sou · H1B345 · 2013-06-05 00:00:00 — behandling av personuppgifter i läkemedelsregistret anpassas till de ändamål som gäller för övriga hälsodataregister enligt lagen (1998:543) om hälsodataregister Hur kan tillgång till personuppgifter vid verksamhetsövergång säkerställas? Vid byte av driftsform eller byte av utförare t.ex. efter upphandling eller vid konkurs eller om en privat vårdgivare eller enskild verksamhet inom av annat skäl avvecklar verksamheten, finns det anledning att säkerställa att personuppgifter hanteras på ett säkert sätt. Vidare bör säkerställas att informationen, om möjligt, på något sätt förs vidare till ny vårdgivare eller utförare. Den omständigheten att en privat vårdgivare eller enskild verksamhet inom överlämnar sina handlingar till ett landsting eller en kommuns socialnämnd innebär att handlingarna blir inkomna till myndigheten och därmed allmänna i tryckfrihetsförordningens mening. Handlingarna omfattas i och med detta av de olika bestämmelser som gäller för hanteringen av allmänna handlingar, t.ex. offentlighetsprincipen, sekretess och arkivering. En vårdgivare ska fortsätta att ansvara för sina patientjournaler även efter att verksamheten har upphört. Stora verksamheter bedöms som regel ha kapacitet och resurser att fortsätta att förvara och arkivera patientjournalerna i enlighet med gällande lagstiftning. I undantagsfall kan ansökan om omhändertagande av patientjournaler göras hos enligt. 9 kap. patientdatalagen (jfr 7 kap. 5 § socialtjänstlagen). Det förekommer när mindre enskilda vårdföretag läggs ner eller när verksamheter går i konkurs, men inte i samband med verksamhetsövergångar eller nya upphandlingar. Det finns anledning att utreda hur personuppgifter hanteras vid verksamhetsövergång m.m. Detta bör även omfatta hur en ny verksamhetsansvarig får tillgång till de uppgifter som behövs för att bl.a. säkerställa en god vård och omsorg. Det bör vidare utredas om det ska krävas samtycke från varje enskild patient eller klient inom eller om detta ska tillgodoses genom bestämmelser som bryter tystnadsplikten. Vidare behöver frågan om bevarande och gallring utredas, t.ex. om landstingen måste behålla handlingar som överlämnats och i så fall på vilket sätt gallring ska ske. Det finns tillämpningsproblem med nuvarande lagstiftning Datainspektionen har i granskningar, bl.a. av Nationell patientöversikt (NPÖ) och av riktat kritik mot hur nuvarande lagstiftning tillämpas. Med avses en automatiserad och strukturerad samling av personuppgifter som inrättats särskilt för ändamålet att systematiskt och fortlöpande utveckla och säkra vårdens kvalitet. Datainspektionens kritik har när det gäller kvalitetsregister avsett brister som ofullständig information till patienterna, otillräcklig säkerhet när användarna tar del av uppgifterna via internet, felaktig användning av uppgifterna, utebliven gallring av uppgifter och otydlig ansvarsfördelning inom organisationer. När det gäller NPÖ har kritiken bl.a. avsett att uppgifter tillgängliggjorts för andra vårdgivare innan patienter informerats, att rutiner för inhämtning av samtycke från beslutsoförmögna inte varit tillräckliga samt att det i vissa fall saknats möjligheter att begränsa användarnas behörigheter till vad som behövs med hänsyn till varje användares behov. Datainspektionen har också konstaterat att vårdgivare i stor utsträckning lämnar ut uppgifter till kvalitetsregister utan att veta vem som tar emot patienternas uppgifter och ansvarar för den fortsatta hanteringen, vilket strider mot bestämmelser om sekretess och grundläggande krav i personuppgiftslagen. Även har i tillsynsrapporter uppmärksammat bristande rutiner för informationsöverföring, mellan exempelvis sjukhus och primärvård. Patientdatalagen ger vårdgivare möjlighet att på ett säkert sätt lämna ut relevant patientinformation i olika situationer. Det kan exempelvis avse utlämnande till andra vårdgivare inom ramen för sammanhållen journalföring. Vårdgivare har också möjlighet att lämna ut