sou · H9B339 · 2022-01-01 00:00:00 — Denna behandling är nödvändig för att den personuppgiftsansvarige ska kunna hantera medgivanden och åter- kallelser. Även denna behandling av personuppgifter är därför nöd- vändig för att utföra en arbetsuppgift av allmänt intresse. Stöd för att behandla känsliga personuppgifter De uppgifter som lämnas ut kommer i allmänhet att vara känsliga personuppgifter om hälsa som enligt huvudregeln i artikel 9.1 i data- skyddsförordningen inte får behandlas. Det innebär att något av undantagen i artikel 9.2 i dataskyddsförordningen för att få behandla känsliga personuppgifter behöver vara uppfyllda (se närmare avsnitt 4.8 i delbetänkandet). Som utredningen redovisat i avsnitt 4.8.3 i delbetänkandet finns det stöd i artikel 9.2 h i dataskyddsförordningen och 3 kap. 5 § dataskyddslagen för att behandla känsliga personuppgifter inom hälso- och sjukvård och social omsorg. Uppräkningen i artikel 9.2 h i dataskyddsförordningen lär i praktiken täcka nästan all behandling av känsliga personuppgifter som förekommer inom hälso- och sjuk- vårdsområdet samt socialtjänsten.38 Utredningen bedömer att den möjlighet som föreslås, nämligen att, i enlighet med patientens eller omsorgsmottagarens medgivande, ge någon utanför hälso- och sjukvården och som patienten eller omsorgsmot- tagaren känner personligen elektronisk tillgång till patientuppgifter och sammanhållen vård- och omsorgsdokumentation, är en sådan typ av behandling som har stöd i artikel 9.2 h i dataskyddsförord- ningen och 3 kap. 5 § dataskyddslagen. Behandling får ske under förutsättning att kravet på tystnadsplikt som följer av artikel 9.3 i dataskyddsförordningen är uppfyllt. Inom hälso- och sjukvården och gäller som regel tystnads- plikt, både i den offentliga och i den privata sektorn. I regel råder stark sekretess för den typ av personuppgifter som förkommer inom hälso- och sjukvård och socialtjänst. Det innebär att kravet på 38Sören , Dataskyddsförordningen (GDPR) m.m. – En kommentar, kommentaren till artikel 9. Ombuds elektroniska tillgång till vård- och omsorgsuppgifter tystnadsplikt som följer av artikel 9.3 i dataskyddsförordningen är uppfyllt. 6.6.3Ombudets behandling av personuppgifterna Den fysiska person som får elektronisk tillgång till patientuppgifter eller sammanhållen vård- och omsorgsdokumentation utför i sin tur en behandling av personuppgifter, exempelvis genom läsning av personuppgifterna. Frågan är hur denna behandling förhåller sig till dataskyddsförordningen. Utredningen anser att ledning kan hämtas från förarbetena till lagen om nationell läkemedelslista. Där anförde regeringen att möjligheten att genom en fullmakt utse en annan fysisk person som kan få direktåtkomst till uppgifter i den nationella läkemedelslistan främst torde bli aktuell i privata relationer. Det kan t.ex. handla om en närstående till en äldre person som genom en sådan fullmakt kan vara behjälplig med den äldres läkemedelsanvändning. Den behand- ling av personuppgifter som den närstående då utför ligger, enligt regeringens bedömning, utanför dataskyddsförordningens tillämp- ningsområde enligt artikel 2.2 c i förordningen. Detta eftersom det då rör sig om en fysisk person som behandlar personuppgifter som ett led i verksamhet av rent privat natur eller som har samband med hans eller hennes hushåll. Regeringen anförde också att om en patient genom en fullmakt utser en fysisk person att få direktåtkomst till uppgifter i den nationella läkemedelslistan och omständigheterna är sådana att ombudets behandling av personuppgifter omfattas av data- skyddsförordningen, måste behandlingen givetvis vara förenlig med tillämpliga dataskyddsregler.39 Det ska nämnas att den som endast har tillgång till person- uppgifter i en uppgiftssamling genom att t.ex. söka bland och läsa dessa, men varken har någon faktiskt eller rättslig möjlighet att ändra, komplettera eller radera personuppgifterna, inte anses vara personuppgiftsansvarig. Den som bara har sådan