sou · H3B332 · 2015-03-27 00:00:00 — Undantaget är när en lag pekar på att en viss standard ska användas. Då kan standarden beskrivas som obligatorisk. En obligatorisk standard kan vara såväl formell som en de facto-standard, det vill säga en etablerad men inte formellt fastställd standard. Öppen standard är detsamma som formell standard. Öppen syftar antingen på att den formella standarden rent allmänt är mer öppen än en proprietär leverantörsstandard eller på att formella standarder utvecklas och görs öppet tillgängliga. Öppenhet är viktigt också i beslutsprocessen. Det är genom en transparent och samarbets- grundad beslutsprocess som involverar berörda intressenter som en standard kan beslutas.3 Även om en standard kan användas utan kostnad innebär det inte att den är gratis. En aktör som vill medverka i framtagandet av en standard i måste till exempel bli medlem i en av SIS kommittéer. Medlemskapet innebär en begränsad kostnad medan deltagaravgiften, som täcker det administrativa arbetet som utförs för kommittén, är betydligt högre. Kostnaderna, det vill säga medlemskap och deltagaravgift, varierar men uppgår i genomsnitt till och kommitté. När standarden är fastställd och ska användas så måste den köpas för en mindre summa. Det finns också, enligt SIS, flera exempel på att myndig- heter köper standarder i förväg och sedan tillgängliggör dem kost- nadsfritt för andra aktörer. Rent konkret innebär det att myndig- heten ifråga och SIS avtalar om ett pris, som varierar beroende på standard och användningsområde. På såväl europeisk som svensk nivå har man valt att fokusera på öppna standarder för it-lösningar. 3 /government/publications/open-standards-principles/open-standards- principles, hämtat . Standarder och krav på interoperabilitet En av de tolv principerna i det europeiska ramverket för inter- operabilitet (avsnitt 5.3.2) betonar öppenhet och pekar särskilt på öppna standarders positiva effekt på interopera- biliteten. I ramverket anges också en rekommendation om att euro- peiska offentliga tjänster ska baseras på öppna standarder.4 E- delegationen har inom ramen för bland annat sin nationella strategi för interoperabilitet utgått från det europeiska ramverket för inter- operabilitet och pekat på att öppna standarder ska vara förstahands- val för myndigheter vid val av tekniska lösningar. Delegationen pekar på att det finns goda möjligheter att långsiktigt sänka kostna- derna genom användning av öppna standarder. Öppna standarder minskar, enligt E-delegationen, också beroendet till enskilda leve- rantörer.5 Även i pågår utveckling av e-förvaltning med hjälp av öppna standarder.6 Standarder utarbetas enligt principen om konsensus. Alla aktö- rer som vill medverka arbetar tillsammans och måste komma över- ens om utformningen av en standard. Detta tar tid men när enighet nåtts är alla medverkande aktörer beredda att använda standarden. När enighet nåtts fastställs standarden av ett standardi- seringsorgan (till exempel SIS). När så har skett kan standarden ifråga sägas vara vedertagen och fastställd. Utredningens användning av begreppet standard När utredningen i det följande resonerar kring behovet av standar- disering så är utgångspunkten att standardisering av förutsättning- arna för informationshantering kan uppnås genom tillämpning av vedertagna öppna standarder som fastställs av standardiserings- organ (till exempel ISO och där företräds av SIS) och då särskilt tillämpning av sådana standarder som syftar till att främja semantisk och teknisk interoperabilitet i hälso- och sjukvår- den, på öppenvårdsapoteken och i . 4European Interoperability Framework for (), version 2.0. 5E-delegationen, SOU 2009:86, Strategi för myndigheternas arbete med e-förvaltning. 