sou · H9B339 · 2022-01-01 00:00:00 — Sådan tillgång ska på patientens eller om- sorgsmottagarens begäran kunna begränsas till uppgifter registrerade efter ett visst datum eller vid en viss organisatorisk enhet. Om någon inom hälso- och sjukvårdspersonalen eller som ut- för arbetsuppgifter inom social- tjänsten får anledning att miss- tänka att patientens eller omsorgs- mottagarens medgivande enligt första stycket inte ger uttryck för patientens eller omsorgsmottaga- rens fria vilja eller att patienten eller omsorgsmottagaren varaktigt är i stånd att lämna ett medgivande enligt första stycket, är denne skyldig att genast anmäla detta till den vård- eller omsorgs- givare som gett tillgången. Mot- svarande gäller om misstanken av- ser att patienten eller omsorgsmot- tagaren inte känner den som fått tillgång personligen. I5 kap. 5 och 5 a §§ patient- datalagen (2008:355) finns det ytterligare bestämmelser om elek- tronisk tillgång för patienten och andra till uppgifter hos vårdgivare om patienten själv. Regeringen eller den myndig- het som regeringen bestämmer kan med stöd av 8 kap. 7 § regerings- formen meddela föreskrifter om de krav på säkerhetsåtgärder som ska gälla vid sådan direktåtkomst eller annat elektroniskt utlämnande som avses i 13 och 13 a §§. 1.3Förslag till förordning om ändring i förordningen (2006:196) om register över hälso- och sjukvårdspersonal Härigenom föreskrivs i fråga om förordningen (2006:196) om register över hälso- och sjukvårdspersonal dels att 7 § ska upphöra att gälla, dels att rubrikerna närmast före 7 § och 7 c § ska utgå, dels att 1, 5, 7 a–7 e och 8 §§ samt rubriken närmast före 7 a § ska ha följande lydelse, dels att det ska införas två nya paragrafer, 7 f och §§, och närmast före 7 f och §§ nya rubriker av följande lydelse. För de ändamål som anges i 4 För de ändamål som anges i 4 och 5 §§ skall med och 5 §§ ska med hjälp av automatiserad behand- hjälp av automatiserad behand- ling föra ett register över hälso- ling föra ett register över hälso- Personuppgifterna i registret får, utöver det som anges i 4 §, behandlas endast för att 1. utöva tillsyn över hälso- och sjukvården och dess personal, 2. lämna uppgifter 2. lämna uppgifter som behövs lagen (2018:1212) om av hälso- och sjukvårdspersonals identitet och behörighet i enlighet med författning eller regerings- 3.lämna uppgifter till myndigheter och enskilda i enlighet med det som föreskrivs i annan författning eller avtal, 4. i samband med E-hälsomyn- 4. kontrollera hälso- och sjuk- dighetens behandling av person- vårdspersonals identitet och behörig- uppgifter enligt lagen om nationell läkemedelslista lämna uppgifter till a. i samband med tjänstetillsätt- 1Senaste lydelse 2021:69. får, efter sam- råd med Integritetsskyddsmyndig- heten, besluta att medge en myn- dighet eller offentlig vårdgivare tillgång genom direktåtkomst eller annat elektroniskt utlämnande till uppgifter i registret. Direktåtkomst får endast medges om inte annat elektroniskt utlämnande är till- räckligt. Tillgången får inte vara mer omfattande än vad myndig-25 den myndigheten för kontroll av ning och under anställning eller identitet och behörighet i fråga om b. att utfärda intyg, och sköterskor utan behörighet att för- c. vid handläggning av ärenden skriva läkemedel, apotekare, recep- om dispens från begränsningar av tarier och dietister, förordnande och utlämnande av 5. lämna uppgifter till E-hälso- 5. framställa statistik om hälso- myndigheten för kontroll av för- och sjukvård enligt lagen (2001:99) skrivares identitet och behörighet om den officiella statistiken, och vid expedition på öppenvårds- apotek av läkemedel och andra varor som förskrivits, 6. kontrollera hälso- och sjuk- 6. ge allmänheten upplysning vårdspersonals identitet och be- om hälso- och sjukvårdspersonals hörighet i samband med tjänste- tillsättning och under anställning eller uppdrag, och 7. kontrollera hälso- och vårdspersonals identitet och be- hörighet att utfärda intyg. Inspektionen för vård och omsorg får ha direktåtkomst till uppgifterna i registret. 