sou · H9B339 · 2022-01-01 00:00:00 — förekommer det sannolikt att patienter som själva har svårt att använda e-hälsotjänster ber anhöriga om hjälp och ”lånar ut” sin e- legitimation. På så vis kan patienten genom den närståendes försorg ta del av exempelvis Journalen digitalt. E-legitimationen är dock en personlig tjänst för att legitimera sig digitalt. Det är inte tänkt att den ska användas av andra. Det framstår inte som tillfredsställande att vissa patienter ska vara hänvisade till att, förmodligen i strid med villkoren för användning av e-legitimationen, låta andra logga in med patientens e-legitimation. Genom att låta den närstående logga in med patientens e-legitimation kan denne kanske dessutom få till- gång till fler e-tjänster på 1177 Vårdguiden än vad patienten önskar. Att patienter kan låna ut sin e-legitimation framstår därför, av flera skäl, inte som ett gott alternativ. En annan möjlighet som står till buds är t.ex. att patienten kan medge att en anhörig hos vårdgivaren får ta del av patient- uppgifter på papper eller får muntlig information från denne. I sådana fall torde vårdgivaren regelmässigt – om det inte finns skäl att ifrågasätta riktigheten av det lämnade medgivandet – lämna ut kopior av patientuppgifterna till den anhörige enligt interna rutiner för att lämna ut handlingar, exempelvis i form av papperskopior. På så vis kan den anhörige alltså ta del av patientuppgifter. Detta för- farande är dock administrativt krångligare än elektronisk tillgång. Därtill innebär det en fördröjning då den anhörige måste fram- ställa en formell begäran till vårdgivaren för att därefter få ut hand- lingarna. Till skillnad från vid användning av tjänsten Journalen på 1177 Vårdguiden måste man då ofta vända sig till respektive sjukhus, klinik eller vårdinrättning för att kunna ta del av alla patientuppgifter hos vårdgivaren. Genom den elektroniska tillgången kan man på ett smidigare sätt få överblick över patientuppgifter från olika aktörer inom hälso- och sjukvården. En annan stor fördel är att den som fått elektronisk tillgång själv fortlöpande kan ta del av nya patient- uppgifter så länge patienten vill det. Ombuds elektroniska tillgång till vård- och omsorgsuppgifter Det finns vissa möjligheter för legala ställföreträdare att ta del av sina huvudmäns patientuppgifter elektroniskt. Inera har en funktion i tjänsten Journalen som används för olika former av legala ställ- företrädare, däribland gode män och förvaltare, under förutsättning att förordnandet anses omfatta att ta del av patientuppgifter. Det förefaller dock finnas oklarheter och osäkerhet kring vad ställföre- trädarskapet omfattar och i vilken mån ställföreträdaren har rätt att ta del av patientuppgifter.13 Alldeles oavsett finns det många perso- ner som inte behöver legala ställföreträdare, utan vars behov är just att kunna ta hjälp av en närstående med vårdkontakter och tillgång till patientuppgifter. finns lagen (2017:310) om framtidsfullmakter enligt vilken en enskild kan utse någon som får företräda denne för det fall han eller hon på grund av sjukdom, psykisk störning, försvagat hälsotillstånd eller något liknande förhållande varaktigt och i huvud- sak inte längre har förmåga att ha hand om de angelägenheter som fullmakten avser. Framtidsfullmakten avser alltså det förhållandet att fullmaktsgivaren i en situation som uppstår längre fram, i fram- tiden, kan sköta sina angelägenheter. Framtidsfullmakten kan omfatta huvudmannens ekonomiska och personliga angelägen- heter. Till personliga angelägenheter hör bl.a. att hjälpa fullmakts- givaren i dennes kontakter med hälso- och sjukvården. Dock undan- tas i lagen om framtidsfullmakter åtgärder inom hälso- och sjukvård eller tandvård från det område som är möjligt att överlåta till en fullmaktshavare.14 Det är utredningens bedömning att inte heller lagen om framtidsfullmakter kan användas som ett fullgott alternativ för att patienter ska kunna utse någon som får elektronisk tillgång till deras patientuppgifter. Utredningen anser sammanfattningsvis inte att de alternativ som står till buds för att den som patienten utsett ska kunna ta del av patientuppgifter är tillfredställande. Det finns uppenbara fördelar med att vårdgivare får möjlighet att, i enlighet med patientens frivilliga medgivande, ge någon utanför hälso- och sjukvården som patienten känner personligen just elektronisk tillgång till patientuppgifter. 