prop · H903177 · 2022-03-21 00:00:00 — Direktåtkomst kan också innebära att det är svårare att säkerställa att obehöriga inte tar del av personuppgifter. Ytterligare en risk med direktåtkomst och annat elektroniskt utlämnande är att uppgifter om en enskild lättare kan kopieras och lagras hos mot- tagande vårdgivare eller omsorgsgivare, även om det inte finns något behov av en sådan lagring. Sådan hantering av personuppgifter kan stå i strid med principen om uppgiftsminimering i EU:s dataskyddsförordning. Här kan det också uppmärksammas att det finns bestämmelser i dataskyddsförordning som är generellt tillämpliga och som har betydelse i detta sammanhang. Enligt artikel 29 i dataskyddsförordningen får person- uppgiftsbiträdet och personer som utför arbete under den personuppgifts- ansvariges eller personuppgiftsbiträdets överinseende, och som får till- gång till personuppgifter, endast behandla uppgifterna på instruktion från den personuppgiftsansvarige. Det gäller såvida han eller hon inte är skyldig att göra det enligt eller medlemsstaternas nationella rätt. Vidare åligger det den personuppgiftsansvarige och personuppgiftsbiträd- et att tydligt instruera de personer som kommer att använda system om sammanhållen vård- och omsorgsdokumentation om hur systemet får användas. Enligt artikel 32.4 i dataskyddsförordningen ska den person- uppgiftsansvarige och personuppgiftsbiträdet vidta åtgärder för att säker- ställa att varje fysisk person som utför arbete och som får tillgång till personuppgifter under den personuppgiftsansvariges eller personuppgifts- biträdets överinseende, endast behandlar dessa på instruktion från den personuppgiftsansvarige, om inte eller medlemsstaternas nationella rätt ålägger honom eller henne att göra det. En annan omständighet som kan ses som en integritetsrisk är att det rör sig om behandling av känsliga personuppgifter. Inom verk- samhet avseende äldre personer och personer med funktionsnedsättning finns det som regel behov av att behandla uppgifter om omsorgsmottagar- ens hälsa, eftersom hälsan oftast är anledningen till de beviljade insatserna. Detta gäller inte bara uppgifter om psykisk och fysisk hälsa, utan även uppgifter om t.ex. hjälpmedel. Att stora mängder personuppgifter av känslig natur hålls samlade och finns potentiellt tillgängliga för ett större antal omsorgsgivare kan uppfattas som oroande av vissa omsorgsmottag- are. Detsamma gäller journaluppgifter från hälso- och sjukvården som riskerar få större spridning än vad som är motiverat. Inom kan det också finnas behov av att behandla uppgifter som inte definieras som känsliga personuppgifter enligt EU:s dataskydds- förordning, men ändå anses vara av känslig karaktär och av sådant slag att omsorgsmottagaren kan känna oro för att de ska spridas till obehöriga. Precis som kommun lyfter fram kan det i dokumentationen som upprättats inom ramen för insatser inom äldreomsorgen eller verksamheter riktade till personer med funktionsnedsättning, förekomma uppgifter om att någon är föremål för ekonomiskt eller annat stöd från . För vissa kan uppgifter om att vederbörande över huvud taget är föremål för utredning hos anses utgöra en personuppgift av känslig natur. Det kan också handla om uppgifter som inbegriper tredje person, t.ex. uppgifter om barn eller om våld i nära relationer. Regeringen instämmer i utredningens bild av att de uppgifter som kan komma att behöva behandlas ibland kan innehålla detaljerad information om omsorgsmottagarens vanor, sinnesstämning eller erfarenheter, upp- gifter som sammantaget närmar sig en form av kartläggning av omsorgs- mottagaren. Denna information kan samlat ge en mycket närgången bild av omsorgsmottagarens liv. Det har framförts att vissa omsorgsmottagare uppfattar denna typ av information som än mer utlämnande eller inte- gritetskänslig än uppgifter om hälsa, och därmed också ser det som en större integritetsrisk att fler personer potentiellt kan få tillgång till upp- gifterna. Ju fler personer som har