sou · GUB382 · 2007-01-01 00:00:00 — Anser denne inte anser att journalhandlingen kan lämnas ut, överlämnas frågan till för prövning. Enda förklaringen till varför bestämmelsen togs in i patientjour- nallagen i stället för biobankslagen synes vara att formerna för prövning och överklagande redan fanns i patientjournallagen (se prop. 2001/02:44 s. 51). Å andra sidan finns ett liknande prövnings- förfarande när det gäller utlämnande av vävnadsprover ur en biobank i 4 kap. 6 § biobankslagen. Enligt vår uppfattning bör patientdatalagens bestämmelser om jour- nalföring endast avse de grundläggande reglerna. Som vi framhållit i avsnitt 10.4.4 bör specialregler finnas i särlagstiftningen. Allmänna frågor och bestämmelser därför att den nu behandlade bestämmelsen flyttas till biobanks- lagen. Vårt förslag: Patientdatalagen och de ändringar som vi föreslår i andra författningar skall träda i kraft . När patientdatalagen träder i kraft skall patientjournallagen och vårdregisterlagen upphöra att gälla. Patientdatalagens bestämmelser om nationella och regionala kvalitetsregister skall inte börja tillämpas förrän i fråga om sådana kvalitetsregister som börjat föras före patientdatalagens ikraftträdande. Vidare skall bestämmelserna om den enskildes rätt att motsätta sig personuppgiftsbehandling i sådana kvalitetsregister och om information om sådan person- uppgiftsbehandling inte gälla beträffande sådana personuppgifter som behandlats före . Patientdatalagen bör kunna träda i kraft . Det- samma gäller de ändringar vi föreslår i sekretesslagen (1980:100), lagen (2001:499) om omskärelse av pojkar och lagen (2002:297) om biobanker i hälso- och sjukvården m.m. Patientdatalagen ersätter den reglering som finns i patientjour- nallagen (1985:562) och lagen (1998:544) om vårdregister (vårdre- gisterlagen). De båda sistnämnda lagarna skall därför upphöra att gälla som patientdatalagen träder i kraft. regleras personuppgiftsbehandlingen i nationella och regio- nala kvalitetsregister av personuppgiftslagen (1998:204). Patientdata- lagens bestämmelser om nationella och regionala kvalitetsregister innebär en skärpning av lagstiftningen jämfört med vad som gäller , bl.a. genom att den enskilde ges rätt att motsätta sig registre- ring. Av det skälet bör särskilda övergångsbestämmelser meddelas i fråga om sådana kvalitetsregister. Verksamheten bör ges möjlighet att anpassa sina rutiner till den nya lagstiftningen, varför vi föreslår att patientdatalagens bestäm- melser om nationella och regionala kvalitetsregister inte skall börja tillämpas förrän efter en viss övergångstid. Vi uppskattar som en tillräcklig övergångstid. Vi föreslår alltså att patientdatalagens bestämmelser om nationella och regionala kvalitetsregister inte skall börja tillämpas förrän i fråga om sådana kvali- tetsregister som börjat föras före patientdatalagens ikraftträdande. Vidare föreslår vi att patientdatalagens bestämmelser om den en- skildes rätt att motsätta sig personuppgiftsbehandling i nationella och regionala kvalitetsregister och om information om sådan person- uppgiftsbehandling inte skall gälla beträffande sådana personupp- gifter som behandlats före . Det innebär att redan insamlade personuppgifter får finnas kvar i kvalitetsregistren och att nämnda information endast behöver lämnas beträffande framtida personuppgiftsbehandling i registren. För tydlighetens skull bör nämnas att vi inte föreslår några särskilda övergångsbestämmelser i fråga om patientdatalagens bestämmelser om sammanhållen journalföring. Det innebär att en vårdgivares upp- gifter om en patient som har dokumenterats före patientdatalagens ikraftträdande endast får göras tillgängliga för andra vårdgivare genom sammanhållen journalföring om lagens förutsättningar härför är uppfyllda. 