sou · H9B339 · 2022-01-01 00:00:00 — Viss vidarespridning av patientuppgifter träffas vidare av straffbestämmelserna om förtal. Om en vårdgivare får reda på att patientuppgifterna obehörigt sprids, kan den elektroniska tillgången genast avbrytas. Eftersom utredningen föreslår en frivillig bestämmelse, finns det aldrig någon skyldighet för vårdgivaren att göra patientuppgifter elektroniskt tillgängliga för en annan fysisk person, oaktat om patienten begärt detta. Enligt utredningens mening är befintlig reglering tillräcklig för att motverka en eventuell ökad risk för obehörig vidarespridning av patientuppgifter till följd av den elektroniska tillgången. Eftersom lagen om nationell läkemedelslista redan tillåter att ombud ges direktåtkomst till läkemedelsuppgifter, bedöms risken för att någon Ombuds elektroniska tillgång till vård- och omsorgsuppgifter får information om att en patient använder narkotiska preparat och tillskansar sig dessa inte öka om vårdgivare får möjlighet att ge elektronisk tillgång till även andra patientuppgifter. De övriga risker som finns med att ge vårdgivare möjlighet att, i enlighet med patientens frivilliga medgivande, ge någon utanför hälso- och sjukvården som patienten känner personligen elektronisk tillgång till patientuppgifter kan enligt utredningens mening på ett tillfredsställande sätt motverkas genom integritetsstärkande åtgär- der. Risken för att patientens medgivande inte är verkligen frivilligt kan motverkas genom en skyldighet för hälso- och sjukvårdsperso- nalen att till vårdgivaren genast anmäla misstankar om detta så att dessa kan utredas och den elektroniska tillgången kan avbrytas om det finns några tveksamheter. Utredningen föreslår en sådan skyl- dighet. Risken för att någon får del av patientuppgifter genom att utöva påtryckningar mot patienten kommer dessutom enligt utred- ningens bedömning sannolikt inte att öka påtagligt genom att vård- givare får möjlighet att med patientens frivilliga medgivande ge någon utanför hälso- och sjukvården elektronisk tillgång till patient- uppgifterna. Regeringen gjorde i förarbetena till sekretesslagstift- ningen, patientdatalagen och lagen om nationell läkemedelslista bedömningar som ligger i linje med detta när det gäller risken för att någon utomstående tvingar till sig tillgång till känsliga uppgifter.18 Det finns en risk för att den som lämnat ett frivilligt medgivande blir oförmögen att ta tillbaka det och att fortsatt elektronisk tillgång enligt medgivandet kan innebära ett integritetsintrång. För att vård- givaren ska uppmärksamma att patienten blivit beslutsoförmögen och kunna överväga om den elektroniska tillgången bör få fortsätta föreslås att hälso- och sjukvårdspersonalen ska vara skyldig att anmäla misstankar om att patienten kan lämna ett med- givande. Detta får enligt utredningens mening anses tillräckligt för att motverka den aktuella risken, som inte lär aktualiseras särskilt ofta. Risken för att någon genom den elektroniska tillgången kan ta del av mer information än vad patienten vill kan motverkas genom att patienten får möjlighet att begränsa den elektroniska tillgången till uppgifter registrerade efter ett visst datum eller vid en viss vård- enhet hos vårdgivaren. Utredningen föreslår att vårdgivare som ger elektronisk tillgång ska erbjuda patienten en sådan möjlighet. Risken för att den som fått elektronisk tillgång till något som registrerats 1979/80:2 Del A s. 329, prop. 2007/08:126 s. 159 och prop. 2017/18:223 s. 165. Ombuds elektroniska tillgång till vård- och omsorgsuppgifter efter medgivandet som patienten inte vill att denne ska få veta mot- verkas av att patienten, om denne är förmögen till det, själv har elek- tronisk tillgång till det som registreras. Patienten har möjlighet att när som helst ta tillbaka sitt medgivande eller begränsa den elek- troniska tillgången. Förslaget innebär ingen inskränkning av principen om integritet och konfidentialitet och bestämmelserna om säkerhetsåtgärder i