sou · GUB382 · 2007-01-01 00:00:00 — Upp- gift om att det finns spärrade uppgifter får dock göras tillgänglig. Innan uppgifter om en patient gör tillgängliga för andra vårdgivare genom sammanhållen journalföring, skall patienten informeras om vad den sam- manhållna journalföringen innebär och om att patienten kan motsätta sig den. Om en patient motsätter sig sammanhållen journalföring, skall upp- gifterna genast spärras. En patient kan när som helst begära att den vård- givare som har spärrat uppgifterna häver spärren. Paragrafen har behandlats i avsnitt 11.3.3. Av första stycket framgår att en patient har möjlighet att motsätta sig att uppgifter om honom eller henne görs tillgängliga för andra vårdgivare i ett sammanhållet journalföringssystem. Bestämmelsen kräver inte att den enskilde skall lämna ett uttryckligt och informerat samtycke till att uppgifter om honom eller henne får göras tillgängliga för andra vårdgivare genom sammanhållen journalföring utan innebär endast att patienten har en möjlighet att motsätta sig detta. Bestämmelsen ger uttryck för vad man kan kalla för en opt out-modell eller, om man så vill, en ord- ning i vilket ett tyst samtycke gäller för att journaluppgifter görs tillgängliga för andra vårdgivare. Att patienten kan motsätta sig ett tillgängliggörande innebär inte att han eller hon har rätt att motsätta sig att uppgifter journalförs i det elektroniska system som vårdgiva- ren använder. Det innebär bara att uppgifterna på den enskildes be- gäran spärras för tillgänglighet hos andra vårdgivare. En spärrning kan på patientens begäran avse samtliga eller bara vissa uppgifter. Inget hindrar att en spärrning kan göras endast i förhållande till någon eller vissa vårdgivare som deltar i det sammanhållna journalsystemet. I och med att de spärrade uppgifterna inte är tekniskt tillgängliga för övriga vårdgivare är de inte att anse som förvarade och inkomna hos de vårdgivare som är allmänna och därmed inte heller allmänna hand- lingar hos dessa, se vidare i sistnämnda fråga avsnitt 11.4.2. Att uppgifterna är spärrade innebär alltså att andra vårdgivare inte har någon direktåtkomst till uppgifterna. Den spärrade informatio- nen kan inte läsas av extern personal. Däremot får det i ett system för sammanhållen journalföring ingå uppgift om att det finns spär- rade uppgifter. Syftet med detta är att kännedomen om att det finns spärrade uppgifter kan initiera en önskvärd dialog mellan en patient och hälso- och sjukvårdspersonal i en enskild vårdsituation. Av integritetsskäl får däremot inga andra uppgifter vara tillgängliga, exempelvis vilken vårdgivare som har spärrat uppgifterna. Det finns inget undantag som innebär att en spärr i en akut nöd- situation får forceras av en extern vårdgivare. Den enskildes aktiva ställningstagande om att uppgifter inte skall finnas tillgängliga skall alltså respekteras obetingat. Det sagda utesluter emellertid inte att uppgifter som finns om en patient hos en vårdgivare i undantagsfall kan lämnas till en annan vårdgivare. Då är det emellertid inte fråga om att uppgifter görs tillgängliga genom direktåtkomst i ett sam- manhållet journalföringssystem. Om en patient på grund av sitt hälso- tillstånd eller av annat skäl inte kan samtycka till ett utlämnande, kan nämligen uppgifter om en enskild utan hinder av sekretess under vissa förhållanden lämnas från en vårdgivare till en annan, se 7 kap. 1 d § andra stycket sekretesslagen. Sistnämnda fråga behandlas i av- snitt 14.4. I andra stycket föreskrivs att patienten innan uppgifterna om patien- ten görs tillgängliga för andra vårdgivare skall informeras om vad sam- manhållen journalföring innebär och om att patienten kan motsätta sig den. Att patienten på detta tidiga stadium skall informeras om den sammanhållna journalföringen bygger på respekten för patientens självbestämmande och integritet och att vården och behandlingen så långt som möjligt skall utformas och genomföras i samråd med patienten. Hur informationen skall lämnas överlåts