sou · H9B339 · 2022-01-01 00:00:00 — Som utredningen redogör för i kapitel 5 är det inte främmande att register med personuppgifter för personer med vissa behörigheter eller yrken görs tillgängliga för allmänheten på internet. I de givna exemplen, som rör fastighetsmäklare och revisorer, handlar det om att vissa av dessa registers uppgifter finns tillgängliga genom en sök- funktion, vilket motsvarar en s.k. fråga-svarfunktion. Genom sök- funktionen kan allmänhetens behov av att kontrollera att någon är behörig som regel tillgodoses. Kontrollen sker enkelt och svaret ges i princip . 5Se t.ex. Kommuner och Landstings (numera Kommuner och Regioner) och remissvar på SOU 2012:42. Det ska här noteras att uppgifterna i fastighetmäklarregistret och revisorsregistret inte omfattas av folkbokföringssekretess vilket uppgifterna i gör enligt 6 § offentlighets- och sekre- tessförordningen (2009:641). Det ska också sägas att HOSP- registret med sina 480 000 registrerade personer är betydligt större än både fastighetsmäklarregistret och revisorsregistret, men typen av personuppgifter i registren är likartad. Det finns dock fler uppgifter i fastighetmäklarregistret och revisorsregistret som möjliggör en säkrare identifiering av den registrerade utan att person- eller sam- ordningsnummer används som sökbegrepp. 7.3Andra positiva effekter av att uppgifterna kan sökas på internet Utredningens bedömning: Om det är möjligt att på internet kontrollera om en person har en viss legitimation, minskar tro- ligen behovet av direktåtkomst till . Det skulle också bli svårare att oriktigt hävda att man har en legitimation. Utöver detta skulle hantering av förfråg- ningar om uppgifter i bli enklare, snabbare och mer kostnadseffektiv. Hanteringen skulle därtill bli säkrare såväl ur ett patientperspektiv som ett integritetsperspektiv. Att flera av de behov som redovisas i avsnitt 7.2 kan tillgodoses är givetvis en positiv effekt av att allmänheten på egen hand enkelt på internet kan kontrollera om någon har en viss legitimation. I detta avsnitt redovisas andra positiva effekter av detta. 7.3.2Behovet av direktåtkomst minskar förmodligen Om de mest efterfrågade uppgifterna i – uppgifter om någon har en viss legitimation – görs allmänt tillgängliga på inter- net, kommer behovet av direktåtkomst till uppgifterna i registret förmodligen minska. Direktåtkomst innebär att mottagaren har möjlighet att själv få fram alla berörda uppgifter i registret, t.ex. en lista med alla personer som har en viss legitimation. Mottagaren behöver dock sällan den möjligheten, utan bara möjligheten att själv kunna ta reda på om en viss person har en viss legitimation. Direkt- åtkomst anses mer integritetskänsligt än andra former av elektro- niskt utlämnande (se närmare bl.a. avsnitt 12.3 i delbetänkandet). Genom att ge allmänheten tillgång till utvalda uppgifter på internet kan alltså en mer integritetskänslig åtkomst i många fall undvikas. Också förfrågningar om många personer på en gång eller upprepade förfrågningar skulle kunna hanteras genom allmänhetens tillgång på internet om den avsåg även tillgång via ett öppet applikationsprogram- meringsgränssnitt, ett s.k. API6. Se mer om API i avsnitt 7.6. 7.3.3Det blir svårare att luras I och med möjligheten att enkelt och snabbt på internet kunna kon- trollera en uppgift om att någon har en legitimation blir det svårare att oriktigt hävda att man har den behörighet som följer med en legitimation. Detta kan i sin tur avskräcka personer från att luras om sin behörighet. Även på så sätt kan patientsäkerheten och tilltron till legitimationssystemet stärkas. 