sou · H9B339 · 2022-01-01 00:00:00 — Kartläggningen visar att patienter inom denna typ av vård ofta är sköra och har komplexa hälsoproblem och svåra funktionsnedsättningar samt möter många olika vård- givare och verksamheter. konstaterar i kartlägg- ningen att kontinuiteten i vården och omsorgen är mycket viktig för personers upplevelse av trygghet. De många kontakterna mellan olika vårdgivare eller utförare när en person går över från en verk- samhet till en annan ställer krav på en väl fungerande samverkan för att inte innebära risker i form av t.ex. missförstånd eller avsaknad av information om nästa behandlingssteg. Frågor som rör samordning för gruppen äldre personer har också lyfts i slutbetänkandet Läs mig! Nationell kvalitetsplan för vård och omsorg för äldre personer (SOU 2017:21) från Utredningen om nationell kvalitetsplan för äldreomsorgen och slutbetänkandet Effektiv vård (SOU 2016:2) från utredningen nationell samordnare för effektivare resurs- utnyttjande inom hälso- och sjukvården. har internationellt sett en hög digitaliseringsgrad. EU gör sedan 2014 årliga mätningar av medlemsstaternas utveckling inom digitaliseringsområdet som publiceras i ett s.k. DESI-index (the Digital Economy and Society Index) som bygger på undersökningar inom fem olika områden, bl.a. tillgången till fast bredband, med- borgarnas digitala kommunikationer samt e-förvaltning och e-hälsa. har alltid placerat sig bland de tre länder som ligger högst på listan och låg 2018 på andra plats efter . Digitaliseringen erbjuder stora möjligheter för och hälso- och sjukvården. Modern informations- och kommunikations- teknologi kan underlätta för den enskilde att vara delaktig i sin egen vård och omsorg, stödja kontakten mellan den enskilde och verk- samheterna samt tillhandahålla effektivare stödsystem för med- arbetarna i verksamheterna. har i likhet med andra områden påverkats av digi- taliseringen. följer användningen av väl- färdsteknik i kommunerna, och myndigheten konstaterar i kart- läggningen att allt fler kommuner inför olika typer av väl- färdstekniklösningar (E-hälsa och välfärdsteknik i kommunerna 2019, art nr. Andelen kommuner som har e-tjänster för att ansöka om bistånd ökar. Inom äldreomsorgen har av kommunerna sådana e-tjänster för bistånd och inom funktions- hindersområdet var andelen . av alla trygg- hetslarm är digitala och uppkopplade framförallt via de mobila näten. konstaterar vidare att många kommuner brister i att säkerställa ett fullgott skydd för enskildas känsliga personuppgifter. Hälso- och sjukvårdsområdet har också integrerat digitala stöd i den dagliga verksamheten. De årliga undersökningar som lands- tingen gör av användningen av it i vården visar bl.a. att all journal- föring inom slutenvården, primärvården och psykiatrin är digital (eHälsa i landstingen – ). Digitaliseringen påverkar inte bara verksamheterna utan även patienter och brukare. Kommuner och Landstings studier i fråga om invånarnas inställning till digital service i välfärden visar att tre fjärdedelar av invånarna är positivt inställda till att kommuner och landsting kommunicerar digitalt och erbjuder digital service (Invånarnas inställning till digital service i välfärden ). Myndig- heten för vård- och omsorgsanalys har studerat befolkningens inställ- ning till nyttjande och skydd av digitala uppgifter om vård och hälsa för olika ändamål (För säkerhets skull. Befolkningens inställning till nytta och risker med digitala hälsouppgifter, rapport 2017:10). Under- sökningen visar på ett högt förtroende för vårdens hantering och skydd av patientinformation. Majoriteten önskade att uppgifterna skulle användas men med ett tillfredsställande integritetsskydd. I undersökningen framkom vidare att man önskade få information om vilka uppgifterna är, hur de används och av vem. De flesta ville att uppgifterna skulle användas för olika ändamål, men många ville tillåta detta först