L 127 - 2018-19 (1. samling) - Endeligt svar på spørgsmål 34: Spm., om det er korrekt, at den dataansvarlige myndighed ifølge databeskyttelsesforordningen skal foretage et skøn over valg af korrektionsmetode, og at der i skønnet skal tages hensyn til formålet med fortsat at bevare de oprindelige oplysninger, til sundhedsministeren

Sundheds- og Ældreudvalget 2018-19 (1. samling)
L 127
Offentligt

Holbergsgade 6

DK-1057 København K

T +45 7226 9000

F +45 7226 9001

M [email protected]

W sum.dk

Folketingets Sundheds- og Ældreudvalg

Dato: 07-02-2019

Enhed: JURA/DAICY

Sagsbeh.: DEPANBK

Sagsnr.: 1810035

Dok. nr.: 796452

Folketingets Sundheds- og Ældreudvalg har den 8. januar 2019 stillet følgende spørgs-

mål nr. 4 (L 127 - Forslag til lov om ændring af sundhedsloven m.v. (Bedre digitalt sam-

arbejde i sundhedsvæsenet, påmindelser til forældre vedrørende børnevaccination og

bestemmelser om territorial gyldighed for Færøerne og Grønland) til sundhedsministe-

ren, som hermed besvares. Spørgsmålet er stillet efter ønske fra Peder Hvelplund (EL).

Spørgsmål nr. 4:

”Vil

ministeren oplyse, om de pligter der påhviler den dataansvarlige efter databeskyt-

telsesforordningens artikel 5 om sletning og berigtigelse, er i overensstemmelse med

reglerne i journalføringsbekendtgørelsen?”

Svar:

Der gælder en række regler i lov om autorisation af sundhedspersoner og om sund-

hedsfaglig virksomhed (autorisationsloven) og bekendtgørelse nr. 530 af 24. maj 2018

om autoriserede sundhedspersoners patientjournaler (journalføringsbekendtgørel-

sen) om sletning, berigtigelse og opbevaring af patientjournaler.

Det følger bl.a. af

autorisationslovens § 24, stk. 1, at oplysninger

i patientjournalen ikke

må slettes eller gøres ulæselige.

Hvis det vurderes nødvendigt at rette eller tilføje i

patientjournalen, skal det ske på en sådan måde, at den oprindelige tekst bevares, jf.

journalføringsbekendtgørelsens § 14, stk. 2.

Det følger endvidere af § 25, stk. 1, i autorisationsloven, at en patientjournal som ud-

gangspunkt skal opbevares i mindst 10 år efter den seneste optegnelse i journalen.

Dog gælder som udgangspunkt en kortere opbevaringsperiode på 5 år for journaler,

der føres af visse grupper af autoriserede sundhedspersoner (andre autoriserede sund-

hedspersoner end læger, tandlæger, kiropraktorer, jordemødre, kliniske diætister, kli-

niske tandteknikere og tandplejere), jf. § 15, stk. 2, i journalføringsbekendtgørelsen.

Patientjournaler af betydning for en klage-, tilsyns- eller erstatningssag skal dog opbe-

vares, så længe sagen verserer, jf. § 25, stk. 2, i autorisationsloven og § 15, stk. 5, i

journalføringsbekendtgørelsen. Desuden kan der efter arkivlovgivningen gælde en

længere opbevaringspligt for patientjournaler i offentlig virksomhed.

Databeskyttelsesforordningens artikel 5 indeholder en række grundlæggende behand-

li gspri ipper. Et af pri ipper e vedrører ”rigtighed”. Det følger af dette pri ip, at

personoplysninger skal være korrekte og om nødvendigt ajourførte, og at der skal ta-

ges ethvert rimeligt skridt for at sikre, at personoplysninger, der er urigtige i forhold til

de formål, hvortil de behandles, straks skal slettes eller berigtiges, jf. databeskyttelses-

forordningens artikel 5, stk. 1, litra d.

L 127 - 2018-19 (1. samling) - Endeligt svar på spørgsmål 34: Spm., om det er korrekt, at den dataansvarlige myndighed ifølge databeskyttelsesforordningen skal foretage et skøn over valg af korrektionsmetode, og at der i skønnet skal tages hensyn til formålet med fortsat at bevare de oprindelige oplysninger, til sundhedsministeren

Et andet princip er princippet om opbevaringsbegrænsning. Det følger heraf, at per-

sonoplysninger skal

opbevares på en sådan måde, at det ikke er muligt at identificere

de registrerede i et længere tidsrum end det, der er nødvendigt til de formål, hvortil

de pågældende personoplysninger behandles, jf. databeskyttelsesforordningens arti-

kel 5, stk. 1, litra e, 1. pkt

Databeskyttelsesforordningen har direkte virkning i Danmark, hvilket betyder, at der

som udgangspunkt ikke må være anden dansk lovgivning, der regulerer behandling af

personoplysninger, i det omfang dette er reguleret i databeskyttelsesforordningen.

