sou · H5B352 · 2017-06-07 00:00:00 — De aktörer som är personuppgiftsansvariga skulle kunna överväga att stärka det gemensamma arbetet genom att ta fram uppförandekoder även för denna aspekt av informationshanteringen. 8 eHälsa i landstingen, . En rapport från Landstingens IT-strateger/IT-chefer (). Hälso- och sjukvård och välfärdsteknik inom på syftet med koden och hur den utformas kan en sådan uppförandekod också vara en uppförandekod i dataskyddsförordningens mening. 7.2.4Normen – en norsk förebild när det gäller uppförandekoder Det finns förebilder för arbetet med gemensamma uppförandekoder i . Där har man arbetat med en norm för informationssäkerhet för vård- och omsorgssektorn. Den norska för informationssäkerhet är en samling krav och riktlinjer som ska bidra till att skapa en tillfredsställande informationssäkerhet i verksamheterna och i hela sektorn. Normen9 har tagits fram av representanter från hälso- och sjukvårds- och socialtjänstsektorn och förvaltas av en särskild styrgrupp där berörda myndigheter, professionsorganisationer, Norsk Helsenett och representanter för regionala huvudmän ingår. Datatilsynet, Direktoratet for forvaltning og IKT (Difi) och Helseog omsorgsdepartementet deltar som observatörer. beslutades för att möta de utmaningar som följde av en ökad elektronisk kommunikation i vård och omsorg. utvidgades till att omfatta inte bara hälso- och sjukvård utan även omsorg och socialtjänst. Direktoratet for e-helse är sekretariat för . Vård- och omsorgsgivare i är enligt lag skyldiga att använda Helsenettet (motsvarande Sjunet i ) för informationsutbyte. Alla verksamheter som vill ha ett sådant informationsutbyte och vara anslutna till Helsenettet är genom anslutningsavtalet förpliktade att också följa . Den som genom avtalet med har en juridisk förpliktelse att följa ska kunna lita på att andra verksamheter, som också har ett sådant avtal, har tillfredsställande informationssäkerhet för sin behandling av personuppgifter. På så sätt skapas mekanismer så att verksamheterna kan ha ömsesidig tillit till att behandlingen av personuppgifter görs på en god säkerhetsnivå. är en sammanställning av lagstiftningens krav på informationssäkerhet, men ställer ibland också strängare krav. Hälso- och sjukvård och välfärdsteknik inom bär att ställer krav som specificerar och kompletterar gällande regelverk, men är inte heltäckande. Det finns exempelvis krav i olika lagstiftningar som gäller utöver de krav som finns i . är indelad i tre delar; en styrande, en genomförande och en kontrollerande del. Den styrande delen beskriver krav på verksamhetens ledning att till exempel ta fram ett ledningssystem för informationssäkerhet och arbeta med riskbedömningar. I den delen som avser genomförande av finns krav som handlar om tillgångsstyrning, autentisering, etablering och drift av informationssystem, avtal och utbildning m.m. Den kontrollerande delen handlar bland annat om säkerhetsrevisioner, avvikelsehantering och åtkomstkontroll. består förutom av kravdokumentet av vägledningar, mallar, faktaark och utbildningsmaterial. Det finns t.ex. vägledningar om användning av molntjänster, om användning av portallösningar, sms och e-post, om tillgång mellan verksamheter med avtalsexempel vid samarbete om gemensam journal, om informationssäkerhet vid användning av välfärdsteknologi och om sociala medier m.m. Sekretariatet erbjuder även kurser och konferenser. Lysnarutvalget, en kommitté som hade i uppdrag av att utvärdera samhällets digitala sårbarhet, beskriver 10 som en framgångshistoria när det gäller hur hälso- och sjukvårdspersonalen har involverats i arbetet med att ta fram koden. I betänkande anförs också angående att: Utvalget observerer at er ønsket velkommen av sektoren, og at den i all hovedsak fungerer bra. gjør at helseforetakene tør å krav, og leverandørene blir mer oppmerksomme på temaet ved anskaffelser. Prosessen med å utvikle har hatt en god effekt i seg selv og økt kompetansen i bransjen. I förebereder man sig nu för att anpassa till dataskyddsförordningen och göra den till en uppförandekod i förordningens mening. 