efter det att man fått information om användningen samt erbjudits möjlighet att tacka nej eller efter det att man lämnat sitt medgivande. Reglering av dataskydds- och sekretessfrågor Internationell nivå – FN, och EU () antog 1948 den allmänna förklaringen om de mänskliga rättigheterna. Förklaringen är inte formellt bindande för medlemsstaterna, men ses som ett uttryck för sedvanerättsliga regler. Skyddet för den personliga integriteten behandlas i artikel 12, som anger att ingen får utsättas för godtyckligt ingripande i fråga om privatliv, familj, hem eller korrespondens och inte heller för angrepp på sin heder eller sitt anseende. I artikel 29 anges att en person endast får underkastas sådana inskränkningar som har fastställts i lag och enbart i syfte att trygga tillbörlig hänsyn till och respekt för andras rättigheter och friheter. Den europeiska konventionen om skydd för de mänskliga rättig- heterna och de grundläggande friheterna, förkortad Europakon- ventionen, innehåller bestämmelser till skydd för den enskildes rätt till respekt för privat- och familjelivet (art. 8.1). Ytterligare en central konvention är konvention om skydd för enskilda vid automatisk databehandling av personuppgifter, förkortad dataskydds- konventionen. I denna finns bestämmelser om automatisk databehand- ling av personuppgifter. I anslutning till antog rekommendationer som gäller be- handling av personuppgifter inom vissa områden. Rekommendatio- nerna är inte direkt bindande. En av rekommendationerna, Recom- mendation No. R (97) 5 of to Member States on the protection of data, antogs 1997 i syfte att förtydliga vad som gäller för personuppgifter om hälsa (hälso- uppgifter) enligt artikel 6 i dataskyddskonventionen. Rekommenda- tionen är tillämplig på insamling och automatiserad behandling av hälsouppgifter. Av Europeiska unionens stadga om de grundläggande rättig- heterna, förkortad EU-stadgan, följer att var och en har rätt till respekt för sitt privatliv och familjeliv, sin bostad och sina kommunikationer och att var och en har rätt till skydd av de personuppgifter som rör honom eller henne och att dessa uppgifter ska behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund samt att var och en har rätt att få tillgång till insamlade uppgifter som rör honom eller henne och att få rättelse av dem (artiklarna 7 och 8 i EU- stadgan.) antogs och rådets förord- ning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän data- skyddsförordning), nedan kallad dataskyddsförordningen. Förord- ningen började tillämpas . Personuppgiftslagen (1998:204) upphävdes och ersattes av lagen (2018:218) med kom- pletterande bestämmelser till EU:s dataskyddsförordning, nedan benämnd dataskyddslagen, i samband med att dataskyddsförordningen började tillämpas. Flera anpassningar i olika registerförfattningar gjordes för att tydliggöra att dessa innehåller ytterligare komplet- terande bestämmelser till dataskyddsförordningen och dataskydds- lagen samt för att i övrigt anpassa den nationella lagstiftningen till dataskyddsförordningen. Reglering som syftar till att säkerställa ett likvärdigt skydd av de grundläggande fri- och rättigheterna, i synnerhet rätten till integri- tet, när det gäller behandling av personuppgifter inom sektorn för elektronisk kommunikation finns även i och rådets direktiv /58/EG av om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (direktiv om integritet och elektronisk kommuni- kation). Nationell reglering när det gäller hantering av uppgifter om hälsa eller personliga förhållanden Frågan om myndigheters behandling av personuppgifter på auto- matiserad väg innefattar avvägningar mellan skyddet för den per- sonliga integriteten och andra viktiga samhällsintressen. I regerings- formen, förkortad RF, anges bl.a. att det allmänna ska värna om den enskildes privatliv och familjeliv (1 kap. 2 § fjärde stycket). Var och en är gentemot det allmänna skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållan- den (2 kap. 6 §). Denna fri- och rättighet kan under vissa förut- sättningar begränsas genom lag (2 kap. 20 och 21 §§). I offentlighets- och sekretesslagen (2009:400), förkortad OSL, regleras sekretess i det allmännas verksamhet. Sekretess innebär ett förbud att röja en uppgift, vare sig det sker muntligen, genom ut- lämnande av en allmän handling eller på något annat sätt (3 kap. 1 § OSL). Sekretess innebär således en begränsning av både rätten att ta del av allmänna handlingar och yttrandefriheten. Sekretess gäller inom hälso- och sjukvården för uppgift om en enskilds hälsotillstånd eller andra personliga förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men (25 kap. 1 § OSL). Det finns dock bestämmelser som bryter denna sekretess. Till exempel hindrar inte sekretessen att uppgifter lämnas mellan olika hälso- och sjuk- vårdsmyndigheter inom en kommun eller ett landsting och mellan allmänna och enskilda vårdgivare enligt det som föreskrivs om sammanhållen journalföring i patientdatalagen (25 kap. 11 § 3 OSL). Om den enskilde på grund av sitt hälsotillstånd eller av andra skäl inte kan samtycka till att en uppgift lämnas ut, hindrar sekretessen inte heller att en uppgift om honom eller henne som behövs för att han eller hon ska få nödvändig vård, omsorg, behandling eller annat stöd lämnas från en myndighet inom hälso- och sjukvården till en annan myndighet inom hälso- och sjukvården eller inom socialtjäns- ten eller till en enskild vårdgivare eller en enskild verksamhet inom område (25 kap. 13 § OSL). När det gäller skyddet för uppgifter som förekommer inom hälso- och sjukvård som bedrivs av enskilda näringsidkare får den som tillhör eller har tillhört sådan verksamhet inte obehörigen röja vad han eller hon i denna verksamhet har fått veta om en enskilds hälso- tillstånd eller andra personliga förhållanden (6 kap. 12 § patient- säkerhetslagen [2010:659]). Motsvarande tystnadsplikt gäller i enskilt bedriven verksamhet enligt SoL, för uppgift om enskildas personliga förhållanden (15 kap. 1 §). Sekretess gäller inom för uppgift om en enskilds personliga förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men (26 kap. 1 § OSL). Det finns dock bestämmelser som bryter sekre- tessen. Till exempel hindrar sekretessen inte att uppgift om en enskild eller någon närstående till denne lämnas från en myndighet inom till en annan sådan myndighet eller till en myndighet inom hälso- och sjukvården, om det behövs för att ge den enskilde nödvändig vård, behandling eller annat stöd och denne inte har fyllt , fortgående missbrukar alkohol, narkotika eller flyktiga lösningsmedel eller vårdas med stöd av lagen (1991:1128) om psykiatrisk tvångsvård eller lagen (1991:1129) om rättspsykiatrisk vård. Detsamma gäller uppgift om en gravid person eller någon närstående till denne, om uppgiften behöver lämnas för en nödvändig insats till skydd för det väntade barnet (26 kap. 9 § OSL). Dataskydd i socialtjänst och hälso- och sjukvård Behandlingen av personuppgifter inom och hälso- och sjukvården regleras också av särskilda s.k. registerlagar, främst patientdatalagen (2008:355) och lagen (2001:454) om behandling av personuppgifter inom . Utöver dessa lagar så inne- håller också SoL, särskilda regler om bl.a. behandling av person- uppgifter och gallring inom verksamheter. Lagarna kompletteras av förordningar samt i vissa fall myndighetsföreskrif- ter. Det finns vidare annan lagstiftning där personuppgiftsbehand- ling för hälsouppgifter regleras, bl.a. lagen (2002:297) om biobanker ihälso- och sjukvården m.m., lagen (2018:1212) om nationell läke- medelslista samt lagen (2017:612) om samverkan vid utskrivning från sluten hälso- och sjukvård. Övergången till en i huvudsak digital hantering av personuppgifter inom såväl som hälso- och sjukvården har pågått . Det har också mot denna bakgrund gjorts översyner av