prop · GL03108 · 1998-01-01 00:00:00 — Till detta kommer datoriserade mätutrustningar, datakommunikation m.m. IT har på ett helt annat sätt än hantering möjliggjort att de uppgifter som finns inom hälso- och sjukvården kan användas för att ge nyttig kunskap och förståelse för olika processer inom vården. Därtill innebär införandet av IT möjligheter till rationaliseringar. Ett exempel som därvid ofta framhålls rör hanteringen av patientjournaler. Både säkerheten i hanteringen och tidsmässiga vinster brukar framhållas. En vanlig uppfattning är att säkerheten för den enskildes uppgifter ökar med användandet av IT och införandet av IT upplevs genomgående som ett sätt att bättre utnyttja de resurser som finns att tillgå. Företrädare för och och Kompetensutveckling () har slutit en principöverenskommelse om att tillföra för insatser inom fem IT-områden, telematik, infrastruktur och horisontella tillämpningar, industriinriktade tillämpningar, utbildning, kompetensutveckling och kunskapsspridning samt forskning. 6.1.2 Framtida IT användning En ständig strävan mot lösningar som innebär kostnadsbesparingar har kännetecknat hälso- och sjukvården . Denna utveckling kan, trots en viss ljusning i samhällsekonomin, förväntas bestå . Man har därför anledning att räkna med ett intensifierat utnyttjande av IT t.ex. inom den s.k. telemedicinen, för att dokumentera iakttagelser, för att planera vården för enskilda patienter, men också för uppföljning och kvalitetssäkring av genomförd vård. Datakommunikationstekniken och nätverken tillsammans med utvecklingen av bl.a. patientjournalsystem kommer att möjliggöra epidemiologiska studier och epidemiologisk forskning utan stöd av centrala register. En annan utveckling på teknikområdet som bör nämnas gäller s.k. "smart cards", aktiva kort eller minneskort. Minneskort har olika karaktäristika och de är därför lämpade för olika ändamål. Det är möjligt att det kommer att finnas ett kort som både har en inbyggd dator och lagringsfunktioner. Ett sådant kort skulle kunna öka säkerheten i hälso- och sjukvården. Det skulle också kunna rationalisera informationsutbytet mellan olika vårdinrättningar m.m. Sammanfattningsvis kan man konstatera att utvecklingen inom IT är till nytta inte bara för samhället som helhet utan även för sjukvårdshuvudmännen. Den enskilde patientens förhållanden påverkas också i positiv riktning av IT-användningen genom snabbare och säkrare tillgång på uppgifter om hans eller hennes vårdkontakter, genomgången behandling, medicinering m.m. är det viktigt att framhålla att säkerheten och den personliga integriteten blir mer hotad ju mer information, som potentiellt blir åtkomlig med datakommunikation. 7 Den personliga integriteten Personlig integritet är även om begreppet inte kan ges någon mer objektivt bestämbar innebörd ett honnörsbegrepp. Det anses allmänt att det är viktigt att skydda den enskildes integritet och förhindra olika former av intrång däri. Innebörden av begreppen personlig integritet och intrång är dock olika för olika människor i olika situationer. Någon entydig förklaring till begreppet är inte möjlig att ge. En ofta använd beskrivning av integritetsskyddet innebär att man skall skydda den enskildes rätt att bli lämnad i fred. Andra försök att beskriva vad som menas med personlig integritet tar fasta på rätten till ensamhet, till förtrolig samvaro inom familjen, en rätt till anonymitet och distans till andra individer. Ett annat sätt att beskriva begreppet är att den enskilde skall kunna kontrollera spridningen av uppgifter eller ha en rätt att själv bestämma vilka uppgifter om sig själv som han eller hon vill dela med sig till andra. Ett skydd mot otillbörligt intrång är nödvändigt för att den enskilde skall uppnå en viss frihet att styra och kontrollera sitt eget liv. Den enskilde kan dock inte resa krav på en helt fredad sfär. Den personliga integriteten kan inte vara absolut i den mening