möjlighet att ta del av uppgifterna, desto större är risken för att någon tar del av uppgifterna utan att det är motiverat i tjänsten, av t.ex. nyfikenhet. Det är av avgörande betydelse för omsorgsmottagarens förtroende för ett system med sammanhållen vård- och omsorgsdokumentation, som möjliggör direktåtkomst för flera vårdgivare eller omsorgsgivare, att direktåtkomsten bara används för syften och i situationer som omsorgs- mottagaren kan förutse och ha kontroll över. Det kan också ha betydelse för den enskildes förtroende för verksamhet. En viktig del av skyddet för den personliga integriteten är omsorgsmottagarens möjlig- het att själv bestämma över tillgången till, och behandlingen av, hans eller hennes personuppgifter. Systemet för sammanhållen journalföring i patientdatalagen lutar sig mot det faktum att patienten har möjlighet att motsätta sig att hans eller hennes uppgifter tillgängliggörs i ett system med sammanhållen journalföring, samt måste lämna sitt samtycke till person- uppgiftsbehandling hos en mottagande vårdgivare. Det har framförts att det är svårt att särskilja olika insatser från åt en person och att det därför är viktigt att tydligt avgränsa vilken doku- mentation som direktåtkomsten ska omfatta. Det finns annars risk för att mottagaren får del av överskottsinformation Bland äldre personer och personer med funktionsnedsättning finns det många som av olika skäl varaktigt saknar förmåga att ta ställning till frågor som rör behandling av personuppgifter. De kan t.ex. ha svårt att ta till sig information om vad ett system med sammanhållen vård- och omsorgs- dokumentation är, vad ett samtycke till sådan behandling av personupp- gifter innebär och att det finns möjlighet att motsätta sig att uppgifter görs tillgängliga för andra vårdgivare eller omsorgsgivare genom samman- hållen vård- och omsorgsdokumentation. Det har ibland uppmärksammats att det just när det gäller äldre personer och personer med funktionsned- sättning kan vara svårare att bedöma om omsorgsmottagaren har tagit till sig informationen och vad han eller hon vill, och därmed om omsorgsmot- tagaren kan lämna ett giltigt samtycke. Regeringen föreslår därför sär- skilda regler i de fall den enskilde har helt eller delvis nedsatt besluts- förmåga. Reglerna beskrivs i avsnitt 6.10, 6.13 och 6.14. Övriga risker med direktåtkomst Det kan framstå som självklart att elektronisk tillgång till uppgifter om patienten eller omsorgsmottagaren är det som är snabbast och enklast för vårdgivaren eller omsorgsgivaren, och därmed också mest ändamålsenligt för patienten eller omsorgsmottagaren. Det kan dock finnas utmaningar när olika yrkesgrupper har skilda sätt att dokumentera på och informationen kan tolkas eller bedömas på olika sätt beroende på vem som tar del av den. Det finns därför en risk för att information som kan vara viktig för andra vårdgivare eller omsorgsgivare utelämnas och att dokumenterade uppgifter feltolkas. Följden skulle kunna bli, har det fram- förts, att uppgifterna om patienten eller omsorgsmottagaren tas ur sitt sam- manhang, vilket kan leda till ökad risk för fel och missförstånd. I vissa fall kan det därför också finnas behov av muntlig kommunikation mellan olika omsorgsgivare och mellan omsorgsgivare och vårdgivare. Det finns också tveksamheter kring hur välinformerade omsorgs- mottagare är om vad som finns dokumenterat om dem i omsorgsgivarnas informationssystem. Det gör det svårt för dem att bedöma vilken informa- tion som omsorgsgivare kommer att kunna ta del av vid direktåtkomst eller annat elektroniskt utlämnande. Det är därför angeläget att är tydlig om vilken information om den enskilde som skulle vara tillgänglig i en sammanhållen vård- och omsorgsdokumentation. Annars finns en risk för att omsorgsmottagarna tappar förtroendet för och inte lämnar all relevant information, alternativt inte ens söker hjälp hos social- tjänsten, på grund av oro för att tillgången till uppgifterna i systemet inte kommer att vara begränsad. Regler