Patientdatalagen – i teori och praktik Patientdatalagen började gälla 2008-07-01

Patientdatalagen Inledning Behörighetshantering (verksamhetschef) Inre sekretessområdet Sammanhållen journalföring Spärrar Tillsyn Vad behöver vårdgivarna göra Vad är på gång inom juridiken Samordnad vårdplanering och sammanhållen journalföring Länkar Detta kommer presentationen gå igenom.

Patientdatalagen Möjliggör: en informationshantering inom hälso- och sjukvården som kan tillgodose patientsäkerhet och god kvalitet och samtidigt främja kostnadseffektivitet. att personuppgifter utformas och behandlas så att patienters och övriga registrerades integritet respekteras. I syftet finns balansen mellan patientsäkerhet och patientintegritet beskriven. Patientdatalagen är en lag som har ett tydligt syfte i sig, att det ska finnas en balans mellan patientsäkerhet och patientintegritet ingen av de två faktorerna väger tyngre än den andra.

Allmänt ersatte patientjournallag och vårdregisterlag 1 juli 2008, medförde några ändringar i sekretesslagen gäller för alla vårdgivare oavsett huvudmannaskap ramlagstiftning; anger vilka grundläggande principer som ska gälla för informations-hanteringen avseende uppgifter om patienter inom all hälso- och sjukvård. Förtydligas i SOSFS 2008:14 Detta är bara grundläggande ramlagstiftning – det finns tolknings utrymme. Ramlag är vad som står, grundläggande principer, det är sedan tillsynsmyndigheterna som ger mer exakta tolkningar genom sina tillsynsbeslut. Tillsyn hos vårdgivare görs av Datainspektionen (ser på integritetsperspektivet) och Socialstyrelsen (ser på patientsäkerhetsperspektivet). Socialstyrelsen har tagit fram en handbok (ett förtydligande av föreskrifterna kring PDL som Socialstyrelsen gjort) – som ger hälso- och sjukvårdspersonalen stöd för hur lagen ska tolkas.

Vårdgivare Statlig myndighet, landsting och kommun i fråga om sådan hälso- och sjukvårdsverksamhet som myndigheten, landstinget eller kommunen har ansvar för (offentlig vårdgivare) samt annan juridisk person eller enskild näringsidkare som bedriver hälso- och sjukvårdsverksamhet (privat vårdgivare) Socialstyrelsens termbank Genom att definitionen finns i lagen går det inte för vårdgivarna att ha egna definitioner på vad en vårdgivare är (gäller vid hantering av patientuppgifter). Med vårdgivare avses den juridiska personen kommunen eller landstinget. Privata aktörer som bedriver hälso- och sjukvård är att betrakta som egna vårdgivare. Detta innebär att det inom en kommuns geografiska område kan finnas ett stort antal olika vårdgivare som bedriver hälso- och sjukvård.

Alla vet vad är vårdgivare är… Personal hos vårdgivarna har ofta en helt annan uppfattning de förknippar ofta vårdgivare med hälso- och sjukvårdspersonal, dvs. Syster Anna och Dr Ek är två olika vårdgivare Det finns en risk att vi pratar förbi varandra, alla vet vad en vårdgivare är – men vi har ofta olika tolkningar av ordet. Med vårdgivare avses den juridiska personen kommunen eller landstinget. Privata aktörer som bedriver hälso- och sjukvård är att betrakta som egna vårdgivare. Detta innebär att det inom en kommuns geografiska område kan finnas ett stort antal olika vårdgivare som bedriver hälso- och sjukvård.

Styrning av behörigheter SOSFS 2008:14 2 kap. Ansvar för informationssäkerhet 6§ Vårdgivaren ska ansvara för att det i ledningssystemet finns rutiner som säkerställer att hälso- och sjukvårdspersonal och andra befattningshavares behörighet begränsas till vad som är nödvändigt för att ge en god och säker vård. Varje vårdgivare är enligt författningskrav SOSFS 2011:9 skyldiga att ha ett ledningssystem för kvalitetsarbete (föreskrifterna ersatte vid årsskiftet SOSFS 2005:12 om ledningssystem för kvalitet och patientsäkerhet i hälso- och sjukvården). När man i 2008:14 säger ledningssystem är det detta ledningssystem som avses. Vårdgivaren ansvarar för att man har bra rutiner för hantering av behörigheter, dvs att rutinerna tas fram.

Styrning av behörigheter fortsättning Vårdgivaren ska vidare ansvara för att varje användare tilldelas en individuell behörighet för åtkomst till patientuppgifter. Vårdgivarens beslut om tilldelning av behörighet ska föregås av en behovs- och riskanalys. Vårdgivaren ska även ansvara för att det finns rutiner för tilldelning, förändring, borttag och regelbunden uppföljning av behörigheterna. Behovsinventering och riskanalys – vilka behov av information finns och vilka är riskerna om behörighetstilldelningen blir för snäv – eller för vid. Vårdgivaren ansvarar men det är enligt SOSFS 2008:14 ”Verksamhetschefen som ansvarar för att utdelade behörigheter för åtkomst till patientuppgifter är ändamålsenliga och förenliga med hälso- och sjukvårdspersonalens och andra befattningshavares aktuella arbetsuppgifter”. Vilket innebär att verksamhetschefen är den som tilldelar rättigheter för respektive anställda, studenter och uppdragstagare ex hyrpersonal).

Riskanalys Beskrivning Risk värde Användare kommer åt information som de ej är berättigade till 25 Utveckling av systemet (behörighet) går långsamt. (Vi kan inte systemet tillräckligt, behöver mer information, lära oss om tips & trix Användare har vid/stor behörighet, frestas att läsa för mkt. För lite kunskap om vilka regler som gäller 20 Saknas info om när personal slutar, så att behörigheterna kan tas bort För mkt info som skickas ut, användarna läser inte Behörighet sedan tidigare som inte gäller på aktuell klinik 16 Användare står kvar på en enhet/enheter som de ej har behörighet till. Slutat eller lång ledighet Ej behovstilldening. Så här kan en riskanalys se ut. Utvecklingen av systemet gick för långsamt Användarna kan frestats att läsa för mycket. Har inte kunskap oöm vilka regler som gäller Man tar inte bort personal som slutar Om man får för mycket infromaton, svårt att ta till sig. Man kan ha gamla behörigheter, från äldra verkshameter

Åtkomstkontroll – kontroll av loggar Vårdgivaren är skyldig att genomföra systematiska åtkomstkontroller i sina system, det vill säga kontinuerligt och enligt rutiner kontrollera att tillgång till patientuppgifter nyttjas enligt gällande regelverk. Även patienten ska ha möjlighet att få information om när och vilken vårdenhet som tagit del av hennes/hans information. Patientdatalagen ger dig inte rätt att få reda på vem som har tagit del av uppgifter i din journal. Däremot har du rätt att få information om vilken vårdenhet som har haft åtkomst till viss information och vid vilken tidpunkt åtkomsten skett. Informationen ska dessutom vara utformad på ett sådant sätt att du kan bedöma om åtkomsten var befogad eller inte. Många vårdgivare lämnar även namn på vem som tagit del av informationen, vilket ofta är enförutsättning för att patienten ska kunna bedöma om åtkomsten varit befogad eller inte.

