frsrdg · H304JO1 · 2015-11-06 00:00:00 — Därefter remitterade JO ärendet till och begärde att styrelsen skulle yttra sig. Yttrandet skulle avse frågan om det hade funnits rättsliga för- utsättningar för regionen/att överföra uppgifter om patienter till Conscriptor. I sitt remissvar anförde bl.a. följande: De rättsliga förutsättningarna för vårdgivaren att överföra uppgifter om pa- tienter till (Härefter Conscriptor) följer av personuppgifts- lagen (1998:204). Enligt personuppgiftslagen så finns det en möjlighet för den personuppgifts-ansvarige, i detta fall vårdgivaren, att anlita ett person- uppgiftsbiträde, Conscriptor, som behandlar personuppgifter för den per- sonuppgiftsansvariges räkning. Även om en personuppgiftsansvarig anlitar ett personuppgiftsbiträde är det alltid den personuppgiftsansvarige som har ansvaret gentemot de registrerade. Person-uppgiftsansvaret kan inte över- låtas. Det ligger därigenom ett långtgående ansvar på de vårdgivare som anlitar Conscriptor för att säkerställa och följa upp att sekretessen beaktas och att nödvändiga säkerhetsåtgärder vidtas hos Conscriptor. Aktiebolaget Conscriptor har som affärsidé att tillhandahålla läkarsekre- terarkompetens på distans som hjälper till med administrationen av patient- journaler när ordinarie personal hos en vårdgivare inte hinner med detta arbete. Conscriptor utför uppdrag åt både sjukhus och vårdcentraler i hela , bl.a. , . Hälso- och sjukvårdslagen och patientsäkerhetslagen. Vårdgivaren ska enligt 3 kap. l § patientsäkerhetslagen (2010:659) planera, leda och kontrollera verksamheten på ett sätt som leder till att kraven på god vård i hälso- och sjukvårdslagen (1982:763) och tandvårdslagen (1985:125) upprätthålls. Det innebär bland annat att vårdgivaren ansvarar för att det finns den personal, de lokaler och den utrustning som behövs för att god vård ska kunna ges. Det är alltså vårdgivaren som ska se till att det finns de resurser som behövs för att journalföringen utförs i enlighet med gällande rätt. I patientdatalagen (2008:355) regleras vårdgivarens ansvar för behandling av personuppgifter inom hälso- och sjukvården. Enligt [1 kap.] 4 § patientdatalagen gäller personuppgiftslagen vid sådan behandling av personuppgifter inom hälso- och sjukvården som är helt eller delvis automatiserad eller där uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier, om inte annat följer av pa- tientdatalagen eller föreskrifter som meddelats med stöd av patientdatala- gen. Personuppgiftslagen är således subsidiär till patientdatalagen. Vårdgivaren ansvarar för att informationshanteringen är organiserad så att den tillgodoser patientsäkerhet och god kvalitet samt främjar kostnads- effektivitet. Personuppgifterna ska utformas och i övrigt behandlas så att patienters och övriga registrerades integritet respekteras. O F F E N T L I G H E T O C H S E K R E T E S S S A M T Y T T R A N D E - O C H T R Y C K F R I H E T 2 015 /1 6:JO1 personuppgifter ska hanteras och förvaras så att obehöriga inte kan ta del av dem (l kap. 2 §). Vårdgivaren har följaktligen det yttersta ansvaret för journalföringen och för att personuppgifterna hanteras på ett säkert sätt. Vårdgivaren utövar sitt ansvar genom att ge direktiv till den egendrivna verksamheten eller ge- nom att anlita uppdragstagare. Vid vård av patienter ska vårdgivaren enligt 3 kap. l § patientdatalagen upprätta en journal för varje patient. Uppgifter som antecknas i en patient- journal ska enligt 3 kap. 9 § patientdatalagen föras in i journalen . Vårdgivarens informationssäkerhetspolicy ska också sä- kerställa att patientuppgifterna är åtkomliga och användbara för den som är behörig, vilket anges i 2 kap. 2 § föreskrifter (SOSFS 2008:14) om informationshantering och journalföring i hälso- och sjukvår- den. Det är lämpligt att vårdgivaren anpassar sina rutiner för hur snabbt en journalanteckning ska föras in i patientjournalen efter behoven i