sou · H9B339 · 2022-01-01 00:00:00 — Tanken är dock inte att hälso- och sjukvårdspersonalen aktivt ska söka efter information, men får de ändå t.ex. i sitt vårdarbete infor- mation som gör att en misstanke kan uppstå är de skyldiga att anmäla det till vårdgivaren. På motsvarande sätt bör hälso- och sjukvårdspersonal vara skyl- dig att till vårdgivaren genast anmäla om det uppstår misstankar om att patienten inte känner den som getts elektronisk tillgång person- ligen. En sådan anmälan gör det möjligt för vårdgivaren att utreda om patientens uppgift om att denne känner den fysiska personen är riktig och överväga om den elektroniska tillgången ska avbrytas. Även genom kontroller av vilka fysiska personer som getts elek- tronisk tillgång till patienters uppgifter kan vårdgivaren få indika- tioner på att patienterna inte känner den som getts elektronisk till- gång personligen. Om en fysisk person getts elektronisk tillgång till många patienters uppgifter, kan det tyda på att det finns kommersiella eller andra intressen som ligger bakom den elektroniska tillgången, vilket bör föranleda att den elektroniska tillgången avslutas. Det kan även inträffa att den som lämnat ett medgivande senare blir oförmögen att ta tillbaka det. För att vårdgivaren ska uppmärk- samma att så har blivit fallet och kunna överväga om den elektro- niska tillgången bör fortsätta bör hälso- och sjukvårdspersonalen vara skyldig att anmäla misstankar om att patienten varaktigt kan lämna ett medgivande, dvs. är varaktigt beslutsoförmögen. Det kan t.ex. handla om en äldre patient vars tillstånd ändrats så att Ombuds elektroniska tillgång till vård- och omsorgsuppgifter den nu uttrycker att den inte längre vill att barnen ska ha elektronisk tillgång till patientuppgifterna. Det kan även vara fråga om en patient som blivit dement och inte längre känner igen sina släktingar, och ger uttryck för att den inte vill ha med dessa att göra. En anmälan ska göras närhelst en misstanke uppstår. Detta är avgörande för att vårdgivaren ska kunna utöva sitt personuppgifts- ansvar och säkerställa att medgivandet är frivilligt och aktuellt. Redan om det finns anledning till misstanke, ska en anmälan göras. Det finns inget formkrav för anmälan, men vårdgivaren kan lämna instruktioner till sin personal om hur anmälan ska göras. Anmälan ska innehålla uppgift om vem patienten är och vilka omständigheter som lett fram till misstanken. Avsikten är inte att hälso- och sjuk- vårdspersonalen ska efterforska saken närmare genom att ta del av hela patientjournalen eller samla in ytterligare uppgifter. Om hälso- och sjukvårdspersonal anmäler att det finns anledning till misstanke, ankommer på vårdgivaren att hantera och i förekommande fall utreda detta. Genom att anmälan görs , får vård- givaren möjlighet att utreda om misstanken är befogad och överväga om den elektroniska tillgången ska avslutas. Utredningen anser inte att anmälan i sig är en sådan uppgift som behöver journalföras. Det får förutsättas att vårdgivaren skapar rutiner för hur hälso- och sjukvårdspersonalen ska kunna göra en anmälan samt hur anmälan ska dokumenteras. Om så bedöms lämp- ligt, finns det inget som hindrar att utfärdar allmänna råd om hur anmälningsskyldigheten kan utövas. Som beskrivs i avsnitt 6.4.5 måste den elektroniska tillgången inte avslutas för att patienten blivit varaktigt beslutsoförmögen. Kravet är alltså endast att en anmälan ska göras vid misstanke, så att vård- givaren får möjlighet att utreda om det kan finnas skäl att avsluta den elektroniska tillgången. Utredningens förslag: Regeringen eller den myndighet som reger- ingen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om de krav på säkerhetsåtgärder som ska gälla vid den elektroniska tillgången. Ombuds elektroniska tillgång till vård- och omsorgsuppgifter Det kan finnas behov av föreskrifter om säkerhetsåtgärder vid den elektroniska tillgången motsvarande dem som kan meddela enligt 5 kap. 