sou · GUB382 · 2007-01-01 00:00:00 — Utvecklingen går mot att vårdgivarna introducerar allt bredare elektroniska informationssystem som integrerar patientjournalföring med annan dokumentation och med uppgifter som behövs i admini- strationen av patientvården m.m. I sådana system finns ibland behov av att sammanställa s.k. patientöversikter vari viss medicinsk bas- information och kontaktuppgifter kan finnas noterad tillsammans med sammanfattande uppgifter om tidigare vårdtillfällen, köplace- ringar m.m. Sådana översikter, portaler och liknande är knappast något som omfattas av förpliktelsen att föra patientjournal. Person- uppgiftsbehandling av denna typ bör emellertid omfattas av patient- datalagens reglering och det ändamål som avser den individinriktade patientverksamheten. Såsom framförts redan i vårdregisterlagens förarbeten, är det ofta svårt att i praktiken göra en åtskillnad mellan dokumentation för ändamålet patientadministration och dokumentation för ändamålet patientjournalföring (prop. 1997/98:108 s. 64 f.). Inte heller går det, som sagts, att dra en knivskarp gräns mellan journalföring på grund av en författningsenlig skyldighet och andra anteckningar om hälsotillstånd och vårdåtgärder m.m. Vi menar att detta inte heller är nödvändigt vid ändamålsbestämningen utan att det är mera lämp- ligt med en formulering för det individinriktade arbetet som kan täcka in samtliga de primära ändamål som finns angivna i 3 § vårdregisterlagen. För enkelhetens skull kallar vi personuppgifts- behandling för detta ändamål för vårddokumentation. Tanken är således att ändamålet vårddokumentation i patientdata- lagen inte skall innebära någon avvikelse från vad 3 § vårdregister- lagen omfattar när det gäller syftet med personuppgiftsbehandlingen. Det sagda gäller t.ex. innebörden av patientbegreppet samt vårdbe- greppet. I förarbetena till vårdregisterlagen anges att med patient avses den enskilde i hans kontakt med hälso- och sjukvården. Denna innebörd är hämtad från patientjournallagens (1985:562) för- arbeten (se prop. 1997/98:108 s. 95 och prop. 1984/85:189 s. 37). Det innebär t.ex. att en blodgivare är patient. Den individinriktade verksamheten kan avse såväl sjukdomsförbyggande åtgärder, t.ex. allmänna och riktade hälsokontroller, som egentlig sjukvård, t.ex. undersökning och behandling vid ohälsa samt omvårdnad. Det saknar betydelse vem som tagit initiativ till vården. Eftersom även undersökning utan egentligt vård- eller behandlingssyfte ingår i vårdbegreppet, omfattas även personuppgiftsbehandling t.ex. i sam- band med hälsoundersökning av personer som söker körkortstill- Grundläggande bestämmelser om personuppgiftsbehandling stånd eller vid blodprovstagning på polisens begäran vid misstänkt rattonykterhet av patientdatalagens tillämpningsområde. En skillnad gentemot vårdregisterlagen är dock att med admini- stration i den för patientdatalagen föreslagna ändamålsbestämmel- sen avses såväl patientrelaterad ekonomiadministration som annan administration som behövs för eller föranleds av vård i enskilda fall. En av anledningarna till vårdregisterlagens åtskillnad mellan de båda slagen av administration är den lagens användning av begreppet per- sonregister. I hälso- och sjukvården förekommer eller förekom i vart fall vid tiden för vårdregisterlagens införande särskilda personregister avsedda för patientrelaterad ekonomiadministration. Även sistnämnda register ansågs böra regleras av vårdregisterlagen. Den åsyftade eko- nomiadministrationen kan avse dels ekonomiska regleringar mellan vårdgivare och patienter, dels olika slags interndebiteringar eller regleringar mellan sjukvårdshuvudmän och privata vårdgivare, faktu- reringar av externa myndigheter m.fl. (t.ex. för vård av enskilda asylsökande m.fl.) och liknande ekonomiska mellan- havanden i anledning av utförd vård. Vi menar att en motsvarande åtskillnad mellan ekonomiadministration och patientadministration inte behövs i patientdatalagen och att all patientrelaterad