7.3.4Socialstyrelsens arbete blir bättre, enklare och billigare Av utredningens redovisning i kapitel 5 framgår att det är stora mängder förfrågningar om uppgifter från som kommer till . Det framgår också att antalet för- frågningar tycks öka något . De flesta förfrågningar kommer via mejl. Enligt uppgifter från anger sökan- den som huvudregel ett (eller flera) personnummer eller samord- ningsnummer i sin förfrågan. I vissa fall anges i stället födelsedatum i kombination med namnuppgifter eller endast namnuppgifter, men med ett sådant förfarande kan myndigheten inte garantera att det är rätt person som svaret avser. Varje sökning sker manuellt genom att en anställd på matar in sökbegrepp, får svar och sedan skickar mejl tillbaka med svaret till sökanden. 6Application Programming Interface. telefonsamtal är proceduren likartad. I varje enskilt fall görs också en sekretessprövning innan uppgifterna lämnas ut. Utöver förfrågningar om enstaka uppgifter får också beställningar som avser ett större antal sökningar på en gång. Därtill hanterar varje vardag en fil (lista) med bl.a. person- eller samordningsnummer för anställda inom vård och omsorg från Inera AB7 som är personuppgiftsbiträde åt bl.a. regio- nerna och kommunerna. hämtar filen från en server och skickar den för matchning mot vilket tar ungefär 15–. Efter matchningen skapar en ny fil där varje person- eller samordningsnummer har kompletterats med relevant information i . Den matchade filen överförs sedan tillbaka till servern för hämtning av . De ovan redovisade exemplen visar tydligt att den hanteringen inte är anpassad för att effektivt hantera mängden för- frågningar. Systemets ineffektivitet riskerar bl.a. att fördröja rekry- teringsprocesser. Om allmänheten själv får tillgång till de viktigaste uppgifterna på internet, kan många förfrågningar till med stor sannolikhet undvikas. Genom egen enkel tillgång till uppgifterna finns det inget incitament att göra förfrågningar. Allmänheten får vidare svar betydligt fortare än vid en förfrågan. Den hanteringen, där personnummer i t.ex. ett mejl manuellt förs över till en sökruta och svaret manuellt kopieras, inne- bär risker för handhavandefel som kan undvikas genom att processen automatiseras. Automatiseringen innebär visserligen andra risker för t.ex. systematiska fel i programmeringen, men dessa bör enklare kunna hanteras med noggrann testning och löpande uppföljning samt en struktur som förhindrar oavsiktlig spridning av uppgifter. Att utarbeta och underhålla ett webbgränssnitt och ett API samt att sedan följa upp att gränssnitten fungerar som avsett kostar för- stås, särskilt i det inledande skedet. Det är dock utredningens bedöm- ning att det särskilt blir avsevärt billigare med en automati- sering än med den hanteringen som kostar mer och mer allteftersom antalet förfrågningar ökar. Redan egna framställningar om att få övergå till automatisering talar tydligt för 7Inera AB ägs av och Regioner (SKR), via bolaget , samt alla regioner och nästan samtliga kommuner. En övergång till en ökad digitalisering är också i linje med digitaliseringsstrategi.8 7.4Integritetsrisker och integritetsstärkande åtgärder Utredningens bedömning: Att göra vissa uppgifter i HOSP- registret öppet tillgängliga på internet innebär en ökad spridning av personuppgifter och därmed risk för ett ökat integritetsintrång. Integritetsriskerna motverkas genom en integritetsstärkande utformning av regleringen, där såväl sökbegrepp som antalet personuppgifter i sökresultatet begränsas. Risken är acceptabel med hänsyn till hur viktigt det är med en säker identifiering av legitimerad hälso- och sjukvårdspersonal. Om vissa uppgifter i är öppet tillgängliga på internet, blir det en ökad spridning av personuppgifter och därmed risk för ett ökat integritetsintrång. Allmänhetens behov och intresse av att behandla personuppgifter för att kunna kontrollera hälso- och sjukvårdspersonals behörighet behöver därför vägas mot de integritet- srisker som är förknippade med behandlingen. I huvudsak gäller att ju större informationsmängder som finns samlade så att person- uppgifter kan sökas och sammanställas på ett enkelt sätt, desto större risk för kontroll över och kartläggning av individer. För varje användare som har tillgång till uppgifter om en viss person, ökar allmänt sett risken för integritetsintrång, obehörigt röjande och andra former av missbruk av personuppgifterna. Spridningen av personuppgifter kan begränsas genom att bara en funktion för att söka efter om någon, en viss individ, har en legi- timation är tillgänglig på internet. Därmed blir enbart uppgifter om den som faktiskt eftersöks tillgängliga. Man undviker därigenom också att lägga ut listor med personer öppet på internet som kan fångas upp av sökmotorer och därefter visas i deras sökresultat. Inte heller blir det i praktiken möjligt att på internet få kompletta upp- gifter om vilka som har en viss legitimation. 