sou · GUB382 · 2007-01-01 00:00:00 — Enligt vår mening är det av största vikt att ytterligare steg övervägs först efter utvärderingar och analyser av de erfarenheter som vinns efter en tids full drift av sådana mer stor- skaliga informationssystem som är i startgroparna men som drivs bara i begränsade projektformer. Först då kan förändringar motiveras utifrån närmare kunskap om vilka konsekvenser som olika slags lösningar och system genererat för patientsäkerhet, integritet, effektivitet och andra viktiga intressen för hälso- och sjukvårdens informationshantering. 6.3Patientsäkerhet kontra patientintegritet? Under vårt arbete har flera centrala aktörer på området gjort gällande att vi har en lagstiftning som låter patientintegriteten väga tyngre än patientsäkerheten. Enligt denna uppfattning tycks patientsäkerhet och patientintegritet befinna sig i ett statiskt motsatsförhållande enligt en linjär skala som innebär att vi får mer patientsäkerhet med mindre integritetsskydd och, omvänt, mindre patientsäkerhet med mer integritetsskydd. Konsekvensen av den uppfattningen torde vara att det nu handlar om att flytta den rättspolitiska positionen mellan de motstående intressena i en mer patientsäker riktning. Detta skulle i så fall ske genom att undanröja en mängd rättsliga hinder för breddad elektronisk tillgänglighet till uppgifter om patienter mellan olika vård- givare inom hälso- och sjukvården, hinder som syftar till att garan- tera enskilda ett skydd för den personliga integriteten. hävdas också att detta är vad patienterna förväntar sig och önskar. Självklart kan integritetsskydd och patientsäkerhet ibland hamna i ett motsatsförhållande. anser vi att den uppmålade bilden av ett statiskt motsatsförhållande är en vilseledande förenkling, som vi inte velat ta som utgångspunkt för vårt arbete. Vi har alltså inte tolkat vårt uppdrag som att i huvudsak handla om att undanröja en rad rättsliga hinder. Den centrala utgångspunkten för vårt arbete är i stället att skapa en reglering som möjliggör både en ökad patientsäkerhet och ett starkt integritetsskydd. Detta förutsätter, menar vi, att man inte överger principen om att hälso- och sjukvård skall bygga på respekt för patientens självbestämmande och integritet bara därför att tek- niken medger nya sätt att hantera uppgifter. I förlängningen riskerar man annars att medborgarnas förtroende för hälso- och sjukvården minskar. Allmänhetens förtroende för hälso- och sjukvårdens informa- tionshantering är generellt sett starkt. Det framgår av bl.a. en större enkätundersökning som vi låtit utföra . visar enkätundersökningen upp en ganska splitt- rad bild av förväntningarna hos allmänheten inför förändringar i hälso- och sjukvårdens informationshantering. För vissa är ett strikt integritetsskydd av största vikt och de är oroade över tanken på en ökad elektronisk tillgänglighet bland hälso- och sjukvårdspersonal till uppgifter om dem medan andra inte känner någon oro över en sådan utveckling. Vi har sett det som oerhört väsentligt för för- troendet för hälso- och sjukvården att den mer eller mindre starka oro som vissa känner inför förändringar i informationshantering tas på allvar. Vad utredningsarbetet konkret handlar om är därför att skapa rättsliga garantier för att nya möjligheter att använda IT inom hälso- och sjukvården – bl.a. i fråga om breddad elektronisk tillgänglighet till information om patienten inom hälso- och sjukvården – inte på ett oacceptabelt sätt inkräktar på patientens personliga integritet. En utgångspunkt i det arbetet är att den enskilda patientens inställ- ning i fråga om spridningen av uppgifter om honom eller henne inom hälso- och sjukvårdssektorn så långt möjligt skall respekteras. Att allmänheten kräver ett sådant inflytande för patienten framgår av den nämnda enkätundersökningen. Denna bild bekräftas också av hearingar som vi haft med olika patientorganisationer. Ett patient- inflytande över spridningen i förening med andra integritetsskyd- dande