sou · GUB382 · 2007-01-01 00:00:00 — ter som behandlas för ändamål som rör vårddokumentation. Direkt- åtkomst innebär att uppgifter lämnas ut till en extern mottagare, i detta fall en annan vårdgivare, genom att behörig personal hos den senare vårdgivaren får en möjlighet att på eget initiativ elektroniskt bereda sig tillgång till och ta del av utlämnarens uppgifter. Denna reglering gör det möjligt för sjukvårdshuvudmännen och privata vårdgivare att på frivillig väg bygga upp olika slags system för sam- manhållen journalföring. Genom den sammanhållna journalföringen ges en tillgänglighet till patientuppgifter som i praktiken låter infor- mationen följa patienterna i olika vårdkedjor och vårdprocesser. Syftet med denna ordning är i första hand att genom utnyttjande av IT öka patientnyttan i form av ökad patientsäkerhet. Patientdata- lagen styr däremot inte över vilka slags tekniska lösningar eller vilken organisatorisk uppbyggnad som väljs för sammanhållen journalföring. Enligt vår bedömning hindrar inte tryckfrihetsförordningen att hälso- och sjukvårdens myndigheter deltar i sammanhållen journal- föring. Patientens inflytande vid sammanhållen journalföring Vi utgår från att patienten måste ges ett inflytande när det gäller andra vårdgivares möjlighet att få tillgång till uppgifter om patien- ten via sammanhållen journalföring. Två utgångspunkter har därvid gällt. Den ena är att inflytandet skall utformas med hänsyn till respek- ten för patientens självbestämmande och integritet och att vården och behandlingen så långt möjligt skall utformas och genomföras i samråd med patienten. Den andra utgångspunkten har varit att hitta lösningar som är praktiskt smidiga och enkla att tillämpa. De får inte föranleda en administrativ börda eller annat betydande merarbete i hälso- och sjukvårdspersonalens dagliga arbete. Med dessa utgångspunkter ges patienten redan vid det aktuella vårdtillfället som journalförs eller då uppgifter annars dokumenteras (skede 1) en rätt att – efter att ha blivit informerad om vad samman- hållen journalföring innebär – motsätta sig att vårddokumentation rörande honom eller henne görs tillgänglig för andra vårdgivare. Om patienten motsätter sig att uppgifterna görs tillgängliga via sam- manhållen journalföring, skall uppgifterna spärras för tillgänglighet för hälso- och sjukvårdspersonal m.fl. hos andra vårdgivare. Direkt- åtkomst får således inte förekomma till spärrade uppgifter. Det sagda utesluter emellertid inte att uppgifter som finns om en patient i undantagsfall kan lämnas till en annan vårdgivare. Då är det emeller- tid inte fråga om att uppgifter görs tillgängliga genom direktåtkomst i ett sammanhållet journalföringssytem utan att uppgifter lämnas ut på annat sätt, exempelvis muntligen, se förslaget till 7 kap. 1 d § andra stycket sekretesslagen (1980:100). Ett system för sammanhållen journalföring får däremot innehålla information om att det finns spärrade uppgifter. Sådan information kan i enskilda vårdsituationer initiera en önskvärd dialog mellan patienten och läkaren eller annan vårdpersonal. En spärr kan när som helst hävas på begäran av patien- ten. Patienten ges vidare en rätt att själv bestämma om en vårdgivares hälso- och sjukvårdspersonal skall få ta del av en annan vårdgivares vårddokumentation som finns tillgänglig i den sammanhållna jour- nalföringen (skede 2). Det handlar här om uppgifter som inte har spärrats av patienten. Normalt kommer patientens inställning i frågan att inhämtas i anslutning till att patienten har en inledande kontakt med en ny vårdgivare. För att en vårdgivare i skede 2 skall få bereda sig tillgång till ospär- rade uppgifter genom sammanhållen journalföring krävs att uppgifter- na kan antas ha betydelse för vården av patienten och att patienten samtycker till det. Om patientens samtycke inte kan inhämtas, får uppgifterna tas fram genom direktåtkomst om uppgifterna kan antas ha betydelse för den vård som patienten oundgängligen