11. marts 2019 kl. 08.00Ministersvar
Peder Hvelplund svarer Ellen Trane Nørby
Peder Hvelplund (EL) spørger sundhedsministeren, Ellen Trane Nørby, om den automatiske beslutningsstøtte er omfattet af GDPR i almindelighed og artikel 22 i særdeleshed
Altingets robotMinistersvar er robotgenereret indhold, der oprettes automatisk på basis af Folketingets database over de spørgsmål, der stilles af Folketingets medlemmer og besvares af regeringens ministre. Overskrifterne er skrevet af Altinget. Altinget tager forbehold for fejl i indholdet.
L 127, Spørgsmål 52
Man vil med forslaget om digitalt samarbejde i Sundhedsvæsenet ikke give patienter ret til at kunne fravælge beslutningsstøtte. Ministeren bedes oplyse, om den automatiske beslutningsstøtte er omfattet af GDPR i almindelighed og artikel 22 i særdeleshed?
Svar fra mandag den 11. marts 2019
”Man vil med forslaget om digitalt samarbejde i Sundhedsvæsenet ikke give patienter ret til at kunne fravælge beslutningsstøtte. Ministeren bedes oplyse, om den automatiske beslutningsstøtte er omfattet af GDPR i almindelighed og artikel 22 i særdeleshed?” Svar:
Det foreslås i lovforslagets § 1, nr. 3, vedrørende § 42 a, stk. 6, at bemyndige sundhedsministeren til at fastsætte nærmere regler for autoriserede sundhedspersoners adgang til at indhente oplysninger i elektroniske systemer om helbredsforhold og andre fortrolige oplysninger om en patient, der aktuelt er i behandling, og om andre patienter med henblik på at støtte sundhedspersonen i at træffe sundhedsfaglige beslutninger som led i patientbehandling (beslutningsstøtte).
Ved indhentning af helbredsoplysninger m.v. til brug for beslutningsstøtte forstås i denne sammenhæng, at den autoriserede sundhedsperson kan indhente oplysninger, som kan støtte sundhedspersonen i at afveje fordele og ulemper af en given behandlingsmulighed og på den baggrund træffe den bedst mulige sundhedsfaglige beslutning i en konkret behandlingssituation, herunder støtte sundhedspersonen i at stille en korrekt diagnose.
Jeg forstår spørgsmålet sådan, at der ønskes svar på, om indhentning af oplysninger om helbredsforhold og andre fortrolige oplysninger til brug for beslutningsstøtte efter de regler, der fastsættes i medfør af den foreslåede bemyndigelsesbestemmelse, vil være omfattet af databeskyttelsesforordningens regler, herunder forordningens artikel 22.
Jeg kan i den anledning oplyse, at databeskyttelsesforordningen (GDPR) finder anvendelse på behandling af personoplysninger, der helt eller delvis foretages ved hjælp af automatisk databehandling, og på anden ikkeautomatisk behandling af personoplysninger, der er eller vil blive indeholdt i et register, jf. databeskyttelsesforordningens artikel 2, stk. 1.
De regler, der vil blive fastsat i medfør af den foreslåede § 42 a, stk. 6, vil give mulighed, at autoriserede sundhedspersoner kan indhente personoplysninger fra elektroniske systemer, herunder elektroniske patientjournaler m.v., til brug for beslutningsstøtte. En sådan – elektronisk - behandling af personoplysninger vil være omfattet af databeskyttelsesforordningens regler.
Det bemærkes i den forbindelse, at bemyndigelsen i lovens bemærkninger er afgrænset således, at der alene kan fastsættes regler, der giver adgang til anvendelse af oplysninger vedrørende andre patienter til brug for beslutningsstøtte, hvis disse oplysninger er pseudonymiseret.
Ved pseudonymisering forstås behandling af personoplysninger på en sådan måde, at personoplysningerne ikke længere kan henføres til en bestemt registreret person uden brug for supplerende oplysninger. Det er desuden forudsat, at sådanne supplerende oplysninger opbevares separat og er underlagt tekniske og organisatoriske foranstaltninger for at sikre, at personoplysningerne ikke henføres til en identificeret eller identificerbar fysisk person, jf. databeskyttelsesforordningens artikel 4, nr. 5.
For så vidt angår spørgsmålet om, hvorvidt den behandling af personoplysninger, som vil kunne ske i medfør af den foreslåede bemyndigelsesbestemmelse, er omfattet af artikel 22, kan jeg oplyse, at artikel 22, stk. 1, fastsætter, at den registrerede som udgangspunkt har ret til ikke at være genstand for en afgørelse, der alene er baseret på automatisk behandling, herunder profilering, som har retsvirkning eller på tilsvarende vis betydeligt påvirker den pågældende. Der er dog undtagelser til bestemmelsen, som er nærmere fastsat i artikel 22, stk. 2 – 4.