6www.gov.uk/government/publications/open-standards-principles/open-standards- principles, hämtat . Standarder och krav på interoperabilitet I utredningens förslag till förordning om krav på interoperabilitet vid behandling av personuppgifter i hälso- och sjukvården, på öppenvårdsapoteken och i definieras interoperabilitet som förmågan hos informationssystem att fungera tillsammans och kunna kommunicera med varandra genom att överenskomna regler följs. Denna definition följer definitionen av interoperabilitet som E-delegationen utgår ifrån (avsnitt 2.2.4). Förmåga till interopera- bilitet kräver, enligt utredningen, att olika förutsättningar är upp- fyllda. Förutom semantiska och tekniska krav kan interoperabilitet följa av att verksamheten bygger på standardiserade processer av olika slag. Med det här perspektivet kan interoperabilitet till exempel följa av att de informationssystem som professionerna använder följer den gemensamma informationsstrukturen och att professionerna när de bedriver insatser och dokumenterar därmed gör det genom att använda enhetliga termer och begrepp. Interoperabilitet kan också följa av att berörda aktörer enas kring en gemensam tolkning av regelverken för informationssäker- het och har en gemensam syn på vilka råd- och stödinsatser som behövs för att öka verksamheternas följsamhet till regelverken. Det kan till exempel innebära att verksamheterna i högre utsträckning än bedrivs enligt bestämmelserna om informationssäkerhet i föreskrift (SOSFS 2008:14) om informationshan- tering och journalföring i hälso- och sjukvården. Ett tredje exempel skulle kunna vara att interoperabilitet följer av att man genomför förslag om att hålla samman vård- och omsorgsdokumentation kring en vård- och omsorgstaga- res individanpassade processer med hjälp av ett process-id.7 7 Mer information finns i (2015), Hälsoärende och process-id – Förutsätt- ningar för en sammanhållen vård- och omsorgsdokumentation kring individanpassade pro- cesser. Standarder och krav på interoperabilitet 11.3Förbättrad informationshantering genom tillämpning av standarder och krav på interoperabilitet Standarder och krav på interoperabilitet har inget egenvärde utan bör istället ses som medel för att åstadkomma en mer ändamåls- enlig och säker informationshantering som utgår från verksamhet- ernas behov. Utredningens bedömning är att tillämpning av standarder och krav på interoperabilitet samt ett mer verksamhetsnära standardise- ringsarbete är av stor strategisk betydelse för att åstad- komma en mer ändamålsenlig och säker informationshantering än . Det är också viktigt att understryka att särskilt standarder i hög grad är en global fråga som kräver ett tydligt internationellt perspektiv från samverkansorganisationen och E-hälsomyndig- heten. Standardiseringsorgan verkar internationellt och globalt och detsamma gäller standarder som fastställs. Exempel på frågor och insatser med koppling till standarder Många insatser inom e-hälsoområdet som pågår på nationell nivå och många styrmedel som används har koppling till standarder och krav på interoperabilitet. Några exempel är uppdrag om gemensam informationsstruktur och föreskrifter om ledningssystem inklusive informationssäkerhet, E-hälsomyndighet- ens it-arkitektur för apotekssektorn, MSB:s föreskrifter om infor- mationssäkerhet (för statliga myndigheter), Inera AB:s it-arkitek- tur för (främst) hälso- och sjukvården, E-delegationens arbete med utveckling av e-förvaltning, arbetet som pågår i SIS olika tekniska kommittéer samt arbetet inom ramen för andra internationella och nationella standardiseringsorgan. Inom ramen för SIS finns till exempel 27 olika kommittéer som arbetar med standardisering av frågor inom hälso- och sjukvård samt it- standardiseringsrådet som SIS driver på uppdrag av E-delegationen som i sin tur fått uppdraget av regeringen. SIS är också länken till internationell standardisering. Frågorna som hanteras i SIS olika kommittéer är både små och stora, från grafiska profiler till trygghetslarm och grundläggande frågor avse- Standarder och krav på interoperabilitet ende hälsoinformatik eller informationssäkerhet. SIS är en neutral plattform för organisationer att bedriva standardiseringsarbete på. Det är frivilligt att