sou · H3B332 · 2015-03-27 00:00:00 — I detta ansvar ingår även ansvaret för hantering av personuppgifter och de verktyg som behövs för den hanteringen. Personuppgiftsansvarig är antingen den som utpekas som ansvarig i lag eller förordning eller som har den verkliga möjligheten att styra över hur uppgifterna hanteras. Eftersom hantering av information är en verksamhetsfråga bör dessa ansvarsområden gå hand i hand. Informationshanteringen inom hälso- och sjukvården ska enligt 1 kap. 2 § patientdatalagen vara organiserad så att den tillgodoser patientens säkerhet och gör det möjligt för vårdgivaren att erbjuda en kostnadseffektiv vård av god kvalitet. I före- skrift (SOSFS 2008:14) om journalföring och informationshan- tering i hälso- och sjukvården finns mer detaljerade krav på hur patientuppgifter ska hanteras och på hur informationssäkerhets- arbetet ska bedrivas. En vårdgivare ska till exempel i sitt lednings- system ha en informationssäkerhetspolicy. Policyn ska säkerställa bland annat att patientuppgifterna i vårdgivarens dokumentation är åtkomliga och användbara för den som är behörig mm. Vårdgivaren ska utse en eller flera personer som ansvarar för informations- säkerhetsarbetet. Denne ska återrapportera sitt arbete till vård- givaren. Vårdgivaren ska också enligt föreskrifterna ha rutiner för hur patientuppgifter ska dokumenteras i journalerna m.m. Kraven på hantering av personuppgifter inom finns i lagen om behandling av personuppgifter inom och i personuppgiftslagen. Utredningen har inspirerats av det norska arbetet med den så kallade (avsnitt 5.3.4). Arbetet syftar till att samla krav och riktlinjer som ska bidra till en tillfredsställande informations- säkerhet i verksamheterna. innefattar även en stöttande verksamhet gentemot hälso- och sjukvård samt socialtjänst och bidrar med vägledning för aktörerna. har utarbetats i samverkan mellan aktörer på olika nivåer och från såväl offentlig som privat sektor. Även i behövs, enligt utredningen, fördjupad samverkan i frågor om informationssäkerhet för att öka kunskapen om regel- verk och för att öka följsamheten till gällande regelverk för infor- mationssäkerhet. skulle kunna utgöra inspiration för en sådan fördjupad samverkan. Det kommer sannolikt att krävas ett arbete att samla reglering och vägledning inom området informa- tionssäkerhet och tillgängliggöra det för användarna på ett sådant sätt att det underlättar tillämpningen och gör den mer enhetlig. Utredningen ser också behov av att förtydliga ansvaret för och roll- fördelningen mellan statliga myndigheter, främst MSB och E- hälsomyndigheten, avseende frågor om informationssäkerhet i hälso- och sjukvården, på öppenvårdsapoteken och i . Den föreslagna förordningen om krav på interoperabilitet och inrättandet av samt övriga föreslagna uppdrag kopplat till förordningen kommer också att spela en central roll för att utveckla och stärka informations- säkerheten. 7.3.5Innovationsarbete och överblick över pågående utvecklingsarbete E-hälsoområdet präglas av innovationskraft. Utredningen menar att det är viktigt att den innovationskraften lever vidare. Utred- ningen har därför ambitionen att förslagen i betänkandet inte ska hämma den innovationskraft som finns hos huvudmän, vårdgivare, professioner, leverantörer och andra aktörer. Innovationskraften, som enligt utredningen är avgörande för utveckling, kommer av behov och nya idéer som ofta uppstår i den dagliga verksamheten. Det finns en spänning mellan å ena sidan innovation och å andra sidan drift, vidmakthållande och vidare- utveckling av befintlig verksamhet. Innovationsarbetet kan inte bedrivas för långt från verksamheten, men krävs det ordning och reda i vidmakthållande och vidareutveckling för att en organisation ska kunna frigöra innovationskraft. drift, vidmakthållande och vidareutveckling av befintlig verksamhet och innovation bör, enligt utredningen, i högre grad än även det ses som en strategisk ledningsfråga för vårdgivare och de