20 Konsekvenser av våra förslag För kommittéers och särskilda utredares arbete gäller kommittéför- ordningens (1998:1474) bestämmelser. Om förslagen i ett betänkande påverkar kostnaderna eller intäk- terna för staten, kommuner, landsting, företag eller andra enskilda, skall enligt 14 § kommittéförordningen en beräkning av dessa kon- sekvenser redovisas i betänkandet. Om förslagen innebär samhällseko- nomiska konsekvenser i övrigt, skall dessa redovisas. När det gäller kostnadsökningar och intäktsminskningar för staten, kommuner eller landsting, skall kommittén föreslå en finansiering. Våra förslag innebär inledningsvis att det införs en ny lag – patientdatalagen – som skall tillämpas vid vårdgivares behandling av personuppgifter inom hälso- och sjukvården. Bestämmelserna i pa- tientjournallagen (1985:562) och lagen (1998:544) om vårdregister (vårdregisterlagen) förs över till den nya lagen. Genom förslagen åstadkoms en mer samlad reglering av personuppgiftsbehandlingen inom hälso- och sjukvården. Förslagen medför däremot inte några ekonomiska eller andra konsekvenser. Våra förslag i fråga om sammanhållen journalföring innebär en möjlighet för sjukvårdshuvudmännen och andra vårdgivare att på fri- villig väg skapa system som medger elektronisk tillgång till varandras journaluppgifter i det direkta patientarbetet. Förslagen innebär alltså inte någon skyldighet för vårdgivare att delta i sådana system. Det är inte möjligt för oss att förutse i vilken utsträckning system för sammanhållen journalföring kommer att skapas eller hur dessa kom- mer att utformas. Det är därmed inte heller möjligt att uppskatta kostnaderna för t.ex. de investeringar som kommer att krävas. Sam- tidigt kommer införandet av sammanhållen journalföring att leda till effektivitetsvinster i form av minskad administration för hälso- och sjukvårdspersonalen samt förbättrade möjligheter för olika vårdgivare att samarbeta och därigenom undvika dubbelarbete. Konsekvenser av våra förslag också till förbättrad patientsäkerhet. Att beräkna storleken på dessa vinster är emellertid inte möjligt. Våra förslag beträffande inre sekretess innebär bl.a. en lagreglerad skyldighet för vårdgivare att bestämma villkor för tilldelning av be- hörighet för elektronisk åtkomst till sådana uppgifter om patienter, som förs helt eller delvis automatiserat. Vårdgivares ansvar i detta avseende är emellertid inte något nytt. Förslaget innebär enbart att kraven på vårdgivarna tydliggörs och bör därför inte medföra några ökade kostnader för dem. Förslagen innebär vidare en lagreglerad skyldighet för vårdgivare att genomföra åtgärder som innebär att elektronisk åtkomst till så- dana uppgifter om patienter, som förs helt eller delvis automatise- rat, dokumenteras och kan kontrolleras. Av patientjournallagen och vårdregisterlagen följer redan ett ansvar för vårdgivare att självmant följa upp hur behörighetssystem fungerar och i vad mån obehörig åtkomst har skett. Våra förslag innebär att kraven på vårdgivarna konkretiseras. Förslagen bör inte medföra några ökade kostnader. I fråga om inre sekretess innebär våra förslag också att patienter ges möjlighet att få sina uppgifter spärrade från elektronisk till- gänglighet utanför den enhet där de vårdas. Bland en del vårdgivare förekommer detta redan. Hos andra kan de nuvarande elektroniska journalsystemen behöva anpassas till förslagen. Vi har svårt att upp- skatta i vilken utsträckning detta behöver ske och därmed vilka kostnader som kan uppstå. Som framgått tidigare är ju en stor del av journalföringen inom sjukhusvården fortfarande inte elektronisk. Kraven på möjligheter att spärra uppgifter kan då beaktas i sam- band med att elektroniska journalsystem införskaffas. Det är vidare inte ovanligt att det på sjukhus förekommer flera från varandra separata journalsystem som inte är kompatibla. I dessa fall är det alltså inte är möjligt för personalen på en enhet att få elektronisk tillgång till en annan enhets journaluppgifter. Våra förslag innebär vidare att vårdgivare får medge enskilda direkt- åtkomst till sina journaluppgifter och andra patientuppgifter samt logglistor med anknytning till journalen. Förslagen innebär alltså ingen