prop · H903177 · 2022-03-21 00:00:00 — Sådan behörighet ska begränsas till vad som behövs för att den behörige ska kunna fullgöra sina arbetsuppgifter i fråga om insatser för omsorgs- mottagare, administration av sådana insatser och dokumentation som avses i 1 kap. 1 § andra stycket. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela närmare föreskrifter om tilldelning av behörighet enligt första stycket. I 4 kap. 2 § patientdatalagen (2008:355) finns det bestämmelser om vårdgivares behörig- hetstilldelning. De bestämmelserna gäller även för vårdgivares behörighetstilldelning avseende åtkomst till sammanhållen vård- och omsorgsdokumentation. Övervägandena finns i avsnitt 6.19. Paragrafen reglerar omsorgsgivares behörighetstilldelning avseende åtkomst till sammanhållen vård- och omsorgsdokumentation. Paragrafen har delvis 4 kap. 2 § patientdatalagen som förebild och förarbeten till 4 kap. 2 § patientdatalagen finns i prop. 2007/08:126 s. 239 f. Skillnaden i förhållande till patientdatalagen består i att paragrafen i nya lagen omfattar omsorgsgivares krav på att bestämma villkor för tilldelning av behörighet och gäller för sammanhållen vård- och omsorgsdokumentation. Enligt första stycket ska en omsorgsgivare bestämma villkor för hur personalen i den egna organisationen ska tilldelas behörighet för åtkomst till personuppgifter som har gjorts tillgängliga för andra vårdgivare eller omsorgsgivare genom sammanhållen vård- och omsorgsdokumentation. Det ingår därför i varje omsorgsgivares ansvar att pröva sin personals behov av åtkomst till andra vårdgivares och omsorgsgivares uppgifter i den sammanhållna vård- och omsorgsdokumentationen. Sådan behörighet ska begränsas till vad som behövs för att den enskilde i personalen ska kunna fullgöra sina arbetsuppgifter i fråga om insatser för äldre personer eller personer med funktionsnedsättning. Utgångspunkten för tilldelning av behörighet för personalens elektroniska tillgång till upp- gifter om omsorgsmottagare ska begränsas till vad befattningshavaren be- höver för att kunna utföra sina arbetsuppgifter inom . Detta gäller för den del av befattningshavarens arbetsuppgifter som avser be- handling av personuppgifter för att ansvara för eller utföra insatser för omsorgsmottagaren, samt administration eller dokumentation som avses i 1 kap. 3 § andra stycket, dvs. omsorgsgivares dokumentation enligt 11 kap. 5 § socialtjänstlagen när det gäller insatser för äldre personer eller personer med funktionsnedsättning, eller enligt 21 a § lagen om stöd och service till vissa funktionshindrade. En omsorgsgivare måste först fast- ställa vilka behov som finns innan behörighetsrutinerna bestäms. Bestämmelsen innebär att en omsorgsgivare ska göra aktiva och individuella behörighetstilldelningar utifrån analyser av vilken närmare information olika personalkategorier och olika slags verksamheter be- höver. Då villkoren för behörighetstilldelning bestäms måste också risk- analyser göras. Särskilt viktigt är detta då det gäller tillgängligheten till skyddade personuppgifter och uppgifter om kända personer. En generös behörighetstilldelning innebär ofta en obefogad spridning av personupp- gifter. Det räcker således inte att i efterhand kontrollera åtkomstlistor för att konstatera eventuella intrång. Vid utformning av behörighetssystem måste de grundläggande principerna för behandling av personuppgifter i artikel 5 i EU:s dataskyddsförordning beaktas. I stora, brett tillgängliga system ska normalt olika behörighetsnivåer för personalen finnas. Mer känsliga uppgifter får inte vara lika enkelt åtkomlig för personalen som mindre känslig information. Det ingår i varje omsorgsgivares ansvar att se till att alla anställda får full information om behörighetsreglerna. Behörig- hetstilldelningen bör åtföljas av tekniska begränsningar så att den som inte har behörighet att ha tillgång till vissa uppgifter