följa standarder, även om rekommenda- tioner från medlemmar i att följa vissa standarder kan väga tungt. Standarder tillämpas även på olika sätt i andra samarbetsformer och projekt i . Ett exempel är federationsprojektet där man skapar en sammanhållen teknisk infrastruktur med regel- verk för hantering av identiteter och åtkomsträttigheter till infor- mation. Ett annat är arbete med Svensk e-legitimation som även det är ett federationsprojekt men med en annan inriktning än Sambi.8 Ett tredje exempel är där fyra landsting och regioner (, , och ) samarbetar för att harmonisera sina regelverk och utveckla ett ledningssystem för informationssäkerhet som kan tillämpas på gemensamma tjänster. Det bör nämnas att Socialstyrel- sens föreskrift (SOSFS 2011:9) om ledningssystem för systema- tiskt kvalitetsarbete nämner standarder som stöd för uppbyggnad av ledningssystem. Avsikten i är att det regelverk som utarbetas ska kunna tillämpas av alla landsting och regioner och därigenom bli nationellt. E-delegationen har också gjort en behovsinventering av standar- der inom och närliggande områden i hälso- och sjuk- vård inom ramen för regeringens överenskommelse med Kommuner och Landsting om stöd till en evidensbaserad praktik för god kvalitet inom . E-delegationen lade inga för- slag om vilka standarder som är lämpliga utan bedömde att detta bör utredas vidare av de etablerade organisationerna inom e-hälso- området. Vidare såg delegationen behov av mer analys av informa- tionssäkerhetsområdet, för att ta hänsyn till att vård och omsorg är samhällsviktig verksamhet som i hög grad är beroende av informa- tion för att fungera.9 Samhällets krav på medicintekniska produkter återfinns i lagen (1993:584) om medicintekniska produkter och i de föreskrifter som utfärdat i anslutning till lagen. 2014/15:1, Budgetpropositionen , UO 22, Kommunikationer. 9E-delegationen, SOU 2013:77, Så enkelt som möjligt för så många som möjligt - IT- standardisering inom . Standarder och krav på interoperabilitet regelverket baseras på flera EU-direktiv. Varje medicinteknisk produkt som släpps på marknaden måste uppfylla kraven i regel- verket och som ett tecken på att den gör det ska produkten vara CE-märkt. Mer detaljerade krav, produktspecifika tolkningar av de väsentliga kraven, finns i harmoniserade standarder. Läkemedels- verket övervakar att tillverkare och produkter uppfyller regelver- kets krav.10 Behov av utvecklad interoperabilitet Det som både utredningens problembeskrivning (avsnitt 6.2.1) och det underlag utredningen samlat in genom samtal, möten och hearings pekar på är tydliga behov av att förbättra interoperabili- teten mellan informationssystem samt att säkerställa informations- säkerheten och skyddet för den enskildes integritet. Utredningen om effektivare resursutnyttjande i hälso- och sjuk- vården (S 2013:14) har också konstaterat att det behövs initiativ för att kraftigt stärka och nationellt samordna arbetet med informatik i vården. Den utredningen påtalar att mycket av dubbeldokumenta- tionen och överdokumentationen antagligen kan hindras genom en mer standardiserad journalföring. Det kan ske genom standardise- rade journaler eller genom att använda journalmallar (eller både och). I likhet med exempelvis behandlingsrekommendationer skulle journalmallar kunna utarbetas nationellt genom att engagera företrädare för verksamheterna och professionerna.11 Tillämpning av standarder och krav på interoperabilitet vid behandling av personuppgifter är, enligt utredningens uppfattning, en avgörande komponent för att främja semantisk och teknisk interoperabilitet inom och mellan hälso- och sjukvård, öppenvårds- apotek och socialtjänst. Det kräver enligt utredningens bedömning förtydligade och utvecklade roller men också nya mandat. Detta förutsätter utveckling och användning av formella styrmedel. Utredningen har tagit inspiration från och och 10Mer information finns på , / malgrupp/Foretag/Medicinteknik// 11Diskussions-PM från utredningen nationell samordnare för effektivare resursutnytt- jande inom hälso- och sjukvården (S 2013:14). Standarder och krav på interoperabilitet lämnar nedan förslag till utvecklad reglering av tillämpning av stan- darder och krav på interoperabilitet. De olika lösningar man valt i respektive (avsnitt 5.3.4 och 5.3.5) synliggör båda vikten av att standarder och krav på interoperabilitet tillämpas vid inköp, användning och utveckling av informationssystem. 