begränsad tillgång till personuppgifterna anses inte ha sådan bestämmanderätt över ändamålen och medlen för behandlingen av personuppgifter att han eller hon kan anses som personuppgiftsansvarig.40 I patientdatalagen 2017/18:223 s. 165 f. 40Sören , Dataskyddsförordningen (GDPR m.m.) – En kommentar, kommentaren till artikel 4.7, version:1A Ombuds elektroniska tillgång till vård- och omsorgsuppgifter har dock införts en specialbestämmelse som klargör att, när en vård- givare via direktåtkomst bereder sig elektronisk tillgång till person- uppgifter om patienter hos en annan vårdgivare för att söka efter och läsa vårddokumentation, blir denne i det fallet personuppgifts- ansvarig för denna behandling (se 2 kap. 6 § andra stycket PDL). Detta hänger samman med att en vårdgivare enligt patientdatalagen är personuppgiftsansvarig för all den behandling av personuppgifter som vårdgivaren utför.41 Utredningen anser att motsvarande resonemang som i för- arbetena till lagen om nationell läkemedelslista bör gälla avseende den behandling av personuppgifterna som den fysiska personen som medgetts elektronisk tillgång utför när denne tar del av uppgifterna. Enligt utredningens förslag ska elektronisk tillgång endast få ges till fysiska personer som patienten eller omsorgsmottagaren uppger sig känna personligen. Som tidigare nämnts avses någon form av rela- tion i patientens privata sfär. Det ska alltså typiskt sett inte vara fråga om någon yrkesmässig verksamhet. Som utredningen angett ovan, kan det dock tänkas att en patient har en legal ställföreträdare i form av en god man eller förvaltare som han eller hon personligen känner på det sätt som avses. I regel bör det därför även här i vart fall vara fråga om sådan behandling av personuppgifter som utförs av en fysisk person som ett led i verksamhet av rent privat natur eller som har samband med hans eller hennes hushåll. Därmed är dataskydds- förordningen inte tillämplig på personens behandling av person- uppgifterna. Skulle det i ett enskilt fall trots allt vara fråga om en behandling som omfattas av dataskyddsförordningen och som personen är personuppgiftsansvarig för, måste personens behandling givetvis vara förenlig med tillämpliga dataskyddsbestämmelser. Om en vård- eller omsorgsgivare får reda på att uppgifterna obehörigt sprids vidare av personen, kan dennes elektroniska tillgång genast avbrytas. 2007/08:126 s. 62. Ombuds elektroniska tillgång till vård- och omsorgsuppgifter 6.7Förhållandet till sekretess och tystnadsplikt Utredningens bedömning: Utlämnandet till en fysisk person utanför hälso- och sjukvården och bygger på att patienten eller omsorgsmottagaren medger det elektroniska ut- lämnandet och därmed häver sekretessen i förhållande till personen. Därför är det förenligt med regelverket om sekretess och tystnads- plikt att införa bestämmelser som tillåter ett sådant utlämnande. När en myndighet lämnar ut allmänna handlingar som innehåller personuppgifter, utgör själva utlämnandet en behandling av person- uppgifter enligt dataskyddsförordningen. är det fråga om ett röjande av uppgifterna i sekretesslagstiftningens mening. Att ge någon utanför hälso- och sjukvården och , som patienten eller omsorgsmottagaren känner personligen, elektronisk tillgång till patientuppgifter och sammanhållen vård- och omsorgsdokumen- tation, innebär alltså att det sker ett utlämnande av uppgifter i offent- lighets- och sekretesslagens mening. Sekretesskyddet för enskildas personliga förhållanden i hälso- och sjukvård och socialtjänst syftar till att skydda uppgifter om patienten och omsorgsmottagaren (25 kap. 1 § respektive 26 kap. 1 § OSL). Sekretessen gäller dock i regel inte i förhållande till patienten eller omsorgsmottagaren själv. Man brukar tala om att den enskilde disponerar sin egen sekretess. Den enskilde kan välja att, helt eller delvis, häva sekretessen som gäller till skydd för honom eller henne genom att medge att upp- gifter lämnas ut till någon annan (12 kap. 2 § OSL). Genom