behöver. Att patientens samtycke inte kan inhämtas kan bero på att patien- ten är medvetslös eller alltför medtagen för att kunna ta ställning till frågan om vårdgivaren skall få bereda sig tillgång till uppgifterna. Vidare kan saken brådska så att det inte finns någon tid att inhämta samtycke. En patient som motsätter sig att vårdgivaren använder direktåtkomsten skall alltid respekteras. Den sammanhållna journalföringen får i princip inte användas för andra syften än den individinriktade patientvården. Det innebär att direktåtkomsten till andra vårdgivares uppgifter inte får användas för exempelvis kvalitetssäkring och annan medicinsk eller ekonomisk uppföljning av hälso- och sjukvården samt forskning. För allmän- hetens förtroende för den nya ordningen med sammanhållen jour- nalföring är det av vikt att den gränsöverskridande direktåtkomsten bara används för syften och i situationer som den enskilde kan förutse och ha kontroll över. Bestämmelserna om sammanhållen journalföring reglerar samman- fattningsvis bara ett visst sätt att göra patientjournaler elektroniskt tillgängliga över organisatoriska och formella gränser utan föregående sekretessprövning (se nedan) i varje enskilt fall då direktåtkomsten används. Uppgifterna kan alltid begäras ut på annat sätt, varvid en sedvanlig sekretessprövning måste göras. Personuppgiftsansvar vid sammanhållen journalföring Även vid sammanhållen journalföring skall patientdatalagens allmänna regel om personuppgiftsansvar gälla, dvs. att varje myndighet inom hälso- och sjukvården eller privat vårdgivare är personuppgiftsansva- rig för den behandling av personuppgifter som den utför. Regeringen får dock meddela föreskrifter om personuppgiftsansvar vid samman- hållen journalföring när det gäller övergripande frågor om tekniska och organisatoriska säkerhetsåtgärder. Hälso- och sjukvårdspersonalens rätt att ta del av uppgifter om patienter Den som arbetar hos en vårdgivare får enligt patientdatalagen ta del av dokumenterade uppgifter om en patient endast om han eller hon deltar i vården av patienten eller av annat skäl behöver uppgifterna för sitt arbete inom hälso- och sjukvården. Bestämmelsen omfattar både manuellt och elektroniskt förda patientjournaler och annan dokumentation om patienter. I lagen föreskrivs också att dokumen- terade personuppgifter skall hanteras och förvaras så att obehöriga – exempelvis befattningshavare inom hälso- och sjukvården som inte behöver uppgifterna för sitt arbete – inte får tillgång till dem. Med hantering och förvaring avses alla slags åtgärder som vidtas beträffan- de personuppgifterna. Krav vid elektronisk patientjournalföring och övrig elektronisk patientdokumentation När det gäller elektronisk patientjournalföring och övrig elektro- nisk patientdokumentation finns i patientdatalagen en bestämmelse om elektronisk åtkomst som delvis motsvarar nuvarande reglering i 8 § vårdregisterlagen men som ställer tydligare krav på vårdgivaren i fråga om behörighetssystem m.m. Vårdgivaren skall bestämma vill- koren för hur personalen skall tilldelas behörighet för elektronisk åtkomst till uppgifter om patienter i vårdgivarens verksamhet. Reg- lerna innebär att en vårdgivare skall göra aktiva och individuella behörighetstilldelningar utifrån analyser av vilken närmare informa- tion olika personalkategorier och olika slags verksamheter behöver. Särskild uppmärksamhet skall ägnas åt tillgängligheten till skyddade personuppgifter. Närmare bestämmelser får meddelas av regeringen eller den myndighet som regeringen bestämmer. Det är förutsatt att skall meddela dessa föreskrifter efter samråd med Datainspektionen. Skyldighet att dokumentera elektronisk åtkomst, m.m. En skyldighet införs också för vårdgivaren att dokumentera och kontrollera elektronisk åtkomst. Genom att vårdgivaren är skyldig att dokumentera all elektronisk åtkomst (den s.k. behandlings- historiken eller loggen) blir det möjligt att göra kontroller i efter- hand. Det