8Se t.ex. Regeringens digitaliseringsstrategi, För ett hållbart digitaliserat – en digitaliserings- strategi, dnr: N2017/03643/D. Där anges bl.a. att det övergripande målet är att ska vara bäst i världen på att använda digitaliseringens möjligheter. därför som en integritetsstärkande åtgärd att en sökfunktion bara avseende individer ska göras tillgänglig på internet. Risken för att någon efter sökning felaktigt tror att den efter- sökta personen har eller inte har en legitimation kan motverkas, till och med nästan helt elimineras, genom att bara entydigt identi- fierande uppgifter får användas som sökbegrepp. Därmed minskas risken för personförväxling betydligt. Likaså minimeras eller elimi- neras risken för att den som söker får del av s.k. överskottsinfor- mation (i detta fall uppgifter om andra individer än den sökningen avser). Utredningen föreslår som en integritetsstärkande åtgärd att bara person- och samordningsnummer, dvs. entydigt identifierande uppgifter, får användas som sökbegrepp. En risk med det förslaget är att allmänhetens intresse för att ta reda på hälso- och sjukvårds- personalens person- och samordningsnummer skulle kunna öka, dvs. att det leder till en ökad användning i samhället av sådana num- mer. Den eventuellt ökade användningen är emellertid enligt utred- ningens bedömning klart motiverad med hänsyn till hur viktigt det är med en säker identifiering av legitimerad hälso- och sjukvårds- personal (jämför 3 kap. 10 § dataskyddslagen). Enligt utredningens bedömning är en uppgift om att någon med ett visst person- eller samordningsnummer har en gällande legiti- mation inom hälso- och sjukvård inte i sig särskilt integritetskänslig. Utredningen gör samma bedömning avseende uppgifterna i HOSP- registret om när legitimationen utfärdades, vad den omfattar när det är fråga om bara ett s.k. partiellt tillträde, yrke, och specialitet. Utredningen föreslår som en integritetsstärkande åtgärd i enlighet med principen om uppgiftsminimering att inga andra personupp- gifter från registret får visas i sökresultatet. Därmed undviks att integritetskänsligare uppgifter i registret, som uppgifter om folk- bokföringsort, återkallad legitimation eller tidsbegränsning av legiti- mation, begränsningar av förskrivningsrätt och förskrivarkod, blir tillgängliga på internet. 7.5Avvägning mellan behov och integritetsrisker Utredningens bedömning: Behoven av och fördelarna med en möjlighet att på internet kunna kontrollera om en person har en viss legitimation överväger integritetsriskerna. Detta förutsätter dock att regleringen om detta får en integritetsstärkande utformning. För att det ska vara motiverat att göra personuppgifter i HOSP- registret öppet tillgängliga på internet måste behovet av och för- delarna med detta väga tyngre än integritetsriskerna och de regi- strerades intresse av skydd för den personliga integriteten. Rätten till skydd för den personliga integriteten är inte någon absolut rättig- het, utan den måste ses i sitt sammanhang och vägas mot andra grundläggande rättigheter utifrån en proportionalitetsbedömning (skäl 4 till dataskyddsförordningen). Syftet med att göra personuppgifterna enkelt tillgängliga på inter- net för kontroll av om någon har en viss legitimation är ytterst att förbättra patientsäkerheten, vilket är ett tungt vägande och allmänt intresse. Utredningen anser att det finns ett klart behov av och klara fördelar med