sou · GUB382 · 2007-01-01 00:00:00 — När det gäller vad som faktiskt bör regleras i lag i fråga om inre sekretess gör vi följande bedömning. Inledningsvis kan påpekas att vi instämmer i OSEK:s bedömning att det finns skäl att reglera den inre sekretessen i form av ett förbud mot att inom ett sekretessområde röja en uppgift som omfattas av sekretess, om det är uppenbart obehövligt för verksamheten. Vi till- styrker därför förslaget men konstaterar att det systematiskt och lagtekniskt är mindre lämpligt att på endast ett delområde av hela den offentliga verksamheten särreglera en princip som egentligen torde gälla inom hela den offentliga förvaltningen och i all synnerhet på hälso- och sjukvårdens område. Vi konstaterar också att förslaget är långt ifrån tillräckligt för att åstadkomma ett tillfredsställande integritetsskydd när det gäller patientinformation inom hälso- och sjukvården. Vi noterar vidare att OSEK:s förslag endast gäller för den allmänna hälso- och sjuk- vården. Enligt vår uppfattning torde emellertid sådant röjande som OSEK:s förslag reglerar, kunna anses omfattas av det förbud mot obehörigt röjande som regleras i 2 kap. 8 § lagen om yrkesverksam- het på hälso- och sjukvårdens område. Därvid kan anmärkas att den nämnda bestämmelsen enligt sin ordalydelse inte är begränsad till röjanden eller utlämnanden till mottagare utanför en privat vårdgi- vares organisation. Möjligen kan tveksamhet uppstå angående den sistnämnda bestämmelsens räckvidd avseende den inre sekretessen vid en straffrättslig bedömning av om brott mot tystnadsplikt före- ligger. Denna straffrättsliga aspekt ingår dock inte i vårt uppdrag och kan inte närmare behandlas i detta sammanhang. Mot bakgrund av det sagda avstår vi från att föreslå någon särbestämmelse om tyst- nadsplikt av här aktuellt slag för den enskilda hälso- och sjukvården. När det gäller frågan hur man i patientdatalagen bör reglera han- teringen av och tillgängligheten till journaler och annan dokumen- tation om patienter kan man konstatera att redan de nuvarande bestämmelserna i 7 § första stycket patientjournallagen och 8 § vårdregisterlagen egentligen uttrycker det man vill uppnå, nämligen att obehöriga inte får tillgång till den integritetskänsliga informa- tionen och att en anställd inte skall ges åtkomst till elektroniska journaler m.m. i vidare omfattning än vad han eller hon behöver för sitt arbete. I den komplexa hälso- och sjukvårdsverksamheten är det dock naturligt att sådana allmänt hållna bestämmelser ger utrymme för olika tolkningar. Frågan är i vad mån det går, med beaktande av det tidigare sagda, att förtydliga bestämmelserna på ett sätt som kan passa i alla de verksamheter vars informationshantering regleras av patientdatalagen. I det följande börjar vi med den reglering som be- hövs och som bör gälla både för manuellt och elektroniskt hanterad information. Därefter kommer våra överväganden när det gäller uteslutande elektronisk informationshantering. Bestämmelser om inre sekretess avseende både manuellt och elektroniskt hanterade uppgifter Vi menar att bestämmelsen i 7 § första stycket patientjournallagen om journalens hantering och förvaring är väsentlig för det inre sekretesskyddet. Bestämmelsen bör därför vara kvar men vidgas i sitt tillämpningsområde till att omfatta alla dokumenterade person- uppgifter om en patient eller om annan enskild registrerad – t.ex. uppgifter i patientjournaler om anhöriga – som behandlas enligt patientdatalagen. Vi föreslår således en bestämmelse som uttryckli- gen anger detta. Som framkommit tidigare införs inte något förbud mot journalföring eller annan behandling av person- uppgifter. Det är bl.a. därför relevant att i bestämmelsen tala om förvaring utöver hantering. Det kan noteras att bestämmelsen, även om den främst har betydelse för den inre sekretessen, inte enbart riktar sig mot obehöriga inom en vårdgivares organisation. Kravet på hanteringen och förvaringen gäller även i förhållande till övriga patienter och andra