prop · H903177 · 2022-03-21 00:00:00 — anger att sådan tillgång inte får medges till uppgifter som en annan vårdgivare eller omsorgsgivare får ha tillgång till enligt propositionens förslag 2 kap. 6 §. Denna möjlighet att medge åtkomst genom direktåtkomst eller annat elektroniskt utlämnande innebär inget hinder mot att uppgifter lämnas ut med stöd av andra bestämmelser. Frågan om vilka uppgifter som får lämnas ut prövas av den myndighet som förvarar uppgifterna, se 2 kap. 17 § tryckfrihetsförordningen. Myndighetens beslut att inte lämna ut uppgifter får överklagas enligt 6 kap. 7 § offentlighets- och sekretesslagen (2009:400). När det gäller enskild verksamhet inom gäller tystnadsplikt enligt 15 kap. 1 § socialtjänstlagen (2001:453). i en personakt i enskild verksamhet som står under Inspektionen för vård och omsorgs tillsyn ska, enligt 7 kap. 4 § socialtjänstlagen, om det begärs av den som akten rör, tillhandahållas denne för läsning eller avskrivning på stället eller i avskrift eller kopia, om inte annat följer av 15 § kap. 1 § socialtjänstlagen. När det gäller enskild hälso- och sjukvård finns motsvarande bestämmelser om tystnadsplikt i förhållande till patienten själv, se 6 kap. 12 § patientsäkerhetslagen (2010:659). 8 kap. 2 patientdatalagen finns bestämmelser om att en journalhandling inom enskild hälso- och sjukvård på begäran av patienten eller av en närstående till patienten ska tillhandahållas honom eller henne för att läsas eller skrivas av på stället eller i avskrift eller kopia, om inte annat följer av patientsäkerhetslagen. Omsorgsmottagaren har inte alltid kännedom om de närmare personupp- gifter som kan ha dokumenterats om honom eller henne av omsorgsgivare. Genom förslaget kan omsorgsmottagaren också bli mera jämställd med omsorgsgivaren, när de båda har tillgång till informationen i samman- hållen vård- och omsorgsdokumentation. När det gäller tillgång till upp- gifter om logglistor gör samma skäl sig gällande för omsorgsmottagares tillgång som ovan anförts för patienters tillgång. Regeringen vill dock förtydliga att förslaget inte innebär någon rättighet för omsorgsmottagare att ha direktåtkomst till sina uppgifter. anser att behovet av en mer effektiv informationsöverföring väger tyngre än omsorgsmottagarens behov av direktåtkomst till informationen. finns anledning att anta att en sådan rättighet skulle kunna hämma införandet av sammanhållen vård- och omsorgsdokumentation genom att det kan behövas annan teknik än som behövs för vårdgivares och omsorgs- givares elektroniska åtkomst, t.ex. än mer komplex utformning av it- Lagrådet anser att bestämmelsen som reglerar patientens och omsorgs- mottagarens elektroniska tillgång till dokumentation ger intrycket att t.ex. en patient kan vända sig till sin vårdgivare och att vårdgivaren då får medge patienten direktåtkomst. Som Lagrådet förstår det är detta inte Prop. 2021/22:177 tanken, utan det är i stället tänkt att fungera så att en vårdgivare bygger upp ett system som gör att patienten kan välja att gå in och titta på sina uppgifter närhelst patienten önskar. Om det är så, bör det enligt Lagrådet uttryckas tydligare i lagtexten eller åtminstone i kommentaren. Enligt regeringens bedömning framgår det av hittillsvarande 5 kap. 5 § patient- datalagen och av 4 kap. 2 § i propositionens förslag att det är fråga om en möjlighet till direktåtkomst eller annat elektroniskt utlämnande och att det är fråga om åtkomst via it-system. Vidare finns ytterligare bestämmelser i 10–12 §§ i föreskrifter och allmänna råd om journalföring och behandling av personuppgifter i hälso- och sjukvården (HSLF-FS 2016:40). Det är upp till en vårdgivare eller omsorgsgivare att ta ställning till vilka uppgifter om en patient eller en omsorgsmottagare som patienten eller omsorgsmottagaren får medges tillgång till genom direktåtkomst eller annat elektroniskt utlämnande. Det kan naturligtvis inträffa att en omsorgsmottagare som har getts