åtgärder behövs för att det goda förtroendet för hälso- och sjukvården skall bestå och helst förstärkas. är det vår utgångspunkt att det är ett viktigt allmän- intresse att vårdgivare på ett rationellt och effektivt sätt kan an- vända IT för att fullgöra de uppgifter som åligger dem. Våra förslag avspeglar således den avvägning som vi funnit rimlig i de fall en kon- flikt uppstår mellan samhällets behov eller andra intressen kontra patientens berättigade anspråk på skydd för sin personliga integritet. Våra direktiv är vida och allmänt hållna. De frågor som vi skall ta upp är ofta inte närmare avgränsade. Vi har därför när det gäller mer specifika frågor, som inte har så nära beröring med kärnfrågorna i vårt utredningsuppdrag, avstått från djupare analys av dessa. Det innebär att några frågor – som vi i och för sig tycker är förtjänta av en mer ingående analys – berörs ganska översiktligt. En sådan fråga är barns och ungdomars ställning i hälso- och sjukvården. Av sär- skilt intresse i det sammanhanget är underårigas självbestämmande och integritetsskydd vid kontakter med hälso- och sjukvården. Under- årigas eget inflytande över journalhanteringen i takt med tilltagande mognad kan ge upphov till svåra avvägningsproblem. Hur skall den unges mognadsgrad bedömas och vilken betydelse i sammanhanget har karaktären på uppgifterna om den unge? Även om frågor av detta slag ofta aktualiseras inom hälso- och sjukvården, har vi inte ansett det vara vårt uppdrag att närmare penetrera dessa. En annan komplex fråga rör tillgången till och användningen av vårddokumen- tation i utbildningen av blivande hälso- och sjukvårdspersonal. Det har sagts oss att praxisen på området skiljer sig från vad gällande rätt föreskriver. Hur regelverket närmare tillämpas inom hälso- och sjuk- vården har vi dock avstått från att skärskåda. En ytterligare kompli- cerad fråga, som vi också ansett som alltför perifer i förhållande till våra direktiv för att närmare analyseras, är vilken sekretess som gäller för uppgifter som används för forskning inom hälso- och sjukvården. Forskningen utgör i sekretesslagens (1980:100) mening en självstän- dig verksamhetsgren även när den bedrivs av vårdgivarens personal. Rättsläget såvitt gäller frågan vilka sekretessbestämmelser som är tillämpliga i forskningsverksamheten anses av många som oklart. När det gäller frågor om forskningssekretess, se från senare tid bl.a. , Patientuppgifter som forskningsresurs – om integritetsskydd och intresseavvägningar, Förvaltningsrättslig tid- skrift 2003 s. 95 ff. och Integritetsskyddet i forskningen – en känslig historia, Förvaltningsrättslig tidskrift 2005 s. 459 7 En ny lag Vi har fått det övergripande uppdraget att se över den nuvarande regleringen av behandlingen av personuppgifter inom hälso- och sjuk- vården och lämna förslag till en väl fungerande och sammanhängan- de reglering av området. Bestämmelser av betydelse för hälso- och sjukvårdssektorns hante- ring av personuppgifter om patienter finns i ett flertal författ- ningar. De som är av direkt betydelse för hanteringen är framförallt patientjournallagen (1985:562), lagen (1998:544) om vårdregister (vårdregisterlagen) och personuppgiftslagen (1998:204). För den all- männa hälso- och sjukvården gäller vidare tryckfrihetsförordningens bestämmelser om allmänna handlingar och handlingsoffentlighet, arkivlagens (1990:782) bestämmelser om bevarande och gallring av allmänna handlingar och sekretesslagens (1980:100) bestämmelser om sekretess och tystnadsplikt. Delvis motsvarande bestämmelser om tystnadsplikt inom den enskilda hälso- och sjukvården finns i lagen (1998:531) om yrkesverksamhet på hälso- och sjukvårdens område. Även hälso- och sjukvårdslagen (1982:763) innehåller be- stämmelser av viss betydelse för informationshanteringen. Därutöver finns bestämmelser i speciallagstiftning, förordningar och myndig- hetsföreskrifter som måste beaktas vid informationshanteringen på vissa områden inom hälso- och sjukvården. Det har