åt varje person- uppgiftsansvarig att bestämma. Något krav på att informationen skall ges i viss form – muntlig eller skriftlig – finns inte. Det är dock viktigt att den personuppgiftsansvarige utarbetar rutiner för hur in- formationsskyldigheten skall fullgöras. Säkra rutiner ligger i den personuppgiftsansvariges eget intresse, eftersom denne – då det gäller information till en registrerad vid personuppgiftsbehandling – anses ha bevisbördan för att obligatorisk information faktiskt har lämnats till patienten. När det gäller t.ex. patienter som inte talar svenska bör den personuppgiftsansvarige se till att någon översätter infor- mationen eller att det finns skriftliga informationsblanketter på flera språk. kan naturligtvis inte informationen lämnas på ett så tidigt stadium som föreskrivs i paragrafen. Inom hälso- och sjukvården är det vanligt att patientens hälsotillstånd omöjliggör att information lämnas om en personuppgiftsbehandling innan uppgifter om patien- ten registreras. Patienten kan vara medvetslös eller alltför fysiskt eller psykiskt medtagen för att kunna ta till sig information av det slag som här avses. I ett sådant fall får uppgifterna inte göras tillgängliga för andra vårdgivare. Det får ske först då patienten blivit informe- rad och tillgodogjort sig informationen samt haft möjlighet att mot- sätta sig att uppgifterna görs tillgängliga. Det är i och för sig inte nödvändigt att information lämnas vid varje kontakttillfälle med en patient under förutsättning att inget tvivel råder om att patienten är införstådd med vad den sammanhållna journalföringen innebär. Patientdatalagen innehåller inga särskilda bestämmelser om hur icke beslutskompetenta personer skall informeras om sammanhållen journalföring. Frågan om information till sådana personer får han- teras på samma sätt som . Det innebär att informationen kan behöva lämnas till någon behörig ställföreträdare eller någon nära anhörig. Inte heller finns det i lagen några särskilda regler om hur barn och ungdomar skall informeras. Huruvida informationen skall lämnas till en ställföreträdare, är ytterst en lämplighetsfråga som får lösas med hänsyn till bl.a. till den unges ålder och utveckling. Av tredje stycket framgår att uppgifterna genast skall spärras, om patienten motsätter sig sammanhållen journalföring, och att en patient när som helst kan begära att den vårdgivare som har spärrat upp- gifterna häver spärren. En patient kan alltså begära att uppgifter om honom eller henne spärras även efter det att uppgifterna har gjorts tillgängliga för andra vårdgivare. Det bör normalt sett inte innebära någon olägenhet för patienten att uppgifterna spärras efter det att de har gjorts tillgängliga i det sammanhållna journalföringssystemet. Tanken är nämligen att vårdgivarna normalt inte skall ladda ner andra vårdgivares journalhandlingar för att bifoga dem till den egna jour- nalföringen. Risken är annars att den egna journalen kommer att tyngas av svåröverskådlig information. Det är inte heller från integritetssynpunkt önskvärt med en sådan kopiering, jfr 2 kap. 7 §. Det är den vårdgivare som lagt in spärren som skall häva den. Det fordras inte att patienten själv har kontakt med just den vårdgivare som lagt in spärren när patienten vill häva spärren. Det kan exem- pelvis ske i samband med att patienten senare besöker en annan vårdgivare. Om patienten då vill häva spärren, får den senare vårdgi- varen meddela den vårdgivare som har spärrat uppgifterna att patien- ten vill ha spärren hävd. Patientens önskan att häva spärren bör dokumenteras på lämpligt sätt, exempelvis i patientens journal. 