13Rättsläget har möjligen klarnat efter rättsfallet HFD 2020 ref. 50. Högsta förvaltnings- domstolen ansåg där att en förvaltare i egenskap av företrädare för en person, som varken kan begära ut handlingar eller häva sekretessen, under vissa förutsättningar har rätt att ta del av uppgifter som omfattas av sekretess till skydd för huvudmannen. 2016/17:30 s. 109 f. Ombuds elektroniska tillgång till vård- och omsorgsuppgifter Utredningen har ovan redogjort för att det finns ett klart behov av och klara fördelar med att vårdgivare får möjlighet att, i enlighet med patientens frivilliga medgivande, ge någon utanför hälso- och sjukvården som patienten känner personligen elektronisk tillgång till patientuppgifter. Från ett integritetsperspektiv är det viktigt att möjligheten bara används i de fall som den är avsedd för så att den inte öppnar upp för vad som kan betecknas som missbruk av patient- uppgifterna. Att en vårdgivare ger någon elektronisk tillgång till patientuppgifter innebär att vårdgivaren behandlar personuppgifter i dataskyddsförordningens mening. Det är därför viktigt att de flesta allmänna principerna för behandling av personuppgifter i artikel 5.1 i dataskyddsförordningen beaktas, även om det enligt artikel 23 i dataskyddsförordningen är möjligt att i nationell rätt avvika från dessa under vissa förutsättningar. Enligt principen om uppgiftsminimering ska personuppgifterna vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (artikel 5.1 c i dataskyddsförord- ningen). Vidare ska personuppgifterna enligt principen om integritet och konfidentialitet behandlas på ett sätt som säkerställer lämplig säkerhet för personuppgifterna. I detta ingår skydd mot obehörig eller otillåten behandling, med användning av lämpliga tekniska eller organisatoriska åtgärder (artikel 5.1 f i dataskyddsförordningen). Observera att det alltid är den personuppgiftsansvarige, dvs. vård- givaren, som ansvarar för och ska kunna visa att principerna i artikel 5.1 i dataskyddsförordningen efterlevs (principen om ansvars- skyldighet, artikel 5.2 i dataskyddsförordningen). Utredningen anser att en grundförutsättning för att någon utan- för hälso- och sjukvården ska få ges elektronisk tillgång till patient- uppgifter är att detta är ett uttryck för patientens verkliga och fria vilja. Det ska således helt och hållet bygga på frivillighet från patien- tens sida att lämna ett medgivande. I förarbetena till patientdatalagen angavs att ett vanligt sätt att beskriva begreppet personlig integritet i samband med informationshantering är att den enskilde ska kunna kontrollera spridningen av uppgifter om sig själv eller ha en rätt att bestämma vilka uppgifter om sig själv som han eller hon vill dela med sig till andra.15 Utredningen gör bedömningen att patientens intresse 2007/08 126 s. 110. Ombuds elektroniska tillgång till vård- och omsorgsuppgifter av självbestämmande i fråga om vilka utanför hälso- och vården som har elektronisk tillgång i sig väger tungt. Detta är också och i linje med intentionerna bakom hälso- och sjukvårdslagen i fråga om själv- bestämmande och frivillighet. Det ligger även i dataskyddsförord- ningens anda att använda den registrerades inställning till behand- lingen som en integritetsstärkande åtgärd. Observera att enligt utredningens bedömning är samtycke inte i sig den rättsliga grunden för vårdgivarens behandling av person- uppgifter i dataskyddsförordningens mening. Den rättsliga grunden beskrivs närmare i avsnitt 6.6. När utredningen talar om patientens medgivande eller samtycke i detta sammanhang handlar det