Promemoria

Förslag för nationell digital infrastruktur och genomförande av primäranvändning enligt det europeiska hälsodataområdet (EHDS)

Beteckning: Förslag för nationell digital infrastruktur och genomförande av primäranvändning enligt det europeiska hälsodataområdet (EHDS)
Typ: Promemoria
Datum: 2025-11-07

Hälsodata ska vara tillgänglig i hela vårdkedjan

Socialdepartementet

Inom ramen för uppdraget att möjliggöra en nationell digital infrastruktur för hälsodata (S 2024:A) har utredningen haft i uppdrag att analysera och lämna författningsförslag som rör den nationella digitala infrastrukturen samt som rör EHDS bestämmelser om primäranvändning av hälsodata och de övriga bestämmelser i EHDS som föreslås börja gälla två år efter förordningens ikraftträdande. Den föreliggande promemorian, Hälsodata ska vara tillgänglig i hela vårdkedjan, och som omhändertar ovanstående frågor, utgör utredningens fjärde delredovisning.

Stockholm den 30 september 2025

Mats Nilsson

Erika Olsson Lindberg Per Bergstrand Anna Carlson Helena Forsaeus Maria Jacobsson Patric Tirmèn

Sammanfattning

Relevanta hälsodata som bidrar till en god och säker vård ska vara tillgängliga i hela vårdkedjan oavsett var i landet en patient vårdas. Detta följer av regeringens ambition och Tidöavtalet. Förutsättningarna för en sådan målsättning är ett regelverk och en infrastruktur som inte bara stödjer utan även ställer krav på interoperabla system och informationsstrukturer. Inom EU har den nyligen beslutade förordningen om det europeiska hälsodataområdet (EHDS-förordningen) införts med en ambition att möjliggöra delning av hälsodata inom primär- och sekundäranvändning, såväl nationellt som inom EU. Syftet med EHDS-förordningen är – liksom regeringens och Tidöavtalets ambition – bland annat att hälsodata ska bli tillgängliga i hela vårdkedjan. Genom EHDS-förordningen införs direkt tillämpliga bestämmelser som utgör ett led i att uppnå regeringens och Tidöavtalets ambition. Ett nationellt regelverk för tillgång till hälsodata i hela vårdkedjan måste således vara anpassat till förordningens bestämmelser för att vara hållbar över tid. Den författningsreglering som utredningen föreslår i denna delrapport är därför anpassad till bestämmelser i EHDS-förordningen och avser de delar som berör hälso- och sjukvårdspersonals tillgång till hälsodata i syfte att ge patienter vård. Regeringens målsättning är att flödet av hälsodata ska förverkligas genom en nationell digital infrastruktur för elektroniskt informationsutbyte inom hälso- och sjukvården. Staten ska ta ett större ansvar och vara en garant för att den elektroniska delningen av hälsodata etableras och utvecklas över tid. För att möjliggöra detta krävs mandat och verktyg för en utpekad myndighet att bygga upp och administrera grundläggande delar av infrastrukturen. Det

behövs även regler och skyldigheter för aktörerna att fylla infrastrukturen med innehåll som kan användas för en god och säker vård samt rättigheter för den enskilde att kunna få en insyn i och påverka detta. Hur utredningens förslag möjliggör att hälso- och sjukvårdspersonal får tillgång till hälsodata illustreras i figur 1 nedan.

Figur 1. En översikt över hur hälso- och sjukvårdspersonal ges tillgång till hälsodata med stöd av de författningsförslag som utredningen lämnar.

Utredningens bedömningar och förslag i korthet

• Vårdgivare ska vara skyldiga att sinsemellan tillgängliggöra särskilt utpekade hälsodata enligt ett fastställt format. Det ska inte längre vara frivilligt för vårdgivare att möjliggöra delning av hälsodata. Nya bestämmelser i enlighet med EHDSförordningens krav föreslås. • Hälsodata ska vara tillgänglig endast när det behövs för vården av patienten. Patientens aktiva samtycke ska inte längre krävas för att möjliggöra vårdgivares åtkomst till annan vårdgivares elektroniska hälsodata. Patienter ges andra rättigheter och möjligheter att kunna påverka i vilken utsträckning hälsodata tillgängliggörs och delas och nya bestämmelser i enlighet med EHDS-förordningens krav föreslås. • Patienten har rätt att begränsa (spärra) hälso- och sjukvårdspersonalens tillgång till hans eller hennes hälsodata. Sådana spärrar får enligt EHDS-förordningen inte synas för hälso- och sjukvårdspersonal. Det ska fortsatt vara möjligt att bryta en spärr om patientens liv är i fara och patienten själv inte kan be om att spärren hävs. Regelverken om spärrar ska vara likadana för alla uppgifter i journalen och i den nationella läkemedelslistan. • Fysiska personer ska ha rätt att helt motsätta sig hälso- och sjukvårdspersonalens tillgång och därmed stå utanför elektroniskt tillgängliggörande av hans eller hennes hälsodata (opt-out). Om opt-out har valts får hälso- och sjukvårdspersonal inte ta del av patientens elektroniska journalhandlingar. Begränsningen gäller även när patientens liv är i fara. • Personer under 18 år har inte möjlighet att välja opt-out men kan begränsa tillgång genom spärr. • Utredningens föreslår i huvudsak ändringar i patientdatalagen, lagen om sammanhållen vård- och omsorgsdokumentation, lagen om nationell läkemedelslista, lagen om handel med läkemedel och offentlighets- och sekretesslagen. Ett flertal föreskrifter kan

komma att beröras av förändringarna och behöva ses över, framför allt sådana som Socialstyrelsen tillhandhåller. • En statlig nationell digital infrastruktur ska bidra till att hälsodata kan tillgängliggöras mellan alla vårdgivare. För detta ändamål föreslår utredningen en helt ny lag om nationell infrastruktur och tjänster för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet. • Den nya lagen ger en av regeringen utsedd statlig myndighet (Ehälsomyndigheten) ett författningsreglerat ansvar att föra nödvändiga register och tillhandahålla de it-funktioner som krävs för att vårdgivare på ett säkert och effektivt sätt ska kunna ge tillgång till och ta emot uppgifter i elektronisk form. • Den mängd hälsodata som ska tillgängliggöras ska utgå från de enligt EHDS-förordningen föreskrivna prioriterade kategorierna. Därutöver ska E-hälsomyndigheten ha rätt att föreskriva om ytterligare uppgifter för tillgängliggörande inom hälso- och sjukvården i Sverige samt ställa krav på vilket nationellt utbytesformat som ska tillämpas vid tillgängliggörandet. • En statlig tillgångstjänst ska inrättas för att säkerställa att Sverige uppfyller EHDS-förordningens krav om att hälso- och sjukvårdspersonal i Sverige ska ges tillgång till utpekade elektroniska hälsodata i en tillgångstjänst. E-hälsomyndigheten bör utses av regeringen att tillhandahålla denna tjänst. För att tillgång till uppgifter ska kunna ges i tillgångstjänsten föreslås bestämmelser om att vårdgivare på begäran ska tillgängliggöra utpekade hälsodata även till E-hälsomyndigheten. • Vårdgivare ska informera patienter om att elektroniska journaluppgifter tillgängliggörs och om patientens rättigheter att påverka spridningen av uppgifterna. Vidare ska vårdgivare informera patienten om de patientsäkerhetsrisker som kan följa om tillgång nekas eller begränsas. Socialstyrelsen bör få i uppdrag att ta fram underlag för att stödja vården i dialogen med patienten.

• Av utredningens konsekvensanalys framgår att uppskattningar av kostnader, besparingar och nyttor är behäftade med stor osäkerhet, eftersom huvudmän och vårdgivare ännu inte har full kännedom om de slutliga förutsättningarna för tillgängliggörandet av hälsodata. Det finns en risk för betydande och ojämnt fördelade kostnader mellan aktörer, men också en avsevärd besparings- och nyttopotential på längre sikt. När förutsättningarna har klargjorts kan mer precisa bedömningar göras och en ändamålsenlig modell för finansiering utformas.

1 Författningsförslag

1.1 Förslag till lag om nationell infrastruktur och tjänster för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet

1 kap. Inledande bestämmelser

Lagens tillämpningsområde och syfte

1 § Denna lag tillämpas på den statliga verksamhet som ska bidra till att uppgifter i elektronisk form, som en vårdgivare behandlar för vården av patienter, kan göras tillgängliga för dem och deras företrädare, samt för andra vårdgivare. För elektroniskt tillgängliggörande av uppgifter om förskrivna och expedierade läkemedel gäller lagen (2018:1212) om nationell läkemedelslista.

2 § Lagen syftar till att bidra till ökad vårdkvalitet och patientsäkerhet samt att minska den administrativa bördan för hälso- och sjukvårdens medarbetare genom att de, på ett säkert och effektivt sätt, ges tillgång till relevanta personuppgifter som är nödvändiga för de arbetsuppgifter som ska utföras. Lagen syftar också till att personuppgifter behandlas så att patienters och övriga registrerades rättigheter tillgodoses och deras integritet respekteras.

Lagens förhållande till annan reglering

3 § Lagen kompletterar Europaparlamentets och rådets förordning (EU) 2016/697 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävandet av direktiv 95/46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskyddsförordning. Ord och uttryck i denna lag har samma betydelse som i förordningen. Vid behandling av personuppgifter enligt denna lag gäller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddförordning och föreskrifter som meddelas i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som meddelas i anslutning till lagen.

4 § Lagen innehåller vissa bestämmelser som kompletterar 1. Europaparlamentets och rådets förordning (EU) 2025/327 av den 11 februari 2025 om det europeiska hälsodataområdet och om ändring av direktiv 2011/24/EU och förordning (EU) 2024/2847, här benämnd EU:s förordning om det europeiska hälsodataområdet, och 2. lagen (202X:00) med kompletterande bestämmelser till EU:s förordning om det europeiska hälsodataområdet. Bestämmelser i lagen med kompletterande bestämmelser till EU:s förordning om det europeiska hälsodataområdet ska tillämpas om inte annat följer av denna lag eller föreskrifter som meddelas i anslutning till lagen.

Ord och uttryck i lagen

5 § I lagen avses med 1. vårdgivare : statlig myndighet, region och kommun i fråga om sådan hälso- och sjukvård som myndigheten, regionen eller kommunen har ansvar för, samt annan juridisk person eller enskild närings-idkare som bedriver hälso- och sjukvård, och 2. hälso- och sjukvård : verksamhet som avses i hälso- och sjukvårdslagen (2017:30), tandvårdslagen (1985:125), lagen (1991:1128) om psykiatrisk tvångsvård, lagen (1991:1129) om rättspsykiatrisk vård, smittskyddslagen (2004:168), lagen (2006:351) om genetisk

integritet m.m., lagen (2019:1297) om koordineringsinsatser för sjukskrivna patienter, lagen (2024:237) om vissa kirurgiska ingrepp i könsorganen, den upphävda lagen (1944:133) om kastrering samt den upphävda lagen (1972:119) om fastställande av könstillhörighet i vissa fall.

2 kap. Ansvarig myndighets verksamheter

Ansvarig myndighet

1 § Den statliga myndighet som regeringen bestämmer ska ansvara för den verksamhet som anges i 2 § och den verksamhet som anges i 4 §.

Infrastruktur för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet

2 § Den ansvariga myndigheten ska föra nödvändiga register och tillhandahålla de it-funktioner som krävs för att vårdgivare på ett säkert och effektivt sätt ska kunna ge tillgång till och ta emot uppgifter i elektronisk form i enlighet med 6 kap. patientdatalagen (2008:355) och föreskrifter som meddelas med stöd av den lagen. Dessa register och it-funktioner (infrastrukturen) ska åtminstone möjliggöra 1. att sådana uppgifter som avses i första stycket kan lokaliseras hos vårdgivare i syfte att effektivisera det elektroniska informationsutbytet, 2. att vårdgivare kan se till att uppgifter som avses i första stycket inte görs elektroniskt tillgängliga, om patienten motsatt sig det eller begränsat den elektroniska tillgången till uppgifterna, och 3. att vårdgivare kan försäkra sig om att en patients ombud och andra företrädare är behöriga att få elektronisk tillgång till uppgifter som avses i första stycket. I lagen (2026:00) om insamling och tillhandahållande av vissa uppgifter om hälso- och sjukvårdsverksamheter finns bestämmelser om den nationella katalogen för vårdgivar- och vårdutbudsinformation.

3 § Den ansvariga myndigheten ska till vårdgivare tillhandahålla uppgifter som behandlas i de register och it-funktioner som avses i 2§.

Tillgångstjänst för hälso- och sjukvårdspersonal

4 § Den ansvariga myndigheten ska tillhandahålla en sådan tillgångstjänst för hälso- och sjukvårdspersonal som avses i artikel 12 i EU:s förordning om det europeiska hälsodataområdet. Tillgångstjänsten enligt första stycket ska säkerställa att hälsooch sjukvårdspersonal, när de vårdar en patient, har tillgång till sådana personuppgifter som behandlas för ändamål som anges i 2 kap. 4 § första stycket 1 och 2 patientdatalagen (2008:355) och tillgängliggörs elektroniskt av vårdgivare i enlighet med 6 kap. samma lag.

Rätt att meddela föreskrifter

5 § Regeringen eller den myndighet som regeringen bestämmer får meddela närmare föreskrifter om 1. funktionaliteten för och användningen av de register och itfunktioner som den ansvariga myndigheten ska ansvara för eller tillhandahålla enligt 2 §, och 2. vilka uppgifter som ska lämnas ut enligt 3 § och hur utlämnandet ska fullgöras.

3 kap. Ansvarig myndighets behandling av personuppgifter

Kapitlets tillämpningsområde

1 § Bestämmelserna i detta kapitel tillämpas vid behandling av personuppgifter vid den ansvariga myndighetens verksamheter enligt denna lag och föreskrifter som meddelas med stöd av lagen. Bestämmelserna gäller endast om behandlingen är helt eller delvis automatiserad eller om personuppgifterna ingår i eller kommer att ingå i ett register.

Bestämmelserna gäller i tillämpliga delar även vid behandling av uppgifter om avlidna.

Rätten att göra invändningar

2 § Artikel 21.1 i EU:s dataskyddsförordning om rätten att göra invändningar gäller inte vid sådan behandling som är tillåten enligt denna lag eller föreskrifter som meddelas i anslutning till lagen.

Personuppgiftsansvar

3 § Den ansvariga myndigheten är personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför enligt denna lag och föreskrifter som meddelas i anslutning till lagen.

Ändamål

4 § Den ansvariga myndigheten får behandla personuppgifter om det är nödvändigt för att kunna utföra sina uppgifter att föra de register och tillhandahålla de it-funktioner som avses i 2 kap. 2 §, och att tillhandahålla en statlig tillgångstjänst för hälso- och sjukvårdspersonal enligt 2 kap. 4 §.

Känsliga personuppgifter

5 § Personuppgifter som avses i artikel 9.1 i EU:s dataskyddsförordning (känsliga personuppgifter) får behandlas med stöd av artikel 9.2 g och 9.2 h i förordningen, om det är nödvändigt med hänsyn till ändamålet med behandlingen.

Elektroniskt utlämnande av personuppgifter

6 § Personuppgifter och andra uppgifter som behandlas i de register och it-funktioner som anges i 2 kap. 2 § får lämnas ut elektroniskt, dock inte genom direktåtkomst.

Tillgång till personuppgifter inom den ansvariga myndigheten

7 § Tillgången till personuppgifter ska begränsas till det som var och en behöver för att kunna fullgöra sina arbetsuppgifter. Åtkomsten till personuppgifter ska kontrolleras och följas upp regelbundet.

Bevarande av uppgifter

8 § Personuppgifter och andra uppgifter i de register som avses i 2 kap. 2 § får inte behandlas under längre tid än vad som behövs med hänsyn till ändamålet med behandlingen.

