sou · H0B342 · 2012-06-04 00:00:00 — Detta tyder på att den som rekryterar hälso- och sjukvårdspersonal måste bli mer noggrann med att kontrollera kompetens och behörighet hos den de anställer. Mot bakgrund av det ansvar som vårdgivarna har bör även referenser tas. 4 SÖ 1994:2 Nr 2 Överenskommelse om nordisk arbetsmarknad för viss hälso- och sjukvårdspersonal och veterinärer. Våra överväganden och förslag välfärdsutskott har beslutat (A 1506/velferd, ) att föreslå för de nordiska regeringarna att inrätta ett gemensamt nordiskt elektroniskt register för all hälso- och sjukvårdspersonal. föreslår inte att registret ska vara publikt. Avsikten är att registret bara ska vara tillgängligt till de som behöver det för rekrytering. anser att förslaget syftar till att garantera de nordiska medborgarna den patientsäkerhet som alla ska ha en rätt till i våra nordiska länder. För att undvika att personer anställs som visar sig vara uppenbart olämpliga och för att underlätta dessa kontroller för aktörer även utanför gränser bör det även för dessa bli lättare än att kontrollera identitet och behörighet på yrkesutövare med svensk legitimation. Utredningen har dock inte funnit tillräckliga skäl att ge utländska aktörer direktåtkomst till samtliga uppgifter i . En sådan åtkomst skulle innebära ett omotiverat integritetsintrång. Det går dock inte att utesluta att det , med en ännu större rörlighet av såväl yrkesutövare som patienter, kan finnas skäl att göra andra bedömningar. bedömer vi dock att det behov som utländska vårdgivare och tillsyns- och auktorisationsmyndigheter har av att kontrollera enstaka individers behörighet mycket väl kan tillgodoses genom den möjlighet till direktåtkomst för allmänheten som föreslås. Förslaget innebär att uppgifterna i blir tillgängliga på liknande sätt som i de övriga nordiska länderna och att den som söker information får reda på att yrkesutövaren är legitimerad och inte föremål för behörighetsinskränkning eller prövotid. Utländska aktörer får därmed möjlighet att själva kontrollera identitet och behörighet på i stort sett samtliga registrerade yrkesutövare. För att ta reda på uppgifter om de få individer som har behörighetsinskränkningar eller prövotid krävs att en sedvanlig kontakt med tas. Med hänsyn till det fåtal yrkesutövare som är föremål för sådana åtgärder bedömer vi att såväl ändamålet med att öka tillgängligheten som strävan efter att förenkla administration i allt väsentligt tillgodoses med vårt förslag. Det finns dessutom ingenting som hindrar att utlämnandet av uppgifter till utländska aktörer effektiviseras inom ramen för den nuvarande regleringen, t.ex. genom att införa en mer eller mindre automatiserad fråga/svars-funktion. Därutöver finns rutiner för utbyte av information mellan tillsynsmyndigheterna i de nordiska länderna. skickar regelbundet ut information om de yrkesutövare som har någon behörighetsinskränkning. Våra överväganden och förslag Ett HOSP-register som är tillgängligt på internet och som ger allmänheten och andra aktörer besked om vilka yrkesutövare som är legitimerade och saknar behörighetsinskränkning eller prövotid, skulle innebära en omfattande effektivisering av handläggning eftersom de flesta förfrågningar skulle kunna hänvisas till internet. Myndigheten kan istället använda sina resurser till att svara på de frågor som registret på internet inte kan ge svar på, till exempel på grund av att uppgifterna rör en behörighetsinskränkning eller till att hantera frågor om större sammanställningar. 