sou · H8B314 · 2020-03-11 00:00:00 — Dessutom är i regel uppgifterna som be- handlas integritetskänsliga även om de inte tillhör de särskilda kate- gorierna i dataskyddsförordningen. Ett uttryck för att det är fråga om uppgifter som normalt sett är att anse som känsliga är att uppgifterna omfattas av sekretess. De uppgifter om personliga förhållanden som behandlar omfattas som huvudregel av sekretess. Det är därför rimligt att säkerhetsåtgärder som vidtas inom sker på en nivå som motsvarar vad som gäller för personuppgifts- behandling inom hälso- och sjukvården.154 155 Skarpare regler om skyddet för personuppgifter inom behövs föreskrifter och allmänna råd om journalföring och behandling av personuppgifter i hälso- och sjukvården (HSLF- FS 2016:40) stödjer sig i nu relevanta delar på bemyndigandet 7 kap. 4 § och 8 kap. 5 § första stycket 1 och 3 patientsäkerhetsförord- ningen (2010:1369), 2 och 3 §§ patientdataförordningen (2008:360) samt 2 § 1 och 4, 3 § 1 och 4 § 5 förordningen (1985:796) med vissa bemyndiganden för att meddela föreskrifter m.m. I 2 § patientdataförordningen föreskrivs att efter samråd med Datainspektionen får meddela föreskrifter i vissa avse- enden, bl.a. om tilldelning av behörighet för åtkomst till uppgifter som förs helt eller delvis automatiserat enligt 4 kap. 2 § PDL och om dokumentation och kontroll av elektronisk åtkomst enligt 4 kap. 3 § PDL. Enligt 3 § får , efter samråd med Data- inspektionen, meddela föreskrifter som behövs för verkställigheten av PDL i fråga om säkerhetsåtgärder vid helt eller delvis automa- tiserad behandling av personuppgifter. Förordningen (1985:796) med vissa bemyndiganden för Social- styrelsen ger inte stöd för att meddela några föreskrifter gällande behandling av personuppgifter och journaler inom . Det gör självfallet inte patientsäkerhetsförordningen eller patient- dataförordningen heller. Enligt 8 kap. 1 § socialtjänstförordningen får meddela sådana föreskrifter inom 154Socialstyrelsen (2019a), s. 37. 155JO har dragit paralleller till hälso- och sjukvården, se JO beslut , dnr 1376-2013. som behövs till skydd för enskildas liv, personliga säkerhet eller hälsa i verksamhet som avser bl.a. äldre personer Vidare gäller enligt 8 kap. 5 § socialtjänstförordningen att får meddela ytter- ligare föreskrifter om verkställigheten av bl.a. socialtjänstlagen samt föreskrifter om verkställigheten av denna förordning. Socialstyrel- sen kan knappast stödja sig på dessa bemyndiganden för att lämna föreskrifter om behandling av personuppgifter inom . Någon skyldighet att samråda med Datainspektionen, som före- skrivs för hälso- och sjukvårdsområdet, finns inte heller. Det som finns på område är före- skrifter och allmänna råd (SOSFS 2014:5) om dokumentation i verksamhet som bedrivs med stöd av Socialtjänstlagen, LVU, LVM och LSS, som stödjer sig på bl.a. 8 kap. 5 § socialtjänstförordningen. Föreskrifterna ska tillämpas vid dokumentation under handläggning av ärenden som gäller enskilda samt under genomförande och upp- följning av beslut om insatser i verksamhet som omfattas av 11 kap. 5 § eller 7 kap. 3 § första stycket socialtjänstlagen samt i vissa andra angivna fall. De har inte tillnärmelsevis lika hög detaljeringsgrad som de föreskrifter i samma ämne som vänder sig hälso- och sjukvården, men föreskrifterna för hälso- och sjukvården stödjer sig på bl.a. PDL, som i sig innehåller detaljerade regler om förandet av journal, sökbegrepp, tilldelning av behörighet för elektronisk åtkomst, kon- troll av elektronisk åtkomst, utlämnande genom direktåtkomst m.m. Registerförfattningen på område innehåller inget av detta utan medger i stället regeringen eller den myndighet som reger- ingen bestämmer att lämna närmare föreskrifter om sökbegrepp, direktåtkomst och samkörning av personuppgifter. Regeringen får även meddela föreskrifter om när personuppgifter får föras över till tredje land och begränsning av ändamål. Det är svårt att se några etiskt hållbara skäl till varför