sou · GVB348 · 2008-01-01 00:00:00 — I våra tilläggsdirektiv (dir. 2005:150) har vårt uppdrag angetts om- fatta bl.a. att utarbeta förslag till författningsreglering av det natio- nella register för vaccinationer som förs i projektform av Läke- medelsverket, och . Registret planeras, enligt direktiven, av dessa myndigheter bestå av dels en vårddatabas, dels en analysdatabas. Frågan om författningsreglering av den del som utgör vårddatabasen omfattas enligt direktiven av våra tidigare uppdrag enligt tidigare beslutade tilläggsdirektiv till utred- ningen (dir. 2004:95). Vår utgångspunkt skall enligt direktiven vara att analysdatabasen kan regleras som ett hälsodataregister. Innebär det att ändringar i lagen (1998:543) om hälsodataregister behövs, skall vi lämna förslag till sådana ändringar. Om vi finner att starka skäl talar emot att re- gistret regleras som ett hälsodataregister, skall vi redovisa skälen för detta samt utarbeta ett förslag till annan reglering. Vi skall vidare analysera i vilken utsträckning information skall få föras över mellan vårddatabasen och analysdatabasen och andra per- sonuppgiftsregister. Vi skall göra en bedömning av huruvida rapporteringen av upp- gifter till analysdatabasen skall vara obligatorisk för vårdgivaren och bygga på samtycke från patienten. Vi skall utgå från att är den myndighet som skall få i uppdrag att ansvara för ett nationellt register för vaccina- tioner. Vi skall analysera och lämna förslag till vilka uppgifter som skall få registreras, för vilka ändamål uppgifterna får behandlas, vad som skall gälla för bevarande och gallring samt vem som skall ha åtkomst till uppgifterna. Vi skall också analysera de sekretessfrågor som uppstår med an- ledning av förslaget till reglering. Vidare skall vi göra en bedömning av om syftet med analysdata- basen, dvs. uppföljning på nationell nivå, epidemiologiska studier och forskning, kan uppfyllas om endast avidentifierade personuppgifter rapporteras till databasen. Vi skall i vårt arbete samråda med , och samt med företrädare för andra berörda myndigheter, organisationer och näringslivet. Vi skall även beakta resultatet av det arbete som utförts av Nationella ledningsgruppen för IT i vård och omsorg. I tilläggsdirektiven redovisas följande omständigheter som bakgrund till uppdraget: Vaccinationer är ett av de viktigaste medlen för att begränsa smittsprid- ning och ge skydd mot infektionssjukdomar. Vacciner ges till friska individer och ofta till barn. Därför finns det behov av att följa upp de risker som är förenade med vaccinationer. Det finns även ett behov av att följa upp att vacciner har avsedd effekt och att man når uppsatt mål om täckningsgrad, dvs. den del av en definierad målgrupp som fått till- räckligt många vaccinationer för att den avsedda skyddseffekten skall uppnås. Tillgänglig och fullständig information om tidigare vaccination oavsett vårdgivare är viktigt för att uppnå hög säkerhet och för ett rationellt utnyttjande av resurser i vården. har behovet av att den enskilde själv skall ha tillgång till uppgifter om vilka vaccina- tioner han eller hon fått ökat. För att uppnå ett eller flera av dessa syften har särskilda vaccinations- register upprättats i allt fler länder. Hur de olika vaccinationsregistren förhåller sig till varandra ur integritets- och forskningssynpunkt kan behöva beaktas av utredaren. Den enskilde bör på ett enkelt sätt kunna få information om vilka vaccinationer som han eller hon har fått och när dessa gavs. Det är även angeläget att de risker som är förenade med vaccinationer analyseras samt att låta undersöka om de vacciner som ges har avsedd effekt. Det är också av vikt att ändamålsenlig forskning kan bedrivas på området. För detta behövs ett rikstäckande register över vilka vaccinationer som ges samt uppgifter om biverkningar m.m. Frågan om registrering av personuppgifter inom vården innefattar svåra avvägningar mellan skyddet för den personliga integriteten och viktiga samhällsintressen. Den