sou · H0B342 · 2012-06-04 00:00:00 — omfattande hantering av personuppgifter i själva verket kan utföras säkrare genom direktåtkomst och därmed även gagna de registrerades personliga integritet. Uppgifter i omfattas av sekretess bl.a. enligt 6 § OSF. För att uppgifterna, utan hinder av sekretess, ska vara potentiellt tillgängliga genom direktåtkomst för Transportstyrelsen krävs att möjligheten till direktåtkomst kombineras med en bestämmelse som bryter den eventuella sekretessen. Därför föreslår vi att det införs en sekretessbrytande bestämmelser i som anger att sekretess inte hindrar sådant utlämnande genom direktåtkomst som sker enligt vad som anges i förordningen om register över hälso- och sjukvårdspersonal. Utredningens bedömning är att de uppgifter i registret som Transportstyrelsen har potentiell tillgång till genom direktåtkomst kommer att omfattas av samma sekretess hos Transportstyrelsen som hos , genom bestämmelsen i 11 kap. 4 § OSL om överföring av sekretess vid direktåtkomst. Av den senare bestämmelsen följer att om en myndighet har elektronisk tillgång till en upptagning för automatiserad behandling hos en annan myndighet och en uppgift i denna upptagning är sekretessreglerad, blir sekretessbestämmelsen tillämplig även hos den mottagande myndigheten. Det innebär enligt utredningen att uppgifterna, även hos Transportstyrelsen, omfattas av den grundläggande sekretessbestämmelsen i 6 § OSF för uppgifter om enskilds personliga förhållanden i . 6.3.4Ansvar för behörighetsstyrning vid direktåtkomst Vårt förslag: Som en konsekvens av förslagen om direktåtkomst för vårdgivare, och Transportsstyrelsen föreslår vi en bestämmelse som tydliggör ansvaret för behörighetsstyrning vid direktåtkomst. Bestämmelsen anger uttryckligen att en personuppgiftsansvarig som medgetts direktåtkomst ansvarar för att behörigheter vid direktåtkomst begränsas till vad varje användare behöver för att kunna fullgöra sina arbetsuppgifter. Våra överväganden och förslag Våra förslag om direktåtkomst gör att fler aktörer än kommer att ha potentiell tillgång till uppgifter i . Att vårdgivare, och Transportstyrelsen ges möjlighet till direktåtkomst innebär dock inte att det är fritt fram för alla och envar hos dessa aktörer att använda direktåtkomsten för att ta del av uppgifter om legitimerade yrkesutövare i HOSP- registret. Varje personuppgiftsansvarig som medges direktåtkomst till är personuppgiftsansvarig för sin behandling av personuppgifter och har att följa de dataskyddsbestämmelser som reglerar den egna verksamheten. Vidare har Datainspektionen som tillsynsmyndighet alltid möjlighet att kontrollera hur de personuppgiftsansvariga efterlever integritetsskyddslagstiftningen, t.ex. vad gäller personalens behörighet till IT-system som innehåller personuppgifter. För att förtydliga att de föreslagna möjligheterna till direktåtkomst inte åsidosätter de grundläggande kraven vid behandling av personuppgifter föreslår vi därför en bestämmelse som uttryckligen anger att den personuppgiftsansvarige är skyldig att begränsa användarnas behörighet utifrån vad användarna behöver för att kunna utföra sitt arbete. Utredningens uppfattning är att det t.ex. hos vårdgivare endast kan vara fråga om ett begränsat antal personer som ges möjlighet till direktåtkomst. Det kan exempelvis vara någon vid personalavdelningen, verksamhetschefer med personalansvar eller andra som har till uppgift att för vårdgivarens räkning kontrollera legitimerad hälso- och sjukvårdspersonals identitet och behörighet. 