dataskyddsförordningen. Dessa bestämmelser får, tillsammans med de bestämmelser om behörighetsbegränsningar, loggning och logg- kontroll som finns i patientdatalagen, anses tillräckliga för att mot- verka risker som har med säkerheten att göra. Risken för att personer som patienten inte vill ska ha elektronisk tillgång till patientuppgifter får det kan på ett tillfredsställande sätt motverkas av bestämmelser som innebär att juridiska personer inte får ges elektronisk tillgång och att bara fysiska personer som patien- ten uppger sig känna personligen får ges elektronisk tillgång. Utred- ningen föreslår sådana bestämmelser tillsammans med bestämmelser om skyldighet för hälso- och sjukvårdspersonalen att till vårdgivaren genast anmäla misstankar om att patienten inte känner den som fått tillgång personligen. Genom dessa bestämmelser motverkas också risken för att hälso- och sjukvårdspersonal, forskare, juridiska perso- ner, via bulvaner, och enskilda näringsidkare har elektronisk tillgång på ett sätt som inte rimligen bör tillåtas. Denna risk motverkas även genom att vårdgivaren har möjlighet att kontrollera vilka fysiska personer som getts elektronisk tillgång till många patienters uppgifter. Utredningen anser sammanfattningsvis att det finns vissa risker med att vårdgivare får möjlighet att, i enlighet med patientens med- givande, ge någon utanför hälso- och sjukvården som patienten känner personligen elektronisk tillgång till patientuppgifter. Utred- ningen anser att det också finns ett klart behov av och klara fördelar med detta. Vissa risker kan på ett tillfredsställande sätt motverkas genom befintliga bestämmelser och de integritetsstärkande åtgärder som föreslås. De kvarvarande riskerna måste vägas mot de behov som finns och de fördelar som kan uppnås. Enligt utredningens bedömning är behoven och fördelarna så stora och påtagliga att de kvarvarande riskerna får accepteras. Utredningen vill i det samman- hanget betona att förslagen helt bygger på frivillighet; vårdgivare och patienter behöver inte gå med på elektronisk tillgång och den som fått sådan tillgång behöver inte använda den. Ombuds elektroniska tillgång till vård- och omsorgsuppgifter således att behoven och fördelarna överväger integritetsriskerna. Utredningen föreslår därför att det ska införas bestämmelser som gör det möjligt att ge någon utanför hälso- och sjukvården som patienten känner personligen elektronisk tillgång till patientuppgifter. 6.2.6Motsvarande avvägning görs för elektronisk tillgång för ombud vid sammanhållen vård- och omsorgsdokumentation Utredningens bedömning: Det finns behov av och fördelar med att vård- och omsorgsgivare vid sammanhållen vård- och omsorgs- dokumentation får möjlighet att, i enlighet med patientens eller omsorgsmottagarens frivilliga medgivande, ge någon utanför hälso- och sjukvården och som patienten eller omsorgs- mottagaren känner personligen elektronisk tillgång till sådan dokumentation som får göras tillgänglig för patient eller omsorgs- mottagare. Behoven och fördelarna överväger integritetsriskerna. Detta förutsätter dock att vissa integritetsstärkande bestäm- melser införs. I delbetänkandet föreslog utredningen att det ska införas s.k. sam- manhållen vård- och omsorgsdokumentation. Förslaget innebär att vård- och omsorgsgivare får göra dokumentation om patienter och omsorgsmottagare elektroniskt tillgänglig mellan sig under vissa i förutsättningar.19 Inom gäller förslagen bara doku- mentation om insatser för äldre och personer med funktionsnedsätt- ningar. I sammanhållen vård- och omsorgsdokumentation kan således ingå uppgifter som dokumenterats i patientjournaler respek- tive i dokumentation om enskilda omsorgsmottagare som rör insatser för äldre och personer med funktionsnedsättningar. Utredningens uppdrag är nu att se över möjligheterna att ge ett ombud elektronisk tillgång till patientuppgifter. Sådan dokumentation som förs inom omfattas därmed inte. Utredningens uppdrag har emellertid också varit