3 § För att en vårdgivare skall få bereda sig tillgång till uppgifter som inte är spärrade enligt 2 § tredje stycket krävs att 1.uppgifterna rör en patient som det finns en aktuell patientrelation 2.uppgifterna kan antas ha betydelse för vården av patienten, och 3.patienten samtycker till det. Vårdgivaren får även bereda sig tillgång till sådana uppgifter om 1.uppgifterna rör en patient som det finns eller har funnits en patient- relation med, 2.uppgifterna kan antas ha betydelse för att utfärda sådant intyg som avses i 3 kap. 15 §, och 3.patienten samtycker till det. I denna paragraf regleras när en vårdgivare, som är ansluten till ett sammanhållet journalföringssystem, får bereda sig tillgång till upp- gifter som inte är spärrade av annan vårdgivare. Av första stycket, som närmare har behandlats i avsnitt 11.3.4, framgår att tre villkor skall vara uppfyllda för att en vårdgivare skall få bereda sig tillgång till ospärrade uppgifter som annan vårdgivare har registrerat, nämligen att de aktuella uppgifterna rör en patient som vårdgivaren har en aktuell patientrelation till, att uppgifterna kan antas ha betydelse för vården av en patient samt att patienten samtycker till det. Kravet att det skall finnas en aktuell patientrelation för att vård- givaren skall få bereda sig tillgång till uppgifterna skall inte uppfattas som någon regel om inre sekretess (jfr avsnitt 12). Kravet anger en- dast en allmän förutsättning för när en vårdgivare över huvud taget får använda den direktåtkomst till annan vårdgivares information som vårdgivaren medgetts genom den sammanhållna journalföringen. Härigenom begränsas den legala åtkomsten i förhållande till den faktiska tillgången till andra vårdgivares information till att enbart omfatta de patienter som vårdas eller behandlas inom den egna verk- samheten. I avsnitt 11.4 berörs vilken betydelse en rättslig begräns- ning av här aktuellt slag har när det gäller tolkningen av 2 kap 3 § tredje stycket tryckfrihetsförordningen. Huruvida en patientrelation över huvud taget föreligger med en enskild person är normalt enkelt att konstatera. En patientrelation anses vanligen som avslutad då en intagen sjukhuspatient skrivs ut såsom färdigbehandlad och det inte finns några inplanerade återbesök, efterkontroller eller liknande. Det- samma bör gälla om patienten skrivs ut för fortsatt vård eller upp- följning hos öppen primärvård i annan vårdgivares regi. Mer tveksamt kan det vara huruvida en husläkare, och därmed den vårdgivare husläkaren hör till, skall anses ha en ständig aktuell patientrelation med alla de personer som tecknat sig hos läkaren. Så bör normalt inte bedömas vara fallet, men beträffande sådana patienter som regel- bundet och relativt frekvent besöker eller har kontakt med sin hus- läkare kan en annan bedömning göras. Av kravet på att det skall finnas en aktuell patientrelation följer att det inte är tillåtet för en vårdgivare att i en behandlingssituation med en patient söka efter och bereda sig tillgång till journaluppgifter avseende en annan patient som vårdas hos en annan vårdgivare, t.ex. en nära släkting med samma sjukdomsdiagnos. Ytterligare ett krav för att en vårdgivare skall få bereda sig till- gång till uppgifter som inte är spärrade är att uppgifterna kan antas ha betydelse för vården eller behandlingen av patienten. Denna regel innebär att en vårdgivare som deltar i ett sammanhållet journalfö- ringssystem inte – med undantag från vad som anges i andra stycket – får ha direktåtkomst till andra vårdgivares uppgifter för andra syf- ten än vård och behandling. Rekvisitet kan antas ha betydelse förut- sätter att den som avser bereda sig tillgång till ospärrade uppgifter gör något aktivt ställningstagande till vilken betydelse uppgifterna kan ha. Det skall på goda grunder kunna antas att uppgifterna har någon betydelse. kan inte alltför stora krav ställas på en vårdgivare. För att ta ett exempel torde det normalt kunna antas sakna betydelse för den somatiska vården av en patient att ta del av vad som antecknats hos en psykiatrisk öppenvårdsmottagning i ett annat landsting . För att en vårdgivare skall få bereda sig tillgång till ospärrade upp- gifter krävs också att patienten samtycker till det. I detta skede räcker det således inte att patienten inte motsätter sig att vårdgivaren tar del av uppgifterna. Det fordras ett aktivt samtycke från patientens