avgjordAv: Justitieombudsmannen Lilian Wiklund

title: Allvarlig kritik vissa mot vårdgivare inom Västra Götalands-regionen och Stockholms läns landsting för att man har ingått avtal om journalföring med ett företag trots att detta inte varit förenligt med regelverket om sekretess inom hälso- och sjukvården

sammanfattning: Vårdgivare inom Västra Götalandsregionen och Stockholms läns landsting har ingått avtal med ett företag om hjälp med journalföring av patientuppgifter. Enligt avtalen agerar företaget som ett personuppgiftsbiträde i förhållande till vårdgivaren (som är personuppgiftsansvarig). Avtalen innebär att vårdgivaren tillåter att läkarsekreterare som är anställda hos företaget på distans lyssnar av inlästa diktat och skriver in uppgifterna i patientens journal. Hanteringen är helt elektronisk och uppgifter lagras aldrig utanför landstingets/regionens it-system. Enligt 25 kap. 1 § offentlighets- och sekretesslagen (2009:400), OSL, råder en stark sekretess till skydd för uppgifter om patienter inom den allmänna hälso- och sjukvården. Reglerna om behandling av personuppgifter inom hälso- och sjukvården har inte någon direkt betydelse för hur sekretessfrågan ska prövas; frågan om en vårdgivare kan lämna ut sekretessbelagda uppgifter till ett personuppgiftsbiträde eller till personal hos biträdet ska prövas på vanligt sätt enligt OSL. JO konstaterar att läkarsekreterarna hos företaget inte omfattas av den tystnadsplikt enligt OSL som gäller för vårdgivarens egen personal. Frågan om huruvida uppgifterna i patientjournalerna kan göras tillgängliga för läkarsekreterarna är därför i första hand beroende av om ett utlämnande kan ske utan att det innebär men (dvs. skada) för den som skyddas av sekretessen. Läkarsekreterarna har en avtalsreglerad tystnadsplikt i förhållande till arbetsgivaren (dvs. företaget). Vidare följer av regelverket om behandling av personuppgifter en sorts tystnadsplikt för den som behandlar uppgifterna. Enligt JO är dessa ”alternativa” tystnadsplikter för läkarsekreterarna inte tillräckliga för att anse att ett utlämnande kan ske utan att det innebär men (skada) för den som skyddas av sekretessen. Vid bedömningen har – mot bakgrund av att de uppgifter som behandlas enligt avtalen är av mycket integritetskänsligt slag – vikt lagts bl.a. vid att vårdgivarens egen personal kan dömas för brott mot tystnadsplikt om en sekretessbelagd uppgift felaktigt röjs, medan så inte är fallet när det gäller läkarsekreterare som är anställda i företaget. Ett utlämnande har inte heller haft stöd i någon av de sekretessbrytande bestämmelser som finns i 10 kap. OSL eller i en lag eller förordning som OSL hänvisar till. JO:s slutsats är att vårdgivarna inte har haft rättsligt stöd för att på det sätt som skett lämna ut sekretessbelagda uppgifter om patienter för journalföring av företagets läkarsekreterare. Enligt JO är det anmärkningsvärt att vårdgivarna inte har ägnat sekretess-

text: BESLUT BESLUT

text: 2014-09-09 3032-2011 3032-2011

text: Justitieombudsmannen Justitieombudsmannen Lilian Wiklund Lilian Wiklund

text: Allvarlig kritik mot vissa vårdgivare inom dels Västra Götalandsregionen, dels Stockholms läns landsting för att man har ingått avtal om journalföring med ett företag trots att detta inte varit förenligt med regelverket om sekretess inom hälso- och sjukvården

text: 1 Anmälan

text: I en anmälan anförde AA bl.a. att JO borde granska om sekretessen för journalförda uppgifter om patienter upprätthålls när uppgifterna överförs till ett privat bolag, Conscriptor, för att därefter behandlas av bolagets anställda i deras bostäder. Han hänvisade till en artikel som hade varit publicerad i dagstidningen Bohusläningen den 3 juni 2011.

text: Av artikeln framgick bl.a. följande. Conscriptors affärsidé är att hjälpa till med hanteringen av patientjournaler när den ordinarie personalen inom sjukvården inte hinner med. Uppdrag utförs åt sjukhus och vårdcentraler i hela Sverige. Företaget har utvecklat en egen teknisk plattform och kan kommunicera med de olika system för databehandling som de olika vårdgivarna använder sig av. De flesta av företagets anställda arbetar på distans från den egna bostaden.

text: 2 Utredning

text: I anmälan och tidningsartikeln nämndes vissa vårdinrättningar. JO hämtade in kopior av avtal mellan Conscriptor och Stockholms läns sjukvårdsområde (SLSO) inom Stockholms läns landsting samt mellan Conscriptor och Vårdcentralen i Hindås, Västra Götalandsregionen.

text: Därefter begärde JO att dels vederbörande nämnd inom Västra Götalandsregionen, dels Styrelsen för SLSO skulle yttra sig till JO. Yttrandena skulle – bl.a. mot bakgrund av den sekretess som gäller inom hälso- och sjukvården för uppgift om en enskilds hälsotillstånd eller andra personliga förhållanden (

text: 25 kap. 1 § offentlighets- och sekretesslagen

text: [2009:400], OSL) – avse vilka överväganden som hade gjorts innan uppgifter om patienter hade överförts från landstinget/regionen till Conscriptor.

text: Av en skrivelse från Juridiska enheten vid Västra Götalandsregionens regionkansli framgick att Conscriptor hade anlitats av primärvården och Angereds Närsjukhus, samt att yttranden hade inhämtats från de nämnder som är ansvariga för dessa verksamheter.

text: 2.1 Yttrande från Primärvårdsstyrelsen i Västra Götalandsregionen I sitt yttrande anförde Primärvårdsstyrelsen bl.a. följande (omnämnda bilagor har utelämnats):

text: Utredning

text: – – – Conscriptor AB är ett företag som tillhandahåller tjänster för digital journalhantering på distans till ett flertal vårdgivare i Sverige. Västra Götalandsregionen anlitar företaget genom en beställning som görs av respektive verksamhetschef. Behovet av att anlita en extern leverantör har uppkommit som en följd av kravet i primärvården på att diktat ska vara inskrivna i patientjournalen inom fem dagar, vilket man inte alltid har kunnat leva upp till med ordinarie personal. När det är aktuellt att anlita Conscriptor träffas första gången ett lokalt avtal mellan verksamhetschefen och företaget, se exempel på avtal i bilaga 2. I detta tydliggörs att vårdgivaren är personuppgiftsansvarig och att Conscriptor agerar person-

text: uppgiftsbiträde. Conscriptor svarar för att behandlingen av personuppgifter sker enligt

text: Personuppgiftslagen

text: och enligt kundens instruktioner. Conscriptor ansvarar i sitt arbete som personuppgiftsbiträde för att vidta de säkerhetsåtgärder som avses i

text: personuppgiftslagen

text: 31 § första stycket

text: samt i enlighet med kundens policy och riktlinjer för informationssäkerhet. Regionens information till personal bifogas, bilaga 3. I avtalet anges att kunden har rätt att låta auktoriserad revisor eller annan av Conscriptor godkänd person granska Conscriptors hantering av kundens material i syfte att kontrollera att företaget uppfyller överenskomna säkerhetskrav. Primärvården har inte funnit anledning att göra detta. Primärvården har granskat det avtal som används och har inte funnit något som visar på brister i förhållande till lagstiftningen eller regionens riktlinjer för informationssäkerhet.

text: Teknisk lösning

text: Conscriptors sekreterare kopplar upp sin dator till Västra Götalandsregionens nätverk via en säker förbindelse (VPN) med RSA-autentisiering (inloggningsdosa) och med programvara som omöjliggör kommunikation med lokal utrustning inom Conscriptor. Inom regionens nätverk sker inloggning på en Citrixserver där ytterligare en inloggning sker till VGR:s journalsystem Medidoc eller Journal III. Programvaran för digital diktering – MedSpeech – plockar notat ur arbetslistan för att lyssna av diktaten samt skriva in dem i journalsystemet. Det finns spärrar som utesluter att ta skärmbilder för lagring på lokal dator och Citrixservern krypterar all trafik som sänds till/från Conscriptors dator. Behörighet för inloggning till regionens nät sker via anmälan till fjärracess och godkänns av IT-chef inom Primärvården. Behörighet för inloggning till journalsystem görs av verksamhetschef på vårdcentralen. Regionen använder samma system och rutiner för egen personal som arbetar på äldreboende med skillnaden av att regionens personal använder SITHS-kort (tjänstekort) för autenticiering istället för RSA-autenticiering. Bedömningen är att den tekniska lösningen har en mycket hög säkerhet ur ett ITperspektiv.

text: Sammanfattande bedömning

text: Det faktum att Conscriptors läkarsekreterare i så stor omfattning utför arbetsuppgifterna i hemmet har inte varit känt för Primärvården innan JO-anmälan aktualiserade frågan. När vi som vårdgivare utför denna typ av uppgifter i vår egen verksamhet sker det i lokaler där endast primärvårdens egen personal har tillträde. Detta innebär att samtliga omfattas av och är väl införstådda med reglerna för sekretess och den praktiska hanteringen av sekretessbelagd information. Vårdgivaren kan också kontrollera efterlevnaden. När det gäller arbete som sker i hemmiljö kan primärvården, trots samma höga säkerhet i tekniska lösningar och personalens goda kunskap om hur sekretessbelagd information hanteras, aldrig kontrollera omgivningsfaktorerna, även om vi inte har anledning att betvivla att säkerheten är fullgod.

text: Slutsats

text: Primärvården Västra Götalandsregionen har förtroende för Conscriptor som leverantör av tjänst för journalhantering. Primärvården uppfattar att den tekniska säkerheten är mycket hög och att sekretessfrågorna är väl omhändertagna hos Conscriptor.

text: Eftersom Primärvården Västra Götalandsregionen inte kan kontrollera omgivningsfaktorer i hemmiljö är ställningstagandet att de uppgifter som tjänsten omfattar ska utföras i leverantörens lokaler. I Västra Götalandsregionens pågående upphandling av läkarsekreterartjänster är detta ett krav som är med i kravspecifikationen. Efter kontakt med regionens inköpsavdelning gavs besked om att nytt avtal bedöms vara klart under våren 2012.

text: Till yttrandet hade fogats kopior av dels ett ”journalhanteringsavtal” mellan Conscriptor och Barn- och Ungdomsmottagningen i Skene, dels en informationsskrift rubricerad ”informationssäkerhet VID DATORN PÅ JOBBET”.

text: 2.2 Yttrande från Styrelsen för Angereds Närsjukhus i Västra Götalandsregionen I sitt yttrande anförde Styrelsen för Angereds Närsjukhus (ANS) bl.a. följande (omnämnda bilagor har utelämnats):

text: Överväganden inför köp av tjänst

text: ANS har skyldighet att säkra att patientdokumentationen är uppdaterad enligt Hälsooch sjukvårdslagen. För att leva upp till de lagstadgade kraven kring patientdokumentationen har verksamheten på ANS varit tvungen att periodvis förstärka bemanningen inom detta område. Det har skett genom köp av tjänst från externt företag.

text: Överenskommelse hantering av personuppgifter

text: ANS har tillsammans med Conscriptor upprättat underlag till överenskommelse för hur journaler ska hanteras, (bilaga 2). Enligt överenskommelsen agerar Conscriptor som personuppgiftsbiträde och ska behandla personuppgifter enligt

text: personuppgiftslagen

text: och har ansvar för att vidta de säkerhetsåtgärder som avses i

text: personuppgiftslagen

text: 31 §

text: , samt att personuppgifterna behandlas i enlighet med Västra Götalandsregionens informationssäkerhetspolicy. Conscriptor anger att tjänsten utförs med diktering som överförs krypterad till säker server. Vid journalskrivning på distans sparas ingen känslig information på den lokala datorn, utan bara på den säkra servern/serverklustret. All information hanteras lokalt på den av Västra Götalandsregionen tillhandahållna servermiljön. Conscriptor ska enligt överenskommelsen logga all aktivitet. För ytterligare information om den tekniska lösningen hänvisas till beskrivningen som primärvården lämnat i sitt yttrande, som överensstämmer med teknisk lösning för ANS.

text: Slutsats

text: Det finns inte något skäl att tro att gällande sekretessregler enligt överenskommelsen inte har efterlevts.

text: Till yttrandet hade fogats en handling rubricerad ”Utdrag ur överenskommelse ANS–Conscriptor”.