Inre sekretess dvs inom en vårdgivare 4 kap. 1 § ...får ta del av journaluppgift endast om du deltar i vården av patienten eller av annat skäl behöver uppgifterna för arbetet inom hälso- och sjukvården. Här är det viktigt att inte blanda ihop spärr och sekretess. Sekretess gäller mellan vårdgivare (myndigheter). Spärr kan sättas på vårdenhet av patienten. Sekretess finns inte inom en vårdenhet, sekretess finns inom en myndighet dvs. vårdgivare. Inre sekretessområdet – din vårdgivare. Kan vara stor om man arbetar inom ett stort landsting, kan vara liten om man arbetar på en privat vårdcentral. Som det framgår av lagen kan även annan personal än hälso- och sjukvårdspersonal få ta del av journaluppgifter –OM man behöver uppgifterna för att kunna utföra sitt arbete.

Ändamål Vård och behandling Kvalitetssäkring Administration Upprättande av dokumentation som följer av lag, förordning eller annan författning Framställning av statistik om hälso- och sjukvården ”Kvalitetsregister” PDL får användas för en mängd olika ändamål men i den här presentationen omfattar enbart ändamålet vård och behandling (vilket är det vanligaste ändamålet när den stora delen av hälso- och sjukvårdspersonalen behandlar patienteruppgifter.

Journalhandling Framställning i skrift eller bild samt upptagning som kan läsas, avlyssnas eller på annat sätt uppfattas endast med tekniskt hjälpmedel och som upprättas eller inkommer i samband med vården av en patient och som innehåller uppgifter om patientens hälsotillstånd eller andra personliga förhållanden eller om vidtagna eller planerade vårdåtgärder 1 kap. 3 § PDL Vad är en journalhandling – betydligt mer än vad vi tänker på när vi hör ordet journal.

Sekretessområde utökas Tidigare lagstiftning Enl Patientdatalagen A B A B C D C D Det är nu möjligt för hälso- och sjukvårdpersonal, att inom en vårdgivare som bedriver vård inom olika myndigheter, att vid behov enkelt kunna ta del av patientuppgifter dokumenterade inom olika myndigheter (tidigare krävdes utlämnande från den ena myndigheten till den andra). Ett exempel är från Stockholm där Karolinska sjukhuset (egen nämnd) och primärvården (egen nämnd) nu är en vårdgivare och primärvården kan (vid behov) ta del av patientens information från Karolinska sjukhuset genom elektronisk åtkomst. Myndigheter har sekretess mellan sig Ingen sekretess mellan ingående myndigheter

Sammanhållen journalföring SLL-IT Ewa Jerilgård Sammanhållen journalföring A B C D Nämnd Bolag Privata Kommun E G F E A B C D F G Sammanhållen journalföring SHJ (Sammanhållen journalföring) gör det möjligt för en vårdgivare att ge eller få direktåtkomst till patientuppgifter hos en annan vårdgivare. I ett landsting eller en kommun med flera olika nämnder som bedriver hälso- och sjukvård är det landstinget resp. kommunen i sig som är vårdgivare, inte de enskilda nämnderna. Ex: Många vårdgivare (landsting) i landet har SHJ med en eller flera andra vårdgivare. Ibland sker det genom att de ingående vårdgivarna använder samma journalsystem. I Stockholm används t.ex. Obstetrix och Take care för SHJ. Ibland kan det ske genom att vårdgivarna har sitt eget journalsystem men att en gemensam tjänst används för den information som delas, t.ex. NPÖ. Även när en vårdgivare ges möjlighet att titta på en annan vårdgivares information utan att själva bidra med sin egen är det en SHJ, ex kan vara när kommunens distriktssköterskor får ett ”titthål” in i landstingets journalsystem. Det ställs stora krav på Vårdgivarna för att de ska kunna ansluta sig till en Sammanhållen journalföring – vilket visas i några av de följande bilderna.

Sammanhållen journalföring Innebär att Vårdgivare får göra elektroniska patientjournaler tillgängliga för andra vårdgivare Får användas endast för den individinriktade patientvården Patienten kan motsätta sig att uppgifter görs tillgängliga för andra vårdgivare. Om en patient motsätter sig att andra uppgifter än (patient-id och vårdgivare) görs tillgängliga i en sammanhållen journalföring ska uppgifterna genast spärras. Vårdnadshavaren till barn kan inte spärra uppgifter om barnet. En patient kan när som helst begära att den vårdgivare som har spärrat uppgifterna häver spärren. SHJ får endast användas för ändamålet (syftet) vård och behandling (eller administration som föranleds av denna), dvs inte för t.ex. annan administration, planering eller uppföljning. Den vårdgivare som ska ansluta sig till en SHJ måste även tala om det för sina patienter i god tid innan anslutningen sker – så patienterna har möjlighet att säga nej. Patienten har rätt att ändra sig – dvs först säga nej och sedan säga ja eller tvärtom. Genom att säga nej ansvarar patienten själv för att information förs mellan vårdgivare. Från några vårdgivare finns erfarenheter av att patienter som vill spärra sin information ofta tar tillbaka det önskemålet efter att i dialog med medicinsk personal fått veta vilka ev. medicinska risker som kan bli följden av en spärr. Väldigt få använder sin möjlighet att spärra information (både inom det inre sekretessområdet och för SHJ). Idag (2011) inte uppskattningsvis mindre än 1 promille av befolkningen – men det kan till viss del bero på att patienterna inte känner till sin rätt att kunna spärra. Viktigt att vårdgivarna har rutiner som säkerställer att patientens önskemål kan tillgodoses. De flesta vårdgivare har idag blanketter där patienten får underteckna sitt önskemål om spärr.

Sammanhållen journalföring Hälso- och sjukvårdspersonal får bereda sig tillgång till elektroniska patientjournaler hos andra vårdgivare om: patienten samtycker aktuell patientrelation föreligger och uppgifterna kan antas ha betydelse för vården av patienten (eller vid intyg). Man kan vara pragmatisk när man frågar kring samtycket, de egna rutinerna ska vara utformade så att samtycket ska kunna vara för enbart för den som frågar eller för all personal som arbetar med patienten på en vårdenhet och om det ska gälla här och nu eller för en längre tid. Patientdatalagen i sig ställer inget krav på avtal vid sammanhållen journalföring. Men lagstiftaren ställer en rad krav på vårdgivare som ingår i system för sammanhållen journalföring och det innebär att varje vårdgivare som ansluter sig till ett sådant system måste försäkra sig om att motparten uppfyller kraven och då kan det vara enklast att ett avtal skrivs. Ett av kraven är att en patient ska kunna se vilka vårdgivare som kan ta del av en patients uppgifter (vilka som är anslutna till SHJ). Det här har vårdgivarna (landsting) löst på lite olika sätt och det blir besvärligt när en vårdgivare deltar i flera olika SHJ. För att se vilka vårdgivare som är anslutna till NPÖ kan patienten gå in på 1177.se – men det är bara en av de SHJ som finns idag.

Bestämmelserna om sammanhållen journalföring reglerar ett visst sätt att göra patientdokumentation elektroniskt tillgängliga över organisatoriska och formella gränser utan föregående sekretessprövning i varje enskilt fall då direktåtkomsten används. Uppgifterna kan alltid begäras ut på annat sätt, varvid en sedvanlig sekretessprövning måste göras. De mesta informationen går även idag via utlämnande, SHJ är en möjlighet men används ännu förhållandevis sällan. Sedvanlig sekretessprövning = Menprövning

Sammanhållen journalföring Om det finns ospärrade uppgifter om en patient och det föreligger fara för dennes liv eller det annars föreligger allvarlig risk för dennes hälsa, får vårdgivaren, om patientens samtycke inte kan inhämtas, ta del av uppgift om vilken eller vilka vårdgivare som har gjort uppgifterna tillgängliga. Om vårdgivaren med ledning av denna uppgift bedömer att de ospärrade uppgifterna kan antas ha betydelse för den vård som patienten oundgängligen behöver, får vårdgivaren behandla de ospärrade uppgifterna.