sida. Det skall vara ett sådant samtycke som avses i personuppgifts- lagen (1998:204), dvs. det skall vara frivilligt, särskilt och otvetydigt. Kravet på att samtycket skall vara frivilligt ger uttryck för att den enskilde verkligen skall ha ett val. En registrerad kan vidare enligt personuppgiftslagen inte lämna ett giltigt generellt samtycke till per- sonuppgiftsbehandling som inte är preciserad till något eller några ändamål. Det följer av kravet på att samtycket skall vara särskilt. Att samtycket skall vara otvetydigt anses innebära att det inte får råda någon tvekan om att den registrerade godtar personuppgiftsbehand- lingen. Det är lämpligt att samtycket dokumenteras även om det inte finns något formellt krav på detta. Samtycket skall givetvis före- gås av att patienten får information om vad han eller hon samtyckt Inget hindrar att ett samtycke lämnas i förväg innan den aktuella patientrelationen har uppstått. kan det vara en prak- tisk ordning att patienten redan i samband med att uppgifter om honom eller henne görs tillgängliga i ett sammanhållet journalsystem samtycker till att annan vårdgivare senare får ta del av uppgifterna. Detta är möjligt under förutsättning att samtycket är särskilt och otvetydigt. Ett praktiskt exempel på då samtycke kan lämnas i för- väg är då patienten befinner sig i en vårdprocess som inbegriper flera olika vårdgivare och där patienten skickas runt mellan dessa i ett re- missförfarande. Patientdatalagen innehåller inga särregler för vuxna patienter som tillfälligt eller varaktigt brister i sin beslutsförmåga eller om i vilken utsträckning ungdomar kan lämna samtycke. Se härom författningskommentaren till 2 §. Av andra stycket framgår att en vårdgivare under vissa förutsätt- ningar får bereda sig tillgång till ospärrade uppgifter i ett samman- hållet journalföringssystem för att utfärda intyg om en patients vård, se avsnitt 11.3.6. 4 § En vårdgivare får bereda sig tillgång till en annan vårdgivares uppgifter om en patient, om patientens samtycke inte kan inhämtas och uppgifterna kan antas ha betydelse för den vård som patienten oundgängligen behöver. Detta gäller endast om uppgifterna inte är spärrade enligt 2 § tredje stycket. Paragrafen har behandlats i avsnitten 11.3.4–11.3.6. Enligt denna paragraf får en vårdgivare bereda sig tillgång till uppgifter som inte är spärrade även om patientens samtycke inte kan inhämtas, om upp- gifterna kan antas ha betydelse för den vård som patienten oundgäng- ligen behöver. Självfallet skall i första hand patientens samtycke in- hämtas. Det kan emellertid av olika skäl vara omöjligt. Patienten är kanske medvetslös eller alltför medtagen för att kunna ta ställning till frågan. Vidare kan saken brådska så att det inte finns någon tid att inhämta samtycke. Det skall alltså vara sådana och liknande skäl som gör att patientens samtycke inte kan inhämtas. Om de aktuella uppgifterna i en sådan situation kan antas ha betydelse för den vård eller behandling som patienten oundgängligen behöver, får vård- givaren bereda sig tillgång till de ospärrade uppgifterna. Det skall i princip vara fråga om en allvarlig situation, då uppgifterna bedöms vara viktiga för den vård eller behandling som omgående måste sättas in. Det skall alltså av hänsyn till patientsäkerheten inte vara möjligt att avvakta för att patienten skall kunna lämna sitt samtycke. När det gäller innebörden av uttrycket kan antas ha bety- delse, se 3 §. Bakgrunden till att denna möjlighet till direktåtkomst utan patientens samtycke finns är att man nog ofta kan anta att en patient som låtit sina uppgifter vara ospärrade skulle gå med på att en vårdgivare tar del av uppgifterna i en situation som den nu beskrivna. Om patienten motsätter sig att vårdgivaren tar del av uppgifterna, får däremot vårdgivaren inte bereda sig tillgång till de ospärrade uppgifterna hur irrationell patientens inställning än bedöms vara. Att så är fallet skall ses som ett utflöde av principen om respekt för patientens självbestämmanderätt, som bl.a. innebär att han eller hon kan vägra att underkasta sig vård eller behandling. Det finns inget undantag motsvarande det som finns i denna paragraf som innebär att en vårdgivare kan få ta del av spärrade uppgifter utan patientens samtycke även om en akut nödsituation skulle föreligga (se av- snitt 11.3.3), jfr dock 7 kap. 1 d § sekretesslagen (1980:100). 