regleringen av personuppgiftsbehandling. Några exempel är vars slutbetänkande Behandling av person- uppgifter inom (SOU 1999:109) låg till grund för lagen om behandling av personuppgifter inom som trädde i kraft , vars slutbetänkande (SOU 2006:82) låg till grund för patientdatalagen som trädde i kraft , vars slut- betänkande – Integritet-Effektivitet (SOU 2009:32) lämnades men inte föranledde några lagstiftnings- åtgärder och utredningen information i vård och omsorg. Den sistnämnda utredningens delbetänkandet Rätt information – Kvalitet och patientsäkerhet för vuxna med nedsatt beslutsförmåga (SOU 2013:45) föranledde ändringar i bl.a. patientdatalagen. Det handlade bl.a. om att en vårdgivare under vissa omständigheter får göra uppgifter om en patient som inte endast tillfälligt saknar för- måga att ta ställning tillgängliga för de vårdgivare som är anslutna till systemet med sammanhållen journalföring respektive en vårdgivare får ta del av uppgift om vilken vårdgivare som har gjort uppgifter tillgängliga. Utredningens slutbetänkande – Rätt information på rätt plats i rätt tid (SOU 2014:23) – låg till grund för bl.a. ändringar i lagen (1996:1156) om receptregister. Utöver dessa kommittéer finns exempel på utredningar som har gjorts internt inom kring frågor som rör person- uppgiftsreglering inom hälso- och sjukvården, t.ex. departements- promemoriorna Nationell läkemedelslista (Ds 2016:44) och Ny lag om koordineringsinsatser inom hälso- och sjukvård (Ds 2018:5). En översyn av vissa frågor som gäller personuppgiftshantering inom socialtjänst- och hälso- och sjukvårdsverksamhet Sedan den övergripande regleringen av personuppgiftshanteringen inom och hälso- och sjukvårdsområdet tillkom så har verksamheterna utvecklats på olika sätt. Det har tillkommit flera nya regleringar som påverkar hur personuppgifter får hanteras inom och hälso- och sjukvården. Exempel som har nämnts är dataskyddsförordningen och dataskyddslagen. I samband med att dataskyddsförordningen skulle börja tillämpas gjorde regeringen en översyn av regleringen inom område, för att anpassa nationell rätt till dataskyddsförordningen. Detta ledde till ändringar i ett stort antal lagar. Propositionen Dataskydd inom verksamhetsområde – en anpassning till EU:s dataskyddsförordning (prop. 2017/18:171) avgränsades till att han- tera de anpassningar i författningar inom verksamhetsområde som vid det tillfället bedömdes behövas med anledning av dataskyddsförordningen (prop. 2017/18:171 s. 58). Ett annat exempel är lagen om nationell läkemedelslista som kommer att ersätta lagen om receptregister och lagen (2005:258) om läkemedels- förteckning . Här kan vidare nämnas OSL som trädde i kraft , som reglerar stora delar av sekretessen i socialtjänst och hälso- och sjukvård, och patientsäkerhetslagen, som reglerar sekre- tess i enskild verksamhet och som trädde i kraft . Datainspektionen har sedan patientdatalagen infördes genomfört flera långsiktiga tillsynssatsningar. Myndigheten påbörjade en första bred tillsyn av alla landsting och fem privata vårdgivare. Områden som analyserades var bl.a. möjligheter att spärra uppgifter. Datainspektionen har vidare genomfört kontroller av den kom- munala hälso- och sjukvården. Exempelvis genomförde myndig- heten sammanlagt 18 tillsynsinsatser som fokuserade på behörig- hetsstyrning och loggkontroller i kommuner . Utöver tematiska och långsiktiga tillsynsinsatser görs enskilda insatser initierade efter t.ex. klagomål från enskilda eller via uppgifter i medierna. Många av de tillsynsinsatser som gjorts har tydliggjort gränserna för hur personuppgifter får hanteras i social- tjänsten och hälso- och sjukvården. I myndighetens tillsynsplan ligger även hälso- och sjukvården med som ett särskilt utpekat område för insatser . Det finns vidare exempel på domstolsärenden där personupp- giftshantering inom hälso- och sjukvården har belysts. i gav tidigare patienter