Det europeiska hälsodataområdet

Det europeiska hälsodataområdet – sekundäranvändning och ansvarsfördelning mellan myndigheter

Socialdepartementet

Den 22 mars 2024 antogs en förordning om ett europeiskt hälsodataområde (EHDS) av Europeiska Rådet. Förordningen planeras antas av Europeiska Parlamentet senare under 2024. Regeringen har påbörjat ett arbete för att skapa förutsättningar för ett effektivt införande av förordningen.

Inom ramen för uppdraget att möjliggöra en nationell digital infrastruktur för hälsodata (S 2024:A) redovisades i april i år promemorian Det europeiska hälsodataområdet kostnadsuppskattningar och finansieringsförslag (S2024:00960), som var utredningens första delredovisning.

Den föreliggande promemorian Det europeiska hälsodataområdet – sekundäranvändning och ansvarsfördelning mellan myndigheter, utgör utredningens andra delredovisning. Promemorian omfattar uppdraget att analysera och föreslå en eller flera myndigheter som ska utgöra organ med ansvar för tillgång till hälsodata samt en nationell kontaktpunkt när det gäller sekundäranvändning av hälsodata.

Stockholm i juni 2024

Mats Nilsson

/Per Bergstrand

Erika Olsson Lindberg

Sammanfattning

Utredningen har i uppdrag att analysera och föreslå en eller flera myndigheter till organ med ansvar för tillgång till hälsodata för sekundäranvändning (HDAB) samt rollen som nationell kontaktpunkt för sekundäranvändningen. Av utredningens direktiv framgår att de förslag som lämnas ska vara ändamålsenliga och kostnadseffektiva, vilket bland annat inbegriper att såväl befintliga roller, arbetsuppgifter och infrastrukturer som eventuella synergier med planerad infrastruktur ska beaktas. Det primära målet är att förslagen ska bidra till att det finns en organisationsstruktur på plats i Sverige när bestämmelserna i EHDS träder i kraft och som gör att vi som medlemsland uppfyller de krav som åläggs oss.

Utredningen har övervägt ett antal olika scenarion för hur rollen som HDAB och de uppgifter som tillskrivs denna ska organiseras och fördelas. Det finns för- och nackdelar med att samla alla uppgifter hos en myndighet liksom med att fördela dem över flera. Utredningen konstaterar efter den kartläggning som genomförts att ingen myndighet i Sverige idag innehar samtliga uppgifter som åläggs HDAB och den nationella kontaktpunkten för sekundäranvändning. Ingen myndighet besitter således samtliga förmågor, resurser, rutiner eller infrastruktur för rollerna. Det finns emellertid en eller flera myndigheter som idag utför någon eller några av uppgifterna.

Efter utredningens genomgång av myndigheternas befintliga roller samt förutsättningarna att utveckla verksamheterna, anser utredningen att det är mest ändamålsenligt att bygga en organisationsstruktur som i huvudsak utgår från nuvarande rollfördelning mellan myndigheterna. Detta kräver i sig en nära samverkan mellan myndigheterna men minskar samtidigt riskerna för tids- och kompetenstapp som kan uppstå om en större

omorganisation ska göras och där det får bedömas som oklart om något uppenbart mervärde uppnås, ekonomiskt eller effektivitetsmässigt. Nya uppdrag med anledning av EHDS kan också medföra positiva synergier för myndigheternas befintliga verksamhet.

Utredningens förslag i korthet

• Utredningen föreslår att flera myndigheter ska dela på rollen att vara HDAB. Den nationell kontaktpunkten när det gäller sekundäranvändning av hälsodata ska inte vara HDAB.

• Socialstyrelsen föreslås vara samordnande HDAB.

Myndigheten ska dessutom tilldelas ansvar över HDAB:s uppgifter att hantera dataanmälningar, besluta om

datatillstånd, sammanställa data och anonymisera/

pseudonymisera data. Socialstyrelsen ska även tillhandahålla en nationell datasetkatalog.

• Statistiska centralbyrån (SCB) föreslås vara den HDAB som ska ha ansvar för att tillhandahålla en eller flera säkra behandlingsmiljöer.

• Inspektionen för vård och omsorg (IVO) föreslås vara HDAB med ansvar för tillsyn.

• E-hälsomyndigheten föreslås bli Sveriges nationella kontaktpunkt för sekundäranvändning.

• De nämnda myndigheterna bör därutöver få

regeringsuppdrag för att förbereda verksamheterna för EHDS och de utpekade rollerna.

• Utöver ett uppdrag avseende rollen som samordnande HDAB och rollen att besluta om tillstånd m.m. bör Socialstyrelsen få ett särskilt uppdrag tillsammans med Vetenskapsrådet avseende den nationella datasetkatalogen. Ett sådant uppdrag innebär att utreda hur katalogen ska

tillhandahållas med utgångspunkt i att så långt som möjligt

återanvända och bygga på det arbete Vetenskapsrådet gjort

inom ramen för registeruppdraget och med

metadatakatalogen RUT.

• SCB bör få i uppdrag att utreda hur systemet med säkra

behandlingsmiljöer bör sättas upp och utvecklas. Uppdraget

bör genomföras tillsammans med Vetenskapsrådet.

• IVO ska få i uppdrag förbereda sin verksamhet för den nya

tillsynsuppgiften. Myndigheten ska tillsammans med IMY

redogöra för hur samverkan mellan myndigheterna kan

utvecklas.

• E-hälsomyndigheten bör få i uppdrag att genomföra de

förberedelser som krävs för rollen att agera nationell

kontaktpunkt för sekundäranvändning av hälsodata.

• Eftersom Socialstyrelsen föreslås vara samordnande HDAB

krävs att övriga myndigheter genomför samtliga uppdrag i

nära samverkan med Socialstyrelsen.

9.7 Regeringsuppdrag till Socialstyrelsen, E-

hälsomyndigheten, Vetenskapsrådet, Statistiska

1 Uppdraget

1.1 Om uppdraget

Regeringen har en målsättning om en nationell digital infrastruktur för hälso- och sjukvården där staten tar ett större ansvar. Regeringskansliet har utsett Mats Nilsson till att biträda Socialdepartementet med att möjliggöra denna infrastruktur. Hälsodata ska bli tillgängliga i hela vårdkedjan för både hälso- och sjukvård och tandvård i syfte att öka kvaliteten i vården och förbättra patientsäkerheten samt att den administrativa bördan för vårdpersonalen ska minska.

Uppdraget innebär att analysera och föreslå åtgärder som möjliggör en nationell digital infrastruktur med fokus på de rättsliga förutsättningarna, samt analysera och ta fram förslag kopplade till en kommande EU-förordning om ett europeiskt hälsodataområde (EHDS).

Utredaren ska bland annat: • kartlägga behandlingen av personuppgifter inom ramen för den

nationella digitala infrastrukturen, inbegripet vårdgivarnas

personuppgiftsbehandling samt E-hälsomyndighetens roll i

infrastrukturen, • analysera och ta ställning till om det behövs kompletterande

reglering för E-hälsomyndigheten och vårdgivarnas behandling av personuppgifter inom ramen för den nationella digitala infrastrukturen, och i så fall föreslå en sådan reglering,

• analysera och föreslå en eller flera myndigheter som ska utgöra

organ med ansvar för tillgång till hälsodata samt en nationell kontaktpunkt när det gäller sekundäranvändning av hälsodata,

• beräkna kostnaderna för genomförandet av EHDS i sin helhet

och lämna förslag till finansiering, och • lämna nödvändiga författningsförslag.

Denna promemoria utgör den andra delredovisningen av uppdraget och behandlar frågan om att analysera och föreslå en eller flera myndigheter som ska utgöra organ med ansvar för tillgång till hälsodata samt en nationell kontaktpunkt när det gäller sekundäranvändning av hälsodata.

1.2 Utgångspunkter för förslagen samt tillvägagångssätt

Enligt direktiven ska fokus vid genomförandet av analysen vara på

• handläggning av ansökningar om tillstånd för

sekundäranvändning, • tillhandahållandet av säkra behandlingsmiljöer, • tillgängliggörandet av en nationell datasetkatalog samt • åtgärder vid bristande efterlevnad av regelverket.

Vidare följer att förslagen ska vara ändamålsenliga och kostnadseffektiva, vilket bl.a. inbegriper att såväl befintliga roller, arbetsuppgifter och infrastrukturer som eventuella synergier med planerad infrastruktur ska beaktas. Även eventuella intressekonflikter kopplade till ansvar, roller och arbetsuppgifter när det gäller hälsodata ska analyseras och beaktas. De förslag som utredningen lämnar utgår från dessa premisser.

För att få en bild av berörda myndigheters befintliga roller, utvecklingsinsatser som bedöms krävas för att uppfylla de krav som EHDS kommer att ställa på Sverige och HDAB, hur samverkan mellan myndigheterna ser ut idag och hur den kan utvecklas m.m. har utredningen genomfört en serie dialogmöten med olika myndigheter som berörs av EHDS. Utredningen har dessutom tagit fram ett antal frågor som myndigheterna har ombetts att besvara. I vissa fall har också kompletterande frågor tagits fram.

Dialoger har hållits med E-hälsomyndigheten (EHM), Socialstyrelsen (SoS), Vetenskapsrådet (VR), Läkemedelsverket (LV), Folkhälsomyndigheten (Fohm), Statistiska centralbyrån (SCB), Myndigheten för digital förvaltning (Digg), Försäkringskassan (FK), Inspektionen för vård och omsorg (IVO) och Integritetsskyddsmyndigheten (IMY).

Dialoger har också hållits med Västra Götalandsregionen, Region Stockholm, Blekinge tekniska högskola, Vårdföretagarna, Tech Sverige, Swedish Medtech, Läkemedelsindustriföredningen (LIF) och Forskningsrådet för hälsa, arbetsliv och välfärd (Forte). Utredningen har även genomfört digitala möten med representanter från motsvarigheter till det svenska Socialdepartement och ett flertal sektorsmyndigheter från Danmark, Finland, Tyskland, Nederländerna samt Frankrike. Utredningen har därutöver arbetat i nära samverkan med Samordnaren för en nationell digital infrastruktur i hälso- och sjukvården (S 2023:14).

1.2.1 Avgränsningar

Förhandlingarna mellan EU-kommissionen, EU-parlamentet (Parlamentet) och Europeiska Rådet (Rådet) om skrivningarna i EHDS avslutades den 22 mars 2024 då en preliminär överenskommelse nåddes. Avsikten är att förordningen kommer att antas hösten 2024.

Ett antal bestämmelser delegeras i förordningen till EUkommissionen att fastställa i genomförandeakter. Innehållet i dessa kommer fastställas efter det att EHDS har beslutats enligt de tidsramar som fastställts i förordningen (artikel 72). Därutöver kommer varje medlemsstat ha möjlighet att själv formulera undantag och därtill kommande krav i nationella bestämmelser samt ytterligare precisera och tolka de villkor som föranleds av EHDS.

Utredningen har utgått från den information om EHDS som är känd och beslutad. Det är inte otänkbart att framtida genomförandeakter, anpassningar av svensk lagstiftning m.m. i vissa delar kan påverka hur de myndigheter som lyfts fram i denna promemoria ska genomföra sitt uppdrag.

1 All hänvisning till artiklar i EHDS utgår från den preliminära överenskommelsen som offentliggjorts https://www.consilium.europa.eu/media/70909/st07553-en24.pdf

1.2.2 Promemorians disposition

Promemorian inleds med en kort beskrivning av rollen som organ med ansvar för tillgång till hälsodata, på engelska Health data access body (HDAB) samt rollen som nationell kontaktpunkt för sekundäranvändning av hälsodata. I kapitel 3–7 beskrivs de uppgifter som tillskrivs HDAB mer ingående följt av en kartläggning av närliggande verksamhet på befintliga myndigheter och en analys avseende vilken myndighet som har bäst förutsättningar för att tilldelas ansvar för respektive uppgift. I kapitel 8 presenteras utredningens överväganden och förslag. Promemorian avslutas med en kort konsekvensbeskrivning i kapitel 9.

Er

2 Om rollerna HDAB och nationell kontaktpunkt för sekundäranvändning

2.1 Inledning

European Health Data Space regulation (EHDS) är en EUförordning som reglerar möjlighet till utbyte av hälsodata mellan organisationer och länder. Regelverket omfattar framför allt bestämmelser om hantering av data för två olika ändamål kallat primäranvändning och sekundäranvändning.

Med primäranvändning så menas utbyte och åtkomst till hälsodata i huvudsak för ändamålet vård av patienter (artikel 2 (d). Med sekundäranvändning menas att hälsodata används för andra ändamål än de initialt samlades in eller producerades för (artikel 2 (e)). Dessa andra ändamål innefattar breda användningsområden såsom forskning, kvalitetssäkring, verksamhetsplanering, träning av algoritmer och program, utbildning och samhällsanalys. I nedanstående översiktliga genomgång berörs endast sekundäranvändning av hälsodata.

Inom ramen för sekundäranvändning av hälsodata ska varje medlemsstat utse ett eller flera organ med ansvar för att möjliggöra tillgången till hälsodata för sekundäranvändning. Detta organ kallas för en Health Data Access Body (HDAB). HDAB har en rad olika uppgifter vilka redogörs för nedan.

2 All hänvisning till artiklar i EHDS utgår från den preliminära överenskommelsen som offentliggjorts https://www.consilium.europa.eu/media/70909/st07553-en24.pdf

I detta kapitel redogörs även kort för de uppgifter som tillskrivs rollen som nationell kontaktpunkt för sekundäranvändning. I kommande kapitel återkommer utredningen till relevanta bestämmelser för respektive uppgift.

2.2 Rollen som HDAB

HDAB ska administrera, bedöma, bevilja och genomföra tillgången till hälsodata för sekundär användning. Organet har även i uppgift att möjliggöra fysiska personers utövande av sina rättigheter i EHDS samt att utöva tillsyn över datainnehavare och dataanvändare. HDAB har även ett omfattade krav på sig att samverka och samordna sig med EU-kommissionen och andra HDAB:s inom EU för att möjliggöra att tillgången till hälsodata för sekundärändamål sker enhetligt inom hela unionen. Varje medlemsstat ska utse en eller flera organisationer att utföra HDAB:s uppgift. Om en medlemsstat utser flera organisationer ska den också utse en organisation som ska fungera som samordnare.

Den/de organisationer som utses till HDAB ska ha de personella,

tekniska och finansiella resurser samt de lokaler och den infrastruktur som behövs för att det ska kunna utföra sina uppgifter.

Datainnehavare (sådana aktörer som faller inom ramen för

definitionen i artikel 2.2 (y)) ska rapportera till HDAB vilken

hälsodata de innehar. På begäran ska de sedan också lämna ut hälsodata till HDAB i enlighet med ett godkänt datatillstånd (en

slags beslut om tillgängliggörande av en viss mängd hälsodata). HDAB ska sedan sammanställa och avidentifiera eller pseudonymisera dessa hälsodata för tillgängliggörande till de parter som ska behandla dem (dataanvändare). Tillgängliggörandet ska ske i en säker behandlingsmiljö.

2.2.1 Närmare beskrivning av HDAB:s uppgifter

Område 1: Tillgång till hälsodata

Detta område berör HDAB:s uppgifter vad avser att på ett säkert sätt möjliggöra tillgång till hälsodata för behöriga parter.

Figur 1. Översiktlig beskrivning av HDAB:s huvudsakliga uppgifter.

Uppgift 1.1: Besluta om tillgång

• HDAB ska bedöma ansökningar från dataanvändare om att få

tillgång till hälsodata (artikel 45, ansökan om datatillgång).

HDAB ska efter bedömning besluta om ansökningar om

datatillgång ska godkännas. Om en ansökan godkänns ska

HDAB utfärda ett datatillstånd (artikel 46, datatillstånd). HDAB

ska som huvudregel hantera processen fram till beslut inom tre eller i undantagsfall inom sex månader. (artikel 37.1 (a))

• HDAB ska även bedöma ansökningar om ”begäran av hälsodata”

(artikel 47, begäran om hälsodata). Denna typ av begäran innebär att dataanvändaren endast vill få ut statistik eller på annat sätt helt anonymiserad hälsodata. Sådan begäran ska beslutas inom tre månader. (artikel 37.1 (a))

• HDAB ska inrätta och upprätthålla ett förvaltningssystem för att

registrera och behandla ansökningar om att få tillgång till

hälsodata och begäran om hälsodata samt utfärdade datatillstånd och besvarade begäran om hälsodata. (artikel 37.1 (k))

• HDAB ska offentliggöra alla ansökningar om tillgång till data

och begäran av hälsodata när de inkommit samt alla beslutade datatillstånd och avslag som meddelas. (artikel 37.1 (q) (iia))

Uppgift 1.2.Möjliggöra tillgång

• HDAB ska ta emot och presentera alla datainnehavares

deklarationer om vilken hälsodata som finns tillgänglig (så

kallade dataset) nationellt samt hälsodatans egenskaper genom en nationell datasetkatalog. (artikel 37.1 (q) (i))

• HDAB ska efter att ett datatillstånd är beslutat begära

överlämnande av hälsodata från datainnehavare i enlighet med det

godkända datatillståndet. Överlämnandet ska ske från

datainnehavare till HDAB genom en säker behandlingsmiljö.

(artikel 37.1 (a) (vi)) • HDAB ska tillgängliggöra uppgifterna som omfattas av ett

datatillstånd till dataanvändaren (artikel 37.1 (a) (iii)). För att

göra detta får HDAB behandla hälsodata genom att insamla

mottaga, kombinera, förbereda och sammanställa uppgifter,

vidare ska HDAB pseudonymisera eller anonymisera uppgifterna

för att kunna tillgängliggöra informationsmängden i enlighet

med datatillståndet. (artikel 37.1 (d))

Uppgift 1.3: Tillgängliggöra data via säker behandlingsmiljö

• HDAB ska se till att tillgängliggörande sker via en säker

behandlingsmiljö med tekniska och organisatoriska åtgärder samt krav på säkerhet och interoperabilitet i enlighet med kraven för

en sådan såsom framgår i artikel 50. Notera att datatillstånd

innebär att hälsodata tillgängliggörs till en dataanvändare via den säkra behandlingsmiljön där dataanvändaren får åtkomst till hälsodatan. Någon fysisk överföring av ett exemplar av hälsodata till dataanvändaren sker inte. (artikel 37.1 (a) (iii))

• HDAB ska vidta åtgärder för att bevara sekretessen för

immateriella rättigheter, dataskydd och affärshemligheter

avseende hälsodata som ska tillgängliggöras enligt art 35a. (art 37.1 1. (f))

• HDAB ska möjliggöra gränsöverskridande tillgängliggörande av

hälsodata för sekundärändamål genom en säker anslutning till den av kommissionen tillhandahållna portalen healthdata@eu. (artikel 37 1. (o))

Uppgift 1.4: Upprätthålla en nationell datasetkatalog

• HDAB ska informera alla dataanvändarna om vilka dataset av

hälsodata som finns tillgängliga nationellt och hälsodatans

egenskaper genom en nationell datasetkatalog (eng: national

datasets catalogue). Det här innebär alltså att samtliga aktörer som nationellt betraktas som datainnehavare ska ha registrerat uppgifter om vilken hälsodata, som omfattas av urvalet i art 33, dessa har tillgängliga samt närmare information om vilken typ av data detta är. Det ska även av den nationella datasetkatalogen framgå vilka villkor som gäller för åtkomst till dessa. (artikel 37 1.(q)(i))

Figur 2. Översiktlig beskrivning av flödet mellan Dataanvändare,

Datainnehavare och HDAB.

Område 2. Samverkan och samarbete

Detta område berör HDAB:s uppgifter när det gäller att samverka och samarbeta med andra aktörer inom området. • HDAB ska på EU-nivå och nationell nivå samverka för att

fastställa gemensamma tekniska krav och riktlinjer och lämpliga

åtgärder för att säkerställa den säkra behandlingsmiljön som all

tillgängliggörande av hälsodata ska ske igenom när det gäller

beslutade datatillstånd. (artikel 37.1 (m)) • HDAB ska på EU-nivå och nationell nivå samverka för att

fastställa lämpliga tekniker och best practises vad gäller

sekundäranvändning av hälsodata. (artikel 37.1 (n)) • HDAB ska bedriva sin verksamhet med kontinuerlig kontakt och

kommunikation med relevanta intressenter, särskilt

patientgrupper, datainnehavare och dataanvändare. (artikel 36.2a)

Område 3. Information och rapportering

Detta område beskriver HDAB:s uppgifter att offentligt informera om sin verksamhet och olika rättigheter samt specifika skyldigheter att publicera rapporter inom vissa områden.

Uppgift 3.1. Informera och kommunicera

• HDAB ska genom elektronisk kommunikation publikt

informera om samtliga de ansökningar, avslag, och godkännande som skett av datatillstånd samt resultat från genomförda studier av dataanvändare. (artikel 37.1 (q) ii iia iv)

• HDAB ska genom elektronisk kommunikation publikt

informera om skyldigheterna i artikel 38 enligt texten i den preliminära överenskommelsen till förordningen. (artikel 37.1 (l))

• HDAB ska se till att fysiska personer får information i en rad

olika frågor. All information ska var enkel att ta till sig, sökbar och elektroniskt tillgänglig. (artikel 35 e) (artikel 37 1. (q) (v)). Informationen ska innefatta: – Den rättsliga grunden för att bevilja tillgång till dataanvändare. – De tekniska och organisatoriska åtgärder som vidtagits för att

skydda fysiska personers rättigheter. – Fysiska personers tillämpliga rättigheter i samband med

sekundär användning av hälsodata. – Hur fysiska personer ska kunna utöva sina rättigheter i

enlighet med kapitel III i förordning (EU) 2016/679

(dataskyddsförordningen).

– HDAB:s identitet och kontaktinformation.

– Översikt över vilka dataanvändare som beviljats tillgång till

hälsodata samt meddelade datatillstånd

3 Troligen är hänvisning fel och bör vara till artikel 35e.

– Resultaten eller utfallet av de projekt för vilka dessa hälsodata

har använts – Information om hur fysiska personer kan välja att inte delta i

sekundäranvändning av hälsodata (opt-out) (beror på om

medlemsstaten valt att införa sådan möjlighet eller inte) – För det fall HDAB får reda på ny information av särskild

betydelse för en fysisk persons hälsa ska HDAB se till att individen eller lämplig hälso- och sjukvårdspersonal får reda på fyndet om inte individen uttryckligen angivit att de inte vill ha sådan information

– Om det i nationell rätt ges en uppgift till HDAB att hantera

möjligheten till opt-out så ska detta informeras om och

möjliggöras. (artikel 35e.2)

Uppgift 3.2. Rapportera om verksamhet och åtgärder

• HDAB ska se till att en rad informationsmängder finns enkelt publikt tillgängliga, här ska bland annat framgå resultat och slutsatser från projekt (som t.ex. forskningsprojekt) där hälsodata använts genom ett datatillstånd. • HDAB ska offentliggöra en verksamhetsrapport vartannat år. Om det finns flera utsedda HDAB är det den samordnande HDAB:en som ska ansvara för att verksamhetsrapporten tas fram:

Verksamhetsrapporten ska innehålla bland annat följande (artikel 39.1): – Information om de ansökningar om tillgång till hälsodata som

lämnats in. – Information om hur dataanvändare och datainnehavare har

fullgjort sina rättsliga och avtalsenliga åtaganden samt vilka sanktioner som har påförts.

– Information om revisioner som utförs av dataanvändare för att

säkerställa att behandlingen är förenlig med denna förordning.

– Information om revisioner av säkra behandlingsmiljöers

överensstämmelse med de fastställda standarderna,

specifikationerna och kraven. – Intäkter från datatillstånd och begäranden om data. – Genomsnittligt antal dagar mellan ansökan och tillgång till

data.

Område 4. Tillsyn

Detta område berör HDAB:s uppgifter som tillsynsmyndighet. • HDAB ska bedriva tillsyn över området. Det innebär att HDAB ska övervaka och utöva tillsyn över all dataanvändare och datainnehavare utifrån de krav som ställs på dessa aktörer i förordningen i artikel 41 och artikel 41a. (artikel 37.1 (a) (iv)) • HDAB ges ett antal verktyg för att utföra tillsyn mot datainnehavare och dataanvändare. Bland annat möjlighet att utfärda administrativa sanktionsavgifter (art 43a) (i likhet med dataskyddsförordningen). I art 43b finns även beskrivning hur HDAB och den nationella tillsynsmyndigheten för dataskyddsförordningen (IMY) ska förhålla sig till varandra och hur deras uppgifter ska fördelas. • Tillsynen ska bestå av bland annat: – Övervaka och kontrollera att dataanvändare och

datainnehavare uppfyller kraven i förordningen. – Samarbeta med och övervaka datainnehavare för att säkerställa

ett enhetligt och korrekt genomförande av datakvalitets- och funktionsmärkning (den redovisning och deklaration som datainnehavare ska göra avseende sina hälsodata).

– Vid bristande efterlevnad från dataanvändare kunna återkalla

datatillstånd och utfärda administrativa sanktionsavgifter samt ytterst utesluta datainnehavaren från deltagande i det europeiska hälsodataområdet.

– HDAB ska offentliggöra alla åtgärder som vidtagits inom

ramen för sin tillsyn. (artikel 37.1 (q) (iii))

– HDAB ska utföra alla andra uppgifter i samband med

tillhandahållandet för sekundär användning av hälsodata inom ramen för EHDS. (artikel 37.1 (t)) – All verksamhet i HDAB ska planeras, organiseras och utföras på ett sådant sätt så att inga intressekonflikter uppstår vilket

torde bli särskilt viktigt när det gäller tillsynsuppgiften.

(artikel 36.2a)

2.2.2 Avgifter för åtkomsten (artikel 42)

HDAB får ta ut avgifter för att göra hälsodata tillgänglig för sekundär användning. Sådana avgifter får bara avse den faktiska kostnaden för att göra data tillgänglig och får inte vara konkurrenshämmande.

