sou · H0B342 · 2012-06-04 00:00:00 — Vidare följer av Europeiska unionens stadga om de grundläggande rättigheterna, förkortad EU-stadgan, att var och en har rätt till respekt för sitt privatliv och familjeliv, sin bostad och sina kommunikationer (artikel 7 EU-stadgan) och att var och en har rätt till skydd av de personuppgifter som rör honom eller henne och att dessa uppgifter ska behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund samt att var och en har rätt att få tillgång till insamlade uppgifter som rör honom eller henne och att få rättelse av dem (artikel 8 EU-stadgan). EU-stadgan är en del av unionsrätten som även innehåller bestämmelser om behandlingen av personuppgifter i Europa-parlamentets och rådets direktiv /46/EG om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter. Direktivets regler har i svensk rätt genomförts bl.a. genom personuppgiftslagen (1998:204). förkortad PUL, är generellt tillämplig vid behandling av personuppgifter. Lagen är dock subsidiär i förhållande till avvikande bestämmelser i annan lag eller förordning (2 § PUL). Sådana avvikande bestämmelser måste dock vara förenliga med direktivet på dess tillämpningsområde. Behandlingen av personuppgifter inom hälso- och sjukvården och regleras också av särskilda s.k. registerlagar, patientdatalagen (2008:355) och lagen (2001:454) om behandling av personuppgifter inom . Socialtjänstlagen (2001:453) innehåller särskilda regler om bl.a. behandling och gallring inom . Offentlighetsprincipen innebär att myndigheternas verksamhet ska bedrivas under insyn av allmänheten. I 2 kap. RF fastslås var och ens grundläggande fri- och rättigheter, bl.a. yttrandefrihet och informationsfrihet (2 kap. 1 § RF). När det gäller rätten att ta del av allmänna handlingar, den s.k. handlingsoffentligheten, hänvisar RF till tryckfrihetsförordningen, förkortad TF. Av TF följer att var och en har rätt att ta del av allmänna handlingar om inte denna rättighet begränsats genom bestämmelser i en särskild lag eller i lag vartill den särskilda lagen hänvisar (2 kap. 1 och 2 §§, jfr. 14 kap. 5 § TF). Rätten att få ta del av allmänna handlingar får begränsas med hänsyn till bl.a. skyddet för enskilds personliga eller ekonomiska förhållanden (2 kap. 2 § första stycket 6 TF). Offentlighets- och sekretesslagen (2009:400), förkortad OSL, innehåller begränsningar av rätten att ta del av allmänna handlingar. Begränsningar kan även finnas i andra lagar som OSL hänvisar till. Sekretess innebär ett förbud att röja en uppgift, vare sig det sker muntligen, genom utlämnande av en allmän handling eller på något annat sätt (3 kap. 1 § OSL). Sekretess innebär således en inskränkning av både rätten att ta del av allmänna handlingar och yttrandefriheten. Sekretess gäller inom hälso- och sjukvården för uppgift om en enskilds hälsotillstånd eller andra personliga förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men (25 kap 1 § OSL). Det finns dock bestämmelser som bryter sekretessen. Exempelvis hindrar inte sekretessen att uppgifter lämnas mellan olika hälso- och sjukvårdsmyndigheter inom en kommun eller landsting och mellan allmänna och enskilda vårdgivare enligt vad som föreskrivs om sammanhållen journalföring i patientdatalagen (25 kap. 11 § 3 OSL). Om den enskilde p.g.a. av sitt hälsotillstånd eller av andra skäl inte kan samtycka till att en uppgift lämnas ut, hindrar sekr- etessen inte heller att en uppgift om honom eller henne som behövs för att han eller hon ska få nödvändig vård, omsorg, behandling eller annat stöd lämnas från en myndighet inom hälso- och sjukvården till en annan myndighet inom hälso- och sjukvården eller inom eller till en enskild vårdgivare eller en enskild verksamhet på område (25 kap. 13 § OSL). I fråga om finns de relevanta bestämmelserna om sekretess i 26 kap. OSL. Beträffande uppgifter som förekommer i sådan verksamhet saknas dock sekretessbrytande bestämmelser motsvarande de som angetts i det föregående. När det gäller