skyddet av känsliga personuppgifter som behandlas av ska vara lägre än motsvarande skydd inom hälso- och sjukvården. Om social- tjänstens behandling av känsliga personuppgifter i digital form kan förväntas öka kraftigt till följd av en ökad användning av välfärds- teknik i vid bemärkelse, är det nödvändigt att ställa sig frågan om är för detta. Staten bör tydligt ge uttryck för vilken nivå av skydd som verksamhetssystem måste tillhandahålla, som en del av den statliga styrningen. En tydlig ”stan- dard” på informationssäkerhetsområdet bör snabbt kunna få genom- slag genom kravställning vid offentlig upphandling. Regelmässigt måste krav ställas på de lösningar som köps in av hälso- och sjukvård och socialtjänst så att inte obetänksamma kravspecifikationer leder till onödiga integritetsrisker, genom att man bygger in integritets- skyddande lösningar i systemen som förhindrar obehörig åtkomst och spridning av uppgifter (privacy by design). Därför anser vi att i SoLPUL behöver införas en ny bestämmelse med krav på att den som bedriver verksamhet inom ska 1.bestämma villkor för tilldelning av behörighet för åtkomst till sådana uppgifter om enskilda som förs helt eller delvis auto- matiserat. Sådan behörighet ska begränsas till vad som behövs för att personen ska kunna fullgöra sina arbetsuppgifter, 2.se till att åtkomst till sådana uppgifter om enskilda som förs helt eller delvis automatiserat dokumenteras och kan kontrolleras, och 3.göra systematiska och återkommande kontroller av om någon obehörigen kommer åt sådana uppgifter. Detta är krav som framgår i PDL och som ligger till grund för de detaljerade föreskrifter inom hälso- och sjukvården om informa- tionssäkerhet och behandling av personuppgifter, vilka dessutom tagits fram i samverkan med Datainspektionen. Utan stöd i lagen blir det omöjligt för att meddela föreskrifter. Vi föreslår därför även att 11 § SoLPUL med bemyndigandet till regeringen att komma med föreskrifter ska få ett nytt stycke: Regeringen eller den myndighet som regeringen bestämmer får även meddela föreskrifter om tilldelning av behörighet för åtkomst till uppgifter som förs helt eller delvis automatiserat, om dokumentation och kontroll av elek- tronisk åtkomst och i fråga om säkerhetsåtgärder vid helt eller delvis automatiserad behandling av personuppgifter. Detta skapar möjlig- heter för att tillsammans med Datainspektionen föreskriva relevanta krav på informationssäkerhet och behandling av personuppgifter inom så att nivån på skyddet för känsliga personuppgifter inom blir densamma som en- ligt föreskrifter och allmänna råd om journalföring och behandling av personuppgifter i hälso- och sjukvården eller den lägre nivå som kan anses motiverad med hänsyn till relevanta skill- nader mellan hälso- och sjukvården och . Av avsnitt 4.5 framgår att det brister i arbetet med informations- säkerhet hos både kommuner och andra utförare. De lagändringar som här föreslås kan inte ensamt förändra det. Till saken hör att hälso- och sjukvården trots sina detaljerade föreskrifter uppvisar brister när det gäller informationssäkerhet, se t.ex. särskilt yttrande i betänkandet Rätt information på rätt plats i rätt tid (SOU 2014:23) och Datainspektionens remissvar beträffande samma betänkande. Som framgår av Datainspektionens två tillsynsbeslut (dnr 143-2017) från förekommer det att användarnas behörigheter inte begränsats till enbart vad de behöver för att fullgöra sin arbets- uppgifter inom hälso- och sjukvården (i strid med 4 kap. 2 § och 7 § PDL och 4 kap. 2 § i föreskrifter). I beslu- tet framgår också att journalsystemet som används i den kom- munalt finansierade hälso- och sjukvården saknade tekniska funk- tioner för spärrar, vilket bl.a. medför att nattsjuksköterskor inom äldrenämndens joursjukvård tar del av patienters ospärrade per- sonuppgifter hos andra vårdgivare utan patienternas samtycke (i strid med 6 kap. 3 § PDL).156 Detta illustrerar att risken för oönskad sprid- ning av personuppgifter