sou · H9B339 · 2022-01-01 00:00:00 — Patientens elektroniska tillgång till sina patientuppgifter därför inte den generellt utformade samtyckesregeln åberopas till stöd för att åsidosätta en specialreglering av det slaget. Datainspektionen hade alltså haft fog för att förelägga att upphöra med att ge ombud direktåtkomst till person- uppgifter om enskilda. betonade att 5 kap. 4 och 5 §§ patientdatalagen är avsedda att uttömmande reglera till vem och under vilka förutsättningar en vårdgivare får ge direkt- åtkomst till en enskild. Eftersom det inte finns någon bestämmelse som medger att direktåtkomst också får ges till ett ombud, är sådan direktåtkomst således inte tillåten ens med patientens samtycke. Efter domen stod det klart att den lagtolkning som flera regioner gjort, dvs. att patienter kunde samtycka till att dela sin patientjournal med ett ombud genom direktåtkomst, inte var tillåten. Möjligheten för patienter att dela sina elektroniska journaluppgifter med ombud upphörde och den tjänst som gjorde det möjligt stängdes. 4.12Direktåtkomst för patienter och deras ombud enligt lagen om nationell läkemedelslista Lagen (2018:121) om nationell läkemedelslista trädde i kraft den 1 maj 2021.38 Enligt den lagen får patienten ha direktåtkomst till uppgifter om sig själv. Direktåtkomst får även ges till en annan fysisk person som patienten utsett genom en fullmakt som finns regi- strerad i den nationella läkemedelslistan (5 kap. 6 § lagen om natio- nell läkemedelslista). Patientens direktåtkomst till uppgifter i den nationella läke- medelslistan omfattar samtliga uppgifter som är att hänföra till patienten, med undantag för uppgifter för vilka sekretess gäller enligt 25 kap. 6 § eller 12 kap. 3 § offentlighets- och sekretesslagen. Sådana uppgifter som omfattas av sekretess i förhållande till patien- ten själv får således inte lämnas ut till patienten eller dennes ombud. infördes bestämmelser som medför att direktåtkomst till uppgifter i den nationella läkemedelslistan får ges till en fysisk person som patienten utsett genom fullmakt som finns registrerad i den nationella läkemedelslistan. Registrering av uppgifter om fullmakter 38Lagen träder dock i kraft först i fråga om bestämmelserna i 7 kap. 1 § och Genom lagen upphävs lagen (1996:1156) om receptregister och lagen (2005:258) om läkemedelsförteckning. Patientens elektroniska tillgång till sina patientuppgifter ska vara ett ändamål för vilket personuppgifter får behandlas i den nationella läkemedelslistan.39 När det gäller möjligheten att låta ett ombud få direktåtkomst till uppgifter i den nationella läkemedelslistan, uttalades i förarbetena att frågan inte är oproblematisk. En sådan ordning skulle kunna leda till ett obehörigt nyttjande av uppgifterna i listan. Det kan finnas en risk att patienten känner sig tvingad eller blir vilseledd till att medge direktåtkomst till uppgifter. Därtill är uppgifterna i den nationella läkemedelslistan integritetskänsliga, kanske något känsligare än registerinnehållet i det tidigare receptregistret. Regeringen ansåg dock att de integritetsrisker som finns, får vägas mot det behov som vissa patienter har av att kunna utse en person som kan hjälpa dem med det praktiska kring deras läkemedelsanvändning. Behovet kan orsakas av att patienten på grund av hög ålder eller fysiska hinder behöver hjälp med att hålla ordning på sina läkemedel. Att inte ge ombud direktåtkomst till den nationella läkemedelslistan skulle försvåra vissa patienters läkemedelshantering och även kunna leda till patientsäkerhetsrisker. Regeringen föreslog därför att den som patienten (fullmaktsgivaren) utser som ombud ska kunna ges direkt- åtkomst till uppgifter i den nationella läkemedelslistan. Med hänsyn till risken för obehörigt nyttjande av uppgifterna i listan måste dock fullmakter som avser direktåtkomst vara registrerade i den nationella läkemedelslistan och får endast avse en fysisk person. Ombudets