ett sådant medgivande hävs sekretessen i förhållande till det utlämnande som den enskilde medgett. Patienter och omsorgsmottagare kan förfoga över sina uppgifter och t.ex. välja att låta en närstående ta del av dem. På motsvarande sätt kommer patienter och omsorgsmottagare, om utredningens föreslag genomförs, att kunna välja att disponera sekretessen och lämna sitt medgivande till att uppgifterna lämnas ut till en fysisk person så att denne får elektronisk tillgång till dem. Genom ett sådant medgivande bryts den sekretess som annars gäller för uppgifterna i förhållande till den person till vilken medgivandet gäller. På motsvarande sätt blir röjandet genom den elektroniska tillgången inte obehörigt och i strid med den tystnadsplikt som gäller inom den privata hälso- och sjukvården och . Ombuds elektroniska tillgång till vård- och omsorgsuppgifter Det ska framhållas att den elektroniska tillgången inte ska om- fatta sådana uppgifter för vilka sekretess i undantagsfall gäller mot patienten eller omsorgsmottagaren. Motsvarande gäller också för de uppgifter som patienten själv kan få tillgång till genom direkt- åtkomst (5 kap. 5 § PDL). Ett medgivande till att lämna ut uppgifter kan lämnas i förväg, men det måste vara aktuellt, relevant och specifikt. Ett medgivande till utlämnande av uppgifter anses inte kunna vara så generellt att en enskild helt avstår från sekretess t.ex. hos en viss myndighet eller tjänsteman. Genom de integritetsstärkande åtgärder som föreslås (se avsnitt 6.2.4) anser utredningen att det på ett proportionerligt och väl avvägt sätt skapas förutsättningar för att lämna ett i sekretess- hänseende relevant och giltigt medgivande till utlämnandet. Efter- som patienten eller omsorgsmottagaren när som helst och utan några formkrav kan återkalla sitt medgivande, så att den elektroniska tillgången spärras, säkerställs kravet på att det handlar om ett aktuellt samtycke. Genom att patienten eller omsorgsmottagaren själv väljer vem som får medges elektronisk tillgång, samt föreslås kunna begränsa den elektroniska tillgången till uppgifter registrerade efter ett visst datum eller vid en viss enhet hos vård- eller omsorgsgivaren, uppnås kravet på att det ska röra sig om ett specifikt medgivande. Som utredningen nämnt kan det finnas en risk för att den som lämnat ett frivilligt medgivande senare blir oförmögen att själv ta tillbaka medgivandet. För att vårdgivaren ska uppmärksamma om personen blivit varaktigt beslutsoförmögen och kunna överväga om den elektroniska tillgången bör avslutas, föreslår utredningen att hälso- och sjukvårdspersonalen och de som utför arbetsuppgifter inom , ska vara skyldiga att anmäla misstankar om att patienten kan lämna ett medgivande (se avsnitt 6.4.8). Detta säkerställer enligt utredningen på ett tillräckligt sätt att med- givandet är aktuellt även när det gäller personer som blivit varaktigt beslutsoförmögna. Även barn ska enligt utredningens förslag kunna lämna ett med- givande till elektronisk tillgång. Det föreslås inga specialregler om barns medgivande. Detta får anpassas efter omständigheterna i det enskilda fallet och det aktuella barnets ålder och mognad. När det gäller att bedöma möjligheten för ett barn att lämna sitt medgivande utvecklar utredningen detta närmare i avsnitt 6.4.5. Ombuds elektroniska tillgång till vård- och omsorgsuppgifter En ytterligare aspekt när det gäller förhållandet till sekretess och tystnadsplikt är att sekretess gäller för personuppgift, om det kan antas att uppgiften efter ett utlämnande kommer att behandlas i strid med dataskyddsförordningen (21 kap. 7 § OSL). Eftersom bestäm- melsen kommer att vara så utformad att tillgång endast får ges en fysisk person som patienten eller omsorgsmottagaren känner person- ligen, kommer det oftast att handla om sådan s.k. rent privat behand- ling som inte omfattas av dataskyddsförordningen. Därmed finns det i regel inte skäl att anta att uppgifterna skulle behandlas i strid med dataskyddsförordningen. Om