admini- stration, oavsett om den avser ekonomiska förhållanden eller andra förhållanden, bör omfattas av samma ändamål. Med ändamålet vårddokumentation avses inte bara själva insam- lingen och registreringen av personuppgifterna utan även senare an- vändning av de registrerade uppgifterna i den omfattning som be- hövs i patientvården eller patientadministrationen (se definitionen av personuppgiftsbehandling i 3 § personuppgiftslagen). Utförande av annan dokumentation som följer av lag, förordning eller annan författning Hälso- och sjukvård är en mångfacetterad sektor som involverar en stor mängd olika slags aktörer, inrättningar och aktiviteter. Detta avspeglas i att det finns en flora av lagar och förordningar samt en mängd föreskrifter och allmänna råd från myndigheter som hand- lingsdirigerar hälso- och sjukvården på specifika områden. I en del fall ställs särskilda krav på att viss dokumentation i olika slags verk- samheter skall ske. I andra fall medför de handlingsdirigerande kraven behov av särskild dokumentation. Mycket av det sagda innefattar behandling av personuppgifter om enskilda patienter som omfattas Grundläggande bestämmelser om personuppgiftsbehandling av det tidigare nämnda ändamålet vårddokumentation eller av t.ex. ändamålet intern tillsyn eller uppföljning, se nedan. Men det kan också uppstå tveksamheter angående om och i så fall vilket ändamål som är tillämpligt. En heltäckande redovisning av de olika slags spe- cialförfattningar som här avses är inte möjlig att ge. Det sagda får i stället åskådliggöras genom några exempel i det följande. Enligt lagen (1985:12) om kontroll av berusningsmedel på sjukhus åligger det verksamhetschefer på vissa sjukhusenheter att vidta vissa åtgärder. En åtgärd är att ställa som villkor för intagning på sjukhus att patienten går med på kroppsvisitation eller kontroll av försän- delser. Vidare får berusningsmedel m.m. omhändertas och förstöras eller försäljas. Den sistnämnda åtgärden torde innefatta myndighets- utövning som skall dokumenteras enligt förvaltningslagens (1986:223) bestämmelser. Även föregående frivillig kroppsvisitation kan behöva dokumenteras i sammanhanget. Enligt vår uppfattning bör doku- mentationen och personuppgiftsbehandlingen kunna anses falla in under ändamålet vårddokumentation, men den är ändå ett exempel på att tveksamheter kan uppstå. Ett annat exempel på dokumentation som faller något vid sidan av ändamålet vårddokumentation är den interna avvikelserapporte- ring som sker till följd av de s.k. i 2 kap. 7 § lagen om yrkesverksamhet på hälso- och sjukvårdens område. Bestämmelserna föreskriver att hälso- och sjukvårdspersonal skall rapportera till vårdgivaren om en patient drabbats eller utsatts för risk att drabbas av allvarlig skada eller sjukdom i samband med hälso- och sjukvård. Vidare är vårdgivare enligt föreskrifter (SOSFS 2005:12) om ledningssystem för kvalitet och patientsäker- het i hälso- och sjukvården ålagda ett ansvar för att det finns ett antal preciserade rutiner för denna avvikelsehantering. Den person- uppgiftsbehandling som avvikelsehanteringen föranleder befinner sig enligt vår uppfattning i en gränszon mellan ändamål såsom vårddo- kumentation respektive kvalitetssäkring samt ändamål som intern tillsyn och uppföljning, se nedan. Ytterligare ett exempel är den personuppgiftsbehandling som sker på grund av krav på anteckningar som behövs för smittspårning (smittspårningshandlingar) beträffande personer som en patient kan ha smittat, se 5 kap. föreskrifter och allmänna råd (SOSFS 2005:23) om smittspårning. Det finns en rad olika författningar som föreskriver att hälso- och sjukvården skall lämna ut uppgifter till olika myndigheter. Grundläggande bestämmelser om personuppgiftsbehandling exempel på sådana specifika bestämmelser om uppgiftsskyldighet skall här nämnas. I 2 kap. 11 § lagen om yrkesverksamhet på hälso- och sjukvårdens område regleras hälso- och sjukvårdspersonals skyldighet att på begäran lämna