Medlemsstater får införa nationella regler om att vissa kategorier av datamottagare, såsom offentliga myndigheter eller andra ideella organisationer eller mikroföretag ska få en reducerad avgift.

Avgifter får innehålla en ersättning till datahållaren för dennes uppgivna kostnader när det gäller att sammanställa och förbereda hälsodata för sekundäranvändning. Om datainnehavaren och den som begär ut data inte kan komma överens om nivån på avgiften får HDAB fastställa en sådan avgift. Om datainnehavaren eller den som begär ut data inte anser att organets beslut är rimligt ska det finnas tvistlösningsmyndigheter tillgängliga för att lösa denna fråga (i enlighet med art 9 Dataakten).

2.3 Nationell kontaktpunkt för sekundäranvändning av hälsodata

2.3.1 Vad är en nationell kontaktpunkt?

Nationell kontaktpunkt kallas den organisation som är utsedd att möjliggöra de tekniska och organisatoriska förutsättningarna för ett internationellt utbyte av hälsodata inom unionen. Nationell kontaktpunkt finns både avseende primäranvändning av hälsodata och för sekundäranvändning. Nationell kontaktpunkt för sekundär

användning, framöver benämnd som den nationella kontaktpunkten, definieras i EHDS som en organisatorisk och teknisk ingång som möjliggör gränsöverskridande sekundär användning av e-hälsodata, som medlemsstaternas ansvarar för. De nationella kontaktpunkterna ska underlätta gränsöverskridande tillgång till hälsodata för sekundär användning för olika behöriga deltagare i infrastrukturen och samarbeta med varandra och med EU-kommissionen. När det gäller sekundäranvändning omfattar rollen alltså främst uppgiften att möjliggöra utbytet av information mellan olika medlemsstaters HDAB i samband med gränsöverskridande ansökningar om tillgång till hälsodata. I denna promemoria berörs endast nationell kontaktpunkt avseende sekundäranvändning. Av artikel 52 följer:

• Varje medlemsstat ska utse en nationell kontaktpunkt för

sekundär användning av hälsodata. Den nationella

kontaktpunkten ska vara en organisatorisk och teknisk ingång för att göra hälsodata tillgängliga för sekundär användning i ett gränsöverskridande sammanhang.

• De nationella kontaktpunkterna ska vara behöriga deltagare i den

gränsöverskridande infrastrukturen för sekundär användning av e-hälsodata (Hälsodata@EU). De nationella kontaktpunkterna ska underlätta gränsöverskridande tillgång till e-hälsodata för sekundär användning för olika behöriga deltagare i infrastrukturen och ha ett nära samarbete med varandra och med kommissionen. (artikel 52.2)

2.4 Ett urval av pågående förberedelsearbete inom EU

EU-kommissionen kommer att ta fram ett antal genomförandeakter efter att förordningen implementeras som bland annat specificerar den nationella datasetkatalogen och den säkra behandlingsmiljön. Som framgår av artikel 72 ska genomförandeakterna avseende HDAB:s uppgifter i flera fall antas inom två år och gälla från fyra år efter det att förordningen trätt i kraft.

Utredningen konstaterar även att EU-kommissionen utannonserat och tilldelat medel för ett antal olika initiativ med syftet att förbereda implementationen av EHDS. Några av de särskilt relevanta projekten som nära berör eller utförs i Sverige presenteras kort nedan.

2.4.1 Healthdata@EU Pilot

EU-kommissionen presenterade under 2022 en utlysning med medel för att utveckla en EU infrastruktur för sekundäranvändning av hälsodata. I juli 2022 beslutade kommissionen att ett consortium som leds av French Health Data Hub fick uppgiften att starta ett pilotprojekt. Denna pilot kallas Healthdata@EU Pilot. Syftet med piloten beskrivs som följande:

”The aim of the pilot is to investigate and establish the value of such an infrastructure for the reuse of health data and assess the ability to scale towards a Union-wide infrastructure, as a core component of the European”.

Healthdata@EU är namnet på den infrastruktur som möjliggör tillgång till hälsodata för sekundäranvändning mellan olika medlemsländer (artikel 52). Projektet har pågått sedan oktober 2022, är två år långt och EU-finansierat via EU4Health programmet. Totalt deltar 17 partners, bland annat Health Data Lab Tyskland, BBMRI-ERIC, Croatia Institute of Public Health, Danish Health Data Authority, European center for disease prevention and control, EBRAINS, European Medicines Agency (EMA), Finndata and Finnish institute for health and welfare, Sciensano, Norwegian Directorate of eHealth and IACS.

Inom projektet kommer det byggas en pilotversion av den infrastruktur för sekundäranvändning som ska möjliggöra forskning innovation och policymaking. Projektet kommer knyta samman dataplattformar i en nätverksinfrastruktur och utveckla tjänster som stöttar forskningsprojekt som använder data från olika EU-länder. Inom projektet kommer även riktlinjer för datastandarder, datakvalitet, datasäkerhet och dataöverföring tas fram för att stötta den gränsöverskridande infrastrukturen.

4 Healthdata@EU Pilot. URL: Home - EHDS2 Pilot - Official website

Det är för utredningen inte helt tydligt om och i så fall på vilket sätt det som levereras inom ramen för denna pilot kommer ligga till grund för bestämmelserna i de genomförandeakter som ska beslutas inom två år från att förordningen trätt i kraft. Det förefaller emellertid troligt att viss indikation om den kommande genomförandeakternas innehåll går att få utifrån pilotens leverans.

2.4.2 TEHDAS1 och THEDAS2

Projektet Joint Action Towards the European Health Data Space (TEHDAS1) genomfördes mellan februari 2021 och juli 2023. Syftet med EU-projektet var att utveckla europeiska principer för sekundäranvändning av hälsodata över landsgränser. Ehälsomyndigheten, Socialstyrelsen och Folkhälsomyndigheten deltog från Sverige. Projektet Joint Action Towards the European Health Data Space 2 (THEDAS2) syftar till att fortsätta förberedelserna för sekundäranvändning av hälsodata enligt förslaget till EHDS-förordning. Mer specifikt ska projektet ta fram vägledningar och specifikationer för 20 artiklar i EHDSförordningen i syfte att harmonisera implementering av EHDS. Arbetet leds av Finland och Sverige är ansvarig för att leda ett av arbetspaketen i projektet. Totalt deltar med 29 europeiska länder. E-hälsomyndigheten är Competent Authority. Andra aktörer som deltar i arbetet är Socialstyrelsen, Vetenskapsrådet, Vinnova, Karolinska universitetssjukhuset, Karolinska Institutet, Uppsala universitet/NBIS och Region Skåne/Genome Medicine Sweden.

2.4.3 SENASH

SENASH är ett samarbete mellan E-hälsomyndigheten, Vetenskapsrådet, Folkhälsomyndigheten, Socialstyrelsen och Statistiska Centralbyrån (SCB) som syftar till att förbereda för tillgången till hälsodata. Inom ramen för projektet ska pilotversioner av en metadatakatalog och ett ansökningssystem utvecklas. E-

5 Thedas. URL: Joint Action Towards the European Health Data Space – TEHDAS1 - Tehdas 6 Thedas2 URL: Second Joint Action Towards the European Health Data Space – TEHDAS2 - Tehdas 7 E-hälsomyndigheten (2024). Budgetunderlag 2025-2027. Dnr 2024/00176. 8 National Bioinformatics Infrastructure Sweden (NBIS)

hälsomyndigheten är ansvarig för koordineringen av arbetet men respektive myndighet finansierar sina kostnader. 9 E-hälsomyndigheten (2024). Budgetunderlag 2025-2027. Dnr 2024/00176.

3 Uppgiften tillgång till hälsodata

Utredningen har analyserat den roll och de uppgifter som tillskrivs HDAB samt genomfört en kartläggning och analys av den verksamhet på svenska myndigheter som motsvarar de HDAB:s uppgifter. Beskrivningen utgår från dialoger med myndigheterna och deras skriftliga svar på den enkät som utredningen skickat ut samt information som finns offentligt tillgänglig om myndigheternas arbete tillexempel instruktion, regleringsbrev, regeringsuppdrag, budgetunderlag samt årsredovisningar. I kapitlet redogörs för de olika uppgifter som utredningen har samlat inom ramen för ansvarsområdet att tillgängliggöra hälsodata, enligt uppdelningen av områden som presenterades i kapitel 2. Kapitel 4, behandlar området och uppgiften att utöva tillsyn, därefter samlas övriga uppgifter som tillskrivs HDAB i kapitel 5. Uppgiften som samordnande HDAB beskrivs därefter i kapitel 6.

3.1 Nationell datasetkatalog

3.1.1 Om uppgiften

I artikel 37 (q) anges att HDAB ska tillhandahålla en nationell datasetdatalog. Katalogen ska vara publikt tillgänglig, i maskinläsbart format och innehålla information i form av metadata om de tillgängliga dataseten och deras egenskaper.

Katalogen ska innehålla detaljer om källa och typ av hälsodata i enlighet med artiklarna 55, 56 och 58, och villkor för att göra hälsodata tillgängliga. I artikel 55.1 framgår att HDAB ska informera dataanvändarna om tillgängliga dataset och deras egenskaper genom

en metadatakatalog. Den beskrivning av varje dataset som ska finnas i metadatakatalogen anges som:

“A description of each dataset shall include information concerning the source, the scope, the main characteristics, the nature of the data and the conditions for making it available”.

Katalogen ska vara tillgänglig på ett officiellt språk inom EU. Katalogen ska även göras tillgänglig för enskilda informationspunkter enligt artikel 8 COM/2020/767 (dataförvaltningsakten).

EU-kommissionen ska genom genomförandeakter fastställa de minimiuppgifter som datainnehavare ska tillhandahålla för dataset och deras egenskaper (artikel 55.2). Genomförandeakterna ska antas inom två år och gälla från fyra år efter förordningen trätt i kraft (artikel 72).

I artikel 56.2 anges att de dataset som samlats in med stöd av EU eller nationella offentliga medel ska ha en datakvalitets- och funktionsmärkning. De krav som märkningen ska uppfylla anges i artikel 56.3 och avser bland annat uppgifter om teknisk kvalitet som visar att uppgifterna är fullständiga, unika, korrekta, giltiga, aktuella och enhetliga, uppgifter om datadokumentation samt processer för styrning av datakvalitet. Om HDAB har anledning att tro att datakvalitets- och funktionsmärkningen är felaktig ska den undersöka om data möter kraven. Finner HDAB att datan inte möter uppsatta kvalitetskrav ska den upphäva märkningen.

Kommissionen ska genom genomförandeakter fastställa de visuella egenskaperna och de tekniska specifikationerna för datakvalitets- och funktionsmärkningen. Utredningen noterar att den EU-pilot kallad Healthdata@EU pilot (se avsnitt 2.4.1) som har fått medel från EU-kommissionen för att ta fram en EU-gemensam infrastruktur för sekundäranvändning av hälsodata bland annat ska tillhandahålla riktlinjer om metadatastandarder. Healthdata@EU är namnet på den infrastruktur som möjliggör tillgång till hälsodata för sekundäranvändning mellan olika medlemsländer (artikel 52). Målet med arbetspaket 6 inom ramen för EU-piloten uppges vara att utveckla ett standardiserat sätt att beskriva hälsodataset som är i linje med FAIR-principen. Pilotprojektet ska enligt uppgift designa en vidareutveckling av den Europeiska DCAT-AP standarden kallat

healthDCAT-AP särskilt för Healthdata@Eu-infrastrukturen Den kommer bygga på samma grund som DCAT-AP och lägga till ytterligare klasser och metadataelement för att passa behoven för hälsosektorn. Inom piloten publicerades även nyligen en kartläggning över nuvarande landskap avseende metadatakataloger och metadatastandarder .

Det är oklart hur de riktlinjer som tas fram inom ramen för piloten kommer förhålla sig till de genomförandeakter som enligt artikel 55.2 ska fastställa vilka minimiuppgifter som datainnehavare ska tillhandahålla för dataset och deras egenskaper. Det förefaller emellertid sannolikt att de kommer att återanvändas i arbetet och därmed ger en indikation på hur innehållet i genomförandeakterna kommer att se ut.

I artikel 57 anges att EU-kommissionen ska upprätta en EUdatasetkatalog som kopplar samman de nationella kataloger över dataset som upprättats av de organ som ansvarar för tillgång till hälsodata och andra behöriga deltagare i Healthdata@EU. EU:s datasetkatalog och de nationella datasetkatalogerna ska offentliggöras.

3.1.2 Kartläggning av närliggande verksamhet i Sverige

Vetenskapsrådet och Myndigheten för digital förvaltning (Digg) är de statliga myndigheter som utredningen identifierat som har verksamhet som liknar den nationella datasetkatalogen som HDAB ska upprätta och tillhandahålla. Denna del av myndigheternas verksamhet beskrivs kort nedan.

10 Healthdata@EU Pilot. Work package 6. Metadata Standards. Towards a common health resource description framework (RDF) representation of metadata for interexchange between data portals. URL: Metadata Standards – Towards a common health Resource Description Framework (RDF) representation of metadata for interexchange between data portals - EHDS2 Pilot - Official website. 11 Healthdata@EU Pilot. Report on the landscape analysis of available metadata catalouges and the metadata standards in use. WP 6 – Metadata standards. URL: HealthData@EU Pilot_MS6.1_FIN (ehds2pilot.eu)

Vetenskapsrådet

Om verksamheten

Vetenskapsrådet ska enligt myndighetens instruktion 2 § 18 p. förbättra tillgängligheten till och underlätta användningen av registeruppgifter för forskningsändamål samt bistå forskare med information om relevanta bestämmelser om register. Myndigheten uppger att arbetet sker i nära samverkan med berörda registerhållande myndigheter, organisationer och andra för registerforskningen viktiga aktörer och forskarsamhället samt internationell samverkan kopplat till metadata och närliggande tjänster.

Inom ramen för uppdraget rörande infrastruktur för forskning på register- och hälsodata (framöver Registeruppdraget) finns verktyg och processer för hantering av metadata för känsliga data. Organisationen och verksamheten som utförs inom Registeruppdraget ansvarar för den infrastruktur som byggs upp för att stödja och effektivisera processer för registerbaserad forskning till exempel metadatatjänsten Register Utiliser Tool (RUT). RUT utvecklas enligt myndigheten idag för att bli en nationell ingång för metadata om register- och hälsodata och för att underlätta beställningsprocesserna för datauttag för forskning hos de datahållande organisationerna samt stödja forskare att identifiera rätt data för sin forskningsfråga. Vetenskapsrådet har även utvecklat informationsportalen registerforskning.se med information till forskare om hur man går till väga för att bedriva registerforskning. I portalen länkas forskaren även vidare till RUT för att ta del av den data som finns tillgänglig. Myndigheten uppger att informationsportalen kommer att utvecklas under 2024 för att möta behov även från de som önskar använda hälsodata i forskning och innovation till en ny informationsportal.

Verksamheten som utförs inom Vetenskapsrådets uppdrag har ett fokus på verksamhetsutveckling/uppbyggnad i kombination med teknikutveckling med fokus på att förändra och utveckla arbetssätten hos de datahållande organisationerna inom metadataområdet. Syftet är att förbättra förutsättningarna för att använda sig av registeruppgifter i forskningen genom att både tillgängliggöra vilken data som finns samt möjliggöra effektivare

utlämningsprocesser. En av förutsättningarna för att kunna effektivisera utlämningsprocesserna är att de datahållande organisationerna har förmågor att löpande beskriva en datakällas förändringar med metadata, samt hur de kan använda denna metadata för att förändra sina processer.

Vetenskapsrådet deltar även i samarbetsprojektet SENASH (se avsnitt 2.4.3) som syftar till att ta fram prototyp för två av tjänsterna som HDAB ska ha, bland annat en nationell metadatakatalog för hälsodata. Hypotesen är att RUT ligger till grund för denna. Dock ska poängteras att RUT har ett tvärsektoriellt perspektiv på data och har metadata för fler dataområden än EHDS.

Vetenskapsrådets medskick och synpunkter

Syftet med Registeruppdraget uppges vara att skapa en nationell ingång för registerforskning för att möta de utmaningar och flaskhalsar som finns inom de processer som omgärdar forskning på register- och hälsodata. En stor del av de registerforskningsstudier som bedrivs idag använder data från flera olika datakällor som finns vid olika datahållande organisationer. Vetenskapsrådet lyfter att det finns ett antal utmaningar kopplat till att bedriva forskning från olika datakällor samt hur myndigheten försökt möta utmaningen. Detta sammanfattas i nedanstående lista: • För att veta vilken registerdata som finns tillgänglig för

vidareanvändning så behöver datakällor kunna identifieras. Idag presenteras register- och hälsodatakällor på en övergripande nivå i RUT:s metadatakatalog.

• För att forskaren ska kunna tolka ifall datakällorna och deras

innehåll kan användas för att stödja en viss forskningsfråga

behövs information om variablers betydelse, värdemängd,

förändringar och historik m.m. tillgängliggöras. Myndigheten uppger att RUT:s angreppssätt är att presentera metadata om register på en detaljerad nivå för att stödja forskare i sin studiedesign på metanivå.

• För att registerhållaren ska kunna förvalta metadata kring de

förändringar som sker i ett register samt använda denna för att automatisera uttagprocesserna så behövs ett

administrationssystem. Myndigheten uppger att detta system finns

idag i form av RUT Management som för närvarande integreras

med Statistiska Centralbyråns metadatasystem samt att dialog pågår med Socialstyrelsen i vilken utsträckning de ska använda systemet.

Vetenskapsrådet uppger att för att de olika datahållande organisationerna ska kunna ha en dialog med forskaren om relevanta data och sedermera skadepröva en forskares begäran om datauttag, behövs att begäran är relevant (uppgiftsminimering, spårbarhet till godkänd etikansökan) och korrekt. Idag sker begäran hos den enskilde datahållande organisationen. För att mer effektivt hantera datahanteringsprocesserna har Vetenskapsrådet inom Registeruppdraget arbetat mot en central ingång för databeställningar och möjliggörande av en digital samlingsplats för diskussion för begäran om datauttag från flera organisationer.

Vetenskapsrådet framhåller i sina underlag till utredningen att RUT:s metadatakatalog samt metadata-administrationssystemet RUT Management utvecklas i nära samverkan med registerdatahållande organisationer. Myndigheten anser att stor potential föreligger i att RUT ges en tydlig nationell roll som det system de registerhållande organisationerna pekar på och använder som stöd för databeställningar. Om RUT används som hubb kommer forskaren att kunna ta ut en variabellista som bifogas till etikprövningsansökan och som sedan ligger till grund för begäran om datauttag. Efter godkänd ansökan om datauttag så lämnas datan ut eller länkas. Det finns idag upparbetad samverkan mellan främst SCB och Socialstyrelsen för detta.

Verksamheten som bedrivs inom Vetenskapsrådets registeruppdrag syftar till att stödja tvärvetenskaplig och tvärsektoriell forskning som använder sig av registerdata. Myndigheten anser att det föreligger stor potential både gällande resursutnyttjande och samordningseffekter om metadataportalen hos en HDAB föds med metadata från RUT och att RUT utvecklas för att möta de krav som HDAB:en ställer. För att detta ska ske behöver Vetenskapsrådet ges förutsättningarna att kunna stötta anslutning av dessa dataset samt stödja de datahållande organisationerna i förvaltningen av sin metadata och hur denna kan effektivisera sina utlämningsprocesser:

• Verksamheten kommer att behöva förstärkas med ytterligare

resurser inom främst informatik, metadata, systemutveckling,

informationssäkerhet och juridik. • Framför allt behöver fokus på metadata och metadatadrivna

processer etableras och förvaltas sättas hos de datahållande

organisationerna. Processerna behöver även resurssättas med rätt

kompetens. Vetenskapsrådet har en etablerad modell för hur

detta kan ske där systemstödet RUT Management kan användas som en framtida tjänst för de datahållande organisationer som

inte har förmåga att själva anskaffa eller utveckla ett eget

metadatasystem.

Myndigheten för digital förvaltning (Digg)

Om verksamheten

Digg har i uppdrag att tillhandahålla en nationell datasetkatalog. De har även i uppdrag att främja öppen och datadriven innovation och tillgängliggörande och vidareutnyttjande av öppna data från den offentliga förvaltningen. Dessa två uppdrag beskrivs mer utförligt nedan, först utifrån nuvarande reglering och därefter utifrån kommande reglering. • I 6 a § i Diggs instruktion anges att myndigheten digitalt ska

publicera en sådan förteckning över data som har gjorts

tillgängliga eller sökbara på internet och som anges i 2 kap. 6 § lagen (2022:818) om den offentliga sektorns tillgängliggörande

av data. Myndigheten får meddela närmare föreskrifter om

innehållet i och utformningen av förteckningen och om den

information som ska lämnas om data som görs tillgängliga eller

sökbara i förteckningen. Myndigheter eller offentliga företag

som publicerar de data som avses i lagen ska informera Digg om detta.

• Av 6 § 2p i myndighetens instruktion framgår att de ska främja

öppen och datadriven innovation samt tillgängliggörande och

vidareutnyttjande av öppna data från den offentliga

förvaltningen.

Kommande rättslig reglering i och med Dataförvaltningsakten (2022/878) kommer högst sannolikt förändra Diggs uppdrag. Digg och SCB föreslås utses till behöriga organ enligt artikel 7.1

12,13 Dataförvaltningsakten. Där framgår att det behöriga organet ska bistå de offentliga myndigheter som beviljar eller vägrar tillgång för vidareutnyttjande av de kategorier av data som avses i artikel 3.1 (data som innehas av offentliga myndigheter och som är skyddade) med råd och kunskap. Det avser bland annat tekniskt stöd, vägledning och rättsligt bistånd. De behöriga organen måste alltså ha juridiska, ekonomiska och tekniska resurser för att kunna uppfylla uppdraget. Digg föreslås i proposition 2023/24:73 vara huvudansvarig och samordna arbetet. Av utredningens dialog med Digg framgår att Digg ska stödja brett enligt beskrivningen ovan medan SCB specifikt ska stödja med råd och kunskap om säkra behandlingsmiljöer. Digg kommer inte att ha i uppgift att bevilja tillgång till data för vidareutnyttjande. Behörigt organ kan ges befogenhet att bevilja tillgång enligt artikel 7.

Digg ska även ansvara för den gemensamma informationspunkten enligt artikel 8 Dataförvaltningsakten. Detta uppdrag innebär att Dataportal.se ska omfatta inte enbart data som tillgängliggörs enligt öppna data-direktivet (enligt 6 a § Diggs instruktion), utan även skyddade data som tillgängliggörs frivilligt enligt DGA. Diggs Dataportal är idag, och kommer fortsatt vara, interoperabel med den europeiska dataportalen som omfattar både öppen datadelning och delning av data enligt DGA. Digg ska kunna förmedla förfrågningar via den gemensamma informationspunkten (artikel 8 DGA).

Myndigheten uppger att de redan idag har ett stort antal vägledningar som tar sikte på tillgängliggörande av information. Dessa ser myndigheten över för att ytterligare anpassa efter Dataförvaltningsakten och kommande sektorsspecifik lagstiftning.

12

DS 2023:24. Genomförandet av EU:s dataförvaltningsförordning. 13

Prop. 2023/24:73. s.32. 14

Prop. 2023/24:73. s.33.

Myndighetens synpunkter och medskick

Digg bedömer att vissa grundläggande förutsättningar för EHDS kommer från kraven i Dataförvaltningsakten. Till exempel kravet på en säker behandlingsmiljö och en nationell datasetkatalog. Myndigheten anser att det är viktigt att det förvaltningsgemensamma arbetet ges förutsättningar för att kunna stödja EHDS, med till exempel format, metadataspecifikationer och säkra behandlingsmiljöer.

Digg ser regleringen av sekundäranvändning av data enligt EHDS som en sektorsspecifik reglering i förhållande till dataförvaltningsförordningens reglering om vidareutnyttjande (kapitel II). Digg har en central roll som stödjande myndighet i förhållande till kap II i Dataförvaltningsakten (se DS 2023:24 kapitel 4.6) och för att hålla en katalog över metadata över skyddade data. Myndigheten vill ha förutsättningar för att bedriva de förvaltningsgemensamma delarna. Mer sektorspecifika delar anser myndigheten bör tilldelas sektorsmyndigheter.

I EHDS anges att den information som upprättas i den nationella datasetkatalogen också ska göras tillgänglig för den enskilda informationspunkten enligt artikel 8 DGA (artikel 57). Detta innebär i praktiken att den görs tillgänglig för att kunna synas påDataportal.se. Myndighetens bedömning är att det stöd som ska lämnas av de behöriga organen detaljeras i artikel 7.3 Dataförvaltningsakten och utgör sådant stöd som är relevant även för HDAB. Som exempel ska Digg lämna vägledning om säkra behandlingsmiljöer och om teknisk lagring och struktur för data som delas för vidareutnyttjande.

3.1.3 Utredningens analys

För uppgiften att tillhandahålla en nationell datasetkatalog ser utredningen att det kommer att krävas och skapas kunskap om hälsodata och metadata, dataanvändares behov, datainnehavares utmaningar och behov samt en it-infrastruktur för ändamålet. En erfarenhet av och förmåga till dialog med datainnehavare om hur deras data registreras i en metadatakatalog är central.

Utredningen noterar att EHDS innehåller krav om vilken tidsrymd en begäran om data ska beslutas och att såväl SCB som

Socialstyrelsen lyfter att långa handläggningstider är ett problem idag. Regeringen har även gett Socialstyrelsen i uppdrag att utveckla arbetet med att ge tillgång till data från hälsodataregister för forskning så att handläggningstiderna ska kortas och kvaliteten i leveranserna av beställningar av hälsodata öka. Utredningen gör bedömningen att en metadatakatalog som är utformad på ett sådant sätt att dataanvändaren får tydlig och tillräcklig information för att kunna utforma en bra ansökan kan bidra till mer effektiva processer för datauttag något som utredningen ser kan bidra till att uppsatta tidsramar för hantering av en databeställning kan hållas. Samtidigt behöver de krav som ställs på datainnehavare stå i proportion till den nytta som erhålls så att de inte åläggs mer administrativ belastning än vad som är rimligt.

