prop · GX03138 · 2010-03-15 00:00:00 — genom användandet av icke-reversibla krypteringsmetoder. utredningen hävda att denna metod eliminerar möjligheterna att genom automatiserad behandling koppla uppgifter till en särskild identitet är inte Det kommer ändå att vara möjligt att hänföra uppgifterna till en enskild person med hjälp av övriga uppgifter om läkemedelsutköp. förslag till 12 § lagen (1996:1156) om receptregister, i fortsättningen benämnd receptregister- lagen, kan misstolkas eftersom det inte stämmer med det skydd som utredningen avser, nämligen ett skydd som innebär att krypteringen av patienternas identitetsuppgifter ska bestå hos landstingen. skilja på olika krav på integritetsskyddande säkerhetsåtgärder som syftar till att skydda känsliga personuppgifter. Datainspektionen anser att käns- liga personuppgifter alltid ska vara krypterade vid överföring över öppna En sådan åtgärd för kommunikationssäkerhet innebär dock inte med nödvändighet att krypteringen måste bestå när uppgifterna väl har nått Datainspektionen anser därför att det av receptregisterla- gen tydligt måste framgå att krypteringen ska bestå. framgå av den föreslagna 4 kap. 6 § patientdatalagen att det är just pati- entens identitetsuppgifter som är krypterade vid utlämnandet från Apote- ket AB (numera ). menar att det är viktigt att krypteringen utförs av något nationellt organ, en betrodd tred- jepartstjänst för personidentifierare, så att samma kryptering kan tilläm- pas även på annat än läkemedel. Detta för att uppgifter från olika register ska kunna länkas. påpekar att termen krypte- ring som används på flera ställen både i lagtext och i kommentarer avser en speciell metod för att förhindra att patientens identitet röjs, och att man i detta sammanhang hellre bör använda termen pseudonymisering. Den metod som väljs bör bli en central nationell resurs som kan använ- das av framtida registerhållare och av landsting och andra myndigheter. betonar vikten av att patientens integritet bevaras och att inga namn lämnas ut från (numera Apote- Skälen för regeringens förslag Skydd för patientens identitet vid behandling av personuppgifter Med hänsyn till personuppgifternas stora mängd och integritetskänsliga det inte komma i fråga att ningsverksamhet hantera uppgifter om läkemedelsförskrivningen till individer med användning av identitetsuppgifter om patienterna såsom namn och personnummer i okrypterat skick. I utredningen föreslås att uppgifter som anknyter till patienters identitet bör krypteras så att iden- titetsuppgifterna inte kan läsas eller kopplas till en viss individ utan att särskilda åtgärder har vidtagits. Regeringen delar denna bedömning. Uppgifter som lämnas ut från till landstingen för ekonomisk och medicinsk uppföljning samt för framställning av statistik ska vara krypterade redan vid utlämnandet. Regeringen föreslår därför att bestämmelsen i 14 § receptregisterlagen kompletteras med en regel som innebär att dessa uppgifter ska vara krypterade på ett sådant sätt att pati- entens identitet är skyddad vid utlämnandet. Regeringen föreslår därut- över en ny bestämmelse i patientdatalagen om att krypteringen ska bestå hos landstingen. Denna bestämmelse behandlas i avsnitt 6.5. Vilka andra bestämmelser som finns för att skydda den personliga integriteten vid personuppgiftsbehandling hos landstingen redovisas i avsnitt 6.4. Hur krypteringen ska gå till redovisas i avsnittet Metod för kryptering nedan. Utöver de bestämmelser regeringen föreslår för att skydda den personliga integriteten måste uppgifterna när de överförs till landstingen skyddas mot obehörig åtkomst i enlighet med vad som följer av 31 § personuppgiftslagen (PUL). Med kryptering avses här att man genom användning av en algoritm krypterar identitetsuppgifter matematiskt så att de är läsbara på normalt sätt. En sådan metod kallas för envägskryptering. Med en sådan krypteringsmetod erhålls en unik kod för varje personnummer. Krypteringen med denna krypteringsmetod är