sou · GUB382 · 2007-01-01 00:00:00 — Samma ståndpunkt har Datainspektionen framfört i ett informations- blad om personuppgiftsansvar (Datainspektionen, , se även och ; Personuppgiftslagen – En kommentar, Närmare om sammanhållen journalföring 2001, andra upplagan, s. 56 f.). Direktåtkomst till en upp- giftssamling genererar alltså inte med automatik något personupp- giftsansvar för sådan personuppgiftsbehandling som man faktiskt utför då man använder direktåtkomsten. I sammanhanget kan nämnas att Datainspektionen i ett samråds- yttrande på hälso- och sjukvårdens område gjort ett uttalande i fråga om eget eller gemensamt personuppgiftsansvar. Sam- rådet gällde en förfrågan från angående den för och kommunerna i landstingsområdet gemensamma Vårdkatalogen; ett IT-system som innehåller uppgifter om lands- tingets och kommunernas personal. Till saken hör att Vårdkatalogen administreras av . Enligt Datainspektionen talar mycket för att varje arbetsgivare är personuppgiftsansvarig för sin del, dvs. för behandlingen av personuppgifter om den egna personalen, i vart fall om det varit upp till arbetsgivaren att bestämma att personalen skall ingå i katalogen och om det enbart är arbetsgivaren som har rätt att självständigt ändra, komplettera eller radera personuppgifter om den egna personalen. Enligt Datainspektionen är per- sonuppgiftsbiträde åt kommunerna, om Vårdkatalogen finns i lands- tingets databas. För det fall alla kan påverka informationsinnehållet, skulle det dock kunna vara fråga om ett gemensamt personuppgifts- ansvar för och kommunerna. Frågan om personuppgiftsansvar vid myndighetsgemensam person- uppgiftsbehandling har tagits upp i flera förarbeten till registerlag- stiftning. Frågan har inte alltid lösts på samma sätt. Av uttalanden i nyare förarbeten kan de redovisas som gäller personuppgiftsbehand- lingen inom socialförsäkringens administration (prop. 2002/03:135 s. 52 f.). Regeringen anförde här att det inte är ändamålsenligt att i lag i detalj specificera vem som skall vara personuppgiftsansvarig för alla de olika typer av behandlingar som kan tänkas förekomma inom socialförsäkringens administration. Särskilt gäller detta de mer kom- plexa förhållanden som råder vid myndighetsgemensam användning av de stora register som ingår i socialförsäkringsdatabasen. I stället bör personuppgiftsansvaret fördelas genom en regel av mer över- gripande karaktär som tar sikte på den myndighet som utför en viss behandling. Enligt regeringen är det den enskilda behandlingen som skall utgöra grunden för fördelningen av personuppgiftsansvaret. Regeringen fortsatte enligt det följande. Närmare om sammanhållen journalföring Har en uppgift lagrats i databasen är det den myndighet som i och för sin verksamhet utför lagringsåtgärden som är ansvarig för att den lagrade uppgiften är korrekt. Ansvaret för uppgiften bör rimligtvis sedan sträcka sig så långt som fram till den tidpunkt då gallring aktualiseras, dock inte längre än fram till den tidpunkt då den myndigheten av olika skäl inte längre besitter möjligheter att förfoga över uppgiften genom rätt- ning, blockering, borttagning etc. Om en personuppgift lämnas ut av en annan myndighet än den som registrerade uppgiften svarar naturligt- vis den utlämnande myndigheten för den behandling som utgörs av själva utlämnandet. För den fortsatta behandlingen av uppgiften efter en registrering kan även andra myndigheter vara ansvariga, allt efter vilka faktiska behand- lingar som utförs. Förslaget om fördelning av personuppgiftsansvar för- utsätter naturligtvis att det går att genom loggning spåra vilken myn- dighet som företagit en viss behandling. I övergripande frågor, såsom ansvar för att tekniska eller organisa- toriska säkerhetsåtgärder vidtas, måste personuppgiftsansvaret fördelas efter vilka myndigheter som har befogenhet och skyldighet att utföra dessa åtgärder. I regel torde det följa av åläggandet för Riksförsäkrings- verket i verksinstruktionen att vara ansvarig systemägare för