5 § patientdatalagen och 2 § patientdata- förordningen (2008:360). Det anges även i dataskyddsförordningen att den personuppgiftsansvarige ska genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behand- lingen utförs i enlighet med dataskyddsförordningen (artikel 24). Frågan är om det är nödvändigt med en reglering eller ett bemyn- digande i lag för att säkerhetsföreskrifter ska kunna utfärdas. Föreskrifter ska meddelas av genom lag om de avser åligganden för kommuner (8 kap. 2 § 3 regeringsformen). Också föreskrifter om skyldigheter för enskilda ska meddelas av genom lag (8 kap. 2 § 2 regeringsformen). kan dock, med vissa inte här aktuella undantag, bemyndiga regeringen att meddela sådana föreskrifter (8 kap. 3 § regeringsformen). kan då också medge att regeringen bemyndigar en förvaltningsmyndighet att meddela föreskrifter i ämnet (8 kap. 10 § regeringsformen). Regeringen får enligt 8 kap. 7 § regeringsformen meddela före- skrifter som inte enligt grundlag ska meddelas av och före- skrifter om verkställighet av lag. Enligt 8 kap. 11 § regeringsformen får regeringen bemyndiga en myndighet under regeringen att med- dela föreskrifter enligt 8 kap. 7 § regeringsformen. Enligt patientdatalagen är utlämnande genom direktåtkomst till personuppgifter tillåten endast i den utsträckning som anges i lag eller förordning (5 kap. 4 § första stycket PDL). Den föreslagna bestämmelsen om elektronisk tillgång utgör således såvitt avser direktåtkomst ett undantag från ett i lag angivet förbud, som det är frivilligt att använda sig av. När det gäller utlämnande genom direkt- åtkomst införs alltså en möjlighet för vårdgivare att lämna ut upp- gifter på ett sätt som annars inte vore tillåtet. Föreskrifterna kan, på grund av att det handlar om en frivillig möjlighet att använda undan- taget från det lagstadgade förbudet, inte sägas avse några åligganden för kommuner eller några skyldigheter för enskilda när det gäller direktåtkomst. Den som frivilligt använder sig av den möjligheten måste dock följa de säkerhetsföreskrifter som kan ha meddelats av regeringen eller bemyndigad myndighet. Det finns däremot inget generellt lagstadgat förbud mot annat elektroniskt utlämnande än direktåtkomst. Annat elektroniskt utläm- nande än direktåtkomst är således inte förbjudet utan får ske. Ombuds elektroniska tillgång till vård- och omsorgsuppgifter Den föreslagna bestämmelsen kan därmed ses som en inskränkning av den handlingsfrihet som finns . De krav på säkerhetsåtgärder som ska gälla vid annat elektroniskt utlämnande än direktåtkomst får därför anses vara åligganden för kommuner och skyldigheter för en- skilda. Å andra sidan finns det redan enligt dataskyddsförordningen, bl.a. artikel 32.1, generella krav på säkerhetsåtgärder vid behandling av personuppgifter såsom utlämnande av dem. Det är möjligt för regeringen att enligt 8 kap. 7 § regeringsformen meddela föreskrifter om verkställighet av EU-förordningar.29 Det får enligt utredningens bedömning här ses som sådana föreskrifter om verkställighet som regeringen, utan särskilt bemyndigande, får meddela. Därför behövs det inte ett bemyndigande i lag för att regeringen eller den myndig- het som regeringen bestämmer ska få meddela föreskrifter om de krav på säkerhetsåtgärder som ska gälla vid annat elektroniskt utläm- nande än direktåtkomst. Regeringen eller den myndighet som regeringen bestämmer kan alltså meddela föreskrifter om de krav på säkerhetsåtgärder som ska gälla vid den elektroniska tillgången. En upplysning om detta bör för tydlighets skull finnas i patientdatalagen. 