enskilde bör tillförsäkras en sfär som skyddas mot otillbörligt intrång från myndigheter samt ha rätt och möjlighet att själv bestämma i vilka sammanhang uppgifter om honom eller henne får utnyttjas och i så fall hur. Skyddet för den enskildes integritet är dock inte absolut, utan den enskilde måste acceptera ett visst mått av intrång till förmån för viktiga allmänna intressen. Eftersom ett nationellt vaccinationsregister bedöms kunna innehålla känsliga personuppgifter och också skulle kunna sambearbetas med andra register, anser regeringen att det är viktigt att de författningsmässiga förutsättningarna för att inrätta ett nationellt vaccinationsregister ut- reds. Regeringen har uppdragit åt , och att tillsammans ta fram ett underlag om behovet av och förutsättningarna för att inrätta ett nationellt vaccinationsregister. Myndigheterna har redovisat uppdraget i promemorian Underlag om be- hovet av och förutsättningarna för att inrätta ett nationellt vaccinations- register (S2005/2667/FH). Ett informationssystem för vaccinationer har utvecklats i projektform i samverkan mellan ovan nämnda myndigheter och företrädare för barnhälsovården. Det är ett webbaserat informa- tionssystem för vaccinationer och det består av två komponenter, en vårddatabas som innehåller ett stort antal separata vårdregister, och en analysdatabas. Analysdatabasen skapas genom att förutbestämda upp- gifter förs över till den från vårdregistren. Ändamålen med analysdata- basen är uppföljning på nationell nivå, epidemiologiska studier och forskning. Tanken bakom konstruktionen med en vårddatabas och en analysdatabas har varit att det skall vara möjligt att behandla uppgifter i registren i vårddatabasen med stöd av lagen (1998:544) om vårdregister och att det register som finns i analysdatabasen skall bli ett hälsodata- register i enlighet med lagen om hälsodataregister. Våra bedömningar: Journalföring av vaccinationer som sker med hjälp av den programvara för journalföring som utvecklats av under namnet SVEVAC bör framgent ske i enlighet med de bestämmelser för journalföring och sam- manhållen journalföring i patientdatalagen som föreslagits i vårt huvudbetänkande. Det är inte påkallat med någon särskild författningsreglering av en verksamhet med användning av den s.k. analysdatabas som berörs i våra direktiv och som är tilltänkt att bygga på en sam- tyckebaserad överföring av personuppgifter från journaler som upprättats med användning av SVEVAC. Vid en bedömning utifrån ett integritetsperspektiv framstår det som om övervägande skäl talar för att ett hälsodataregister inrättas hos med inriktning på kunskaps- uppbyggnad med avseende på vissa typer av vaccinationer. Innan detta kan ske måste dock ramarna och innehållet i verksamheten utredas ytterligare. 4.4.1.1SVEVAC – vårddatabas och analysdatabas Som vårt uppdrag formulerats ankommer det på oss att inlednings- vis analysera det system eller den verksamhet som bedrivs av under beteckningen SVEVAC. I våra direktiv anges, som redovisats, att SVEVAC är ett webbaserat informations- system för vaccinationer och att det består av två komponenter, en vårddatabas som innehåller ett stort antal separata vårdregister, och en analysdatabas. Analysdatabasen avses skapas genom att förut- bestämda uppgifter förs över till den från vårdregistren. Ändamålen med analysdatabasen är enligt vad som sägs i direktiven uppföljning på nationell nivå, epidemiologiska studier och forskning. Tanken hos bakom konstruktionen har varit att det skall vara möjligt att behandla uppgifter i registren i vårddatabasen med stöd av lagen om vårdregister och att det register som finns i analysdatabasen skall bli ett hälsodataregister i enlighet med lagen om hälsodataregister. Det som i utredningens direktiv benämns vårddatabas är i princip ett internetbaserat system för journalföring av vaccinationer som ges av vårdgivare. Den använda programvaran har utvecklats i sam- arbete mellan vaccinprogramsektionen vid och . Diskussioner har även