sou · H9B339 · 2022-01-01 00:00:00 — Om fattat ett beslut om att ge elektronisk till- gång, är skyldig att ge den tillgång som beslutats. Avvägning mellan behov och integritetsrisker föreslog i remissyttrandet över delbetänkandet Bättre behörighetskontroll – Ändringar i förordningen (2006:196) om register över hälso- och sjukvårdspersonal (SOU 2012:42) att det i HOSP- förordningen skulle anges att får medge direktåtkomst för myndigheter som har ett behov av uppgifter i sin verksamhet och vars syfte med användningen av uppgifterna överensstämmer med ändamålen som anges i 4 och 5 §§ i förordningen. Skälet till detta uppgav vara att man identifierat att fler myndigheter än de i betänkandet föreslagna kan behöva direktåtkomst till HOSP- registret. Det kan enligt utredningens mening finnas flera fördelar med en sådan ordning. Myndighetsbeslut kan ändras enklare och smidigare än föreskrifter i förordning eller lag. En övergång till en ökad digi- talisering är också i linje med digitaliseringsstrategi.4 Reger- ingen har som övergripande mål att ska vara bäst i världen på att använda digitaliseringens möjligheter vilket kan antas leda till en ökad digitalisering av statsförvaltningen. Det kan därför förväntas att allteftersom statsförvaltningen digitaliseras kommer fler myndigheter att behöva smidig elektronisk tillgång till uppgifterna i HOSP-för- ordningen. Beslut om elektronisk tillgång för myndigheter till HOSP- registret kan därför komma att behöva fattas relativt ofta. 4Se t.ex. regeringens digitaliseringsstrategi, För ett hållbart digitaliserat – en digitaliserings- strategi, diarienummer: N2017/03643/D. Annan elektronisk tillgång till anser därför att en reglering genom myndighetsbeslut är att föredra framför den nuvarande ordningen med reglering i förordning. Eftersom olika myndigheter har behov av elektronisk tillgång till olika uppgifter för olika ändamål, är det en fördel för integritets- skyddet om besluten kan vara detaljerade. Detaljerade beslut ger då möjlighet att se till att ingen myndighet får elektronisk tillgång till större mängd uppgifter än vad myndigheten har behov av. Detta är i linje med principen om uppgiftsminimering i dataskyddsförord- ningen som anger att uppgifter ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (artikel 5.1 c). Ju fler detaljer som behöver fastslås, desto mer lämp- ligt är det med myndighetsbeslut i stället för en förordning. Utred- ningen anser även av denna anledning att myndighetsbeslut är att föredra framför den nuvarande ordningen med reglering i förordning. Utredningen gör dessutom i avsnitt 8.2 bedömningen att ut- lämnande av uppgifter från i första hand bör ske genom annat elektroniskt utlämnande än direktåtkomst. Om en möjlighet för att besluta om direktåtkomst eller annat elektroniskt utlämnande införs, skulle detta ge möjlighet för att anpassa den elektroniska tillgången till upp- gifterna i registret utifrån respektive mottagares behov även i detta avseende. Det blir då enklare att se till att en myndighet, även beträffande formen för tillgången, inte får mer omfattande tillgång än vad som är nödvändigt. Som utredningen redogör för i avsnitt 8.2.2 bör direktåtkomst bara tillåtas om behovet av just direktåtkomst överväger de särskilda integritetsrisker i förhållande till annan elektronisk tillgång som direktåtkomst innebär. Även tillgång genom annat elektroniskt utlämnande än direktåtkomst, som även den ger sammanställnings- möjligheter och möjligheter till enkel spridning av uppgifter, är för- knippad med vissa integritetsrisker. Enligt utredningens bedömning är de flesta uppgifterna i HOSP- registret inte särskilt integritetskänsliga. Det är som utredningen ser det egentligen bara uppgifterna i registret om återkallelse av legiti- mation, prövotid och begränsning av förskrivningsrätt som kan betecknas som integritetskänsliga eftersom de kan indikera att en person misskött sig eller åtminstone inte fullt ut har klarat sitt