elektronisk tillgång till sin dokumentation har synpunkter på innehållet i den och vill få den korrigerad. Omsorgsmottagaren har emellertid inte rätt att styra över den dokumentation som görs i större utsträckning än som följer av EU:s dataskyddsförordning och nationell lagstiftning. Rege- ringen vill påminna om att det ska antecknas om omsorgsmottagaren har en annan uppfattning än handläggaren om någonting som denne har antecknat (11 kap. 6 § socialtjänstlagen). Förslaget innebär inte någon ökad risk att omsorgsmottagaren utsätts för påtryckning av t.ex. anhöriga att visa dem informationen. Även kan omsorgsmottagaren förmås att mot sin vilja ge t.ex. en anhörig fullmakt att begära ut informationen. Regeringen är medveten om den risken, men anser inte att den föreslagna lagen medför någon ökad risk för sådant integritetsintrång. De fördelar som en mer effektiv informationsöverföring kan ge måste anses överväga risken för integritetsintrång genom ovan nämnda sätt. Omsorgsmottagarens tillgång till uppgifter om sig själv kan begränsas av sekretess Tillgången genom direktåtkomst eller annat elektroniskt utlämnande får förstås bara avse sådana uppgifter om omsorgsmottagaren själv som får lämnas ut till honom eller henne. Det är dock omsorgsgivaren som avgör i vilken utsträckning sådana uppgifter ska göras tillgängliga för omsorgs- mottagarna. Vissa uppgifter i dokumentation omfattas av sekretess mot omsorgsmottagaren. Detta gäller främst uppgift i anmälan eller utsaga av en enskild om någons hälsotillstånd eller andra personliga förhållanden, till skydd för anmälare eller uppgiftslämnare, se 26 kap. 5 § offentlighets- och sekre- tesslagen. Noteras ska även att det i vissa fall finns möjlighet till hemlig- hållande av uppgift om underårigs vistelseort i 26 kap. 2 § offentlighets- och sekretesslagen. Därför är det nödvändigt att en sekretessprövning görs i samband med att uppgifter görs tekniskt åtkomliga för omsorgs- mottagaren eller att det införs rutiner som innebär att sådana uppgifter inte antecknas i den sammanhållna vård- och omsorgsdokumentationen. att understryka detta bör anges i bestämmelsen att tillgång genom direkt- 2021/22:177 åtkomst eller annat elektroniskt utlämnande (bara) får medges till upp- gifter som får lämnas ut till omsorgsmottagaren. Enligt regeringens förslag är det frivilligt för vårdgivare och omsorgs- givare att ansluta sig till sammanhållen vård- och omsorgsdokumentation. Den vårdgivare eller omsorgsgivare som frivilligt utnyttjar den möjlig- heten måste dock följa de föreskrifter som kan ha meddelats av regeringen eller bemyndigad myndighet. Föreskrifterna kan på grund av frivilligheten inte sägas avse några åligganden för kommuner eller några skyldigheter för enskilda. Det är därför inte är nödvändigt med ett bemyndigande i lag. Regeringen anser dock att det finns anledning att i lag upplysa om att den föreslagna regleringen inte är uttömmande utan förutsätts bli kom- pletterad med föreskrifter på lägre nivå. Regeringen anser att det, av samma skäl som anfördes vid införandet av sammanhållen journalföring, även vid sammanhållen vård- och omsorgsdokumentation kan finnas behov av föreskrifter om säkerhetsåtgärder motsvarande dem som Social- styrelsen meddelat med stöd av bemyndigandet i 5 kap. 5 § patientdata- lagen. Även i EU:s dataskyddsförordning anges att den personuppgifts- ansvarige ska genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen utförs i enlighet med dataskyddsförordningen (artikel 24). Åtgärderna ska ses över och upp- dateras vid behov. Regeringen bedömer att det kan vara aktuellt att ha föreskrifter som reglerar verkställigheten och att det i nya lagen bör finnas en upplysnings- bestämmelse om att regeringen eller den myndighet som regeringen bestämmer kan meddela närmare föreskrifter om de krav på säkerhets- åtgärder som ska gälla vid sådan direktåtkomst eller annat elektroniskt utlämnande. För tydlighets skull ska det föras