sou · H8B353 · 2020-09-02 00:00:00 — Det gäller inte bara i samband med journalföring utan också för utformning och övrig behandling av personuppgifter inom all verksamhet som regleras av patientdatalagen, såsom annan vårddokumentation och kvalitetsregisteruppgifter, (1 kap. 2 § andra stycket). Regelns tillämpningsområde är inte begränsad enbart till hälso- och sjukvårdspersonal vid en viss enhet och dess arbete på 2017/18:171 s. 141 f. Bestämmelsen har generell räckvidd och omfattar all personal oavsett var den tjänstgör och oavsett för vilka syften uppgifterna behövs. Vidare ska dokumenterade personuppgifter hanteras och förvaras så att obehöriga inte får tillgång till dem (1 kap. 2 § tredje stycket). Bestämmelsen har ett vidare syfte än att bara vara en reglering av den inre sekretessen, det vill säga att den som arbetar hos en vårdgivare får ta del av dokumenterade uppgifter om en patient endast om han eller hon deltar i vården av patienten eller av annat skäl behöver uppgifterna för sitt arbete inom hälso- och sjukvården (se 4 kap. 1 §). Att obehöriga inte ska få tillgång till uppgifterna utgör generellt en garanti för att patienters och andras integritet ska respekteras då personuppgifter om dem hanteras och förvaras. Med hantering och förvaring avses här alla slags åtgärder som vidtas beträffande personuppgifterna. Bestämmelsen är tillämplig på alla dokumenterade personuppgifter. Den gäller således alla personuppgifter om exempelvis en patient, inte bara uppgifter som finns i och elektroniska patientjournaler. Med personuppgifter avses all slags information som direkt eller indirekt kan hänföras till en fysisk person.48 Som tidigare angetts specificeras inte närmare vilka personuppgifter eller personuppgiftskategorier som får behandlas i patientdatalagen. I stället är det bestämmelserna om ändamålsbestämningar som styr över vilka personuppgifter som är nödvändiga att behandla. Fler personuppgifter än vad som är nödvändigt med hänsyn till ändamålen med behandlingen får inte behandlas (2 kap. 4, 5 och 7 §§ samt 7 kap. 4–6 och 8 §). Som tidigare angetts innebär de uppräknade ändamålsbestämningarna att det tydliggörs var gränserna går för de användningsområden där den personuppgiftsansvarige får registrera och använda personuppgifter. Detta anses vara viktigt inte minst mot bakgrund av att den enskilde normalt inte kan motsätta sig att hans eller hennes uppgifter används för de ändamål som har fastslagits av lagstiftaren (2 kap. 3 § jfr dock 7 kap. 2 §). De föreslagna nya bestämmelserna om personuppgiftsbehandling för antalsberäkning bör därför betraktas som en skyddsåtgärd i sig. Behandlingen är tillåten bara efter en förfrågan, vars syfte är att få ett beräknat potentiellt underlag för eventuell forskning inom hälso- och sjukvården. Det kommer inte att vara möjligt för vårdgivare att med stöd av det nya ändamålet på eget initiativ göra egna sökningar, om det 2007/08:126 s. 223. inte är så att det i en särskild verksamhet inom vårdgivaren bedrivs forskning och en förfrågan görs därifrån. Även nödvändighetsrekvisitet i den rättsliga grunden för behandling av personuppgifter för antalsberäkning (uppgift av allmänt intresse), kan anses innebära en spärr mot helt onödig behandling av personuppgifter.49 Tekniska och organisatoriska skyddsåtgärder på lämplig säkerhetsnivå Skiljelinjen mellan tekniska och organisatoriska åtgärder är inte alltid helt tydlig. Särskilt tekniska skyddsåtgärder kan ofta behöva kompletteras med organisatoriska åtgärder. Det gäller till exempel vid åtkomstkontroll (accesskontroll). Med sådan kontroll avses att på systemnivå möjliggöra eller förhindra tillgång till filer, tjänster och andra resurser, så att bara den eller de inom en organisation som har behov av att komma åt vissa uppgifter ska kunna göra det. Accesskontroll får anses vara en grundläggande del av informationssäkerheten. När systemen innefattar lagrade personuppgifter utgör accesskontroll även en form av skyddsåtgärd som skyddar