1999/2000:126 s. 135 f. Ombuds elektroniska tillgång till vård- och omsorgsuppgifter 6.5Möjlighet att ge ombud elektronisk tillgång till sammanhållen vård- och omsorgsdokumentation Utredningens förslag: Om patienten eller omsorgsmottagaren medger det får en vård- eller omsorgsgivare ge en annan fysisk person, som patienten eller omsorgsmottagaren uppger sig känna personligen, tillgång genom direktåtkomst eller annat elektro- niskt utlämnande till sammanhållen vård- och omsorgsdokumen- tation och kvalitetsuppföljning. Sådan tillgång ska på patientens eller omsorgsmottagarens begäran kunna begränsas till uppgifter registrerade efter ett visst datum eller vid en viss organisatorisk enhet. Om någon inom hälso- och sjukvårdspersonalen eller som ut- för arbetsuppgifter inom får anledning att miss- tänka att patientens eller omsorgsmottagarens medgivande inte ger uttryck för patientens eller omsorgsmottagarens fria vilja eller att patienten eller omsorgsmottagaren varaktigt är i stånd att lämna ett medgivande, är denne skyldig att genast anmäla detta till den vård- eller omsorgsgivare som gett tillgången. Mot- svarande gäller om misstanken avser att patienten eller omsorgs- mottagaren inte känner den som fått tillgång personligen. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om de krav på säkerhetsåtgärder som ska gälla vid sådan elektro- nisk tillgång. Det ingår i och för sig inte i utredningens uppdrag att se över möjlig- heterna att införa någon allmän möjlighet för enskilda att utse ett ombud som kan få tillgång till dokumentation. I avsnitt 6.2.6 har utredningen emellertid kommit fram till att de behov och fördelar som utredningen redogjort för när det handlar om att, i enlighet med patientens frivilliga medgivande, ge någon utanför hälso- och sjukvården som patienten känner personligen elektronisk tillgång till patientuppgifter, gör sig gällande på mot- svarande sätt i fråga om omsorgsgivares dokumentation i samman- hållen vård- och omsorgsdokumentation. Därför föreslår utred- ningen att en ny bestämmelse ska tas in i den i delbetänkandet före- slagna lagen om sammanhållen vård- och omsorgsdokumentation Ombuds elektroniska tillgång till vård- och omsorgsuppgifter Bestämmelsen medför att någon annan får ges elektronisk tillgång till uppgifter om omsorgsmottagare i social- tjänsten i de fall uppgifterna ingår i sammanhållen vård- och omsorgs- dokumentation. Det ska framhållas att det är uppgifter om äldre och personer med funktionsnedsättningar som får vissa insatser, som får ingå i sammanhållen vård- och omsorgsdokumentation. Det handlar om personer med ett sammansatt vård- och omsorgsbehov som ofta får insatser från både hälso- och sjukvården och . Detta är de grupper där det troligen finns stort behov av hjälp av en närstående med kontakterna med både vården och omsorgen. Den person som den enskilde utser, bör således kunna ges elektronisk tillgång till den sammanhållna vård- och omsorgs- dokumentationen, oavsett om uppgifterna härrör från hälso- och sjukvårdens eller från dokumentation. Bestämmelsen om elektronisk tillgång i den föreslagna lagen om sammanhållen vård- och omsorgsdokumentation och kvalitetsupp- följning bör ha motsvarande innebörd och utformning som den föreslagna bestämmelsen om elektronisk tillgång i patientdatalagen. Utredningen hänvisar därför i denna del till sina överväganden i avsnitt 6.4 ovan. Här är det dock i stället uppgifter som ingår i sam- manhållen vård- och omsorgsdokumentation och beskrivs i 13 § första stycket i den förslagna lagen om sammanhållen vård- och omsorgsdokumentation och kvalitetsuppföljning som omfattas. För den närmare innebörden av sammanhållen vård- och omsorgsdoku- mentation hänvisas till kapitel 16 i delbetänkandet. Där förklaras ingående vad som avses med omsorgsmottagare, omsorgsgivare, vilka uppgifter som får ingå i sammanhållen vård- och omsorgsdoku- mentation och vilka insatser som omfattas. Till skillnad från i den föreslagna bestämmelsen i patientdata- lagen, där utredningen använder begreppet ”enskild”, föreslås här att den enskilde beskrivs med begreppen patienten eller omsorgs- mottagaren. Detta för att anknyta till de begrepp som används i de föreslagna bestämmelserna om sammanhållen vård- och omsorgs- dokumentation. Det krävs dock inte att personen har en aktuell patientrelation