sou · H3B332 · 2015-03-27 00:00:00 — Ansvaret innebär bland annat att vårdgivaren måste se till att de informationssystem som används i verksamheten är skyddade mot obehörig åtkomst och att det finns bra system för tilldelning av behörighet och för åtkomstkontroll. Bestämmelsen syftar till att skydda uppgifterna från otillåten spridning såväl inom som utom verksamheten. Överföring av personuppgifter över internet eller andra jämförliga nät kommuniceras personuppgifter allt mer över internet eller andra jämförliga nät. Det kan handla både om sådan mer intern informationsöverföring som görs mellan olika delar av en vård- givares verksamhet och om sådan överföring som görs till mot- tagare utanför den egna vårdgivarens organisation. Som exempel på det senare kan nämnas sådant informationsutbyte som görs med stöd av de regler om direktåtkomst som föreslås längre fram. Ett annat exempel kan vara överföring av uppgifter om den enskilde till den enskilde själv. Förtydligat ansvar för ändamålsenlig och säker behandling av personuppgifter Internet är ett exempel på vad som i allmänhet brukar betraktas som ett öppet nät. Som ett annat sådant exempel anges ofta även Sjunet (avsnitt 5.2.7), som är ett nät med många anslutna kunder som exempelvis samtliga landsting, ett antal kommuner, ett antal privata vårdgivare samt , och ett antal lever- antörer. Av utredningens förslag följer särskilda krav på säkerhets- åtgärder vid överföring av personuppgifter över internet eller andra jämförliga nät. Med andra jämförliga nät avser utredningen sådana öppna nät som kan jämföras med internet. Det finns dock ingen legaldefinition av begreppet öppet nät. Datainspektionen har dock i ett ärende3 uttalat följande av intresse i sammanhanget: Avgörande för frågan om ett intranät är ett öppet nät är hur det är konfigurerat, vilka och hur många som trafikerar nätet och kan ta del av resurser anslutna till nätet samt hur god säkerheten i övrigt är för nätverket. Ett öppet nät kan sägas karaktäriseras av att fler än den per- sonuppgiftsansvarige kan ta del av uppgifter som kommuniceras i nätet eller nå resurser som är tillgängliga via det. Det är enligt utredningens bedömning inte möjligt att i patient- datalagen definiera öppna nät eller närmare precisera vad som avses med andra jämförliga nät. Utredningen bedömer dock att vägled- ning för tillämpningen kan hämtas ur Datainspektionens uttalande ovan. Vårdgivare i hälso- och sjukvården behöver därför göra en bedömning av om de nät, utöver internet, som används för över- föring av personuppgifter är sådana som, exempelvis beroende på hur de är konfigurerade och om flera personuppgiftsansvariga kan ta del av uppgifter som kommuniceras i nätet, är att betrakta som sådana andra jämförliga nät som avses i den föreslagna bestäm- melsen. I jämförelse med helt verksamhetsintern informationshantering, till exempel på interna nätverk som inte är exponerade mot internet och där inga andra personuppgiftsansvariga använder samma nät, kan särskilda risker uppstå när uppgifter överförs över internet. Av den anledningen är det nödvändigt att vidta särskilda säkerhets- åtgärder för att skydda uppgifterna och minska risken för att obehöriga personer kan få tillgång till informationen. Vid en bedömning av vilka åtgärder som bör vidtas och karaktären på dessa ska bland annat hänsyn tas till hur pass känsliga personupp- 3 Datainspektionen, dnr. Förtydligat ansvar för ändamålsenlig och säker behandling av personuppgifter gifter det rör sig om. Enligt personuppgiftslagen gäller särskilda begränsningar för behandling av så kallade känsliga personuppgifter som avslöjar etniskt ursprung, politiska åsikter, religiös eller filoso- fisk övertygelse, medlemskap i fackförening samt uppgifter som rör hälsa eller sexualliv. Om sådana personuppgifter överförs via internet eller andra jämförliga nät måste den personuppgiftsan- svarige vidta särskilda åtgärder för att skydda uppgifterna. Även andra personuppgifter, som i och för sig