personuppgifterna från obehörig åtkomst (artikel 32.2). Genom att användaren endast får tillgång till sådana personuppgifter som han eller hon exempelvis har behov av i sitt arbete, kan risken för otilllåten behandling av personuppgifter förbyggas eller åtminstone minskas. Bestämmelser om accesskontroll finns i 4 kap. 2 §. I grunden är det fråga om en teknisk åtgärd som genomförs av systemansvariga som sätter till exempel läsrättigheter på filer och auktorisering på interna tjänster. Men beslut och beslutsfattande om vilka arbetsuppgifter som medför behov av att komma åt vilka uppgifter är en organisatorisk skyddsåtgärd. Enligt nämnda lagrum har en vårdgivare en skyldighet att bestämma villkor för tilldelning av behörighet till personal för åtkomst till patientuppgifter. Kopplat till bestämmelsen finns ett bemyndigande med stöd av vilket har utfärdat föreskrifter (se vidare avsnitt 5.8.4). Tekniska skyddsåtgärder kan ingå, helt eller som en del av informationssäkerheten och dess olika skyddsmål, bland annat konfidentialitet, integritet, tillgänglighet, spårbarhet och oavvislighet.50 Den 2017/18:298 s. 37 f. 50Se till exempel SOU 2004:32 s. 15. personuppgiftsansvarige ska enligt artikel 32.1 b säkerställa flera av dessa mål. Det gäller också för reglerna om uppföljning av uppgiftsåtkomst, som är tänkta att innebära en konkretisering av bestämmelser om sådana säkerhetskrav. Loggkontroller medger uppföljning av användarnas behandling av personuppgifter och syftar till att upptäcka situationer då personuppgifter behandlats på ett otillåtet sätt. Vårdgivare ska se till att åtkomst till sådana uppgifter om patienter som förs helt eller delvis automatiserat dokumenteras och kan kontrolleras (4 kap. 3 § patientdatalagen och kompletterande bestämmelser i myndighetsföreskrifter, se vidare avsnitt 5.8.4). Vårdgivare ska göra systematiska och återkommande kontroller av om någon obehörigen kommer åt sådana uppgifter. Styrning av tilldelning och begränsning av behörigheter är sådana tekniska och organisatoriska åtgärder som den personuppgiftsansvarige ska vidta på eget initiativ enligt dataskyddsförordningen.51 En annan teknisk skyddsåtgärd är förbud mot användning av vissa sökbegrepp. Vanligtvis rör det sig om förbud mot eller begränsningar att använda känsliga personuppgifter. Vid personuppgiftsbehandling för forskningsändamål får det anses vara möjligt, och nödvändigt, att kunna göra sökning och urval baserade på de faktorer eller variabler som ska studeras när detta är nödvändigt för att uppfylla ändamålet med behandlingen. I patientdatalagen finns en bestämmelse om förbud mot användning av känsliga personuppgifter som sökbegrepp i 2 kap. 8 § första stycket. I paragrafens andra stycke första punkten finns undantag från förbudet. Uppgifter om sjukdom och hälsotillstånd får användas som sökbegrepp. Fördelarna med att tillåta sökning på dessa från integritetssynpunkt känsliga begrepp är så självklara för att kunna genomföra en god och säker vård att intresset av en begränsning av sökmöjligheterna har fått ge vika.52 Det anses vara av väsentlig betydelse att, vid sidan av det individinriktade arbetet, kunna göra exempelvis verksamhetsuppföljningar med sammanställningar utifrån sökkriterier såsom diagnoser och liknande. Även vid verksamhetsplanering anses det finnas behov av möjligheter att identifiera utvecklingstrender som är av betydelse för verksamheten, till exempel i fråga om förväntningar på ökande tillströmning av olika patientkategorier. 2017/18:171 s. 138. 