2Senaste lydelse 2016:163. En offentlig vårdgivare får ha direktåtkomst till uppgifter som avses i 6 § 1, 3 och 5–10. Transportstyrelsen får ha direkt- åtkomst till uppgifter som avses i 6 § 1, 3, 5 och 7–9. heten behöver för att utföra sina arbetsuppgifter. får, efter samråd med , besluta att medge en privat vård- givare tillgång genom annat elek- troniskt utlämnande än direktåt- komst till uppgifter i registret. Till- gången får inte vara mer omfat- tande än vad vårdgivaren behöver för att utföra sina arbetsuppgifter. Av beslutet ska framgå 1.för vilka ändamål enligt 5 § som tillgången får användas, 2.vilka uppgifter som tillgången får gälla, och 3.vilka legitimerade yrken som tillgången får gälla. En myndighet som har med- getts direktåtkomst ansvarar för att tillgången till personuppgifter begränsas till vad varje användare behöver för att kunna fullgöra sina arbetsuppgifter. Direktåtkomst får inte medges innan har för- säkrat sig om att behörighets- och säkerhetsfrågorna är lösta på ett sätt som är tillfredsställande ur integritetssynpunkt. 3Senaste lydelse 2013:639. ska på begäran av Inspektionen för vård och omsorg lämna ut uppgifter för det ändamål som anges i 5 § 1. Inspektionen för vård och omsorg har rätt att ta del av upp- gifterna i registret vid direkt- åtkomst enligt 7 a § första stycket. En offentlig vårdgivare har Ett beslut enligt 7 a § får inte rätt att ta del av uppgifterna i registret vid direktåtkomst enligt 7 a § andra stycket. Transportstyrelsen har rätt att ta del av uppgifterna i registret vid direktåtkomst enligt 7 a § tredje stycket. 4Senaste lydelse 2013:639. 5Senaste lydelse 2013:639. 6Senaste lydelse 2013:639. Upplysningar till allmänheten på internet ska göra det möjligt för allmänheten att genom en sökfunktion på internet kon- trollera en viss persons behörighet. Som sökbegrepp får bara använ- das personnummer eller samord- ningsnummer. Som resultat av sökningen får bara visas det angivna person- numret eller samordningsnumret och anknytande uppgifter i registret om namn, typ av legitimation och när den utfärdades samt omfatt- ningen av legitimationen vid par- tiellt tillträde, yrke och specialitet. Sökresultatet får inte innehålla personuppgifter om annan än den som har en gällande legitimation. Utöver vad som framgår av artiklarna 13 och 14 i EU:s data- skyddsförordning ska den som är personuppgiftsansvarig enligt denna förordning lämna information till den registrerade om 1.de sekretess- och säkerhetsbestämmelser som gäller för registret, 2.rätten enligt artikel 82 i EU:s dataskyddsförordning och 7 kap. 1 § lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning till skadestånd vid behandling av person- uppgifter i strid med denna förordning, 3. vad som gäller i fråga om 3. vad som gäller i fråga om sökbegrepp, direktåtkomst och sökbegrepp, direktåtkomst och utlämnande på medium för auto- annat elektroniskt utlämnande, matiserad behandling, och 4. huruvida registreringen är frivillig eller inte. Denna förordning träder i kraft . 7Senaste lydelse 2018:464. 1.4Förslag till förordning om ändring i offentlighets- och sekretessförordningen (2009:641) Härigenom föreskrivs i fråga om offentlighets- och sekretessförord- ningen (2009:641) att 6 § ska ha följande lydelse. Sekretess gäller i nedan angiven verksamhet, som avser registrering av betydande del av befolkningen, för 1.uppgift om en enskilds personliga förhållanden, om det av sär- skild anledning kan antas att den enskilde eller någon närstående till honom eller henne lider men om uppgiften röjs, och 2.uppgift i form av fotografisk bild av den enskilde, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till honom eller henne lider men. För uppgift i en allmän handling gäller sekretessen i högst . passregister och register över nationella identitetskort databas över identitetskort för folkbokförda i hälso- och sjukvårdspersonal hälso- och sjukvårdspersonal, dock inte i fråga om utlämnande enligt 7 f § andra stycket och § förordningen (2006:196) om regis- ter över hälso- och sjukvårdsperso- nal Totalförsvarets plikt- och prövningsverks register över totalför- svarets personal Denna förordning träder i kraft . 