inte omfattas av uppräkningen av de känsliga personuppgifterna i 13 § PUL, kan naturligtvis också vara så integritetskänsliga att även de kräver mer omfattande säkerhetsåtgärder, till exempel uppgifter om lagöver- trädelser enligt 21 § PUL. Omständigheter som kan peka på att upp- gifterna är mer integritetskänsliga är exempelvis om uppgifterna omfattas av tystnadsplikt eller sekretess, om behandlingen omfattas av en särskild registerlagstiftning eller om uppgifterna rör enskildas personliga förhållanden. Mot bakgrund av ovanstående kan utredningen konstatera att uppgifter inom hälso- och sjukvården i det närmaste uteslutande är att betrakta som känsliga enligt 13 § PUL, eftersom uppgifterna rör enskildas hälsa. Uppgifterna ska därmed skyddas på ett särskilt sätt vid överföring över till exempel internet. När det gäller de närmare kraven på säkerhetsåtgärder har Data- inspektionen i sin tillämpning av 31 § PUL slagit fast att känsliga personuppgifter får lämnas ut via öppna nät (som inter- net) endast till identifierade användare vars identitet är säkerställd med en teknisk funktion som asymmetrisk kryptering (till exempel e-legitimation, avsnitt 5.2.3), engångslösenord eller motsvarande. I praxis har även termen stark autentisering använts för att beskriva detta. Dessutom ska, enligt samma praxis, känsliga personuppgifter vara krypterade vid överföring. För hälso- och sjukvårdens del uttrycks detta, i princip, genom bestämmelser i föreskrifter (SOSFS 2008:14) om informationshantering och journalföring i hälso- och sjukvården. Av 2 kap. 5 § nämnda föreskrifter följer att vårdgivare som använder öppna nät för att hantera patientuppgifter ska ansvara för att det i ledningssystemet finns rutiner som säkerställer att överföringen av patientuppgifter görs på ett sådant sätt att ingen obehörig kan ta del av uppgifterna och att åtkomst till patientuppgifter föregås av stark autentisering. Förtydligat ansvar för ändamålsenlig och säker behandling av personuppgifter Några bestämmelser om detta finns dock inte i patientdatalagen. Utredningen bedömer att detta är en inte helt tillfredsställande lös- ning med avseende på den omfattande behandling av känsliga per- sonuppgifter som görs inom hälso- och sjukvården. Vidare är utredningens utgångspunkt att patientdatalagen ska vara så uttöm- mande som möjligt ifråga om de integritetsskyddsbestämmelser som det bedöms finnas särskilt behov av för hälso- och sjukvårdens del. Därför anser utredningen att det i det nya kapitlet i patient- datalagen bör tas in en grundläggande bestämmelse som tydliggör kravet på särskilda säkerhetsåtgärder vid överföring av personupp- gifter över internet eller andra jämförliga nät. Sammantaget föreslår utredningen således att det i patientdata- lagen ska tas in en bestämmelse som tydliggör kraven på säkerhets- åtgärder vid överföring av personuppgifter över internet eller andra jämförliga nät. Om vårdgivare använder internet eller andra jäm- förliga nät för att överföra personuppgifter som behandlas enligt patientdatalagen, ska denne se till att överföringen görs så att ingen obehörig kan ta del av uppgifterna. Det innebär i praktiken att uppgifterna måste överföras genom en krypterad förbindelse eller genom att uppgifterna i sig krypteras. 8.1.6Ansvar för informationssystemens utformning Utredningens förslag: En vårdgivare ska se till att de inform- ationssystem som behandlar personuppgifter är lätta att använda, stödjer det kliniska arbetet, underlättar arbetet med kvalitetsut- veckling, underlättar samverkan och utbyte av uppgifter samt är utformade på sådant sätt att patienternas integritetsskydd till- godoses. Vårdgivaren har ett yttersta ansvar för informationshanteringen och för verksamheten som helhet. Av hälso- och sjukvårdslagen följer att hälso- och sjukvården ska vara av god kvalitet och att det ska finnas den personal, de lokaler och den utrustning som behövs för att god vård ska kunna ges. Vidare är vårdgivaren skyldig att systematiskt