Utredningen konstaterar att definitionen av datainnehavare i EHDS är bred och de skyldigheter som åläggs datainnehavare enligt förordningen är omfattande. Många av de aktörer som klassas som datainnehavare är sannolikt ovana vid att tillgängliggöra data för forsknings- och innovationsändamål då verksamheten har annat fokus. Mot den bakgrunden ser utredningen att det är en betydande fördel om den myndighet som ska bygga upp och tillhandahålla den nationella datasetkatalogen har erfarenhet av dialoger med innehavare av hälsodata, av metadata och metadata-drivna processer. Utredningen ser det som sannolikt att HDAB med denna uppgift kommer behöva ha en stödjande roll som är betydande i såväl omfattning som komplexitet för att alla datainnehavare på ett så smidigt sätt som möjligt och utan onödig administration ska kunna tillhandahålla den information de är ålagda till den nationella datasetkatalogen.

Både Vetenskapsrådet och Digg tillhandahåller kataloger som på ett samlat sätt presenterar vilken information som finns tillgänglig för till exempel forskningsändamål. Diggs uppdrag att tillhandahålla en förteckning över data som har gjorts tillgängliga eller sökbara på internet som anges i 2 kap. 6 § lagen (2022:818) om den offentliga sektorns tillgängliggörande av data, preciseras i myndighetens instruktion. Myndigheten får meddela närmare föreskrifter om innehållet i och utformningen av förteckningen. En myndighet eller

15

Regeringen (2024). Uppdrag till Socialstyrelsen att utveckla arbetet med att ge tillgång till data från hälsodataregister för forskning. Dnr: S2023/00075 (delvis).

ett offentligt företag är skyldiga att informera Digg om de utpekade data som gjorts tillgängliga eller sökbara.

Vetenskapsrådet ska enligt sin instruktion ge stöd till grundläggande forskning av högsta vetenskapliga kvalitet inom samtliga vetenskapsområden. Den metadatakatalog Vetenskapsrådet tagit fram är som utredningen förstår det en åtgärd för att bidra till att uppnå målet i instruktionen om att förbättra tillgängligheten till och underlätta användningen av registeruppgifter för forskningsändamål. Myndigheten har inte någon föreskriftsrätt kopplad till verksamheten och det föreligger heller inte någon skyldighet för registerhållare att ange metadata för sina data. Arbetet regleras av överenskommelser mellan Vetenskapsrådet och den organisation som är personuppgiftsansvarig.

Befintliga katalogers utformning och innehåll skiljer sig åt

Utredningen noterar att den typ av data som finns i Diggs respektive Vetenskapsrådets kataloger skiljer sig från det innehåll som anges i artikel 33 i EHDS. Informationen i dataportal.se är idag endast öppen data som den offentliga sektorn tillgängliggjort. Det innefattar enligt utredningens bedömning sannolikt inte någon hälsodata som är känslig och omfattas av sekretess. RUT innehåller till stora delar hälsodata som återfinns i kvalitetsregister av olika slag. Utredningen gör bedömningen att Vetenskapsrådet mot bakgrund av ovanstående har upparbetat kunskap om hälsodatans egenskaper och datainnehavarnas behov.

Myndigheternas arbete med att upprätta, utveckla och förvalta katalogerna skiljer sig åt. De som tillgängliggör data enligt lagen (2022:818) om den offentliga sektorns tillgängliggörande av data är skyldiga att anmäla det till Digg. Myndigheten har med andra ord inte någon uppsökande verksamhet även om de kan behöva ge stöd åt de som vill anmäla sin tillgängliggjorda data. Avseende Vetenskapsrådets arbete med RUT uppger myndigheten att de tar sikte på att förändra och utveckla arbetssätten hos de datahållande organisationerna genom ett fokus på verksamhetsutveckling/ uppbyggnad i kombination med teknikutveckling. Syftet är enligt myndigheten att förbättra förutsättningarna för att använda sig av registeruppgifter i forskningen genom att både tillgängliggöra vilken

data som finns samt möjliggöra effektivare utlämningsprocesser. Detta genom att göra datakällorna mer FAIR (Findable, Accessible, Interoperable, Re-usable) och att effektivisera processen för datauttag och minska ”time to data”. Metadatasystemet i RUT är därför inriktat på att synliggöra specificerade metadatainformation som ger en insikt inte bara om databaserna övergripande innehåll utan specifik information om vilka variabler som finns tillgängliga i stor detaljrikedom. Även den metadatastandarden som ska utvecklas inom Healthdata@EU piloten för EHDS kallad HealthDCAT-AP utgår från FAIR-principen. Diggs datasetkatalog innehåller mer övergripande information om vilken data som finns tillgänglig. Myndigheten uppger att standarden DCAT-AP används. Datasetkatalogen i dataportal.se fokuserar främst på att visa upp dataset (Findability).

Såsom utredningen ser det är EHDS krav på hur metadatan ska anges i en nationell datasetkatalog någonstans mellan den nivå som föreligger i datasetkatalogen på dataportal.se och RUT.

Erfarenhet och kunskap om stöd till datainnehavare

Som nämnts ovan ser utredningen givet den breda definition av datainnehavare som finns i EHDS att det är sannolikt att HDAB med denna uppgift kommer behöva ha en stödjande roll som är av betydande komplexitet för att alla datainnehavare ska kunna tillhandahålla den information de är ålagda att anmäla.

Såväl Digg som Vetenskapsrådet har erfarenhet av stödjande uppdrag och arbete. Det verksamhetsnära stöd som föreligger kopplat till upprättandet av en metadatakatalog med hälsodata från vana och ovana datainnehavare ser utredningen emellertid att Vetenskapsrådet har mer omfattande erfarenhet av. Fokus för myndighetens arbete har varit att förändra och utveckla arbetssätten hos datahållande organisationer inom metadataområdet. I många fall har den data som organisationen haft varit hälsodata. Denna stödjande erfarenhet anser utredningen kommer vara särskilt värdefull för att kunna utföra den uppgift som åläggs HDAB när det kommer till tillhandahållandet av en nationell datasetkatalog. Utredningen ser även att det arbete som pågår med att utveckla administrationssystemet för datainnehavare för att på ett enklare

sätt kunna förvalta metadata kring de förändringar som sker i ett register samt använda denna metadata för att automatisera uttagsprocesser, är något som skulle kunna stötta datainnehavare.

Socialstyrelsen uppger att de i egenskap av datainnehavare samarbetar med Vetenskapsrådet för att utveckla sitt metadataarbete. Myndigheten framhåller att den befintliga verksamheten på Vetenskapsrådet som sedan många år arbetat med att utveckla en metadatakatalog för registerforskare bör få behålla nödvändiga resurser för att utveckla sitt uppdrag. Socialstyrelsen uppger vidare att de skulle se positivt på om den verksamheten skulle byta myndighetshemvist till Socialstyrelsen då detta skulle medföra en ökad närhet till myndighetens hälsodataregister samt till de nationella kvalitetsregistren. SCB uppger till utredningen att dataportalen.se beskriver makrodata/statistik medan RUT beskriver metadata, dvs. en mer detaljerad nivå. SBC uppger att metadata behövs för att en användare enkelt ska kunna upptäcka och förstå statistik samt för att stödja statistikproduktionen på olika sätt. RUT bygger på informationsmodellen GSIM som möjliggör användandet även för statistikändamål vilket framhålls av SCB till utredningen som viktigt. Gällande den nationella datasetkatalogen uppger SCB att de skulle kunna ta en förvaltningsroll av RUT-systemet om valet faller på denna utvecklade metadatalösning.

Utredningen konstaterar att arbetet med att tillhandahålla en datasetkatalog kommer kräva kunskap om såväl datainnehavares behov som datasetkatalogens innehåll och den beskrivna hälsodatans egenskaper. Vidare kommer arbetet med att upprätta och förvalta katalogen leda till att denna kunskap fördjupas. Utredningen anser att det finns en betydande fördel i att uppgiften om att tillhandahålla en metadatakatalog hålls nära uppgiften om att hantera anmälningar om data och besluta om datatillstånd då dessa uppgifter har ett beroende till varandra. Samtidigt ser utredningen att arbetet med att utveckla den metadatakatalog som specificeras i EHDS bör utgå från och tillvarata såväl kunskap, upparbetade relationer som infrastruktur från Vetenskapsrådet. En nära dialog bör även föras med Digg utifrån myndighetens uppdrag med anledning av bland annat DGA.

3.2 Beslut om tillgång

3.2.1 Allmänt

En av de mer centrala uppgifterna för en HDAB inom EHDS är att vara beslutsfattare avseende de datatillstånd som utfärdas. Ett datatillstånd sker efter ansökan från en dataanvändare och utgör grunden för dataanvändarens möjlighet att behandla hälsodata för sekundära ändamål med EHDS som rättsligt stöd.

3.2.2 Om uppgiften att besluta om tillgång i förordningen

Dataanvändare kan ansöka om åtkomst till hälsodata genom en ansökan om datatillgång. HDAB har enligt artikel 37.1 (a) som uppgift att ta ställning till en så kallad ansökan om dataåtkomst. Ett godkännande av en ansökan om datatillgång ska beslutas av HDAB under förutsättning att kriterierna i artikel 46 om datatillstånd är uppfyllda. Den bedömning som HDAB ska göra av ansökan består av ett antal olika delar. Bland annat så ska behandlingen av hälsodata vara i överensstämmelse med de rättsliga grunderna för behandling av personuppgifter som framgår av artikel 6.1 dataskyddsförordningen. HDAB ska även särskilt bedöma huruvida behandlingen som kommer att utföras kräver åtkomst till pseduonymiserade uppgifter eller om det skulle räcka med anonymiserad information för att uppnå det beskrivna behovet. Vidare ska HDAB bedöma om dataanvändaren har tillräcklig teknisk och organisatorisk kapacitet för att hantera den begärda hälsodatan på ett säkert sätt. Närmare bestämt beskrivs det att säkert i detta sammanhang innebär ”to prevent the misuse of the electronic health data and to protect the rights and interest of the data holder and of the natural persons concerned”. I förekommande fall ska det finnas information om bedömningen av de etiska aspekterna av behandlingen, i tillämpliga fall och i enlighet med nationell lagstiftning. Om nationell rätt kräver det torde det således finnas utrymme att HDAB ska få information om den etiska bedömningen

16

Hänvisningen till artikel 6.1 GDPR framgår i artikel 46. 1 (c) EHDS 17

Se artikel 46.1 (c) EHDS, även artikel 44. 18

Se artikel 46.1 (g), se även punkt 50 preambeln angående möjligheten att låta nationell reglering kring etiska krav villkora ett datatillstånd.

som nationell lag kräver och kontrollera att denna avser den aktuella behandlingen som ansökan omfattar.

HDAB ska även ta ställning till bland annat risker utifrån nationell säkerhet och underminering av sekretessbelagd information i statliga databaser. Vad detta mer konkret innebär torde vara svårt att bedöma idag, det kan dock konstateras att det finns utrymmen att neka datatillstånd när det befaras finnas risker inom dessa områden. Vad gäller HDAB:s förmågor mer konkret ställer det i vart fall krav på kompetens hos myndigheten att kunna göra bedömningar inom samtliga dessa beskrivna områden.

Enligt artikel 47 ska HDAB även hantera så kallade databegäran vilket innebär en ansökan om att ta del av en viss mängd hälsodata eller kombination av olika mängder sådan i ett anonymiserat, statistiskt resultat.

Ett beslut om datatillstånd eller databegäran ska ske inom tre månader från det att en komplett ansökan inlämnats. Om ansökan är komplex kan HDAB avseende datatillstånd utöka tidsperioden upp till maximalt ytterligare tre månader innan beslut lämnas.

3.2.3 Vilka myndigheter har liknande verksamhet idag?

De statliga myndigheter som utredningen identifierat med en relativt sett omfattande verksamhet som liknar uppgiften beslut om tillgång som HDAB ska utföra är Socialstyrelsen, SCB och Folkhälsomyndigheten. Dessa delar av myndigheternas verksamhet beskrivs kort nedan. Beskrivningen utgår främst från de möten utredningen haft och de skriftliga svar på utredningens frågor om myndighetens verksamhet med anknytning till EHDS som myndigheterna skickat in. Utredningen är medveten om att även andra myndigheter som finns på området har uppgifter på området och hanterar i viss utsträckning utlämnande av sin egen data och har verksamhet kring det. Utredningen har av utrymmesskäl i detta kapitel dock endast tagit upp de myndigheter som utredningen bedömer har en mer omfattande utlämnandeverksamhet idag.

19 Se artikel 46.1a (a-c) “risks for national defence, security, public security and public order.” “risk of undermining confidential data in governmental databases of regulatory authorities.”

Socialstyrelsen

Socialstyrelsen är förvaltningsmyndighet för verksamhet som rör hälso- och sjukvård och annan medicinsk verksamhet, tandvård, socialtjänst, stöd och service till vissa personer med funktionsnedsättning samt frågor om alkohol och missbruksmedel. I myndighetens instruktion (2015:284) framgår att myndighetens uppgift är att ta fram föreskrifter, kunskapsstöd och statistik samt göra uppföljningar och utvärderingar. Myndigheten ska stödja utvecklingen av e-hälsa, utfärda legitimationer till hälso- och sjukvårdspersonal, dela ut statsbidrag och samordna hälso- och sjukvårdens insatser vid allvarliga händelser. Myndigheten ska också följa utvecklingen inom vården och omsorgen samt fånga upp och möta omvärldens behov.

Socialstyrelsen har verksamhet och arbetsuppgifter som kan falla inom området sekundäranvändning av hälsodata som såväl datainnehavare, dataanvändare och tillgängliggörare av hälsodata (HDAB). I rollen som datainnehavare ansvarar myndigheten bland annat för tretton statistiska register där myndigheten behandlar cirka 140 miljoner individposter per år.

I rollen som motsvarar en HDAB ansvarar myndigheten för prövning av utlämnande av registerdata för ändamålen forskning och statistik. Socialstyrelsen bearbetar statistik och data som beställs exempelvis för forskning eller av andra myndigheter för statistikändamål, vilket ofta innebär att myndigheten samkör data från olika register, både egna och andra myndigheters men även med forskarnas egna data. Socialstyrelsens process för att lämna ut registerdata på beställning baseras på gällande regelverk vad gäller hantering av personuppgifter, sekretessprövning med mera.

Statistik och data finns i alla delar av myndighetens kunskapsstyrning, som underlag för forskning, som underlag till normering och kunskapsstöd och som underlag till uppföljning och utvärdering. Myndighetens expertroll och statistikroll utgör två av myndighetens kärnuppdrag och är ömsesidigt beroende av varandra.

Myndighetens medskick och synpunkter

För hela arbetet med register och statistik (insamling, bearbetning), förvaltning (kvalitetssäkring av register), utveckling tillämpning i

statistikändamål och öppna data samt utlämning av data så sysselsätter Socialstyrelsen cirka 100 personer. För enbart utlämnandedelarna, dvs. utlämning av mikrodata och statistikbeställningar, arbetar cirka 40 personer idag och myndigheten lämnar ut drygt 700 skräddarsydda beställningar varje år. För uppdraget behövs det enligt myndigheten en hög grad av ämneskunskap för att kunna driva arbetet. Egen djup kunskap om registernas innehåll är nödvändig. Kontakter med alla uppgiftslämnare bedöms som avgörande för kvaliteten i data.

För externa användare är det viktigt att data som lämnas ut är korrekt och skräddarsydd utifrån användarens behov. Det ställer krav på god kännedom om datas innehåll hos sekretessprövaren. Av den anledningen föreslår Socialstyrelsen minimala organisatoriska förändringar, men ett utökat stöd för att utveckla systemen och effektivisera de arbeten som redan pågår. Socialstyrelsen har stor erfarenhet av att samla in, behandla, och lämna ut data.

Varje myndighet med egna register sitter på särskild sakkunskap som utgör en viktig del i kvalitetssäkringen av registerinnehållen. Dessutom kan sakkunniga enligt myndigheten bidra till dataanvändarnas förståelse samt tolkning av data. I en större organisation med registeransvar som är spridda över skilda områden finns en risk enligt Socialstyrelsen att sakkunnigheten försvinner, och på så vis, riskeras kvaliteten på registrens innehåll.

Socialstyrelsen anser vidare att det skulle kunna vara ändamålsenligt och effektivt för Sverige som har en långt driven decentralisering att, utöver en nationellt samordnande HDAB för sekundär datadelning, fördela HDAB-uppgifter på flera myndigheter och organisationer som är datainnehavare och har sådana eller liknande uppgifter i sin verksamhet. Myndigheten anser att principen för fördelningen av denna HDAB-uppgift bör vara att de myndigheter som idag lämnar ut data från egna register bör behålla den sekretessprövande verksamheten inom myndigheten. En annan ordning riskerar att skapa för stora avstånd mellan sekretessprövningen och sakkunskapen om datainnehållet, vilket Socialstyrelsen tror skulle försämra informationen och kvaliteten i utlämningarna till användaren. Det skulle också kräva en förändrad lagstiftning. Det inkluderar expertkunskap om respektive data och ämnesområden, och upparbetade kontaktytor med användare.

Statistiska Centralbyrån (SCB)

SCB ansvarar för att utveckla, framställa och sprida officiell statistik och annan statlig statistik samt för att samordna systemet för den officiella statistiken i Sverige.

SCB är inte statistikansvarig myndighet inom områden hälsooch sjukvård eller folkhälsa men vid SCB finns ett antal variabler som klassas som känsliga personuppgifter avseende hälsa och som ligger till grund för officiell statistik. Främst är det uppgifter från Försäkringskassan kopplat till ersättning vid sjukdom samt vård av barn. SCB har också ett antal variabler avseende hälsa som inkommit till SCB via urvalsundersökningen om levnadsförhållanden (ULF).

Myndighetens medskick och synpunkter

SCB framhåller att myndigheten har nästan 300 års erfarenhet av datahantering i dess olika former vilka beskrivs i nedanstående bild. Styrkan är enligt myndigheten den operativa processen för kvalitetssäkringen av data för olika ändamål (där nuvarande fokus är statistikändamålet) där SCB använder standardiserade processer (GSBPM), metoder och verktyg. SCB har således en solid erfarenhet av att hantera data, datadelning och förvaltning i samverkan.

SCB är inte statistikansvarig myndighet inom områden hälsooch sjukvård eller folkhälsa men vid SCB finns ett antal variabler som klassas som känsliga personuppgifter avseende hälsa och som ligger till grund för officiell statistik. Främst är det uppgifter från Försäkringskassan kopplat till ersättning vid sjukdom samt vård av barn. SCB kommer dock i kontakt med uppgifter inom hälsodataområdet eftersom många beställningar avseende mikrodata som finns vid SCB ska kombineras med data avseende hälsa hos annan myndighet eller privat organisation. Av de utlämnanden som genomförs med forskning som ändamål har ungefär hälften en koppling till medicinsk forskning och innebär främst ett nära samarbete med Socialstyrelsen.

Vid SCB finns en sektion som hanterar dessa utlämnanden och totalt genomförs 350–400 utlämnanden av mikrodata årligen där cirka 75 procent av uppdragen avser utlämnanden för forskningsändamål.

I hantering av utlämnanden ingår att ta emot beställningar, diskutera innehållet med beställaren och att beskriva uppdraget i en offert. En förutsättning är att handläggaren har kompetens på registren och att det kan vara ett omfattande arbete att landa i vilka uppgifter som ska ingå. Varje leverans skräddarsys utifrån användarens behov och vilka uppgifter som beställaren har rätt att behandla.

Folkhälsomyndigheten

Folkhälsomyndigheten hanterar patient- och hälsodata inom ramen för sitt uppdrag vilket framgår av 4 § i myndighetens instruktion (2021:248). Myndigheten ska ansvara för kunskapsutveckling inom sitt verksamhetsområde samt inom detta identifiera, analysera och förmedla relevant kunskap till kommuner, regioner och andra berörda aktörer (6 §). Myndigheten ska vidare ansvara för den samlade uppföljningen av befolkningens hälsa och faktorer som påverkar denna samt för sektorsövergripande uppföljning av utvecklingen av folkhälsans bestämningsfaktorer med utgångspunkt i folkhälsopolitikens målområden.

Stödfunktionen databeställning är den verksamhet på Folkhälsomyndigheten som har i uppdrag att hantera externa databeställningar av individ- och aggregerade data för forskningsoch statistikändamål. Databeställningarna gäller beställning av data eller statistik från Nationella vaccinationsregistret, SmiNet, undersökningar (t.ex. Nationella folkhälsoenkäten (HLV), Skolbarnshälsovanor och Miljöhälsoenkäten) och andra uppgiftsamlingar som finns hos Folkhälsomyndigheten. Folkhälsomyndigheten har inget tekniskt beställningssystem för databeställning (sekundäranvändning av hälsodata). Idag kontaktar beställare funktionsbrevlådan databeställning och får instruktioner och en beställningsblankett. Beslut om utlämnande görs av en styrgrupp med sak- och juridikkompetens.

Myndighetens medskick och synpunkter

Folkhälsomyndigheten menar att för att HDAB ska kunna fatta beslut om utlämnande av hälsodata behöver den utsedda

myndigheten ha övergripande kompetens kring hälsodata och dess primära användningsområden. Denna övergripande kompetens tillsammans med expertkunskap från datainnehavare utgör den samlade kompetensen som behövs för att kunna uppfylla uppdraget som HDAB. Endast teknisk kompetens kommer inte täcka behovet av annan kompetens kring hälsodata som behövs för att genomföra uppdraget som HDAB.

Myndigheten ser att en HDAB i stället för flera skulle innebära att den samordnande funktionen skulle centraliseras, vilket skulle kunna innebära en effektivare process på grund av en tydligare struktur och ledning.

Folkhälsomyndigheten ser inte att det är möjligt för myndigheten att vara samordnande HDAB om flera HDAB utses och inte heller att myndigheten kan åta sig rollen som HDAB om endast en HDAB utses i Sverige. Vi ser det som rimligast att vi utses till HDAB enbart för de datakällor vi ansvarar för och därmed har kunskap om (expertkunskap och juridiskt).

Vidare anser myndigheten att implementering av EHDS kräver fokus på samordning - nyckel till att öka tillgängligheten till hälsodata och på sikt implementera EHDS.

3.2.4 Utredningens analys

Vilka delar av arbetet bedöms som tidskrävande?

Flera av de myndigheter med insyn i befintliga processer för att lämna ut hälsodata för sekundära ändamål (i huvudsak forskning eller statistik) har redogjort för att en stor och viktig del i denna process är att den beslutande myndigheten har god kännedom om området hälsodata, registerforskning och hälso- och sjukvårdssektorn i stort. Myndigheternas arbete består inte enbart av att bedöma om ett utlämnande är möjligt enligt tillämpliga sekretessbestämmelser utan också att bistå med upplysningar om vilken data som är relevant för den enskilda begäran om data. En relativt stor del av arbetsprocessen är att guida den sökande parten till rätt information utifrån det mål den sökande har med sitt forskningsprojekt.

En annan del av de befintliga processerna som är arbetskrävande är hanteringen av informationen för att uppnå en acceptabel pseudonymisering eller avidentifiering. Det är inte så enkelt som att endast ersätta direkt identifierare såsom personnummer med andra koder utan även sammanställningen av information måste beaktas för att säkerställa att en bakåtidentifiering inte är möjlig baserat på den totala mängden information som hanteras om varje enskild individ. Detta arbete är särskilt komplicerat i de fall där data ska hämtas och sammanslås från flera olika register eller andra datasamlingar då möjligheten till olika former av korsreferenser och datasammanställningar då blir betydligt större. Möjligheten att under dessa förutsättningar uppnå en säker pseudonymisering eller avidentifiering är inte bara av betydelse för att skapa säkerhetshöjande åtgärder utifrån ett integritetsperspektiv utan är ofta även en förutsättning för att sekretessprövningen vid utlämnandet ska kunna nå ett gynnsamt resultat.

Tillgångsbeslut är inte samma sak som utlämnandebeslut

Som redogjorts för ovan omfattar uppgiften att besluta om tillgång att den eller de myndigheter som utför uppgiften har att pröva ansökningar om åtkomst till hälsodata. Utifrån den dialog som utredningen haft med olika myndigheter kan det konstateras att det är lätt att det sker en jämförelse och ibland till och med en sammanblandning av uppgifterna som HDAB ska ha enligt EHDS med den process som ombesörjer utlämnade av uppgifter från myndigheter idag.

Idag innebär hanteringen att den offentliga organisation som gör sin data tillgänglig i lagens mening genomför ett utlämnande av information. Begreppet utlämnande förekommer i TF och syftar på när en myndighet lämnar ut så kallade allmänna handlingar eller uppgifter ur allmänna handlingar (se 2 kap. 15–20 §§ TF). Utlämnande kan ske genom att den som begärt ut handlingen får ta del av en på stället på ett sådant sätt att den kan läsas eller avlyssnas eller uppfattas på annat sätt (2 kap. 15 § TF). Utlämnande kan också ske genom att den som begär ut handlingen får del av en avskrift eller kopia av handlingen. Detta kan gå till så att handlingen kopieras och skickas per brev eller att den lämnas ut genom en elektronisk kopia,

ett s.k. ADB-utlämnande. För det fall någon uppgift som ska lämnas ut omfattas av sekretess och det saknas en sekretessbrytande regel måste först en sekretessprövning ske enligt offentlighet och sekretesslagen. Det är denna prövning som ofta kallas skadeprövning eller menprövning i hälsodatasammanhang och innebär att den utlämnande myndigheten måste pröva, utifrån aktuell sekretessregel, om uppgiften kan lämnas ut utan att men eller skada uppstår. Det är den myndighet som ansvarar för en handling som har att lämna ut den och då även ansvaret att pröva om utlämnandet kan ske trots eventuell sekretess. Denna process är en del av bakgrunden till att organisering och hantering av utlämnade av hälsodata ser ut som den gör i Sverige i dag. Det är också denna process som flera av de myndigheter utredningen varit i kontakt med beskriver sina kunskaper om och kapacitet för.