eller en pågående omsorgsinsats för att kunna lämna sitt medgivande till att en annan fysisk person som denne känner personligen får elektronisk tillgång till uppgifterna. Ombuds elektroniska tillgång till vård- och omsorgsuppgifter Utlämnande bör få ske genom direktåtkomst eller annat elektro- niskt utlämnande, se motiveringen ovan i avsnitt 6.4.6. Utlämnandet får bara avse sådana uppgifter om patienten eller omsorgsmottagaren själv som får lämnas ut till honom eller henne och som en annan vård- eller omsorgsgivare får ha tillgång till genom sammanhållen vård- och omsorgsdokumentation. En vård- eller omsorgsgivare får således enligt den föreslagna bestämmelsen bara ge elektronisk till- gång till uppgifter som denne själv har dokumenterat och gjort tillgängliga för andra vård- och omsorgsgivare och inte till uppgifter hos andra vård- och omsorgsgivare som vård- eller omsorgsgivaren bara har tillgång till genom sammanhållen vård- och omsorgsdoku- mentation. Det kan dock antas att de allra flesta vård- och omsorgs- givare kommer att anlita ett och samma personuppgiftsbiträde för att hantera den elektroniska tillgången. Därmed bör patienten eller omsorgsmottagaren i praktiken kunna ges en enkel möjlighet att medge elektronisk tillgång till uppgifter hos alla vård- eller omsorgs- givare som anlitat samma personuppgiftsbiträde. På motsvarande sätt som beskrivits i avsnitt 6.4.7 bör den elektroniska tillgången på patientens eller omsorgsmottagarens begäran kunna begränsas till uppgifter registrerade efter ett visst datum eller vid en viss organi- satorisk enhet. Med ”organisatorisk enhet” är tanken att det är vård- eller omsorgsgivaren själv som avgör vilka organisatoriska enheter den har och gränserna mellan dem. Det bör också här finnas en skyldighet att genast anmäla till den vård- eller omsorgsgivare som gett tillgången, om någon inom hälso- och sjukvårdspersonalen eller som utför arbetsuppgifter inom social- tjänsten får anledning att misstänka att patientens eller omsorgs- mottagarens medgivande inte ger uttryck för patientens eller omsorgsmottagarens fria vilja. Hälso- och sjukvårdspersonalen ska även anmäla om den får misstanke om att patienten eller omsorgsmot- tagaren är i stånd att lämna ett medgivande eller om miss- tanken avser att patienten eller omsorgsmottagaren inte känner den som fått tillgång personligen. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om säkerhetsåtgärder vid elektronisk tillgång. En upplysning om detta bör tas in i lagen. Se avsnitt 16.13.2 i delbetänkandet och avsnitt 6.4.9 för närmare motivering. Ombuds elektroniska tillgång till vård- och omsorgsuppgifter föreslagna lagen om sammanhållen vård- och omsorgs- dokumentation och kvalitetsuppföljning bör det upplysas om att det ipatientdatalagen finns ytterligare bestämmelser om elektronisk till- gång för patienten och andra till uppgifter hos vårdgivare om patien- ten själv. Utredningens bedömning: Det är förenligt med dataskydds- förordningen att införa bestämmelser i svensk rätt som ger vård- och omsorgsgivare möjlighet att, i enlighet med ett frivilligt med- givande, ge någon utanför vården och omsorgen som patienten eller omsorgsmottagaren känner personligen elektronisk tillgång till patientuppgifter och sammanhållen vård- och omsorgsdoku- mentation. Den rättsliga grunden för att behandla personuppgifterna är, i vart fall, utförandet av en arbetsuppgift av allmänt intresse enligt artikel 6.1 e i dataskyddsförordningen. Stödet för att behandla känsliga personuppgifter finns i artikel 9.2 h i dataskyddsförord- ningen. En förutsättning för att införa bestämmelser som ger vård- och omsorgsgivare möjlighet att, i enlighet med ett frivilligt medgivande, ge någon utanför vården och omsorgen som patienten eller omsorgs- mottagaren känner personligen elektronisk tillgång till patientupp- gifter och sammanhållen vård- och omsorgsdokumentation är att detta är förenligt med dataskyddsförordningen. I