och fortlöpande utveckla och säkra kvaliteten i verk- samheten. I föreskrifter och allmänna råd (SOSFS 2011:9) om ledningssystem för systematiskt kvalitetsarbete finns Förtydligat ansvar för ändamålsenlig och säker behandling av personuppgifter bestämmelser om hur detta kvalitetsarbete ska bedrivas. Tanken är att vårdgivaren med hjälp av processer och rutiner samt ett syste- matiskt förbättringsarbete ska uppnå kvalitet i verksamheten. Det systematiska förbättringsarbetet ska bestå av riskanalys, egenkon- troll och hantering av avvikelser. Svensk sjukvård har en hög datoriseringsgrad. Till exempel har i princip alla landsting elektroniska informationssys- tem för all vårddokumentation. Trots detta anser professionernas företrädare att huvuddelen av informationssystemen inte ger det stöd i arbetet som behövs för att bedriva en effektiv och säker verksamhet.4 Ett informationssystem bör stödja yrkesutövaren i arbetssituationen. Systemet bör till exempel underlätta för profes- sionerna att göra rätt och förhindra dem att göra fel både i systemet och vid utförandet av vårdinsatserna. Ett användarvänligt informa- tionssystem kan öka vård- och omsorgskvaliteten för vårdtagare och personal samt minska kostnaderna för vårdgivaren. Utredningen föreslår en bestämmelse som konkretiserar några av de grundläggande krav som måste ställas på ett informations- system som innehåller personuppgifter och som ska användas i och för vården av en patient. Vårdgivaren är ytterst ansvarig för att en god och säker vård ges och för hanteringen av personuppgifter i verksamheten. I detta ligger även ett ansvar för att kravställa och upphandla informationssystem som är ändamålsenliga, säkra och kan användas som stöd i arbetet. Utredningen föreslår att bestämmelsen ställer ett uttryckligt krav på vårdgivaren att se till att de informationssystem som inne- håller personuppgifter är lätta att använda och stödjer det kliniska arbetet. Detta krav finns även uttryckt som ett av målen i strategin Nationell eHälsa: Vård- och omsorgspersonal ska ha tillgång till välfungerande och sam- verkande elektroniska beslutsstöd som säkerställer en hög kvalitet och säkerhet som det underlättar deras dagliga arbete. Nöd- vändig och strukturerad information ska finnas tillgänglig som under- lag för beslut om insatser och behandlingar.5 , , , Svenska Läkare- sällskapet och (2013), Störande eller stödjande? Om eHälsosystemens använd- barhet 2013. 5Nationell e-hälsa – strategin för tillgänglig och säker information inom vård och omsorg. Förtydligat ansvar för ändamålsenlig och säker behandling av personuppgifter Utredningen föreslår också att bestämmelsen ska omfatta krav på vårdgivaren att se till att informationssystemen underlättar kvali- tetsarbetet. Vårdgivare fullgör sitt ansvar för att systematiskt och fortlöpande säkra och utveckla kvaliteten i verksamheten genom en antal olika aktiviteter, som alla tillsammans bidrar till en över- gripande systematik och en struktur för ledning av kvalitetsarbetet. Att ta del av personuppgifter för att säkra och följa upp hälso- och sjukvårdens resultat är endast en av många saker som görs inom ramen för det systematiska kvalitetsarbetet. Informationssystemen måste vara uppbyggda så att det är möjligt att använda person- uppgifter för att fortlöpande och systematiskt utveckla och säkra kvaliteten i verksamheten. Utredningen vill i sammanhanget även poängtera vikten av att informationssystemen utformas på ett sådant sätt att den enskildes behov av integritetsskydd tas tillvara vid kvalitetsarbetet. Bland annat måste vårdgivare verka för att inte fler personuppgifter än vad som är nödvändigt med hänsyn till ändamålet används vid kvalitets- arbetet. Informationssystemen kan därför, bland annat, behöva utformas så att användaren inte exponeras för fler personuppgifter än vad som är nödvändigt och att sammanställningar och andra underlag som tas fram vid kvalitetsarbetet inte innehåller person- uppgifter som är direkt hänförliga