att på internet kunna kontrollera om någon har en viss legitimation (se avsnitt 7.2 och 7.3). är samtliga uppgifter i i praktiken tillgängliga för nästan var och en, eftersom en sekretessprövning i regel medför att uppgifterna kan lämnas ut. Att var och en enkelt kan kontrollera att någon har en viss legitimation är väl förenligt med det primära ändamålet för registret, att föra en aktuell förteckning över legitimerad hälso- och sjukvårdspersonal. De registrerade har ansökt om legitimation och bör, genom HOSP-förordningen, vara medvetna om att deras legitimation registreras så att den ska kunna kontrolleras. Den som inte längre vill ha en legitimation kan på egen begäran få den återkallad. Enligt utredningens bedömning är integritetsriskerna med att var och en på internet kan kontrollera om någon har en viss legitimation måttliga eller till och med små. De integritetsrisker som finns kan enligt utredningens mening på ett acceptabelt sätt motverkas, eller elimineras, genom integritetsstärkande utformning av regleringen (se avsnitt 7.4). Utredningen föreslår en sådan utformning. För att på internet få tillgång till uppgifter om en person ska således krävas att mottagaren redan känner till personens person- eller samord- De personuppgifter som efter en sökning på ett person- eller samordningsnummer blir tillgängliga på internet ska begränsas till sådana som inte kan anses särskilt integritetskänsliga och som är nödvändiga för att kontrollera om personen har en gällande legitimation och för en säker identifiering. Det är utredningens sammanfattande slutsats att behoven av och fördelarna med att var och en på internet kan kontrollera om någon har en viss legitimation överväger integritetsriskerna om regleringen får den integritetsstärkande utformning som föreslås. 7.6En sökfunktion på internet för att kontrollera legitimationer Utredningens förslag: ska göra det möjligt för allmänheten att genom en sökfunktion på internet kontrollera en persons behörighet. Utredningens bedömning: bör tillhandahålla både en vanlig webbsida med en sökruta och ett öppet applikations- programmeringsgränssnitt, ett s.k. API, som gör det möjligt att automatiserat ställa frågor och få svar. Som beskrivs i kapitel 5 är uppgifterna i i princip tillgängliga för var och en , men varje förfrågan om uppgifter måste hanteras manuellt av . Med hänsyn till den stora och ökande mängden förfrågningar ter sig den hanteringen ineffektiv och kostsam. I slutändan kan svårigheterna med och tids- åtgången för att kontrollera om någon har en viss legitimation leda till att patientsäkerheten försämras i och med att risken för obehöriga inom hälso- och sjukvården ökar eller att risken ökar för att nöd- vändig vård eller medicinering försenas. I takt med samhällets digita- lisering ökar efterfrågan på snabb tillgång till information. är internet och olika webbsidor den mest naturliga platsen att söka information. Utredningen ser inte att det finns något egentligt alternativ till att tillgängliggörandet görs öppet på internet. Enligt utredningen bör det vara enkelt för t.ex. en arbetsgivare eller ett bemanningsföretag att kontrollera att den som man över- väger att anlita har rätt legitimation. En sökning behöver därför så enkelt som möjligt kunna ge svar på om en viss person har legitimation. Enligt nuvarande reglering måste den som vill kontrollera behörig- heten hos hälso- och sjukvårdspersonal kontakta för att få uppgifterna manuellt utlämnade. Som framgår av redogörelsen i avsnitt 5.2.2 har myndigheten som mål att svara , men med ökade volymer av förfrågningar kan detta mål enligt upp- gift från myndigheten inte alltid uppnås. Det är otillfredsställande att svarstiden är så pass lång som den är. Redan en väntan i , vilket motsvarar , ter sig i dagens informationssamhälle som en lång väntan på en viktig uppgift. Att väntan dessutom kan bli betydligt längre än så gör hanteringen oförutsägbar. Flera av de behov som redovisas i avsnitt 7.2 kan tillgodoses genom