kapitel 4 i delbetän- kandet har utredningen gjort en genomgång av dataskyddsförord- ningen, bl.a. om vad som utgör behandling av personuppgifter, vad som är en rättslig grund för att behandla personuppgifter och de särskilda förutsättningar som krävs för att få behandla känsliga personuppgifter. I avsnitt 15.3 i delbetänkandet har utredningen redogjort för sina bedömningar om sammanhållen vård- och omsorgs- dokumentation och kvalitetsuppföljning och förhållandet till data- skyddsförordningen. Utredningen hänvisar till kapitel 4 respektive Ombuds elektroniska tillgång till vård- och omsorgsuppgifter avsnitt 15.3 i delbetänkandet för en fylligare genomgång av kravet på rättslig grund enligt dataskyddsförordningen. 6.6.2Vård- och omsorgsgivares behandling av personuppgifterna Rättslig grund för behandlingen För att en behandling av personuppgifter ska vara tillåten, behöver den stödja sig på (minst) en av de rättsliga grunder som räknas upp i artikel 6.1 i dataskyddsförordningen (jfr avsnitt 4.6 i delbetän- kandet). Av artikel 4 i dataskyddsförordningen framgår att utläm- ning genom överföring är en form av behandling av personuppgifter. Utlämnandet utgör således i sig en behandling av personuppgifter i dataskyddsförordningens mening, och måste därför ha en rättslig grund i artikel 6.1 i dataskyddsförordningen. Den rättsliga grunden för att myndigheter ska få behandla person- uppgifter är i regel att det är nödvändigt för att utföra en arbets- uppgift av allmänt intresse (artikel 6.1 e i dataskyddsförordningen) alternativt fullgöra en rättslig förpliktelse (artikel 6.1 c i dataskydds- förordningen).30 Regeringen har uttalat att sådan verksamhet som en statlig eller myndighet bedriver inom ramen för sin befogenhet är ett allmänt intresse.31 Det står vidare klart att hälso- och sjukvård samt socialtjänst, inklusive den behandling av person- uppgifter som är nödvändig för att utföra arbetsuppgifterna, är sådana allmänna intressen som avses i artikel 6.1 e i dataskydds- förordningen.32 Den behandling av personuppgifter som sker inom hälso- och sjukvården genom insamling och sedermera dokumentation i patient- journal har stöd i ändamålsbestämmelsen i 2 kap. 4 § 1 och 2 samt 3 kap. patientdatalagen om skyldigheten att dokumentera i patient- journal. Detta bygger i sin tur, enligt utredningens och tidigare utred- ningars bedömning, på (i vart fall33) den rättsliga grunden rättslig förpliktelse (artikel 6.1 c i dataskyddsförordningen). 2017/18:105 s. 57 och SOU 2021:4 s. 340 f. 2017/18:105 s. 57. 32Jfr delbetänkandet avsnitt 4.6 samt där redovisade förarbetsuttalanden. 33Regeringen har uttalat att flera rättsliga grunder kan vara tillämpliga i vissa situationer (prop. 2017/18:105 s. 57). Det får i det enskilda fallet ankomma på den personuppgiftsansvarige att – som alltid – klargöra med stöd av vilken rättslig grund som behandlingen sker. Ombuds elektroniska tillgång till vård- och omsorgsuppgifter gäller för den dokumentation som behöver utföra om enskilda med stöd av ändamålsbestämmelsen i 6 § lagen (2001:454) om behandling av personuppgifter inom (SoLPUL) och den dokumentationsskyldighet som finns i socialtjänstlagen.34 En fråga som då uppkommer är om utlämnandet av patientupp- gifter respektive sammanhållen vård- och omsorgsdokumentation i enlighet med patientens eller omsorgsmottagarens medgivande kan ses som ett utflöde av den rättsliga förpliktelsen att föra patient- journal och dokumentera inom eller om det snarare bör ses som en arbetsuppgift av allmänt intresse. Av 2 kap. 5 § patientdatalagen följer, att personuppgifter som behandlas för ändamål som anges i 4 § samma lag också får behandlas för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Behandling av personuppgifter för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller för- ordning enligt 2 kap. 5 § patientdatalagen utgör en rättslig förplik- telse (artikel 6.1 c i dataskyddsförordningen) om