till enskilda individer. Utredningen föreslår även att vårdgivarens ansvar för att syste- men ska möjliggöra samverkan med andra enheter, verksamheter och vårdgivare och utbyte av uppgifter uttrycks i bestämmelsen. För att lyckas med detta måste vårdgivaren arbeta med informa- tionssystemens struktur och innehåll. Vårdgivaren kan i detta arbete exempelvis få stöd av arbete med en gemen- sam informationsstruktur (avsnitt 5.2.1 och avsnitt 9). Vidare innebär det övergripande ansvaret för de informations- system som innehåller personuppgifter, enligt utredningens förslag, också ett krav på att utforma systemen på ett sådant sätt att integri- tetsskyddet tillgodoses. Att direkt i verksamhetssystemen bygga in integritetsskyddande funktioner som för personalen gör det lätt att göra rätt och svårt att göra fel, har stora fördelar. Att implementera integritetsskydd i teknik ger ökade förutsättningar för ett starkt integritetsskydd. Bestämmelsen uttrycker ett samlat ansvar för vårdgivaren för flera aspekter av informationssäkerhet vid behand- Förtydligat ansvar för ändamålsenlig och säker behandling av personuppgifter ling av personuppgifter i hälso- och sjukvården. Det är alltså ett ansvar för att lagens intentioner ska kunna genomföras. 8.2Uttryckliga krav på ändamålsenlig och säker hantering av personuppgifter på öppenvårdsapoteken Utredningens förslag: I apoteksdatalagen ska det införas en bestämmelse som ställer krav på tillståndshavaren att se till att de informationssystem, som innehåller personuppgifter, är lätta att använda, stödjer arbetet i detaljhandeln med läkemedel, under- lättar arbetet med att utveckla kvaliteten i verksamheten, under- lättar samverkan och utbyte av uppgifter, och är utformade på ett sådant sätt att de enskildas integritetsskydd tillgodoses. Utredningen anser att det är angeläget att apoteksdatalagens reg- lering innefattar såväl höga krav på säkerhet och ett starkt inte- gritetsskydd för den enskilde som krav på att uppgifterna kan behandlas på ett sätt som är till nytta för den enskilde. Det är där- för av stor vikt att det i lagen finns tydliga regler för hur person- uppgifterna får användas och hur de ska skyddas. I förarbetena till apoteksdatalagen uttryckte regeringen att det är ett viktigt allmänintresse att öppenvårdsapoteken på ett rat- ionellt och effektivt sätt kan fullgöra de uppgifter som åligger dem. Förslaget till apoteksdatalag skulle därför enligt regeringen avspe- gla en rimlig avvägning mellan samhällets och öppenvårdsapotekens behov och den enskildes berättigade anspråk på skydd för sin per- sonliga integritet.6 Utredningen föreslår att det även i apoteksdatalagen ska införas en bestämmelse om det övergripande ansvaret för tillståndshavaren avseende ändamålsenlig och säker hantering av personuppgifter. Utredningen hänvisar till föregående avsnitt beträffande behovet av en reglering av en ansvarig aktörs ansvar för behandling av person- uppgifter inom den del av hälso- och sjukvården som öppenvårds- apoteken utgör. 2008/09:145, Omreglering av apoteksmarknaden, s. 335 ff, beslut i bet. 2008/09:SOU21, rskr. 2008/09:226. Förtydligat ansvar för ändamålsenlig och säker behandling av personuppgifter I apoteksdatalagen finns ett avsnitt med krav på behandling, hantering och förvaring av personuppgifter. Enligt 4 § ska person- uppgifter behandlas så att den enskildes integritet respekteras. Dokumenterade personuppgifter ska hanteras och förvaras så att obehöriga inte får tillgång till dem. Utredningen föreslår att detta avsnitt i apoteksdatalagen utvecklas med krav på ändamålsenlighet och säkerhet vid behandling av personuppgifter på öppenvårds- apoteken, på motsvarande sätt som i utredningens förslag till ändring i patientdatalagen. 