prop · H903177 · 2022-03-21 00:00:00 — få information om den rätten. Identitetsuppgifter ska så långt det är möjligt vara krypterade, och bara så få personer som möjligt får ha tillgång till Brottsuppgifter och andra s.k. känsliga 2021/22:177 Bilaga 1 personuppgifter än uppgifter om hälsa får bara behandlas med tillstånd av regeringen eller . Personuppgifterna får bara behandlas för kvalitetsuppföljningen, dock att den ansvariga regionen eller kommunen får använda dem för statistik och föreskriven uppgiftsskyldig- het får fullgöras. Vid både sammanhållen vård- och omsorgsdokumentation och kvalitets- uppföljning gäller vissa integritetsstärkande bestämmelser om tilldelning av behörighet att ta del av personuppgifter, loggning och kontroll av loggar. Utredningen lämnar vidare två alternativa förslag till en ny sekretess- brytande bestämmelse för . Enligt det ena förslaget får en verksamhet hos en myndighet (nämnd) inom som avser insatser för äldre eller personer med funktionsnedsättningar lämna uppgifter till andra sådana verksamheter inom samma kommun. Detta förslag förutsätter att de integritetsstärkande bestämmelserna i förslaget om en ny lag genomförs. Enligt det andra förslaget får alla myndigheter med verksamhet inom inom samma kommun lämna upp- gifter till varandra, om den enskilde inte motsätter sig utlämnandet. Detta förslag förutsätter att ytterligare generella integritetsstärkande bestämmel- ser införs i lagen om behandling av personuppgifter inom , som i huvudsak motsvarar de som finns i patientdatalagen. Utredningen föreslår slutligen en sekretessbrytande bestämmelse som innebär att en myndighet med hälso- och sjukvårdsverksamhet får lämna uppgifter till en enskild med sådan verksamhet som myndigheten anlitat, om uppgifterna behövs i den individinriktade hälso- och sjukvården. Bestämmelserna ska enligt förslaget börja gälla . Efter- som det är frivilligt att använda de möjligheter den nya lagen ger, bedöms lagen i sig inte föra med sig några ekonomiska konsekvenser. Representanterna i utredningen från Kommuner och Regioner, och , som generellt är positiva till utred- ningens förslag, lämnar ett särskilt yttrande på ett par punkter om kvalitets- uppföljning. Hälso- och sjukvården och har under genomgått stora strukturförändring. Dessa förändringar har påverkat förut- sättningarna för att bedriva hälso- och sjukvård och socialtjänst. Hit hör ökningen av antalet utförare som är verksamma inom hälso- och sjukvård och socialtjänst, och den demografiska förändringen med en ökande andel äldre i befolkningen. Därtill har det skett en snabb teknisk utveckling. Den tekniska utvecklingen, och de effektivitetsvinster som den kan medföra, har lett till en allt högre grad av digitalisering i hälso- och sjukvård och socialtjänst. Det har kommit signaler från flera håll om att sättet att bedriva vård och omsorg kommer att behöva förändras för att regioner och kommuner ska kunna klara sitt uppdrag att leverera god och säker vård och omsorg även Som ett led i detta blir det allt viktigare att utforma de juridiska förutsättningarna för att effektivt och säkert överföra information mellan verksamheter inom hälso- och sjukvård och socialtjänst. tekniska möjligheter att enkelt överföra digital information på ett sätt som tidigare inte varit möjligt. innebär den ökade digitalisering och möjligheten till elektroniska utlämnanden av känsliga personuppgifter att det uppstår nya sorters risker för intrång i den personliga integriteten. Gemensamt för utredningens uppdrag, som redovisas i detta del- betänkande, är att de rör frågor om behandling av personuppgifter som innebär att personuppgifter görs tillgängliga mellan olika enheter inom hälso- och sjukvården och . Det rör sig i princip uteslutande om uppgifter om människors hälsa och livssituation, dvs. Möjligheterna att införa direktåtkomst inom och mellan vissa verksamheter i socialtjänst och hälso- och sjukvård Överföring inom av dokumentation om insatser för äldre eller personer