inte kan ses enbart i ljuset av vilka regler som finns utan man måste ta i beaktande att regler inte alltid följs. Tillsyn är därför ett viktigt instrument för att åstadkomma följsam- het mot reglerna. Ännu bättre är det om verksamheterna själva be- driver ett aktivt arbete med informationssäkerhet. Förutsättningarna härför bedöms i vart fall inte ha försämrats till följd av ikraftträ- dandet av dataskyddsförordningen, snarare tvärtom. När det gäller kommunernas eget arbete med olika aspekter av informationssäkerhet bedömer vi att uppföljningar av e-hälsa och välfärdsteknik kan vara effektiva. När det gäller de privata utförarnas brister i fråga om informationssäkerhet bör det vara effektivt att beställare samordnar sig vid upphandling så att många kommuner ställer samma krav på t.ex. stark autentisering eller klass- ning. SKR:s verktyg KLASSA stödjer ett sådant arbetssätt. För tydlighets skull ska sägas att de regler som utredningen föreslår om vård och omsorg till dem med nedsatt beslutsförmåga inte förutsätter införandet av nya regler om informationssäkerhet. Ett väl avvägt integritetsskydd inger dock förtroende. 156Datainspektionen förelade därför nämnderna att efter en behovs- och riskanalys tilldela varje användare individuell behörighet för åtkomst till personuppgifter i journalsystemet , till vad som behövs för att de ska kunna fullgöra sina arbetsuppgifter, liksom att införa tekniska spärrar i journalsystemet. som vill kunna använda välfärdsteknik behöver säkerställa att per- sonuppgiftsbehandlingen uppfyller grundläggande krav för säkerhet vid behandling av känsliga personuppgifter. Dessutom kan konsta- teras att oavsett om dessa regler införs eller ej kommer personupp- giftsansvariga att behöva göra konsekvensbedömningar och riskana- lyser på grund av dataskyddsförordningens regler. Förslagen om behörighetskontroll, loggning och kontroll av loggar bedöms såle- des inte ge upphov till något merarbete för de berörda. Däremot kan kostnader uppkomma för dem som ännu inte använder säker auten- tisering vid inloggning, se vidare i avsnitt 9.3.6. 8.10Överväganden och förslag om stöd till personalen Bedömning: Kompetensen inom äldreomsorgen behöver höjas, generellt och specifikt, dels på grund av ökade krav på kvalitet och produktivitet, dels för att kunna möta de behov som digitalisering medför. Det handlar inte minst om kompetens i fråga om verk- samhetsutveckling, logistik och pedagogik. För att möta detta finns det behov av att standardisera utbildningsinnehåll både på grundläggande nivå och i fråga om vidareutbildning. Historiskt har nya tekniska lösningar och automation inneburit att gamla arbetsuppgifter ersatts av nya. har innovationer resulterat i en omfördelning av arbetskraften mellan arbetsgivare, branscher och sektorer. Den ständiga förändringen av arbetets inne- håll och kompetenskrav, oavsett om det är en teknikdriven utveck- ling eller inte, ställer krav på kompetensutveckling. Politiska beslut, arbetsgivarnas investeringar och arbetstagarnas förmåga att lära nytt (förändrade arbetsuppgifter), lära om (utveckling i arbetet) och lära mer (höjda krav i arbetet) blir avgörande för arbetsmarknadens för- måga att ställa om vid strukturomvandlingar. De fackliga organi- sationerna är en viktig aktör i detta förändringsarbete. och den offentliga sektorn är nu inne i stor samhällsom- vandling som både möjliggörs genom och drivs på av digitalisering, men även av ett antal underliggande faktorer, inte minst den demo- grafiska utmaningen. Framtidens arbetsmarknad kommer att vara mer föränderlig. Det kräver kontinuerlig kompetensutveckling för dem som är i arbete och det digitala inslaget blir allt större i allt fler yrken och arbetsuppgifter. Livslångt lärande blir allt viktigare.157 För att möta rekryteringsbehoven behöver huvudmännen gemen- samt och strategiskt arbeta med kompetensplanering, med att utveckla attraktiva arbetsplatser och med att satsa på kompetensutveckling av befintlig