6.3Behovet av direktåtkomst för vissa aktörer Vårt förslag: Vi föreslår vissa ändringar av de bestämmelser som reglerar för vilka ändamål som uppgifterna i registret får användas. Uppgifterna ska få användas för att kontrollera legitimerad hälso- och sjukvårdspersonals identitet och behörighet i samband med tjänstetillsättning, under anställning och vid intygsutfärdande. För de ändamålen ska få ge vårdgivare direktåtkomst till ett flertal uppgifter ur registret, bl.a. namn, personnummer, folkbokföringsort, förskrivarkod, yrke, specialitet, datum för utfärdande av legitimation, uppgift om behörigheten är begränsad, indragen eller återkallad samt uppgift om beslut om prövotid. Vi föreslår även att registret ska få innehålla andra uppgifter som identifierar en registrerad än personnummer. För att möjliggöra att direktåtkomsten kan ske utan hinder av sekretess föreslår vi att det införs en sekretessbrytande bestämmelse i offentlighets- och sekretesslagen (2009:400) som anger att sekretess inte hindrar att uppgifter lämnas ut genom direktåtkomst till vårdgivare enligt vad som anges i förordningen (2006:196) om register över hälso- och sjukvårdspersonal. Våra överväganden och förslag Behörighetsreglerna ska bidra till att samhällets mål om att hälso- och sjukvården ska vara av god kvalitet uppnås och till att patientens behov av trygghet i vården och behandlingen tillgodoses. Reglerna ska bidra till att upprätthålla en hög patientsäkerhet. Vårdgivaren har ansvaret för att det finns rätt kompetens i verksamheten. Därför är det viktigt att arbetsgivare (vårdgivare) lätt kan kontrollera yrkesutövarens kompetens och behörighet; både i samband med rekrytering och under löpande anställning för att kunna säkerställa att den anställde är behörig att utöva sina arbetsuppgifter. Vi föreslår därför att ändamålsbestämmelserna ändras på så sätt att uppgifterna i får användas för att kontrollera behörigheten såväl vid rekrytering som under pågående anställning. De nuvarande reglerna tillåter bara behandling för kontroller i samband med rekrytering. I samband med ändring av denna bestämmelse föreslår vi att detta ändamål ska vara det första som nämns i bestämmelsen. Numreringen av de i 5 § förordningen (2006:196) om register över hälso- och sjukvårdspersonal angivna ändamålen kommer därför att ändras helt och hållet. Vi föreslår dessutom att det läggs till ett helt nytt tillåtet ändamål, se avsnitt 6.2.1. Bättre behörighetskontroll – för säker vård och rätt anpassad åtkomst till känslig information om patienter I patientdatalagen (2008:355), förkortad PDL, finns bestämmelser om vårdgivarens ansvar för att hälso- och sjukvårdspersonalen har rätt behörighet för åtkomst till patientuppgifter i exempelvis journalsystemen. Ytterligare bestämmelser om detta finns i föreskrifter (SOSFS 2008:14) om informationshantering och journalföring i hälso- och sjukvården. Alla användare ska efter en behovs- och riskanalys tilldelas en individuell behörighet som är begränsad till vad som är nödvändigt för att ge en god och säker vård. Det innebär att användarnas behörighet i vårdgivarens informationssystem måste vara anpassad till deras arbetsuppgifter. Vårdgivaren ska även ansvara för att det finns rutiner för tilldelning, förändring, borttagning och regelbunden uppföljning av behörigheterna. Om en användare får nya arbetsuppgifter eller om användarens behörighet att utöva yrket är begränsad ska behörig- Våra överväganden och förslag heten till åtkomst till patientuppgifter följas upp och förändras så att den stämmer överens med de nya arbetsuppgifterna. Även beslut om begränsad eller indragen förskrivningsrätt måste möjligt få genomslag i behörighetsstyrningen, exempelvis på sådant sätt att den som fått indragen förskrivningsrätt kan använda ordinationsverktyget för att ordinera dosläkemedel. Av PDL och föreskrifter följer även krav på att användarens identitet styrks genom s.k. stark autentisering vid åtkomst till patientuppgifter över öppet nät. Stark autentisering kan uppnås genom användning av exempelvis e-tjänstelegitimationen SITHS. För flertal av de nationella e-hälsotjänsterna, exempelvis NPÖ och , ställs krav på identifiering genom stark autentisering. För att dessa tjänster ska kunna användas på ett patientsäkert och integritetsskyddande sätt krävs att vårdgivarna har uppdaterade och korrekta uppgifter om den personal som är verksam. Om vårdgivare kan erbjudas direktåtkomst till uppgifter i