skyddet för uppgifter som förekommer inom hälso- och sjukvård som bedrivs av enskilda näringsidkare får den som tillhör eller har tillhört sådan verksamhet inte obehörigen röja vad han eller hon i denna verksamhet har fått veta om en enskilds hälsotillstånd eller andra personliga förhållanden (6 kap. 12 § patientsäkerhetslagen 2010:659). Motsvarande tystnadsplikt gäller i enskilt bedriven verksamhet enligt socialtjänstlagen (2001:453) för uppgift om enskildas personliga förhållanden (15 kap 1 §). Lagstiftningen behöver medge ökad tillgång till nödvändiga personuppgifter på individnivå med bibehållet skydd för den enskildes integritet En enskild som rör sig inom och mellan hälso- och sjukvården och möter allt fler vårdgivare, utförare inom etc., både nationellt och internationellt. Med nuvarande lagstiftning innebär fler aktörer fler gränser mellan aktörer, vilket kan skapa juridiska och andra hinder för tillgång till personuppgifter. Vidare kan nuvarande lagstiftning, som uppmärksammat (RiR 2011:19), inom hälso- och sjukvården leda till att förutsättningarna för en ändamålsenlig informationshantering varierar mellan landsting med få respektive många privata vårdgivare. Den enskilde ska inte riskera att få mindre säkra insatser av lägre kvalitet inom hälso- och sjukvården och för att en eller flera personalkategorier som utför insatserna inte har åtkomst till rätt information vid rätt tillfälle. Rätt information i rätt tid för rätt användare är en nyckel till personalens möjligheter att göra ett bra arbete för den enskilde. Bra samverkande verksamheter kan ge fördelar som exempelvis tvärprofessionella team sammansatta utifrån individens behov, tätt samarbete med övriga stödfunktioner, personal dygnet runt m.m. Detta kräver ett regelverk med individen och individens behov i centrum. Behörig personal inom hälso- och sjukvården och behöver ha tillgång till personuppgifter om den enskilde och information om de insatser (förskrivning av läkemedel, behandlingar etc.) som den enskilde fått tidigare. Utan sådan tillgång till uppgifter ökar risken för bl.a. felaktiga beslutsunderlag, felbehandlingar eller allvarliga interaktioner mellan läkemedel och andra insatser. Konkret innebär det exempelvis att förskrivare behöver ha en så samlad bild som möjligt av en individs läkemedelsordinationer, från såväl förskrivning på recept som på rekvisition från öppen och sluten vård. Sjuksköterskor i hälso- och sjukvård behöver veta vilka ordinationer den patient som varit på sjukhuset har fått. Farmacevtisk personal i hälso- och sjukvården eller på apotek behöver ha tillgång till informationen som finns i läkemedelsförteckningen. Utöver negativa konsekvenser för den enskilde kan brister i möjligheter att samverka och samarbeta genom att utbyta uppgifter utgöra ett hot mot vården och stödet på en övergripande nivå. Vidare finns det behov av att kunna utbyta personuppgifter mellan länder både när det gäller vårdinsatser och läkemedel. Svenska medborgare kan t.ex. behöva söka vård när de är utomlands eller ha möjlighet att hämta ut recept som förskrivits i . är förstås den nationella lagstiftningen specifik för . Det finns därför skäl att utreda vilka rättsliga och andra hinder som finns för vårdgivare i att på elektronisk väg lämna ut uppgifter om patienter till vårdgivare i andra länder. Utredaren bör beakta det pågående projektet Services for European Patients (epSOS), som är ett pilotprojekt för gränsöverskridande vårdtjänster. Syftet är att möjliggöra elektronisk överföring av recept och patientöversikter mellan länder i . deltar 23 europeiska länder i projektet. Informationshantering på övergripande nivå Myndigheter på central, regional och lokal nivå gör omfattande satsningar på exempelvis informationshantering, insamling av data, öppna jämförelser och statistik för att kunna utveckla verksamheter, informera eller jämföra. Följaktligen samlar många in stora mängder av olika sorters information för många