att regler till skydd därför skall gälla och tillämpas undantagslöst eller oavsett motstående intressen. Ett visst mått av intrång måste accepteras. I stället får man bygga upp ett skydd mot sådant som bedöms utgöra ett otillbörligt intrång. Vad som upplevs som en integritetskränkning av en person behöver inte upplevas som en sådan av en annan person. Det är därför svårt att generalisera. Några omständigheter kan dock mera allmänt sägas påverka den enskildes uppfattning om risk för integritetsintrång. Stora mängder uppgifter, förekomsten av många olika register och den möjlighet till samkörning som det ger är sådana exempel. Vidare om de uppgifter som behandlas belyser den enskildes avvikelser från gängse normer, särskilt i kombination med om tilltron till att uppgifterna hålls hemliga sviktar. Svårigheter att uppnå rättelse och användning av personnummer är ytterligare omständigheter som ofta oroar den enskilde. Allmänhetens inställning till hälso- och sjukvårdens datorisering m.m. För att i viss mån kartlägga allmänhetens inställning till hälso- och sjukvårdens datorisering uppdrog hälsodatakommittén åt vid att göra en sådan undersökning. En slutsats som man kan dra av undersökningen är att allmänheten i stor utsträckning är beredd att acceptera att patientjournaler och annan dokumentation inom sjukvården sker med hjälp av data men att det är viktigt att den datalagrade informationen skyddas mot obehörig åtkomst. När det gäller frågan om överföring av patientuppgifter till regionala och centrala myndigheter inom hälso- och sjukvården visar undersökningen att sådana överföringar har ett ganska stort stöd bland befolkningen. Det kan dock noteras att av befolkningen bestämt motsätter sig att sådan överföring sker. Avvägning av integritetsskyddet I begreppet personlig integritet kan man lägga in två delkomponenter. För det första att den enskilde bör tillförsäkras en sfär som skyddas mot otillbörligt intrång från myndigheter och andra som kan uppfattas som utomstående och för det andra att den enskilde bör ha rätt och möjlighet att själv vara med och bestämma i vilka sammanhang uppgifter om honom får utnyttjas och hur det i så fall skall ske. I båda fallen måste dock den enskilde tåla vissa ingrepp, framförallt från samhällets sida, när andra intressen, som av samhället bedöms som totalt sett viktigare, kräver det. Ingrepp får dock inte vara alltför långtgående, alltför besvärande eller betungande i förhållande till de syften som intrånget skall tjäna. Varje gång det blir aktuellt att utnyttja uppgifter om en enskilds personliga förhållanden måste således en avvägning göras mellan den enskildes rätt till personlig integritet och det allmännas behov av information. 8 Rättslig reglering till skydd för den personliga integriteten Någon lagstiftning som tar direkt sikte på den behandling av personuppgifter som förekommer inom hälso- och sjukvården finns i princip inte. Det finns däremot en rad bestämmelser i olika författningar som gäller generellt för behandling av personuppgifter oberoende av på vilket samhällsområde registerna kommer till användning. Dessa bestämmelser har framförallt till syfte att garantera ett skydd för den personliga integriteten hos den registrerade. På hälso- och sjukvårdens område finns därutöver en rad bestämmelser som på olika sätt bidrar till att bygga upp ett integritetsskydd för den enskilde som vänder sig till vården. I detta avsnitt skall redovisas några av de viktigaste bestämmelserna av intresse för behandling av personuppgifter inom hälso- och sjukvården. 