sou · GUB382 · 2007-01-01 00:00:00 — Det skulle nämligen kunna finnas risk för att patienter – i situationer då det inte längre skulle vara möjligt för andra att med fullmakt eller patienternas samtycke få ut uppgifter – utsätts för påtryckningar att elektroniskt ta fram uppgifter om sig själva. I den tidigare nämnda departementspromemorian Försäkrings- bolags tillgång till patientjournaler anges att man inte kan bortse från risken att försäkringsbolag även i andra fall än då t.ex. det för att försäkring överhuvudtaget skall kunna beviljas är av avgörande betydelse att försäkringsbolaget får del av kompletta journaler kan komma att ställa som krav att den som söker en försäkring, eller vid försäkringsfall den försäkrade, själv vänder sig till hälso- och sjukvården och inhämtar kompletta journaler för försäkringsända- mål. Att försäkringsbolag på detta sätt begär tillgång till fullständiga journaler kan enligt promemorian vara att betrakta som ett avsikt- ligt kringgående av den förordade ordningen, men det kan också vara ett naturligt utslag för bolagens försiktighet, främst när det gäller att meddela individuella liv- eller sjukförsäkringar. I prome- anges vidare (s. 157 f.): Av 1 kap. 1 a § tredje stycket försäkringsrörelselagen framgår att för- säkringsbolagen skall iaktta god försäkringsstandard. Bestämmelsen avser hela den verksamhet som försäkringsbolagen bedriver. Om ut- redningens förslag genomförs kan det enligt utredningens bedömning inte anses vara förenligt med god försäkringsstandard att försäkrings- bolag annat än i ovan angivna undantagsfall begär att enskilda skall ge in kompletta journaler. har till uppgift att utöva till- syn såväl med avseende på att de näringsrättsliga reglerna för försäk- ringsbolag följs som över att de civilrättsliga bestämmelser som reglerar avtalsförhållandet mellan försäkringsgivare och försäkringstagare följs. Det får förutsättas att skulle ingripa om ett för- säkringsbolag avsiktligt skulle kringgå en reglering till skydd för för- säkringstagarnas integritet. Som ovan nämnts kan det ibland vara svårt att fastslå om bolagets krav motiveras av en osäkerhet ifråga om den enskildes hälsa. Det får ankomma på att göra en bedömning av bolagets hantering i det enskilda fallet. Ett sätt att begränsa de integritetsrisker som finns vid utlämnande av patientuppgifter genom direktåtkomst är att inte låta direktåtkomst- en avse samtliga uppgifter om en patient. Uppgifter som är särskilt känsliga bör t.ex. alltid undantas från direktåtkomst. Därutöver skulle åtkomsten inledningsvis kunna begränsas till vissa uppgifter, t.ex. uppgift om behandlande läkare, kontaktuppgifter till vårdgivare, diagnoser, överkänslighet och förskrivna läkemedel. Efter utvärde- ring skulle direktåtkomsten kunna utvidgas till att avse allt fler upp- gifter. Vår slutsats blir att enskilda bör ges möjlighet att ta del av upp- gifter om sig själva via Internet och detta oavsett om vårdgivaren deltar i sammanhållen journalföring eller ej. Visserligen har patienter, som framgått tidigare, i princip alltid rätt att ta del av sina journal- uppgifter. Enligt vår uppfattning bör dock inte någon rättighet för enskilda att ha direktåtkomst till sina uppgifter införas för närva- rande. Konsekvenserna av införandet av en sådan rättighet kan näm- ligen inte till fullo överblickas. En sådan rättighet skulle innebära att alla vårdgivare som för elektroniska patientjournaler – oavsett stor- lek och oavsett vilka tekniska förutsättningar de har – skulle vara skyldiga att ge sina patienter en sådan åtkomst. saknas det förutsättningar att ålägga samtliga vårdgivare en sådan skyldighet och det är därför inte möjligt att införa en rättighet till direktåtkomst. I stället skall den vårdgivare som anser sig kunna ge sina patienter direktåtkomst under fullgod säkerhet få lov att göra det. Enligt vår uppfattning bör direktåtkomsten få avse sådana upp- gifter som omfattas av vårt förslag om personuppgiftsbehandling för ändamålet vårddokumentation (se avsnitt 8.2.3). Det är dock vård- givaren som avgör i vilken utsträckning sådana uppgifter skall göras tillgängliga för patienterna. Som nämnts tidigare behöver ju direkt- åtkomsten inte avse samtliga uppgifter om en patient. En vårdgivare har alltså möjlighet att begränsa direktåtkomsten till vissa uppgifter. Vi har i avsnitt 12 föreslagit en uttrycklig skyldighet för vårdgivare att dokumentera all elektronisk åtkomst till patientuppgifter. Som redogjorts för där utgör åtkomsthistoriken (eller logglistorna) inom den allmänna hälso- och sjukvården allmänna handlingar som patien- ter kan begära utlämnade med stöd av bestämmelserna i 2 kap. tryck- frihetsförordningen. Någon rätt för patienter att få logglistor från den enskilda hälso- och sjukvården finns däremot inte. Något hinder mot att lämna ut sådana listor på grund av sekretess eller tystnads- plikt torde normalt inte finnas. Vi har i det tidigare nämnda avsnittet framhållit betydelsen av att patienter kan få information om vilken elektronisk åtkomst som före- kommit till uppgifter om honom eller henne. Vi har också föreslagit en bestämmelse som ger patienter rätt att på begäran få informa- tion om sådan åtkomst. De skäl som vi anfört för en sådan bestäm- melse talar också för att det bör vara tillåtet för vårdgivare att ge sina patienter direktåtkomst till logglistor som avser elektronisk åtkomst till uppgifter om dem. Som framgått tidigare innebär vårt förslag i avsnitt 8.7 att direkt- åtkomst till personuppgifter som behandlas enligt patientdatalagen bara får förekomma i den utsträckning som anges i lag eller för- ordning. För att den nu föreslagna direktåtkomsten skall bli tillåten krävs därför att en bestämmelse härom tas in i patientdatalagen. föreslår alltså att det i patientdatalagen anges att en vårdgivare får medge en enskild direktåtkomst till sådana uppgifter om den enskil- de som behandlas för det ändamål som vi i avsnitt 8.2.3 betecknar vårddokumentation. För att understryka att en sekretessprövning är nödvändig i samband med att uppgifter görs tekniskt åtkomliga för patienten anges att det är fråga om uppgifter som får lämnas ut till den enskilde.TPF3FPT Vidare får den enskilde under samma förutsätt- ningar medges direktåtkomst till logglistor som avser elektronisk åtkomst till uppgifter om den enskilde. Enligt vår uppfattning krävs vissa säkerhetsåtgärder för att vård- givare skall kunna medge sina patienter direktåtkomst till patient- uppgifter. Det måste t.ex. finnas tillräckligt säkra tekniska lösningar för att säkerställa identifieringen av den som efterfrågar uppgifter. Vidare bör det finnas tekniska lösningar att spärra uppgifter som inte kan lämnas ut till en patient på grund av de är sekretessbelagda eller omfattas av tystnadsplikt i förhållande till patienten. Det är inte möj- ligt att i lag precisera de krav som bör ställas. Vi föreslår därför att regeringen, eller efter bemyndigande, efter samråd med Datainspektionen får meddela föreskrifter om de krav på säker- hetsåtgärder som skall gälla vid direktåtkomst för enskilda. Enligt 7 § andra stycket patientjournallagen skall det antecknas i patientjournalen om en journalhandling eller en avskrift eller kopia av handlingen har lämnats ut till någon. I sådant fall skall antecknas vem som har fått handlingen och när denna har lämnats ut. Våra för- slag innebär att bestämmelsen förs över oförändrad till patientdata- lagen. Som framgått av avsnitt 11.8 föreslår vi att bestämmelsen inte skall gälla vid utlämnande genom direktåtkomst. Detta gäller även i fråga om patienters direktåtkomst. 3TP PT Se Lagrådets yttrande i prop. 2000/01:33 (s. 349). 