11.4Reglerad ordning för krav på interoperabilitet 11.4.1Bemyndigande till regeringen eller den myndighet regeringen bestämmer Föreskrifter meddelas enligt 8 kap. 1 § regeringsformen, förkortad RF, av genom lag och av regeringen genom förordning. Föreskrifter kan också, efter bemyndigande av eller rege- ringen, meddelas av andra myndigheter än regeringen och av kom- muner. Ett bemyndigande att meddela föreskrifter ska alltid ges i lag eller förordning. kan överlåta till regeringen att besluta om vissa av de områden som ska besluta om. Det gäller till exempel bestämmelser om förhållandet mellan enskilda och det allmänna samt åligganden för kommunerna (8 kap. 2 och 3 §§ RF). Om riks- dagen medgett det, kan regeringen sedan i sin tur i förordning, helt eller delvis, delegera till en förvaltningsmyndighet, till exempel till eller , att besluta i regeringens ställe (8 kap. 10 § RF). Utredningen har tidigare (avsnitt 8) föreslagit att det i patient- datalagen (2008:355), förkortad PDL, ska finnas krav på en vårdgivare att se till att de informationssystem som innehåller personuppgifter och som används i och för vården av en patient är lätta att använda, stödjer det kliniska arbetet, underlättar arbetet med att utveckla kvaliteten i verksamheten, underlättar samverkan och utbyte av uppgifter, och är utformade på ett sådant sätt att patientens integritetsskydd tillgodoses. Utredningen föreslår därtill att patientdatalagen kompletteras med ett bemyndigande till regeringen eller den myndighet som regeringen bestämmer om att få meddela föreskrifter om krav på informationssystem i hälso- och sjukvården vad gäller ändamålsenligheten och säkerheten vid behandling av personuppgifter. Ett sådant ansvar för tillstånds- Standarder och krav på interoperabilitet havaren och den som bedriver socialtjänst och motsvarande bemyndigande, har utredningen föreslagit ska införas i apoteks- datalagen (2009:367) och i lagen (2001:454) om behandling av per- sonuppgifter inom . Det bemyndigande som utredningen har föreslagit innebär ett förslag om att överlåter föreskriftsrätt avseende förhål- landet mellan enskilda och det allmänna och åliggande för kom- munerna till regeringen enligt 8 kap. 3 § RF. Bemyndigandet avser föreskrifter om krav på informationssystem i hälso- och sjukvården vad gäller ändamålsenlighet och säkerhet vid behandling av person- uppgifter. Utredningen föreslår att patientdatalagen, apoteksdatalagen och lagen om behandling av personuppgifter inom ska innehålla sådana krav på vårdgivare, tillståndshavaren och den som bedriver socialtjänst. De mer detaljerade kraven för att uppnå detta får enligt utredningens förslag till bemyndigande överlåtas på rege- ringen eller den myndighet regeringen bestämmer. Exempel på gällande föreskrifter med bestämmelser om skyldig- heter för privata och offentliga vårdgivare finns i föreskrifter (SOSFS 2008:14) om informationshantering och jour- nalföring i hälso- och sjukvården. I dessa finns till exempel bestäm- melser om att vårdgivare måste ha system för loggkontroll. Dessa föreskrifter stöds av bemyndiganden i 2 § patientdataförordningen, som i sin tur stöds av bemyndiganden i 4 kap. 3 § PDL. Utredningen föreslår i nästa avsnitt (11.4.2) att regeringen med- delar en ny förordning om krav på interoperabilitet vid behandling av personuppgifter i hälso- och sjukvården, på öppenvårdsapoteken och i . Förslaget till denna förordning innefattar en skyldighet för en vårdgivare, tillståndshavare och den som bedriver socialtjänst att säkerställa att de informationssystem