förts med olika tillverkare av programvara för journalföring om att vissa funktioner i det av utvecklade systemet skulle kunna integreras med andra programvaror som används inom hälso- och sjukvården. används systemet dels inom barnhälsovården i , dels för journalföring av influensavaccinationer inom primärvården i samt vid vaccinationsmottagningarna i och vid . På vaccinationsmottagningen i journalförs alla vaccinationer i SVEVAC. hade SVEVAC 929 registrerade användare vid 216 vårdenheter. Samman- taget används SVEVAC inom tre olika landsting. Vid ytter- ligare sju landsting förekommer viss testverksamhet. Totalt finns det uppgifter om 23 805 individer registrerade. Sammanlagt är närmare 40 000 vaccinationer registrerade. Anslutningen till journalförings- systemet är alltså synnerligen blygsam i förhållande till antalet vård- givare som ger vaccinationer i . Det finns inte några begränsningar för vilka typer av vaccinationer hos dessa vårdgivare som registreras i systemet, utan det är respektive vårdgivares behov av journalföring av vaccinationer som blir styran- de för vilka uppgifter som registreras. Den hittillsvarande inriktningen har varit att försöka få vårdgivare att frivilligt ansluta sig till systemet. Några formella krav på vårdgivare för anslutning till systemet före- ligger inte. Det har ansetts räcka med att man kan bedömas följa de regler för användningen som ställts upp. Systemet är faktiskt lokaliserat till en server som tillhandahålls av . Systemet fungerar på så sätt att en vårdgivare från en egen pc via Internet ansluter sig till en webbaserad applika- tion på servern, loggar in genom att ange användarnamn och en pin- kod bestående av åtta tecken och sedan registrerar relevanta upp- gifter i journalen. har formellt inte tillgång till journaluppgifterna, utan respektive samling journaluppgifter ses således som tillhörande den vårdgivare som fört in uppgifterna. Det är i den meningen alltså inte fråga om ett nationellt register för vaccinationer som förs i projektform av , och såsom det betecknas i utredningens direktiv och inte heller en databas i den meningen att någon på olika sätt kan behandla den samlade uppgiftsmassan i systemet. Tvärtom gäller en sekretessgräns, så till vida att hälso- och sjukvårdssekretess enligt 7 kap. 1 c § sekretesslagen (1980:100) gäller i förhållande till uppgifter som respek- tive vårdgivare lagrat på server. Hälso- och sjukvårdssekretess enligt 7 kap. 1 c § sekretesslagen är en sådan slags sekretess till skydd för enskild som i enlighet med vad som anges i 14 kap. 4 § samma lag helt eller delvis kan efterges av den enskilde, dvs. den enskilde kan med bindande verkan för vårdgivare lämna samtycke till att uppgifter om honom eller henne lämnas ut till annan, i detta fall till . Eftersom registrering av vaccinationer i SVEVAC bl.a. omfattar underåriga finns det skäl att här erinra om den problematik som uppkommer när den enskilde har en legal ställföreträdare. Äldre ungdomar har i rättspraxis (Kammarrättens i dom i mål 6591-05) ansetts ensamma kunna disponera över sekretess en- ligt 7 kap. 1 c § sekretesslagen. I vissa fall kan dock samtycke krävas från både den omyndige och hans eller hennes ställföreträdare (jfr 57). Ett samtycke till utlämnande enligt sekretesslagen kan även ges i förväg, dvs. själva utlämnandet av uppgifterna behöver inte ske i direkt anslutning till samtycket. Ett samtycke kan när som helst återkallas och får inte ges ett så generellt innehåll att den enskilde allmänt förklarar sig avstå från sekretessen hos en viss myndighet. Har förflutit sedan samtycke gavs, kan det finnas skäl att iaktta viss försiktighet när det gäller bedömningen av vilken betydelse samtycket kan tillmätas (se Sekretesslagen. En kommentar, , , , , 2007, s. 14:36) Även i personuppgiftslagen (1998:204) finns bestämmelser om samtycke. I 3 § personuppgiftslagen definieras begreppet samtycke såsom Varje slag av frivillig, särskild och otvetydig viljeyttring genom vilken den