direktåtkomst omfattar inte uppgifter för vilka sekretess gäller mot fullmaktsgivaren (dvs. 2017/18:223 s.164 f. 2017/18:223 s. 165. Ett grundläggande syfte med bestämmelserna om behörighetskrav för yrken inom hälso- och sjukvården är patientsäkerheten. Inom hälso- och sjukvården ansvarar såväl vårdgivaren som hälso- och sjukvårdspersonalen för en god och säker vård av patienten. Även patienten kan genom att vara delaktig i den egna vården göra vården säkrare. Möjligheten att försäkra sig om att personalen har rätt behörighet kan ses som ett verktyg för detta. över legitimerad hälso- och sjukvårdspersonal () fyller här en viktig funktion. Idetta kapitel redovisas inledningsvis och regler- ingen i förordningen (2006:196) om register över hälso- och sjuk- vårdspersonal (HOSP-förordningen). Därefter följer en redogörelse för innebörden av elektroniskt utlämnande samt avslutningsvis för sekretessregleringen av uppgifter i och allmänt om sekretessbrytande bestämmelser. 5.2Behörighetskontroll av hälso- och sjukvårdspersonal 5.2.1Behörighetskrav för viss hälso- och sjukvårdspersonal Frågor om behörighet att utöva yrken inom hälso- och sjukvården regleras särskilt. Behörighetskraven ska garantera en viss kunskaps- nivå och sådana personliga egenskaper hos yrkesutövaren att denne är förtjänt av myndigheternas och allmänhetens förtroende.1 Behörig- 1Enligt 2 kap. 17 § regeringsformen får begränsningar i rätten att driva näring eller utöva yrke införas endast för att skydda angelägna allmänna intressen och aldrig i syfte enbart att ekonomiskt gynna vissa personer eller företag. hetsreglerna bidrar till att samhällets mål om att hälso- och sjuk- vården ska vara av god kvalitet uppnås och till att patientens behov av trygghet i vården och behandlingen tillgodoses. En viktig skillnad mellan en examen och en legitimation är att en legitimation kan åter- kallas om den som innehar den inte längre uppfyller kraven. Legiti- mationen utgör därför det viktigaste kompetensbeviset för en yrkes- utövare inom hälso- och sjukvården. Den är en personlig behörighet och ett uttryck för att den legitimerade står under samhällets tillsyn och har godkänts för yrkesverksamhet inom det område som legiti- mationen avser. Krav på legitimation för att få utöva sitt yrke gäller flera yrkesgrupper inom hälso- och sjukvården och inom tandvården. Regleringen finns i 4 kap. patientsäkerhetslagen (2010:659), med när- mare föreskrifter i patientsäkerhetsförordningen (2010:1369). prövar ansökningar om legitimation, särskilt för- ordnande att utöva yrke och bevis om specialistkompetens (4 kap. 10 § patientsäkerhetslagen). Prövningen av en ansökan om legiti- mation avser dels om den sökande uppfyller de fastlagda kraven på utbildning och i förekommande fall fullgjord praktik för yrket i fråga, dels att förhållandena inte är sådana att legitimationen skulle ha återkallats enligt bestämmelserna i 8 kap. patientsäkerhetslagen om sökanden hade varit legitimerad. Sådana omständigheter är exem- pelvis om den legitimerade varit grovt oskicklig vid utövning av sitt yrke, i eller utanför yrkesutövning gjort sig skyldig till ett allvarligt brott som är ägnat att påverka förtroendet för yrkesutövaren eller på annat sätt visat sig uppenbart olämplig att utöva yrket eller på grund av sjukdom eller någon liknande omständighet inte kan utöva yrket tillfredsställande. gör normalt ingen övrig kvalitets- eller lämplighetsbedömning av en yrkesutövare i samband med att legitimation meddelas. Uppgifter om de yrkesutövare som omfattas av legitimationsbestäm- melser, samt uppgifter om specialistbevis för läkare och tandläkare registreras i . omfattar personer som har sökt och fått legitimation för yrken inom hälso- och sjuk- vårdens område. finns i följande 22 legiti- mationsyrken: apotekare, arbetsterapeut, audionom, barnmorska, biomedicinsk analytiker, dietist, fysioterapeut eller sjukgymnast, hälso- och