personal.158 Den största och viktigaste uppgiften i samband med införande av välfärdsteknik är att utveckla nya arbetssätt. Tyvärr finns det exem- pel på hur nya digitala lösningar har införts, där antingen arbets- sätten förblivit oförändrade så att inga verkliga förbättringar skett, eller där de gamla arbetssätten har behållits och nya lagts till så att processen blivit ännu mer tidskrävande. Att utveckla nya arbetssätt kräver både kompetens och tillräckliga resurser. Det görs därför med fördel i projektform och i mindre skala inför ett breddinförande. Det är av yttersta vikt att de som ska arbeta med de nya arbetssätten görs delaktiga i arbetet med att utveckla de nya arbetssätten. Även in- vånaren behöver bli delaktig på något sätt. Även om alla steg är på plats vad avser upphandling, rutiner, ut- bildning etc. kan ibland volymökningen i användning av de nya digitala tjänsterna dröja eller helt utebli. Det har visat sig att det ofta beror på osäkerhet eller resursbrist hos biståndshandläggare, verk- samhetschefer eller vem det nu är som ska fatta besluten i enskilda fall. Därför är det viktigt att säkerställa att dessa nyckelpersoner har tydliga rutiner och, kontinuerlig handledning, liksom tillgång till kommunikationsmaterial och stöd i kommunikationen med indivi- derna och deras anhöriga.160 I flera undersökningar som rör välfärdsteknik framgår behovet av ökad kompetens om själva tekniken. Omvärldsbevakningen kan vara en utmaning. I mån av tid söker kommunernas medarbetare information om utbudet av tjänster. Mindre kommuner saknar ofta möjligheten att 157Jfr bl.a. (2018). En lägesbild av digital kompetens. 158I förstudie, där bl.a. detta uttalades, föreslogs en flerårig åtgärdsplan som bl.a. innefattar stöd till kompetensutveckling och utveckling av kunskapsbaserade stöd. fick i uppdrag att stärka stödet till den kommunalt finansierade hälso- och sjukvården med utgångspunkt i den föreslagna åtgärdsplanen. Se regleringsbrev för budget- avseende , . 159Välfärd & Hälsa/(2018), s. 49 f. 160Välfärd & Hälsa/(2018), s. 62. delta på konferenser. Omsorgspersonal och biståndshandläggare be- höver ökad kunskap om teknik, e-hälsa och välfärdsteknikens möj- ligheter för att kunna bidra till att skapa tillit, förtroende och en positiv attityd till utvecklingen. Digital transformation av skiljer sig inte från annat förändringsarbete. För att lyckas krävs ett medvetet arbete med för- ändringsledning och en integration med övriga förändringsprocesser inom kommunen. Ledningens kompetens är därför av avgörande betydelse för en framgångsrik implementering. Erfarenheten visar att det är viktigt med en strategisk inriktning på arbetet med välfärdsteknik. Annars är risken stor att aktiviteterna blir enskilda projekt utan samordning, prioritering och varaktighet. Införande av välfärdsteknik är så genomgripande när det gäller såväl mötet med invånarna som de interna processerna i verksamheten, att det är av yttersta vikt att politiker på olika nivåer är involverade i arbetet. Att närmast berörd nämnd (socialnämnd) tar beslut om in- riktning, resurser, prioriteringar och effektmål är centralt. Även på central nivå, huvudsakligen inom kommunstyrelsen, bör övergripan- de beslut tas upp, i synnerhet då det handlar om generella förutsätt- ningar i form av organisation och infrastruktur, men också där synergieffekter finns med andra sektorer, t.ex. skolan. Strategin kan ta upp frågor som övergripande syfte och mål med digitalisering, organisation, ansvar och roller, och resurstilldelning. Den kan även ta upp frågor om gränsdragningar när det gäller vad som är kom- munens åtagande och invånarens, liksom grunder för prioritering. Att alla nivåer av ledningen inom organisationen är insatta, moti- verade och aktiva i arbetet med välfärdsteknik skapar förutsättningar för den uthållighet och det fokus som behövs för att lyckas. Till- räcklig prioritet behöver ges för både planering och aktiviteter. Alla ledare behöver vara engagerade