14Överföring av personuppgifter i individinriktad verksamhet På skäl som redovisas i avsnitt 9.4 har vi kommit till ståndpunkten att det inte bör införas en lagreglerad skyldighet för vårdgivare att på någon nivå eller inom något område föra patientjournal i en enda sammanhållen patientjournal för varje patient. Enligt våra direktiv skall vi – om vi kommer till denna slutsats – granska och analysera förutsättningarna i övrigt för att överföra personuppgifter mellan verksamheter inom allmän och enskild hälso- och sjukvård. För- slag till reglering skall lämnas. Överföring av personuppgifter mellan verksamheter inom allmän och enskild hälso- och sjukvård kan emel- lertid ske för skiftande ändamål. I detta avsnitt behandlar vi några generella frågeställningar som gäller informationsutbytet i det indi- vidinriktade arbetet, dvs. i den direkta patientvården. När det gäller rättsliga frågor kring informationsutbyte i vårdsyfte handlar dessa om, för det första, i vad mån personuppgifterna alls får lämnas ut och, för det andra, på vilket sätt uppgifterna får lämnas ut; får över- föring ske med användning av elektronisk informationsteknik eller inte? Våra förslag om sammanhållen journalföring utgör i detta sam- manhang en genomgripande nyordning i regleringen av utbytet av känsliga och sekretessbelagda personuppgifter mellan verksamheter inom hälso- och sjukvården. Förenklat och i sammanfattning inne- bär nyordningen ett system för gränsöverskridande lösningar för elektronisk direktåtkomst till personuppgifter där hälso- och sjuk- vårdssekretessen inte gäller mellan de samarbetande vårdgivarna så länge syftet är patientvård. I stället gäller andra krav, bl.a. att patien- ten skall lämna sitt samtycke till att en läkare eller annan befattnings- havare använder direktåtkomsten och tittar i t.ex. ett annat landstings journalhandlingar. Genom förslagen skapas klara rättsliga förut- sättningar för sådan allmän och enskild hälso- och sjukvård som ofta interagerar att samverka i den direkta patientvården genom en Överföring av personuppgifter i individinriktad verksamhet modern och smidig informationshantering. Denna kan för övrigt anpassas till verksamhetsmässiga eller lokala förhållanden. En när- mare redogörelse för våra överväganden när det gäller den samman- hållna journalföringen finns i avsnitt 11. Med tanke på dagens flora av inkompatibla journalsystem, osäkra ekonomiska förutsättningar, ofullständigt genomförd datorisering, problem med säkerhetslösningar och en rad andra faktorer kan det dock komma att dröja innan olika former av sammanhållen journal- föring blir vanlig. Vi har därför ställt oss frågan om det finns anled- ning att lämna ytterligare förslag – utöver vad som följer av den sam- manhållna journalföringen – rörande regleringen av den överföring av personuppgifter som sker i hälso- och sjukvårdens individinriktade verksamhet. Till den individinriktade hälso- och sjukvårdsverksamheten an- knyter den kommunala omsorgen om äldre samt om personer med fysiska eller psykiska funktionshinder som formellt sett utgör social- tjänst men som i praktiken ofta bedrivs integrerat med hälso- och sjukvård. Under vårt arbete har i olika sammanhang – bl.a. vid studiebesök på vårdinrättningar och samråd med företrädare för Nationell Psykiatrisamordning – påtalats att lagstiftningen försvårar samver- kan mellan kommun och landsting när det främst gäller äldre och dem med psykiskt funktionshinder eller sjukdom som behöver stöd och insatser i form av både hälso- och sjukvård och socialtjänst. Problemen gäller både i den individinriktade verksamheten som be- handlas i detta avsnitt och i sådan övergripande verksamhetsupp- följning som vi kommer att behandla i avsnitt 15. Något mandat i fråga om socialtjänstverksamhet har vi inte. Vi har emellertid valt att ändå beröra problemområdet i den omfattning som vi funnit utrymme för inom ramen för våra direktiv. I det följande redogör vi i avsnitt 14.2 i korthet för de nuvarande möjligheterna att överföra personuppgifter i det individinriktade samarbetet sinsemellan vårdgivare samt i samarbetet inom vård och omsorg. Vi har vidare konstaterat att flera frågor redan har utretts grundligt av bl.a. Offentlighets- och sekretesskommittén (OSEK), som i sitt huvudbetänkande Ny sekretesslag, SOU 2003:99, lämnat flera förlag av betydelse i sammanhanget. I