sou · H3B332 · 2015-03-27 00:00:00 — En stark tillsyn inriktad på kvalitet i vård och omsorg behövs jämsides och i nära samarbete med den tillsyn som Data- inspektionen och utövar. Ändamålsenliga it-stöd som används på rätt sätt kan förbättra kvaliteten i hälso- och sjukvården och . Det är därför nödvändigt med en aktiv tillsyn från , Datainspektionen och i syfte att följa hur aktörerna tar sitt ansvar för en säker, ändamålsenlig och effektiv hantering av informationen och de it-stöd som hanterar den. En sådan tillsyn förutsätter också att tillsynsmyndigheterna har ett väl fungerande och nära samarbete. 14 nästa fas i e-hälsoarbetet 4Bättre nationellt stöd till aktörernas informations- säkerhetsarbete En förutsättning för patienternas och brukarnas säkerhet i vård och socialtjänst är att uppgifter om dem hanteras på så sätt att uppgifternas tillgänglighet, riktighet, sekretess och spårbarhet (informationssäker- het) säkerställs. Aktörerna behöver ett bättre nationellt stöd för att kunna ta sitt ansvar för informationssäkerheten. Det kan innebära att de statliga myndigheternas uppdrag på området behöver utvecklas. 4:1 Informationssäkerhet är en ledningsfråga Inom hälso- och sjukvården och måste patient- och brukaruppgifter finnas tillgängliga där de behövs, och den som använder denna information måste kunna lita på att den är korrekt. Därför måste det finnas skydd som hindrar att information försvin- ner och mot att den ändras oavsiktligt eller av någon obehörig per- son. Det kan innebära en allvarlig risk för patienten om vårdgivaren förlitar sig på felaktig information om honom eller henne. Infor- mationssäkerhet i hälso- och sjukvården innebär även att obehöriga personer inte ska kunna få tillgång till patientuppgifter. Ett infor- mationssäkerhetsarbete är således arbetet med att uppnå riktig, tillgänglig, spårbar samt sekretesskyddad information. Motsvarande krav kan ställas när det gäller hantering av uppgifter om enskilda inom . Informationssäkerhetsarbetet ska således, som vi beskrivit ovan, vara en del av de ansvariga aktörernas lednings- system för systematiskt kvalitetsarbete. Det är aktörerna som är ytterst ansvariga för att verksamheten bedrivs på ett ändamålsenligt och säkert sätt. I detta ansvar ingår även ansvaret för hantering av personuppgifter och de verktyg som behövs för den hanteringen. Personuppgiftsansvarig är antingen den som utpekas som ansvarig i lag eller förordning eller som har den verkliga möjligheten att styra över hur uppgifterna hanteras. Eftersom hantering av information är en verksamhetsfråga bör dessa ansvarsområden gå hand i hand. nästa fas i e-hälsoarbetet 15 Informationshanteringen inom hälso- och sjukvården ska enligt 1 kap. 2 § patientdatalagen vara organiserad så att den tillgodoser patientens säkerhet och gör det möjligt för vårdgivaren att erbjuda en kostnadseffektiv vård av god kvalitet. I före- skrifter om informationshantering i hälso- och sjukvården finns mer detaljerade krav på hur patientuppgifter ska hanteras och på hur informationssäkerhetsarbetet ska bedrivas. En vårdgivare ska t.ex. i sitt ledningssystem ha en informationssäkerhetspolicy. Policyn ska säkerställa t.ex. att patientuppgifterna i vårdgivarens dokumentation är åtkomliga och användbara för den som är behörig mm. Vårdgivaren ska utse en eller flera personer som ansvarar för informationssäkerhetsarbetet. Denne ska återrapportera sitt arbete till vårdgivaren. Vårdgivaren ska också enligt föreskrifterna ha ruti- ner för hur patientuppgifter ska dokumenteras i journalerna m.m. Kraven på hantering av personuppgifter inom finns i lagen (2001:454) om behandling av personuppgifter inom social- tjänsten och i personuppgiftslagen. genomförde 2011 tillsyn av sex av landets univer- sitetssjukhus avseende informationssäkerheten. Tillsynen visade att två av sex vårdgivare saknade en informationssäkerhetspolicy. De övriga vårdgivarna hade haft svårt att kommunicera den policy som fanns framtagen på ett sådant sätt att den nådde