skyldighet för vårdgivarna. Det är svårt att uppskatta i vilken utsträckning sådan direktåtkomst kommer att anordnas eller vilka kostnader detta kan komma att medföra. Våra förslag innebär också att vårdgivare åläggs att på begäran av en patient lämna information om den direktåtkomst och elektroniska åtkomst som förekommit till dennes patientuppgifter. I vilken ut- sträckning patienter kommer att begära att få sådan information är Konsekvenser av våra förslag svårt att förutse. Skyldigheten kan visserligen komma att innebära ett visst administrativt merarbete för hälso- och sjukvårdspersonalen, men vi förutsätter att informationssystemen kan utformas så att in- formationen lätt kan sammanställas. Våra förslag i fråga om nationella och regionala kvalitetsregister innebär inledningsvis att dessa författningsregleras särskilt i förhål- lande till personuppgiftslagen (1998:204). Förslagen innebär vidare att enskilda ges en rätt att slippa bli registrerade i sådana register. Detta förutsätter att de informeras. Informationsskyldighet följer av personuppgiftslagen och innebär således ingen för- ändring. Våra förslag innebär inte något obligatorium för vårdgivare att föra sådana kvalitetsregister eller någon uppgiftsskyldighet gent- emot registren. 20.2Konsekvenser för små företags villkor I 15 § kommittéförordningen anges att om förslagen i ett betänkande har betydelse för små företags arbetsförutsättningar, konkurrens- förmåga eller villkor i övrigt i förhållande till större företags, skall konsekvenserna i det avseendet anges i betänkandet. I våra direktiv framhålls att hälso- och sjukvården utförs även av andra än landstingen, bl.a. privata aktörer. En del av dem är små företag som också berörs av vårt uppdrag. Detta är en omständighet som vi enligt våra direktiv skall beakta i en särskild analys av kon- sekvenserna av reglers effekter för små företags villkor. I enlighet med direktiven har kontakt tagits med och synpunkter inhämtats från (). Som framgått har det visat sig vara omöjligt att få fram uppgifter om hur stort antal vårdgivare inom vars verksamhet patient- journaler förs (se avsnitt 9.4.3). Det är därmed inte heller möjligt att beräkna hur många privata vårdgivare det finns som kan tänkas be- röras av våra förslag. Våra förslag innebär inte någon skyldighet för små privata före- tag som bedriver hälso- och sjukvård att delta i sammanhållen jour- nalföring eller att medge sina patienter direktåtkomst till journal- uppgifter etc. Det är svårt att förutse i vilken utsträckning de kommer att välja att delta i system för sammanhållen journalföring. De föreslagna skyldigheterna för vårdgivare att bestämma villkor för tilldelning av behörighet för elektronisk åtkomst till patientupp- gifter och att genomföra åtgärder som innebär att elektronisk åtkomst Konsekvenser av våra förslag till patientuppgifter dokumenteras och kan kontrolleras innebär, så- som sagts, att kraven i dessa avseenden tydliggörs och kon- kretiseras. Förslagen utgör integritetsskyddsregler och kraven bör, enligt vår uppfattning, vara desamma oavsett om vårdgivaren är ett landsting eller ett litet privat företag. Detsamma gäller skyldigheten att på begäran av en patient lämna information om den direktåtkomst och elektroniska åtkomst som förekommit till dennes patientupp- gifter. Tilläggas kan att dessa förslag förutsätter att vårdgivaren be- handlar patientuppgifter automatiserat och att det är oklart i vilken utsträckning små privata företag som bedriver hälso- och sjukvård gör detta. När det gäller förslaget att vårdgivare skall ge sina patienter möj- lighet att spärra sina uppgifter för andra vårdenheter kommer detta knappast att bli aktuellt för små företag, eftersom de oftast bildar en enda enhet. I 15 § kommittéförordningen anges vidare, att om förslagen i ett betänkande har betydelse för den kommunala självstyrelsen, skall konsekvenserna i det avseendet anges i betänkandet. Detsamma gäller när ett förslag har betydelse för brottsligheten och det brotts- förebyggande arbetet, för sysselsättning och offentlig service i olika delar av landet, för jämställdheten mellan kvinnor och män eller för möjligheten att nå de integrationspolitiska målen. Enligt vår upp- fattning medför våra förslag inte några konsekvenser i angivna av- seenden. 