Riksför- säkringsverkets och försäkringskassornas gemensamma IT-system att det är verket som har personuppgiftsansvaret vad avser sådana frågor. Enligt regeringens uppfattning innebär det lämnade förslaget i princip ett sådant gemensamt personuppgiftsansvar som ett flertal försäkrings- kassor efterlyst. Att införa en bestämmelse som innefattar begreppet gemensamt personuppgiftsansvar är dock inte i sig ägnat att bringa större klarhet rörande fördelningen av personuppgiftsansvaret eftersom det i enlighet med vad som anförts ovan i själva verket är så att person- uppgiftsansvaret splittras upp på de olika myndigheterna. Enligt rege- ringens uppfattning bör personuppgiftsansvaret i stället fördelas utifrån en bestämmelse som tar sikte på vilken myndighet som utför en be- handling av personuppgifter. I 6 § lagen (2003:763) om behandling av personuppgifter inom social- försäkringens administration föreskrivs följaktligen att en myndighet inom socialförsäkringens administration är personuppgiftsansvarig för den behandling av personuppgifter som den utför. Likartade reg- leringar och förarbetsuttalanden finns på andra områden, exempel- vis inom kronofogdemyndigheternas verksamhet och i den arbets- marknadspolitiska verksamheten (prop. 2000/01:33 s. 97 f. och prop. 2001/02:144 s. 21 f.). Inom har i stället den modellen valts att inget sägs om personuppgiftsansvaret i den särskilda registerlagen – lagen (2001:454) om behandling av personuppgifter inom – utan att saken i stället regleras i den förordning (2001:637) om behandling av personuppgifter inom som utfärdats i anslutning till Närmare om sammanhållen journalföring I förordningen föreskrivs bl.a. att, om behandling görs gemen- samt för flera myndigheter inom en kommun, varje myndighet är personuppgiftsansvarig för den behandling som utförs hos den myn- digheten (11 § andra stycket). I registerlagstiftning förekommer vidare att en central myndighet fått ett övergripande personuppgiftsansvar även för sådan person- uppgiftsbehandling som faktiskt utförs av en annan myndighet. I t.ex. lagen (1998:621) om misstankeregister har ålagts ensamt personuppgiftsansvar för personuppgiftsbehandlingen alldeles oberoende av vilken myndighet som faktiskt behandlar upp- giften genom att t.ex. själv registrera den i registret eller göra en slagning i registret. Skälet till det är, enligt den lagens förarbeten, att det är en klar fördel för den enskilde att ha en enda myndighet att vända sig till i händelse av att det blir aktuellt att rätta en fel- aktighet (prop. 1997/98:97 s. 108 f.). Vid sammanhållen journalföring uppkommer, som framgått av det föregående, frågan om hur personuppgiftsansvaret bör fördelas mellan de ingående myndigheterna eller privata vårdgivarna. Vår utgångspunkt i denna fråga är att en detaljreglering med ut- pekande av en personuppgiftsansvarig i och för sig skulle vara önsk- värd från integritetssynpunkt. En enskilds möjligheter att ta till vara sina rättigheter underlättas givetvis, om det direkt i en författning klart framgår vem han eller hon skall vända sig till med krav eller klagomål, t.ex. för det fall bristfällig information lämnats om vem som är personuppgiftsansvarig för behandling av personuppgifter som avser honom eller henne. En ordning som t.ex. innebär att varje myn- dighet eller privat vårdgivare som samverkar i sammanhållen journal- föring har ett solidariskt ansvar för all personuppgiftsbehandling som förekommer eller en ordning som innebär att en viss på förhand ut- sedd vårdgivare ges ett ensamt ansvar skulle ju undanröja risken för att en enskild behöver vända sig till mer än en vårdgivare med klagomål. Våra förslag innebär emellertid att det överlämnats åt de privata vårdgivarna, landstingen och kommunerna att inom lagens ramar närmare bestämma samarbetsformer, teknisk organisering, omfatt- ning och andra parametrar vid sammanhållen journalföring. Redan mot den bakgrunden ter det sig på nuvarande stadium både omöjligt Närmare om sammanhållen journalföring