52Se till exempel prop. 2007/08:126 s. 67 f. manställningar bör dock möjligt avidentifieras, “eftersom individuppgifterna som sådana saknar betydelse för ändamålet med den fortsatta behandlingen”.53 Det kan i detta sammanhang konstateras att den huvudsakliga administrativa åtgärden vid antalsberäkning är just användning av känsliga personuppgifter som sökbegrepp, och sammanställning av dessa sökresultat. Den kombination av åtgärder som utgör behandlingen av personuppgifterna kan (helt eller delvis) utföras automatiserat. Detta kan innebära att resultaten i delmomenten inte blir synliga för den person som utför antalsberäkningen. Exempelvis är flera kvalitetsregister uppbyggda på ett sådant sätt att det går att göra en sökning i registret genom att specificera kriterier, varefter endast ett antal (inga uppgifter som identifierar specifika personer) återges som resultat av sökningen. Personuppgiftsbehandlingen innebär i dessa fall därmed ingen exponering av direkt utpekande personuppgifter. Det kan dock inte uteslutas att sökningar i exempelvis patientjournaler föranleder sammanställningar som innehåller personuppgifter. I likhet med vad som anförts beträffande behovet av användning av sökbegrepp för exempelvis kvalitetssäkringsarbete, avidentifieras sökresultatet även vid antalsberäkning. Avidentifieringen sker så att säga naturligt eftersom slutresultatet av behandlingen är ett antal. Som en skyddsåtgärd bör därutöver räknas den avgränsning av den föreslagna, nya ändamålsbestämningen. Behandlingen får enbart ske på förfrågan och för ändamålet att tillhandahålla ett nödvändigt beslutsunderlag för klinisk forskning. Det finns dock anledning att i de föreslagna nya ändamålsbestämmelserna i patientdatalagen ta in också upplysningsbestämmelser om att regeringen eller den myndighet som regeringen bestämmer kan, på lägre nivå än i lag, närmare reglera vem eller vilka personalkategorier som bör utföra den aktuella personuppgiftsbehandlingen, hur denna arbetsuppgift ska utformas, vilka sök- och sammanställningsmöjligheter som kan bedömas vara nödvändiga (det vill säga begränsningar av möjligheten att göra sökningar), vilken information om behandlingen som bör lämnas till de registrerade samt andra liknande frågor.54 2007/08:126 s. 69. 2017/18:298 s. 65. 5.8.4Praktisk hantering av dataskydd Dataskyddsförordningen beskriver, som nämnts, två principer för att rent praktiskt skydda data (artikel 25 och skäl 78). Den ena principen innebär att det i ett it-system redan från början byggs in regler för hur systemet ska användas och därigenom integreras dataskyddet, inbyggt dataskydd (eng. privacy by design). Den andra principen handlar om att se till att personuppgifter inte behandlas i onödan, till exempel genom att påverka åtgärder som styr hur uppgifter samlas in, delas ut eller visas, dataskydd som standard (eng. privacy by default). Principerna för dataskydd kan tillämpas vid utveckling, utformning, urval och användning av applikationer, tjänster och produkter som är baserade på behandling av personuppgifter. De åtgärder som vidtas kan vara såväl tekniska som organisatoriska. En stor del av den svenska hälso- och sjukvårdens infrastruktur och it-arkitektur utvecklas och förvaltas av bolaget , som ägs gemensamt av landets regioner och kommuner. För att hantera behörigheter till system inom hälso- och sjukvård har bolaget utarbetat en behörighetsmodell som tillämpas i ett stort antal nationella tjänster.55 Modellen beskriver både behörigheter som styrs direkt av patientdatalagen och behörigheter som inte berörs av denna lag, men som behövs för administrativa syften.56 Patientdatalagen reglerar bland annat it-relaterad informationshantering inom hälso- och sjukvården. Kompletterande, mer praktiska, anvisningar finns i föreskrifter och allmänna råd (HSLF-FS 2016:40) samt i tillhörande handbok.57 Där framgår att vårdgivaren har ansvar för att tilldela behörigheter, och för att ta fram rutiner som säkerställer bland annat att personalens behörigheter begränsas till vad som är nödvändigt för att ge en god och säker vård (4 kap. 1–3 §§ i nämnda föreskrifter). Behörigheten ska vara individuell och anpassad till att en individ kan ha flera olika arbetsuppgifter. I handboken illustreras behovet av att en användare kan behöva olika behörighetsnivåer vid olika tillfällen av ett exempel, där en person 55Inera AB (2019). Behörighetsmodell för vård och omsorg. Version 3.0, . 