in en motsvarande lydelse i 5 kap. 5 § patientdatalagen. Patientdatalagens bestämmelse bör därför ändras så att det anges att regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela närmare föreskrifter om de krav på säkerhetsåtgärder som ska gälla vid sådan direktåtkomst eller annat elektroniskt utlämnande. Tilldelning av behörighet för intern elektronisk Regeringens förslag: En omsorgsgivare ska bestämma villkor för till- delning av behörighet till personalen i den egna organisationen för åtkomst till personuppgifter som gjorts tillgängliga för andra omsorgs- givare eller vårdgivare. Sådan behörighet ska begränsas till vad som behövs för att den behörige ska kunna fullgöra sina arbetsuppgifter i fråga om insatser för omsorgsmottagare, administration av sådana insatser och dokumentation. Enligt en upplysningsbestämmelse kan närmare föreskrifter om tilldelning av behörighet med stöd av regeringsformen meddelas av regeringen eller den myndighet som regeringen bestämmer. Bestämmelserna om vårdgivares behörighetstilldelning i patientdata- lagen ska gälla även för vårdgivares behörighetstilldelning avseende åtkomst till sammanhållen vård- och omsorgsdokumentation. Utredningens förslag överensstämmer i huvudsak med regeringens förslag, dock inte när det gäller motsvarande bestämmelse i patientdata- lagen om bemyndigande för regeringen eller den myndighet regeringen bestämmer att meddela föreskrifter. Utredningen lämnar inget förslag om ändring i 4 kap. 2 § patientdatalagen. Utredningens förslag har också delvis en annan lydelse. Remissinstanserna: Många remissinstanser är positiva till förslaget, men flera remissinstanser lyfter även fram utmaningar i det praktiska han- terandet av behörighetsstyrningen. Kommuner och Regioner instämmer i utredningens förslag om behörighet för elektronisk åtkomst, men anser att inga nya regler för behörighetstilldelning behövs utan att befintliga regler kan utsträckas till att omfatta även den nya lagen. Region och flera professionsorganisationer, såsom och , lyfter fram vikten av att begränsa behörigheten till relevanta områden för respektive personal- grupp eller individ, och att detta behöver göras med stor noggrannhet och på individnivå. tillstyrker förslaget och framhåller att behörighetstilldelningen skulle kunna underlättas av mer strukturerad dokumentation från de aktörer som ingår i den sammanhållna vård- och omsorgsdokumentationen. Skälen för regeringens förslag I patientdatalagen (2008:355) ställs krav på vårdgivarna att, när det gäller elektronisk patientjournalföring och övrig elektronisk patientdokumen- tation, bestämma villkor för tilldelning av behörighet för åtkomst till personuppgifter och dokumentation (4 kap. 2 § patientdatalagen). Det anges vidare att behörigheten ska begränsas till vad som behövs för att den enskilde ska kunna fullgöra sina arbetsuppgifter inom hälso- och sjukvården. Det anges sedan särskilt att vid sammanhållen journalföring ska behörighet tilldelas enligt samma principer (6 kap. 7 § patient- datalagen). Detta innebär att bestämmelserna om vårdgivares behörighets- tilldelning gäller all verksamhet, inte bara den som omfattas av samman- hållen journalföring. har meddelat föreskrifter med närmare riktlinjer om hur en sådan behörighetsstyrning ska ske. Se bl.a. 4 kap. 2 och 3 §§ Social- styrelsens föreskrifter och allmänna råd om journalföring och behandling av personuppgifter i hälso- och sjukvården (HSLF-FS 2016:40). Det ska finnas krav på behörighetstilldelning Den sammanhållna vård- och omsorgsdokumentationen bygger som tidig- are sagts på att patienterna och omsorgsmottagarna samtycker till att en vårdgivare eller omsorgsgivare får ta del av dokumentation hos en annan vårdgivare eller omsorgsgivare. Om denna potentiella tillgänglighet inte hanteras på ett bra sätt så att patienterna och omsorgsmottagarna kan känna sig säkra på att känslig information inte läses av obehöriga, finns det risk 2021/22:177 