uppgifter till domstolar, polismyndighet, kronofogde- myndigheter, m.fl. myndigheter. Enligt 6 kap. 4 § samma lag är vårdgivare skyldig att till anmäla om en patient drabbats av eller utsatts för risk att drabbas av allvarlig skada eller sjukdom (). En sådan anmälan innebär i allmänhet utläm- nande av personuppgifter. En annan uppgiftsskyldighet slås fast i 14 kap. 1 § socialtjänstlagen (2001:453). Där föreskrivs att både allmän och enskild hälso- och sjukvård samt varje enskild yrkesutövare inom hälso- och sjukvården har en skyldighet att till socialnämnd anmäla om de i sin verksam- het får kännedom om något som kan innebära att en socialnämnd behöver ingripa till ett barns skydd. Uppgiftsskyldigheten omfattar alla uppgifter som kan vara av betydelse för utredning av ett barns behov av skydd. Ytterligare ett exempel på författningsenlig upp- giftsskyldighet är förordningen (1996:1357) om statlig ersättning för hälso- och sjukvård till asylsökande enligt vilken landsting och kommuner är skyldiga att lämna de uppgifter som behövs för bedömningen av deras rätt till ersättning för hälso- och sjukvård till asylsökande m.fl. utlänningar. Slutligen kan nämnas lagen (1991:2041) om särskild personundersökning i brottmål vari föreskrivs en skyldighet för hälso- och sjukvården att lämna ut så- dana uppgifter om en misstänkt som behövs i ett läkarintyg enligt samma lag. Uppgiftsskyldighet av det slag som här nämnts kräver behandling av personuppgifter för utlämnandeändamål. Såvitt vi kan bedöma rör det sig i allt väsentligt om att uppgifter som redan finns i verksam- heten lämnas ut. I allmänhet är det fråga om utlämnande av upp- gifter som primärt samlats in som vårddokumentation. Ett exempel är handlingar m.m. som lämnas till i samband med styrelsens tillsyn enligt 6 kap. lagen om yrkesverksamhet på hälso- och sjukvårdens område. I viss mindre utsträckning – t.ex. vid full- görande av uppgiftsskyldighet enligt 14 kap. 1 § socialtjänstlagen eller enligt 4 och 6 §§ förordningen (2001:707) om patientregister hos – torde det dock vara nödvändigt med en viss särskild personuppgiftsbehandling där dokumentationen utformas utifrån hur uppgiftsskyldigheten skall fullgöras och där man inte Grundläggande bestämmelser om personuppgiftsbehandling kan tala om en ren återanvändning av för andra ändamål redan in- samlade personuppgifter. De nämnda exemplen visar enligt vår mening att det kan uppstå tveksamheter angående vad som anses falla in under ändamålet indi- vidinriktad vårddokumentation eller något annat ändamål som anges i vårdregisterlagen när dokumentationen sker enligt sådana specialförfattningar som här avses. är det fråga om person- uppgiftsbehandling som sker av hälso- och sjukvårdspersonal i nära anslutning till det individinriktade patientarbetet. Vi menar därför att det kan behövas ett särskilt ändamål som uttryckligen klargör att personuppgiftsbehandling som behövs för ändamålet utförande av annan dokumentation som direkt eller indirekt följer av lag, för- ordning eller annan författning är tillåten. Att ändamålen ibland är överlappande är som tidigare anförts inget problem i detta samman- hang. Det kan noteras att det av tydlighetsskäl behövs en referens inte bara till dokumentation som följer av lag och förordning utan även till dokumentation som följer av myndighetsföreskrifter. Referensen i patientdatalagens ändamålsbestämmelse innebär givetvis inget be- myndigande för någon myndighet att meddela föreskrifter om doku- mentation. Det decentraliserade ansvaret för hälso- och sjukvården har emellertid medfört att det finns en omfattande mängd närmare riktlinjer och föreskrifter från centrala förvaltningsmyndigheter såsom , och . Dessa myndighetsföreskrifter meddelas med stöd av vidaredelega- tion i förordning utfärdad av regeringen, vars normgivningskompe- tens i sin tur härleds till regeringsformen eller lag. Systematisk och fortlöpande utveckling och säkring av hälso- och sjukvårdens kvalitet – Kvalitetssäkring Inom