Jämförelsevis så är den uppgift som HDAB har att utföra inte samma sak. HDAB har att pröva en ansökan från en presumtiv dataanvändare om att ta del av hälsodata i pseudonymiserad eller anonymiserad form utifrån de kriterier som ställs upp i artikel 46 EHDS. EHDS bygger på ett centraliserad ansökningsförfarande där HDAB:s uppgift är fatta beslut om datatillstånd som inbegriper hälsodata från flera datainnehavare. HDAB:s funktion som beslutande myndighet skiljer sig således från hur aktörer får tillgång till hälsodata genom den utlämningsprocessen som finns i dag och detta måste bäras i åtanke när frågan utreds, särskilt som flera av de tillfrågade myndigheterna angivit just sekretessprövningen av egna utlämnanden som en betydande del av deras arbete idag.

En eller flera tillgångsbeslutande HDAB:s?

En central fråga för utredningen har varit att bedöma om det ska finnas en eller flera HDAB vad avser just funktionen att besluta om tillgång. Det har från flera aktörer, och från lärdomar hos bland annat Finland, framkommit att det finns risk för flaskhalseffekter med en enda organisation som ska besluta om alla tillgångsansökningar som inkommer. Det har av flera av de myndigheter som utredningen varit kontakt med beskrivits en

20

Processen är mer komplicerad än så, och den relevanta sekretessbestämmelsen avgör på vilket sätt och efter vilka kriterier en bedömning av sekretess ska ske.

situation i Sverige där de myndigheterna som hanterar stora mängder ansökningar om tillgång till data regelbundet fått kritik för att handläggningstiderna för utlämnanden varit alltför långa. Orsakerna till att denna typ av problem med handläggningstider uppstår kan naturligtvis vara högst varierande. Myndigheterna själva beskriver situationen som att utlämnanden ofta är komplexa med många variabler från flera olika register som på olika sätt ska kombineras men. En stor del av processen sker redan innan bedömningen av själva utlämnandet ska ske när ansvarig myndighet försöker guida den begärande parten i vad denne är i behov av för slags uppgifter för att uppfylla det mål som parten har med sin forskning eller liknande. Socialstyrelsen har ett uppdrag från regeringen om att arbeta med utveckling av verksamheten med att ge tillgång till data från hälsodataregister för forskning och där bland annat titta på åtgärder för att öka effektivitet och minska ledtider

En annan anledning skulle också kunna vara att det endast är en aktör som har ansvaret att hantera utlämningsprocessen för myndigheten vilket är en nödvändighet eftersom det inte går att delegera en sådan uppgift till någon utanför myndigheten. I fallet med HDAB:s beslut om tillgång är det en enda aktör som nationellt ska hantera alla ansökningar som inkommer vilket riskerar att innebära att denna myndighet att drabbas av att utgöra just en sådan flaskhals. Samtidigt skulle det inte vara omöjligt att inom ramen för EHDS föreslå att fler än en organisation får uppgiften att fatta tillgångsbeslut. Eftersom beslutanderätten härstammar från EHDS finns inte samma begränsning som när det gäller ett traditionellt utlämnade att det endast är den ansvarige myndigheten som kan besluta om utlämnande av sina egna handlingar.

Något som talar emot att utnämna fler än en myndighet att utföra tillgångsbesluten är att det alltid finns en viss problematik med att se till att beslutsfattande inom ett område följer en gemensam tillämpning och når liknande beslut under samma förutsättningar. En återkommande kritik inom till exempel forskningsområdet är att olika regioner och vårdgivare kommer fram till olika resultat vad

21 Se t ex https://www.regeringen.se/pressmeddelanden/2024/01/socialstyrelsen-ska-gebattre-tillgang-till-halsodata-for-forskning/ 22 Se regeringsuppdrag S2023/00075 (delvis) från den 18 januari 2024. (Länk till regeringsuppdrag)

avser sekretessprövningar trots liknande förutsättningar. Ett liknande resonemang var en av anledningarna till att regeringen 2017 föreslog att de regionala etikprövningsnämnderna ersattes med en nationell myndighet. Förändringen kom delvis till stånd mot bakgrund av att det fanns ett behov av en mer enhetlig rättstillämpning än den som över tid uppstått med flera olika fristående regionala nämnder. Risken att det uppstår olika rättstillämpningar bland olika myndigheter måste dock vägas mot att HDAB generellt ska arbeta mot en enhetlig tillämpning av regelverket. Det kommer alltså finnas en ambition hos alla HDAB att arbeta mot en enhetlig tillämpning av regelverket. Risken för att flaskhalsar ska uppstå bör också vägas mot kravet i EHDS att beslut måste vara fattat inom tre eller i undantagsfall sex månaders tid.

Både Folkhälsomyndigheten och Socialstyrelsen har pekat på att den hälsodata som finns i Sverige i dag är uppdelad på de myndigheter som har primära användningsområden där hälsodata krävs för att genomföra deras uppdrag. Detta innebär att dessa myndigheter besitter expertis om hela ledet från insamling till färdiga dataset och har sakkunskap inom området, vilket behövs för att kunna bedöma till vilket/vilka ändamål hälsodata bör användas till och hur. Folkhälsomyndigheten understryker därför vikten av att bedömningen om utlämnade bör ligga kvar på de myndigheter som primärt samlar in och förvaltar hälsodata. Samordnande HDAB/nationell kontaktpunkt behöver då inte ha expertkunskap för all hälsodata, utan expertkunskapen stannar hos den som innehar hälsodata.

Till viss del härstammar resonemanget dock från hur organisationen och bedömningarna kring utlämnanden i enlighet med offentlighetsprincipen fungerar idag. Frågan är om det kommer vara av samma stora betydelse när det kommer till tillståndsbeslut enligt EHDS. Det kan också tilläggas att systemet med så kallade ”trusted data holders” skulle kunna fylla funktionen att den aktör som har stor insikt om de register den förfogar över och därmed möjlighet att bedöma omständigheter och förutsättningar för dess tillgängliggörande också får möjlighet och uppdrag att göra detta,

23

Se bland annat SOU 2023:76, del 2, sid 906, rapport från rundabordssamtal på Svenska Läkaresällskapets sid 12 ff, Länk till rapport 24

Se proposition 2017/18:45 samt utredningen SOU 2017:104

men utan att utses till HDAB och få ansvaret att faktiskt fatta beslut och hantera själva tillgängliggörandet.

3.3 Möjliggöra tillgång

3.3.1 Allmänt

Att möjliggöra tillgång till hälsodata kan innebära flera olika saker och det är därför till en början viktigt att definiera vad utredningen menar. Att möjliggöra tillgång kan handla om att ta fram de hälsodata som datatillståndet tillåter ur datainnehavarens miljöer (register, journaler eller andra system). Denna del är dock en del av datainnehavarens skyldigheter som denne aktör ska utföra själv och omfattas därför inte av möjliggörandet såsom utredningen ser det. Här tittar utredningen enbart på de uppgifter som HDAB har avseende möjliggörande från det att det finns ett beslutat datatillstånd. Såsom utredningen ser det är detta de uppgifter om tillkommer HDAB i artikel 37 och som kommer efter det beslutade datatillståndet men före tillgängliggörandet av hälsodata till en dataanvändare i en säker behandlingsmiljö. Åtgärder och system för säker åtkomst, såsom behörighetsstyrning och stark autentisering till hälsodatan i den säkra behandlingsmiljön bedömer utredningen är åtgärder som faller inom uppgiften att tillhandahålla en säker behandlingsmiljö.

3.3.2 Om uppgiften

Utredningen har valt att separera uppgiften att möjliggöra tillgång från andra uppgifter som HDAB har. Med uppgiften att möjliggöra tillgång menar utredningen de uppgifter som HDAB utför efter att ett datatillstånd har meddelats men innan dataanvändaren har fått tillgång till hälsodatan, alltså processen att möjliggöra tillgången.

Av artikel 37.1 (a) (vi) framgår att HDAB ska kunna begära hälsodata från datainnehavare i enlighet med ett godkänt datatillstånd eller databegäran. Av artikel 37. (d) framgår att HDAB ska kunna ta emot, kombinera, förbereda, sammanställa,

pseudoymisera eller anonymisera hälsodata. Av artikel 37.1 (a) (iii) att HDAB ska tillgängliggöra hälsodatan i en säker behandlingsmiljö. Av artikel 2.1 (a) framgår att begreppet pseudonymiserad ska ha samma betydelse som i dataskyddsförordningen.

HDAB ska alltså sammanfattningsvis när det gäller datatillstånd begära hälsodatan överlämnad från datainnehavaren som ska överföra denna till HDAB. HDAB ska sedan behandla hälsodatan genom att kombinera den om den kommer från flera källor, och på annat sätt förbereda den för användning. Slutligen ska hälsodatan psedonymiseras eller anonymiseras innan den kan göras tillgänglig för dataanvändaren genom den säkra behandlingsmiljön.

3.3.3 Vilka myndigheter har liknande verksamhet idag?

De statliga myndigheter som utredningen identifierat med verksamhet som liknar möjliggörande av tillgång är Socialstyrelsen och SCB. Dessa delar av myndigheternas verksamhet beskrivs kort nedan. Beskrivningen utgår främst från de möten utredningen haft och de skriftliga svar på utredningens frågor om myndighetens verksamhet med anknytning till EHDS som myndigheterna skickat in.

Statistiska centralbyrån (SCB)

SCB kommer i kontakt med uppgifter inom hälsodataområdet eftersom många beställningar avseende mikrodata som finns vid SCB ska kombineras med data avseende hälsa hos annan myndighet eller privat organisation. Av de utlämnanden som genomförs med forskning som ändamål har ungefär hälften en koppling till medicinsk forskning och innebär främst ett nära samarbete med

25

Saknas svensk översättning, originaltext: “process electronic health data referred to in Article 33 such as the receiving, combination, preparation and compiling of necessary requested data from health data holders, the pseudonymisation or anonymisation of the data;” 26

Artikel 4.5, dataskyddsförordningen, pseudonymisering: behandling av personuppgifter på ett sätt som innebär att personuppgifterna inte längre kan tillskrivas en specifik registrerad utan att kompletterande uppgifter används, under förutsättning att dessa kompletterande uppgifter förvaras separat och är föremål för tekniska och organisatoriska åtgärder som säkerställer att personuppgifterna inte tillskrivs en identifierad eller identifierbar fysisk person.

Socialstyrelsen. I de uppdragen är det vanligt att studiepopulationen skapas av Socialstyrelsen utifrån de register som finns där. SCB:s uppgifter används i kombination med uppgifter om diagnoser och dödsorsaker från olika register vid Socialstyrelsen, eller olika kvalitetsregister, m.m. för att studera orsakssamband samt om arv eller miljö. SCB:s uppgifter används som bakgrundsinformation om boende, familj, släktskap, sysselsättning eller annat. Med uppgifter från SCB:s register blir det möjligt att jämföra en patientgrupp med en kontrollgrupp eller med hela befolkningen.

SCB har som policy att inte lämna ut uppgifter med identitet utan pseudonymiserar data genom att ersätta identiteter med löpnummer. Men i vissa fall, när det är motiverat, kan identitet ingå i utlämnandet.

Socialstyrelsen

I rollen som motsvarar HDAB ansvarar Socialstyrelsen för prövning av utlämnande av registerdata för forskning och statistik. Socialstyrelsen bearbetar statistik och data som beställs exempelvis för forskning eller av andra myndigheter för statistikändamål, vilket ofta innebär att myndigheten samkör data från olika register, egna och andra myndigheters men även med forskarnas egna data. Inom myndighetens ansvar ligger således utlämnande av hälsodata (baserat på register och statistik). Socialstyrelsens process för att lämna ut registerdata på beställning baseras på gällande regelverk vad gäller hantering av personuppgifter, menprövning m.m.

Socialstyrelsen samarbetar och för löpande dialog med uppgiftslämnarna avseende den tekniska infrastruktur som är nödvändig för att upprätthålla befintliga dataflöden. När det gäller tekniska frågor om datahantering finns också samarbeten med andra myndigheter som SCB, Folkhälsomyndigheten, TLV, Läkemedelsverket och kvalitetsregister som är mottagare eller avsändare av data som berörs av Socialstyrelsens uppdrag. Socialstyrelsen får anses ha omfattande kunskap inom området. Statistik och data finns i alla delar av myndighetens kunskapsstyrning, som underlag för forskning, som underlag till normering och kunskapsstöd, som underlag till uppföljning och utvärdering. Socialstyrelsens expertroll och statistikroll är två av

myndighetens kärnuppdrag och de är ömsesidigt beroende av varandra.

3.3.4 Utredningens analys

Uppgiften att sammanställa

Till att börja med analyserar utredningen uppgiften att sammanställa material från flera olika register och databaser. Enligt de myndigheter utredningen har pratat med är detta en arbetsuppgift som förutsätter god kännedom om inte bara området i sig utan även kännedom om de register och den data som ingår. Socialstyrelsen har till exempel uppgett att det är av stor vikt för den externa användaren (dataanvändaren) att data som lämnas ut är korrekt och skräddarsydd utifrån dennes behov. Det ställer krav på god kännedom om datas innehåll för att samla in, behandla, och lämna ut data. Även SCB har nämnt liknande uppgifter när det kommer till att sammanställa data från fler olika register. Samtidigt är utredningen också medveten om att denna process som myndigheterna arbetar med i många fall utgör data som härstammar från myndigheternas egna register, både Socialstyrelsen och SCB är stora registerhållare som hanterar sina egna data. Den kommande uppgifter för en HDAB att sammanställa och bereda data måste kunna ske oavsett om datakällorna är myndighetens egna eller andra datakällor. Utredningen bedömer utifrån detta att ett större fokus kommer behöva läggas på kontakt med datainnehavaren snarare än att ha en egen kännedom om datan då det inte längre nödvändigtvis kommer vara av organisationen välkända register som används. För att kunna möjliggöra detta är det däremot självklart av betydelse för uppgiften att HDAB har en god kännedom om typen av register och typen av data som förekommer och i övrigt en god kännedom om sektorn i stort.

Uppgiften att pseudonymisera och anonymisera data

En annan uppgift inom ramen för att möjliggöra tillgång är att förbereda hälsodata på så sätt att den blir antingen anonymiserad

eller pseudonymiserad. EHDS förutsätter att den hälsodata som tillgängliggörs för det sekundära behandlingsområdet alltid är antingen pseudonymiserad eller anonymiserad. Detta innebär att HDAB alltid, vid varje tillgängliggörande, kommer att ha uppgiften att antingen anonymisera eller pseudonymisera personuppgifterna som ingår i den hälsodata som omfattas av ett datatillstånd

I vissa andra europeiska länder som utredningen haft kontakt med finns en diskussion kring huruvida HDAB överhuvudtaget ska

ha tillgång till skarpa personuppgifter i hälsodata eller om den ska vara pseudonymiserad redan innan HDAB tar del av informationen.

Det diskuteras då att en annan part ska hantera processen att

pseudonymisera data för att möjliggöra detta. Sådana aktörer kan vara offentliga eller privata. I Tyskland tillämpas för vissa register en sådan hanteringsmodell även Nederländerna uppger i dialog med utredningen att de ser fördelar med en sådan modell. Bakgrunden till tillvägagångssättet är att det ska utgöra säkerhetsåtgärder för att göra

det ännu svårare för någon enskild aktör att kunna härleda uppgifterna tillbaka till en fysisk individ. I båda dessa länder verkar det också finnas en viss skepsis från politiskt och allmänhetens håll vad gäller det allmännas hantering av stora mängder personuppgifter.

Just att pseudonymisera personuppgifter är en sådan skyddsåtgärd som särskilt framhålls i dataskyddsförordningen som

ett effektivt sätt att skydda de registrerades integritet särskilt vid

behandlingar som innebär hög risk. Utredningen tycker sig dock kunna konstatera att även om denna säkerhetsåtgärd naturligtvis är

viktig och inte minst en förutsättning för att uppgifter ska få

hanteras genom EHDS så är det inte alltid särskilt lämpligt att en

helt annan aktör skulle utföra denna behandling. Det bör särskilt beaktas att när data ska slås samman från flera olika källor så blir det en mycket komplicerad hantering om inte pseudonymiseringen som process sker först efter att sammanslagningen har skett. Just detta är en av anledningarna till att det till exempel sker en sammanslagning

av data hos SCB inför behandling i MONA inte bara från register som myndigheten själv ansvarar för utan även andra register som ska

ingå i sammanslagningen. För att identiteten och därmed möjligheten att tillförlitligt slå samman register inte ska gå förlorad

hanterar SCB både sin egen och andra data inför ett sammanslaget

utlämnande. Redan här finns det därmed betydligt sämre förutsättningar för en organisering där någon helt extern aktör av

säkerhetsskäl skulle hantera själva pseudonymiseringen men inte sammanslagningen.

Arbetet med att pseudonymisera eller anonymisera kräver enligt de myndigheter utredningen har pratat med god kännedom om inte bara området i sig utan även kännedom om de register och de variabler som ingår i registren samt även om statistik och härledning i allmänhet. En effektiv pseudonymisering ska inte bara byta ut unika markörer som identifierar en individ utan även säkerställa att uppgiftsmängden sammantaget inte kan användas för att fastslå vilken individ som faktiskt döljs bakom ett visst kodnummer. Tillräckligt mycket information kring diagnoser, vårdgivare samt boende kan till exempel vara tillräckligt för att relativt enkelt ta reda på en viss individ.

Som exempel nämner SCB att arbetet med pseudonymisering medför en omfattande manuell hantering som kräver kännedom om materialet då hälsodata inom många områden är ostrukturerad och bristfälligt dokumenterad. Socialstyrelsen menar att en HDAB måste ha väldigt stor kunskap om den faktiska hälsodatan för att kunna bedöma utlämnanden eftersom känsligheten ser så olika ut.

Utredningen gör samma bedömning som de myndigheter (bland annat Socialstyrelsen, SCB, och Folkhälsomyndigheten) som bidragit med underlag om att det ter sig lämpligt att en organisation som ska hantera åtgärder vars mål är att omöjliggöra eller i vart fall kraftigt försvåra avslöjandet av individer i en omfattande datamängd också har stor förståelse och insikt i själva datan och det som är utmärkande för sektorn. Utredningen vill dock påpeka att en del av det som beskrivs här har sitt ursprung i de men- och skadeprövningar som sagda myndigheter genomför inom ramen för sina sekretessprövningar. Inom ramen för EHDS kommer pseudonymiseringen vara ett krav utifrån sin definition i dataskyddsförordningen, inte ett krav utifrån sin förmåga att begränsa skadeverkan till en viss bedömd nivå.

Särskilja mellan uppgiften pseudonymisera och att tillhandahålla en säker behandlingsmiljö

Så som utredningen förstår det sker pseudonymisering idag av den myndighet som lämnar ut uppgiften om datan kommer från en databas/register som den aktuella myndigheten ansvarar för, eller av

den myndighet som slår samman uppgiftsmängder från flera olika register. SCB hanterar i huvudsak pseudonymisering av data som ska tillgängliggöras i deras säkra behandlingsmiljö MONA. Rent tekniskt sker hantering direkt i den säkra behandlingsmiljön av administratörer med särskild behörighet. Det här gäller även om data som ska tillgängliggöras inte endast utgörs av information som byrån själva ansvarar för utan också om data kommer externt från andra register. Det är till exempel inte ovanligt att externa hälsodata ska kombineras från flera register och kombineras med data från Statiska centralbyrån. Det finns även en viss testverksamhet där man låter pseudonymiseringen ske i annan miljö för att sedan kombineras med data hos SCB i deras miljö. En förutsättning för att det ska fungera är att pseudonymisering sker utifrån samma kodverk och att organisationerna samverkar. Förfarandet innebär också i praktiken att båda parter får insikt i hur kodningen sker och därmed har i vart fall potentiell förmåga att ta del av vilken individ som finns bakom. Övriga myndigheter som utför pseduonymisering och som utredningen kommunicerat med utför åtgärden endast avseende uppgifter de själva ansvarar för, ingen av dem levererar resultatet i en säker behandlingsmiljö.

Utredningen uppfattar det som att SCB främst av praktiska skäl använder sig av MONA som verktyg för pseudoymiseringsprocessen. Det finns principiellt inget som hindrar att en annan aktör skulle kunna utföra pseudoymiseringen genom åtkomst till MONA men det skulle i så fall krävas att den typen av verktyg utvecklades. Såsom det ser ut idag så är det en högst manuell process och systemets administratörsåtkomster används för att utföra pseudonymisering. Myndigheten har inte särskilt utrett eller bedömt frågan om andra aktörer skulle kunna utföra pseudonymisering via deras säkra behandlingsmiljö.

3.4 Säker behandlingsmiljö

3.4.1 Om uppgiften

Enligt artikel 37.1 (a) (iii) ska HDAB tillhandahålla tillgång till hälsodata utifrån ett datatillstånd via en säker behandlingsmiljö i

enlighet med de krav som ställs i artikel 50. HDAB ska ge tillgång till denna hälsodata endast genom en säker behandlingsmiljö med tekniska och organisatoriska åtgärder samt krav på säkerhet och interoperabilitet. De säkerhetsåtgärder som HDAB ska vidta listas nedan: • Begränsa tillgången till den säkra behandlingsmiljön till de

behöriga personer som anges i respektive datatillstånd. • Minimera risken för obehörig läsning, kopiering, ändring eller

borttagning av hälsodata som finns i den säkra behandlingsmiljön med hjälp av ”state-of-the-art technical and organisational measures” .

• Begränsa inmatningen av hälsodata och inspektion, ändring eller

radering av hälsodata som finns i den säkra behandlingsmiljön till ett begränsat antal behöriga personer som kan identifieras.

• Säkerställa att dataanvändare endast har tillgång till de hälsodata

som omfattas av deras datatillstånd, med hjälp av individuella och unika användaridentiteter och konfidentiella åtkomstmetoder.

• Föra identifierbara loggar över tillgången till och aktiviteter i den

säkra behandlingsmiljön under den tidsperiod som krävs för att kontrollera och granska all behandling i den miljön. Loggarna ska bevaras minst 1 år.

• Säkerställa efterlevnad och övervaka de säkerhetsåtgärder som

avses i denna artikel för att minska potentiella säkerhetshot.

Sammanfattningsvis ska HDAB säkerställa att hälsodata kan laddas upp av datainnehavare i det format som framgår av datatillståndet och att dataanvändare kan få tillgång till dem i en säker behandlingsmiljö. Från den säkra behandlingsmiljön ska endast ickepersonliga hälsodata kunna laddas ner. HDAB ska säkerställa regelbundna revisioner av den säkra behandlingsmiljön.

Kommissionen ska medelst genomförandeakter fastställa tekniska krav, krav på informationssäkerhet och krav på interoperablitet för de säkra behandlingsmiljöerna. Genomförandeakterna ska antas inom två år och gälla från fyra år efter förordningen trätt i kraft (artikel 72).

27

Förordningen om EHDS. Artikel 50.1 (b).

Särskilt om identitet och behörighet

Som framgår av listan ovan är en central del av uppgiften om att tillhandahålla en säker behandlingsmiljö att säkerställa att endast behöriga ges åtkomst till data. Autentisering och möjlighet att kunna följa upp individuell åtkomst i den säkra behandlingsmiljön krävs för att detta ska vara möjligt. Det finns flera utmaningar kring digital identitet kopplat till organisatorisk tillhörighet inom forskning som gör just detta område extra utmanande, till exempel samarbeten mellan flera organisationer som inte är en gemensam juridisk person, att forskare har mer än en organisatorisk hemvist och att personer utanför akademin involveras, vilket kräver säkra gästidentiteter.

3.4.2 Vilka myndigheter har liknande verksamhet idag?

De statliga myndigheter som utredningen identifierat med verksamhet som liknar den säkra behandlingsmiljö som HDAB ska upprätta och tillhandahålla är SCB och Vetenskapsrådet. Läkemedelsverket har även ett pilotprojekt inom vilket en säker behandlingsmiljö ska byggas. Därutöver har vissa lärosäten säkra behandlingsmiljöer, till exempel den akademiska infrastrukturen för superdatorer i Sverige (NAISS) som i huvudsak finansieras av Vetenskapsrådet med Linköpings universitet som värd Denna del av myndigheternas verksamhet beskrivs kort nedan. Beskrivningen utgår främst från de möten utredningen haft och de skriftliga svar på utredningens frågor om myndighetens verksamhet med anknytning till EHDS som myndigheterna skickat in.

Statistiska Centralbyrån (SCB)

Om verksamheten

SCB tillhandahåller en plattform för tillgängliggörande av mikrodata (Microdata online access (MONA)). Denna har använts av SCB i

28 Linköpings universitet. Nationell akademisk infrastruktur för superdatorer i Sverige (NAISS). URL: Nationell akademisk infrastruktur för superdatorer i Sverige (NAISS) - Linköpings universitet (liu.se)

cirka 20 år och enligt myndigheten lever den till stora delar upp till de krav som framgår av artikel 50 EHDS. I plattformen tillgängliggörs och bearbetas mikrodata. Plattformen används främst för statistikändamål och samhällsvetenskaplig forskning.

Användarna av MONA får personliga konton och måste godkänna användarvillkoren där man förbinder sig att följa de regler som gäller i MONA. Användaren arbetar i Windowsmiljö via fjärruppkoppling. Mikrodata blir synliga på dataskärmen och bearbetningar görs med de programvaror som finns i MONA. Resultatet laddas ner till den egna datorn, men mikrodata sparas i MONA. Användaren har möjlighet att föra in eget material till sin lagringsyta i MONA, tex statistik eller skript som behövs för det syfte som SCB lämnat ut data för.

Användare och även SCB-interna handläggare som sammanställer leveranserna har begränsad åtkomst och loggar in i MONA med tvåfaktorautentisering. SCB erbjuder möjlighet att logga in med BankID eller med en app som genererar engångslösenord (OTP). Inloggade användare har ingen åtkomst till internet från sitt fjärrskrivbord i MONA och överföringar till och från systemet loggas. Alla uttag loggas.