som bedriver socialtjänst. Utredningen har under sitt arbete kunnat konstatera att det finns en stor potential i att sprida goda exempel. Många innovativa lösningar har tagits fram runt om i landet men ofta stannar dessa lösningar inom organisationen. Detta ser utredningen som ett till- kortakommande på en mer systematisk nivå. Utredningen anser därför att det bör finnas en struktur som säkerställer att goda exempel och användbara lösningar sprids. Det är till exempel tänk- bart att också utveckla samarbetsformerna mellan exempelvis och samverkansorganisationen kring frågor om innovation och utveckling. För att det ska vara möjligt att goda exempel faktiskt tillämpas måste det, såvitt utredningen kan bedöma, finnas tydliga fastställda regler för interoperabilitet. De förslag som utredningen lägger kommer sannolikt också att ge tillverkare, leverantörer och innova- törer tydligare förutsättningar att arbeta utifrån. Det arbete som huvudmän, vårdgivare och utförare av socialtjänst bedriver avseende kravställning och upphandling av informations- system ger tillfälle att omsätta innovationskraften i form av visio- ner och målsättningar på e-hälsoområdet till praktisk tillämpning i verksamheterna. Tydliga beställarorganisationer med god förank- ring i organisationen och hos professionerna är därför av stor vikt för att åstadkomma ändamålsenliga system för verksamheterna. Upphandlingsarbetets koppling till e-hälsoarbetet på nationell nivå är också viktig för att åstadkomma en utveckling i avsedd riktning. I utredningens kontakter med huvudmän och andra berörda aktörer har det framkommit att beställarnas samverkan med leve- rantörerna i samband med förvaltning, vidare- eller nyutveckling alltför sällan sker med en förankring och hänsyn tagen till det stra- tegiska e-hälsoarbetet. Utveckling av informationssystem i samver- kan med leverantörerna förefaller ske främst mot it-avdelningarna och den operativa verksamheten, medan det strategiska arbetet med informationssystem sker i andra delar av organisationerna. Om utredningens bild stämmer finns det möjlighet att utveckla proces- serna med upphandling av informationssystem så att det arbetet närmar sig det mer strategiska e-hälsoarbetet. Regeringen beslutade att tillsätta en särskild utredare som ska genomföra bildandet av en ny myndighet för upphandlingsstöd, . Myndigheten plan- eras inleda sin verksamhet . Uppdraget eman- erar ur förslag om att samordna det statliga upphandlingsstödet i en ny myndighet.16 Utredningens förslag om och dess beslut om krav på interoperabilitet kommer att göra det tydligare vilka krav som informationssystem i vård och socialtjänst måste upp- fylla. Det torde i sin tur underlätta för huvudmännen i deras arbete med upphandling, inköp, införande och användning av informa- tionssystem. Besluten i nämnden kan också underlätta för huvud- männen att ta det förtydligade ansvar för en ändamålsenlig och säker informationshantering som utredningen föreslår (avsnitt 8). 16 SOU 2013:12, Upphandlingsstödets framtid. 8Förtydligat ansvar för ändamålsenlig och säker behandling av personuppgifter 8.1Uttryckliga krav på ändamålsenlig och säker hantering av personuppgifter i hälso- och sjukvården Utredningens förslag: Patientdatalagen (2008:355) ska komplet- teras med ett avsnitt om huvudmannens och vårdgivarens ansvar för en ändamålsenlig och säker behandling av personuppgifter. För att tydliggöra att patientdatalagen även omfattar en huvud- mans behandling av personuppgifter inom hälso- och sjuk- vården ska detta uttryckas i den bestämmelse som beskriver tillämpningsområdet (1 kap. 1 §). Begreppet huvudman ska för- i definitionsbestämmelsen (1 kap. 3 §). Det nya kapitlet ska innehålla ett bemyndigande till regeringen eller den myndig- het som regeringen bestämmer om att få meddela föreskrifter om krav på informationssystem i hälso- och sjukvården vad gäller säkerhet och ändamålsenlighet vid behandling av person- uppgifter. Även i lagen (2001:454) om behandling av personuppgifter inom och i apoteksdatalagen (2009:367) ska det införas en bestämmelse om det övergripande ansvaret för den som bedriver socialtjänst respektive detaljhandel med läkemedel avseende ändamålsenlig och säker hantering av personuppgifter. Utredningen föreslår även att det i dessa lagar ska införas ett bemyndigande till regeringen eller den myndighet som rege- ringen bestämmer om att få meddela föreskrifter om krav på Förtydligat ansvar för ändamålsenlig och säker behandling av personuppgifter informationssystem i gäller säkerhet och ända- målsenlighet vid behandling av personuppgifter. Utredningen om rätt information i vård och omsorg föreslog i sitt betänkande1 att de föreslagna lagarna; socialtjänstdatalagen och hälso- och sjukvårdsdatalagen, ska innehålla flera bestämmelser om ansvaret för en ändamålsenlig och säker hantering av personupp- gifter. Det handlar både om att se till att uppgifter finns tillgängliga och att uppgifter hanteras så att obehöriga inte kan komma åt dem. I de respektive lagarna föreslås att det ska finnas flera bestämmelser som uttrycker vad som innefattas i detta ansvar för hantering av personuppgifter. En vårdgivare och den som bedriver socialtjänst är ytterst ansva- riga för informationshanteringen och för verksamheten som helhet och ska se till att uppgifterna hanteras på ett sådant sätt att de är tillgängliga för de som behöver uppgifterna i sitt arbete. Själva syftet med dokumentationen går förlorad om uppgifterna inte finns tillgängliga där de behövs, exempelvis för att se till att enskil- das behov tillgodoses. Därför måste de ansvariga vara medvetna om sitt ansvar och arbeta systematiskt med att säkerställa att person- uppgifterna finns tillgängliga i verksamheten. Mot bakgrund av behovet av ett starkt skydd för den personliga integriteten ska även uttryckas ett ansvar för att uppgifter hanteras och förvaras så att inte obehöriga får tillgång till dem och för att överföring av uppgifter görs på ett säkert sätt så att ingen obehörig kan ta del av dem. Utredningen gör bedömningen att förslagen i det här betänk- andet för att åstadkomma en ändamålsenlig och säker inform- ationshantering inom och mellan hälso- och sjukvård och social- tjänst bör genomföras tillsammans med förslagen i betänkandet Rätt information på rätt plats i rätt tid. Förslagen till en ny hälso- och sjukvårdsdatalag och en socialtjänstdatalag som den utred- ningen lämnade ger bättre förutsättningar för att genomföra för- slagen i det här betänkandet på ett effektivt sätt. 1 SOU 2014:23, Rätt information på rätt plats i rätt tid. Förtydligat ansvar för ändamålsenlig och säker behandling av personuppgifter Behovet av att genomföra förslagen i betänkandet SOU 2014:23 gör sig än mer tydliga när det gäller hantering av personuppgifter inom eftersom den rättsliga regleringen av inform- ationshanteringen inom inte är lika omfattande. Utredningen avser inte att lämna förslag till en fullständig reglering av behandling av personuppgifter inom område. Det är därför önskvärt att förslaget till en ny socialtjänstdatalag genom- förs. Utredningen måste dock formulerade egna förslagen med utgångspunkt i gällande rätt. Av det skälet lämnas därför här för- slag till vissa förändringar i nu gällande , i apoteks- datalagen och i lagen om behandling av personuppgifter inom . På grund av behovet av en mer omfattande översyn av hantering av personuppgifter inom , som utred- ningen inte kan hantera i detta uppdrag, lämnar utredningen endast mer begränsade ändringsförslag inom område. Bemyndiganden att meddela föreskrifter Utredningens förslag om bemyndiganden att meddela föreskrifter behandlas i avsnitt 11.4.1. 