med funktionsnedsättningar Inom hälso- och sjukvården finns möjlighet att på ett enkelt och säkert sätt utbyta information om patienter mellan olika vårdgivare genom bestämmelserna om sammanhållen journalföring i patientdatalagen. Utredningen gör bedömningen att det inom finns motsvarande behov av att få elektronisk åtkomst till dokumentation om insatser för äldre eller personer med funktionsnedsättningar. Det finns exempel på verksamheter som i stället för direktåtkomst använder sig av elektroniskt utlämnande som för användaren är identiskt med, eller i vart fall snarlikt direktåtkomst, men är uppbyggt som en s.k. Utredningens förslag gäller därför både direktåtkomst annat elektroniskt utlämnande, vilket medför vissa följdjusteringar i Direktåtkomsten kombineras med en bestämmelse om absolut sekretess för sådan överskottsinformation som görs tillgänglig, på motsvarande sätt som inom sammanhållen journalföring. Utredningen har vid en samlad avvägning mellan behoven inom social- tjänsten och risken för integritetsintrång kommit fram till att det är möjligt att tillåta direktåtkomst mellan verksamheter inom till dokumentation om insatser för äldre eller personer med funktionsnedsätt- ningar om det införs vissa integritetsstärkande bestämmelser. Förutsättningarna för elektroniskt utlämnande bör författningsregleras i lag och regleringen bör utformas med sammanhållen journalföring som Informationsöverföring mellan och hälso- Utredningen gör också bedömningen att det hos verksamheter inom för äldre eller personer med funktionsnedsättningar och hälso- och sjukvården finns ett tydligt behov av att ta del av varandras 2021/22:177 Bilaga 1 dokumentation på ett enkelt och säkert sätt. Även vid överföring av personuppgifter genom direktåtkomst eller annat elektroniskt utlämnande mellan hälso- och sjukvården och verksamheter för äldre och personer med funktionsnedsättningar finns det stora integritetsrisker. Utredningen har dock vid en samlad avvägning mellan behov och integritetsrisker kommit fram till att det är möjligt att tillåta tillgång genom direktåtkomst eller annat elektronisk utlämnande till personuppgifter mellan verksamheter inom som avser äldre eller personer med funktionsnedsättningar och hälso- och sjukvården om det införs vissa integritetsstärkande bestämmelser. Förutsättningarna för det elektroniska utlämnandet bör författningsregleras i lag. Det framstår som ändamålsenligt att ha regleringen om sammanhållen journalföring i patientdatalagen som utgångspunkt vid utformningen av en sådan reglering. Sammanhållen vård- och omsorgsdokumentation Utredningen föreslår därför att det ska bli möjligt att frivilligt inrätta ett system, kallat sammanhållen vård- och omsorgsdokumentation, som ger verksamheter inom som avser äldre eller personer med funktionsnedsättningar och hälso- och sjukvården möjlighet att få tillgång till varandras vård- och omsorgsdokumentation genom direktåtkomst eller annat elektroniskt utlämnande. Det ska även införas ett antal integritets- stärkande bestämmelser som ska tillämpas av de verksamheter som väljer att använda sig av sådan elektronisk tillgång. Förutsättningarna för sådan elektronisk tillgång ska regleras i lag. Utredningen bedömer att i de allra flesta fall behöver inte en särskild konsekvensbedömning avseende dataskydd enligt artikel 35 i dataskydds- förordningen göras av de verksamheter som inför sammanhållen vård- och omsorgsdokumentation. Innebörden av sammanhållen vård- och omsorgsdokumentation Vård- och omsorgsgivare föreslås genom ett eller flera elektroniska system –under vissa förutsättningar – kunna ge eller få tillgång genom direkt- åtkomst eller annat elektroniskt utlämnande till personuppgifter om insatser för äldre eller personer med funktionsnedsättningar och person- uppgifter i vårddokumentation hos andra vård- och omsorgsgivare. Som omsorgsgivare anses myndighet som har ansvar för eller utför insatser för äldre eller personer med funktionsnedsättningar (offentlig