HOSP- registret, så att uppgifterna kan läggas till grund för registrering i , uppstår möjligheter att göra en omedelbar och automatisk behörighetskontroll av hälso- och sjukvårdspersonalen. Vårdgivarnas förutsättningar att använda de nationella e- hälsotjänsterna på ett sätt som gagnar både patientsäkerheten och patientintegriteten skulle bli väsentligt bättre med en sådan lösning jämfört med den tidskrävande hantering som används . För att möjliggöra löpande kontroll av yrkesutövarnas behörighet föreslår vi därför dels att ändamålsbestämmelserna i förordningen ändras på så sätt att uppgifterna får användas för kontroll av yrkesutövarens behörighet även vid andra tillfällen än i samband med rekrytering, dels att direktåtkomst till uppgifterna tillåts för vårdgivare. Förslaget ger vårdgivare möjlighet att själva direkt mot registret kontrollera enskilda yrkesutövares behörighet, men även att på en mer infrastrukturell systemnivå kontinuerligt uppdatera personalens uppgifter och status i . Vi öppnar därmed upp för olika typer av direktåtkomst. Vårdgivare kan exempelvis erbjudas åtkomst för att direkt ta del av enstaka uppgifter i registret eller erbjudas åtkomst som ger vårdgivare möjlighet att skapa en systemlösning som gör att uppgifterna i hålls uppdaterade, t.ex. genom Inera AB:s försorg. Våra överväganden och förslag Närmare om direktåtkomstens innebörd och omfattning För att möjliggöra en bättre behörighetskontroll och en bättre följsamhet till de integritetsskyddande bestämmelserna om behörighetsstyrning och autentisering föreslår vi därför att vårdgivare ska kunna erbjudas direktåtkomst till uppgifter om namn, personnummer, samordningsnummer eller andra liknande identitetsbeteckningar, kön, folkbokföringsort, yrke, datum för utfärdande av examen, specialitet, datum för utfärdande av legitimation respektive bevis om specialistkompetens, förskrivarkod, uppgift om beslut om prövotid, uppgift om beslut om begränsning eller indragning av förskrivningsrätt och uppgift om beslut om återkallelse av legitimation. Vårt förslag om direktåtkomst för vårdgivare gör det möjligt för att erbjuda direktåtkomst till de vårdgivare som ska använda uppgifterna för att kontrollera legitimerad hälso- och sjukvårdspersonals behörighet i samband med rekrytering eller under löpande anställning. Med vårdgivare avses statlig myndighet, landsting och kommun i fråga om sådan hälso- och sjukvård som myndigheten, eller kommunen har ansvar för samt annan juridisk person eller enskild näringsidkare som bedriver hälso- och sjukvård. Vårdgivare definieras bl.a. i 1 kap. 3 § patientsäkerhetslagen (2010: 659), förkortad PSL, och i PDL. Det innebär att måste ha administrativa rutiner som säkerställer att uppgifter som lämnas ut med denna typ av direktåtkomst endast lämnas till rätt aktör och att någon form av säker teknisk lösning erbjuds de intressenter som uppfyller villkoren i förordningen. Innan sådan direktåtkomst kan medges måste förvissa sig om att den som begär direktåtkomst är en vårdgivare i lagens mening och att syftet är att behandla uppgifterna i enlighet med de ändamål som anges i förordningen. har också möjlighet att ställa generella krav på de vårdgivare som vill ha direktåtkomst, till exempel att de har tekniska förutsättningar att behandla uppgifterna på ett säkert sätt eller att direktåtkomst bara medges de vårdgivare som har omfattande behov av att utföra kontroller mot . Vårt förslag gör det inte möjligt för bemanningsföretag att ha direktåtkomst till , om inte företaget även är vårdgivare. Bemanningsföretagen har, till skillnad från vårdgivarna, ingen skyldighet att kontrollera behörigheten hos de legitimerade yrkesutövarna. Vi bedömer att skyddsbehovet tillgodoses genom Våra överväganden och förslag att vårdgivare får möjlighet att göra kontroller direkt mot HOSP- registret. Bemanningsföretagen har även möjlighet att göra enstaka kontroller med hjälp av det begränsade publika registret som föreslås. Registrera