6.4Undantag från sekretess och sekretessbrytande bestämmelser Vårt förslag: För att ska kunna göra ett begränsat publikt register tillgängligt behöver vissa lättnader i sekretessen införas. Vi föreslår att uppgifter om legitimerade yrkesutövares namn, födelseår, yrke, specialitet samt datum för utfärdande av legitimation respektive bevis om specialistkompetens generellt undantas från den sekretess som gäller enligt 6 § offentlighets- och sekretessförordningen (2009:641). Våra överväganden och förslag möjliggöra direktåtkomst för offentliga och privata vårdgivare, samt Transportstyrelsen föreslår vi att det införs en sekretessbrytande bestämmelse i 22 kap. offentlighets- och sekretesslagen (2009:600) som anger att sekretess inte hindrar att uppgifter lämnas ut genom direktåtkomst enligt vad som föreskrivs om direktåtkomst för dessa aktörer i förordningen (2006:196) om register över hälso- och sjukvårdspersonal. De sekretessbestämmelser som gäller till skydd för uppgifterna i kan kräva att det i det enskilda fallet görs en sekretessprövning innan uppgifter får lämnas ut ur registret. Bestämmelserna till skydd för dessa uppgifter finns bl.a. i 6 § offentlighets- och sekretessförordningen (2009:641), förkortad OSF, som utfärdats med stöd av 22 kap. 1 § offentlighets- och sekretesslagen (2009:400), förkortad OSL, samt möjligen i 21 kap. 3 § OSL. Vid ett rakt kvalificerat skaderekvisit, som i de bestämmelser som gäller för , är presumtionen att typiskt sett harmlösa uppgifter kan lämnas ut utan någon närmare skadebedömning i det enskilda fallet. En närmare skadebedömning behöver vid tillämpning av ett sådant skaderekvisit – beträffande normalt sett harmlösa uppgifter – bara göras om det finns särskild anledning till det.5 En sådan särskild anledning kan vara att den enskilde fått en sekretessmarkering eller annat skydd för sina personuppgifter inom folkbokföringen. För att en sådan uppgift ska beaktas måste den dock komma till myndighetens kännedom. Personalen inom myndigheten behöver inte efterforska om personuppgiften på något sätt är skyddad om inte detta framförts till myndigheten.6 Utgångspunkten är nämligen att uppgiften är offentlig. Ändå måste beaktas att uppgifterna i registret omfattas av sekretessbestämmelser. Det kan därför inte helt uteslutas att till exempel uppgift om folkbokföringsort eller andra administrativa uppgifter som ger vägledning om var den enskilde uppehåller sig bedöms vara sekretessbelagda i ett enskilt fall, exempelvis rörande en enskild som är utsatt för hot och våld. Inte heller har de bestäm- 1979/80:2 Del A s. 80 f. 6SOU 2003:99, Ny sekretesslag, s. 448. Våra överväganden och förslag melser om direktåtkomst som föreslås en sekretessbrytande effekt i sig. För att direktåtkomst för allmänhet, offentliga och privata vårdgivare, samt Transportstyrelsen ska vara möjligt måste därför bestämmelser som bryter eller undantar sekretessen införas. Utredningen anser att de uppgifter vi föreslår ska få göras tillgängliga i det begränsade publika registret är harmlösa och uteslutande relaterade till den enskildes yrkesutövning. Enligt vår bedömning är det fråga om sådana grundläggande uppgifter som typiskt sett kan lämnas ut utan att den enskilde lider men av utlämnandet. För att möjliggöra det begränsade publika register vi föreslår krävs dock att sekretessen för just de aktuella uppgifterna bryts. Vi föreslår därför att det i OSF tas in en bestämmelse som innebär att sekretess i över hälso- och sjukvårdspersonal inte gäller för uppgift om namn, födelseår, yrke, specialitet samt datum för utfärdande av legitimation respektive bevis om specialistkompetens. En sådan bestämmelse medför att inte behöver göra någon prövning i det enskilda fallet innan dessa uppgifter lämnas ut. För övriga uppgifter i bör dock sekretesskyddet bibehållas. Frågan har vidare behandlats i avsnitt 6.2.1. För den direktåtkomst till uppgifter i registret som föreslås i förhållande till offentliga och privata vårdgivare, samt Transportstyrelsen krävs en annan lösning för att bryta sekretessen. Sekretessbrytande regler som gäller i förhållande till svenska myndigheter kan införas i OSL eller i lag eller förordning som OSL hänvisar till (8 kap. 1 § OSL). Någon hänvisning till den lag eller förordning