I användarvillkoren regleras att det inte är tillåtet att ta ut mikrodata och storleken på filer som tas ut är begränsad. Då datan juridiskt betraktas som utlämnad har SCB begränsade möjligheter att granska filerna manuellt innan de tas ut. Detta skiljer sig från liknande system i andra länder där statistikmyndigheterna har möjlighet att granska filer manuellt innan de tas ut. SCB kan endast genomföra tekniska kontroller.

Totalt arbetar 6 årsarbetskrafter med support, förvaltning och utveckling av MONA. Där ingår bland annat administration av användares behörigheter, övervakning av användningen och belastningen i systemet, licenshantering, installation, konfiguration av programvaror samt support av de programvaror som är tillgängliga i MONA. Driftorganisationen är ansvarig för hantering av servrar, disklagring, brandväggar, nätverk och autentiseringslösningar.

SCB har ett eget ledningssystem för informationssäkerhet (SCBLIS) med dataskyddspolicy, informationssäkerhetspolicy, olika riktlinjer för lokaler, datahallar, hantering av incidenter, m.m. som också omfattar MONA-plattformen.

SCB:s synpunkter och medskick

SCB framhåller att MONA är anpassat efter den verksamhet myndigheten har i dagsläget. Arkitekturen är skalbar och prestandan har utökats löpande sedan starten 2005. Ska plattformen utgöra en säker behandlingsmiljö enligt artikel 50 EHDS ser myndigheten emellertid att plattformen behöver ses över. Det gäller såväl hårdvara som mjukvara och arkitektur. Datacenter behöver byggas ut, programvaruutbudet behöver ses över, nya programvaror kan behöva upphandlas och ytterligare licenser för nuvarande programvaror köpas in.

Den planerade kostnaden för MONA under 2024 är 17,5 miljoner kronor. Av detta står MONA-teamets personalkostnader för 8,3 miljoner kronor, programvarulicenser för 3 miljoner kronor och datacenter för 6 miljoner kronor. I kostnaden ingår servrar, disklagring, serverlicenser, serverbyten, underhåll, patchning, backuper, nyttjande av nätverk och brandvägg, dygnet runtövervakning av driftorganisationen och en del av lokalhyra för datahallar. Om MONA skulle utgöra en säker behandlingsmiljö enligt artikeln 50 kommer samtliga kostnader att öka. SCB uppger att det inte går att avgöra hur mycket MONA skulle behöva expandera för att kunna hantera de beställningar som i nuläget inte hanteras av myndigheten. Detta på grund av för liten kunskap om utlämnanden från andra myndigheter, storleken på utlämnat material eller prestandakrav på de bearbetningar som idag utförs utanför MONA och som följer av EHDS.

MONA lämpar sig enligt SCB inte för medicinsk forskning som kräver personnummer för kopplingar till journaldata eller biobanksdata som kräver andra resurser än de som finns i nuvarande MONA. Det förstnämnda är inte aktuellt enligt EHDS bestämmelser då endast pseudonymiserad data ska hanteras i den säkra behandlingsmiljön. Biobanksdata är emellertid en utpekad informationsmängd som om ska tillgängliggöras sex år efter att EHDS trätt i kraft (artikel 33 (e) samt artikel 72). Denna informationsmängd uppger SCB att myndigheten har liten erfarenhet av att hantera. Det är tillåtet att ta in sådan data i MONA och om den är mindre omfattande data där det ligger i en enskild kolumn bör det inte vara något problem. Fullständiga analyser av DNA-sekvenser har myndigheten emellertid inte någon erfarenhet

av och där krävs mångdubblad prestanda jämfört med den prestanda som finns i MONA idag.

För att möta forskares behov av mer prestanda har myndigheten ett nyligen påbörjat samarbete med BIANCA-miljön som tillhandahålls av Uppsala universitet. BIANCA är ett forskningssystem med omfattande kapacitet och prestanda som används för att analysera känsliga data . Samarbetet initierades just för att forskare påtalade att prestandan inte var tillräcklig för deras ändamål. I testet som genomförs av SCB och Uppsala universitet görs själva bearbetningen av data i BIANCA i stället för i MONA.

Vetenskapsrådet

Om verksamheten

I Vetenskapsrådets regleringsbrev framgår att myndigheten är

ansvarig för kommunikationsnätet Sunet samt att myndigheten får utveckla och erbjuda tilläggstjänster till anslutna organisationer/

kunder. Sunets kunder är idag läroverk, myndigheter, museer och forskningsinfrastrukturer. Tilläggstjänster erbjuds idag endast till anslutna organisationer samt till vissa organisationer som genom

regeringsuppdrag har rätt att använda Sunets tjänster vilket idag är

Statens Skolverk och Digg. Utvecklingen av tilläggstjänster sker i

dialog med anslutna kunder. Sunet har idag ett antal tjänster med

möjlig tillämpbarhet inom EHDS och ingår även i ett globalt

samarbete mellan så kallade National Research and Education Network (”forskningsnät”) kring digital infrastruktur för forskning med organisationer från hela världen inom organisationen GEANT.

Sunet har sedan 1980-talet arbetat med utveckling av IT-stöd för forskning och med IT-säkerhet i allmänhet. Sunet tillhandahåller

bland annat säkra lagrings- och molntjänster, specifikt tjänsten

Sunet Drive som är en säker lagrings- och samarbetsplattform för

forskningsdata. Sunets säkra databehandlingsmiljöer innehåller

funktioner för säker import av data och har även tillämpat stöd för dataanalys med hjälp av Jupyter notebooks som är ett vanligt verktyg inom forskningen. Flera av dessa tjänster och funktioner är föremål

29

Uppsala universitet. BIANCA. URL: Bianca - Uppsala universitet (uu.se) 30

Se föteckning; Anslutna organisationer | Sunet

för samverkan inom ramen för det europeiska forskningssamarbetet GEANT.

Inloggning i Sunet Drive sker genom SWAMID. SWAMID är en av Sunets infrastrukturer som kopplar ihop svenska lärosäten och forskningsinstitut till en enhetlig accesslösning. SWAMID ingår som en del i eduGAIN-samarbetet vilket gör det möjligt för tjänster anslutna till SWAMID att öppna upp för inloggningar från specifika användare från hela det globala forskningssystemet. Alternativa inloggningsmetoder kan eventuellt erbjudas vid behov. Sunet har även tjänster för digital identitet som används inom stora delar av forskningen både nationellt och internationellt. Genom Sunet finns möjlighet att säkert identifiera forskare i hela världen.

Sunet arbetar även tillsammans med W3C och CERN med att utveckla lösningar för sammanlänkning av lagringslösningar för säker delning av data inom ramen för EU-projektet CS3MESH4EOSC. Sunet Drive är även utgångspunkten för utvecklingen av en av de EOSC-noder inom ramen för EUkommissionens etablering av driftsmiljöer för Europen Open Science Cloud. EOSC planerar etablering av två noder - en i södra/centrala Europa och en i Sunet datacenter i Kalix där Sunet har sina molntjänster

Vetenskapsrådets synpunkter och medskick

Sunets säkra databehandlingsmiljöer används idag av ett antal forskningsprojekt och forskningsinfrastrukturer – bland andra National Bioinformatics Infrastructure (NBIS). Sunet följer TEHDAS2 projektet för säkerställa att de krav som kommer att ställas på säkra behandlingsmiljöer inom EHDS uppfylls av Sunet Drive och övriga molntjänster. I Sunet Drive finns flera verktyg som behövs för att på ett säkert sätt analysera känsliga data. Till skillnad från MONA hanterar Sunet Drive och underliggande datalager redan idag genomik-data och ser inga tekniska kapacitetsproblem.

Vetenskapsrådet uppger i sitt underlag till utredningen att autentisering av forskare enligt EHDS kommer ställa krav på ett bredare identitetsbegrepp än det som står att finna inom ramen för existerande e-legitimationer. Inom forskningen finns det etablerade

31

https://cs3mesh4eosc.eu/

32 33 system för digital identitet – bland annat eduGAIN och AARC som gör det möjligt att på ett enhetligt sätt dela ut behörigheter och ge access till forskare från hela världen. Sunet uppger att de har en ledande ställning inom dessa projekt och initiativ idag. EU:s digitala plånbok kommer sannolikt att förändra bilden något, dock på lite längre sikt. Sunet är med i det svenska utvecklingsarbetet kring den digitala plånboken tillsammans med Digg.

Vetenskapsrådet framhåller även i sitt underlag särskilt utmanande aspekter vid etablering av en helt säker datamiljö samt digitala identiteter. Medskicken avser sådant som behöver beaktas särskilt i utvecklingen av den infrastruktur som behövs för att uppfylla de krav som ställs i EHDS. Som exempel nämns att tydlig och säker separation av olika logiska delar (tex mellan olika projekt) av en säker databehandlingsmiljö också kräver att det finns spårbara processer för IT-säkerhet, och informationssäkerhet samt även för teknisk ändringshantering. Vidare framhålls behovet av att kunna låta miljön vara interoperable och kunna kopplas samman med andra miljöer.

Vetenskapsrådet har påbörjat ett arbete kring informationssäkerhet med målet att certifiera Sunet verksamhet enligt ISO27002 senast 2025.

Läkemedelsverket

Om verksamheten

Läkemedelsverket utvecklar inom pilotprojektet EHDS@LV grundläggande tekniska, organisatoriska och juridiska förutsättningar för att samverka med andra statliga myndigheter för sekundäranvändning av hälsodata. Projektet syftar till att främja sekundäranvändning av hälsodata inom den statliga sektorn. En AIanpassad infrastruktur ska inom ramen för projektet etableras av myndigheten och tillhandahållas till övriga statliga myndigheter inom hälsoområdet. Målet med projektet är att etablera praktiska

32

https://edugain.org/ 33

https://aarc-project.eu/ 34

https://www.vinnova.se/p/pilotprojekt-ehdslv-ai-infrastruktur-for-myndighetsgemensamsekundaranvandning-av-halsodata

och tekniska samarbetsformer, samt utforska möjligheten att använda integritetsbevarande tekniker för att dela data myndigheter emellan. Projektet förväntas resultera i: • AP 1: Grundläggande förutsättningar för samarbete. Etablerade

praktiska samarbetsformer för sekundäranvändning av hälsodata, med målet att nå synergieffekter genom gemensamma processer

för teknisk förvaltning, implementering av datastandarder och

metadata, informationssäkerhet samt bedömningar av risk och

legalitet. • AP 2: Nyttjande av gemensamma data och modeller.

Gemensamma tekniska resurser såsom bibliotek för kod (Python

och R), delning av lokalt tränade/anpassade AI-modeller och

delning av data. • AP 3: Integritet och dataskydd. Klargörande av möjligheterna att

använda integritetsbevarande tekniker som väg till delning av data mellan myndigheter.

Projektet inkluderar tre arbetspaket (AP) som motsvarar målen angivna ovan och ska genomföras under 2023–2026. Läkemedelsverket upphandlar och installerar nödvändig hårdvara och agerar teknisk och administrativ huvudman för projektet. Projektet är finansierat med 5 650 000 kronor av Vinnova och löper mellan 2023–2026.

Utifrån pilotprojektet uppger Läkemedelsverket att de tillhandahåller kraftfull AI-anpassad datorkraft till fyra andra statliga myndigheter inom hälsoområdet och därmed har en bra position för att utveckla en säker behandlingsmiljö för nationellt bruk.

Läkemedelsverkets synpunkter och medskick

Beroende på hur behoven av sekundärdata utvecklas inom Sverige och EU kommer verksamheten att behöva vara skalbar i relation till efterfrågan. Den nuvarande installationen är ett pilotprojektstadium. Myndigheten uppger att en säker processmiljö för AI-ändamål inom EHDS kan behöva substantiella investeringar och förvaltning av hårdvaruinfrastruktur samt personella resurser.

Projektet drivs av AI-enheten vid Läkemedelsverket, som i slutet av 2024 kommer ha totalt sex personer (fem årsarbetskrafter) knutna till sig, plus en forskarstuderande i samarbete med RISE AB. Denna enhet bedöms av myndigheten vara väl rustad för att hantera en nationell säker behandlingsmiljö men kommer att behöva ökade resurser för att svara mot uppskalningen av verksamheten i relation till kraven inom EHDS.

3.4.3 Utredningens analys

Utredningen är av uppfattningen att uppgiften att tillhandahålla en säker behandlingsmiljö kräver teknisk infrastruktur som möjliggör analys ifrån de behov dataanvändare har samt erfarenhet och kunskap om informationssäkerhet och dataskydd. Centralt för uppgiften är att säkerställa att endast behöriga ges tillgång till den känsliga data som ska behandlas. Utredningen överväger ett antal aspekter kopplat till uppgiften att tillhandahålla en säker behandlingsmiljö. Dessa presenteras nedan följt av ett sammanfattande resonemang.

En eller flera säkra behandlingsmiljöer

Utredningen överväger om det finns behov av fler än en säker behandlingsmiljö. I dialoger mellan utredningen och representanter från Finland (Ministry of Social Affair and Health samt Findata), som ofta ses som en föregångare på området, framkommer att Finland etablerat en marknad för säkra behandlingsmiljöer som dataanvändare kan välja mellan. Det har genomförts genom att specifikationer avseende krav som en säker behandlingsmiljö behöver uppfylla för att utgöra ett nationellt alternativ tagits fram. De säkra behandlingsmiljöer som uppfyller uppställda krav tillhandahålls som alternativ för dataanvändarna attvälja mellan när de ska analysera sin data.

Utredningen har ställt frågan om behovet av flera säkra behandlingsmiljöer till SCB och Vetenskapsrådet. SCB uppger att det redan idag finns flera utvecklade behandlingsmiljöer. De framhåller som nämnt ovan ett påbörjat samarbete med Uppsala universitet där bearbetningen av data som inte kunnat ske enligt

forskarens behov i MONA nu i stället genomförs i BIANCA-miljön som har högre teknisk prestanda. Även Vetenskapsrådet framhåller att de tror att det på sikt kommer behövas fler databehandlingsmiljöer av skäl kopplat till behovet av att stödja olika arbetsflöden, användargränssnitt, analysverktyg med mera.

Argumenten för en enskild säker behandlingsmiljö är bland annat: • Stordriftsfördelar i form av mer effektivt utnyttjande av

prestanda, gemensamma licenser, enhetlig säkerhetslösning, centraliserad support och förvaltning.

• Inget samverkansbehov mellan flera parter. Argumenten för flera säkra behandlingsmiljöer är bland annat: • Mindre sårbart system vid såväl externa attacker som vid

generella driftstörningar. Utredningen noterar emellertid att det finns andra sätt att säkerställa kontinuitet och robusthet än att sprida ut det på flera organisationer.

• Större möjligheter att anpassa och designa en miljö utifrån

specifika behov. Det har till utredningen framhållits att de flesta beräkningar inte kräver kraftfull beräkningskapacitet och hög prestanda, men att det finns de analyser som gör det tillexempel i fråga om biobanksdata eller AI-baserade analyser på stora dataunderlag. Genom att anpassa miljöer efter olika typer av data eller olika typer av analyser som kräver olika förutsättningar kan forskares olika behov tillgodoses. Utredningen ser också att

verksamheten med ett sådant upplägg kan bli mer

kostnadseffektiv än om den skulle behöva möjliggöra all typ av data och analys i en miljö. Även representanter från Tyskland bekräftar i dialog med utredningen bilden av att det kommer bli svårt att designa en säker behandlingsmiljö som klarar all typ av data.

• Möjlighet till avlastning vid hög belastning i form av

handläggning av ett stort antal datainnehavare som ska leverera data och dataanvändare som ska analysera data om arbetet kan delas upp mellan flera aktörer.

Flera säkra databehandlingsmiljöer ställer krav på federering mellan dessa miljöer, dvs. strukturer, överenskommelser och standarder som medger distribuerad analys av data, oavsett i vilken miljö datan finns. Det finns idag inom etableringen av projektet CS3MESH4EOSC (en samverkan inom European Open Science Cloud) som är just en sådan lösning för federerad datadelning mellan databehandlingsmiljöer. Denna lösning menar Vetenskapsrådet kan utgöra utgångspunkten för en federering inom hälsodataområdets säkra behandlingsmiljöer.

De säkra behandlingsmiljöerna skiljer sig åt. Givet den breda definitionen av data som ska tillgängliggöras enligt artikel 33 i EHDS kommer det sannolikt att föreligga olika typer av behov avseende prestanda, analysverktyg, användargränssnitt med mera. Mot den bakgrunden bedömer utredningen att det på sikt kommer behövas flera säkra behandlingsmiljöer. Utöver att se över användningen och vidareutveckling av befintliga säkra behandlingsmiljöer hos myndigheter som SCB och Vetenskapsrådet kan även säkra behandlingsmiljöer hos andra vara aktuella. Ett exempel är den akademiska infrastrukturen för superdatorer i Sverige (NAISS) som i huvudsak finansieras av Vetenskapsrådet med Linköpings universitet som värd eller den säkra behandlingsmiljö som håller på att utvecklas hos Läkemedelsverket inom ramen för projektet EHDS@LV som beskrivs ovan.

Utredningen har i sin kartläggning identifierat ett antal statliga myndigheter som har säkra behandlingsmiljöer för internt syfte. Två statliga myndigheter tillhandahåller säkra behandlingsmiljöer som utredningen bedömer särskilt relevanta för EHDS: SCB och Vetenskapsrådet genomSUNET. SCB har en lång erfarenhet av hantering och bearbetning av data, datadelning och förvaltning av databehandlingsmiljöer. I SCB:s uppdrag ingår att ge samhället användbar och tillförlitlig statistik samt att samordna systemet för den officiella statistiken. När det kommer till uppgiften att tillhandahålla en säker behandlingsmiljö skiljer sig SCB från Vetenskapsrådet/Sunet i avseendet att de inte är en leverantör av ittjänster. SCB har utvecklat ett system som används för analyser av myndighetens egna data, ibland i kombination med andras data.

35

Linköpings universitet. Nationell akademisk infrastruktur för superdatorer i Sverige (NAISS). URL: Nationell akademisk infrastruktur för superdatorer i Sverige (NAISS) - Linköpings universitet (liu.se)

MONA är emellertid inte primärt utvecklat i syfte att vara en ittjänst att användas för andras dataanalyser. Myndigheten har emellertid exempelvis en överenskommelse med Försäkringskassan om direktleveranser till mottagare i MONA för att ladda upp egna data men denna möjlighet har inte använts för skarpa leveranser än. Diskussioner förs även med andra myndigheter, bland annat Socialstyrelsen, om att kunna ladda ner egna data.

SCB uppger att MONA inte lämpar sig för biobanksdata men har i stället inlett ett samarbete med Uppsala universitet för att möjliggöra att databearbetningen kan ske i BIANCA-miljön med högre prestanda. På så sätt har kapacitet skapats för nya typer av analyser och för att möta behov som tidigare inte kunnat mötas.

Ytterligare initiativ för att utveckla och bredda myndighetens förmåga och uppdrag föreslås i SCB:s budgetunderlag för 2025– 2027. SCB äskar om en resursförstärkning på knappt 70 miljoner kronor de närmaste tre åren för att modernisera datahanteringen och därigenom öka SCB:s samhällsnytta samt minska företagens administrativa börda genom ett antal aktiviteter . Aktiviteterna avser såväl satsningar på ny teknik och nya arbetssätt för att skapa förutsättningar för framtida datafångst som en utredning om en utökning av SCB:s kärnuppdrag. Inom ramen för utredningen önskar SCB en bedömning huruvida SCB:s samordningsroll inom det officiella statistiksystemet bör stärkas avseende datahantering för att säkra samhällets behov av kvalitetssäkrade data på ett effektivt och säkert sätt.

Vetenskapsrådet genom Sunet har en annan typ av verksamhet i rollen som tjänsteleverantör än vad SCB har. De tillhandahåller såväl en säker behandlingsmiljö som säker överföring av data och flera alternativ till elektronisk identifikation samt besitter stor kunskap om it-infrastruktur och it-säkerhet. Deras tjänster utvecklas utifrån behoven hos kunderna som till största delen består av högre läroverk. Av Vetenskapsrådets årsredovisning framgår att myndighetens verksamhet växer på grund av nya uppdrag, då främst inom Sunets verksamhet. Vidare anges efterfrågan på Sunets tjänster fortsatt är hög. Det kan också tilläggas att verktygen för säkra behandlingsmiljöer bara är en av många tjänster som myndigheten tillhandahåller och där tyngdpunkten ligger på elektroniska

36 SCB (2024). Budgetunderlag 2025-2027, s 11-14. URL: scbs-budgetunderlag-2025-2027.pdf 37 Vetenskapsrådet (2024). Vetenskapsrådets årsredovisning 2023.

kommunikationstjänster. I övrigt är det svårt att dra några slutsatser om Vetenskapsrådets närmare planer och satsningar utifrån det material som givits in. Utredningen anser att det kommer behöva utredas vidare hur ett system med säkra behandlingsmiljöer bör sättas upp, vilka typer säkra behandlingsmiljöer som är aktuella, vem som ska tillhandahålla dem och vilka förutsättningar som behöver etableras för ett kostnadseffektivt och säkert genomförande. Utredningens bedömning är att den myndighet som ska leda ett sådant implementationsarbete behöver ha lång erfarenhet av och kunskap om forskares behov och om säkra behandlingsmiljöer.

4 Uppgiften att bedriva tillsyn

4.1 Allmänt

Bland uppgifterna för HDAB återfinns att bedriva tillsyn över alla dataanvändare och datainnehavare utifrån de krav som ställs på dessa aktörer enligt EHDS. Tillsyn kan möjligen betraktas som en uppgift som ligger lite utanför övriga delar av en HDAB:s grunduppgifter. Vid bedömningen av vilken myndighet som skulle vara lämplig för att utöva EHDS tillsynsuppdrag har utredningen tittat på de myndigheter som idag bedriver tillsyn på området och även myndigheter som har andra typer av uppgifter. Det är inte självklart att det är en myndighet som redan har ett utpräglat tillsynsansvar som måste utöva tillsynen även avseende EHDS, men det ter sig vara en fördel för myndigheter som redan har upparbetade förmågor att arbeta metodiskt med tillsyn.

Inom hälso- och sjukvården är ansvaret för tillsynen för informationshantering fördelat på flera olika statliga myndigheter. Inspektionen för vård och omsorg (IVO) har ett övergripande tillsynsansvar för all hälso- och sjukvård och socialtjänst i Sverige förutom den hälso- och sjukvård som bedrivs inom Försvarsmakten och Försvarets materielverk. Samtidigt har även flera andra myndigheter såsom Integritetsskyddsmyndigheten och Läkemedelsverket ansvar för tillsyn över olika särskilda delområden.

4.2 Om uppgiften att bedriva tillsyn i förordningen

I artikel 37 1. (a) (iv) framgår att en av uppgifterna som ankommer en HDAB är att övervaka och utöva tillsyn över dataanvändare och

datainnehavare utifrån de krav som ställs på dessa aktörer i förordningen. Kraven som ställs på aktörerna framgår i huvudsak i artikel 41 avseende datainnehavare (health data holder) och artikel 41a avseende dataanvändare (health data user).

I sin uppgift att utöva tillsyn får HDAB ett antal olika verktyg

som dels kan möjliggöra den åtkomst och insyn som en

tillsynsmyndighet behöver i tillsynssubjektens verksamhet, dels de sanktioner och tvångsmedel en tillsynsmyndighet kan behöva för att

i praktiken uppnå följsamhet till regleringen. I artikel 43 redogörs för dessa olika verktyg som tillsynsmyndigheten förfogar över. I artikel 43a detaljeras särskilt verktyget att utfärda administrativa sanktionsavgifter, en sanktion som liknar de sanktionsavgifter som tillämpas inom ramen för tillsyn i dataskyddsförordningen (GDPR).

EHDS innefattar ett antal rättigheter för enskilda som angränsar till de rättigheter som förkommer i dataskyddsförordningen. I artikel 43b finns beskrivning hur HDAB och den nationella tillsynsmyndigheten för dataskyddsförordningen (IMY) ska förhålla sig till varandra och hur deras uppgifter ska fördelas. Vidare vad avser förhållandet mellan dessa myndigheter framgår i artikel 43 p 3 att det vid upptäckt av något brott mot

dataskyddsförordningen så ska den nationella tillsynsmyndigheten för dataskyddsförordningen snarast kontaktas. Vidare framgår av

artikel 37 p 2 (a) att HDAB i sin tillsyn ska samarbeta med

tillsynsmyndighet för GDPR generellt. Slutligen anges också i

artikel 36 p 1 andra stycket att HDAB generellt ska verka för att

EHDS tillämpas på ett enhetligt sätt och att detta ska uppnås, avseende dataskyddsfrågor, genom samarbete med relevanta tillsynsmyndigheter.

Tillsynen ska mer konkret bestå av att se till att dataanvändare och datainnehavare uppfyller de krav som ställs på aktörerna. När det gäller datainnehavare torde kraven omfatta bland annat att aktören faktiskt har kommunicerat sina hälsodatatillgångar till det nationella dataset som ska föras av HDAB (artikel 41 p 2.) och att denna registrering uppfyller de krav som ställs enligt artikel 55. För det fall beskrivningen av hälsodata innehåller en kvalitetsmärkning ska även denna vara dokumenterad i enlighet med ställda krav.

38

Till exempel rätt till rättelse och rätt till information i art 8a och 8c, dessa rättigheter gäller dock primär användning. Fysiska personers rättigheter vad avser sekundäranvändning utgörs främst av informationskrav och rätt till att avstå (opt-out).

Vidare måste även dataanvändare på begäran av HDAB överföra relevanta hälsodata inom angiven tid i enlighet med ett beslut om datatillstånd.

Vad avser dataanvändare torde kraven bestå av att åtkomsten till hälsodata enbart ska ske i enlighet med ett beslut om datatillstånd och via den säkra behandlingsmiljön. Det framgår till exempel att dataanvändaren enbart får tillgängliggöra sig hälsodata exakt på så sätt som datatillståndet är utformat och att dataanvändaren inte heller får göra hälsodata tillgänglig för någon tredje part. Dataanvändare är vidare förbjudna att ens försöka återidentifiera fysiska personer vars identitet har skyddats genom pseduonymisering eller anonymisering. Vidare har dataanvändare skyldighet att under olika premisser rapportera resultat kring sin behandling av hälsodata.