text: 2.3 Yttrande från Styrelsen för Stockholms läns sjukvårdsområde (SLSO) i Stockholms läns landsting I sitt yttrande anförde Styrelsen för SLSO bl.a. följande:

text: Avtal tecknades med Conscriptor AB den l december 2009 efter en förenklad upphandling där ifrågavarande leverantör lämnade det bästa anbudet på efterfrågade tjänster. I avtalet med leverantören regleras skyldigheten att upprätthålla sekretess och säkerhet kring patienten på följande sätt:

text: ”Avroparen är personuppgiftsansvarig. Leverantören agerar personuppgiftsbiträde och behandlar personuppgifter utifrån innehållet i detta ramavtal och dess bilagor. Leverantören tillser att behandling av personuppgifter sker enligt

text: personuppgiftslagen

text: (SFS 1998:204). Leverantören ansvarar för i sitt arbete som personuppgiftsbiträde att vidta de säkerhetsåtgärder som avses i

text: Personuppgiftslagen

text: 31 § första stycket

text: ”. För att säkerhetsställa att denna paragraf följs har leverantören upprättat följande rutiner: Samtliga anställda genomgår en internutbildning där de bland annat går igenom hantering av login, sekretess och rutiner för PUL uppgifter. Leverantören har tydliga anställningsbevis som muntligen gås igenom med var och en innan ny personal skriver under dessa. Detta görs för att säkerställa att personen förstår innebörden av det ingångna avtalet. I avtalet regleras sekretess samt rutiner för hantering av de uppgifter man får tillgång till i sin anställning. Samtliga anställda har ett anställningsbevis där bland annat sekretessen regleras. Sekretessen gäller även när personalen undantagsvis arbetar från sitt hemmakontor/distansarbetsplats. Avtalet som tecknas med den anställde ser något olika ut beroende på befattning men under stycke ”Sekretess” är alla avtal exakt likalydande:

text: Sekretessbestämmelse i anställningsbevis:

text: ”Medarbetaren är informerad om att Bolaget i sin verksamhet agerar personuppgiftsbiträde för sina uppdragsgivare. Såsom varandes personuppgiftsbiträde har Bolaget åtagit sig dels för Bolagets räkning, dels för sin personals räkning att efterleva lagar kring hantering av personuppgifter inom hälso- och sjukvårdsområdet. Medarbetaren är införstådd av vikten av dessa åtagande och åtar sig att följa desamma. Vidare kommer Medarbetaren löpande delges Bolagets samt Bolagets uppdragsgivares informationssäkerhetspolicies och det åligger Medarbetaren att agera i enlighet med dessa och meddela Bolaget vid misstanke av bristande uppfyllelse avseende dessa. Medarbetaren är medveten om att tjänsten innebär tillgång och hantering av personuppgifter som skyddas av bland annat, men inte uteslutande av, Offentlighetsoch

text: sekretesslagens (2009:400)

text: Patientdatalagen (2008:355)

text: och

text: Personuppgiftslagen (1998:204)

text: . Tystnadsplikt gäller således avseende all information och uppgifter som Medarbetaren har fått tillgång till genom anställningen på Bolaget. Vid varje överträdelse av denna sekretessbestämmelse skall Medarbetaren till Bolaget utge ett skadestånd motsvarande den skada företaget kan dokumentera att det lidit på grund av överträdelsen. Det åligger företaget att påvisa skadans omfattning”. Conscriptor ansluter direkt mot SLSOs datalager dvs. ingen data flyttas över till leverantören, utan alla journaler, ljudfiler etc. hanteras uteslutande lokalt hos SLSO med landstingets krav på autentisering. Leverantören använder sig av virtuella datorer på en plattform som heter VirCon 5.5. Miljön driftas i ett datacenter med mycket hög säkerhet och har en sådan karaktär att det är säkerhetsklassat dvs. det ingår som ett objekt som har intresse för rikets säkerhet. Ingen lokal data sparas, dvs. det finns inga överlappande lager mellan den lokala klienten och den virtuella maskinen. Leverantören använder vidare sk. ”full end point” kryptering, dvs. det finns en krypterad förbindelse mellan lokal maskin och den virtuella miljön. Ingen lokal anslutning tillåts (går) att ansluta till VirCon 5.5. Därmed går det inte att ansluta en extern skrivenhet till miljön för lokala utskrifter. Man kan inte heller öppna en webbläsare eller använda ”print Screen” funktioner. Leverantörens hantering av sekretess för personal enligt beskrivning ovan, i kombination med den säkra datamiljön gör att sekretess kring patienten kan anses vara tillfyllest.

text: 2.4 Yttrande från Socialstyrelsen Därefter remitterade JO ärendet till Socialstyrelsen och begärde att styrelsen skulle yttra sig. Yttrandet skulle avse frågan om det hade funnits rättsliga förutsättningar för regionen/landstinget att överföra uppgifter om patienter till Conscriptor.

text: I sitt remissvar anförde Socialstyrelsen bl.a. följande:

text: Yttrande

text: De rättsliga förutsättningarna för vårdgivaren att överföra uppgifter om patienter till Conscriptor AB (Härefter Conscriptor) följer av

text: personuppgiftslagen (1998:204)

text: . Enligt

text: personuppgiftslagen

text: så finns det en möjlighet för den personuppgiftsansvarige, i detta fall vårdgivaren, att anlita ett personuppgiftsbiträde, Conscriptor, som behandlar personuppgifter för den personuppgiftsansvariges räkning. Även om en personuppgiftsansvarig anlitar ett personuppgiftsbiträde är det alltid den personuppgiftsansvarige som har ansvaret gentemot de registrerade. Personuppgiftsansvaret kan inte överlåtas. Det ligger därigenom ett långtgående ansvar på de vårdgivare som anlitar Conscriptor för att säkerställa och följa upp att sekretessen beaktas och att nödvändiga säkerhetsåtgärder vidtas hos Conscriptor.

text: Bakgrund

text: Aktiebolaget Conscriptor har som affärsidé att tillhandahålla läkarsekreterarkompetens på distans som hjälper till med administrationen av patientjournaler när ordinarie personal hos en vårdgivare inte hinner med detta arbete. Conscriptor utför uppdrag åt både sjukhus och vårdcentraler i hela Sverige, bl.a. Karolinska Universitetssjukhuset, Huddinge.

text: Tillämpliga regler m.m.

text: Hälso- och sjukvårdslagen och patientsäkerhetslagen. Vårdgivaren ska enligt 3 kap. l §

text: patientsäkerhetslagen (2010:659)

text: planera, leda och kontrollera verksamheten på ett sätt som leder till att kraven på god vård i hälso- och

text: sjukvårdslagen (1982:763)

text: och

text: tandvårdslagen (1985:125)

text: upprätthålls. Det innebär bland annat att vårdgivaren ansvarar för att det finns den personal, de lokaler och den utrustning som behövs för att god vård ska kunna ges. Det är alltså vårdgivaren som ska se till att det finns de resurser som behövs för att journalföringen utförs i enlighet med gällande rätt.

text: Patientdatalagen

text: I

text: patientdatalagen (2008:355)

text: regleras vårdgivarens ansvar för behandling av personuppgifter inom hälso- och sjukvården. Enligt [

text: 1 kap.

text: 4 § patientdatalagen

text: gäller

text: personuppgiftslagen

text: vid sådan behandling av personuppgifter inom hälso- och sjukvården som är helt eller delvis automatiserad eller där uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier, om inte annat följer av

text: patientdatalagen

text: eller föreskrifter som meddelats med stöd av

text: patientdatalagen

text: Personuppgiftslagen

text: är således subsidiär till

text: patientdatalagen

text: . Vårdgivaren ansvarar för att informationshanteringen är organiserad så att den tillgodoser patientsäkerhet och god kvalitet samt främjar kostnadseffektivitet. Personuppgifterna ska utformas och i övrigt behandlas så att patienters och övriga registrerades integritet respekteras. Dokumenterade personuppgifter ska hanteras och förvaras så att obehöriga inte kan ta del av dem (l kap.

text: 2 §

text: ). Vårdgivaren har följaktligen det yttersta ansvaret för journalföringen och för att personuppgifterna hanteras på ett säkert sätt. Vårdgivaren utövar sitt ansvar genom

text: att ge direktiv till den egendrivna verksamheten eller genom att anlita uppdragstagare. Vid vård av patienter ska vårdgivaren enligt 3 kap. l §

text: patientdatalagen

text: upprätta en journal för varje patient. Uppgifter som antecknas i en patientjournal ska enligt

text: 3 kap. 9 § patientdatalagen

text: föras in i journalen så snart som möjligt. Vårdgivarens informationssäkerhetspolicy ska också säkerställa att patientuppgifterna är åtkomliga och användbara för den som är behörig, vilket anges i

text: 2 kap. 2 §

text: Socialstyrelsens föreskrifter (

text: SOSFS 2008:14

text: ) om informationshantering och journalföring i hälsooch sjukvården. Det är lämpligt att vårdgivaren anpassar sina rutiner för hur snabbt en journalanteckning ska föras in i patientjournalen efter behoven i sin verksamhet och de krav på säkerhet som ställs. Vårdgivaren ansvarar för att organisera sin verksamhet så att skyndsamhetskravet kan uppfyllas. Det kan antingen göras genom att se till att det finns tillräckliga resurser och goda rutiner inom verksamheten eller genom att anlita personuppgiftsbiträden.

text: Personuppgiftslagen

text: Personuppgiftsansvarig är normalt den juridiska person (till exempel aktiebolag, stiftelse eller förening) eller den myndighet som behandlar personuppgifter i sin verksamhet och som bestämmer vilka uppgifter som ska behandlas och vad uppgifterna ska användas till. Enligt

text: 2 kap. 6 § patientdatalagen

text: är vårdgivaren personuppgiftsansvarig för den behandling av personuppgifter som vårdgivaren utför. Den personuppgiftsansvarige ska se till att behandlingen av personuppgifter är laglig enligt

text: personuppgiftslagen

text: och

text: patientdatalagen

text: och har till exempel ansvaret för informationssäkerheten och att de registrerade får den information de har rätt till. Personuppgiftsansvaret är straff- och skadeståndssanktionerat. Personuppgiftsbiträde är enligt

text: 30 § personuppgiftslagen

text: den som behandlar personuppgifter för den personuppgiftsansvariges räkning. Ett personuppgiftsbiträde finns alltid utanför den personuppgiftsansvariges organisation. Ett biträde kan vara en servicebyrå som behandlar personuppgifter på uppdrag av ett aktiebolag eller en myndighet. Det följer av

text: 30 § personuppgiftslagen

text: att personuppgiftsbiträdet endast får behandla personuppgifterna enligt givna instruktioner från den personuppgiftsansvarige. Även om en personuppgiftsansvarig anlitar ett personuppgiftsbiträde är det alltid den personuppgiftsansvarige som har ansvaret gentemot de registrerade. Personuppgiftsansvaret kan inte överlåtas. De personer vars uppgifter behandlas har alltid rätt att vända sig till den personuppgiftsansvarige och framställa eventuella krav eller klagomål på felaktig behandling av personuppgifter. Det ska enligt

text: 30 §

text: finnas ett skriftligt avtal om personuppgiftsbiträdets behandling av personuppgifter för personuppgiftsansvariges räkning. I avtalet ska det särskilt föreskrivas att personuppgiftsbiträdet bara får behandla personuppgifterna i enlighet med instruktioner från den personuppgiftsansvarige och att biträdet måste vidta lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifterna. I

text: 31 § andra stycket

text: ställs krav på att den personuppgiftsansvarige skall förvissa sig om att personuppgiftsbiträdet kan genomföra de säkerhetsåtgärder som måste vidtas och se till att personuppgiftsbiträdet verkligen vidtar åtgärderna. Det är den personuppgiftsansvarige som har ansvaret i förhållande till de registrerade även när ett personuppgiftsbiträde anlitas.

text: Socialstyrelsens föreskrifter (

text: ) om informationshantering och journalföring i hälso- och sjukvården. De rubricerade föreskrifterna är tillämpliga vid vårdgivares behandling av personuppgifter i verksamhet som omfattas av hälso- och

text: sjukvårdslagen (1982:763)

text: m.fl. I föreskrifterna finns regler om vårdgivarens ansvar för hanteringen av

text: patientuppgifter. Vårdgivaren ska enligt 2 kap. 2 § i föreskrifterna ha en dokumenterad informationssäkerhetspolicy och om vårdgivaren använder öppna nät för överföring av patientuppgifter ska denne enligt 2 kap. 5 § i samma föreskrifter ansvara för att överföringen görs så att ingen obehörig kan ta del av uppgifterna och att åtkomst till uppgifterna föregås av stark autentisering. Vårdgivaren ska i sitt avtal med ett personuppgiftsbiträde se till att lämpliga tekniska och organisatoriska åtgärder vidtas för att skydda de patientuppgifter som behandlas.

text: Tystnadsplikt Offentlighets- och

text: sekretesslagen (2009:400)

text: gäller som regel inte den som är anställd i ett privaträttsligt objekt. Det är i stället lämpligt att det enskilda företaget sluter avtal med sina anställda om tystnadsplikt eller att en myndighet ställer upp förbehåll om att uppgifter som arbetstagare som inte är offentliga funktionärer får kännedom om i sin verksamhet inte får röjas för utomstående.