Rätt att meddela föreskrifter

9 § Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om gallring av allmänna handlingar som förekommer inom den ansvariga myndighetens verksamheter enligt 2 kap. 2 och 4 §§. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om 1. begränsningar och preciseringar av ändamålen enligt 4 §, och 2. vilka uppgifter som får behandlas i de register och it-funktioner som avses i 2 kap. 2 §.

4 kap. Krav på vårdgivare

1 § Vårdgivare ska till den ansvariga myndigheten lämna de uppgifter som är nödvändiga för syftet med de register och itfunktioner som avses i 2 kap. 2 §, samt från myndigheten ta emot uppgifter som behandlas i sådana register och it-funktioner.

2 § Vårdgivare ska ansluta sina system för elektronisk journalföring till de register och it-funktioner som avses i 2 kap. 2 §. I lagen (2026:00) med kompletterande bestämmelser till EU:s förordning om det europeiska hälsodataområdet finns bestämmelser

om krav på anslutning till den nationella kontaktpunkten för digital hälsa.

3 § En vårdgivare ska vid varje tidpunkt uppfylla de krav på teknisk och organisatorisk säkerhet som är nödvändiga för att säkerställa 1. att uppgifter i elektronisk form ska kunna lämnas till och tas emot från de register och it-funktioner som avses i 2 kap. 2 §, och 2. att uppgifter, i enlighet med 6 kap. patientdatalagen (2008:355), ska kunna tillgängliggöras och tas emot i den statliga tillgångstjänsten enligt 2 kap. 4 §.

4 § Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om undantag från kraven enligt 1 och 2 §§. Regeringen eller den myndighet som regeringen bestämmer får meddela närmare föreskrifter om 1. vilka uppgifter som ska lämnas och tas emot enligt 1 § och hur skyldigheten ska fullgöras, 2. hur kravet på anslutning enligt 2 § ska fullgöras, och 3. tekniska och organisatoriska krav på säkerhet hos vårdgivare enligt 3 §.

Denna lag träder i kraft den 26 mars 2029.

1.2 Förslag till lag om ändring i patientdatalagen (2008:355)

Härmed föreskrivs i fråga om patientdatalagen (2008:355) dels att 1 kap. 4 §, 2 kap. 2 och 6 §, 3 kap. 1 §, 4 kap. 1–4, och 5 §§, 5 kap. 4 §, 8 kap. 6 och 7 §§, rubriken till 4 kap. och rubrikerna närmast före 4 kap. 1, 2, 3 och 4 §§ ska ha följande lydelse, dels att det ska införas ett nytt kapitel, 6 kap., och 4 nya paragrafer, 3 kap. 7 a §, 4 kap. 4 a, 4 b, och 5 a §§, av följande lydelse.

1 kap.

4 §

Denna lag innehåller bestämmelser som kompletterar EU:s dataskyddsförordning, vid sådan behandling av personuppgifter inom hälso- och sjukvården som är helt eller delvis automatiserad eller där uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Vid behandling av personuppgifter som avses i första stycket gäller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen. I lagen (2022:913) om sam- Ytterligare bestämmelser om manhållen vård- och omsorgs- vårdgivares behandling av persondokumentation finns ytterligare uppgifter inom hälso- och sjukbestämmelser om vårdgivares vården finns i Europaparlabehandling av personuppgifter mentets och rådets förordinom hälso- och sjukvården. ning (EU) 2025/327 av den 11 februari 2025 om det europeiska hälsodataområdet och om ändring av direktiv 2011/24/EU och förordning (EU) 2024/2847, här

1 Senaste lydelse 2022:915.

benämnd EU:s förordning om det europeiska hälsodataområdet.

2 kap.

2 § Behandling av personupp- Behandling av personuppgifter som är tillåten enligt denna gifter som är tillåten enligt denna lag får utföras även om den lag får utföras även om den enskilde motsätter sig den. Det enskilde motsätter sig den. Det gäller dock inte i de fall som gäller dock inte i de fall som anges i 4 kap. 4 § och 7 kap. 2 § anges i 4 kap. 4 §, 6 kap. 8 § och eller om något annat framgår av 7 kap. 2 § eller om något annat annan lag eller förordning . framgår av annan lag eller förordning.

6 § 3 En vårdgivare är personuppgiftsansvarig för den behandling av personuppgifter som vårdgivaren utför. I en region och en kommun är varje myndighet som bedriver hälso- och sjukvård personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför. Personuppgiftsansvaret en- Personuppgiftsansvaret enligt första stycket omfattar även ligt första stycket omfattar även sådan behandling av person- sådan behandling av personuppgifter som vårdgivaren, eller uppgifter som vårdgivaren, eller den myndighet i en region eller den myndighet i en region eller en kommun som är person- en kommun som är personuppgiftsansvarig, utför när uppgiftsansvarig, utför när vårdgivaren eller myndigheten vårdgivaren eller myndigheten genom direktåtkomst i ett genom direktåtkomst eller annat enskilt fall bereder sig tillgång till elektroniskt utlämnande i ett personuppgifter om en patient enskilt fall bereder sig tillgång till hos en annan vårdgivare eller personuppgifter om en patient

2 Senaste lydelse 2022:915.

annan myndighet i samma region hos en annan vårdgivare eller eller kommun. annan myndighet i samma region eller kommun. I 7 kap. och i 4 kap. 1 § I 6 kap. och 7 kap. samt i lagen (2022:913) om samman- 4 kap. 1 § lagen (2022:913) om hållen vård- och omsorgsdoku- sammanhållen vård- och mentation finns särskilda omsorgsdokumentation finns bestämmelser om personupp- särskilda bestämmelser om giftsansvar. personuppgiftsansvar.

3 kap.

4 1 § Vid vård av patienter ska det föras patientjournal. En patientjournal ska föras för varje patient och får inte vara gemensam för flera patienter. I lagen (2022:913) om sam- I 6 kap. finns bestämmelser manhållen vård- och omsorgs- om vårdgivares tillgängligdokumentation finns bestäm- görande av uppgifter för elekmelser om tillgång, genom troniskt informationsutbyte . I direktåtkomst eller annat lagen (2022:913) om samelektroniskt utlämnande, till manhållen vård- och omsorgsandra vårdgivares uppgifter om dokumentation finns bestämpatienter genom sammanhållen melser om tillgång, genom vård- och omsorgsdokumenta- direktåtkomst eller annat tion. elektroniskt utlämnande till omsorgsgivares uppgifter om patienter genom sammanhållen vård- och omsorgsdokumentation.

7 a §

Om uppgifter i patientjournalen behandlas elektroniskt ska de registreras på sådant sätt att

4 Senaste lydelse 2022:915.

de kan tillgängliggöras och tas emot i enlighet med 6 kap. 3 och 4 §§. Vårdgivare som ska tillgängliggöra och ta emot uppgifter enligt 6 kap. ska ha sådana tekniska system för journalföring som uppfyller kraven avseende elektroniska hälsodokumentationssystem enligt EU:s förordning om det europeiska hälsodataområdet. I kommissionens genomförandeförordning (EU) 2027/XX av den 26 mars 2027 […] finns bestämmelser om datakvalitetskrav som ska tillämpas vid registrering enligt första stycket.

4. kap. Grundläggande 4. kap. Grundläggande bestämmelser om inre sekretess bestämmelser om tillgång till och elektronisk åtkomst inom en uppgifter om en patient vårdgivares verksamhet

Inre sekretess Hälso- och sjukvårdspersonals tillgång till uppgifter om en patient

1 § Den som arbetar hos en Den som arbetar hos en vårdgivare får ta del av doku- vårdgivare får ta del av dokumenterade uppgifter om en menterade uppgifter om en patient endast om han eller hon patient endast om han eller hon deltar i vården av patienten eller 1. deltar i vården av patienten av annat skäl behöver upp- och uppgifterna är relevanta och

gifterna för sitt arbete inom nödvändiga för patientens vård , hälso- och sjukvården. eller 2. av annat skäl behöver uppgifter för sitt arbete inom hälso- och sjukvården. Första stycket 1 gäller också för sådana uppgifter om en patient som tillgängliggörs av andra vårdgivare enligt 6 kap.

Tilldelning av behörighet för Tilldelning av behörighet för elektronisk åtkomst elektronisk tillgång till uppgifter om en patient

2 §

En vårdgivare ska bestämma En vårdgivare ska bestämma villkor för tilldelning av be- villkor för tilldelning av behörighet för åtkomst till sådana hörighet för tillgång till sådana uppgifter om patienter som förs uppgifter om patienter som helt eller delvis automatiserat. förs helt eller delvis auto- Sådan behörighet ska begränsas matiserat. Sådan behörighet ska till vad som behövs för att den begränsas till vad som behövs enskilde ska kunna fullgöra sina för att den enskilde ska kunna arbetsuppgifter inom hälso- och fullgöra sina arbetsuppgifter sjukvården. inom hälso- och sjukvården. Personuppgifter som behand- Personuppgifter som behandlas i en utredning enligt las i en utredning enligt lagen (2018:744) om försäk- lagen (2018:744) om försäkringsmedicinska utredningar för ringsmedicinska utredningar för ändamål som anges i 2 kap. 4 § ändamål som anges i 2 kap. 4 § första stycket 1 och 2 får inte första stycket 1 och 2 får inte göras tillgängliga genom elek- göras tillgängliga genom elektronisk åtkomst för den som tronisk åtkomst för den som arbetar vid en annan vårdenhet arbetar vid en annan vårdenhet eller inom en annan vårdprocess eller inom en annan vårdprocess hos samma vårdgivare. I den hos samma vårdgivare. I den

5 Senaste lydelse 2022:915.

lagen finns särskilda bestämmel- lagen finns särskilda bestämmelser om elektronisk åtkomst vid ser om elektronisk tillgång vid sådana utredningar. sådana utredningar. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela närmare föreskrifter om tilldelning av behörighet enligt första stycket för åtkomst till uppgifter som förs helt eller delvis automatiserat.

Kontroll av elektronisk Kontroll av elektronisk tillåtkomst gång till uppgifter om en patient

3 § En vårdgivare ska se till att En vårdgivare ska se till att åtkomst till sådana uppgifter om tillgång till sådana uppgifter om patienter som förs helt eller del- patienter som förs helt eller delvis automatiserat dokumenteras vis automatiserat dokumenteras och kan kontrolleras. Vårdgivare och kan kontrolleras. Vårdgivare ska göra systematiska och åter- ska göra systematiska och återkommande kontroller av om kommande kontroller av om någon obehörigen kommer åt någon obehörigen kommer åt sådana uppgifter. sådana uppgifter. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela närmare föreskrifter om dokumentation och kontroll enligt första stycket.

Patientens möjlighet att Rätt att begränsa elektronisk begränsa elektronisk åtkomst tillgång till uppgifter för för vårdsyfte vårdsyfte

4 § Personuppgifter som doku- En patient har rätt att begränsa menterats för ändamål som anges elektronisk tillgång till en eller i 2 kap. 4 § första stycket 1 och 2 samtliga personuppgifter om hos en vårdenhet eller inom en honom eller henne som behandlas

6 Senaste lydelse 2022:915.

vårdprocess får inte göras för ändamål som anges i 2 kap. tillgängliga genom elektronisk 4 § första stycket 1 och 2. åtkomst för den som arbetar vid en annan vårdenhet eller inom en annan vårdprocess hos samma vårdgivare, om patienten motsätter sig det. I sådana fall ska uppgiften genast spärras. Vårdnadshavare till ett barn En begränsning enligt första har dock inte rätt att spärra stycket får dock inte göras mot den barnets uppgifter. vårdenhet eller den vårdprocess inom vilken uppgifterna dokumenterades. Uppgift om att det finns Patienten får begära att en spärrade uppgifter får vara begräsning enligt första stycket ska tillgänglig för andra vårdenheter tas bort. eller vårdprocesser.

4 a § Om en patient begär en begränsning enligt 4 § första stycket ska uppgifterna genast spärras. Uppgifterna får inte göras tillgängliga genom elektronisk tillgång för den eller dem mot vilken begränsningen gäller. Det får inte framgå att uppgifter om patienten är spärrade för andra än den vårdenhet eller vårdprocess som dokumenterat dem.

4 b § Vårdnadshavare till ett barn har inte rätt att begränsa elektronisk tillgång till barnets

uppgifter för vårdgivare inom Sverige.

5 § En spärr enligt 4 § första En spärr enligt 4 a § första stycket får hävas av en behörig stycket får hävas av en behörig befattningshavare hos vård- befattningshavare hos vårdgivaren, om givaren, om 1. patienten samtycker till det, 1. patientens liv är i fara, eller eller en allvarlig risk för patientens 2. patientens samtycke inte kan hälsa föreligger, och inhämtas och informationen kan 2. patienten saknar förmåga att antas ha betydelse för den vård själv begära att spärren ska hävas. som patienten oundgängligen behöver . Uppgift om vårdenheter eller vårdprocesser som spärrat uppgifterna ska i det fall som avses i 2 göras tillgängliga. Därefter får bara sådana uppgifter som kan antas ha betydelse för vården av patienten göras tillgängliga.

5 a § Vårdgivaren ska informera patienten om att en begränsning av elektronisk tillgång till uppgifter enligt 4 § första stycket kan påverka tillhandahållandet av hälso- och sjukvård till honom eller henne.

5 kap.

4 § 7 Utlämnande genom direktåtkomst till personuppgifter är tillåten endast i den utsträckning som anges i lag eller förordning. Om en region eller en kommun bedriver hälso- och sjukvård genom flera myndigheter, får en sådan myndighet ha direktåtkomst till personuppgifter som behandlas av någon annan sådan myndighet i samma region eller kommun. Ytterligare bestämmelser om Ytterligare bestämmelser om direktåtkomst och annat elek- direktåtkomst och annat elektroniskt utlämnande finns i 5 §, troniskt utlämnande finns i 5 §, 7 kap. 9 § och i lagen (2022:913) 6 kap. , 7 kap. 9 § och i om sammanhållen vård- och lagen (2022:913) om sammanomsorgsdokumentation. hållen vård- och omsorgsdokumentation.

6 kap. Vårdgivares tillgängliggörande av uppgifter för elektroniskt informationsutbyte

Inledande bestämmelser

1 § Detta kapitel gäller för en vårdgivare som ska ge andra vårdgivare tillgång till patienters elektroniska personuppgifter som behandlas för ändamål som anges i 2 kap. 4 § första stycket 1 och 2. Regeringen eller den myndighet regeringen bestämmer får meddela föreskrifter om undantag från skyldighet och från möjlighet

7 Senaste lydelse 2022:915.

att tillgängliggöra uppgifter för elektroniskt informationsutbyte enligt detta kapitel.

2 § I lagen (20XX:00) om nationell infrastruktur och tjänster för elektroniskt informationsutbyte finns bestämmelser om den statliga verksamhet som ska bidra till att vårdgivare på ett säkert och effektivt sätt kan elektroniskt tillgängliggöra och ta emot uppgifter enligt bestämmelser i detta kapitel. I lagen (2018:1212) om nationell läkemedelslista finns bestämmelser som gäller för vårdgivares tillgängliggörande av och tillgång till uppgifter om förskrivna och expedierade läkemedel. I lagen (2022:913) om sammanhållen vård- och omsorgsdokumentation finns bestämmelser om vårdgivares tillgång, genom direktåtkomst eller annat elektroniskt utlämnande, till omsorgsgivares uppgifter om patienter.