i kommunikationsarbetet, både in- ternt mot medarbetarna och externt mot invånarna. Precis som med politikerna är det viktigt att den högsta tjänstemannaledningen får en konkret förståelse för möjligheter och utmaningar med välfärds- Förstalinjechefer behöver bli trygga i sin roll och i vad för- ändringarna kommer att innebära.161 En bra vision162 kan fungera som en riktlinje för personal och led- ning för att säkerställa att alla drar åt samma håll. En vision om välfärdsteknik får sin giltighet när en brett sammansatt grupp intres- senter fått möjlighet att bidra (ledning, personal, användare och anhöriga). Visionen måste avtalas och godkännas av politiker och högsta ledning för att förankring och ägarskap genom hela organisa- tionen ska kunna säkerställas. Om en vision saknas kan det leda till att kommunens insatser inte riktas mot prioriterade behov och synergieffekter inte utnyttjas maximalt.163 En strategi är en operatio- nalisering av visionen. Den bestämmer bl.a. hur resurserna ska för- delas. Strategin ska bidra till att integrera processen för arbete med välfärdsteknik i hela kommunens organisation. Arbetet med välfärds- teknik sägs omfatta en kulturförändring för organisationen. Man behöver skapa samsyn hos de olika professionerna. Att förstå behoven hos en organisation och dess slutanvändare sägs utgöra grunden för att framgångsrikt kunna implementera väl- färdsteknik. En behovsanalys kan vara komplex och omfatta många olika aspekter och perspektiv. På grund av en kommuns komplexitet måste en behovsanalys vara fokuserad och tydligt avgränsad till en målgrupp. I dess enklaste form är den emellertid bara en metodisk utvärdering av en organisation och dess slutanvändare med målet att identifiera områden med förbättringspotential. Tyvärr förbigås eller underskattas ofta behovsanalysen:164 (M)ånga myndigheter utgår ifrån att de förstår sina organisationers och slutanvändares behov. Denna förutfattade mening kan leda till miss- lyckade projekt och dålig användning av knappa offentliga resurser. Utöver att kunskaperna om hela organisationen och dess slutanvändare växer kan en grundlig behovsanalys också ge ytterligare fördelar genom att skapa en känsla av ägande gällande ny teknik i olika sektorer och professioner. Får personalen hjälpa till att identifiera behov och pro- blem kan detta tidiga engagemang skapa en känsla av ägande gentemot tekniken som tillgodoser det specifika behovet. 161Välfärd & Hälsa/(2018), s. 18. 162En vision ska alltid formuleras med ett tidsperspektiv på 3–i åtanke. 163NVC (2017). Välfärdsteknologi – verktygslåda för implementering. 164NVC (2017), s. 33. I en politiskt styrd organisation kommer många andra faktorer att påverka besluten kring vilket projekt som ska startas eller vad som ska prioriteras. Dessa faktorer kan vara opinionsmässiga förutsätt- ningar, administrativ och/eller politisk prioritet inom kommunen, och vilka möjligheter som finns till extern finansiering. Behovsana- lysen ska följas av en prioriteringsprocess. Prioriteringen bör göras på högsta nivå för att säkerställa engagemang och ägande. Det brukar sägas att implementeringen står för av arbetet när nya tjänster ska introduceras. Rekommendationen är att redan före start skapa en grundlig implementeringsplan med mål- sättningar, uppgifter, tidslinje och uppföljning. Implementerings- planen ska vara förankrad på alla nivåer. Enkelt uttryckt: vem är ansvarig för vad på olika organisationsnivåer och i processens olika skeden? Planen måste innehålla en mycket tydlig riktlinje för vem som har rätt att använda den nya tjänsten. Implementeringsplanen ska också innehålla en plan för logistik (lagring och transport), tek- niktjänster och support. Utbildning är en viktig del av implemen- teringsfasen.165Det är viktigt att avsätta tillräckligt med tid och resur- ser till utbildning. Att göra sig av med gamla metoder är svårt och kräver ett systematiskt tillvägagångssätt.166 Att ha ett bra system för nyttouppföljning