som innehåller en sekretessbrytande bestämmelser behöver dock inte tas in i OSL, om bestämmelsen i fråga utformas som en uppgiftsskyldighet (se 10 kap. 28 § första stycket OSL). Det innebär bl.a. att det i förordningen om register över hälso- och sjukvårdspersonal är möjligt att föreskriva om en uppgiftsskyldighet för gentemot viss myndighet. Någon bestämmelse som motsvarar 8 kap. 1 § och 10 kap. 28 § första stycket OSL finns inte beträffande uppgiftsutlämnande till enskilda. Sekretessbrytande regler som gäller i förhållande till enskilda rättssubjekt kan tas in i andra lagar än OSL eller i en förordning, men då måste en hänvisning till den lagen eller förordningen tas in i OSL. Våra överväganden och förslag En följd av ovanstående är att det inte är möjligt att i förordningen om register över hälso- och sjukvårdspersonal föreskriva om uppgiftsskyldighet för gentemot enskilda rättssubjekt som privata vårdgivare och . Den möjligheten finns endast för utlämnande till Transportstyrelsen och offentliga vårdgivare. Det skulle således vara möjligt att föreslå sekretessbrytande bestämmelser dels i OSL till förmån för privata vårdgivare, och andra enskilda, dels i form av uppgiftsskyldighet i förordningen om register över hälso- och sjukvårdspersonal till förmån för offentliga vårdgivare och Transportsstyrelsen. Utredningens uppfattning är emellertid att det vore olyckligt med en lösning där de sekretessbrytande bestämmelserna konstrueras på olika sätt och sprids på flera författningar. Vi föreslår istället att det införs en generell sekretessbrytande bestämmelse i OSL som slår fast att sekretess inte hindrar sådant utlämnande genom direktåtkomst som föreskrivs i förordningen om register över hälso- och sjukvårdspersonal. Utredningen anser att bestämmelsen bör placeras i 22 kap. OSL eftersom den grundläggande bestämmelsen om sekretess för uppgifter i är utfärdad med stöd av 22 kap. 1 § OSL. Vi bedömer vidare, som redovisats i avsnitt 6.3.1–6.3.3, att de aktuella uppgifterna kommer att ha ett sekretesskydd hos den mottagande myndigheten och att de hos enskilda omfattas av tystnadsplikt. 6.5Förslag om ändringar i befintlig förordning m.m. Vårt förslag: Vi föreslår att det införs en ny bestämmelse som uttryckligen anger att det är som är personuppgiftsansvarig för registret. Vi föreslår vidare att det i samma bestämmelse tydliggörs att den som genom direktåtkomst tar del av uppgifter i är personuppgiftsansvarig för sin egen behandling av personuppgifterna. Vi anser att de ändringar som utredningen föreslår kan göras i befintlig förordning (2006:196) om register över hälso- och sjukvårdspersonal. Ändringarna ska träda i kraft . Våra överväganden och förslag I moderna registerförfattningar anges alltid vem som är personuppgiftsansvarig för registret. Vi föreslår därför att en sådan bestämmelse införs i förordningen. Vidare föreslår vi att det i samma bestämmelse tydliggörs att den som bereder sig direktåtkomst till uppgifter i är personuppgiftsansvarig för sin egen behandling av personuppgifterna. Enligt 2 kap. 6 § regeringsformen ska var och en vara skyddad gentemot det allmänna mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Inskränkningar ska dock kunna göras i lag. Yrkeslegitimationerna inom hälso- och sjukvården syftar till att offentligt deklarera att yrkesutövaren har rätt kompetens för sitt arbete. Legitimation för yrke inom hälso- och sjukvården innebär att den legitimerade har godkänts för att utöva vissa arbetsuppgifter under ett särskilt yrkesansvar. Flera intressenter har behov och intresse av att enkelt kunna ta reda på om dessa förhållanden föreligger. En uppgift om att en viss person har eller inte har legitimation för ett visst yrke varken kan eller får hemlighållas. I förarbetena7 uttalas bl.a. att det vid bedömningen av hur ingripande integritetsintrånget kan anses vara i samband med insamling, lagring och