sin verk- samhet och de krav på säkerhet som ställs. Vårdgivaren ansvarar för att organisera sin verksamhet så att skyndsamhetskravet kan uppfyllas. Det kan antingen göras genom att se till att det finns tillräckliga resurser och goda rutiner inom verksamheten eller genom att anlita personuppgiftsbiträ- den. Personuppgiftsansvarig är normalt den juridiska person (till exempel aktie- bolag, stiftelse eller förening) eller den myndighet som behandlar person- uppgifter i sin verksamhet och som bestämmer vilka uppgifter som ska be- handlas och vad uppgifterna ska användas till. Enligt 2 kap. 6 § patientda- talagen är vårdgivaren personuppgiftsansvarig för den behandling av per- sonuppgifter som vårdgivaren utför. Den personuppgiftsansvarige ska se till att behandlingen av personupp- gifter är laglig enligt personuppgiftslagen och patientdatalagen och har till exempel ansvaret för informationssäkerheten och att de registrerade får den information de har rätt till. Personuppgiftsansvaret är straff- och skade- ståndssanktionerat. Personuppgiftsbiträde är enligt 30 § personuppgiftslagen den som be- handlar personuppgifter för den personuppgiftsansvariges räkning. Ett per- sonuppgiftsbiträde finns alltid utanför den personuppgiftsansvariges orga- nisation. Ett biträde kan vara en servicebyrå som behandlar personuppgifter på uppdrag av ett aktiebolag eller en myndighet. Det följer av 30 § personuppgiftslagen att personuppgiftsbiträdet endast får behandla personuppgifterna enligt givna instruktioner från den person- uppgiftsansvarige. Även om en personuppgiftsansvarig anlitar ett personuppgiftsbiträde är det alltid den personuppgiftsansvarige som har ansvaret gentemot de regi- strerade. Personuppgifts-ansvaret kan inte överlåtas. De personer vars upp- gifter behandlas har alltid rätt att vända sig till den personuppgiftsansvarige och framställa eventuella krav eller klagomål på felaktig behandling av per- sonuppgifter. Det ska enligt 30 § finnas ett skriftligt avtal om personuppgiftsbiträdets behandling av personuppgifter för personuppgiftsansvariges räkning. I av- talet ska det särskilt föreskrivas att personuppgiftsbiträdet bara får behandla personuppgifterna i enlighet med instruktioner från den personuppgiftsan- svarige och att biträdet måste vidta lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifterna. I 31 § andra stycket ställs krav på att den personuppgiftsansvarige skall förvissa sig om att personuppgifts- biträdet kan genomföra de säkerhetsåtgärder som måste vidtas och se till 2 015 /1 6:JO1 O F F E N T L I G H E T O C H S E K R E T E S S S A M T Y T T R A N D E - O C H T R Y C K F R I H E T att personuppgiftsbiträdet verkligen vidtar åtgärderna. Det är den person- uppgiftsansvarige som har ansvaret i förhållande till de registrerade även när ett personuppgiftsbiträde anlitas. föreskrifter (2008:14) om informationshantering och journalföring i hälso- och sjukvården. De rubricerade föreskrifterna är tillämpliga vid vårdgivares behandling av personuppgifter i verksamhet som omfattas av hälso- och sjukvårdslagen (1982:763) m.fl. I föreskrifterna finns regler om vårdgivarens ansvar för hanteringen av patientuppgifter. Vårdgivaren ska enligt 2 kap. 2 § i före- skrifterna ha en dokumenterad informationssäkerhetspolicy och om vårdgi- varen använder öppna nät för överföring av patientuppgifter ska denne en- ligt 2 kap. 5 § i samma föreskrifter ansvara för att överföringen görs så att ingen obehörig kan ta del av uppgifterna och att åtkomst till uppgifterna föregås av stark autentisering. Vårdgivaren ska i sitt avtal med ett personuppgiftsbiträde se till att lämp- liga tekniska och organisatoriska åtgärder vidtas för att skydda de patient- uppgifter som behandlas. Offentlighets- och sekretesslagen (2009:400) gäller som regel inte den som är anställd i ett privaträttsligt objekt. Det är i stället lämpligt att det enskilda företaget sluter avtal med