som används vid behandling av personuppgifter tillämpar de standarder och de andra krav på interoperabilitet, som beslutar om. Denna skyldighet kommer att gälla för såväl privata företag som bedriver hälso- och sjukvård, öppenvårdsapotek och social- tjänst som kommuner och landsting som bedriver sådan verksam- het, statliga bolag inom apotekssektorn samt statliga myndigheter inom hälso- och sjukvård och socialtjänst. Standarder och krav på interoperabilitet 11.4.2Förslag till ny förordning om krav på interoperabilitet Utredningens förslag: Regeringen ska, med stöd av bemyndig- anden i utredningens förslag till ändringar av patientdatalagen, apoteksdatalagen och lagen om behandling av personuppgifter inom , utarbeta en ny förordning om krav på inter- operabilitet vid behandling av personuppgifter i hälso- och sjuk- vården, på öppenvårdsapoteken och i . En vårdgivare, en tillståndshavare och den som bedriver socialtjänst ska säkerställa att de informationssystem som används vid behandling av personuppgifter tillämpar de standar- der och de andra krav på interoperabilitet som har beslutat om enligt förordningen. Som tidigare nämnts är utredningens huvudsakliga fokus att stärka patient- och brukarsäkerheten. En viktig del i det är att skapa för- utsättningar för en ändamålsenlig och säker informationshantering med skydd för den enskildes integritet och säkra och ändamåls- enliga informationssystem som möjliggör detta. Med utgångspunkt i de ovan nämnda förslagen om lagändringar och bemyndiganden föreslår utredningen att den föreskrift som regeringen får bemyn- digande att utarbeta görs i form av en ny förordning om krav på interoperabilitet vid behandling av personuppgifter i hälso- och sjukvården, på öppenvårdsapoteken och i . Förordningen ger den legala grunden för att besluta att standarder som fastställts av ett internationellt eller nationellt standardiseringsorgan ska tillämpas i av vård- givare, tillståndshavare och de som bedriver socialtjänst. Förord- ningen ger också den legala grunden för att besluta om krav på interoperabilitet som ska följas av vårdgivare, tillståndshavare och de som bedriver socialtjänst. Med utredningens förslag skapas således en sammanhållen kedja från lagstiftning via bemyndigande till en förordning och besluts- mandat för ett särskilt beslutsorgan (). Det skapar i sin tur förutsättningar för en sådan transparent och sam- arbetsgrundad beslutsprocess som är nödvändig för den här typen av frågor. Den här föreslagna ordningen påminner också om den Standarder och krav på interoperabilitet bedömningsprocess för standarder som E-delegationen har före- slagit för att främja interoperabilitet i statlig förvaltning.12 Skyldigheten att följa beslutade krav på interoperabilitet ser utredningen som ett konkret exempel på vad det innebär att skapa en grundläggande nivå för ändamålsenliga och säkra informations- system. Avsikten att koppla samman patient- och brukarsäkerhet med ändamålsenlighet och säkerhet är det huvudsakliga skälet till att utredningen valt att göra tillägg i PDL och lagen om behandling av personuppgifter inom . Utredningens bedömning är att den här konstruktionen också ger Inspektionen för vård och omsorg () och Datainspek- tionen en tydlig grund för att utöva tillsyn över hur förordningen tillämpas i verksamheterna för att säkerställa såväl patient- och brukarsäkerhet som skydd för den enskildes integritet. Utred- ningen förordar att en ny förordning utarbetas men det finns möj- ligen även alternativa sätt att reglera frågan om krav på interopera- bilitet. Ett tänkbart alternativ till en förordning skulle vara att ange skyldigheten för vårdgivare att följa krav på interoperabilitet direkt i patientdatalagen och sedan reglera uppdrag att besluta om detta i en förordning. Däremot skulle en sådan lös- ning inte fungera lika väl när det gäller krav på den som utför socialtjänst. I den socialtjänstdatalag som Utredningen om rätt information i vård och omsorg föreslog (SOU 2014:23) skulle