bearbetning eller utlämnande av uppgifter om enskildas personliga förhållanden, är naturligt att lägga stor vikt vid uppgifternas karaktär. innehåller uppgifter om ett stort antal personer. Uppgifterna ger information om den enskildes yrke och behörighet, datum för meddelande av legitimation och beslut om återkallelse av legitimation m.m. Enligt vår uppfattning kommer våra förslag till ändringar i förordningen inte att innefatta ett så stort ingrepp i enskildas privatliv att det kan anses utgöra ett betydande intrång i den personliga integriteten i den mening som avses i den nya grundlagsbestämmelsen. Registret kan därmed även fortsättningsvis regleras i författning på lägre normhierarkisk nivå än lag. Utredningen anser därför att de ändringar som vi föreslår kan göras i den befintliga förordningen. Vi föreslår att ändringarna i förordningen träder i kraft . 7 Regeringens proposition En reformerad grundlag, prop. 2009/10:80. 7 Konsekvenser av våra förslag Enligt kommittéförordningen (1998:1474) ska det i ett betänkande som innehåller nya eller ändrade regler också anges konsekvenser av dessa. Förordningen föreskriver att en sådan konsekvensanalys ska genomföras om förslagen har betydelse för den kommunala självstyrelsen, för brottsligheten, för sysselsättningen och offentlig service i olika delar av landet, för små företags arbetsförutsättningar, konkurrensförmåga eller villkor i övrigt i förhållande till större företag, för jämställdheten mellan kvinnor och män eller för möjligheterna att nå de integrationspolitiska målen. Utredningar som lägger fram förslag som förutsätter behandling av personuppgifter bör särskilt uppmärksamma konsekvenserna från integritetsskyddssynpunkt för den som personuppgifterna avser. Utredningen har haft i uppdrag att just analysera förutsättningarna för att på internet eller genom elektronisk direktåtkomst tillhandahålla vissa personuppgifter rörande legitimerad hälso- och sjukvårdspersonal. Hela utredningsarbetet har genomsyrats av överväganden rörande de registrerades personliga integritet. Någon särskild konsekvensbeskrivning avseende skyddet för den personliga integriteten görs därför inte här utan vi hänvisar till våra överväganden som redovisas i kapitel 6. I detta kapitel redogörs i korthet för utredningens konsekvensbedömning vad gäller ekonomiska konsekvenser och konsekvenser för små företag med mera. Utredningen föreslår ändringar i en befintlig förordning. Förordningen (2006:196) om register över legitimerad hälso- och sjukvårdspersonal reglerar att ska föra ett sådant register och hur personuppgifterna får användas. Konsekvenser av våra förslag innebär en ökad tillgänglighet till uppgifterna i registret som är anpassad till de olika intressenternas behov. Utöver berörs följande användare av uppgifter i registret av förslaget; allmänheten, vårdgivare (såväl privata som offentliga), och Transportstyrelsen. Vårt förslag innebär en möjlighet för att på frivillig väg erbjuda vissa aktörer direktåtkomst till uppgifter i registret över legitimerad hälso- och sjukvårdspersonal (). har framfört önskemål om att få möjlighet att erbjuda direktåtkomst för allmänheten genom att tillgängliggöra uppgifter ur registret på internet. Myndigheten anser att det vore av värde att kunna erbjuda en ökad tillgång till uppgifter ur registret och att detta skulle förbättra effektiviteten och servicen mot tredje man samt att informationsutbytet mellan de nordiska länderna och övriga EES-länderna skulle underlättas. bedömer att en webbpublicering skulle sänka förvaltningskostnaderna jämfört med . Utredningen gör bedömningen att om väljer att erbjuda direktåtkomst för allmänheten kommer det inledningsvis att innebära vissa kostnader som är förknippade med att utforma tekniska lösningar för att kunna tillgängliggöra uppgifter på ett säkert sätt. Vi delar dock bedömningen att en enklare tillgång till uppgifterna