hälso- och sjukvården är begreppet kvalitet centralt. Att verk- samheten skall vara av god kvalitet uppställs i hälso- och sjukvårds- lagen (1982:763) som ett av de grundläggande kraven på all hälso- och sjukvård. Härmed avses bl.a. att vården skall hålla en god personell och materiell standard och ges i enlighet med vetenskap och beprövad erfarenhet (se prop. 1995/96:176 s. 27). Att vårdens resultat skall medföra förbättrad hälsa och hög patienttillfredsställel- se är ett annat sätt att uttrycka kärnan i begreppet god vårdkvalitet Grundläggande bestämmelser om personuppgiftsbehandling I 31 § hälso- och sjukvårdslagen föreskrivs att kvaliteten inom verksamheten systematiskt och fortlöpande skall utvecklas och säkras. Motsvarande bestämmelser finns även i tandvårdslagen (1985:125). Genom dessa bestämmelser finns det således ett författningsreglerat krav på vårdgivare inom hälso- och sjukvården att bedriva såväl kvalitetssäkring som kvalitetsutveckling. I det följande kallas denna verksamhet enbart kvalitetssäkring. Lagregleringen av kravet på kva- litetssäkring infördes och innebär, enligt förarbetena, en förpliktelse för vårdgivare, såväl offentliga som privata, att utveckla metoder för att noga följa upp och analysera utvecklingen vad gäller kvalitet och säkerhet (a. prop. s. 53). I sin tillsynsverksamhet följer upp att hälso- och sjukvården samt tandvården har ändamålsenliga kvalitetssystem för egenkontroll i sin verksamhet. I tidigare nämnda föreskrifter om led- ningssystem för kvalitet och patientsäkerhet i hälso- och sjukvården har utfärdat närmare föreskrifter för det systematiska kvalitetssäkringsarbetet. Kvalitetssäkringsarbete kan ske i många former och med olika metoder. I viss utsträckning kan hälso- och sjukvårdens kvalitet och resultat följas upp och utvärderas utan användning av uppgifter som direkt eller indirekt kan hänföras till en enskild person. Genom att behandla personuppgifter om patienter med användning av modern informationsteknik förbättras dock möjligheterna att bedriva kvali- tetssäkringsarbete enormt. Ett särskilt ändamål som tillåter denna behandling bör därför införas i patientdatalagen. I huvudsak rör det sig om att personuppgifter som samlats in och behandlas för det primära ändamålet vårddokumentation också be- handlas för ändamålet kvalitetssäkring, som ett slags sekundärt ända- mål. Men det förekommer också personuppgiftsbehandling särskilt för kvalitetssäkringsändamål, dvs. som inte innebär användning av vårddokumentation utan handlar om personuppgifter som på olika sätt inhämtas och analyseras i det särskilda syftet kvalitetssäkring. är denna uppgiftsinsamling integrerad med det individinrik- tade arbetet. Det kan därför vara svårt att i praktiken avgöra vad som är det övergripande syftet med en viss personuppgiftsbehandling, t.ex. när patienter besvarar enkäter om tillfredsställelse i olika avseen- den med vården och behandlingen. Som tidigare nämnts utgör det dock inget problem att ändamålen ibland är överlappande så länge som den personuppgiftsansvarige är klar över och tydlig med för vilka olika ändamål personuppgiftsbehandlingen genom insamling Grundläggande bestämmelser om personuppgiftsbehandling sker, t.ex. i den information som patienter får om personuppgifts- behandlingen. En speciell form av kvalitetssäkringsarbete där särskild person- uppgiftsinsamling inte sällan förekommer är hälso- och sjukvårdens kvalitetsregister. Dessa är elektroniska uppgiftssamlingar som används för jämförelser på olika nivåer av vårdens kvalitet m.m. I avsnitt 16 kommer vi att närmare beröra den form av kvalitetssäkringsarbete som sker gemensamt för mer än en vårdgivare i nationella eller regionala kvalitetsregister. Det kan här noteras att kvalitetssäkring utgör en form av verksamhetsuppföljning som är specialinriktad på kvalitetsfrågor. Verksamhetsuppföljning i stort omfattas av nästa ändamål. Vi har emellertid ansett att kvalitetssäkring bör anges i lagen som ett särskilt ändamål