10 NOU 2015:13 Digital sårbarhet – sikkert samfunn s. 194 och 199. Hälso- och sjukvård och välfärdsteknik inom 7.2.5Uppförandekoder som metod att öka skyddet för den personliga integriteten Medlemsstaterna och tillsynsmyndigheterna ska enligt artikel 40 i dataskyddsförordningen uppmuntra utarbetandet av uppförandekoder som bidrar till att förordningen genomförs korrekt och med hänsyn till särdragen i olika samhällssektorer. Sammanslutningar och andra organ som företräder kategorier av personuppgiftsansvariga eller personuppgiftsbiträden får utarbeta sådana koder i syfte att specificera tillämpningen av förordningen. Det är alltså de personuppgiftsansvariga och personuppgiftsbiträden som ska ta fram koderna. Medlemsstaterna och tillsynsmyndigheterna ska uppmuntra arbetet med att ta fram dem. Av artikel 24.3 dataskyddsförordningen framgår att tillämpningen av godkända uppförandekoder får användas för att visa att den uppgiftsansvarige fullgör sina skyldigheter. anser att regeringen bör utse en myndighet som i samråd med Datainspektionen initierar och stödjer arbetet med att ta fram en uppförandekod för hälso- och sjukvård och socialtjänst. Med den norska som förebild kan man tänka sig att någon form av representativ styrelse bildas för att fatta de formella besluten om koden och dess innehåll. Med beaktande av de tillämpningsproblem som vårdgivarna haft avseende patientdatalagen anser kommittén att det är lämpligt att staten tar ett särskilt ansvar för uppförandekoder inom detta område. Genom att knyta ett arbetande sekretariat till utvecklingen och förvaltningen av en sådan uppförandekod kan arbetet med koden bli mer strukturerat och utåtriktat. För att sådana uppförandekoder verkligen ska få genomslag och utgöra stöd i tillämpningen bör uppförandekoderna kompletteras med stödjande insatser och dokument. Sekretariatet för uppförandekoden kan med den norska som förebild anordna utbildningar och konferenser och utarbeta stöddokument, t.ex. vägledningar, faktablad och checklistor. Alla dokument måste förstås godkännas av den partsammansatta styrelsen för koden. Hälso- och sjukvård och välfärdsteknik inom Enligt den nationella samordnaren för effektivare resursutnyttjande inom hälso- och sjukvården11 behöver verksamhetsstöden samlade insatser från både staten och huvudmännen för att ge den funktionalitet och användbarhet som innebär att de blir ett verkligt stöd i det praktiska arbetet och bidrar till att både spara tid och stärka kvalitet och patientsäkerhet. I utredningen gjordes bedömningen att staten borde avsätta för detta ändamål och att huvudmännen i sin tur borde satsa minst lika mycket. har enligt sin instruktion i uppgift att samordna regeringens satsningar på e-hälsa och ska övergripande följa utvecklingen på e-hälsoområdet. anser att en del av en sådan statlig satsning på verksamhetsstöden kan vara att aktivt stödja huvudmännens arbete med en gemensam uppförandekod genom att bistå med ett sekretariat. Det stämmer väl överens med myndighetens nuvarande uppdrag att får fungera som sekretariat för det gemensamma arbetet. Ett annat tänkbart alternativ vore att ge detta uppdrag till . Mot bakgrund av behovet av gemensamma satsningar för att genomföra visionen om e-hälsa och behovet av tillämpningsstöd när det gäller informationssäkerhet och dataskydd föreslår kommittén att en myndighet, förslagsvis , får ett ansvar att initiera och stödja och att vara sekretariat för en eller flera svenska uppförandekoder för informationssäkerhet och dataskydd inom hälso- och sjukvård och socialtjänst. 