikten inte var att regionernas rapportering av uppgifter till SKR skulle omfatta personuppgifter. Redan detta innebär, enligt IMY:s bedömning, att regleringen i HSL och HSF inte kan läggas till grund för SKR:s personuppgiftsbehandling.

Därutöver kan konstateras att varken HSL eller HSF innehåller några närmare bestämmelser om vilka uppgifter som ska rapporteras, och inte heller några bestämmelser om förandet av själva väntetidsdatabasen. Socialstyrelsen har inte meddelat några ytterligare föreskrifter om rapporteringsskyldigheten. Detta innebär att,

även om regleringen hade syftat till att möjliggöra behandling av personuppgifter, saknar bestämmelserna i 9 kap. 3 § HSL och 6 kap. 3 § HSF den tydlighet, precision och förutsägbarhet som krävs för att kunna ligga till grund för den omfattande och integritetskänsliga personuppgiftsbehandlingen som är aktuell i ärendet.

SKR har vidare anfört att behandlingen sker på grundval av regeringsbeslut om överenskommelser med SKR.

Som redovisats syftar inte regleringen i 9 kap. 3 § HSL och 6 kap. 3 § HSF till att ge stöd för personuppgiftsbehandling. Det innebär att överenskommelserna inte kan ge stöd för behandlingen som ett komplement till författningsregleringen.

IMY bedömer inte heller att regeringens beslut att ingå överenskommelser med SKR kan utgöra rättslig grund för behandlingen på egen hand. Enligt 2 kap. 1 och 2 §§ dataskyddslagen får personuppgifter behandlas med stöd av artikel 6.1 c och e i dataskyddsförordningen om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna fullgöra en rättslig förpliktelse eller för att utföra en uppgift av allmänt intresse som följer av bland annat beslut som har meddelats med stöd av lag eller annan författning. I förarbetena till dataskyddslagen anges visserligen att ett regeringsbeslut kan utgöra ett sådant beslut som avses i 2 kap. 1 och 2 §§ dataskyddslagen och som därmed kan utgöra rättslig grund för behandling av personuppgifter. Som exempel anges situationen att en uppgift av allmänt intresse tilldelas en statlig myndighet eller ett statligt bolag genom ett regeringsbeslut. Det är dock i förevarande fall enligt IMY:s bedömning inte fråga om regeringsbeslut som fastställer en uppgift av allmänt intresse. Regeringsbesluten är i stället beslut om att ingå en överenskommelse som förhandlats med SKR respektive beslut om att ge delegation till viss person att ingå en sådan överenskommelse. De aktuella överenskommelserna är därför enligt IMY:s uppfattning närmast av civilrättslig karaktär och kan inte uppfylla kravet i artikel 6.3 i dataskyddsförordningen på att en uppgift av allmänt intresse ska vara fastställd i nationell rätt.

Därutöver anser IMY att regeringens beslut att ingå de aktuella överenskommelserna saknar tillräcklig tydlighet, precision och förutsägbarhet för att kunna ligga till grund för den i ärendet aktuella personuppgiftsbehandlingen. I överenskommelserna anges visserligen att inrapportering ska ske i enlighet med de modeller som SKR tagit fram tillsammans med regionerna. Modellerna får dock enligt IMY anses som svåröverskådliga för en registrerad. De är därutöver inte bilagerade överenskommelserna och kan inte anses vara tillgängliga för den registrerade. Överenskommelserna ingås därutöver årligen vilket i sig innebär en minskad förutsägbarhet.

Sammanfattningsvis bedömer IMY att SKR inte kan stödja behandlingen på artikel 6.1 c eller e i dataskyddsförordningen. Det har inte heller framkommit att SKR har stöd för behandlingen i någon av de andra rättsliga grunderna i artikel 6.1 i dataskyddsförordningen. SKR har därmed inte rättslig grund för behandlingen av patienters personuppgifter vid förandet av den nationella väntetidsdatabasen. Det innebär att SKR har behandlat personuppgifter i strid med artikel 6 i dataskyddsförordningen sedan den 25 maj 2018.

3.5 SKR behandlar känsliga personuppgifter i strid med artikel 9 i dataskyddsförordningen

3.5.1 Tillämpliga bestämmelser

Uppgifter om hälsa utgör så kallade känsliga personuppgifter. Det är enligt artikel 9.1 i dataskyddsförordningen förbjudet att behandla sådana personuppgifter, om inte behandlingen omfattas av något av undantagen i artikel 9.2.