registrerade, efter att ha fått information, godtar behandling av personuppgifter som rör honom eller henne. Här förutsätts alltså att ett samtycke till personuppgiftsbehandling skall lämnas efter det att information om behandlingen getts. Enligt 15 § krävs dessutom när det gäller behandling av känsliga personuppgifter, vilket en behandling av sådana uppgifter om erhållna vaccinationer som är tilltänkt i SVEVAC:s analysdatabas skulle kunna anses vara, att den registrerade har lämnat sitt uttryckliga samtycke till behand- lingen eller på ett tydligt sätt offentliggjort uppgifterna. Ett sam- tycke enligt personuppgiftslagen kan vidare när som helst återkallas och i de fall då behandling av personuppgifter bara är tillåten när den registrerade har lämnat sitt samtycke enligt exempelvis 15 § får enligt 12 § ytterligare personuppgifter om den registrerade därefter inte behandlas. kan det i journalerna registreras uppgifter i följande kategorier: Information om den vaccinerade individen Förälders namn och adress Samtycke till uppföljning på nationell nivå Vaccin (produkt alt. Vaccintyp) Registrering ev. händelse/reaktion Registrering av händelse/reaktion Datum för händelse/reaktion Tidpunkt för händelse/reaktion Orsak till att vaccin ej givits Orsak till kontraindikation, fritext Journaltext (fritext) Vid konstruktionen av systemet har det varit ett uttalat syfte att upp- rätta en samlad dokumentation av varje persons erhållna vaccina- tioner under livet. Därför har systemet utformats så, att när en person vaccinerats hos en vårdgivare () som journalfört vaccinationen i systemet, men därefter vaccineras hos en annan vårdgivare () som också använder systemet, så förs journaluppgifterna hos A över till B:s journal om B kontaktat A och patienten vid vaccinationstillfället hos B samtyckt till överföringen. Om sådant samtycke inte lämnas av patienten kan någon journalföring i systemet inte äga rum. Denna typ av informationsöverföring avses ske under hela en persons liv då han eller hon anlitar en ny vårdgivare för en vac- cination. Den vårdgivare som senast anlitades av en person för en vaccination kan alltså komma att förfoga över uppgifter rörande en vaccination av samma person som företagits kanske . Det främsta skälet till denna konstruktion synes vara att man där- igenom har tänkt sig att underlätta att en person som erhållit vaccina- tioner som dokumenterats i systemet skall kunna få en fullständig sammanställning av dessa senare i livet. Avsikten är att det är den vårdgivare som senast gav en vaccination som skall ansvara för att lämna ut denna sammanställning till den enskilde. inte att uppgifter om andra vaccinationer än dem som journalförts i systemet skall läggas in i systemet. Det kommer således att ta relativt innan denna tjänst blir verkligt intressant att använda för enskilda. I samband med att en vårdgivares (A) dokumentation förs över till en efterkommande vårdgivares (B) journal så upphör vidare A:s behörighet att skriva in nya uppgifter i systemet som avser den aktu- ella personen. A förfogar dock över en kopia av de in- förda journaluppgifterna. Den utformning som journalföringssystemet har avviker på flera sätt från våra förslag om rättsliga möjligheter till överföring av uppgifter mellan vårdgivare genom sammanhållen jour- nalföring (se vårt huvudbetänkande (SOU 2006:82). Våra förslag har utformats på ett sådant sätt att huvuddelen av de funktioner som SVEVAC syftar till torde kunna uppnås i ett system som baseras på våra förslag om sammanhållen journalföringen. Ut- gångspunkten bör vara att även journalföring av vaccinationer skall ske i enlighet med våra förslag. Våra förslag till regler om sammanhållen journalföring utgår från att en vårdgivare journalför sina vårdåtgärder och andra omständig- heter som skall dokumenteras i journalen i en journal som vård- givaren även efter vårdtillfället utan någon faktisk inskränkning för- fogar över. I SVEVAC:s journalföringssystem upphör en vårdgivares behörighet att