icke-reversibel, dvs. det går inte att tillämpa algoritmen på den unika koden och därmed erhålla det krypterade personnumret i läsbar form. Används samma algoritm bibehålls en möjlighet för uppföljningssystemet att följa enskilda individer, dock endast i form av en unik kod. Används samma algoritm i landstingen är det möjligt att koppla ihop uppgifter om en och samma person från olika källor genom att samma metod för kryptering och algo- ritm används för samma uppgifter. Genom detta förfarande uppnås alltså inte en total avidentifiering. Det är alltså fortfarande fråga om person- uppgifter i personuppgiftslagens mening. För att tillgodose de enskilda patienternas intresse av integritetsskydd anser regeringen att uppfölj- ningsverksamheten ska bedrivas med krypterade identitetsuppgifter Datainspektionen varnar för en övertro på det skydd som uppnås ge- nom användandet av icke-reversibla krypteringsmetoder. De anser att det av 14 § receptregisterlagen tydligt måste framgå att krypteringen ska bestå. Det bör dessutom framgå av en bestämmelse i patientdatalagen att det är just patientens identitetsuppgifter som ska vara krypterade vid utlämnandet från . Regeringen anser att bestämmelserna i 14 § receptregisterlagen och 4 kap. 6 § patientdatalagen kommer att in- nebära krav på att det är uppgifter om patientens identitet som ska kryp- teras och att denna kryptering ska bestå. påtalar risken för att den kraftigt utvidgade Prop. 2009/10:138 rätten för myndigheter, landsting och att ta del av i vissa fall ytterst känsliga uppgifter om individens läkemedelsanvändning kan upplevas som obehaglig och integritetskränkande för berörda patienter. Regeringens förslag ger inte landstingen möjlighet att ta del av enskilda individers läkemedelsanvändning eftersom personuppgifterna ska vara krypterade och det ska inte vara tillåtet för landstingen att på något sätt röja enskilda individers identitet. Avsikten är att regeringen, eller den myndighet som regeringen bestämmer ska meddela föreskrifter om hur krypteringen ska samordnas mellan och lands- tingen, se avsnitt 6.4. Regeringen anser att de enskilda patienternas integ- ritet tillgodoses genom såväl de föreslagna bestämmelserna om krypte- ring och tystnadsplikt som befintlig lagstiftning om hantering av person- uppgifter i hälso- och sjukvården. Inget behov av skydd för förskrivares identitet Enligt direktiven till skulle utredningen redovisa hur landstingens möjligheter till uppföljning, utvärdering och kvalitets- säkring särskilt med avseende på förskrivning och användning av läke- medel på förskrivar- och individnivå kan tillgodoses utifrån de förslag som utredningen i övrigt lämnar om behandlingen av personuppgifter. Utredningen anser att dokumentation i uppföljningsverksamheten som kan kopplas till förskrivarnas identitet inte är uppgifter om en person som utifrån förskrivarens identitet rimligtvis kan betecknas som känsliga. Det handlar ju om uppgifter som utgör en dokumentation av förskrivarens reguljära yrkesverksamhet. Det är dessutom fråga om dokumentation av uppgifter om yrkesverksamhet som är så viktig att det i författning åläggs en skyldighet för förskrivaren själv att dokumentera uppgifterna i en journal, som ska kunna användas för en rad olika syften. Regeringen delar utrednings slutsatser i denna del. Läkemedelsförskrivningen är ofta förenad med mer eller mindre stora risker för patienterna. Detta medför att säkerhetsperspektivet är viktigt i uppföljningsverksamheten. Ett exempel på när förskrivarens identitet är viktig enligt utredningen är om det uppmärksammas att det förekommer fel eller mycket allvarliga biverkningar hos ett läkemedel som innebär en risk för patienterna. Förskrivarkoden ger då förutsättningar att snabbt nå ut specifikt till läkare som förskrivit läkemedlet. I utredningen konstate- ras vidare att återkoppling till enskilda förskrivare sker främst genom verksamhetschefernas försorg. Utredningen anser att det finns viktiga skäl för att uppgifter om förskrivarens