8.1.2Definition av begreppet huvudman Utredningens förslag: Begreppet huvudman ska definieras i patientdatalagen som den som enligt hälso- och sjukvårdslagen (1982:763) ansvarar för att erbjuda hälso- och sjukvård. Inom en huvudmans geografiska område kan en eller flera vårdgivare bedriva verksamhet. Utredningen föreslår att begreppet huvudman ska definieras i pati- entdatalagen. Utredningens förslag till definition utgår från huvud- männens ansvar, som det är reglerat i nu gällande hälso- och sjuk- vårdslag. Med huvudman i patientdatalagen ska således avse den som enligt hälso- och sjukvårdslagen ansvarar för att erbjuda hälso- och sjukvård. Förtydligat ansvar för ändamålsenlig och säker behandling av personuppgifter Enligt 3 § HSL ska erbjuda en god hälso- och sjuk- vård åt dem som är bosatt i . Huvudmannen har alltså det yttersta ansvaret för att säkerställa att vård erbjuds till i hälso- och sjukvårdslagen angiven personkrets. Vården kan utföras i egen regi, men huvudmannaansvaret innebär ingen skyldighet för huvudmannen att själv bedriva verksamheten, utan driften kan ligga på en fristående vårdgivare (3 § tredje stycket). Inom en huvud- mans geografiska ansvarsområde kan därmed en eller flera vård- givare bedriva verksamhet. Utredningen anser att det underlättar tillämpningen av hälso- och sjukvårdslagstiftningen i allmänhet att skilja mellan landsting- ens och kommunernas ansvar i egenskap av huvudmän för hälso- och sjukvården och deras ansvar som vårdgivare när de faktiskt bedriver hälso- och sjukvård. Eftersom det inte finns några formella hinder för landsting eller kommuner att överlåta all drift av den individinriktade hälso- och sjukvårdsverksamheten på en eller flera enskilda vårdgivare, kan det uppkomma en situation när eller kommunen inte längre bedriver hälso- och sjuk- vård. Eftersom landsting och kommuner i ett sådant läge alltjämt har ett huvudmannaansvar för hälso- och sjukvården och ett behov av att behandla personuppgifter för att fullgöra sitt uppdrag och ta sitt ansvar, bedömer utredningen att patientdatalagen uttryckligen bör omfatta huvudmäns behandling av personuppgifter inom hälso- och sjukvården. 8.1.3Ett förtydligat ansvar för landsting och kommuner i egenskap av huvudmän enligt hälso- och sjukvårdslagen Utredningens förslag: En huvudman ska, genom att ställa krav på och följa upp de vårdgivare som är verksamma inom huvud- mannens ansvarsområde, se till att kraven på ändamålsenlig och säker behandling av personuppgifter som ställs i patientdata- lagen följs. En huvudman ska se till att de vårdgivare som är verksamma inom huvudmannens ansvarsområde, har sådana informations- system som kan användas för ändamålsenligt och säkert utbyte av personuppgifter enligt denna lag. Förtydligat ansvar för ändamålsenlig och säker behandling av personuppgifter Landstingen har enligt hälso- och sjukvårdslagen ansvar på ett övergripande plan för att erbjuda en god hälso- och sjukvård åt dem som är bosatta inom . Vidare ska de som är bosatta i erbjudas en vårdgaranti som försäkrar att den enskilde får kontakt med primärvården (tillgänglighetsgar- anti), besöka läkare inom primärvården (besöksgaranti), besöka den specialiserade vården (besöksgaranti), och planerad vård (behandlingsgaranti). I landstingens planeringsansvar ingår bland annat att planera sin hälso- och sjukvård med utgångspunkt i befolkningens behov av sådan vård. Planeringen ska även avse den hälso- och sjukvård som bedrivs av privata och andra vårdgivare. Kommunens ansvar som huvudman Varje kommun ska erbjuda en god hälso- och sjukvård åt de äldre eller funktionshindrade som efter beslut av kommunen bor i sär- skilt boende. Även i sådan dagverksamhet som avses i 3 kap. 6 § SoL ska kommunen ansvara för hälso- och sjukvård åt dem som vistas i verksamheten. När det gäller hälso- och sjukvård i hemmet (hemsjukvård) ligger det primära ansvaret på landstingen även om kommunerna i 18 § HSL har fått befogenheter att erbjuda dem som vistas i kom- munen hemsjukvård. Landstingen har även möjlighet att, genom en överenskommelse med en kommun, överlåta skyldigheten att erbjuda hemsjukvård. En kommun får även sluta avtal med någon annan, exempelvis en privat vårdgivare, om att utföra de uppgifter som