ändamål. Det behöver göras en analys av vilken information som myndigheter, landsting, kommuner eller privata verksamheter inom hälso- och sjukvården samt enskilda verksamheter inom behöver för de relevanta ändamålen. Ett sådant informationsutbyte som beskrivs ovan kan bara fungera om alla inblandade aktörer har säkerhets- och behörighetslösningar som ser till att behörig personal och beslutsfattare enbart har tillgång till för dem relevanta uppgifter. Det är också angeläget att skyddet för den enskildes integritet blir starkare ju fler som har tillgång till uppgifter om den enskilde, t.ex. genom att uppgifter kodas eller avidentifieras. En viktig förutsättning för ett fullgott integritetsskydd är tydlighet i fråga om personuppgiftsansvaret, som bl.a. innebär ett skadeståndsansvar gentemot individen. När det gäller exempelvis informations-, spärr- och samtyckesfrågor i förhållande till individer måste personuppgiftsansvaret därför vara tydligt. Personuppgiftsansvaret måste också vara tydligt med avseende på it-säkerhet inklusive organisatoriska och tekniska åtgärder, såväl på nationell nivå som i enskilda verksamheter. Behov av ökade befogenheter för Datainspektionen Datainspektionen saknar möjlighet att t.ex. vid vite förelägga en vårdgivare att ge information till patienten. Det finns därför skäl att utreda om Datainspektionen behöver ytterligare befogenheter för att kunna förhindra att behandling av personuppgifter inleds eller fortsätter i strid med gällande författningsreglering. Lagstiftningen behöver medge förbättrad tillgång till personuppgifter för fler ändamål Personal och beslutsfattare inom hälso- och sjukvård och socialtjänst bör få använda uppgifter i olika stödsystem för att löpande kvalitetssäkra och förbättra insatserna som vänder sig direkt till enskilda. Även tillsynsmyndigheter och nationella myndigheter som arbetar med exempelvis öppna jämförelser måste få ha tillgång till uppgifter. Syftet är att förbättra kvalitet och säkerhet i insatserna för den enskilda individen. Relevant lagstiftning måste reglera ändamål med personuppgiftshantering som främjar en effektiv och ständigt pågående förbättringsprocess inom hälso- och sjukvården respektive med hänsyn tagen till den enskildes integritet. Regleringen av ändamålen med personuppgiftsbehandling i de lagar som styr hälso- och sjukvården och verksamheter inom bör mot denna bakgrund vara överensstämmande. De personuppgifter som här är aktuella finns på flera ställen hos privata aktörer, landsting och kommuner men också statliga aktörer som t.ex. , Kriminalvården och Försvarsmakten som bedriver hälso- och sjukvård. Uppgifterna lagras och tillgängliggörs på flera ställen, bl.a. i patientjournal, dokumentation enligt socialtjänstlagen och lagen (1993:387) om stöd och service till vissa funktionshindrade, i läkemedelsförteckning, receptregister, hälsodataregister, etc. och används av många personalkategorier. Det primära är dock inte var personuppgifterna finns utan i vilken vård- och omsorgssituation kring en enskild som uppgifterna behövs. Ett flertal lagar och andra regler styr hur dessa uppgifter kan och får samlas in, behandlas och överföras, exempelvis patientdatalagen, lagen (2005:258) om läkemedelsförteckning, lagen (1996:1156) om receptregister, apoteksdatalagen (2009:367), socialtjänstlagen, lagen om personuppgiftsbehandling inom , personuppgiftslagen och offentlighets- och sekretesslagen. Om det ska vara möjligt att få en så samlad och aktuell bild av en enskilds läkemedelsordinationer som möjligt, behöver även bestämmelser i relevant lagstiftning om lagring och gallring av uppgifter i journaler och register harmoniseras så att inte kraven på gallring skiljer sig åt för uppgifter som bör hanteras samlat. Vidare bör uppgifter i läkemedelsregistret hos kunna användas för uppföljning och kvalitetssäkring. ändamålen för behandling av personuppgifter i läkemedelsregistret anpassas till de ändamål som gäller för övriga hälsodataregister