Vid bristande efterlevnad har HDAB möjlighet till olika slags sanktioner, bland annat att återkalla datatillstånd och utfärda administrativa sanktionsavgifter samt utesluta datainnehavaren från deltagande i det europeiska hälsodataområdet

4.3 Vilka myndigheter har liknande verksamhet idag?

De statliga myndigheter som utredningen identifierat med verksamhet som liknar uppgiften att bedriva tillsyn är Integritetsskyddsmyndigheten (IMY) och Inspektionen för vård och omsorg (IVO). Dessa delar av myndigheternas verksamhet beskrivs kort nedan. Beskrivningen utgår främst från de möten utredningen haft och de skriftliga svar på utredningens frågor om myndighetens verksamhet med anknytning till EHDS som myndigheterna har skickat in.

4.3.1 Integritetskyddsmyndigheten (IMY)

IMY bedriver idag ett omfattade tillsynsarbete genom sitt arbete som tillsynsmyndighet för bland annat dataskyddsförordningen kamerabevakningslagen och brottsdatalagen. Myndigheten bedriver tillsyn dels utifrån riskbaserad tillsyn per område, dels tillsyn baserat på klagomål för enskilda samt årligen planerad tillsyn. Utifrån de

uppgifter som IMY har redan idag så kommer myndigheten fortsatt att få hantera klagomål från enskilda som inkommer med anledning av EHDS och kan därmed komma att inleda klagomålsbaserad tillsyn i sådana ärenden. Utifrån artikel 43b i EHDS kan i vart fall konstateras att IMY direkt får nya uppgifter i form av att vara myndigheten som blir ansvarig för den förstärkta rätten till att begära ”opt out” från användning av hälsodata inom ramen för sekundäranvändning av hälsodata. IMY är också i egenskap av dataskyddsmyndighet utpekad att få vissa ansvarsområden vid primäranvändningen. Det kan också konstateras att HDAB blir skyldig att notifiera dataskyddsmyndigheten om det förekommer misstankar om brott mot dataskyddsförordningen enligt artikel 43 p 3. andra stycket.

Myndighetens medskick och synpunkter

De tillsynsuppgifter som IMY har idag utgör bredare och mer allmängiltig tillsyn över ett större område än det EHDS kommer att innebära. Med det sagt kommer IMY samtidigt besitta många förmågor som kommer vara till nytta för en tillsynsmyndighet enligt EHDS.

IMY har själva uppgett till utredningen att de inte bedömer att de bör utgöra tillsynsmyndighet enligt EHDS och att den aktör som i egenskap av HDAB ska utföra dessa uppgifter bör vara samma aktör som också utfärdar de datatillstånd vars villkor ska föras tillsyn över.

IMY förväntar sig också att de kommer att få förfrågningar från både verksamheter och enskilda om behandling av personuppgifter

kopplade till EHDS i stort och att samverkan med andra myndigheter kommer att bli aktuellt med anledning av EHDS. Det kan enligt myndigheten även tänkas att det inkommer

förhandssamråd enligt artikel 36 i dataskyddsförordningen med anledning av behandlingar av personuppgifter som sker inom ramen för EHDS.

4.3.2 Inspektionen för vård och omsorg (IVO)

IVO:s främsta uppgift idag är att ansvara för tillsyn och tillståndsprövning inom hälso- och sjukvård och därmed jämförlig

verksamhet, socialtjänst och verksamhet enligt lagen (1993:387) om stöd och service till vissa funktionshindrade (LSS). Syftet med tillsynen är att granska att befolkningen får vård och omsorg som är säker, har god kvalitet och bedrivs i enlighet med lagar och andra föreskrifter.

IVO ansvarar för vårdgivarregistret som innehåller verksamheter som omfattas av IVO:s tillsyn enligt patientsäkerhetslagen. Den som avser att bedriva sådan verksamhet är enligt lagen skyldiga att anmäla ny, ändrad eller nedlagd verksamhet till IVO. Registret ska därmed innehålla en samlad förteckning över samtliga vårdgivare aktiva i Sverige. Inom ramen för ett pågående digitaliseringsarbete har IVO prioriterat insatser för att förbättra myndighetens datakvalitet och därmed göra registret över vårdgivare mer tillförlitligt. Arbetet anses centralt för att öka tillsynens förebyggande effekt. Förbättringarna av IVO:s register är särskilt viktiga i arbetet mot oseriösa aktörer eftersom registren innehåller central information både för IVO och för andra myndigheter. IVO har relativt nyligen fått möjlighet att förelägga vårdgivare att vid vite anmäla korrekta uppgifter till registret. Uppgifterna används i tillsynen och kan ligga till grund för att analysera och följa upp utvecklingen inom socialtjänsten och hälso- och sjukvården, statistikframställning och datadriven analys. Arbete med att möjliggöra en representativ och tillförlitlig lista över vårdgivare är bedöms viktigt utifrån IVO:s tillsynsansvar då tillsynen bland annat utgår från de aktörer som finns upptagna på listan.

I sammanhanget kan konstateras att regeringen givit Ehälsomyndigheten i uppdrag att ta fram och tillhandahålla en digital tjänst i form av en nationell katalog över vårdgivare och utförare av socialtjänst. I uppdraget ingår bl.a. att vidareutveckla och förvalta katalogtjänsten. Regeringsuppdraget ska slutredovisas den 30 april 2025 och först då kan något sägas om hur IVO:s register och katalogen ska förhålla sig till varandra.

Myndighetens medskick och synpunkter

IVO har uppgett till utredningen att uppdragen att bedriva tillsyn, utfärda tillstånd och hålla en aktuell förteckning över aktörer liknar IVO:s kärnverksamheter på vårdsektorområdet idag. IVO:s

erfarenhet är också att det är en fördel att ha dessa tre kärnverksamheter samlade i en organisation. Exempelvis kan IVO idag återkalla tillstånd efter eventuella fynd i en tillsyn och beviljade och återkallade tillstånd kan snabbt hanteras i verksamhetsregistren så att dessa hålls aktuella och uppdaterade. Tillsynen, tillståndsverksamheten och verksamhetsregistren bildar enligt IVO därigenom kommunicerande kärl som bidrar till en viktig helhet.

4.4 Särskilda utmaningar för den HDAB som ska bedriva tillsyn

Utredningen har bedömt att tillsynsuppdraget till vissa delar har särskilda utmaningar. När det gäller skyldigheten som ankommer på datainnehavare kan det konstateras att omfattningen av aktörer som omfattas av begreppet datainnehavare kan tänkas blir relativt brett och även komma att omfatta aktörer som inte tidigare naturligt ingått inom sektorerna för hälso- och sjukvård samt omsorg och därför saknar mycket kunskap kring reglering på området. Förhållandet innebär att den HDAB som ska bedriva tillsyn inte endast får i uppgift att följa upp vilka aktörer som agerar på ett korrekt sätt, utan även att utreda och informera kring vilka aktörer som överhuvudtaget omfattas av regleringen. Uppdraget torde innebära ett särskilt behov av att tillsynsmyndigheten har god kännedom inte bara om den omedelbara sektorn för hälso- och sjukvård samt omsorg utan även närliggande områden där datamängder förekommer som kan vara aktuella att ingå i ramen för EHDS.

När det gäller dataanvändare och tillsynen över dessa torde det vara av betydelse att tillsynsmyndigheten har god kännedom om hur den säkra behandlingsmiljön ser ut och fungerar samt vilka möjligheter som finns att följa upp användningen av denna.

Under våren 2023 publicerade Riksrevisionen en rapport om stöd och tillsyn avseende informationssäkerhet inom vård och omsorg. I sin rapport konstaterade Riksrevisionen att trots att det finns flera statliga myndigheter utpekade att styra, stödja, följa upp och bedriva tillsyn av vårdens och omsorgens informationssäkerhet så är de statliga insatserna inte effektiva. Myndigheternas stöd är generellt

39

Informationssäkerhet i vård och omsorg – statens stöd och tillsyn (RiR 2024:6)

och ger främst grundläggande vägledning när en verksamhet ska bygga upp ett systematiskt och riskbaserat informationssäkerhetsarbete. Men stödet är inte tillräckligt anpassat efter vård- och omsorgsgivares behov så att det kan omsättas i det praktiska informationssäkerhetsarbetet. Det handlar exempelvis om frågor som berör säkerhetsåtgärder i avvägningar mellan informationssäkerhet, integritet och patientsäkerhet vilket kräver stöd vid tolkning av lagstiftningen. Myndigheterna har i stor utsträckning valt att inte göra rättsliga ställningstaganden för hur kraven i bestämmelserna som gäller för vården och omsorgen kan tolkas, vilket försvårar för vård- och omsorgsgivare att förstå vad som förväntas av dem.

Varken Myndigheten för samhällsskydd och beredskap, IMY eller Socialstyrelsen ansåg sig enligt rapporten ha ansvar för att tillgodose vårdens och omsorgens behov av specifikt stöd och myndigheterna bedömdes också arbeta i stuprör med brist på samverkan eller samordning av sina insatser både vad avser tillsyn och stöd. Granskningen visar enligt utredningen på allmänna svårigheter att tillse en enhetlig hantering av en uppgift eller område när ansvaret är delat mellan flera olika myndigheter.

5 Övriga uppgifter

I detta kapitel beskrivs de uppgifter som tillskrivs HDAB som inte nämnts särskilt i kapitel 3 eller 4. Utredningens överväganden avseende dessa uppgifter återfinns i kapitel 8.

5.1 Samverkan och samarbete

5.1.1 Om uppgiften

EHDS innehåller en rad krav för HDAB att på olika sätt samarbeta och samverka. Det kan gälla internationell samverkan med HDAB:s i andra medlemsstater eller med EU-kommissionen. Samverkan kan även gälla nationellt berörda parter inklusive patientorganisationer, forskarkollektivet, lärosäten, industri med flera.

Som exempel återges några av de bestämmelser som ålägger HDAB att arbeta genom samverkan och samarbete.

Artikel 37.1 (j) Samarbeta med och övervaka datainnehavare för att säkerställa ett enhetligt och korrekt genomförande av den datakvalitets- och funktionsmärkning som anges i artikel 56.

Artikel 37.1 (m) Samarbeta på unionsnivå och nationell nivå för att fastställa lämpliga åtgärder och krav för att få tillgång till ehälsodata i en säker behandlingsmiljö.

Artikel 37.1 (n) Samarbeta på unionsnivå och nationell nivå och ge kommissionen råd om teknik och bästa praxis för användning och hantering av e-hälsodata.

Artikel 37.2 (c) samarbeta med berörda parter, inklusive patientorganisationer, företrädare för fysiska personer, hälso- och sjukvårdspersonal, forskare och etiska kommittéer, i tillämpliga fall i enlighet med unionsrätten och nationell rätt.

5.2 Information och rapportering

5.2.1 Om uppgiften

EHDS innehåller en rad krav för HDAB att på olika sätt informera

om och rapportera kring sin verksamhet. Många av dessa

skyldigheter är formulerade på ett sådant sätt att HDAB offentligt

ska publicera informationen elektroniskt, till exempel på en webbplats. Vissa skyldigheter kretsar mer specifikt kring vad den rapportering som ska ske vartannat år ska innehålla för information.

Som exempel återges sammanfattningsvis de mest centrala skyldigheterna nedan. Enligt artikel 37.1 (l) ska HDAB underhålla ett offentligt informationssystem för att fullgöra skyldigheterna enligt artikel 38. Vidare ska HDAB enligt artikel 37.2 (q) på elektronisk väg offentliggöra den nationella datasetkatalogen, alla ansökningar som skett om åtkomst till hälsodata, alla datatillstånd som givits samt de tillsynsåtgärder som genomförts. HDAB ska även enligt Artikel 35e informera fysiska personer om ett antal aspekter kring EHDS vilket bland annat innefattar villkoren enligt vilka hälsodata görs tillgängliga för sekundär användning, den rättsliga grunden för att bevilja tillgång, de tekniska och organisatoriska åtgärder som vidtagits för att skydda fysiska personers rättigheter, fysiska personers tillämpliga rättigheter i samband med sekundär användning av hälsodata och hur fysiska personer ska kunna utöva sina rättigheter i enlighet med dataskyddsförordningen kapitel III samt även resultaten eller utfallet av de projekt för vilka dessa hälsodata har använts.

I artikel 39 framgår att HDAB ska sammanställa en rapport vartannat år och publicera den på sin webbplats. Om det finns fler än en HDAB utsedda så är det den koordinerande HDAB:en som ska ansvara för att rapporten sammanställs. Rapporten ska innehålla en lång rad detaljer om vad myndigheten har vidtagit för åtgärder

40 Artikel 38 finns inte längre med i utkastet till EHDS, men utredningen utgår från att skyldigheten hänvisar till artikel 35e, HDAB:s skyldigheter gentemot fysiska personer, som i tidigare utkast hade artikelnummer 38.

under åren, vilka tillstånd som givits, uppföljning av hur dataanvändare och datainnehavare har skött sig samt eventuella tillsynsåtgärder som vidtagits. Rapporten kommer således att innehålla delar som härstammar från alla av HDAB:ens olika uppgifter och det kommer därmed att bli nödvändigt för den koordinerande HDAB:en att ha en utvecklad samverkan med övriga myndigheter för att kunna sammanställa rapporten.

6 Rollen som samordnande HDAB

6.1 Om uppgiften

Om ett medlemsland utsett flera organisationer att uppfylla HDAB:s olika uppgifter så ska medlemsstaten också enligt artikel 36.1 välja ut en av dessa att vara samordnande HDAB. Denna aktör ska enligt artikeln ”coordinate tasks” med andra utsedda HDAB både inom medlemsstaten och andra medlemsstater. I artikel 39 framgår även att om en samordnande HDAB har utsetts så ska denne vara ansvarig för att ta fram den rapporten om bedriven verksamhet. I övrigt tillskrivs inte den samordnande HDAB:en några konkreta uppgifter alls i förordningen. Under beaktandesats nr 42 till EHDS framgår att en medlemsstat som inrättar flera organ bör fastställa regler på nationell nivå för att säkerställa ett samordnat deltagande av dessa HDAB:s i nämnden för det europeiska hälsodataområdet. Medlemsstaten bör enligt beaktandesatsen i synnerhet utse en HDAB som ska fungera som en gemensam kontaktpunkt för övriga HDAB:s effektiva deltagande och säkerställa ett snabbt och smidigt samarbete med övriga organ med ansvar för tillgång till hälsodata, nämnden för det europeiska hälsodataområdet och kommissionen.

6.2 Utredningens analys

Det är tydligt i förordningen att en samordnande HDAB ska utses för det fall en medlemsstat väljer att fördela HDAB:s uppgifter på flera organisationer. Vad en samordnande HDAB mer konkret ska göra är däremot lite svårare att utläsa. Huruvida beaktandesats nr 42 specifikt riktar sig mot den utsedda samordnande HDAB:en enligt artikel 36.1 eller mer allmänt kring samordningen när det gäller

samarbete mellan olika medlemsstaters HDAB är inte självklart. Utredningen noterar även att artikel 36.1 har förändrats under förhandlingarna av EHDS från att ursprungligen nämnt att uppgiften var att ”samordna förfrågningar” till att nu omfatta ”coordinate tasks with the other health data access bodies both within the member state and […] in other member states”. Utredningen bedömer att ändringen gjort det tydligare att lagstiftaren med uppgiften vill peka på hela HDAB:s arbete, inte bara förfrågningar om hälsodata, samt att samordningen ska avse både de nationellt utsedda HDAB och samarbetet med andra medlemsstaters HDAB:s.

Oaktat bestämmelsens närmare innebörd är det enligt utredningen också viktigt att beakta det övergripande syftet med sekundäranvändning i EHDS vilket är att möjliggöra en centraliserad hantering av ansökningar för att få behandla hälsodata för sekundära ändamål både nationellt och internationellt. Det är HDAB:en som ska hantera ansökningarna och tillgängliggöra data enligt de krav som ställs för att uppnå denna målsättning. Om flera aktörer axlat olika roller inom ramen för vad en HDAB ska göra är det naturligt att tänka sig att den samordnande HDAB:ens uppgift är just att se till att alla dessa roller fungerar tillsammans samt även möjliggöra att ansökan kring åtkomst till hälsodata kan ske på ett enhetligt sätt genom en ingång. Den myndighet som ska utses till samordnande HDAB bör vara den aktör som har bäst förutsättningar att samla samtliga frågeställningar hos sig och erfarenhet av både nationell och internationell samordning.

7 Nationell kontaktpunkt för sekundäranvändning

7.1 Om uppgiften

Varje medlemsstat ska peka ut en nationell kontaktpunkt för sekundäranvändning av hälsodata. Nationell kontaktpunkt för sekundäranvändning av hälsodata, framöver benämnd som den nationella kontaktpunkten, definieras i EHDS som en organisatorisk och teknisk ingång som möjliggör gränsöverskridande sekundär användning av e-hälsodata, som medlemsstaternas ansvarar för. Den nationella kontaktpunkten kan vara samma organisation som den samordnande HDAB enligt artikel 36. Medlemsstaterna och EU-kommissionen ska inrätta Healthdata@EU för att stödja och underlätta gränsöverskridande tillgång till hälsodata för sekundäranvändning, koppla samman de nationella kontaktpunkterna i medlemsstaterna och behöriga deltagare i infrastrukturen och den centrala plattformen framtagen av EU-kommissionen. EU-kommissionen ska utveckla, införa och driva en central plattform för Healthdata@EU genom att tillhandahålla de informationstekniska tjänster som krävs för att stödja och underlätta utbytet av information mellan HDAB:s som del av den gränsöverskridande infrastrukturen. Kommissionen ska i sin roll här endast behandla hälsodata för de personuppgiftsansvariga i egenskap av personuppgiftsbiträde. Unionens tjänster (”data access services”) ska agera som unionens institutioner, organ och myndigheters kontaktpunkt för sekundäranvändning av hälsodata och ska vara ansvarig för att tillgängliggöra hälsodata för sekundäranvändning.

Den nationella kontaktpunkten och den ovannämnda unionens kontaktpunkt ska kopplas upp mot den gränsöverskridande

infrastrukturen för sekundäranvändning av hälsodata Healthdata@EU samt underlätta gränsöverskridande tillgång till hälsodata för olika behöriga deltagare i infrastrukturen. De nationella kontaktpunkterna ska ha ett nära samarbete med varandra och med EU-kommissionen.

Varje nationell kontaktpunkt ska skaffa sig den tekniska kapacitet som krävs för att ansluta till och delta i Healthdata@EU. Varje deltagare ska uppfylla de krav och tekniska specifikationer som krävs för att driva den gränsöverskridande infrastrukturen och kunna ansluta till den.

På begäran av två eller flera nationella kontaktpunkter i infrastrukturen får EU-kommissionen tillhandahålla en säker behandlingsmiljö för data från fler än en medlemsstat som uppfyller kraven i artikel 50. När två eller fler nationella kontaktpunkter eller behöriga deltagare lägger in hälsodata i den säkra behandlingsmiljön som tillhandahålls av kommissionen är kontaktpunkterna personuppgiftsansvariga och kommissionen personuppgiftsbiträde för behandlingen av datan i den säkra behandlingsmiljön.

I artikel 52.13 anges att kommissionen med genomförandeakter ska fastställa: • krav, tekniska specifikationer, IT-arkitekturen hos

Hälsodata@EU, vilka ska säkerställa ”state-of-the-art datasäkerhet, konfidentialitet, och skydd för hälsodatan i den gränsöverskridande infrastrukturen.

• villkor och kontroller av efterlevnaden för att kunna ansluta sig

och förbli anslutna till Hälsodata@EU samt villkor för tillfällig eller definitiv uteslutning från Hälsodata@EU, inklusice ”specific provisions for cases of serious misconduct or repeated violation”.

• de minimikriterier som måste uppfyllas av behöriga deltagare i

infrastrukturen, • ansvarsområdena för de personuppgiftsansvariga och

personuppgiftsbiträden som deltar i den gränsöverskridande infrastrukturen,

• ansvarsområdena för de personuppgiftsansvariga och

personuppgiftsbiträden för den säkra miljö som förvaltas av kommissionen

Genomförandeakterna ska antas inom två år och träda i kraft

efter fyra år från det att EHDS träder ikraft.

En styrgrupp kommer etableras för infrastrukturen som tillhandahålls enligt artikel 52. Gruppen ska bestå av en representant från respektive medlemslands nationella kontaktpunkt (artikel 66).

Den infrastruktur som kommer möjliggöra gränsöverskridande tillgång till hälsodata kommer tas fram i pilotformat inom ramen för det två år långa projektet Healthdata@EU pilot (se avsnitt 2.3.1) . Infrastrukturen kommer enligt uppgift att återanvända de så kallade eDelivery Building Block services and reference implementations . Detta är infrastruktur och ramverk som tagits fram inom ramen för Digital Europe Programe. Healthdata@EU pilothar pågått sedan

2022 och ska slutredovisa sitt arbete hösten 2024. I figuren nedan framgår en konceptuell bild av den övergripande it-infrastruktur som projektet presenterade vid den senaste sammankomsten i januari i år.

Figur 3. Övergripande arkitektur för kommunikationen mellan nationell aktör och EU. Källa: Healthdata@EU pilot.

Utredningen har varit i kontakt med E-hälsomyndigheten som genom projektet SENASH har tillgång till EU:s implementationsplan för sekundäranvändningsscenariorna. SENASH beskrivs närmare i avsnitt 2.3.3. Myndigheten bekräftar bilden av att den information som finns att tillgå fortfarande är på

41 Home - EHDS2 Pilot - Official website 42 EU kommissionen (2022). Data sharing through eDelivery in the HealthData@EU.

en mycket konceptuell nivå där inga detaljer framgår. En crossboarder gateway beskrivs i implementationsplanen som följande:

It is a software to enable communication with other partners in the HealthData@EU. It is able to send and receive messeges in a interoperable, secure and reliable way. It can be a common software for all countries. This can be based on DEP eDelivery. There is an EC reference implementation (Domibus).

Om den så kallade ”nationella connectorn” skrivs följande:

It is a software to connect the cross-border gateway with the national infrastructure. It transforms and delivers: to the national infrastructure the messages received by other partners in the Healthdata@EU and to the cross-border gateway messages prepared by the national infrastructure. It must be a specific software for each country.

HDAB ska underlätta gränsöverskridande tillgång till e-hälsodata för sekundär användning som finns i andra medlemsstater genom Hälsodata@EU och ha ett nära samarbete med varandra och med kommissionen (artikel 37 (o)).

7.2 Myndigheter med motsvarande verksamhet

Utredningen har bara identifierat en myndighet med verksamhet som innefattar delar av de områden och uppgifter som beskrivs ovan och det är E-hälsomyndigheten. E-hälsomyndigheten ska enligt sin instruktion samordna regeringens satsningar på e- hälsa och nationell digital infrastruktur för hälso- och sjukvård, tandvård och socialtjänst. Myndigheten har sedan flera år haft i uppdrag att etablera de tekniska och verksamhetsmässiga förutsättningarna för e-recept över landsgränser. År 2016 utsågs E-hälsomyndigheten av regeringen till Sveriges nationella kontaktpunkt för e-hälsa.

Tjänsten för e-recept är driftsatt i testmiljö och kan gå i drift när rättsliga och finansiella förutsättningar finns på plats. Utifrån att tjänsterna innebär överföring av känslig personinformation är det ett europeiskt krav att överföringen mellan de nationella kontaktpunkterna för e-hälsa sker via TESTA (Trans European Services for Telematics between Administrations), ett europeiskt nätverk som är skiljt från internet och som används för säker och

43

1 § andra stycket förordningen (2013:1031) med instruktion för E-hälsomyndigheten. 44

S2015/08135/RS (delvis)

krypterad kommunikation. E-hälsomyndigheten är ansluten till TESTA via den svenska SGSI-noden (Swedish Government Secure Intranet). Det tillkommer ytterligare krav på nationella förutsättningar avseende informationssäkerhet.

Myndigheten har även påbörjat utvecklingen av en gränsöverskridande infrastruktur för att dela patientöversikter över landsgränser. Denna infrastruktur kommer möjliggöra utbyte av känsliga personuppgifter över landsgränserna mellan respektive lands nationella kontaktpunkt för primäranvändning. Infrastrukturen och rollen som nationell kontaktpunkt för primäranvändning beskrivs närmare av utredningen om e-recept och patientöversikter inom EES i betänkandet SOU 2023:13 (avsnitt 12.1.2).

E-hälsomyndigheten har deltagit i samverkan och dialog kring gränsöverskridande delning av hälsodata sedan myndigheten etablerades 2014. E-hälsomyndigheten har deltagit i två av arbetsgrupperna kopplat till Nätverket för eHälsa: Semantic Subgroup (ordförande) och IOP Technical subgroup. De nationella kontaktpunkterna för e-hälsa finns även representerade i medlemsländernas expertgrupp för e-hälsa: eHealth Member States Expert Group (eHMSEG). Gruppens huvudsyfte är att definiera och besluta om genomförandet av gränsöverskridande e-hälsotjänster. E-hälsomyndigheten deltar i eHMSEG-mötena samt i eHMSEG:s tio arbetsgrupper varav myndighetens medarbetare är ordförande i två.

E-hälsomyndigheten arbetar även för att skapa förutsättningar för att dela hälsodata internationellt. Myndigheten har under de senaste åren i egenskap av utsedd betrodd myndighet, Competent Authority, samordnat tre ansökningar om EU-bidrag inom sekundäranvändning. Dessa syftar till att förbereda Sverige inför att förordningen om EHDS kan komma att träda i kraft.