omsorgsgivare) och juridisk person eller enskild näringsidkare som utför sådana insatser (privat omsorgsgivare). Vårdgivare har samma innebörd som i patient- datalagen. Detta elektroniska system ska benämnas sammanhållen vård- och omsorgsdokumentation. Nödvändiga sekretessbrytande bestämmelser införs för att uppgifter ska kunna göras tillgängliga inom systemet med sammanhållen vård- och omsorgsdokumentation. Absolut sekretess ska gälla för s.k. överskotts- information vid direktåtkomst. Tillämpningsområdet för sammanhållen vård- Bestämmelserna om sammanhållen vård- och omsorgsdokumentation ska få tillämpas på vårdgivares behandling av personuppgifter enligt patient- Bestämmelserna om får även tillämpas på dokumentation enligt 11 kap. 5 § socialtjänstlagen avseende insatser för äldre eller personer med funktionsnedsättningar. också tillämpas på dokumentation enligt 21 a § lagen om stöd och service till vissa funktionshindrade (LSS). Med insatser för äldre eller personer med funktionsnedsättningar avses insatser som ges enligt 4 kap. 1 § social- tjänstlagen som dels beskrivs i 3 kap. 6 § första stycket socialtjänstlagen (hemtjänst, dagverksamheter eller annan liknande social tjänst för att underlätta för den enskilde att bo hemma och att ha kontakt med andra) och lämnas till äldre och personer med funktionsnedsättningar, dels beskrivs i 5 kap. 5 och 7 §§ socialtjänstlagen. insatser till livsföring i övrigt som innebär stöd i daglig livsföring i form av hemtjänst, dagverksamhet, korttidsvistelse, boendestöd, kontaktperson och särskild boendeform. Även dokumentation av insats i form av hemtjänst till äldre enligt 4 kap. 2 a § socialtjänstlagen, som lämnas utan föregående behovsprövning ingår. Slutligen räknas även samtliga insatser enligt LSS som insatser för äldre eller personer med funktionsned- Bestämmelserna om sammanhållen vård- och omsorgsdokumentation får bara tillämpas på dokumentation om dokumentationen förs för varje enskild person för sig. Förutsättningar för tillgång till personuppgifter genom sammanhållen Utredningen föreslår att de förutsättningar som ska gälla för vård- och omsorgsgivares tillgång till personuppgifter genom sammanhållen vård- och omsorgsdokumentation, ska motsvara de som gäller för vårdgivares tillgång till personuppgifter genom sammanhållen journalföring enligt Regleringen ska därför innehålla ett antal integritets- •Tillgång till personuppgifter genom sammanhållen vård- och omsorgs- dokumentation får bara avse personuppgifter som behandlas för vårddokumentation eller för att ansvara för eller utföra insatser för äldre eller personer med funktionsnedsättningar eller administration eller dokumentation av sådana insatser. •Uppgifter om en enskild får inte göras tillgängliga för andra vård- eller omsorgsgivare om den enskilde motsätter sig det. Innan uppgifter görs tillgängliga, ska den enskilde informeras om vad den sammanhållna vård- och omsorgsdokumentation innebär och om att den enskilde kan motsätta sig att uppgifter görs tillgängliga på detta sätt. 2021/22:177 Bilaga 1 •Den enskilde måste aktivt ha lämnat sitt samtycke till att en vård- eller omsorgsgivare tar del av personuppgifter som en annan vård- eller omsorgsgivare gjort tillgängliga innan detta kan ske. •En omsorgsgivare får bara behandla uppgifter som en annan vård- eller omsorgsgivare gjort tillgängliga om uppgifterna rör en enskild som får omsorgsgivarens insatser eller är föremål för en utredning om att få sådana insatser, uppgifterna kan antas ha betydelse för omsorgs- givarens insatser för den enskilde eller utredning om insatser och den enskilde samtycker till det. •För att en vårdgivare ska få behandla uppgifter som andra vård- och omsorgsgivare gjort tillgängliga gäller samma förutsättningar som tidigare gällt för sammanhållen journalföring. Det får alltså bara ske om uppgifterna rör en patient som det finns en aktuell patientrelation med, uppgifterna kan antas ha betydelse för att förebygga, utreda eller behandla sjukdomar