PDL för NPÖ? NPÖ är ett ”verktyg” för att kunna ta del av en sammanhållen journalföring - dvs. det finns inget särskilt regelverk för PDL-NPÖ SITHS-kort, Sjunet, HSA är enbart verktyg för att kunna ta del av informationen på ett korrekt och bra sätt

Definitioner Sammanhållen Journal Vårdgivare Vårdenhet Vårdgivare anslutna till sammanhållen journalföring Sammanhållen Journal Statlig myndighet, landsting och kommun i fråga om sådan hälso- och sjukvårdsverksamhet som myndigheten, landstinget eller kommunen har ansvar för (offentlig vårdgivare) samt annan juridisk person eller enskild näringsidkare som bedriver hälso- och sjukvårdsverksamhet (privat vårdgivare) Vårdgivare Vårdenhet Vårdgivare är en juridisk person med ett eget organisationsnummer. Varje del i ringen har sitt ansvarsområde som beskrivs i SOSFS 2008:14 En organisatorisk enhet som tillhandahåller hälso- och sjukvård och som leds av en verksamhetschef eller motsvarande.

Spärr i det inre sekretessområdet (inom en vårdgivare) patientuppgifter hos en vårdenhet eller inom en vårdprocess får inte göras tillgängliga genom elektronisk åtkomst för den som arbetar vid en annan vårdenhet eller inom en annan vårdprocess hos samma vårdgivare, om patienten motsätter sig det. I sådana fall ska uppgifterna genast spärras. Vårdnadshavare till ett barn har dock inte rätt att spärra barnets uppgifter. En patient får spärra ALL information om han/hon så önskar, även att de bär på viss smitta eller information som är viktig för behandling. Vid spärr ligger ansvaret på att patienten för informationen vidare till de som behöver den. Patienten ”äger spärren”. Men en patient kan inte kräva vilka spärrar som helst utan måste acceptera de spärrmöjligheter vårdgivaren erbjuder. Ett ex kan vara en patient som enbart vill spärra bort ett besök på en mottagning men då vårdgivarens system inte klarar det kommer det patienten erbjuds kanske att bli att all information från den vårdenhet där mottagningen ingår spärras. Vårdgivarna behöver inte låta alla vårdenheter vara tillgängliga via elektronisk åtkomst. T.ex kan en mottagning för våldtagna kvinnor ligga utanför den information som vårdgivaren gjort tillgänglig för elektronisk åtkomst. Barn och ungdom förfogar själva sina spärrmöjligheter- efter mognadsgrad. Det är vårdpersonalen som avgöra mognadsgraden (något som ständigt görs inom vården).

Spärr, i det inre sekretessområdet (inom en vårdgivare) Vårdgivare (organisation) När en patient sätter spärr på sin vårddokumentation på vård- enhet (klinik 4), innebär det att informationen inte kan nås från andra vårdenheter inom Vårdgivaren (klinik1, 2 och 3) Vårdenhet (klinik 1) Vårdenhet (klinik 2) Vårdenhet (klinik 4) Vårdenhet (klinik 3) Om patienten varit på klinik fyra, så ser de övriga vårdenheterna att det finns spärrad information men inte var. Klinik Vårddokumentation

När kan spärr i det inre sekretess-området hävas? 1. patienten samtycker till det, eller 2. patientens samtycke inte kan inhämtas och informationen kan antas ha betydelse för den vård som patienten oundgängligen behöver. Spärr inom det egna sekretess området. Är mer liknade ett ”draperi”. Som hälso- och sjukvårdspersonal ser man att spärrad information finns och kan då efter dialog med patienten enkelt (beror på hur system är utformade) öppna och se informationen.

Hävning av spärr, i det inre sekretess-området (inom en vårdgivare) Sker i två steg: Tillgång till information om vid vilken eller vid vilka enheter spärrad information finns Bedömning om spärren/ spärrarna som ska hävas. Utförs av behörig befattningshavare Klinik När en spärr inom det inre sekretessområdet ska hävas så görs det stegvis – från att från början enbart ha sett att det finns spärrad information får därefter se var det finns spärrad information (vilka vårdenheter) och som sista steg får man efter att ha valt vilken/vilka vårdenheters information som behövs, jag då ses även informationen. Behörig befattningshavare kan vara administratör eller den hälso- och sjukvårdspersonal som möter patienten och som har behovet av informationen. Olika vårdgivare har löst frågan på olika sätt – utifrån vad som passar den egna organisationen bäst. Vårddokumentation

Spärr i sammanhållen journalföring Om en patient motsätter sig, det får andra uppgifter om patienten än dem som anges i andra stycket inte göras tillgängliga för andra vårdgivare genom sammanhållen journalföring. Uppgift om att det finns spärrade uppgifter om en patient samt uppgift om vilken vårdgivare som har spärrat uppgifterna får göras tillgängliga för andra vårdgivare genom sammanhållen journalföring. Spärr i SHJ visar att det finns spärrad info men inte var (hos vilken vårdgivare och vilka vårdenheter), det kan vara en patient som sagt nej till att delta i SHJ, men det kan även vara en patient som deltar i SHJ men som har satt en spärr inom en vårdgivare. I det fallet så kan andra vårdgivare se all ospärrad information (de har behörighet att se) samt att det dessutom finns spärrad informationen. I en SHJ går det aldrig att se vilka vårdenheter som har spärrad information om en patient. Vid behov går det att se vilken/vilka vårdgivare som har spärrad information om patienten men inte mer. För att få en enkel och säker hantering av spärrar är det önskvärt att vårdgivarna är anslutna till den nationella spärrtjänsten. Att hantera spärrar inom varje system/applikation blir väldigt dyrbart – och osäkert.

När kan spärr i sammanhållen journalföring hävas? 1. patienten samtycker till det, eller 2. patientens samtycke inte kan inhämtas och det föreligger fara för dennes liv eller det annars föreligger allvarlig risk för dennes hälsa informationen kan antas ha betydelse för den vård som patienten oundgängligen behöver. OBS! Endast den vårdgivare som spärrat informationen kan häva spärren! Finns det en spärr så är det bara den vårdgivare som satt spärren som kan häva spärren. Det är en hantering som tar tid varför det troligen kommer att vara svårt att använda i akuta situationer – men som alltid inom vården – i det akuta läget är information inte alltid det som prioriteras högst.

Hävning av spärr i sammanhållen journalföring Sker i två steg: 1. Om det finns spärrade uppgifter om en patient och det föreligger fara för dennes liv eller det annars föreligger allvarlig risk för dennes hälsa får vårdgivaren ta del av uppgift om vilken eller vilka vårdgivare som har spärrade uppgifter. 2. Om vårdgivaren med ledning av denna uppgift bedömer att uppgifterna kan antas ha betydelse för den vård patienten oundgängligen behöver får vårdgivaren begära hos den vårdgivare som spärrat uppgifterna att denne häver spärren. Varje vårdgivare behöver ta fram lokala rutiner.

Spärr – inre följer med yttre om patienten sagt nej Det är aldrig möjligt i en sammanhållen journalföring att ta del av information som spärrats inom en vårdgivare. Om jag inom ett vårdgivare satt spärr på mina besök (och min information) på infektionskliniken kommer inte dessa besök eller någon information från kontakterna från den kliniken att synas i den sammanhållna journalföringen vid besök hos annan vårdgivare. Om det används ett system för sammanhållen journalföring på Infektion hos den egna vårdgivaren, då kommer informationen att synas.