sina anställda om tystnadsplikt eller att en myn- dighet ställer upp förbehåll om att uppgifter som arbetstagare som inte är offentliga funktionärer får kännedom om i sin verksamhet inte får röjas för utomstående. Av patientdatalagen framgår att vårdgivaren är personuppgiftsansvarig för den behandling av personuppgifter som vårdgivaren utför. Enligt person- uppgiftslagen så finns det en möjlighet för den personuppgiftsansvarige, i detta fall vårdgivaren, att anlita ett personuppgiftsbiträde som behandlar personuppgifter för den personuppgiftsansvariges räkning. I det aktuella fallet har de berörda vårdgivarna anlitat företaget som personuppgiftsbiträde. Vårdgivarna har alltså inte lämnat ut personuppgifter utan anlitat Conscriptor att utföra behandling av person- uppgifter åt dem. Vårdgivarna kan inte överlåta sitt personuppgiftsansvar till personuppgiftsbiträde utan har fortsatt ansvar för de uppgifter som per- sonuppgiftsbiträdet hanterar på deras uppdrag. Av personuppgiftslagen följer att vårdgivarna ska föreskriva i avtal med personuppgiftsbiträdet att biträdet är skyldigt att vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behand- las. Det ska till exempel säkerställas att inga obehöriga kan ta del av pati- entuppgifter när personuppgiftsbiträdets personal arbetar med patientupp- gifterna eller lämnar datorn. Det är vårdgivarens ansvar att förvissa sig om att personuppgiftsbiträdets behandling av patientuppgifter är laglig och sker på ett korrekt sätt. Sekretess är grundläggande inom hälso- och sjukvården för att patienter ska kunna känna förtroende för hälso- och sjukvårdspersonal så att han eller hon vågar lämna alla relevanta uppgifter om sitt hälsotillstånd utan risk för att uppgifterna kan bli åtkomliga för obehöriga. Om detta förtroende sviktar kan risker för patientsäkerheten uppstå. De vårdgivare som anlitar Conscriptor för att säkerställa och följa upp att sekretessen beaktas och att nödvändiga säkerhetsåtgärder vidtas hos O F F E N T L I G H E T O C H S E K R E T E S S S A M T Y T T R A N D E - O C H T R Y C K F R I H E T 2 015 /1 6:JO1 Conscriptor har därför ett långtgående ansvar. Vårdgivaren ska även säker- ställa att den personal som personuppgiftsbiträdet anlitar inte röjer för ut- omstående vad de får kännedom vid behandlingen av patientuppgifterna. Detta ansvar ska vårdgivaren fullgöra dels genom en avtalsskrivning där kraven framgår tydligt, dels genom uppföljning av hur företaget hanterar uppgifterna i praktiken. 2.5 Yttrande från Datainspektionen JO begärde även att Datainspektionen skulle yttra sig i frågan om region- ens/överförande av uppgifter om patienter till Conscriptor hade varit förenligt med bestämmelserna om hantering av personuppgifter. I sitt yttrande anförde Datainspektionen bl.a. följande: Hänvisningar nedan avser personuppgiftslagen, om inte annat anges. Enligt 2 § personuppgiftsförordningen (1998:1191) är Datainspektionen tillsynsmyndighet enligt personuppgiftslagen. Primärt ingår det inte i vårt myndighetsuppdrag att ta ställning till om de aktuella vårdgivarna på ett korrekt sätt har tillämpat offentlighets- och sekretesslagen (2009:400) eller andra bestämmelser om sekretess eller tystnadsplikt, när de har överfört patientuppgifter till det aktuella företaget. Att vårdgivarna har tillämpat sådana bestämmelser är dock av avgörande betydelse eftersom en personuppgiftsansvarig alltid ska se till att person- uppgifter behandlas bara om det är lagligt, 9 § första stycket a). En behand- ling av personuppgifter i form av en överföring får därför inte utföras om överföringen är i strid med andra bestämmelser som den personuppgiftsan- svarige ska tillämpa inom sitt verksamhetsområde och som denne får för- utsättas ha kunskap om. Sekretess- och tystnadspliktsbestämmelser är ett exempel på andra bestämmelser som den personuppgiftsansvarige behöver beakta som ett led i frågan om laglighet. Vår översiktliga