och olämpligt att peka ut vem som bör vara personuppgiftsansvarig för behandlingar som kan komma att förekomma i de olika slags system för sammanhållen journalföring som kommer att byggas upp. Övervägande skäl talar enligt vår mening för att regleringen i stället bör ta sin utgångspunkt i att det vid sammanhållen journalföring är den som har faktisk möjlighet att påverka om och hur en enskild personuppgiftsbehandling skall företas, som bör vara personuppgifts- ansvarig för den behandlingen. En reglering av detta innehåll har redan föreslagits som en grund- läggande bestämmelse om personuppgiftsansvar i patientdatalagen, se avsnitt 8.3. Vid sammanhållen journalföring skall således varje vårdgivare (eller i förekommande fall myndighet inom hälso- och sjukvården) vara personuppgiftsansvarig för den enskilda person- uppgiftsbehandling som vårdgivaren utför. Det bör här påpekas att förslagen om sammanhållen journalföring i allt väsentligt utgör en reglering av direktåtkomst till journal- uppgifter och annan vårddokumentation. Någon rätt att korrigera, komplettera, gallra eller liknande i andras vårddokumentation över vårdgivargränser finns alltså inte. I praktiken innebär patientdatalagens allmänna bestämmelse om personuppgiftsansvar bl.a. att den vårdgivare som gör en personupp- gift tillgänglig för andra genom att uppgiften dokumenteras utan att spärras, har personuppgiftsansvaret för att det sker på ett lagligt sätt. I ansvaret ingår således att se till att patienten i skede 1 ges sådan information om den sammanhållna journalföringen så att han eller hon kan ta ställning till en eventuell spärrning. Personuppgiftsansvaret omfattar även den fortsatta lagringen och det tillgängliggörande som sker därefter. Bestämmelsen innebär vidare – till skillnad från vad som torde följa vid enbart en tillämpning av personuppgiftslagen – att den vårdgivare som använder sin direktåtkomst och bereder sig tillgång till andra vårdgivares uppgifter för att söka efter och läsa vårddokumentation, blir personuppgiftsansvarig för den personupp- giftsbehandling som detta innebär. Några problem med att i ett enskilt fall avgöra vilken vårdgivare eller myndighet som faktiskt utfört en behandling bör inte kunna uppstå. Av de grundläggande kraven på all patientjournalföring följer att det skall framgå inte bara vilken befattningshavare som har jour- nalfört en viss uppgift, utan även att det av journalen framgår i vilken verksamhet detta skett. Det får också betraktas som en basal säker- hetsåtgärd att de tekniska systemen fungerar så att det går att fast- Närmare om sammanhållen journalföring ställa när en journaluppgift eller annan vårddokumentation görs tillgänglig för andra vårdgivare och myndigheter i den sammanhållna journalföringen. Genom loggning kommer vidare att kunna spåras vem inom eller utom en vårdgivares eller myndighets verksamhet som berett sig tillgång till en journaluppgift m.m. och när detta skett, se avsnitt 12. Sammanhållen journalföring ställer med andra ord krav på informationssystem som möjliggör att en enskild personuppgifts- behandling kan rekonstrueras i efterhand. Det personuppgiftsansvar som härutöver bör diskuteras omfat- tar bara mer övergripande frågor och förhållanden som är relatera- de till det gemensamma tillgängliggörandet och den gemensamma åtkomsten till varandras vårddokumentation. Inte minst central är frågan om vem eller vilka som ansvarar för att personuppgifterna skyddas genom tekniska eller organisatoriska säkerhetsåtgärder när de görs tillgängliga i den sammanhållna journalföringen. Givetvis ingår det i varje vårdgivares ordinära personuppgiftsansvar för sin elektroniska vårddokumentation att skydda den mot olaglig använd- ning, förstöring, obehörig åtkomst m.m. Det kan här nämnas att ett motsvarande ansvar finns även enligt annan lagstiftning, såsom sek- retesslagen och arkivlagstiftningen. I och med tillgängliggörandet vid sammanhållen journalföring uppkommer emellertid ytterligare dimensioner av