prop · H903177 · 2022-03-21 00:00:00 — Eftersom ingen ändring av innebörden av dessa bestämmelser är avsedd i sak, är det av tydlighetsskäl lämpligt att ange i den föreslagna lagen att de bestäm- melserna även gäller vårdgivares åtkomstkontroll avseende åtkomst till sammanhållen vård- och omsorgsdokumentation. Regeringen anser i likhet med vad som uttalades i förarbetena till patientdatalagens regler, att en sådan bestämmelse inte bara innebär att faktiska dataintrång med större säkerhet kommer att kunna konstateras och beivras. Bestämmelsen borde även få en starkt avhållande verkan på 2021/22:177 personal som, om risken för upptäckt är liten, kan frestas att olovligen läsa uppgifter (prop. 2007/08:126 s. 150). I samma förarbeten uttalades det särskilt beträffande sammanhållen journalföring att samma principer om åtkomstkontroll ska tillämpas. Det vill säga att en vårdgivare har samma skyldigheter när det gäller elektronisk åtkomst till andra vårdgivares patientuppgifter genom sammanhållen journalföring. Med den föreslagna bestämmelsen ska samma skyldigheter nu gälla för både vårdgivare och omsorgsgivare. Även vid sammanhållen vård- och omsorgsdokumentation kan det finnas behov av föreskrifter om åtkomstkontroll motsvarande dem som Social- styrelsen meddelat med stöd av bemyndigandet i 4 kap. 3 § andra stycket patientdatalagen. har med stöd av detta bemyndigande meddelat föreskrifter, se bl.a. 4 kap. 9 § föreskrifter och allmänna råd om journalföring och behandling av personuppgifter i hälso- och sjukvården (HSLF-FS 2016:40). Av tydlighetsskäl bör det i den föreslagna lagen föras in en upplysningsbestämmelse om att regeringen eller den myndighet som regeringen bestämmer med stöd av 8 kap. 7 § regeringsformen kan meddela närmare föreskrifter. Vidare bör nuvarande 4 kap. 3 § tredje stycket patientdatalagen också ändras så att den bestäm- melsen får en motsvarande lydelse som i den nya lagen, jämför prop. 2007/08:126 s. 240. 6.21Information om den elektroniska åtkomst som förekommit Regeringens förslag: En omsorgsgivare ska på begäran av en omsorgs- mottagare lämna information om den åtkomst till omsorgsmottagarens personuppgifter som förekommit genom sammanhållen vård- och omsorgsdokumentation. Enligt en upplysningsbestämmelse kan närmare föreskrifter med- delas av regeringen eller den myndighet som regeringen bestämmer, om information om vilken åtkomst som förekommit till uppgifter i sammanhållen vård- och omsorgsdokumentation. I nya lagen ska upplysas om att det i patientdatalagen finns bestäm- melser om att en vårdgivare på begäran av en patient ska lämna information om den direktåtkomst och elektroniska åtkomst till upp- gifter om patienten som har förekommit. Utredningens förslag överensstämmer i sak med regeringens förslag. Utredningens förslag har dock en annan språklig utformning. Remissinstanserna: Endast ett fåtal remissinstanser, bl.a. Social- styrelsen, har lämnat synpunkter på förslaget. Av dem är samtliga positiva till förslaget, men lyfter även behov av närmare bestämmelser i t.ex. före- skrifter. Skälen för regeringens förslag Patienten och omsorgsmottagaren ska på begäran få tillgång till logglistor Enligt patientdatalagen (2008:355) finns det en rätt för patienten att i både den offentliga och privata hälso- och sjukvården på begäran få information om vilken direktåtkomst och elektronisk åtkomst som förekommit till elektroniskt behandlade uppgifter om honom eller henne (8 kap. 5 § patientdatalagen). Enligt 5 kap. 5 § patientdatalagen kan en patient även ges direktåtkomst eller annan elektronisk åtkomst till dokumentation om den åtkomst till uppgifter om patienten som förekommit i systemet med sammanhållen journalföring, dvs. Vid sammanhållen journalföring bör vidare varje vårdgivare kunna redovisa vilken åtkomst till den egna verksamhetens journaluppgifter som har förekommit från andra vårdgivare. Även dessa andra mottagande vård- givare bör kunna redovisa