bedömning är att 10 kap. 2 § offentlighets- och sekre- tesslagen eventuellt kan utgöra en sekretessbrytande bestämmelse som är tillämplig i det här fallet, men det ställningstagandet torde närmast vara en fråga för JO. I ett bredare integritetsperspektiv tror vi att det är värdefullt för vårdgivare och patienter att JO belyser frågan. Några relevanta exempel på dataskyddsbestämmelser Av JO bifogade yttranden är förknippade med möjligheten att anlita ett per- sonuppgiftsbiträde. Vi vill därför framhålla följande. Gällande dataskyddet utgår personuppgiftslagen från att en personupp- giftsansvarig med beaktande av vissa krav kan anlita ett personuppgiftsbi- träde för att behandla personuppgifter för den personuppgiftsansvariges räkning. Enligt 30 § första stycket får den eller de personer som arbetar under personuppgiftsbiträdets eller den personuppgiftsansvariges ledning be- handla personuppgifter bara i enlighet med instruktioner från den person- uppgiftsansvarige. Enligt 30 § andra stycket personuppgiftslagen ska det finnas ett skriftligt avtal där det ska föreskrivas att personuppgiftsbiträdet får behandla personuppgifter bara i enlighet med instruktioner från den per- sonuppgiftsansvarige och att personuppgiftsbiträdet är skyldigt att vidta de åtgärder som avses i 31 § första stycket personuppgiftslagen. Av sist nämnda bestämmelse framgår följande. En personuppgiftsansva- rig ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Dessa åtgärder ska åstadkomma en sä- kerhetsnivå som är lämplig med beaktande av de tekniska möjligheter som 2 015 /1 6:JO1 O F F E N T L I G H E T O C H S E K R E T E S S S A M T Y T T R A N D E - O C H T R Y C K F R I H E T finns, vad det skulle kosta att genomföra åtgärderna, de särskilda risker som finns med behandlingen av personuppgifterna och hur pass känsliga de be- handlade personuppgifterna är. En vårdgivare måste också förvissa sig om att personuppgiftsbiträdet kan genomföra de säkerhetsåtgärder som måste vidtas och se till att person- uppgiftsbiträdet verkligen vidtar säkerhetsåtgärderna. Det framgår av 31 § andra stycket. När det gäller patientdatalagen (2008:355) och patientuppgifter är det viktigt att notera att det finns uttryckliga krav på säkerhetsåtgärder som en vårdgivare ska vidta. Någon bedömning enligt 31 § första stycket person- uppgiftslagen om lämpliga säkerhetsåtgärder behövs således inte i just de fall det finns uttryckliga krav på att vidta säkerhetsåtgärder, jämför med 1 kap. 4 § patientdatalagen. De uttryckliga kraven på säkerhetsåtgärder som typiskt sett blir aktuella för en vårdgivare som överför patientuppgifter till ett personuppgiftsbiträde är •behörighetstilldelning/-styrning, 4 kap. 2 § patientdatalagen och 2 kap. 6 § föreskrifter Informationshantering och journalfö- ring i hälso- och sjukvården SOSFS 2008:14 •åtkomstkontroll, inklusive logguppföljning, 4 kap. 3 § patientdatalagen och 2 kap. 11 § SOSFS 2008:14, samt •stark autentisering och kryptering när patientuppgifter överförs i öppet nät, 2 kap. 5 § första stycket SOSFS 2008:14, ändrad SOSFS 2011:8. I det sammanhang som omfattas av SOSFS 2008:14 avses med patientupp- gifter behandling av patienters personuppgifter, 1 kap. 2 § första stycket SOSFS 2008:14. Med stark autentisering avses autentisering som innebär att identiteten kontrolleras på två olika sätt, 1 kap. 3 § SOSFS 2008:14. Datainspektionen anser att det är särskilt viktigt att en vårdgivare ger sitt personuppgiftsbiträde tydliga instruktioner enligt 30 § andra stycket om de uttryckliga säkerhetsåtgärder som biträdet måste vidta och som är förknip- pade med just det uppdrag som vårdgivaren ger till sitt personuppgiftsbi- träde gällande personuppgiftsbehandling. Tillkommer gör självklart också de säkerhetsåtgärder som bygger på en bedömning enligt 31 § personupp- giftslagen, som beskrivits ovan. På det underlag vi har fått från JO kan vi inte dra några säkra slutsatser