yrkes- ansvar. Även uppgiften om folkbokföringsort i vissa fall kan vara Annan elektronisk tillgång till Det får därför förutsättas att behovet av elek- tronisk tillgång till dessa uppgifter granskas särskilt noga. möjligheter att besluta om elektronisk tillgång till uppgifter i skulle begränsas av de uttömmande ändamål för behandlingen som slås fast i HOSP-förordningen. Elek- tronisk tillgång för andra ändamål än de uttryckligen angivna skulle således inte vara tillåten. Därigenom har regeringen lagt fast en tydlig ram inom vilken får besluta. Att en myndighet beslutar om att medge andra myndigheter till- gång genom direktåtkomst eller annat elektronisk utlämnande till uppgifter i ett register som omfattas av sekretess i stället för att regeringen reglerar detta i en förordning kan innebära en risk för att integritetsaspekterna inte blir tillräckligt belysta. Enligt 7 kap. 2 § regeringsformen ska vid beredningen av regeringsärenden nämligen behövliga upplysningar och yttranden inhämtas från berörda myndig- heter. Detta innebär att vid beredningen i av ett ärende om en bestämmelse som tillåter viss direktåtkomst, vilket en reglering genom förordning innebär, ska yttrande från Integritets- skyddsmyndigheten hämtas in. Skyldigheten för regeringen att sam- råda med följer för övrigt också av artikel 36.4 i dataskyddsförordningen. Denna risk går emellertid att motverka genom att i HOSP-förordningen föreskriva att Socialstyrel- sen ska samråda med innan Social- styrelsen fattar beslut. Utredningen förslår därför i avsnitt 8.3.3 att ska samråda med innan beslutar att medge en annan myndighet till- gång genom direktåtkomst eller annat elektroniskt utlämnande till uppgifter i . En annan nackdel med att låta en myndighet besluta om andra myndigheters tillgång genom direktåtkomst eller annat elektroniskt utlämnande till myndighetens egna uppgifter är att regeringen inte har inflytande över utformningen och detaljeringsgraden av besluten. Det blir då svårt för regeringen att säkerställa att regleringen blir tydlig och ändamålsenlig. Regeringen får också svårare att ställa krav på mottagarmyndigheternas behörighetsstyrning och åtkomstkontroll. Dessa problem kan lösas genom att i HOSP-förordningen uppställa krav på att direktåtkomst endast får medges om inte annat elektro- niskt utlämnande är tillräckligt och på att tillgången inte får vara mer omfattande än vad den mottagande myndigheten behöver för att Annan elektronisk tillgång till utföra sina arbetsuppgifter. Det bör också i HOSP-förordningen tydligt framgå vad beslut ska innehålla och ange för vilka ändamål som uppgifterna i registret får behandlas (lämnas ut) samt vilket ansvar som mottagarna har för behörighetsstyrning och åtkomstkontroll avseende uppgifterna. Utredningen föreslår därför i avsnitt 8.3.4, 8.3.5 och 8.3.7 sådana bestämmelser. Med offentlig vårdgivare avses enligt patientdatalagen statlig myndighet, region och kommun i fråga om sådan hälso- och sjuk- vård som myndigheten, regionen eller kommunen har ansvar för. I en region eller kommun finns det flera myndigheter (nämnder). bör av praktiska skäl kunna besluta att medge själva regionen eller kommunen, dvs. kommunala vårdgivare, elektronisk tillgång, så att det inte krävs ett beslut för varje hälso- och sjukvårds- myndighet inom regionen eller kommunen. I avsnitt 8.3.7 föreslås att inte ska få medge elektronisk tillgång innan har försäkrat sig om att frågorna om behörighet, åtkomstkontroll och säkerhet är lösta på ett sätt som är tillfreds- ställande ur integritetssynpunkt. I det ligger att ska försäkra sig om att kommunala myndigheter som inte har ansvar för hälso- och sjukvård inte kan bereda sig elektronisk tillgång till upp- gifter i . I fråga om behov av elektronisk tillgång till uppgifterna i HOSP- registret för andra än myndigheter och offentliga vårdgivare, som inte kan tillgodoses genom den tillgång via internet som föreslås i kapitel 7, gör utredningen bedömningen