utomstående. Inom den allmänna hälso- och sjukvården följer detta redan av sekretesslagens och arkivlagens (1990:782) bestämmelser. För den enskilda hälso- och sjukvården finns dock ingen motsvarande reglering annat än den nämnda be- stämmelsen i patientjournallagen. Just när det gäller den inre sekretessen tror vi emellertid att det är till fördel – inte minst från pedagogisk synpunkt – att det klargörs att en befattningshavare är behörig att ta del av patientuppgifter endast om han eller hon deltar i vården av patienten eller av annat skäl behöver uppgifterna för sitt arbete inom hälso- och sjukvården. Med vård avses även undersökning och behandling. Förslaget mot- svarar i stort förslag till förtydligande med den skillnaden att vårt förslag inte begränsar sig enbart till hälso- och sjukvårdspersonal vid en enhet och dess arbete på enheten. Vårt förslag har en mer generell räckvidd och omfattar all personal oavsett var den tjänstgör och oavsett för vilka syften uppgifterna behövs, så länge som dessa syften gäller verksamhet som omfattas av patient- datalagens tillämpningsområde och särskilda ändamål, se avsnitt 7.3.2 och 8.2.3. Bestämmelsen är emellertid teknikoberoende och gäller för både och elektronisk informationshantering alldeles oberoende av i vilken uppgiftssamling patientuppgifterna finns. Tilldelning av behörighet för elektronisk åtkomst Vad därefter gäller elektronisk dokumentation om patienter menar vi att det i lagen bör införas en bestämmelse som föreskriver ett an- svar för den verksamhetsansvariga vårdgivaren att närmare bestäm- ma villkoren för personalens elektroniska åtkomst till uppgifter om patienter. Det kan påminnas om att vi med begreppet elektronisk åtkomst avser personalens möjligheter att elektroniskt bereda sig tillgång till personuppgifter som finns elektroniskt tillgängliga i en vårdgivares organisation. Med begreppet direktåtkomst avses i patient- datalagen – till skillnad från i vårdregisterlagen – en speciell form av elektroniskt utlämnande till en mottagare utanför vårdgivarens orga- nisation. Behörighet för personalens elektroniska åtkomst till uppgifter om patienter skall begränsas till vad befattningshavaren behöver för att kunna utföra sina arbetsuppgifter inom hälso- och sjukvården. Däri ligger bl.a. att behörigheter skall följas upp och förändras eller inskränkas efter hand som ändringar i den enskilde befattningsha- varens arbetsuppgifter ger anledning till det Bestämmelsen motsvarar i princip 8 § vårdregisterlagen. Syftet med bestämmelsen är att in- pränta skyldigheten för den ansvariga vårdgivaren att göra aktiva och individuella behörighetstilldelningar utifrån analyser av vilken närmare information olika personalkategorier och olika slags verk- samheter behöver. Men det behövs inte bara behovsanalyser. Även riskanalyser måste göras där man tar hänsyn till olika slags risker som kan vara förknippade med en alltför vid tillgänglighet avseende vissa slags uppgifter. Skyddade personuppgifter som är sekretessmarke- rade, uppgifter om allmänt kända personer, uppgifter från vissa mot- tagningar eller medicinska specialiteter är exempel på kategorier som kan kräva särskilda riskbedömningar. Generellt sett kan sägas att ju mer omfattande ett informations- system är, desto större mängd olika behörighetsnivåer måste det finnas. Avgörande för beslut om behörighet för t.ex. olika kategorier av hälso- och sjukvårdspersonal till elektronisk åtkomst till uppgifter i patientjournaler, bör vara att behörigheten skall begränsas till vad befattningshavaren behöver för ändamålet en god och säker patient- vård. En mer vidsträckt eller grovmaskig behörighetstilldelning bör – även om den skulle ha poänger utifrån effektivitetssynpunkt – anses som en obefogad spridning av journaluppgifter inom en verksamhet och bör som sådan inte accepteras. Vidare bör uppgifter lagras i olika skikt så att mer känsliga uppgifter kräver aktiva val eller annars inte är lika enkelt åtkomliga för personalen som mindre känsliga