avsnitt 14.3 redogör vi för några av OSEK:s förslag. Våra överväganden redovisar vi i av- snitt 14.4. Redan här vill vi emellertid beröra en specialfråga som vi enligt direktiven skall utreda och som har direkt betydelse i den individ- Överföring av personuppgifter i individinriktad verksamhet inriktade hälso- och sjukvården. Frågan gäller om förskrivare av patientsäkerhetsskäl skall kunna få information om andra förskri- vare som en patient haft kontakt med för att med denne kunna diskutera patientens läkemedelssituation inför en ny läkemedelsförskrivning. Enligt direktiven skall vi överväga vilken information som behövs och lämna förslag som krävs för att en tidigare förskrivare skall kunna kontaktas. Sammanhållen journalföring som omfattar läkemedelsordinationer och -förskrivningar, aktuella läkemedelslistor m.m. kommer rim- ligen att ge förskrivare mer information om tidigare förskrivare. På så sätt ökar möjligheterna för en förskrivare att ta kontakt med en tidigare förskrivare. Något heltäckande system blir det dock troligen inte fråga om inom överskådlig tid. Man måste också beakta att patienten kan ha begärt att journaluppgifter om förskrivna läkemedel spärras. Det ter sig mot denna bakgrund naturligt att överväga en regle- ring i lagen (2005:258) om läkemedelsförteckning, som innehåller en heltäckande registrering av receptförskrivna och uthämtade läke- medel. I vårt slutbetänkande kommer vi att ta upp ett antal frågor som rör läkemedelsområdet. Frågan om en ändring av lagen om läke- medelsförteckning bör lämpligen behandlas i det sammanhanget. 14.2.1Utbyte av uppgifter inom hälso- och sjukvården i vårdsyfte Vi har i främst avsnitt 8.2.1, 8.7.2 och 11.5.1 redogjort för de rätts- liga förutsättningarna för överföring av personuppgifter i journaler m.m. De i första hand relevanta lagarna är sekretesslagen (1980:100) och lagen (1998:531) om yrkesverksamhet på hälso- och sjukvårdens område som på ett teknikoberoende sätt reglerar förutsättningarna för att över huvud taget utbyta uppgifter. När det gäller sättet att utbyta uppgifter är det främst personuppgiftslagens (1998:204) all- männa bestämmelser om personuppgiftsbehandling och, beträf- fande elektroniska journaler och annan vårddokumentation, lagens (1998:544) om vårdregister (vårdregisterlagen) bestämmelser om direktåtkomst och utlämnande på medium för automatiserad be- handling som är tillämpliga. Överföring av personuppgifter i individinriktad verksamhet Sekretesslagens bestämmelser innebär i korthet bl.a. att uppgifter om patienter normalt omfattas av hälso- och sjukvårdssekretess med ett omvänt skaderekvisit. Sekretessen innebär som huvudregel att uppgifter får lämnas över en sekretessgräns bara om den enskilde går med på det eller en s.k. menprövning leder till bedömningen att det står klart att uppgiften kan lämnas utan att den enskilde eller någon honom eller henne närstående lider men. Därutöver finns vissa särskil- da begränsningar i sekretessen i form av uppgiftsskyldighet (14 kap. 1 § sekretesslagen) eller andra undantag från sekretessen (t.ex. i 14 kap. 2 § samma lag). För en närmare belysning av sekretessregleringen hänvisas till av- snitt 11.5.1. Av den redovisningen framgår att det finns ett ganska stort utrymme att i vårdsyfte utbyta uppgifter över sekre- tessgränser även utan ett uttryckligt eller underförstått samtycke från patienten, i vart fall då det inte rör särskilt känsliga uppgifter från t.ex. den psykiatriska vården. Har den enskilde däremot uttryck- ligen motsatt sig ett utbyte, kan en menprövning knappast leda till bedömningen att uppgifter kan lämnas ut ens om uppgifterna fram- står som klart mindre ömtåliga. Huruvida mottagaren tillhör den allmänna eller enskilda hälso- och sjukvården bör enligt vår upp- fattning inte ha betydelse för resultatet av en menprövning, så länge mottagaren behöver uppgiften i vårdsyfte. Vi har i avsnitt 11.5.3 förklarat att vi ansluter oss till bl.a. OSEK:s bedömning att det inte finns några sekretessgränser