8.1 Nationell reglering 8.1.1 Regeringsformen Det grundläggande skyddet för den enskildes personliga integritet återfinns i regeringsformen. I 1 kap. 2 § tredje stycket regeringsformen anges att det allmänna skall värna den enskildes privatliv och familjeliv. En särskild bestämmelse om den personliga integriteten och ADB finns i 2 kap. 3 § regeringsformen. Där anges att varje medborgare skall i den utsträckning som närmare anges i lag skyddas mot att hans personliga integritet kränks genom att uppgifter om honom registreras med hjälp av ADB. Den närmare reglering som åsyftas i lagrummet återfinns nu i datalagen (1973:289), se avsnitt 8.1.4 och fr.o.m. i personuppgiftslagen (1998:000), se avsnitt 8.1.5 8.1.2 Tryckfrihetsförordningen I 2 kap. tryckfrihetsförordningen finns bestämmelser om rätten att ta del av allmänna handlingar (offentlighetsprincipen). ADB-upptagningar upptagning som kan läsas, avlyssnas eller på annat sätt uppfattas endast med tekniska hjälpmedel räknas till handlingar i tryckfrihetsförordningens mening. En sådan upptagning är inte på samma sätt som en pappershandling knuten till ett bestämt fysiskt föremål. Begreppet upptagning har istället knutits närmare till informationsinnehållet än till bäraren av uppgiften. Detta får bl.a. till följd att flertalet handlingar inte kan sägas finnas till förrän som de efterfrågas, skapas och blir läsbara. För att det skall föreligga en sådan potentiell handling krävs att den kan tillskapas med rutinmässiga åtgärder hos den myndighet som förfogar över handlingen. En upptagning är allmän om den förvaras hos en myndighet och den enligt särskilda regler är att anse som upprättad hos eller inkommen till myndigheten. Upptagningen anses förvarad hos myndigheten om den är tillgänglig där för myndigheten med tekniskt hjälpmedel, som myndigheten själv utnyttjar för överföring i sådan form att upptagningen kan läsas, avlyssnas eller på annat sätt uppfattas. 8.1.3 Sekretesslagen I sekretesslagen (1980:100) ges bestämmelser om tystnadsplikt och handlingssekretess i det allmännas verksamhet. Sekretessen innebär ett förbud att röja en uppgift oberoende av hur detta sker. Sekretessen gäller både mot enskilda och mot andra myndigheter men också i förhållandet mellan olika verksamhetsgrenar inom samma myndighet om de är att betrakta som självständiga i förhållande till varandra. För vissa uppgifter gäller ett s.k. omvänt skaderekvisit, dvs. uppgiften kan lämnas ut endast om det står klart att utlämnandet inte medför men för den uppgiften rör eller skada för de intressen sekretessen skall skydda. Sekretess är i dessa fall huvudregel. I andra fall gäller ett s.k. rakt skaderekvisit, dvs. sekretess föreligger endast om det kan antas att ett röjande av uppgiften medför men för den uppgiften rör eller skada för de intressen den skall skydda. Offentlighet är i dessa fall huvudregel. Slutligen gäller i vissa fall s.k. absolut sekretess, vilket innebär att uppgiften aldrig får röjas. Sekretess inom den allmänna hälso- och sjukvården regleras i 7 kap. 1 3 §§. Huvudregeln är att sekretess med ett omvänt skaderekvisit gäller för uppgifter om den enskildes hälsotillstånd och andra personliga förhållanden. Myndighet och kommun eller landsting som bedriver verksamhet inom hälso- och sjukvården eller annan medicinsk verksamhet får dock lämna uppgift till annan sådan myndighet för forskning eller framställning av statistik eller för administration på verksamhetsområdet, med tillämpning av det raka skaderekvisitet. Sekretess för uppgifter i personregister regleras i 7 kap. 16 §. Bestämmelsen innebär att sekretess gäller om det kan antas att ett utlämnande skulle medföra att uppgifter används i strid med datalagen (fr.o.m. personuppgiftslagen). Enligt 9 kap. 4 § gäller sekretess i sådan verksamhet hos myndighet som avser framställning av statistik utan samband med något enskilt ärende. Sekretessen är enligt huvudregeln absolut men det finns fem undantag för vilka det gäller ett omvänt skaderekvisit. Till undantagen hänförs bl.a. uppgifter som behövs för forsknings- och statistikändamål och uppgift som inte är direkt hänförlig till den enskilde. I 14 kap. 1 § föreskrivs att sekretessen bryts om en uppgiftsskyldighet följer av lag eller annan författning. 