sou · H5B338 · 2017-05-09 00:00:00 — muner och landsting har sämre möjligheter att ta sitt ansvar för hälso- och sjukvården inom sitt område, leder det ytterst till risker för patienterna och en mer ojämlik hälso- och sjukvård. Även flera landsting var positiva till förslaget som de ansåg skulle underlätta uppföljning och kvalitetssäkring avsevärt. ombudsmän () var positiva till förslaget om uppgiftsskyldighet inom social- tjänsten som bedömdes ge kommunerna bättre möjligheter att full- göra huvudmannaansvaret för kvaliteten i . Från kom- munalt håll anfördes också att detta förslag skulle ge kommunerna i egenskap av huvudmän möjlighet att följa upp kvaliteten i verksam- heten och få en mer samlad verksamhetsuppföljning och kvalitets- säkring. Några remissinstanser hade dock invändningar mot förslagen, bl.a. ifrågasatte Datainspektionen, liksom Patientnämnderna i och , om huvudmannen har behov av personuppgifter för alla de ändamål som angavs (exempelvis för att förebygga, utreda och behandla sjukdomar). Eftersom ett integri- tetsintrång ska avvägas mot behovet måste behovet klargöras. Inspektionen för vård och omsorg () var tveksam till om ett införande av uppgiftsskyldighet för privata utförare behövs för att tillgodose huvudmännens ansvar för planering, uppföljning och kvalitetssäkring. Det kunde enligt ifrågasättas om det inom ramen för dessa ändamål föreligger behov av identifierbara person- uppgifter. Vissa organisationer framförde också synpunkter på att uppgiftsskyldigheten för privata vårdgivare borde förenas med krav på samtycke av den enskilde och att förslaget om uppgiftsskyldig- het inom kan innebära en alltför långtgående kontroll från kommunens sida över hur en enskild verksamhet bedrivs. 10.2.2Behandling av personuppgifter inom hälso- och sjukvård och socialtjänst Inom såväl hälso- och sjukvården som behandlas en mängd personuppgifter och de ändamål för vilka personuppgifter får behandlas regleras i lagar och förordningar. Förbättrade förutsättningar att säkerställa grundläggande kvalitet i välfärden Syftet med personuppgiftslagen (1998:204), PUL, är att skydda människor mot att deras personliga integritet kränks genom be- handling av personuppgifter. Med personuppgifter avses all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet, 3 § PUL. Lagen gäller för sådan behandling av personuppgifter som helt eller delvis är automatiserad, och för annan behandling om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier, 5 § PUL. I 10 § PUL anges de allmänna förutsättningarna för att få behandla personuppgifter. Enligt 13 § PUL är det dock som huvudregel för- bjudet att behandla s.k. känsliga personuppgifter. Sådana uppgifter är bl.a. uppgifter om hälsa. I vissa fall kan emellertid behandling av känsliga personuppgifter vara tillåten. Känsliga personuppgifter får behandlas för hälso- och sjukvårdsändamål, om behandlingen är nödvändig för a) förebyggande hälso- och sjukvård, b) medicinska diagnoser, c) vård eller behandling, eller d) administration av hälso- och sjukvård. Den som är yrkesmässigt verksam inom hälso- och sjukvårdsområdet och har tystnadsplikt får även behandla känsliga personuppgifter som omfattas av tystnadsplikten. Detsamma gäller den som är underkastad en liknande tystnadsplikt och som har fått känsliga personuppgifter från verksamhet inom hälso- och sjuk- vårdsområdet, 18 § PUL. Om det i en annan lag eller i en förordning finns bestämmelser som avviker från PUL, ska dock de bestämmel- serna gälla, 2 § PUL. Behandling av personuppgifter inom hälso- och sjukvården Patientdatalagen gäller för alla vårdgivare oavsett huvudmannaskap. I lagen regleras bl.a. de ändamål för vilka personuppgifter får samlas in och även i övrigt behandlas inom hälso- och sjukvården. Patient- datalagen innehåller enbart de särbestämmelser och förtydliganden som det bedömts föreligga behov av. I övrigt gäller PUL, 1 kap. 4 § patientdatalagen. Förbättrade förutsättningar