för att patienter och omsorgsmottagare väljer att stå utanför systemet. Det är därför viktigt att förtydliga att det är den personuppgiftsansvarige hos ansluten vårdgivare eller omsorgsgivare som har ansvar för att den elektro- niska åtkomsten till personuppgifter hos den egna, eller en annan vård- givare eller omsorgsgivare inte är mer omfattande än vad som krävs för att insatserna för patienten eller omsorgsmottagaren ska kunna utföras. I patientdatalagen ställs som ovan nämnts krav på vårdgivarna att, när det gäller elektronisk patientjournalföring och övrig elektronisk patient- dokumentation, bestämma villkor för tilldelning av behörighet för åtkomst till personuppgifter och på dokumentation. I lagen (2001:454) om be- handling av personuppgifter inom finns dock inte några uttryckliga krav på att anpassa yrkesutövarens behörigheter för elektronisk åtkomst till personuppgifter efter de behov av uppgifter som yrkesutövaren har för att kunna utföra sitt arbete. Regeringen anser att det för sammanhållen vård- och omsorgsdoku- mentation på grund av de skäl som anförts ovan bör finnas bestämmelser som motsvarar de som gäller för sammanhållen journalföring med krav på tilldelning av behörighet för elektronisk åtkomst. Krav på behörig- hetstilldelning för omsorgsgivare bör därför uppställas i den föreslagna lagen. I patientdatalagen finns det redan bestämmelser om vårdgivares behörighetstilldelning som gäller all verksamhet, inte bara den som kommer att omfattas av sammanhållen vård- och omsorgsdokumentation. Eftersom ingen ändring av innebörden av dessa bestämmelser är avsedd i sak, är det av tydlighetsskäl lämpligt att i den föreslagna lagen ange att den bestämmelsen även gäller vårdgivares åtkomst till sammanhållen vård- och omsorgsdokumentation. Behörighet för åtkomst avser en användares faktiska möjligheter att ta del av uppgifter i exempelvis verksamhetssystem. Behörig- hetsstyrning är de organisatoriska, administrativa och tekniska åtgärder som vidtas för att anpassa och begränsa behörigheten efter användarens behov för att kunna utföra sitt arbete. Den som arbetar inom och behöver åtkomst till vissa omsorgsmottagares personuppgifter ska tilldelas en individuell behörighet för åtkomst till dessa personuppgifter. Behörigheten för åtkomst till personuppgifter ska vara anpassad efter den anställdes behov av personuppgifter för att kunna utföra sitt för tillfället aktuella arbete. Det innebär exempelvis att skilda personalkategorier behöver ha olika behörigheter för elektronisk åtkomst till personuppgifter. Sådana personuppgifter som en anställd eller motsvarande över huvud taget inte har behov av att ta del av för att kunna utföra sitt arbete, ska i normala fall inte heller vara elektroniskt tillgängliga för den anställde. I verksamheter som hanterar en stor mängd mycket integritetskänsliga upp- gifter, som , ställs stora krav på en ändamålsenlig behörig- hetsstyrning. Även om det vid behörighetsstyrning kan vara svårt att vid varje givet tillfälle uppnå ett exakt förhållande mellan en användares behov och en användares tekniska möjligheter att ta del av personupp- gifter, måste ambitionen hos den som bedriver verksamheten vara att komma så nära som möjligt. är det viktigt att inte behörigheten blir för snäv och på så sätt bidrar till att personuppgifter inte är tillgängliga för användaren när det behövs. Behörighetsstyrningen behöver därför innehålla moment av både risk- och behovsanalys. Enligt de föreslagna bestämmelserna om sammanhållen vård- och om- sorgsdokumentation är det vårdgivaren respektive omsorgsgivaren som får ha tillgång till personuppgifter. Vårdgivare och omsorgsgivare agerar genom sina befattningshavare och för att en befattningshavare av vård- givaren eller omsorgsgivaren ska få ges elektronisk åtkomst till person- uppgifterna krävs det att han eller hon har behov av det för sitt arbete. Utgångspunkten för tilldelning av behörighet för personalens