ut till de med- arbetare som omfattades av den. Få vårdgivare hade arbetat med att informera personalen specifikt om policyn, dess innehåll och var den fanns att tillgå. Vid samtliga sjukhus fanns brister som hade kunnat leda till att patienter kommit till skada. Exempelvis fram- kom att ett journalsystem hade räknat fram fel dos medicin. Vidare att personalen inte hade kunnat läsa eller skriva in uppgifter i jour- nalen på grund av driftstopp. Ett annat exempel på brist var journal- system som inte klarat att snabbt ge en översikt av de uppgifter som krävs för att göra en bedömning av kritiskt sjuka patienter. Resulta- tet pekade på brister i driftsäkerheten beroende på kvalitetsproblem i systemutvecklingen, bristande kontinuitetsplanering samt bristande styrning av informationssäkerhetsarbetet. 16 nästa fas i e-hälsoarbetet 4:2 Stödet för implementering av regelverk behöver förbättras Vi konstaterar att det redan finns viss reglering av de krav på informationssäkerhet som måste ställas på vårdgivare och de som bedriver socialtjänst. Datainspektionen är den myndighet som gran- skar informationssäkerhet med utgångspunkt från skyddet av den enskildes integritet. Utöver bindande regler finns etablerade stan- darder för informationssäkerhet att tillämpa. Det pågår också olika former av stödjande och samordnande arbete kring informations- säkerhetsfrågor. Myndigheten för samhällsskydd och beredskap ger till exempel stöd och vägledning i informationssäkerhetsfrågor och är en samordnande kraft i gruppen av myndigheter som står bakom den nationella handlingsplanen för informationssäkerhet.3 Vi menar att implementeringen av lag och föreskrifter behöver bli bättre. De ansvariga aktörernas samarbete och deras informations- säkerhetsarbete skulle underlättas och effektiviseras av gemensamma och ömsesidiga krav på informationssäkerhet. I finns ett nationellt samarbete om informationssäkerhet till stöd för de ansvariga aktörerna. Den norska för infor- mationssäkerhet i hälso- och sjukvården och är en samling krav och riktlinjer som ska bidra till tillfredsställande informationssäkerhet i verksamheterna och i hela den aktuella samhällssektorn. bidrar till att skapa mekanismer så att verksamheterna kan ha ömsesidig tillit till att behandlingen av personuppgifter görs på en god säkerhetsnivå. ställer krav som specificerar och kompletterar gällande regelverk. har tagits fram av representanter från hälso- och sjukvårds- och social- tjänstsektorn och förvaltas av en särskild styrgrupp. Alla som vill vara anslutna till det norska helsenettet (motsvarande Sjunet) är genom anslutningsavtalet förpliktade att följa . är ensammanställning av lagstiftningens krav på informationssäkerhet, men ställer bland också strängare krav. Det är det norska Helse- direktoratet som är sekretariat för . På webbsida () finns förutom själva en mängd olika stöddokument som riktar sig till olika verksamheter och ansvars- nivåer. Sekretariatet erbjuder även kurser och konferenser. 3I den så kallade SAMFI-gruppen ingår Myndigheten för samhällsskydd och beredskap, Försvars- makten, , , och Rikskriminal- polisen/Säkerhetspolisen. Gruppens och handlingsplanens arbete avser informationssäkerhet i hela samhället. nästa fas i e-hälsoarbetet 17 Vi ser skäl att överväga om en motsvarande modell för gemen- sam överenskomna krav på informationssäkerhet skulle bidra till bättre säkerhet och större ömsesidig tillit även i . Det skulle kunna vara en uppgift för eHälsomyndigheten att tillsammans med ansvariga aktörer ta fram en sådan norm och sedan ansvara för förvaltning, rådgivning och stöd. En sådan norm blir då ytterliga- re ett underlag aktörernas kvalitetsarbete och ett instrument till stöd för den statliga tillsynen. 