en vård- eller omsorgsgivare får anled- ning att misstänka att behandlingen skulle stå i strid med dataskydds- förordningen, kan den elektroniska tillgången genast avbrytas. har antalet förfrågningarna till om uppgifter i ökat. Förfrågningar kommer från flera olika aktörer, såväl offentliga som enskilda. Med enskilda menas både fysiska personer och privata juridiska personer. Ett grund- läggande syfte med att låta vissa uppgifter i vara tillgängliga på internet för allmänheten skulle vara att bidra till en ökad patientsäkerhet bl.a. genom att det gör det svårare för icke- legitimerade att uppträda som sådana. Om uppgifter i HOSP- registret finns enkelt tillgängliga för allmänheten skulle också Social- styrelsens arbete med att svara på frågor om innehållet i registret bli mindre omfattande och billigare. Mot detta ska ställas vikten av att skyddet för den personliga integriteten upprätthålls. Utredningen har i uppdrag att analysera de rättsliga förutsätt- ningarna för att tillgängliggöra vissa uppgifter i för allmänheten, t.ex. via internet, och bedöma vilka uppgifter som är relevanta att göra tillgängliga på det sättet. Utredningen kan inte se att ett tillgängliggörande för allmänheten kan göras bättre än öppet på internet och berör därför bara detta alternativ. I detta kapitel redovisas först behovet för allmänheten av att enkelt kunna kontrollera om en person har en viss legitimation och vissa andra positiva effekter av att detta görs möjligt. Därefter redo- visas integritetsrisker med att göra så och de integritetsstärkande åtgärder som bör vidtas, varpå en samlad integritetsanalys med en avvägning mellan fördelar och integritetsrisker redovisas. Sedan redogör utredningen för sina överväganden och förslag när det gäller att på internet tillgängliggöra vissa uppgifter i för allmänheten. Det redovisas särskilt vilka sökbegrepp som bör vara tillåtna och vilka uppgifter i som bör visas i sök- Avslutningsvis berörs nödvändiga följdändringar i form av ett nytt ändamål för behandlingen av personuppgifterna i registret och en föreskrift om undantag från s.k. folkbokföringssekretess. 7.2Allmänhetens behov av att kunna söka uppgifterna på internet Utredningens bedömning: Det finns ett befogat behov av att allmänheten på internet kan kontrollera om en person har en viss legitimation. Mot bakgrund av syftet med legitimering av hälso- och sjuk- vårdspersonal framstår det som motiverat att göra information om de registrerades behörighet mer tillgänglig än vad som är fallet . Det bidrar till en förbättrad patientsäkerhet. Därtill kan det ses som en nödvändig anpassning till dagens internationalisering och mer globala arbetsmarknad, framför allt i förhållande till våra grannländer. Det finns också ett behov av att effektivisera hantering av förfrågningar om uppgifter i . En mer automatiserad hantering skulle underlätta för , minska kostnaderna och bidra till en ökad patientsäkerhet. Redan de huvudsakliga ändamålen för legitimationssystemet – att bara vissa individer ska få utföra vissa arbetsuppgifter inom hälso- och sjukvården – och – att ha en aktuell förteckning över legitimerad hälso- och sjukvårdspersonal – gör att snart sagt vem som helst kan komma att behöva kontrollera uppgifter i HOSP- registret för att förvissa sig om att den som ska göra något inom hälso- och sjukvården får göra det. Att det finns ett legitimt och berättigat behov för allmänheten, var och en, att få veta om någon har en viss legitimation står därmed klart för utredningen. I det följande beskrivs behoven för olika kategorier av intressenter närmare. Enligt uppgift från har andelen förfrågningar om uppgifter ur ökat . I de flesta fall handlar det om att ta reda på om en viss person är legitimerad eller vilken specialitet yrkesutövaren har. Utan större utredningsinsatser är det svårt att ange hur stor andel av förfrågningarna från enskilda som kommer från fysiska personer respektive juridiska personer. Även svenska myndigheter kan ha