Begrebet ”profilering” defineres i databeskyttelsesforordningens artikel 4, nr. 4, som enhver form for automatisk behandling af personoplysninger, der består i at anvende personoplysninger til at evaluere bestemte personlige forhold vedrørende en fysisk person, navnlig for at analysere eller forudsige forhold vedrørende den fysiske persons arbejdsindsats, økonomiske situation, helbred, personlige præferencer, interesser, pålidelighed, adfærd, geografisk position eller bevægelser.
Som anført i besvarelsen af spørgsmål 49 (L 127) er anvendelse af profilering og afgørelser, der er alene er baseret på automatisk behandling, ikke ulovligt efter databeskyttelsesforordningen, men databeskyttelsesforordningen indeholder en række bestemmelser, der skal sikre, at profilering og automatiske individuelle afgørelser ikke anvendes på en måde, der uberettiget påvirker den enkeltes rettigheder.
Databeskyttelsesforordningen har fundet anvendelse siden den 25. maj 2018, og det er vanskeligt præcist at afgrænse anvendelsesområdet for profilering og for afgørelser, der alene er baseret på automatisk behandling, jf. databeskyttelsesforordningens artikel 22.
Det, der er vigtigt for mig at understrege i denne sammenhæng er, at patienten selv bestemmer, om patienten vil behandles. Det er et grundlæggende princip, som er lovfæstet i sundhedslovens § 15, stk. 1. Det følger heraf, at udgangspunktet er, at ingen behandling må indledes eller fortsættes uden patientens informerede samtykke.
Det ændrer lovforslaget (L 127) ikke ved. Lovforslaget ændrer heller ikke ved, at det er sundhedspersonen, der - bl.a. på baggrund af de indhentede oplysninger - træffer en sundhedsfaglig beslutning i en konkret behandlingssituation, f.eks. om hvilken diagnose, der skal stilles.
Side 2 Jeg vil også gerne understrege, at den behandling af personoplysninger, der foretages inden for sundhedsvæsenet i forbindelse med beslutningsstøtte skal ske inden for rammerne af databeskyttelsesforordningen, databeskyttelsesloven og de nationale særregler, der - inden for rammerne af forordningen - præciserer forordningens bestemmelser. Den foreslåede bemyndigelsesbestemmelse vil naturligvis også blive udmøntet inden for rammerne af databeskyttelsesforordningen, og Datatilsynets udtalelse vil blive indhentet i den forbindelse, jf. databeskyttelseslovens § 28.
For så vidt angår baggrunden for, at patienten efter forslaget ikke vil blive tillagt en ret til at kunne fravælge, at en sundhedsperson indhenter oplysninger til brug for beslutningsstøtte - dvs. f.eks. for at stille en korrekt diagnose - henvises i øvrigt til svar på spørgsmål 45 (L 127 - Forslag til lov om ændring af sundhedsloven m.v. (Bedre digitalt samarbejde i sundhedsvæsenet, påmindelser til forældre vedrørende børnevaccination og bestemmelser om territorial gyldighed for Færøerne og Grønland)).
Det foreslås i lovforslagets § 1, nr. 3, vedrørende § 42 a, stk. 6, at bemyndige sundhedsministeren til at fastsætte nærmere regler for autoriserede sundhedspersoners adgang til at indhente oplysninger i elektroniske systemer om helbredsforhold og andre fortrolige oplysninger om en patient, der aktuelt er i behandling, og om andre patienter med henblik på at støtte sundhedspersonen i at træffe sundhedsfaglige beslutninger som led i patientbehandling (beslutningsstøtte).
Ved indhentning af helbredsoplysninger m.v. til brug for beslutningsstøtte forstås i denne sammenhæng, at den autoriserede sundhedsperson kan indhente oplysninger, som kan støtte sundhedspersonen i at afveje fordele og ulemper af en given behandlingsmulighed og på den baggrund træffe den bedst mulige sundhedsfaglige beslutning i en konkret behandlingssituation, herunder støtte sundhedspersonen i at stille en korrekt diagnose.
Jeg forstår spørgsmålet sådan, at der ønskes svar på, om indhentning af oplysninger om helbredsforhold og andre fortrolige oplysninger til brug for beslutningsstøtte efter de regler, der fastsættes i medfør af den foreslåede bemyndigelsesbestemmelse, vil være omfattet af databeskyttelsesforordningens regler, herunder forordningens artikel 22.
Jeg kan i den anledning oplyse, at databeskyttelsesforordningen (GDPR) finder anvendelse på behandling af personoplysninger, der helt eller delvis foretages ved hjælp af automatisk databehandling, og på anden ikkeautomatisk behandling af personoplysninger, der er eller vil blive indeholdt i et register, jf. databeskyttelsesforordningens artikel 2, stk. 1.