identitet, i den utsträckning de förekommer i landstingens verksamhet, inte bör vara krypterade. Re- geringen instämmer i utredningens slutsats. Utifrån ovanstående anser regeringen att det inte av integritetsskäl är påkallat att kryptera uppgifter om förskrivarens identitet. Precis som utredningen pekar på är det ju också utifrån patientsäkerhetsaspekt viktigt att förskrivarkoden finns på receptet. Skydd för patientens identitet hos landstingen Regeringens förslag: När sambearbetar personuppgifter som dokumenterats inom hälso- och sjukvården med personuppgifter från ska även personuppgifter vara krypterade på ett sådant sätt att patienternas identitet skyddas. Regeringens bedömning: Regeringen eller den myndighet som re- geringen bestämmer får meddela verkställighetsföreskrifter om sam- ordning av den krypteringsmetod som och landstingen ska använda. Utredningens förslag: Överensstämmer med regeringens förslag och Remissinstanser: Kommuner och Landsting anser att det är nödvändigt att krypteringen anpassas till landstingens befintliga krypte- påpekar att det är viktigt att krypteringen utförs av något nationellt organ, en betrodd tredjepartstjänst för person- identifierare, så att samma kryptering kan tillämpas även på annat än Detta för att uppgifter från olika register ska kunna länkas. Skälen för regeringens förslag och bedömning Kryptering av patientens identitet hos landstingen Avsikten med att föra över uppgifter om individer från Apotekens Ser- vice AB till landstingen är bl.a. att de ska kunna sambearbetas, dvs. kunna läggas samman med uppgifter från landstingens egna vårddoku- Enligt utredningen omfattar hälso- och sjukvårdssekretessen enligt 25 kap. 1 § offentlighets- och sekretesslagen (2009:400) de uppgifter om patienter som används i landstingens verksamhet för uppföljning; detta gäller även de uppgifter som överförs från för uppföljning av läkemedelsförskrivning. Detta innebär att det finns ett mycket långtgående sekretesskydd för uppgifterna. bedömningen att bestämmelserna om s.k. statistiksekretess enligt 24 kap. 8 § offentlighets- och sekretesslagen inte är tillämpliga i fråga om denna verksamhet. Enligt utredningen bör dessa inte heller göras tillämpliga genom något tillägg i sekretessförordningen på ett sådant sätt som skett i fråga om vissa verksamheter som ansetts vara närstående Uppföljning i detta sammanhang, anser utredningen, är en verksamhet som kännetecknas av ett aktivt analysinriktat förhållningssätt till den information som hanteras och kan inte anses som en annan med statistik jämförbar undersökning. Regeringen delar utredningens bedöm- I utredningen föreslås att en regel ska införas som innebär att de upp- gifter om patienters identitet som härrör från landstingens vårddoku- mentation och som ska sambearbetas med uppgifterna från Apotekens ska vara krypterade på motsvarande sätt. bör den krypteringsmetod som används i dessa fall vara s.k. envägs- Detta innebär att den metod som används vid krypteringen är utformad på ett sådant sätt att man inte efter krypteringen kan behandla koden med hjälp av en algoritm och därigenom återskapa ett person- nummer i läsbart skick. Krypteringen är alltså icke-reversibel. Reger- ingen anser därför, i likhet med utredningen, att personuppgifter som hämtas från vården för att sambearbetas med uppgifter om läkemedel ska krypteras på ett sådant sätt att patientens identitet skyddas. Använd- ningen av personuppgifter för medicinsk uppföljning får inte, enligt re- geringen, medföra onödigt röjande av patientens identitet. Det finns be- stämmelser om hälso- och sjukvårdssekretess och bestämmelser om sä- ker hantering av personuppgifter i patientdatalagen (2008:355), förkortad PDL. Dessa regler tillsammans med det föreslagna kravet på att individ- data från landstingens vårddokumentation ska krypteras vid samkörning med individdata från läkemedelsområdet anser regeringen ger ett omfat- tande och tillräckligt skydd för den personliga integriteten. Att kunna