i olika sammanhang anförts att det nuvarande regelver- ket är alltför splittrat och att det leder till otydlighet och problem i den praktiska tillämpningen. I våra kontakter med företrädare för hälso- och sjukvården har framkommit att det är en utbredd upp- fattning inom hälso- och sjukvården att den splittrade lagstiftningen i sig skapar en osäkerhet om vad som egentligen gäller för hante- ringen av personuppgifter. Detta har bl.a. fått till följd att skillnader i hur lagarna tolkas och tillämpas inte är ovanliga inom hälso- och sjukvårdsområdet. Inte minst gäller detta tolkning av regelverket kring inre och yttre sekretess i samband med befattningshavares till- gång till elektronisk information och elektroniskt utbyte av patient- uppgifter mellan olika vårdenheter. Omfattningen av vårdregister- lagens tillämpningsområde är en annan fråga som det ofta uppstår osäkerhet kring liksom frågan om vad personuppgiftslagen egentligen tillåter eller ställer för krav på personuppgiftsbehandlingen. Över huvud taget kan sägas att regleringen av hälso- och sjukvårds- sektorn är uppdelad på en mycket stor mängd författningar. Att sektorn genererat många lagar är knappast ägnat att förvåna redan med tanke på sektorns omfattning (samhällets kostnader för hälso- och sjukvårdssektorn uppgick år av brutto- nationalprodukten), komplexiteten i verksamheten och de många förändringar i sektorn som utvecklingen i olika avseenden påkallat eller som annars genomförts. Den splittrade lagstiftningen har i flera sammanhang kommenterats och kritiserats för att vara svårtillgäng- lig, oöverblickbar och för att leda till tillämpningsproblem i olika avseenden. Kommittén om hälso- och sjukvårdens finansiering och organi- sation (HSU 2000) behandlade frågan om en mer samlad hälso- och sjukvårdslagstiftning i betänkandet Patienten har rätt (SOU 1997:154 s. 115 f.). Kommittén anförde bl.a. att hälso- och sjukvårdslagstift- ningen behöver ses över. Enligt kommittén borde en av utgångspunk- terna vid översynen vara att de bestämmelser som har betydelse för patientens ställning samlas i en lag i stället för att som vara spridda på flera lagar. Den uppenbara fördelen med detta skulle, enligt kom- mittén, vara att bestämmelserna blir tillgängliga och överskådliga för såväl patienter och personal som allmänheten. Det skulle därmed bli lättare att sprida kunskap om vad som faktiskt gäller på området. Kommittén ansåg det vidare viktigt för rättssäkerheten med en klar och lättillgänglig lagstiftning, särskilt på områden där bestämmelser- na i första hand skall tolkas och tillämpas av personer utan juridisk utbildning. Lagtekniskt skulle detta kunna åstadkommas på olika sätt, t.ex. genom en patientlag som reglerar patientens ställning eller som ett eget kapitel i en hälso- och sjukvårdsbalk. Kommittén fann emellertid att frågan har lagstiftningstekniska komplikationer som föll utanför kommitténs uppdrag och föreslog regeringen att den skulle ta initiativ till en samlad översyn av hälso- och sjukvårds- lagstiftningen i syfte att åstadkomma en patientfokuserad och tydlig reglering av patientens ställning. Någon sådan bred översyn som kommittén föreslog har inte kommit till stånd. I förarbetena till lagen om yrkesverksamhet på hälso- och sjukvårdens område anförde dock regeringen att lagen var ett första steg i den riktning som förespråkats av kommittén (prop. 1997/98:109 s. 78 f.). Beträffande regleringen av yrkesverk- samhet på hälso- och sjukvårdens område uttalade regeringen bl.a. att patienterna har ett befogat intresse av att lagstiftningen är effektiv, lättillgänglig och tydlig. Ur patientens synvinkel är det av särskilt värde att samla bestämmelserna i en lag. Eftersom lagstiftningen konkret tillämpas på yrkesutövarna inom hälso- och sjukvården, har dessa yrkesutövare ett särskilt intresse av att lagstiftningen är klar, konsekvent och överskådlig. Myndigheter som skall tillämpa lagstift- ningen, främst och Hälso- och sjukvårdens ansvars- nämnd, har