7.3Åtgärd – stärka ansvarstagandet Grundläggande förutsättningar för en ändamålsenlig informationshantering är bland annat att uppgifter finns tillgängliga när de behövs i och för vården av en patient eller i samband med insatser för en individ. En annan förutsättning är att de uppgifter som dokumenteras förvaras och hanteras på ett sådant sätt att obehöriga inte kan komma åt dem, att uppgifter inte sprids utanför verksamheten, att de informationssystem som används i verksamheten är utformade på ett sådant sätt att integritetsskyddet tillgodoses, att en 11 Effektiv vård (SOU 2016:2), s. 34 och 549 ff. Hälso- och sjukvård och välfärdsteknik inom användares behörighet till uppgifter anpassas och begränsas till de behov som användaren har samt att åtkomsten till uppgifterna loggas och kontrolleras. förslag: Regeringen bör vidta de utredningsåtgärder som är nödvändiga för att genomföra de förslag till integritetshöjande regler vid hantering av personuppgifter i hälso- och sjukvård (punkt 1–4 nedan), som föreslagits av tidigare utredningar, och föreslå att reglerna skyndsamt ska införas i lagstiftningen. Det är vårdgivaren som har det yttersta ansvaret för informationssäkerheten i verksamheten. Det ansvaret är främst reglerat i patientdatalagen (2008:355) och i föreskrifter och allmänna råd (HSLF-FS 2016:40) om journalföring och behandling av personuppgifter i hälso- och sjukvården. Vårdgivarens övergripande ansvar för kvaliteten i vården regleras i hälso- och sjukvårdslagen (1982:763), patientsäkerhetslagen (2010:659) och i föreskrifter och allmänna råd (SOSFS 2011:9) om ledningssystem för systematiskt kvalitetsarbete. Utredningen om rätt information i vård och omsorg föreslog i sitt slutbetänkande12 att vårdgivarens övergripande ansvar för en säker och ändamålsenlig hantering av personuppgifter i verksamheten borde uttryckas tydligare och på ett samlat sätt i den nya Hälso- och sjukvårdsdatalag som utredningen föreslog. Utredningen om rätt information i vård och omsorg föreslog ett helt kapitel med bestämmelser som förtydligade både vårdgivarens och hälso- och sjukvårdspersonalens ansvar för en säker hantering av personuppgifter i verksamheten. Även E-hälsokommittén13 lämnade förslag som avsåg att förstärka ledningsansvaret och ansvarstagandet. Kommittén föreslog att patientdatalagen ska kompletteras med ett avsnitt om huvudman- 12Utredningens om rätt information i vård och omsorg slutbetänkande Rätt information på rätt plats i rätt tid (SOU 2014:23). 13E-hälsokommitténs betänkande Nästa fas i e-hälsoarbetet (SOU 2015:32). Hälso- och sjukvård och välfärdsteknik inom nens och vårdgivarens ansvar för en ändamålsenlig och säker behandling av personuppgifter. Den nationella samordnaren för effektivare resursutnyttjande inom hälso- och sjukvården anförde i sitt slutbetänkande14 att förslagen till en ny hälso- och sjukvårdsdatalag och socialtjänstdatalag som lämnats i betänkandet SOU 2014:23 borde genomföras skyndsamt. anser att regler som syftar till att förtydliga ansvaret för hanteringen av personuppgifter i hälso- och sjukvården och ligger väl i linje med de förstärkta krav på ansvarstagande som finns i dataskyddsförordningen. I dataskyddsförordningen betonas att de personuppgiftsansvariga ska ansvara för och kunna visa att uppgifter behandlas i enlighet med förordningen (artikel 5.2). Detta kallas i förordningen för ansvarsskyldighet. Ett argument mot att komplettera patientdatalagen med mer detaljerade bestämmelser skulle kunna vara att följsamheten inte varit så god till de regler som redan finns i patientdatalagen. menar dock att en del av tillämpningsproblemen kan bero just på att lagen är en ramlag. Det krävs en aktiv rättstilllämpning för att åstadkomma en bra tillämpning av lagen. Regler som ökar detaljeringsnivån i lagen kan göra det lättare för de verksamheter som ska tillämpa regelverket. Datainspektionen har avstyrkt15 förslagen i sin helhet när det gäller betänkandet Rätt information på rätt plats i rätt tid16 och varit kritisk till förslagen i Nästa fas i e-hälsoarbetet17. Kritiken har dock inte i första hand riktat sig mot de förslag till nya bestämmelser i patientdatalagen, som vi föreslår ska genomföras. Dock var Datainspektionen kritisk till bestämmelsen om att huvudmannen ska ta ansvar för att ställa krav på den personuppgiftshantering som görs i verksamheter som huvudmannen inte bedriver i egen regi. Datainspektionen ansåg att den föreslagna regleringen riskerade att skapa otydlighet genom att det kan uppstå motstridigheter i regelverket. Datainspektionen ansåg att det är viktigt att ansvarsfrågan regleras tydligt och avstyrkte därför förslaget.18 I övrigt var Datainspektionens kritik främst inriktad på de delar av betänkandenas förslag som 14Effektiv vård (SOU 2016:2), s. 558. 