att endast privata vård- givare har ett sådant beaktansvärt behov. Med privat vårdgivare avses enligt patientdatalagen annan juridisk person än statlig myndighet, region eller kommun eller enskild näringsidkare som bedriver hälso- och sjukvård. De privata vårdgivarna behöver, liksom de offentliga vårdgivarna, löpande tillgång till uppgifter för att kontrollera hälso- och sjukvårdspersonals identitet och behörighet i samband med tjänstetillsättning och under anställning eller uppdrag. De behöver också, i likhet med offentliga vårdgivare, tillgång till uppgifter om prövotid, förskrivarkod och omfattning av förskrivningsrätt, som inte kommer att vara tillgängliga via internet. Att ge offentliga vård- givare elektronisk tillgång till dessa uppgifter har ansetts falla inom ändamålen för , och utredningen gör motsvarande bedömning i fråga om de privata vårdgivarnas elektroniska tillgång till sådana uppgifter för att kontrollera behörighet. Annan elektronisk tillgång till De privata vårdgivarna har enligt utredningens bedömning dock inte ett beaktansvärt behov av direktåtkomst. Deras behov kan till- godoses genom att de får elektronisk tillgång till uppgifterna genom annat elektroniskt utlämnande än direktåtkomst, så att de på ett automatiserat sätt kan kontrollera identiteten och behörigheten för en viss individ. I övrigt gör utredningen, i fråga om de privata vårdgivarnas elektro- niska tillgång, motsvarande bedömningar som redovisas beträffande myndigheters och offentliga vårdgivares elektroniska tillgång. Utredningen anser att det finns klara behov av och fördelar med att låta medge andra myndigheter och vårdgivare elek- tronisk tillgång till personuppgifter i . Den elektro- niska tillgången för privata vårdgivare bör dock vara begränsad till annat elektroniskt utlämnande än direktåtkomst. Utredningen har också kommit fram att de nackdelar och risker som finns för- knippade med detta går att motverka. Utredningen anser därför att själv, efter samråd med Integritetsskyddsmyndig- heten, bör få besluta om vilka myndigheter och vårdgivare som ska medges elektronisk tillgång till uppgifter i . Detta gäller under förutsättning att den övriga reglering som utredningen föreslår i form av bestämmelser om integritetsstärkande åtgärder genomförs i HOSP-förordningen. 8.3.3Beslutet ska fattas efter samråd med Utredningens förslag: ska samråda med Integritets- skyddsmyndigheten innan beslutar att medge en myndighet eller vårdgivare elektronisk tillgång till uppgifter i . Eftersom direktåtkomst kan innebära integritetsrisker, är det viktigt att integritetsaspekterna noga belyses innan beslutar att medge en myndighet tillgång genom direktåtkomst till uppgifter Annan elektronisk tillgång till Också när det gäller elektronisk tillgång till upp- gifterna i registret om återkallelse av legitimation, prövotid och begränsning av förskrivningsrätt är det särskilt viktigt att integritets- aspekterna lyfts fram och noga vägs mot behoven. Enligt artikel 57.1 c i dataskyddsförordningen ska tillsynsmyndigheten (i Integri- tetsskyddsmyndigheten), i enlighet med nationell rätt, ge rådgivning åt det nationella parlamentet (i ), regeringen och andra institutioner och organ om lagstiftningsåtgärder och admi- nistrativa åtgärder rörande skyddet av fysiska personers rättigheter och friheter när det gäller behandling av personuppgifter. I sker samrådet genom remissförfarande och genom att Integritets- skyddsmyndigheten ofta medverkar i offentliga utredningar. I register- författningar som ger en myndighet befogenhet att utfärda före- skrifter om behandling av personuppgifter brukar det föreskrivas att myndigheten ska samråda med innan sådana föreskrifter utfärdas.5 Utredningen föreslår att ska samråda med Integri- tetsskyddsmyndigheten innan beslutar att medge en myndighet eller vårdgivare elektronisk tillgång till uppgifter i HOSP- registret. På så sätt kommer att äga själva beslutet om under vilka förutsättningar