att se över möjligheterna att in- 19Med omsorgsgivare avses i den föreslagna lagen myndigheter och privata företag som ansvarar för eller utför insatser för äldre eller personer med funktionsnedsättningar. Den som fått eller får sådana insatser eller som fått eller får behovet av sådana insatser bedömda kallas i lagen omsorgs- mottagare. Se kapitel 16 i delbetänkandet för utredningens förslag om sammanhållen vård- och omsorgsdokumentation. Ombuds elektroniska tillgång till vård- och omsorgsuppgifter föra direktåtkomst, i likhet med den möjlighet som ges genom sammanhållen journalföring, mellan vissa verksamheter inom social- tjänsten och hälso- och sjukvården. Utredningen föreslog därför i delbetänkandet en ny lag om sammanhållen vård- och omsorgs- dokumentation och kvalitetsuppföljning. De nuvarande bestämmel- serna i patientdatalagen om sammanhållen journalföring togs in i den föreslagna lagen. Som utredningen betonade i delbetänkandet finns det en möjlig- het enligt 5 kap. 5 § patientdatalagen för patienter att genom direkt- åtkomst ta del av uppgifter om sig själva oavsett om vårdgivaren deltar i sammanhållen journalföring eller inte. I konsekvens med detta föreslog utredningen att den nya lagen ska innehålla en bestäm- melse som medger att en patient eller omsorgsmottagare ges till- gång, genom direktåtkomst eller annat elektroniskt utlämnande, till sådana uppgifter om personen själv som får lämnas ut till honom eller henne och som andra vård- och omsorgsgivare får ha tillgång till genom sammanhållen vård- och omsorgsdokumentation. Ett annat skäl till att införa en sådan bestämmelse i den föreslagna lagen var att en särskild bestämmelse om att en patient får ha elektronisk tillgång till sammanhållen vård- och omsorgsdokumentation om sig själv skulle göra regelverket kring sammanhållen vård- och omsorgs- dokumentation tydligare än om endast 5 kap. 5 § patientdatalagen skulle tillämpas avseende sådan tillgång. En hänvisning i lagen till 5 kap. 5 § patientdatalagen föreslogs dock av tydlighetskäl.20 I utredningens uppdrag ingår alltså att föreslå ett system med sammanhållen vård- och omsorgsdokumentation som liknar det för sammanhållen journalföring. Att överväga en motsvarande möjlig- het att, i enlighet med omsorgsmottagarens frivilliga medgivande, ge någon utanför hälso- och sjukvården och som omsorgs- mottagaren känner personligen elektronisk tillgång till samman- hållen vård- och omsorgsdokumentation ligger i linje med utred- ningens uppdrag. Ett övergripande syfte med utredningens förslag är att införa en mer sammanhållen informationsöverföring inom vård och omsorg. Det skulle därför framstå som inkonsekvent att införa en möjlighet för enbart vårdgivare att, i enlighet med patientens frivilliga medgivande, ge någon utanför hälso- och sjukvården som patienten känner personligen elektronisk tillgång till patientuppgifter. 20Se utredningens delbetänkande Sammanhållen information inom vård och omsorg, (SOU 2021:4) s. 475. Ombuds elektroniska tillgång till vård- och omsorgsuppgifter De behov och fördelar som utredningen ovan redogjort för när det handlar om att ge någon utanför hälso- och sjukvården som patienten känner personligen elektronisk tillgång till patientupp- gifter, gör sig gällande på motsvarande sätt i fråga om omsorgsgivares dokumentation i sammanhållen vård- och omsorgsdokumentation. Det ska framhållas att det är endast uppgifter om insatser för äldre och personer med funktionsnedsättningar som får ingå i systemet för sam- manhållen vård- och omsorgsdokumentation. Detta är de grupper där det enligt utredningens bedömning lär finnas störst behov av att ta hjälp av t.ex. en närstående som kan hjälpa till i kontakterna med både vården och omsorgen. När det gäller integritetsrisker och andra nackdelar samt frågan om det finns användbara alternativ till elek- tronisk tillgång gör utredningen motsvarande överväganden som ovan avseende patientuppgifter (se avsnitt 6.2.2 respektive 6.2.3). Riskerna