upp- gifter. När det gäller personal som arbetar med verksamhetsupp- följning, statistikframställning, central ekonomiadministration och liknande verksamhet som inte är individorienterad torde det för fler- talet befattningshavare räcka med tillgång till uppgifter som endast indirekt kan härledas till enskilda patienter. Elektronisk åtkomst till kodnycklar, personnummer och andra uppgifter som direkt pekar ut enskilda patienter bör på detta område kunna vara starkt begränsad till enstaka personer. Att i generella termer reglera hur behörighetstilldelning till hälso- och sjukvårdspersonal och andra befattningshavare bör utformas ter sig dock inte möjligt, i vart fall inte lagstiftningsvägen. Närmare riktlinjer och föreskrifter bör emellertid kunna meddelas på myndig- hetsnivå. Enligt vår uppfattning bör det ankomma på att efter samråd med Datainspektionen meddela föreskrifter i ämnet. Genom mera detaljerade föreskrifter i dessa avseenden torde man kunna råda bot på de brister i enhetlighet vid personuppgiftsbe- handling som bl.a. Datainspektionen pekat på i sin tidigare nämnda rapport. Vid sammanhållen journalföring bör behörighet tilldelas enligt samma principer, nämligen att varje vårdgivare prövar sin personals elektroniska åtkomst till andra vårdgivares vårddokumentation som finns tillgänglig för vårdgivaren i den sammanhållna journalföringen. Det är enligt vår uppfattning den mest rimliga lösningen, eftersom det är denna vårdgivare som utåt sett bör ansvara för vad den egna personalen gör. Liksom tidigare ingår det i vårdgivarens ansvar för behörighets- tilldelningen att tillse att den enskilde befattningshavaren får infor- mation om innebörden av behörigheten. Det behöver emellertid inte särskilt föreskrivas i lagen. Kontroll av elektronisk åtkomst Enligt både patientjournallagen och vårdregisterlagen följer ett ansvar för den verksamhetsansvariga vårdgivaren att självmant följa upp hur behörighetssystem fungerar och i vad mån obehörig intern åt- komst skett. Såsom bl.a. påtalats i Datainspektionens rapport och som framkommit i andra sammanhang tycks flera vårdgivare inte vara helt införstådda med sina skyldigheter i dessa avseenden. Där- för föreslår vi en uttrycklig bestämmelse om skyldighet för vård- givaren att dokumentera all elektronisk åtkomst. Åtkomsten (den s.k. behandlingshistoriken eller loggen) blir därigenom möjlig att kontrollera i efterhand. Såvitt vi erfarit är detta en ordning som redan tillämpas i praktiken när det gäller elektroniska journal- och patientadministrativa system inom hälso- och sjukvården. Det räcker dock inte att bara göra uppföljningskontroller i särskil- da fall då man misstänker obehörigt intrång, t.ex. därför att patienten är en allmänt känd person. Vårdgivarna bör därför åläggas att syste- matiskt och fortlöpande företa kontroller av om obehörig åtkomst till uppgifter om patienter förekommer. Vi föreslår att detta uttryck- ligen föreskrivs som ett krav i patientdatalagen. En sådan bestäm- melse innebär inte bara att faktiska dataintrång med större säkerhet kommer att kunna konstateras och beivras. Bestämmelsen bör också få en starkt avhållande verkan på personal som, om risken för upptäckt är liten, kan frestas att olovligen läsa uppgifter. Av samma skäl som nämnts i det föregående bör även i dessa frågor närmare föreskrifter meddelas på myndighetsnivå. Med tanke på ställning som central förvaltningsmyndighet för hälso- och sjukvårdsverksam- het, anser vi att denna myndighet lämpligen bör ansvara för att före- skrifter meddelas, dock efter samråd med Datainspektionen. Sådana föreskrifter bör omfatta inte bara hur kontroller skall utföras utan också kunna närmare reglera omfattningen av åtkomstdokumen- tation och hur länge den skall sparas. Föreskrifter bör t.ex. kunna innehålla bestämmelser inte bara att det av loggen skall framgå när och av vem en slagning skett i ett elektroniskt system utan t.ex. även när en utskrift från en journalhandling gjorts eller, vid samman- hållen