2Utredningens uppdrag och arbete Utredningens arbete utgår från utredningsdirektiven (dir. 2019:37) och tilläggsdirektiven (dir. 2020:112). I enlighet med utrednings- direktiven lämnade utredningen ett delbetänkande, Informationsöverföring inom vård och omsorg (SOU 2021:4). Utred- ningen ska slutredovisa sitt uppdrag. I detta slutbetänkande redovisas utredningens uppdrag att •se över möjligheterna att ge ett ombud elektronisk åtkomst till patientjournalen, och •sammanställa och översiktligt beskriva eventuella ytterligare frågeställningar som utredningen under arbetet med utrednings- uppdraget uppmärksammat och som utredaren bedömer kräver vidare analys ur ett dataskydds- eller sekretessperspektiv, samt •analysera förutsättningar för och, om lämpligt, föreslå ändringar av bestämmelserna om direktåtkomst och ändamål i förord- ningen (2006:196) om register över hälso- och sjukvårdspersonal. Utredningens båda direktiv i sin helhet bifogas slutbetänkandet, bilaga 1 och 2. Även förordningen om register över hälso- och sjuk- vårdspersonal bifogas slutbetänkandet, bilaga 3. Utredningens uppdrag och arbete 2.2Utredningens delbetänkande innehåller bakgrundsinformation I delbetänkandet (SOU 2021:4) redogjorde utredningen noggrant för relevanta delar av dataskyddsregleringen, bl.a. dataskyddsförord- ningen1, (se kapitel 3, 4 och 6) och regleringen om sekretess och tystnadsplikt (se kapitel 5). Vidare redogjorde utredningen för de strukturförändringar som påverkar förutsättningarna att bedriva hälso- och sjukvård och socialtjänst (se kapitel 11). Mot denna bakgrund upprepar utredningen inte det som framgår av delbetänkandet annat än när det är direkt relevant för övervägan- dena och förslagen i detta slutbetänkande. I förekommande fall görs det hänvisningar till delbetänkandet. Arbetet med frågorna om personuppgiftshantering inom och mellan socialtjänst och hälso- och sjukvård, utom ombuds åtkomst till patientjournal, redovisas i utredningens delbetänkande Informationsöverföring inom vård och omsorg (SOU 2021:4). Utredningsarbetet har bedrivits på sedvanligt sätt med regel- bundna sammanträden och andra kontakter med experter och sak- kunniga. Under arbetet med slutbetänkandet har utredningen haft tre utredningssammanträden digitalt, varav ett slutjusteringsmöte. Utredningen har i enlighet med vad som föreskrivs i direktiven haft samråd med andra utredningar med närliggande uppdrag. Sam- råden har i huvudsak genomförts över telefon eller som digitala möten. Utredningen har haft samråd med företrädare för Utred- ningen Sammanhållen kunskapsstyrning (S 2018:12), Utredningen om välfärdsteknik i äldreomsorgen (S 2018:11), Framtidens socialtjänst (S 2017:03), Samordnad utveckling för god och nära vård (S 2017:01) och Utredningen om hälso- och sjukvårdens beredskap (S 2018:09). Utöver detta har utredningen genomfört digitala möten med före- trädare för , , , , Universitets- och högskolerådet samt 1Europaparlamentets och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning). Utredningens uppdrag och arbete Syftet med mötena har varit att fånga upp information, kunskap och synpunkter utifrån myndig- heternas och organisationernas perspektiv. Slutbetänkandet är indelat i två delar utöver detta kapitel, författ- ningsförslagen i kapitel 1 samt en sammanställning av eventuella ytterligare frågeställningar i bilaga 4. Den första delen, som omfattar kapitel 3–5, innehåller bakgrund med allmänna utgångspunkter. Kapitel 3 innehåller en kort beskriv- ning av den elektroniska tillgången till personuppgifter. I kapitel 4 