det sker på grund av en uppgiftsskyldighet. bedömde att, i den mån uppgiftslämnandet inte grundar sig på en skyldighet utan på en möjlighet att lämna uppgifter, får uppgiftslämnandet i stället anses utgöra en arbetsuppgift av allmänt intresse enligt artikel 6.1 e i dataskyddsförordningen.35 Av 6 § andra stycket SoLPUL framgår att personuppgifter får behandlas för uppgiftsutlämnande som föreskrivs i lag eller förord- ning. har uttalat att sådant uppgifts- utlämnande sker till följd av en rättslig förpliktelse och därmed har stöd i artikel 6.1 c i dataskyddsförordningen.36 I den mån uppgifts- lämnandet inte grundar sig på en skyldighet utan på en möjlighet att lämna uppgifter, anser utredningen att uppgiftslämnandet även här får anses utgöra en arbetsuppgift av allmänt intresse enligt artikel 6.1 e i dataskyddsförordningen. Som nämnts kommer utredningen endast att föreslå en frivillig möjlighet för vård- och omsorgsgivare att ge en fysisk person till- gång till uppgifterna. Det är således inte fråga om någon uppgifts- skyldighet. Därför är det enligt utredningens bedömning inte fråga om en rättslig förpliktelse. Genom att föreslå bestämmelser i patient- 34Jfr bedömning SOU 2017:66 s. 326 och 396 f. 35SOU 2017:66 s. 326 f. 36SOU 2017:66 s. 397. Ombuds elektroniska tillgång till vård- och omsorgsuppgifter datalagen och den i delbetänkandet föreslagna lagen om samman- hållen vård- och omsorgsdokumentation och kvalitetsuppföljning som stöd för att lämna ut uppgifterna, kommer det att finnas stöd – men inte någon skyldighet – i nationell rätt för att lämna ut personuppgifterna (jfr 2 kap. 5 § patientdatalagen respektive 6 § andra stycket SoLPUL). Vård- och omsorgsgivares behandling genom utlämnandet av patientuppgifter och vård- och omsorgs- dokumentation får, i detta sammanhang, ses som behandling av personuppgifter som sker för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag. Att utföra vården och omsorgen är en arbetsuppgift av allmänt intresse. Syftet med att låta patienter och omsorgsmottagare medge någon utanför vården och omsorgen elektronisk tillgång till upp- gifter är att öka patienters och omsorgsmottagares delaktighet i just vården och omsorgen. Den behandling av personuppgifter som sker genom utlämnandet i enlighet med patientens eller omsorgsgivarens medgivande är därför, enligt utredningens mening, nödvändig för att utföra en arbetsuppgift av allmänt intresse (artikel 6.1 e i dataskydds- förordningen). En annan rättslig grund som skulle kunna ligga nära till hands när det som här är fråga om att med stöd av patientens eller omsorgs- mottagarens medgivande lämna ut uppgifter, är att den registrerade har lämnat sitt samtycke till behandlingen. Samtycke som rättslig grund kan dock ofta inte användas av myndigheter när de fullgör sina arbetsuppgifter (skäl 43 till dataskyddsförordningen). Myndig- heternas utrymme för att grunda behandling på samtycke från den registrerade anses därför vara begränsat, i vart fall i sådana situationer där det är osannolikt att ett samtycke lämnas frivilligt.37 Den rättsliga grunden för att vård- och omsorgsgivare ska få behandla person- uppgifter med stöd av den bestämmelse som föreslås bör inte i första hand vara samtycke utan utförandet av en arbetsuppgift av allmänt intresse. Den registrerades medgivande till att ge en annan fysisk person elektronisk tillgång till uppgifterna får i första hand ses som en integritetsstärkande åtgärd. En annan sak är att den registrerades medgivande är en förutsättning för att häva den sekretess som råder för uppgifterna i förhållande till en person utanför hälso- och sjuk- vården eller , och som annars hade hindrat ett utläm- nande (se nedan avsnitt 6.7). 2017/18:105 s. 56. Ombuds elektroniska tillgång till vård- och omsorgsuppgifter Att registrera patientens medgivande till att ge en annan fysisk person elektronisk tillgång till patientuppgifter utgör i sig en behand- ling av personuppgifter.