journalföring, när en kopia av en journalhandling laddats ned eller annars lagrats av en vårdgivare som använt sin direktåtkomst till annan vårdgivares journalhandling. En rätt för patienten att få information om direktåtkomst och elektronisk åtkomst Det har i olika sammanhang anförts att den enskilde patienten bör ha möjligheter att själv kontrollera vilken åtkomst som förekommit till uppgifter om honom eller henne i elektroniska journaler. I flera av de projekt som pågår, t.ex. i projektet patientöver- sikt, planerar man att patienten själv skall kunna via sin direktåt- komst följa upp åtkomsten. Det förekommer också att åtkomst- historik i form av logglistor lämnas ut på papper till patienter som begärt detta. Inom den allmänna hälso- och sjukvården utgör logglistorna all- männa handlingar som patienter kan begära utlämnade med stöd av 2 kap. tryckfrihetsförordningens bestämmelser. Någon sekretess torde normalt inte kunna anföras som skäl mot att lämna ut sådana listor. De allmänna handlingar om åtkomsthistorik som skapas i in- formationssystemen kan emellertid vara ganska svårlästa för en lek- man. Varken tryckfrihetsförordningen eller någon annan reglering (t.ex. 15 kap. 4 eller 12 §§ sekretesslagen eller 4 § förvaltningslagen [1986:223]) garanterar patienten en rätt att få information om åt- komsthistoriken som är bearbetad på sådant sätt att informationen om direktåtkomsten och den elektroniska åtkomsten presenteras i en för patienten begriplig och tillrättalagd form. Inte heller utgör denna typ av uppgifter sådan information som en personuppgifts- ansvarig myndighet är skyldig att på begäran lämna till registrerade patienter enligt 26 § personuppgiftslagen. Någon rätt för patienter att få logglistor från den enskilda hälso- och sjukvården finns inte. Vi är övertygade om att allmänhetens förtroende för hälso- och sjukvårdens informationshantering förstärks, om den enskilde får klar och tydlig information om vilken åtkomst som förekommit till uppgifter om honom eller henne. Bara vetskapen om att man som patient har den möjligheten, skulle troligen innebära en tillräcklig trygghet för flertalet patienter i fråga om att deras personliga in- tegritet skyddas i verksamheten. För den patient som oroar sig för t.ex. nyfikenhet hos en släkting eller en bekant som arbetar på en annan avdelning än den där patienten vårdas, är bearbetade logglistor med förklaringar givetvis ett utmärkt verktyg att själv kunna kon- statera om oron varit befogad. Liksom när det gäller förslaget om att åtkomstkontroller skall göras systematiskt och fortlöpande, torde vetskapen om patientens rätt att själv kontrollera åtkomsten ha en starkt avhållande verkan. Vi föreslår därför en bestämmelse om att patienter skall ha rätt att på begäran få information om vilken direktåtkomst och elektro- nisk åtkomst till uppgifter om honom eller henne som förekommit. Bestämmelsen bör omfatta både den allmänna och enskilda hälso- och sjukvården. Vi vill här poängtera att vårt förslag är en informa- tionsbestämmelse och alltså inte detsamma som patientens rätt enligt tryckfrihetsförordningen att begära ut en allmän handling, en logg- lista, hos myndigheter inom hälso- och sjukvården eller att på begäran få uppgifter ur allmän handling enligt 15 kap. 4 § sekretesslagen. Exakt vad informationen skall innehålla och hur eller hur ofta den skall lämnas bör inte närmare regleras i lag utan av regeringen eller, efter vidarebemyndigande, av efter samråd med Data- inspektionen. Enligt vår uppfattning är det väsentligt att den infor- mation som lämnas är begriplig och vägledande för patienten när han eller hon själv skall bilda sig en uppfattning om huruvida åtkomsten varit befogad eller inte. Det bör t.ex. tydligt framgå när och från vilken enhet en slagning skett. Vid sammanhållen journalföring bör vidare varje vårdgivare kunna redovisa vilken åtkomst till den egna verksamhetens journaluppgifter som förekommit från andra vård- givare. Även dessa andra mottagande vårdgivare bör kunna