när direktåtkomst har använts (prop. 2007/08:126 s. 265). Regeringen uttalade att det inte finns något behov av att namnge vårdpersonal eller att presentera andra uppgifter som indirekt kan hänföras till en fysisk person, dvs. det är tillräckligt att för detta ändamål ange från vilken avdelning, klinik eller motsvarande enhet som åtkomsten härrör, och att sådana uppgifter inte bör lämnas ut till den enskilde (prop. 2007/08:126 s. 159). Regeringen ansåg det dock vara lämpligast att frågan om den information som ska ges till patienten regleras mera i detalj på föreskriftsnivå (prop. 2007/08:126 s. 150 f.). Motsvarande bestämmelser om information om elektronisk åtkomst som förekommit som gäller vid sammanhållen journalföring, bör gälla vid sammanhållen vård- och omsorgsdokumentation. Regeringen anser dock att bestämmelsen skulle kunna ha en annan språklig utformning så att den lyder: En omsorgsgivare ska på begäran av en omsorgsmottagare lämna information om den åtkomst till omsorgsmottagarens personuppgifter som förekommit genom sammanhållen vård- och omsorgsdokumentation. eller en utförare utgör logglistor allmänna handlingar. Omsorgsmottagaren kan begära dem utlämnade med stöd av offentlighetsprincipen i 2 kap. tryckfrihetsförordningen. Däremot finns inte någon motsvarande möjlighet för omsorgsmottagare att begära ut logglistor från privata omsorgsgivare . Därför föreslår regeringen regler som ger omsorgsmottagaren rätt att på begäran hos en omsorgs- givare få information om vilken elektronisk åtkomst som förekommit till uppgifter om honom eller henne i systemet med sammanhållen vård- och omsorgsdokumentation, se lagförslaget 4 kap. 2 § första styckets sista mening. I patientdatalagen finns det redan bestämmelser om vårdgivares skyldig- het att lämna information om vilken elektronisk åtkomst som förekommit som gäller all verksamhet, inte bara den som kommer att omfattas av sammanhållen vård- och omsorgsdokumentation. Eftersom ingen ändring av innebörden av dessa bestämmelser är avsedd i sak, är det lämpligt att i den föreslagna lagen upplysa om att sådana bestämmelser finns i patient- datalagen. Regeringen har i förarbetena till bestämmelsen i 8 kap. 5 § patientdata- lagen om en rätt för patienten att få information om åtkomst motiverat förslaget att allmänhetens förtroende för hälso- och sjukvårdens informa- tionshantering skulle förstärkas om den enskilde fick klar och tydlig information om vilken åtkomst som förekommit till uppgifter om honom eller henne. Regeringen anförde vidare att för den patient som oroar sig för att någon obehörig läst journalen är bearbetade logglistor med för- klaringar givetvis ett utmärkt verktyg att själv kunna konstatera om oron varit befogad eller inte samt att vetskapen om patientens rätt att själv kontrollera åtkomsten torde ha en starkt avhållande verkan för obehöriga (prop. 2007/08:126 s. 150). Regeringen vidhåller argumenten och utsträcker dem att även omfatta omsorgsmottagare. Vidare ges både patient och omsorgsmottagare mer insyn i vilken information som har överförts mellan vårdgivare och omsorgsgivare, om patienten eller omsorgsmottagaren kan följa hur vårdgivare och omsorgsgivare tillämpar sammanhållen vård- och omsorgsdokumentation. Regeringen vill dock påminna om att informationsutbyte mellan vård- och omsorg även kan ske på andra sätt och att tillgång till en logglista inte nödvändigtvis ger en fullödig bild av informationsutbytet. Regeringen anser att det kan finnas behov av föreskrifter om den information som ska lämnas till omsorgsmottagaren. Exakt vad informa- tionen ska innehålla och hur eller hur ofta den ska lämnas bör inte närmare regleras i lag utan, vid behov, av regeringen eller den myndighet som rege- ringen bestämmer. Det är fråga om sådana föreskrifter om verkställighet av lag som regeringen kan meddela enligt 8 kap. 7 § första stycket 1 rege- ringsformen. I den nya lagen ska därför införas en bestämmelse om att