Tillgängliggörande av uppgifter

3 § En vårdgivare ska, genom direktåtkomst eller annat elek-

troniskt utlämnande, ge en annan vårdgivare tillgång till 1. uppgifter som omfattas av artikel 14.1 a–c i EU:s förordning om det europeiska hälsodataområdet, och 2. uppgifter som omfattas av artikel 14.1 d–f i samma förordning. . Uppgifter enligt första stycket ska tillgängliggöras, och av andra vårdgivare kunna tas emot, i det europeiska formatet för utbyte av elektronisk hälsodokumentation enligt artikel 15 i EU:s förordning om det europeiska hälsodataområdet och enligt föreskrifter som meddelas med stöd av denna lag.

4 § En vårdgivare ska, genom direktåtkomst eller annat elektroniskt utlämnande, ge en annan vårdgivare tillgång till vissa andra uppgifter om en patient än de som anges i 3 §. Tillgången enligt första stycket får bara avse sådana personuppgifter som behandlas för ändamål som anges i 2 kap. 4 § första stycket 1 och 2. Skyldigheten gäller 1. vid en vårdgivares tillgängliggörande av uppgifter för andra vårdgivare inom Sverige, och 2. om uppgifterna som ska tillgängliggöras och tas emot omfattas

av föreskrifter om specifikationer som meddelas med stöd av 13 §.

5 § En vårdgivare får, genom direktåtkomst eller annat elektroniskt utlämnande, ge en annan vårdgivare i Sverige tillgång till sådana uppgifter som avses i 4 §, även om det för uppgifterna inte finns krav på tillgängliggörande enligt föreskrifter om specifikationer som meddelas med stöd av 13 §.

6 § Uppgifter om en patient som behandlas av en vårdgivare för ändamål som anges i 2 kap. 4 § första stycket 1 och 2 får inte göras tillgängliga för andra vårdgivare enligt 3–5 §§, om patienten har motsatt sig tillgängliggörande enligt 8 §. I 4 kap. finns särskilda bestämmelser om att en vårdgivare inte får göra uppgifter elektroniskt tillgängliga, om patienten har begränsat tillgången för uppgifterna.

7 §

Under samma förutsättningar som anges i 3–6 §§ ska en vårdgivare på begäran

1. tillgängliggöra sådana uppgifter som avses i 3–5 §§ för den myndighet som ansvarar för den statliga tillgångstjänsten för hälsooch sjukvårdspersonal enligt lagen (202X:00) om nationell infrastruktur och tjänster för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet, och 2. tillgängliggöra sådana uppgifter som avses i 3 § för den nationella kontaktpunkten för digital hälsa enligt lagen (20XX:00) med kompletterande bestämmelser till EU:s förordning om det europeiska hälsodataområdet.

Rätt att motsätta sig elektroniskt tillgänggörande av personuppgifter

8 § En patient har rätt begära att uppgifter om honom eller henne som en vårdgivare behandlar för ändamål som anges i 2 kap. 4 § första stycket 1 och 2, inte görs tillgängliga för elektroniskt informationsutbyte enligt detta kapitel. I så fall ska uppgifterna genast blockeras för sådant informationsutbyte. En patient som motsatt sig tillgängliggörande av uppgifter enligt första stycket får begära att

vårdgivaren åter gör dessa tillgängliga för elektroniskt informationsutbyte.

9 § Rätten att motsätta sig att uppgifter görs elektroniskt tillgängliga enligt 8 § gäller inte för den som inte har fyllt arton år. En vårdnadshavare för ett barn får inte motsätta sig att uppgifter om barnet görs elektroniskt tillgängliga för andra vårdgivare.

10 § En vårdgivare ska informera patienten om att det allvarligt kan påverka tillhandahållandet av hälso- och sjukvård, om uppgifter inte får göras tillgängliga för elektroniskt informationsutbyte .

Personuppgiftsansvar bevarande och gallring

11 § Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om vem som ska ha personuppgiftsansvar för övergripande frågor om tekniska och organisatoriska säkerhetsåtgärder vid vårdgivares elektroniska tillgängliggörande enligt 3–5 §§.

I 2 kap. 6 § finns allmänna bestämmelser om personuppgiftsansvar.

12 § När uppgifter är tillgängliga för flera vårdgivare enligt bestämmelserna i detta kapitel gäller skyldigheten att bevara uppgifterna endast för den vårdgivare som ansvarar för dem.

Övriga föreskriftsbemyndiganden

13 § Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om 1. vilka uppgifter som ska tillgängliggöras enligt 4 §, och 2. hur uppgifter ska tillgängliggöras enligt 3 och 4 §§, inklusive de nationella specifikationer som, utöver vad som följer av denna lag och kommissionens genomförandeförordning [XXX], ska tillämpas vid tillgängliggörandet inom Sverige.

8 kap.

6 § 8 Utöver vad som framgår av artiklarna 13 och 14 i EU:s dataskyddsförordning ska den som är personuppgiftsansvarig enligt denna lag lämna information till den registrerade om 1. den uppgiftsskyldighet som kan följa av lag eller förordning, 2. de sekretess- och säkerhetsbestämmelser som gäller för uppgifterna och behandlingen, 3. rätten enligt 4 kap. 4 § att i vissa fall begära att uppgifter spärras, 4. att uppgifter som behandlas för att bereda en patient vård, ska och får göras elektroniskt tillgängliga av vårdgivare enligt bestämmelser i 6 kap. om elektroniskt informationsutbyte, om inte patienten motsatt sig det enligt 6 kap. 8 §, 4. rätten enligt 5 § att få 5. rätten enligt 5 § att få information om den åtkomst information om den åtkomst som förekommit som förekommit, 5. rätten enligt artikel 82 i 6. rätten enligt artikel 82 i EU:s dataskyddsförordning och EU:s dataskyddsförordning och 7 kap. 1 § lagen (2018:218) med 7 kap. 1 § lagen (2018:218) med kompletterande bestämmelser kompletterande bestämmelser till EU:s dataskyddsförordning till EU:s dataskyddsförordning till skadestånd vid behandling av till skadestånd vid behandling av personuppgifter i strid med personuppgifter i strid med denna lag, och denna lag, och 6 . vad som gäller i fråga om 7. vad som gäller i fråga om sökbegrepp, direktåtkomst, ut- sökbegrepp, direktåtkomst, utlämnande av uppgifter på lämnande av uppgifter på medium för automatiserad be- medium för automatiserad behandling och annat elektroniskt handling och annat elektroniskt utlämnande. utlämnande.

8 Senaste lydelse 2022:915.

I 7 kap. 3 § och i 2 kap. 2 § lagen (2022:913) om sammanhållen vård- och omsorgsdokumentation finns ytterligare bestämmelser om vilken information som ska lämnas i vissa fall.

7 §

I denna lag finns föreskrifter I denna lag finns föreskrifter om andra rättigheter för den om andra rättigheter för den enskilde i 3 kap. 8 § och 4 kap. 4 § enskilde i 3 kap. 8 §, 4 kap. 4 §, samt 7 kap. 2 och 3 §§. Sådana och 6 kap. 8 § samt 7 kap. 2 och föreskrifter finns även i 2 kap. 3 §§. Sådana föreskrifter finns 3 § första stycket lagen även i 2 kap. 3 § första stycket (2022:913) om sammanhållen lagen (2022:913) om sammanvård- och omsorgsdokumenta- hållen vård- och omsorgsdokution. mentation .

1. Denna lag träder i kraft den 26 mars 2029. 2. Bestämmelsen i 6 kap. 3 § 2 ska börja tillämpas den 26 mars 2031.

9 Senaste lydelse 2022:915.

1.3 Förslag till lag om ändring i lagen (2009:366) om handel med läkemedel

Härmed föreskrivs i fråga om lagen (2009:366) om handel med läkemedel, dels att 2 kap. 6 § ska ha följande lydelse, och dels att det ska införas en ny paragraf, 2 kap. 11 b §, av följande lydelse.

2 kap.

6 §

10 Senaste lydelse 2021:1126.

8. utöva särskild kontroll (egenkontroll) över detaljhandeln och hanteringen i övrigt och se till att det finns ett för verksamheten lämpligt egenkontrollprogram, 9. på begäran utfärda intyg enligt 3 a § lagen (1992:860) om kontroll av narkotika, 10. på begäran erbjuda konsumenter delbetalning av läkemedel och varor som omfattas av lagen om läkemedelsförmåner m.m., 11. tillhandahålla individuell och producentoberoende information och rådgivning om läkemedel, utbyte av läkemedel, läkemedelsanvändning och egenvård till konsumenter samt se till att informationen och rådgivningen endast lämnas av personal med tillräcklig kompetens för uppgiften, 12. ha ett för Läkemedelsverket registrerat varumärke för öppenvårdsapotek väl synligt på apoteket, 13. i de fall tillståndshavaren inte direkt kan tillhandahålla ett läkemedel eller en vara som avses i 3, informera konsumenten om på vilket eller vilka öppenvårdsapotek läkemedlet eller varan finns för försäljning, 14. uppfylla de krav avseende säkerhetsdetaljer som följer av kommissionens delegerade förordning (EU) 2016/161, och 15. vid expediering av en förskrivning av läkemedel för behandling av djur lämna uppgifter till E-hälsomyndigheten. Uppgifter enligt första stycket 5 och 6, som utgör prioriterade kategorier av hälsodata med personuppgifter enligt Europaparlamentets och rådets förordning (EU) 2025/327 av den 11 februari 2025 om det europeiska hälsodataområdet och om ändring av direktiv 2011/24/EU och förordning (EU) 2024/2847, ska tillgängliggöras och tas emot i det europeiska format för utbyte av elektronisk hälsodokumentation som avses i artikel 15 samma förordning och enligt föreskrifter som meddelas enligt denna lag.

11 b § Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om 1. hur skyldigheten att lämna och ta emot uppgifter enligt 6 § 5 och 6 ska fullgöras, och 2. tekniska och organisatoriska krav på säkerhet vid fullgörandet av skyldigheten att lämna och ta emot uppgifter enligt 6 § 5 och 6.

Denna lag träder i kraft den 26 mars 2026.

1.4 Förslag till lag om ändring i apoteksdatalagen (2009:367)

Härigenom föreskrivs att 5 § i apoteksdatalagen (2009:367) ska ha följande lydelse.

5 §

5 § Denna lag innehåller bestämmelser som kompletterar Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskyddsförordning. Vid behandling av personuppgifter enligt denna lag gäller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen. Ytterligare bestämmelser om behandling av personuppgifter finns i Europaparlamentets och rådets förordning (EU) 2025/327 av den 11 februari 2025 om det europeiska hälsodataområdet och om ändring av direktiv 2011/24/EU och förordning (EU) 2024/2847.

Denna lag träder i kraft den 26 mars 2029.

11 Senaste lydelse 2018:448.

1.5 Förslag till lag om ändring i offentlighets- och sekretesslagen (2009:400)

Härmed föreskrivs i fråga om offentlighets- och sekretesslagen (2009:400) dels att 25 kap. 2, 11 och 17 c §§, och 26 kap. 1 a § ska ha följande lydelser, dels att det ska införas en ny paragraf 25 kap. 2 a§, och dels att det närmast före 25 kap. 2 a § ska införas en ny rubrik med följande lydelse.

25 kap.

2 §

Sekretess gäller hos en Sekretess gäller hos en myndighet som bedriver verk- myndighet som bedriver verksamhet som avses i 1 § för upp- samhet som avses i 1 § för gift om en enskilds personliga uppgift om en enskilds perförhållanden som gjorts till- sonliga förhållanden som gjorts gänglig av en annan vårdgivare tillgänglig av en omsorgsgivare eller omsorgsgivare enligt enligt lagen (2022:913) om lagen (2022:913) om samman- sammanhållen vård- och omhållen vård- och omsorgsdoku- sorgsdokumentation, om inte mentation, om inte förutsät- förutsättningarna enligt 3 kap. 1 tningarna enligt 3 kap. 1, 3, 5 eller 3 § samma lag för att eller 6 § samma lag för att myndigheten ska få behandla myndigheten ska få behandla uppgiften är uppfyllda. uppgiften är uppfyllda. Om de förutsättningar som Om de förutsättningar som anges i första stycket är upp- anges i första stycket är uppfyllda eller myndigheten har fyllda eller myndigheten har behandlat uppgiften enligt 3 kap. behandlat uppgiften enligt 3 kap. 1, 3, 5 eller 6 § lagen om 1 eller 3 § lagen om sammansammanhållen vård- och om- hållen vård- och omsorgssorgsdokumentation tidigare, dokumentation tidigare, gäller gäller sekretess, om det inte står sekretess, om det inte står klart

12 Senaste lydelse SFS 2022:916.

klart att uppgiften kan röjas utan att uppgiften kan röjas utan att att den enskilde eller någon den enskilde eller någon närstående till denne lider men. närstående till denne lider men. Sekretessen gäller inte om annat Sekretessen gäller inte om annat följer av 7, 8 eller 10 § eller 26 följer av 7, 8 eller 10 § eller 26 kap. 6 §. kap. 6 §. För uppgift i en allmän handling gäller sekretessen i högst sjuttio år.

Vårdgivares elektroniska informationsutbyte

2 a § Sekretess gäller hos en myndighet som bedriver verksamhet som avses i 1 § för uppgift om en enskilds personliga förhållanden som gjorts tillgänglig av en annan vårdgivare enligt 6 kap. patientdatalagen (2008:355), om inte förutsättningarna enligt 6 kap. 3– 6 §§ samma lag för att myndigheten ska få behandla uppgiften är uppfyllda . Om de förutsättningar som anges i första stycket är uppfyllda eller myndigheten har behandlat uppgiften enligt bestämmelser i 6 kap. patientdatalagen tidigare, gäller sekretess, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men. Sekretessen gäller inte om annat följer av 7, 8 eller 10 § eller 26 kap. 6 §. För uppgift i en allmän handling gäller sekretessen i högst sjuttio år.

11 § 13 Sekretessen enligt 1 § hindrar inte att uppgift lämnas 1. från en myndighet som bedriver verksamhet som avses i 1 § i en kommun till en annan sådan myndighet i samma kommun, 2. från en myndighet som bedriver verksamhet som avses i 1 § i en region till en annan sådan myndighet i samma region, 3. till en myndighet som be- 3. till en myndighet som bedriver verksamhet som avses i driver verksamhet som avses i 1 §, 26 kap. 1 §, en enskild vård- 26 kap. 1 § eller en enskild givare eller omsorgsgivare enligt omsorgsgivare enligt det som det som föreskrivs i lagen föreskrivs i lagen (2022:913) om (2022:913) om sammanhållen sammanhållen vård- och omvård- och omsorgsdokumenta- sorgsdokumentation, tion, 4 . till en myndighet som bedriver verksamhet som avses i 1 § eller en enskild vårdgivare i enlighet med det som föreskrivs i 6 kap. 3–5 §§ patientdatalagen (2008:355), 5. till den myndighet som ansvarar för den statliga tillgångstjänst för hälso- och sjukvårdspersonal som avses i 2 kap. 4 § lagen (20XX:00) om nationell infrastruktur och tjänster för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet, 4. till ett nationellt eller 6 . till ett nationellt eller regionalt kvalitetsregister enligt regionalt kvalitetsregister enligt patientdatalagen (2008:355), patientdatalagen, 5 . från en myndighet som 7 . från en myndighet som bedriver verksamhet som avses i bedriver verksamhet som avses i 1 § inom en kommun eller en 1 § inom en kommun eller en region till annan sådan myn- region till annan sådan myn-

13 Senaste lydelse SFS 2022:916.

dighet för forskning eller dighet för forskning eller framställning av statistik eller för framställning av statistik eller för administration på verksamhets- administration på verksamhetsområdet, om det inte kan antas området, om det inte kan antas att den enskilde eller någon att den enskilde eller någon närstående till den enskilde lider närstående till den enskilde lider men om uppgiften röjs, eller men om uppgiften röjs, eller 6 . till en enskild enligt vad 8 . till en enskild enligt vad som föreskrivs i som föreskrivs i – lagen (1988:1473) om – lagen (1988:1473) om undersökning beträffande vissa undersökning beträffande vissa smittsamma sjukdomar i brott- smittsamma sjukdomar i brottmål, mål, – lagen (1991:1129) om rätts- – lagen (1991:1129) om rättspsykiatrisk vård, psykiatrisk vård, – lagen (1995:831) om trans- – lagen (1995:831) om transplantation m.m., plantation m.m., – smittskyddslagen – smittskyddslagen (2004:168), (2004:168), – 6 och 7 kap. lagen – 6 och 7 kap. lagen (2006:351) om genetisk inte- (2006:351) om genetisk integritet m.m., gritet m.m., – lagen (2006:496) om blod- – lagen (2006:496) om blodsäkerhet, säkerhet, – lagen (2008:286) om kva- – lagen (2008:286) om kvalitets- och säkerhetsnormer vid litets- och säkerhetsnormer vid hantering av mänskliga vävnader hantering av mänskliga vävnader och celler, och celler, – lagen (2012:263) om kva- – lagen (2012:263) om kvalitets- och säkerhetsnormer vid litets- och säkerhetsnormer vid hantering av mänskliga organ hantering av mänskliga organ eller förordning som har eller förordning som har meddelats med stöd av den meddelats med stöd av den lagen, lagen, eller eller – 2 kap. lagen (2017:612) om – 2 kap. lagen (2017:612) om samverkan vid utskrivning från samverkan vid utskrivning från sluten hälso- och sjukvård. sluten hälso- och sjukvård.