elektroniska åtkomst till uppgifter om omsorgsmottagare ska begränsas till vad be- fattningshavaren behöver för att kunna utföra sina arbetsuppgifter inom . Detta gäller för den del av befattningshavarens arbetsupp- gifter som avser behandling av personuppgifter för att ansvara för eller utföra insatser för äldre eller personer med funktionsnedsättningar, samt administration eller dokumentation av sådana insatser. Däri ligger bl.a. att behörigheter ska följas upp och ändras efter hand som ändringar i befattningshavarens arbetsuppgifter ger anledning till det. Vid införandet av sammanhållen journalföring inom hälso- och sjuk- vården uttalade regeringen att behörighet vid sammanhållen journalföring bör tilldelas enligt principen att varje vårdgivare prövar sin personals elektroniska åtkomst till andra vårdgivares vårddokumentation som finns tillgänglig för vårdgivaren i den sammanhållna journalföringen (prop. 2007/08:126 s. 149). Regeringen anser att samma princip bör gälla för sammanhållen vård- och omsorgsdokumentation, dvs. att varje vårdgivare eller omsorgsgivare ska pröva sin personals elektroniska åtkomst till andra vårdgivares eller omsorgsgivares dokumentation som finns tillgänglig för vårdgivaren eller omsorgsgivaren i den sammanhållna vård- och omsorgs- dokumentationen. Dessutom ska vårdgivaren eller omsorgsgivaren pröva sin personals elektroniska åtkomst till personuppgifter i den vård- och omsorgsdokumentation som vårdgivaren eller omsorgsgivaren själv gjort tillgänglig i systemet. Synpunkterna från Region och flera professionsföreningar om att begränsningar av behörighet behöver göras med stor noggrannhet och på individnivå, visar att det kan finnas utmaningar att på ett säkert sätt avgränsa behörigheten för den personal som har att tillämpa lagstiftningen. Därför är den ovan nämnda risk- och behovsanalysen avgörande i hur vårdgivarna och omsorgsgivarna väljer att genomföra behörighets- systemen. Regeringen håller med om att genom att ut- veckla arbetet med strukturerad vård- och omsorgsdokumentationen så kan behörighetsstyrningen förenklas. Regeringen ser även att det genom en mer strukturerad vård- och omsorgsdokumentation kan även andra effektivitetsvinster göras. Inom ramen för arbetet i Vision e-hälsa 2025 lyfts standarder och enhetligare begreppsanvändning som grundläggande förutsättningar för ett väl fungerande informationsutbyte inom både vården och omsorgen. Regeringen anser att lagförslaget inte innebär någon annan reglering för vårdgivarna än den som redan gäller för sammanhållen journalföring. Däremot är regleringen ny för omsorgsgivarna, då de tidigare inte haft möjlighet att ta del av sammanhållen journalföring. 2021/22:177 Behov av föreskrifter Regeringen anser att det även vid sammanhållen vård- och omsorgsdoku- mentation kan finnas behov av föreskrifter om behörighetstilldelning motsvarande dem som meddelat med stöd av bemyndig- andet i 4 kap. 2 § patientdatalagen. Det är fråga om sådana föreskrifter om verkställighet av lag som regeringen kan meddela enligt 8 kap. 7 § första stycket 1 regeringsformen. För tydlighets skull ska det föras in en upplysningsbestämmelse i den nya lagen om att regeringen eller den myndighet som regeringen bestämmer med stöd av 8 kap. 7 § regeringsformen kan meddela närmare föreskrifter om tilldelning av behörighet för åtkomst till uppgifter. Vidare bör nuvarande 4 kap. 2 § tredje stycket patientdatalagen också ändras så att den bestämmelsen får en motsvarande lydelse som i den nya lagen. 