för integritetsstärkande åtgärder behövs för att minska riskerna Vid avvägningen mellan behovet av ett snabbt och enkelt utbyte av omsorgsdokumentation mellan olika omsorgsgivare inom och mellan och hälso- och sjukvården, och de integritets- risker ett system med direktåtkomst mellan sådana verksamheter kan innebära, är det av betydelse vilka integritetsstärkande åtgärder som kan vidtas för att förhindra och försvåra intrång i vård- och omsorgsmot- tagarens personliga integritet. Regeringen föreslår därför att bestämmel- serna om sammanhållen vård- och omsorgsdokumentation, i likhet med patientdatalagens reglering av sammanhållen journalföring, ska omfatta bestämmelser som syftar till att stärka integritetsskyddet. Nedan följer en övergripande beskrivning av vilka integritetsstärkande åtgärder regeringen föreslår ska omfattas av lagstiftningen. Föreslagna åtgärder beskrivs mer detaljerat i avsnitt 6 och 7.2–7.3. Om patienten eller omsorgsmottagaren har ett avgörande inflytande över behandlingen av och tillgången till personuppgifterna, kan det antas att acceptansen för ett system med direktåtkomst är större. Regeringen före- slår, i likhet med vad som gäller för sammanhållen journalföring, att patienten eller omsorgsmottagaren får inflytande över personuppgifts- behandlingen i två steg: först genom en möjlighet att hindra att uppgifter tillgängliggörs genom att begära av den vårdgivare eller omsorgsgivare som dokumenterar uppgifterna att uppgifterna spärras, och sedan genom ett krav på patientens eller omsorgsmottagarens samtycke till att tillgäng- liga uppgifter hämtas från en annan vårdgivare eller omsorgsgivare. Möjligheten att spärra uppgifter innebär att en patients eller omsorgs- mottagares uppgifter inte görs tillgängliga för andra vårdgivare eller omsorgsgivare genom sammanhållen vård- och omsorgsdokumentation om patienten eller omsorgsmottagaren motsätter sig det. Patienten eller omsorgsmottagaren har därmed möjlighet att motsätta sig behandlingen av personuppgifter inom sammanhållen vård- och omsorgsdokumentation redan vid det tillfälle då uppgifterna om honom eller henne dokumenteras. Om patienten eller omsorgsmottagaren motsätter sig sådan behandling, ska uppgifterna, på samma sätt som sker vid sammanhållen journalföring, genast spärras så att andra vårdgivare eller omsorgsgivare inte kan ta del av dem. Rätten att begära att uppgifter spärras ska inte vara tidsbegränsad. Att uppgifterna spärras innebär att det dokumenteras att patienten och omsorgsmottagaren motsatt sig sammanhållen vård- och omsorgsdoku- mentation, så att uppgifterna inte görs tillgängliga genom direktåtkomst eller på annat sätt lämnas ut elektroniskt. Regeringen föreslår dock att vissa särskilda regler ska gälla för barn och för personer som inte endast tillfälligt saknar förmåga att ta ställning. Omsorgsgivarens möjlighet att forcera en spärr kan upplevas som ett integritetsintrång av den vars upp- gifter dokumenteras hos . Regeringen delar utredningens bedömning att det inte finns skäl att möjliggöra för en vårdgivare eller omsorgsgivare att utan den enskildes samtycke häva en spärr av uppgifter som dokumenterats inom . Det finns inte heller skäl att tillåta en omsorgsgivare att häva en spärr i en hälso- och sjukvårdsjournal utan den enskildes samtycke. Möjligheten att inom hälso- och sjukvården häva en spärr i en hälso- och sjukvårdsjournal utan att inhämta den enskildes samtycke ska kvarstå, i de fall det finns risk för patientens liv eller allvarlig risk för dennes hälsa (akut nödsituation). För att patienten eller omsorgsmottagaren ska kunna ta ställning till om dokumentationen ska göras tillgänglig för andra vårdgivare eller omsorgs- givare krävs det att han eller hon får korrekt och begriplig information om vad systemet med sammanhållen vård- och omsorgsdokumentation inne- bär och att det är möjligt att motsätta sig sådan behandling av personupp- gifter. Regeringen föreslår därför en bestämmelse om krav på information till patienten