kommer att minska administrationskostnaderna för . När det gäller förslagen om direktåtkomst för vårdgivare, och för Transportstyrelsen innebär förslagen möjligheter för aktörerna att effektivisera sin behandling av uppgifter ur registret. Transportstyrelsen, som hanterar 274 000 synintyg , har uppgivit att direktåtkomst skulle leda till kortare handläggningstider, minskad pappersanvändning och minskade kostnader. Utredningen gör bedömningen att också kommer att kunna effektivisera sin behörighetskontroll genom direktåtkomst. När det gäller vårdgivarnas direktåtkomst har CeHis och uppgivit att direktåtkomst till är en förutsättning för att ska ha korrekt information om hälso- och sjukvårdspersonalens behörighet. Utredningen gör bedömningen att förslagen kommer att leda till ökad effektivitet och säkerhet vid Konsekvenser av våra förslag behandling av uppgifter ur registret och därmed också minskade kostnader för dessa intressenter. När det gäller vårdgivare är effektivitetsvinsten sannolikt beroende av hur omfattande verksamhet som bedrivs, se avsnitt 7.3. Det övergripande syftet med att öka tillgången till uppgifterna i registret är att underlätta kontrollen av hälso- och sjukvårdspersonalens behörighet. Syftet är alltså att öka patientsäkerheten. En säkrare vård innebär minskade kostnader för samhället och ökad trygghet för patienterna. 7.3Konsekvenser för små företags villkor Vårt förslag innebär att får lämna ut vissa grundläggande uppgifter om hälso- och sjukvårdspersonalens behörighet genom direktåtkomst till allmänheten. En sådan direktåtkomst kommer att göra det möjligt för den enskilde att själv kontrollera behörigheten hos de yrkesutövare som han eller hon har för avsikt att söka hjälp hos. Många legitimerade yrkesgrupper inom hälso- och sjukvården bedriver sin verksamhet i egna företag, till exempel, optiker, psykoterapeuter och kiropraktorer. För dessa vårdgivare kan en enklare tillgång till information om den behörighet som särskiljer dem från andra yrkesgrupper innebära en konkurrensfördel. Vårt förslag om att får erbjuda vårdgivare direktåtkomst till uppgifter i registret berör även små vårdföretag. Vårdgivare har oavsett omfattning i verksamheten ansvar för att verksamheten bedrivs på ett säkert sätt av yrkesutövare med rätt kompetens. Utredningen gör dock bedömningen att mindre vårdgivare inte har samma behov av direktåtkomst till HOSP- registret som större. De företag som har få anställda och få rekryteringar får sannolikt inga större effektivitetsvinster av att ta del av uppgifter om enskilda yrkesutövares behörighet genom direktåtkomst. Däremot kan en direktåtkomst för att kontinuerligt hålla små företags uppdaterade ha positiva effekter till exempel för företagens anslutning till de nationella e-hälsotjänster där och SITHS är en förutsättning för nyttjande av tjänsten. Konsekvenser av våra förslag Utredningen gör bedömningen att våra förslag inte har några konsekvenser när det gäller den kommunala självstyrelsen, brottsligheten och det brottsförebyggande arbetet, sysselsättning och offentlig service i olika delar av landet, jämställdheten mellan kvinnor och män eller möjligheten att nå de integrationspolitiska målen. Förbättrad tillgång till personuppgifter inom och mellan hälso- och sjukvården En särskild utredare ska utreda och lämna förslag till en mer sammanhållen och ändamålsenlig informationshantering inom och mellan hälso- och sjukvården och . efter en avvägning mellan verksamheternas behov av information och skyddet för den enskildes personliga integritet, kartlägga vilken typ av information som bedöms vara nödvändig att behandla genom t.ex. utlämnande genom direktåtkomst. identifiera nödvändiga förutsättningar för en ändamålsenlig och mer sammanhållen informationshantering inom och mellan hälso- och sjukvården och samt vilka hinder (juridiska, tekniska etc.) för en sådan informationshantering