och skador hos patienten inom hälso- och sjuk- vården, eller för att bedöma behovet av eller utföra insatser enligt lagen om koordineringsinsatser för sjukskrivna patienter och patienten samtycker till det. •Särskilda bestämmelser ska gälla om den enskilde inte kan samtycka. •Den enskilde får medges åtkomst till sina personuppgifter och annan dokumentation genom direktåtkomst eller annat elektroniskt ut- lämnande. •Det anges uttryckligen i lagen att vård- eller omsorgsgivaren är personuppgiftsansvarig för den behandling av personuppgifter som vård- eller omsorgsgivaren utför vid sammanhållen vård- och omsorgs- dokumentation. I en region och en kommun är varje myndighet som bedriver hälso- och sjukvård personuppgiftsansvarig för den behand- ling av personuppgifter som myndigheten utför. Det framgår också tydligt att personuppgiftsansvaret omfattar även sådan behandling av personuppgifter som utförs när vård- eller omsorgsgivaren genom direktåtkomst eller annat elektronisk utlämnande i ett enskilt fall bereder sig tillgång till personuppgifter hos andra vård- och omsorgs- givare. •Vård- och omsorgsgivare ska ha ansvar för tilldelning av behörighet och kontroll av elektronisk åtkomst till personuppgifter. •En enskild ska ha rätt att på begäran få information om vilken elek- tronisk åtkomst som förekommit till uppgifter om honom eller henne (logglistor). Den enskilde får ges tillgång, genom direktåtkomst eller annat elektroniskt utlämnande, till denna information. Samma principer som gäller inom sammanhållen journalföring i patient- datalagen för bevarande och gallring ska gälla inom sammanhållen vård- och omsorgsdokumentation. Utvidgade möjligheter till informationsöverföring för kvalitetsuppföljning inom vård- och omsorg Informationsöverföring för kvalitetsuppföljning inom vård och omsorg Utredningen bedömer att det finns ett klart behov av att kunna genomföra kvalitetsuppföljning med personuppgifter från flera vårdinstanser (myndigheter och privata företag som ansvarar för eller bedriver hälso- och sjukvård) eller omsorgsgivare. Kvalitetsuppföljningen ger regioner och kommuner möjlighet att följa upp all den offentligt finansierade vård eller omsorg som de ansvarar för. Privata vårdinstanser och omsorgsgivare har däremot inte ett lika uttalat behov av att inhämta personuppgifter från andra vårdinstanser eller omsorgsgivare för kvalitetsuppföljning. Behoven och vinsterna med kvalitetsuppföljning med personuppgifter från flera vårdinstanser eller omsorgsgivare överväger integritetsriskerna. Detta förutsätter dock att vissa integritetsstärkande bestämmelser införs. Utredningen föreslår därför att det införs bestämmelser som ger möjlig- het till kvalitetsuppföljning för regioner och kommuner när det gäller hälso- och sjukvård och insatser för äldre eller personer med funktionsned- sättningar inom med personuppgifter från flera vård- instanser eller omsorgsgivare. Förutsättningarna för sådan kvalitetsupp- följning bör regleras i lag. En särskild konsekvensbedömning avseende dataskydd enligt artikel 35 i dataskyddsförordningen behöver göras inför i princip varje kvalitets- uppföljning. 2021/22:177 Bilaga 1 Kvalitetsuppföljning definieras som uppföljning av kvaliteten på hälso- och sjukvård som en huvudman (region eller kommun) ansvarar för enligt hälso- och sjukvårdslagen och insatser för äldre eller personer med funktionsnedsättningar som en region eller kommun ansvarar för enligt socialtjänstlagen och LSS. Kvalitetsuppföljning omfattar sådana åtgärder som på olika sätt syftar till och är ägnade att förbättra eller utveckla vården och omsorgen. Tanken är inte att kvalitetsuppföljning ska användas för att följa upp hur vården eller omsorgen fallit ut på individnivå, utan kvalitetsuppföljning är något som ska ske på verksamhetsnivå och ta sikte på större skeden och processer. Personuppgifter ska utan hinder av patientdatalagen och lagen om behandling av personuppgifter inom och anknytande före- skrifter samt hälso- och sjukvårds- och socialtjänstsekretess få lämnas ut för att behandlas för sådan kvalitetsuppföljning som är tillåten enligt den föreslagna lagen. Bestämmelserna om kvalitetsuppföljning tillämpas just när personupp- gifter från flera vårdinstanser och omsorgsgivare behöver behandlas. 