om vårdgivarna har levt upp till bestämmelserna i patientdatalagen och per- sonuppgiftslagen. Våra exempel ovan är inte heller uttömmande. Som en del i vårt yttrande bifogar vi en skrivelse och ett beslut i ett till- synsärende där vi tillsynsvis kontrollerat en vårdgivare som låter egna me- dicinska sekreterare utföra arbete inom hälso- och sjukvården från hemmet (Datainspektionens ärende 949-2012). Det är inte fråga om anlitande av ett personuppgiftsbiträde. Ett fokus i tillsynen är 2 kap. 5 § första stycket SOSFS 2008:14. De berörda nämnderna fick tillfälle att kommentera remissvaren från Social- styrelsen och Datainspektionen. Han bifogade en tidningsartikel. I ett beslut anförde JO följande: När uppgifter om patienter inom hälso- och sjukvården journalförs behandlas information om patienterna (personuppgifter) som är mycket känslig ur integri- tetssynpunkt. Inom hälso- och sjukvården skyddas sådana uppgifter genom dels O F F E N T L I G H E T O C H S E K R E T E S S S A M T Y T T R A N D E - O C H T R Y C K F R I H E T 2 015 /1 6:JO1 bestämmelser om sekretess/tystnadsplikt, dels bestämmelser om hur person- uppgifter får behandlas. Bestämmelser om sekretess finns främst i offentlighets- och sekretesslagen (2009:400), OSL. I den lagen regleras bl.a. när en uppgift omfattas av sekretess och när en sådan uppgift kan lämnas ut till en annan myndighet eller till en- skilda, t.ex. ett företag. I OSL regleras också frågan om tystnadsplikt för per- sonal inom den allmänna hälso- och sjukvården. Regler om behandling av personuppgifter (bl.a. journalföring) inom hälso- och sjukvården finns framför allt i patientdatalagen (2008:355) och personupp- giftslagen (1998:204), PuL. Patientdatalagen innehåller särskilda regler om be- handling av personuppgifter inom hälso- och sjukvården, medan det i PuL finns allmänna regler om behandling av personuppgifter. Regleringen innebär att PuL ska tillämpas i sådana fall där frågan inte är reglerad i patientdatalagen, eller i en annan lag eller i en förordning (se 2 § PuL och 1 kap. 4 § patientda- talagen). Vårdgivare måste även beakta bl.a. föreskrifter (SOSFS 2008:14) om informationshantering och journalföring i hälso- och sjukvården. En behandling av personuppgifter är tillåten bara om den är förenlig med reglerna i OSL (jfr 9 § första stycket a PuL, som berörs i Datainspektionens yttrande). En grundläggande förutsättning för en överföring av patientuppgifter för journalföring är således att regelverket om sekretess har beaktats. Inom den allmänna hälso- och sjukvården är det vårdgivaren (inom ett landsting/en region, ofta en nämnd) som ansvarar för att den sekretess som gäl- ler för uppgifter om enskilda patienter upprätthålls. Vårdgivaren är också per- sonuppgiftsansvarig för den behandling av personuppgifter som vårdgivaren utför (2 kap. 6 § patientdatalagen). I det här ärendet aktualiseras frågan om en vårdgivare uppfyller detta ansvar när vårdgivaren anlitar ett företag för hjälp med journalföring av patientupp- gifter. Under utredningen har JO begärt in yttranden från tre vårdgivare som har anlitat samma företag. Utgångspunkten för de avtal som har ingåtts mellan de berörda nämnderna (styrelserna är nämnder i kommunallagens [1991:900] mening) och företaget är att företaget i förhållande till vårdgivaren agerar i egenskap av personuppgiftsbiträde. Ett sådant biträde behandlar personuppgif- ter för den personuppgiftsansvariges (dvs. vårdgivarens) räkning (3 § PuL). Avtalen innebär kortfattat följande. Vårdgivaren anlitar företaget för hjälp med journalföring. Företagets personal (läkarsekreterare) utför den faktiska be- handlingen av personuppgifter som innefattar journalföringen. Vårdgivaren ger läkarsekreterarna behörighet att logga in i vårdgivarens elektroniska journalsy- stem. Inlästa uppgifter (diktat) om patienterna blir därmed tillgängliga för lä- karsekreterarna som lyssnar av diktaten och skriver in uppgifterna i patientens journal. Läkarsekreterarna utför sitt arbete utanför vårdgivarens lokaler, i vissa fall från sitt hem. Såvitt framkommit har vårdgivarna inte någon direkt relation till läkarsekreterarna och vet inte heller vem hos företaget som kommer att journalföra en viss uppgift. Som jag uppfattat saken innebär den tekniska lös- ningen att uppgifterna behandlas enbart elektroniskt och att de inte lagras utanför /regionens it-system. 