sambearbeta läkemedelsdata med vårddata skapar, anser re- geringen, förbättrade förutsättningar för landstingen att verka för effektiv resursanvändning och en god vård på lika villkor eftersom det blir enk- lare för landstingen att identifiera förbättringsområden. Metoden för kryptering som ska användas hos såväl som de organ inom landstingen som ska stå för analysarbetet måste i ett system för uppföljning av det tilltänkta slaget vara samordnade så att uppgifter om en och samma individ från olika håll kan knytas samman. Detta på- pekar också Kommuner och Landsting och i sina remissvar. Enligt utredningen bör detta lösas genom verkställighets- föreskrifter. Regeringen instämmer i utredningens förslag och gör be- dömningen att detta bör regleras genom att regeringen, eller den myndig- het som regeringen bestämmer får meddela verkställighetsföreskrifter om samordning av den krypteringsmetod som och landstingen ska använda. Personkrets med tillgång till uppgifter Frågan är vilken personkrets hos landstingen som ska ha tillgång till de krypterade uppgifterna på individnivå som har överförts från . Med tillgång till uppgifterna avses här såväl möjligheten att genom elektronisk åtkomst direkt ta del av uppgifterna i den databas där de registrerats som möjligheten att förfoga över vilka behandlingar som sker med uppgifterna. Enligt utredningen är det i första hand ledning som har an- svaret för att den del av verksamheten som omfattar läkemedelsförskriv- ningen följs upp och styrs så att de gällande riktlinjerna inom området präglar verksamheten fullt ut. Dessutom har läkemedelskommittéerna en viktig roll när det gäller uppföljning och styrning av läkemedelsförskriv- ning. Enligt utredningen bör det i princip endast vara landstingens led- ning och läkemedelskommittéerna som förfogar över vilka behandlingar av personuppgifter som ska ske med användning av uppgifter om uttagna läkemedel från . Av utredningen framgår att SKL gör bedömningen att endast mellan en och tre personer inom ett landsting ska tilldelas behörighet för elektronisk åtkomst, till de databaser med individuppgifter om uttag av läkemedel som kan komma att utlämnas från för uppföljning på ett sådant sätt att de kan behandla uppgifter på individnivå. Enligt SKL är det fråga om personer med antingen IT- eller farmaceutisk kompetens. Utredningen förutsatte att landstingen kommer att tillämpa detta strikta förhållningssätt när den föreslagna regleringen börjar tillämpas och behörighet för sådan åtkomst ska tilldelas personalen. Utöver denna personkrets kommer ett större antal personer som arbetar i landstingen att kunna använda uppgifterna i uppföljningssyfte genom att få del av dessa på aggregerad nivå utan att enskilda patienter kan identifieras. Ett av de primära syftena med att överföra individdata till landstingen är ju att förbättra uppföljningen. Huvuddelen av bestämmelserna i 4 kap. PDL, är tillämpliga i fråga om de personuppgifter som behandlas i landstingens verksamhet för uppfölj- ning av hälso- och sjukvården. Personuppgifter ska enligt 1 kap. 2 § PDL utformas och i övrigt hanteras så att patientens och övriga registrerades integritet respekteras. Dokumenterade personuppgifter ska vidare hante- ras och förvaras så att obehöriga inte får tillgång till dem. I 4 kap. 1 § PDL finns en grundläggande bestämmelse om s.k. inre sekretess som innebär att den som arbetar hos landsting får ta del av de patientuppgifter som behandlas i uppföljningsverksamheten endast om han eller hon del- tar i vården av den patienten eller av annat skäl behöver uppgifterna för sitt arbete inom hälso- och sjukvården. En ytterligare begränsning gäller enligt 4 kap. 2 § PDL. Där anges att en vårdgivare, dvs. , ska bestämma villkor för tilldelning av behörighet för elektronisk åtkomst till sådana uppgifter om patienter som förs helt eller delvis automatiserat. Sådan behörighet ska begränsas till vad som behövs för att den enskilde ska kunna fullgöra sina arbetsupp- gifter inom