56Ordet ”behörighet” definieras i informationssäkerhetsstandarden (SIS-TR 50:2015 Terminologi för informationssäkerhet) som ”rättighet för en användare att använda informationstillgångar på ett specificerat sätt”. 57Socialstyrelsen (2017). Journalföring och behandling av personuppgifter i hälso- och sjukvården. vid tillämpningen av föreskrifter och allmänna råd (HSLF-FS 2016:40) om journalföring och behandling av personuppgifter i hälso- och sjukvården. ibland har jouransvar för en hel verksamhet, men annars ansvarar för en mindre vårdenhet. Oavsett typ av uppdrag styrs behörigheten vanligtvis med så kallad egenskapsbaserad behörighet. Det innebär att man tillämpar ett regelverk för att matcha egenskaper hos användaren med egenskaper hos den information användaren önskar åtkomst till. Regelverket utgår från personliga egenskaper (till exempel yrkeslegitimation), anställningsrelaterade egenskaper (till exempel befattningskod), uppdragsrelaterade egenskaper (till exempel för vilket ändamål personen behöver åtkomst till patientdata, såsom ”vård och behandling”), situationsrelaterade egenskaper (till exempel vilken metod som används för att verifiera identiteten vid inloggning i ett datasystem) samt vilken typ av information behörigheten gäller. Vårdgivaren är även ansvarig för kontrollen av att åtkomst till patientuppgifter är korrekt, genom att regelbundet granska loggar som dokumenterar åtkomsten. Vårdgivaren ska utvärdera skyddet mot såväl intern som extern olovlig åtkomst till datornätverk och informationssystem vilka används för behandling av personuppgifter (3 kap. 18 § och 4 kap. 9 § i nämnda föreskrifter). Utöver skydd i form av regler för behörighet skyddas personuppgifter inom hälso-och sjukvården också av det sätt på vilket de är lagrade och åtkomliga i systemet. Personuppgifter som är mer känsliga är lagrade så att det förfarande som benämns aktivt val är en förutsättning för att nå uppgifterna. Det innebär att en behörig användare aktivt måste ta ställning till om hon eller han har rätt att ta del av uppgiften. Valet att gå vidare i informationssystemet loggas. Ytterligare exempel på åtgärder för att trygga säkerheten för personuppgifter är hantering av lösenord och fysiskt skydd av systemen, såsom säkerhetsavspärrningar och tillträdeskontroll till lokaler där itsystemen finns. Dessutom ska vårdgivaren ha ett så kallat ledningssystem, som gör det möjligt för ledningen att styra verksamheten så att rätt sak görs vid rätt tillfälle och på rätt sätt. Processer och rutiner i ledningssystemet används för att säkerställa att personuppgifter som är lagrade i vårdgivarens system är tillgängliga, korrekta, konfidentiella och spårbara. Sammanfattningsvis kan det konstaterats att det finns en rad redan etablerade strukturer inom hälso- och sjukvården för att trygga en säker hantering av personuppgifter. 5.9Områden som inte berörs av förslagen Enligt förslagen införs nya bestämmelser i patientdatalagen, som tillåter att personuppgifter behandlas för att antalsberäkna möjliga deltagare för forskning inom hälso- och sjukvården. Förslagen gör det möjligt att genomföra antalsberäkning inför beslut om att eventuellt inleda klinisk forskning, det vill säga forskning som förutsätter vårdens strukturer och resurser och där personuppgiftsbehandlingen sker inom ramen för hälso- och sjukvården. Antalsberäkning som förutsätter personuppgiftsbehandling där uppgifterna hämtas från en källa utanför hälso- och sjukvården omfattas inte av förslaget. Exempel är forskargenererade data från studier som bedrivits vid ett lärosäte. Ett annat exempel är data i , som till exempel finns hos , och Statistiska centralbyrån.58 Hälsodataregister vid omfattas inte heller av förslagen, eftersom dessa är en form av myndighetsregister. Vi har övervägt behovet av att utreda eventuell reglering i annan lagstiftning än patientdatalagen för att nå även antalsberäkning som bygger på personuppgifter utanför hälso- och sjukvården. Ett skäl för detta skulle kunna vara att regelverken