kan vägas upp med integritetsstärkande åtgärder enligt vad utredningen angett i avsnitt 6.2.4. Utredningen gör vid en avvägning mellan behov och integritets- risker motsvarande bedömning som i avsnitt 6.2.5. Utredningen bedömer således att behoven och fördelarna tillsammans med före- slagna integritetsstärkande åtgärder överväger integritetsriskerna. Därtill framstår det som lämpligt och i konsekvens med utredningens gjorda avvägningar att uppgifter om omsorgsmottagare som ingår i sammanhållen vård- och omsorgsdokumentation på motsvarande sätt kan få göras elektroniskt tillgängliga för en närstående fysisk person med stöd av omsorgsmottagarens medgivande. Utredningen före- slår därför att den tidigare föreslagna lagen tillförs bestämmelser som gör det möjligt att, med omsorgsmottagarens medgivande, ge någon utanför hälso- och sjukvården och som omsorgs- mottagaren känner personligen elektronisk tillgång till samman- hållen vård- och omsorgsdokumentation. Vårdgivare får redan en sådan möjlighet genom den nya bestämmelse som föreslås i patientdatalagen. Bestämmelsen i lagen om sammanhållen vård- och omsorgsdokumentation och kvalitetsuppföljning bör dock omfatta även vårdgivares möjlighet till detta, eftersom det gör regelverket kring sammanhållen vård- och omsorgsdokumentation tydligare än om endast den i patientdatalagen föreslagna bestämmelsen ska tillämpas avseende sådan tillgång. En erinran om att den nya bestämmelsen i patientdatalagen finns bör dock av tydlighetskäl finnas i lagen. Ombuds elektroniska tillgång till vård- och omsorgsuppgifter Utredningens bedömning: Den här gjorda konsekvensbedöm- ningen avseende dataskydd uppfyller kraven i artikel 35.10 i data- skyddsförordningen. En vårdgivare eller en omsorgsgivare behöver därför i regel inte göra en egen konsekvensbedömning avseende dataskydd innan ett system för att, i enlighet med patientens eller omsorgsmottagarens medgivande, ge någon utanför hälso- och sjukvården och elektronisk tillgång till patient- uppgifter och sammanhållen vård- och omsorgsdokumentation införs. Utredningen har i sitt delbetänkande beskrivit principen om ansvars- skyldighet i artikel 5.2 i dataskyddsförordningen, som innebär att det är den personuppgiftsansvarige som ska säkerställa och kunna visa att dataskyddsförordningens grundläggande principer efterlevs. Huvud- regeln är att den personuppgiftsansvarige ska genomföra en konse- kvensbedömning avseende dataskydd före en behandling av person- uppgifter som sannolikt medför hög risk för de registrerade. Under vissa förutsättningar finns en möjlighet att genomföra en konse- kvensbedömning avseende dataskydd redan i lagstiftningsarbetet (artikel 35.10 i dataskyddsförordningen). Utredningen har i sitt delbetänkande närmare redogjort för vilka krav som ställs på en konsekvensbedömning avseende dataskydd enligt dataskyddsförordningen samt sina bedömningar i samband med de lagförslag som där lämnades (se avsnitt 12.3.12, 13.3.5 och 14.6.6.i delbetänkandet). Utredningen kommer inte att här upprepa vad som där angetts om gällande rätt. Utredningen bedömer att den riskanalys, med de gjorda avväg- ningarna mellan behov och integritetsrisker, som genomförs i detta kapitel i sig är en sådan konsekvensbedömning avseende dataskydd enligt artikel 35.10 i dataskyddsförordningen som görs i samband med ett lagstiftningsärende. Det innebär att en särskild konsekvens- bedömning avseende dataskydd i de allra flesta fall inte behöver göras av varje vård- och omsorgsgivare innan ett system för att, i enlighet med patientens eller omsorgsmottagarens medgivande, ge någon utanför hälso- och sjukvården och elektronisk tillgång till patientuppgifter och sammanhållen vård- och omsorgs- dokumentation införs. Ombuds elektroniska tillgång till vård- och omsorgsuppgifter I undantagsfall, t.ex. om vård- eller omsorgsgivaren vill använda teknik som inte används och som kan påverka den personliga integriteten, kan det förmodligen krävas att vård- eller