sjukvårdskurator, kiropraktor, läkare, logoped, naprapat, optiker, ortopedingenjör, psykolog, psykoterapeut, röntgen-sjuk- sköterska, receptarie, sjukhusfysiker, sjuksköterska, tandhygienist och tandläkare. Det huvudsakliga ändamålet för registret är att föra en aktuell förteckning över legitimerad hälso- och sjukvårdspersonal (4 § HOSP-förordningen). Uppgifterna i registret används av arbets- givare, apotek och allmänhet främst för upplysningar om sjukvårds- personalens identitet och behörighet. Dessutom utgör registerupp- gifterna nödvändigt underlag för myndigheternas tillsyn men också för statistik och prognoser över tillgången på hälso- och sjukvårds- personal. Registret syftar dock ytterst till att bidra till att upprätt- hålla en hög patientsäkerhet. Det är en rättslig skyldighet för att föra ett register över hälso- och sjukvårdspersonal (1 § HOSP-förordningen). Social- styrelsen är också personuppgiftsansvarig för registret (3 a § HOSP- förordningen). I registret finns uppgifter om namn, personnummer, folkbokföringsort, yrke, eventuell specialistutbildning och datum då legitimation eller specialistkompetens utfärdades samt eventuell för- skrivarkod. Registret innehåller även uppgifter om de fall där prövo- tid pågår, om en legitimation är återkallad eller om en förskrivnings- rätt är begränsad eller indragen, men registret innehåller inga upp- lysningar om pågående tillsynsärenden. Registret förs utan samtycke från de registrerade och innehåller uppgifter om närmare 480 000 yrkesutövare. har till utredningen uppgett att antalet förfråg- ningar om uppgifter i registret har ökat , vilket bl.a. beror på att bemanningsföretag gör fler periodiska kontroller än tidigare och att fler förfrågningar görs av allmänheten. Socialstyrel- sen har vidare uppgett att myndigheten svarar på cirka 100 000 e-postförfrågningar om innehållet i . Till det tillkommer cirka 750 större beställningar och cirka 8 000 telefon- samtal. Myndigheten har som mål att svara vid för- frågningar om och beställningar av uppgifter från . varierade dock svarstiden mellan 5 och . kostnad för att besvara frågor samt förvalta och utveckla uppgick till , vilket var en ökning jämfört med (7,) och (5,). hantering av HOSP- registret och därtill hörande frågor upptar således en inte obetydlig del av myndighetens resurser. arbetar fem personer heltid med hantering av registret. Behandlingen av uppgifterna i registret regleras främst i HOSP- förordningen. HOSP-förordningen reglerar, som ovan sagts, behandling av upp- gifter i . Förordningen innehåller bestämmelser som kompletterar dataskyddsförordningen2. Behandling av personupp- gifter i enlighet med dataskyddsförordningen är endast tillåten om den stöder sig på minst en av de rättsliga grunder som räknas upp i artikel 6.1 i dataskyddsförordningen. Grunden för sådan behandling av personuppgifter som är nödvändig för att den personuppgifts- ansvarige ska kunna uppfylla en rättslig förpliktelse (artikel 6.1 c) eller utföra en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning (artikel 6.1 e) måste fastställas i nationell rätt eller EU-rätt (artikel 6.3). Vid behandling av personuppgifter enligt HOSP-förordningen gäller dataskyddslagen3 och föreskrifter som har meddelats i anslut- ning till den lagen, om inte annat följer av HOSP-förordningen. IHOSP-förordningen regleras uttömmande vilka uppgifter som registret får innehålla. Av 6 § följer att registret endast får innehålla följande uppgifter: 1.namn, personnummer, samordningsnummer eller andra liknande identitetsbeteckningar och kön, 4.grundyrke, läroanstalt, utbildningsland och datum för utfärdande av examen, 2Europaparlamentets och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av person-uppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning). 3Lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning. 6.datum för utfärdande av legitimation respektive bevis om specialistkompetens, 7.datum när ett tidsbegränsat behörighetsbevis enligt 6 upphör att gälla, 8.beslut om partiellt tillträde, 9.beslut om prövotid och återkallelse av legitimation, 10.förskrivarkod och omfattning av förskrivningsrätt, och 11.sådana tekniska och administrativa uppgifter som är nödvändiga för att registerändamålen ska kunna tillgodoses. En person som är registrerad har inte rätt att motsätta sig sådan behandling av personuppgifter som är tillåten enligt HOSP-förord- ningen (3 §). Vad som avses med de första punkterna i 6 § är i regel självklart men det kan finnas anledning att närmare förklara vad som avses med punkterna 7–10. Beslut om tidsbegränsat behörighetsbevis (punkten 7) kan vara aktu- ellt när yrkeskvalifikationerna är förvärvade i en annan stat inom EES eller i och yrkesutövaren avser att tillfälligt utöva ett yrke i . Regleringen finns i 5 kap. patientsäkerhetsförordningen. Beslut om partiellt tillträde (punkten 8) kan fattas i enlighet med 3 kap 8 § förordningen (2016:157) om erkännande av yrkeskvali- fikationer.4 Syftet är att kunna ge yrkesverksamma en rätt att utöva ett yrke i ett annat land även om de verksamhetsområden som om- fattas av yrket i det mottagande landet är bredare än i det land där den yrkesverksamme fått sina kvalifikationer. Ett beslut om partiellt tillträde kan vara aktuellt under vissa särskilt angivna förutsättningar och innebär att ett erkännande av yrkesutövarens yrkeskvali- fikationer begränsas till att avse tillträde till en del av ett reglerat yrke (partiellt tillträde). Om partiellt tillträde till ett yrke har beviljats, ska yrket utövas under ursprungsstatens yrkestitel. Yrkesutövaren ska vid yrkesutövningen lämna tydlig information om behörighetens räckvidd. 4Genom förordningen genomförs allmänna bestämmelser i och rådets direktiv /36/EG av om erkännande av yrkeskvalifikationer, i lydelsen enligt och rådets direktiv /55/EU (yrkeskvalifikationsdirektivet). Beslut om prövotid och återkallelse av legitimation (punkten 9) och annan behörighet fattas av (). Inspektionen för vård och omsorg () har tillsyn över hälso- och sjukvårdspersonalen och utreder enskilda yrkesutövare med utgångspunkt i patientsäkerheten och de risker som kan finnas i den enskildes utövande av yrket. Om efter genomförd utred- ning bedömer att det finns skäl för beslut om prövotid, återkallelse av legitimation, återkallelse av annan behörighet att utöva yrke inom hälso- och sjukvården eller begränsning i förskrivningsrätt, ska anmäla detta till som därefter får fatta beslut. Närmare bestäm- melser om prövotid och återkallelse av legitimation finns i 8 kap. patientsäkerhetslagen. Förskrivarkod (punkten 10) behöver den som ska skriva ett recept för läkemedel. Läkare, tandhygienister och tandläkare får sin person- liga förskrivarkod av i samband med beslutet om legitimation. Sjuksköterskor och barnmorskor som har ansökt om förskrivningsrätt får sin personliga förskrivarkod efter beslut från . Förskrivningsrätten för hjälpmedel som gäller exem- pelvis arbetsterapeut och fysioterapeut/sjukgymnast lämnas i stället lokalt av varje region eller kommun. Förskrivningsrätten kan dras in eller begränsas efter beslut av om den som innehar rätten på något sätt misskött sig eller missbrukat sin rätt på ett sätt som även- tyrar patientsäkerheten (8 kap. 10 och 11 §§ patientsäkerhetslagen). Förskrivningsrätten får också dras in eller begränsas på egen begäran. Som framförts ovan är det huvudsakliga syftet med registret att föra en aktuell förteckning över all legitimerad hälso- och sjukvårds- personals behörighet. Uppgifterna i registret används främst av apotek, arbetsgivare, myndigheter och allmänhet för legitimations- kontroll och tillsyn. Dessutom utgör registeruppgifterna underlag för viss statistik och prognoser över tillgången på hälso- och sjuk- vårdspersonal. Av 4 § HOSP-förordningen följer att personuppgifterna i registret får behandlas för att föra en aktuell förteckning över legiti- merad