eller omsorgsmottagaren innan uppgifterna görs tillgängliga. Regeringen föreslår också att patienten eller omsorgsmottagaren ska ha lämnat sitt samtycke för att en vårdgivare eller omsorgsgivare ska få ta del av personuppgifter som en annan vårdgivare eller omsorgsgivare gjort till- gängliga i systemet med sammanhållen vård- och omsorgsdokumentation. I sådana fall är det inte tillräckligt att den enskilde inte motsätter sig behandlingen, utan ett aktivt samtycke krävs. Även i detta sammanhang föreslås särskilda bestämmelser för barn och personer som inte endast tillfälligt saknar förmåga att ta ställning. har tillkännagett för regeringen det som utskottet anför om digitalisering i vården (bet. 2019/20:SoU11 punkt 18, rskr.2019/20:275). Utskottet anser att regeringen bör se över om dagens krav på ett aktivt samtycke för sammanhållen journalföring bör ändras så att patienten antas samtycka till att vårdgivarna tar del av patientinformation till dess att mot- satsen har meddelats. Utskottet anser också att regeringen bör se över om lagändringar behöver göras för att skapa goda möjligheter till samman- hållen journalföring och informationsdelning dels inom hälso- och sjuk- vården, dels mellan hälso- och sjukvården och . utskottet att regeringen bör se över möjligheten att klassificera olika typer av vårdinformation för att kunna väga skyddet av patientens integritet mot vinsterna av att kunna använda patientinformationen för andra ändamål samt om lagstiftningen bör förtydligas så att anhöriga kan vara ombud vid kontakter med vården när det gäller t.ex. tidsbokningar, anmälningar och avbokningar (bet. 2019/20:SoU11 s.87 och 88). En översyn av dagens krav på aktivt samtycke har gjorts genom utredningens betänkande och regeringens överväganden i denna del. Som redogjorts för ovan anser regeringen att det med den föreslagna lagen behövs integritetsstärkande åtgärder för att förhindra och försvåra intrång i patientens och omsorgs- mottagarens personliga integritet. Regeringens bedömning är således att kravet på samtycke fortsatt är en viktig integritetsstärkande åtgärd givet de risker som direktåtkomst medför, och att kravet därmed ska kvarstå. Majoriteten av remissinstanserna stöder de integritetsstärkande åtgärder som utredningen föreslog. Regeringen bedömer att övervägandena i denna del tillgodoser de delar av tillkännagivande som rör att se över krav på aktivt samtycke. Regeringen bedömer vidare att förslagen och bedömningen i denna proposition som helhet tillgodoser de delar av tillkännagivande som rör att skapa goda möjligheter till sammanhållen journalföring och informationsdelning inom hälso- och sjukvården samt mellan hälso- och sjukvården och . Regeringen avser att återkomma i fråga om övriga delar av tillkänna- Tillkännagivandet är därmed inte slutbehandlat. Utöver bestämmelser som ska garantera vård- och omsorgsmottagaren inflytande över behandlingen av personuppgifter innehåller regeringens förslag ytterligare bestämmelser med syfte att stärka skyddet för den Regeringen föreslår att tillämpningsområdet för ett system med sammanhållen vård- och omsorgsdokumentation inom social- tjänsten ska vara klart och tydligt definierat, och begränsas till viss verk- samhet inom som avser äldre personer och personer med Det är endast omsorgsinsatser som omfattas och inte t.ex. insatser i form av ekonomiskt bistånd. Dokumentation inom kan, till skillnad från en journal inom hälso- och sjukvården, i vissa fall vara gemensam för flera personer. Det kan naturligtvis uppfattas som oroande för den enskilde att uppgifter Prop. 2021/22:177 om honom eller henne kan bli tillgängliga genom ett system med samman- hållen vård- och omsorgsdokumentation på grund av att de förekommer i en gemensam dokumentation. Regeringen föreslår därför en förtydligande bestämmelse, som slår fast att reglerna om sammanhållen vård- och omsorgsdokumentation bara gäller om dokumentationen förs för varje omsorgsmottagare för sig. En annan integritetsstärkande åtgärd är