8.1.4 Datalagen Datalagen (1973:289), som gäller till , har till syfte att skydda den enskilde mot sådant otillbörligt intrång i den personliga integriteten som kan bli följden av dataregistrering. Datalagen gäller för såväl offentliga som privata register, dock inte fullt ut för ett av enskild person för personligt bruk inrättat register. Ett personregister får inrättas och föras av den som anmält sig till Datainspektionen och erhållit en licens. Personuppgifter som innehåller särskilt känsliga personuppgifter, omdömen och värderingar om den registrerade, uppgifter om personer som saknar anknytning till den registeransvarige, och personuppgifter som hämtas från andra personregister (samkörning) kräver normalt tillstånd från Datainspektionen för att få inrättas och föras. Dessutom krävs särskilda och i vissa fall synnerliga skäl för att få föra register som skall innehålla känsliga personuppgifter som t.ex. uppgifter om någons hälsotillstånd eller sjukdom. Undantagna från tillståndsplikt är bl.a. statsmaktregister, dvs. register vars inrättande beslutats av riksdag eller regering. Under vissa förutsättningar är register för vård och behandlingsändamål med uppgift om någons sjukdom eller hälsotillstånd som myndighet inom hälso- och sjukvården inrättar och för motsvarande register som privatpraktiserande läkare och tandläkare inrättar och för, om de erhållit uppgiften i sin yrkesverksamhet, undantagna från tillståndsplikt. I de båda sistnämnda fallen krävs dock tillstånd om registret kommer att innehålla uppgift som utgör omdöme eller annan värderande upplysning om den registrerade. Datainspektionen skall under i lagen angivna förutsättningar meddela tillstånd till inrättande och förande om det saknas anledning att anta att otillbörligt intrång i en registrerads personliga integritet skall uppkomma. Vid bedömningen om otillbörligt intrång kan uppkomma skall särskilt beaktas arten och mängden av de personuppgifter som skall ingå i registret, hur och från vem uppgifterna skall inhämtas samt den inställning till registret som föreligger eller kan antas föreligga hos dem som kan komma att registreras. 8.1.5 Förslaget till personuppgiftslag Regeringen har i proposition 1997/98:44 föreslagit en personuppgiftslag. Då lagen i huvudsak skall träda i kraft , dvs. som aktuella lagförslag om hälsodataregister och vårdregister, kommer här innehållet i personuppgiftlagen att redovisas trots att riksdagsbeslut om lagen ännu har fattats. Regeringen utgår också nedan från att lagen kommer att få det innehåll som föreslås i propositionen. Personuppgiftslagen avses ersätta datalagen (1973:289) och innebär att och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter genomförs i svensk rätt. Lagen, som i huvudsak följer EG-direktivets text och disposition, omfattar all automatiserad behandling av personuppgifter och viss behandling av personuppgifter. Rent privat användning av personuppgifter är undantagen. Det görs även undantag med hänsyn till offentlighetsprincipen samt tryck- och yttrandefriheten. Vidare stadgas att om det i annan lag eller i en förordning finns bestämmelser som avviker från lagen, skall dessa bestämmelser gälla. Genom personuppgiftslagen utmönstras en rad begrepp som använts i datalagen, t.ex. personregister. En rad nya begrepp införs, vilka definieras i 3 §. Med behandling (av personuppgifter) avses varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, vare sig det sker på automatisk väg eller inte. Personuppgifter defineras som all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter kallas med lagens terminologi för personuppgiftsansvarig. Lagen innehåller bestämmelser om när behandling av personuppgifter är tillåten. För behandling av känsliga personuppgifter gäller särskilt restriktiva regler. Som utgångspunkt får personuppgifter behandlas bara om den registrerade har lämnat sitt samtycke till behandlingen. Undantag från kravet på samtycke finns dock , som