det vara möjligt att ange skyldigheten för de som bedriver socialtjänst att följa krav på interoperabilitet, som en parallell till motsvarande krav i patientdatalagen. Eftersom socialtjänstdatalagen ännu inte har införts skulle ett alternativ möjligen kunna vara att istället reg- lera detta i lagen om behandling av personuppgifter inom social- tjänsten. Utredningen bedömer dock att den lagen inte är lämplig för den typen av detaljerade bestämmelser som avses här. Ett annat alternativ till en förordning skulle kunna vara att föreslå motsvarande bestämmelser i en ny lag som gäller både för hälso- och sjukvården, och öppenvårdsapoteken. Det skulle ge en samlad reglering av frågorna. skulle en sådan lag innebära att behandling av personuppgifter i hälso- och sjukvår- den och regleras i ytterligare en lag, utöver 12 E-delegationen (2013), Nationell strategi för interoperabilitet, NSI (Digital samverkan). Standarder och krav på interoperabilitet patientdatalagen, lagen om behandling av personuppgifter inom , apoteksdatalagen och personuppgiftslagen (1998:204). Utredningens bedömning är att detta är ett sämre alternativ än att ange normeringen i en förordning som bygger på ett bemyn- digande i befintliga lagar. Utredningen föreslår därför en lagreglering av skyldigheten att ha en ändamålsenlig och säker hantering av personuppgifter som kombineras med ett bemyndigande om att meddela föreskrifter. Utredningen föreslår att föreskrifterna ska finnas i en förordning som bland annat reglerar skyldigheten för vårdgivare, tillstånds- havare och de som bedriver socialtjänst att följa olika krav på inter- operabilitet vid behandling av personuppgifter i hälso- och sjuk- vården, på öppenvårdsapotek och i . I den föreslagna förordningen anges ett antal konkreta uppgifter för och . Nämndens uppgifter, mandat och sammansättning beskrivs i avsnitt 7 och E- hälsomyndighetens uppgifter beskrivs i nedanstående avsnitt. 11.4.3Definitioner som ska användas i förordningen Utredningens förslag: Med interoperabilitet ska i förordningen om krav på interoperabilitet vid behandling av personuppgifter i hälso- och sjukvården, på öppenvårdsapoteken och i socialtjän- sten avses förmågan hos informationssystem att fungera tillsam- mans och kunna kommunicera med varandra genom att över- enskomna regler följs. Med standard ska avses vedertagna öppna standarder som har utarbetats och fastställts av erkända organisationer och som syf- tar till att främja semantisk och teknisk interoperabilitet vid behandling av personuppgifter. Med tillståndshavare avses den som enligt 2 kap. 1 § lagen om handel med läkemedel har fått tillstånd att bedriva detaljhandel med läkemedel (öppenvårdsapotek). Utredning bedömer att förordningen om krav på interoperabilitet vid behandling av personuppgifter i hälso- och sjukvården, på öppenvårdsapoteken och i ska innehålla en paragraf som definierar tre av de centrala begreppen för tillämpningen av Standarder och krav på interoperabilitet I avsnitt 2.2 finns också en redogörelse för utred- ningens användning av ett antal begrepp som förekommer generellt i detta betänkande. 11.4.4Former för tillämpning av krav på interoperabilitet Utredningens förslag: ska besluta om de standarder och de andra krav på interoperabilitet som ska tilläm- pas. 1.i vilken omfattning standarden eller kravet ska tillämpas, 2.vilka informationssystem som ska tillämpa standarden eller följa kravet, 3.hur standarden eller kravet ska tillämpas, och 4.från vilken tidpunkt standarden eller kravet ska följas, och från vilken tidpunkt en standard eller ett visst krav inte längre ska följas. beslut om krav på interoperabilitet ska inte få överklagas. ska få besluta om undantag från krav på att följa en viss standard eller ett visst krav på interoperabilitet, om det finns särskilda skäl till det. ska ge upplysningar om namn, version och innehåll i standarderna. Myndigheten ska även ge upplys- ningar om vilka krav på interoperabilitet som gäller enligt nämn- dens beslut.