enligt lagen (1998:543) om hälsodataregister Hur kan tillgång till personuppgifter vid verksamhetsövergång säkerställas? Vid byte av driftsform eller byte av utförare t.ex. efter upphandling eller vid konkurs eller om en privat vårdgivare eller enskild verksamhet inom av annat skäl avvecklar verksamheten, finns det anledning att säkerställa att personuppgifter hanteras på ett säkert sätt. Vidare bör säkerställas att informationen, om möjligt, på något sätt förs vidare till ny vårdgivare eller utförare. Den omständigheten att en privat vårdgivare eller enskild verksamhet inom överlämnar sina handlingar till ett landsting eller en kommuns socialnämnd innebär att handlingarna blir inkomna till myndigheten och därmed allmänna i tryckfrihetsförordningens mening. Handlingarna omfattas i och med detta av de olika bestämmelser som gäller för hanteringen av allmänna handlingar, t.ex. offentlighetsprincipen, sekretess och arkivering. En vårdgivare ska fortsätta att ansvara för sina patientjournaler även efter att verksamheten har upphört. Stora verksamheter bedöms som regel ha kapacitet och resurser att fortsätta att förvara och arkivera patientjournalerna i enlighet med gällande lagstiftning. I undantagsfall kan ansökan om omhändertagande av patientjournaler göras hos enligt. 9 kap. patientdatalagen (jfr 7 kap. 5 § socialtjänstlagen). Det förekommer när mindre enskilda vårdföretag läggs ner eller när verksamheter går i konkurs, men inte i samband med verksamhetsövergångar eller nya upphandlingar. Det finns anledning att utreda hur personuppgifter hanteras vid verksamhetsövergång m.m. Detta bör även omfatta hur en ny verksamhetsansvarig får tillgång till de uppgifter som behövs för att bl.a. säkerställa en god vård och omsorg. Det bör vidare utredas om det ska krävas samtycke från varje enskild patient eller klient inom eller om detta ska tillgodoses genom bestämmelser som bryter tystnadsplikten. Vidare behöver frågan om bevarande och gallring utredas, t.ex. om landstingen måste behålla handlingar som överlämnats och i så fall på vilket sätt gallring ska ske. Det finns tillämpningsproblem med nuvarande lagstiftning Datainspektionen har i granskningar, bl.a. av Nationell patientöversikt (NPÖ) och av riktat kritik mot hur nuvarande lagstiftning tillämpas. Med avses en automatiserad och strukturerad samling av personuppgifter som inrättats särskilt för ändamålet att systematiskt och fortlöpande utveckla och säkra vårdens kvalitet. Datainspektionens kritik har när det gäller kvalitetsregister avsett brister som ofullständig information till patienterna, otillräcklig säkerhet när användarna tar del av uppgifterna via internet, felaktig användning av uppgifterna, utebliven gallring av uppgifter och otydlig ansvarsfördelning inom organisationer. När det gäller NPÖ har kritiken bl.a. avsett att uppgifter tillgängliggjorts för andra vårdgivare innan patienter informerats, att rutiner för inhämtning av samtycke från beslutsoförmögna inte varit tillräckliga samt att det i vissa fall saknats möjligheter att begränsa användarnas behörigheter till vad som behövs med hänsyn till varje användares behov. Datainspektionen har också konstaterat att vårdgivare i stor utsträckning lämnar ut uppgifter till kvalitetsregister utan att veta vem som tar emot patienternas uppgifter och ansvarar för den fortsatta hanteringen, vilket strider mot bestämmelser om sekretess och grundläggande krav i personuppgiftslagen. Även har i tillsynsrapporter uppmärksammat bristande rutiner för informationsöverföring, mellan exempelvis sjukhus och primärvård. Patientdatalagen ger vårdgivare möjlighet att på ett säkert sätt lämna ut relevant patientinformation i olika situationer. Det kan exempelvis avse utlämnande till andra vårdgivare inom ramen för sammanhållen journalföring. Vårdgivare har också möjlighet att lämna ut patientuppgifter på it-medium till mottagare och verksamheter som inte är specificerade på förhand, men det bör