6.20Kontroll av elektronisk åtkomst Regeringens förslag: En omsorgsgivare ska se till att åtkomst till personuppgifter som gjorts tillgängliga för andra omsorgsgivare eller vårdgivare genom sammanhållen vård- och omsorgsdokumentation dokumenteras och kan kontrolleras. Omsorgsgivaren ska göra syste- matiska och återkommande kontroller av om någon obehörigen kommer åt uppgifterna. Enligt en upplysningsbestämmelse kan närmare föreskrifter om dokumentation och kontroll med stöd av regeringsformen meddelas av regeringen eller den myndighet som regeringen bestämmer. Bestämmelserna om vårdgivares kontroll av elektronisk åtkomst i patientdatalagen ska gälla även för vårdgivares dokumentation om och kontroll av åtkomst till sammanhållen vård- och omsorgsdokumenta- tion. Utredningens förslag överensstämmer i huvudsak med regeringens förslag, dock inte när det gäller motsvarande bestämmelse i patientdata- lagen om bemyndigande för regeringen eller den myndighet regeringen bestämmer att meddela föreskrifter. Utredningen lämnar inget förslag om ändring i 4 kap. 3 § patientdatalagen. Remissinstanserna: Endast ett fåtal remissinstanser har lämnat syn- punkter på förslaget. anser att behov av kontroll av åtkomst av information ska kontrolleras utifrån att säkerställa att inte integritets- intrång förekommer. kommun anser att det finns behov av före- skrifter på området. Kommuner och Regioner (SKR) instämmer i utredningen förslag och anser att det är mycket viktigt för allmänhetens förtroende att omsorgsgivaren gör systematiska och återkommande kontroller av om någon obehörigen kommer åt uppgifterna. Bestämmelsen om vårdgivares åtkomstkontroll i patientdatalagen (2008:355) är tillräck- liga även för dessa kontroller. Skälen för regeringens förslag Vårdgivarens och omsorgsgivarens ansvar I patientdatalagen ställs krav på vårdgivaren att den ska se till att åtkomst till personuppgifter i elektronisk patientjournalföring och övrig elektronisk patientdokumentation dokumenteras och kontrolleras och att vårdgivaren ska göra systematiska och återkommande kontroller av om någon obe- hörigen kommer åt sådana uppgifter (4 kap. 3 § patientdatalagen). Det anges sedan särskilt att vid sammanhållen journalföring ska åtkomst- kontroll ske enligt samma principer (6 kap. 7 § patientdatalagen). I lagen (2001:454) om behandling av personuppgifter inom social- tjänsten finns dock inte några uttryckliga bestämmelser om loggning och kontroll av att ingen otillåten åtkomst till uppgifter om enskilda har före- kommit. Regeringen anser att det för sammanhållen vård- och omsorgs- dokumentation bör finnas bestämmelser som motsvarar de som gäller för sammanhållen journalföring med krav på loggning och kontroll av elektronisk åtkomst. Regeringen föreslår därför en bestämmelse om att en omsorgsgivare ska se till att åtkomst till personuppgifter genom sammanhållen vård- och omsorgsdokumentation dokumenteras och kan kontrolleras samt göra systematiska och återkommande kontroller av om någon obehörigen kommer åt uppgifterna. Lagrådet anser att kontrollerna bör omfatta dels frågan om personer som helt saknar behörighet kan komma åt uppgifterna, dels frågan om personer som i och för sig har systembehörighet har tagit del av uppgifter som de inte varit behöriga att ta del av samt att detta på något sätt bör komma till uttryck i lagtexten. Regeringen delar Lagrådets bedömning att kontrollerna bör omfatta båda dessa frågor. Regeringen anser dock att nuvarande bestämmelse om att någon obehörigen kommer åt uppgifterna innefattar dels dem som saknar behörighet, dels dem som har systembehörighet men inte varit behöriga att ta del av uppgifter. Det finns därför inte anledning att ha en annan formulering i paragrafen än den som föreslås i lagrådsremissen. Det är den verksamhetsansvarigas ansvar att självmant följa upp hur behörighetssystem fungerar och i vilken mån obehörig intern åtkomst har skett, jämför prop. 2007/08:126 s. 149. Loggarna måste sparas för att möjliggöra kontrollen. Systematiska och återkommande stickprovskontroller av loggarna ska göras och antalet stickprovskontroller bör vara proportionerligt i förhållande till antalet slagningar som görs i systemet. I patientdatalagen finns det redan bestämmelser om vårdgivares åtkomstkontroll som gäller all verksamhet, inte bara den som kommer att omfattas av sammanhållen vård- och omsorgsdokumentation.