att säkerställa grundläggande kvalitet i välfärden Personuppgifter får enligt 2 kap. 4 § patientdatalagen behandlas om det behövs för 1.att fullgöra de skyldigheter som anges i 3 kap. (dvs. skyldighet att föra patientjournal) och upprätta annan dokumentation som behövs i och för vården av patienter, 2.administration som rör patienter och som syftar till att ge vård i enskilda fall eller som annars föranleds av vård i enskilda fall, 3.att upprätta annan dokumentation som följer av lag, förordning eller annan författning, 4.att systematiskt och fortlöpande utveckla och säkra kvaliteten i verksamheten, 5.administration, planering, uppföljning, utvärdering och tillsyn av verksamheten, eller 6.att framställa statistik om hälso- och sjukvården. Dessutom får personuppgifter som behandlas för dessa ändamål behandlas för att fullgöra uppgiftslämnande som sker i överens- stämmelse med lag eller förordning.5 Bestämmelsen i patientdatalagen infördes mot bakgrund av att 18 § PUL ger tämligen vida ramar för aktörer inom hälso- och sjuk- vården att, utan den enskildes samtycke, behandla känsliga person- uppgifter för olika syften. Det ansågs därför viktigt att det i patient- datalagen så uttömmande som möjligt framgår vilka ändamålen är för all personuppgiftsbehandling som regleras i lagen. Syftet med bestämmelsen är att ange en ram för när personuppgifter får samlas in och behandlas.6 Punkterna 1 och 2 avser personuppgiftsbehandling för ändamålet vårddokumentation. Dokumentation ingår vanligen som journal- handlingar i patientjournalen. En del personuppgifter behandlas emellertid helt separat från den ordinära journalföringen. Sådan dokumentation som faller vid sidan av skyldigheten att föra journal bör enligt regeringen omfattas av ett ändamål som rör den individ- inriktade patientverksamheten alldeles oavsett dess formella status. 2007/08:126 s. 60. 2007/08:126 s. 56. Förbättrade förutsättningar att säkerställa grundläggande kvalitet i välfärden Därför avses med dessa ändamål inte bara insamlingen och registrer- ingen av personuppgifterna utan även senare användning av uppgif- terna i den omfattning som behövs i patientvården eller patient- administrationen.7 I punkten 3 klargörs att personuppgiftsbehandling som behövs för ändamålet utförande av annan dokumentation som direkt eller indirekt följer av lag, förordning eller annan författning är tillåten. Enligt punkten 4 får personuppgifter behandlas för kvalitetssäk- ring. Det finns som framgått ovan författningsreglerade krav att bedriva såväl kvalitetssäkring som kvalitetsutveckling. Personupp- gifter som samlats in och behandlats för ändamålet vårddokumen- tation behandlas ofta även för ändamålet kvalitetssäkring. Det före- kommer dock personuppgiftsbehandling särskilt för kvalitetssäk- ringsändamål. Av punkten 5 följer att personuppgifter får behandlas för admi- nistration, planering, uppföljning, utvärdering och tillsyn av verk- samheten. Den individinriktade kärnverksamheten föranleder administration och planering på ett mer övergripande plan än vid dokumentation för individinriktad hälso- och sjukvård. Sjukvårds- huvudmännen måste exempelvis planera antalet vårdplatser, fördela anslag och liknande inom sina geografiska ansvarsområden. Även privata vårdgivare behöver effektiva redskap för att administrera och planera sin verksamhet. Det kan ofta i dessa sammanhang vara tillräckligt att använda uppgifter som bara indirekt är hänförliga till en person, men det är likväl fråga om personuppgiftsbehandling. Med uppföljning avses att fortlöpande och regelbundet mäta och beskriva sina behov, verksamheter och resursåtgången angivet i termer av t.ex. behovstäckning, produktivitet och nyckeltal. Upp- följningen tjänar till att ge en översiktlig bild av verksamhetens ut- veckling och tjäna som en signal för avvikelser som bör beaktas. Med utvärdering avses analys och värdering av kvalitet, effekti- vitet och resultat av en verksamhet