text: Socialstyrelsens bedömning

text: Av

text: patientdatalagen

text: framgår att vårdgivaren är personuppgiftsansvarig för den behandling av personuppgifter som vårdgivaren utför. Enligt

text: personuppgiftslagen

text: så finns det en möjlighet för den personuppgiftsansvarige, i detta fall vårdgivaren, att anlita ett personuppgiftsbiträde som behandlar personuppgifter för den personuppgiftsansvariges räkning. I det aktuella fallet har de berörda vårdgivarna anlitat företaget Conscriptor som personuppgiftsbiträde. Vårdgivarna har alltså inte lämnat ut personuppgifter utan anlitat Conscriptor att utföra behandling av personuppgifter åt dem. Vårdgivarna kan inte överlåta sitt personuppgiftsansvar till personuppgiftsbiträde utan har fortsatt ansvar för de uppgifter som personuppgiftsbiträdet hanterar på deras uppdrag. Av

text: personuppgiftslagen

text: följer att vårdgivarna ska föreskriva i avtal med personuppgiftsbiträdet att biträdet är skyldigt att vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Det ska till exempel säkerställas att inga obehöriga kan ta del av patientuppgifter när personuppgiftsbiträdets personal arbetar med patientuppgifterna eller lämnar datorn. Det är vårdgivarens ansvar att förvissa sig om att personuppgiftsbiträdets behandling av patientuppgifter är laglig och sker på ett korrekt sätt. Sekretess är grundläggande inom hälso- och sjukvården för att patienter ska kunna känna förtroende för hälso- och sjukvårdspersonal så att han eller hon vågar lämna alla relevanta uppgifter om sitt hälsotillstånd utan risk för att uppgifterna kan bli åtkomliga för obehöriga. Om detta förtroende sviktar kan risker för patientsäkerheten uppstå. De vårdgivare som anlitar Conscriptor för att säkerställa och följa upp att sekretessen beaktas och att nödvändiga säkerhetsåtgärder vidtas hos Conscriptor har därför ett långtgående ansvar. Vårdgivaren ska även säkerställa att den personal som personuppgiftsbiträdet anlitar inte röjer för utomstående vad de får kännedom vid behandlingen av patientuppgifterna. Detta ansvar ska vårdgivaren fullgöra dels genom en avtalsskrivning där kraven framgår tydligt, dels genom uppföljning av hur företaget hanterar uppgifterna i praktiken.

text: 2.5 Yttrande från Datainspektionen JO begärde även att Datainspektionen skulle yttra sig i frågan om regionens/landstingets överförande av uppgifter om patienter till Conscriptor hade varit förenligt med bestämmelserna om hantering av personuppgifter.

text: I sitt yttrande anförde Datainspektionen bl.a. följande:

text: Hänvisningar nedan avser

text: personuppgiftslagen

text: , om inte annat anges.

text: Inledning

text: Enligt

text: 2 § personuppgiftsförordningen (1998:1191)

text: är Datainspektionen tillsynsmyndighet enligt

text: personuppgiftslagen

text: . Primärt ingår det inte i vårt myndighetsuppdrag att ta ställning till om de aktuella vårdgivarna på ett korrekt sätt har tillämpat offentlighets- och

text: sekretesslagen (2009:400)

text: eller andra bestämmelser om sekretess eller tystnadsplikt, när de har överfört patientuppgifter till det aktuella företaget. Att vårdgivarna har tillämpat sådana bestämmelser är dock av avgörande betydelse eftersom en personuppgiftsansvarig alltid ska se till att personuppgifter behandlas bara om det är lagligt,

text: 9 § första stycket a)

text: . En behandling av personuppgifter i form av en överföring får därför inte utföras om överföringen är i strid med andra bestämmelser som den personuppgiftsansvarige ska tillämpa inom sitt verksamhetsområde och som denne får förutsättas ha kunskap om. Sekretess- och tystnadspliktsbestämmelser är ett exempel på andra bestämmelser som den personuppgiftsansvarige behöver beakta som ett led i frågan om laglighet. Vår översiktliga bedömning är att

text: 10 kap. 2 § offentlighets- och sekretesslagen

text: eventuellt kan utgöra en sekretessbrytande bestämmelse som är tillämplig i det här fallet, men det ställningstagandet torde närmast vara en fråga för JO. I ett bredare integritetsperspektiv tror vi att det är värdefullt för vårdgivare och patienter att JO belyser frågan.

text: Några relevanta exempel på dataskyddsbestämmelser

text: Av JO bifogade yttranden är förknippade med möjligheten att anlita ett personuppgiftsbiträde. Vi vill därför framhålla följande. Gällande dataskyddet utgår

text: personuppgiftslagen

text: från att en personuppgiftsansvarig med beaktande av vissa krav kan anlita ett personuppgiftsbiträde för att behandla personuppgifter för den personuppgiftsansvariges räkning. Enligt

text: 30 § första stycket

text: får den eller de personer som arbetar under personuppgiftsbiträdets eller den personuppgiftsansvariges ledning behandla personuppgifter bara i enlighet med instruktioner från den personuppgiftsansvarige. Enligt

text: 30 § andra stycket personuppgiftslagen

text: ska det finnas ett skriftligt avtal där det ska föreskrivas att personuppgiftsbiträdet får behandla personuppgifter bara i enlighet med instruktioner från den personuppgiftsansvarige och att personuppgiftsbiträdet är skyldigt att vidta de åtgärder som avses i

text: 31 § första stycket personuppgiftslagen

text: . Av sist nämnda bestämmelse framgår följande. En personuppgiftsansvarig ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Dessa åtgärder ska åstadkomma en säkerhetsnivå som är lämplig med beaktande av de tekniska möjligheter som finns, vad det skulle kosta att genomföra åtgärderna, de särskilda risker som finns med behandlingen av personuppgifterna och hur pass känsliga de behandlade personuppgifterna är. En vårdgivare måste också förvissa sig om att personuppgiftsbiträdet kan genomföra de säkerhetsåtgärder som måste vidtas och se till att personuppgiftsbiträdet verkligen vidtar säkerhetsåtgärderna. Det framgår av

text: 31 § andra stycket

text: . När det gäller

text: patientdatalagen (2008:355)

text: och patientuppgifter är det viktigt att notera att det finns uttryckliga krav på säkerhetsåtgärder som en vårdgivare ska vidta. Någon bedömning enligt

text: 31 § första stycket personuppgiftslagen

text: om lämpliga säkerhetsåtgärder behövs således inte i just de fall det finns uttryckliga krav på att vidta säkerhetsåtgärder, jämför med

text: 1 kap. 4 § patientdatalagen

text: . De uttryckliga kraven på säkerhetsåtgärder som typiskt sett blir aktuella för en vårdgivare som överför patientuppgifter till ett personuppgiftsbiträde är

text:  behörighetstilldelning/-styrning,

text: 4 kap. 2 § patientdatalagen

text: och 2 kap. 6 § Socialstyrelsens föreskrifter Informationshantering och journalföring i hälso- och sjukvården

text: SOSFS 2008:14

text:  åtkomstkontroll, inklusive logguppföljning,

text: 4 kap. 3 § patientdatalagen

text: och

text: 2 kap. 11 §

text: SOSFS 2008:14, samt  stark autentisering och kryptering när patientuppgifter överförs i öppet nät,

text: 2 kap. 5 § första stycket

text: SOSFS 2008:14, ändrad

text: SOSFS 2011:8

text: . I det sammanhang som omfattas av

text: SOSFS 2008:14

text: avses med patientuppgifter behandling av patienters personuppgifter,

text: 1 kap. 2 § första stycket

text: SOSFS 2008:14. Med stark autentisering avses autentisering som innebär att identiteten kontrolleras på två olika sätt,

text: 1 kap. 3 §

text: SOSFS 2008:14. Datainspektionen anser att det är särskilt viktigt att en vårdgivare ger sitt personuppgiftsbiträde tydliga instruktioner enligt 30 § andra stycket om de uttryckliga säkerhetsåtgärder som biträdet måste vidta och som är förknippade med just det uppdrag som vårdgivaren ger till sitt personuppgiftsbiträde gällande personuppgiftsbehandling. Tillkommer gör självklart också de säkerhetsåtgärder som bygger på en bedömning enligt

text: 31 § personuppgiftslagen

text: , som beskrivits ovan. På det underlag vi har fått från JO kan vi inte dra några säkra slutsatser om vårdgivarna har levt upp till bestämmelserna i

text: patientdatalagen

text: och

text: personuppgiftslagen

text: . Våra exempel ovan är inte heller uttömmande. Som en del i vårt yttrande bifogar vi en skrivelse och ett beslut i ett tillsynsärende där vi tillsynsvis kontrollerat en vårdgivare som låter egna medicinska sekreterare utföra arbete inom hälso- och sjukvården från hemmet (Datainspektionens ärende 949-2012). Det är inte fråga om anlitande av ett personuppgiftsbiträde. Ett fokus i tillsynen är

text: 2 kap. 5 § första stycket

text: SOSFS 2008:14.

text: De berörda nämnderna fick tillfälle att kommentera remissvaren från Socialstyrelsen och Datainspektionen.

text: AA kommenterade remissvaren. Han bifogade en tidningsartikel.

text: 3 Bedömning

text: 3.1 Inledning När uppgifter om patienter inom hälso- och sjukvården journalförs behandlas information om patienterna (personuppgifter) som är mycket känslig ur integritetssynpunkt. Inom hälso- och sjukvården skyddas sådana uppgifter genom dels bestämmelser om sekretess/tystnadsplikt, dels bestämmelser om hur personuppgifter får behandlas.

text: Bestämmelser om sekretess finns främst i offentlighets- och

text: sekretesslagen (2009:400)

text: , OSL. I den lagen regleras bl.a. när en uppgift omfattas av sekretess och när en sådan uppgift kan lämnas ut till en annan myndighet eller till enskilda, t.ex. ett företag. I OSL regleras också frågan om tystnadsplikt för personal inom den allmänna hälso- och sjukvården.

text: Regler om behandling av personuppgifter (bl.a. journalföring) inom hälso- och sjukvården finns framför allt i

text: patientdatalagen (2008:355)

text: och

text: personuppgiftslagen (1998:204)

text: , PuL.

text: Patientdatalagen

text: innehåller särskilda regler om behandling av personuppgifter inom hälso- och sjukvården, medan det i PuL finns allmänna regler om behandling av personuppgifter. Regleringen innebär att PuL ska

text: tillämpas i sådana fall där frågan inte är reglerad i

text: patientdatalagen

text: , eller i en annan lag eller i en förordning (se

text: 2 §

text: PuL och

text: 1 kap. 4 § patientdatalagen

text: ). Vårdgivare måste även beakta bl.a. Socialstyrelsens föreskrifter (

text: SOSFS 2008:14

text: ) om informationshantering och journalföring i hälso- och sjukvården.

text: En behandling av personuppgifter är tillåten bara om den är förenlig med reglerna i OSL (jfr 9 § första stycket a PuL, som berörs i Datainspektionens yttrande). En grundläggande förutsättning för en överföring av patientuppgifter för journalföring är således att regelverket om sekretess har beaktats.

text: Inom den allmänna hälso- och sjukvården är det vårdgivaren (inom ett landsting/en region, ofta en nämnd) som ansvarar för att den sekretess som gäller för uppgifter om enskilda patienter upprätthålls. Vårdgivaren är också personuppgiftsansvarig för den behandling av personuppgifter som vårdgivaren utför (

text: 2 kap. 6 § patientdatalagen

text: I det här ärendet aktualiseras frågan om en vårdgivare uppfyller detta ansvar när vårdgivaren anlitar ett företag för hjälp med journalföring av patientuppgifter. Under utredningen har JO begärt in yttranden från tre vårdgivare som har anlitat samma företag. Utgångspunkten för de avtal som har ingåtts mellan de berörda nämnderna (styrelserna är nämnder i

text: kommunallagens

text: [1991:900] mening) och företaget är att företaget i förhållande till vårdgivaren agerar i egenskap av personuppgiftsbiträde. Ett sådant biträde behandlar personuppgifter för den personuppgiftsansvariges (dvs. vårdgivarens) räkning (

text: 3 §

text: PuL).

text: Avtalen innebär kortfattat följande. Vårdgivaren anlitar företaget för hjälp med journalföring. Företagets personal (läkarsekreterare) utför den faktiska behandlingen av personuppgifter som innefattar journalföringen. Vårdgivaren ger läkarsekreterarna behörighet att logga in i vårdgivarens elektroniska journalsystem. Inlästa uppgifter (diktat) om patienterna blir därmed tillgängliga för läkarsekreterarna som lyssnar av diktaten och skriver in uppgifterna i patientens journal. Läkarsekreterarna utför sitt arbete utanför vårdgivarens lokaler, i vissa fall från sitt hem. Såvitt framkommit har vårdgivarna inte någon direkt relation till läkarsekreterarna och vet inte heller vem hos företaget som kommer att journalföra en viss uppgift. Som jag uppfattat saken innebär den tekniska lösningen att uppgifterna behandlas enbart elektroniskt och att de inte vid något tillfälle lagras utanför landstingets/regionens it-system.

