frsrdg · H304JO1 · 2015-11-06 00:00:00 — Skälen får dock helt eller delvis utelämnas 1.om beslutet inte går någon part emot eller om det av någon annan anledning är uppenbart obehövligt att upplysa om skälen 2.om beslutet rör tjänstetillsättning, antagning för frivillig utbildning, betygs- sättning, tilldelning av forskningsbidrag eller något jämförbart 3.om det är nödvändigt med hänsyn till rikets säkerhet, skyddet för enskildas personliga eller ekonomiska förhållanden eller något jämförbart förhål- lande 4.om ärendet är så brådskande att det inte finns tid att utforma skälen 5.om ärendet gäller meddelande av föreskrifter som avses i 8 kap. regerings- formen och det inte är fråga om prövning i högre instans efter överklagande. Kravet på att en myndighet ska motivera sina beslut har som syfte att garantera att ärendena prövas på ett omsorgsfullt, sakligt och enhetligt sätt. Att myndig- heten motiverar sina beslut innebär även att det är lättare för parter och andra att förstå besluten, kontrollera att besluten är riktiga och bedöma om det kan 2 015 /1 6:JO1 Ö V E R F Ö R M Y N D A R N Ä M N D E R O C H Ö V E R F Ö R M Y N D A R E löna sig att överklaga besluten (se och , Förvaltningslagen med kommentarer, tredje uppl., 2010, s. 231). en myndighet i sitt beslut är skyldig att redovisa ”hjärtpunkterna” i skälen. Även om man inte kan begära att förvaltningsmyndigheternas beslut ska efter- likna domstolarnas domar, måste besluten göra det begripligt för parten vilka faktiska förhållanden som är avgörande, vilka rättsregler som är tillämpliga och hur myndigheten har resonerat på de punkter där meningarna kan gå isär (se och , a.a., s. 237). Vad som behöver anges i ett beslut är även beroende av vad som redan är känt för parten. Om beslutet endast innebär ett fastställande av ett tidigare, pre- liminärt beslut som parten har fått del av, kan motiveringen ofta inskränkas till en hänvisning till det föregående beslutet och till att inget nytt kommit fram som gett anledning att gå ifrån detta. Om en myndighets avslagsbeslut grundas på ett yttrande från en annan myndighet och yttrandet kommunicerats med par- ten, kan det vara tillräckligt att hänvisa till det yttrandet som skäl för avslags- beslutet (se och , a.a., s. 239). Trots att en part har fått del av utredningsmaterialet under handläggningen, kan det i vissa fall finnas skäl för myndigheten att motivera ett avslagsbeslut. Så kan exempelvis vara fallet om en part riktat invändningar mot vissa sakupp- Under sådana förhållanden bör det framgå av beslutet vilka övervägan- den som myndigheten har gjort med anledning av de motstridiga uppgifterna. Om myndigheten avstår från att göra det kan parten få uppfattningen att hans eller hennes synpunkter inte har beaktats (se JO 1994/95 s. 390). Som nämnts ovan finns det en möjlighet för myndigheter att helt eller delvis utelämna skälen om det ”av någon annan anledning är uppenbart obehövligt att upplysa om skälen”. Orden ”uppenbart obehövligt” visar att lagstiftaren avsett att undantaget bara ska komma till användning i undantagsfall. pelvis vara fallet när en myndighet beslutar att avskriva ett ärende. en myndighet avstå från att motivera ett beslut om inte något väsentligt parts- intresse därigenom eftersätts. Exempel på en sådan situation är när en överin- stans avstår från motivering eftersom den inte finner skäl att ändra ett överkla- gat beslut som är tillfredsställande motiverat. Om en part uttryckligen begärt att få reda på skälen för myndighetens beslut, finns det knappast något utrymme för att tillämpa det aktuella undantaget (se och , a.a., s. Utformningen av överförmyndarnämndens beslut Inledningsvis vill jag framhålla att överförmyndarnämndens beslut om att ent- lediga . som god man har inneburit myndighetsutövning mot en en- Beslutet är, enligt min mening, inte av den karaktären att det varit uppen- bart obehövligt för myndigheten att upplysa om skälen. den har alltså varit skyldig att i sitt slutliga beslut ange de skäl som har