samordningsnummer eller annan liknande identitetsbeteckning? CeHis och har även föreslagit det ska vara möjligt att registrera och söka fram yrkesutövare som ännu inte har svenskt personnummer i . Vi anser att det är rimligt att samtliga legitimerade yrkesutövare är sökbara och att uppgifterna kan ligga till grund för den viktiga infrastruktur som vårdgivarnas behörighetskatalog utgör. Genom att ändra förordningen så att även annan personidentifikation får registreras blir det möjligt för att registrera även personer utan svenskt personnummer, t.ex. med hjälp av ett samordningsnummer eller andra liknande identitetsbeteckningar. Är nyttan av ökad tillgänglighet till registret större än risken för att de registrerades integritet kränks? Den ökade tillgängligheten till uppgifter om de legitimerade yrkesutövarna som föreslås innebär ett visst intrång i de registrerades personliga integritet. Vår sammantagna bedömning är dock att nyttan för vårdgivare av att på ett enkelt, snabbt och säkert sätt ha tillgång till korrekta uppgifter om personalen, den nytta det innebär för patienterna att olämpliga och obehöriga yrkesutövare lättare upptäcks samt nyttan av att endast behöriga användare tar del av patienternas uppgifter, väger tyngre än integritetsintrånget. Vårt förslag om direktåtkomst för vårdgivare till HOSP- registret innebär inte att det är fritt fram för alla och envar hos en vårdgivare att bereda sig åtkomst till uppgifter om legitimerade yrkesutövare. Varje vårdgivare är personuppgiftsansvarig för sin hantering av uppgifterna och därmed skyldig att begränsa användarnas behörighet till sådana uppgifter de behöver för att kunna utföra sitt arbete. Det kan inte röra sig om något stort antal användare hos varje vårdgivare som kan uppfylla dessa behörighetskrav, utan det bör vara förbehållet de som har anvar för Våra överväganden och förslag eller till uppgift att hantera personaladminstrativa frågor. En förutsättning för att direktåtkomst ska vara en tillåten personuppgiftsbehandling för en vårdgivare är dessutom att åtkomsten används för att kontrollera legitimerad yrkesutövares identitet och behörighet under anställning, i samband med rekrytering hos vårdgivaren eller vid intygsutfärdande. Vårdgivare saknar därmed laglig grund för att nyttja direktåtkomsten för andra ändamål än de uppräknade. Sekretessbrytande bestämmelse gör direktåtkomst möjlig Enligt 6 § offentlighets- och sekretessförordningen (2009:641), förkortad OSF, gäller sekretess i för uppgift om enskilds personliga förhållanden, om det av särskild anledning kan antas att den enskilde eller någon närstående till denne lider men om uppgiften röjs. Även om sekretesskyddet är svagt och uppgifterna därmed som huvudregel offentliga, går det inte att utesluta att det i enskilda fall kan föreligga sekretess för uppgifterna. Som exempel på det kan nämnas att någon är utsatt för hot om våld eller förföljd. Det torde dock vara väldigt sällsynt att sekretessen i ett enskilt fall bedöms föreligga gentemot en vårdgivare som har att kontrollera yrkesutövarens identitet eller behörighet, t.ex. i samband med rekrytering. Men för att uppgifterna i , utan hinder av sekretess, ska kunna vara potentiellt tillgängliga genom direktåtkomst för vårdgivare krävs att möjligheten till direktåtkomst kombineras med en bestämmelse som bryter den eventuella sekretessen. Därför föreslår vi att det i offentlighets- och sekretesslagen (2009:400), förkortad OSL, införs en bestämmelse som gör att sekretess inte hindrar sådant utlämnande genom direktåtkomst som sker enligt förordningen (2006:196) om register över hälso- och sjukvårdspersonal. När vårdgivare väl tar del av uppgifterna har de dock i sin tur att tillämpa de sekretessbestämmelser som gäller i den egna verksamheten. Det innebär att de uppgifter som görs tillgängliga genom direktåtkomst i hos offentliga vårdgivare framför allt omfattas av sekretess enligt de primära sekretessbestämmelserna i 39 kap. 3 § OSL samt 10 § OSF. Vid