dels om samtycke till att efterge sekretesskyddet som annars gäller för upp- gifterna, dels om samtycke som en integritetsstärkande åtgärd. För att minska risken för kringgående av regelverken om hälso- och sjukvårdspersonalens elektroniska tillgång, om forskning som innefattar behandling av känsliga personuppgifter och om för- säkringsbolags möjligheter att få tillgång till uppgifter om hälso- tillstånd bör bara fysiska personer som patienten uppger sig känna personligen, ges elektronisk tillgång till patientuppgifter. Juridiska personer, såsom kommersiella aktörer, bör således inte få ges elektro- nisk tillgång. Genom kravet på att patienten ska uppge sig känna den fysiska personen personligen motverkas i viss mån risken för att hälso- och sjukvårdspersonal, forskare, juridiska personer via bulvaner och enskilda näringsidkare ges elektronisk tillgång. Det är dock inte meningen att vårdgivaren i varje enskilt fall ska kontrollera eller godkänna personen ”på förhand”. Tanken är att patienten, genom att t.ex. kryssa i en ruta i webb-gränssnittet, uppger sig känna den fysiska personen som den vill ge elektronisk tillgång personligen. Därmed får vårdgivaren göra patientuppgifterna elektroniskt till- gängliga för den som patienten uppgett sig känna personligen. Det är viktigt att säkerställa att ett lämnat medgivande verkligen ger uttryck för patientens fria vilja, och inte är ett utslag av exempel- vis påtryckningar. Frågan är då hur man på ett väl avvägt sätt kan säkerställa att medgivandet ger uttryck för patientens verkliga fria vilja, som man uppnår syftet med att införa möjligheten att ge elektronisk tillgång, nämligen att underlätta för patienter att låta någon hjälpa dem i deras vårdprocesser. I förarbetena till sekretesslagstiftningen angavs att det, trots risken för påtryckningar, inte kunde komma i fråga att annat än i Ombuds elektroniska tillgång till vård- och omsorgsuppgifter rena undantagsfall genom särskilda föreskrifter frånkänna personens samtycke rättsverkan. Att en myndighet under hänvisning till den enskildes bästa skulle vägra att beakta dennes samtycke kan enligt förarbetena i längden medföra större skadeverkningar genom en osäkerhetskänsla hos den enskilde och den rubbning av förtroendet till myndigheterna som mestadels blir följden. I förarbetena fram- hölls dock att en myndighet givetvis inte behöver ta hänsyn till ett samtycke som efter vad som framgår saknar giltighet som rätts- handling enligt allmänna regler.16 Dessa förarbetsuttalanden måste ses mot bakgrund av den grundlagsfästa offentlighetsprincipen som sekretesslagstiftningen utgör preciserade undantag från. Att efterge (häva) sekretessen innebär att den grundlagsfästa och därmed över- ordnade offentlighetsprincipen får ett större genomslag. Om man inför en möjlighet, men ingen skyldighet, för vårdgivare att ge elek- tronisk tillgång, får vårdgivaren fritt välja om denne i det enskilda fallet vill ge sådan tillgång eller låta den fortgå. Den som fullgör offentliga förvaltningsuppgifter har dock att följa regeringsformens krav på att iaktta saklighet och opartiskhet och beakta allas likhet inför lagen. Utredningens uppdrag är som nämnts begränsat till att se över möjligheterna att ge elektronisk tillgång. En tänkbar metod för att bedöma medgivandets frivillighet är att vårdgivaren, när en patient ger uttryck för att den önskar medge någon elektronisk tillgång, kallar patienten till någon form av besök eller samtal med legitimerad hälso- och sjukvårdspersonal för att innan den elektroniska tillgången ges, försöka utröna om ett lämnat medgivande verkligen ger uttryck för patientens fria vilja. Under förutsättning att hälso- och sjukvårdspersonalen har insyn i patientens situation och hemförhållanden skulle det kunna bidra till att man säkerställer att medgivandet är frivilligt. För en stor majori- tet av patienterna torde det dock handla om en verklig och fri vilja att medge någon elektronisk tillgång. En sådan generell förhands- kontroll, där