bestämt I beslutet har överförmyndarnämnden enbart angett att det inkommit klago- mål mot sätt att sköta sitt uppdrag. Det närmare innehållet i kla- gomålen anges inte. Dessa förhållanden och en ”samlad bedömning av ärendet” Ö V E R F Ö R M Y N D A R N Ä M N D E R O C H Ö V E R F Ö R M Y N D A R E 2 015 /1 6:JO1 gjorde att det enligt överförmyndarnämnden kunde ifrågasättas om . agerade på ett sätt som gagnade huvudmannen. Mot bakgrund av dessa om- ständigheter ansåg nämnden att . inte var lämplig att inneha uppdraget som god man. Enligt överförmyndarnämnden var det bl.a. ambitionen att inte ”svartmåla” . som gjorde att klagomålen inte redovisades i beslutet. Jag vill för egen del framhålla att det är en självklarhet att myndigheter i sina beslut inte ska ägna sig åt att svartmåla eller på annat sätt chikanera enskilda. Att objektivt redogöra för de klagomål som har kommit in är emellertid något helt annat. Viljan att inte bidra till att en enskild framstår i ofördelaktig dager får inte leda till att myndigheten helt avstår från att redovisa utredningen i ärendet. En grundförutsättning för att parter – och andra som tar del av beslutet – ska förstå hur en myndighet har kommit fram till sin slutsats, är att det i beslutet åt- minstone i allmänna ordalag redovisas vad som har kommit fram under hand- läggningen. har vidare lyft fram att det i vissa fall kan vara lätt att peka på en specifik händelse som gör att ställföreträdaren är lämplig för uppdraget och därför ska entledigas. I sådana fall är det enligt över- förmyndarnämnden också okomplicerat att på ett tydligt sätt motivera vad be- slutet grundar sig på. I fråga om beslutet att entlediga . var det enligt överförmyndarnämnden däremot en rad händelser – som var för sig inte nöd- vändigtvis var tillräckliga för ett entledigande – som låg till grund för beslutet. Enligt min mening är det förhållandet att en relativt komplex bedömning ligger bakom en myndighets beslut inte skäl för att göra avkall på motiveringsplikten, snarare tvärtom. I dessa fall ligger det ett särskilt ansvar på myndigheten att på ett pedagogiskt sätt förklara skälen för beslutet. Sammanfattningsvis innebär detta att överförmyndarnämnden i sitt beslut borde ha redovisat de klagomål som hade kommit in mot . För de fall han framfört synpunkter på klagomålen borde även dessa ha angetts i beslutet. Slutligen borde myndigheten, för att göra beslutet begripligt, ha förklarat hur omständigheterna värderats och vad som lades till grund för slutsatsen att Ro- bert M. inte längre var lämplig att inneha uppdraget som god man. Det har inte varit tillräckligt att, som överförmyndarnämnden gjort, hänvisa till en något kryptisk ”samlad bedömning”. förtjänar kritik för be- slutets bristfälliga motivering. i utövar tillsyn över Överförmyndarnämn- den i stad. Ett exemplar av detta beslut ska därför skickas till länssty- relsen. 2 015 /1 6:JO1 Offentlighet och sekretess samt yttrande- och tryckfrihet Allvarlig kritik mot vissa vårdgivare för att man har ingått avtal om journalföring med ett företag trots att detta inte varit förenligt med regelverket om sekretess inom hälso- och sjukvården (Dnr 3032-2011) Beslutet i korthet: Vårdgivare inom och läns landsting har ingått avtal med ett företag om hjälp med journalfö- ring av patientuppgifter. Enligt avtalen agerar företaget som ett personupp- giftsbiträde i förhållande till vårdgivaren (som är personuppgiftsansvarig). Avtalen innebär att vårdgivaren tillåter att läkarsekreterare som är anställda hos företaget på distans lyssnar av inlästa diktat och skriver in uppgifterna i patientens journal. Hanteringen är helt elektronisk och uppgifter lagras ald- rig utanför /regionens it-system. Enligt 25 kap. 1 § offentlighets- och sekretesslagen (2009:400), OSL, rå- der en stark sekretess till skydd för uppgifter om patienter inom den all- männa hälso- och sjukvården. Reglerna om behandling av personuppgifter inom hälso- och sjukvården har inte någon direkt betydelse för hur sekre- tessfrågan