hälso- och sjukvården. I 4 kap. 3 § PDL föreskrivs dessutom att vårdgivaren har en skyldighet att se till att åtkomsten till uppgifterna kan kontrolleras och att systematiska och återkommande kontroller görs av om någon obehörigen har kommit åt uppgifterna. Ytterligare krav på vårdgivaren för en säker hantering av patientuppgifter finns i Socialsty- relsens föreskrifter (SOSFS 2008:14) om informationshantering och journalföring i hälso- och sjukvården. I föreskrifterna förtydligas bl.a. att alla åtgärder som vidtagits i ett informationssystem som är helt eller delvis automatiserat i efterhand måste gå att härleda till en identifierad användare. Landstingen hanterar mycket känsliga uppgifter som ska journalföras inom vården. Regeringen kan konstatera att PDL och anslu- tande föreskrifter ställer stora krav på vårdgivaren att organisera infor- mationshanteringen inom hälso- och sjukvården på ett säkert sätt. Enligt föreskrifter (SOSFS 2008:14) om informationshantering och journalföring inom hälso- och sjukvården ska vårdgivaren säkerställa att det i ledningssystemet för kvalitet och patientsäkerhet finns en doku- menterad informationssäkerhetspolicy. Informationssäkerhetspolicyn ska bl.a. säkerställa att obehöriga inte kan ta del av patientuppgifterna. Vård- givarna ansvarar enligt 4 kap. PDL för tilldelning av behörighet för åt- komst och för att kontrollera att åtkomsten används på korrekt sätt. Soci- alstyrelsens föreskrifter (SOSFS 2008:14) ställer krav på att vårdgivarnas beslut om tilldelning av behörighet ska föregås av en behovs- och risk- analys. Varje användare ska vidare tilldelas individuella behörigheter. Vårdgivarna är också skyldiga att ha rutiner som säkerställer att det görs kontroller av vilka åtgärder som vidtagits med patientuppgifterna och Prop. 2009/10:138 vilka användare som har vidtagit dessa åtgärder. Regeringen förutsätter att även de nya personuppgifter som landstingen kommer att hantera med anledning av regeringens förslag, kommer att hanteras på ett ansvarsfullt och betryggande sätt inom landstingen. För tillsynen av att landstingen hanterar personuppgifter i enlighet med gäl- lande regelverk svarar i första hand Datainspektionen. Datainspektionens tillsyn innebär till exempel att Datainspektionen kan kontrollera att vård- givarna vidtar säkerhetsåtgärder för att skydda patientuppgifterna, till exempel att vårdgivarna har rutiner för behörighetsstyrning och åtkomst- kontroll. Även har tillsyn över hälso- och sjukvården och dess personal. Regeringen förutsätter att tillsynen även av den nya be- handlingen av personuppgifter kommer att vara tillräckligt omfattande för att säkerställa att patienternas personliga integriteten skyddas vid behandlingen. Förbud mot efterforskning av identitet Regeringens förslag: får inte utan patientens samtycke behandla krypterade uppgifter från i syfte att röja dennes identitet. Utredningens förslag: Överensstämmer med regeringens förslag. Remissinstanserna: Har inte kommenterat utredningens förslag. Skälen för regeringens förslag: Av den föreslagna bestämmelsen i 6 kap. 14 § andra stycket lagen (1996:1156) om receptregister, vilken behandlas i avsnitt 6.3, följer att de uppgifter som lämnas ut från till landstingen ska vara krypterade. föreslår att denna kryptering ska bestå hos landstingen och att det för att säkerställa detta ska införas en bestämmelse i patientdatalagen (2008:355), förkortad PDL, som innebär ett förbud hos landstingen mot behandling av de från erhållna uppgifterna i syfte att röja en patients identitet, om inte han eller hon samtyckt till detta. , som personuppgiftsansvarig, är enligt 26 § personupp- giftslagen (1998:204) skyldigt att efter ansökan lämna besked om person- uppgifter som rör den sökande behandlas eller ej. I de fall uppgifter be- handlas är skyldigt att bl.a. lämna information om vilka upp- gifter om den sökande som behandlas. För att en vårdgivare ska kunna fullgöra denna informationsskyldighet krävs att det finns en möjlighet