text: Min granskning är i första hand inriktad på frågan om det är förenligt med sekretesslagstiftningen att landstinget/regionen på detta sätt lämnar ut/överför patientuppgifter till den personal (läkarsekreterare) som är anställd hos personuppgiftsbiträdet och som utför journalföringen. Jag berör dock även vissa aspekter av regelverket om behandling av personuppgifter som har betydelse i sammanhanget.

text: Att regelverket om behandling av personuppgifter, utöver det som framgår i det följande, ställer långtgående krav på framför allt den personuppgiftsansvarige

text: framgår av yttrandena från Socialstyrelsen och Datainspektionen. En vårdgivare som anlitar ett personuppgiftsbiträde för journalföring måste beakta en rad frågor som gäller såväl tekniska som organisatoriska aspekter. I Socialstyrelsens yttrande finns även en redovisning av kraven på vårdgivarens journalföring i sig.

text: 3.2 Regler om sekretess och tystnadsplikt m.m. 3.2.1 Sekretess inom den allmänna hälso- och sjukvården m.m. Inom den allmänna hälso- och sjukvården gäller sekretess för en uppgift om en enskilds hälsotillstånd eller andra personliga förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men (

text: 25 kap. 1 §

text: OSL). Sekretessen gäller både mot enskilda och mot andra myndigheter (

text: 8 kap. 1 §

text: OSL).

text: Det s.k. omvända skaderekvisitet som finns i

text: 25 kap. 1 §

text: OSL innebär att uppgifter om en enskilds personliga förhållanden i en patientjournal i princip enbart kan lämnas ut med den enskildes samtycke (

text: 10 kap. 1 §

text: OSL) eller med stöd i OSL eller en lag eller förordning som OSL hänvisar till (

text: 8 kap. 1 §

text: OSL).

text: När sekretessbelagda uppgifter behandlas inom den allmänna hälso- och sjukvården gäller vidare följande.

text: Av

text: 2 kap. 1 §

text: OSL följer att det är förbjudet för såväl myndigheter som vissa personer (som har tystnadsplikt) att röja uppgifter som är sekretessbelagda enligt OSL. Ett röjande kan ske muntligen, genom ett utlämnande av en allmän handling eller på något annat sätt (

text: 3 kap. 1 §

text: OSL).

text: Av den följande redovisningen kommer det att framgå att vårdgivarens egen personal har tystnadsplikt enligt OSL som omfattar de (sekretessbelagda) uppgifter om en patient som personalen får reda på (t.ex. i samband med journalföring). En fråga i detta ärende är om personuppgiftsbiträdets personal (läkarsekreterarna) har tystnadsplikt enligt OSL när de utför journalföring enligt avtalen. I så fall skulle – något förenklat – journalföring enligt avtalen inte innebära att sekretessbelagda uppgifter röjs. Jag uppehåller mig därför i det följande först vid frågan om personalen hos biträdet omfattas av tystnadsplikt enligt OSL och vid vissa närliggande frågor som rör andra former av tystnadsplikt än den som följer av OSL. Därefter redovisar jag vissa sekretessbrytande bestämmelser som innebär att ett utlämnande av en uppgift i vissa fall är möjligt även om uppgiften är sekretessbelagd, och går in på frågan om de är tillämpliga i det här sammanhanget.

text: 3.2.2 Bestämmelser om tystnadsplikt för personal inom hälso- och sjukvården m.m.

text: 3.2.2.1 Straffsanktionerad tystnadsplikt

text: Personal inom såväl den allmänna som den enskilda hälso- och sjukvården omfattas av bestämmelser om tystnadsplikt. Den som omfattas av en sådan tystnadsplikt och som felaktigt röjer en uppgift kan i vissa fall dömas för brott mot tystnadsplikt.

text: Straffbestämmelsen finns i

text: 20 kap. 3 § brottsbalken

text: . I den föreskrivs att om någon röjer en uppgift, som han är skyldig att hemlighålla, eller om han olovligen utnyttjar en sådan hemlighet, ska han, om inte gärningen är straffbelagd på annat sätt, dömas för brott mot tystnadsplikt till böter eller fängelse i högst ett år. Enligt andra stycket ska den som av oaktsamhet begår en gärning som avses i första stycket, dömas till böter. I ringa fall ska dock inte dömas till ansvar.

text: 3.2.2.2 Tystnadsplikt för personal inom den enskilda hälso- och sjukvården

text: När det gäller hälso- och sjukvårdspersonal inom den enskilda hälso- och sjukvården finns bestämmelsen om tystnadsplikt i

text: 6 kap. 12 § patientsäkerhetslagen (2010:659)

text: . Enligt denna får den som tillhör eller har tillhört hälso- och sjukvårdspersonalen inom den enskilda hälso- och sjukvården inte obehörigen röja vad han eller hon i sin verksamhet har fått veta om en enskilds hälsotillstånd eller andra personliga förhållanden. Vem som i detta avseende utgör hälso- och sjukvårdpersonal framgår av

text: 1 kap. 4 § patientsäkerhetslagen

text: . Personalen hos det aktuella personuppgiftsbiträdet omfattas inte av denna bestämmelse.

text: 3.2.2.3 Tystnadsplikt för personal inom den allmänna hälso- och sjukvården

text: För personal inom den allmänna hälso- och sjukvården finns tystnadspliktsbestämmelsen i

text: 2 kap. 1 § andra stycket

text: OSL. I denna föreskrivs ett förbud att röja uppgifter enligt OSL. Förbudet gäller för personer som har fått kännedom om uppgiften genom att för det allmännas räkning delta i en myndighets verksamhet 1) på grund av anställning eller uppdrag hos myndigheten, 2) på grund av tjänsteplikt, eller 3) på annan liknande grund. Bestämmelsen behandlas i förarbetena till den tidigare gällande

text: sekretesslagen (1980:100)

text: prop. 1979/80:2

text: Del A s. 126 f.

text: Tystnadsplikten enligt 1) tar, utöver anställda, sikte på personer som utför uppdrag hos en myndighet och som har en sådan anknytning till myndigheten att de kan sägas delta i dennas verksamhet. Det är bara uppdragstagare som är fysiska personer som i sekretesshänseende ska jämställas med arbetstagare hos myndigheten. Exempel på sådana uppdragstagare som är tänkta att omfattas av bestämmelsen är kontaktpersoner inom socialtjänsten och olika slag av konsulter.

text: Det kan mot denna bakgrund konstateras att personalen hos personuppgiftsbiträdet inte omfattas av tystnadsplikt enligt 1). Bestämmelsen om tystnadsplikt på grund av tjänsteplikt enligt 2) är inte heller tillämplig i det här fallet.

text: Om deltagande enligt 3) – på annan liknande grund – anfördes bl.a. följande i de nämnda förarbetena (a. prop. Del A s. 128; jfr Del B s. 190–191):

text: Sekretesslagen

text: gäller i princip inte den som är anställd hos privat rättssubjekt. Om myndigheten har träffat avtal t.ex. med ett enskilt företag, kan det emellertid som framhålls i promemorian i undantagsfall te sig naturligt att arbetstagare hos motparten får lyda under bestämmelse i

text: sekretesslagen

text: . Jag syftar här bl.a. på sådana

text: fall som riksrevisionsverket tar upp i sitt remissyttrande, nämligen då arbetstagaren ställs till myndighetens förfogande och deltar i dess verksamhet på samma sätt som om myndigheten hade ingått uppdragsavtal med vederbörande själv. Med tanke på sådana och liknande fall gäller 7 § [motsvarar 6 § i lagen; JO:s anm.] även den som på ”annan liknande grund” deltar i myndighets verksamhet.

text: JO har tidigare behandlat förutsättningarna för en socialnämnd att anlita ett privaträttsligt subjekt som utredare inom socialtjänsten (JO 2001/02 s. 250, dnr

text: och

text: ). I beslutet anfördes i fråga om sekretess bl.a. följande (

text: 1 kap. 6 § sekretesslagen

text: , 1980:100, motsvaras i dag av

text: 2 kap. 1 §

text: OSL):

text: Ett bolag kan inte ges i uppdrag att utföra en utredning för socialnämndens räkning. Däremot kan det finnas utrymme för socialnämnden att träffa ett avtal med ett bolag om att bolaget skall ställa en viss person till nämndens förfogande. En sådan person kan nämligen i vissa situationer omfattas av

text: sekretesslagens

text: regler. Vid tillkomsten av

text: sekretesslagen

text: uttalades härom bl.a. följande (

text: prop. 1979/80:2

text: del A s. 128; jfr

text: prop. 1981/82:186 s. 41

text: ). – – – [Här återges det förarbetsuttalande som har redovisats ovan.]

text: Att ett bolag åtar sig att ställa en person till socialnämndens förfogande innebär inte att den personen har ett uppdrag hos myndigheten i den mening som begreppet har i

text: 1 kap. 6 §

text: SekrL. Däremot kan en sådan person vid tillämpning av

text: sekretesslagen

text: kunna anses som en offentlig befattningshavare om han på ”annan liknande grund” deltar i myndighetens verksamhet. Om så är fallet bör han kunna likställas med s.k. osjälvständiga eller beroende uppdragstagare även i de hänseenden jag har behandlat tidigare. Enligt min mening torde det därför finnas utrymme för en socialnämnd att till sig knyta en ”utredare” genom ett avtal med ett bolag om att bolaget ställer personen till nämndens förfogande. En förutsättning härför är att utredaren, om uppdragsavtal hade träffats med honom själv, varit att betrakta som en befattnings– havare vid nämndens förvaltning. I konsekvens med vad som har anförts får ett avtal, enligt vilket ett bolag åtar sig att ställa en ”utredare” till nämndens förfogande, inte utformas så att det ger bolaget rätt att avgöra vem som skall utföra utredningen utan det måste bestämmas genom avtalet. Om den som skall utföra utredningen inte har deltagit vid avtalets tillkomst måste socialnämnden dessutom träffa en särskild överenskommelse med denne rörande utredningens utförande. I annat fall kan inte nämnden vara förvissad om att utredaren är införstådd med under vilka förhållanden som han bedriver sitt arbete. Enligt min mening är det en lämplig ordning att den som skall utföra en utredning på uppdrag av socialnämnden alltid erhåller någon form av förordnande av socialnämnden.

text: När det gäller frågan om huruvida vårdgivarnas avtal med personuppgiftsbiträdet innebär att biträdets personal kan omfattas av tystnadsplikt på annan liknande grund vill jag anföra följande.

text: Eftersom den personal som utför journalföringen är anställd i ett företag (dvs. ett privat rättssubjekt) är utgångspunkten att de inte omfattas av tystnadsplikt enligt OSL. De aktuella avtalen innebär att vårdgivaren köper en tjänst – journalföring – av företaget. Enligt avtalen är vårdgivaren personuppgiftsansvarig medan företaget agerar som ett personuppgiftsbiträde. Ett personuppgiftsbiträde finns alltid utanför den personuppgiftsansvariges egen organisation. En anställd eller någon annan som behandlar personuppgifter under den personuppgiftsansvariges direkta ansvar är inte ett personuppgiftsbiträde (jfr

text: Personuppgiftslagen

text: – En kommentar, Zeteo, 25 september 2013, kommentaren till

text: 3 §

text: PuL).

text: Avtalsparternas avsikt har av allt att döma inte varit att biträdet ska ställa personal till de berörda nämndernas förfogande på ett sätt som innebär att personalen skulle omfattas av tystnadsplikt enligt OSL. Såvitt framgår av remissvaren har nämnderna inte heller utgått från att biträdets personal skulle ha tystnadsplikt enligt OSL. Att vårdgivaren ensam bestämmer över ändamålen i sig med den aktuella personuppgiftsbehandlingen och i vissa avseenden ska ställa organisatoriska och tekniska krav på biträdet (jfr 30–31 §§ PuL) förändrar inte den bild som avtalen ger av vilken relation mellan biträdets personal och vårdgivaren som har varit avsedd.

text: Det verkar inte heller som om enskilda läkarsekreterare hos företaget ställs till vårdgivarens förfogande i praktiken. Såvitt framkommit bestämmer inte vårdgivaren vem hos biträdet som ska utföra journalföringen, vet inte på förhand vem som kommer att behandla en viss uppgift och har inte heller i övrigt något direkt inflytande över det arbete som sekreteraren utför. Det finns inte någon form av överenskommelse eller avtal mellan vårdgivaren och den enskilde läkarsekreteraren.