17 c § 14 Sekretessen enligt 17 a och 17 b §§ hindrar inte att 1. uppgift i den nationella läkemedelslistan lämnas enligt lagen (2018:1212) om nationell läkemedelslista till hälso- och sjukvårdspersonal som har behörighet att förskriva läkemedel eller andra varor, en sjuksköterska utan behörighet att förskriva läkemedel eller andra varor, en dietist, en farmaceut i hälso- och sjukvården eller till expedierande personal på öppenvårdsapotek, 2. uppgift lämnas enligt lagen 2. uppgift lämnas enligt lagen (2016:526) om behandling av (2016:526) om behandling av personuppgifter i ärenden om personuppgifter i ärenden om licens för läkemedel till licens för läkemedel till öppenvårdsapotek eller den som öppenvårdsapotek eller den som är behörig att förordna är behörig att förordna läkemedel, eller läkemedel, 3. uppgift om förordnande 3. uppgift om förordnande och expediering av läkemedel för och expediering av läkemedel för behandling av djur lämnas till behandling av djur lämnas till expedierande personal på expedierande personal på öppenvårdsapotek . öppenvårdsapotek , 4. uppgifter lämnas enligt 2 kap. 3 § lagen (20XX:00) om nationell infrastruktur och tjänster för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet till sådana enskilda vårdgivare som har anslutit sina system för elektronisk journalföring till de register och it-funktioner som avses i den lagen, och 5. uppgifter görs elektroniskt tillgängliga för enskilda vårdgivare i den statliga tillgångstjänst som avses i 2 kap 4 § lagen om nationell infrastruktur och tjänster för elektroniskt informations-

14 Senaste lydelse SFS 2021:1128.

utbyte på hälso- och sjukvårdsområdet.

26 kap.

1 a § 15 Sekretess gäller hos en myn- Sekretess gäller hos en myndighet som bedriver verksamhet dighet som bedriver verksamhet som avses i 1 § för uppgift om en som avses i 1 § för uppgift om en enskilds personliga förhållanden enskilds personliga förhållanden som gjorts tillgänglig av en som gjorts tillgänglig av en vårdannan vårdgivare eller omsorgs- givare eller en annan omsorgsgivare enligt lagen (2022:913) givare enligt lagen (2022:913) om sammanhållen vård- och om sammanhållen vård- och omsorgsdokumentation, om omsorgsdokumentation, om inte förutsättningarna enligt inte förutsättningarna enligt 3 kap. 2 eller 4 § samma lag för 3 kap. 2 eller 4 § samma lag för att myndigheten ska få behandla att myndigheten ska få behandla uppgiften är uppfyllda. uppgiften är uppfyllda. Om de förutsättningar som anges i första stycket är uppfyllda eller myndigheten har behandlat uppgiften enligt 3 kap. 2 eller 4 § lagen om sammanhållen vård- och omsorgsdokumentation tidigare, gäller sekretess, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men. Sekretessen gäller inte om annat följer av 5, 6 eller 7 §. För uppgift i en allmän handling gäller sekretessen i högst sjuttio år.

Denna lag träder i kraft den 26 mars 2029.

15 Senaste lydelse SFS 2022:916.

1.6 Förslag till lag om ändring i lagen (2018:744) om försäkringsmedicinska utredningar

Härmed föreskrivs i fråga om lagen (2018:744) om försäkringsmedicinska utredningar att 13 § ska ha följande lydelse.

13 §

Av patientdatalagen (2008:355) framgår att den lagen gäller vid tillämpningen av denna lag. Behörigheten enligt 4 kap. 2 § patientdatalagen ska alltid begränsas så att personuppgifter som behandlas hos en annan vårdenhet eller inom en annan vårdprocess hos vårdgivaren inte får göras tillgängliga genom elektronisk åtkomst vid en försäkringsmedicinsk utredning. En vårdgivare får vid en En vårdgivare får vid en försäkringsmedicinsk utredning försäkringsmedicinsk utredning inte genom direktåtkomst eller inte genom direktåtkomst eller annat elektroniskt utlämnande annat elektroniskt utlämnande enligt lagen (2022:913) om sam- enligt 6 kap. patientdatalagen ha manhållen vård- och omsorgs- tillgång till sådana persondokumentation ha tillgång till uppgifter om den försäkrade sådana personuppgifter om den som behandlas av andra försäkrade som behandlas av vårdgivare. andra vårdgivare.

Denna lag träder i kraft den 29 mars 2029.

16 Senaste lydelse SFS 2022:918.

1.7 Förslag till lag om ändring i lagen (2018:1212) om nationell läkemedelslista

Härmed föreskrivs i fråga om lagen (2018:1212) om nationell läkemedelslista, dels att 4 kap. 2 § och 5 kap. 2 § ska upphävas dels att 2 kap. 1 §, 3 kap. 8 §4 kap 1, 3 och 5 §§, 5 kap. 1, 3–5, 6 §§, 9 kap. 1 § och 10 kap. 3 § ska ha följande lydelse, dels att det ska införas en ny paragraf 6 kap. 9 §, och en ny rubrik närmast före den paragrafen av följande lydelse.

2 kap.

1 §

Denna lag innehåller bestämmelser som kompletterar Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskyddsförordning. Vid behandling av personuppgifter enligt denna lag gäller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen. Ytterligare bestämmelser om behandling av personuppgifter finns i Europaparlamentets och rådets förordning (EU) 2025/327 av den 11 februari 2025 om det europeiska hälsodataområdet och om ändring av direktiv 2011/24/EU och förordning (EU) 2024/2847, här

benämnd EU:s förordning om det europeiska hälsodataområdet

3 kap.

8 § I den utsträckning det behövs I den utsträckning det behövs för ändamålen enligt 2–5 §§ får för ändamålen enligt 2–5 §§ får den nationella läkemedelslistan den nationella läkemedelslistan innehålla följande uppgifter: innehålla följande uppgifter: 1. förskriven vara, mängd och 1. förskriven vara, mängd och dosering, aktiv substans, läke- dosering, aktiv substans, läkemedelsform, styrka, administre- medelsform, styrka, administreringssätt, läkemedelsbehand- ringssätt, läkemedelsbehandlingens längd, behandlingsända- lingens längd, behandlingsändamål och datum för förskrivning, mål och datum för förskrivning, 2. patientens namn, person- 2. patientens namn, personnummer eller samordnings- nummer, samordningsnummer nummer, folkbokföringsort och eller andra identifieringsuppgifter , postnumret i patientens bo- folkbokföringsort och stadsadress, postnumret i patientens bostadsadress, 3. förskrivarens namn, yrke, 3. förskrivarens namn, yrke, specialitet, arbetsplats, arbets- specialitet, arbetsplats, arbetsplatskod och förskrivarkod, platskod och förskrivarkod, 4. ordinationsorsak, 4. ordinationsorsak, 5. senaste datum för när 5. senaste datum för när läkemedelsbehandlingen ska läkemedelsbehandlingen ska följas upp eller avslutas, följas upp eller avslutas, 6. expedierad vara, mängd 6. expedierad vara, mängd och dosering, datum för expe- och dosering, datum för expediering, expedierande apotek, diering, expedierande apotek, expedierande farmaceut och expedierande farmaceut och uppgift om att farmaceuten har uppgift om att farmaceuten har motsatt sig utbyte av ett motsatt sig utbyte av ett förskrivet läkemedel och skälen förskrivet läkemedel och skälen för det, för det,

7. kostnad, kostnadsreduce- 7. kostnad, kostnadsreducering enligt lagen (2002:160) om ring enligt lagen (2002:160) om läkemedelsförmåner m.m. och läkemedelsförmåner m.m. och kostnadsfrihet enligt smitt- kostnadsfrihet enligt smittskyddslagen (2004:168), skyddslagen (2004:168), 8. andra uppgifter som krävs i 8. andra uppgifter som krävs i samband med en förskrivning samband med en förskrivning eller en expediering, eller en expediering, 9. uppgift om samtycke och 9. uppgift om samtycke och om spärrade uppgifter, och om spärrade uppgifter, och 10. uppgift om fullmakt. 10. uppgift om fullmakt.

4 kap.

1 § Behandling av personuppgifter som är tillåten enligt denna lag får utföras även om den registrerade inte har lämnat sitt samtycke till behandlingen. Den registrerades samtycke Den registrerades samtycke krävs för behandling av upp- krävs för behandling av uppgifter om fullmakter för ända- gifter om fullmakter för ändamålet i 3 kap. 2 § 3. Patientens målet i 3 kap. 2 § 3. Patientens samtycke krävs för behandling samtycke krävs för behandling av uppgifter om en patient som av uppgifter om en patient som får dosdispenserade läkemedel får dosdispenserade läkemedel för ändamålet i 3 kap. 2 § 1. för ändamålet i 3 kap. 2 § 1. Patientens samtycke krävs även i Patientens samtycke krävs även i de fall som avses i 5 § , 3 kap. 7 § de fall som avses i 3 kap. 7 § andra stycket, 5 kap. 1 § andra andra stycket. stycket, 5 kap. 2 § och 5 kap. 3 § första stycket.

3 § Efter begäran av en patient Efter begäran av en patient ska E-hälsomyndigheten spärra ska E-hälsomyndigheten spärra uppgifterna i den nationella uppgifterna i den nationella

läkemedelslistan för direkt- läkemedelslistan för direktåtkomst såvitt gäller ändamålen i åtkomst såvitt gäller ändamålen i 3 kap. 3 § 2 och 4 § samt uppgift 3 kap. 3 och 4 §§. om ordinationsorsak även såvitt gäller ändamålet i 3 kap. 3 § 1 . Ett barns vårdnadshavare har inte rätt att få uppgifter om barnet spärrade. En spärr enligt första stycket En spärr enligt första stycket hindrar inte sådan behandling av hindrar inte sådan behandling av personuppgifter som avses i personuppgifter som avses i 5 kap. 3 § andra och tredje 5 kap. 3 § andra stycket , 4 och styckena , 4 och 5 §§. 5 §§ Det får inte framgå av den nationella läkemedelslistan att det finns spärrade uppgifter om patienten.

4 a § Det följer av artikel 8 i EU:s förordning om det europeiska hälsodataområdet att vårdgivaren ska informera patienten om att begränsad tillgång till dokumenterade uppgifter om patienten kan påverka tillhandahållandet av hälso- och sjukvård till honom eller henne.

5 §

En spärr enligt 3 § första En spärr enligt 3 § första stycket ska hävas av E-hälso- stycket ska hävas av E-hälsomyndigheten endast om myndigheten endast om patienten samtycker till det. patienten begär det .

5 kap.

1 § Direktåtkomst till andra Direktåtkomst till uppgifter i uppgifter i den nationella den nationella läkemedelslistan läkemedelslistan än ordinations- får ges till expedierande personal orsak får , även utan patientens på öppenvårdsapotek för det samtycke, ges till expedierande ändamål som anges i 3 kap. 3 § 1. personal på öppenvårdsapotek för det ändamål som anges i 3 kap. 3 § 1. Direktåtkomst till uppgift om ordinationsorsak får endast med patientens samtycke ges till expedierande personal på öppenvårdsapotek för det ändamål som anges i 3 kap. 3 § 1 . Direktåtkomst enligt första Direktåtkomst för ändamål och andra styckena får i fråga om som anges i 3 kap. 3 § 1 får i fråga uppgifter om förskrivningar om uppgifter om förskrivningar endast avse förskrivningar som endast avse förskrivningar som registrerats i den nationella registrerats i den nationella läkemedelslistan inom de senaste läkemedelslistan inom de senaste 24 månaderna. 24 månaderna.

3 § Direktåtkomst till uppgifter i Direktåtkomst till uppgifter i den nationella läkemedelslistan den nationella läkemedelslistan får med patientens samtycke ges får ges till till 1. hälso- och sjukvårds- 1. hälso- och sjukvårdspersonal som har behörighet att personal som har behörighet att förskriva läkemedel eller andra förskriva läkemedel eller andra varor, för de ändamål som anges varor, för de ändamål som anges i 3 kap. 4 §, och i 3 kap. 4 §, och 2. sjuksköterska utan behö- 2. sjuksköterska utan behörighet att förskriva läkemedel righet att förskriva läkemedel

eller andra varor, dietist och eller andra varor, dietist och farmaceut i hälso- och sjuk- farmaceut i hälso- och sjukvården, för de ändamål som vården, för de ändamål som anges i 3 kap. 4 § 2 och 3. anges i 3 kap. 4 § 2 och 3. Direktåtkomst enligt första stycket avser även uppgiften om att det finns spärrade uppgifter. Direktåtkomst enligt första Direktåtkomst enligt första stycket får utan patientens sam- stycket får ges till uppgifter om tycke ges till uppgifter om en en patient som får dosdispatient som får dosdispenserade penserade läkemedel , även om läkemedel. det finns spärrade uppgifter .

4 § Direktåtkomst till uppgiften i Direktåtkomst till uppgiften i den nationella läkemedelslistan den nationella läkemedelslistan om att narkotiska eller andra om förskrivningar av narkotiska särskilda läkemedel har förs- eller andra särskilda läkemedel krivits till en patient får, även till en patient får, även om det utan patientens samtycke och även finns spärrade uppgifter för de om det finns spärrade uppgifter, ändamål som anges i 3 kap. 4 § för de ändamål som anges i ges till hälso- och sjuk- 3 kap. 4 § ges till hälso- och sjuk- vårdspersonal ges till hälso- och vårdspersonal som har behö- sjukvårdspersonal som har righet att förskriva läkemedel. behörighet att förskriva läkemedel., Direktåtkomst enligt första stycket får endast avse uppgift som är hänförlig till förskrivningar som registrerats i den nationella läkemedelslistan inom de senaste 24 månaderna.

5 § Om det är nödvändigt för att En spärr enligt 4 kap. 3 § första en patient ska kunna få den vård stycket hindrar inte att direkteller behandling som han eller hon åtkomst ges till hälso- och oundgängligen behöver och sjukvårdspersonal, som har behöpatienten inte kan lämna sitt righet att förskriva läkemedel och samtycke, får hälso- och sjuksköterska utan sådan behösjukvårdspersonal som har righet, för de ändamål som anges i behörighet att förskriva läkemedel 3 kap. 4 §, om och sjuksköterska utan sådan 1. patientens liv är i fara eller behörighet ges direktåtkomst till en allvarlig risk för hans eller uppgifter i den nationella hennes hälsa föreligger, och läkemedelslistan för de ändamål 2. patienten saknar förmåga att som anges i 3 kap. 4 §. själv begära att spärren ska hävas. Direktåtkomsten avser även uppgifter som har spärrats.