omsorgs- givaren gör en egen konsekvensbedömning avseende dataskydd. Det är den personuppgiftsansvarige vård- eller omsorgsgivaren som har att ta ställning till om det krävs en konsekvensbedömning avseende dataskydd i det enskilda fallet och i så fall hur eventuella risker ska kunna minimeras. Det anges i 5 kap. 4 § patientdatalagen att utlämnande genom direkt- åtkomst till personuppgifter är tillåten endast i den utsträckning som anges i lag eller förordning. Något motsvarande krav på reglering i lag eller förordning vid direktåtkomst finns inte i de registerförfatt- ningar som reglerar verksamhet, lagen (2001:454) om behandling av personuppgifter inom , SoLPUL, och förordningen (2001:637) om behandling av personuppgifter inom , SoLPUF. Som beskrivs närmare i delbetänkandet (se t.ex. avsnitt 3.2 i delbetänkandet) är dock och regeringen överens om att myndighetsregister med ett stort antal registrerade och ett särskilt känsligt innehåll bör regleras särskilt i lag. En reglering som gör det möjligt för vårdgivare och omsorgsgivare att, i enlighet med patientens eller omsorgsmottagarens medgivande, ge någon utanför hälso- och sjukvården och elektronisk tillgång till patientuppgifter respektive sammanhållen vård- och omsorgs- dokumentation bör därför redan av denna anledning regleras i lag. Härtill kommer att patientens egen elektroniska tillgång redan regle- ras i lag och att den elektroniska tillgången till den egna vård- och omsorgsdokumentationen föreslagits reglerad i lag. Möjligheterna att medge någon annan elektronisk tillgång till ens uppgifter anknyter till möjligheterna att själv ha sådan tillgång. Ombuds elektroniska tillgång till vård- och omsorgsuppgifter 6.4Elektronisk tillgång för patienters ombud Utredningens förslag: Om den enskilde medger det får en vård- givare ge en annan fysisk person, som den enskilde uppger sig känna personligen, elektronisk tillgång till sådana uppgifter som avses i 5 kap. 5 § första stycket patientdatalagen. Sådan tillgång ska på den enskildes begäran kunna begränsas till uppgifter registrerade efter ett visst datum eller vid en viss vårdenhet. Patienters rätt till insyn och delaktighet blir allt viktigare inom hälso- och sjukvården. Som ett led i detta har möjligheten för en- skilda att ta del av sina patientuppgifter genom direktåtkomst införts i patientdatalagen (5 kap. 5 § PDL). Som beskrivits i avsnitt 6.2.1 finns det dock många patienter som har svårigheter att ta del av digital information och använda sin direktåtkomst. Dessa personer kan behöva utse en person som kan hjälpa dem med det praktiska kring deras vårdprocesser. Behovet kan komma sig av att personerna på grund av ålder eller fysiska eller psykiska hinder behöver hjälp med att hålla ordning på sina besök, diagnoser eller läkemedel. finns möjlighet att ge ett ombud direktåtkomst till uppgifter om en patient i den nationella läkemedels- listan (5 kap. 6 § lagen om nationell läkemedelslista). till- handahölls en ombudsfunktion i 1177 Vårdguidens e-tjänst Jour- nalen. Efter Högsta förvaltningsdomstolens dom i HFD 2017 ref. 67 står det dock klart att en vårdgivare som behandlar personuppgifter med stöd av patientdatalagen inte enligt gällande rätt får ge ett ombud till en enskild direktåtkomst till vårdgivarens uppgifter om den enskilde. betonade att 5 kap. 4 och 5 §§ patientdatalagen är avsedda att uttömmande reglera till vem och under vilka förutsättningar en vårdgivare får ge direkt- åtkomst till en enskild. Eftersom det inte finns någon bestämmelse som medger att direktåtkomst även får ges till ett ombud, är sådan direktåtkomst inte tillåten ens med patientens samtycke. Ombuds- funktionen i Journalen fick stängas, men eftersom behovet kvarstår har utredningen fått i uppdrag att se över möjligheterna införa bestäm- melser som ger ombud åtkomst till patientjournalen. Ombuds elektroniska tillgång till vård- och omsorgsuppgifter I avsnitt 6.2 redogör utredningen för att det finns ett klart behov av och stora fördelar