text: I dokumentet ”Utdrag ur överenskommelse ANS–Conscriptor”, som styrelsen för ANS har gett in tillsammans med sitt remissvar, anges att ”Conscriptor garanterar att bara namngivna och av Kunden godkända läkarsekreterare hos Conscriptor får tillgång till Kundens data […]”.

text: Även om vårdgivaren får denna information från företaget skiljer sig omständigheterna i det här fallet på avgörande punkter från den situation som behandlades i JO 2001/02 s. 250. Detta inte minst eftersom de aktuella avtalen innebär att den personal som behandlar uppgifterna utför sitt arbete i anledning av sin arbetsgivares ställning som personuppgiftsbiträde. Vad som har kommit fram innebär inte att företagets personal kan anses ha en sådan relation till vårdgivarens verksamhet att de omfattas av tystnadsplikt på annan liknande grund (jfr i denna fråga JO 1982/83 s. 238, dnr

text: , som jag återkommer till nedan).

text: Sammanfattningsvis gör jag alltså bedömningen att personalen hos personuppgiftsbiträdet inte omfattas av någon sådan straffsanktionerad tystnadsplikt som följer av

text: 2 kap. 1 § andra stycket

text: OSL.

text: 3.2.3 Gäller någon form av tystnadsplikt för personalen (läkarsekreterare) som

text: utför journalföringen hos personuppgiftsbiträdet?

text: Den personal hos ett personuppgiftsbiträde som behandlar uppgifter åt en vårdgivare kan omfattas av andra former av tystnadsplikt än sådan som följer av OSL eller

text: patientsäkerhetslagen

text: . Avtalen mellan företaget och läkarsekreterarna innehåller en klausul om tystnadsplikt. Dessutom följer en sorts tystnadsplikt av reglerna om behandling av personuppgifter inom hälso- och sjukvården. Dessa former av tystnadsplikt är inte straffsanktionerade enligt

text: 20 kap. 3 § brottsbalken

text: , men är ändå av intresse i det här sammanhanget eftersom de kan beaktas vid prövningen av om ett utlämnande av en uppgift innebär men för den som skyddas av sekretessen. Jag återkommer nedan, under rubriken Sammanfattande

text: synpunkter, till min syn i denna fråga. Jag vill dock här kort beskriva dessa ”alternativa” tystnadsplikter.

text: 3.2.3.1 Avtalsreglerad tystnadsplikt

text: I förarbetena till den tidigare gällande

text: sekretesslagen

text: , 1980:100 (

text: prop. 1981/82:186 s. 41

text: ) anfördes bl.a. följande (den bestämmelse som nämns motsvaras i dag av

text: 10 kap. 14 §

text: OSL, som jag berör längre fram i beslutet): Mot bakgrund av det anförda kan konstateras att t.ex. personal från en kontoristförening eller ett bevakningsföretag som regel inte torde vara bundna av

text: sekretesslagen

text: . Jag vill emellertid erinra om att det oftast är möjligt att undvika olägenheter som kan uppkomma till följd härav antingen genom att det enskilda företaget sluter avtal med sina anställda om tystnadsplikt eller genom att en myndighet ställer upp förbehåll om att uppgifter som arbetstagare som inte är offentliga funktionärer får kännedom om i sin verksamhet inte får röjas för utomstående (jfr

text: 14 kap. 9 §

text: SekrL). Detta förfarande kan tillämpas t.ex. när en myndighet anlitar en skrivbyrå för utskrift av handlingar som innehåller sekretessbelagda uppgifter. Av yttrandet från SLSO framgår hur tystnadsplikten är reglerad i avtalen mellan personuppgiftsbiträdet och den personal hos biträdet som utför journalföringen. Tystnadsplikten omfattar de uppgifter som den personen behandlar i anledning av företagets uppdrag som personuppgiftsbiträde.

text: Vid en överträdelse av en avtalsreglerad tystnadsplikt är den ”sanktion” mot den personal som brutit mot tystnadsplikten den som kan följa av avtalen. Detta är i första hand en fråga mellan avtalsparterna, dvs. arbetsgivaren och arbetstagaren. Av den aktuella avtalsklausulen framgår att personalen hos biträdet kan bli skyldig att betala skadestånd till företaget, för den eventuella skada som företaget lider på grund av att uppgifter har röjts.

text: 3.2.3.2 En form av tystnadsplikt följer av reglerna om behandling av personuppgifter

text: När en vårdgivare anlitar ett personuppgiftsbiträde för behandling av patientuppgifter är det vårdgivaren som är ansvarig om behandlingen hos biträdet sker i strid med bestämmelserna om hur personuppgifter får behandlas. Ansvaret innebär bl.a. att vårdgivaren som personuppgiftsansvarig ska ersätta den registrerade (t.ex. en patient) för skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med

text: patientdatalagen

text: eller PuL har orsakat. Detta framgår av

text: 10 kap. 1 § patientdatalagen

text: och

text: 48 §

text: PuL.

text: I detta sammanhang är det av intresse att det av 30 § PuL följer en form av tystnadsplikt för t.ex. den som är anställd hos ett personuppgiftsbiträde och som alltså behandlar personuppgifter för den personuppgiftsansvariges räkning. Detta eftersom personuppgifterna bara får behandlas i enlighet med den personuppgiftsansvariges instruktioner. Ett muntligt eller ett skriftligt utlämnande av personuppgifter till tredje man innebär en ”behandling” av uppgiften, jfr 3 § PuL. I förarbetena till PuL anfördes bl.a. följande om detta (

text: prop. 1997/98:44 s. 91

text: Skulle någon som arbetar för den personuppgiftsansvarige lämna ut personuppgifter i strid med vad som sålunda gäller, är det den personuppgiftsansvarige som bär det rättsliga ansvaret gentemot den registrerade […] I vilken utsträckning den personuppgiftsansvarige i sin tur kan vidta någon åtgärd mot den som lämnade ut uppgiften i strid med givna instruktioner framgår av de bestämmelser som reglerar förhållandet mellan den personuppgiftsansvarige och medhjälparen, t.ex. avtalet med ett personuppgiftsbiträde eller arbetsrättsliga bestämmelser […] De allmänt hållna bestämmelserna i den nya lagen innebär inte en sådan plikt att hemlighålla uppgifter som medför att straffstadgandet om brott mot tystnadsplikt i

text: 20 kap. 3 § brottsbalken

text: kan bli tillämpligt.

text: 3.3 Sekretessbrytande bestämmelser i OSL Om en uppgift är sekretessbelagd får den som huvudregel inte röjas för enskilda eller för andra myndigheter (

text: 8 kap. 1 §

text: OSL). I

text: 10 kap.

text: OSL finns dock vissa undantag från huvudregeln – sekretessbrytande bestämmelser – som innebär att uppgiften kan lämnas ut även om den är sekretessbelagd.

text: 3.3.1 Den sekretessbrytande bestämmelsen om nödvändigt utlämnande i

text: 10 kap. 2 §

text: OSL

text: Enligt

text: 10 kap. 2 §

text: OSL hindrar inte sekretess att en uppgift lämnas till en enskild, om det är nödvändigt för att den utlämnande myndigheten ska kunna fullgöra sin verksamhet. Bestämmelsen innebär att det är tillåtet att lämna ut uppgifter även om det innebär skada eller men för den enskilde.

text: Syftet med bestämmelsen är att förhindra att sekretessregleringen gör det omöjligt för en myndighet och dess personal att sköta de uppgifter som myndigheten har ansvar för. Sekretessen får efterges bara i sådana fall då ett utlämnande av sekretessbelagda uppgifter är en nödvändig förutsättning för att myndigheten ska kunna fullgöra ett visst åtagande (se Offentlighets- och

text: sekretesslagen

text: , Zeteo, 1 juli 2013, kommentaren till

text: 10 kap. 2 §

text: OSL, se även Jesper Ekroths och Therése Fridström Montoyas artikel i FT 2008 s. 153).

text: Av förarbetena framgår att bestämmelsen ska tillämpas restriktivt. Enbart en bedömning att effektiviteten i myndighetens handlande sätts ner genom en föreskrift om sekretess får inte leda till att sekretessen åsidosätts (jfr

text: prop. 1979/80:2

text: Del A s. 465 och 494). Som exempel på fall där ett utlämnande med stöd av bestämmelsen kan ske från en myndighet till en enskild nämns ”delgivning med part och annan föreskriven underrättelse till enskild som ett led i behandlingen av ett ärende” (

text: a. prop. s. 122

text: I ett äldre beslut, JO 1982/83 s. 238, dnr

text: , fann JO att

text: 1 kap. 5 § sekretesslagen

text: , 1980:100 (numera

text: 10 kap. 2 §

text: OSL), möjliggjorde att skattemyndigheter i vissa fall kunde lämna ut sekretessbelagda uppgifter till privata dataföretag för registrering. I det aktuella fallet utnyttjades privata dataföretag för registrering av deklarationer. Bedömningen i ärendet har ifrågasatts bl.a. i den ovan nämnda artikeln i FT.

text: Utgångspunkten är alltså att bestämmelsen ska tillämpas restriktivt. I praktiken handlar det om situationer av undantagskaraktär.

text: En vårdgivare är ansvarig för att det finns de resurser som behövs för att journalföring ska kunna utföras i enlighet med gällande rätt. En vårdgivare måste således anpassa och organisera sin verksamhet i enlighet med detta.

text: Av remissvaren framgår att vårdgivarnas behov av extern hjälp med journalföring uppkommer när den ordinarie personalen hos vårdgivaren inte hinner med. Det har inte kommit fram något som tyder på att vårdgivarna i och för sig skulle ha varit förhindrade att lösa journalföringen på ett sätt som inte hade riskerat att komma i konflikt med sekretessbestämmelserna. Det hade exempelvis kunnat ske genom en omfördelning av befintlig personal eller genom anställning av ny personal. Att avtalen kan ha inneburit en effektivisering av vårdgivarens journalföring i samband med att arbetsläget har varit ansträngt innebär, som framgår av förarbetsuttalandet ovan, inte i sig att bestämmelsen blir tillämplig. Det kan således enligt min mening inte anses ha varit fråga om ett sådant ”nödvändigt utlämnande” som medför att bestämmelsen i

text: 10 kap. 2 §

text: OSL kan tillämpas.

text: 3.3.2 Den sekretessbrytande bestämmelsen om utlämnande med förbehåll i

text: 10 kap. 14 §

text: OSL

text: En annan sekretessbrytande bestämmelse finns i

text: 10 kap. 14 §

text: OSL. Genom denna ges myndigheten en möjlighet att lämna ut en uppgift trots att den är sekretessbelagd. En förutsättning är att myndigheten ställer upp ett förbehåll i förhållande till den som tar emot uppgiften. Förbehållet kan avse ett förbud (för mottagaren) att lämna uppgiften vidare eller utnyttja den. Myndigheten måste göra bedömningen att förbehållet undanröjer den risk för men eller skada som utan förbehållet skulle hindra att uppgiften lämnas ut. Den som bryter mot ett förbehåll som har meddelats med stöd av bestämmelsen kan dömas för brott mot tystnadsplikt enligt

text: 20 kap. 3 § brottsbalken

text: JO har uttalat sig om förfarandet när ett utlämnande med förbehåll sker, bl.a. i beslutet JO 1992/93 s. 197, dnr

text: . I ärendet, som gällde klagomål mot polisen, anförde JO bl.a. följande: Bedöms en av sekretess omfattad handling kunna lämnas ut med förbehåll måste utlämnandet i varje enskilt fall föregås av ett beslut i saken som skall dokumenteras i polisärendet. Ett sådant beslut skall ange vilken handling det är fråga om, vem handlingen lämnas ut till och som därmed är bunden av förbehållet beträffande just den handlingen och vad förbehållet har för innebörd. Uttalandet överensstämmer med min syn på vilka krav som en tillämpning av bestämmelsen ställer. Som har framgått finns det inte utrymme för en myndighet att meddela generella förbehåll (jfr även bl.a. JO 1994/95 s. 574, dnr

text: 4 Sammanfattande synpunkter

text: 4.1 Utgångspunkter Vid journalföring inom hälso- och sjukvården behandlas uppgifter som många gånger är av mycket känsligt slag. Socialstyrelsen framhåller i sitt yttrande till JO att sekretessen är av grundläggande betydelse för att patienter ska kunna känna förtroende för hälso- och sjukvårdspersonalen. Som Socialstyrelsen har anfört kan det uppstå risker för patientsäkerheten om detta förtroende sviktar.

text: Enligt OSL råder en stark sekretess för uppgifter om patienter inom den allmänna hälso- och sjukvården. För att sekretessen ska upprätthållas är det av central betydelse att hälso- och sjukvårdspersonalen har en tystnadsplikt som omfattar det som den får reda på i samband med vården av en patient.

text: Som tidigare har angetts är min granskning inriktad på frågan om de berörda vårdgivarna har uppfyllt sitt ansvar för att upprätthålla sekretessen när man har ingått avtal med det aktuella företaget (ett personuppgiftsbiträde) om journalföring.