beskrivs patientens elektroniska tillgång till sina patientuppgifter. Kapitel 5 innehåller en redogörelse för , tillgången till dess uppgifter och regleringen i HOSP-förordningen samt rele- vanta bestämmelser om sekretess. I den andra delen, kapitel 6–11, redogör utredningen inlednings- vis för sina generella överväganden och förslag. I kapitel 6 redogörs för frågan om ombuds elektroniska tillgång till patientuppgifter. I kapitel 7 motiveras utredningens förslag om att på internet till- gängliggöra vissa uppgifter i . I kapitel 8 motiveras utredningens förslag som rör annan elektronisk tillgång till HOSP- registret och de nya ändamålen. Därefter kommer de avslutande kapitlen, kapitel 9–11, där utredningen i kapitel 9 redovisar sin konse- kvensanalys av förslagen och i kapitel 10 redovisar förslag till ikraft- trädande- och övergångsbestämmelser. Författningskommentarerna till lagförslagen återfinns i kapitel 11. Slutligen presenteras i bilaga 4 en översiktlig sammanställning av ytterligare frågeställningar som utredningen under arbetet med utred- ningsuppdraget har uppmärksammat och som utredaren bedömer kräver vidare analys ur ett dataskydds- eller sekretessperspektiv. 3Elektronisk tillgång till personuppgifter Det kvarvarande utredningsuppdraget rör utomståendes elektro- niska tillgång till personuppgifter, patientuppgifter respektive uppgifter om hälso- och sjukvårdspersonals legitimation. Den elek- troniska tillgången kan ges genom direktåtkomst eller annat elektro- niskt utlämnande. Dessa begrepp berörs i avsnitt 3.2. I avsnitt 3.3 berörs dataskyddsaspekter på utomståendes elektroniska tillgång till personuppgifter. Dataskyddsförordningen innehåller inga särskilda restriktioner i fråga om elektroniskt utlämnande av personuppgifter i förhållande till andra former för utlämnande, såsom utlämnande muntligt eller på papper. Om personuppgifter enligt dataskyddsförordningen får lämnas ut till någon, kan utlämnandet således ske elektroniskt så länge säkerheten upprätthålls. I s.k. registerförfattningar finns det däremot inte så sällan en sär- skild reglering av just elektroniskt utlämnande. Finns det inte i en registerförfattning någon bestämmelse som reglerar elektroniskt utlämnande, får sådant utlämnande, genom direktåtkomst eller på annat sätt, ske så länge själva utlämnandet inte är otillåtet. Det anses däremot att en bestämmelse i en registerförfattning som reglerar en viss form av elektroniskt utlämnande bör tolkas motsatsvis så att den formen av elektroniskt utlämnande till andra än som särskilt regle- rats inte är tillåten inom registerförfattningens tillämpningsområde. Om det anges att någon får ha direktåtkomst till ett författnings- reglerat register, innebär det således att andra utomstående inte får ha direktåtkomst. På motsvarande sätt anses en bestämmelse om att elektroniskt utlämnande får ske i t.ex. enstaka fall innebära att elek- troniskt utlämnande inte får ske i andra fall, t.ex. regelmässigt. Elektronisk tillgång till personuppgifter 3.2Innebörden av direktåtkomst och annat elektroniskt utlämnande Direktåtkomst är en form av elektroniskt utlämnande av uppgifter. Uppgifter kan dock lämnas ut elektroniskt även på andra sätt än genom direktåtkomst. I s.k. registerförfattningar används ofta be- greppet ”utlämnande på medium för automatiserad behandling”, men även begrepp som ”elektronisk åtkomst” och ”elektroniskt ut- lämnande” används. Några legaldefinitioner av dessa begrepp finns inte. Vad som avses med begreppen anges ofta i förarbetena till de olika registerförfattningarna.1 Utredningen har i detta betänkande valt att använda begreppet annat elektroniskt utlämnande för sådan överföring av uppgifter i elektroniskt format som inte sker genom direktåtkomst. , som bl.a. hade i uppdrag att avgöra om det fanns skäl att i registerförfattningar upprätthålla åt- skillnad mellan olika former av elektroniskt utlämnande, beskrev begreppen direktåtkomst