inte heller har teknisk möjlighet att komma åt dessa. Behörigheter måste också följas upp och ändras efter hand som ändringar i befattningshavarens arbetsuppgifter ger anledning till det. En närmare reglering som tar sikte på behörighets- tilldelning kan finnas i författningar av lägre nivå än lag, se andra stycket. I andra stycket upplyses om att regleringen gällande krav på tilldelning av behörighet för omsorgsgivare inte är uttömmande i lagen utan kan bli kompletterad med föreskrifter på lägre nivå av regeringen, eller den myn- dighet som regeringen bestämmer. I tredje stycket anges att paragrafen om vårdgivares behörighetstill- delning i 4 kap. 2 § i patientdatalagen ska gälla även för vårdgivares 2021/22:177 behörighetstilldelning avseende åtkomst till sammanhållen vård- och omsorgsdokumentation. 4 § En omsorgsgivare ska se till att åtkomst till personuppgifter som gjorts tillgängliga för andra omsorgsgivare eller vårdgivare enligt denna lag dokumenteras och kan kontrolleras. Omsorgsgivaren ska göra systematiska och återkommande kontroller av om någon obehörigen kommer åt uppgifterna. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela närmare föreskrifter om dokumentation och kontroll enligt första stycket. I 4 kap. 3 § patientdatalagen (2008:355) finns det bestämmelser om vårdgivares kontroll av elektronisk åtkomst. De bestämmelserna gäller även för vårdgivares dokumentation om och kontroll av åtkomst till sammanhållen vård- och omsorgsdokumentation. Övervägandena finns i avsnitt 6.20. Paragrafen reglerar omsorgsgivares åtkomstkontroll avseende åtkomst till sammanhållen vård- och omsorgs- dokumentation. Paragrafen har delvis 4 kap. 3 § patientdatalagen som förebild och förarbeten till 4 kap. 3 § patientdatalagen finns i prop. 2007/08:126 s. 240 f. Skillnaden i förhållande till patientdatalagen består i att paragrafen i nya lagen omfattar omsorgsgivares åtkomstkontroll. Av första stycket följer att en omsorgsgivare är skyldig att se till att den egna personalens och andra vårdgivares och omsorgsgivares åtkomst (elektronisk åtkomst genom direktåtkomst eller annat elektroniskt ut- lämnande) till personuppgifter genom sammanhållen vård- och omsorgs- dokumentation dokumenteras och kan kontrolleras. Omsorgsgivaren är även skyldig att göra systematiska och återkommande kontroller av om någon obehörigen kan komma åt eller har tagit del av uppgifterna. Åtkomstkontroller ska t.ex. göras för att säkerställa att användare inte använder sina behörigheter på fel sätt genom att läsa uppgifter som de inte ska behandla. Exempel på en felaktig åtkomst kan vara att någon öppnar en journal trots att han eller hon inte har med omsorgsmottagaren eller patienten att göra. För att omsorgsgivaren (eller vårdgivaren, se tredje stycket) ska kunna kontrollera att behörigheterna används på ett korrekt sätt måste åtkomsten till personuppgifter dokumenteras (loggas). Av loggarna ska framgå användarens identitet och som åtkomsten skett. Loggarna måste sparas för att möjliggöra kontroll. Systematiska och återkommande stickprovskontroller av loggarna be- höver göras och antalet stickprovskontroller ska vara proportionerliga i förhållande till antalet slagningar som görs i systemet. Det räcker inte att bara göra uppföljningskontroller i särskilda fall då misstanke kan finnas om obehörigt intrång. Uppgiftskontroller ska göras systematiskt och fort- löpande oberoende av misstanke. I andra stycket upplyses om att regleringen gällande krav på kontroll av åtkomst till personuppgifter för omsorgsgivare inte är uttömmande i lagen utan kan bli kompletterad med föreskrifter på lägre nivå av regeringen, eller den myndighet som regeringen bestämmer. I tredje stycket anges att bestämmelserna i 4 kap. 3 § patientdatalagen gäller även för vårdgivares dokumentation om och kontroll av åtkomst till sammanhållen vård- och omsorgsdokumentation. Information om den elektroniska åtkomst som förekommit 5 § En omsorgsgivare ska på begäran av en omsorgsmottagare lämna information om den åtkomst till omsorgsmottagarens personuppgifter som förekommit enligt denna lag. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela närmare föreskrifter om information enligt första stycket. I 8 kap. 5 § patientdatalagen (2008:355) finns det bestämmelser om att en vårdgivare på begäran av en patient ska lämna information om den direktåtkomst och elektroniska åtkomst till uppgifter om patienten som har förekommit. Övervägandena finns i avsnitt 6.21. skyldighet att på begäran av omsorgsmottagare lämna information om den åtkomst som förekommit genom sammanhållen vård- och omsorgsdoku- Paragrafen har delvis 8 kap. 5 § patientdatalagen som förebild och förarbeten till 8 kap. 5 § patientdatalagen finns i prop. s. 240 f. Skillnaden i förhållande till patientdatalagen består i att para- grafen i nya lagen omfattar omsorgsgivares skyldighet att lämna viss information och att den fått en annan språklig utformning. Av första stycket framgår att en omsorgsmottagare har rätt att få information från omsorgsgivaren om vilken åtkomst (elektronisk åtkomst genom direktåtkomst eller annat elektroniskt utlämnande) till uppgifter om omsorgsmottagaren (eller patient se tredje stycket) som förekommit i systemet med sammanhållen vård- och omsorgsdokumentation. Skyldigheten att lämna information är mer långtgående än den skyldig- het som den offentliga har enligt tryckfrihetsförordningen att lämna ut allmänna handlingar och 6 kap. 4 § offentlighets- och sekre- tesslagen att lämna uppgifter ur allmänna handlingar. Skyldigheten att lämna information om den åtkomst som förekommit till de personuppgifter om omsorgsmottagaren som omsorgsgivaren håller tillgängliga för andra omsorgsgivare eller vårdgivare genom samman- hållen vård- och omsorgsdokumentation motsvarar ingen bestämmelse i EU:s dataskyddsförordning (jämför SOU 2017:66 s. 364 om artikel 15 i Informationen behöver vara anpassad och klargörande för omsorgs- mottagaren så att han eller hon enkelt ska kunna tillgodogöra sig den. information som lämnas behöver vara begriplig och vägledande för omsorgsmottagaren när han eller hon själv ska bilda sig en uppfattning om huruvida åtkomsten varit befogad eller inte. Det bör t.ex. tydligt framgå när och från vilken enhet en sökning har skett. Varje omsorgsgivare har att kunna redovisa vilken åtkomst till den egna verksamhetens dokumentation som har förekommit från andra vårdgivare och omsorgsgivare och från enheter inom den egna organisationen. Även dessa andra mottagande omsorgsgivare eller vårdgivare bör kunna redovisa när direktåtkomst eller annan elektronisk åtkomst har använts. Det finns dock inte något behov av att namnge omsorgspersonal eller att presentera andra uppgifter som indirekt kan hänföras till en fysisk person utan det är tillräckligt att för detta ändamål ange från vilken avdelning, enhet eller motsvarande som Det är omsorgsgivaren som avgör i vilken utsträckning sådana uppgifter ska göras tillgängliga för omsorgsmottagarna. informationen närmare ska utformas framgår inte av lagen. överlämnats till regeringen eller den myndighet som regeringen be- stämmer, se andra stycket. 2021/22:177 I andra stycket upplyses om att regleringen gällande krav på information inte är uttömmande i lagen utan kan bli kompletterad med föreskrifter på lägre nivå av regeringen, eller den myndighet som regeringen bestämmer. Tredje stycket ger endast en upplysning om att det i 8 kap. 5 § patient- datalagen finns bestämmelser om skyldighet för vårdgivare att lämna motsvarande information till patienten. 