18 nästa fas i e-hälsoarbetet 5Hur ser behoven av gemensam informationsstruktur ut? Utvecklingsarbete med gemensam informationsstruktur pågår såväl nationellt som lokalt och regionalt, men utförs till stor del i sepa- rata spår. Behoven av gemensam informationsstruktur är särskilt stora för kritisk information, information som alla professioner använder och som behövs för uppföljning och forskning. Mycket arbete pågår på många håll för att åstadkomma strukturerad och entydig informa- tion men målet har inte nåtts. måste tempot höjas och det behövs en tydligare inriktning för det fortsatta arbetet med gemensam informationsstruktur. 5:1 Strukturerad information är viktigt av många skäl Information som skapas och används i hälso- och sjukvård och socialtjänst måste kunna lagras, tillgängliggöras, kompletteras, ut- bytas och återanvändas för exempelvis insatser för enskilda, upp- följning och forskning. En grundläggande förutsättning för detta är att informationen är strukturerad och att termer och begrepp som används är entydiga. I såväl skrivelsen med den nationella it-strategin (Skr. 2005/06:139) som i den nationella e-hälsostrategin och i regeringsuppdrag om nationell informationsstruktur och nationellt fackspråk till har behovet av en ändamåls- enlig och strukturerad dokumentation slagits fast. Strukturerad information och entydiga begrepp beskrivs som avgörande för frågor om bland annat säkerheten för patienter och brukare, utveckling av beslutsstöd och kvaliteten i insatser. Det gemensamma begreppet för nationellt fackspråk och nationell informationsstruktur är ge- mensam informationsstruktur. pågår många arbeten runt om i landet kring strukturering av information och termer och begrepp, men vår bild är att det handlar om lokala eller regionala initiativ som ofta arbetar skilda från varandra. innehåller strukturerad information och definierade termer och begrepp, vilket är en förutsättning för nästa fas i e-hälsoarbetet 19 att registren ska kunna användas för utveckling av vårdens kvali- tet och för forskning. Uppföljning av behandlingar, läkemedel och stödinsatser liksom forskning och kvalitetssäkring innebär behov av att återanvända information, vilket förutsätter en gemensam struktur och entydiga termer och begrepp. Skulle strukturerad information finnas i journaler och socialtjänstdokumentation hade vi sannolikt inte behövt utveckla . Vi tror också att det krävs strukturerad information för att möjliggöra tydligare styrning och samordning av formerna för hur data samlas in och sedan återkopplas till verksamheterna. Det krävs sannolikt också mer samordning mellan inblandade statliga myndigheter och andra aktörer. För oss är stärkt patient- och brukarsäkerhet det främsta argumen- tet för en gemensam informationsstruktur. Vård- och omsorgs- processer blir allt mer komplexa och involverar många professions- företrädare, ofta över vårdgivar- och organisationsgränser och allt oftare i form av team. Detta menar vi ställer krav på att information och dokumentation måste följa patienten eller brukaren, inte vård- och omsorgsgivarnas organisationsgränser. Om informationen och dokumentationen ska kunna följa patienten eller brukaren så menar vi att en grundförutsättning är att det finns en informationsstruk- tur med entydiga termer och begrepp. Vi menar att det är angeläget att nu fokusera på de områden där behoven av gemensam informationsstruktur är störst. Det finns in- formationsmängder som är kritiska och avgörande för patientens eller brukarens säkerhet och där informationen därför måste vara strukturerad och entydig. Det gäller exempelvis information om en individs läkemedel, varningsinformation, information om dosering av läkemedel för olika grupper eller laboratoriesvar. Den här typen av informationsmängder behöver också kunna återanvändas i olika beslutsstöd. Vidare finns det informationsmängder som samtliga professioner i olika utsträckning använder i sina verksamheter och som av det skälet behöver vara entydiga. Det gäller bland annat begrepp som anger tillstånd, organisation, utbud, aktivitet eller ärende. 