text: Avtalen innebär att företaget ska agera som ett personuppgiftsbiträde åt vårdgivaren. Ett personuppgiftsbiträde och biträdets personal arbetar nära den personuppgiftsansvarige vårdgivaren; uppgifter får bara behandlas enligt instruktioner från vårdgivaren. Prövningen av om en vårdgivare kan lämna ut sekretessbelagda uppgifter till ett personuppgiftsbiträde eller personal hos biträdet ska emellertid ske på vanligt sätt enligt OSL. Det långtgående tekniska skydd som finns för uppgifterna, förutsatt att regelverket om behandling av personuppgifter har beaktats på ett korrekt sätt, har inte någon direkt betydelse i detta sammanhang. Inte heller det förhållandet att ett utlämnande i PuL:s mening inte sker till en tredje man har någon direkt betydelse.

text: 4.2 Har det funnits rättsliga förutsättningar för vårdgivarna att lämna ut patientuppgifter på det sätt som följer av avtalen? Jag har redovisat min syn på hur vissa bestämmelser i OSL ska tolkas i det här aktuella sammanhanget. Vad gäller frågan om det har funnits rättsliga förutsättningar för de berörda vårdgivarna att lämna ut uppgifter om patienter på det sätt som följer av avtalen vill jag uppehålla mig vid följande.

text: Personalen hos personuppgiftsbiträdet (läkarsekreterarna) omfattas inte av den tystnadsplikt enligt

text: 2 kap. 1 § andra stycket

text: OSL som skulle ha gällt om vårdgivarens egen personal hade utfört journalföringen. Frågan om huruvida patientuppgifter som finns hos vårdgivaren kan göras tillgängliga för personuppgiftsbiträdets personal är därför i första hand beroende av om ett utlämnande till personalen kan ske utan att det innebär men för den som skyddas av sekretessen. Det är i detta sammanhang som en avtalsreglerad tystnadsplikt och den ”tystnadsplikt” som följer av regelverket om behandling av personuppgifter kan vägas in. Utgångspunkten vid prövningen är emellertid upplevelsen hos den som skyddas av sekretessen (jfr

text: prop. 1979/80:2

text: Del A s. 80 f.).

text: I ett ovan redovisat förarbetsuttalande om en liknande situation – en myndighet anlitar en skrivbyrå för utskrift av handlingar som innehåller sekretessbelagda uppgifter – uttalas att problemet med att personalen hos det företag som myndigheten har anlitat inte omfattas av sekretess ”oftast” kan avhjälpas genom att det företag som myndigheten har anlitat har sekretessavtal med sina anställda eller genom att myndigheten lämnar ut uppgifterna med förbehåll enligt (numera)

text: 10 kap. 14 §

text: OSL (

text: prop. 1981/82:186 s. 41

text: Den personal hos biträdet som utför journalföring åt vårdgivaren har en sådan avtalsreglerad tystnadsplikt som nämns i förarbetsuttalandet. Vid överträdelser av denna kan personalen bli skadeståndsskyldig mot sin arbetsgivare (företaget). Som har framgått följer även av regelverket om behandling av personuppgifter en sorts tystnadsplikt för personalen hos biträdet. Vid överträdelser av denna kan vårdgivaren som personuppgiftsansvarig bli skadeståndsskyldig enligt PuL mot t.ex. en patient.

text: När uppgifter om patienter lämnas ut till personuppgiftsbiträdets personal för journalföring omfattas de alltså av ett visst skydd. Som har anförts kan tystnadsplikten för den personal som behandlar patientuppgifter antas vara av stor betydelse för bl.a. de berörda patienterna vid deras kontakter med vården. Det blir därför i sammanhanget ofrånkomligt att jämföra med den situationen att uppgifterna behandlas av personal som har en tystnadsplikt enligt

text: 2 kap. 1 § andra stycket

text: OSL.

text: En principiellt sett mycket viktig skillnad är att personal som har tystnadsplikt enligt OSL (dvs. landstingets/regionens personal) omfattas av ett straffrättsligt ansvar enligt

text: 20 kap. 3 § brottsbalken

text: , medan så inte är fallet när det gäller personalen hos företaget (personuppgiftsbiträdet). Om en tjänsteman hos landstinget/regionen röjer sekretesskyddade patientuppgifter kan alltså hon eller han ställas till ansvar straffrättsligt och dömas för brott mot tystnadsplikt. Det kan inte läkarsekreterarna hos det aktuella företaget i motsvarande situation. Jag bedömer att risken för att patientuppgifter – som ofta är av mycket integritetskänsligt slag – felaktigt lämnas ut är större när den personal som behandlar uppgifterna inte arbetar under en straffsanktionerad tystnadsplikt. Det är därmed enligt min mening tydligt att journalföring enligt avtalen innebär att patientuppgifter har ett svagare skydd än om personal som har tystnadsplikt enligt OSL utför journalföringen.

text: Mot bakgrund av det nu anförda anser jag att varken den avtalsreglerade tystnadsplikten som gäller för biträdets personal eller den form av tystnadsplikt som följer av regleringen i PuL medför att det kan anses stå klart att patientuppgifter kan lämnas ut till företagets personal för journalföring utan att den enskilde eller någon närstående till denne lider men. Vad som i övrigt har kommit fram, bl.a. att behandlingen enligt avtalen äger rum för vårdgivarens räkning och – som det verkar – under tekniskt säkra förhållanden, ändrar inte den bedömningen.

text: Min slutsats är således att det inte står klart att ett utlämnande enligt avtalen kan ske utan men för den som skyddas av sekretessen. Sekretessen enligt

text: 25 kap. 1 §

text: OSL hos vårdgivaren gäller alltså i förhållande till personuppgiftsbiträdet och biträdets personal. Uppgifter om en enskilds personliga förhållanden kan då i princip lämnas ut bara med den enskildes samtycke eller med stöd i OSL eller en lag eller förordning som OSL hänvisar till.

text: Det har inte påståtts att vårdgivarna hämtat in samtycke till utlämnandet från de personer som skyddas av sekretessen. Som framgått har ett utlämnande av sekretessbelagda uppgifter från vårdgivaren inte kunnat äga rum med stöd av den sekretessbrytande bestämmelsen om nödvändigt utlämnande i

text: 10 kap. 2 §

text: OSL eller haft stöd i en annan lag eller förordning som OSL hänvisar till. I sammanhanget kan tilläggas att den sekretessbrytande bestämmelsen i

text: 10 kap. 14 §

text: OSL inte ger stöd för utlämnande av uppgifter mot generellt uppställda förbehåll.

text: Sammanfattningsvis gör jag den samlade bedömningen att vårdgivarna inte har haft rättsligt stöd för att på det sätt som skett lämna ut sekretesskyddade uppgifter om patienter för behandling av personuppgiftsbiträdets personal.

text: 4.3 Avslutande synpunkter Nämndernas remissvar till JO och det som har kommit fram om avtalen ger intryck av att avtalsparterna främst har lagt vikt vid sina respektive roller enligt regelverket om behandling av personuppgifter. Som framgått har emellertid en vårdgivare även ansvar för att hälso- och sjukvårdssekretessen upprätthålls. En behandling av personuppgifter är tillåten bara om den är förenlig med reglerna i OSL. Av nämndernas remissvar framgår inte vilka överväganden som har gjorts i fråga om sekretess. Det är anmärkningsvärt att vårdgivarna inte har ägnat sekretessaspekterna större uppmärksamhet i samband med att de ingått avtalen.

text: De berörda nämnderna förtjänar allvarlig kritik för att de har ingått avtal som innebär att landstinget och regionen lämnar ut patientuppgifter för journalföring av anställda vid ett företag trots att detta inte är förenligt med regelverket om sekretess. Jag förutsätter att landstinget och regionen beaktar mina uttalanden och vidtar de åtgärder som krävs för att journalföringen fortsättningsvis ska ske på ett lagenligt sätt.

text: Jag anser att det finns anledning att skicka beslutet till Inspektionen för vård och omsorg (IVO), som är ordinarie tillsynsmyndighet inom hälso- och sjukvårdsområdet, samt till Justitiedepartementet, Socialdepartementet och Sveriges Kommuner och Landsting (SKL) för kännedom.

text: 4.4 Övrigt Vad som i övrigt har kommit fram leder inte till någon kommentar från min sida.

text: Ärendet avslutas med den allvarliga kritik mot vårdgivarna som har uttalats.


avgjordAv: Justitieombudsmannen Katarina Påhlsson

nyckelord:
Anstalt
Beslut
Beslutsmotivering, utformning av beslut
Elektronisk kommunikation

publisher: Justitieombudsmannen

title: Intagnas kontakter med advokater i rättsliga angelägenheter

org: jo

sammanfattning: En intagen i anstalten Kumla hade fått en varning och ansökte om att få ringa till en advokat. Anstalten avslog ansökan med motiveringen att det inte fanns någon pågående rättslig angelägenhet och bedömde att kontakten borde kunna skötas per brev. JO uppfattar att den intagne ville ha juridiskt biträde för att angripa varningsbeslutet och konstaterar att det därmed förelåg en rättslig angelägenhet. En intagen har i sådana fall rätt att låta sig företrädas av en advokat och har då normalt behov av att få tala med advokaten. Frågor om varning ska dessutom avgöras skyndsamt. Enligt JO var det därför inte godtagbart att den intagne hänvisades till brevväxling och anstalten får kritik. I beslutet framhåller JO att även en intagen som t.ex. överväger att inleda ett mål eller ärende hos en domstol eller annan myndighet kan ha behov av att samråda med en advokat för att ta ställning till om han eller hon ska göra det.

text: Anmälan

type: rubrik

text: I en anmälan som kom in till JO den 7 april 2022 klagade AA bl.a. på att anstalten Kumla hade avslagit hans begäran om att få ringa till en advokat. Han anförde även att anstalten satt i system att varken koppla fram samtal från advokater till intagna eller informera dem om att advokater ringt.

type: stycke

text: Tillsammans med anmälan gav AA in en hemställan om telefontillstånd och anstaltens beslut om detta meddelat den 25 mars 2022. Av handlingarna framgår att AA ansökte om att få ringa till advokaten BB och som skäl för det anförde att han hade ett pågående ärende om varning som han tilldelats i anstalten. I beslutet anges bl.a. att det inte finns någon dokumentation som styrker att AA har en pågående rättslig angelägenhet med advokaten, att de skäl som AA anfört för samtalet inte heller anses utgöra en pågående rättslig angelägenhet och att kontakten borde kunna ske brevledes.

text: AA bifogade också ett informationsblad från riksmottagningen om förändrade rutiner för telefoni med bl.a. följande information:

text: Rutinförändringar

text: Telefoni Från och med den 28 mars 2022 kommer endast bokade telefonsamtal att genomföras. Bokningarna SKA ske minst en dag INNAN du vill ringa. Bokning gäller alla typer av samtal, även advokatsamtal. Antalet tider att boka per dag kommer att vara begränsade. Finns ingen ledig tid din önskade dag kommer du hänvisas till nästkommande ledig tid. Du kan boka en tid långt i förväg om du vill ringa ett specifikt datum.

text: Utredning

text: Kriminalvården uppmanades att yttra sig över anstaltens motivering av avslagsbeslutet samt uppgifterna om att anstalten satt i system att inte koppla fram samtal från advokater till intagna och underlåter att informera intagna om att advokater har ringt. Myndigheten skulle även yttra sig över bakgrunden till, syftet med och tillämpningen av de förändrade rutinerna för telefoni. JO efterfrågade en redogörelse för den närmare innebörden av att antalet telefontider per dag har begränsats och enligt vilka principer telefontiderna fördelas.