i förhållande till de mål som bestäms för denna. Även vårdgivarens interna tillsyn av sin verk- samhet omfattas av bestämmelsen. Utan möjlighet att behandla personuppgifter från den individinriktade patientvården ter det sig knappast möjligt att närmare granska verksamheten. Detta gäller särskilt om tillsynen rör individuella vårdfall men även mer över- 2007/08:126 s. 57. Förbättrade förutsättningar att säkerställa grundläggande kvalitet i välfärden gripande granskning kan kräva tillgång till och möjligheter att be- handla personuppgifter om patienter.8 I punkten 6 anges att personuppgifter får behandlas för fram- ställning av statistik. I hälso- och sjukvården framställs statistik om en mängd faktorer. Delvis är det fråga om verksamhetsstatistik, som kan rymmas inom ändamålen enligt punkten 5. Landstingen framställer emellertid även statistik som inte utan vidare kan hänfö- ras till något annat ändamål, t.ex. då statistik tas fram för att infor- mera befolkningen om verksamheten.9 Behandling av personuppgifter inom hantering av personuppgifter regleras i lagen (2001:454) om behandling av personuppgifter inom (SoLPUL) och förordningen (2001:637) om behandling av person- uppgifter inom (SoLPULF). Bestämmelser om be- handling av personuppgifter finns också i 12 kap. SoL och i LSS. SoLPUL omfattar både myndigheter och privata verksamheter som hanterar personuppgifter inom område. Med social- tjänst avses i lagen bl.a. verksamhet enligt SoL och LSS. Med social- tjänst avses även tillsyn, uppföljning, utvärdering, kvalitetssäkring och administration av sådan verksamhet, 1 och 2 §§ SoLPUL. I den del annat inte följer av lagen eller av föreskrifter meddelade med stöd av lagen gäller PUL, 4 § SoLPUL. SoLPUL infördes mot bakgrund av att mångfalden av uppgifter och det behov som finns inom område av att hantera känsliga uppgifter av detta slag enligt regeringen medförde behov av en särskild författningsreglering. Eftersom en sådan behandling får ske oavsett den enskildes inställning var det av vikt att författningen garanterade ett för detta område specialanpassat integritetsskydd för den enskilde.10 Enligt 6 § SoLPUL får personuppgifter behandlas bara om be- handlingen är nödvändig för att arbetsuppgifter inom ska kunna utföras. Personuppgifter får även behandlas för uppgifts- utlämnande som föreskrivs i lag eller förordning. 2007/08:126 s. 58 f. 2007/08:126 s. 59. 2000/01:80 s. 132. Förbättrade förutsättningar att säkerställa grundläggande kvalitet i välfärden ter som får behandlas anges i 7 § SoLPUL, och avser bl.a. person- och samordningsnummer och känsliga personuppgifter enligt 13 § PUL. Lagen innehåller alltså inte, till skillnad från vad som gäller en- ligt patientdatalagen, någon närmare reglering av för vilka ändamål personuppgifter får behandlas. Skälet till detta var enligt förarbe- tena att det skulle bli ohanterligt att ange ändamålen direkt i lagen. Regeringen bedömde därför att det var tillräckligt att det föreskrevs i lagen att personuppgifter får behandlas bara om behandling är nöd- vändig för att arbetsuppgifter inom ska kunna utföras och att regeringen eller den myndighet regeringen bestämmer där- utöver har rätt att meddela föreskrifter om de begränsningar som är nödvändiga i detta hänseende. En sådan lösning ansågs mer flexibel och ställer inte hinder i vägen eller försvårar en förändrad verksam- het.11 Ändamålen för behandling av personuppgifter regleras i SoLPULF. Förutsättningarna för att behandla personuppgifter skiljer sig emeller- tid åt för kommunala myndigheter och privat verksamhet. En kom- munal myndighet får behandla personuppgifter för handläggning av en mängd angivna ärenden och utredningar, 12 § 1–9 SoLPULF samt för tillsyn, uppföljning, utvärdering, kvalitetssäkring och administration av verksamheten, 12 § 10 SoLPULF. I privat verk- samhet får emellertid personuppgifter behandlas endast för doku- mentation av sådan vård, behandling eller