regeringen eller den myndighet regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om information, som en omsorgsgivare ska lämna till omsorgsmottagaren. I 8 kap. 5 § patientdatalagen finns bestämmelser om motsvarande skyldigheter för vårdgivare att lämna information till en patient och ett bemyndigande för regeringen eller den myndighet som regeringen bestäm- mer att få meddela närmare föreskrifter. Av tydlighetsskäl bör det i den nya lagen föras in en upplysningsbestämmelse om att det finns bestäm- melser om motsvarande skyldighet för vårdgivare. Överklagbarhet av beslut om information om den åtkomst som förekommit Lagrådet anser att det bör motiveras ytterligare varför omsorgsmottagaren inte ges möjlighet att överklaga beslut med anledning av hans eller hennes begäran om information. I fråga om rätt att överklaga ett beslut om begäran om information om den åtkomst som förekommit till de personuppgifter som omsorgsgivaren håller tillgängliga för andra omsorgsgivare eller vårdgivare genom sammanhållen vård- och omsorgsdokumentation kan följande beaktas. När det gäller den motsvarande bestämmelsen för vårdgivare enligt 8 kap. 5 § patientdatalagen anges det i förarbetena att någon rätt för patienten att överklaga ett beslut med anledning av patientens begäran om information inte finns (se prop. 2007/08:126 s. 265). Av 10 kap. 2 § tredje stycket patientdatalagen framgår att övriga beslut (andra än dem som anges i paragrafen) i den lagen inte får överklagas. I lagen om sammanhållen vård- och omsorgsdokumentation finns inga Prop. 2021/22:177 bestämmelser om överklagande t.ex. av omsorgsgivarens beslut att lämna information om den åtkomst som förekommit till de personuppgifter om omsorgsmottagaren som omsorgsgivaren håller tillgängliga för andra omsorgsgivare eller vårdgivare genom sammanhållen vård- och omsorgs- dokumentation. I 7 kap. lagen (2018:218) med kompletterande bestäm- melser till EU:s dataskyddsförordning finns bestämmelser om bl.a. över- klaganden. I 7 kap. 5 § nämnda lag föreskrivs att andra beslut enligt EU:s dataskyddsförordning eller denna lag än dem som avses i 2–4 §§ inte får överklagas, och i 7 kap. 5 § samma lag föreskrivs att andra beslut enligt EU:s dataskyddsförordning eller denna lag än dem som avses i 2–4 §§ inte får överklagas. Någon rätt för omsorgsmottagaren att utifrån dataskydds- förordningen och lagen med kompletterande bestämmelser till EU:s dataskyddsförordning överklaga ett beslut med anledning av omsorgs- mottagarens begäran om information finns inte. Regeringens förslag: När en handling är tillgänglig för flera vårdgivare eller omsorgsgivare enligt den föreslagna lagen gäller skyldigheten att bevara handlingen bara för den vårdgivare eller omsorgsgivare som ansvarar för den. Utredningens förslag överensstämmer inte med regeringens förslag. Utredningens lagförslag hänvisar till skyldigheten enligt 7 kap. 3 § socialtjänstlagen (2001:453), 23 c § lagen (1993:387) om stöd och service till vissa funktionshindrade eller 3 kap. 17 § patientdatalagen (2008:355) att bevara handling. Utredningen föreslår att om en handling är tillgänglig för en myndighet bara genom sammanhållen vård- och omsorgsdoku- mentation och myndigheten inte ansvarar för den får myndigheten gallra handlingen från sitt arkiv. Remissinstanserna: Endast ett fåtal remissinstanser har lämnat synpunkter på förslaget. Synpunkterna berör sådant som att det finns en risk att sammanhang i dokumentation riskerar att gå förlorat då varje vårdgivare och omsorgsgivare ansvarar för de uppgifter som de själva gjort tillgängliga i sammanhållen vård- och omsorgsdokumentation. Kommuner och Regioner (SKR) stöder förslaget. Det måste anses fullt tillräckligt att den vårdgivare eller omsorgsgivare som ansvarar för handlingen ska bevara den och andra vårdgivare eller omsorgsgivare ska ha rätt att gallra handlingen från sitt arkiv. Region och Region menar att det kommer att bli svårt att följa ett