20 nästa fas i e-hälsoarbetet 5:2 Arbetet med gemensam informationsstruktur behöver gå snabbare Vi har en situation avseende struktur, termer och begrepp där det pågår dels ett antal lokala och regionala projekt, dels ett natio- nellt arbete inom ramen för uppdrag. De olika arbetena bedrivs såvitt vi kan bedöma till stor del i separata spår. De lokala och regionala arbetena med gemensam informationsstruk- tur styrs av lokala och regionala behov i det dagliga arbetet. Detta leder till lokala och regionala lösningar som sällan har koppling till det nationella utvecklingsarbetet som drivs av . Det finns exempel på projekt som drar nytta av det arbete som bedrivs på nationell nivå, men vad vi kan se görs det inte regel- mässigt. har arbetat med regeringsuppdrag om gemensam informationsstruktur . har också ett uttalat nationellt samordningsansvar för gemensam infor- mationsstruktur i både hälso- och sjukvård och socialtjänst. För oss är det oklart hur användbar den gemensamma informationsstruk- turen är för aktörerna och verksamheterna och såvitt vi förstår tillämpas den gemensamma informationsstrukturen endast i liten utsträckning. Vi noterar att även om i särskilda regeringsupp- drag har tilldelats ett nationellt samordningsansvar så innehåller myndighetens instruktion enbart ansvar för termer och begrepp. Vidare har inte alltid fått de resurser man begärt för att kunna fullfölja sitt uppdrag. har börjat förändra sitt arbetssätt och tagit flera initiativ för att underlätta implementering av den gemensamma informationsstrukturen: Ett e-hälsoråd har inrättats, en kommunikationsplan utarbetas, digita- liserat utbildningsmaterial utvecklas och har etable- rat referensgrupper och genomfört ett användarforum. Vi kan konstatera att målet med en gemensam informationsstruk- tur inte har nåtts. måste tempot höjas och det behöver anges en tydligare inriktning för det fortsatta arbetet med gemen- sam informationsstruktur. För att det ska bli möjligt menar vi att det krävs nästa fas i e-hälsoarbetet 21 •en engagerad och kraftfull nationell ledning som kan skapa ett förändringstryck, •lokala ledningar som med kraft kan driva frågor om gemen- sam informationsstruktur i sina egna organisationer, •att professionernas yrkesorganisationer involveras i högre utsträckning , •en stabil och långsiktig finansiering av förvaltningen och den löpande utvecklingen av gemensam informations- struktur på nationell nivå, samt Staten måste vara styrande för att den vägen skapa ett förändrings- tryck. Detta är ingen ny fråga. Redan i den nationella it-strategin 2006 angav regeringen att skulle normera använd- ningen av termer och begrepp, men har ingen sådan nor- mering utarbetats. Vi anser dock att det inte är självklart att just normering är det mest effektiva instrumentet för att införa en gemensam informationsstruktur. Gemensam informationsstruktur är en form av standardisering. är ett antal nationella aktörer involverade i frågor om standardi- sering: (gemensam informationsstruktur samt nor- mering), (tillsyn av medicintekniska produkter), , Swedac (ackrediteringsmyndighet), eHälsomyndigheten (infrastruktur för apoteksområdet), (nationella tjänster och plattformar) och E-delegationen (samord- nande uppdrag). Vi har fått bilden att professionernas yrkesorgani- sationer generellt sett inte involverats aktivt i arbetet med standar- disering. Vi ser också behov av att skapa tydligare förutsättningar för en nationell samsyn när det gäller användning av standarder i vården och . 22 nästa fas i e-hälsoarbetet 6Vilken bör statens roll vara i infrastruktur- och arkitekturfrågor? Ett välkänt problem är att system i vård och socialtjänst inte kan kommunicera med varandra på tillräckligt bra sätt, vilket riskerar patient- och brukarsäkerheten. Staten skulle kunna snabba på den utveckling som redan pågår genom att ställa nationella krav för att säkerställa en grundläggande interoperabilitet. Det är också tänkbart att samordna drift, förvaltning och utveckling av register som finns på flera myndigheter till eHälsomyndigheten. 