7.3 Utredningens analys

Utredningen har övervägt om det är lämpligt och effektivt att hålla samman respektive skilja den samordnande HDAB med ansvar för exempelvis hantering av ansökningar om data och beslut om datatillstånd från rollen som nationell kontaktpunkt med ansvar för

att utveckla infrastrukturen för gränsöverskridande delning av hälsodata. Frågan är aktuell i Sverige. I nationella regeringsuppdrag av liknande karaktär där det finns infrastruktur som stöttar hantering av någon specifik uppgift inom hälso- och sjukvården har exempelvis E-hälsomyndigheten fått ansvar för den tekniska utvecklingen och Socialstyrelsen fått ansvar för de frågor som avser

45,46,47,48 innehåll, implementation, användning och sakfrågan. Detta är även i linje med resonemanget som ligger till grund för bildandet av en ny myndighet för hälso- och vårdinfrastruktur som skulle ansvara för IT-frågor inom hälso- och sjukvården, dvs. E-

49,50 hälsomyndigheten.

Utredningen gör, baserat på det som framgår av förordningen och det arbete som görs inom Healthdata@EU pilot, bedömningen att rollen som nationell kontaktpunkt handlar mycket om att utveckla och förvalta teknisk infrastruktur som möjliggör att information skickas över landsgränser på ett säkert och robust sätt. Så som utredningen tolkar materialet som finns att tillgå är det inte avgörande att den nationella kontaktpunkten har en djup sakkunskap om den information som skickas utan anser att det är viktigare med en djup kunskap om it och informationssäkerhet.

E-hälsomyndigheten har erfarenhet av att delta i ett utvecklingsoch implementationssammarbete avseende gränsöverskridande infrastruktur för delning av hälsodata. När det kommer till huruvida den infrastruktur som byggs för primäranvändningen kan återanvändas för sekundäranvändningen är det svårt att avgöra givet den bristfälliga information som finns tillgänglig om dess framtida utformning. Utredningen konstaterar ett det idag inte står klart hur den framtida infrastrukturen Healthdata@EU kommer att se ut och vilken infrastruktur som respektive land kommer att behöva utveckla nationellt respektive ansluta sig till på EU-nivå. Av förordningen framgår att genomförandeakter som beslutas inom två år och ska träda i kraft efter fyra år efter att EHDS har trätt i kraft,

45

Regeringen (2023). Uppdrag att fördela medel, stödja ökad förskrivning av fysisk aktivitet på recept (FaR) samt att främja ökad följsamhet till förskrivna FaR. S2023/01043 (delvis) 46

Regeringen (2023). Uppdrag att föreslå ett statligt digitalt stöd för fysisk aktivitet på recept (FaR). S2023/01044 (delvis) 47

Regeringen (2022). Uppdrag att kartlägga, analysera och ge förslag på hur en nationell listningstjänst ska kunna inrättas i statlig regi. S2022/01375 (delvis) 48

Regeringen (2022). Uppdrag att förbereda arbetet med att meddela föreskrifter om listningstjänst för vårdval, S2022/01374 (delvis). 49

Prop. 2012/13:128. 50

Socialutskottets betänkande 2012/13:SoU26.

ska fastställa IT-arkitekturen hos Healthdata@EU, krav, tekniska specifikationer och de minimikriterier som måste uppfyllas av behöriga deltagare i infrastrukturen med mera.

I den pilot som EU-kommissionen finansierar, Healthdata@EU pilot, presenteras konceptuella bilder av infrastrukturen. Flera användarfall har även tagits fram som underlag för diskussion när infrastrukturen arbetas fram i pilotform.

Utredningen har ställt frågan till E-hälsomyndigheten i egenskap av nationell kontaktpunkt för primäranvändning, om den infrastruktur som byggs för gränsöverskridande utbyte av hälsodata enligt EHDS bestämmelser i kapitel 2 är densamma som den som ska byggas enligt kapitel 4 hos den nationella kontaktpunkten för sekundäranvändning. Myndigheten uppger baserat på det material som finns att ta del av från det pågående implementationsarbetet att det i dagsläget inte går att svara på vilka likheter infrastrukturkomponenterna kommer att ha. Det går dock enligt myndigheten att konstatera att användningsfall och krav ser väldigt olika ut för primäranvändning respektive sekundäranvändning. Därmed är det inte osannolikt att lösningarna endast kommer att ha ett begränsat antal gemensamma delar.

I de fall EU-kommissionen i enlighet med den möjlighet som tillskrivs dem i artikel 52.10 upprättar en säker behandlingsmiljö som möjliggör att hälsodata från flera länder samkörs är det emellertid känsliga personuppgifter som ska skickas över landsgränser. Detta är något som E-hälsomyndigheten har erfarenhet av i sin roll som nationell kontaktpunkt för primäranvändning.

Sammantaget gör utredningen bedömningen att det i första hand förefaller vara teknisk utveckling och förvaltning av infrastruktur som är fokus för uppgiften att vara nationell kontaktpunkt och det är den kompetensen som utredningen ser bör ligga till grund för vilken myndighet som föreslås för rollen som nationell kontaktpunkt. Utredningen anser att det finns utrymme att fördela ansvar för it-utveckling skilt från uppgiften om att hantera ansökningar om datatillstånd nationellt så som intentionerna var vid tillskapandet av E-hälsomyndigheten.

I sammanhanget kan också nämnas att flera aktörer har framhållit till utredningen att det organ som ska ansvara för tillståndsbeslut med mera måste ha omfattande kunskap och den data som ska

lämnas ut och vana vid att arbeta med de professioner som kan förväntas begära ut data. Försäkringskassan har dock framfört att de ser E-hälsomyndigheten som ett förstahandsalternativ som HDAB mot bakgrund av övriga EHDS-uppdrag och samordnande ansvar för den nationella infrastrukturen för vården.

Utredningen vill framhålla vikten av en nära samverkan och dialog mellan den nationella kontaktpunkten för sekundäranvändning och den samordnande och tillståndsbeslutande HDAB i detta arbete för att säkerställa att myndigheterna arbetar mot samma mål och delar relevant kunskap och information längs vägen.

8 Utredningens överväganden och förslag

Utredningen har i uppdrag att utse en eller flera myndigheter till organ med ansvar för tillgång till hälsodata för sekundäranvändning (HDAB) samt rollen som nationell kontaktpunkt för sekundäranvändningen. Av utredningens direktiv framgår att de förslag som lämnas ska vara ändamålsenliga och kostnadseffektiva, vilket bland annat inbegriper att såväl befintliga roller, arbetsuppgifter och infrastrukturer som eventuella synergier med planerad infrastruktur ska beaktas. Även eventuella intressekonflikter kopplade till ansvar, roller och arbetsuppgifter när det gäller hälsodata ska analyseras och beaktas.

Utredningen har analyserat de roller som framgår av 2 kapitlet EHDS och kartlagt om och i så fall vilken verksamhet som motsvarar de uppgifter som tillskrivs HDAB som finns i Sverige idag. Utifrån denna analys och kartläggning sammanfattar utredningen nedan sina överväganden avseende vilka myndigheter som har bäst förutsättningar att ta sig an respektive uppgift. Under avsnitt 8.2 samlar utredningen sin helhetsbedömning och lämnar förslag på vilken eller vilka myndigheter som ska erhålla rollen som HDAB och nationell kontaktpunkt för sekundäranvändning.

8.1 Utgångspunkter för utredningens förslag

Utredningen har övervägt ett antal olika scenarion för hur rollen som HDAB och de uppgifter som tillskrivs denna samt rollen som nationell kontaktpunkt ska organiseras och fördelas. Det finns föroch nackdelar med att samla alla uppgifter hos en myndighet liksom

med att fördela dem över flera. Utredningen konstaterar efter den kartläggning som genomförts att ingen myndighet i Sverige idag innehar samtliga uppgifter som åläggs HDAB och besitter därmed inte samtliga förmågor, resurser, rutiner eller infrastruktur för rollen. Det finns emellertid en eller flera myndigheter som idag utför någon eller några av uppgifterna. Utredningen har fokuserat på vilken förmåga och vilka förutsättningar till att skala upp sin verksamhet som föreligger hos myndigheterna utifrån vad uppgiften innebär. Vidare har utredningen utgått från befintliga och fungerande samarbeten. Det kan handla om samarbeten mellan myndigheterna men även samarbete med vårdens huvudmän och utförare, professioner samt forskarsamhället. Även vana vid internationellt samarbete är en viktig aspekt. Släktskap med de uppdrag myndigheterna har idag har också beaktats eftersom det ger en bild av vilken grundläggande kompetens som finns tillgänglig men även kompetens och resurser hos stödfunktioner som juridik, analys med mera.

Att genomföra stora omorganisationer för en omfattande men ändå begränsad fråga kan i sig innebära i vissa risker för bland annat

kompetens- och effektivitetstapp och utan att någon egentlig

verksamhetsnytta uppnås. Utredningen har dock identifierat några områden där det kan vara intressant att överväga organisatoriska förändringar alternativt bredda uppdraget för aktuella myndigheter.

Utredningens målsättning är att det föreliggande förslaget ska ge upphov till synergier som även kan påverka nuvarande samarbeten och uppdrag positivt.

Utredningens förslag tar hänsyn till behovet av sektorsspecifika lösningar men även lösningar som kan omhänderta sektorsövergripande behov som går bortom EHDS.

Att bilda en helt ny myndighet eller ge ansvaret till en myndighet som idag helt eller delvis saknar erfarenhet eller strukturer för att agera som HDAB skulle enligt utredningen innebära utmaningar både ur ett kostnadsperspektiv och ett effektivitetsperspektiv och som frångår utgångspunkterna för utredningen, det vill säga att ta tillvara såväl befintliga roller, arbetsuppgifter och infrastrukturer för att på så sätt bland annat uppnå en kostnadseffektiv lösning.

Att nu utgå från myndigheternas befintliga uppdrag utesluter dock inte att större omflyttningar mellan myndigheter kan bli aktuella i framtiden. Sådana förslag kräver dock en annan och mer

omfattande och heltäckande konsekvensanalys som dessutom går utöver frågor som endast handlar om EHDS.

8.2 Utredningens överväganden och förslag

Förslag: Utredningen föreslår att Socialstyrelsen pekas ut som samordnande HDAB. Myndigheten ska dessutom tilldelas ansvar över HDAB:s uppgifter att hantera dataanmälningar, besluta om datatillstånd, sammanställa data, anonymisera/pseudonymisera data samt tillhandahålla en nationell datasetkatalog. Socialstyrelsen bör få ett eller flera regeringsuppdrag för att närmare förbereda för de nya uppgifter som tillskrivs myndigheten. Vad avser den nationella datasetkatalogen föreslår utredningen att Socialstyrelsen får i uppdrag att utreda hur den ska tillhandahållas med utgångspunkt i att så långt som möjligt återanvända och bygga på det arbete Vetenskapsrådet gjort inom ramen för registeruppdraget och med metadatakatalogen RUT. I denna del av uppdraget kan även organisatoriska frågeställningar beaktas.

Utredningen föreslår att SCB pekas ut som HDAB med ansvar för att tillhandahålla en eller flera säkra behandlingsmiljöer. SCB bör få i uppdrag att utreda hur systemet med säkra behandlingsmiljöer bör sättas upp och utvecklas, uppdraget bör genomföras tillsammans med Vetenskapsrådet/Sunet.

Utredningen föreslår att IVO pekas ut som HDAB med ansvar för tillsyn. IVO bör få i uppdrag att närmare analysera hur myndigheten ska förbereda sin verksamhet för den nya uppgiften samt hur samverkan med IMY ska utföras.

Utredningen föreslår att E-hälsomyndigheten blir Sveriges nationella kontaktpunkt för sekundäranvändning. Ehälsomyndigheten bör få i uppdrag att genomföra de förberedelser som krävs för rollen.

De enskilda myndigheternas regeringsuppdrag bör genomföras i nära samverkan med Socialstyrelsen eftersom myndigheten föreslås vara samordnande HDAB.

8.2.1 Uppgiften att tillgängliggöra en nationell datasetkatalog

Utredningen är av uppfattningen att det för den myndighet som i egenskap av HDAB har i uppgift att tillhandahålla en nationell datasetkatalog är av stor betydelse att myndigheten har kunskap om hälsodata, metadata, forskares behov, datainnehavares behov (dvs. i stor utsträckning hälso- och sjukvården) samt även har en infrastruktur för ändamålet.

Utredningen kan konstatera att både Vetenskapsrådet och Digg tillhandahåller en infrastruktur i form av kataloger som på ett samlat sätt presenterar vilken information som finns tillgänglig för vidareanvändning för till exempel forskningsändamål. Katalogernas innehåll skiljer sig åt, dels avseende vilken typ av data de innehåller, dels avseende med vilken detaljeringsgrad informationen är angiven. Vetenskapsrådets metadatakatalog RUT innehåller till stora delar förteckningar över register med hälsodata och återger detaljerad information om vilka variabler som finns tillgängliga i respektive dataset. Diggs katalog på Dataportalen.se innehåller förteckningar över öppna data, vilket inte bör innefatta någon hälsodata, och återger dataseten med lägre detaljeringsgrad.

Utredningens bedömning är att kraven enligt EHDS avseende detaljeringsgraden sannolikt kommer ligga någonstans mellan den befintliga i dessa två kataloger. Med EHDS införs emellertid bestämmelser som innebär att HDAB:s handläggning av ärenden ska ske inom en viss tid. Utredningen konstaterar att de myndigheter som idag tar emot begäran om att ta del av data och beslutar om sådana utlämnanden har långa väntetider som inte motsvarar de krav som ställs i EHDS. Mot den bakgrunden ser utredningen en fördel i att arbeta vidare på en metadatakatalog anpassad enligt FAIRprincipen som har större förutsättningar till att stötta dataanvändaren i att kunna utforma en bra ansökan och därmed bidra till effektiva processer för datauttag och kortare handläggningstider.

Avslutningsvis konstaterar utredningen att definitionen av datainnehavare är bred och att de åläggs omfattande skyldigheter varför det enligt utredningen kommer finnas ett behov av en

stödjande roll från den HDAB som innehar uppgiften om en nationell datasetkatalog.

Mot bakgrund av ovanstående ser utredningen att Vetenskapsrådet har såväl infrastruktur som kan användas och vidareutvecklas för ändamålet, som erfarenhet och i viss utsträckning kunskap om dialogen med innehavare av hälsodata. Utredningen konstaterar i avsnitt 3.1.3 att uppgiften om att tillhandahålla en nationell datasetkatalog kräver kunskap om såväl datainnehavares behov som datasetkatalogens utformning och den ingående hälsodatas egenskaper. Vidare kommer arbetet med att upprätta och förvalta katalogen leda till att denna kunskap fördjupas. Utredningen ser en betydande fördel i att uppgiften om att tillhandahålla en nationell datasetkatalog för hälsodata hålls nära uppgiften om att hantera ansökan om åtkomst till hälsodata samt besluta om datatillstånd och därefter sammanställa och pseudonymisera datan. Detta då det är av stor vikt för sekundäranvändningens effektivitet att den beslutande myndigheten kan vara ett stöd i att guida dataanvändaren i vilken typ av hälsodata som bäst skulle uppnå ett givet mål. Uppgifterna har det gemensamt att de bidrar till och kräver en god kännedom om hälsodatans egenskaper, vilket också har framhållits som viktigt av flera myndigheter som utredningen pratat med.

Utredningen föreslår därför att uppgiften att tillhandahålla en nationell datasetkatalog enligt de krav som ställs i EHDS bör tilldelas tillgångsbeslutande HDAB. Samtidigt anser utredningen att den nationella datasetkatalogen ska återanvändas eller bygga på den infrastruktur och kunskap som genererats av Vetenskapsrådets arbete med registeruppdraget och RUT.

Socialstyrelsen har i sitt underlag till utredningen framhållit att myndigheten skulle se positivt på om verksamheten hos Vetenskapsrådet skulle byta myndighetshemvist till Socialstyrelsen då detta skulle medföra en ökad närhet till myndighetens hälsodataregister samt till kvalitetsregistren. Även SCB har framhållit att frågan om organisatorisk hemvist kan diskuteras. Utredningen anser att frågan om organisatorisk hemvist bör beaktas i den fortsatta beredningen.

Utredningen ser avslutningsvis att en samverkan med Digg är viktig utifrån de uppgifter som tillskrivs Digg med anledning av Dataförvaltningsakten och lagen om den offentliga sektorns

tillgängliggörande av data och det arbete som sker inom ramen för Sveriges förvaltningsgemensamma digitala infrastruktur (Ena).

8.2.2 Uppgiften att besluta om datatillstånd efter ansökan om åtkomst

Utredningen är av uppfattningen att det torde vara av stor betydelse att den myndighet som utses till tillgångsbeslutande HDAB har en erfarenhet av hantering av register och data inom relevant sektor. Anledningen till detta är att det tar tid att bygga upp en organisation som har förmåga och kapacitet att ta del av ansökningar om tillgång till hälsodata. Det är vidare viktigt med en kunskap och insikt i sakområdet för att kunna bedöma ansökningarna på det sätt som EHDS kräver. Ett utökat uppdrag kan även i sin tur ha positiv effekt på den ordinarie verksamheten genom att satsningar kan göras på såväl stödjande system som kunskapshöjande initiativ. I princip samtliga av de myndigheter som utredningen samtalat med har understrukit behovet av förståelse för hälsodatans egenskaper i samband med att bedöma utlämningsärenden. När det gäller bedömningar och beslut om åtkomst med EHDS som grund så kommer sannolikt kriterierna inte vara exakt desamma som i dagens ordning med utlämnanden av allmänna handlingar.

En av målsättningarna med EHDS är just centraliseringen av både ansökningsprocessen och prövningen av ansökan. Denna målsättning skulle inte uppnås med ett stort antal HDAB:s. Kompetensen bör samlas och det är inte resursmässigt motiverat att ha många myndigheter som behöver besitta samma kompetens. Därför är det varken nödvändigt eller lämpligt att utse ett större antal HDAB:s utifrån alla registerägande myndigheter som finns idag. I likhet med flera av de tillfrågade myndigheterna är det också utredningens uppfattning att förutsättningarna för att åstadkomma en effektiv och enhetlig process är större när det handlar om en eller ett fåtal inblandade myndigheter. I underlaget från Folkhälsomyndigheten framhålls att en enda HDAB i stället för flera skulle innebära att den samordnande funktionen centraliseras vilket skulle kunna innebära en effektivare process på grund av en tydligare struktur och ledning. Likaså framhåller Försäkringskassan att myndigheten bedömer det som viktigt att hålla ihop de olika

ansvarsdelarna hos så få myndigheter som möjligt, för att minska behovet av samordning.

Utredningens uppfattning är således att endast en eller ett fåtal tillgångsbeslutande HDAB:s bör utses. Av de myndigheter med uppdrag på området idag är utredningens bedömning att Socialstyrelsen har bäst förutsättningar att på kortast tid axla det ansvar som kommer ankomma på en tillgångsbeslutande HDAB. Socialstyrelsen har en stor erfarenhet inom sektorn, hanterar ett

stort antal utlämnanden idag, har sakkunskap på området och kan därmed vara ett stöd vid eventuella frågeställningar inför en ansökan.

Utredningen håller med om att det idag är av stor vikt för sekundäranvändningens effektivitet att den beslutande myndigheten kan vara ett stöd i att guida dataanvändaren i vilken typ av hälsodata som bäst skulle uppnå ett givet mål. Utredningen vill dock även påpeka att denna process inte nödvändigtvis kommer att ha samma

betydelse när EHDS tillämpas och där tanken är att det nationella dataset som HDAB ska tillhandahålla ska vara en tillräckligt

utvecklad informationsmängd för att utgöra detta stöd till dataanvändaren inför en ansökningsprocess. I förekommande fall kommer rimligen därför HDAB i större utsträckning under EHDS än tidigare ta emot och besluta kring ansökningar utan att någon vidare övrig kontakt måste etableras med dataanvändaren.

Om det skulle finnas behov att utse fler än en HDAB anser utredningen att även SCB är en möjlig kandidat. Fler än en HDAB skulle kunna ha fördelen att möjliggöra en arbetsfördelning mellan myndigheterna vid arbetstoppar och även innebära ett tillvaratagande av den stora kunskap som finns även hos SCB som statistikhållande myndighet vad gäller utlämnande, förfarande vid pseudonymisering samt anonymisering med mera Även om SCB normalt arbetar mer övergripande och inte specifikt inom just hälsodataområdet har myndigheten i rollen som statistikmyndighet en stor erfarenhet att hantera många olika typer av registersamlingar och därmed att samköra data mellan olika sektorer såsom hälsodata kopplat till uppgifter om kön, boende, ekonomiska förutsättningar och liknande.

Det kan vara en fördel att ha tillgångsbeslutande HDAB:s med olika erfarenheter från olika sektorer. Utredningen delar dock Försäkringskassans och Folkhälsomyndighetens bedömningar om att antalet utsedda tillgångsbeslutande HDAB:s bör begränsas för

att inte riskera effektivitetsförluster vad avser behov av samordning och avstämningar samt tillvarata EHDS ambition med ett centraliserat förfarande.

Mot bakgrund av ovanstående resonemang föreslår utredningen att Socialstyrelsen utses till HDAB med ansvar för uppgiften om att ta del av ansökningar om tillgång till hälsodata och fatta beslut om datatillstånd.

8.2.3 Uppgiften att möjliggöra tillgång

HDAB:s uppgifter är att sammanställa datamängder från olika register eller databaser och att pseudonymisera eller anonymisera denna slutliga datasammanställning. Det är två uppgifter som är tätt knutna till varandra. Båda uppgifterna förutsätter kännedom om de typer av datamängder som kommer att ingå i sammanställningen och förståelse för på vilket sätt data kan framställas för att fungera bra för sitt slutliga ändamål. Det krävs också insikt i vilka möjligheter respektive risker som finns för att använda den totala datamängden till att återidentifiera individer och därmed kringgå det skydd som pseudonymiseringen eller anonymiseringen innebär.

Utredningen föreslår därför att en och samma myndighet får båda uppgifterna som ingår i att möjliggöra tillgången. De förutsättningar hos den ansvariga som förespråkas här är delvis samma som förespråkas vid utseende av tillgångsbeslutande HDAB. Utredningen ser det därför som effektivt att samma myndighet som är tillgångsbeslutande även har uppgiften att möjliggöra tillgång.

Det finns enligt utredningen däremot inte samma behov av att det ska vara samma myndighet som faktiskt tillhandahåller den säkra behandlingsmiljön, något som kan betraktas som en mer separat del av HDAB:s olika uppgifter. Ingen av myndigheterna som bidragit till utredningens arbete har i särskilt stor utsträckning tidigare funderat i banorna att någon annan aktör än den utlämnande myndigheten ska hantera uppgiften att genomföra pseudonymisering av aktuell hälsodata. Det har på många sätt snarare varit en mer praktisk fråga vem som ska genomföra det. Som exempel kan nämnas att det normalt i samband med att uppgifter från flera register ska slås samman är SCB som genomför pseudonymiseringen av den totala informationsmängden. Denna

fördelning har skett utifrån myndighetens kompetens i uppgiften men också utifrån att myndigheten har den säkra behandlingsmiljön MONA där den samlade informationsmängden ska hanteras och därtill i sin egenskap av statistikmyndighet kan hantera information under skydd av stark sekretess.

Utredningen menar att kunskapen om informationen och området är viktigare än att vara den aktör som tillhandahåller den säkra behandlingsmiljön, vilket utvecklas nedan. Det kan nämnas att Region Stockholm uppgett till utredningen att Socialstyrelsen är den enda organisationen med kompetens att genomföra pseudonymisering av stora mängder hälsodata, en bedömning som utredningen delar.

Utredningen föreslår att Socialstyrelsen utses till HDAB med uppgiften att möjliggöra tillgång och därmed ska vara den myndighet som genomför sammanslagning av hälsodata och pseudonymisering alternativt anonymisering av densamma. Om det skulle finnas behov att utse fler än en HDAB för denna uppgift anser utredningen att även SCB är lämplig utifrån sin erfarenhet på området.

8.2.4 Uppgiften att tillhandahålla en säker behandlingsmiljö

Utredningen gör bedömningen att uppgiften om att tillhandahålla en säker behandlingsmiljö kräver teknisk infrastruktur som möjliggör analys ifrån de behov dataanvändare har, samt erfarenhet och kunskap om informationssäkerhet och dataskydd. Centralt för uppgiften är att säkerställa att endast behöriga ges tillgång till den känsliga data som ska behandlas. Utredningen har övervägt om en eller flera behandlingsmiljöer är mest ändamålsenligt utifrån de behov som kan uppstå när EHDS implementerats och gör bedömningen att det sannolikt kommer att föreligga olika typer av behov avseende prestanda, analysverktyg, användargränssnitt med mera. Mot den bakgrunden bedömer utredningen att det på sikt kommer att behövas fler än en säker behandlingsmiljö. Utöver att se över användningen och vidareutvecklingen av befintliga säkra behandlingsmiljöer hos myndigheter för ändamålet, som MONA hos SCB och Sunet Drive hos Vetenskapsrådet, kan även säkra behandlingsmiljöer hos andra aktörer vara aktuella för uppgiften.

Som exempel kan nämnas den akademiska infrastrukturen för superdatorer i Sverige (NAISS) eller den säkra behandlingsmiljö som håller på att utvecklas inom ramen för uppdraget EHDS@LV. Utredningen anser att det kommer behöva utredas vidare hur ett system med säkra behandlingsmiljöer bör konstrueras.

Såväl SCB som Vetenskapsrådet har säkra behandlingsmiljöer idag med funktionalitet som motsvarar de kriterium som ställs på den säkra behandlingsmiljön som ska tillhandahållas av HDAB i EHDS. Utredningen anser även att båda myndigheterna har möjlighet att utveckla och förändra befintliga miljöer efter de behov och krav som ställs på dem.