Behörighets-/ loggningsmodellen Behörighetstilldelning och behörighetskontroll Den som tilldelar behörighet har ANSVAR System och administration för tilldelning och kontroll av behörighet Kontroll av loggar och behörighet Tillgång till information under eget ANSVAR för kontroll och uppföljning av loggar Begränsad tillgänglighet styrd av behörighet Fri tillgänglighet under ansvar Tillgänglighet Rapport nr 1 från SITHS-projektet Det här är en gammal bild, men den gäller fortfarande. Den visar balansen mellan tillgänglighet till patientetuppgifter baserat på antingen en begränsad tillgänglighet styrd av behörighetstilldelning eller om den är fri under ansvar.

Behörighets- /Loggningsmodellen Behörighetstilldelning och behörighetskontroll Den som tilldelar behörighet har ANSVAR System och administration för tilldelning och kontroll av behörighet Kontroll av loggar och behörighet Tillgång till information under eget ANSVAR för kontroll och uppföljning av loggar Begränsad tillgänglighet styrd av behörighet Fri tillgänglighet under ansvar Tillgänglighet Rapport nr 1 från SITHS-projektet ”Det räcker inte att kontrollera loggar för att i efterhand konstatera eventuella intrång för att kraven i nuvarande lagstiftning skall vara uppfyllda.” (DI 2005-02-22) Balans dvs ytterligheterna ska inte förekomma. Frihet under ansvar fungerar inte, men en tillgängligheten helt styrd av behörigheter kan bli en patientsäkerhetsrisk. En sådan lösning blir dessutom ekonomisk dyrbar genom den komplexa och omfattande förvaltning av administration och teknik som kommer att krävas.

Tillsynsärenden DI och Socialstyrelsen – tillsyn under 2009-2011 Båda myndigheterna har gjort tillsyn under de senaste åren och genom dessa ärenden har vi fått god hjälp att tolka PDL, men det kvarstår fortfarande en hel del frågetecken. DI tillsyn PDL Socialstyrelsen tillsyn SOFS2008:14 Ett problem är vid DI:s tillsynsärenden att de har hög arbetsbelastning vilket medför att det tar lång tid mellan tillsyn och beslut (6-8 månader inte ovanligt).

DI 2008 nov Men många vårdgivare hade redan då haft SHJ under en längre tid och bara inväntat den nya lagen så att de skulle bli ”lagliga”. De hade då inte förstått att det är ett stort jobb som måste göras innan man går igång med en SHJ.

DI: Spärr & PDL (20091111) Datainspektionen planerar att skärpa tonläget mot landstingen. Myndigheten kommer att börja granska hur sjukvården klarar av att uppfylla lagens tvingande delar. Landsting som inte följer lagen riskerar vite, en åtgärd som inspektionen hittills har varit försiktig med att ta till. Patienterna har rätt att begränsa elektronisk åtkomst och spärra uppgifter i sin journal. Kan de inte detta i  dag så bryter sjukvården mot lagen. Det är en av de saker som vi kommer att titta på vid våra inspektioner nästa år, säger Patrik Sundström, jurist på Datainspektionen. Redan i slutet av 2009 (när lagen varit gällande i drygt ett år) började DI se över hur väl landstingen hanterade patientens rätt att spärra tillgång till sin information.

DI beslut Örebro läns landsting Datainspektionen konstaterar att Landstingsstyrelsen, Örebro läns landsting 1. i strid med 6 kap. 2 § 3 st. patientdatalagen tillgängliggör patientuppgifter för andra vårdgivare, samt 2. inte lever upp till kraven på behörighetsstyrning i 6 kap. 7 §, 4 kap. 2 § patientdatalagen och 2 kap. 6 § SOSFS 2008:14. Paragrafer som inte hanterats korrekt enligt Datainspektionen.

DI beslut Örebro läns landsting Datainspektionen förelägger Landstingsstyrelsen att 1. upphöra att tillgängliggöra patientuppgifter för andra vårdgivare till dess att berörda patienter fått information om vad den sammanhållna journalföringen innebär samt haft möjlighet att utnyttja sin rätt att motsätta sig tillgängliggörandet, samt

DI beslut Örebro läns landsting 2. ta fram rutiner och en teknisk funktionalitet som möjliggör att behörigheterna kan begränsas till vad som behövs för att användaren ska kunna fullgöra sina arbetsuppgifter inom hälso- och sjukvården. Härutöver bedömer Datainspektionen att Landstingsstyrelsen är personuppgiftsansvarig för tillgängliggörandet, inklusive mellanlagringen, av patientuppgifter som härrör från den egna verksamheten. Datainspektionen förutsätter därför att Landstingsstyrelsen klargör detta genom att vidta relevanta korrigeringar i anslutningsavtal och personuppgiftsbiträdesavtal avseende Inera AB och Tieto. TGP – information finns på Inera.se/vårdtjänster/NPÖ. Där även anslutningsavtal och PuB (PersonuppgiftsBiträdesavtal) avtalen finns. PuB-avtalen tecknas en gång per vårdgivare, dvs när en vårdgivare ansluter till ytterligare tjänster hos Inera krävs inga nya PuB-avtal Om direktanslutning av vårdgivare görs krävs att vårdgivaren tecknar ett speciellt framtaget PuB-avtal (som Inera tillhandahåller) med de vårdgivare som indirekt ansluts genom en vårdgivares (ofta landsting) anslutning.–

DI beslut Örebro kommun och Attendo Care Beslut efter tillsyn: 1. strid med 6 kap. 3 § patientdatalagen låter s.k. ”underförstått samtycke” utgöra grund för direktåtkomst till patientuppgifter vid sammanhållen journalföring, samt * 2. inte lever upp till kraven på behörighetsstyrning i 6 kap. 7 §, 4 kap. 2 § patientdatalagen och 2 kap. 6 § SOSFS 2008:14. Datainspektionen förelägger Vård- och omsorgsnämnderna att 1. vidta åtgärder för att se till att direktåtkomst till uppgifter i den sammanhållna journalföringen, så länge det inte är fråga om sådan nödsituation som avses i 6 kap. 4 § patientdatalagen, föregås av ett frivilligt, särskilt och otvetydigt samtycke från patienten eller dennes legala ställföreträdare, samt I sina rutiner hade man beskrivit att ett underförstått samtycke skulle gälla, vilket ALDRIG är tillåtet. Viktigt är att göra en utredning för att utröna vad patienten som är beslutsoförmögen skulle velat om han/hon ta beslut och att sedan agera utifrån vad den utredningen ger. Även en patient som är beslutsförmågen (t.ex. vid demens), kan ha klara stunder och då kan man kanske få ett samtycke. Det kan då vara klokt att låta samtycket gälla en bit in i framtiden. Det finns ingen tidsgräns satt. Det är ännu inte prövat vid en tillsyn. Det är arbetsuppgifterna och informationsbehovet som ska styra vilken behörighet hälso- och sjukvårdspersonalen behöver, inte en viss utbildning eller yrkesroll. Som ex kan en sjuksköterska på en akutmottagning ha annan behörighet än en sjuksköterska verksam inom ett kommunalt särskilt boende.