6:1 Förändrat arbetssätt större utmaning än teknik Ett välkänt problem är att system i vård och socialtjänst inte kan kommunicera med varandra på tillräckligt bra sätt, vilket riskerar patient- och brukarsäkerheten. I hälso- och sjukvården och social- tjänsten finns mängder med system, databaser, moduler, servrar m.m. Varje landsting har hundratals, kanske tusentals, system som kan relateras till vårt uppdrag. Lägg till kommuner, privata och idéburna vård- och omsorgsgivare samt statliga myndigheter så är mängden system i landet närmast oöverskådlig. Detsamma gäller för den hårda infrastrukturen som aktörerna har i form av servrar, serverhallar och databaser som är mycket omfattande och där det sannolikt finns utrymme för rationaliseringar. I den här promemo- rian resonerar vi främst kring den infrastruktur som är gemensam och där det redan pågår nationellt arbete. Frågor om infrastruktur4 och arkitektur5 för system i vården och är komplicerade och mångfacetterade. 4Infrastruktur syftar på de underliggande förutsättningar som krävs för att gränsöverskridande interna och externa tjänster ska kunna byggas. Man brukar skilja mellan hård infrastruktur (hård- vara för tjänster och informationsutbyte) och mjuk infrastruktur (standarder, tekniska plattformar, mjukvara för exempelvis signering och identifiering som ger förutsättningar för andra tjänster etc.). 5Det är ett vedertaget sätt att urskilja fyra dimensioner av arkitektur; 1) Verksamhetsarkitektur: processer, flöden, kedjor, 2) Informationsarkitektur: termer, begrepp, informationsstruktur, 3) Applikationsarkitektur: applikationer, system av olika slag (ekonomi, ärendehantering, kassa- system, receptexpeditionssystem etc.) och 4) Teknikarkitektur: servrar, hård infrastruktur. Säker- het och interoperabilitet är exempel på frågor som skär genom flera dimensioner av arkitektur. nästa fas i e-hälsoarbetet 23 dessa frågor som ett första steg behöver få högre prioritet hos aktörerna. Så här långt i vårt utredningsarbete kan vi konstatera att arkitekturfrågor inte främst handlar om teknik utan snarare om organisation och verksamhetsledning. Arbetet med e-hälsofrågor har utvecklats från att i huvudsak handla om teknisk utveckling till att handla om verksamhetsutveckling med hjälp av it-stöd. Utvecklingen på e-hälsoområdet begränsas inte av teknik. De största utmaningarna handlar om att för- ändra arbetssätt inom hälso- och sjukvård och socialtjänst, ofta på samtliga nivåer i aktörernas organisationer. 6:2 Nationella krav för grundläggande interoperabilitet Statens roll för att snabba på den utveckling som redan pågår skulle kunna vara att ställa krav för att säkerställa en grundläggande interoperabilitet, så att it-stöd i vård och socialtjänst kan kommu- nicera med varandra på bättre sätt. Det handlar om olika typer av nationella krav (tekniska specifikationer, gränssnitt, algoritmer, funktionskrav, informationssäkerhetskrav etc.) som en myndighet (exempelvis eHälsomyndigheten) skulle kunna ställa på aktörerna så att de system, register, databaser m.m. som används i vården och uppfyller åtminstone en miniminivå för en säker och effektiv informationshantering. Vi tror att det utöver nationella krav kan behövas en nationell kom- petensfunktion som kan ge råd och stöd till aktörer inom vård och socialtjänst kring bland annat interoperabilitet och sådana krav som vi nämnt ovan. Stöd och vägledning kan här bidra till en bättre implementering av sådana nationella krav på grundläggande inter- operabilitet. En sådan kompetensfunktion skulle kunna finnas på eHälsomyndigheten. Med koppling till en sådan kompetens- funktion noterar vi att regeringen har lämnat förslag till en samlad kunskapsstyrning för hälso- och sjukvård och socialtjänst, som bland annat syftar till ett bättre statligt stöd till implementering av kunskap i verksamheterna. Enligt förslaget ska ett kunskapsstyr- ningsråd under ledning av inrättas. I rådet ska åtta myndigheter (däribland eHälsomyndigheten) ingå. En rådgivande huvudmannagrupp föreslås också liksom tydligare kommunikation och fördjupad myndighetssamverkan, exempelvis i form av en myn- dighetsgemensam författningssamling.6 6 Mer underlag finns i DS 2014:9, En samlad kunskapsstyrning för hälso- och sjukvård och socialtjänst. 