tillgång genom direktåtkomst eller annat elektronisk utlämnande ska medges som Integritetsskydds- myndigheten får tillräcklig insyn i intresseavvägningen mellan behov och integritetsrisker och möjlighet att påverka. Om Integritets- skyddsmyndigheten inte anser att tillräcklig hänsyn tas till integritets- skyddet i ett specifikt fall, kan myndigheten uppmärksamma regeringen på detta. Om regeringen delar Integritetsskyddsmyndig- hetens uppfattning, kan regeringen ingripa, t.ex. genom att i HOSP- förordningen reglera om eller hur den aktuella myndigheten eller vårdgivaren ska ha elektronisk tillgång. 5Sören , Dataskyddsförordningen (GDPR) m.m. – En kommentar, kommentaren till artikel 36, version:1A. Annan elektronisk tillgång till 8.3.4Omfattningen av den elektroniska tillgången Utredningens förslag: Direktåtkomst får medges myndigheter och offentliga vårdgivare endast om inte annat elektroniskt ut- lämnande är tillräckligt. Privata vårdgivare får bara medges till- gång genom annat elektroniskt utlämnande än direktåtkomst. Den elektroniska tillgången får inte vara mer omfattande än vad myndigheten eller vårdgivaren behöver för att utföra sina arbetsuppgifter. Som utredningen konstaterar i avsnitt 8.2.4 är det ändamålet för vilket mottagaren behöver använda uppgifterna som är det av- görande för vilken typ av elektronisk tillgång som mottagaren behöver. Det är väldigt få myndigheter och offentliga vårdgivare som behöver kunna söka fritt i genom direktåtkomst. För flertalet myndigheter och offentliga vårdgivare borde därför tillgång genom annat elektroniskt utlämnande än direktåtkomst vara tillräcklig. Utredningen gör vidare i avsnitt 8.2 bedömningen att utlämnande av uppgifter från i första hand bör ske genom annat elektroniskt utlämnande än direktåtkomst. Det bör därför anges i HOSP-förordningen att direktåtkomst endast får medges om inte annat elektroniskt utlämnande är tillräckligt. Som redan nämnts kan de privata vårdgivarnas behov av uppgifter tillgodoses genom annat elektroniskt utlämnande än direktåtkomst, genom att de på ett automatiserat sätt kan kontrollera identiteten och behörigheten hos en viss individ. Privata vårdgivare bör därför inte få medges direktåtkomst utan få tillgång genom annat elek- troniskt utlämnande. Enligt artikel 5.1 c i dataskyddsförordningen ska personuppgifter som samlas in vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (principen om uppgiftsminimering). Det bör därför anges i HOSP-förordningen att tillgången inte får vara mer omfattande än vad myndigheten eller vårdgivaren behöver för att utföra sina arbetsuppgifter. Annan elektronisk tillgång till 8.3.5Vad beslutet ska innehålla Utredningens förslag: Av beslutet om elektronisk tillgång ska framgå för vilka ändamål som tillgången får användas, vilka upp- gifter som tillgången får gälla och vilka legitimerade yrken som tillgången får gälla. Vilken form av elektronisk tillgång som avses beslut måste givetvis ange vilken form av elek- tronisk tillgång som respektive myndighet och offentlig vårdgivare får ha till uppgifter i , dvs. tillgång genom direkt- åtkomst eller genom annat elektroniskt utlämnande. Är det fråga om tillgång genom annat elektroniskt utlämnande, t.ex. en elektronisk fråga-svar-funktion, måste givetvis, i beslutet eller på annat sätt, också ge den mottagande myndigheten eller offentliga vårdgivaren sådana anvisningar att funktionen kan användas. Mot- svarande gäller i fråga om privata vårdgivare, som bara får medges elektronisk tillgång genom annat elektroniskt utlämnande än direkt- åtkomst. Tillgång genom annat elektroniskt utlämnande än direktåtkomst kan utgöras av en elektronisk fråga-svar-funktion som för använ- daren framstår som identisk med, eller snarlik, direktåtkomst. Men funktionen får inte ge något svar (lämna ut personuppgifter) utan att det föregås av en fråga från mottagaren. Det är mottagaren som har medgetts elektronisk tillgång, inte som i detta sammanhang fått