2021/22:177 Bilaga 1 Möjligheterna för vård- eller omsorgsgivare till kvalitetsuppföljning med uppgifter från bara den egna organisationen påverkas inte. Kvalitetsuppföljningen får omfatta sådan hälso- och sjukvård respektive sådana socialtjänstinsatser för äldre eller personer med funktionsned- sättningar som en region eller kommun ansvarar för. En region eller kommun får besluta att följa upp sådan verksamhet som den ansvarar för oberoende av vem som utför verksamheten. Kvalitetsuppföljning av rent privat hälso- och sjukvård eller socialtjänst, som inte någon region eller kommun ansvarar för, faller därmed utanför lagens tillämpningsområde. Den kunskap som genererats inom ramen för kvalitetsuppföljningen får användas på det sätt som regionen eller kommunen finner lämpligt, om uppgifterna helt avidentifierats. Lagen gäller i tillämpliga delar även uppgifter om avlidna personer. Kvalitetsuppföljning förutsätter ett beslut av fullmäktige Behandling av personuppgifter för kvalitetsuppföljning får genomföras bara om fullmäktige i den ansvariga regionen eller kommunen har beslutat om det. Av fullmäktiges beslut ska framgå •för vilka särskilda och berättigade ändamål som personuppgifterna ska behandlas, •vilken vårdinstans eller omsorgsgivare som är personuppgiftsansvarig för behandlingen, •de kategorier av personer som behandlingen gäller, •de kategorier av personuppgifter som behandlingen gäller, •från vilka vårdinstanser och omsorgsgivare som personuppgifter kommer att samlas in, och •den period under vilken personuppgifterna kommer att lagras eller, om detta inte är möjligt, de kriterier som används för att fastställa . Personuppgifterna ska gallras när löpt ut. Beslutet kan överklagas enligt formerna för laglighetsprövning i kom- munallagen. Kvalitetsuppföljning innebär att stora mängder känsliga personuppgifter kommer att behandlas. Regleringen innehåller därför ett antal integritets- stärkande bestämmelser. •Personuppgifter får inte behandlas för kvalitetsuppföljning om den enskilde, efter att ha informerats om behandlingen, motsätter sig det (s.k. opt out). Särskilda bestämmelser ska gälla om den enskilde inte kan ta ställning. •Personuppgifter får som huvudregel bara behandlas för sådan kvalitetsuppföljning som beslutats. Personuppgifterna får dock också behandlas för den ansvariga regionens eller kommunens framställning av statistik och för att fullgöra viss uppgiftsskyldighet. •Fullmäktige ska i sitt beslut om kvalitetsuppföljning ange vilken vård- instans eller omsorgsgivare som ska vara personuppgiftsansvarig. •Innan personuppgifter behandlas för kvalitetsuppföljning ska den som är personuppgiftsansvarig se till att patienten eller omsorgsmottagaren bl.a. får information om rätten att när som helst motsätta sig behandlingen. Om det inte är möjligt att lämna informationen innan behandlingen av personuppgifterna påbörjas, ska den lämnas därefter. •Vid utlämnande av personuppgifter för kvalitetsuppföljning ska upp- gifter om patientens eller omsorgsmottagarens identitet vara kryp- terade på ett sådant sätt att dennes identitet skyddas. Vid den senare behandlingen av personuppgifterna för kvalitetsuppföljning ska upp- gifter om patientens eller omsorgsmottagarens identitet också, så långt det är möjligt, vara krypterade på ett sådant sätt att dennes identitet skyddas. •Om det finns kompletterande uppgifter som gör identifiering möjlig, får bara så få personer som möjligt hos den personuppgiftsansvarige tilldelas behörighet att ta del av dem. Den personuppgiftsansvarige ska se till att åtkomst till de kompletterande uppgifterna och de personupp- gifter som inte är föremål för kryptering dokumenteras och kan kon- trolleras. Den personuppgiftsansvarige