patientuppgifter på it-medium till mottagare och verksamheter som inte är specificerade på förhand, men det bör kartläggas i vilken utsträckning vårdgivare har system eller teknik för detta. Vidare måste den teknik och de system som utvecklas, och som bl.a. anges som krav när privata vårdgivare eller enskilda utförare ingår avtal med landsting eller kommuner, uppfylla de krav som anges i lagstiftningen. Inom hanteras en mängd mycket integritetskänslig information för olika syften. Det är rimligt att det finns ett samspel och en balans mellan frågor om vilka uppgifter man behöver för att ge god vård och omsorg. Detta är särskilt viktigt i de situationer där hälso- och sjukvårdens och verksamheter behöver eller önskar samverka m.m. i exempelvis tvärprofessionella team. Datainspektionen har i sitt yttrande över betänkande – Integritet – effektivitet (SOU 2009:32) välkomnat att personuppgiftsbehandlingen inom ges en noggrannare författningsreglering . Den nuvarande regleringen består av lagen och förordningen om behandling av personuppgifter inom . Det finns behov av att se över och analysera vari tillämpningsproblemen ligger och hur dessa skulle kunna lösas. Inom ramen för en sådan översyn kan det finnas behov av att förtydliga eller förändra relevant lagstiftning. Det kan också behöva utredas vilka behov som finns av exempelvis information, utbildning eller kompetenshöjande insatser av olika slag om vad den berörda lagstiftningen innebär samt överväga andra åtgärder än lagändringar. Särskilt om sekretess och personuppgiftsbehandling när det gäller beslutsoförmögna personer Behandling av personuppgifter enligt patientdatalagen förutsätter som huvudregel dels att patienten inte motsatt sig ett tillgängliggörande av uppgifter till andra vårdgivare, dels att patienten samtycker en personuppgiftsbehandling sker (6 kap. 2 och 3 §§ patientdatalagen). Undantag från kravet på samtycke finns dock i vissa situationer om det är fara för patientens liv eller det annars finns allvarlig risk för dennes hälsa (6 kap. 4 § patientdatalagen). Vidare får inte personuppgifter behandlas i ett nationellt eller ett regionalt kvalitetsregister om den enskilde motsätter sig detta (7 kap. 2 § patientdatalagen). Dessa förutsättningar för behandling av personuppgifter kan i vissa fall skapa problem i vårdsituationer och i utvecklingen och säkringen av vårdens kvalitet när den som ska lämna samtycke eller motsätta sig behandling av olika skäl saknar förmåga att fatta ett beslut. Detta kan gälla exempelvis äldre personer med demenssjukdom, strokepatienter eller personer med allvarlig psykisk ohälsa. En stor del av dessa individer rör sig inom och mellan hälso- och sjukvård och socialtjänst. I dessa fall finns en risk för att vården i avsaknad av samtycke får en sämre kvalitet eftersom vårdgivare inte får tillgång till den information som de behöver. Som framgått i det föregående finns det bestämmelser som i avsaknad av patientens samtycke bryter sekretessen inom hälso- och sjukvården (25 kap. 11 och 13 §§ OSL). Motsvarande bestämmelser saknas för del. Mot bakgrund av hur de nu aktuella patientgrupperna rör sig inom och mellan olika sektorer inom vården och omsorgen kan avsaknaden av sekretessbrytande bestämmelser i dessa avseenden medföra en försämrad kvalitet i vården och omsorgen. Det kan därför finnas skäl att i det kapitel i OSL som reglerar sekretess till skydd för enskild inom (26 kap. OSL) införa motsvarande sekretessbrytande bestämmelser för del som finns för uppgifter inom hälso- och sjukvården. Utredningen behöver analysera om det finns behov av sådana bestämmelser och i så fall hur sådana ska utformas. Sekretessbrytande bestämmelser är dock inte tillräckligt för att skapa ett effektivt informationsflöde enligt patientdatalagen för dessa personkategorier. Det finns nämligen inga särregler för beslutsoförmögna personer i patientdatalagen vilket gör att kravet på informerat och uttryckligt samtycke formellt gäller även för denna grupp (jfr