6 kap.

Uppgifter som ska tillgängliggöras i det europeiska formatet för utbyte

4 b § Vårdnadshavare till ett barn har inte rätt att begränsa elektronisk tillgång till barnets uppgifter för vårdgivare inom Sverige.

9 kap.

1 § Den som bedriver verksamhet inom hälso- och sjukvården som innefattar ordination och förskrivning av läkemedel eller andra varor ska 1. ha ett elektroniskt system som gör det möjligt att få direktåtkomst till uppgifter i den nationella läkemedelslistan, och 2. vid en elektronisk förskrivning lämna de uppgifter till den nationella läkemedelslistan som anges i 3 kap. 8 §. Uppgifter enligt första stycket, som utgör prioriterade kategorier av hälsodata med personuppgifter enligt EU:s förordning om det europeiska hälsodataområdet, ska av vårdgivare tillgängliggöras och tas emot i det europeiska format för utbyte av elektronisk hälsodokumentation som avses i artikel 15 i EU:s förordning om det europeiska hälsodataområdet och enligt föreskrifter som meddelas enligt denna lag.

10 kap.

3§

Regeringen eller den Regeringen eller den myndigmyndighet som regeringen het som regeringen bestämmer bestämmer kan med stöd av 8 får meddela föreskrifter om kap. 7 § regeringsformen 1. hur ordinationsorsak enligt meddela närmare föreskrifter om 3 kap. 8 § ska registreras och hur ordinationsorsak enligt 3 redovisas, kap. 8 § ska registreras och 2. hur skyldigheten att lämna redovisas. och ta emot uppgifter enligt 9 kap. 1 § ska fullgöras, och 3. tekniska och organisatoriska krav på säkerhet vid fullgörandet av skyldigheten a tt lämna och ta emot uppgifter enligt 9 kap. 1 §.

Denna lag träder i kraft den 26 mars 2029.

1.8 Förslag till lag om ändring i lagen (2021:363) om estetiska kirurgiska ingrepp och estetiska injektionsbehandlingar

Härmed föreskrivs i fråga om lagen (2021:363) om estetiska kirurgiska ingrepp och estetiska injektionsbehandlingar att 6 § ska ha följande lydelse.

6 §

Patientskadelagen, patientdatalagen och patientsäkerhetslagen

När estetiska kirurgiska ingrepp och estetiska injektionsbehandlingar utförs enligt denna lag gäller patientskadelagen (1996:799), patientdatalagen (2008:355) och patientsäkerhetslagen (2010:659). Den som bedriver verksam- Den som bedriver verksamhet enligt denna lag får inte het enligt denna lag får inte genom direktåtkomst eller annat genom direktåtkomst eller annat elektroniskt utlämnande enligt elektroniskt utlämnande enligt lagen (2022:913) om samman- 6 kap. patientdatahållen vård- och omsorgs- lagen (2008:355 ) ha tillgång till dokumentation ha tillgång till sådana personuppgifter om den sådana personuppgifter om den enskilde som behandlas av en enskilde som behandlas av en annan vårdgivare. annan vårdgivare.

Denna lag träder i kraft den 29 mars 2029.

17 Senaste lydelse SFS 2022:922.

1.9 Förslag till lag om ändring i lag (2022:913) om sammanhållen vård- och omsorgsdokumentation

Härmed föreskrivs i fråga om lag (2022:913) om sammanhållen vård- och omsorgsdokumentation dels att 2 kap. 5 §, 3 kap. 5 och 6 §§ ska upphöra att gälla , dels att 1 kap 1 och 2 §§, 2 kap. 1–4 och 6 §§, 3 kap. 1, 3 och 7 §§, och 4 kap. 1 och 2 §§ ska ha följande lydelse, dels att rubrikerna närmast före 2 kap. 5 § och 3 kap. 5 § ska utgå, och att rubriken närmast före 4 kap. 2 § ska ha följande lydelse.

Nuvarande lydelse

1 kap.

1 §

I denna lag används följande uttryck med nedan angiven betydelse. Uttryck Betydelse EU:s dataskyddsförordning Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning). Hälso- och sjukvård Verksamhet som avses i hälso- och sjukvårdslagen (2017:30), tandvårdslagen (1985:125), lagen (1991:1128) om psykiatrisk tvångsvård, lagen (1991:1129) om rättspsykiatrisk vård, smittskyddslagen (2004:168),

18 Nuvarande lydelse 2025:464.

lagen (1972:119) om fastställande av könstillhörighet i vissa fall, lagen (2006:351) om genetisk integritet m.m., lagen (2019:1297) om koordineringsinsatser för sjukskrivna patienter samt den upphävda lagen (1944:133) om kastrering. Insatser för äldre eller personer Insatser med funktionsnedsättning 1. enligt 11 kap. 1 § socialtjänstlagen (2025:400) som avses i 8 kap. 1 § samma lag och som lämnas till äldre personer eller personer med funktionsnedsättning, 2. enligt 11 kap. 1 § socialtjänstlagen som avses i 8 kap. 3, 4, 10 och 11 §§ samma lag, 3. enligt 11 kap. 5 § socialtjänstlagen som avser hemtjänst till äldre personer, eller 4. enligt lagen (1993:387) om stöd och service till vissa funktionshindrade. Omsorgsgivare Myndighet i kommun eller region som har ansvar för eller utför insatser för äldre personer eller personer med funktionsnedsättning samt annan juridisk person eller enskild näringsidkare som utför sådana insatser. Omsorgsmottagare Person som fått eller får insatser för äldre personer eller personer med funktionsnedsättning eller som fått eller får behovet av sådana insatser bedömda.

Patient Person som fått, får eller är registrerad för att få hälso- och sjukvård. Sammanhållen vård- och om- Ett elektroniskt system som sorgsdokumentation gör det möjligt för en vårdgivare eller omsorgsgivare att ge eller få tillgång, genom direktåtkomst eller annat elektroniskt utlämnande, till personuppgifter hos andra vårdgivare eller omsorgsgivare. Vårdgivare Statlig myndighet, region och kommun i fråga om sådan hälsooch sjukvård som myndigheten, regionen eller kommunen har ansvar för samt annan juridisk person eller enskild näringsidkare som bedriver hälso- och sjukvård.

Föreslagen lydelse

1 kap.

1 § I denna lag används följande uttryck med nedan angiven betydelse. Uttryck Betydelse EU:s dataskyddsförordning Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning).

Hälso- och sjukvård Verksamhet som avses i hälso- och sjukvårdslagen (2017:30), tandvårdslagen (1985:125), lagen (1991:1128) om psykiatrisk tvångsvård, lagen (1991:1129) om rättspsykiatrisk vård, smittskyddslagen (2004:168), lagen (1972:119) om fastställande av könstillhörighet i vissa fall, lagen (2006:351) om genetisk integritet m.m., lagen (2019:1297) om koordineringsinsatser för sjukskrivna patienter samt den upphävda lagen (1944:133) om kastrering. Insatser för äldre eller personer Insatser med funktionsnedsättning 1. enligt 11 kap. 1 § socialtjänstlagen 2025:400) som avses i 8 kap. 1 § samma lag och som lämnas till äldre personer eller personer med funktionsnedsättning, 2. enligt 11 kap. 1 § socialtjänstlagen som avses i 8 kap. 3, 4, 10 och 11 §§ samma lag, 3. enligt 11 kap. 5 § socialtjänstlagen som avser hemtjänst till äldre personer, eller 4. enligt lagen (1993:387) om stöd och service till vissa funktionshindrade. Omsorgsgivare Myndighet i kommun eller region som har ansvar för eller utför insatser för äldre personer eller personer med funktionsnedsättning samt annan juridisk

person eller enskild näringsidkare som utför sådana insatser. Omsorgsmottagare Person som fått eller får insatser för äldre personer eller personer med funktionsnedsättning eller som fått eller får behovet av sådana insatser bedömda. Patient Person som fått, får eller är registrerad för att få hälso- och sjukvård. Sammanhållen vård- och Ett elektroniskt system som omsorgsdokumentation gör det möjligt för 1. en vårdgivare att ge eller få tillgång, genom direktåtkomst eller annat elektroniskt utlämnande, till personuppgifter hos omsorgsgivare, och 2. en omsorgsgivare att ge eller få tillgång, genom direktåtkomst eller annat elektroniskt utlämnande, till personuppgifter hos vårdgivare eller andra omsorgsgivare. Vårdgivare Statlig myndighet, region och kommun i fråga om sådan hälsooch sjukvård som myndigheten, regionen eller kommunen har ansvar för samt annan juridisk person eller enskild näringsidkare.

2 § Denna lag innehåller bestämmelser som kompletterar EU:s dataskyddsförordning, patientdatalagen (2008:355), lagen (2001:454) om behandling av personuppgifter inom socialtjänsten och föreskrifter som har meddelats i anslutning till dessa lagar.

Vid behandling av personuppgifter enligt denna lag gäller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen. I patientdatalagen (2008:355) finns bestämmelser om vårdgivares elektroniska informationsutbyte med andra vårdgivare.

2 kap.

1 §

En vårdgivare får, under de En vårdgivare får, under de förutsättningar som anges i 2 –6 förutsättningar som anges i 2– 4 §§ och 3 kap. 1, 3, 5 och 6 §§, ges och 6 §§ och 3 kap. 1 och 3 §§, ges tillgång, genom direktåtkomst tillgång, genom direktåtkomst eller annat elektroniskt utläm- eller annat elektroniskt utlämnande, till personuppgifter som nande, till personuppgifter som behandlas av andra vårdgivare behandlas av en omsorgsgivare. eller av omsorgsgivare. En omsorgsgivare får, under de förutsättningar som anges i 2–4 och 6 §§ och 3 kap. 2 och 4 §§, ges tillgång, genom direktåtkomst eller annat elektroniskt utlämnande, till personuppgifter som behandlas av vårdgivare eller av andra omsorgsgivare. Tillgången enligt första Tillgången enligt första och stycket får bara avse person- andra styckena får bara avse uppgifter som behandlas personuppgifter som behandlas 1. för ändamål som anges i 1. för ändamål som anges i 2 kap. 4 § 1 och 2 patientdata- 2 kap. 4 § första stycket 1 och 2 lagen (2008:355), eller patientdatalagen (2008:355), 2. för att ansvara för eller eller utföra insatser eller för 2. för att ansvara för eller administration av sådana insatser utföra insatser eller för

eller sådan dokumentation som administration av sådana insatser avses i 1 kap. 3 § andra stycket. eller sådan dokumentation som avses i 1 kap. 3 § andra stycket.

2 §

Innan uppgifter om en Innan uppgifter om en patient eller en omsorgsmottagare patient görs tillgängliga för görs tillgängliga för andra omsorgsgivare ska patienten av vårdgivare eller omsorgsgivare vårdgivaren informeras om ska patienten eller omsorgsmottagaren av vårdgivare eller omsorgsgivare informeras om 1. vad sammanhållen vård- 1. vad sammanhållen vårdoch omsorgsdokumentation och omsorgsdokumentation innebär, och innebär, och 2. möjligheten att motsätta 2. möjligheten att motsätta sig att uppgifter görs tillgängliga sig att uppgifter görs tillgängliga för andra vårdgivare eller för omsorgsgivare genom sådan omsorgsgivare genom sådan dokumentation dokumentation. En patient ska också in- Innan uppgifter om en formeras om att omsorgsmottagare görs tillgängliga för vårdgivare eller andra omsorgsgivare ska omsorgsmottagaren av omsorgsgivare informeras om 1. uppgiften om att det finns 1. vad sammanhållen vårdspärrade uppgifter om patienten och omsorgsdokumentation inneoch vilken vårdgivare som har bär, och spärrat uppgifterna ska göras tillgängliga för andra vårdgivare, och 2. vid fara för patientens liv 2. möjligheten att motsätta sig eller när det annars finns allvarlig att uppgifter görs tillgängliga för risk för dennes hälsa får en annan vårdgivare eller andra omsorgsvårdgivare ta del av uppgift om

vilken vårdgivare som har spärrat givare genom sådan dokumentauppgifterna tion.

3 §

Om en patient eller en Om en patient motsätter sig omsorgsmottagare motsätter sig det, får uppgifter om patienten det, får uppgifter om patienten inte göras tillgängliga för eller omsorgsmottagaren inte omsorgsgivare. I sådant fall ska göras tillgängliga för andra uppgifterna genast spärras av vårdgivare eller omsorgsgivare. I vårdgivaren. sådant fall ska uppgifterna genast spärras av vårdgivaren eller omsorgsgivaren . En vårdnadshavare för ett En vårdnadshavare för ett barn får dock inte motsätta sig barn får dock inte motsätta sig att uppgifter om barnet görs att uppgifter om barnet görs tillgängliga för andra vårdgivare tillgängliga för omsorgsgivare. eller omsorgsgivare. Om en omsorgsmottagare motsätter sig det, får uppgifter om omsorgsmottagaren inte göras tillgängliga för vårdgivare eller andra omsorgsgivare. I sådant fall ska uppgifterna genast spärras av omsorgsgivaren. En vårdnadshavare för ett barn får dock inte motsätta sig att uppgifter om barnet görs tillgängliga för vårdgivare eller andra omsorgsgivare. En patient eller en omsorgsmottagare kan när som helst begära att den vårdgivare eller omsorgsgivare som har spärrat uppgifterna häver spärren.

4 §

Ospärrade uppgifter om en patient eller en omsorgsmottagare ska göras tillgängliga för de vårdgivare eller omsorgsgivare som är anslutna till sammanhållen vård- och omsorgsdokumentation. Om det finns ospärrade Om det finns ospärrade uppgifter om patienten eller uppgifter om patienten, ska det omsorgsmottagaren , ska det föras föras in en uppgift om detta. in en uppgift om detta. Andra Omsorgsgivare ska kunna ta del vårdgivare eller o msorgsgivare av denna uppgift utan att ta del ska kunna ta del av denna uppgift av uppgiften om vilken utan att ta del av uppgiften om vårdgivare som har gjort vilken vårdgivare eller uppgiften tillgänglig eller av de omsorgsgivare som har gjort ospärrade uppgifternas innehåll. uppgiften tillgänglig eller av de ospärrade uppgifternas innehåll. Om det finns ospärrade uppgifter om omsorgsmottagaren, ska det föras in en uppgift om detta. Vårdgivare eller andra omsorgsgivare ska kunna ta del av denna uppgift utan att ta del av uppgiften om vilken omsorgsgivare som har gjort uppgiften tillgänglig eller av de ospärrade uppgifternas innehåll .

6 §

En vårdgivare eller en om- En vårdgivare får tillgängligsorgsgivare får tillgängliggöra göra uppgifter om en patient, uppgifter om en patient eller en som inte endast tillfälligt saknar omsorgsmottagare , som inte förmåga att ta ställning enligt 3 § endast tillfälligt saknar förmåga första stycket, för omsorgsgivare att ta ställning enligt 3 § första som är anslutna till sammanstycket, för andra vårdgivare hållen vård- och omsorgsdokueller omsorgsgivare som är mentation, om anslutna till sammanhållen vårdoch omsorgsdokumentation, om

1. patientens eller omsorgs- 1. patientens inställning till mottagarens inställning till sådan sådan behandling av personbehandling av personuppgifter så uppgifter så långt som möjligt långt som möjligt har klarlagts, har klarlagts, och och 2. det inte finns anledning att 2. det inte finns anledning att anta att patienten eller anta att patienten skulle ha omsorgsmottagaren skulle ha motsatt sig behandlingen av motsatt sig behandlingen av personuppgifterna. personuppgifterna. En omsorgsgivare får tillgängliggöra uppgifter om en omsorgsmottagare, som inte endast tillfälligt saknar förmåga att ta ställning enligt 3 § första stycket, för vårdgivare eller andra omsorgsgivare som är anslutna till sammanhållen vård- och omsorgsdokumentation, om 1. omsorgsmottagarens inställning till sådan behandling av personuppgifter så långt som möjligt har klarlagts, och 2. det inte finns anledning att anta att omsorgsmottagaren skulle ha motsatt sig behandlingen av personuppgifterna.