med att låta vårdgivare, i enlighet med patien- tens frivilliga medgivande, ge någon utanför hälso- och sjukvården som patienten känner personligen elektronisk tillgång till patient- uppgifter. Vid en avvägning mellan behov och integritetsrisker har utredningen gjort bedömningen att behoven av och fördelarna med att vårdgivare får denna möjlighet överväger integritetsriskerna. Utredningen föreslår därför att det ska införas en bestämmelse som ger vårdgivare möjlighet att i enlighet med patientens frivilliga med- givande ge någon utanför hälso- och sjukvården som patienten känner personligen elektronisk tillgång till patientuppgifter. Nedan redogör utredningen för hur en sådan bestämmelse bör utformas och för de rekvisit som föreslås. Det redogörs bl.a. för vilka uppgifter den elektroniska tillgången föreslås omfatta och till vem den enskilde får medge elektronisk tillgång till patientuppgifterna. En särskild fråga är vad det innebär att den enskilde lämnar ett giltigt medgivande. I anslutning till detta diskuterar utredningen vad som gäller för personer som av olika skäl har nedsatt beslutsförmåga och vad som gäller för barns medgivande. Som utredningen redogör för i avsnitt 6.2.4 behöver bestämmelsen åtföljas av vissa integritets- stärkande åtgärder, för vilka också redogörs nedan. Utredningen gör motsvarande avvägning mellan behov och integ- ritetsrisker för elektronisk tillgång till vård- och omsorgsdoku- mentation för någon utanför hälso- och sjukvården och social- tjänsten (se avsnitt 6.2.6). Utredningen föreslår därför att det införs en särskild bestämmelse för att på motsvarande sätt som för patient- uppgifter som behandlas enligt patientdatalagen, kunna ge någon utanför hälso- och sjukvården och elektronisk tillgång till sammanhållen vård- och omsorgsdokumentation. Även detta ska bygga på patientens eller omsorgsmottagarens frivilliga medgivande, och den elektroniska tillgången får ges till någon som patienten eller omsorgsmottagaren uppger sig känna personligen. 6.4.2Placeringen av den nya bestämmelsen i patientdatalagen I 5 kap. 5 § patientdatalagen finns en bestämmelse om en patients direktåtkomst till uppgifter om sig själv. Det anges att en vårdgivare får medge en enskild direktåtkomst till sådana uppgifter om den Ombuds elektroniska tillgång till vård- och omsorgsuppgifter enskilde själv som får lämnas ut till honom eller henne och som behandlas för ändamål som anges i 2 kap. 4 § första stycket 1 och 2 patientdatalagen (dvs. för ändamålet vårddokumentation). Den en- skilde får under samma förutsättningar medges direktåtkomst till sådan dokumentation som avses i 4 kap. 3 § första stycket första meningen (dvs. uppgifter om den åtkomst som förekommit till upp- gifter om patienten, s.k. logglistor). Utredningen anser att det är lämpligt att den nya bestämmelsen om att vårdgivare har möjlighet att, i enlighet med patientens fri- villiga medgivande ge någon utanför hälso- och sjukvården som denne känner personligen elektronisk tillgång till patientuppgifter, placeras närmast efter 5 kap. 5 § patientdatalagen. ”Ombud” är det uttryck som i allmänhet används för att beskriva någon utanför hälso- och sjukvården som patienten har utsett och som ges elektronisk tillgång till patientuppgifter.21 Uttrycket används i lagen om nationell läkemedelslista, där rubriken till 5 kap. 6 § är ”Direktåtkomst för patient och ombud”. Utredningen anser dock inte att ordet ombud bör användas i den föreslagna bestämmelsen (se motivering i avsnitt 6.4.4). Däremot framstår det av pedagogiska skäl som lämpligt att använda ordet ”ombud” i en rubrik. Utred- ningen föreslår därför att det införs en ny rubrik med lydelsen ”Elektronisk tillgång för patienter och deras ombud” närmast före 5 kap. 5 § i patientdatalagen. I 5 kap. 4 § patientdatalagen finns en bestämmelse om utläm- nande genom direktåtkomst. I paragrafens tredje stycke finns en upplysning som hänvisar till ytterligare bestämmelser om direkt- åtkomst i patientdatalagen.