Datainspektionens samrådsyttrande , dnr 708-2011 och beslut , dnr 1392-2009.). Det bör därför utredas om det är lämpligt att beträffande personer i dessa situationer införa undantag från kravet på samtycke i patientdatalagen så att uppgifter om sådana personer kan behandlas i sammanhållen journalföring m.m. trots att personerna i fråga inte har förmåga att motsätta sig eller samtycka till behandling. Hur kan den enskildes tillgång till sina personuppgifter förbättras och förtydligas? Utvecklingen har varit sådan att den enskilde på flera sätt fått en starkare ställning i förhållande till hälso- och sjukvården. Den enskilde har i många fall behov av att kunna registrera uppgifter för att exempelvis komplettera uppgifter eller förbereda ett läkarbesök. Den enskilde bör också som huvudregel kunna ha tillgång till sina egna uppgifter. Undantag finns bl.a. i 25 kap. 6 § OSL. kan enskilda delvis ha tillgång till vissa uppgifter exempelvis via Mina vårdkontakter på . Slutligen behöver den enskilde rent faktiskt kunna använda sig av de möjligheter som nuvarande reglering ger för att spärra uppgifter i journalen. Det kan vara svårt , särskilt om många vårdgivare är inblandade. Det är i nuvarande lagstiftning svårt att identifiera gränsen mellan patientens egen personuppgiftsbehandling och vårdgivarens personuppgiftsbehandling enligt dennes personuppgiftsansvar. För att patienten ska kunna vara en medproducent av information inom hälso- och sjukvården och rapportera in information som kan ligga till grund för s.k. patientrapporterade utfallsmått måste denna gräns tydliggöras i lagstiftningen. Patientrapporterade utfallsmått i exempelvis syftar till att generera kunskap om utfallet av vårdens insatser. Enligt patientdatalagen kan en enskild spärra uppgifter inom en vårdgivares verksamhet, men det saknas enligt patientdatalagen möjligheter för den enskilde att överblicka en vårdprocess som sträcker sig över gränser mellan vårdgivare. Möjligheter för vårdgivare att ansöka om journalförstöring Enligt nuvarande lagstiftning får ansökan om förstörande av patientjournal göras till , antingen av den enskilde själv eller av någon annan som omnämns i journalen. I de fall vårdpersonal för in felaktigheter i journalen av misstag finns två alternativa sätt att korrigera misstaget. Antingen görs en rättelse enligt patientdatalagen eller så kontaktar vårdgivaren patienten och ber denne ansöka om förstörande av journalanteckningen. Det första alternativet, en rättelse, innebär att den felaktiga uppgiften ändå finns kvar i journalen. För det andra alternativet kan det i vissa fall finnas omständigheter som gör att det inte är lämpligt att vårdgivaren kontaktar patienten. – frågor om tillgänglighet ansvarar för ett datoriserat register över legitimerad hälso- och sjukvårdspersonal (det s.k. ). Behandlingen av uppgifterna i registret regleras genom förordningen (2006:196) om register över hälso- och sjukvårdspersonal som innehåller bestämmelser om registrets ändamål, vilka uppgifter registret får innehålla, utlämnande, information m.m. har inkommit till med en hemställan om att ändringar bör göras i förordningen, i syfte att kunna tillhandahålla vissa uppgifter ur registret på Internet genom elektronisk direktåtkomst. och i samverkan (CeHis) har inkommit med en hemställan om förordningsändringar i syfte att kunna använda HSA Nationell katalogtjänst som källa för behörighetsstyrning via elektronisk direktåtkomst. Det är viktigt av patientsäkerhetsskäl att information om behörighetsinskränkningar för hälso- och sjukvårdspersonal är lätt tillgängliga för dem som har behov av det, bl.a. arbetsgivare. Ett välfungerande informationsutbyte också mellan de nordiska länderna är av stor betydelse för att upprätthålla en hög patientsäkerhet på den gemensamma arbetsmarknaden för legitimerad hälso- och sjukvårdspersonal. måste hälso- och sjukvårdspersonalens personliga integritet respekteras. Utredaren ska i utredningsarbetet göra avvägningar mellan verksamheternas