självfallet också ett intresse av att lagstiftningen är lätt att överblicka och att tillämpa. Sammanfattningsvis ansåg regeringen att en bättre samordning borde ske vad gäller de då fem lagar som bl.a. reglerade de olika yrkesgruppernas skyldigheter inom hälso- och sjukvården. Enligt regeringen torde tillämpningen av lagstiftningen, liksom dess överblickbarhet, avsevärt underlättas om reglerna samlas i ett mer enhetligt regelsystem. Om man i en lag tydligt särskiljer de olika delfrågorna, genom att dela in lagen i flera kapitel, förbätt- ras överblickbarheten avsevärt även om den föreslagna lagen blir omfångsrik. 7.3.1En mer samlad reglering Vårt förslag: Bestämmelserna i patientjournallagen och vård- registerlagen sammanförs i en ny lag, patientdatalagen. Vi har förståelse för att det splittrade regelverket kring personupp- giftsbehandling inom hälso- och sjukvården kan innebära problem. På motsvarande sätt som anförts i samband med införandet av lagen om yrkesverksamhet på hälso- och sjukvårdens område anser vi att tillämpningen av lagstiftningen avsevärt skulle underlättas och bli mer enhetlig med en mer sammanhållen reglering än den nuvarande. En samlad reglering vinner i tydlighet, konsekvens och överblickbar- het; nog så viktiga komponenter för enskilda patienters integritets- skydd. Som tidigare nämnts är det framför allt bestämmelserna i patient- journallagen, vårdregisterlagen och personuppgiftslagen som är av betydelse för hälso- och sjukvårdssektorns hantering av personupp- gifter om patienter. Det är alltså i första hand bestämmelserna i de två förstnämnda lagarna som bör föras samman i en ny lag. (Vi åter- kommer till frågan hur en ny sådan lag skulle förhålla sig till bestäm- melserna i personuppgiftslagen.) Patientjournallagen innehåller de grundläggande bestämmelserna om patientjournaler inom hälso- och sjukvården. Lagen ställer krav på journalernas utformning, innehåll och hantering. Den innehåller därutöver bestämmelser om bl.a. hur journalerna skall bevaras, vilka yrkeskategorier som är skyldiga att föra journal och omhänder- tagande av journaler. Lagen är teknikneutral, dvs. den gäller oavsett om journaler förs på papper eller elektroniskt. Vårdregisterlagen reglerar automatiserad behandling av personupp- gifter i vårdregister och gäller utöver personuppgiftslagens bestäm- melser. Vårdregister förekommer inom hälso- och sjukvårdens indi- vidinriktade verksamhet och används för dokumentation av vården av patienter, för sådan administration som rör enskilda patienter och som syftar till att bereda vård i enskilda fall samt för den ekonomiadministration som föranleds av vård i enskilda fall. I lagen finns bestämmelser om bl.a. vilka uppgifter som får finnas i ett vård- register, för vilka ändamål personuppgifter i vårdregister får behand- las, i vad mån uppgifter får hämtas till ett vårdregister från andra register genom samkörning, i vad mån direktåtkomst till uppgifter i ett vårdregister får medges och i vad mån uppgifter får lämnas ut från ett vårdregister på medium för automatiserad behandling. Vårdregisterlagen är en registerförfattning och reglerar vilken personuppgiftsbehandling som får utföras. Patientjournallagen är däremot inte någon registerförfattning, utan innehåller regler om vad som måste göras i fråga om patientjournaler. En annan skillnad är att vårdregisterlagens bestämmelser avser behandling av person- uppgifter, medan patientjournallagens bestämmelser avser såväl infor- mationshantering som bedrivande av verksamheten. För att uppnå en mer sammanhållen lagstiftning bör, enligt vår uppfattning, utgångspunkten vara att samtliga bestämmelser i patient- journallagen och vårdregisterlagen skall föras över till den nya lagen. Det innebär att den nya lagen kommer att innehålla bestämmelser som reglerar såväl verksamheten som behandling av personupp- Med tanke på att praktiskt taget all patientdatahantering kommer att vara elektronisk framstår det enligt vår mening som mest ändamålsenligt