av de implementerade tjänsternas resultat garanterar att både kommunen och slutanvän- darna får den kvalitet som man betalar för. Nordiskt välfärdscenter (NVC) konstaterar dock i sin verktygslåda CONNECT att inte många nordiska kommuner har en specifik plan för nyttouppfölj- ning i arbetet med välfärdsteknik. Vidare framgår bl.a. följande. En nytta kan inte på riktigt hämtas hem förrän kommunen framgångs- rikt har implementerat en hållbar förändring. Detta är mycket svå- rare än man kan tro eftersom det ofta tar tid att bryta gamla vanor och arbetsflöden. Man ska också komma ihåg att det finns en tids- aspekt. När en ny teknik implementeras kommer det förmodligen att ta tid innan personal och slutanvändare är helt bekväma med tjänsten, och på samma vis tar det tid innan nya arbetsflöden eller organisationer sätter sig och börjar fungera effektivt. Det är därför troligt att den nya tjänsten inte genast fungerar optimalt. Eftersom nyttouppföljning kräver extra resurser är det viktigt att politiskt stöd och/eller stöd från ledningen har säkrats. 165NVC (2017), s. 59. 166NVC (2017), s. 259. Myndigheten för delaktighet (MFD) har anfört att för att kun- skapen om och användningen av digital teknik ska öka behöver kom- munerna se tekniska förutsättningar och implementeringen av digi- tal teknik som en del av sin verksamhetsutveckling. På lokal nivå måste implementeringen av digital teknik och digitala trygghets- tjänster samt de tekniska förutsättningarna för implementering tyd- ligare kopplas samman och integreras med verksamhetsutvecklingen. Att utveckla verksamheten är en del i kvalitetsarbetet. Verktyg för att skapa struktur och att systematisera användningen av digital teknik finns i föreskrift om ledningssystem för syste- matiskt kvalitetsarbete.167 Genom ett systematiskt arbetssätt vad gäller digital teknik kan kommunerna dessutom förbättra arbetsmil- jön och göra yrken inom omsorgen mer attraktiva, framhöll MFD. Det finns ett behov om ökad kunskap om och stöd i hur ett syste- matiskt arbetssätt kan underlätta arbetet med de tekniska förutsätt- ningarna och implementering av digital teknik.168 För att kommunerna ska klara välfärden behövs förändrade arbets- sätt, organisation och utvecklade ledningssystem, ansåg E-hälso- myndigheten i en rapport från 2019.169 Enligt myndigheten priori- teras dock inte digitaliseringen inom högsta förvaltningsledning och kompetensen saknas. I rapporten framgår bl.a. följande.170 Med digi- taliseringen tillkommer nya och förändrade arbetsuppgifter som kräver kontinuerlig kompetensutveckling i alla led från politiker till medarbetare i det yttersta utförarledet. Verksamhetsutveckling med stöd av digitalisering och välfärdsteknik är komplex och kräver rätt förutsättningar, tid och resurser för en hållbar utveckling. För att verksamhetsutvecklingen ska gå i rätt riktning och digitaliseringen få fullt genomslag i verksamheterna behöver chefernas och politi- kernas kompetens avseende såväl digitaliseringens möjligheter som förutsättningar stärkas. Digitalisering kan inte ses som ett enskilt 168MFD hänvisar bl.a. till en rapport från Statskontoret . Där ansågs att kunskaps- utvecklingen inom socialtjänstområdet ännu inte var systematiserad. Det saknades tydliga processer för brukarmedverkan och kopplingen till forskningen behövde stärkas. Vidare ut- nyttjades inte potentialen i it-utvecklingen. Arbetet med e-hälsa ansågs inte tillräckligt integ- rerat med övriga insatser inom . 169Jfr pågående regeringsuppdrag om nationellt stöd till kommunerna vid införande och användning av digital teknik (e-hälsa), S2018/02375/FST. Uppdraget, som ska redovisas , syftar till att stödja kommunernas verksamhets- utveckling med stöd av digitalisering och välfärdsteknik samt stödja kommunernas arbete med effektivisering i kommunala verksamheter inom social omsorg och hälso- och sjukvård. 170Se s. 5 f. och s. 20 f. spår utan ska vara en integrerad och självklar del i verksamhets- utvecklingen.