ansvaret. Något generellt och heltäckande svar på frågan om det över- gripande ansvaret kan dock inte ges. Svaret beror i hög grad på hur man i rättstillämpningen bedömer de faktiska förhållandena i det enskilda fallet utifrån bestämmelsen om att varje vårdgivare eller myn- dighet ansvarar för den behandling som den utför. Som huvudregel bör därvid gälla att ansvaret för sådana övergripande frågor bör delas solidariskt mellan de samarbetande vårdgivarna eller myndigheterna, dvs. vara gemensamt för dem som tillgängliggör journaluppgifter i ett system för sammanhållen journalföring. Man kan dock inte ute- sluta att organisationen eller samarbetsformerna kan komma att gestalta sig på väldigt skilda sätt, vilket kan få betydelse vid en bedömning av ansvaret för övergripande frågor. Den sammanhållna journalföringen kan exempelvis omfatta enbart ett urval basuppgifter från varje vårdgivares totala vårddokumenta- tion som sammanställs i elektroniska och gemensamt tillgängliga översikter. Det är tänkbart att sådana översikter lagras och behandlas i en gemensam databas som administreras av endast en av vård- givarna, t.ex. ett landsting. Om det i praktiken dikterar villkoren för de andra vårdgivarnas deltagande i systemet, kan det Närmare om sammanhållen journalföring tala för att den aktuella myndigheten inom bör kunna anses ha ett personuppgiftsansvar för övergripande frågor. I detta sammanhang bör understrykas att det är av stor vikt att parterna i ett samarbete med sammanhållen journalföring träffar avtal vari de närmare formerna för samarbetet preciseras. Vi har inget att invända mot att avtal träffas om den inbördes fördelningen av ansvar för olika moment. Så kan tvärtom sägas vara rekommendabelt. Det bör dock påpekas att utåt, i förhållande till allmänheten och en- skilda registrerade, kan personuppgiftsansvar aldrig avtalas bort. Som framgått av bl.a. uttalande från Datainspektionen kan det ibland vara en lämplig ordning att vid gränsöverskridande person- uppgiftsbehandlingar använda sig av modellen med personuppgifts- biträdesavtal; inte minst då någon utomstående, dvs. annan än en journalförande vårdgivare involveras i någon central funktion som administratör eller liknande. I några av de system för sammanhållen journalföring som utvecklas finns sådana aktörer med vilka de journalförande vårdgivarna och myndigheterna skulle kunna teckna biträdesavtal. Det sagda syftar dels på journalsystemet för vacci- nationer SVEVAC som administreras av , dels på projektet för den Nationella patientöversikten som administreras av . Det kan diskuteras om det alltid är lämpligt att en av vårdgivarna agerar som personuppgiftsbiträde åt de övriga vårdgivarna. Exempel- vis har vid landstings presentation för utredningen av planerna på en för alla vårdgivare gemensam vård- dokumentation, GVD, nämnts att det kan komma att från lands- tingets sida ställas som villkor vid ingående eller förlängning av entreprenadavtal med privata vårdgivare att de deltar i GVD. Vid sådana förhållanden är det enligt vår mening tveksamt om de privata vårdgivarna intar en sådan överordnad position i förhållande till lands- tinget som gör att kan anses behandla personuppgifter i enlighet med varje privat vårdgivares instruktioner (jämför 30 § per- sonuppgiftslagen). kan det finnas behov både av organisatoriska skäl och av integritetshänsyn med en tydlig reglering av personuppgiftsansvaret för övergripande frågor. Att nu ange i vilka sådana fall en särreglering behövs är inte möjligt, eftersom vi inte kan förutse i vilken omfatt- ning och i vilka former sammanhållen journalföring utvecklas. Rimli- gen kan behov av en tydligare reglering uppkomma vid t.ex. etable- randet av en heltäckande nationell läkemedelsjournal eller om den nationella patientöversikten utvecklas och förverkligas på bred front Närmare om sammanhållen journalföring i enlighet med de planer som finns. Även andra specifika sam- arbeten i form av sammanhållen journalföring kan visa sig vinna på en