ska prövas; frågan om en vårdgivare kan lämna ut sekretessbe- lagda uppgifter till ett personuppgiftsbiträde eller till personal hos biträdet ska prövas på vanligt sätt enligt OSL. JO konstaterar att läkarsekreterarna hos företaget inte omfattas av den tystnadsplikt enligt OSL som gäller för vårdgivarens egen personal. Frågan om huruvida uppgifterna i patientjournalerna kan göras tillgängliga för lä- karsekreterarna är därför i första hand beroende av om ett utlämnande kan ske utan att det innebär men (dvs. skada) för den som skyddas av sekretes- sen. Läkarsekreterarna har en avtalsreglerad tystnadsplikt i förhållande till ar- betsgivaren (dvs. Vidare följer av regelverket om behandling av personuppgifter en sorts tystnadsplikt för den som behandlar uppgifterna. Enligt JO är dessa ”alternativa” tystnadsplikter för läkarsekreterarna inte tillräckliga för att anse att ett utlämnande kan ske utan att det innebär men (skada) för den som skyddas av sekretessen. Vid bedömningen har – mot bakgrund av att de uppgifter som behandlas enligt avtalen är av mycket in- tegritetskänsligt slag – vikt lagts bl.a. vid att vårdgivarens egen personal kan dömas för brott mot tystnadsplikt om en sekretessbelagd uppgift felaktigt röjs, medan så inte är fallet när det gäller läkarsekreterare som är anställda i företaget. Ett utlämnande har inte heller haft stöd i någon av de sekretess- brytande bestämmelser som finns i 10 kap. OSL eller i en lag eller förord- ning som OSL hänvisar till. JO:s slutsats är att vårdgivarna inte har haft rättsligt stöd för att på det sätt som skett lämna ut sekretessbelagda uppgifter om patienter för O F F E N T L I G H E T O C H S E K R E T E S S S A M T Y T T R A N D E - O C H T R Y C K F R I H E T 2 015 /1 6:JO1 journalföring av företagets läkarsekreterare. Enligt JO är det anmärknings- värt att vårdgivarna inte har ägnat sekretessaspekterna större uppmärksam- het i samband med att avtalen ingicks. Vårdgivarna får allvarlig kritik för att de har ingått avtal som innebär att /regionen lämnar ut patient- uppgifter för journalföring av anställda vid ett företag, trots att detta inte är förenligt med regelverket om sekretess. Yttrande från Primärvårdsstyrelsen i Västra Yttrande från Styrelsen för i Yttrande från Styrelsen för sjukvårdsområde (SLSO) i ............................. Yttrande från Datainspektionen.......................................................... Regler om sekretess och tystnadsplikt m.m........................................ 3.2.1 Sekretess inom den allmänna hälso- och sjukvården 3.2.2 Bestämmelser om tystnadsplikt för personal inom hälso- och sjukvården m.m............................................................... 3.2.3 Gäller någon form av tystnadsplikt för personalen (läkarsekreterare) som utför journalföringen hos Sekretessbrytande bestämmelser i .............................................. 3.3.1 Den sekretessbrytande bestämmelsen om nödvändigt utlämnande i 10 kap. 2 § OSL......................................................... 3.3.2 Den sekretessbrytande bestämmelsen om utlämnande med förbehåll i 10 kap. 14 § OSL................................ Har det funnits rättsliga förutsättningar för vårdgivarna att lämna ut patientuppgifter på det sätt som följer av avtalen?..................... 2 015 /1 6:JO1 O F F E N T L I G H E T O C H S E K R E T E S S S A M T Y T T R A N D E - O C H T R Y C K F R I H E T I en anmälan anförde bl.a. att JO borde granska om sekretessen för journalförda uppgifter om patienter upprätthålls när uppgifterna överförs till ett privat bolag, , för att därefter behandlas av bolagets anställda i de- ras bostäder. Han hänvisade till en artikel som hade varit publicerad i dagstid- ningen . Av artikeln framgick bl.a. följande. Conscriptors affärsidé är att hjälpa till med hanteringen av patientjournaler när den ordinarie personalen inom sjuk- vården inte hinner med. Uppdrag utförs åt sjukhus och vårdcentraler i hela Sve- rige. Företaget har utvecklat en egen teknisk