att förtydliga vem som har personuppgiftsansvaret vid sammanhållen vård- och omsorgsdokumenta- tion. Vidare krävs för direktåtkomst, enligt regeringens förslag, att vissa grundläggande förutsättningar är uppfyllda. En vårdgivare eller omsorgs- givare får ha direktåtkomst till personuppgifter bara om uppgifterna rör en patient eller omsorgsmottagare som får insatser för äldre personer eller personer med funktionsnedsättning eller är föremål för en utredning om att få sådana insatser och uppgifterna kan antas ha betydelse för dessa insatser. Det är också avgörande att vårdgivare och omsorgsgivare inte tar del av fler personuppgifter än det finns behov av. Det krävs att personupp- gifterna kan antas ha betydelse för vårdgivarens eller omsorgsgivarens insatser för omsorgsmottagaren. Vidare ska direktåtkomst vid sammanhållen vård- och omsorgsdoku- mentation bara få användas för de uttryckliga ändamål som anges i regle- ringen. Undantag ska inte vara möjliga, även om patienten eller omsorgs- mottagaren har gett sitt uttryckliga samtycke. Det torde underlätta för patienten eller omsorgsmottagaren att ta ställ- ning till frågan om direktåtkomst om han eller hon kan kontrollera vilka uppgifter dokumentationen innehåller. Regeringen föreslår därför att vård- givaren eller omsorgsgivaren får medge patienten eller omsorgsmottag- aren åtkomst till sina personuppgifter och annan dokumentation genom direktåtkomst eller annat elektroniskt utlämnande. Slutligen bör det förtydligas att det är den som bedriver verksamheten som har ansvar för att den interna elektroniska åtkomsten till uppgifter inte är mer omfattande än vad som krävs för att insatserna för patienten eller omsorgsmottagaren ska kunna utföras. Regeringen föreslår därför bestäm- melser med krav på tilldelning av behörighet för elektronisk åtkomst, loggning och kontroll av elektronisk åtkomst. I sammanhanget bör det också påpekas att den föreslagna regleringen medför en möjlighet för vård- givare och omsorgsgivare att ingå i ett system med sammanhållen vård- och omsorgsdokumentation och ger en yttre ram för vad som ska vara tillåtet vid sådan dokumentation och direktåtkomst samt annat elektroniskt utlämnande. Inget hindrar givetvis att vårdgivare eller omsorgsgivare i sådana samarbeten tillämpar strängare krav än vad den föreslagna regleringen uppställer. Sammanfattning av avvägningen mellan risker och integritetsstärkande åtgärder De flesta av remissinstanserna är positiva till utredningens förslag och anser att förslagen innebär en tryggare och säkrare vård och omsorg med bibehållet integritetsskydd. Regeringen anser därför att direktåtkomst eller annat elektroniskt ut- lämnande mellan verksamheter inom hälso- och sjukvård och social- 2021/22:177 tjänsten som avser äldre personer och personer med funktionsnedsättning ska tillåtas om det införs vissa integritetsstärkande bestämmel- ser. Regleringen av detta bör utformas med sammanhållen journalföring som förebild. Regeringen anser till skillnad från ombudsmän att behovet av att möjliggöra en tryggare, säkrare och effektivare vård och omsorg genom att möjliggöra direktåtkomst mellan vård- och omsorgs- dokumentation med bibehållet integritetsskydd inte kan vänta. Regeringen anser i likhet med utredningen att det visserligen har funnits problem i tillämpningen av regler kring sammanhållen journalföring, men att det beror mindre på lagstiftningen och mer på brister i tillämpningen, bl.a. avsaknad av vägledning. Allteftersom har även tekniken utvecklats. Det finns därför bättre förutsättningar för att skapa system med tillräcklig funktion för att uppfylla lagens krav och möjliggöra en tryggare, säkrare och effektivare vård och omsorg. Vidare avser regeringen att ge en myndighet i uppdrag att ta fram vägledning riktad till vårdgivare och omsorgsgivare med anledning av den nya lagen (avsnitt 8.3). Vid regleringen av ett frivilligt system med sammanhållen vård- och omsorgsdokumentation mellan verksamheter inom som av- ser äldre personer