15Datainspektionens remissvar på SOU 2014:23, dnr 1568-2014. 18Datainspektionens remissvar på SOU 2015:32, dnr 1236-2015. Hälso- och sjukvård och välfärdsteknik inom handlar om ett mer ändamålsenligt informationsutbyte inom och mellan hälso- och sjukvård och socialtjänst. Kommittén anser att en bestämmelse om att ge huvudmannen ansvar för att ställa krav på och följa upp de verksamheter som bedrivs inom huvudmannens ansvarsområde, inte för med sig att huvudmannen blir personuppgiftsansvarig för den behandling av personuppgifter som andra verksamma vårdgivarna utför. Det uppstår enligt vår mening ingen otydlighet beträffande personuppgiftsansvaret av en sådan regel, Följande förslag från Utredningen om rätt information i vård och omsorg och (1–4 nedan) bör enligt kunna leda till lagstiftning: Säker och ändamålsenlig hantering av personuppgifter. Kommittén anser att en lag som reglerar personuppgiftshanteringen inom hälso- och sjukvården (patientdatalagen) bör innehålla ett kapitel med bestämmelser om en säker och ändamålsenlig hantering av personuppgifter. I det kapitlet bör bestämmelser om inre sekretess samlas med bestämmelser om ansvaret för att uppgifter finns tillgängliga när det behövs för att arbetet i hälso- och sjukvården ska kunna utföras på ett sätt som tillgodoser enskildas behov av god och säker vård m.m. Vårdgivaren har, som ovan nämnts, det övergripande ansvaret för informationssäkerheten i verksamheten. Informationssäkerhet handlar bland annat om att de system som innehåller personuppgifter ska vara lätta att använda och i övrigt ändamålsenliga samt att systemen utformas på ett sätt som tillgodoser patienternas behov av integritetsskydd. Tillgång till personuppgifter i hälso- och sjukvården vid rätt tillfälle är en förutsättning för att enskilda patienter ska få en god och säker vård. Vi anser att bestämmelser som reglerar det övergripande ansvaret för en säker och ändamålsenligt hantering av personuppgifter i hälso- och sjukvården bör samlas i ett särskilt kapitel i den lag som reglerar personuppgiftsansvaret för hälso- och sjukvården. Syftet med att välja ut några särskilt viktiga bestämmelser i detta avseende och lyfta dessa i ett eget kapitel är att betona vårdgivarens och yrkesutövarnas ansvar för att uppfylla lagens syfte. Ett sådant kapitel kan omfatta Hälso- och sjukvård och välfärdsteknik inom dessa nya bestämmelser och relevanta bestämmelser som redan nu finns i patientdatalagen. Huvudmannens ansvar för kravställning Kommittén anser att det bör införas bestämmelser om att en huvudman, genom att ställa krav på och följa upp de vårdgivare som är verksamma inom huvudmannens ansvarsområde, ska se till att kraven på ändamålsenlig och säker behandling av personuppgifter som ställs i patientdatalagen följs. En huvudman ska se till att de vårdgivare som är verksamma inom huvudmannens ansvarsområde, har sådana informationssystem som kan användas för ändamålsenligt och säkert utbyte av personuppgifter enligt denna lag. Huvudmannen – ett landsting eller en kommun – har det yttersta ansvaret för att säkerställa att vård erbjuds till i hälso- och sjukvårdslagen angiven personkrets. Vården kan utföras i egen regi, men huvudmannaansvaret innebär ingen skyldighet för huvudmannen att själv bedriva verksamheten, utan driften kan ligga på en fristående vårdgivare. När hälso- och sjukvård bedrivs genom en vårdenhet som är direkt knuten till huvudmannen är både huvudman och vårdgivare, men har olika ansvar i de olika rollerna. I förhållande till de privata aktörerna på vårdområdet är kommunen