mellan olika hälso- och sjukvårdsverksamheter som bedrivs inom samma myn- dighet, dvs. lyder under samma nämnd inom ett landsting eller en kommun. Det innebär att någon prövning enligt sekretesslagen inte behöver göras när uppgifter överförs mellan olika vårdinrättningar, t.ex. från ett sjukhus till en vårdcentral, så länge som dessa sorterar under samma nämnd. Detsamma gäller om det handlar om överfö- ring av uppgifter från en psykiatrisk klinik till en somatiskt inriktad vårdenhet inom samma myndighet. Även om någon prövning enligt sekretesslagen inte är aktuell har patienten alltid ett inflytande över tillgängligheten till uppgifter om honom eller henne inom en vård- givares gränser. Att så är fallet följer bl.a. av föreskriften i 2 a § hälso- och sjukvårdslagen (1982:763) om att verksamheten skall bygga på respekt för patientens självbestämmande och integritet och så långt det är möjligt utföras och genomföras i samråd med patienten. I en del landsting och kommuner är hälso- och sjukvården emel- lertid indelad på flera sektorer som organisatoriskt hör till olika nämnder som sinsemellan är självständiga myndigheter. Överföring av personuppgifter i individinriktad verksamhet sjukvården kan t.ex. sortera under olika distriktsnämnder. Likaså kan t.ex. tandvård tillhöra en nämnd, psykiatri en annan, sjukhusvård en tredje osv. Vidare kan viss hälso- och sjukvård ha bolagiserats i så- dana kommunala företag som avses i 1 kap. 9 § sekretesslagen. I dessa fall finns sekretessgränser mellan de olika nämndernas och kom- munala företagens vårdinrättningar. Dessa kan alltså inte utbyta upp- gifter utan en föregående sekretessprövning. har sjukvårdshuvudmännen, dvs. landstingen och kommunerna, möjligheter att samverka kring uppgifter enligt hälso- och sjukvårdslagen (1982:763) i gemensamma nämnder, se lagen (2003:192) om gemensam nämnd inom vård- och omsorgsområdet, eller i kommunalförbund, se 3 kap. 20 § kommunallagen (1991:900). I en sådan gemensam nämnd eller ett förbund torde det som regel inte finnas någon sekretessgräns mellan olika hälso- och sjukvårds- verksamheter inom nämnden eller förbundet även om verksamhe- terna ursprungligen tillhört olika huvudmän. När det gäller på vilket sätt uppgifter får utbytas följer av 3, 4 och 9 §§ vårdregisterlagen att det inte finns något hinder mot att upp- gifter i vårdregister lämnas ut på medium för automatiserad behand- ling, om det sker i vårdsyfte och förutsatt att det sker under säker- hetsmässigt godtagbara former. Beträffande direktåtkomst till vårdregister finns en bestämmelse i 8 § vårdregisterlagen som närmare berörts i avsnitt 8.5 och 8.7. Här skall kort bara anges att bestämmelsen syftar till att reglera hur befattningshavare inom en vårdgivare får ges åtkomst till vårdgi- varens vårdregister (prop.1997/98:108 s. 77 och 99). Som berörts främst i avsnitt 11.4 och 11.5 är det i första hand tryckfrihetsför- ordningens och sekretesslagens bestämmelser som utgör ett rättsligt problem när det gäller uppgiftsutbyte över gränser genom direkt- åtkomst. 14.2.2Särskilt om uppgiftsutbyte inom området vård och omsorg Såsom kortfattat beskrivits i avsnitt 2.1 är huvudmannaskapet för hälso- och sjukvården delat mellan lands- tingen och kommunerna. Genom den s.k. Ädelreformen fick kommunerna skyldighet att inrätta särskilda boendeformer för service och omvårdnad för äldre och att inrätta bostäder med särskild service för funktionshindrade. Överföring av personuppgifter i individinriktad verksamhet Denna skyldighet reglerades i den då gällande socialtjänstlagen (1980:620). I samband med reformen övertog kommunerna från landstingen ett stort antal långvårdshem och gruppboenden. Även dagverksamheter för äldre och handikappade övertogs. Parallellt med denna förflyttning från landstingens hälso- och sjukvård till kom- munernas socialtjänst, fick kommunerna också ansvaret för att till- handahålla hälso- och sjukvård åt dem som bor i särskilda boende- former och bostäder eller som vistas i