med tanke på den centrala roll som kvalitetssäkringsarbetet kommit att få inom hälso- och sjukvården. Dessutom kommer vi att i det följande föreslå särreglering i patient- datalagen för personuppgiftsbehandling i nationella och regionala kvalitetsregister, se avsnitt 16, vilket gör det lämpligt med kvalitets- säkring som ett särskilt ändamål. Redan här kan emellertid nämnas att vi kommer att föreslå särskilda bestämmelser om ändamål för de nationella och regionala kvalitetsregistren. Administration, planering, uppföljning, utvärdering och tillsyn av hälso- och sjukvårdsverksamheten Personuppgifter i en verksamhet bör få behandlas för att den person- uppgiftsansvarige skall kunna fortlöpande eller vid särskilda tillfällen granska, utvärdera och utveckla sin verksamhet på olika nivåer. Vi föreslår därför ett generellt ändamål som tillåter detta. Som kom- mer att framgå i det följande avser ändamålet inte alltid bara interna angelägenheter hos en personuppgiftsansvarig, vilket understryker behovet av en särskild ändamålsbestämmelse. Den individinriktade kärnverksamheten föranleder administration och planering på ett mer övergripande plan än vad som avses med den patientadministration som omfattas av ändamålet vårddokumen- tation. Sjukvårdshuvudmännen måste t.ex. planera och dimensionera antalet vårdplatser, fördela anslag och liknande inom sina geografiska ansvarsområden. Även privata vårdgivare behöver effektiva redskap för att administrera och planera sin verksamhet. I detta arbete behövs inte sällan tillgång till individbaserade personuppgifter som framför allt härrör från verksamhetens vårddokumentation. Grundläggande bestämmelser om personuppgiftsbehandling behandlingar som görs för att framställa sammanställningar, som används som underlag för analyser på olika nivåer av avidentifierade uppgifter, räcker det ofta med att använda uppgifter som bara in- direkt är hänförliga till en person, t.ex. utesluts namn, bostadsadress och fullständigt personnummer. Likväl är det fråga om personupp- giftsbehandling. Ett ytterligare område som alltmer kommit i fokus bl.a. som en följd av arbete, se avsnitt 3.4.2, är kravet på att hälso- och sjukvården skall förbättra verksamhetsuppföljningen. Enligt regeringen bör denna bygga på individuppgifter och kunna beskriva vårdprocesser och verksamheter samt dess resultat (prop. 1999/2000:149 s. 52 f.). har präglats av en ökad medborgarorientering i verksamhetsuppföljningen som syftar till att stärka patienters, allmänhetens samt politiska eller administra- tiva beslutsfattares tillgång till information om vårdens resultat i olika avseenden. var verksamhetsuppföljningen, inklusive kvalitetsregistren, i huvudsak inriktad på producenternas intresse av information om verksamhetens medicinska kvalitet, effektivitet och ekonomiska kostnader eller resultat. Som framgått av det sagda finns det ett påtagligt och enligt vår mening befogat behov av att kunna behandla personuppgifter för att få fram information om hälso- och sjukvårdsverksamheten. I allmänhet är det fullt tillräckligt att bara använda uppgifter från den individbaserade vårddokumenta- tionen, med andra ord uppgifter som samlats in därför att de behövts i den individinriktade hälso- och sjukvården. Men det förekommer också att man följer upp resursanvändningen på individnivå genom att koppla samman vårddokumentation med andra uppgifter, t.ex. genom användning av metoden Kostnad Per Patient () som be- räknar kostnader för olika insatser som utförs. I och med samman- kopplingen mellan vårddokumentation och kostnadsinformation blir det fråga om något mer än enbart sekundär användning av redan insamlade personuppgifter. I detta sammanhang bör noteras att vi använder begreppet verk- samhetsuppföljning med en tämligen vidsträckt innebörd. Häri ingår det som anges i 4 § 2 vårdregisterlagen om uppföljning, utvär- dering och kvalitetssäkring på verksamhetsområdet. Eftersom kvali- tetssäkring redan angetts som ett särskilt ändamål, se