DI beslut Örebro kommun och Attendo Care 2. ta fram rutiner och en teknisk funktionalitet som möjliggör att behörigheterna kan begränsas till vad som behövs för att användaren ska kunna fullgöra sina arbetsuppgifter inom hälso- och sjukvården. Vidare bedömer Datainspektionen att Vård- och omsorgs-nämnderna har förutsättningar att leva upp till kraven på åtkomstkontroll enligt 6 kap. 7 §, 4 kap. 3 § patientdatalagen och 2 kap. 11 § SOSFS 2008:14. Datainspektionen förutsätter dock att Vård- och omsorgsnämnderna utvärderar och kontinuerligt utvecklar logguppföljningarna för att uppnå en verkningsfull åtkomstkontroll i enlighet med kraven i 4 kap. 3 § patientdatalagen. Se förslag på datainspektionen.se eller Arkitekturledningens råd avseende logghantering.

DI:s beslut, Achima Care AB Datainspektionen konstaterar att Bolaget: 1. inte lever upp till kravet vad gäller patientens rättighet att spärra uppgifter (PDL) 2. inte lever upp till kraven på behörighetsstyrning (PDL och SOSFS 2008:14) samt 3. inte lever upp till kraven rörande åtkomstkontroll (PDL och SOSFS 2008:14) genom att det inte av dokumentationen av åtkomsten (loggarna) framgår vilka åtgärder som har vidtagits med patientuppgifterna. Tillsyn hos en liten privat (som använder samma IT-stöd som det landsting de har avtal med) – här ställs kraven på landstinget för de har möjligheter att i praktiken åtgärda de påpekanden som görs (se nästa bild).

DI:s beslut, Achima Care AB När det gäller bristerna beträffande de tekniska funktionerna i journalsystemet, anser Datainspektionen att det är Landstinget Sörmland (Landstinget) som har reella möjligheter att åtgärda ovanstående brister. Datainspektionen kommer med anledning av detta att snarast inleda tillsyn mot Landstinget.

DI:s beslut Styrelsen för SLSO (Stockholms läns sjukvårdsområde) Datainspektionen förelägger Styrelsen för Stockholms läns sjukvårdsområde (SLSO) att anpassa vårddokumentation som utgörs av Läkemedelslistan, Viktig Medicinsk Information (VMI) och journaluppgifter i e-arkiv enligt kraven i 4 kap. 4 § första stycket och 6 kap. 2 § första stycket patientdatalagen (2008:355), avseende patientens möjlighet att motsätta sig att personuppgifterna görs tillgängliga (spärras) dels inom SLSO:s verksamhet (inre sekretess), dels inom den sammanhållna journalföringen. SLSO (omfattar bl a primärvård, geriatrik, psykiatri, rehabilitering inom Stockholms läns landsting) Här hade chefläkargruppen beslutat att en patient inte kunde spärr på sin information avseende Viktig Medicinsk Information (t.ex. smitta) och Läkemedel. Di beslut visar att den tolkningen inte är korrekt och att vårdgivaren måste säkerställa att även den informationen ska gå att spärra om patienten så önskar. Det finns nu möjlighet för patienterna att spärra även sådan information men patienterna kan om de vill undanta VMI och/eller Läkemedelsinformation från att spärras.

TC (TakeCare) Karolinska (mars 2012) En användare i TC kan inte ta del av uppgift om att det finns ospärrade uppgifter om patienten, utan att samtidigt ta del av uppgift om vilken/vilka vårdgivare som har gjort uppgiften tillgänglig. Vidare visas vilken/vilka vårdgivare som har ospärrade uppgifter innan ett samtycke till behandlingen av uppgifterna har inhämtats från patienten. En användare inom ramen för den sammanhållna journalföringen i TC har, efter ett samtycke från patienten som registreras i journalsystemet, som utgångspunkt alltid direktåtkomst till ospärrade uppgifter hos alla vårdgivare som ingår i den sammanhållna journalföringen.

DI granskar journalspärrar hos samtliga landsting (26 maj 2011) Patienternas möjlighet att spärra uppgifter i sina journaler undersöks nu i en omfattande granskning av samtliga landsting och fem av de största privata vårdgivarna. Enligt patientdatalagen har patienten rätt att spärra uppgifter från att lämnas ut dels mellan olika vårdenheter inom samma vårdgivare, dels mellan olika vårdgivare som använder sammanhållen journalföring för att utbyta uppgifter med varandra. Vårdgivaren har en skyldighet att spärra patientens uppgifter i sitt journalsystem om patienten vill det. Vi har fått indikationer på att det ofta brister i hanteringen av dessa spärrar och det är därför som vi nu genomför den här granskningen, säger Datainspektionens projektledare Maria Bergdahl. 26 maj 2011: Nu ska DI ut och se över spärrhantering hos samtliga landsting och de fem största privata vårdgivarna. 23 nov 2011. Skärper man kraven då de (DI) har insett att det finns ett stort antal it system som innehåller patientuppgifter och att man ska kunna spärra information i dessa system.

Granskning spärrar fortsättning… 23 nov 2011 kom information från DI att de ytterligare skärpt kraven, nu pratar man inte längre om journalsystem utan säger nu att: ”resultatet från den inledande granskningen indikerar att vårdgivarna har patientuppgifter i ett stort antal olika IT-system. Enligt lagen måste det finnas möjlighet att spärra uppgifter i samtliga IT-system som innehåller vårddokumentation

Information om Sammanhållen journalföring Ett nationellt framtaget material som finns tillgängligt sedan mars 2011. Se cehis.se/ sammanhållen journalföring

Tillsyn Socialstyrelsen (SOSFS 2008:14) Lanstinget i Uppsala, UAS Karolinska Sjukhuset Västerbottens Läns Landsting, NUS Västra Götalandsregionen, SU Landstinget Östergötland, Linköping US Region Skåne, SuS Socialstyrelsen gick ut på inspektion – förväntningarna var höga:::::: Tillsyn gällde följsamheten till SOSFS 2008:14

Vilka brister ska åtgärdas enligt Socialstyrelsen? Informationssäkerhetspolicy saknas Återrapportering från informationssäkerhetsansvarig till vårdgivare sker ej enligt gällande författning Verksamhetschefernas uppdrag kring informationssäkerhet finns inte samlat och dokumenterat Det finns brister vid överföring av patientuppgifter över öppna nät Journalsystem klarar inte författningskrav avseende spärr Alla punkter gäller inte tidigare alla sjukhus, men varje punkt ovan har fler än ett sjukhus noterats för. Verksamhetscheferna har inte kunskap om vilket ansvar de har avseende informationssäkerhet. Brister i spärrhantering noteras även från Socialstyrelsens tillsyn. OBS! Nu har två tillsynsmyndigheter noterat brister i spärrhantering. När tillsyn görs fortsättningsvis (PDL) kommer troligtvis Datainspektionen och Socialstyrelsen att samverka så att vi inte riskerar att få kollisioner mellan beslut från de olika myndigheterna. Öppna nät= Att man kör information okrypterad.

Forts: Vilka brister ska åtgärdas enligt Socialstyrelsen? Rutiner för systematisk uppföljning av behörigheter saknas Rutiner för förändring och borttag av behörigheter saknas Risk- och behovsanalys för tilldelning av behörigheter görs ej Kontinuitetsplaner saknas Tidplan för information om Sammanhållen journalföring saknas Brister i drift-, utvecklings- och utbildningsrutiner Få vårdgivare har en korrekt behörighetshanteringen. Kontinuitetet planer – säkerställa att verksamheten fungerar även om tekniken inte fungerar.