3 kap.

1 §

En vårdgivare får behandla En vårdgivare får behandla uppgifter som en annan uppgifter som en omsorgsgivare vårdgivare eller omsorgsgivare har gjort tillgängliga enligt 2 kap. har gjort tillgängliga enligt 2 kap. 4 eller 6 § om 4 eller 6 § om 1. uppgifterna rör en patient som det finns en aktuell patientrelation med,

2. patienten samtycker till det, och 3. uppgifterna kan antas ha betydelse a) för att inom hälso- och sjukvården förebygga, utreda eller behandla sjukdomar och skador hos patienten, utföra insatser enligt lagen (2019:1297) om koordineringsinsatser för sjukskrivna patienter eller bedöma behovet av sådana insatser, eller b) vid utfärdande av ett sådant intyg som avses i 3 kap. 16 § patientdatalagen (2008:355). I fall som avses i första stycket 3 b gäller detta också när uppgifterna avser någon som det tidigare har funnits en patientrelation till. Patientens samtycke krävs inte om denne är ett barn som inte självt kan samtycka.

3 §

En vårdgivare får ta del av En vårdgivare får ta del av uppgift om vilka andra vård- uppgift om vilka omsorgsgivare givare eller omsorgsgivare som som har gjort uppgifter tillhar gjort uppgifter tillgängliga gängliga enligt 2 kap. 4 eller 6 § enligt 2 kap. 4 eller 6 § om en om en patient inte endast patient inte endast tillfälligt tillfälligt saknar förmåga att saknar förmåga att lämna sam- lämna samtycke enligt 1 § första tycke enligt 1 § första stycket 2. stycket 2. Vårdgivaren får i en sådan situation behandla också de uppgifter som avses i 2 kap. 4 eller 6 §, om 1. vårdgivaren bedömer att dessa kan antas ha betydelse för den vård som är nödvändig med hänsyn till patientens hälsotillstånd, 2. patientens inställning till sådan behandling av personuppgifter så långt som möjligt har klarlagts, och 3. det inte finns anledning att anta att patienten skulle ha motsatt sig behandlingen av personuppgifterna.

7 §

En vårdgivare eller en om- En vårdgivare får inte besorgsgivare får inte behandla en handla omsorgsgivares uppgifter annan vårdgivares eller omsorgs- om en omsorgsmottagare under

givares uppgifter om en patient andra förutsättningar än dem eller en omsorgsmottagare under som anges i 1–6 §§, även andra förutsättningar än dem omsorgsmottagaren uttrycksom anges i 1–6 §§, även om ligen samtycker till det. patienten eller omsorgsmottagaren uttryckligen samtycker till det. En omsorgsgivare får inte behandla en vårdgivares eller annan omsorgsgivares uppgifter om en omsorgsmottagare under andra förutsättningar än dem som anges i 1–6 §§, även eller omsorgsmottagaren uttryckligen samtycker till det.

4 kap.

1 §

En vårdgivare eller en omsorgsgivare är personuppgiftsansvarig för behandling av personuppgifter enligt denna lag. I en region eller i en kommun är varje myndighet som bedriver hälso- och sjukvård personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför. Personuppgiftsansvaret om- Personuppgiftsansvaret omfattar även sådan behandling av fattar även sådan behandling av personuppgifter som utförs när personuppgifter som utförs när någon genom direktåtkomst eller en vårdgivare genom direktannat elektroniskt utlämnande i åtkomst eller annat elektroniskt ett enskilt fall bereder sig tillgång utlämnande i ett enskilt fall till personuppgifter hos en bereder sig tillgång till personannan vårdgivare elle r omsorgs- uppgifter hos en omsorgsgivare. givare. Personuppgiftsansvaret omfattar även sådan behandling av personuppgifter som utförs när en omsorgsgivare genom direktåtkomst eller annat elektroniskt utlämnande i ett enskilt fall

bereder sig tillgång till personuppgifter hos en vårdgivare eller annan omsorgsgivare. I 2 kap. 6 § och 6 kap. patientdatalagen (2008:355) finns särskilda bestämmelser om personuppgiftsansvar Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om vem som ska ha personuppgiftsansvar för övergripande frågor om tekniska och organisatoriska säkerhetsåtgärder vid sammanhållen vård- och omsorgsdokumentation.

2 §

Patientens och omsorgsmot- Omsorgsmottagarens elekttagarens elektroniska tillgång till roniska tillgång till dokumentadokumentation tion En vårdgivare eller en En omsorgsgivare får medge omsorgsgivare får medge en en omsorgsmottagare tillgång, patient eller en omsorgsmot- genom direktåtkomst eller annat tagare tillgång, genom direkt- elektroniskt utlämnande, till åtkomst eller annat elektroniskt sådana uppgifter om omsorgsutlämnande, till sådana uppgifter mottagaren själv som får lämnas om patienten eller omsorgs- ut till honom eller henne och mottagaren själv som får lämnas som en vårdgivare eller omut till honom eller henne och sorgsgivare får ha tillgång till som en annan vårdgivare eller enligt 2 kap. 4 §. Omsorgsomsorgsgivare får ha tillgång till mottagaren får också medges enligt 2 kap. 4 §. Patienten eller tillgång, genom direktåtkomst o msorgsmottagaren får också eller annat elektroniskt utlämmedges tillgång, genom direkt- nande, till sådan dokumentation åtkomst eller annat elektroniskt som avses i 4 § första och tredje utlämnande, till sådan doku- styckena. mentation som avses i 4 § första och tredje styckena. Tillgång enligt första stycket Tillgång enligt första stycket första meningen får dock inte första meningen får dock inte medges till sådana uppgifter som medges till sådana uppgifter som en annan vårdgivare eller om- en vårdgivare eller omsorgssorgsgivare får ha tillgång till givare får ha tillgång till enligt enligt 2 kap. 6 §. 2 kap. 6 §. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela närmare föreskrifter om de krav på säkerhetsåtgärder som ska gälla vid sådan direktåtkomst eller annat elektroniskt utlämnande som avses i första stycket. I 5 kap. 5 § patientdata- I 5 kap. 5 § patientdatalagen (2008:355) finns det lagen (2008:355) finns det ytterligare bestämmelser om bestämmelser om patientens patientens tillgång, genom tillgång, genom direktåtkomst direktåtkomst eller annat eller annat elektroniskt utläm-

elektroniskt utlämnande, till nande, till uppgifter hos uppgifter hos vårdgivare om vårdgivare om patienten själv. patienten själv. Denna lag träder i kraft den 26 mars 2029.

1.10 Förslag till förordning om ändring i patientdataförordningen (2008:360)

Härigenom föreskrivs i fråga om patientdataförordningen (2008:360) att det ska införas en ny paragraf, 3b §, av följande lydelse.

Nuvarande lydelse	Föreslagen lydelse
	3 b § E-hälsomyndigheten får, efter att ha gett Myndigheten för digital förvaltning och Socialstyrelsen tillfälle att yttra sig, meddela närmare föreskrifter om
	1. vilka uppgifter som ska tillgängliggöras enligt 6 kap. 4 § patientdatalagen (2008:355), och
	2. hur uppgifter enligt punkten 1 och uppgifter enligt 6 kap. 3 § patientdatalagen ska göras elektroniskt tillgängliga, inbegripet vilka specifikationer som, utöver det som framgår av patientdatalagen och kommissionens genomförandeförordning XXX […], ska tillämpas av vårdgivare när uppgifter tillgängliggörs inom Sverige.

Denna förordning träder i kraft den 26 mars 2029.

2 Utgångspunkter för utredningens uppdrag

I denna delredovisning, delredovisning 4, Hälsodata ska vara tillgänglig i hela vårdkedjan, analyseras och lämnas författningsförslag avseende den nationella digitala infrastrukturen för delning av hälsodata inom vården samt EHDS bestämmelser om primäranvändning av hälsodata vad avser delning av hälsodata mellan vårdgivare. Utredningens fokus har dels varit att ge rättsliga förutsättningar för förslag som återfinns i E-hälsomyndighetens rapport Genomförandet av en nationell digital infrastruktur för hälso- och sjukvård och EHDS primäranvändning, dels anpassa svensk lagstiftning utifrån de krav som EHDS-förordningen ställer. Utredningens uppdrag ska enligt gällande direktiv vara slutfört den 1 april 2026. Även i slutrapporten kommer förslag lämnas som rör den nationella digitala infrastrukturen och EHDS-förordningens bestämmelser om primäranvändning.

2.1 En nationell digital infrastruktur ska inrättas

Regeringen har en målsättning om inrättande av en nationell digital infrastruktur för elektroniskt informationsutbyte inom hälso- och sjukvården där staten tar ett större ansvar. Med en nationell digital infrastruktur avses det sammanhang av tekniska och organisatoriska resurser som stöder och möjliggör informationsutbytet mellan och inom olika verksamheter och sektorer. Av Tidöavtalet, som är en politisk överenskommelse mellan Sverigedemokraterna, Moderaterna, Kristdemokraterna och

Liberalerna, framgår att hälsodata ska bli tillgängliga i hela vårdkedjan för all vård, såväl kommunal som regional, och för tandvård oavsett huvudman. Den digitala infrastrukturen ska bidra till att öka kvaliteten i vården, att förbättra patientsäkerheten, att stärka patientens ställning och att minska den administrativa bördan för hälso- och sjukvårdens medarbetare. Avsaknaden av en gemensam digital infrastruktur för hälsodata och brist på tydlig styrning och samordning bedöms ha lett till åtskilliga separata lösningar runt om i landet, vilket försvårat kommunikationen mellan olika vårdgivare. Nödvändiga uppgifter om patientens vård följer inte alltid med patienten i deras kontakter med vården. Frågan om statens ansvar för en digital infrastruktur för vården har utretts och diskuterats i flera olika sammanhang. Ett av de grundläggande skälen till E-hälsomyndighetens bildande 2014 var att stärka den nationella digitala infrastrukturen (se avsnitt 5.5.3). Vårdansvarskommittén framhåller i betänkandet Ansvaret för hälsooch sjukvården (SOU 2025:62) att ett utökat statligt ansvar för frågor relaterat till hälso- och sjukvårdens digitala infrastruktur också innebär förutsättningar för staten att styra tydligare. Det kan enligt kommittén innebära bättre förutsättningar för följsamhet till standarder, att specifikationer skapas och efterlevs samt att komponenter och tjänster i en nationell digital infrastruktur i övrigt används för att underlätta utbyte av information och tillgängliggörande av hälsodata nationellt och internationellt.

2.2 Utredningens uppdrag

Av utredningens ursprungliga direktiv som beslutades den 22 januari 2024 följer att utredningen bl.a. ska: • kartlägga behandlingen av personuppgifter inom ramen för den nationella digitala infrastrukturen, inbegripet vårdgivarnas personuppgiftsbehandling samt E-hälsomyndighetens roll i infrastrukturen, • analysera och ta ställning till om det behövs kompletterande reglering för E-hälsomyndigheten och vårdgivarnas behandling

av personuppgifter inom ramen för den nationella digitala infrastrukturen, och i så fall föreslå en sådan reglering, • beakta behovet av informations- och cybersäkerhet samt skydd för den personliga integriteten och göra en integritetsanalys, • analysera de rättsliga förutsättningarna för att tillgången till uppgifter i den nationella digitala infrastrukturen ska kunna säkras och vid behov föreslå en skyldighet för vårdgivarna att lämna uppgifter inom ramen för den nationella digitala infrastrukturen, • analysera och ta ställning till om det finns behov av nya eller ändrade sekretessbestämmelser för E-hälsomyndigheten och vårdgivare och då även beakta insynsintresset samt behovet av sekretessbrytande bestämmelser, • göra en analys av hur de förslag som lämnas förhåller sig till intresset av sekretesskydd för enskildas personliga förhållanden, och • lämna nödvändiga författningsförslag.

Den 3 juli 2024 beslutade Regeringskansliet om tilläggsdirektiv till denna utredning. Av dessa direktiv följer att utredningen även ska analysera och ta ställning till vilka anpassningar av nationell rätt som är nödvändiga respektive lämpliga att göra med anledning av EU:s förslag till förordning om det europeiska hälsodataområdet (EHDS). Inom ramen för denna analys lyftes ett antal frågor som ansågs behöva uppmärksammas särskilt:

• analysera och ta ställning till hur tillgångstjänster för patienter ska etableras och regleras i Sverige, inklusive ansvarsförhållandena för delning av hälsodata och annan information inom ramen för sådana tillgångstjänster, • analysera och ta ställning till hur nationell rätt behöver anpassas för att uppfylla kraven avseende patientens rättighet att föra in information i sin patientjournal, inklusive hur hälsoappar inom hälso- och sjukvården ska regleras,

• analysera och ta ställning till hur patientens rätt att motsätta sig delning av hälsodata, en s.k. opt-out, ska regleras i nationell rätt, • analysera och ta ställning till hur nationell rätt i övrigt behöver anpassas för att uppfylla kraven avseende patientens rättigheter, • analysera och ta ställning till om det finns behov av nya eller ändrade bestämmelser om sekretess och tystnadsplikt, inklusive bestämmelser som bryter sekretess och tystnadsplikt, för att anpassa nationell rätt till EHDS bestämmelser om utbyte av information och delning av hälsodata. Det fullständiga uppdraget återfinns i utredningens direktiv, se bilagorna 1 och 2. Flertalet av de ovan angivna frågorna omhändertas i denna rapport men som anförts kommer utredningen i slutrapporten att återkomma i vissa frågor.

E-hälsomyndighetens färdplan för en nationell digital infrastruktur ligger till grund för flera av utredningens förslag

Utredningens uppdrag i denna delrapport har, som nämnts ovan, varit att analysera och föreslå åtgärder som möjliggör den nationella digitala infrastrukturen för hela hälso- och sjukvården. E-hälsomyndighetens rapporter Förslag till färdplan för en nationell digital infrastruktur för vården (2024) samt den fördjupade slutrapporten Genomförandet av en nationell digital infrastruktur för hälso- och sjukvård och EHDS primäranvändning (2025) ligger till grund för flertalet av de förslag och bedömningar som lämnas i denna utredning vad gäller infrastrukturen. Rapporterna sammanfattas i avsnitt 3.

Ett europeiskt hälsodataområde - EHDS

Tätt sammankopplad med regeringens målsättning om att hälsodata ska vara tillgänglig i hela vårdkedjan med stöd av den nationella digitala infrastrukturen är EU-förordningen om ett europeiskt hälsodataområde (EHDS-förordningen). EHDS-förordningen medför krav på anpassning av svensk lagstiftning och kommer att

påverka utformningen av den nationella digitala infrastrukturen och de nationella bestämmelser som ska reglera den. Intentionerna med EHDS-förordningen ligger i mångt och mycket i linje med intentionerna med tillskapandet av den nationella digitala infrastrukturen. Förordningen kommer att vara direkt tillämplig i medlemsstaterna. Utredningen har därför också i uppdrag i denna delrapport att analysera och ta ställning till vilka anpassningar av nationell rätt som är nödvändiga respektive lämpliga med anledning av EHDS-förordningen och lämna nödvändiga författningsförslag. Svensk lagstiftning är i många avseenden redan idag förenlig med bestämmelserna i EHDS-förordningen. I andra avseenden har utredningen sett behov av att ändra eller justera nationella bestämmelser inte minst i ett försök att förenkla en idag mycket komplex lagstiftning på området. Justering av nationella bestämmelser måste genomföras efter noggrant övervägande så att de överensstämmer med EHDS-förordningen. Det är viktigt att beakta att den europeiska lagstiftningen är en rättsakt som på sikt kommer att utvecklas med en egen praxis och att svensk nationell lagstiftning därmed kommer att behöva tolkas med utgångspunkt även i sådan europeisk rättsutveckling. Svensk nationell lag får därför inte blir så rigid att den kan komma att behöva ändras utifrån EU-rättens praxis utan möjliggör ett tolkningsutrymme. En översiktlig genomgång av EHDSförordningen görs i avsnitt 3.