behov av information och skyddet för den personliga integriteten. Kartlägga och identifiera förutsättningar med utgångspunkt från Datainspektionens granskningar och tillsynsrapporter kartlägga vilka behov hälso- och sjukvården och har av att ta del av uppgifter från respektive verksamhet och vilka uppgifter som då behöver dokumenteras för att möjliggöra samverkan mellan och hälso- och sjukvården. Vidare ska en avvägning mellan behoven och den enskildes intresse av integritet göras för att fastställa vilka uppgifter som bedöms vara nödvändiga att behandla genom t.ex. utlämnande Vad gäller avvägningen mellan behovet av information och den enskildes intressen bör även särskild hänsyn tas till exempelvis att personer som ändrat, eller ansökt om att ändra, sin könstillhörighet och hur de kan komma att påverkas. Kartläggningen bör när det gäller sär- skilt fokusera på grupperna äldre personer, personer med missbruk eller beroenden samt personer med psykisk sjukdom och funktionsnedsättning. identifiera nödvändiga förutsättningar för en ändamålsenlig och mer sammanhållen informationshantering inom och mellan hälso- och sjukvården och samt vilka hinder (juridiska, tekniska etc.) som finns för en sådan informationshantering och i förekommande fall i vilka lagar dessa hinder finns. om den ovan nämnda kartläggningen ger vid handen att det finns behov av lagändringar för att behörig personal och beslutsfattare inom hälso- och sjukvården och ska få ha tillgång till nödvändiga uppgifter för den aktuella behandlingen eller det aktuella stödet inom eller över organisatoriska gränser lämna sådana förslag. I denna och den efterföljande utredningsfrågan bör fokus ligga på grupperna äldre personer, personer med missbruk eller beroenden samt personer med psykisk sjukdom och funktionsnedsättning. om den ovan nämnda kartläggningen visar att det finns behov, föreslå lagstiftning eller andra åtgärder som medger att behörig personal får använda personuppgifterna för att löpande följa upp, kvalitetssäkra och utveckla verksamheterna. utreda hur personuppgiftsansvaret bör regleras samt vid behov lämna förslag på sådan reglering. utreda om Datainspektionen behöver ytterligare befogenheter för att förhindra att behandling av personuppgifter inleds eller fortsätter i strid med gällande författningsreglering. analysera och redovisa vilka rättsliga och andra hinder som finns för vårdgivare i att med en patients samtycke på elektronisk väg lämna ut uppgifter om patienten till vårdgivare i andra länder. Om gällande rätt hindrar sådant uppgiftslämnande ska utredaren lämna författningsförslag som gör uppgiftslämnandet möjligt. Utredaren ska beakta det arbete som sker i projektet Services for European Patients (epSOS). undersöka om det finns skäl att i 26 kap. OSL införa sekretessbrytande bestämmelser som i relevanta delar motsvarar dem som redan gäller inom hälso- och sjukvården. utreda om det är lämpligt att beträffande personer som saknar förmåga att motsätta sig eller samtycka till nödvändig behandling av personuppgifter införa regler i patientdatalagen som gör att de trots denna oförmåga kan ingå i sammanhållen journalföring m.m. analysera om det vid verksamhetsövergång från enskild verksamhet till annan enskild verksamhet eller till offentlig verksamhet ska krävas samtycke från varje enskild individ för överlämnande av personuppgifter till den nya vårdgivaren/utföraren eller om detta ska tillgodoses genom bestämmelser som bryter tystnadsplikten samt vid behov föreslå författningsändringar. I denna fråga ingår att lämna förslag som möjliggör för en ny verksamhetsansvarig att få tillgång till de uppgifter som behövs för att bl.a. säkerställa en god vård och omsorg. föreslå hur bestämmelser om gallring av personuppgifter i relevant lagstiftning kan harmoniseras. analysera vilka nationella kontrollmekanismer som måste finnas för att nödvändiga säkerhets- och behörighetslösningar ska användas. föreslå hur ändamålen för behandling av personuppgifter i