behov av att kontrollera om någon har en viss legitimation utan att de har behov av direktåtkomst till uppgifterna i . Hälso- och sjukvårdens ansvars- nämnd () är ett uppenbart exempel, men nästan varje svensk myndighet kan åtminstone ibland behöva kontrollera t.ex. vilken behörighet den som skrivit ett intyg har. har endast offentliga vårdgivare, för vård och omsorg och Transportstyrelsen möjlighet till direktåtkomst till uppgifterna i . I kapitel 8 berör utredningen möjligheterna för andra aktörer att få tillgång till uppgifterna genom direktåtkomst eller annat elektroniskt utlämnande. För de yrkesgrupper inom hälso- och sjukvården där det krävs legitimation innebär arbetet ett särskilt ansvar för patienternas säkerhet. Den legitimerade har godkänts för yrkesverksamhet inom det område som legitimationen avser och står under samhällets till- syn. Legitimationen kan därmed ses som en garanti för att en person har en viss kunskapsnivå och sådana personliga egenskaper att denne är förtjänt av allmänhetens och myndigheternas förtroende när det gäller yrkesutövningen. Mot denna bakgrund framstår det som motiverat att göra information om de som är registrerade lättare tillgänglig än vad som är fallet . Den som vill anställa eller annars anlita någon som har en viss behörighet behöver kunna kontrollera om personen har en viss legitimation. Det gäller i synnerhet privata vårdgivare och bemanningsföretag som tillhandahåller hälso- och sjukvårdspersonal, men även andra. Enligt kommer en betydande andel av förfrågningarna om uppgifter i registret från just bemanningsföretag. Också den som har en legitimation kan vilja kontrollera att den är korrekt registrerad. Utredningen redovisar i avsnitt 5.2.5 kortfattat motsvarande upp- gifters tillgänglighet i framför allt grannländer. Det kan här uppmärksammas att det svenska systemet vid en jämförelse framstår som restriktivt i förhållande till dessa länders system. , , , och har träffat en överens- kommelse1 om en gemensam arbetsmarknad för viss hälso- och sjuk- vårdspersonal för de nordiska länderna. Huvudregeln i den nordiska överenskommelsen innebär att den som har legitimation eller aukto- risation att utöva ett reglerat yrke i ett nordiskt land ska ha rätt att få behörighet även i annat nordiskt land. Detta medför ett ständigt behov inom hela av att lätt kunna kontrollera svenska legi- timationer för hälso- och sjukvårdspersonal. Den fria rörligheten för arbetstagare är en av hörn- stenarna i Europeiska unionen (EU). Den innebär en rätt att söka arbete, arbeta och bosätta sig i en medlemsstat på samma villkor som medlemsstatens egna medborgare. Inom EES-området råder dess- utom fri rörlighet för hälso- och sjukvårdspersonal. Detta möjlig- görs genom det ömsesidiga erkännandet av yrkeskvalifikationer för reglerade vårdyrken i medlemsstaterna, yrkeskvalifikationsdirek- tivet2. Yrkeskvalifikationsdirektivet innebär dock inte att t.ex. en svensk läkare får arbeta som det i en annan medlemsstat endast med stöd av sin svenska legitimation. Det krävs som huvudregel en legi- timation som utfärdas av mottagande medlemsstats myndigheter. Varje medlemsstat måste ge en läkare med godkänt utbildnings- eller kompetensbevis från en annan medlemsstat tillstånd att utöva yrket (legitimation), när det begärs och tillräcklig dokumentation lämnats. Behöriga myndigheter för de reglerade yrken som har konsekvenser för patientsäkerhet ska informera motsvarande myndigheter i andra länder om yrkesutövare som begränsats eller förbjudits utöva yrket. Men behovet av att på ett enkelt sätt kunna kontrollera en yrkes- utövares svenska behörighet finns hos såväl enskilda fysiska perso- ner som juridiska personer och myndigheter inom hela EES. 1Det finns en nordisk överenskommelse om gemensam arbetsmarknad, överens- kommelsen har reviderats genom SÖ 1994:2 Överenskommelse om nordisk arbetsmarknad för viss hälso- och sjukvårdspersonal och veterinärer (), ändrad genom SÖ 2001:5 och med ändringar som trädde ikraft . 