eller endast huvudman, med visst övergripande ansvar för kommunmedlemmarnas vård men utan bestämmanderätt över vårdgivarens dagliga verksamhet. Varje vårdgivare är också personuppgiftsansvarig för sin hantering av personuppgifter. Mot bakgrund av det ansvar som huvudmannen har för att eller kommunens invånare får god vård är det rimligt att huvudmannen ansvarar för en fungerande samverkan mellan vårdgivarna inom det egna ansvarsområdet liksom med andra huvudmän och vårdgivare. En patient ska inte utsättas för sämre kontinuitet i vårdprocessen för att huvudmannen inte bedriver all sjukvård i egen regi. Ifall hälso- och sjukvården inom huvudmannens ansvarsområde bedrivs av flera olika vårdgivare måste dessa kunna utbyta information på ett ändamålsenligt och säkert sätt. Detta innebär att huvudmannen vid upphandlingen måste ställa vissa grundläggande krav på utformningen av de informationssystem Hälso- och sjukvård och välfärdsteknik inom som utförarna använder, till exempel med avseende på informationsstruktur, termer och begrepp, tekniska krav för användning, utbyte och återanvändning av information, standarder och säkerhetskrav. Huvudmannens ansvar för informationshanteringen inom sitt ansvarsområde bör få en uttrycklig reglering i patientdatalagen. Ett landsting eller en kommun (huvudmannen) ska ställa krav på och följa upp de vårdgivare som är verksamma inom huvudmannens ansvarsområde, och på så sätt se till att kraven på ändamålsenlig och säker behandling av personuppgifter som ställs i patientdatalagen följs. Huvudmannens ansvar för att de verksamheter som bedrivs inom ansvarsområdet kan utbyta information på ett lagligt, sätt bör också regleras. Det ska i patientdatalagen uttryckligen ställas krav på att en huvudman ska se till att de informationssystem som används av vårdgivare som är verksamma inom huvudmannens ansvarsområde, kan användas för ändamålsenligt och säkert utbyte av personuppgifter. Dokumenterade personuppgifter ska hanteras och förvaras så att obehöriga inte får tillgång till dem Kommittén anser att det i patientdatalagen bör finnas bestämmelser om att vårdgivare ska se till att dokumenterade personuppgifter hanteras och förvaras så att obehöriga inte får tillgång till dem. Om internet eller andra jämförliga nät används för att överföra personuppgifter som behandlas enligt patientdatalagen, ska vårdgivaren se till att överföringen görs så att ingen obehörig kan ta del av uppgifterna. Vårdgivaren, som har det yttersta ansvaret för att verksamheten bedrivs säkert ur alla aspekter, ansvarar också för att se till att dokumenterade personuppgifter hanteras och förvaras så att obehöriga inte kan ta del av dem. Detta gäller men är inte tillräckligt uttryckligt reglerat – annat än på föreskriftsnivå. Vi bedömer att detta är en inte helt tillfredsställande lösning med avseende på den omfattande behandling av känsliga personuppgifter som görs inom hälso- och sjukvården. Ansvaret innebär bl.a. att vårdgivaren måste se till att de informationssystem som används i verksamheten är skyddade mot obehörig åtkomst och att det finns bra system för tilldelning av behörighet och för åtkomstkontroll. Bestämmelsen syftar till att Hälso- och sjukvård och välfärdsteknik inom skydda uppgifterna från otilllåten spridning såväl inom som utom verksamheten. Detta krav på säkerhet vid hantering av personuppgifter över öppna nät regleras i föreskrifter och allmänna råd (HSLF-FS 2016:40) om journalföring och behandling av personuppgifter i hälso- och sjukvården. Den lag som reglerar hanteringen av personuppgifter inom hälso- och sjukvården bör enligt kommittén vara så uttömmande som möjligt ifråga om de integritetsskyddsbestämmelser som det bedöms finnas särskilt behov av för hälso- och sjukvårdens del. Därför anser vi att det bör finns en grundläggande bestämmelse i patientdatalagen eller motsvarande som tydliggör kravet på särskilda säkerhetsåtgärder vid överföring av personuppgifter över internet eller andra jämförliga nät. Kommittén