frågor behöver ställas kring hemförhållanden och rela- tioner till närstående, skulle också i sig kunna upplevas som integ- ritetskränkande av många patienter och närstående. Det skulle även fördröja processen och öka vårdgivarens administrativa börda, vilket i sin tur skulle riskera att vårdgivare väljer att inte använda möjlig- heten att ge elektronisk tillgång. Det kan också ifrågasättas om en sådan generell förhandskontroll är ett proportionerligt medel för att 1979/80:2 Del A s. 329. Ombuds elektroniska tillgång till vård- och omsorgsuppgifter En kontrollerande anhörig som önskar få tillgång till patientuppgifter kan, som beskrivits tidigare, använda olika metoder för att bereda sig tillgång till uppgifterna. Utredningen anser att vårdgivarens möjlighet till kontroll i stället bör komma till uttryck genom att hälso- och sjukvårdspersonal ska vara skyldig att till vårdgivaren genast anmäla misstankar om att patientens medgivande inte ger uttryck för dennes fria vilja. En sådan anmälan ska göras närhelst en misstanke om detta uppstår. Därmed får vårdgivaren möjlighet att utreda om misstanken är befogad och överväga om den elektroniska tillgången ska avbrytas. På motsvarande sätt bör hälso- och sjukvårdspersonal vara skyl- dig att till vårdgivaren genast anmäla misstankar om att patienten inte känner den som getts elektronisk tillgång personligen. Därmed får vårdgivaren möjlighet att utreda om patientens uppgift om att denne känner den fysiska personen är riktig och överväga om den elektroniska tillgången ska avbrytas. Även genom kontroller av vilka fysiska personer som getts elektronisk tillgång till många olika patienters uppgifter kan vårdgivaren få indikationer på att patien- terna inte känner den som getts elektronisk tillgång personligen. Elektronisk tillgång får enligt förslaget ges bara om patienten medger det. Det innebär en integritetsstärkande åtgärd att patienten när som helst, av vilken orsak som helst och på vilket sätt som helst kan ta tillbaka sitt medgivande med följd att vårdgivaren genast måste avsluta den elektroniska tillgången. Det kan emellertid inträffa att den som lämnat ett medgivande blir oförmögen att ta tillbaka det. För att vårdgivaren ska uppmärksamma att så har blivit fallet och kunna överväga om den elektroniska tillgången bör få fortsätta, före- slås att hälso- och sjukvårdspersonalen ska vara skyldig att anmäla misstankar om att patienten kan lämna ett medgivande, dvs. Vårdgivaren ges genom förslaget en möjlighet att, i enlighet med patientens medgivande, ge någon utanför hälso- och sjukvården elektronisk tillgång till patientuppgifter. Det ska alltså inte vara fråga om en rättighet, för patienten eller den som patienten medgett elek- tronisk tillgång, att någon ges elektronisk tillgång. En vårdgivare kan således välja att överhuvudtaget avstå från att ge elektronisk tillgång. Vårdgivaren kan som nämnts också i ett enskilt fall neka eller avsluta 17Se avsnitt 6.4.5 om utredningens närmare överväganden när det gäller personer med varaktigt nedsatt beslutsförmåga. Ombuds elektroniska tillgång till vård- och omsorgsuppgifter sådan tillgång, om tillgången t.ex. med anledning av en anmälan inte (längre) bedöms lämplig och det är förenligt med regeringsformens krav på saklighet och opartiskhet. En vårdgivare kan även på förhand göra bedömningen att det exempelvis inte framstår som lämpligt att ge elektronisk tillgång till vissa typer av patientuppgifter, t.ex. sådana som en psykiatrisk klinik registrerat, eller att sådan tillgång bör ges bara till patientuppgifter om äldre och personer med funktionsned- sättningar eller om personer som är inlagda på sjukhus. Under förut- sättning att kraven på saklighet och opartiskhet följs kan vårdgivare ta fram rutiner för hur tilldelning av elektronisk tillgång ska gå till och exempelvis välja att införa rutiner för vilken typ av patient- uppgifter som får omfattas av den elektroniska tillgången. En annan farhåga med att ge någon annan elektronisk