en enkel möjlighet att på internet kontrollera om någon har en viss behörighet. Dessa behov är enligt utredningens mening de mest angelägna att tillgodose. Det kan därutöver finnas behov av att på ett enkelt och snabbt sätt få tillgång till listor med uppgifter om personer som har en viss legitimation, dvs. att söka uppgifter om vilka individer som har en viss registrerad egenskap i stället för att kontrollera en viss individs legitimation. Det kan exempelvis handla om företag och myndigheter som vill ha listor med personer som man kan kontakta för att kunna anställa eller annars anlita. Att införa en möjlighet att på internet få tillgång till sådana listor skulle emellertid öka risken för integritetsintrång, t.ex. genom att personerna blir kontaktade på ett oönskat vis, utan att det har motsvarande nytta för patientsäkerheten. Därför bör tillgänglig- heten, som en integritetsstärkande åtgärd, begränsas till det mest angelägna behovet, att genom sökning efter en viss person kunna kontrollera om denne har en viss gällande legitimation. För att bl.a. förenkla hanteringen av förfrågningar från allmänheten föreslog Utredningen om rätt information i vård och omsorg i delbetän- kandet Bättre behörighetskontroll – Ändringar i förordningen (2006:196) om register över hälso- och sjukvårdspersonal (SOU 2012:42) bl.a. att allmänheten skulle få del av uppgifter ur genom direktåtkomst. Ett av de främsta skälen ansågs vara att det vid direkt- åtkomst är möjligt för mottagaren att ta del av uppgifterna utan att den utlämnande aktören, i detta fall , behöver vidta någon åtgärd. Direktåtkomst skulle därmed (till skillnad från annat elektroniskt utlämnande) ge förutsättningar för att SOU 2021:39HOSP-registret på internet arrangera utlämnanden enkelt, snabbt och utan kontinuerlig administration.9 Den digitala utvecklingen går dock snabbt framåt och bör utlämnande av uppgifter som utgångspunkt inte ske genom direktåtkomst. Av slut- betänkande Myndighetsdatalag10 framgår bl.a. att det är ett starkt rätts- säkerhetskrav att gränserna mellan myndigheterna i rättslig mening kan upprätthållas. Vid direktåtkomst tas gränsen mellan de uppgifts- utbytande myndigheterna delvis bort. När myndigheter ska införa tjänster för att lämna ut uppgifter automatiserat bör nya e-tjänster enligt Samverkansprogrammet för digital utveckling, eSam11, inte ut- formas för direktåtkomst. Behovet av att på internet kunna kontrollera om någon har en viss legitimation kan tillgodoses genom det som kallas annat elektroniskt utlämnande (än direktåtkomst). Det räcker med en s.k. fråga-svar- funktion. En sådan funktion innebär att automatiskt reagerar på en begäran om att få ut uppgifter genom att automa- tiserat kontrollera vilka uppgifter som begärs ut och i varje enskilt fall automatiserat pröva om begäran är förenlig med de rättsregler som gäller för att få uppgifterna utlämnade. En sådan prövning sker genom tekniska kontroller av att alla i funktionen inbyggda regler är uppfyllda i det enskilda fallet och att som svar bara lämnas de upp- gifter som efterfrågats och som enligt fastställda regler får lämnas ut på det sättet. som utlämnande myndighet måste således på förhand ha identifierat och avgränsat de uppgifter som kan komma i fråga att lämnas ut via internet. Myndigheten utför sedan en automatiserad granskning av varje inkommen sökfråga (begäran om utlämnande av vissa uppgifter), kontrollerar i varje enskilt fall om de begärda uppgifterna får lämnas ut och expedierar begärda uppgifter bara i den utsträckning som de får lämnas ut på det sättet. Avgörandet av om uppgifterna ska lämnas ut ligger alltså hos den utlämnande myndigheten, , eftersom det är den som förfogar över det automatiserade system som prövar om begärt ut- lämnande ska ske. Utredningen föreslår alltså att ska göra det möjligt för allmänheten att genom en sökfunktion på internet kontrollera en 9Se kort resonemang i SOU 2012:42, s. 52. 10SOU 2015:39, s. 150. 