tillåtelse att på eget initiativ sprida (lämna ut) upp- gifter. Det är därmed inte tillåtet för att underrätta mottagaren om att det tillkommit eller ändrats uppgifter om en person i registret som denne har frågat om. får alltså inte skicka en s.k. push-notis endast innehållande infor- mationen att det tillkommit eller ändrats uppgifter om en person (även om push-notisen inte innehåller information om vad som tillkommit eller ändrats). Vill mottagaren undersöka om det finns nya uppgifter, får denne skicka en ny fråga eller själv använda sin direktåtkomst. Annan elektronisk tillgång till För vilka ändamål den elektroniska tillgången får användas I 4 § HOSP-förordningen framgår att personuppgifterna i registret får behandlas för att föra en aktuell förteckning över legitimerad hälso- och sjukvårdspersonal. Utöver detta får uppgifterna enligt 5 § samma förordning endast behandlas för ett antal däri uppräknade ändamål. Vidare behandling av personuppgifterna får inte ske ens för ändamål som är förenliga med de angivna. Myndigheter behöver använda uppgifter i för olika ändamål beroende på vilket uppdrag myndigheten har. Få myndigheter behöver använda uppgifter för samtliga de ändamål som uppgifterna får behandlas för enligt 4 och 5 §§ HOSP-förord- ningen. För att regleringen ska vara förenlig med principen om upp- giftsminimering i dataskyddsförordningen som säger att uppgifter ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (artikel 5.1 c), behöver Social- styrelsen därför genom sitt beslut för respektive myndighet ange för vilka ändamål som den elektroniska tillgången får användas. Vårdgivares behov av tillgång till uppgifter i lär vara begränsat till att kontrollera hälso- och sjukvårdspersonals identitet och behörighet i samband med tjänstetillsättning och under anställning eller uppdrag. Enligt artikel 5.1 b i dataskyddsförordningen ska personupp- gifter samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. Den mottagande myndigheten eller vårdgivaren har alltså att för sin egen behandling av personuppgifter ange ett särskilt ändamål för behandlingen av de personuppgifter som samlas in genom den elektroniska tillgången och sedan hålla sig till detta ändamål. Det får förutsättas att den mottagande myndigheten eller vårdgivaren för sin insamling av personuppgifter anger samma ändamål som Social- styrelsen angett i beslutet om den elektroniska tillgången. Vilka uppgifter som den elektroniska tillgången får gälla får endast innehålla vissa uppgifter om de regi- strerade (6 § HOSP-förordningen). Myndigheter har behov av att använda olika uppgifter i beroende på vilket upp- drag myndigheten har. För att regleringen ska vara förenlig med Annan elektronisk tillgång till principen om uppgiftsminimering i dataskyddsförordningen är det nödvändigt att se till att myndigheter eller vårdgivaren inte får elek- tronisk tillgång till uppgifter som myndigheten eller vårdgivaren inte behöver. ska därför i beslutet om att medge elektro- nisk tillgång ange vilka uppgifter om de registrerade som tillgången får gälla, genom hänvisning till aktuella punkter i 6 § HOSP-för- ordningen eller på annat lämpligt sätt. Vilka legitimerade yrken som den elektroniska tillgången får gälla I 4 kap. 1 § patientsäkerhetslagen (2010:659) anges vilka legitime- rade yrken och yrkestitlar som finns inom hälso- och sjukvården. Eftersom primära ändamål är att föra en aktuell förteckning över legitimerad hälso- och sjukvårdspersonal (4 § HOSP-förordningen), är det uppgifter om personer som har de legi- timerade yrken och yrkestitlar som anges i 4 kap. 1 § patientsäker- hetslagen som förekommer i registret. Myndigheter och vårdgivare har behov av att använda uppgifter i om olika yrken och yrkestitlar beroende på vilket uppdrag myndigheten eller vård- givaren har. För att regleringen ska vara förenlig med principen om uppgiftsminimering i dataskyddsförordningen är det nödvändigt att se till att myndigheter och vårdgivare bara får tillgång till uppgifter som de behöver. ska därför i beslutet om att medge tillgång genom direktåtkomst eller annat elektroniskt utlämnande ange vilka legitimerade yrken som tillgången får gälla. Det är förstås tillåtet att ange alla legitimerade yrken, när det är nödvändigt. 