ovan, har vi valt att i den nu aktuella ändamålsbestämmelsen enbart använda begreppen uppföljning och utvärdering. I förarbetena till vårdregisterlagen anges att med uppföljning avses att fortlöpande och regelbundet mäta och beskriva sina behov, verksamheter och resursåtgången angivet i ter- Grundläggande bestämmelser om personuppgiftsbehandling mer av t.ex. behovstäckning, produktivitet och nyckeltal. Uppfölj- ningen tjänar till att ge en översiktlig bild av verksamhetens utveck- ling och att tjäna som en signal för avvikelser som bör beaktas. Med utvärdering avses analys och värdering av kvalitet, effektivitet och resultat av en verksamhet i förhållande till de mål som bestäms för denna (prop. 1997/98:108 s. 66). Begreppen har i grunden samma betydelse i patientdatalagen. Det hindrar emellertid inte en mer med- borgarorienterad verksamhetsuppföljning i linje med strävandena . I avsnitt 15 kommer vi att närmare beröra olika former av verksamhetsuppföljning som sker gemensamt för mer än en vårdgi- vare, främst avseende uppföljning på området vård och omsorg. Ett annat område som bör få innefatta personuppgiftsbehandling är vårdgivarens interna tillsyn av sin verksamhet. Att kontinuerligt eller på förekommen anledning granska och kontrollera att den egna verksamheten uppfyller samhällets krav och i övrigt bedrivs enligt vårdgivarens riktlinjer ingår i det ansvar som en vårdgivare har för verksamheten. Utan rättsliga möjligheter att behandla personupp- gifter från den individinriktade patientvården ter det sig knappast möjligt att närmare granska verksamheten. Det gäller särskilt om till- synen rör individuella vårdfall. Men även mer övergripande granskning kan kräva tillgång till och möjligheter att behandla personuppgifter om patienter. Av avsnitt 7.3.2 framgår att den tillsyn som utövas av eller annan statlig myndighet inte avses med detta ändamål. Framställning av statistik rörande hälso- och sjukvård I hälso- och sjukvården framställs statistik om en mängd faktorer. Delvis är det fråga om s.k. verksamhetsstatistik som kan anses in- rymmas inom ändamålen administration och verksamhetsuppfölj- ning m.m. därför att det är för dessa ändamål som statistiken skall användas. Särskilt landstingen torde dock framställa statistik som inte utan vidare kan hänföras till något annat ändamål, t.ex. då statistik tas fram för att informera befolkningen om verksamheten. Framställning av statistik bör därför anges som ett särskilt ändamål i patientdatalagen. Grundläggande bestämmelser om personuppgiftsbehandling Personuppgifter som behandlas i hälso- och sjukvården lämnas i olika sammanhang ut till en myndighet eller en enskild. Sker det för syften som gäller den utlämnande vårdgivarens verksamhet, omfattas personuppgiftsbehandlingen genom utlämnande av ett ändamål som angetts i det föregående. Inte sällan sker utlämnandet däremot för mottagarens räkning. Ofta handlar det om att mottagaren är en annan vårdgivare som behöver uppgifter om en patient för sin vård av samma patient. Många andra skäl till att uppgifter lämnas ut för mottagarens räkning finns naturligtvis, skäl som inte inryms i de ändamålsbestäm- melser som behandlats. Utöver det utlämnande av personuppgifter som behandlats ovan i anslutning till ändamålet utförande av annan dokumentation som följer av lag, förordning eller annan författning och som sker till följd av sådana särskilt reglerade uppgiftsskyldigheter som avses i 14 kap. 1 § sekretesslagen eller 2 kap. 8–11 §§ lagen om yrkesverksamhet på hälso- och sjukvårdens område förekommer givetvis att uppgifter om enskilda lämnas ut till en rad olika organ för en mängd olika syften. Att heltäckande beskriva denna hantering låter sig knappast göras på det stora område som hälso- och sjukvården utgör. I detta fall rör det sig dock, såvitt vi kan bedöma, enbart om utlämnande av personuppgifter som redan finns i verksamheten insamlade för primära ändamål såsom vårddokumentation för att ta det vanligaste exemplet.