räcker emellertid inte att göra uppföljningskontroller i särskilda fall då misstanke kan finnas om obehörigt intrång. Upp- följningskontroller skall göras systematiskt och fortlöpande. När- mare bestämmelser får meddelas av regeringen eller den myndighet som regeringen bestämmer. Det är förutsatt att skall meddela dessa föreskrifter efter samråd med Datainspektionen. En rätt för patienten att få information om åtkomst Den enskilde patienten ges rätt att på begäran få information om vilken direktåtkomst och elektroniska åtkomst som förekommit till elektroniskt behandlade uppgifter om honom eller henne. Närmare bestämmelser om den information som skall ges till patienten får med- delas av regeringen eller den myndighet som regeringen bestämmer. Det är förutsatt att skall meddela dessa föreskrifter efter samråd med Datainspektionen. En rätt för patienten att spärra tillgänglighet Den enskilde patienten ges i patientdatalagen en rätt att begära att vårddokumentation spärras för elektronisk åtkomst från andra vård- enheter alternativt vårdprocesser utanför den till vilken uppgifterna Patienten ges genom denna regel ett inflytande över tillgäng- ligheten till uppgifter om honom eller henne inom en vårdgivares gränser. Denna möjlighet skall ses som ett utflöde av principen om att hälso- och sjukvård skall bygga på respekt för patientens själv- bestämmande och integritet och så långt det är möjligt utföras och genomföras i samråd med patienten. Spärren skall med patientens samtycke kunna hävas helt eller delvis, t.ex. i en enstaka vårdsituation. Spärren skall också kunna forceras, om patientens samtycke inte kan inhämtas och om informationen kan antas ha betydelse för den vård som patienten oundgängligen behöver. Spärrade uppgifter kan i och för sig göras tillgängliga för annan vårdenhet eller vårdprocess på annat sätt än genom elektronisk åtkomst. Om en patient har klargjort att han eller hon inte vill att uppgifter om honom eller henne lämnas från en vårdenhet till en annan, torde dock något sådant uppgifts- lämnande inte kunna förekomma annat än i nödliknande situationer. Uppgift om att det finns spärrade uppgifter får dock vara tillgänglig för andra vårdenheter eller vårdprocesser liksom även uppgift om vilken vårdenhet eller vårdprocess som spärrat uppgifterna. Informa- tion om att det finns spärrade uppgifter om barn kan ge anledning till extra vaksamhet samt övervägande om en anmälan enligt 14 kap. 1 § socialtjänstlagen (2001:453) skall göras till barnet skall få erforderligt skydd. Genom patientdatalagen får en vårdgivare medge en enskild direkt- åtkomst till sådana uppgifter om den enskilde själv som får lämnas ut till honom eller henne och som behandlas för ändamålet vårddoku- mentation. Direktåtkomsten innebär att den enskilde själv elektro- niskt kan bereda sig tillgång till informationen. Regleringen innebär inget åliggande för en vårdgivare att tillhandahålla enskilda direkt- åtkomst utan endast en möjlighet till detta. Det är förutsatt att den som begär och medges åtkomst till sina uppgifter också informeras om vart han eller hon kan vända sig för att få hjälp med att tyda dessa. En direktåtkomst behöver inte innebära en tillgång till samtliga upp- gifter om den enskilde. Den enskilde får också medges direktåtkomst till dokumentation avseende elektronisk åtkomst till uppgifter om den enskilde (den s.k. behandlingshistoriken eller loggen). Regeringen, eller den myndighet som regeringen bestämmer, be- myndigas att meddela föreskrifter om de krav på säkerhetsåtgärder som skall gälla vid direktåtkomst. En direktåtkomst förutsätter att det finns tillräckligt säkra tekniska lösningar för att säkerställa identifieringen av den som efterfrågar uppgifter. Det är tänkt att efter samråd med Datainspektionen skall meddela sådana föreskrifter. Verksamhetsuppföljning är av central betydelse för hälso- och sjuk- vårdens utveckling. Med verksamhetsuppföljning åsyftar vi i princip samma