De regler, der vil blive fastsat i medfør af den foreslåede § 42 a, stk. 6, vil give mulighed, at autoriserede sundhedspersoner kan indhente personoplysninger fra elektroniske systemer, herunder elektroniske patientjournaler m.v., til brug for beslutningsstøtte. En sådan – elektronisk - behandling af personoplysninger vil være omfattet af databeskyttelsesforordningens regler.
Det bemærkes i den forbindelse, at bemyndigelsen i lovens bemærkninger er afgrænset således, at der alene kan fastsættes regler, der giver adgang til anvendelse af oplysninger vedrørende andre patienter til brug for beslutningsstøtte, hvis disse oplysninger er pseudonymiseret.
Ved pseudonymisering forstås behandling af personoplysninger på en sådan måde, at personoplysningerne ikke længere kan henføres til en bestemt registreret person uden brug for supplerende oplysninger. Det er desuden forudsat, at sådanne supplerende oplysninger opbevares separat og er underlagt tekniske og organisatoriske foranstaltninger for at sikre, at personoplysningerne ikke henføres til en identificeret eller identificerbar fysisk person, jf. databeskyttelsesforordningens artikel 4, nr. 5.
For så vidt angår spørgsmålet om, hvorvidt den behandling af personoplysninger, som vil kunne ske i medfør af den foreslåede bemyndigelsesbestemmelse, er omfattet af artikel 22, kan jeg oplyse, at artikel 22, stk. 1, fastsætter, at den registrerede som udgangspunkt har ret til ikke at være genstand for en afgørelse, der alene er baseret på automatisk behandling, herunder profilering, som har retsvirkning eller på tilsvarende vis betydeligt påvirker den pågældende. Der er dog undtagelser til bestemmelsen, som er nærmere fastsat i artikel 22, stk. 2 – 4.
Begrebet ”profilering” defineres i databeskyttelsesforordningens artikel 4, nr. 4, som enhver form for automatisk behandling af personoplysninger, der består i at anvende personoplysninger til at evaluere bestemte personlige forhold vedrørende en fysisk person, navnlig for at analysere eller forudsige forhold vedrørende den fysiske persons arbejdsindsats, økonomiske situation, helbred, personlige præferencer, interesser, pålidelighed, adfærd, geografisk position eller bevægelser.
Som anført i besvarelsen af spørgsmål 49 (L 127) er anvendelse af profilering og afgørelser, der er alene er baseret på automatisk behandling, ikke ulovligt efter databeskyttelsesforordningen, men databeskyttelsesforordningen indeholder en række bestemmelser, der skal sikre, at profilering og automatiske individuelle afgørelser ikke anvendes på en måde, der uberettiget påvirker den enkeltes rettigheder.
Databeskyttelsesforordningen har fundet anvendelse siden den 25. maj 2018, og det er vanskeligt præcist at afgrænse anvendelsesområdet for profilering og for afgørelser, der alene er baseret på automatisk behandling, jf. databeskyttelsesforordningens artikel 22.
Det, der er vigtigt for mig at understrege i denne sammenhæng er, at patienten selv bestemmer, om patienten vil behandles. Det er et grundlæggende princip, som er lovfæstet i sundhedslovens § 15, stk. 1. Det følger heraf, at udgangspunktet er, at ingen behandling må indledes eller fortsættes uden patientens informerede samtykke.
Det ændrer lovforslaget (L 127) ikke ved. Lovforslaget ændrer heller ikke ved, at det er sundhedspersonen, der - bl.a. på baggrund af de indhentede oplysninger - træffer en sundhedsfaglig beslutning i en konkret behandlingssituation, f.eks. om hvilken diagnose, der skal stilles.
Side 2 Jeg vil også gerne understrege, at den behandling af personoplysninger, der foretages inden for sundhedsvæsenet i forbindelse med beslutningsstøtte skal ske inden for rammerne af databeskyttelsesforordningen, databeskyttelsesloven og de nationale særregler, der - inden for rammerne af forordningen - præciserer forordningens bestemmelser. Den foreslåede bemyndigelsesbestemmelse vil naturligvis også blive udmøntet inden for rammerne af databeskyttelsesforordningen, og Datatilsynets udtalelse vil blive indhentet i den forbindelse, jf. databeskyttelseslovens § 28.
For så vidt angår baggrunden for, at patienten efter forslaget ikke vil blive tillagt en ret til at kunne fravælge, at en sundhedsperson indhenter oplysninger til brug for beslutningsstøtte - dvs. f.eks. for at stille en korrekt diagnose - henvises i øvrigt til svar på spørgsmål 45 (L 127 - Forslag til lov om ændring af sundhedsloven m.v. (Bedre digitalt samarbejde i sundhedsvæsenet, påmindelser til forældre vedrørende børnevaccination og bestemmelser om territorial gyldighed for Færøerne og Grønland)).