Enligt artikel 9.2 g i dataskyddsförordningen får känsliga personuppgifter behandlas om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen.

Av artikel 9.2 h framgår att känsliga personuppgifter får behandlas om behandlingen är nödvändig av skäl som hör samman med förebyggande hälso- och sjukvård och yrkesmedicin, bedömningen av en arbetstagares arbetskapacitet, medicinska diagnoser, tillhandahållande av hälso- och sjukvård, behandling, social omsorg eller förvaltning av hälso- och sjukvårdstjänster och social omsorg och av deras system, på grundval av unionsrätten eller medlemsstaternas nationella rätt eller enligt avtal med yrkesverksamma på hälsoområdet och under förutsättning att de villkor och skyddsåtgärder som avses i punkt 3 är uppfyllda.

En förutsättning för att behandling av känsliga personuppgifter enligt artikel 9.2 h ska vara tillåten är enligt artikel 9.3 att personuppgifter behandlas av eller under ansvar av en yrkesutövare som omfattas av tystnadsplikt enligt unionsrätten eller medlemsstaternas nationella rätt eller bestämmelser som fastställs av nationella behöriga organ eller av en annan person som också omfattas av tystnadsplikt enligt unionsrätten eller medlemsstaternas nationella rätt eller bestämmelser som fastställs av nationella behöriga organ.

3.5.2 IMY:s bedömning

IMY konstaterar inledningsvis att en förutsättning för att behandling av känsliga personuppgifter ska vara laglig enligt någon av punkterna i artikel 9.2 är att behandlingen har rättslig grund enligt artikel 6. Eftersom IMY ovan bedömt att SKR saknar rättslig grund enligt artikel 6 kan det redan av det skälet konstateras att behandlingen av personuppgifter inte heller är tillåten enligt artikel 9.

Enligt IMY finns skäl att ändå bedöma huruvida någon av punkterna i artikel 9.2 kan vara tillämplig, om laglig grund enligt artikel 6 hade förelegat.

IMY bedömer att den i ärendet aktuella personuppgiftsbehandlingen hör samman med hälso- och sjukvård i den mening som avses i artikel 9.2 h. I litteraturen har uttalats att uppräkningen av syften i artikel 9.2 h i praktiken lär täcka nästan all behandling av känsliga personuppgifter som förekommer inom hälso- och sjukvårdsområdet. I det svenska lagstiftningsarbetet har det avseende motsvarande bestämmelse i dataskyddsdirektivet uttalats att det inte är rimligt att ge bestämmelsen en alltför

snäv räckvidd och att även aktiviteter med bäring på hälso- och sjukvård utanför det primära vårdområdet måste kunna inbegripas. IMY anser mot denna bakgrund att artikel 9.2 h i dataskyddsförordningen kan vara tillämplig på behandlingen.

En förutsättning för att känsliga personuppgifter ska kunna behandlas med stöd av artikel 9.2 h är enligt artikel 9.3 att det finns en författningsreglerad tystnadsplikt. SKR har anfört att de registrerades rättigheter och intressen skyddas genom tystnadsplikt, dels genom personuppgiftsbiträdesavtal, dels genom lagen om tystnadsplikt vid utkontraktering av teknisk bearbetning eller lagring av uppgifter.

IMY har ovan bedömt att SKR inte är personuppgiftsbiträde i förhållande till regionerna och konstaterar att tystnadsplikt enligt avtal inte är tillräckligt för att uppfylla kraven i artikel 9.3 i dataskyddsförordningen. SKR:s behandling av personuppgifter utgör inte heller endast teknisk bearbetning eller lagring på uppdrag av en myndighet, varför lagen om tystnadsplikt vid utkontraktering av teknisk bearbetning eller lagring inte är tillämplig. SKR är inte heller vårdgivare och organisationens personal omfattas inte av tystnadsplikt enligt patientsäkerhetslagen (2010:659). Det har inte heller framkommit att SKR:s personal omfattas av tystnadsplikt enligt någon annan reglering. IMY bedömer mot denna bakgrund att förutsättningarna för att behandla känsliga personuppgifter med stöd av artikel 9.2 h inte är uppfyllda.