händelseförlopp och se sammanhang när efter arkivering handlingarna från region och kommun kan komma att återfinnas i olika arkiv. Skälen för regeringens förslag Bevarande och gallring samt regleringen av sammanhållen journalföring i patientdatalagen Huvudregeln enligt arkivlagen (1990:782) är att allmänna handlingar ska bevaras. En myndighets arkiv bildas i huvudsak av de allmänna hand- lingarna från myndighetens verksamhet. I 2 a § arkivlagen föreskrivs att det som enligt den lagen gäller för kommunala myndigheters arkiv även ska gälla för arkiv hos sådana juridiska personer som avses i 2 kap. 3 § offentlighets- och sekretesslagen (2009:400), dvs. sådana bolag, föreningar och stiftelser där kommuner eller regioner utövar ett rättsligt bestämmande inflytande. För privata vård- givare gäller inte arkivlagen. Det finns dock andra författningar som är av betydelse för bevarande och gallring av uppgifter hos sådana privata vårdgivare, t.ex. 3 kap. 17 § patientdatalagen och före- skrifter och allmänna råd om journalföring och behandling av person- uppgifter i hälso- och sjukvården (HSLF-FS 2016:40). Detta beskrivs närmare nedan. För handlingar som omfattas av den s.k. journalregeln i 2 kap. 10 § andra stycket 1 tryckfrihetsförordningen blir varje anteckning arkiverad i och med att den har gjorts, 3 § tredje stycket arkivförordningen (1991:446). För elektronisk information gäller till en början en undantagsregel som är av särskilt intresse i fråga om sammanhållen omsorgsdokumentation. Upptagningar för automatisk behandling som är tillgängliga för flera myndigheter så att de utgör allmänna handlingar hos alla dessa myndig- heter, ska dock bilda arkiv endast hos en av myndigheterna, i första hand den myndighet som svarar för huvuddelen av upptagningen (3 § första stycket andra meningen arkivlagen). Samma upptagning ska således inte bevaras och bilda arkiv hos alla myndigheterna, de myndigheter som inte ansvarar för upptagningen kan därmed normalt gallra den. Om en myndig- het använder uppgifter ur upptagningen i sin verksamhet, så kan dessa omfattas av dokumentationsskyldighet och ingå i myndighetens arkiv. När patientdatalagen infördes så ändrades den kortaste bevarandetiden av patientjournaler till efter sista anteckningen, se 3 kap. 17 § patientdatalagen och prop. 2007/08:126 s. 99. I förarbetena till patientdatalagen uttalade regeringen att arkivansvar eller annat ansvar för bevarande bör följa verksamhetsansvar och person- uppgiftsansvar för den enskilda personuppgiftsbehandlingen, och att en journalhandling eller annan handling därför bör bevaras och bilda arkiv hos bara en myndighet eller en privat vårdgivare. För att tydliggöra detta infördes det i patientdatalagen en regel om att bestämmelser om att journalhandlingar ska bevaras viss minsta tid inte är tillämpliga på sådana journalhandlingar som har gjorts tillgängliga genom sammanhållen journalföring hos andra vårdgivare och som dessa vårdgivare endast har en potentiell tillgång till (se 6 kap. 8 § första stycket patientdatalagen). Det innebär i princip att det är endast en, inte flera, vårdgivare som ansvarar för bevarandet och arkivbildningen av journalhandlingar. Detta gäller även om en vårdgivare bereder sig tillgång till en annan införande vårdgivares journalhandling, så länge inte journalhandlingen tankas hem och lagras av den förstnämnda vårdgivaren (jämför prop. 2007/08:126 s. 138). I patientdatalagen finns även en generell bestämmelse om att myndig- Prop. 2021/22:177 heter får gallra sådana potentiella handlingar från sitt arkiv (6 kap. 8 § andra stycket patientdatalagen). Som nämnts ska upptagningar för auto- matisk behandling som är tillgängliga för flera myndigheter så att de utgör allmänna handlingar hos alla dessa myndigheter, bilda arkiv hos endast en av myndigheterna (3 § första stycket andra meningen arkivlagen). En sådan gallringsregel ansågs behövas bl.a. för att inte någon av de i en sammanhållen journalföring