sak som avses med uppföljning, utvärdering och kvalitets- säkring i 4 § 2 vårdregisterlagen. Verksamhetsuppföljning kan ta sikte på en mängd olika faktorer inom hälso- och sjukvården, t.ex. mätning av uppnådda behandlingsresultat och patienttillfredsställelse eller mätning av insatta resurser i form av kostnader för varje insats eller annan uppföljning av kostnadseffektivitet, produktivitet etc. Verksamhetsuppföljning kan vidare ske på olika nivåer i hälso- och sjukvården. Våra förslag innebär sammantaget ökade möjligheter när det gäller medicinsk, ekonomisk och annan verksamhetsuppföljning inom hälso- och sjukvården jämfört med . Verksamhetsuppföljning är enligt patientdatalagen ett primärt ändamål och olika uppgifter om patienter kan samköras så länge det sker inom de ramar som ges av patientdatalagen och sekretesslagstiftningen. Vidare innebär patient- datalagen att myndigheter som bedriver hälso- och sjukvård i samma landsting får ha direktåtkomst till varandras personuppgifter. Som framgår nedan föreslår vi också att hälso- och sjukvårdssekretessen inte skall hindra att uppgifter lämnas från en myndighet inom hälso- och sjukvården i en kommun eller ett landsting till en annan sådan myndighet i samma kommun eller landsting. Även uppföljning av hälso- och sjukvårdens samverkan med kommunernas omsorgs- verksamhet underlättas genom regleringen i patientdatalagen jämfört med den nuvarande regleringen i vårdregisterlagen. Vi föreslår också vissa bestämmelser om verksamhetsuppföljning genom nationella och regionala kvalitetsregister, se nedan. Nationella och regionala kvalitetsregister Ändamål för behandling av personuppgifter i ett kvalitetsregister Det är en central uppgift inom hälso- och sjukvården att systema- tiskt och fortlöpande utveckla och säkra verksamhetens kvalitet. Inom hälso- och sjukvården förekommer olika metoder att mäta och utveckla kvaliteten i verksamheten. En metod är att samla och analy- sera patientbundna data om diagnoser, åtgärder och behandlings- resultat m.m. i datoriserade kvalitetsregister. Vi har haft i uppdrag att föreslå en författningsreglering av personuppgiftsbehandlingen i inom hälso- och sjukvården. I patientdatalagen finns vissa särbestämmelser som gäller för kvali- tetsregister till vilka personuppgifter har samlats in från flera vårdgi- vare och som möjliggör jämförelser inom hälso- och sjukvården på nationell respektive regional nivå. I lagen regleras uttömmande för vilka ändamål som personuppgifter i sådana kvalitetsregister får behandlas. Personuppgifter får samlas in och behandlas för det över- gripande och primära syftet att systematiskt och fortlöpande utveckla och säkra vårdens kvalitet. Insamlade personuppgifter får därutöver även behandlas för vissa andra ändamål, nämligen bl.a. framställning av statistik eller forskning inom hälso- och sjukvårdsområdet. Personuppgifter som får behandlas I patientdatalagen förtydligas att det bara är sådana uppgifter som behövs för det primära ändamålet kvalitetssäkring av vård som får tas in i ett nationellt eller regionalt kvalitetsregister. Vidare anges i lagen att den registrerades personnummer eller namn får behandlas i ett nationellt eller regionalt kvalitetsregister endast om det för kvalitetssäkringsändamålet inte är tillräckligt att behandla kodade personuppgifter eller personuppgifter som endast indirekt utpekar den registrerade. Känsliga personuppgifter som avses i 13 § personuppgiftslagen och som inte rör hälsa samt personuppgifter om lagöverträdelser m.m. som avses i 21 § samma lag får behandlas endast om regeringen, eller den myndighet som regeringen bestämmer, i enskilda fall med- ger det. I patientdatalagen införs en bestämmelse som – till skillnad från vad som gäller enligt personuppgiftslagen – ger den enskilde en rätt att slippa bli registrerad i ett nationellt eller regionalt kvali- Denna rätt gäller även efter det att personuppgifts- behandlingen har påbörjats. Om den enskilde motsätter