möjlighet att digitalt ”dela” sin journal med någon annan, ett s.k. ombud. Vid tillsyn av tjänsten förelade Datainspektionen att upphöra med att ge ombud direkt- åtkomst med motiveringen att sådan åtkomst enligt lag uttryckligen endast kan ges till den enskilde själv, dvs. inte till dennes ombud. Föreläggandet överklagades och målet avgjordes slutligt i där domstolen konstaterade att Datainspek- tionen haft fog för att förelägga att upphöra med att ge ombud direktåtkomst till personuppgifter om enskilda (HFD 2017 ref. 67). har vidare i ett tillkännagivande anfört att regeringen bör överväga om det finns anledning att göra en översyn av patient- datalagen och annan relevant lagstiftning. Det är enligt angeläget att lagstiftningen på området är anpassad till de krav som dagens teknik ställer, som den personliga integriteten beaktas (bet. 2018/19:SoU 8 punkt 58, rskr. 2018/19:233). Regeringen kan konstatera att den lagstiftning som styr person- uppgiftshantering inom och mellan och hälso- och sjukvården fungerat väl i övergången från att hanterat personupp- gifter på papper till ett i huvudsak digitalt arbetssätt. Regleringen ger ett avvägt skydd mellan intresset av att behandla personuppgifter och intresset av att skydda enskilda personers integritet. Dock bedöms det finnas behov av en översyn av vissa frågor på området. Bedömningen bygger på det som har anförts inledningsvis om för- ändringen i det sätt som och hälso- och sjukvården organiserar sig på, den ökade användningen av digitala stöd för personuppgiftshantering samt klargöranden kring lagstift- ningen utifrån bl.a. vad Datainspektionen uttryckt i sina tillsyns- insatser. Utgångspunkten för samtliga uppdrag är att de rör frågor kring per- sonuppgiftshantering i socialtjänst och hälso- och sjukvård. I dessa fall handlar det i princip uteslutande om uppgifter som rör män- niskors hälsa och livssituation vilket är information av integritets- känslig karaktär. Utredaren ska därför i samband med att förslag lämnas särskilt redogöra för hur hänsyn tagits till behovet av informa- tionssäkerhet, rättssäkerhet samt skydd för den personliga integri- teten. Frågorna som ska utredas behöver primärt analyseras utifrån dataskyddsförordningen men även utifrån befintlig reglering, bl.a. ska EU-stadgan, , 2 kap. 6 § RF och dataskydds- lagen beaktas. Eventuella inskränkningar i integritetsskyddet ska följas av analyser samt proportionerliga och tydliga avvägningar där alternativa metoder och mindre integritetskränkande alternativ ska övervägas eller där förslag på särskilda integritetsskyddande åtgärder lämnas. För samtliga uppdrag gäller att utredaren ska lämna författnings- förslag där så anses nödvändigt. Möjlighet till direktåtkomst mellan vissa verksamheter Ett sätt att lämna ut personuppgifter i elektronisk form är genom s.k. direktåtkomst. Begreppet direktåtkomst är inte definierat i lag. Med direktåtkomst menas vanligen att någon har direkt tillgång till någon annans databas eller register och på egen hand kan söka efter information, dock utan att kunna påverka innehållet i databasen eller registret. Begreppet brukar också anses innefatta att den som är ansvarig för databasen eller registret inte har någon kontroll över vilka uppgifter som mottagaren vid ett visst tillfälle tar del av. Vid direktåtkomst anses de uppgifter som omfattas av åtkomsten utläm- nade i och med att åtkomsten medges. I princip anses allt elektroniskt utlämnande som inte görs genom direktåtkomst göras genom utlämnande på medium för automati- serad behandling. Som exempel kan nämnas att personuppgifter lämnas via upptagningar mellan myndigheter, e-post eller USB- minne. Begreppet anses omfatta överlämnande av elektroniskt lagrade uppgifter via alla slags medium för lagring och överföring (Över- skottsinformation vid direktåtkomst, SOU 2012:90 s. 198). Det normala är emellertid att ett informationsutbyte mellan myndigheter