kommunen ansvarar för. Kommunen ska planera sin hälso- och sjukvård med utgångspunkt i befolkningens behov. Planeringen ska även avse den hälso- och sjukvård som erbjuds av privata och andra vårdgivare. Förtydligat ansvar för ändamålsenlig och säker behandling av personuppgifter Huvudmannen har det yttersta ansvaret för att säkerställa att vård erbjuds till i hälso- och sjukvårdslagen angiven personkrets. Vården kan utföras i egen regi, men huvudmannaansvaret innebär ingen skyldighet för huvudmannen att själv bedriva verksamheten, utan driften kan ligga på en fristående vårdgivare. När hälso- och sjukvård bedrivs genom en vårdenhet som är direkt knuten till huvudmannen är både huvudman och vårdgivare, men har olika ansvar i de olika rollerna. I förhållande till de privata aktörerna på vårdområdet är kommunen eller endast huvudman, med visst övergripande ansvar för kommun- medlemmarnas vård men utan bestämmanderätt över vårdgivarens dagliga verksamhet. Huvudmannen har alltså inte någon direkt bestämmanderätt över fristående vårdgivares verksamhet. Enligt 6 kap. 7 § kommu- nallagen (1991:900) har huvudmannen en skyldighet att se till att verksamheten bedrivs i enlighet med uppställda mål och huvud- mannen är också skyldig att se till att den interna kontrollen är tillräcklig samt att verksamheten bedrivs på ett i övrigt tillfreds- ställande sätt. I förarbeten till lagen uttalas att en kommun eller ett landsting som ingår avtal med annan om att utföra en uppgift som annars skulle ha utförts i egen regi, som huvudman har kvar det yttersta ansvaret för verksamheten och ska följa upp och säkerställa att entreprenören uppfyller de bestämmelser som gäller för verk- samheten.2 Kommuner och landsting har således ett ansvar för att genom exempelvis relevanta krav i avtal med utförarna säkerställa att kom- munmedlemmarna får en god vård. Huvudmannaskapet för den enskildes hälso- och sjukvård vilar därmed på den offentlige huvud- mannen, även om denne avtalat med någon annan om att utföra vården. Det offentliga huvudmannaskapet omfattar dock inte ansvar för hälso- och sjukvårdsverksamhet med helt privat finansi- ering som tillhandahålls utan offentligt uppdrag. 1993/94:188, Lokal demokrati, s. 40, beslut i bet. 1993/94:KU40, beslut . Förtydligat ansvar för ändamålsenlig och säker behandling av personuppgifter Mot bakgrund av det ansvar som huvudmannen har för att lands- tingets eller kommunens invånare får god vård anser utredningen att det är rimligt att huvudmannen ansvarar för en fungerande samverkan mellan vårdgivarna inom det egna ansvarsområdet lik- som med andra huvudmän och vårdgivare. En patient ska inte utsättas för sämre kontinuitet i vårdprocessen för att huvudmannen inte bedriver all sjukvård i egen regi. Ifall hälso- och sjukvården inom huvudmannens ansvarsområde bedrivs av flera olika vård- givare måste dessa kunna utbyta information på ett ändamålsenligt och säkert sätt. I samband med att en huvudman sluter avtal med utförare av verksamhet inom sitt område ställer en huvudman krav på informationsöverföring och på de informationssystem som ska användas av utföraren. Utredningen menar att det i huvudmannens ansvar för att upphandla hälso- och sjukvård av rätt kvalitet också ingår ett ansvar för att se till att samverkan och informations- försörjning fungerar för den verksamhet som huvudmannen finan- sierar. Detta innebär att huvudmannen vid upphandlingen måste ställa vissa grundläggande krav på utformningen av de informa- tionssystem som utförarna använder, till exempel med avseende på informationsstruktur, termer och begrepp, tekniska krav för användning, utbyte och återanvändning av information, standarder och säkerhetskrav. Utredningen föreslår mot den här bakgrunden att huvudmannens ansvar för informationshanteringen inom sitt ansvarsområde ska få en uttrycklig reglering i patientdatalagen. Utredningen föreslår att en huvudman ska ställa krav på och följa upp de vårdgivare som är verksamma inom