och medium för automatiserad behandling på följande sätt. •Med direktåtkomst avses vanligtvis att någon har direkt tillgång till någon annans register eller databas och på egen hand kan söka efter information, dock utan att kunna påverka innehållet i registret eller databasen.2 I begreppet ligger också att den som är personuppgiftsansvarig för registret eller databasen inte har någon kontroll över vilka uppgifter som mottagaren vid ett visst söktillfälle tar del av.3 •Med begreppet utlämnande på medium för automatiserad behand- ling avses vanligen ett överlämnande av elektroniskt lagrade uppgifter via något slags medium för lagring eller överföring, exempelvis e-post eller USB-minne. Som regel innefattar denna typ av utlämnande att informationen lämnas ut i en form som medför att mottagaren kan bearbeta informationen.4 Utlämnande kan också ske elektroniskt genom en s.k. fråga-svar-funktion, se vidare nedan. 1Se resonemang i betänkandet Överskottsinformation vid direktåtkomst, SOU 2012:90 s. 198 f. 2SOU 2012:90 s. 198 f. 3SOU 2012:90 s. 198 som hänvisar till prop. 2004/05:164, brottsbekämpning – Effek- tivare uppgiftsbehandling, s. 83 och prop. 2011/12:45, Kustbevakningsdatalag, s. 133. 4SOU 2012:90 s. 198 som hänvisar till prop. 2007/08:126 m.m., s. 77. Elektronisk tillgång till personuppgifter anförde vidare att det, genom informationsteknikens utveckling, har blivit allt svårare att dra gränsen mellan de olika utlämnandeformerna.5 Ett visst klargörande beträffande gränsdragningen har skett genom ett avgörande från (den s.k. LEFI Online-domen), där frågan var om socialnämnderna kunde anses ha direktåtkomst till socialförsäkrings- databas.6 Domstolen konstaterade att de allmänna handlingar hos en myndighet som en annan myndighet genom direktåtkomst får tillgång till utgör allmänna handlingar även hos denna myndighet.7 Av dåvarande 2 kap. 3 § andra stycket (nuvarande 2 kap. 6 § första stycket) tryckfrihetsförordningen framgick att en upptagning anses förvarad hos en myndighet, om upptagningen är tillgänglig för myndigheten med tekniskt hjälpmedel som myndigheten själv utnyttjar för överföring i sådan form att den kan läsas eller avlyssnas eller uppfattas på annat sätt. De allmänna handlingar hos en myndig- het som en annan myndighet får tillgång till genom direktåtkomst utgör allmänna handlingar även hos denna myndighet.8 Domstolen anförde vidare att den avgränsning som på detta sätt görs av begrep- pet direktåtkomst, genom tillämpning av tryckfrihetsförordningens bestämmelser om allmänna handlingars offentlighet, kan användas även för att bestämma innehållet i detta begrepp i 114 kap. 22 § socialförsäkringsbalken. I det aktuella fallet var alltså frågan om upptagningen kunde anses förvarad hos socialnämnderna i tryckfrihetsförordningens mening. Socialnämnderna kunde inte på egen hand söka information i social- försäkringsdatabasen, utan ett utlämnande förutsatte att Försäkrings- kassan reagerade på en begäran om att de efterfrågade uppgifterna skulle lämnas ut. ansågs därmed förfoga över frågan om och i så fall vilka uppgifter som skulle lämnas ut. Någon sådan teknisk tillgång till upptagningar som avses enligt nuvarande 2 kap. 6 § första stycket tryckfrihetsförordningen ansågs social- nämnderna inte ha, vilket innebar att förfarandet inte var att betrakta som direktåtkomst enligt socialförsäkringsbalken. För att ett elektroniskt utlämnande ska anses utgöra direkt- åtkomst krävs det alltså att den aktuella upptagningen anses förvarad 5SOU 2012:90 s. 199. 6HFD 2015 ref. 61. 2002/03:135, Behandling av personuppgifter inom socialförsäkringens administration, s. 90. 