2Med yrkeskvalifikationsdirektivet avses och rådets direktiv /36/EG av om erkännande av yrkeskvalifikationer, som ändrats genom Europaparla- mentets och rådets direktiv /55/EU. Ett annat exempel är det EU-samarbete om förskrivning av läke- medel och expediering av e-recept som innebär att utlänningar kan behöva kontrollera att en svensk förskrivare är behörig att förskriva läkemedel.3 Även vid remittering av patienter till utlandet kan det finnas behov för utlänningar att kontrollera remittentens legitimation. Motsvarande behov kan finnas vid internationellt biståndsarbete, internationella forskningssamarbeten och internationell läkemedels- prövning. Att det för aktörer utanför gränser behöver bli lättare än att kontrollera behörigheten för personer som uppger sig ha svensk legitimation fördes fram redan i remissvaren på det tidigare förslaget om ett publikt HOSP-register (SOU 2012:42).4 Det har blivit vanligare att patienten vill vara delaktig i sin vård, vilket kan vara en anledning till det ökade intresset för uppgifterna i HOSP- registret från fysiska personer. En annan bidragande orsak skulle kunna vara den strukturella förändring som skett inom hälso- och sjukvården där andelen privata vårdgivare ökat, liksom användandet av bemanningsföretag. Bakom den fysiska personen som gör för- frågan kan dölja sig ett företag som behöver uppgifterna. Som redovisas i kapitel 5 föreslog Utredningen om rätt infor- mation i vård och omsorg i sitt delbetänkande SOU 2012:42 att vissa uppgifter i skulle göras tillgängliga för allmänheten genom direktåtkomst. En majoritet av remissinstanserna såg också ett behov av ett publikt register. Förslaget ledde dock inte till någon sådan förändring. De remissinstanser som inte var för förslaget pekade främst på risken att den som inte finns sökbar i det publika registret riskerar att bli felaktigt misstänkliggjord. Det hängde samman med frågan om den hälso- och sjukvårdspersonal som arbetar under prövotid eller har behörighetsbegränsningar skulle finnas med i det publika registret eller inte. I dessa fall handlade farhågorna alltså i första hand om vilka uppgifter som skulle vara tillgängliga. Den frågan återkommer utredningen till nedan. Det fanns emellertid också synpunkter på huruvida registret skulle göras tillgängligt på 3Jfr dir. 2020:80 Vissa frågor om förskrivning och expediering av elektroniska recept inom EES. 4Se t.ex. remissvar på SOU 2012:42. internet samt att allmänheten inte skulle vara särskilt hjälpt av sök- resultaten. Flera remissinstanser förde dock fram att det vore en fördel med ett svenskt system mer likt övriga nordiska länders och att patienter i borde ha samma möjligheter att själva ta del av uppgifter om yrkesutövares behörighet inom hälso- och sjukvården.5 Som ovan angetts kan legitimationen ses som en garanti för att en person har en viss kunskapsnivå och sådana personliga egenskaper att denne är förtjänt av allmänhetens och myndigheternas för- troende när det gäller yrkesutövningen. Enligt utredningens bedöm- ning är det visserligen rimligt att en aktiv och delaktig patient har möjlighet att snabbt och enkelt själv förvissa sig om att han eller hon kommer att vårdas av en person med rätt legitimation. Det skulle kunna motivera att göra information om de som är registrerade lättare tillgänglig även för patienter. Utöver det kan det finnas ett befogat intresse hos närstående till en patient, särskilt den som har svårt att reda sig själv, av att kontrollera att de som vårdar den anhörige är behöriga. Med detta sagt ska det dock understrykas att ansvaret för att vårdpersonal har rätt behörighet vilar på vårdgivaren. Som framgår i avsnitt 7.7 finns det tungt vägande skäl för att bara tillåta person- och samordningsnummer som sökbegrepp, vilket gör att sökfunktionen i praktiken får mindre betydelse för patienter som bara undantagsvis kan antas känna till numret. 7.2.5Allmänhetens tillgång på internet till uppgifter i andra svenska yrkesregister