8.3Uttryckliga krav på ändamålsenlig och säker hantering av personuppgifter inom Utredningens förslag: I lagen om behandling av personupp- gifter inom ska anges att den som bedriver verk- samhet inom ska se till att de informationssystem som innehåller personuppgifter är lätta att använda, stödjer arbete i , underlättar arbetet med kvalitetsutveck- ling, underlättar samverkan och utbyte av uppgifter samt är utformade på sådant sätt att de enskildas integritetsskydd till- godoses. Dokumentationen i är i allmänhet av mer integritets- känslig karaktär än information i många andra sammanhang. Informationen rör inte sällan enskildas privata förhållanden om sådant som exempelvis hälsa och sociala och ekonomiska förhål- landen. Av hänsyn till behovet av skydd för den personliga integri- teten är det därför nödvändigt att de uppgifter om enskilda som dokumenteras i hanteras på ett säkert och ändamåls- enligt sätt. Det handlar även om att inte äventyra enskildas för- troende för informationshantering. behöver uppgifter kunna användas på ett ändamåls- enligt sätt som leder till att den enskilde får sina behov tillgodo- sedda. Dokumenterade personuppgifter behöver därför hanteras på ett sätt som gör att behovet av integritetsskydd kan tillgodoses som verksamheten ges förutsättningar att skapa bästa möjliga resultat för enskilda individer. Förtydligat ansvar för ändamålsenlig och säker behandling av personuppgifter Själva syftet med att dokumentera handläggningen av ärenden och genomförandet av beslut i går förlorad om upp- gifterna inte finns tillgängliga när det behövs. Därför måste den som bedriver verksamheten vara medveten om detta ansvar och arbeta systematiskt med att säkerställa att personuppgifterna finns tillgängliga i verksamheten. Det behöver till exempel finnas väl utarbetade skydd mot avbrott i systemen, reservplaner och robusta rutiner för tilldelning av behörigheter. Ytterst är det fråga om rättsäkerhet för den enskilde att personal inom som till exempel fattar beslut eller genomför insatser har tillgängliga och aktuella uppgifter för att kunna utföra insatser inom socialtjänst av god kvalitet. Att ha tillgång till upp- daterade uppgifter om en enskild och övrigt underlag är en förut- sättning för att personal ska kunna leva upp till socialtjänstlagens grundläggande krav på att insatserna inom ska vara av god kvalitet. Mot denna bakgrund föreslår utredningen att det införs en ny bestämmelse i lagen om behandling av personuppgifter som uttrycker ansvaret för att rätt information faktiskt finns tillgängliga för rätt personer inom så att kraven på god kvalitet och rättssäkerhet kan tillgodoses. Som konstaterades av Utredningen om rätt information i vård och omsorg i betänkandet SOU 2014:23 har den tekniska utveck- lingen i vissa delar inte kommit lika långt inom som inom hälso- och sjukvården och det förekommer fortfarande en del informationshantering inom . Utredningens bedömning är dock att det pågår en hel del utvecklingsarbeten för att förbättra informationshanteringen, både lokalt och regionalt och nationellt inom ramen för bland annat Kommuner och Landsting och . I många kom- muner och hos enskilda utövare av socialtjänst finns ett informa- tionssystem för den dokumentation som görs inom verksamheten. Ett informationssystem bör stödja yrkesutövaren i arbetssitua- tionen. Systemet bör till exempel underlätta för yrkesutövaren att göra rätt och förhindra att fel görs både i systemet och vid utför- andet av insatserna inom . Ett användarvänligt infor- mationssystem kan öka kvaliteten för enskilda och för personal samt minska kostnaderna för den som bedriver verksamhet inom . Förtydligat ansvar för ändamålsenlig och säker behandling av personuppgifter Utredningen föreslår därför att den nya bestämmelsen i lagen om behandling av personuppgifter inom konkreti- serar några av de grundläggande krav som måste ställas på ett informationssystem som innehåller personuppgifter och som ska användas inom . Den som bedriver verksamhet inom ansvarar för att insatser inom är av god kvalitet och för hanteringen av personuppgifter i verksamheten. I detta ligger även ett ansvar för att ställa krav på och i förekom- mande fall upphandla informationssystem som är