redovisa när direktåtkomsten använts. Detta får som sagt närmare behandlas i myndighetsföreskrifter. Det bör påpekas att förslaget om patientens rätt att få informa- tion om åtkomst inte på något sätt befriar vårdgivaren från ansvaret att självmant följa upp hur behörighetssystemet fungerar och i vad mån obehörig intern (likväl som extern) åtkomst förekommit. Under utredningsarbetet har vi inhämtat att det förekommer bland en del vårdgivare att patienter som så önskar kan begära att journal- uppgifter spärras från elektronisk tillgänglighet utanför en avdelning, klinik eller motsvarande. Enligt uppgift förekommer dock sällan att patienter begär detta. Patientens möjlighet i detta avseende är, som vi ser det, helt i linje med de grundläggande principerna som slås fast i 2 a § hälso- och sjukvårdslagen om att verksamheten skall bygga på respekt för patientens självbestämmande och integritet och så långt det är möjligt utföras och genomföras i samråd med patienten. Så- som anförts har dessa grundprinciper bäring även på hante- ringen av information om patienten. Bestämmelsen anses t.ex. föra med sig att det är ett naturligt inslag i vården att patientens samtycke inhämtas till att en journalhandling lämnas vidare till en annan vård- enhet (prop. 1990/91:111 s. 24). JO har i ett äldre utlåtande, JO 1986/87 s. 198, uttalat att det följer av den angivna bestämmelsen i hälso- och sjukvårdslagen att en patients uttryckliga önskemål om att journaler inte lämnas till andra kliniker på samma sjukhus skall respekteras utom i rena nödsituationer. Enligt vår uppfattning finns inget skäl att göra avsteg från dessa principer, bara därför att ny teknik gör det möjligt att öka patient- säkerheten genom en breddad tillgänglighet till journaluppgifter. Tvärtom, menar vi, är det en förtroendefråga att regleringen av per- sonuppgiftsbehandlingen står i samklang med dessa principer. Så är dock inte fallet . Varken vårdregisterlagen eller personuppgifts- lagen ger patienten något inflytande över tillgängligheten till hans eller hennes patientjournal inom en vårdgivares verksamhet. Vi menar att mot bakgrund inte minst av den utveckling som på- går inom många landsting med en centraliserad myndighetsstruktur och mot allt större, ibland landstingsgemensamma journalsystem, finns det ett påkallat behov av en förbättring i detta avseende. För en del patienter kommer det inte att räcka med en möjlighet att i efterhand kontrollera vilken åtkomst som förekommit. De bör ha en möjlighet att motsätta sig att journaluppgifter eller annan vård- dokumentation görs elektroniskt tillgängliga för andra vårdenheter alternativt vårdprocesser än den vid vilken han eller hon vårdas under en specifik vårdepisod. I annat fall kan man inte utesluta att patien- ter håller inne med känslig men viktig information av rädsla för att informationen sprids eller, i värsta fall, att enskilda drar sig för att uppsöka hälso- och sjukvården. Man kan inte heller helt utesluta att enskilda yrkesutövare av hänsyn till patienten börjar föra anteck- ningar vid sidan av journalen, om det inte finns möjligheter att spärra uppgifterna för läsbarhet utanför en snävare krets av hälso- och sjukvårdspersonalen. Sådan parallell sidojournalföring bör inte få förekomma, eftersom det i förlängningen skulle få negativa återverk- ningar på patientsäkerheten. Vi föreslår således en bestämmelse som slår fast de principer som uttrycks i den anförda bestämmelsen i 2 a § hälso- och sjukvårdslagen när det gäller elektronisk tillgänglighet inom en vårdgivares individinriktade patientverksamhet. Den av oss föreslagna bestämmelsen motsvarar patientens opt out- möjlighet i fråga om tillgängliggörande av journaluppgifter för andra vårdgivare vid sammanhållen journalföring, se avsnitt 11.3.3 för en närmare beskrivning av innebörden av opt out-möjligheten. Med patientens samtycke skall dessa s.k. inre spärrar få hävas av en behörig befattningshavare vid en annan vårdenhet eller vård- process som patienten besöker. Det