IMY konstaterar att SKR har anfört att behandlingen av känsliga personuppgifter stödjer sig på artikel 9.2 g eftersom det är fråga om ett viktigt allmänt intresse på ett övergripande plan att regler om väntetider ska kunna följas upp av berörda. IMY bedömer dock att inte heller förutsättningarna för att behandla personuppgifter enligt den artikeln är uppfyllda. En förutsättning för att artikel 9.2 g ska vara tillämplig är att den reglering i nationell rätt som ger stöd för behandlingen innehåller bestämmelser om lämpliga och särskilda skyddsåtgärder. I litteraturen har uttalats att detta lär innebära att behandling av känsliga personuppgifter enligt artikel 9.2 g i de allra flesta fall förutsätter ett stöd för själva behandlingen i en registerförfattning eller motsvarande. I registerförfattningar finns det som regel bestämmelser om skyddsåtgärder som till exempel sökbegränsningar, restriktioner för elektronisk åtkomst, behörighetstilldelning och loggkontroll och restriktioner för vad som får vara mer allmänt tillgängligt i den aktuella organisationen. Några sådana bestämmelser finns inte i 9 kap. 3 § HSL eller 6 kap. 3 § HSF. IMY bedömer – särskilt med beaktande av den stora mängd känsliga personuppgifter som hanteras vid förandet av den nationella väntetidsdatabasen – att det saknas tillräckliga skyddsåtgärder för att behandlingen av känsliga personuppgifter ska vara laglig enligt artikel 9.2 g.

Det har inte heller framkommit att behandlingen av känsliga personuppgifter skulle kunna ske med stöd av någon annan punkt i artikel 9.2 i dataskyddsförordningen.

Sammanfattningsvis bedömer IMY att SKR sedan den 25 maj 2018 behandlar personuppgifter i strid med artikel 9 i dataskyddsförordningen.

3.7 Val av ingripande

3.7.1 SKR ska ges en reprimand för överträdelserna

Av artikel 58.2 och artikel 83.2 i dataskyddsförordningen framgår att IMY har befogenhet att påföra administrativa sanktionsavgifter i enlighet med artikel 83. Beroende på omständigheterna i det enskilda fallet ska administrativa sanktionsavgifter påföras utöver eller i stället för de andra åtgärder som avses i artikel 58.2, som till exempel förelägganden eller förbud. Vidare framgår av artikel 83.2 vilka faktorer som ska beaktas vid beslut om administrativa sanktionsavgifter ska påföras och vid bestämmande av avgiftens storlek. Påförande av administrativ sanktionsavgift ska enligt artikel 83.1 i varje enskilt fall vara effektivt, proportionellt och avskräckande. Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i skäl 148 i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b. Hänsyn ska tas till försvårande och förmildrande omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av relevans.

IMY har konstaterat att SKR tar emot en omfattande mängd personuppgifter om patienter från regionernas journal- och tidssystem. Rapporteringen från regionerna omfattar drygt 40 miljoner vårdkontakter per år. Det är fråga om personuppgifter om enskilda personer, även barn, och deras hälsa. Personalen hos SKR omfattas inte av någon författningsreglerad tystnadsplikt. Enligt IMY är SKR:s överträdelser av artiklarna 6 och 9 i dataskyddsförordningen av sådant slag att överträdelserna normalt bör föranleda en administrativ sanktionsavgift.

I detta tillsynsärende finns dock omständigheter som talar mot en sanktionsavgift. SKR har förvaltat väntetidsdatabasen i dess nuvarande form sedan vårdgarantin trädde i kraft år 2010. Regionernas rapportering till väntetidsdatabasen är författningsreglerad och baseras även på överenskommelser mellan staten och SKR. I förarbetena angavs att det i förordning eller myndighetsföreskrifter borde lämnas mer detaljerad reglering av de uppgifter som landstingen ska rapportera till databasen. Socialstyrelsen, som enligt 6 kap. 4 § HSF får meddela ytterligare föreskrifter om regionernas rapporteringsskyldighet enligt 9 kap. 3 § HSL, har inte meddelat föreskrifter och inte heller tagit fram nationella riktlinjer som rör rapporteringsskyldigheten. Vidare har SKR och regeringen ingått överenskommelser avseende förandet av den nationella väntetidsdatabasen. Detta innebär sammantaget att SKR haft visst fog för att uppfatta att behandlingen av personuppgifter vid förandet av väntetidsdatabasen varit laglig.

I tillsynsärendet har vidare framkommit att SKR visserligen behandlar personuppgifter som rapporteras av regionerna, men att det inte rör sig om direkta personuppgifter i form av patienters namn eller personnummer, vilket även det talar i förmildrande riktning.

IMY bedömer mot denna bakgrund att det inte är proportionerligt att påföra SKR en sanktionsavgift. SKR ska därför, med stöd av artikel 58.2 b i dataskyddsförordningen, ges en reprimand för de konstaterade överträdelserna av artiklarna 6 och 9 i dataskyddsförordningen.