ska också göra systematiska och återkommande kontroller av om någon obehörigen kommer åt uppgifterna. En ny lag om sammanhållen vård- och omsorgsdokumentation och kvalitetsuppföljning Utredningen föreslår att möjligheten för vård- och omsorgsgivare att ta del av respektive ge tillgång till personuppgifter genom direktåtkomst eller annat elektroniskt utlämnande genom sammanhållen vård- och omsorgs- dokumentation regleras i en ny gemensam lag, tillsammans med bestäm- melser om kvalitetsuppföljning och de bestämmelser om kvalitetsregister som finns i patientdatalagen, med den mindre justeringen att samordningsnummer jämställs med personnummer. Det är frivilligt för vårdgivare och omsorgsgivare att använda de utökade möjligheterna till 2021/22:177 Bilaga 1 elektronisk överföring av information genom sammanhållen vård- och omsorgsdokumentation och kvalitetsuppföljning som lagen ger. De nuvarande bestämmelserna om sammanhållen journalföring i 6 kap. patientdatalagen ersätts av bestämmelserna om sammanhållen vård- och omsorgsdokumentation nästan utan ändring i sak. Utlämnandet av upp- gifter ska dock kunna ske både genom direktåtkomst och annat elek- troniskt utlämnande. En ändring föreslås också beträffande möjligheten att ta del av barns personuppgifter, så att det bara är när ett barn inte självt kan samtycka som behandling av personuppgifter får ske utan barnets samtycke. Den nya lagens förhållande till annan reglering Den gemensamma lagen kompletterar dataskyddsförordningen, patient- datalagen och lagen om behandling av personuppgifter inom samt föreskrifter som har meddelats i anslutning till den lagen. Dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen gäller, om inte annat följer av den gemensamma lagen eller före- skrifter som har meddelats med stöd av den. Sekretessbrytande bestämmelser för inom en kommun Utredningen anser att det finns ett tydligt behov av att utbyta information mellan myndigheter inom i en och samma kommun, men detta är förknippat med vissa integritetsrisker. Utredningen ser två möjliga sätt att begränsa riskerna med en sekretessbrytande bestämmelse och lämnar i denna del två alternativa förslag: Alternativ A om en begränsad sekretessbrytande bestämmelse och alternativ B om en generell sekretess- brytande bestämmelse. Utredningen förordar inte något av alternativen framför det andra utan har valt att lämna just alternativa förslag. Det ena förslaget (alternativ A) innebär att det i offentlighets- och sekretesslagen införs en bestämmelse med innebörden att socialtjänst- sekretessen enligt 26 kap. 1 § offentlighets- och sekretesslagen inte hindrar att uppgift lämnas från en myndighets verksamhet som avser insatser för äldre eller personer med funktionsnedsättningar till en annan sådan verk- samhet i samma kommun. De insatser som avses här är samma som inom sammanhållen vård- och omsorgsdokumentation. Alternativ A innebär alltså att enbart viss myndighetsverksamhet inom i en kommun omfattas av den sekretessbrytande bestämmelsen. Om alternativ A ska kunna införas, behöver även vissa integritetsstärkande bestämmelser enligt förslaget om en lag om sammanhållen vård- och omsorgs- dokumentation och kvalitetsuppföljning genomföras. Utredningens alternativ B innebär att det i offentlighets- och sekre- tesslagen införs en generellt sekretessbrytande bestämmelse med inne- börden att socialtjänstsekretessen inte hindrar att uppgift lämnas från en myndighet som bedriver socialtjänstverksamhet i en kommun till en annan sådan myndighet i samma kommun. Detta gäller dock inte om den enskilde motsätter sig ett sådant utlämnande. Utredningens alternativ B innebär en sekretessbrytande bestämmelse som gäller för all myndighetsverksamhet inom i en kommun. För att denna sekretessbrytande bestäm- melse ska kunna införas är det dock nödvändigt att införa ytterligare integritetsstärkande regler som kan motverka riskerna med bestämmelsen. Därför ska ett antal bestämmelser införas i SoLPUL som syftar till att