2.3 Avgränsningar och utredningens fortsatta arbete

Fokuset för denna rapport är att analysera och lämna författningsförslag för att förverkliga den nationella digitala infrastrukturen samt för att implementera EHDS-förordningens bestämmelser om primäranvändning av hälsodata. Det är alltjämt många frågor som har bäring på den nationella digitala infrastrukturen och som fortfarande utreds av bl.a. E-hälsomyndigheten. Utredningen har därför inte haft möjlighet att omhänderta dessa frågor i denna rapport. Här kan nämnas tillgångstjänster för invånare samt en sammanhållen infrastruktur för identitet och behörighet inom hälso- och sjukvården där E-

hälsomyndigheten ska rapportera ett uppdrag i december 2025. Utredningen lyfter även fram frågor om otydlig ansvarsfördelning mellan myndigheter. Här pågår ett parallellt beredningsarbete på Regeringskansliet. Utredningen har också identifierat ett behov av en utvecklad analys avseende några frågor. En sådan fråga är särskilt skyddsvärda gruppers rätt till opt-out men också frågor om barn och vårdnadshavares tillgång till hälsodata. Det finns även frågor avseende EHDS-förordningen och primäranvändning som kvarstår att utreda. Många frågor är bl.a. beroende av hur de s.k. genomförandeakter som EU-kommissionen arbetar med kommer att vara utformade. Frågor om implementering av EHDS-förordningen när det gäller sekundäranvändning behandlas inte i denna rapport. Utredningen kommer att återkomma till dessa frågor i slutrapporten, vilket framgår av direktiven. Exempelvis handlar det om frågor som har koppling till utredningens andra delrapport om s.k. Health data access bodies (HDAB) och där Socialstyrelsen, Inspektionen för vård och omsorg samt Statistiska centralbyrån har fått regeringsuppdrag och som ska avrapporteras i juni 2026.

2.4 Genomförande och samverkan

Utredningen har i enlighet med direktiven fört en nära och löpande dialog med E-hälsomyndigheten om publicerade rapporter, rättsliga analyser m.m. som myndigheten lämnat. Löpande samtal har även förts med Socialstyrelsen i frågor som rör såväl en nationell digital infrastruktur som EHDS-förordningens krav. Arbetet har vidare och som nämnts utgått från rapporter som Ehälsomyndigheten tagit fram samt EHDS-förordningen. I delar har även förslag och bedömningar som återfinns i betänkandet Delad hälsodata – dubbel nytta (SOU 2024:33) rörande krav på obligatorisk delning av vissa patientuppgifter och tillsyn, omhändertagits. Utredningen har i sitt utredningsarbete haft dialog med representanter från regioner och kommuner. Här kan särskilt nämnas den enkät som skickats ut till regioner och kommuner och

som ligger till grund till stora delar av utredningens konsekvensanalys. Vidare har utredningen haft dialog med Sveriges kommuner och regioner, SKR, representanter för privata vårdgivare samt leverantörer av medicintekniska produkter och tillhörande branschorganisationer. Förslag och synpunkter som inkommit i detta samverkansarbete har utgjort en grund för myndigheternas förslag. Regeringen tillsatte den 14 december 2023 en samordnare för en nationell digital infrastruktur i hälso- och sjukvården (S 2023:14) (dir. 2023:177). Samordnaren har bistått regeringen i arbetet med att införa en nationell digital infrastruktur för hälso- och sjukvården. Denna utredning och samordnaren har arbetat i nära samverkan bl.a. när det gäller dialoger med hälso- och sjukvårdens huvudmän och andra aktörer liksom genomförande av den ovan nämnda enkäten som riktades mot huvudmännen. Erfarenheter och reflektioner från den nationella samordnarens arbete har också bidragit till de överväganden och förslag som återfinns i rapporten. En workshop har även genomförts tillsammans med samordnaren med representanter från hälso- och sjukvården samt patientföreträdare.

2.5 Hur rapporten är strukturerad

Rapporten är strukturerad på följande sätt.

I kapitel 3 görs en bakrundsbeskrivning där EHDS-förordningen sammanfattas liksom de förslag som tagits fram främst av Ehälsomyndigheten om en nationell digital infrastruktur.

Kapitel 4 redogör för utredningens förslag när det gäller vårdgivares registrering av hälsodata. Det handlar bl.a. om vilket utrymme som idag finns i nationell rätt när det gäller att registrera prioriterade kategorier och vilka krav EHDS-förordningen ställer på vårdinformationssystemen.

I kapitel 5 redogör för utredningens förslag om att hälsodata ska göras tillgänglig mellan vårdgivare samt förslag och bedömningar

avseende ansvarsfördelningen mellan Socialstyrelsen och Ehälsomyndigheten.

Kapitel 6 behandlar förslag om hälso- och sjukvårdens åtkomst till elektroniska hälsodata. Bland annat lämnas förslag till hur en statlig myndighet ska kunna tillhandahålla en nationell tillgångstjänst men även resonemang kring att andra aktörer ska kunna utveckla sådana tjänster.

I kapitel 7 lämnas förslag avseende patientens rätt att begränsa tillgången till sina elektroniska hälsodata. Det handlar om s.k. optout och spärrar. Barns rätt att spärra data hanteras särskilt.

Kapitel 8 behandlar nationella register och it-funktioner för elektroniskt informationsutbyte av hälsodata. Ett förslag till rättsligt ramverk för elektroniskt informationsutbyte lämnas.

I kapitel 9 redogör för författningsförslag avseende ansvarig myndighets behandling av personuppgifter inom ramen för den nationella infrastrukturen.

Kapitel 10 innehåller förslag till ändringar i offentlighets- och sekretesslagen.

I kapitel 11 görs en integritetsanalys avseende utredningens förslag.

Kapitel 12, 13 och 14 innehåller förslag till ikraftträdande, en konsekvensanalys samt en författningskommentar.

Bilaga 3 innehåller en förordning till utredningens förslag till lag om nationell infrastruktur och tjänster för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet (se kapitel 8). Förordningen har utarbetats tillsammans med E-hälsomyndigheten.

3 Bakgrund

Utredningens förslag i syftar till att hälsodata ska bli tillgänglig i hela vårdkedjan. I detta kapitel redogör utredningen för de författningar, EHDS-förordningen, och statliga satsningar, E-hälsomyndighetens arbete med genomförande av den nationella digitala infrastrukturen, som har utgjort utgångspunkter för utredningens uppdrag och val av lösningar.

3.1 Det europeiska hälsodataområdet

EHDS-förordningen trädde i kraft under första kvartalet 2025. Förordningen ställer bl.a. krav på att varje medlemsland ska dela patientuppgifter vid primäranvändning av hälsodata, dvs. inom hälso- och sjukvården. Kraven på EU-nivå kommer att påskynda den nationella utvecklingen mot att göra hälsodata tillgängligt i hela vårdkedjan. EHDS, European Health Data Space, är EU:s initiativ för att skapa en gemensam digital infrastruktur för hälsodata inom EU. I EHDS-förordningens skäl anges att den syftar till att inrätta det europeiska hälsodataområdet dels för att förbättra fysiska personers åtkomst till och kontroll över sina elektroniska hälsodata med personuppgifter i samband med hälso- och sjukvård, dels för att bättre tjäna andra ändamål som inbegriper användningen av elektroniska hälsodata i hälso- och sjukvårdssektorn t.ex. forskning, innovation, beslutsfattande, beredskap inför och insatser vid hälsohot, patientsäkerhet, precisionsmedicin, officiell statistik eller

reglering. Ett annat uttryckligt mål är att förbättra den inre marknaden genom att införa en enhetlig rättslig och teknisk ram, framför allt för utveckling, marknadsföring och användning av elektroniska hälsodokumentationssystem (så kallade EHR-system). Fysiska personers tillgång till sina hälsodata och användning av sådana inom hälso- och sjukvården för ändamålet att vårda individen utgör i förordningen primäranvändning av hälsodata. Annan användning av hälsodata, såsom för forskning, innovation, statistik m.m. kallas för sekundäranvändning. I denna delredovisning lämnar utredningen förslag på anpassningar av nationell rätt med avseende på primäranvändning. Syftet med förordningen är således att underlätta delning och utbyte av hälsodata mellan EU-länder och inom EU-länder för att förbättra vården, forskningen och innovationen. Detta innebär att individer ska kunna få tillgång till sina egna hälsodata, och att vårdpersonal ska kunna få tillgång till viktig patientinformation, även när patienten vårdas i ett annat EU-land. Förordningen är vad avser primäranvändningen uppbyggd utifrån en rättighetsreglering med fokus på fysiska personers rättigheter i förhållande till behandlingen av deras hälsodata. Den innehåller därmed ett antal olika rättigheter för individer som de ska kunna utöva: • Rätt till åtkomst till sin egna hälsodata genom särskilda tjänster för tillgång (artikel 3 och 4), • Rätt att kunna föra in egen information i sin hälsodokumentation (artikel 5), • Rätt begära rättelse av felaktig information (artikel 6), • Rätt till en utökad möjlighet till dataportabilitet (artikel 7), • Rätt att begränsa tillgången till hälsodata gentemot hälso- och sjukvårdspersonal (artikel 8), • Rätt att få information om vem som har haft tillgång till sin hälsodata (artikel 9)

Förordningen ger också medlemsstaterna en möjlighet att införa en rätt för fysiska personer att helt motsätta sig tillgängliggörande av hälsodata mellan vårdgivare för primäranvändning (artikel 10). Syftet med förordningen vad gäller primäranvändning har således ett fokus på att hälsodata ska kunna tillgängliggöras inom hela vården samtidigt som fysiska personer har ett antal rättigheter knutna till detta tillgängliggörande. Vad gäller åtkomsten till hälsodata för hälso- och sjukvårdspersonal så innehåller förordningen regler om att sådan personal ska ha tillgång till relevant hälsodata avseende den patient de behandlar (artikel 11). Tillgång till relevant hälsodata innebär att den i vart fall ska omfatta vissa definierade kategorier av hälsodata (artikel 14). Åtkomsten till denna hälsodata för vårdgivare bygger på att hälsodata finns registrerad på ett visst sätt i särskilda elektroniska hälsodokumentationssystem (så kallade EHR-system). Förordningen innehåller därför en skyldighet för vårdgivare att när de registrerar elektroniska hälsodata så måste sådan registrering göras i ett EHR-system (artikel 13). Uppgifterna ska registreras på ett sådant sätt och i ett sådant format som överensstämmer med de krav som senare kommer att definieras av EU-kommissionen genom särskilda genomförandeakter, som kommer att tas fram stegvis (artikel 13). EHR-systemen ska sedan vara utformade så att de kan utbyta hälsodata mellan varandra utifrån ett särskilt europeiskt format för utbyte, som ska möjliggöra den tekniska interoperabiliteten (artikel 15). Vad gäller EHR-systemen så kommer samtliga dessa regleras utifrån en marknadsmodell där det kommer att finnas krav som måste uppfyllas av den leverantör som sätter en produkt som faller inom definitionen av EHR-system på den europeiska marknaden (artikel 25). Kraven innebär att samtliga EHR-system måste innehålla en europeisk programvarukomponent för interoperabiliteten och en europeisk programvarukomponent för loggning. De närmare detaljerna kring dessa komponenter kommer att tas fram av kommissionen genom så kallade genomförandeakter (artikel 36). För att möjliggöra regleringen och se till att den efterföljs ska varje medlemsstat utse en myndighet för digital hälsa som ansvarar för efterlevnaden av regleringen avseende primäranvändning (artikel

19). Myndigheten för digital hälsa får även en lång rad andra uppgifter, bland annat att se till att det finns information om regelverket till allmänheten och utgöra en nationell kapacitet för att kunna hantera kraven på interoperabilitet och säkerhet vad avser primäranvändningen. Det finns också regler för hur myndigheten för digital hälsa ska samverka med och lämna över klagomål från fysiska personer vad gäller dataskydd och rättigheterna som framgår av EU:s dataskyddsförordning (artikel 21). När det gäller åtkomst till hälsodata mellan olika medlemsländer så kommer denna att hanteras via olika nationella kontaktpunkter för digital hälsa (artikel 23) som ska möjliggöra utbytet av hälsodata mellan olika medlemsstater. Syftet med EHDS-förordningen är således att reglera de grundläggande förutsättningarna för en fungerande och säker interoperabilitet på hälsodataområdet. Detta ska möjliggöra tillgång till en samlad bild av tillgängliga hälsodata både för patienten själv och vårdgivarna men även ge fysiska personer möjlighet att förfoga över sina egna data och få viss kontroll över hur den sprids. Regelverket påverkar tillgängliggörandet och utbytet av hälsodata mellan vårdgivare både på nationell och inom EU. Interoperabilitet mellan olika EU-länder förutsätter att samma interoperabilitet finns mellan vårdgivarna inom ett land. För att interoperabiliteten ska kunna uppnås måste därför även nationella regler ses över så att de inte står i strid med EHDS. Men de nationella bestämmelserna behöver även kompletteras så att de kan möjliggöra det tillgängliggörande av hälsodata samt de rättigheter som förordningen kräver. EHDS definition av hälso- och sjukvård och hälso- och sjukvårdspersonal är det samma som i patientrörlighetsdirektivet och yrkeskvalifikationsdirektivet, vilket innebär att begreppet hälsooch sjukvårdspersonal även omfattar apotekare och receptarier (farmaceuter).