2 015 /1 6:JO1 O F F E N T L I G H E T O C H S E K R E T E S S S A M T Y T T R A N D E - O C H T R Y C K F R I H E T Min granskning är i första hand inriktad på frågan om det är förenligt med sekretesslagstiftningen att /regionen på detta sätt lämnar ut/överför patientuppgifter till den personal (läkarsekreterare) som är anställd hos person- uppgiftsbiträdet och som utför journalföringen. Jag berör dock även vissa aspekter av regelverket om behandling av personuppgifter som har betydelse i Att regelverket om behandling av personuppgifter, utöver det som framgår i det följande, ställer långtgående krav på framför allt den personuppgiftsan- svarige framgår av yttrandena från och Datainspektionen. vårdgivare som anlitar ett personuppgiftsbiträde för journalföring måste beakta en rad frågor som gäller såväl tekniska som organisatoriska aspekter. styrelsens yttrande finns även en redovisning av kraven på vårdgivarens journalföring i sig. 3.2 Regler om sekretess och tystnadsplikt m.m. 3.2.1 Sekretess inom den allmänna hälso- och sjukvården m.m. Inom den allmänna hälso- och sjukvården gäller sekretess för en uppgift om en enskilds hälsotillstånd eller andra personliga förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men (25 kap. 1 § OSL). Sekretessen gäller både mot enskilda och mot andra myndigheter (8 kap. 1 § OSL). Det s.k. omvända skaderekvisitet som finns i 25 kap. 1 § OSL innebär att uppgifter om en enskilds personliga förhållanden i en patientjournal i princip enbart kan lämnas ut med den enskildes samtycke (10 kap. 1 § OSL) eller med stöd i OSL eller en lag eller förordning som OSL hänvisar till (8 kap. 1 § OSL). När sekretessbelagda uppgifter behandlas inom den allmänna hälso- och sjukvården gäller vidare följande. Av 2 kap. 1 § OSL följer att det är förbjudet för såväl myndigheter som vissa personer (som har tystnadsplikt) att röja uppgifter som är sekretessbelagda en- Ett röjande kan ske muntligen, genom ett utlämnande av en allmän handling eller på något annat sätt (3 kap. 1 § OSL). Av den följande redovisningen kommer det att framgå att vårdgivarens egen personal har tystnadsplikt enligt OSL som omfattar de (sekretessbelagda) upp- gifter om en patient som personalen får reda på (t.ex. i samband med journalfö- En fråga i detta ärende är om personuppgiftsbiträdets personal (läkarsek- reterarna) har tystnadsplikt enligt OSL när de utför journalföring enligt avtalen. I så fall skulle – något förenklat – journalföring enligt avtalen inte innebära att sekretessbelagda uppgifter röjs. Jag uppehåller mig därför i det följande först vid frågan om personalen hos biträdet omfattas av tystnadsplikt enligt OSL och vid vissa närliggande frågor som rör andra former av tystnadsplikt än den som följer av OSL. Därefter redovisar jag vissa sekretessbrytande bestämmelser som innebär att ett utlämnande av en uppgift i vissa fall är möjligt även om uppgiften är sekretessbelagd, och går in på frågan om de är tillämpliga i det här O F F E N T L I G H E T O C H S E K R E T E S S S A M T Y T T R A N D E - O C H T R Y C K F R I H E T 2 015 /1 6:JO1 3.2.2 Bestämmelser om tystnadsplikt för personal inom hälso- och sjukvården m.m. Personal inom såväl den allmänna som den enskilda hälso- och sjukvården om- fattas av bestämmelser om tystnadsplikt. Den som omfattas av en sådan tyst- nadsplikt och som felaktigt röjer en uppgift kan i vissa fall dömas för brott mot tystnadsplikt. Straffbestämmelsen finns i 20 kap. 3 § .