Vad behöver vårdgivarna göra? Förändringar i verksamhet och teknik: Kunna hantera information som går över öppna nät (kryptering och stark autentisering) Ha en aktiv behörighetshantering Tillgång till patientuppgifter ska ske på ett korrekt sätt - Inre sekretessområdet (aktiva val) - Sammanhållen journalföring (aktiva val) Kontroll av åtkomst till patientuppgifter måste ske Patientens rättigheter ska tillgodoses (loggar och möjlighet att begränsa vårdens tillgång till sin information genom att kunna sätta spärrar) Aktiv behörigets hantering mycket viktig: ta bort personer som byter arbete, uppdatera för personer som byter organisatorisk tillhörighet, se till att varje person har den behörighet denne behöver för att kunna utföra sitt arbete. Se till att aktiva val fungerar: Vårdenhetens information är ingång, därefter vårdgivarens information och slutligen om behov finns kan information från SHJ ses. Loggar: Enligt PDL har patienten rätt att se var och när åtkomst till uppgifterna skett. Patienten ska med ledning av informationen i logg kunna bedöma om åtkomsten varit befogad eller inte. Det kravet medför att många vårdgivare väljer att även lämna ut namnet på den som tagit del av informationen, men obs att det är inte PDL som ger rättighet till den uppgiften. Viktigt med informationssäkerhetspolicy – Enligt SOSFS 2008:14 kap 2 §1 ska: Vårdgivaren ska ge direktiv och säkerställa att det i verksamhetens ledningssystem för kvalitet och patientsäkerhet finns en dokumenterad informationssäkerhetspolicy.

Krav från PDL Stark Autentisering - Vem du är Behörighetsstyrning- Vad du får göra Åtkomstkontroll (logguppföljning) Uppföljning om du hade behov Patienten har rätt till loggutdrag Patientens möjlighet att begränsa vårdens tillgång till sin information genom spärrar och samtycke Autentisering – något du har och något du kan. Bild: Ulf Palmgren

Viktiga termer Vårdgivare Vårdenhet Verksamhetschef Uppdrag – vem, var och i vilket uppdrag För behörighetstilldelning och åtkomstkontroll Viktigt att definiera: VG – vilka vårdgivare Landsting, kommuner, externa utförare Vilka vårdenheter finns inom vårdgivaren, vem är verksamhetschef för vårdeneheten. Med ansvar avses ansvar enligt 29§ HSL. Med vårdenhet avses en organisatorisk enhet som bedriver hälso- och sjukvård och som leds av en verksamhetschef eller motsvarande. Detta innebär att de flesta vårdgivare har flera vårdenheter i sin verksamhet. På ett sjukhus kan det t.ex. handla om olika kliniker. I den kommunala hälso- och sjukvården, oavsett om den bedrivs i kommunal eller privat regi, kan vårdenheter t.ex. delas in i geografiska områden eller efter olika typer av verksamheter.   Ett sätt kan vara att identifiera vårdenheter utifrån den geografiska uppdelningen i den verksamhet kommunen bedriver, t.ex. utifrån olika nämnder i olika stadsdelar.   Ett annat sätt kan vara att dela upp i olika vårdenheter utifrån de olika verksamheterna, t.ex. på sådant sätt att hemsjukvården är en vårdenhet och en grupp av särskilda boenden i ett visst geografiskt område en annan. Varje organisation beslutar själva hur de väljer att definiera vårdenheter, allt utifrån sina förutsättningar. Det finns ingen ”generell mall”. Det finns ett dokument som vägledning för hur en vårdgivare ska tänka vid indelningen. Alla landsting och kommuner har fått denna utskickad, finns hos HSA förvaltningen . Vilka uppdrag har hälso- och sjukvårdspersonalen Generella medarbetaruppdrag är för att de ska fungera för alla nationella tjänster som kommer. Det finns rekommendationer från Hsa förvaltningen.

Vad behöver vårdgivarna göra? Ha en informationssäkerhetspolicy och rutiner för att bedriva ett bra informationssäkerhetsarbete SOSFS 2011:9 skyldiga att ha ett ledningssystem för kvalitetsarbete (föreskrifterna ersatte vid årsskiftet SOSFS 2005:12 om ledningssystem för kvalitet och patientsäkerhet i hälso- och sjukvården). När man i 2008:14 säger ledningssystem är det detta ledningssystem som avses Verksamhetschefernas uppdrag kring informationssäkerhet måste bli kommunicerat och känt Personalen måste utbildas Enligt SOSFS 2008:14 kap 2 §1 ska: Vårdgivaren ska ge direktiv och säkerställa att det i verksamhetens ledningssystem för kvalitet och patientsäkerhet finns en dokumenterad informationssäkerhetspolicy. SOSFS 2011:9 skyldiga att ha ett ledningssystem för kvalitetsarbete (föreskrifterna ersatte vid årsskiftet SOSFS 2005:12 om ledningssystem för kvalitet och patientsäkerhet i hälso- och sjukvården). När man i 2008:14 säger ledningssystem är det detta ledningssystem som avses. Informationssäkerhetspolicyn ska säkerställa att 1. patientuppgifter i vårdgivarens dokumentation är åtkomliga och användbara för den som är behörig (tillgänglighet), 2. patientuppgifterna är oförvanskade (riktighet), 3. obehöriga inte ska kunna ta del av patientuppgifterna (sekretess), och 4. det i sådana informationssystem som är helt eller delvis automatiserade är möjligt att i efterhand entydigt kunna härleda åtgärder till en identifierad användare (spårbarhet).

Vem är vårdgivare när vård utförs av extern utförare? ”En privat/extern utförare som har avtal med kommun eller landsting utgör en egen vårdgivare eftersom den har ett uppdrag som den självständigt utför inom den ram som kommunen eller landstinget satt upp.” Råd från AL-S okt 2011 Ett råd som är framtaget av Arkitekturledningens Säkerhetsgrupp som är en del av CeHis Center för e-hälsa i samverkan) . (CeHis koordinerar landstingens och regionernas samarbete för att utveckla och införa gemensamma eHälsostöd, infrastruktur och regelverk som förbättrar informationstillgänglighet, kvalitet och patientsäkerhet. De gemensamma insatserna ska styras, prioriteras och budgeteras på ett samlat sätt. Arkitekturledningens arbete med en nationell arkitektur handlar om att bestämma vilka lösningar som behövs var och hur de ska byggas för att man bättre ska unna nå information, besluta, agera och dokumentera i vården. Här ingår även de regelverk, specifikationer och arbetsmetoder som alla ska utgå från. Arkitekturen uttrycks i ett EA-koncept i fyra perspektiv: verksamhetsarkitektur, informationsarkitektur, teknisk arkitektur och säkerhetsarkitektur.

Vårdenhet – att tänka på Avser en organisatorisk enhet som bedriver hälso- och sjukvård och som leds av en verksamhetschef eller motsvarande. Tänk på! - Att dela in verksamheten i vårdenheter är en förutsättning för att kunna leva upp till lagstiftarens krav. - I regel har de flesta vårdgivare flertalet vårdenheter. Endast de riktigt små kommunerna kan anses ha en enda vårdenhet. - Se över er verksamhet och försök identifiera vilka organisatoriska gränser och enheter som finns och som kan anses utgöra olika vårdenheter. - Personal kan arbeta vid flera vårdenheter och ska utifrån varje vårdenhet tilldelas medarbetaruppdrag. Detta innebär att de flesta vårdgivare har flera vårdenheter i sin verksamhet. På ett sjukhus kan det t.ex. handla om olika kliniker. I den kommunala hälso- och sjukvården, oavsett om den bedrivs i kommunal eller privat regi, kan vårdenheter t.ex. delas in i geografiska områden eller efter olika typer av verksamheter. Ett sätt kan vara att identifiera vårdenheter utifrån den geografiska uppdelningen i den verksamhet kommunen bedriver, t.ex. utifrån olika nämnder i olika stadsdelar. Ett annat sätt kan vara att dela upp i olika vårdenheter utifrån de olika verksamheterna, t.ex. på sådant sätt att hemsjukvården är en vårdenhet och en grupp av särskilda boenden i ett visst geografiskt område en annan.