föra in uppgifter i sin journal så snart patienten valt att anlita en annan vårdgivare för vaccination. I ett system för överföring av information mellan vårdgivare som är inrättat i enlighet med reglerna om sammanhållen journalföring sker inte nödvändigtvis någon sammanställning av journaluppgifter från olika vårdgivare med syftet att upprätta en gemensam samman- hållen journal. Våra förslag hindrar emellertid inte att så sker eller att uppgifter automatiskt sammanställs i patientöversikter (förutsatt att patienten inte aktivt motsatt sig detta). Patientens ställnings- tagande saknar dessutom betydelse för vårdgivarens möjligheter att journalföra uppgifter i sitt ordinarie system. Såväl den nuvarande regleringen om journalföring som den av oss föreslagna får sägas bygga på att den vårdgivare som journalfört en viss vård också på olika sätt har ansvaret för dokumentationen. Detta gäller exempelvis ansvaret för att bevarandet sker under säkra former och att dokumentationen bibehålls som är nödvändigt. Detta gör att t.ex. frågor om vem som är skadestånds- skyldig i de fall skada har uppkommit till följd av att information med felaktigt innehåll har lämnats lättare kan avgöras. Lösningen med överföring av vårddokumentation från vårdgivare till vårdgivare på det för SVEVAC tilltänkta sättet väcker frågor huru- vida förfarandet är förenligt med bestämmelserna i sekretesslagen och reglerna om tystnadsplikt i lagen (1998:531) om yrkesverksam- het på hälso- och sjukvårdens område (LYHS). I vart fall kan sägas att det integritetsskydd som sekretesslagen syftar till i viss utsträck- ning baseras på att sekretessgränser gäller mellan olika vårdgivare. Om man anser det önskvärt att just vaccinationer skall journal- föras i ett särskilt system torde det mot bakgrund av bl.a. de nu redo- visade ståndpunkterna vara den lämpligaste lösningen att systemet inrättas i enlighet med den av oss föreslagna sammanhållna journal- föringen. En patient kan i ett sådant fall erhålla information om tidigare vaccinationer genom att via en vårdgivare ta fram informa- tion från övriga anslutna vårdgivare om vilka vaccinationer patienten tidigare erhållit. Reglerna om sammanhållen journalföring medger också att en vård- givare kan använda systemet för att på patientens begäran kunna utfärda intyg om vården. Eftersom såväl SVEVAC-systemet i dess nuvarande utformning som ett system med sammanhållen journalföring baseras på den en- skildes samtycke, torde inte den samlade information som kan erhållas i ett system för sammanhållen journalföring i alltför hög grad avvika från den ackumulerade informationen i SVEVAC-systemet. I patientdatalagen ges vidare klara legala förutsättningar för att vårdgivare skall kunna ge den enskilde tillgång till uppgifter om sig själv i journaler via Internet. har inte personuppgifter förts över från journalförings- systemet till någon analysdatabas hos . I den meningen existerar det alltså ännu inte någon analysdatabas. Inte heller på något annat sätt har uppgifterna i journalföringssystemet använts för någon uppföljning, trots att samtycke till detta torde ha lämnats i flertalet fall. I viss utsträckning har dock sådana uppgifter om vaccinationer för vilka det lämnats samtycke från de registrerade till användning hos gjorts tillgängliga för . De har i mycket begränsad omfattning använts för beräkning av vaccinationsfrekvenser. Någon sekretessbrytande be- stämmelse som medger utlämnande av uppgifter från journalerna till har emellertid inte införts. Som framgått ovan har avsikten hos varit att ett hälsodataregister enligt hälsodataregisterlagen skall inrättas för de ändamål som myn- digheten har fastställt eller kommer att fastställa. 