ändamålsenliga, säkra och kan användas som stöd i arbetet. Utredningen föreslår att bestämmelsen ställer ett uttryckligt krav på att den som bedriver verksamhet inom ska se till att de informationssystem som innehåller personuppgifter är lätta att använda och är ett stöd i det dagliga arbetet. Utredningen föreslår också att bestämmelsen ska omfatta krav på den som bedriver verksamhet inom att se till att informationssystemen underlättar kvalitetetsarbetet. Att ta del av personuppgifter för att säkra och följa upp resultatet av insatser inom är endast en av många saker som görs inom ramen för det systematiska kvalitetsarbetet.7 En av flera förutsättningar för att kunna ta tillvara de möjlighet- erna handlar om informationssystemens utformning. Enligt utred- ningens bedömning bör informationssystemen bland annat vara uppbyggda så att det är möjligt att använda personuppgifter för att fortlöpande och systematiskt utveckla och säkra kvaliteten i verk- samheten. Utredningen föreslår även att den som bedriver verksamhet inom ska ansvara för att systemen möjliggör samver- kan med andra enheter och verksamheter och andra som bedriver verksamhet inom samt möjliggör utbyte av uppgifter. För att lyckas med detta måste den som bedriver verksamhet inom arbeta med informationssystemens struktur och innehåll. Vidare innebär det övergripande ansvaret för de informations- system som innehåller personuppgifter, enligt utredningens förslag, ett krav på att utforma systemen på ett sådant sätt att integritets- skyddet tillgodoses. Att direkt i verksamhetssystemen bygga in SOU 2014:23, Rätt information på rätt plats i rätt tid, s. 751 ff. Förtydligat ansvar för ändamålsenlig och säker behandling av personuppgifter integritetsskyddande funktioner som för personalen gör det lätt att göra rätt och svårt att göra fel, har stora fördelar. Att implementera integritetsskydd i teknik ger ökade förutsättningar för ett starkt integritetsskydd. Bestämmelsen uttrycker ett samlat ansvar för den som bedriver verksamhet inom för flera aspekter av informationssäkerhet vid behandlingen av personuppgifter i social- tjänsten. 9Tillämpning av en gemensam informationsstruktur m.m. 9.1Vikten av strukturerad information Informationsstruktur, terminologier, standarder, interoperabilitet och andra förutsättningar för en strukturerad information har varit prioriterade frågor på såväl nationell som regional och lokal nivå –2005. Det arbetet resulterade i den första nationella it- strategin för vård och omsorg och därefter 2010 i den nationella e- hälsostrategin (avsnitt 5.1.1). Gemensam informationsstruktur är ett medel för att strukturera och koda kunskap i maskinläsbar form. Utredningens bedömning är att det finns behov av att åstadkomma strukturerad och entydig information inom i princip alla delar av hälso- och sjukvården och , av flera skäl. Det är nödvändigt för att åstadkomma ökad interoperabilitet mellan informationssystem och för att infor- mation ska kunna utbytas, användas och återanvändas i beslutsstöd eller för uppföljning och forskning. har enligt sin instruktion bland annat ansvar för att verka för att hälso- och sjukvården och bedrivs enligt vetenskap och beprövad erfarenhet, för kunskapsutveckling och kunskapsförmedling inom sitt verksamhetsområde samt för att skapa och tillhandahålla enhetliga begrepp, termer och klassifika- tioner inom sitt verksamhetsområde.1 Enligt utredningens bedömning faller arbetet med kodverket för ordinationsorsak och kodverket för laboratoriemedicinska analyser med inriktning på utveckling och förvaltning av innehållet in under 1 3 § förordningen (2009:1243) med instruktion för . Tillämpning av en gemensam informationsstruktur m.m. dessa befintliga instruktionsuppdrag. Detta arbete kan också hän- föras till den gemensamma informationsstrukturen. Utredningens bild är att de lokala och regionala arbetena med gemensam informationsstruktur som pågår (avsnitt 5.4) främst styrs av lokala och regionala behov i det dagliga arbetet.