omsorg av enskilda som ges inom verksamheten, samt för administration av verksamheten, 18 § SoLPULF. antogs och rådets förord- ning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän data- skyddsförordning). Förordningen ska tillämpas från och ersätter nationella regler, som t.ex. PUL. Ett flertal utredningar har tillsatts för att se över frågor relaterade till förordningen, varav följande som berör välfärdsområdet kan 2000/01:80 s. 142 f. Förbättrade förutsättningar att säkerställa grundläggande kvalitet i välfärden Utredningen om dataskyddsförordningen (Ju 2016:04) ska bl.a. föreslå de anpassningar och kompletterande författnings- bestämmelser på generell nivå som förordningen ger anledning till. Syftet är att säkerställa att det finns en ändamålsenlig och välbalan- serad kompletterande nationell reglering om personuppgiftsbehand- ling på plats när förordningen börjar tillämpas (dir. 2016:15). Vid- are ska (S 2016:05) analysera vilka konsekvenser dataskyddsförordningen medför i fråga om person- uppgiftsbehandling inom verksamhetsområde samt föreslå behövliga och lämpliga anpassningar av författningar inom verksamhetsområdet till följd av den nya förordningen (dir. 2016:52). Såväl patientdatalagen som SoLPUL omfattas av utred- ningens uppdrag. 10.2.3Bestämmelser om uppgiftsskyldighet bör införas Utredningens förslag: En tystnadspliktsbrytande uppgiftsskyl- dighet ska införas i patientsäkerhetslagen, socialtjänstlagen och lagen om stöd och service till vissa funktionshindrade. Uppgiftsskyldigheten i patientsäkerhetslagen ska gälla privata vårdgivare i förhållande till det landsting eller den kommun (huvudman) som enligt hälso- och sjukvårdslagen har ansvaret för att erbjuda den aktuella hälso- och sjukvården. En sådan privat vårdgivare ska lämna ut de personuppgifter som huvudmannen behöver för att utveckla och säkra kvaliteten i verksamheten, för administration, planering, uppföljning och utvärdering av verk- samheten, eller för att framställa statistik. Uppgiftsskyldigheten i socialtjänstlagen och lagen om stöd och service till vissa funktionshindrade ska gälla enskilda verk- samheter i förhållande till den nämnd som har huvudmanna- ansvaret för verksamheten. Den som bedriver sådan verksamhet ska lämna ut de personuppgifter som nämnden behöver för kvalitetssäkring, administration, uppföljning eller utvärdering av verksamheten. I likhet med Utredningen om rätt information i vård och omsorg anser utredningen att kommuner och landsting bör ha de förutsätt- ningar som behövs för att fullgöra sitt ansvar för sådan hälso- och Förbättrade förutsättningar att säkerställa grundläggande kvalitet i välfärden sjukvård och socialtjänst som de är huvudmän för. En skyldighet för privata utförare att lämna ut vissa personuppgifter till den huvudman som har ansvaret för och finansierar verksamheten, gör det möjligt att på ett effektivt och säkert sätt följa upp den vård och omsorg som erbjuds. Det finns därför i och för sig skäl att in- föra en tystnadspliktsbrytande uppgiftsskyldighet för sådana upp- gifter som den offentliga huvudman som finansierar verksamheten behöver för att bl.a. följa upp och kvalitetssäkra hälso- och sjuk- vårdsverksamheten respektive omsorgsverksamheten. En sådan bestämmelse bör dock införas endast om skälen för detta är star- kare än det integritetsintrång utlämnandet innebär för den enskilde. Från flera landsting och SKL framhölls redan vid införandet av uppgiftsskyldighet i lagen om läkarvårdsersättning att avidentifie- rade uppgifter inte är tillräckligt för en meningsfull uppföljning. Regeringen framhöll i det sammanhanget att det var angeläget att landstingen fick de uppföljningsredskap de ansåg sig behöva för att följa upp den vård de finansierar. Även för att möjliggöra uppfölj- ning av hela vårdkedjor, med avseende på kvalitet, effektivitet och resultat, behövdes enligt regeringen identifierbara patientuppgifter.12 Enligt SKL var vidare det förslag