med en sådan ordning. Sådan blandad lag- stiftning förekommer för övrigt . Ett exempel härpå är kreditupplysningslagen (1973:1173). Andra alternativ skulle vara att behålla de verksamhetsstyrande reglerna i patientjournallagen eller att föra över dem till någon annan författning, t.ex. hälso- och sjukvårdslagen eller lagen om yrkes- verksamhet på hälso- och sjukvårdens område. Då skulle emellertid regelverket kring patientdatahantering vara fortsatt splittrat och tillämpningen av lagstiftningen skulle inte underlättas på det sätt som vi eftersträvar. Vi föreslår alltså att bestämmelserna i patientjournallagen och vårdregisterlagen sammanförs i en ny lag. Denna bör ges namnet patientdatalagen. För att den nya lagen skall bli överblickbar föreslår vi att den delas in i flera kapitel. I ett inledande kapitel bör lagens tillämpnings- område, vissa begrepp, m.m. beskrivas. Ett kapitel bör innehålla grundläggande bestämmelser om behandling av personuppgifter. Ett annat kapitel bör innehålla bestämmelser om skyldigheten att föra patientjournal, vilka bestämmelser hämtas från patientjournallagen. Den föreslagna lagen bör även innehålla särskilda kapitel med be- stämmelser om inre sekretess och elektronisk åtkomst i en vårdgiva- res verksamhet, utlämnande av uppgifter och handlingar, nationella och regionala kvalitetsregister samt rättigheter för den enskilde. Vårt förslag: Patientdatalagen skall tillämpas vid behandling av personuppgifter i vårdgivares kärnverksamhet som avser tillhanda- hållande av hälso- och sjukvård inklusive tandvård åt patienter. Verksamhet hos t.ex. patientnämnder och läkemedelskommittéer eller verksamhet hos t.ex. eller Social- styrelsen omfattas inte av lagen. Med vårdgivare avses statlig myndighet, landsting och kommun i fråga om sådan hälso- och sjukvård som myndigheten, lands- tinget eller kommunen har ansvar för samt annan juridisk eller fysisk person som yrkesmässigt bedriver hälso- och sjukvård. Tillämpningsområdet omfattar all helt eller delvis automatise- rad behandling av personuppgifter samt behandling av personuppgifter som ingår i eller är avsedda att ingå i en struk- turerad samling av personuppgifter som är tillgängliga för sök- ning eller sammanställning enligt särskilda kriterier. Regleringen är således inte begränsad till särskilda datoriserade register, data- baser eller andra elektroniska uppgiftssamlingar. Därutöver gäller vissa särskilda bestämmelser om dokumenta- tion m.m. i patientjournaler. Dessa bestämmelser är tillämpliga även om behandlingen sker manuellt utan att personuppgifterna ingår i eller avses ingå i någon strukturerad uppgiftssamling. I tillämpliga delar gäller lagen också vid behandling av uppgifter om avlidna. Personuppgiftsbehandling i verksamhet som faller utanför pa- tientdatalagens tillämpningsområde regleras precis som av personuppgiftslagen. Till sådan verksamhet hör t.ex. verksamhet vid patientnämnder eller läkemedelskommittéer. Även hos en vård- givare som omfattas av lagens tillämpningsområde förekommer personuppgiftsbehandling som faller utanför lagens tillämpnings- område. Så är exempelvis fallet i internadministrativ verksamhet vid personuppgiftsbehandling rörande anställda eller rörande leverantörer av varor och tjänster. Sådan särskild personuppgiftsbehandling som sker för forsk- ningsändamål eller utbildningsändamål faller utanför lagens tillämp- ningsområde. Enligt våra första tilläggsdirektiv (dir. 2004:95) skall vårt förslag till reglering omfatta behandlingen av personuppgifter i den medicinska vården, den kvalitetsförbättrande verksamheten, forskningen och den administrativa verksamheten inom hälso- och sjukvården. När- mare än så preciseras inte det tänkta tillämpningsområdet för en kommande reglering. Efter en sammanfattande beskrivning av gällan- de rätt på området redovisar vi våra överväganden när det gäller så- väl vems som vilken personuppgiftsbehandling som bör regleras av patientdatalagen. Personuppgiftslagen har ett vidsträckt