Jourverksamhet Enheter som bedriver jourverksamhet och under jourtid hanterar många olika boenden/vårdenheter kan inte läggas upp som en egen vårdenhet för att kunna ge ett medarbetaretaruppdrag för den ingående personalen. Det beror på att varje boende, även under jourtid, är samma vårdenhet som på dagtid. Det är inte möjligt att skapa en vårdenhet som innefattar alla boenden enbart för att förenkla administration och den praktiska hanteringen för den enskilde medarbetaren. Vårdenheten finns för patienten ska kunna sätta spärr på den nivån och för att verksamhetschefen ska klara sitt uppdrag med att dela ut behörigheter till sin personal och för att sedan granska loggarna och se om utdelade behörigheter använts på ett korrekt sätt.

Verksamhetschef – vem? Begreppet verksamhetschef är i detta avseende den befattningshavare som enligt 29 § hälso- och sjukvårdslagen svarar för verksamheten. Det är alltså en funktion utpekad av lagstiftaren och inte att förväxla med en funktion som chef för en viss verksamhet. Verksamhetschefen har ett omfattande rättsligt ansvar bl.a. för att journalföringen sker på ett korrekt sätt, för att personalens behörigheter är korrekta och lagliga utifrån personalens behov och arbetsuppgifter samt för att kontroller av personalens åtkomst till patientuppgifter sker (loggkontroll).

Verksamhetschef forts Verksamhetschefen behöver dock inte vara den som själv utför dessa arbetsuppgifter, utan de kan delegeras till en befattningshavare med kompetens för saken. I kommunal hälso- och sjukvård kan det t.ex. vara den medicinskt ansvariga sjuksköterskan eller enhetschefer som ser till att personalens behörigheter är korrekta och ändamålsenliga.

Rätt person, rätt information rätt tillfälle Verksamhetschef ansvarar för: 1. att att utdelade behörigheter för åtkomst till patientuppgifter är ändamålsenliga och förenliga med hälso- och sjukvårdspersonalens och andra befattningshavares aktuella arbetsuppgifter 2. uppföljning av informationssystemens användning genom regelbunden kontroll av loggarna. detta kräver information i logg om vem och i vilket uppdrag denne tog del av/uppdaterade information om en patient/person och vilket syftet (ändamålet) var med åtkomsten. SOSFS 2008:14

Patientdatalagen Personal Sammanhållen Vårdgivare Journal (SHJ) Egen Bild: Ulf Palmgren Personal Här ett exempel på säkerhetsarkitektur. Invånarna ska vara trygg att patientuppgifter behandlas korrekt Detta är kraven som lagen säger, för att ta del av patientinformation, Patientdatalagen syfte/ändamål vård och behandling. Högst upp återfinns hälso- och sjukvårdspersonal Patientuppgifter, egen vårdenhet, andra vårdenheter inom vårdgivaren, andra vårdgivare = sammanhållen journal Det är starkt reglerat hur åtkomst till patientuppgifter ska ske. En personal som behöver uppgifter (information) om en patienten måste ha behörighet att ta del av uppgifterna, autentiseras via sitt e-tjänstekort. Sammanhållen Journal (SHJ) Vårdgivare Egen Vårdenhet Patient uppgift Andra Vårdenhet Patient uppgift Andra Vårdgivare Patient uppgift

Patient-/Vårdrelation Bild: Ulf Palmgren Personal Stark Autentisering Behörighet Patient-/Vårdrelation Vad krävs för åtkomst till patientuppgifter på den egna vårdenheten? (behörighetsskikt, murar) Stark autentisering Behörighet (behörighetsutdelning ska vara aktiv och behovsprövad) Patient-/Vårdrelation (delaktig i vården av patienten) Händelsen loggas för logguppföljning Loggar kan visa för patienten om han/hon önskar Sammanhållen Journal (SHJ) Vårdgivare Egen Vårdenhet Patient uppgift Andra Vårdenhet Patient uppgift Andra Vårdgivare Patient uppgift Åtkomstkontroll (Loggning/Logguppföljning)

Patient-/Vårdrelation Bild: Ulf Palmgren Personal Stark Autentisering Behörighet Patient-/Vårdrelation Vårdgivarens undantag Aktivt Val Patientens begärda spärrar Åtkomst till andra vårdenheter inom vårdgivaren Behörighet att läsa andra vårdenheter Vårdgivarens undantag (ex. Akutmottagning för våldtagna kvinnor) Ska föregås av Aktivt val Patienten har rätt att spärra uppgifter från en vårdenhet/vårdprocess Sammanhållen Journal (SHJ) Vårdgivare Egen Vårdenhet Patient uppgift Andra Vårdenhet Patient uppgift Andra Vårdgivare Patient uppgift Åtkomstkontroll (Loggning/Logguppföljning)

Patientdatalagen Personal med Medarbetaruppdrag Stark Autentisering Behörighet Patient-/Vårdrelation Tillgänglig patient (TGP) Aktivt Val Vårdgivarens undantag Patientens begärda spärrar Patientens samtycke Sammanhållen journalföring, direktåtkomst till andra vårdgivare som ingår i SHJ Behörighet att läsa i sammanhållen journalföring Ska föregås av Patientens Samtycke (skulle även kunna hanteras via MVK) Patienten ska inte ha motsatt sig sammanhållen journalföring (efter information att vårdgivaren ska ingå i SHJ har patienten rätt att spärra patientuppgifter i sammanhållen journalföring) Patientens ställningstagande (SHJ) Sammanhållen Journal (SHJ) Vårdgivare Egen Vårdenhet Patient uppgift Andra Vårdenhet Patient uppgift Andra Vårdgivare Patient uppgift Åtkomstkontroll (Loggning/Logguppföljning)

Aktuella juridiska frågor Översyn av Socialstyrelsens föreskrifter 2008:14 Patientrörlighetsdirektivet John Assarsson ska lämna 30 juni 2012 förslag till hur Patientens ställning ska kunna stärkas genom lagstiftning, Patientmaktsutredningen Dir 2011:111, kommittédirektiv Översyn av SOSFS 2008:14 Huvudmålet ta fram uppdaterade och utvidgade föreskrifter (SOSFS 2008:14) där patientsäkerhetsperspektivet är tydligare. Föreskriva om (användandet av ) nationell informationsstruktur och om ett nationellt fackspråk - ny föreskrift eller utvidgning av SOSFS 2008:14 Beräknas träda ikraft den 1 februari 2013 Patientrörlighetsdirektiv invånarna i EU ska ganska fritt kunna söka vård inom EU. Patientmaktsutredningen: Ske bl a se över hur patientens tillgång till sin egen journal via nätet kan påskyndas och underlättas, om det finns behov av att ytterligare stärka patientens kontroll över den egna journalen, föreslå praktiska och tekniska lösningar som möjliggör för patienten att utöva sin rätt att spärra hela eller enskilda delar av den egna journalen i förhållande till andra vårdenheter, undersöka möjligheterna och formerna för att tillhandahålla en elektronisk hälsodagbok på nätet, undersöka de legala förutsättningarna för att patienten på ett strukturerat sätt ska kunna dela med sig av sin egen dokumentation till vårdgivaren, beakta erfarenheterna från Socialstyrelsens arbete med nationell informationsstruktur och nationellt fackspråk för vård och omsorg, och vid behov utarbeta nödvändiga författningsförslag. Dir 2011:111 Se nästföljande bilder