6 § När en handling är tillgänglig för flera vårdgivare eller omsorgsgivare enligt denna lag gäller skyldigheten att bevara handlingen bara för den vårdgivare eller omsorgsgivare som ansvarar för den. Övervägandena finns i avsnitt 6.22. Paragrafen reglerar vilken vårdgivare eller omsorgsgivare som, när en handling är tillgänglig för flera vårdgivare eller omsorgsgivare genom sammanhållen vård- och omsorgsdokumenta- tion, ska bevara en handling. Paragrafen motsvarar delvis 6 kap. 8 § första stycket patientdatalagen och förarbeten till 6 kap. 8 § patientdatalagen finns i prop. 2007/08:126 s. 136 f och 256. Skillnaden i förhållande till patientdatalagen består i att paragrafen även omfattar omsorgsgivare och omsorgsgivares dokumentation samt att en särskild bestämmelse med innebörden att om en handling är tillgänglig för en myndighet bara genom sammanhållen vård- och omsorgsdokumentation och myndigheten inte ansvarar för den får myndigheten gallra handlingen inte finns i den nya lagen. Paragrafen utformas efter synpunkter från Lagrådet. Grundregler om bevarande och gallring av patientjournaler inom hälso- och sjukvården och dokumentation inom finns i olika författningar. Av 3 kap. 17 § patientdatalagen följer att en journalhandling ska bevaras efter det att den sista uppgiften fördes in i hand- lingen. I vissa fall får föreskrivas om längre bevarandetid. När det gäller i finns ingen kortaste bevarandetid angiven utan det anges endast att anteckningar och andra uppgifter i en personakt hos socialnämnden ska gallras efter det att sista anteckningen gjordes i akten (12 kap. 1 § socialtjänstlagen och 21 c § lagen om stöd och service till vissa funktionshindrade). Vidare finns det i socialtjänstlagen bestämmelser om att vissa slags handlingar inte får gallras med stöd av bestämmelserna i 12 kap. 1 § socialtjänstlagen, bl.a. handlingar som kommit in eller upprättats i samband med att ett barn har placerats eller tagits emot i t.ex. sådant boende som avses i 5 kap. 7 § tredje stycket socialtjänstlagen (12 kap. 2 § socialtjänstlagen). För enskild verksamhet inom gäller att anteckningar och andra uppgifter i en personakt som tillhör sådan sammanställning av uppgifter som avses i lagen om behandling av personuppgifter inom ska bevaras och därefter gallras efter det att sista anteckningen gjordes i akten (7 kap. 3 § socialtjänstlagen). Det framgår av samma bestämmelse att uppgifter i en sammanställning som avses i lagen om behandling av personuppgifter inom ska gallras efter det att de förhållanden som uppgifterna avser har upphört. Be- stämmelser med motsvarande innebörd finns även i 23 c § lagen om stöd och service till vissa funktionshindrade. För journalhandlingar och dokumentation som utgör allmänna hand- lingar gäller därutöver bl.a. arkivlagen (1990:782). Paragrafen innebär att varje vårdgivare eller omsorgsgivare som deltar i ett system med sammanhållen vård- och omsorgsdokumentation ansvarar för bevarandet av de ospärrade uppgifter som vårdgivaren eller omsorgs- givaren själv gör tillgängliga i systemet med sammanhållen vård- och omsorgsdokumentation. Sådant ansvar har inte en vårdgivare eller omsorgsgivare som endast har en potentiell tillgång till dessa uppgifter. Det innebär i princip att det endast är en, inte flera, vårdgivare eller omsorgsgivare som ansvarar för bevarandet och arkivbildningen av journalhandlingar och annan dokumentation. Detta gäller även om en vårdgivare eller omsorgsgivare bereder sig till- gång till uppgifter hos en annan vårdgivare eller omsorgsgivare, så länge inte uppgifterna tankas hem och lagras av den förstnämnde vårdgivaren eller omsorgsgivaren. En tanke med den sammanhållna vård- och omsorgsdokumentationen är dock att en vårdgivare eller omsorgsgivare inte ska behöva hämta och lagra en annan vårdgivares eller omsorgs- givares journalhandlingar och annan dokumentation eller på annat sätt till- föra uppgifterna till sin dokumentation. Dubbeldokumentation bör und- vikas. lär det dock vara nödvändigt att göra detta för att kunna till- godose patientsäkerheten eller ge god omsorg. En sådan åtgärd, att tanka hem och lagra