läkemedelsregistret kan anpassas till de ändamål som gäller för övriga hälsodataregister enligt lagen (1998:543) om hälsodataregister. Den enskildes tillgång till sina personuppgifter analysera och lämna förslag som juridiskt tydliggör gränsen mellan patientens egen personuppgiftsbehandling och vårdgivarens personuppgiftsbehandling enligt dennes personuppgiftsansvar för sådana känsliga uppgifter som den enskilde själv rapporterar in till hälso- och sjukvården eller . överväga behovet av lagreglering av personuppgiftsansvar för säkerhetsåtgärder vid it-kommunikation med enskilda individer. föreslå nationella kriterier för vad som kan betecknas som patientrapporterade utfallsmått. föreslå förändringar i lagstiftningen och andra nödvändiga åtgärder som ökar patientsäkerheten och stärker den enskildes faktiska möjligheter att utöva sin rätt att spärra hela eller delar av sin journal. I denna del bör utredaren särskilt beakta den analys av frågan som (dir. 2011:25) har i uppdrag att utföra. Möjlighet för vårdgivare att ansöka om journalförstöring överväga om det bör införas en möjlighet för vårdgivare att ansöka om journalförstöring och, om det bedöms som lämpligt, lämna förslag till en sådan reglering. analysera förutsättningarna för att vissa personuppgifter som rör hälso- och sjukvårdspersonal ska kunna göras tillgängliga på internet eller genom elektronisk direktåtkomst. Utredaren ska förhålla sig till vad , och CeHis framfört i sina hemställningar. Utredaren ska särskilt bedöma vilka aktörer som har behov av informationen och hur deras informationsbehov kan tillgodoses samt, efter en avvägning mellan behoven och integritets aspekterna, föreslå vilka personuppgifter som ska få behandlas för att tillgodose behoven. överväga andra alternativ än de ovan angivna som kan tillgodose behoven, bedöma och redovisa alla alternativs för- och nackdelar samt föreslå författningsändringar för det alternativ som bedöms lämpligast. Utredaren är oförhindrad att ta upp frågor som inte nämns i dessa direktiv, men som utredaren anser behöver analyseras eller regleras för att utredaren ska kunna fullgöra sitt uppdrag på ett tillfredsställande sätt. Utredarens förslag kan komma att få konsekvenser för landsting, kommuner, privata vårdgivare och enskilda utförare inom som måste anpassa sina verksamheter och system efter reviderad eller ny lagstiftning. Utredaren måste således göra en ingående konsekvensanalys av sina förslag utifrån att förslagen genomförs respektive inte genomförs. I konsekvensbeskrivningen ska även ingå att granska förslagens konsekvenser för den personliga integriteten. Vidare ska utredaren utarbeta en plan för hur tillämpningen av lagstiftningen inom hälso- och sjukvården och kan underlättas. Om förslagen i slutbetänkandet påverkar kostnaderna eller intäkterna för staten, landstingen, kommunerna eller enskilda ska en beräkning av dessa konsekvenser redovisas. Om för-slagen får samhällsekonomiska konsekvenser i övrigt ska dessa redovisas. När det gäller kostnadsökningar och intäktsminskningar för staten, landstingen eller kommunerna ska utredaren föreslå en finansiering. finns det i 14 kap. 2 § RF ett förtydligande av principen om att kommunalt självstyre gäller för all verksamhet. I 14 kap. 3 § RF har en bestämmelse införts om att en inskränkning av den kommunala självstyrelsen inte bör gå utöver vad som är nödvändigt med hänsyn till de ändamål som föranlett den, dvs. en proportionalitetsprövning ska göras under lagstiftningsprocessen. Om något av förslagen i denna utrednings betänkande påverkar det kommunala självstyret ska utredaren särskilt redovisa dess konsekvenser och de särskilda avvägningar som lett till förslagen. Då barn berörs av förslagen ska utredaren särskilt analysera förslagens konsekvenser ur ett barn- och barnrättsperspektiv. Samråd och redovisning av uppdraget Utredaren ska samråda med Utredningen om översyn av och statistiksystemet (dir. 2011:32), Utredningen om integritet, effektivitet och öppenhet i en modern