2002/03:135 s. 90. Elektronisk tillgång till personuppgifter hos mottagaren på det sätt som avses i 2 kap. 6 § första stycket tryckfrihetsförordningen, dvs. att upptagningen är tillgänglig för mottagaren med tekniskt hjälpmedel som mottagaren själv utnyttjar för överföring i sådan form att den kan läsas eller avlyssnas eller uppfattas på annat sätt. En sådan fråga-svartjänst med fördefinierade frågor och svar som prövades LEFI Online-domen utgör alltså inte direktåtkomst utan utlämnande på medium för automatiserad behand- ling, som utredningen i detta betänkande valt att kalla för annat elek- troniskt utlämnande. 3.3Elektronisk tillgång och dataskydd På grund av de sammanställningsmöjligheter och möjligheter till spridning av uppgifter som en automatiserad behandling erbjuder anses det vara mer känsligt från integritetssynpunkt att lämna ut uppgifter elektroniskt än på papper. En myndighet kan således enligt en bestämmelse om uppgiftsskyldighet ha skyldighet att lämna ut vissa uppgifter till en annan myndighet, men den mottagande myndig- heten kanske bara har rätt att ha direktåtkomst till vissa av dessa uppgifter.9 När det gäller direktåtkomst kan det generellt sägas att sådan åtkomst ökar riskerna för intrång i den personliga integriteten. De upptagningar som direktåtkomsten avser blir allmänna handlingar hos den mottagande myndigheten. Ju fler myndigheter som har direktåtkomst till uppgifter i ett datasystem, desto större blir all- mänhetens möjlighet att få tillgång till uppgifterna. Ett annat skäl till att direktåtkomst kan anses innebära särskilda risker är att sådan åtkomst typiskt sett innebär att uppgifter blir tillgängliga för fler personer och att den utlämnande myndighetens möjligheter att kontrollera användningen så att obehöriga inte tar del av uppgifterna minskar. Den utlämnande myndigheten har inte kontroll över vilka uppgifter som mottagaren vid varje enskilt tillfälle tar del av och vem som tar del av uppgifterna. Det förhållandet att en myndighet får tillgång till uppgifter genom direktåtkomst ger dock inte mottagaren rätt att behandla personuppgifterna. Mottagaren måste ha rättsligt stöd i sin egen registerlagstiftning eller i annan tillämplig dataskydds- 2011:86, Integritet, effektivitet och öppenhet i en modern e-förvaltning, s. 11. Elektronisk tillgång till personuppgifter reglering för behandlingen av personuppgifter och även i övrigt uppfylla alla skyldigheter som är förenade med den. Även elektroniskt utlämnande av personuppgifter på annat sätt än genom direktåtkomst kan innebära risker för den personliga integ- riteten. Sådant utlämnande innebär nämligen som regel att mot- tagaren lättare kan bearbeta informationen, t.ex. genom att samköra den med information som hämtas från andra källor och sprida den vidare elektroniskt. 4Patientens elektroniska tillgång till sina patientuppgifter I delbetänkandet Informationsöverföring inom vård och omsorg (SOU 2021:4) har utredningen redogjort för gällande rätt när det gäller skyddet för personuppgifter. Utredningen har bl.a. redogjort för att den enskildes rätt till skydd för personuppgifter är ett utflöde av skyddet för den personliga integriteten och rätten till respekt för privatlivet. Dessa grundläggande rättigheter skyddas av såväl svensk grundlag som av för bindande internationella regelverk (se närmare beskrivning i kapitel 3 i delbetänkandet). Dessutom har utredningen beskrivit dataskyddsförordningen (se kapitel 4 i del- betänkandet) och bestämmelser om sekretess och tystnadsplikt inom hälso- och sjukvård (se kapitel 5 i delbetänkandet). Vidare har utredningen redogjort för olika elektroniska former för utlämnanden av personuppgifter, bl.a. direktåtkomst (avsnitt 6.6 i delbetänkandet). Utredningen kommer inte här att upprepa sådant som beskrivs detal- jerat i delbetänkandet. I förekommande fall görs hänvisningar till beskrivningarna i delbetänkandet. I detta kapitel kommer utred- ningen att fokusera på relevanta bestämmelser när det gäller just att låta ombud få elektronisk tillgång, t.ex. genom direktåtkomst, till patientuppgifter. Nedan följer inledningsvis en beskrivning av invånarnas använd- ning av e-hälsotjänster i allmänhet och 1177 Vårdguidens e-tjänst Journalen i synnerhet.