plattform och kan kommunicera med de olika system för databehandling som de olika vårdgivarna använder sig av. De flesta av företagets anställda arbetar på distans från den egna bostaden. I anmälan och tidningsartikeln nämndes vissa vårdinrättningar. JO hämtade in kopior av avtal mellan och () inom samt mellan Conscriptor och Vård- centralen i , . Därefter begärde JO att dels vederbörande nämnd inom Västra Götalands- regionen, dels Styrelsen för SLSO skulle yttra sig till JO. Yttrandena skulle – bl.a. mot bakgrund av den sekretess som gäller inom hälso- och sjukvården för uppgift om en enskilds hälsotillstånd eller andra personliga förhållanden (25 kap. 1 § offentlighets- och sekretesslagen [2009:400], OSL) – avse vilka över- väganden som hade gjorts innan uppgifter om patienter hade överförts från /regionen till Conscriptor. Av en skrivelse från Juridiska enheten vid re- gionkansli framgick att Conscriptor hade anlitats av primärvården och Ange- reds Närsjukhus, samt att yttranden hade inhämtats från de nämnder som är ansvariga för dessa verksamheter. 2.1 Yttrande från Primärvårdsstyrelsen i I sitt yttrande anförde Primärvårdsstyrelsen bl.a. följande (omnämnda bilagor har utelämnats): är ett företag som tillhandahåller tjänster för digital jour- nalhantering på distans till ett flertal vårdgivare i . Västra Göta- landsregionen anlitar företaget genom en beställning som görs av respek- tive verksamhetschef. Behovet av att anlita en extern leverantör har upp- kommit som en följd av kravet i primärvården på att diktat ska vara in- skrivna i patientjournalen , vilket man inte alltid har kunnat leva upp till med ordinarie personal. När det är aktuellt att anlita Conscriptor träffas första gången ett lokalt avtal mellan verksamhetschefen och företaget, se exempel på avtal i bilaga 2. I detta tydliggörs att vårdgivaren är personuppgiftsansvarig och att O F F E N T L I G H E T O C H S E K R E T E S S S A M T Y T T R A N D E - O C H T R Y C K F R I H E T 2 015 /1 6:JO1 Conscriptor agerar personuppgiftsbiträde. Conscriptor svarar för att be- handlingen av personuppgifter sker enligt Personuppgiftslagen och enligt kundens instruktioner. Conscriptor ansvarar i sitt arbete som personupp- giftsbiträde för att vidta de säkerhetsåtgärder som avses i personuppgiftsla- gen 31 § första stycket samt i enlighet med kundens policy och riktlinjer för informationssäkerhet. Regionens information till personal bifogas, bi- laga 3. I avtalet anges att kunden har rätt att låta auktoriserad revisor eller annan av Conscriptor godkänd person granska Conscriptors hantering av kundens material i syfte att kontrollera att företaget uppfyller överenskomna säker- hetskrav. Primärvården har inte funnit anledning att göra detta. Primärvården har granskat det avtal som används och har inte funnit nå- got som visar på brister i förhållande till lagstiftningen eller regionens rikt- linjer för informations-säkerhet. Conscriptors sekreterare kopplar upp sin dator till Västra Götalandsregion- ens nätverk via en säker förbindelse (VPN) med RSA-autentisiering (inloggningsdosa) och med programvara som omöjliggör kommunikation med lokal utrustning inom Conscriptor. Inom regionens nätverk sker in- loggning på en Citrixserver där ytterligare en inloggning sker till VGR:s journalsystem eller Journal III. Programvaran för digital diktering – MedSpeech – plockar notat ur arbetslistan för att lyssna av diktaten samt skriva in dem i journalsystemet. Det finns spärrar som utesluter att ta skärmbilder för lagring på lokal dator och Citrixservern krypterar all trafik som sänds till/från Conscriptors dator. Behörighet för inloggning till regionens nät sker via anmälan till fjär- racess och godkänns av IT-chef inom . Behörighet för inlogg- ning till journalsystem görs av verksamhetschef på vårdcentralen. Regionen använder samma system och rutiner för egen personal som arbetar på äldreboende med skillnaden av att regionens personal använder (tjänstekort) för autenticiering istället