direktåtkomst mellan myndigheter finns i och för sig en bestämmelse om överföring av sekretess i 11 kap. 4 § OSL. Av bestämmelsen följer att om en myndighet har elektronisk tillgång Våra överväganden och förslag till en upptagning för automatiserad behandling hos en annan myndighet och en uppgift i denna upptagning är sekretessreglerad, blir sekretessbestämmelsen tillämplig även hos den mottagande myndigheten. Utredningen bedömer emellertid att en tillämpning av 11 kap. 8 § OSL om konkurrens mellan primära och sekundära sekretessbestämmelser får till följd att de primära sekretessbestämmelserna i de offentliga vårdgivarnas personaladministrativa verksamhet ska tillämpas före en överförd sekretess. För yrkesverksamma hos privata vårdgivare gäller bestämmelser om tystnadsplikt bl.a. enligt 6 kap. 12 § PSL. Vårt förslag: Vi föreslår att får ge direktåtkomst till de uppgifter som behövs i samband med att bolaget behandlar uppgifter i enlighet med ändamålsbestämmelserna i förordningen (2006:196) om register över hälso- och sjukvårdspersonal. De uppgifterna är namn, personnummer, yrke, förskrivarkod, datum för utfärdande av legitimation respektive bevis om specialistkompetens, beslut om begränsning eller indragning av förskrivningsrätt samt beslut om återkallelse av legitimation. För att möjliggöra att direktåtkomsten kan ske utan hinder av sekretess föreslår vi att det införs en sekretessbrytande bestämmelse i OSL som anger att sekretess inte hindrar att uppgifter lämnas ut genom direktåtkomst till enligt vad som anges i förordningen om register över hälso- och sjukvårdspersonal. Våra överväganden och förslag Läkemedel är en av de mest potenta och därmed också riskfyllda behandlingsmetoderna. För att få expediera ett läkemedelsrecept måste expedierande personal på apoteken veta om det är en behörig förskrivare som utfärdat receptet. Det är viktigt både för patientsäkerheten och för polisiära och samhällsekonomiska aspekter att enbart korrekt förskrivna läkemedel expedieras. För detta syfte lämnar regelbundet ut uppgifter ur till . Uppgifterna lämnas i syfte att kontrollera identitet och behörighet för förskrivare av läkemedel i samband med bolagets behandling av personuppgifter enligt lagen (2005:258) om läkemedelsförteckning och för samma kontroll vid expedition på öppenvårdsapotek samt enligt lagen om receptregister (1996:1156). De uppgifter som får utlämnade till sig används således av apoteksaktörerna för att kontrollera att den som hämtar ut ett recept på apotek har fått receptet utfärdat av en behörig förskrivare. Dessa behandlingar utgör tillåtna ändamål enligt förordningen. Uppgifterna utlämnas genom dagliga elektroniska leveranser från till . Bolaget får också en gång CD- skivor med listor ur registret på samtliga apotekare och receptarier. För att stärka patientsäkerheten, möjliggöra ett säkrare utlämnande och även höja kvaliteten på uppgifterna föreslår utredningen att även får ha tillgång till vissa uppgifter ur genom direktåtkomst. De uppgifterna är bl.a. namn, personnummer, yrke, förskrivarkod och uppgift om beslut om begränsning eller indragning av förskrivningsrätt. Eftersom det sker en väldigt omfattande hantering och utlämnande på medium för automatiserad behandling bedömer vi att förslaget inte innebär ökade risker för intrång i de registrerades personliga integritet. Att minska den hanteringen och ADB-utlämnandet kan snarare leda till en ännu säkrare hantering av uppgifterna som även gagnar de registrerades behov av integritetsskydd. Uppgifter i omfattas bl.a. av sekretess enligt 6 § OSF. Vår uppfattning är att det inte är ändamålsenligt att upprätthålla ett sekretesskydd gentemot . Detta eftersom är helt beroende av tillgång till uppgifter om samtliga förskrivare för att kunna tillhandahålla den infrastruktur som bl.a. har till syfte att möjliggöra för öppen- Våra överväganden och förslag vårdsapoteken att utföra den kontroll de är ålagda att göra vid expediering av recept på apotek. sker dessutom