3.7.2 SKR ska förbjudas att behandla personuppgifter om patienter vid förandet av den nationella väntetidsdatabasen

Nästa fråga är om IMY även bör besluta om ett föreläggande eller förbud för att säkerställa att den olagliga personuppgiftsbehandlingen upphör.

Tillsynsmyndigheten får enligt artikel 58.2 d i dataskyddsförordningen förelägga den personuppgiftsansvarige eller personuppgiftsbiträdet att se till att behandlingen sker i enlighet med bestämmelserna i förordningen och om så krävs på ett specifikt sätt och inom en specifik period. Enligt artikel 58.2 f får tillsynsmyndigheten införa en tillfällig eller definitiv begränsning av, inklusive ett förbud mot, behandling.

SKR:s behandling av personuppgifter vid förandet av den nationella väntetidsdatabasen sker i strid med dataskyddsförordningen och innebär behandling av känsliga personuppgifter om ett stort antal personer utan tillräckliga författningsreglerade skyddsåtgärder. Detta talar för att IMY bör använda sina korrigerande befogenheter för att den olagliga personuppgiftsbehandlingen ska upphöra.

Ett förbud mot behandling är en ingripande åtgärd som bör tillämpas restriktivt och endast om bristerna är sådana att de inte kan åtgärdas på annat sätt än att behandlingen upphör. IMY konstaterar dock att den aktuella personuppgiftsbehandlingens brist på rättsligt stöd i artiklarna 6 och 9 i dataskyddsförordningen inte kan åtgärdas genom ett föreläggande om att behandlingen ska ske på ett visst sätt enligt artikel 58.2 d. Det finns därför skäl att besluta om ett förbud mot den olagliga behandlingen av personuppgifter.

Det kan dock konstateras att ett förbud mot behandling av patienters personuppgifter vid förandet av den nationella väntetidsdatabasen skulle få betydande konsekvenser inte bara för SKR utan även för regionerna, staten och enskilda medborgare. Syftet med uppföljningen i väntetidsdatabasen är att ge underlag till verksamhetsutveckling och möjlighet till jämförelser både inom och mellan regioner som i sin tur möjliggör utveckling och förbättring av hälso- och sjukvårdens tillgänglighet. I överenskommelsen mellan staten och SKR för år 2023 framgår att regeringen årligen avsätter över tre miljarder kronor för att stödja regionernas arbete med att korta väntetider och vårdköer, i syfte att fler patienter ska få vård i rimlig tid. Även om IMY bedömt att SKR saknar rättsligt stöd för behandlingen enligt nuvarande reglering finns alltså ett betydande samhällsintresse av den nationella väntetidsdatabasen.

IMY bedömer mot denna bakgrund att ett förbud endast kan vara proportionerligt under förutsättning att det förenas med en väl tilltagen tidsfrist för förbudets ikraftträdande. Detta möjliggör enligt IMY framtagande av nationella bestämmelser som ger SKR ett rättsligt stöd för den pågående behandlingen av personuppgifter i väntetidsdatabasen. Det möjliggör också för SKR att vidta åtgärder för att säkerställa att personuppgifter inte behandlas vid förandet av den nationella väntetidsdatabasen.

IMY bedömer att 24 månader efter att detta beslut vunnit laga kraft är en lämplig tidsperiod.

SKR ska mot denna bakgrund, med stöd av artikel 58.2 f i dataskyddsförordningen förbjudas att behandla personuppgifter om patienter vid förandet av den nationella väntetidsdatabasen. Förbudet ska börja att gälla 24 månader efter att detta beslut vunnit laga kraft.

__________________________

Detta beslut har fattats av generaldirektören Eric Leijonram efter föredragning av avdelningsjuristen Andreas Persson. Vid den slutliga handläggningen har även rättschefen David Törngren, enhetschefen Linn Sandmark, juristen Cecilia Agnehall och seniore it- och informationssäkerhetsspecialisten Magnus Bergström medverkat.

Eric Leijonram

Kopia till

Dataskyddsombudet Socialdepartementet Socialstyrelsen

Hur man överklagar

Om ni vill överklaga beslutet ska ni skriva till IMY. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till IMY inom tre veckor från den dag ni fick del av beslutet. Om ni är en part som företräder det allmänna ska överklagandet dock ha kommit in inom tre veckor från den dag då beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder IMY det vidare till Förvaltningsrätten i Stockholm för prövning.

Ni kan e-posta överklagandet till IMY om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.