t.ex. behandling som sker för att skydda vitala intressen för den registrerade eller för ändamål som rör ett berättigat intresse hos den personuppgiftsansvarige eller hos sådana tredje män till vilka personuppgifterna lämnas ut när detta intresse väger tyngre än den registrerades intresse av skydd mot kränkning av den personliga integriteten. Vissa uppgifter benämns känsliga och dessa är det som huvudregel förbjudet att behandla. Exempel på sådana uppgifter är ras eller etniskt ursprung och politiska åsikter. Det är också förbjudet att behandla sådana personuppgifter som rör hälsa eller sexualliv. Undantag från förbudet gäller bl.a. vid samtycke av den registrerade eller under vissa betingelser om registrering sker för forskning och statistik eller inom hälso- och sjukvården. Vad gäller hälso- och sjukvården får enligt 18 § förslaget till per- sonuppgiftslag känsliga personuppgifter behandlas om behandlingen är nödvändig för a) förebyggande hälso- och sjukvård, b) medicinska diagnoser c) vård eller behandling, eller d) administration av hälso- och sjukvård. Vidare får den som är yrkesmässigt verksam inom hälso- och sjukvårdsområdet och har tystnadsplikt alltid behandla känsliga personuppgifter som omfattas av tystnadsplikten. Detsamma gäller den som är underkastad en liknande tystnadsplikt och som har fått känsliga personuppgifter från verksamhet inom hälso- och sjukvårdsområdet. Beträffande behandling av personnummer utan samtycke får sådant endast ske när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Den personuppgiftsansvarige skall se till a) att personuppgifter behandlas bara när det är lagligt, b) att personuppgifter alltid behandlas på ett korrekt sätt, c) att personuppgifter samlas in bara för särskilt, uttryckligt angivna och berättigade ändamål, d) att personuppgifter inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in, e) att de personuppgifter som behandlas är adekvata och relevanta i förhållande till ändamålen med behandlingen, f) att inte fler personuppgifter behandlas än vad som är nödvändigt med hänsyn till ändamålen med behandlingen, g) att de personuppgifter som behandlas är riktiga och, om nödvändigt, aktuella, h) att alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna sådana uppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen och i) att personuppgifter inte bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. För behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål gäller vissa särregler som bl.a. innebär att behandling för sådana ändamål inte skall anses som oförenlig med de ändamål för vilka uppgifterna samlades in och att personuppgifter insamlade för dessa ändamål får bevaras än vad som sägs i punkten i) ovan. Vidare skall information lämnas till den registrerade rörande behandlingen. Undantag från informationsskyldigheten föreligger dock bl.a. om det skulle vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. Den som bryter mot lagen kan drabbas av ingripanden från tillsynsmyndigheten, såsom vitesföreläggande, skadestånd eller straff. 8.1.6 Registerförfattningar Särskilda registerförfattningar har blivit allt mer vanliga. En registerförfattning innebär en specialreglering i förhållande till personuppgiftslagen i syfte att komplettera eller i vissa delar ersätta den. En särskild författning anses under vissa förutsättningar innebära en bättre garanti för utformning av integritetsskyddet i särskilt känsliga register. Registerförfattningar finns inom flera områden och omfattar bl.a. folkbokföringsregister, socialförsäkringsregister och skatteregister. Registerförfattningar innehåller vanligen bestämmelser om registerteknik, registerändamål, registerinnehåll inbegripet bestämmelser om inhämtandet av uppgifter, reglering av frågan om vilka personuppgifter som får göras tillgängliga, utlämnande av uppgifter från registret samt bevarande och gallring av uppgifter. 