uppgifterna, innebär att vårdgivaren eller omsorgsgivaren framställer en ny handling som denne ansvarar för, vilket dock inte regleras i lagen. Bevarandet och hanteringen av den nya handlingen följer samma regler som gäller för övriga journalhandlingar och annan dokumentation som har sitt ursprung i den egna verksamheten. Inom område kan sådan dubbeldokumentation även vara nödvändig vid ärendehandläggning enligt socialtjänstlagen och lagen om stöd och service till vissa funktions- hindrade för omsorgsgivare som ansvarar för, dvs. beslutar om insatser. Detta gäller exempelvis då dokumentation som gjorts tillgänglig genom sammanhållen vård- och omsorgsdokumentation används som underlag för biståndshandläggares beslut i ärenden om insatser. Detta beror på att det i annan lagstiftning finns krav på att en upptagning för automatiserad behandling som en myndighet använder sig av för handläggning av ett mål eller ärende ska tillföras handlingarna i målet eller ärendet i läsbar form, om det inte finns särskilda skäl mot det (4 kap. 3 § offentlighets- och sekretesslagen). Det finns även krav i 27 § förvaltningslagen (2017:900) på att en myndighet ska dokumentera sådana uppgifter som myndigheten får på annat sätt än genom en handling och som kan ha be- tydelse för ett beslut i ett ärende. Bestämmelsen om att en sådan upp- tagning ska tillföras handlingarna i ärendet i läsbar form gäller dock inte när insatsen utförs, eftersom det då inte är fråga om ärendehandläggning utan ett faktiskt handlande. Vidare finns bestämmelser som medför journalföringsplikt, t.ex. 3 kap. patientdatalagen, inom hälso- och sjuk- vården respektive krav på dokumentation av ärendehantering och genom- förande av beslutade insatser inom , t.ex. 11 kap. 5 § social- tjänstlagen. 2021/22:177 10.2 Förslaget till lag om ändring i lagen (2001:454) om behandling av personuppgifter inom 4 § Denna lag innehåller bestämmelser som kompletterar EU:s dataskyddsförordning. Vid behandling av personuppgifter enligt denna lag gäller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen. I lagen (2022:000) om sammanhållen vård- och omsorgsdokumentation finns ytterligare bestämmelser om behandling av personuppgifter inom i fråga om insatser för äldre personer eller personer med funktionsnedsättning. Övervägandena finns i avsnitt 6.2.2. Paragrafen reglerar förhållandet mellan lagen och annan dataskyddslagstiftning. Förarbeten till paragrafen finns i prop. 2017/18:171 s. 240. Tredje stycket är nytt och upplyser om att det finns ytterligare be- stämmelser om behandling av personuppgifter inom i lagen om sammanhållen vård- och omsorgsdokumentation. Bestämmelserna i den nya lagen gäller dock endast för en viss avgränsad del av den verk- samhet inom som faller inom tillämpningsområdet för lagen om behandling av personuppgifter inom , dvs. insatser för äldre personer eller personer med funktionsnedsättning. 10.3Förslaget till lag om ändring i patientdatalagen (2008:355) 3 § I denna lag används följande uttryck med nedan angiven betydelse. Verksamhet som avses i hälso- och sjuk- (2017:30), (1985:125), lagen (1991:1128) om psykiat- risk tvångsvård, lagen (1991:1129) om rätts- (2004:168), lagen (1972:119) om fast- ställande av könstillhörighet i vissa fall, lagen (2006:351) om genetisk integritet m.m., lagen (2018:744) om försäkrings- medicinska utredningar, lagen (2019:1297) patienter, lagen (2021:363) om estetiska kirurgiska ingrepp och estetiska injektions- behandlingar samt den upphävda lagen (1944:133) om kastrering. Framställning i skrift eller bild samt upptag- ning som kan läsas, avlyssnas eller på annat sätt uppfattas endast med tekniskt hjälp- medel och som upprättas eller inkommer i samband med vården av en patient och som innehåller uppgifter om patientens hälso- tillstånd eller andra personliga förhållanden eller om vidtagna eller planerade vård- Prop. En eller flera journalhandlingar som rör Statlig myndighet, region och kommun i fråga om sådan hälso-och sjukvård som myndigheten, regionen eller kommunen har ansvar för (offentlig vårdgivare) samt annan juridisk person eller enskild näringsidkare som bedriver hälso- och sjukvård (privat Övervägandena finns i avsnitt 7.5. Paragrafen innehåller de uttryck och uttryckens betydelse som används lagen. Paragrafen ändras genom att uttrycket sammanhållen journalföring tas bort. Förarbeten till paragrafen finns i prop. 2007/08:126 s. 224. 