som Utredningen om rätt infor- mation i vård och omsorg lämnade i denna del helt avgörande ut- ifrån huvudmannens ansvar och invånarnas intresse av en jämlik vård. Även i omsorgsverksamhet finns behov av att följa upp kva- liteten i verksamheten och få en mer samlad verksamhetsuppfölj- ning och kvalitetssäkring. I fråga om skyddet för den enskildes inte- gritet ska också framhållas att personal i landstingen och kommu- nerna omfattas av hälso- och sjukvårdssekretessen respektive social- tjänstsekretessen i offentlighets- och sekretesslagen (2009:400), OSL. De offentliga huvudmännen hanterar också en stor mängd känslig information, bl.a. om patienter inom den offentligt drivna hälso- och sjukvården och om enskilda inom . Utredningen anser mot denna bakgrund att en tystnadsplikts- brytande uppgiftsskyldighet ska införas i patientsäkerhetslagen, SoL och LSS för sådana personuppgifter som den offentliga huvud- mannen behöver för att bl.a. följa upp och kvalitetssäkra den hälso- och sjukvård och omsorgsverksamhet som kommunen eller lands- tinget har huvudmannaansvar för. 2008/09:64 s. 58 ff. Förbättrade förutsättningar att säkerställa grundläggande kvalitet i välfärden Utredningen om rätt information i vård och omsorg föreslog att uppgiftsskyldigheten hos privata vårdgivare skulle omfatta sådana uppgifter som den offentliga huvudmannen behöver för de ändamål som angavs i en av utredningen föreslagen ny bestämmelse, vilken i huvudsak motsvarar bestämmelsen i 2 kap. 4 § patientdatalagen. Från vissa remissinstanser, bl.a. Datainspektionen, ifrågasattes emellertid om huvudmannen har behov av personuppgifter för samt- liga dessa ändamål. Förslaget om uppgiftsskyldighet hos privata vårdgivare syftar till att förbättra kommuners och landstings möjligheter att bl.a. planera, följa upp och kvalitetssäkra den hälso- och sjukvård som kommunen eller har huvudmannaansvar för. Enligt utredningens mening är det mot den bakgrunden tillräckligt att uppgiftsskyldigheten gäller sådana uppgifter som den offentliga huvudmannen behöver för vissa av de ändamål som anges i patient- datalagen. De ändamål som bör omfattas av uppgiftsskyldigheten är uppgifter som huvudmannen behöver för att systematiskt och fort- löpande utveckla och säkra kvaliteten i verksamheten, för administ- ration, planering, uppföljning och utvärdering av verksamheten, eller för att framställa statistik om hälso- och sjukvården (dvs. de ändamål som anges i 2 kap. 4 § 4–6 patientdatalagen). I dessa be- stämmelser anges dock även att personuppgifter får behandlas för tillsyn i den egna verksamheten. Enligt utredningens mening har emellertid huvudmannen inte tillsynsansvar över verksamhet som bedrivs av privata utförare, då tillsynsansvaret ligger på tillsyns- myndigheten. Även inom syftar förslaget till att för- bättra huvudmannens förutsättningar för bl.a. kvalitetssäkring och uppföljning. De ändamål som omfattas av uppgiftsskyldigheten bör därför utgöras av uppgifter som huvudmannen behöver för kvalitets- säkring, administration, uppföljning och utvärdering av verksam- heten (dvs. de ändamål som anges i 12 § 10 SoLPULF, med undan- tag för tillsyn av verksamhet). Skyldigheten föreslås i SoL och LSS gälla den som yrkesmässigt bedriver enskild verksamhet. Det kan diskuteras om skyldigheten lagtekniskt borde riktas mot vårdgivaren som sådan också i patient- säkerhetslagen. Nuvarande bestämmelser om uppgiftsskyldighet i denna lag är dock riktade till hälso- och sjukvårdspersonalen. För att inte införa ytterligare en kategori i lagen bör förslaget till upp- giftsskyldighet för privata vårdgivare regleras på motsvarande sätt. Förbättrade förutsättningar att säkerställa grundläggande kvalitet i välfärden Bestämmelserna innebär inte att huvudmannen har generell till- gång till den privata utförarens register, utan endast att sådana upp- gifter som behövs i vissa angivna syften ska lämnas ut. Detta över- ensstämmer med vad som gäller