följer i och för sig redan av be- stämmelsen som föreslagits i avsnitt 8.5 om verkan av att patienten samtycker till en personuppgiftsbehandling i strid mot de uttryckliga bestämmelserna i patientdatalagen. Patienten skall också kunna vända sig till vårdgivaren och begära en mer varaktigt hävning. Detta bör regleras uttryckligen. Vidare föreslår vi att spärren skall kunna for- ceras från en annan enhet, t.ex. akuten, om informationen kan antas ha betydelse för den vård som patienten oundgängligen behöver och ett samtycke inte kan inhämtas, t.ex. därför att patienten är medvets- lös, omtöcknad eller liknande och situationens allvar motiverar en forcering. Liksom i fråga om den sammanhållna journalföringen handlar den inre spärren inte om huruvida uppgifter om en patient alls bör få ut- bytas mellan olika kliniker eller olika sjukhus m.m. hos en och samma vårdgivare. Det sagda reglerar bara sättet för utbytet; elektronisk åtkomlighet. Några nya interna sekretessgränser föreslås alltså inte. Spärrarna innebär alltså inget hinder mot att personal vid olika vård- enheter eller vårdprocesser tar kontakt med varandra på motsvarande sätt som sker när t.ex. en vårdcentral behöver uppgifter från ett sjukhus inom samma landsting och man inte har elektronisk åt- komst till sjukhusets journalsystem. I dessa fall får frågan avgöras på motsvarande sätt som sker, dvs. med tillämpning av bl.a. de ovan berörda principerna i hälso- och sjukvårdslagen. Till skillnad från när det gäller elektronisk åtkomst är det dock befattningshavare vid den vårdenhet eller vårdprocess som sitter på informationen som har att göra denna bedömning, inte befattningshavare vid den enhet eller motsvarande som anser sig behöva informationen. Inte heller ges patienten genom förslaget en rätt att hindra vård- givaren från att använda uppgifter om honom eller henne vid t.ex. uppföljning och kvalitetssäkring av den egna verksamheten. sagts ovan torde dock, vid denna användning, åtkomsten till direkt utpekande personuppgifter vara mycket begränsad. Precis som vid sammanhållen journalföring bör det få framgå i det elektroniska informationssystemet att det finns vårddokumen- tation som är spärrad. Med tanke bl.a. på att de inre spärrarna inte är lika absoluta som spärrar vid sammanhållen journalföring – i nöd- lägen och liknande skall inre spärrar kunna forceras av behöriga befattningshavare hos vårdgivaren – bör det av varje spärr få framgå vilken vårdenhet eller vårdprocess spärren avser. I annat fall torde det nästan vara omöjligt för en behörig befattningshavare att bedöma om spärrad information kan antas ha betydelse för vården eller inte. Vi är medvetna om att det är oklart vad som exakt menas med be- greppen vårdenhet respektive vårdprocess. I Termbank definieras vårdenhet som organisatorisk enhet som tillhandahåller hälso- och sjukvård. Det anmärks att varje huvudman avgör avgräns- ningen i det enskilda fallet. Vårdprocess definieras i Termbanken som följd av aktiviteter eller åtgärder som utförs för en patient, avseen- de ett visst hälsoproblem, mellan inkommen vårdbegäran och avslag av vårdbegäran eller avslut av vårdåtagande. Avgränsningen av en vårdprocess är således funktionell och inte organisatorisk såsom beträffande vårdenhet. En vårdprocess kan med andra ord inbegripa avgränsbara aktiviteter eller åtgärder hos olika vårdenheter som till- sammans bildar en funktionell helhet. I hälso- och sjukvårdens oerhört stora och varierande verksam- het finns dock inga andra klart avgränsade begrepp som är använd- bara inom alla slags verksamheter. Att i lag närmare definiera vad som generellt avses med en enhet eller en process är inte möjligt som vi ser det. tror vi inte att det i den praktiska tillämpningen kommer att innebära svårigheter att dra upp dessa alternativa grän- ser. Många privata vårdgivare bildar en enda enhet. Men det gäller förstås inte för alla. är ett exempel på en vård- givare som bedriver verksamhet på många mottagningar spridda över landet.