8.3.6Beslutet får inte överklagas Utredningens förslag: beslut att medge elek- tronisk tillgång, eller att avslå en begäran om det, får inte över- klagas. är personuppgiftsansvarig för (3 § HOSP-förordningen). har därmed ansvaret för att behandlingen av personuppgifter är förenlig med dataskydds- och sekretesslagstiftningen. Det finns enligt utredningens mening därför Annan elektronisk tillgång till inte skäl att tillåta att beslut i fråga om elektronisk tillgång ska kunna överklagas. Bestämmelser om att beslut inte får överklagas (överklagandeförbud) kan tas in i förordning. Över- klagandeförbud får dock inte införas när det gäller beslut som inne- fattar en prövning av någon enskilds civila rättigheter eller skyldigheter i den mening som avses i artikel 6.1 i den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande fri- heterna (). I sådana fall finns enligt konven- tionen en rätt till domstolsprövning. beslut att medge en myndighet sådan tillgång som det här är fråga om inne- fattar inte någon sådan prövning av någon enskilds civila rättigheter eller skyldigheter. Det bör därför införas ett överklagandeförbud i . 8.3.7Krav på behörighetsstyrning, loggning, åtkomstkontroll och ändamålsbegränsning Utredningens förslag: Den som har medgetts elektronisk till- gång ska se till att tillgången till personuppgifterna begränsas till vad varje användare behöver för att kunna fullgöra sina arbets- uppgifter, att tillgång till personuppgifterna dokumenteras och kan kontrolleras och att det görs systematiska och återkom- mande kontroller av om någon obehörigen kommer åt sådana uppgifter. Elektronisk tillgång får inte medges innan har försäkrat sig om att frågorna om behörighet, åtkomstkontroll och säkerhet är lösta på ett sätt som är tillfredsställande ur integritets- synpunkt. Den som har medgetts sådan tillgång får inte behandla person- uppgifterna för något annat ändamål än det för vilket de lämnats ut. får dock behandla uppgifterna i den natio- nella läkemedelslistan i enlighet med ändamålen i 3 kap. 2–5 §§ lagen (2018:1212) om nationell läkemedelslista. Av HOSP-förordningen framgår att en myndighet som har med- getts direktåtkomst ansvarar för att tillgången till personuppgifter begränsas till vad varje användare behöver för att kunna fullgöra sina Annan elektronisk tillgång till arbetsuppgifter (7 b § första stycket). Det får ses som en påminnelse om vad som följer av dataskyddsförordningen. Utredningen föreslår i avsnitt 8.3.2 att en myndighet eller vård- givare ska få medges elektronisk tillgång genom annat elektroniskt utlämnande än direktåtkomst till uppgifter i . Bestäm- melsen om behörighetsstyrning bör därför kompletteras så att den även gäller myndigheter och vårdgivare som medgetts tillgång genom annat elektroniskt utlämnande än direktåtkomst. Ansvaret för behörighetsstyrning är enligt dataskyddsförord- ningen förknippat med ansvar för att se till att elektronisk åtkomst till personuppgifter dokumenteras (s.k. logglistor) och kan kontrolleras samt att det görs systematiska och återkommande kontroller av om någon obehörigen kommer åt sådana uppgifter. Även detta ansvar bör det påminnas om genom uttryckliga bestämmelser i förordningen. Att detta ansvar sköts innebär att dataintrång med större säkerhet kan konstateras och beivras och det har också en avhållande verkan på personal som, om risken för upptäckt är liten, kan frestas att olovligen ta del av uppgifter. Det framgår vidare av HOSP-förordningen att direktåtkomst inte får medges innan har försäkrat sig om att behörighets- och säkerhetsfrågorna är lösta på ett sätt som är till- fredsställande ur integritetssynpunkt (7 b § andra stycket).