huvudmannens ansvarsområde, och på så sätt se till att kraven på ändamålsenlig och säker behandling av personuppgifter som ställs i patientdata- lagen följs. Utredningen föreslår också att huvudmannens ansvar för att de verksamheter som bedrivs inom ansvarsområdet kan utbyta infor- mation på ett lagligt sätt regleras. Det ska i patientdatalagen uttryckligen ställas krav på att en huvudman ska se till att de infor- mationssystem som används av vårdgivare som är verksamma inom huvudmannens ansvarsområde, kan användas för ändamålsenligt och säkert utbyte av personuppgifter. En patient ska inte riskera att Förtydligat ansvar för ändamålsenlig och säker behandling av personuppgifter få vård av sämre kvalitet beroende på hur en huvudman valt att organisera hälso- och sjukvården. Oavsett om huvudmannen bed- river all vård i egen regi eller om det är flera olika vårdgivare som bedriver verksamheten ska nödvändig information kunna följa pati- enten. Patienten ska helst inte behöva bekymra sig för hur huvud- mannen valt att organisera vårderbjudandet. Utredningen föreslår därför att lagen uttrycker huvudmannens ansvar för att se till att de vårdgivare som är verksamma med huvudmannens finansiering använder informationssystem som kan användas för ändamålsenligt och säkert utbyte av personuppgifter enligt patientdatalagen. 8.1.4Ansvar för att uppgifter är tillgängliga när de behövs Utredningens förslag: Vårdgivaren ska se till att dokumente- rade personuppgifter är tillgängliga för den som arbetar hos en vårdgivare när uppgifterna behövs i och för vården av en patient. Vårdgivaren är ytterst ansvarig för informationshanteringen och för verksamheten som helhet och ska se till att uppgifterna han- teras på ett sådant sätt att de är tillgängliga för de som behöver uppgifterna i sitt arbete inom hälso- och sjukvården och så att de skyddas från obehöriga. Även om det inte föreligger någon tvek- samhet om vårdgivarens ansvar kan det var ett bra stöd vid tillämp- ningen av lagen att också konkret uttrycka vad detta ansvar inne- fattar. Själva syftet med att föra patientjournal går förlorad om uppgifterna inte finns tillgängliga där de behövs. Därför måste vårdgivaren vara medveten om detta ansvar och arbeta systematiskt med att säkerställa att personuppgifterna finns tillgängliga i verk- samheten. Det behöver till exempel finnas väl utarbetade skydd mot avbrott i systemen, reservplaner och robusta rutiner för till- delning av behörigheter och liknande. Att ha tillgång till korrekta och relevanta uppgifter om en pati- ent är en förutsättning för att hälso- och sjukvårdspersonalen ska kunna leva upp till kraven på god och säker vård. Utredningen gör bedömningen att det av tydlighetsskäl är nödvändigt att inte enbart uttrycka kraven på integritetsskyddande åtgärder i lagen. Det är viktigt att betona även tillgänglighetsaspekten. Förtydligat ansvar för ändamålsenlig och säker behandling av personuppgifter 8.1.5Ansvar för att skydda uppgifterna vid överföring via internet m.m. Utredningens förslag: Vårdgivare ska se till att dokumenterade personuppgifter hanteras och förvaras så att obehöriga inte får tillgång till dem. Om internet eller andra jämförliga nät används för att överföra personuppgifter som behandlas enligt hälso- och sjukvårdsdatalagen, ska vårdgivaren se till att överföringen görs så att ingen obehörig kan ta del av uppgifterna. Kravet att vårdgivaren ska se till att obehöriga inte kan ta del av dokumenterade personuppgifter finns även i patientdatalagens syftesbestämmelse i 1 kap. 2 § PDL. Utredningen anser att denna bestämmelse också bör finnas i lagen som en materiell bestämmelse om ansvar för vårdgivaren. Vårdgivaren som har det yttersta ansvaret för att verksamheten bedrivs säkert ur alla aspekter ansvarar också för att se till att dokumenterade personuppgifter hanteras och för- varas så att obehöriga inte kan ta del av dem. Detta gäller men bör enligt utredningens mening få en uttrycklig reglering.