24 nästa fas i e-hälsoarbetet Grundläggande krav på interoperabilitet ingår redan i olika ramverk på bland annat EU-nivå. I är det främst E-delegationen som inom ramen för sitt tillfälliga samordnande uppdrag driver frågorna, med fokus på statlig förvaltning. Det landstingsägda bolaget är den aktör som i praktiken anger den här typen av krav för hälso- och sjukvård och socialtjänst . 6:3 Nationella krav på grundläggande infrastruktur I hälso- och sjukvården och finns viss infrastruktur som är grundläggande. Det handlar främst om det gemensamma hälso- och sjukvårdsnätet, Sjunet, den nationella tjänsteplattfor- men, , SITHS och säkerhetstjänsterna som förvaltas och utvecklas av . I vårt arbete stöter vi ofta på uppfattningen att staten (eHälsomyndigheten) bör ta över ansvaret för drift, förvaltning och utveckling av denna infrastruktur. I denna uppgift skulle då även ingå att ställa upp de krav på teknik, infor- mationssäkerhet m.m. som gäller vid anslutning till dessa tjänster. är det aktörerna som äger som ställer den här typen av krav. Om en statlig myndighet skulle ställa sådana krav på aktörerna så ser vi en möjlighet att skapa en tydligare nationell kravstruktur där samtliga aktörer (alltså inte bara landstingen utan även kom- muner och privata samt idéburna vård- och omsorgsgivare) ingår. Vi ser dock ett antal komplicerade frågeställningar som måste lösas för att åstadkomma en utveckling i den här riktningen. Det gäller juridiska frågor om ansvaret och inte minst frågor om utformning- en av en framtida modell för finansiering. 6:4 Kritisk information bör vara nationellt tillgänglig Sådan kritisk information som vi beskrivit i avsnitt 5.1 är avgörande för kvaliteten och säkerheten i vårdens och insatser för patienter och brukare. Informationen skapas i verksamheterna men vi menar att det är av stor vikt att sådan information finns tillgänglig i realtid för alla aktörer och att informationen alltid är komplett och korrekt. nästa fas i e-hälsoarbetet 25 Vi menar att staten, förslagsvis eHälsomyndigheten, därför bör ansvara för att informationskällor med kritisk information alltid finns tillgängliga och för att ställa upp de krav på exempelvis teknik och informationssäkerhet som aktörerna som tar del av informa- tionen i källorna måste uppfylla. Detta kräver fortsatt utredning av vilken information som är kritisk och av vilka krav som är nöd- vändiga att ställa upp. Vår uppfattning är att staten har ett ansvar för att tillgängliggöra sådan kritisk information, men det är inte samma sak som att staten också bör tillhandahålla de system, applikationer eller beslutsstöds- system som kan användas för att tillgängliggöra den kritiska infor- mationen. Vi ser här ett antal principiella frågeställningar kring vad statens roll bör och inte bör vara när det gäller besluts- och kun- skapsstöd. Vi avser att återkomma till dessa frågeställningar i vårt slutbetänkande. 6:5 Samordning av statliga myndigheters register Flera statliga myndigheter, däribland , Läkemedels- verket och , ansvarar för olika register inom hälso- och sjukvården och . Deras ansvar omfattar både innehållet i registren och drift, förvaltning och teknisk utveckling av dem. Vi ser nu att flera myn- digheter, däribland och , pekar på behov av it-investeringar i sina respektive register. eHälsomyndigheten har bildats som en infrastrukturmyndighet för vård och omsorg. Det är därför tänkbart att eHälsomyndigheten övertar ansvaret för drift, förvaltning och teknisk utveckling från berörda statliga kunskapsmyndigheter medan dessa myndigheter behåller ansvaret för innehållet i registren. En sådan hantering av registren skulle kunna innebära rationaliseringar, exempelvis när det gäller former för aktörernas inrapportering till registren. 26 nästa fas i e-hälsoarbetet för hantering av uppgifter om ordinerade läkemedel