1 § Denna lag tillämpas vid vårdgivares behandling av personuppgifter inom hälso- och sjukvården. I lagen finns också bestämmelser om skyldig- het att föra patientjournal. Lagen gäller i tillämpliga delar även uppgifter om avlidna personer. Paragrafen, som har behandlats i avsnitt 7.3.2, anger i första stycket patientdatalagens tillämpningsområde. Lagen skall tillämpas vid be- handling av personuppgifter inom hälso- och sjukvården. Det innebär till en början att den är tillämplig i en vårdgivares kärnverksamhet; alltså då vårdgivaren tillhandahåller hälso- och sjukvård respektive tandvård åt patienter. Vårdgivare och andra centrala begrepp i patientdatalagen definieras i 3 §. Förutom landsting och kommuner finns det privata vårdgivare som tillhandahåller hälso- och sjukvård. Hälso- och sjukvård förekommer också hos statliga myndigheter som t.ex. Till kärn- verksamheten hör åtgärder för att förebygga, utreda och behandla sjukdomar och skador hos människor vare sig den verksamheten sker enligt hälso- och sjukvårdslagen (1982:763), tandvårdslagen (1985:125), lagen (1991:1128) om psykiatrisk tvångsvård, lagen (1991:1129) om rättspsykiatrisk vård, smittskyddslagen (2004:168) eller någon annan lagstiftning. Här ingår även annan närliggande patientverksamhet som insemination, abort, sterilisering, kastrering, omskärelse, transplantationsingrepp på givare och blodgivning. Till kärnverksamheten räknas vidare bl.a. administration och utveckling av verksamheten, se närmare härom 2 kap. 4 § samt 7 kap. 4 § om för vilka ändamål som personuppgiftsbehandling får äga rum. uppgiftsbehandling för den rent administrativa verksamheten utan direkt koppling till patientverksamheten – t.ex. personaladministra- tion – faller dock utanför lagens tillämpningsområde. Detsamma gäller forskning, såvida det inte är fråga om en vårdgivares s.k. patientnära eller kliniska forskning som innefattar patientjournal- föring eller annan dokumentation som hör till vården, se avsnitt 7.3.2 och 17.4. Inte heller är patientdatalagen tillämplig vid utbildning t.ex. av blivande läkare och sjuksköterskor. I den del dessa deltar i den faktiska patientvården är patientdatalagen dock tillämplig. Lagen skall inte tillämpas av sådana myndigheter som agerar inom hälso- och sjukvårdssektorn men som inte bedriver patientvård, som t.ex. , , och . Även verksamhet vid sjukvårdshuvudmännens läkemedelskommittéer och patientnämnder faller utanför lagens tillämpningsområde. När det gäller personupp- giftsbehandlingen ersätter patientdatalagen lagen (1998:544) om vårdregister. Av första stycket framgår vidare att det i lagen finns bestämmelser om skyldighet att föra patientjournal. Dessa bestäm- melser finns i första hand i 3 kap. Bestämmelserna är med en del förändringar överförda från patientjournallagen (1985:562). Patient- datalagen innehåller således bestämmelser som rör både personupp- giftsbehandling inom hälso- och sjukvården och bedrivande av verksamheten. Skälet till att bestämmelserna sammanförts i en lag är att de tar sikte på informationshanteringen i stort inom hälso- och sjukvården. Av andra stycket framgår att vissa bestämmelser i patientdatalagen kan bli tillämpliga även när det gäller avlidna personer. Patientjour- nallagen gäller i tillämpliga delar avlidna personer medan lagen om vårdregister omfattar bara uppgifter om personer som är i livet. Inne- börden av andra stycket i förevarande paragraf är att de bestämmel- ser som överförts från patientjournallagen i tillämpliga delar omfattar också avlidna personer. Motsvarande gäller de bestämmelser som rör personuppgiftsbehandlingen i patientdatalagen. Bestämmelser av sistnämnt slag som skall tillämpas