för RSA-autenticiering. Bedömningen är att den tekniska lösningen har en mycket hög säkerhet ur ett IT-perspektiv. Det faktum att Conscriptors läkarsekreterare i så stor omfattning utför ar- betsuppgifterna i hemmet har inte varit känt för Primärvården innan JO- anmälan aktualiserade frågan. När vi som vårdgivare utför denna typ av uppgifter i vår egen verksam- het sker det i lokaler där endast primärvårdens egen personal har tillträde. Detta innebär att samtliga omfattas av och är väl införstådda med reglerna för sekretess och den praktiska hanteringen av sekretessbelagd information. Vårdgivaren kan också kontrollera efterlevnaden. När det gäller arbete som sker i hemmiljö kan primärvården, trots samma höga säkerhet i tekniska lösningar och personalens goda kunskap om hur sekretessbelagd information hanteras, aldrig kontrollera omgivningsfak- torerna, även om vi inte har anledning att betvivla att säkerheten är fullgod. Primärvården har förtroende för Conscriptor som leverantör av tjänst för journalhantering. Primärvården uppfattar att den tekniska säkerheten är mycket hög och att sekretessfrågorna är väl om- händertagna hos Conscriptor. Eftersom Primärvården inte kan kontrollera omgivningsfaktorer i hemmiljö är ställningstagandet att de uppgifter som 2 015 /1 6:JO1 O F F E N T L I G H E T O C H S E K R E T E S S S A M T Y T T R A N D E - O C H T R Y C K F R I H E T tjänsten omfattar ska utföras i leverantörens lokaler. I Västra Götalandsre- gionens pågående upphandling av läkarsekreterartjänster är detta ett krav som är med i krav-specifikationen. Efter kontakt med regionens inköpsav- delning gavs besked om att nytt avtal bedöms vara klart . Till yttrandet hade fogats kopior av dels ett ”journalhanteringsavtal” mellan Conscriptor och Barn- och Ungdomsmottagningen i , dels en informa- tionsskrift rubricerad ”informationssäkerhet VID DATORN PÅ JOBBET”. 2.2 Yttrande från Styrelsen för i I sitt yttrande anförde Styrelsen för (ANS) bl.a. följande (omnämnda bilagor har utelämnats): Överväganden inför köp av tjänst ANS har skyldighet att säkra att patientdokumentationen är uppdaterad en- ligt Hälso- och sjukvårdslagen. För att leva upp till de lagstadgade kraven kring patient- dokumentationen har verksamheten på ANS varit tvungen att förstärka bemanningen inom detta område. Det har skett genom köp av tjänst från externt företag. Överenskommelse hantering av personuppgifter ANS har tillsammans med Conscriptor upprättat underlag till överenskom- melse för hur journaler ska hanteras, (bilaga 2). Enligt överenskommelsen agerar Conscriptor som personuppgiftsbi- träde och ska behandla personuppgifter enligt personuppgiftslagen och har ansvar för att vidta de säkerhetsåtgärder som avses i personuppgiftslagen, 31 §, samt att personuppgifterna behandlas i enlighet med Västra Göta- landsregionens informationssäkerhetspolicy. Conscriptor anger att tjänsten utförs med diktering som överförs krypte- rad till säker server. Vid journalskrivning på distans sparas ingen känslig information på den lokala datorn, utan bara på den säkra servern/server- klustret. All information hanteras lokalt på den av tillhandahållna servermiljön. Conscriptor ska enligt överenskommelsen logga all aktivitet. För ytterligare information om den tekniska lösningen hänvisas till beskrivningen som primärvården lämnat i sitt yttrande, som överensstämmer med teknisk lösning för ANS. Det finns inte något skäl att tro att gällande sekretessregler enligt överens- kommelsen inte har efterlevts. Till yttrandet hade fogats en handling rubricerad ”Utdrag ur överenskommelse ANS–Conscriptor”. 