kan uppfattas som svåra att förstå eller efterfölja om det saknas motsvarande, uttryckliga, bestämmelse i annan lagstiftning. För flera myndighetsregister är det möjligt att få en överblick över de data som återfinns i registret via publikt tillgänglig statistik. På så sätt går det att bilda sig en övergripande uppfattning om antalet möjliga personer till en kommande forskningsstudie. Vi har kommit fram till att det behov som har påtalats för kommittén, och som är upprinnelsen till detta betänkande, framför allt rör antalsberäkning baserad specifikt på personuppgifter som omfattas av patientdatalagen. Därtill har vi haft begränsade resurser vilket varit ett skäl till att avgränsa utredningsarbete och förslag till det område som vi bedömt vara till störst nytta. 58Förteckning över myndighetsregisterhållare, där uppgifter ofta hämtas för forskning, finns på : /sv/register-i-sverige/lankar-nationella- myndighetsregister/. 6 Genomförande av förslagen Förslag och bedömning: De föreslagna författningsändringarna ska träda i kraft . Några övergångsbestämmelser behövs inte. Med hänsyn till den tid som kan beräknas gå åt för remissförfarande, beredning inom och riksdagsbehandling, bör de författningsändringar som vi föreslår kunna träda i kraft . Vi bedömer att det inte behövs några övergångsbestämmelser till de ändringar vi föreslår. 6.2.1Allmänt om förslagens syfte Betänkandet innehåller förslag till författningsändringar. Ett primärt syfte är att undanröja den osäkerhet som får anses föreligga om det rättsliga stödet för personuppgiftsbehandling vid antalsberäkning inför klinisk forskning. Regioner och kommuner ska medverka vid forskning inom hälso- och sjukvård och folkhälsoområdet; att bidra med underlag till de förberedande stegen inför klinisk forskning kan ses som en del av denna uppgift. förekommer det att hälso- och sjukvården tar fram underlag inför antalsberäkning. Hur sammanställningen rent prak- tiskt ska ske när det gäller uppgifter som hämtas från patientjournaler, till exempel om ett förfarande skulle underlättas av någon form av sökverktyg, är inte något som vi har undersökt. De föreslagna författningsändringarna påverkar varken omfattningen eller genomförandet av den praktiska uppgiftshanteringen, utan ger enbart de rättliga förutsättningarna för sådan behandling. Förslagen bedöms inte medföra någon ökad risk för att resurser tas från vård av patienterna. Förslagen kan komma att medföra viss minskad administration, framför allt för regionerna på grund av minskat behov av att undersöka och administrera frågor om huruvida det finns en rättslig grund för personuppgiftsbehandlingen, som är en följd av det föreslagna förtydligandet av lagstiftningen. Efterfrågan på personella resurser för att handlägga förfrågningar om antalsberäkning skulle kunna öka något till följd av att antalet förfrågningar om antalsberäkning kan komma att öka när det blir en tydligare uttalad möjlighet. Sammantaget bedöms förslagens ekonomiska konsekvenser för regioner och kommuner vara små och inte kräva någon ytterligare finansiering. Eftersom hälso- och sjukvården tar fram underlag inför antalsberäkning bedöms förslagen inte menligt påverka resursåtgången inom regioner eller kommuner. Förslagen kan på lång sikt antas ha positiva samhällsekonomiska konsekvenser eftersom de förväntas bidra till ökad kvalitet och tillförlitlighet i forskningen och därmed kan stärka som kunskapsnation. Detta bör även stärka förtroendet för svensk forskning såväl nationellt som internationellt. 6.2.3Konsekvenser avseende etiska aspekter Att inte skada, att göra gott, att respektera patientens autonomi och integritet samt att vara rättvis är viktiga etiska principer inom all hälso- och sjukvård. Rättviseprincipen framhålls i hälso- och sjukvårdslagens målparagraf, 3 kap. 1 §, genom att vården ska ges på lika villkor för hela befolkningen. Effekter för de intressenter som kan beröras av personuppgiftsbehandling vid antalsberäkning belyses i tabell 4.2 i avsnitt 4.3.3. 