8.1.7 Hälso- och sjukvårdslagen m.fl. vårdlagar Verksamheten inom hälso- och sjukvården regleras i hälso- och sjukvårdslagen (1982:763). Med hälso- och sjukvård avses i lagen åtgärder för att medicinskt förebygga, utreda och behandla sjukdomar och skador. Hälso- och sjukvården skall bedrivas så att den uppfyller kraven på en god vård och bygga på respekt för patientens självbestämmande och integritet. Målet är en god hälsa och en vård på lika villkor för hela befolkningen. Ansvaret för hälso- och sjukvården åvilar landsting och kommuner. Tandvårdslagen (1985:125) har i likhet med hälso- och sjukvården karaktären av en målinriktad ramlag och gäller i princip all tandvård. Målet är en god tandvård för hela befolkningen. I likhet med hälso- och sjukvården innehåller lagen bestämmelser som betonar vårdgivarens skyldighet att beakta patientens självbestämmande och integritet. I lagen (1994:953) om åligganden för personal inom hälso- och sjukvården anges att personalen skall utföra sitt arbete i överensstämmelse med vetenskap och beprövad erfarenhet. En patient skall ges sakkunnig och omsorgsfull vård som uppfyller dessa krav. Vården skall så långt som möjligt genomföras i samråd med patienten och patienten skall visas omtanke och respekt. Han eller hon skall få upplysningar om sitt hälsotillstånd och om de behandlingsmetoder som finns. Vidare stadgas att personal inom den enskilda vården inte obehörigen får röja vad man i sin verksamhet fått veta om en enskilds hälsotillstånd eller andra personliga förhållanden. Som obehörigt röjande anses dock inte att någon fullgör sin uppgiftsskyldighet som följer av lag eller förordning. Den tystnadsplikt som i lagen åläggs personal inom den enskilda vården motsvaras för personal inom den offentliga vården av en skyldighet att följa sekretesslagen. I lagen (1996:786) om tillsyn över hälso- och sjukvården har införts enhetliga bestämmelser om tillsyn över hälso- och sjukvården. Den som vill bedriva hälso- och sjukvård skall anmäla detta till . Anmälningsskyldigheten omfattar även verksamhet som tar emot uppdrag från hälso- och sjukvården och utgör led i bedömningen av patienters hälsotillstånd eller behandling. Lagen föreskriver vidare att i sin tillsynsverksamhet skall få rätt att ta del av handlingar och erhålla upplysningar i behövlig utsträckning samt att göra inspektioner. har enligt lagen också rätt att meddela förelägganden och förbjuda hälso- och sjukvårdsverksamhet. Skulle en patient i samband med vård, behandling eller undersökningar inom hälso- och sjukvården drabbas av eller utsatts för risk att drabbas av allvarlig skada eller sjukdom skall vårdgivaren göra en anmälan härom till . Om finner att det finns skäl att ifrågasätta disciplinpåföljd, återkallelse av legitimation eller annan behörighet att utöva yrke inom hälso- och sjukvården eller begränsning av förskrivningsrätt enligt lagen (1994:954) om disciplinpåföljd m.m. på hälso- och sjukvårdens område, skall styrelsen göra anmälan om detta hos . Den som på grund av anställning, uppdrag eller liknande grund deltar eller har deltagit i verksamhet som omfattas av tillsynslagen får inte obehörigen röja vad han eller hon därvid fått veta om en enskilds hälsotillstånd eller andra personliga förhållanden. Som obehörigt röjande anses inte att någon fullgör skyldighet som följer av lag eller förordning. I patientjournallagen (1985:562) finns bestämmelser om patientjournal, hur denna skall föras och vad den får innehålla. Lagen är teknikneutral. Med patientjournal avses alla handlingar och anteckningar som innehåller uppgifter om den enskilde patientens hälsotillstånd eller andra personliga förhållanden och de åtgärder som genomförts eller planerats. Varje anteckning i en journal skall innehålla uppgift om vem som svarar för anteckningen och dennes bekräftelse av att anteckningen är riktig (signering). Rättelse skall ske på sådant sätt att den felaktiga uppgiften kan återfinnas liksom rättelsen.