hälso- och sjukvårdspersonal. Personuppgifterna i registret får enligt 5 §, utöver detta, behandlas endast för att 1.utöva tillsyn över hälso- och sjukvården och dess personal, 2.lämna uppgifter till den nationella läkemedelslistan enligt lagen (2018:1212) om nationell läkemedelslista, 3.lämna uppgifter till myndigheter och enskilda i enlighet med det som föreskrivs i annan författning eller avtal, 4.i samband med behandling av person- uppgifter enligt lagen om nationell läkemedelslista lämna upp- gifter till den myndigheten för kontroll av identitet och behörighet ifråga om förskrivare, legitimerade sjuksköterskor utan behörig- het att förskriva läkemedel, apotekare, receptarier och dietister, 5.lämna uppgifter till för kontroll av för- skrivares identitet och behörighet vid expedition på öppenvårds- apotek av läkemedel och andra varor som förskrivits, 6.kontrollera hälso- och sjukvårdspersonals identitet och behörighet isamband med tjänstetillsättning och under anställning eller upp- drag, och 7.kontrollera hälso- och sjukvårdspersonals identitet och behörighet att utfärda intyg. De angivna ändamålen är således de enda för vilka uppgifterna i registret får behandlas. Den uttömmande regleringen innebär att principen om ändamålsbegränsning (finalitetsprincipen), som inne- bär att personuppgifter bara får samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål (artikel 5.1 b i dataskydds- förordningen), inte är tillämplig i den meningen att vidare behand- ling av personuppgifterna inte får ske ens för ändamål som inte är oförenliga med de angivna. I 6 kap. 5 § offentlighets- och sekretesslagen (2009:400) anges att en myndighet på begäran av en annan myndighet ska lämna uppgift som den förfogar över, om inte uppgiften är sekretessbelagd eller det skulle hindra arbetets behöriga gång. Enligt ett avgörande från ska den personuppgiftsansvariga myndigheten utöver sekretessprövningen inte göra någon kontroll av förenlig- heten med finalitetsprincipen i samband med lämnande av uppgifter enligt 6 kap. 5 § offentlighets- och sekretesslagen.5 Av avgörandet framgår att uppgiftslämnandet också ska vara förenligt med bl.a. de grundläggande principerna för behandling av personuppgifter, exem- pelvis att uppgiftslämnandet som sådant ska omfattas av lämpliga säkerhetsåtgärder och att fler uppgifter än vad som behövs för att uppfylla mottagarens behov inte får lämnas. Det framkommer även att det ankommer på den utlämnande myndigheten att säkerställa att personuppgifterna lämnas till den mottagande myndigheten i enlig- het med tillämpliga dataskyddsregler. är inte publikt i den meningen att den som vill få ut uppgifter ur registret måste kontakta med begäran om att få uppgifterna utlämnade. Utlämnanden får göras på medium för automatiserad behandling om uppgifterna ska behandlas för de ändamål som anges i 4 och 5 §§, men inte genom direktåtkomst (7 § HOSP-förordningen). Några aktörer får dock ha direktåtkomst till uppgifterna i registret (7 a § HOSP-förordningen). Vid direktåt- komst är det möjligt för mottagaren att ta del av uppgifter utan att den utlämnande aktören, i detta fall , behöver vidta någon åtgärd. Direktåtkomst ger därmed förutsättningar för att arrangera utlämnanden som sker enkelt, snabbt och utan kon- tinuerlig administration. Av 7 a § HOSP-förordningen följer att får ha direktåtkomst till uppgifterna i registret. Av paragrafen följer även att en offentlig vårdgivare får ha direktåtkomst till uppgifter som avses i 6 § 1, 3 och 5–10 samt att Transportstyrelsen får ha direktåtkomst till uppgifter som avses i 6 § 1, 3, 5 och 7–9. Av 7 b § HOSP-förordningen följer att den myndighet som har medgetts direktåtkomst ansvarar för att tillgången till personupp- gifter begränsas till vad varje användare behöver för att kunna fullgöra sina arbetsuppgifter. Det framgår vidare att direktåtkomst inte får medges innan har försäkrat sig om att behörighets- 5HFD 2021 ref. 10. Region