deltagande myndigheterna ska bli arkiv- ansvarig för privata vårdgivares journalhandlingar m.m. som de potentiellt sett har tillgång till och som utgör allmänna handlingar hos vårdgivare som är myndigheter. Handlingar som en myndighet de facto inte tar del av har ingen betydelse för myndighetens verksamhet och bestämmelsen strider därmed inte mot arkivväsendets syften (prop. 2007/08:126 s. 138). I 2 kap 3 § tryckfrihetsförordningen anges att med handling avses en fram- ställning i skrift eller bild samt en upptagning som endast med tekniska hjälpmedel kan läsas eller avlyssnas eller uppfattas på annat sätt. Ur förvaringshänseende görs en åtskillnad mellan elektroniska handlingar och handlingar som utgör sammanställningar av uppgifter ur en upptagning för automatiserad behandling, s.k. potentiella handlingar. Någon legal defini- tion av de båda slagen av handlingar finns inte. Med färdig elektronisk handling avses enligt förarbetena sådana elektro- niska handlingar där utställaren – myndigheten eller den som lämnat in handlingen till myndigheten – har gett den ett bestämt, fixerat innehåll som går att återskapa gång på gång. Som typiska exempel på färdiga elektro- niska handlingar nämns e-brev, promemorior, protokoll och beslut i elektronisk form (prop. 2001/02:70 s. 20). Varje sammanställning av uppgifter ur sådana upptagningar anses vara en hos myndigheten förvarad handling alldeles oavsett om sammanställ- ningen gjorts tidigare och oavsett huruvida myndigheten i sin egen verk- samhet saknar anledning att göra en sådan sammanställning. Bestämmel- sen är ett uttryck för den för offentlighetsprincipen viktiga likställighets- principen, som innebär att allmänheten ska ha tillgång till datalagrad information i samma utsträckning som den är tillgänglig för myndigheten. Åtskillnaden mellan handlingsslagen har betydelse för frågan om huru- vida en upptagning är en allmän handling eller inte. Från huvudregeln om när upptagningar ska anses förvarade hos en myndighet finns nämligen två undantag som bara tar sikte på sammanställningar av uppgifter ur en upp- tagning för automatiserad behandling. Undantagen, eller inskränkning- arna, gör ingen skillnad mellan inkomna och upprättade handlingar. Den första inskränkningen föreskrivs i 2 kap. 6 § andra stycket tryck- frihetsförordningen och innebär att en sammanställning av uppgifter ur en upptagning för automatiserad behandling anses förvarad hos myndigheten endast om myndigheten kan göra sammanställningen tillgänglig med rutinbetonade åtgärder. Sammanställningar som inte kan tas fram genom rutinbetonade åtgärder anses däremot inte förvarade hos myndigheten och utgör inte allmänna handlingar. Bestämmelsen infördes genom en ändring i tryckfrihetsförord- ningen som trädde i kraft . 2021/22:177 Ändringen var emellertid en kodifiering av den praxis som bildats på området bl.a. på grundval av förarbetsuttalanden till tryck- frihetsförordningen. Genom bestämmelsen har det klargjorts att en färdig elektronisk handling anses förvarad hos myndigheten även om det krävs mer än rutinbetonade åtgärder för att ta fram handlingen. Den andra inskränkningen i fråga om förvaringskriteriet föreskrivs i 2 kap. 7 § tryckfrihetsförordningen och innebär att en sammanställning av uppgifter ur en upptagning för automatiserad behandling inte anses för- varad hos myndigheten om sammanställningen innehåller personuppgifter och myndigheten enligt lag eller förordning saknar befogenhet att göra sammanställningen tillgänglig. Denna bestämmelse brukar kallas begräns- ningsregeln. Begränsningsregeln gäller även om sammanställningen kan tas fram med rutinbetonade åtgärder. Syftet med bestämmelsen är att allmänheten inte med stöd av offentlighetsprincipen ska kunna ta del av sammanställningar av uppgifter ur upptagningar som myndigheten av hän- syn till skyddet för enskildas integritet själv är rättsligen förhindrad att ta fram i sin egen verksamhet. Endast begränsningar