e-förvaltning (dir. 2011:86), Statens vård- och omsorgsutredning (dir. 2011:4), , , , , , Kommuner och Landsting, övriga relevanta myndigheter och aktörer (t.ex. , , och Försvarsmakten) samt med berörda arbetstagarorganisationer. Utredaren ska särskilt samråda med om uppdraget att tydliggöra rättsläget kring informationsutbyte inom äldreomsorgen (regeringens beslut ) samt med (dir. 2011:25), som bl.a. ska undersöka hur informationsutbytet mellan patient och vårdgivare kan underlättas och utvecklas samt analysera hur patienten ska kunna utöva sin rätt att spärra hela eller enskilda delar av den egna journalen till andra vårdenheter. Uppdraget ska redovisas i ett delbetänkande (enbart om HOSP- frågan) och resterande delar av uppdraget i ett slutbetänkande . Utredningen om förbättrad tillgång till personuppgifter inom och mellan hälso- och sjukvården och m.m. (S 2011:13) Regeringen beslutade kommittédirektiv om förbättrad tillgång till personuppgifter inom och mellan hälso- och sjukvården och m.m. (dir. 2011:111). Den huvudsakliga inriktningen av detta uppdrag gäller även framgent. De delar av uppdraget som avser att förbättra och förtydliga den enskildes tillgång till sina personuppgifter överlappar delvis uppdraget till Utredningen om stärkt ställning för patienten genom ny patientlagstiftning (S 2011:03, dir. 2011:25). Det finns därför behov av att klargöra och delvis förändra gränsdragningen mellan de båda utredningsuppdragen och delvis förändra omfattningen av dem. Utredaren har enligt dir. 2011:111 i uppdrag att föreslå nationella kriterier för vad som kan betecknas som patientrapporterade utfallsmått, dvs. mått som syftar till att generera kunskap om utfallet av vårdens insatser. Patienten ska enligt direktivet kunna vara medproducent av information inom hälso- och sjukvården. Utredningen (S 2011:03) har enligt dir. 2011:25 i uppdrag att föreslå en modell för webbaserad inrapportering av patientupplevd kvalitet. Syftet är att alla patienter ska ges förutsättningar att dela med sig av sina upplevelser av vården genom en enkel webbaserad tjänst. Det är angeläget att på ett strukturerat sätt ta till vara patientens upplevelser av vården och att patienten ges förutsättningar att vara en medproducent av information i vården. Det är viktigt att tjänsten utformas så att olika kategorier av patienter kan använda sig av den, t.ex. barn, äldre, kvinnor och män, personer med funktionshinder och personer som inte talar svenska. En modell för webbaserad inrapportering förutsätter kriterier för de patientrapporterade utfallsmått som ska rapporteras in. Utredningens (S 2011:03) uppdrag att föreslå en modell för webbaserad inrapportering av patientupplevd kvalitet förs därför över till utredaren för fortsatt hantering. Utredaren har enligt dir. 2011:111 redan i uppdrag att föreslå lagstiftning eller andra nödvändiga åtgärder som medger att behörig personal får använda personuppgifter för att löpande följa upp, kvalitetssäkra och utveckla verksamheterna. Det är angeläget att även den information som patienten själv rapporterar in kan och får användas för att löpande följa upp, kvalitetssäkra och utveckla verksamheterna. Informationsutbytet mellan patient och vårdgivare Utredaren har enligt dir. 2011:111 bl.a. i uppdrag att analysera och lämna förslag som juridiskt tydliggör gränsen mellan patientens egen personuppgiftsbehandling och vårdgivarens personuppgiftsbehandling enligt dennes personuppgiftsansvar för sådana känsliga uppgifter som den enskilde själv rapporterar in till hälso- och sjukvården eller , överväga behovet av lagreglering av personuppgiftsansvar för säkerhetsåtgärder vid it-kommunikation med enskilda individer. Utredningen (S 2011:03) har bl.a. i uppdrag att undersöka de legala förutsättningarna för att patienten på ett strukturerat sätt ska kunna dela med sig av sin egen dokumentation till vårdgivaren, beakta erfarenheterna från arbete med nationell informationsstruktur och nationellt fackspråk för vård och omsorg,