begärde med stöd av bestämmelsen om uppgifts- skyldighet mellan myndigheter, 6 kap. 5 § offentlighets- och sekretesslagen, att Social- styrelsen till regionen skulle lämna vissa personuppgifter från . I målet upp- kom frågan om ett sådant uppgiftslämnande är förenligt med den s.k. finalitetsprincipen enligt dataskyddsförordningen och om vilken prövning som ska göras då en myndighet begär att få ta del av personuppgifter med stöd av bestämmelsen. och säkerhetsfrågorna är lösta på ett sätt som är tillfredsställande ur integritetssynpunkt. Genom en ändring i HOSP-förordningen, som trädde i kraft , fick den då nyinrättade myndigheten direkt- åtkomst till uppgifter registret för sin tillsyn över hälso- och sjuk- vården och dess personal. I enlighet med Utredningen om rätt infor- mation i vård och omsorgs förslag i delbetänkandet SOU 2012:42 medgavs också vårdgivare, men bara offentliga vårdgivare och inte alla som förslaget avsåg, och Transportstyrelsen direktåtkomst till . Det finns skäl att här kort redovisa de främsta motiven till detta. IVO:s främsta arbetsuppgift är att svara för tillsyn och tillstånds- prövning inom hälso-och sjukvård, socialtjänst och verksamhet enligt lagen (1993:387) om stöd och service till vissa funktions- hindrade. Myndigheten, som inrättades , ansågs ha behov av direktåtkomst till samtliga uppgifter i . Vårdgivare6 har ansvaret för att det finns rätt kompetens i verk- samheten men också för att hälso- och sjukvårdspersonalen har rätt behörighet för sina arbetsuppgifter7 och för åtkomst till patient- uppgifter i exempelvis journalsystemen. Bestämmelser om vård- givarens ansvar för detta finns bl.a. i patientsäkerhetslagen och, när det gäller tilldelning av behörighet för åtkomst av personuppgifter, i patientdatalagen (2008:355). Det är alltså nödvändigt att en vård- givare i egenskap av arbetsgivare lätt och regelbundet kan kontrollera yrkesutövarens kompetens och behörighet; både i samband med rekrytering och under löpande anställning för att kunna säkerställa att den anlitade är behörig att utöva sina arbetsuppgifter och ta del av integritetskänsliga patientuppgifter. Utredningen om rätt infor- mation i vård och omsorg föreslog därför i sitt delbetänkande8 att vårdgivare skulle ges direktåtkomst till i princip samtliga uppgifter i registret och att ändamålsbestämmelserna skulle ändras på så sätt att uppgifterna i får användas för att kontrollera behörig- heten såväl vid rekrytering som under pågående anställning. 6Med vårdgivare avses statlig myndighet, region och kommun i fråga om sådan hälso- och sjukvård som myndigheten, regionen eller kommunen har ansvar för samt annan juridisk person eller enskild näringsidkare som bedriver hälso- och sjukvård, begreppet definieras bl.a. i 1 kap. 3 § patientsäkerhetslagen (2010:659) och i 1 kap. 3 § patientdatalagen. Med offentlig vårdgivare avses statlig myndighet, region och kommun i fråga om sådan hälso- och sjukvård som myndigheten, regionen eller kommunen har ansvar för. 2009/10:210 Patientsäkerhet och tillsyn, s. 206. 8SOU 2012:42, s. 11. avsåg att ge alla vårdgivare möjlighet att själva direkt mot registret kontrollera yrkesutövares behörighet. har dock endast offent- liga vårdgivare möjlighet att ha direktåtkomst till registret. Det ansågs krävas mer omfattande lagändringar om det skulle bli möjligt att erbjuda privata vårdgivare samma förutsättningar. Möjligheten omfattar direktåtkomst till flera av uppgifterna i registret men inte till uppgift om folkbokföringsort, grundyrke, läroanstalt, utbild- ningsland eller datum för utfärdande av examen. Transportstyrelsen kontrollerar att den som utfärdat ett synintyg för körkort är legitimerad optiker. Denna kontroll gjordes innan direktåtkomst blev möjlig genom att regelbundet lämnade ut uppgifter till Transportstyrelsen på medium för auto- matiserad behandling (filöverföring). Enligt Transportstyrelsen han- terades omkring 270 000 synintyg .