6.2.4Konsekvenser för innovation och forskning Utredningens förslag väntas bidra positivt till innovation genom att underlätta ansvarsfullt, säkert och etiskt nyttiggörande av hälso- och vårddata. Genom att adressera hinder och förtydliga oklarheter finns förutsättningar att underlätta för olika aktörer att tolka och tillämpa den lagstiftning som reglerar hur data får användas i tillämpningar som är nödvändiga förberedande steg för forskning och innovation. Förslagen kan bidra till att stävja variationer i kunskapsnivån hos aktörerna, och på så vis ge aktörerna mer likartade förutsättningar för innovation. I ett större perspektiv utgör förslagen en del av utvecklingen av som stark kunskapsnation inom life science-området. Genom att förbättra förutsättningarna för forskning, innovation och konkurrenskraftigt näringsliv finns möjligheter till bättre hälsa, utveckling av sjukvården och tryggat ekonomiskt välstånd. Behovet av utveckling av policyer och regelverk har identifierats som en viktig parameter för att stärka konkurrenskraft och därmed möjliggöra ökade investeringar, export och fler arbetstillfällen. Sammanfattningsvis bidrar förslagen till det arbete som redan görs för att svensk innovation ska stärkas. 6.2.5Konsekvenser för personuppgiftsbehandling inom privata vårdgivare som helt saknar koppling till offentligrättslig hälso- och sjukvårdsverksamhet Enligt vår bedömning är det inte möjligt för sådana privata vårdgivare som helt saknar koppling till offentligrättslig hälso- och sjukvårdsverksamhet att behandla personuppgifter för antalsberäkning.1 Anledningen är att vi bedömer att det inte finns något tillämpligt undantag enligt artikel 9.2 i dataskyddsförordningen. 1Som redogjorts för (se avsnitt 5.5.3) kan en juridisk eller fysisk person utföra uppgifter inom hälso- och sjukvården på uppdrag av en eller statlig myndighet. I dessa fall anses den privata vårdgivaren utföra en uppgift av allmänt intresse. Uppdragen regleras ofta i olika former av samverkansavtal, som i sin tur styrs via flera lagar såsom lag om valfrihetssystem (2008:962), lag om offentlig upphandling (2016:1145), lagen om läkarvårdsersättning (1993:1651) och lag om ersättning för fysioterapeuter (1993:1652). Det finns inte någon entydig definition eller förteckning över vårdgivare som helt saknar koppling till offentligrättslig hälso- och sjukvårdsverksamhet. I en genomgång gjordes en schematisering i offentliga och privata vårdgivare, med offentlig respektive privat finansiering.2 Kategorin privata vårdgivare med privat finansiering exemplifieras med vårdgivare inom alternativmedicin och kosmetisk kirurgi. Det är alltså inte möjligt att göra en uppskattning av antalet potentiella framtida studiedeltagare som finns specifikt hos de privata vårdgivare som helt saknar koppling till offentligrättslig hälso- och sjukvårdsverksamhet genom att göra en antalsberäkning som bygger på personuppgiftsbehandling. Det innebär att forskningshuvudmannen i stället på egen hand får göra en uppskattning av antalet möjliga studiedeltagare på något annat (mer osäkert) sätt, till exempel genom att göra en hypotetisk skattning av antalet patienter baserat på omfattningen av den privata vårdgivarens verksamhet. Ett alternativ är att forskningshuvudmannen hoppar över det förberedande steget med antalsberäkning och direkt inleder en forskningsstudie genom att som ett första steg göra en ansökan om etikprövning. Det finns då en risk att forskningsstudien inte kan genomföras, eftersom antalet medverkande personer visar sig vara alltför litet. Vår bedömning är att det är förhållandevis få deltagare till klinisk forskning som rekryteras från privata vårdgivare som helt saknar koppling till offentligrättslig hälso- och sjukvårdsverksamhet. 6.2.6Risk att dubbelräkna eller missa personer påverkas inte Vid antalsberäkningen kan uppgift om antal personer som motsvarar en viss uppsättning kriterier komma att efterfrågas hos flera aktörer inom hälso- och sjukvården.