4.4.1.2Sammanfattande bedömning av behov av författningsreglering av SVEVAC Som framgått ovan är SVEVAC endast ett system för jour- nalföring av vaccinationsverksamhet. Vi ser inte något behov av en särskild författningsreglering för detta system. De bestämmelser angående journalföring som föreslagits i vårt huvudbetänkande bör alltså enligt vår uppfattning gälla även detta system. Enligt vår be- dömning kan det av ett flertal olika skäl inte heller komma i fråga att i författning införa en obligatorisk anslutning till systemet. Någon sådan analysdatabas som berörs i våra direktiv existerar inte. Av vad som återgetts ovan framgår att man inom haft uppfattningen att den tilltänkta analys- databasen genom författningsreglering skulle kunna tillskapas genom inrättande av ett hälsodataregister enligt hälsodataregisterlagen. Detta synes baseras på uppfattningen att de tilltänkta ändamålen för verk- samheten inte kan tillgodoses inom den ram som ges av nuvarande utformning av SVEVAC. Någon särskild författningsreglering av- seende den tilltänkta analysdatabasen framstår således, bl.a. mot bak- grund av dessa omständigheter, inte som påkallad. Vi vill emellertid redan i detta sammanhang framhålla att ett hälsodataregister enligt vår uppfattning i en rad olika hänseenden är något helt annorlunda än den tilltänkta analysdatabasen och inrättandet av ett sådant för- utsätter ett noggrant planeringsarbete och en utvecklad analys i fråga om registrets ändamål m.m. 4.4.2I stället för SVEVAC I våra direktiv kan utläsas tre olika områden där behov sägs föreligga av kunskapsuppbyggnad eller dokumentation av vaccinationsverk- samhet med hjälp av automatiserad behandling av personuppgifter: a) Kunskapsuppbyggnad/övervakning med inriktning på vaccinations- verksamheten i , i första hand beträffande användningen av vissa typer av vaccinationer, med syftet att förbättra förutsättningarna för att sköta sina åligganden inom folkhälso- området. De konkreta tilltänkta tillämpningar som redovisats av myndigheten är beräkning av vaccinationstäckning genom att individuppgifter om vaccination sambearbetas med uppgifter ur befolkningsregistret om antal individer i målgruppen för vaccination samt beräkning av vaccin- effekt genom sambearbetning mellan individuppgifter om vaccination med uppgifter ur IT-stöd SmiNet om vissa anmälda fall av infektioner. De fall av infektioner som avses är dels sjukdomar som omfattas av rekommendationer för vaccinationsprogrammet för barn- och skolhälsovård (stelkramp, difteri, polio, kikhosta, Haemophilus influenzae typ b, mässling, påssjuka och röda hund samt – beträffande barn med ökad risk för infektion – tuberkulos eller serumgulsot orsakad av Hepatit B virus), dels influensa. Det skall härvid påpekas att detta allmänna vaccina- tionsprogram kan komma att förändras och nya vacciner införas. b) Kunskapsuppbyggnad/övervakning med inriktning på användning- en av vaccin i , med syftet att förbättra förutsättningarna för att sköta sina åligganden när det gäller säkerhets- övervakning och prövning av läkemedels ändamålsenlighet. ansvar för dessa funktioner omfattar alla i förekommande vaccin. I vissa fall, t.ex. barnvaccinationer kan det dock anses vara av särskild vikt att säkerhetsövervakningen och ända- målsenlighetsprövningen är fullgod. baseras verksamhet i denna del på s.k. spontanrapportering från hälso- och sjukvården och på informationsöverföring från läkemedelsföretag och andra myndigheter (främst nationella läkemedelsmyndigheter och , ). c) Dokumentation av utförda vaccinationer, med syfte att dels ge de vaccinerade tillgång till en samlad dokumentation av deras vaccinationer för sådana ändamål som intygsutfärdande etc., dels ge hälso- och sjuk- vården möjlighet att ge de vaccinationer som utifrån tidigare vaccina- tioner är relevanta i ett medicinsk perspektiv. Enligt vår uppfattning gör sig vissa grundläggande integritetsrelaterade krav gällande vid överväganden av hur de redovisade behoven skall tillgodoses som vi redan inledningsvis vill påtala. En primär förut- sättning är att en myndighet inte bör samla in och registrera andra personuppgifter än vad som behövs just för respektive myndighets behov, särskilt gäller detta i fråga om sådana känsliga personupp- gifter som rör människors hälsa.