författningsreglering av personuppgiftsansvaret som, utöver inte- gritetsvinsterna för enskilda, ger en central aktör vissa möjligheter att samlat styra över och administrera verksamheten. Vi föreslår därför en bestämmelse som ger regeringen möjlig- heter att vid behov närmare reglera personuppgiftsansvaret i sådana övergripande frågor om säkerhetsåtgärder. En sådan reglering kan ta sikte på såväl generella förhållanden som förhållanden vid en viss sammanhållen journalföring, exempelvis personuppgiftsansvaret för övergripande frågor avseende en läkemedelsjournal som etableras i en nationell databas. Avslutningsvis skall beröras vad som sker med personuppgifts- ansvaret vid sammanhållen journalföring då en vårdgivare, som deltar i samarbetet, upphör med sin verksamhet. Så kan ske av olika anled- ningar. En privat vårdgivare som bedriver sin verksamhet i enskild firma kan exempelvis gå i konkurs eller helt frivilligt sälja eller annars avveckla sin verksamhet. Likaså kan ett privat vårdbolag upplösas eller upphöra på många olika sätt. En privat vårdgivare som bedriver verksamhet på basis av entreprenadavtal med ett landsting kan för- lora sitt kontrakt. I många av dessa och likartade fall övergår en verksamhet till en ny vårdgivare som övertar journaluppgifterna i fråga, om patienter- na går med på det. Likaså kan en myndighets hälso- och sjukvårds- verksamhet upphöra och övertas av en privat vårdgivare, ett enskilt organ, exempelvis på grund av bolagisering. Myndighetens journaler får då överlämnas till den privata vårdgivaren, om journalerna behövs i dennes verksamhet, se 2 kap. 17 § tryckfrihetsförordningen och lagen (1994:1383) om överlämnande av allmänna handlingar till andra organ än myndigheter för förvaring. Även det omvända kan före- komma; att en privat verksamhet, inklusive patienter och journaler, återgår till ett landsting eller en kommun vid upphörd entreprenad. För den fortsatta behandlingen och tillgängliggörandet i den sam- manhållna journalen av övertagna journaluppgifter i fall som de nu berörda, kommer den nye (eller nygamla) vårdgivaren (eller myndig- heten) att ha motsvarande personuppgiftsansvar som den förre vård- givaren i den mån den nye vårdgivaren också deltar i den samman- hållna journalföringen. När det däremot gäller verksamhet som inte överförs utan helt enkelt upphör, anser vi att journaluppgifter från sådan verksamhet efter avvecklingen inte längre bör ingå i den sammanhållna journal- Närmare om sammanhållen journalföring föringen, dvs. vara elektroniskt tillgängliga för övriga vårdgivare. Någon särbestämmelse om detta behövs dock inte enligt vår upp- fattning. Det finns helt enkelt inte längre någon vårdgivare som kan göra de ifrågavarande journaluppgifterna tillgängliga för de andra. Det är dock bra om det framgår genom en uppgift i ett system för sammanhållen journalföring att det finns arkiverade journaler. I sammanhanget kan nämnas att då allmän verksamhet inte övertas, gäller som huvudregel enligt 14 § arkivlagen att journalerna skall överlämnas till en arkivmyndighet. har i sina före- skrifter och allmänna råd (SOSFS 1993:20) om patientjournallagen föreskrivit – när det gäller motsvarande situation i enskild verksam- het – att vårdgivaren skall göra anmälan till för beslut enligt 11 § patientjournallagen om omhändertagande av patientjour- naler. Omhändertagna patientjournaler skall förvaras avskilda hos en arkivmyndighet, se om omhändertagande i avsnitt 10.4.9. 