4 § Denna lag innehåller bestämmelser som kompletterar EU:s dataskyddsförordning, vid sådan behandling av personuppgifter inom hälso- och sjukvården som är helt eller delvis automatiserad eller där uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Vid behandling av personuppgifter som avses i första stycket gäller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har med- delats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen. I lagen (2022:000) om sammanhållen vård- och omsorgsdokumentation finns ytterligare bestämmelser om vårdgivares behandling av personuppgifter inom hälso- och sjukvården. Övervägandena finns i avsnitt 6.2.2. I paragrafen anges lagens förhållande till annan dataskyddsreglering. Paragrafen motsvarar den utformning som används i andra registerförfattningar, se propositionen Dataskydd inom verksamhetsområde – en anpassning till EU:s data- skyddsförordning, prop. 2017/18:171 s. 71 f. Tredje stycket är nytt och upplyser om att det finns ytterligare be- stämmelser om vårdgivares behandling av personuppgifter inom hälso- och sjukvården i lagen om sammanhållen vård- och omsorgsdokumenta- 2 § Behandling av personuppgifter som är tillåten enligt denna lag får utföras även om den enskilde motsätter sig den. Det gäller dock inte i de fall som anges i 4 kap. 4 § och 7 kap. 2 § eller om något annat framgår av annan lag eller förordning. Övervägandena finns i avsnitt 7.5. Paragrafen innehåller bestämmelser om den enskildes inställning till personuppgiftsbehandling och förarbeten till paragrafen finns i prop. 2007/08:126 s. 226 f. Paragrafen ändras endast på så sätt att hänvisningen till 6 kap. tas bort för att det kapitlet upphör att gälla. Lagen om sammanhållen vård- och omsorgsdokumentation är en sådan lag som avses i denna paragraf. 3 § Behandling av personuppgifter som inte är tillåten enligt denna lag får ändå ske, om den enskilde lämnat ett uttryckligt samtycke till behandlingen. Det gäller dock inte om något annat framgår av annan lag eller förordning. Regeringen får meddela föreskrifter om att en behandling av personuppgifter som inte är tillåten enligt denna lag inte heller i andra fall får utföras trots att den enskilde lämnat samtycke till behandlingen. Övervägandena finns i avsnitt 7.5. Paragrafen innehåller bestämmelser om den enskildes inställning till behandling av personuppgifter och förarbeten till paragrafen finns i prop. 2007/08:126 s. 227. Paragrafens första stycke ändras endast på så sätt att hänvisningen till 6 kap. 5 § tas bort för att det kapitlet upphör att gälla. 6 § En vårdgivare är personuppgiftsansvarig för den behandling av personuppgifter som I en region och en kommun är varje myndighet som bedriver hälso- och sjukvård personuppgiftsansvarig för den behandling av personuppgifter som myndigheten Personuppgiftsansvaret enligt första stycket omfattar även sådan behandling av person- uppgifter som vårdgivaren, eller den myndighet i en region eller en kommun som är person- uppgiftsansvarig, utför när vårdgivaren eller myndigheten genom direktåtkomst i ett enskilt fall bereder sig tillgång till personuppgifter om en patient hos en annan vårdgivare eller annan myndighet i samma region eller kommun. I 7 kap. och i 4 kap. 1 § lagen (2022:000) om sammanhållen vård- och omsorgsdokumen- tation finns särskilda bestämmelser om personuppgiftsansvar. Övervägandena finns i avsnitt 7.5.