i lag eller förordning – t.ex. förbud i s.k. registerförfattningar för en myndighet att använda vissa sökbegrepp eller att ta fram sammanställningar genom samkörning mellan olika register – är relevanta. Det kan noteras att färdiga elektroniska handlingar inte omfattas av begränsningsregeln. Sådana handlingar är alltid att anse som förvarade hos en myndighet även om de innehåller personuppgifter och även om det i lag eller förordning finns förbud för myndigheten att använda vissa sök- begrepp vid sökning efter handlingarna (prop. 2001/02:70 s 38). En handling i form av en framställning anses förvarad hos en myndighet om den finns i myndighetens lokaler (2 kap. 4 § tryckfrihetsförordningen). En handling anses förvarad hos en myndighet oavsett om det är original- handlingen eller en kopia som finns hos myndigheten. Handlingar med identiskt innehåll kan anses förvarade hos flera myndigheter . Upptagningar i form av automatiserad behandling anses förvarade hos en myndighet om upptagningen är tillgänglig för myndigheten med ett tekniskt hjälpmedel som myndigheten själv utnyttjar för överföring i sådan form att den kan läsas, avlyssnas eller på annat sätt uppfattas (2 kap. 6 § tryckfrihetsförordningen). I 2 kap. 9 § tryckfrihetsförordningen anges när en handling anses in- kommen till en myndighet. I fråga om upptagningar gäller att de anses ha kommit in när någon annan har gjort dem tillgängliga för myndigheten på det sätt som anges i 6 §. Det krävs emellertid att det är någon utanför myndigheten som har vidtagit den åtgärd som gjort handlingen tillgänglig för myndigheten. Är det någon vid den egna myndigheten som vidtagit åtgärden, får det bedömas om handlingen är upprättad i enlighet med 2 kap. 10 § tryckfrihetsförordningens olika kriterier på när en handling är att anse som upprättad. Huvudregeln är att en handling anses upprättad först då den har expedierats eller annars föreligger i ett slutligt skick på det sätt som närmare anges i paragrafen. En upptagning för automatiserad behandling är förvarad både hos den myndighet där upptagningen finns och hos en myndighet som genom direktåtkomst eller annat elektroniskt utlämnande har tillgång till upptag- ningen. Med tekniskt hjälpmedel avses datorer som en myndighet själv Från huvudregeln finns några undantag varav ett ofta ansetts vara Prop. 2021/22:177 tillämpligt på journalhandlingar som kan finnas i en patientjournal (se t.ex. 1984/85:189 s. 15 f.). Enligt detta undantag gäller för diarium, journal samt sådant register eller annan förteckning som förs fortlöpande, att en handling anses upprättad när den har färdigställts för anteckning eller införing (2 kap. 10 § andra stycket 1 tryckfrihetsförordningen). Varje vårdgivare och omsorgsgivare ansvarar för bevarande och gallring av de uppgifter som de själva tillgängliggör i sammanhållen vård- och omsorgsdokumentation Bestämmelser om bevarande och gallring av patientjournaler inom hälso- och sjukvården och dokumentation inom finns i olika författningar. Av 3 kap. 17 § patientdatalagen följer att en journalhandling ska bevaras efter det att den sista uppgiften fördes in i handlingen. I vissa fall får regeringen eller den myndighet som regeringen bestämmer föreskriva om längre bevarandetid. När det gäller i social- tjänsten finns ingen kortaste bevarandetid angiven utan det anges endast att anteckningar och andra uppgifter i en personakt hos socialnämnden ska gallras efter det att sista anteckningen gjordes i akten (12 kap. 1 § socialtjänstlagen (2001:453) och 21 c § lagen (1993:387) om stöd och service till vissa funktionshindrade). Vidare finns det bestämmelser om att vissa handlingar inte får gallras med stöd av bestämmelserna i 12 kap. 1 § socialtjänstlagen, bl.a. handlingar som kommit in eller upprättats i sam- band med att ett barn har placerats eller tagits emot i t.ex. sådant boende som avses i 5 kap. 7 § tredje stycket socialtjänstlagen (12 kap. 2 § social- tjänstlagen).