och personer med funktionsnedsättning, samt mellan dessa verksamheter och hälso- och sjukvård, är det enklast och mest ända- målsenligt att, på motsvarande sätt som gäller i fråga om sammanhållen journalföring, tillåta direktåtkomst i kombination med föreskrift om absolut sekretess för överskottsinformation. Det finns dock övervägande fördelar med att i systemet ge möjlighet till åtkomst genom både direkt- åtkomst och annat elektroniskt utlämnande. Förutsättningarna för elek- troniskt utlämnande mellan verksamheter inom behöver för- fattningsregleras i lag. En särskild konsekvensbedömning avseende data- skydd behöver i de allra flesta fall inte göras av de verksamheter som inför sammanhållen omsorgsdokumentation. Regeringen håller dock med om att den personuppgiftsansvarige måste utreda om de specifika it-system som kommer att användas uppfyller de krav på integritetsskydd som den nya lagen kräver innan system om sammanhållen vård- och omsorgsdokumentation införs. 5.2En ny lag om sammanhållen vård- och omsorgsdokumentation Regeringens förslag: Möjligheten för vårdgivare och omsorgsgivare att ta del av, respektive ge tillgång till, personuppgifter genom direkt- åtkomst eller annat elektroniskt utlämnande genom sammanhållen vård- och omsorgsdokumentation regleras i en ny lag. Bestämmelserna om sammanhållen journalföring flyttas därför från patientdatalagen till den föreslagna lagen. Den föreslagna lagen har namnet lagen om sammanhållen vård- och omsorgsdokumentation. Utredningens förslag överensstämmer i huvudsak med regeringens förslag. Utredningens förslag till ny lag har en annan struktur och andra rubriker. Utredningens förslag har även en annan språklig utformning. Utredningen lämnar även förslag kring kvalitetsuppföljning och att flytta bestämmelserna om kvalitetsregister till den nya lagen. Remissinstanserna: Den övervägande majoriteten av de remiss- instanser som yttrat sig stöder eller är positiva till förslaget. , kommun och lyfter fram att det finns en pedagogisk vinst att reglerna samlas i en lag och inte införs i parallella lagstiftningar. menar att det är bra att de regelverk som gäller för hälso- och sjukvård och socialtjänst så långt som möjligt sam- ordnas och att de inte ska skilja sig åt mer än nödvändigt. Detta är fram- förallt viktigt för verksamheter som bedriver vård och omsorg integrerat. kommun är positiv till förslagen om sammanhållen vård- och omsorgsdokumentation och anser att det är en förutsättning för att skapa en likriktighet i landet att detta regleras i lag. hade hellre sett att den nya regleringen hade inhysts i patientdatalagen (2008:355), eller att innehållet i patientdatalagen och de nya förslagen hade inhysts i samma lag. Förbundet anser att olika lagar öppnar upp för oklarheter. Skälen för regeringens förslag: Regeringen föreslår att nya bestäm- melser om sammanhållen vård- och omsorgsdokumentation ska regleras i en lag som ska kallas lagen om sammanhållen vård- och omsorg- dokumentation. Reglerna om sammanhållen journalföring i patientdata- lagen flyttas över till den nya lagen med syfte att åstadkomma ett samlat och överskådligt regelverk som reglerar vårdgivares och omsorgsgivares möjligheter att ta del av personuppgifter hos varandra genom direkt- åtkomst eller annat elektroniskt utlämnande. De alternativa placeringar av bestämmelserna som läkar- förbund föreslår anser regeringen i likhet med utredningen kräver ändringar i lagen (2001:454) om behandling av personuppgifter inom . Parallell lagstiftning i lagen om behandling av personupp- gifter inom och patientdatalagen låter sig svårligen göras i detta lagstiftningsärende då de båda lagstiftningarna har skiftande karak- tär. Till exempel så regleras inte behandlingen av personuppgifter så detal- jerat i lagen om behandling av personuppgifter inom som i patientdatalagen. Bestämmelserna om sammanhållen vård- och omsorgsdokumentation får tillämpas av vårdgivare och omsorgsgivare avseende samma grupp av patienter och omsorgsmottagare.