Databeskyttelsesforordningen giver inden for en lang række områder mulighed for, at

der i national ret kan fastsættes bestemmelser for at præcisere anvendelsen af forord-

ningen.

Databeskyttelsesforordningen giver bl.a. mulighed for at opretholde de ovennævnte

gældende regler i autorisationsloven og journalføringsbekendtgørelsen om opbeva-

ring, sletning og berigtigelse, der præciserer anvendelsen af forordningens bestemmel-

ser.

Det bemærkes i den forbindelse, at Sundheds- og Ældreministeriet i samarbejde med

Justitsministeriet har vurderet, at autorisationsloven kunne opretholdes, når databe-

skyttelsesforordningen fandt anvendelse den 25. maj 2018, med hjemmel i artikel 6,

litra c og/eller e og artikel 9, stk. 2, litra b og/eller h. Der henvises i den forbindelse til

Justitsministeriets betænkning nr. 1565 om databeskyttelsesforordningen, del II, side

–

65.

Det er således i overensstemmelse med databeskyttelsesforordningen, at den dataan-

svarlige for et kildesystem, f.eks. en region, følger autorisationslovens og journalfø-

ringsbekendtgørelsens regler om sletning, opbevaring m.v.

I forhold til den fælles digitale infrastruktur bemærkes det, at infrastrukturen ikke er

en patientjournal. Sundhedsdatastyrelsen vil som dataansvarlig for den fælles digitale

infrastruktur derfor ikke være omfattet af autorisationslovens og journalføringsbe-

kendtgørelsens regler om sletning, opbevaring m.v. Men da den fælles digitale infra-

struktur får oplysninger fra de underliggende kildesystemer, vil en berigtigelse i en

elektronisk patientjournal, der er tilknyttet den fælles digitale infrastruktur som kilde-

system, også komme til at fremgå af den fælles digitale infrastruktur.

Det bemærkes endvidere, at oplysninger, som er registreret i den fælles digitale infra-

struktur, som udgangspunkt er omfattet af databeskyttelsesforordningens artikel 17

o slet i g ”rette til at live gle t” .

Sundhedsdatastyrelsen vil som dataansvarlig myndighed for den digitale infrastruktur

derfor være forpligtet til at behandle borgeres anmodninger om sletning efter

databeskyttelsesforordningen.

Men der gælder en række undtagelser fra den registreredes ret til sletning efter

databeskyttelsesforordningens. Retten til sletning gælder bl.a. ikke, hvis behandlingen

af personoplysninger er nødvendig for at overholde en retlig forpligtelse, der følger af

medlemsstatens nationale ret, eller som henhører under offentlig

myndighedsudøvelse. Retten til at få slettet oplysninger gælder desuden ikke i det

omfang, behandlingen er nødvendig af hensyn til samfundsinteresser på

Side 2

folkesundhedsområdet efter forordningens artikel 9, stk. 2, litra h, samt artikel 9, stk.

Det vurderes, at oprettelsen af den fælles digitale infrastruktur, som skal sikre

sundhedspersoners adgang til patientens oplysninger på tværs af sundhedsvæsenet,

er nødvendig af hensyn til samfundsinteresser på folkesundhedsområdet.

Det bemærkes i den forbindelse, at den foreslåede bestemmelse om oprettelse af den

fælles digitale infrastruktur, jf. lovforslagets § 1, nr. 16, vedrørende sundhedslovens §

193 b, vurderes at kunne vedtages inden for rammerne af bl.a. artikel 9, stk. 2, litra h.

Der henvises i den forbindelse til afsnit 2.3. i de almindelige bemærkninger til

lovforslaget (L 127).

Ovennævnte undtagelser fra retten til at få slettet sine personoplysninger vurderes

derfor at ville betyde, at Sundhedsdatastyrelsen i meget få tilfælde vil være forpligtet

til at slette personoplysninger om registrerede personer i Sundhedsdatastyrelsens

fælles digitale infrastruktur.

Det bemærkes herudover, at oplysninger i den fælles digitale infrastruktur kun vil blive

opbevaret, så længe det er nødvendigt af hensyn til formålet med behandlingen af

oplysningerne. Herefter vil oplysningerne blive slettet.

Oplysninger, der eventuelt måtte blive slettet i den digitale infrastruktur, vil stadig

være registreret i det lokale kildesystem inden for rammerne af reglerne i autorisati-

onsloven og journalføringsbekendtgørelsen.

./.

For så vidt angår Sundhedsdatastyrelsens forpligtelse til at berigtige eventuelle urigtige

oplysninger i den fælles digitale infrastruktur henvises i øvrigt til samtidig besvarelse

af spørgsmål 2 og 3 (L 127 - Forslag til lov om ændring af sundhedsloven m.v. (Bedre

digitalt samarbejde i sundhedsvæsenet, påmindelser til forældre vedrørende børne-

vaccination og bestemmelser om territorial gyldighed for Færøerne og Grønland).

Med venlig hilsen

Ellen Trane Nørby

Annette Baun Knudsen

Side 3