på avlidna är sådana som avser ändamål, sökbegrepp och åtkomst till uppgifter om avlidna. Däremot är patientdatalagens bestämmelser om samtycke inte tillämpliga på avlidna. Respekt för enskildas integritet 2 § Personuppgifter skall utformas och i övrigt behandlas så att patien- ters och övriga registrerades integritet respekteras. Dokumenterade personuppgifter skall hanteras och förvaras så att obe- höriga inte får tillgång till dem. I paragrafen finns en mer övergripande regel som slår fast att hante- ring etc. av personuppgifter enligt denna lag skall ske med respekt för enskildas integritet. Första stycket motsvarar i huvudsak 4 § patient- journallagen (1985:562) men har fått ett vidare tillämpningsområde i det att bestämmelsen inte bara avser journalföring utan utform- ning och övrig behandling av personuppgifter inom all verksamhet som regleras av patientdatalagen. Av paragrafen framgår vidare att det inte bara är patientens integritet som skall respekteras. Hänsyn skall också tas till andra personer, exempelvis anhöriga, om vilka det kan finnas uppgifter hos hälso- och sjukvården. I andra stycket, som har behandlats i avsnitt 12.4, finns en regel om att dokumenterade personuppgifter skall hanteras och förvaras så att obehöriga inte får tillgång till dem. Paragrafen motsvarar del- vis 7 § första stycket patientjournallagen, som anses reglera den inre sekretessen, och 8 § lagen (1998:544) om vårdregister. Bestäm- melsen i andra stycket har emellertid ett vidare syfte än att bara vara en reglering av den inre sekretessen. Den utgör generellt en garanti för att patienters och andras integritet skall respekteras då person- uppgifter om dem hanteras och förvaras. Med hantering och förvaring avses här alla slags åtgärder som vidtas beträffande personuppgifterna. Bestämmelsen är tillämplig på alla dokumenterade personuppgifter. Den gäller således alla personuppgifter om exempelvis en patient, inte bara uppgifter som finns i och elektroniska patient- journaler. Med personuppgifter avses all slags information som direkt eller indirekt kan hänföras till en fysisk person. Av 1 § andra stycket framgår att patientdatalagen i tillämpliga delar gäller även avlidna per- soner. Obehöriga personer kan vara såväl utomstående, t.ex. andra patienter och anhöriga som råkar vistas på en sjukvårdsinrättning, som befattningshavare inom hälso- och sjukvården. När det gäller den sistnämnda kategorin utgör bestämmelsen en reglering av den inre sekretessen. En förutsättning för att en befattningshavare inom hälso- och sjukvården skall få ta del av uppgifter om en patient är att han eller hon deltar i vården av patienten eller av annat skäl be- höver uppgifterna för sitt arbete inom hälso- och sjukvården, se 4 kap. 1 §. Först då är befattningshavaren behörig att få tillgång till uppgifterna. Angående den inre sekretessen se vidare 4 kap. 1 §. 3 § I denna lag används följande beteckningar med nedan angiven bety- delse. Verksamhet som avses i hälso- och (1982:763), lagen (1985:125), lagen (1991:1128) om (1991:1129) om rättspsykiatrisk vård samt smittskydd enligt smittskydds- lagen (2004:168). Framställning i skrift eller bild samt upptagning som kan läsas, avlyssnas eller på annat sätt uppfattas endast med tekniskt hjälpmedel, som upprättas eller inkommer i samband med vården av en patient och som innehåller uppgifter om patientens hälsotillstånd eller andra personliga förhållanden och om vård- En eller flera journalhandlingar som rör En gemensam databas eller ett annat elektroniskt system, som gör det möj- ligt för en vårdgivare att ge eller få direktåtkomst till personuppgifter hos en annan vårdgivare. Vård, undersökning och inom hälso- och sjukvården. Statlig myndighet, landsting och kom- mun i fråga om sådan hälso- och sjuk- vård som myndigheten, eller kommunen har ansvar för samt annan juridisk eller fysisk person som yrkes- mässigt bedriver hälso- och sjukvård. Paragrafen innehåller definitioner av vissa i patientdatalagen