11.7Arkivlagstiftning och andra bevarandefrågor vid sammanhållen journalföring Vårt förslag: En journalhandling eller annan handling behöver bara bevaras hos den myndighet eller privata vårdgivare som an- svarar för handlingen. Övriga myndigheter får gallra handlingen. För patientjournalhandlingar gäller att de skall bevaras en viss minsta tid även om den vård som föranlett journalföringen avslutats. Såsom framgått i avsnitt 10.4.7 föreslår vi ingen saklig ändring av denna bestämmelse. För journalhandlingar och annan vårddokumentation som är allmänna handlingar gäller därutöver att de skall bevaras, dvs. bilda arkiv, och vårdas enligt bestämmelser i arkivlagstiftningen. I vårt uppdrag ingår inte att göra några närmare överväganden om bevarande av journaler, arkivvård och liknande frågeställningar. Vid sammanhållen journalföring uppkommer dock frågor om vilka konsekvenserna blir från bevarande- och arkivsynpunkt då en jour- nalhandling eller annan handling, dvs. upptagning, inte spärras utan görs tillgänglig över vårdgivargränser. Det finns därför anledning att kort beröra dessa frågeställningar här. Med skyldigheten att bevara journalhandlingar sammanhänger frågor om rätten att gallra Närmare om sammanhållen journalföring Efter en beskrivning av centrala bestämmelser i sammanhanget, redogör vi för vår bedömning av vad som bör gälla vid för flera vårdgivare sammanhållen journalföring. Grundregeln om bevarande av patientjournaler finns i 8 § patient- journallagen. Där föreskrivs att en journalhandling skall bevaras efter det den sista uppgiften fördes in i handlingen. Bestämmelsen gäller journalhandlingar i såväl allmän som enskild hälso- och sjukvård och alldeles oavsett om journaler förs på papper eller elektroniskt. I vissa fall kan föreskrivas om längre bevarande- tid. Några sådana bestämmelser behandlas i avsnitt 10.4.7. För journalhandlingar som utgör allmänna handlingar gäller där- utöver arkivlagen samt de bestämmelser som meddelas med stöd av arkivlagen, bl.a. i arkivförordningen (1991:446) och i respektive landstings eller kommuns arkivföreskrifter. Huvudregeln enligt arkivlagen är att allmänna handlingar skall bevaras. I lagen slås fast att myndigheternas arkiv är en del av det nationella kulturarvet. Syftet med arkivbildningen är att arkiven skall bevaras, hållas ordnade och vårdas så att de tillgodoser rätten att ta del av allmänna handlingar, behovet av information för rättskipningen och förvaltningen samt forskningens behov. En myndighets arkiv bildas i huvudsak av de allmänna handlingar- na från myndighetens verksamhet. För handlingar som omfattas av den s.k. journalregeln i 2 kap. 7 § andra stycket 1 tryckfrihetsför- ordningen, blir varje anteckning arkiverad i och med att den har gjorts (3 § arkivförordningen). För tillsyn över att myndigheterna sköter sina åligganden enligt arkivlagen finns det arkivmyndigheter. Kommunstyrelsen är arkiv- myndighet i kommunen och i , om inte kommunfullmäktige eller har utsett någon annan nämnd eller styrelse till arkivmyndighet. Inget hindrar att en för flera landsting eller kommuner gemensam nämnd utses till arkiv- myndighet. För sådana kommunala företag som avses i 1 kap. 9 § sekretesslagen i vilka flera kommuner eller landsting bestämmer, full- görs uppgiften av arkivmyndigheten i den kommun eller det landsting som kommunerna eller landstingen gemensamt kommer överens om. Det kan tilläggas att det åligger att följa utvecklingen i kommunerna samt att ge kommunerna allmänna råd i arkivfrågor. Närmare om sammanhållen journalföring Ett stort antal allmänna råd har meddelats i författnings- serie RA-FS. Mellan samt Kommuner och Lands- ting sker samverkan i Samrådsgruppen för kommunala arkivfrågor. Arkivlagens huvudregel om att allmänna handlingar skall bevaras gäller inte utan undantag. För elektronisk information gäller till en början en undantags- regel som är av särskilt intresse när det gäller för flera vårdgivare sammanhållen journalföring. Upptagningar för automatisk behand- ling som är tillgängliga för flera myndigheter så att de utgör allmänna handlingar hos alla dessa myndigheter, skall bilda arkiv endast hos en av myndigheterna (3 § arkivlagen). Samma upptagning skall alltså inte bevaras och bilda arkiv hos alla myndigheterna. I första hand skall arkivbildning ske hos den myndighet som svarar för huvud- delen av upptagningen. Av förarbetena framgår att andra lösningar är tillåtna och att beslut om var arkivering skall ske får fattas av vederbörande arkivmyndighet (prop. 1989/90:72 s. 70).