Av de två myndigheterna ter det sig som att Vetenskapsrådet genom Sunet har en tydlig förankring i internationellt arbete och öppna standarder i sitt arbete som mer syftar till att tillhandahålla en allmännyttig tjänst som kan användas för flera olika typer av data medan SCB:s utveckling tydligare härstammar från ett eget system framtagit från myndighetens egna behov. Vetenskapsrådet genom Sunet har en lång erfarenhet kring hantering och utveckling av infrastrukturer när det gäller digitala identiteter, säker kommunikation och internationell förankring. Dessa är alla viktiga komponenter i en säker behandlingsmiljö inom ramen för EHDS. Utredningen ser emellertid att SCB med nästan 300 års erfarenhet av datahantering i olika former har en verksamhet och erfarenhet som under mycket lång tid legat nära forskarsamhället och den datahantering och bearbetning som behövs för att möjliggöra effektiva verktyg för forskning. Utredningen tar även i beaktande de faktum att myndigheten kommer utses till behörigt organ nationell enligt artikel 7 i DGA. SCB ska enligt uppgift specifikt stödja med råd och kunskap om säkra behandlingsmiljöer

Utredningen föreslår enligt ovanstående resonemang att SCB ska utses till HDAB med ansvar för att tillhandahålla en eller flera säkra behandlingsmiljöer. SCB bör få i uppdrag att utreda hur systemet med säkra behandlingsmiljöer bör sättas upp och utvecklas. Uppdraget bör genomföras tillsammans med Vetenskapsrådet/Sunet för att dra nytta av de särskilda förmågor hos Vetenskapsrådet som redogörs för ovan.

51

Linköpings universitet. Nationell akademisk infrastruktur för superdatorer i Sverige (NAISS). URL: Nationell akademisk infrastruktur för superdatorer i Sverige (NAISS) - Linköpings universitet (liu.se)

8.2.5 Uppgiften att bedriva tillsyn

Beträffande tillsyn är uppgifterna för HDAB att övervaka och utöva tillsyn över dataanvändare och datainnehavare utifrån de krav som ställs på dessa aktörer i EHDS. Detta kan tydligt särskiljas från HDAB:s övriga uppgifter. Utredningen kan konstatera att IVO har det övergripande tillsynsansvaret för hälso- och sjukvården. Myndigheten har en instruktionsenlig uppgift att samverka med andra berörda myndigheter i syfte att uppnå ett effektivt kunskapsoch erfarenhetsutbyte i arbetet med tillsyn, kunskapsstyrning och regelgivning. I fråga om dataskydd, förordningen om medicintekniska produkter (MDR) och nationella medicinska informationssystem (NMI) finns det redan i dag tydligt utpekade ansvarsområden för IMY och Läkemedelsverket. Såväl IVO som IMY har tillsyn över informationshanteringen inom hälso- och sjukvården och ska samverka i dessa tillsynsfrågor. Myndigheterna har upprättat en samverkansöverenskommelse som tydliggör att de har ett gemensamt ansvar för att identifiera och hantera frågor som hamnar i skärningspunkten mellan de båda myndigheternas uppdrag.

Det kan argumenteras för att det tillsynsansvar som läggs på HDAB är nära förknippat med de uppgifter HDAB redan har vad gäller sammanställandet av ett nationellt dataset samt prövning och utfärdande av datatillstånd för dataanvändare. Det kommer troligen vara kravet på att anmäla hälsodatatillgångar till det nationella datasetet och hur nyttjandet av datatillståndet sker som utgör huvudfokuset för tillsynsuppgiften. Detta skulle tala för att samma myndighet som har att hantera det nationella datasetet och bedöma ansökningar om tillgång till hälsodata också är den myndighet som utövar tillsyn över hanteringen. När IVO bildades gav regeringen uttryck för uppfattningen att det bör finnas en tydlig gränslinje mellan å ena sidan kunskapsutveckling, bidragsgivning och

52 IMY och IVO (2021) Samverkansöverenskommelse mellan Integritetsskyddsmyndigheten och Inspektionen för vård och omsorg. Dnr IMY DI-20021-10449, dnr IVO 6.1.3– 31514/2021.

normering och å andra sidan tillsyn. En sådan åtskillnad ger störst tydlighet och oberoende och därmed legitimitet åt tillsynsarbetet.

De myndigheter som idag arbetar med mer omfattande utlämnanden av hälsodata har redogjort för att det är av stor betydelse för verksamheten att ha en öppen kommunikation med frågeställare och att en inte oväsentlig del av uppgiften är att genom förståelse för området och kunskapsöverföring kunna tillgodogöra sig vad frågeställaren vill uppnå för resultat och att kunna guida denne till vilken typ av hälsodata som bäst kan nyttjas för att lösa den aktuella frågeställningen. Det är således av betydelse att det inte finns något som hindrar en öppen och tydlig dialog mellan beslutsfattare och frågeställare för att åstadkomma det bästa slutresultatet. En situation där beslutsfattaren är samma organisation som ska utöva tillsyn mot frågeställaren kring omständigheterna runt förfrågan kan innebära mindre bra förutsättningar för en sådan dialog. Detta talar emot att tillsynsansvaret skulle läggas på samma myndighet.

Utredningen om infrastruktur för hälsodata som nationellt intresse har bedömt att IVO ska inneha tillsynsansvaret för att säkerställa att regleringen kring teknisk åtkomst till patientuppgifter över vårdgivargränser och interoperabilitet inom ramen för hälsooch sjukvård följs. IVO:s befintliga tillsynsansvar innefattar tillsyn över vårdgivares skyldighet att ge andra vårdgivare elektronisk tillgång till vissa patientuppgifter på ett standardiserat sätt samt vårdgivares skyldighet att använda föreskrivna interoperabilitetslösningar vid frivillig delning av patientuppgifter. IVO har vidare uppdrag och möjlighet att agera på patientsäkerhetsrisker, vilket är något som kan uppstå vid brist på interoperabilitet. När det gäller tillsynsansvaret som en HDAB ska uppfylla är detta dock vare sig kopplat enkom till hälso- och sjukvårdssektorn eller till patientsäkerhet.

HDAB ska utöva tillsyn vad avser åtkomst till hälsodata för sekundäranvändning, det vill säga ett användningsområde som i huvudsak faller utanför vård av patient, till exempel forskning, kvalitetssäkring, statistik och utveckling av mjukvara. Flera av dessa områden bedrivs förvisso inom ramen för hälso- och sjukvårdssektorn och en betydande del av hälsodatainnehavarna

53

SOU 2012:33, Gör det enklare, sid 182 ff 54

SOU 2024:33 Delad hälsodata – dubbel nytta, sid 293

torde vara aktörer som figurerar inom denna sektor samt även inom socialtjänst, ett område som IVO har tillsyn över. Det kan således sammanfattningsvis konstateras att IVO torde har god kännedom om stora delar av området och goda förutsättningar att fullgöra uppgiften att vara HDAB med uppgift att utöva tillsyn. IVO har dessutom en regional närvaro, vilket också är ett argument för att tillsynsansvaret ska åläggas IVO.

Mot bakgrund av ovanstående föreslår utredningen därför att IVO ska utses till HDAB med uppgift att utöva tillsyn.

8.2.6 Övriga uppgifter för HDAB

Samverkan och samarbete

Genom de samtal utredningen haft med myndigheter som har verksamhet på området som omfattas av EHDS kan konstateras att de flesta inom sitt område har en aktiv samverkan och samarbete både på det nationella planet och inom EU. Flera myndigheter har inom sitt område på ett naturligt sätt mer fokus på internationell samverkan som till exempel Folkhälsomyndigheten, Statistiska Centralbyrån och Integritetsskyddsmyndigheten vilka samtliga har utpekade nationella samordningsansvar med mycket tydliga kopplingar till EU. Statistiska Centralbyrån är utpekad nationell statistikbyrå och Integritetsskyddsmyndigheten ingår i det europeiska samarbetet inom Europeiska dataskyddsstyrelsen (EDPB).

Av artikel 64 följer att European health data space board (EHDSboard) ska etableras för att facilitera samarbete och utbyte av information mellan medlemsstaterna och EU-kommissionen. EHDS-board ska utgöras av två representanter per medlemsstat, en för primäranvändningsändamål och en för sekundäranvändningsändamål, vilka nomineras av medlemsstaten. Utredningen föreslår att en representant från den samordnande HDAB:en utses för att representera sekundäranvändningsändamål.

Utredningen bedömer att den myndighet som utgör HDAB också får uppgiften att verka för samverkan och samarbete inom det område myndigheten erhållit sitt uppdrag. Om det uppstår några gränsdragningsfrågor för vilken myndighet som ska uppfylla ett

visst åtagande blir det upp till den samordnande HDAB:en enligt artikel 36.1 EHDS att strukturera arbetet och peka ut vilken myndighet som ska utföra uppgiften.

Information och rapportering

Samtliga myndigheter har erfarenhet av att tillhandhålla information inom sina respektive områden både på webbplatser och i mer specifika tjänster. Utredningen har inte kommit fram till några slutsatser kring att en eller vissa utpekade myndigheter skulle ha bättre förutsättningar för just informationsskyldigheten än andra.

Utredningen bedömer att den myndighet som utpekas till HDAB också erhåller uppgiften att ansvara för informationsskyldigheterna inom sitt eget område. Som exempel är det naturligt att myndigheten som ansvarar för att ta hand om den nationella datasetkatalogen också ser till att informationen om denna tas fram och kan publiceras offentligt samt vara åtkomlig på sådant sätt som krävs enligt förordningen. Utredningen anser att informationen bör ges på ett samlat sätt genom en ingång och inte splittrat mellan flera olika myndigheters webbplatser. Informationen till enskilda fysiska personer om deras rättigheter och om regleringen bör skiljas från informationen som riktar sig till datainnehavare och dataanvändare. Det ter sig rimligt att det är den koordinerande HDAB:en som har ansvaret att se till den samlade informationen uppfyller behov och krav även om denne inte kommer ta fram all information själv eller att vara ansvarig för att förvalta en eventuell portal. Om det skulle uppstå några gränsdragningsfrågor för vilken myndighet som ska uppfylla ett visst åtagande blir det upp till den samordnande HDAB:en enligt artikel 36.1 EHDS att strukturera arbetet och bidra till att tydliggöra vilken myndighet som ska utföra uppgiften.

8.2.7 Rollen samordnande HDAB

Vad gäller samordnande HDAB är det utredningens uppfattning att den myndighet som ska erhålla detta uppdrag bör vara den myndighet som har bäst förutsättningar att samla samtliga frågeställningar hos sig och erfarenhet av både nationell och

internationell samordning. Utredningen gör bedömningen att endast Socialstyrelsen och E-hälsomyndigheten är sektorsmyndigheter med den typen av breda uppdrag inom hälsodataområdet som gör att de kan övervägas för rollen som samordnande HDAB.

Socialstyrelsen arbetar inom hela hälsodataområdet, både som registerhållare, utlämnande för forskning, användning av hälsodata för kunskapsstyrning samt framtagande av föreskrifter. Statistik och data finns i alla delar av myndighetens kunskapsstyrning, som underlag för forskning, som underlag till normering och kunskapsstöd, som underlag till uppföljning och utvärdering. Internationellt arbetar Socialstyrelsen inom flera områden i EU bland annat som Sveriges kunskapsmyndighet för vård och omsorg och representerar därför Sverige i ett antal så kallade gemensamma åtgärder (EU joint-action). Nationellt har Socialstyrelsen en central roll som ordförande i RSK (rådet för styrning med kunskap) och har även i sitt föreskriftsarbete omfattande samverkan med andra myndigheter, regioner och kommuner.

E-hälsomyndighetens verksamhet är inte lika bred som Socialstyrelsens inom hälsodataområdet utan mer fokuserad till ehälsa och digital infrastruktur. Myndigheten ansvarar för register och it-funktioner som öppenvårdsapotek och vårdgivare behöver tillgång till för en patientsäker och kostnadseffektiv läkemedelshantering. Vidare samordnar myndigheten regeringens satsningar på e-hälsa och nationell digital infrastruktur för hälsooch sjukvård, tandvård och socialtjänst. Myndigheten har idag mycket begränsad verksamhet som avser sekundäranvändning av hälsodata. De fattar, i jämförelse med Socialstyrelsens verksamhet, fåtal beslut som fattas om utlämnande av läkemedelsstatistik. Myndigheten bedömer själva att det inte är rimligt att skala upp den utlämnandeverksamhet som finns till det som åligger HDAB, då det också kan handla om att fatta beslut för en annan organisations räkning. Myndigheten är idag en infrastrukturmyndighet för hälsaoch sjukvårdens och har inte samma närhet till eller erfarenhet och kunskap om vidareutlämning för forskningsändamål, hantering av data från flera register, pseudonymisering med mera. Dessa uppgifter anser utredningen utgör kärnan i det uppdrag som åligger HDAB.

Utredningen finner att övervägande skäl talar för att Socialstyrelsen erhåller rollen som samordnande HDAB. Myndigheten har ett stort ansvar inom sektorn när det gäller hanteringen av hälsodata för sekundäranvändning i stort och därtill en omfattande erfarenhet av samverkan såväl inom ramen för samarbete med andra myndigheter, gentemot aktörer inom vårdsektorn, forskning samt internationellt inom EU. Vidare hanterar myndigheten alla delar av processerna kring hälsodata både som registerhållare och därmed datainnehavare, i egenskap av att hantera och sammanslå stora mängder hälsodata för forskning och statistiska ändamål samt även tidigare erfarenheter av tillsyn på området. Myndigheten bedöms därför vara den mest rustade att vara samordnande HDAB för alla uppgifter som ingår i rollen.

Mot bakgrund av ovanstående resonemang föreslår utredningen att Socialstyrelsen utses till samordnande HDAB.

8.2.8 Rollen Nationell kontaktpunkt för sekundäranvändning

Utredningen gör, baserat på det som framgår av förordningen och det arbete som görs inom Healthdata@EU pilot, bedömningen att rollen som nationell kontaktpunkt handlar mycket om att utveckla och förvalta teknisk infrastruktur som möjliggör att information skickas över landsgränser på ett säkert och robust sätt. Med utgångspunkt i den bedömningen anser utredningen att det av störst vikt att ansvarig myndighet har en djup kunskap om it och informationssäkerhet kopplat till hälsodata snarare än en djup sakkunskap om den information som skickas.

Utredningen har övervägt om det är lämpligt och effektivt att hålla samman respektive skilja den samordnande HDAB med ansvar för beslut om datatillstånd, hantering av data och pseudonymisering från rollen som nationell kontaktpunkt med ansvar för att utveckla infrastrukturen för gränsöverskridande delning av hälsodata. En uppdelning mellan teknik och innehåll görs redan i Sverige idag när uppdrag avser såväl en innehållsmässig del som en infrastrukturkomponent. E-hälsomyndigheten bildades även med målsättningen om att kunna fördela ansvar för it-frågor inom hälsooch sjukvården på en separat aktör som byggde upp särskild förmåga för det.

E-hälsomyndigheten har de senaste tio åren deltagit i ett utvecklings- och implementationssammarbete avseende gränsöverskridande infrastruktur för delning av hälsodata. År 2016 utsågs E-hälsomyndigheten till Sveriges nationella kontaktpunkt för e-hälsa . Myndigheten har redan etablerat infrastruktur som kopplar upp Sverige mot EU:s tjänster för att utbyta e-recept och utvecklar även ytterligare komponenter för fler informationsmängder framöver. Även om själva komponenterna inte kan återanvändas, ser utredningen att myndigheten har byggt upp kunskap och erfarenhet även för arbetet med EHDS.

Mot bakgrund av ovanstående resonemang föreslår utredningen att E-hälsomyndigheten utses till nationell kontaktpunkt för sekundäranvändning. Utredningen vill emellertid framhålla vikten av en nära samverkan och dialog mellan den nationella kontaktpunkten för sekundäranvändning och samordnande HDAB (Socialstyrelsen) i detta arbete för att säkerställa att myndigheterna arbetar mot samma mål och delar relevant kunskap och information längs vägen. Socialstyrelsen och E-hälsomyndigheten är två myndigheter som har stor vana av att arbeta tillsammans i frågor som avser såväl sakfråga som it-infrastruktur.

8.2.9 Frågor att arbeta vidare med

Utredningens förslag utgår från att en organisationsstruktur avseende EHDS och sekundäranvändning av hälsodata, bygger på de berörda myndigheternas nuvarande roller. Under utredningen har dock flera utvecklingsområden lyfts, bland annat som handlar om myndigheternas organisation och förändringar av ansvarsområden. Utredningen har dock valt att inte föreslå några omedelbara stora förändringar av ansvarsområdena eftersom sådana förändringar kräver noggranna överväganden och det måste också vara troligt att vinster uppstår för samhället i form av effektivitet, kvalitet och kostnader. Utredningen ser dock att det finns ett par organisationsförändringar som skulle kunna övervägas, se avsnitt 8.2.1 och 8.2.4 samt kapitel 9.

55 S2015/08135/RS (delvis)

9 Konsekvenser för berörda myndigheter samt tillkommande regeringsuppdrag

9.1 Inledning

I utredningens första delredovisning Det europeiska hälsodataområdet - kostnadsuppskattningar och finansieringsförslag (S2024-00960) görs uppskattningar av de merkostnader EHDS kan föra med sig för ett antal myndigheter som bedöms beröras av EHDS. Bland dessa myndigheter återfanns Socialstyrelsen, E-hälsomyndigheten, Vetenskapsrådet och Statistiska centralbyrån. Uppskattningarna gjordes utifrån en version av EHDS som inte var färdigförhandlad. Utöver att det materiella innehållet inte var fastställt, var det heller inte fastställt när i tiden de olika bestämmelserna skulle träda i kraft. Därutöver fick myndigheterna göra kostnadsuppskattningarna utan att respektive myndighets framtida roll och ansvar var definierat.

Nedan följer några kommentarer till de tidigare redovisade kostnadsuppskattningarna som utgår från det förslag till organisatorisk lösning för HDAB som föreslagits i kapitel 8. I kapitlet redogörs även för andra frågor som bör omhändertas i de regeringsuppdrag som utredningen anser att myndigheterna bör få.

9.2 Konsekvenser för Socialstyrelsen

I den första delredovisningen uppskattade Socialstyrelsen kostnaderna till 73 miljoner kronor per år för ett utökat uppdrag inom sekundäranvändning av hälsodata. 23 miljoner kronor avsåg

personalkostnader för sekretessprövning och annan prövning av att få ut data. Utifrån det ansvar som utredningen föreslår att myndigheten ska få kan den tidigare gjorda uppskattningen i stora delar tjäna som utgångspunkt för en mer preciserad kostnadsuppskattning. Givet att det nu är tydliggjort när de olika bestämmelserna i EHDS ska träda i kraft, kan ytterligare preciseringar också göras av när i tiden kostnaderna kommer uppstå. En särskild bedömning behöver också göras om det krävs särskilda resurser för att Socialstyrelsen ska kunna agera som samordnande HDAB. En fråga som behöver utredas ytterligare är om medel behöver tillföras myndigheten för att genomföra de regeringsuppdrag som bedöms krävas för att förbereda myndigheterna för uppdraget som HDAB.

9.3 Konsekvenser för Statistiska centralbyrån (SCB)

Utredningens förslag är att SCB ska vara den myndighet som får ansvar för uppgiften om att tillhandahåller en säker behandlingsmiljö (en eller flera). Den säkra behandlingsmiljön kan, som redogjorts för ovan, utgöras av MONA. Därutöver kan andra säkra behandlingsmiljöer tillkomma utifrån identifierade behov och krav. SCB:s samarbete med Uppsala universitet i projektet BIANCA kan vara en sådan tillkommande behandlingsmiljö.

Som redogörs för i kap. 3.4.2 bedömer SCB att MONAplattformen behöver ses över om den ska utgöra en säker behandlingsmiljö enligt artikel 50 EHDS. Det gäller såväl hårdvara som mjukvara och arkitektur. Den planerade kostnaden för MONA under 2024 är 17,5 miljoner kronor. Samtliga kostnader kommer att öka om MONA skulle utgöra en säker behandlingsmiljö enligt EHDS. SCB uppger att det i dagsläget inte går att avgöra hur mycket MONA skulle behöva expandera för att kunna hantera de beställningar som i nuläget inte hanteras av myndigheten. I sammanhanget kan också nämnas att SCB i sitt budgetunderlag äskat om en resursförstärkning för åren 2025–2027 för att modernisera myndighetens datahantering.

Finansieringen av MONA sker idag genom en särskild modell där kostnaderna fördelas mellan Vetenskapsrådet och SCB:s övriga användare. Utredningens bedömning är, som SCB också framhåller,

att utvecklingsbehovet och utvecklingskostnaderna behöver utredas ytterligare. SCB bör därför tillsammans med Vetenskapsrådet och Socialstyrelsen i egenskap av samordnande HDAB få i uppdrag av regeringen att ytterligare precisera utvecklingskostnaderna, i vilken utsträckning nytta kan dras av andra pågående initiativ kring säkra behandlingsmiljöer (och som redan är statligt finansierade) och hur finansieringen ska gå till för de delar som specifikt avser EHDS. SCB behöver också specificera eventuella merkostnader som kan uppstå för myndigheten för att kunna verka som HDAB.

9.4 Konsekvenser för Vetenskapsrådet

Utredningens förslag är att metadatakatalogen RUT som Vetenskapsrådet tillhandahåller ska kunna utgöra ett underlag till den katalog som Socialstyrelsen ska tillhandahålla i sitt uppdrag som HDAB. Vilka resurser som behövs utöver de medel som Vetenskapsrådet redan idag använder för RUT, måste preciseras ytterligare. Vetenskapsrådet har till utredningen redovisat vilka delar av RUT som behöver utvecklas med anledning av EHDS. Socialstyrelsen och Vetenskapsrådet bör i ett gemensamt regeringsuppdrag få i uppgift att göra en mer utvecklad analys av vilket utvecklingsarbete som behöver göras med anledning av EHDS och hur myndigheterna på bästa sätt kan dra nytta av varandras resurser och om det kräver organisatoriska förändringar för att den bästa nyttan ska kunna uppstå.

Utredningen ser vidare att det finns behov av de it-tjänster och den kunskap som Vetenskapsrådet genom Sunet tillhandahåller. Utifrån utredningens uppdrag avses i första hand tillhandahållandet av en säker behandlingsmiljö. Utredningen ser emellertid även att Sunet har lång erfarenhet av arbete med säker digital identitet och autentisering. Utredningen föreslår, som nämns ovan, att Vetenskapsrådet tillsammans med SCB ska få i uppdrag att utreda hur tillhandahållandet av en eller flera säkra behandlingsmiljöer ska organiseras på ett optimalt sätt. Vidare ser utredningen att den erfarenhet, kompetens och infrastruktur inom området som Vetenskapsrådet/Sunet besitter bör tillvaratas i större utsträckning än idag även i andra infrastruktursatsningar inom ramen för utvecklingen av den nationella digitala infrastrukturen inom hälso-

och sjukvården, tillexempel i uppdraget om en vård- och omsorgsgivarkatalog.

9.5 Konsekvenser för IVO

Utredningen föreslår att IVO ska vara den myndighet som utövar tillsyn som en HDAB enligt EHDS. IVO bör dock även ha en utvecklad samverkan med IMY för att kunna fullgöra sitt tillsynsuppdrag.

IVO har i sitt underlag till utredningen anfört att myndigheten, om den som HDAB ska vara ansvarig för tillsynen närmare behöver utreda hur uppdraget skulle genomföras och vad det skulle kosta myndigheten att utveckla och driva det utökade uppdraget. IVO skulle även behöva fastställa ramarna för tillsynen (till exempel om tillsynen ska vara återkommande, exempelvis författningsreglerad att utföras med viss frekvens eller endast initieras efter riskbedömning), utveckla eventuella tekniska lösningar för stödsystem och inrapportering till dataanvändare och datahållare samt utreda vilka juridiska förutsättningarna som finns och som behöver tas fram. En utmaning enligt IVO skulle kunna vara kompetensförsörjningen eftersom tillsynen behöver bedrivas i gränslandet mellan teknik, hälsodata och forskning. Den juridiska kompetensen behöver då vara inom motsvarande områden.

Utredningens bedömning är att IVO bör få ett regeringsuppdrag där de återkommer till regeringen med preciserade beräkningar och en genomförandeplan för hur myndigheten ska organisera sig för att kunna utföra sitt uppdrag som HDAB. Uppdraget ska genomföras i samverkan med Socialstyrelsen som föreslås vara samordnande HDAB samt IMY.

9.6 Konsekvenser för E-hälsomyndigheten

Utredningen föreslår att E-hälsomyndigheten ska vara nationell kontaktpunkt för sekundäranvändning. Rollen kräver samverkan på såväl internationell som nationell nivå och då inte minst med Socialstyrelsen som samordnande HDAB.

E-hälsomyndigheten har i sina kostnadsuppskattningar till utredningens första delredovisning bland annat tagit höjd för roller som enligt utredningens förslag i denna promemoria ska tillfalla

andra myndigheter. I de underlag som E-hälsomyndigheten har inkommit med till utredningen finns inte någon egen kostnadsuppskattning avseende rollen som nationell kontaktpunkt.

En fråga som bör utredas är om myndigheten behöver tillföras ytterligare medel utöver de medel som redan tillförts myndigheten i uppdraget om genomförande av digital infrastruktur för vården (123

miljoner kronor för 2025 och 141 miljoner kronor för 2026). Ett

särskilt regeringsuppdrag bör ges E-hälsomyndigheten för att närmare precisera merkostnader för myndigheten med anledning av uppdraget som nationell kontaktpunkt samt hur det korrelerar med uppdraget som nationell kontaktpunkt för primäranvändningen. Uppdraget bör genomföras i nära samverkan med Socialstyrelsen.

9.7 Regeringsuppdrag till Socialstyrelsen, E-hälsomyndigheten, Vetenskapsrådet, Statistiska centralbyrån och IVO

Som angetts ovan är bedömningen att de berörda myndigheterna bör få särskilda regeringsuppdrag för att förbereda och anpassa myndigheterna för sina respektive roller. Uppdragen bedöms behöva löpa över flera år. En särskild bedömning bör därför göras av om myndigheterna är i behov av särskilda medel för att kunna genomföra uppdragen. Eftersom Socialstyrelsen föreslås vara samordnande HDAB kommer myndigheten att behöva vara involverad i samtliga regeringsuppdrag som ges till de övriga myndigheterna.