5 § En vårdgivare får inte bereda sig tillgång till uppgifter som är tillgäng- liga genom sammanhållen journalföring under andra förutsättningar än dem som anges i 3 och 4 §§ även om patienten uttryckligen samtycker till det. Paragrafen har behandlats i avsnitt 11.3.6. I 2 kap. 3 § finns ett klar- görande av att även sådan personuppgiftsbehandling som i och för sig inte är tillåten enligt patientdatalagen får utföras, om den enskilde uttryckligen har samtyckt till det och inte annat följer av andra be- stämmelser i patientdatalagen eller av annan lag eller av förordning. I förevarande paragraf föreskrivs ett undantag från denna princip. Enligt undantaget får en vårdgivare inte bereda sig tillgång till upp- gifter som är tillgängliga genom sammanhållen journalföring under andra förutsättningar än de som anges i 3 och 4 §§ även om patienten uttryckligen samtycker till det. Bland annat därför att direktåtkomst är en särskilt integritetskänslig form av elektroniskt utlämnande av personuppgifter, har det ansetts viktigt att den inte används för andra ändamål än de angivna, inte ens med patientens samtycke. Personuppgiftsansvar vid sammanhållen journalföring 6 § Regeringen får meddela föreskrifter om vem som skall ha person- uppgiftsansvar för övergripande frågor om tekniska och organisatoriska säkerhetsåtgärder vid sammanhållen journalföring. Paragrafen har behandlats i avsnitt 11.6.2. Enligt 2 kap. 6 §, den all- männa bestämmelsen i patientdatalagen om personuppgiftsansvar, är en vårdgivare personuppgiftsansvarig för den behandling av per- sonuppgifter som vårdgivaren utför. I landsting och kommuner är enligt den paragrafen en myndighet personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför. Bestämmel- sen är tillämplig även vid personuppgiftsbehandling vid sammanhål- len journalföring. Regeln innebär bl.a. att den vårdgivare som gör en personuppgift tillgänglig för andra genom att uppgiften dokumen- teras utan att spärras har personuppgiftsansvaret för att det sker på ett lagligt sätt. I ansvaret ingår att patienten i skede 1 ges information om den sammanhållna journalföringen. Personuppgiftsansvaret om- fattar även den fortsatta lagringen och det tillgängliggörande som sker därefter. Den vårdgivare som använder sin direktåtkomst och bereder sig tillgång till andra vårdgivares uppgifter för att söka efter och läsa personuppgifter är personuppgiftsansvarig för den person- uppgiftsbehandling som detta innebär. I denna paragraf ges emellertid regeringen möjlighet att vid behov närmare reglera personuppgifts- ansvaret för övergripande frågor om tekniska och organisatoriska säkerhetsåtgärder. När det gäller sådana frågor torde – lite beroende på organisation och samarbetsformer i det enskilda fallet – regeln i 2 kap. 6 § innebära att ansvaret delas solidariskt mellan de samarbe- tande vårdgivarna. En sådan ordning framstår inte alltid som naturlig. Om exempelvis allas vårddokumentation lagras och behandlas i en gemensam databas som administreras av endast en av vårdgivarna, t.ex. ett landsting – som också i praktiken dikterar villkoren för de andra vårdgivarnas deltagande i systemet – kan det tala för att det aktuella bör anses ha ett personuppgiftsansvar för över- gripande frågor. Eftersom det vidare inte alltid är helt klart hur det förhåller sig med personuppgiftsansvaret i övergripande frågor vid gränsöverskridande personuppgiftsbehandling, kan det finnas ett behov av en tydlig reglering av personuppgiftsansvaret i dessa frågor. Därför har regeringen bemyndigats att meddela föreskrifter när det gäller personuppgiftsansvaret för övergripande frågor. 