11eSamverkansprogrammet, eSam, är offentlig samverkan för ökad digitalisering och ett medlems- drivet program för samverkan mellan 29 myndigheter och Kommuner och Regioner. 12Se eSam, Juridisk vägledning för verksamhetsutveckling inom e-förvaltning 3.0, s 20. viss persons behörighet.13 Förslaget innebär att uppgifterna i HOSP- registret blir tillgängliga på liknande sätt som i de övriga nordiska länderna. Avsikten är att ska utveckla och tillhanda- hålla både ett webbgränssnitt (en webbplats, bestående av html-kod, med en sökruta och utrymme för sökresultatet) och ett API, (t.ex. ett s.k. REST14 API, med tillhörande förklaringar) öppet på internet. API:et gör det möjligt att automatiserat mer eller mindre ställa flera sökfrågor. API:et bör ge användare såsom myndigheter och företag möjlighet att integrera en funktion i sina it-system för att kunna kontrollera om en person har en viss behörighet. Eftersom de uppgifter som enligt utredningens förslag ska vara tillgängliga genom API:et inte kommer att vara mer omfattande än de uppgifter som föreslås vara tillgängliga genom den öppna sökfunktionen på internet, bör utgångspunkten vara att även API:et ska vara öppet tillgängligt för alla. kan det finnas anledning att i syfte att öka säkerheten först kräva en ansökan om anslutning till API:er som den som tillhandahåller API:et kan godkänna. Vid ett godkännande upp- rättas en överenskommelse med användaren som kan reglera t.ex. kommunikationssätt och hur länge överenskommelsen är giltig. Därefter tilldelas användaren olika s.k. API-nycklar. För den sök- funktion som utredningen föreslår bedömer utredningen alltså att det inte finns anledning till ett sådant ansökningsförfarande. Det slutliga avgörandet av om ett för alla öppet ansökningsförfarande ska tillämpas ligger dock hos . De uppgifter som lämnas som sökresultat ska härröra från HOSP- registret, men de behöver inte hämtas direkt från det registret, vilket kan vara olämpligt från säkerhetssynpunkt, utan kan hämtas från t.ex. en speglad kopia av registret. Det får förutsättas att Social- styrelsen på internet informerar om när uppgifterna senast upp- daterades, om de inte återspeglar det aktuella innehållet i HOSP- registret. Det bör betonas att uppgifter inte får vara tillgängliga på internet annat än via sökfunktionen, dvs. uppgifter får inte i avvaktan på sökfrågor lagras på en plats som är öppet tillgänglig på internet. Skyldigheten att tillhandahålla sökfunktionen hindrar inte att av säkerhetsskäl eller tekniska skäl inför begräns- ningar. Det kan exempelvis handla om att begränsa antalet sökfrågor 13Det ska dock noteras att det är legitimation och specialistbehörighet som kommer att kunna kontrolleras genom sökfunktionen och inte eventuell förskrivningsbehörighet. 14Representational State Transfer. inom ett visst tidsintervall, att spärra en ip-adress som använt sök- funktionen på ett inte avsett sätt eller andra åtgärder som Social- styrelsen av säkerhetsskäl eller tekniska skäl ser behov av. 7.7Bara personnummer och samordningsnummer får användas som sökbegrepp Utredningens förslag: Som sökbegrepp får bara personnummer och samordningsnummer användas. Utredningens bedömning: Bara sökbegrepp som gör att sök- resultatet otvetydigt ger svar på om någon har en legitimation eller inte bör tillåtas. Annars är riskerna för försämrad patient- säkerhet och förtroendeskador för stora och allvarliga. Syftet med att införa en sökfunktion är att var och en enkelt ska kunna kontrollera på internet om någon har en viss behörighet. På så vis förbättras patientsäkerheten bl.a. genom att risken för obehöriga inom hälso- och sjukvården minskar. Ett grundläggande krav på en sådan sökfunktion är att den ger ett otvetydigt svar på om den eftersökta personen har en legitimation eller inte. En sök- funktion som innebär en risk för att den som söker drar en felaktig slutsats av svaret är inte ändamålsenlig. En sådan sökfunktion kan tvärtom leda till en försämrad patientsäkerhet (vid s.k. falskt positiva svar, dvs.