sig person- uppgiftsbehandlingen sedan den påbörjats, skall uppgifter om den enskilde som registrerats utplånas ur registret. Allmänna frågor och bestämmelser Allmänna bestämmelser om information Den som är personuppgiftsansvarig enligt patientdatalagen skall se till att den registrerade får information om personuppgiftsbehand- lingen. Personuppgiftslagens bestämmeler om information gäller även vid behandling av personuppgifter enligt patientdatalagen. I 25 § personuppgiftslagen anges vilken information som den personupp- giftsansvarige självmant skall lämna till den registrerade. Denna informationsskyldighet preciseras i patientdatalagen. Informationen skall innehålla upplysningar om vem som är per- sonuppgiftsansvarig, ändamålet med behandlingen och vilka kate- gorier av uppgifter som behandlas. Informationen skall även innehålla upplysningar om den uppgiftsskyldighet som kan följa av lag eller förordning, de sekretess- och säkerhetsbestämmelser som gäller för uppgifterna och behandlingen, rätten att i vissa fall begära att upp- gifter spärras, rätten att få information om den direktåtkomst och elektroniska åtkomst som förekommit till uppgifter, rätten att ta del av uppgifter enligt 26 § personuppgiftslagen, rätten enligt 28 § samma lag till rättelse av oriktiga eller missvisande uppgifter och rätten enligt 48 § samma lag till skadestånd. Vidare skall informationen innehålla upplysningar om vad som gäller i fråga om sökbegrepp, direktåtkomst och utlämnande av uppgifter på medium för automa- tiserad behandling samt vad som gäller i fråga om bevarande och gallring. Slutligen skall informationen innehålla upplysningar om huruvida behandlingen är frivillig eller inte. Information vid sammanhållen journalföring I det fall en vårdgivare deltar i ett sammanhållet journalförings- system skall den registrerade även informeras om vad den samman- hållna journalföringen innebär och om att han eller hon kan motsätta sig att hans eller hennes patientuppgifter görs tillgängliga för andra vårdgivare genom sammanhållen journalföring. Information om personuppgiftsbehandling i nationella och regionala kvalitetsregister Den enskilde skall informeras om personuppgiftsbehandlingen i ett nationellt eller regionalt kvalitetsregister. Denna informationsskyl- dighet följer av patientdatalagens allmänna bestämmelse om infor- mation som skall lämnas den enskilde och av personuppgiftslagen. Därutöver föreslås att den registrerade särskilt skall upplysas om sin rätt att när som helst få uppgifter om sig själv utplånade från registret. Vidare skall den enskilde informeras om i vilken utsträckning per- sonuppgiftsbehandlingen avser uppgifter inhämtade från annan källa än patientjournalen eller patienten själv, t.ex. om uppgifter inhämtas genom samkörning med andra register. Dessutom föreslås att den registrerade särskilt skall informeras om till vilka kategorier av mot- tagare personuppgifter kan komma att lämnas ut, t.ex. att det kan bli aktuellt att uppgifterna lämnas ut för forskningsändamål. Infor- mationen skall lämnas innan personuppgiftsbehandlingen påbörjas eller, om det inte är möjligt, så snart det kan ske. Personuppgiftslagens bestämmelser om rättelse gäller vid sådan be- handling av personuppgifter som är helt eller delvis automatiserad eller där uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier och som sker enligt patient- datalagen. I sistnämnda lag görs en hänvisning till personuppgifts- lagens regler om rättelse. När det gäller rättelse av uppgifter i journalhandlingar har patient- datalagens bestämmelser om rättelse av journaluppgifter företräde. Personuppgiftslagens bestämmelser om skadestånd gäller vid sådan behandling av personuppgifter som är helt eller delvis automatiserad eller där uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sam- manställning enligt särskilda kriterier och som utförts i strid mot patientdatalagens bestämmelser om personuppgiftsbehandling. nämnda lag görs