2.3 Yttrande från Styrelsen för () i I sitt yttrande anförde Styrelsen för SLSO bl.a. följande: Avtal tecknades med den l efter en för- enklad upphandling där ifrågavarande leverantör lämnade det bästa anbudet på efterfrågade tjänster. I avtalet med leverantören regleras skyldigheten att upprätthålla sekretess och säkerhet kring patienten på följande sätt: O F F E N T L I G H E T O C H S E K R E T E S S S A M T Y T T R A N D E - O C H T R Y C K F R I H E T 2 015 /1 6:JO1 ”Avroparen är personuppgiftsansvarig. Leverantören agerar personupp- giftsbiträde och behandlar personuppgifter utifrån innehållet i detta ramav- tal och dess bilagor. Leverantören tillser att behandling av personuppgifter sker enligt person-uppgiftslagen (SFS 1998:204). Leverantören ansvarar för i sitt arbete som person-uppgiftsbiträde att vidta de säkerhetsåtgärder som avses i Personuppgiftslagen, 31 § första stycket”. För att säkerhetsställa att denna paragraf följs har leverantören upprättat följande rutiner: Samtliga anställda genomgår en internutbildning där de bland annat går igenom hantering av login, sekretess och rutiner för PUL uppgifter. Leverantören har tydliga anställningsbevis som muntligen gås igenom med var och en innan ny personal skriver under dessa. Detta görs för att säkerställa att personen förstår innebörden av det ingångna avtalet. I avtalet regleras sekretess samt rutiner för hantering av de uppgifter man får tillgång till i sin anställning. Samtliga anställda har ett anställningsbevis där bland annat sekretessen regleras. Sekretessen gäller även när personalen undan- tagsvis arbetar från sitt hemmakontor/distansarbetsplats. Avtalet som teck- nas med den anställde ser något olika ut beroende på befattning men under stycke ”Sekretess” är alla avtal exakt likalydande: Sekretessbestämmelse i anställningsbevis: ”Medarbetaren är informerad om att Bolaget i sin verksamhet agerar per- sonuppgiftsbiträde för sina uppdragsgivare. Såsom varandes personupp- giftsbiträde har Bolaget åtagit sig dels för Bolagets räkning, dels för sin personals räkning att efterleva lagar kring hantering av personuppgifter inom hälso- och sjukvårdsområdet. Medarbetaren är införstådd av vikten av dessa åtagande och åtar sig att följa desamma. Vidare kommer Medarbetaren löpande delges Bolagets samt Bolagets uppdragsgivares informationssäkerhetspolicies och det ålig- ger Medarbetaren att agera i enlighet med dessa och meddela Bolaget vid misstanke av bristande uppfyllelse avseende dessa. Medarbetaren är medveten om att tjänsten innebär tillgång och hantering av personuppgifter som skyddas av bland annat, men inte uteslutande av, Offentlighets- och sekretesslagens (2009:400), Patientdatalagen (2008:355) och Personuppgiftslagen (1998:204). Tystnadsplikt gäller såle- des avseende all information och uppgifter som Medarbetaren har fått till- gång till genom anställningen på Bolaget. Vid varje överträdelse av denna sekretessbestämmelse skall Medarbeta- ren till Bolaget utge ett skadestånd motsvarande den skada företaget kan dokumentera att det lidit på grund av överträdelsen. Det åligger företaget att påvisa skadans omfattning”. Conscriptor ansluter direkt mot SLSOs datalager dvs. ingen data flyttas över till leverantören, utan alla journaler, ljudfiler etc. hanteras uteslutande lokalt hos SLSO med krav på autentisering. Leverantören an- vänder sig av virtuella datorer på en plattform som heter VirCon 5.5. Miljön driftas i ett datacenter med mycket hög säkerhet och har en sådan karaktär att det är säkerhetsklassat dvs. det ingår som ett objekt som har intresse för rikets säkerhet. Ingen lokal data sparas, dvs. det finns inga överlappande lager mellan den lokala klienten och den virtuella maskinen. Leverantören använder vidare sk. ”full end point” kryptering, dvs. det finns en krypterad förbindelse mellan lokal maskin och den virtuella miljön. Ingen lokal anslut- ning tillåts (går) att ansluta till VirCon 5.5. Därmed går det inte att ansluta en extern skrivenhet till miljön för lokala utskrifter. Man kan inte heller öppna en webbläsare eller använda ”print Screen” funktioner. Leverantörens hantering av sekretess för personal enligt beskrivning ovan, i kombination med den säkra datamiljön gör att sekretess kring pati- enten kan anses vara tillfyllest. 2 015 /1 6:JO1 O F F E N T L I G H E T O C H S E K R E T E S S S A M T Y T T R A N D E - O C H T R Y C K F R I H E T