vid annan uppgiftsskyldighet.13 Enligt OSL kan en myndighets beslut att inte lämna ut en upp- gift till en annan myndighet överklagas, 6 kap. 7 § OSL. Rätten att överklaga ett sådant beslut anses föreligga oavsett vilka omständig- heter som anförts som skäl för beslutet. Bestämmelsen bör exempel- vis kunna användas när en tvist mellan myndigheter har sin grund i olika uppfattning om huruvida uppgiftsskyldighet föreligger enligt någon lag eller förordning.14 Bestämmelserna i är inte tillämp- liga på privata utförare. Någon möjlighet för en myndighet att över- klaga en privat utförares bedömning i fråga om uppgiftsskyldighet finns inte. Den uppgiftsskyldighet som regleras i aktuella lagar är uppbyggd på så sätt att det endast föreskrivs att uppgiftsskyldighet gäller för uppgifter som behövs i viss verksamhet. Av 6 kap. 15 § patientsäkerhetslagen följer exempelvis att hälso- och sjukvårds- personalen är skyldig att lämna ut sådana uppgifter som behövs i verksamhet för personskydd som i ett enskilt fall begärs av Säker- hetspolisen, som råd för vissa rättsliga, sociala och medicinska frågor behöver för sin verksamhet, som behövs för prövning av ett ärende om att avskilja en studerande från högskole- utbildning eller polisprogrammet, eller som behövs för prövning av någons lämplighet att ha körkort, traktorkort eller taxiförarlegiti- mation enligt taxitrafiklagen (2012:211). Även i SoL finns bestäm- melser där uppgiftsskyldighet regleras på motsvarande sätt.15 En uppgiftsskyldighet i enlighet med utredningens förslag med- för att uppgifter ska lämnas ut under vissa angivna förutsättningar. Detta bör enligt utredningens mening vara tillräckligt för att säker- ställa att huvudmannen får nödvändiga uppgifter. Om det vid en senare översyn av regleringen skulle framkomma att det finns behov av en möjlighet att kunna överklaga beslut avseende uppgiftsskyldig- heten, får denna fråga övervägas på nytt. 1981/82:186 s. 13 ff. och 65 ff., prop. 1987/88:41 s. 32, prop. 1988/89:134 s. 27 och prop. 2005/06:54 s. 10 ff. 1981/82:186 s. 60. 12 kap. 10 § tredje stycket 2 SoL. Förbättrade förutsättningar att säkerställa grundläggande kvalitet i välfärden Det är nödvändigt att huvudmännen tydliggör vilka uppgifter som behövs med hänsyn till de olika ändamål som gör sig gällande. Som vid all personuppgiftsbehandling gäller att inte fler person- uppgifter än vad som är nödvändigt med hänsyn till ändamålet får behandlas. Landsting och kommuner måste också bedöma för vilka ändamål personuppgifter över huvud taget behöver samlas in, eller om det räcker med uppgifter som åtminstone inte direkt kan hän- föras till enskilda individer. Utgångspunkten bör alltså vara att de uppgifter som lämnas är avidentifierade. Samma överväganden som görs vad gäller uppföljning, planering och kvalitetssäkring av den verksamhet som huvudmannen själv driver ska göras även i förhåll- ande till de uppgifter som hämtas in från privata utförare. Det bör också tydliggöras att den föreslagna uppgiftsskyldig- heten endast gäller uppgifter om enskildas hälsotillstånd eller andra personliga förhållanden. Bestämmelsen medför därmed ingen ökad möjlighet för en huvudman att, jämfört med vad som gäller , inhämta andra uppgifter som rör de privata utförarnas verksamhet. Inte heller omfattas den andel privata utförare som inte står under offentlig finansiering av utredningens förslag. Det är således de verksamheter som bedrivs med ett landsting eller en kommun som huvudman, dvs. som finansiär, som omfattas av förslaget. Utredningens förslag: Kravet på frekvenstillsyn i socialtjänst- förordningen och förordningen om stöd och service till funk- tionshindrade ska avskaffas. Kommuner och landsting ska vara skyldiga att anmäla väsentliga ändringar eller flytt av befintlig verksamhet enligt socialtjänstlagen och lagen om stöd och service till vissa funktionshindrade, liksom om verk- samheten läggs ned, till Inspektionen för vård och omsorg.