1 §  Denna lag tillämpas vid behandling av personuppgifter i Smittskyddsinstitutets verksamhet när det gäller nationella vaccinationsprogram (vaccinationsregistret).

Lagen gäller endast om behandlingen är helt eller delvis automatiserad eller om personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier.

2 §  Uttrycket nationella vaccinationsprogram har i denna lag samma betydelse som i smittskyddslagen (2004:168).

3 §  Personuppgiftslagen (1998:204) gäller vid behandling av personuppgifter i Smittskyddsinstitutets verksamhet när det gäller nationella vaccinationsprogram, om inte annat följer av denna lag eller av föreskrifter som har meddelats i anslutning till lagen.

4 §  Behandling av personuppgifter som är tillåten enligt denna lag får utföras även om den enskilde motsätter sig behandlingen.

5 §  Smittskyddsinstitutet är personuppgiftsansvarigt för den behandling av personuppgifter som institutet utför enligt denna lag.

6 §  Personuppgifter får behandlas för

1. framställning av statistik,
2. uppföljning, utvärdering och kvalitetssäkring av nationella vaccinationsprogram, samt
3. forskning och epidemiologiska undersökningar.

Personuppgifter som behandlas för de ändamål som anges i första stycket får också behandlas för att fullgöra uppgiftsutlämnande som sker i överensstämmelse med lag eller förordning. I övrigt gäller 9 § första stycket d och andra stycket personuppgiftslagen (1998:204).

7 §  För de ändamål som anges i 6 § får endast följande uppgifter behandlas:

1. datum för vaccinationen,
2. den vaccinerades personnummer eller samordningsnummer,
3. vilket vaccin som har använts,
4. satsnummer,
5. den vårdgivare som har ansvarat för vaccinationen, och
6. den vaccinerades folkbokföringsort.

8 §  Den vårdgivare som har ansvarat för vaccinationen ska lämna de uppgifter som avses i 7 § 1–5 till vaccinationsregistret.

9 §  Smittskyddsinstitutet ska bestämma villkor för tilldelning av behörighet för åtkomst till uppgifter i registret. Behörigheten ska begränsas till vad som behövs för att den som tilldelats behörigheten ska kunna fullgöra sina arbetsuppgifter.

Regeringen eller den myndighet som regeringen bestämmer meddelar föreskrifter om tilldelning av behörighet för åtkomst till uppgifter i registret.

10 §  Personuppgifter i vaccinationsregistret får lämnas ut på medium för automatiserad databehandling endast om uppgifterna ska användas för något av de ändamål som anges i 6 §.

11 §  I offentlighets- och sekretesslagen (2009:400) finns bestämmelser om begränsningar i rätten att lämna ut personuppgifter.

12 §  Bestämmelserna i personuppgiftslagen (1998:204) om rättelse och skadestånd gäller vid behandling av personuppgifter enligt denna lag eller föreskrifter som meddelats i anslutning till lagen.

13 §  Smittskyddsinstitutet ska se till att den enskilde får information om personuppgiftsbehandlingen.

Informationen ska innehålla upplysningar om

1. vem som är personuppgiftsansvarig,
2. ändamålen med behandlingen,
3. den uppgiftsskyldighet som kan följa av lag eller förordning,
4. de tystnadsplikts- och säkerhetsbestämmelser som gäller för uppgifterna och behandlingen,
5. rätten att ta del av uppgifterna enligt 26 § personuppgiftslagen (1998:204),
6. rätten enligt 12 § till rättelse av oriktiga eller missvisande uppgifter,
7. rätten enligt 12 § till skadestånd vid behandling av personuppgifter i strid med denna lag,
8. vad som gäller i fråga om sökbegrepp,
9. vad som gäller i fråga om bevarande, samt
10. att registreringen inte är frivillig.