sker elektroniskt mellan it-system genom en fråga- svar-funktion. har i den s.k. Lefi- onlinedomen (HFD 2015 ref. 61) ansett att gränsdragningen mellan vad som är direktåtkomst och annat utlämnande på medium för automatiserad behandling beror på om den aktuella uppgiften kan anses förvarad hos den mottagande myndigheten enligt 2 kap. 3 § andra stycket tryckfrihetsförordningen. Avgörande är således om uppgiften är tillgänglig för myndigheten med tekniskt hjälpmedel som myndigheten själv utnyttjar för överföring i sådan form att den kan läsas, avlyssnas eller på annat sätt uppfattas. Högsta förvalt- ningsdomstolens dom kan tolkas så att den tekniska utformningen av en myndighets system för utlämnande av uppgifter kan bli av- görande för om utlämnandet ska anses som direktåtkomst eller som annat utlämnande på medium för automatiserad behandling I domen fann att mottagande myndighets åtkomst till uppgifter hos den utlämnande myndigheten genom ett system som utformats med en fråga-svar-funktionalitet inte ut- gjorde direktåtkomst. Direktåtkomst är enligt förarbetena till patientdatalagen (prop. 2007/08:126 s. 244) en form av elektroniskt utlämnande till en extern mottagare. Direktåtkomst sker när den som är ansvarig för informationen inte har kontroll över vilka uppgifter som en mottagare vid ett visst givet tillfälle tar del av. Inom hälso- och sjukvården finns vissa möjligheter till direktåtkomst. Sammanhållen journalföring innebär att vårdgivare under vissa förutsättningar kan få direkt- åtkomst till varandras elektroniska journalhandlingar och andra personuppgifter som behandlas för ändamål som rör vårddokumen- tation (6 kap. patientdatalagen) Detta gäller såväl mellan offentliga vårdgivare som mellan offentliga och enskilda vårdgivare. Vård- givaren får under vissa förutsättningar ge en patient direktåtkomst till hela eller delar av patientens patientjournal (5 kap. 5 § samma lag). För saknas en reglering liknande den som finns för sammanhållen journalföring inom hälso- och sjukvården som tillåter att olika utförare har direktåtkomst till varandras dokumen- tation. Det råder sekretess mellan socialtjänst och hälso- och sjuk- vård och därför är det heller inte tillåtet med direktåtkomst mellan dessa verksamheter. Frågan om direktåtkomst mellan socialtjänst och hälso- och sjukvård har också belysts av Datainspektionen i ett tillsynsärende om i där vissa personuppgifter tillgängliggjordes direkt mellan nämnden och en utförare (, dnr 876-2010). Datainspektionen ansåg i det ärendet att det krävs författningsändringar både i regel- verken som gäller för hälso- och sjukvården och för att det ska vara tillåtet att tillämpa sammanhållen journalföring mellan hälso- och sjukvården och . Som beskrivits tidigare finns flera olika vårdgivare och ut- förare i och hälso- och sjukvården. En patient kan under en enskild vårdprocess möta många olika offentliga och pri- vata vårdgivare. Patienter med kroniska eller långvariga sjukdoms- tillstånd kan också behöva hjälp av flera olika vårdgivare parallellt. Särskilt stort är detta behov för äldre och multisjuka personer. Behovet av att kunna utbyta information mellan vårdgivare eller ut- förare i syfte att ge en god och säker vård och omsorg, med bibe- hållen integritet och säkerhet, har således ökat . Utredaren ska därför se över möjligheterna att införa direktåtkomst, i likhet med den möjlighet som ges genom sammanhållen journalföring genom en s.k. sammanhållen vård- och omsorgsdoku- mentation mellan –verksamheter som avser äldre personer, t.ex. hemtjänst eller dag- verksamhet för personer med demenssjukdom, och personer med funktionsnedsättning som har insatser enligt SoL, t.ex. boende- stöd och insatser enligt LSS, och –verksamheter som nämns ovan och hälso- och sjukvård. Utgångspunkten för uppdraget ska vara den personuppgiftsbehand- ling som sker inom den individinriktade vård- och omsorgsverk- samheten.