som finns och i förekommande fall i vilka lagar dessa hinder finns. med utgångspunkt från kartläggningen och de identifierade förutsättningarna och hindren föreslå sådana lagstiftningsåtgärder som medger att behörig personal och beslutsfattare inom hälso- och sjukvården och får ha tillgång till nödvändiga uppgifter för den aktuella behandlingen inom eller över både organisatoriska och nationella gränser. Uppdraget ska redovisas i ett delbetänkande och resterande delar av uppdraget i ett slutbetänkande . Tillgång till personuppgifter är en förutsättning för att enskilda ska få säkra insatser av hög kvalitet Människor i lever allt längre som behovet av vård, omsorg och service ökar för många grupper. Hälso- och sjukvården och är två mycket informationsintensiva sektorer. För att möta de utmaningar som hälso- och sjukvården och står inför krävs dels samlade och koordinerade insatser, dels en utvecklad och mer kontinuerlig uppföljning av de insatser som ges. Stora strukturförändringar har skett inom hälso- och sjukvården och . Reformer om bl.a. fritt vårdval och omreglering av apoteksmarknaden har lett till många nya vårdmottagningar, vårdcentraler och apotek där verksamheten i allt större utsträckning utförs av privata aktörer. Även inom har andelen enskilda utförare ökat, bl.a. som en följd av lagen om valfrihet. har kommit långt när det gäller användning av it-system som stöd i den dagliga verksamheten och för utveckling samt när det gäller säkerhet och behörighet. Staten och huvudmännen har gjort stora investeringar för att skapa goda grundförutsättningar för en mer ändamålsenlig informationshantering. Satsningar har gjorts och görs på exempelvis it-infrastruktur, säkerhetslösningar och för att införa en nationell informationsstruktur och ett nationellt fackspråk. Vidare håller man nu på att införa bl.a. nationell patientöversikt, sammanhållna journalsystem och elektroniska beslutsstöd inom hela vård- och omsorgssektorn. Den tekniska utvecklingen har varit omfattande och tekniken skapar många nya möjligheter. Den hälso- och sjukvård som landstingen och kommunerna ger samt de insatser inom som kommunerna ger kräver fortlöpande samarbete i individuella vård- och omsorgssituationer. Tillgång till och behandling av personuppgifter inom och mellan myndigheter, landsting och kommuner samt privata verksamheter behöver begränsas till att gälla vissa situationer. Det kan bl.a. med hänsyn till den enskildes integritet inte bli fråga om att informationen ska flöda fullständigt fritt. De fördelar som ett utlämnande av eller tillgång till uppgifter får för den enskilde eller för personal eller beslutsfattare vid myndigheter, landsting och kommuner samt privata verksamheter måste alltid vägas mot de nackdelar som kan uppkomma. Även efter en elektronisk överföring av uppgifter ska det finnas ett tillfredsställande sekretesskydd för informationen och ett motsvarande skydd för den personliga integriteten när den mottagande instansen behandlar uppgifterna. Lagstiftning till skydd för den personliga integriteten Frågan om myndigheters behandling av personuppgifter på automatiserad väg innefattar avvägningar mellan skyddet för den personliga integriteten å ena sidan och viktiga samhällsintressen å den andra. I regeringsformen (1974:152), (förkortad RF), anges bl.a. att det allmänna ska värna om den enskildes privatliv och familjeliv (1 kap. 2 § fjärde stycket RF). Var och en är gentemot det allmänna skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden (2 kap. 6 § RF). Denna fri- och rättighet kan under vissa förutsättningar begränsas genom lag (2 kap. 20–21 §§ RF). Den europeiska konventionen om skydd för de mänskliga rättigheterna och grundläggande friheterna, förkortad EKMR, som har inkorporerats i svensk rätt innehåller bestämmelser till skydd för den enskildes rätt till respekt för privat- och familjelivet (art. 8.1 EKMR).