7 § Vad som sägs i 4 kap. 2 och 3 §§ gäller även för behörighetstilldel- ning och åtkomstkontroll vid sammanhållen journalföring. I denna paragraf, som har behandlats i avsnitt 12.3, finns en hänvis- ning till 4 kap. 2 §, som ålägger en vårdgivare att bestämma villkor för tilldelning av behörighet för elektronisk åtkomst till uppgifter om patienter och till 4 kap. 3 §, som bl.a. ålägger en vårdgivare att genomföra åtgärder som innebär att den elektroniska åtkomsten till sådana uppgifter dokumenteras och kan kontrolleras. Av förevarande paragraf framgår att en vårdgivare har samma skyldigheter när det gäller direktåtkomst till andra vårdgivares patientuppgifter genom sammanhållen journalföring. Angående begreppen direktåtkomst och elektronisk åtkomst se avsnitt 8.7. förutsätts efter samråd med Datainspektionen meddela närmare föreskrifter om be- hörighetstilldelning och åtkomstkontroll även vid sammanhållen journalföring. 8 § När patientjournaler är tillgängliga för flera vårdgivare genom sam- manhållen journalföring gäller skyldigheten enligt 3 kap. 16 § att bevara en journalhandling endast den vårdgivare som ansvarar för handlingen. Om en journalhandling eller annan handling är tillgänglig för en myn- dighet endast genom sammanhållen journalföring och myndigheten inte ansvarar för den, får myndigheten gallra den från sitt arkiv. Paragrafen har behandlats i avsnitt 11.7.4. Grundregeln om beva- rande och gallring av patientjournaler finns i 3 kap. 16 §. Där före- skrivs att en journalhandling skall bevaras efter det att den sista uppgiften fördes in i handlingen. I vissa fall får föreskrivas om längre bevarandetid. För journalhandlingar som utgör allmänna handlingar gäller därutöver bl.a. arkivlagen (1990:782). Första stycket innebär att varje vårdgivare som deltar i ett sammanhållet journal- föringssystem ansvarar för bevarandet av de ospärrade journalupp- gifter som vårdgivaren själv gör tillgängliga i det sammanhållna journalföringssystemet. Sådant ansvar åvilar alltså inte en vårdgivare som endast har en potentiell tillgång till dessa uppgifter. Det inne- bär i princip att det är endast en, inte flera, vårdgivare som ansvarar för bevarandet och arkivbildningen av journalhandlingar. Detta gäller även om en vårdgivare bereder sig tillgång till en annan införande vårdgivares journalhandling, så länge inte journalhandlingen tankas hem och lagras av den förstnämnde vårdgivaren. En tanke med den sammanhållna journalföringen är dock att en vårdgivare inte skall behöva hämta hem och lagra en annan vårdgivares journalhandlingar. Dubbeldokumentation skall undvikas. lär det dock för att patientsäkerheten skall tillgodoses vara nödvändigt att göra detta. En sådan åtgärd innebär att vårdgivaren framställer en ny handling. Bevarandet och hanteringen av den nya handlingen följer samma regler som gäller för övriga journalhandlingar som har sitt ursprung i den egna verksamheten. Enligt andra stycket får en myndighet gallra journalhandlingar och andra handlingar som är tillgängliga för myndigheten endast genom direktåtkomst vid sammanhållen journalföring. Denna gallringsregel behövs bl.a. för att inte någon av de i en sammanhållen journal- föring deltagande myndigheterna skall bli arkivansvarig för privata vårdgivares journalhandlingar eller andra handlingar som myndig- heten potentiellt sett har tillgång till (jfr 3 § första stycket arkiv- lagen [1990:782]). 7 kap. Nationella och regionala kvalitetsregister 1 § Bestämmelserna i detta kapitel gäller för nationella och regionala kvalitetsregister i vilka personuppgifter samlas in från flera vårdgivare och vilka möjliggör jämförelser inom hälso- och sjukvården på nationell eller regional nivå. Med kvalitetsregister avses en automatiserad och struktu- rerad samling av personuppgifter som inrättats särskilt för ändamålet att systematiskt och fortlöpande utveckla och säkra vårdens kvalitet. I patientdatalagen finns vissa särbestämmelser som bara gäller för nationella och regionala kvalitetsregister.