centrala begrepp. Innebörden av begreppen hälso- och sjukvård, vård och vårdgivare berörs närmare i avsnittet om lagens tillämpningsområde, 7.3.2. Vårdgivarbegreppet motsvarar i huvudsak det som används i patientskadelagen (1996:799). Det är alltså den juridiska personen och kommunen som är vårdgivare då dessa organ ansvarar för hälso- och sjukvården; inte den nämnd, myndighet, som ansvarar för eller utför hälso- och sjukvården. Även sådana kommunala före- tag som avses i 1 kap. 9 § sekretesslagen (1980:100), dvs. bolag, före- ningar och stiftelser där kommuner eller landsting utövar ett rättsligt bestämmande inflytande är vårdgivare. Begreppen journalhandling och patientjournal överensstämmer i sak med hur begreppen defi- nieras i 2 § patientjournallagen (1985:562). Begreppen har dock fått en något annan språklig utformning. En patientjournal behöver, liksom , inte härröra från en och samma vårdgivare. Att några av begreppen i patientdatalagen inte definieras på exakt samma sätt som i Termbank beror på att begreppen måste an- sluta till patientdatalagens och närliggande lagars tillämpningsom- råden. Bestämmelser om sammanhållen journalföring finns i 6 kap. 4 § Personuppgiftslagen (1998:204) gäller vid sådan behandling av person- uppgifter inom hälso- och sjukvården som är helt eller delvis automatiserad eller där uppgifterna ingår i eller är avsedda att ingå i en strukturerad sam- ling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier, om inte annat följer av denna lag eller föreskrifter som meddelas med stöd av denna lag. Paragrafen har behandlats i avsnitt 7.3.3. I paragrafen anges för- hållandet mellan personuppgiftslagen (1998:204) och patientdata- lagen på så sätt att personuppgiftslagen gäller vid sådan behandling av personuppgifter inom hälso- och sjukvården som är helt eller delvis automatiserad eller där uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgäng- liga för sökning eller sammanställning enligt särskilda kriterier om inget annat sägs i patientdatalagen. Patientdatalagen innehåller såle- des enbart de särbestämmelser och förtydliganden som det bedömts föreligga behov av. I övrigt skall personuppgiftslagen tillämpas. Följaktligen kan åtskilliga bestämmelser i personuppgiftslagen bli tillämpliga vid personuppgiftsbehandling hos hälso- och sjukvården. Det innebär exempelvis att de begrepp som används i patientdata- lagen, t.ex. behandling av personuppgifter och personuppgifter har den innebörd som framgår av definitioner i 3 § personuppgifts- lagen. När det gäller personuppgifter, se dock 1 § andra stycket. Ytterligare exempel på bestämmelser i personuppgiftslagen som är tillämpliga är 8 § personuppgiftslagen, enligt vilken personuppgifts- lagen inte skall tillämpas i den utsträckning det skulle inskränka en myndighets skyldighet enligt bestämmelserna om offentlighetsprin- cipen i 2 kap. tryckfrihetsförordningen att lämna ut personuppgifter. Samma paragraf innebär att en myndighet utan hinder av person- uppgiftslagen får arkivera och bevara allmänna handlingar. Även 9 § personuppgiftslagen, som innehåller regler om grundläggande krav på den personuppgiftsansvariges behandling av personuppgifter, gäller då personuppgifter behandlas enligt patientdatalagen. I 30–32 §§ per- sonuppgiftslagen finns bestämmelser om säkerheten vid behandling av personuppgifter. Dessa bestämmelser gäller utöver patientdata- lagens bestämmelser om informationssäkerhet. Av intresse är också 33–35 §§ personuppgiftslagen, som reglerar överföringen av person- uppgifter till tredje land. Grundläggande bestämmelser om behandling av personuppgifter 1 § Bestämmelserna i detta kapitel tillämpas vid sådan behandling av per- sonuppgifter som avses i 1 kap. 4 §. Paragrafen har behandlats i avsnitt 7.3.2 och 8.1. Enligt paragrafen skall vissa grundläggande bestämmelser om personuppgiftsbehand- ling – nämligen bestämmelser om den enskildes inställning till per- sonuppgiftsbehandling, ändamål för personuppgiftsbehandlingen,