text: I sitt remissvar anförde Kriminalvården, genom regionchefen vid Region Mitt, i huvudsak följande:

text: Sakförhållanden

text: Uppgifter om sakförhållanden har inhämtats från verksamhetsområdet (VO) Kumla. Genom utredningen har sammanfattningsvis följande framkommit. Telefoni som sker utanför INTIK-systemet äger rum i särskilt avsedda telefonrum i avdelningarna, vilka ska nyttjas av samtliga intagna på avdelningen. Telefoni utanför INTIK-systemet kräver även hantering av personal. Således är sådan telefoni resurskrävande både lokalmässigt och ur personalsynpunkt. Utifrån de resurser som telefoni utanför INTIK-systemet tar i anspråk bör bedömningen huruvida sådana samtal ska medges eller inte vara restriktiv. I det aktuella beslutet har AA uppgett att anledningen till att han ville genomföra ett telefonsamtal utanför INTIK-systemet till sin advokat var att han hade ett pågående ärende om en varning för en styrkt misskötsamhet i anstalten. Anstalten Kumla gjorde bedömningen att tillräckligt starka skäl inte förelåg och att kontakten kunde skötas brevledes. När en advokat vill komma i kontakt med en intagen så kopplas telefonsamtalet via Kriminalvårdens växel till anstaltens kansli under kontorstid och till vakthavande befäl utanför kontorstid. Anstalten kontrollerar advokaten på Advokatsamfundets hemsida och gör en löpande anteckning i den intagnes journal, där det framgår att advokaten önskar kontakt med den intagne. Sedan kontaktas personal på avdelningen där den intagne är placerad, varvid avdelningspersonal skyndsamt meddelar den intagne att advokaten önskar kontakt telefonledes med den intagne. Avdelningspersonal dokumenterar i den intagnes journal att denne har fått meddelandet samt om telefonsamtal sedan har genomförts, alternativt att den intagne har avböjt kontakt med advokaten. Vill den intagne utföra ett telefonsamtal utanför INTIK-systemet så genomförs det så snart som tid och möjlighet finns. Anstalten Kumla uppger att rutinen är välfungerande. Bakgrund och syfte med den ändrade rutinen för telefonsamtal utanför INTIKsystemet är att kunna planera och effektivisera de personalresurser som dessa telefonsamtal kräver, och även ta hänsyn till de lokalmässiga förhållandena, alltså de särskilt avsedda telefonrummen i avdelningarna. Därför behöver telefonsamtal utanför INTIK-systemet planeras i förväg. Undantag från rutinen

text: om bokning av telefonsamtal i förväg görs om telefonsamtalet som ska genomföras är av brådskande karaktär, för telefonsamtal till advokater kan detta t.ex. röra sig om att den intagne har en nära förestående förhandling i domstol och därför omgående behöver kontakt med sin advokat.

text: Tillämpliga bestämmelser

text: Av

text: 1 kap. 4 § fängelselagen (2010:610)

text: (FäL) framgår att varje intagen ska bemötas med respekt för sitt människovärde och med förståelse för de särskilda svårigheter som är förenade med frihetsberövandet. Av 7 kap. 4 § FäL framgår att en intagen får stå i förbindelse med en annan person genom elektronisk kommunikation i den utsträckning det lämpligen kan ske. Sådan kommunikation får dock vägras om den 1. kan äventyra säkerheten på ett sätt som inte kan avhjälpas genom avlyssning enligt 5 §, 2. kan motverka den intagnes anpassning i samhället, eller 3. på annat sätt kan vara till skada för den intagne eller någon annan.

text: Av 7 kap. 5 § FäL framgår att elektronisk kommunikation mellan en intagen och en annan person får avlyssnas om det är nödvändigt av säkerhetsskäl. De som ska kommunicera med varandra ska i förväg informeras om kontrollen. Elektronisk kommunikation mellan en intagen och en advokat som biträder den intagne i en rättslig angelägenhet får inte avlyssnas. Av de allmänna råd till 7 kap. 4 § FäL, vilka återfinns i 7 kap. Kriminalvårdens föreskrifter och allmänna råd (

text: KVFS 2011:1

text: ) om fängelse (FARK Fängelse) framgår att med uttrycket lämpligen kan ske avses praktiska förutsättningar för elektronisk kommunikation, t.ex. vad som är möjligt med hänsyn till anstaltens rutiner samt tillgången till personal och utrustning för sådan kommunikation. Av 7 kap. 13 § FARK Fängelse framgår att en intagen får beviljas tillstånd att ringa telefonsamtal utanför INTIK-systemet endast om den intagne har starka skäl för att få ringa samtalet. Tillstånd till ett telefonsamtal som Kriminalvården ska bekosta genom bidrag till den intagne får medges utanför INTIK-systemet, även om tillstånd inom det systemet kan beviljas. Av de allmänna råden till föreskriften framgår att starka skäl att få ringa telefonsamtal utanför INTIK-systemet kan finnas för att ringa samtal till en försvarare. Starka skäl att få ringa utanför INTIK-systemet kan även finnas för t.ex. samtal till en närstående, annan advokat än försvararen, arbetsgivare, hyresvärd eller liknande, bank eller ett försäkringsbolag, om behovet av kontakt inte kan tillgodoses på annat sätt.

text: Kriminalvårdens bedömning

text: Som framgår av regelverket kan det finnas starka skäl att ringa utanför INTIKsystemet till advokat. Telefonsamtalet bör dock avse en rättslig angelägenhet som gäller den intagne personligen. Med en rättslig angelägenhet menas i huvudsak ärenden som handläggs eller kommer att handläggas inför domstolar och andra myndigheter. I det aktuella beslutet har AA uppgett att anledningen till att han ville genomföra ett telefonsamtal utanför INTIK-systemet till sin advokat var att han hade ett pågående ärende om varning för en styrkt misskötsamhet i anstalten. Anstalten Kumla har motiverat sitt beslut med att tillräckligt starka skäl för telefonsamtal inte förelåg. Däremot är det olyckligt att det i beslutet angetts att de skäl AA har uppgett inte utgör en pågående rättslig angelägenhet. Att anstalten Kumla har satt i system att inte koppla fram telefonsamtal från advokater till intagna och underlåter att informera intagna om att advokater har ringt tillbakavisas. Att anstalten inte kan koppla fram telefonsamtal direkt från advokat till den intagne torde bero på de kontroller som först behöver genomföras, t.ex. kontroll på Advokatsamfundets hemsida, men också på de lokal-

text: mässiga förhållandena eftersom telefonsamtal mellan en intagen och en advokat som biträder den intagne i en rättslig angelägenhet inte får avlyssnas. Bakgrund och syfte med den ändrade rutinen för telefonsamtal utanför INTIKsystemet är att kunna planera och effektivisera de personalresurser som dessa telefonsamtal kräver. Hänsyn måste också tas till de lokalmässiga förhållandena, därav behöver dessa telefonsamtal planeras i förväg. Det kan noteras att anstalten Kumla har angett att undantag från rutinen görs för telefonsamtal som är av brådskande karaktär och prioriteringar av telefonsamtalen görs således. Detta framgår dock inte av informationsskriften.

text: Kriminalvården uppmanades på nytt att yttra sig över den närmare innebörden av anstaltens rutiner om att antalet telefontider per dag har begränsats, dvs. i vilken omfattning de intagna kan ringa, och enligt vilka principer telefontiderna fördelas.

text: I ett förnyat remissvar anförde myndigheten, genom samma regionchef, i huvudsak följande:

text: Sakförhållanden

text: Uppgifter om sakförhållanden har inhämtats från verksamhetsområdet (VO) Kumla. Genom utredningen har sammanfattningsvis följande framkommit. Då bakgrund och syfte med den ändrade rutinen för telefonsamtal utanför INTIK-systemet är att kunna planera och effektivisera de personalresurser som dessa telefonsamtal kräver, och även ta hänsyn till de lokalmässiga förhållandena uppger anstalten Kumla att dessa telefonsamtal utanför INTIK-systemet måste planeras i förväg. Utifrån de resurser som dessa telefonsamtal tar i anspråk hinner de avdelningar där rutinen gäller genomföra fyra telefonsamtal utanför INTIK-systemet per dag och avdelning och på helger sex stycken. Om ett beviljat telefonsamtal utanför INTIK-systemet är av brådskande karaktär, såsom akuta sjukdomsfall eller liknande så kan fler telefonsamtal utöver de fyra i förväg bokade genomföras den dagen. De i förväg inbokade telefonsamtalen påverkas således inte av om ett telefonsamtal av brådskande karaktär måste genomföras. Gällande själva samtalstiden så är den begränsad till mellan tio och tjugo minuter, förutom telefonsamtal till advokater som genomförs på dessa i förväg bokade telefonsamtal utanför INTIK-systemet. Dessa telefonsamtal är inte begränsade i tid. Rutinen att boka ett telefonsamtal i förväg och att endast bokade telefonsamtal genomförs, vilket framgår av informationsbladet, innebär inga begränsningar för de intagna att kunna genomföra sina beviljade telefonsamtal utanför INTIK, rutinen är endast till för att anstalten ska kunna planera och effektivisera de resurser som dessa telefonsamtal tar i anspråk.

text: Kriminalvården återgav samma rättsliga reglering som i det tidigare remissvaret och gjorde följande bedömning:

text: Bakgrund och syfte med den ändrade rutinen för telefonsamtal utanför INTIKsystemet är att kunna planera och effektivisera de resurser som dessa telefonsamtal tar i anspråk, därför har anstalten Kumla ändrat rutinen så att genomförande av beviljade tillstånd till telefonsamtal utanför INTIK-systemet måste bokas in i förväg. Den ändrade rutinen innebär inga begränsningar för de intagna att kunna genomföra dessa telefonsamtal. Det är däremot upp till anstalten att göra bedömningen om när dessa telefonsamtal lämpligen kan ske.

text: AA fick tillfälle att kommentera remissvaren.

text: Bedömning

text: Beslutet om telefontillstånd JO brukar som regel avstå från att uttala sig i bedömningsfrågor, t.ex. beslut om telefontillstånd. Skälet till det är att JO varken kan ändra eller upphäva andra myndigheters beslut. Granskningen är inte heller avsedd att föregripa eller ersätta den prövning som kan eller har kunnat äga rum i ordinarie ordning. I detta fall finner jag dock av rättssäkerhetsskäl anledning att frångå denna huvudregel och ger min syn på beslutet att inte tillåta AA att ringa advokat.

text: Det kan inledningsvis nämnas att den som är part i ett ärende har rätt att anlita ett lämpligt ombud eller biträde (

text: 14 § första stycket förvaltningslagen

text: [2017:900]). I ett ärende om varning enligt

text: fängelselagen (2010:610)

text: , FäL, har en intagen alltså rätt att låta sig företrädas eller biträdas av t.ex. en advokat. Jag har tidigare uttalat att denna rätt inte får bli illusorisk (se mitt beslut den 25 mars 2020, dnr 4790-2019). Den som för talan i en förvaltningsdomstol har också rätt att anlita ett lämpligt ombud eller biträde (

text: 48 § första stycket förvaltningsprocesslagen

text: En intagen i anstalt har inte någon ovillkorlig rätt att ringa telefonsamtal, inte ens till sin advokat. JO har emellertid flera gånger uttalat att Kriminalvården bör vara generös i sina bedömningar i fråga om att tillåta kontakt mellan en intagen och en advokat som biträder den intagne i en rättslig angelägenhet (se t.ex. JO:s beslut den 1 juli 2008, dnr

text: , och den 18 december 2013, dnr 5271-2013). Jag delar den uppfattningen. Det är en annan sak att en anstalt kan behöva planera de personalresurser som krävs för intagnas telefonsamtal utanför INTIK-systemet, vilket framstår som självklart.

text: Kriminalvården har redogjort för att det enligt myndighetens föreskrifter krävs starka skäl för att en intagen ska beviljas tillstånd att ringa telefonsamtal utanför INTIK-systemet (7 kap. 13 § Kriminalvårdens föreskrifter och allmänna råd [2011:1] om fängelse, FARK Fängelse; bestämmelsen ändrades den 31 oktober 2022, men det saknar betydelse för den nu aktuella frågan). Av de allmänna råden till föreskriften framgår att starka skäl att få ringa telefonsamtal utanför INTIK-systemet kan finnas för att ringa till en försvarare eller, om behovet inte kan tillgodoses på annat sätt, till t.ex. en annan advokat.

text: I remissvaret har Kriminalvården anfört att ett samtal av det slaget bör avse en rättslig angelägenhet som gäller den intagne personligen. Med begreppet rättslig angelägenhet menas enligt myndigheten i huvudsak ärenden som handläggs eller kommer att handläggas inför domstolar och andra myndigheter. Jag noterar att samma sak framgår av Kriminalvårdens handbok om besök och elektronisk kommunikation (

text: ). Vid vissa av mina inspektioner har dock intagna framfört att olika verksamhetsställen regelmässigt kräver ett mål- eller ärendenummer i ett pågående förfarande för att få ringa advokatsamtal (se t.ex. protokollet efter min inspektion av anstalten Ystad i mars 2023, dnr 1562-2023). Jag anser att det inte finns grund för att ställa ett sådant krav

text: och vill fästa myndighetens uppmärksamhet på detta. Det finns vidare anledning framhålla att en intagen som t.ex. överväger att inleda ett mål eller ärende hos en domstol eller annan myndighet kan ha behov av att samråda med en advokat för att ta ställning till om han eller hon ska göra det. Självfallet kan det vara fråga om en rättslig angelägenhet när saken rör förhållandet mellan en intagen och Kriminalvården.

text: En intagens behov av telefonkontakt med en advokat kan variera beroende på vad saken gäller och det är förstås inte givet att telefontillstånd alltid bör beviljas. Det ankommer på Kriminalvården att göra en bedömning utifrån omständigheterna i varje enskilt fall. Vid t.ex. brådskande eller mer komplexa angelägenheter är det däremot olämpligt att hänvisa en intagen till brevväxling. Om telefontillstånd medges måste personalen vara uppmärksam på att ett samtal till advokat kan vara av brådskande natur och att det därför kan behöva prioriteras.