tillgång till patientuppgifter är att denne skulle komma att ta del av för mycket information, exempelvis inaktuella journalanteckningar som ligger långt bakåt i tiden. Det kan handla om exempelvis uppgifter från för- lossning, vistelser inom psykiatrisk vård eller andra känsliga upp- gifter som registrerats för länge sedan. Syftet med att införa en möjlighet att låta någon annan ha elektronisk tillgång till patient- uppgifter är, utifrån utredningens perspektiv, att kunna bistå i vården ”här och ”. Tanken är inte att möjligheten ska användas för att kringgå sekretessbestämmelser och läsa gamla patientjournaler som inte har något att göra med patientens nuvarande situation. En integritetsstärkande åtgärd för att minimera denna risk är att patienten ska kunna begränsa den elektroniska tillgången till upp- gifter registrerade efter ett visst datum eller vid en viss vårdenhet hos vårdgivaren, t.ex. ett sjukhus, en sjukhusavdelning eller en klinik. Patienten ska kunna medge elektronisk tillgång endast till patient- uppgifter registrerade från och med ett visst datum, t.ex. den dag medgivandet lämnas eller något tidigare eller senare datum. En sådan begränsning ska patienten kunna begära, ändra eller upphäva när som helst och av vilket skäl som helst. Det är alltså patienten som ska få välja vilka patientuppgifter denne vill att någon annan ska ha elek- tronisk tillgång till. Detta framstår som förenligt med dataskydds- förordningens princip om uppgiftsminimering. är det förenligt med grundprincipen om att patientens fria vilja och själv- bestämmande ska respekteras. Såvitt utredningen har förstått fanns tidigare motsvarande spärr- möjligheter i den ombudsfunktion som Inera administrerade. Ombuds elektroniska tillgång till vård- och omsorgsuppgifter Utredningen anser dock att det bör komma till uttryck i lagen att så ska kunna ske. På så vis blir det ännu tydligare att det är patienten som förfogar över vilka uppgifter denne vill medge elektronisk till- gång till. Förslaget innebär ingen inskränkning av principen om integritet och konfidentialitet och bestämmelserna om säkerhetsåtgärder i dataskyddsförordningen. En förutsättning för att ge elektronisk tillgång är således att den kan ske på ett säkert sätt, t.ex. genom säker inloggning med e-legitimation, säker överföring av personuppgifter, säker separation av olika patienters uppgifter så att det bara ges elek- tronisk tillgång till avsedda uppgifter och så att den som getts elektronisk tillgång under inga förhållanden kan ändra eller tillföra patientuppgifter. Tanken är alltså inte att den som getts elektronisk tillgång ska kunna vidta några aktiva åtgärder, som att boka eller avboka tider eller begära receptförnyelse för patientens räkning. En annan integritetsstärkande åtgärd är att patienten när som helst ska kunna ta tillbaka sitt medgivande, vilket vårdgivaren får förutsättas kunna hantera på ett smidigt sätt. Exempelvis bör det kunna ske genom att patienten legitimerar sig genom att logga in på webb-tjänsten med sitt bank-id och kryssar i att behörigheten ska spärras eller liknande. Då ska behörigheten att få elek- tronisk tillgång till patientuppgifter avslutas. Även när en patient på annat sätt kontaktar vårdgivaren och meddelar att denne inte längre vill att någon ska ha elektronisk tillgång till patientuppgifter ska detta respekteras. Några skäl behöver inte uppges. Funktionen ska alltså helt och hållet bygga på att det är frivilligt från patientens sida att låta någon ha elektronisk tillgång till patientuppgifter. Genom att patienten när som helst kan ta tillbaka sitt medgivande och häva behörigheten säkerställs att behörigheten bygger på fri- villighet från patientens sida. Ombuds elektroniska tillgång till vård- och omsorgsuppgifter 6.2.5Avvägning mellan behov och integritetsrisker Utredningens bedömning: Behoven av och fördelarna med att vårdgivare får möjlighet att, i enlighet med patientens frivilliga medgivande, ge någon utanför hälso- och sjukvården