kartläggas i vilken utsträckning vårdgivare har system eller teknik för detta. Vidare måste den teknik och de system som utvecklas, och som bl.a. anges som krav när privata vårdgivare eller enskilda utförare ingår avtal med landsting eller kommuner, uppfylla de krav som anges i lagstiftningen. Inom hanteras en mängd mycket integritetskänslig information för olika syften. Det är rimligt att det finns ett samspel och en balans mellan frågor om vilka uppgifter man behöver för att ge god vård och omsorg. Detta är särskilt viktigt i de situationer där hälso- och sjukvårdens och verksamheter behöver eller önskar samverka m.m. i exempelvis tvärprofessionella team. Datainspektionen har i sitt yttrande över betänkande – Integritet – effektivitet (SOU 2009:32) välkomnat att personuppgiftsbehandlingen inom ges en noggrannare författningsreglering . Den nuvarande regleringen består av lagen och förordningen om behandling av personuppgifter inom . Det finns behov av att se över och analysera vari tillämpningsproblemen ligger och hur dessa skulle kunna lösas. Inom ramen för en sådan översyn kan det finnas behov av att förtydliga eller förändra relevant lagstiftning. Det kan också behöva utredas vilka behov som finns av exempelvis information, utbildning eller kompetenshöjande insatser av olika slag om vad den berörda lagstiftningen innebär samt överväga andra åtgärder än lagändringar. Särskilt om sekretess och personuppgiftsbehandling när det gäller beslutsoförmögna personer Behandling av personuppgifter enligt patientdatalagen förutsätter som huvudregel dels att patienten inte motsatt sig ett tillgängliggörande av uppgifter till andra vårdgivare, dels att patienten samtycker en personuppgiftsbehandling sker (6 kap. 2 och 3 §§ patientdatalagen). Undantag från kravet på samtycke finns dock i vissa situationer om det är fara för patientens liv eller det annars finns allvarlig risk för dennes hälsa (6 kap. 4 § patientdatalagen). Vidare får inte personuppgifter behandlas i ett nationellt eller ett regionalt kvalitetsregister om den enskilde motsätter sig detta (7 kap. 2 § patientdatalagen). Dessa förutsättningar för behandling av personuppgifter kan i vissa fall skapa problem i vårdsituationer och i utvecklingen och säkringen av vårdens kvalitet när den som ska lämna samtycke eller motsätta sig behandling av olika skäl saknar förmåga att fatta ett beslut. Detta kan gälla exempelvis äldre personer med demenssjukdom, strokepatienter eller personer med allvarlig psykisk ohälsa. En stor del av dessa individer rör sig inom och mellan hälso- och sjukvård och socialtjänst. I dessa fall finns en risk för att vården i avsaknad av samtycke får en sämre kvalitet eftersom vårdgivare inte får tillgång till den information som de behöver. Som framgått i det föregående finns det bestämmelser som i avsaknad av patientens samtycke bryter sekretessen inom hälso- och sjukvården (25 kap. 11 och 13 §§ OSL). Motsvarande bestämmelser saknas för del. Mot bakgrund av hur de nu aktuella patientgrupperna rör sig inom och mellan olika sektorer inom vården och omsorgen kan avsaknaden av sekretessbrytande bestämmelser i dessa avseenden medföra en försämrad kvalitet i vården och omsorgen. Det kan därför finnas skäl att i det kapitel i OSL som reglerar sekretess till skydd för enskild inom (26 kap. OSL) införa motsvarande sekretessbrytande bestämmelser för del som finns för uppgifter inom hälso- och sjukvården. Utredningen behöver analysera om det finns behov av sådana bestämmelser och i så fall hur sådana ska utformas. Sekretessbrytande bestämmelser är dock inte tillräckligt för att skapa ett effektivt informationsflöde enligt patientdatalagen för dessa personkategorier. Det finns nämligen inga särregler för beslutsoförmögna personer i patientdatalagen vilket gör att kravet på informerat och uttryckligt samtycke formellt gäller även för denna grupp (jfr Datainspektionens samrådsyttrande , dnr 708-2011 och beslut , dnr 1392-2009.). Det bör