1 §  Den som bedriver vård får utföra automatiserad behandling av personuppgifter i vårdregister.

Med vård enligt denna lag avses vård enligt hälso- och sjukvårdslagen (1982:763), tandvårdslagen (1985:125), lagen (1991:1128) om psykiatrisk tvångsvård och lagen (1991:1129) om rättspsykiatrisk vård samt smittskydd enligt smittskyddslagen (2004:168). Lag (2004:187).

2 §  Om inget annat följer av denna lag eller föreskrifter som meddelats med stöd härav, tillämpas personuppgiftslagen (1998:204) vid behandling av personuppgifter för vårdregister.

3 §  Personuppgifter i ett vårdregister får behandlas för dokumentation av vården av patienter eller för sådan administration som rör patienter och som syftar till att bereda vård i enskilda fall.

Behandling av personuppgifter får även utföras för den ekonomiadministration som föranleds av vård i enskilda fall.

4 §  Personuppgifter i ett vårdregister får, utöver vad som anges i 3 §, behandlas för följande ändamål:

1. framställning av statistik,
2. uppföljning, utvärdering, kvalitetssäkring och administration på verksamhetsområdet, och
3. uppgiftsutlämnande som föreskrivs i lag eller förordning.

5 §  Ett vårdregister får endast innehålla de uppgifter som enligt lag eller annan författning skall antecknas i en patientjournal. Registret får dock även innehålla andra uppgifter som antecknas i och för vården av patienter samt uppgifter som behövs för sådan administration som avses i 3 § andra stycket.

6 §  Uppgifter om en patient som behövs för vård av denne samt uppgifter som behövs för den ekonomiadministration som föranleds av den aktuella vården får hämtas till ett vårdregister från andra vårdregister genom samkörning. Dessutom får patientens läkemedelsförteckning samt uppgifter om patientens folkbokföringsadress hämtas till registret genom samkörning. Lag (2005:260).

7 §  Personuppgifter som avses i 13 eller 21 § personuppgiftslagen (1998:204) får inte användas som sökbegrepp i ett vårdregister. Inte heller får uppgifter om att någon fått ekonomisk hjälp eller vård inom socialtjänsten eller varit föremål för åtgärd enligt utlänningslagen (2005:716) användas som sökbegrepp.

Det är trots förbudet i första stycket tillåtet att som sökbegrepp använda uppgifter om sjukdom och hälsotillstånd samt uppgifter om att någon varit föremål för tvångsingripande enligt lagen (1991:1128) om psykiatrisk tvångsvård eller lagen (1991:1129) om rättspsykiatrisk vård. Lag (2005:726).

8 §  Endast den som för de ändamål som anges i 3 och 4 §§ behöver tillgång till uppgifterna för att kunna utföra sitt arbete får ha direktåtkomst till uppgifter i ett vårdregister. Åtkomsten får endast avse de uppgifter som behövs för arbetets utförande.

9 §  Personuppgifter i ett vårdregister får lämnas ut på medium för automatiserad behandling endast om de skall användas för de ändamål som anges i 3 och 4 §§ eller för forskningsändamål.

10 §  Utöver vad som följer av personuppgiftslagen (1998:204) finns särskilda bestämmelser om bevarande och gallring i patientjournallagen (1985:562).

11 §  Den som är personuppgiftsansvarig för ett vårdregister skall se till att den registrerade får information om behandlingen.

Informationen skall innehålla upplysningar om

1. vem som är personuppgiftsansvarig,
2. ändamålet med registret,
3. vilken typ av uppgifter som ingår i registret,
4. den uppgiftsskyldighet som följer av lagen (1998:543) om hälsodataregister,
5. de sekretess- och säkerhetsbestämmelser som gäller för registret,
6. rätten att ta del av uppgifter enligt 26 § personuppgiftslagen (1998:204),
7. rätten till rättelse av oriktiga eller missvisande uppgifter,
8. rätten till skadestånd vid behandling av personuppgifter i strid med denna lag,
9. vad som gäller i fråga om sökbegrepp, direktåtkomst och utlämnande av uppgifter på medium för automatiserad behandling,
10. vad som gäller i fråga om bevarande och gallring, samt
11. om registreringen är frivillig eller inte.

12 §  För utlämnande av personuppgifter från ett vårdregister gäller de begränsningar som följer av sekretesslagen (1980:100), patientjournallagen (1985:562) och lagen (1998:531) om yrkesverksamhet på hälso- och sjukvårdens område. Lag (2000:361).

13 §  Personuppgiftslagens (1998:204) bestämmelser om den personuppgiftsansvariges skyldighet att på begäran av den registrerade rätta, blockera eller utplåna personuppgifter och att underrätta tredje man, till vilken uppgifterna har lämnats ut, skall gälla även då personuppgifter behandlats i strid med denna lag. Detta gäller dock inte om åtgärderna skulle strida mot bestämmelserna i patientjournallagen (1985:562).

14 §  Bestämmelserna i personuppgiftslagen (1998:204) om skadestånd gäller vid behandling av personuppgifter enligt denna lag.