dagverksamhet enligt reglering som infördes i hälso- och sjukvårdslagen. Kommunerna fick även befogenhet att erbjuda hälso- och sjukvård till dem som bor hemma (hemsjukvård). Skyldigheten att erbjuda hemsjukvård åvilar emellertid fortfarande landstingen. Genom särskild överenskommelse och med regeringens medgivande kan kommunerna dock överta denna skyl- dighet. Ingen hälso- och sjukvård på detta område får omfatta läkarvård. Ädelreformen innebar även att kommunerna fick ett betalningsansvar för personer som blivit medicinskt färdigbe- handlade i sluten vård, numera kallade utskrivningsklara patienter, se lagen (1990:1404) om kommunernas betalningsansvar för viss hälso- och sjukvård. Efter Ädelreformen har ytterligare reformer genomförts av bety- delse för vård och omsorgsområdet. Nämnas kan handikappreformen som bl.a. ledde till införandet av lagen (1993:387) om stöd och ser- vice till vissa funktionshindrade samt psykiatrireformen som gav kommunerna ett ökat ansvar för insatser till långvarigt psykiskt sjuka. Ett av de uttalade syftena med reformerna har varit att skapa ett bättre och mer samlat omhändertagande av äldre och andra personer med sammansatta behov av både medicinska och sociala insatser. har det ända sedan reformerna infördes påtalats fortsatta brister i omhändertagandet. En av flera brister som framhållits rör svårigheter i informationsutbytet inom vården och omsorgen med anledning av att ett gott och samlat omhändertagande ofta är beroen- de av stöd och insatser från både landsting och kommuner samt privata vårdgivare eller privata entreprenörer som driver särskilda äldreboenden m.m. För att förbättra samarbetet skärptes kraven på aktörerna att göra en samlad vårdplanering av medicinska och sociala insatser för patienter i slutenvård som blivit utskriv- ningsklara. infördes den ovan nämnda lagen om gemen- sam nämnd inom vård- och omsorgsområdet för att ytterligare för- bättra samarbetet. hade enligt uppgift från Kommuner och Landsting bara ett fåtal gemensamma nämnder för Överföring av personuppgifter i individinriktad verksamhet både hälso- och sjukvård och socialtjänst bildats i landet. Något fler gemensamma nämnder finns på området hjälpmedel och rehabilite- ring åt funktionshindrade Ett kvarstående problem är de sekretessgränser som finns mellan hälso- och sjukvårdverksamheter som bedrivs av de inblandade aktö- rerna. Ett ytterligare problem är att också socialtjänstverksamhet inbegrips i vården och omsorgen. Det kan t.ex. få till konsekvens att en sekretessgräns uppstår inom en nämnd mellan den del av verksamheten som avser hälso- och sjukvård och den del som avser socialtjänst, trots att verksamheten i praktiken drivs inte- grerat. När det gäller den hälso- och sjukvårdsverksamhet som över- fördes till kommunerna i samband med Ädelreformen angavs visser- ligen i förarbetena att det inte finns någon sekretessgräns mellan socialtjänst och hälso- och sjukvård som organisatoriskt tillhör samma kommunala nämnd. Dessa verksamheter skall bedrivas inte- grerat och utgör komplement till varandra. Enskilda som behöver stöd och hjälp skall kunna få sådan, vare sig det rör insatser av social eller medicinsk natur, inom en samlad organisation för hälso- och sjukvård och socialtjänst. , påtalade rege- ringen, kommer såväl medicinska som sociala insatser att ges av samma person. Den kommunala hälso- och sjukvården kan, enligt regeringen, därför inte betraktas som självständiga verksamhetsgre- nar i den mening som avses i 1 kap. 3 § andra stycket sekretesslagen (prop. 1990/91:14 s. 85). Däremot finns en sekretessgräns gentemot annan social omsorg som kommunerna ansvarar för, bl.a. sådan social- tjänst som omfattas av handikappreformen och psykiatrireformen. Dessutom finns en sekretessgräns mellan, å ena sidan, sådan hälso- och sjukvård som ett landsting för in i och, å andra sidan, sådan som en kommun för in i en gemensam nämnd alldeles oavsett om utgör sådana sociala insatser som omfattas av Ädelreformen eller inte.