som patien- ten känner personligen elektronisk tillgång till patientuppgifter överväger integritetsriskerna. Detta förutsätter dock att vissa integritetsstärkande bestämmelser införs. Rätten till skydd för den personliga integriteten är inte absolut utan kan inskränkas. Rättigheten måste förstås utifrån sin kontext i samhället och vägas mot andra grundläggande rättigheter utifrån en proportionalitetsbedömning (skäl 4 till dataskyddsförordningen). För att det ska vara motiverat att införa utvidgade möjligheter till informationsdelning måste behovet av behandlingen av person- uppgifterna väga tyngre än den enskildes intresse av skydd för den personliga integriteten. En annan aspekt av den personliga integ- riteten är att den enskildes vilja ska respekteras. Om en patient frivilligt medger att någon som denne uppger sig känna personligen får elektronisk tillgång till patientens uppgifter, finns det enligt utredningens mening mycket som talar för att detta som utgångspunkt ska respekteras. Det ligger i linje med de grund- läggande kraven i hälso- och sjukvårdslagen (2017:30) och patient- lagen (2014:821) om att verksamheten ska bygga på respekt för patientens självbestämmande och integritet. Det är även förenligt med dataskyddsförordningen. godtas att hälso- och sjukvårdspersonal hos en vårdgivare med patientens samtycke ges elektronisk tillgång till patientuppgifter hos en annan vårdgivare för vården av patienten. Att införa en möjlighet för vårdgivare att, i enlighet med patien- tens frivilliga medgivande, ge någon utanför hälso- och sjukvården som patienten känner personligen elektronisk tillgång till patient- uppgifter skulle underlätta för många patienter som utan hjälp har svårt att vara delaktiga i sin vård. Det skulle också underlätta för när- stående som vill hålla sig löpande informerade om och hjälpa till i vården av exempelvis sina gamla föräldrar. Utredningen har även fått information om att anhörigvårdare och andra närstående hjälper sina anhöriga genom att ”låna” deras e-legitimation och där- med får elektronisk tillgång till patientuppgifter, låt vara att det Ombuds elektroniska tillgång till vård- och omsorgsuppgifter sker utan lagstöd och förmodligen står i strid med villkoren för användningen av e-legitimationen. Med en åldrande befolkning och allt större fokus på primärvård och vård i hemmet blir anhöriga en viktig resurs i vården och omsorgen. Därför anser utredningen att det finns ett stort och välmotiverat behov av att vårdgivare, i enlighet med patientens frivilliga medgivande, kan ge någon utanför hälso- och sjukvården som patienten känner personligen elektronisk till- gång till patientuppgifter. När det gäller risken för att den som får elektronisk tillgång och som normalt sett inte omfattas av lagstadgad tystnadsplikt sprider patientuppgifterna vidare på ett sätt som patienten inte vill kan följande noteras. Patienten har rätt att ge andra som inte har tystnadsplikt tillgång till uppgifterna muntligt eller på papper genom att efterge sekretess eller genom att själv berätta för personen. Den elektroniska användningen av personuppgifterna för obehörig vidarespridning omfattas – i praktiken hindras – normalt av data- skyddsförordningen. Detta gäller dock inte om det är fråga om sådan s.k. rent privat behandling av personuppgifter som avses i artikel 2.2 c i dataskyddsförordningen. Patienten har dock alltid möjlighet att uttryckligen avtala med den som har elektronisk tillgång om tyst- nadsplikt, och sanktioner vid brott mot tystnadsplikten, innan den elektroniska tillgången medges. Patienten har vidare i förhållande till offentliga vårdgivare, enligt 12 kap. 2 § andra stycket offentlighets- och sekretesslagen (2009:400) (OSL), möjlighet att göra sitt med- givande beroende av att hälso- och sjukvårdsmyndigheten gör ett s.k. sekretessförbehåll som vid straffansvar skapar en tystnadsplikt för mottagaren. Genom förbehållet inskränks mottagarens rätt att lämna uppgifter vidare eller utnyttja dem.