Dir 2011:111, kommittédirektiv Förbättrad tillgång till personuppgifter inom och mellan hälso- och sjukvården och socialtjänsten m.m Delbetänkande klart 2012-03-31 (HOSP) Slutbetänkande senast 1 dec 2012 Socialdepartementet har tillsatt en utredning Tillgång till personuppgifter Utredaren ska om den ovan nämnda kartläggningen ger vid handen att det finns behov av lagändringar för att behörig personal och beslutsfattare inom hälso- och sjukvården och socialtjänsten ska få ha tillgång till nödvändiga uppgifter för den aktuella behandlingen eller det aktuella stödet inom eller över organisatoriska gränser lämna sådana förslag. I denna och den efterföljande utredningsfrågan bör fokus ligga på grupperna äldre personer, personer med missbruk eller beroenden samt personer med psykisk sjukdom och funktionsnedsättning. analysera och redovisa vilka rättsliga och andra hinder som finns för vårdgivare i Sverige att med en patients samtycke på elektronisk väg lämna ut uppgifter om patienten till vårdgivare i andra länder. - utreda om det är lämpligt att beträffande personer som saknar förmåga att motsätta sig eller samtycka till nödvändig behandling av personuppgifter införa regler i patientdatalagen som gör att de trots denna oförmåga kan ingå i sammanhållen journalföring m.m. - analysera om det vid verksamhetsövergång från enskild verksamhet till annan enskild verksamhet eller till offentlig verksamhet ska krävas samtycke från varje enskild individ för överlämnande av personuppgifter till den nya vårdgivaren/utföraren eller om detta ska tillgodoses genom bestämmelser som bryter tystnadsplikten samt vid behov föreslå författningsändringar. - föreslå hur bestämmelser om gallring av personuppgifter i relevant lagstiftning kan harmoniseras. - analysera vilka nationella kontrollmekanismer som måste finnas för att nödvändiga säkerhets- och behörighetslösningar ska användas. - föreslå hur ändamålen för behandling av personuppgifter i läkemedelsregistret kan anpassas till de ändamål som gäller för övriga hälsodataregister enligt lagen (1998:543) om hälsodataregister. Den enskildes tillgång till sina personuppgifter Utredaren ska analysera och lämna förslag som juridiskt tydliggör gränsen mellan patientens egen personuppgiftsbehandling och vårdgivarens personuppgiftsbehandling enligt dennes personuppgiftsansvar för sådana känsliga uppgifter som den enskilde själv rapporterar in till hälso- och sjukvården eller socialtjänsten. överväga behovet av lagreglering av personuppgiftsansvar för säkerhetsåtgärder vid it-kommunikation med enskilda individer. föreslå förändringar i lagstiftningen och andra nödvändiga åtgärder som ökar patientsäkerheten och stärker den enskildes faktiska möjligheter att utöva sin rätt att spärra hela eller delar av sin journal. I denna del bör utredaren särskilt beakta den analys av frågan som Patientmaktsutredningen har i uppdrag att utföra. Möjlighet för vårdgivare att ansöka om journalförstöring överväga om det bör införas en möjlighet för vårdgivare att ansöka om journalförstöring och, om det bedöms som lämpligt, lämna förslag till en sådan reglering. HOSP-registret analysera förutsättningarna för att vissa personuppgifter som rör hälso- och sjukvårdspersonal ska kunna göras till-gängliga på internet eller genom elektronisk direktåtkomst. Utredaren ska förhålla sig till vad Socialstyrelsen, Inera AB och CeHis framfört i sina hemställningar. Utredaren ska särskilt bedöma vilka aktörer som har behov av informationen och hur deras informationsbehov kan tillgodoses samt, efter en avvägning mellan behoven och integritets- 19 aspekterna, föreslå vilka personuppgifter som ska få behandlas för att tillgodose behoven. - överväga andra alternativ än de ovan angivna som kan tillgodose behoven, bedöma och redovisa alla alternativs för- och nackdelar samt föreslå författningsändringar för det alternativ som bedöms lämpligast. Övrigt Utredaren är oförhindrad att ta upp frågor som inte nämns i dessa direktiv, men som utredaren anser behöver analyseras eller regleras för att utredaren ska kunna fullgöra sitt uppdrag på ett tillfredsställande sätt.

Vad ingår i utredningen Bland annat: Tillgång till personuppgifter - behov av lagändringar för att behörig ska få ha tillgång till nödvändiga uppgifter för den aktuella behandlingen eller det aktuella stödet inom eller över organisatoriska gränser. Fokus ska ligga på grupperna äldre personer, personer med missbruk eller beroenden samt personer med psykisk sjukdom och funktionsnedsättning.

Vad ingår i utredningen - Utlämnande av uppgifter om patienten till vårdgivare i andra länder (efter samtycke av patienten) Icke beslutskompetenta – kan de ingå i SHJ - Hantering av personuppgifter vid verksamhetsövergång. - Analysera vilka nationella kontrollmekanismer som måste finnas för att nödvändiga säkerhets- och behörighetslösningar ska användas. Se över möjligheter för den enskildes tillgång till sina personuppgifter (ehr/phr) Analysera vilka åtgärder som ökar patientsäkerheten och stärker den enskildes faktiska möjligheter att utöva sin rätt att spärra hela eller delar av sin journal.

Vad ingår i utredningen Övrigt Utredaren är oförhindrad att ta upp frågor som inte nämns i dessa direktiv, men som utredaren anser behöver analyseras eller regleras för att utredaren ska kunna fullgöra sitt uppdrag på ett tillfredsställande sätt. Särskild utredare är Lena Lundgren, Hälso- och sjukvårdsdirektör i Östergötland. Förste sekreterare är Patrik Sundström, jurist SKL och Cehis

Tillgång till information över huvudmannagränser - kommun och landsting - För hälso- och sjukvård (styrs av hälso- och sjukvårdslagen) är utlämnande av information från en part till den andra parten vanligast, men system för sammanhållen journalföring (direktåtkomst) får användas. - För samordnad vårdplanering kan ALDRIG direktåtkomst och sammanhållen journalföring användas. Det får användas enbart för ändamålet vård och behandling. Samordnad vårdplanering innefattar även socialtjänst (Socialtjänstlagen) och då måste information utlämnas.

Personuppgiftsansvar vid sammanhållen journalföring Den vårdgivare som gör patientuppgifter tillgängliga för andra vårdgivare är ansvarig för att det sker i enlighet med reglerna. Den vårdgivare som bereder sig åtkomst till andra vårdgivares patientuppgifter är ansvarig för att förutsättningarna för den åtkomsten är uppfyllda. (Nyhet!)

Länkar Patientdatalagen: http://www.riksdagen.se/webbnav/index.aspx?nid=3911&bet=2008:355 Föreskrifter och handbok (Socialstyrelsen) http://www.socialstyrelsen.se/sosfs/2008-14 http://www.socialstyrelsen.se/regelverk/handbocker/handbokominformationshanteringochjournalforing

Länkar Datainspektionen (FAQ om PdL): http://www.datainspektionen.se/fragor-och-svar/faq-patientdatalagen/ Dokumentarkiv Cehis (sök på säkerhetsarkitektur): http://www.cehis.se HSA –behörighetsstyrning: http://inera.se/Infrastrukturtjanster/HSA/Behorighetsgrundade-egenskaper-i-HSA/ ”Patriks utredning – direktiv 2011:111 ” http://www.regeringen.se/sb/d/14011/a/183000

Kontaktpersoner ewa.jerilgard@cehis.se madeleine.marklund@inera.se