anser att det i lagen ska anges att vårdgivare ska se till att de informationssystem som innehåller personuppgifter är lätta att använda, stödjer det kliniska arbetet, underlättar arbetet med kvalitetsutveckling, underlättar samverkan och utbyte av uppgifter samt är utformade på sådant sätt att patienternas integritetsskydd tillgodoses. Svensk sjukvård har en hög datoriseringsgrad. Till exempel har i princip alla landsting it-stöd för all vårddokumentation. Trots detta anser professionernas företrädare att systemen inte alltid ger det stöd i arbetet som behövs för att bedriva en effektiv och säker verksamhet.19 Ett informationssystem bör stödja yrkesutövaren i arbetssituationen. Systemet bör t ex att underlätta för användaren att göra rätt och motverka att användaren kan göra fel både i systemet och vid utförandet av vårdinsatserna. Ett användarvänligt informationssystem kan öka vård- och omsorgskvaliteten för vårdtagare och personal samt minska kostnaderna för vårdgivaren. Patientdatalagen bör därför kompletteras med en bestämmelse som konkretiserar några av de grundläggande krav som måste ställas på ett informationssystem som innehåller personuppgifter och som ska användas i och för vården av en patient. 19 Störande eller stödjande? , , , och genomförde projektet ”Om e-hälsosystemens användbarhet 2013”. Hälso- och sjukvård och välfärdsteknik inom ansvarig för att en god och säker vård ges och för hanteringen av personuppgifter i verksamheten. I detta ligger även ett ansvar för att kravställa och upphandla informationssystem som är ändamålsenliga, säkra och kan användas som stöd i arbetet. Informationssystemen måste vara uppbyggda så att det är möjligt att använda personuppgifter för att fortlöpande och systematiskt utveckla och säkra kvaliteten i verksamheten. Systemen måste också utformas på ett sådant sätt att den enskildes behov av integritetsskydd tas tillvara vid kvalitetsarbetet. Bland annat måste vårdgivare verka för att inte fler personuppgifter än vad som är nödvändigt med hänsyn till ändamålet används vid kvalitetsarbetet. Informationssystemen kan därför, bland annat, behöva utformas så att användaren inte exponeras för fler personuppgifter än vad som är nödvändigt och att sammanställningar och andra underlag som tas fram vid kvalitetsarbetet inte innehåller personuppgifter som är direkt hänförliga till enskilda individer. Vårdgivaren ansvarar även för att systemen ska möjliggöra samverkan med andra enheter, verksamheter och vårdgivare. För att lyckas med detta måste vårdgivaren arbeta med informationssystemens struktur och innehåll. Vårdgivaren kan i detta arbete exempelvis få stöd av arbete med en nationell informationsstruktur och ett nationellt fackspråk. Vidare innebär det övergripande ansvaret för de informationssystem som innehåller personuppgifter, enligt utredningens förslag, ett krav på att utforma systemen på ett sådant sätt att integritetsskyddet tillgodoses. Att direkt i verksamhetssystemen bygga in integritetsskyddande funktioner som gör det lätt för personalen att göra rätt och i stället gör det svårt att göra fel, har stora fördelar. Kommittén anser i likhet med Utredningen om rätt information i vård och omsorg och att det bör finnas en sådan bestämmelse som uttrycker vårdgivarens ansvar för flera olika aspekter av informationssäkerhet vid hanteringen av personuppgifter i hälso- och sjukvården. Patientdatalagen behöver också ses över i förhållande till dataskyddsförordningen. Regeringen har därför tillsatt en utredning20 () som ska undersöka vilka konsekven- 20 Dir 2016:52, Utredningen om dataskyddsförordningen – behandling av personuppgifter och anpassningar av författningar inom verksamhetsområde, S 2016:05. Hälso- och sjukvård och välfärdsteknik inom ser dataskyddsförordningen medför i fråga om personuppgiftsbehandling inom verksamhetsområde samt analysera vilka anpassningar av författningar som krävs eller bör göras med anledning av den nya EU-regleringen och personuppgiftslagens upphävande.