text: Jag uppfattar att AA ville ringa till en advokat för att få juridiskt biträde och hjälp i samband med antingen en begäran om omprövning av ett beslut om varning enligt

text: fängelselagen

text: eller ett överklagande av ett sådant beslut. Det förelåg därmed en rättslig angelägenhet. Som nyss framgått har en intagen i sådana fall rätt att låta sig företrädas av en advokat och får därvid normalt antas ha behov av att tala med advokaten för att på ett effektivt sätt kunna ta till vara sina rättsliga intressen. Eftersom det följer av

text: 12 kap. 3 §

text: FäL att Kriminalvården ska handlägga en fråga om varning skyndsamt framstår brevväxling inte som ett rimligt alternativ under tiden för myndighetens handläggning av ett ärende av det slaget, inklusive en eventuell omprövningsprocess. Mot denna bakgrund är jag kritisk till anstalten Kumlas beslut. Rutinerna för intagnas telefoni och hanteringen av samtal från advokater Kriminalvården har redogjort för rutinerna om intagnas telefoni i anstalten Kumla och hur telefonsamtal från advokater hanteras. Jag saknar skäl att ifrågasätta uppgifterna. När det gäller tillgängliga telefontider är det svårt för mig att utifrån utredningen bedöma om omfattningen är tillräcklig för att tillgodose de intagnas behov. Inte minst med hänsyn till beläggningssituationen och att antalet intagna har ökat på senare år även i anstalten Kumla kan det emellertid finnas behov av att se över den saken. Anstalten bör enligt min mening också överväga att förtydliga informationen till de intagna så att det framgår att undantag från rutinerna om bokning kan göras vid brådskande telefonsamtal.

text: Det som har kommit fram i övrigt motiverar inte några ytterligare åtgärder eller uttalanden från min sida.

type: avgorande


title: Anmälan mot en rättspsykiatrisk avdelning vid Sahlgrenska Universitetssjukhuset rörande patienters rätt att använda dator, m.m.

sammanfattning: Enligt JO finns det inget som hindrar att ett sjukhus har regler om att en dator som sjukhuset tillhandahåller inte får användas för sökning av bl.a. pornografiskt material. I beslutet ifrågasätter JO om det inte i ett visst fall borde ha fattats ett formellt överklagbart beslut om inskränkning av en patients rätt att använda elektroniska kommunikationstjänster enligt 20 a § första stycket LPT jämförd med 8 § första stycket LRV. Ingen kritik riktas dock mot sjukhuset för att så inte skedde.

text: Anmälan

text: I en anmälan till JO klagade AA på Rättspsykiatri, Sahlgrenska Universitetssjukhuset, Västra Götalandsregionen. Klagomålen gällde behandlingen av hennes son BB, född 1983.

text: Hon anförde bl.a. följande. På den klinik där BB vårdas finns det en patientdator. Det är inte tillåtet att ”surfa på porrsajter” på den datorn. Efter att BB gjort det förbjöds han att använda dator över huvud taget.

text: AA ställde följande frågor.

text: 1. Får personalen gå in på patienters inloggning och kolla var de surfar? 2. Får RPV förbjuda porrsurfningen? 3. Får RPV förbjuda honom att surfa och använda dator överhuvudtaget pga att han surfade [på] en porrsida? 4. Får man inte ha med sig sin egen Laptop på rummet även om den innehåller en inbyggd kamera i skärmen trots att man inte använder kameran och accepterar den regeln?

text: Utredning

text: Inledningsvis inhämtades delar av BB:s patientjournal från Rättspsykiatri, Sahlgrenska Universitetssjukhuset.

text: Vederbörande nämnd inom Västra Götalandsregionen anmodades därefter att inkomma med utredning och yttra sig över de ovan redovisade frågorna i anmälan.

text: I ett remissvar anförde Styrelsen för Sahlgrenska Universitetssjukhuset bl.a. följande (åberopade bilagor har här utelämnats).

text: Alla patienter som skrivit på regler för datoranvändning har tillgång till en publik dator på avdelningen, ansluten till internet. Dessutom får man ha egen dator på sitt rum utan annan regel än att den inte får ha kamera. Får personalen gå in på patientens inloggning och kolla vad de surfar? Svar: Ja, när det gäller surfing på avdelningens publika dator gäller för patienter samma regler som för alla sjukhusets datorer. Får RPV förbjuda porrsurfing? Svar: Porrsurfing på den publika datorn är inte tillåtet. Patienten har fått skriftlig information angående ”datoranvändning”, bilaga 2. Får RPV förbjuda honom att surfa och använda dator överhuvudtaget p.g.a. att han surfade [på] en porrsida? Svar: Ja, om det hade skett på avdelningens publika dator. Anledningen till att han förbjöds använda avdelningens publika dator var att han hade letat uppgifter om målsägaren på internet. Får man inte ha med sig sin egen laptop på rummet även om den innehåller en inbyggd kamera i skärmen trots att man inte använder kameran och accepterar den regeln? Svar: Nej, fotografering är inte tillåten enligt Sahlgrenska Universitetssjukhusets säkerhetshandbok, under Fotografi/Filmning sidan 12, bilaga 3.

text: AA bereddes tillfälle att kommentera remissvaret.

text: Bedömning

text: BB gavs sluten rättspsykiatrisk vård vid Rättspsykiatri, Sahlgrenska Universitetssjukhuset. Av utredningen framgår att den avdelning där BB vårdades tillhandahöll en patientdator. I de regler som uppställdes för användningen av avdelningens dator angavs bl.a. följande.

text: Ingen får: - installera - ladda ner - lagra - sprida - söka - eller i övrigt ha befattning med material såsom: Pornografi Rasistisk propaganda Hot, förtal Uppmaning till våld eller droganvändning Diskriminering gällande kön, hudfärg, sexuell läggning, religion m.m. Om det skulle uppdagas att patientdatorn används för något av ovanstående ändamål fråntas man möjlighet att använda avd’s patientdator.

text: I tidigare beslut har JO uttalat att ett bibliotek, när det lånar ut datorer till enskilda personer, har rätt att bestämma vilken information som får hämtas in från internet.

text: Detta under förutsättning att myndigheten inte gör skillnad mellan användarna annat än på objektiv grund. JO har inte haft något att erinra mot att bibliotek har uppställt regler om att bibliotekets dator inte får användas för sökning av bl.a. pornografiskt material (se bl.a. JO:s ämbetsberättelse 2001/02 s. 469). I det nu nämnda fallet uttalades vidare att eftersom allmänna bibliotek har rätt att ställa upp regler för användningen av deras datorer måste de också vara berättigade att vidta åtgärder för att kontrollera att dessa regler följs. Jag anser att samma resonemang kan föras när en vårdinrättning tillhandahåller en dator som patienter får använda.

text: Mot bakgrund av det anförda har jag inte någon invändning mot vårdinrättningens regler om att avdelningens dator inte får användas för sökning av bl.a. pornografiskt material. Det finns enligt min mening inte heller något hinder mot att vårdinrättningen kontrollerar en patients inloggning på datorn för att se till att de uppställda reglerna följs.

text: Det ovan sagda innebär att en patient som söker efter pornografiskt material på avdelningens dator kan, i vart fall under en tid, förbjudas att använda den allmänna datorn. Frågan om under hur lång tid förbudet ska gälla får avgöras utifrån omständigheterna i varje enskilt fall.

text: Under delar av maj 2010 förbjöds BB att använda avdelningens dator. I remissvaret har anförts att detta berodde på att han hade sökt efter uppgifter om en målsägande på internet. Av BB:s journal framgår dock att han den 20 maj 2010 ”hade titta[t] på porr på avdelningens gemensamma internet”. Den 21 maj 2010 gjordes bl.a. följande anteckning i journalen. Pat. är informerad om att inte använda dator, relaterat till missbruk av dator 20/5.- - - I en journalanteckning den 26 maj 2010 angavs bl.a. att BB berättar ”att han under gårdagskvällen försökt ta kontakt med målsägande i ofredandefallet”.

text: Det förefaller således ha varit två skilda händelser som var för sig ledde till att BB inte tilläts använda avdelningens dator. Att BB, enligt journalanteckningen, inte fick nyttja datorn på grund av att han den 20 maj 2010 hade sökt efter pornografiskt material ger inte, utöver de allmänna uttalanden som jag har gjort ovan, anledning till några kommentarer från min sida. När det däremot gäller det förhållandet att BB förbjöds använda datorn av det skälet att han några dagar senare hade sökt efter uppgifter om/försökt ta kontakt med en målsägande vill jag anföra följande.

text: Enligt

text: 20 a § första stycket lagen (1991:1128)

text: om psykiatrisk tvångsvård, LPT, får chefsöverläkaren besluta att inskränka en patients rätt att använda elektroniska kommunikationstjänster, om det är nödvändigt med hänsyn till vården eller rehabiliteringen av patienten eller för att undvika att någon annan lider skada.

text: Ett sådant beslut gäller, enligt

text: 22 b §

text: LPT, i högst två månader. När det inte längre finns förutsättningar för beslutet ska chefsöverläkaren genast besluta att

text: inskränkningen ska upphöra. Frågan om upphörande ska övervägas fortlöpande. Socialstyrelsen ska utan dröjsmål underrättas om ett beslut enligt

text: 20 a §

text: LPT.

text: Av

text: 8 § första stycket lagen (1991:1129)

text: om rättspsykiatrisk vård, LRV, framgår att

text: 20 a §

text: LPT gäller i tillämpliga delar vid sluten rättspsykiatrisk vård.

text: Patienten får hos förvaltningsrätten överklaga ett beslut om inskränkning av rätten att använda elektroniska kommunikationstjänster (

text: 32 § fjärde stycket

text: LPT och

text: 18 § första stycket 7

text: LRV).

text: För det fall ett förbud mot att använda en dator som sjukvårdsinrättningen tillhandahåller grundas på något annat än att patienten inte har följt de regler som uppställts för användningen av datorn, kan ett formellt överklagbart beslut om att inskränka patientens rätt att använda elektroniska kommunikationstjänster behöva fattas enligt

text: 20 a §

text: LPT jämförd med

text: 8 §

text: LRV. Såvitt framgår av utredningen fattades inte något sådant beslut avseende BB när han förbjöds att använda avdelningens dator på grund av att han hade sökt efter uppgifter om/försökt ta kontakt med en målsägande. Det kan enligt min mening ifrågasättas om så inte borde ha skett. Av utredningen framgår dock inte om den inskränkning som skett till följd av porrsurfningen fortfarande gällde vid den aktuella tidpunkten. Jag anser mig därför inte ha grund för att uttala någon kritik i denna del.

text: I ärendet har även uppkommit fråga om en sjukvårdsinrättning kan förbjuda patienter att inneha datorer som har en inbyggd kamerafunktion. Psykiatrilagsutredningen, som har haft i uppdrag att göra en översyn av LPT och LRV samt lämna förslag till en ny lagstiftning på området, har nyligen överlämnat betänkandet Psykiatrin och lagen – tvångsvård, straffansvar och samhällsskydd (

text: SOU 2012:17

text: ) till regeringen. I betänkandet har utredaren föreslagit att chefsöverläkarens möjlighet att besluta om att en patient ska förbjudas att inneha utrustning för eller använda elektroniska kommunikationstjänster utvidgas och att en inskränkning av en patients rätt att använda sådan utrustning inte bara ska få ske med hänsyn till vården och rehabiliteringen av patienten, eller för att undvika att någon annan lider skada, utan också ska få grundas på ordnings- och säkerhetsskäl. Varje beslut om inskränkning måste dock enligt förslaget fattas efter en individuell bedömning i det enskilda fallet. Vidare har utredaren föreslagit att det ska införas en rätt för vårdgivaren att kunna besluta om att allmänt fotograferingsförbud ska gälla vid en vårdinrättning som bedriver psykiatrisk vård. I det sammanhanget har utredaren anfört bl.a. följande (s. 831).

text: Om en patient missbrukar sitt innehav av en telefon utrustad med kamera, t.ex. genom att utan samtycke av den fotograferade eller i direkt strid mot ett generellt fotograferingsförbud som råder på vårdavdelningen tar bilder av medpatienter och senare också gör dessa bilder åtkomliga för andra utanför vårdavdelningen, kan det utgöra grund för att av ordningsskäl omhänderta telefonen. En annan mobiltelefon utan kamera ska som regel i ett sådant fall tillhandahållas patienten som lån. Betänkandet är för närvarande föremål för remissbehandling och JO har beretts tillfälle att lämna synpunkter på betänkandet. Mot den bakgrunden avstår jag från

text: att här göra några uttalanden i frågan om det finns förutsättningar för att förbjuda en patient som vårdas med stöd av LPT eller LRV att inneha en dator som är utrustad med kamera. Vad AA i övrigt har anfört föranleder inte någon åtgärd eller något uttalande från min sida. Ärendet avslutas med de uttalanden som gjorts ovan.