därför utredas om det är lämpligt att beträffande personer i dessa situationer införa undantag från kravet på samtycke i patientdatalagen så att uppgifter om sådana personer kan behandlas i sammanhållen journalföring m.m. trots att personerna i fråga inte har förmåga att motsätta sig eller samtycka till behandling. Hur kan den enskildes tillgång till sina personuppgifter förbättras och förtydligas? Utvecklingen har varit sådan att den enskilde på flera sätt fått en starkare ställning i förhållande till hälso- och sjukvården. Den enskilde har i många fall behov av att kunna registrera uppgifter för att exempelvis komplettera uppgifter eller förbereda ett läkarbesök. Den enskilde bör också som huvudregel kunna ha tillgång till sina egna uppgifter. Undantag finns bl.a. i 25 kap. 6 § OSL. kan enskilda delvis ha tillgång till vissa uppgifter exempelvis via Mina vårdkontakter på . Slutligen behöver den enskilde rent faktiskt kunna använda sig av de möjligheter som nuvarande reglering ger för att spärra uppgifter i Det kan vara svårt , särskilt om många vårdgivare är inblandade. Det är i nuvarande lagstiftning svårt att identifiera gränsen mellan patientens egen personuppgiftsbehandling och vårdgivarens personuppgiftsbehandling enligt dennes personuppgiftsansvar. För att patienten ska kunna vara en medproducent av information inom hälso- och sjukvården och rapportera in information som kan ligga till grund för s.k. patientrapporterade utfallsmått måste denna gräns tydliggöras i lagstiftningen. Patientrapporterade utfallsmått i exempelvis syftar till att generera kunskap om utfallet av vårdens insatser. Enligt patientdatalagen kan en enskild spärra uppgifter inom en vårdgivares verksamhet, men det saknas enligt patientdatalagen möjligheter för den enskilde att överblicka en vårdprocess som sträcker sig över gränser mellan vårdgivare. Möjligheter för vårdgivare att ansöka om journalförstöring Enligt nuvarande lagstiftning får ansökan om förstörande av patientjournal göras till , antingen av den enskilde själv eller av någon annan som omnämns i journalen. I de fall vårdpersonal för in felaktigheter i journalen av misstag finns två alternativa sätt att korrigera misstaget. Antingen görs en rättelse enligt patientdatalagen eller så kontaktar vårdgivaren patienten och ber denne ansöka om förstörande av journalanteckningen. Det första alternativet, en rättelse, innebär att den felaktiga uppgiften ändå finns kvar i journalen. För det andra alternativet kan det i vissa fall finnas omständigheter som gör att det inte är lämpligt att vårdgivaren kontaktar patienten. – frågor om tillgänglighet ansvarar för ett datoriserat register över legitimerad hälso- och sjukvårdspersonal (det s.k. ). Behandlingen av uppgifterna i registret regleras genom förordningen (2006:196) om register över hälso- och sjukvårdspersonal som innehåller bestämmelser om registrets ändamål, vilka uppgifter registret får innehålla, utlämnande, information m.m. har inkommit till med en hemställan om att ändringar bör göras i förordningen, i syfte att kunna tillhandahålla vissa uppgifter ur registret på Internet genom elektronisk direktåtkomst. och i samverkan (CeHis) har inkommit med en hemställan om förordningsändringar i syfte att kunna använda HSA Nationell katalogtjänst som källa för behörighetsstyrning via elektronisk direktåtkomst. Det är viktigt av patientsäkerhetsskäl att information om behörighetsinskränkningar för hälso- och sjukvårdspersonal är lätt tillgängliga för dem som har behov av det, bl.a. arbetsgivare. Ett välfungerande informationsutbyte också mellan de nordiska länderna är av stor betydelse för att upprätthålla en hög patientsäkerhet på den gemensamma arbetsmarknaden för legitimerad hälso- och sjukvårdspersonal. måste hälso- och sjukvårdspersonalens personliga integritet respekteras. Utredaren ska i utredningsarbetet göra avvägningar mellan verksamheternas behov av information och skyddet för den personliga integriteten.