till I utredningen föreslås att detta ska få ske genom att landstingen krypterar den sökandes personnummer eller namn med den tillämpade krypteringsmetoden och därefter söker efter den erhållna koden i databasen. På sådant sätt kan de uppgifter om patienten som finns i databasen anträffas och lämnas ut till denne. stämmelsen i PDL medger att landstingen kan efterkomma bestämmel- serna om information till de registrerade i personuppgiftslagen. Regeringen delar utredningens bedömning att krypteringen ska bestå hos landstingen, och föreslår därför att det i PDL ska införas ett förbud mot att, utan patientens samtycke, behandla krypterade uppgifter i syfte att röja patientens identitet. En åtgärd för att genom den ovan beskrivna metoden för bakvägsidentifiering söka rätt på uppgifter i databaser om en Prop. 2009/10:138 registrerad som begärt att få ett registerutdrag enligt 26 § personupp- giftslagen måste anses grundad på den registrerades samtycke. Att landstingen ska ha en skyldighet att genom bakvägsidentifiering ta fram uppgifter om en patient enligt 26 § PUL innebär enligt regeringens bedömning inte att någon person på landstingen bör få kännedom om vilken kod som representerar ett visst personnummer eller namn. Efter- som krypteringen innebär att samma kod alltid kommer att användas för samma namn eller personnummer vore det olyckligt om en begäran en- ligt 26 § PUL resulterade i att det blev känt för någon inom vilken krypterad kod som representerade ett visst personnummer eller namn. En praktiskt lösning för att undvika detta är att den person i ett landsting som arbetar med att lämna ut information om registrerade ma- tar in personnumret i en dator, datorn krypterar personnumret, söker igenom databasen efter samtliga träffar för den unika koden och redovi- sar resultatet utan att den ansvarig får ta del av vilken som är den aktuella koden. Av bestämmelserna i 4 kap. 2 § PDL följer att den som arbetar hos en vårdgivare endast får ta del av dokumenterade uppgifter om en patient om han eller hon behöver uppgifterna för sitt arbete inom hälso- och sjukvården. Landstingen har enligt 4 kap. 3 § PDL också en skyldig- het att begränsa de anställdas behörighet för elektronisk åtkomst till vad som behövs för att den anställda ska kunna fullgöra sina uppgifter inom hälso- och sjukvården. För att landstingen ska kunna leva upp till dessa bestämmelse bör landstingen utforma sina datasystem på ett sådant sätt att det inte blir nödvändigt för den som ska ta fram uppgifter på begäran av en patient att ta del vilken krypterad kod som motsvarar patientens namn eller personnummer. 6.6Tystnadsplikt för metoder som används för att skydda den enskildes identitet Regeringens förslag: Tystnadsplikt ska gälla för den som arbetar eller har arbetat inom för uppgifter som lämnar eller kan bidra till upplysning om metod för kryptering som används för att skydda den enskildes identitet vid utlämnande av personuppgifter till . Regeringens bedömning: Bestämmelser om skydd mot att uppgif- ter om bl.a. krypteringsmetoder hos röjs för utomstående finns i 18 kap. 8 och 9 §§ offentlighets och sekretesslagen (2009:400). Det behövs därför inga ytterligare sekretessbestämmelser till skydd för uppgifterna hos . Bestämmelser som ställer krav på säkerhetsåtgärder till skydd för personuppgifter finns bl.a. i personuppgiftslagen (1998:204) och pati- entdatalagen (2008:355). Några ytterligare bestämmelser om betryg- gande förvaring av dokumentation av krypteringsmetoder behöver inte införas. Utredningens förslag: Överensstämmer i huvudsak med regeringens förslag och bedömning. Utredningen föreslår att tystnadsplikt avseende metod för kryptering tas in i en ny paragraf i lagen (1998:1156) om re- Prop. 2009/10:138 ceptregister, i fortsättningen benämnd receptregisterlagen. föreslår dessutom att det utöver regler om tystnadsplikt ska införas ett krav på att dokumentation som gäller krypteringsmetod ska förvaras på ett betryggande sätt hos och hos landstingen.