tillämpningsområde och reg- lerar i princip all hantering inom hälso- och sjukvårdssektorn av information om patienter, anhöriga, personal, fysiska uppdragstagare och andra enskilda så länge som uppgifterna direkt eller indirekt kan hänföras till en fysisk person som är i livet. Även vid hantering av t.ex. kodade uppgifter eller pseudonymer är personuppgiftslagens bestämmelser således tillämpliga. Däremot är personuppgiftslagen inte tillämplig när det handlar om behandling av uppgifter om avlidna. Vidare skall hanteringen, dvs. personuppgiftsbehandlingen, ske helt eller delvis automatiserat eller manuellt i register för att omfattas av personuppgiftslagen. Personuppgiftslagen är alltså teknikoberoende. Vid elektronisk behandling av personuppgifter i vårdregister gäller därutöver vårdregisterlagen. Tillämpningsområdet för vårdregisterlagen är knutet till särskilda datoriserade samlingar av personuppgifter som inrättats för att användas i hälso- och sjukvårdens individinriktade vårdverksamhet. Med vård enligt vårdregisterlagen avses vård enligt hälso- och sjukvårdslagen, tandvårdslagen (1985:125), lagen (1991:1128) om psykiatrisk tvångsvård och lagen (1991:1129) om rättspsykiatrisk vård samt smittskydd enligt smittskyddslagen (2004:168). Enligt förarbetena till vårdregisterlagen avses denna hänvisning till upp- räknade lagar skapa tydlighet i fråga om vilken vårdverksamhet som omfattas av vårdregisterlagens tillämpningsområde. All elektronisk patientjournalföring – oavsett om den grundar sig på patientjournal- lagen eller annan författning – regleras av vårdregisterlagen (prop. 1997/98:108 s. 68 f.). Vad som utgör ett vårdregister bestäms i hög grad av vårdregister- lagens ändamålsreglering i kombination med en bestämmelse om vad ett vårdregister får innehålla. Personuppgifter i ett vårdregister får behandlas för ändamålen dokumentation av vården av patienter eller för sådan administration som rör patienter och som syftar till att bereda vård i enskilda fall. Dessutom får personuppgifter be- handlas för den ekonomiadministration som föranleds av vård i en- skilda fall (3 §). De nämnda ändamålen kan kallas primära. Endast sådana personuppgifter som behövs för dessa primära ändamål får finnas i ett vårdregister. Vårdregisterlagen reglerar, liksom person- uppgiftslagen, bara behandling av uppgifter om levande personer. Personuppgifter i vårdregister får emellertid även användas för framställning av statistik, för uppföljning, utvärdering, kvalitetssäk- ring och administration på verksamhetsområdet samt för uppgifts- utlämnande som föreskrivs i lag eller förordning (4 §). Dessa ända- mål kan sägas vara sekundära ändamål. Personuppgiftsbehandling som sker särskilt för något eller flera av dessa sekundära ändamål omfattas dock inte av vårdregisterlagens tillämpningsområde. Per- sonuppgiftsbehandling i register eller liknande elektroniska uppgifts- samlingar som inrättats för andra ändamål än vårdregisterlagens primära ändamål – t.ex. kvalitetsregister eller elektroniska system för avvikelserapportering – regleras således bara av personuppgifts- lagen. Hälso- och sjukvård är en omfattande sektor i samhället som inbegri- per många myndigheter, företag och andra aktörer med verksamhet av betydelse för sektorn. Förutom landstingen och kommunerna – som ansvarar för organiserandet av hälso- och sjukvården inom sina områden och som dessutom i egen regi bedriver hälso- och sjukvård – finns det ett växande antal privata vårdgivare som tillhandahåller hälso- och sjukvård åt patienter. En del statliga myndigheter, såsom t.ex. Kriminalvården och , tillhandahåller viss hälso- och sjukvård. Till hälso- och sjukvården hör även före- tagshälsovården och skolhälsovården; verksamheter som kan ha en rad olika huvudmän. Därutöver finns flera statliga myndigheter med uppgifter inom hälso- och sjukvårdssektorn. Den största är Social- styrelsen som bl.a. utövar tillsyn över hälso- och sjukvården samt över hälso- och sjukvårdspersonalen.