en hänvisning till personuppgiftslagens regler om skadestånd. Personuppgiftslagens bestämmelser om säkerheten vid behandling och tillsynsmyndighetens befogenheter gäller också när personupp- gifter behandlas enligt patientdatalagen. Därutöver anges i patient- datalagen vilka säkerhetsåtgärder som i vissa fall skall vidtas. Bestäm- melser av sistnämnt slag rör bl.a. tilldelningen av behörighet för elektronisk åtkomst och kontrollen av denna. Datainspektionen är tillsynsmyndighet även då personuppgifter be- handlas enligt patientdatalagen. Tillsynen över att journalföring sker på föreskrivet sätt skall dock alltjämt utövas av . Patientdatalagen och de ändringar i andra författningar som före- slås skall träda i kraft . När patientdatalagen träder i kraft skall patientjournallagen och vårdregisterlagen upphöra att gälla. Patientdatalagens bestämmelser om nationella och regionala kvali- tetsregister skall inte börja tillämpas förrän i fråga om sådana kvalitetsregister som börjat föras före patientdatalagens ikraftträdande. Vidare skall bestämmelserna om den enskildes rätt att motsätta sig personuppgiftsbehandling i sådana kvalitetsregister och om information om sådan personuppgiftsbehandling inte gälla be- träffande sådana personuppgifter som behandlats före . Förslaget till lag om ändring av sekretesslagen Vi föreslår, som sagts ovan, att det införs en sekretessbrytande be- stämmelse som i praktiken undanröjer hälso- och sjukvårdssek- retessen mellan olika myndigheter inom hälso- och sjukvården i samma landsting eller kommun. Syftet med undantaget är att sekre- tesslagstiftningen inte skall hindra organisationsförändringar inom hälso- och sjukvården. Undantaget gör det möjligt för exempelvis ett landsting att fritt välja sin organisation utan hänsyn till att sek- retess i princip råder mellan myndigheter och kommer också att öka möjligheterna till verksamhetsuppföljning baserad på patientdata. Undantaget har tagits in i en ny paragraf, 7 kap. 1 d §, i sekretess- lagen (1980:100). Sammanhållen journalföring innebär, som sagts ovan, att myndig- heter inom hälso- och sjukvården och privata vårdgivare under vissa förutsättningar kan få direktåtkomst till varandras elektroniska jour- nalhandlingar och andra personuppgifter som behandlas för ändamål som rör vårddokumentation. För att den vårdgivare som gör uppgif- ter tillgängliga för andra vårdgivare vid sammanhållen journalföring inte skall behöva göra någon sekretessprövning i varje enskilt fall, föreslås ett undantag i den nya paragrafen 7 kap. 1 d § sekretess- lagen från hälso- och sjukvårdssekretessen. Undantaget innebär att sekretessen inte hindrar att en uppgift lämnas till en myndighet inom hälso- och sjukvården eller till en enskild vårdgivare enligt vad som föreskrivs om sammanhållen journalföring i patientdatalagen. Skyd- det för den enskildes personliga integritet vid sammanhållen jour- nalföring är tillgodosett genom patientdatalagens regler om bl.a. patientens inflytande vid sådan journalföring. Något motsvarande undantag som det i sekretesslagen behövs inte för den enskilda hälso- och sjukvården. Ett undantag från hälso- och sjukvårdssekretessen föreslås också i 7 kap. 1 d § sekretesslagen som gör det möjligt att lämna uppgifter till ett nationellt eller regionalt kvalitetsregister enligt patientdata- lagen Vi har gjort den bedömningen att det av patientsäkerhetsskäl be- hövs en bestämmelse om sekretessgenombrott inom vård- och om- sorgsområdet för att en enskild skall kunna få nödvändig vård, omsorg etc. Vi föreslår därför att det införs ett undantag från hälso- och sjukvårdssekretessen som innebär att sekretess inte hindrar att en uppgift om en enskild som behövs för att han eller hon skall få nödvändig vård, omsorg, behandling eller annat stöd lämnas från en myndighet inom hälso- och sjukvården till en annan myndighet inom hälso- och sjukvården eller eller till en enskild vård- givare eller en enskild verksamhet på område.