dagliga utlämnanden från till på medium för automatiserad behandling. För att uppgifterna i , utan hinder av sekretess, ska vara potentiellt tillgängliga genom direktåtkomst för krävs dock att direktåtkomsten kombineras med en bestämmelse som bryter den eventuella sekretessen. Därför föreslår vi att det införs en sekretessbrytande bestämmelser i som anger att sekretess inte hindrar sådant utlämnande genom direktåtkomst som sker enligt vad som anges i förordningen om register över hälso- och sjukvårdspersonal. I sammanhanget kan även noteras att uppgifterna, när de hanteras av och i nästa led öppenvårdsapoteken, omfattas av tystnadsplikt enligt lagen (1996:1156) om receptregister respektive enligt PSL. Den föreslagna bestämmelsen innebär således att sekretessen bryts endast mellan och . I övrigt bibehålls skyddet för uppgifterna. Vårt förslag: Vi föreslår att får ge Transportstyrelsen direktåtkomst till uppgifter i i syfte att kontrollera behörigheten hos den som utfärdat ett synintyg. ska i detta syfte få ge Transportstyrelsen direktåtkomst bl.a. till uppgift om namn, personnummer, folkbokföringsort, yrke, specialitet samt uppgift om legitimationen är återkallad. För att möjliggöra att direktåtkomsten kan ske utan hinder av sekretess föreslår vi att det införs en sekretessbrytande bestämmelse i offentlighets- och sekretesslagen (2009:400) som anger att sekretess inte hindrar att uppgifter lämnas ut genom direktåtkomst till Transportstyrelsen enligt vad som anges i förordningen om register över hälso- och sjukvårdspersonal. Våra överväganden och förslag Befogenheten att utfärda olika intyg och utlåtanden är exempel på sådana befogenheter som kan vara knuten till legitimationen att utöva ett yrke inom hälso- och sjukvården. I 5 kap. föreskrifter (SOSFS 2005:29) om utfärdande av intyg inom hälso- och sjukvården m.m. finns exempel på olika typer av intyg som för sin giltighet kräver en viss kompetens. Av 6 kap. 15 § PSL följer att hälso- och sjukvårdspersonal är skyldig att lämna ut sådana uppgifter som Transportstyrelsen behöver för prövning av någons lämplighet att ha körkort, traktorkort eller taxiförarlegitimation. lämnar regelbundet ut uppgifter till Transportstyrelsen för att möjliggöra kontroll av att den som utfärdat ett synintyg för körkort är legitimerad optiker. Enligt Transportstyrelsen hanteras omkring 270 000 synintyg . Myndigheten vill införa en helt elektronisk handläggning med elektronisk överföring av intyg från optiker. Genom direktåtkomst till skulle även behörighetskontrollen kunna genomföras elektroniskt med helt uppdaterade uppgifter. Denna kontroll görs genom utlämnande på medium för automatiserad behandling (filöverföring). För att möjliggöra ett säkrare utlämnande och även höja kvaliteten på uppgifterna som ligger till grund för behörighetskontroll av intyg föreslår vi att Transportstyrelsen får ha direktåtkomst till vissa uppgifter ur . För Transportsstyrelsens del innebär det att direktåtkomst endast kan komma ifråga för de legitimerade yrkesgrupper som utfärdar de intyg myndigheten har till uppgift att hantera. Även om direktåtkomst är ett särskilt känsligt sätt att lämna ut personuppgifter och innebär risker för integritetsintrång som inte uppstår vid utlämnande på medium för automatiserad behandling bedömer vi att behovet och nyttan av en direktåtkomst i dessa fall är större än integritetsintrånget. Det motiveras bland annat genom att kontrollen av intyg och därmed behandlingen av personuppgifter är reaktiv och sker sedan yrkesutövaren själv vidtagit en intygsskrivande åtgärd. Av integritetsskäl anser vi även att det endast är de uppgifter som är nödvändiga för att kontrollera den intygsskrivandes behörighet som ska få lämnas ut genom direktåtkomst. Omfattningen av direktåtkomsten motsvarar därmed de uppgifter som regelmässigt lämnas ut på medium för automatiserad behandling från till Transportstyrelsen. Det kan heller inte bortses ifrån att dagens Våra överväganden och förslag