3.1.1 Begreppet prioriterade kategorier av hälsodata enligt artikel 14 EHDS-förordningen

Begreppet elektroniska hälsodata med personuppgifter definieras i artikel 2 punkt 2 a) som uppgifter om hälsa och genetiska data som behandlas i elektroniskt format. Uppgifter om hälsa å sin sida anges i artikel 2 punkt 1 a) utgöra samma begrepp som i dataskyddsförordningen, d.v.s. utgöra en del av de särskilda kategorierna av personuppgifter som definieras i art 9 dataskyddsförordningen. EHDS-förordningen är således tillämpbar på hela mängden av personuppgifter som utgör uppgifter om hälsa. Vad avser primäranvändningen så är dock i praktiken merparten av de reglerade skyldigheterna avgränsad till de uppgiftsmängder som innefattas i begreppet prioriterade kategorier av hälsodata, vilket regleras i artikel 14 EHDS-förordningen. Där framgår att det vid tillämpningen av kapitel II ska de prioriterade kategorierna av elektroniska hälsodata med personuppgifter vara följande: • Patientöversikter • Elektroniska recept • Elektroniska expedieringar • Bilddiagnostiska undersökningar och relaterade rapporter om bilddiagnostik • Resultat av medicinska undersökningar, inklusive laboratorieresultat och andra diagnostiska resultat och relaterade rapporter • Utskrivningsrapporter

Kategorierna detaljeras vidare i EHDS-förordningen bilaga I. I bilagan framgår att patientöversikt innebär elektroniska hälsodata som innehåller viktiga kliniska fakta om en identifierad fysisk person och som är nödvändiga för att ge personen säker och effektiv hälsooch sjukvård. Följande information specificeras ingå i en patientöversikt: 1. Identitetsuppgifter 2. Kontaktuppgifter

3. Försäkringsuppgifter 4. Allergier 5. Medicinska varningar 6. Information om vaccinering/profylax, eventuellt i form av ett vaccinationskort 7. Aktuella, lösta, arkiverade eller inaktuella problem, även i internationella klassificeringskoder 8. Information om sjukdomshistorik 9. Medicintekniska produkter och implantat 10. Medicinska ingrepp eller vårdingrepp 11. Funktionsstatus 12. Aktuella och relevanta tidigare läkemedel 13. Observationer av patientens sociala förflutna med koppling till hälsan 14. Graviditetshistorik 15. Uppgifter från patienten 16. Observationsresultat som rör hälsotillståndet 17. Vårdplan 18. Information om en sällsynt sjukdom, exempelvis uppgifter om sjukdomens konsekvenser eller karaktär Vad avser begreppet elektroniska recept framgår att med detta begrepp avses i EHDS-förordningen elektroniska hälsodata som utgör ett recept för ett läkemedel enligt definitionen i artikel 3 k i direktiv 2011/24/EU. I denna definition framgår att recept är en ordination av ett läkemedel eller ett medicinskt hjälpmedel som utfärdas av en person som utövar ett reglerat vårdyrke och som har laglig rätt att göra detta i den medlemsstat där ordinationen utfärdas. Detta innebär att inom ramen för EHDS omfattas såväl förskrivna läkemedel som hämtas ut från apotek som läkemedel som ordinerats inom vården av begreppet elektroniska recept.

3.2 E-hälsomyndighetens förslag till genomförande av den nationella digitala infrastrukturen

E-hälsomyndigheten redovisade sitt förslag till genomförandet av en nationell digital infrastruktur för hälso- och sjukvård och EHDSförordningen i mars 2025. 19 För att genomföra och möta de krav som ställs i EHDSförordningen om att ge tillgång till hälsodata till såväl patienter som hälso- och sjukvårdspersonal, föreslår E-hälsomyndigheten en nationell digital infrastruktur (NDI). Infrastrukturen ska dels binda samman alla vårdgivare, dels har funktionalitet som möjliggör en säker och effektiv tillgång till den samlade mängden hälsodata. Huvudprincipen för en sådan infrastruktur är enligt E-hälsomyndigheten att den är öppen för alla berörda aktörer och samtidigt innehåller krav som ska vara uppfyllda för att garantera att all information tillgängliggörs på ett säkert sätt. Dessa krav behöver regleras i nationell rätt. Flera krav behöver läggas på vårdgivarna, eftersom det är de som har hälsodata om patienterna. Kraven innebär bland annat att vårdgivare ska vara skyldiga att hålla vissa nationella register och tekniska kataloger uppdaterade samt tillämpa spärrar som patienten har infört genom att filtrera den information som lämnas ut i samband med att hälsodata tillgängliggörs. Utredningens förslag till reglering av den nationella digitala infrastrukturen redovisas i kapitel. 8. Författningsförslag som berör krav på vårdgivare finns i kapitel 4 – 7. Den nationella digitala infrastrukturen föreslås vara informationsorienterad och API-baserad. Det innebär att huvudinriktningen är att uppgifterna utbyts direkt mellan vårdgivare med hjälp av nationellt fastställda specifikationer som beskriver vilken information som ska tillgängliggöras och hur åtkomsten till informationen ska möjliggöras tekniskt. Den digitala infrastrukturen har som mål att tillfredsställa olika gemensamma behov av informationsförsörjning inom hälso- och sjukvården. Den ska möjliggöra att enskilda aktörer med hjälp av infrastrukturen sömlöst kan ta del av information och sammanställa sådan från samtliga andra deltagande aktörer

19 Genomförandet av en nationell digital infrastruktur för hälso- och sjukvård och EHDS primäranvändning, dnr 2024/03223, publicerad mars 2025

I sin rapport har myndigheten lämnat förslag om de grundläggande komponenter, it-funktioner och strukturer som är centrala och nödvändiga för att infrastrukturen ska fungera 20 (beskrivningar av dessa finns i kapitel 8 och 9). Dessa ska göra det möjligt för de olika aktörernas system att härleda var relevant information finns för att sedan på ett säkert sätt kunna överföra och sammanställa den information som vid varje tillfälle begärs. Utöver dessa komponenter, it-funktioner och strukturer ska myndigheten enligt sitt förslag även ansvara för tillgångstjänster.

3.3 Författningar som reglerar dataskydd, sekretess och förutsättningarna för delning av hälsodata

Hälso- och sjukvården är en informationsintensiv sektor som behandlar stora mängder personuppgifter. Många av uppgifterna rör hälsa och personliga förhållanden och det är därför nödvändigt att skyddet för den personliga integriteten respekteras. Frågan om myndigheters behandling av personuppgifter på automatiserad väg innefattar avvägningar mellan skyddet för den personliga integriteten och andra viktiga samhällsintressen. I regeringsformen (RF) anges bl.a. att det allmänna ska värna den enskildes privatliv och familjeliv (1 kap. 2 § fjärde stycket). Var och en är gentemot det allmänna skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden (2 kap. 6 § andra stycket RF). Denna fri- och rättighet kan under vissa förutsättningar begränsas genom lag (2 kap. 20 och 21 §§ RF). I offentlighets- och sekretesslagen (2009:400), förkortad OSL, regleras sekretess i det allmännas verksamhet. Sekretess innebär ett förbud att röja en uppgift, vare sig det sker muntligen, genom utlämnande av en allmän handling eller på något annat sätt (3 kap. 1 § offentlighets- och sekretesslagen). Sekretess gäller inom hälso- och sjukvården (inklusive tandvården) 21 för uppgift om en enskilds hälsotillstånd eller andra personliga förhållanden, om det inte står

20 Detaljerade beskrivningar av dessa grundläggande komponenter, it-funktioner och strukturer finns i E-hälsomyndighetens rapport. 21 Prop. 1979/80:2 Del A s 165

klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men (25 kap. 1 § offentlighets- och sekretesslagen). Det finns dock olika bestämmelser som bryter denna sekretess. Uppgifter får till exempel lämnas ut om en patient samtycker till det (10 kap. 1 § OSL), om uppgiftsskyldighet till annan myndighet anges i lag eller förordning (10 kap. 28 § OSL), eller om det finns någon annan sekretessbrytande bestämmelse i OSL (t.ex. 25 kap. 17c §). När det gäller skyddet för uppgifter som förekommer inom hälso- och sjukvård och tandvård som bedrivs av enskilda näringsidkare får den som tillhör eller har tillhört sådan verksamhet inte obehörigen röja vad han eller hon i denna verksamhet har fått veta om en enskilds hälsotillstånd eller andra personliga förhållanden (6 kap. 12 § patientsäkerhetslagen [2010:659]). I OSL regleras sekretess hos E-hälsomyndigheten. Hos myndigheten gäller sekretess för uppgift om en enskilds hälsotillstånd eller andra personliga förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men (25 kap. 17 a § OSL). Sekretessbestämmelsen är utformad med ett s.k. omvänt skaderekvisit vilket innebär att presumtionen är att uppgifterna skyddas av sekretess Den 25 maj 2018 började Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskyddsförordning, att tillämpas. I samband med detta trädde lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen) i kraft. Ytterligare bestämmelser om behandling av personuppgifter finns i EU:s förordning om det europeiska hälsodataområdet. I avsnitt 3.2 redogör utredningen för och vad den kommer att innebära för informationshanteringen inom hälso-och sjukvården. I hälso- och sjukvårdslagen (2017:30) och tandvårdslagen (1985:125) finns bestämmelser om hur hälso- och sjukvårdsverksamhet respektive tandvårdsverksamhet ska organiseras och bedrivas. Många av bestämmelserna i hälso- och

sjukvårdslagen och tandvårdslagen motsvarar varandra när det gäller krav på kvalitet och systematisk utveckling av verksamheten. Verksamheterna ska bedrivas så att de uppfyller krav på en god vård respektive god tandvård, vilket innebär att de ska vara av god kvalitet med en god hygienisk standard och tillgodose patientens behov av trygghet i vården och behandlingen, vara lätt tillgängliga, bygga på respekt för patientens självbestämmande och integritet samt främja goda kontakter mellan patienten och personalen. Behandlingen av personuppgifter inom hälso- och sjukvården regleras i särskilda s.k. registerlagar, främst patientdatalagen (2008:355), förkortad PDL, (lagen 2022:913) om sammanhållen vård- och omsorgsdokumentation och lagen (2018:1212) om nationell läkemedelslista. Lagarna kompletteras av förordningar samt i vissa fall myndighetsföreskrifter. När det gäller tillämpningen av PDL är Socialstyrelsens föreskrifter och allmänna råd (HSLF-FS 2016:40) om journalföring och behandling av personuppgifter i hälso- och sjukvården särskilt viktig.

4 Vårdgivares registrering av hälsodata

4.1 Inledning

Genom EHDS-förordningen introduceras bestämmelser med krav om att elektroniska hälsodata ska registreras i ett interoperabelt elektroniskt system samt i ett format och med en nomenklatur som gör att den kan tillgängliggöras i hela vårdkedjan. I detta kapitel behandlas utredningens bedömningar och förslag på nödvändiga anpassningar av nationell rätt till följd av EHDSförordningens krav om registrering av prioriterade kategorier av hälsodata.

4.2 Registreringskrav enligt gällande rätt omfattar de prioriterade kategorierna av hälsodata

Utredningens förslag: En kompletterande bestämmelse ska införas i lagen om nationella läkemedelslistan för att möjliggöra att kravet i EHDS-förordningen om att patientens identifieringsuppgifter i försäkringsmedlemsstaten ska registreras uppfylls.

Utredningens bedömning: Befintliga bestämmelser om vilka uppgifter som ska registreras i patientjournalen och i nationella läkemedelslistan omfattar de uppgifter som ingår i de prioriterade kategorierna av hälsodata med personuppgifter enligt artikel 14 i EHDS-förordningen.

Socialstyrelsens föreskrifter och allmänna råd (HSLF-FS 2016:40) om journalföring och behandling av personuppgifter i hälso- och sjukvården behöver kompletteras på sådant sätt att förordningens krav på registrering av dels de prioriterade kategorierna enligt artikel 14, dels identifieringsuppgifter som patienten har i sin försäkringsmedlemsstat uppfylls. Det behövs inga anpassningar av nationell rätt till följd av förordningens krav om att prioriterade kategorier av hälsodata ska hållas uppdaterade.

Skälen för utredningens förslag och bedömning

Grundläggande krav avseende registrering i EHDS-förordningen

En grundläggande förutsättning för att delning av hälsodata i enlighet med EHDS-förordningen ska vara möjlig är att dessa uppgifter, när de behandlas elektroniskt, registreras av vårdgivare. Av artikel 13.1 i förordningen framgår att medlemsstaterna ska säkerställa att vårdgivare registrerar relevanta elektroniska hälsodata i elektroniskt format i särskilda vårddokumentationssystem, i förordningen kallade elektroniska hälsodokumentationssystem. Befintliga krav avseende vilka uppgifter som ska journalföras omfattar elektroniska hälsodata som helt eller delvis omfattas av åtminstone de prioriterade kategorierna som avses i artikel 14.1. De prioriterade kategorierna beskrivs mer ingående i avsnitt 3.1.1. Det ankommer på medlemsstaterna att säkerställa att vårdgivare registrerar de prioriterade kategorierna av hälsodata. Nationella krav avseende registrering av uppgifter som motsvarar de prioriterade kategorierna finns i patientdatalagen (2008:355) och lagen (2018:1212) om nationell läkemedelslista (NLL).

Nationella bestämmelser avseende uppgifter som ska anges i journalen

Bestämmelser om skyldigheten att föra patientjournal finns i 3 kap. patientdatalagen (PDL). I 3 och 5–8 samt 11 §§ finns bestämmelser

100

som fastställer vilka yrkeskategorier som är skyldiga att föra patientjournal och vad patientjournalen får eller ska innehålla. Enligt EHDS-förordningen är det vårdgivare som ska registrera relevanta hälsodata. Det kravet tillgodoses i nationell rätt genom att PDL föreskriver en skyldighet att föra journal vid vård av patienter, att skyldigheten gäller för vissa särskilt angivna yrkeskategorier och att den som för patientjournal ansvarar för sina uppgifter (3 och 4 §§). Centralt för dokumentationsskyldigheten är att patientjournalen ska innehålla de uppgifter som behövs för en god och säker vård av patienten (6 §). Av 6 § framgår vidare att om uppgifterna finns tillgängliga ska en patientjournal alltid innehålla bland annat uppgifter om patientens identitet, bakgrunden till vården, ställd diagnos och planerade åtgärder. Bestämmelsen kompletteras av Socialstyrelsens föreskrifter och allmänna råd (HSLF-FS 2016:40) om journalföring och behandling av personuppgifter i hälso- och sjukvården (5 kap. 3–4 §§). En patientjournal får även innehålla de uppgifter som enligt lag eller annan författning ska antecknas i en patientjournal (7 §). Sådana bestämmelser finns i nationell rätt exempelvis i smittskyddslagen (2004:168) och förordningen (1991:1472) om psykiatrisk tvångsvård och rättspsykiatrisk vård.

Nationella bestämmelser avseende uppgifter om elektronisk förskrivning och expediering i nationella läkemedelslistan

Bestämmelser om vilka uppgifter som får registreras i den nationella läkemedelslistan finns i 3 kap. 8 § NLL. Lagen innehåller krav riktade mot dels den som bedriver verksamhet inom hälso- och sjukvården, dels öppenvårdsapotek, om att lämna uppgifter om förskrivning och expediering av läkemedel eller andra varor. Uppgifterna registreras i registret, som benämns nationella läkemedelslistan. Av 9 kap. 1 § 2 NLL framgår mer specifikt att den som bedriver verksamhet som innefattar ordination och förskrivning av läkemedel eller andra varor vid en elektronisk förskrivning ska lämna de uppgifter till nationella läkemedelslistan som anges i 3 kap. 8 § NLL. Det innefattar bland annat uppgifter om förskriven vara, uppgifter om patienten, ordinationsorsak och den expedierande varan.

101

De krav som ställs på att den som har tillstånd att bedriva öppenvårdsapotek att vid expediering av en förskrivning lämna vissa uppgifter till E-hälsomyndigheten anges i 2 kap. 6 § 5 och 6 lagen (2009:366) om handel med läkemedel. Detta innefattar samma uppgifter som ska lämnas vid en förskrivning (uppgifter enligt 3 kap. 8 § NLL).

Gällande rätt innehåller bestämmelser om att de prioriterade kategorierna av hälsodata ska registreras

Registreringen av de prioriterade kategorierna, undantaget vissa elektroniska förskrivningar och elektroniska expedieringar, regleras i PDL. Socialstyrelsen har på en fråga från utredningen gjort bedömningen att dokumentationskraven i HSLF-FS 2016:40 i stort sett stämmer överens med innehållet i artikel 14.1 och de egenskaperna som ingår i kategorierna enligt bilaga 1 EHDS. Myndigheten framhåller emellertid att en diskrepans finns när det kommer till försäkringsuppgifter (egenskap enligt bilaga 1 för kategorin patientöversikter). HSLF-FS 2016:40 kräver inte att försäkringsuppgifter ska dokumenteras. Att variabeln försäkringsuppgifter inte uttryckligen anges bland de uppgifter som enligt PDL ska antecknas i patientjournalen har sin naturliga förklaring i att det inte är en variabel av relevans för vårt hälso- och sjukvårdssystem. Utredningen delar Socialstyrelsens bedömning om att HSLF-FS 2016:40 behöver kompletteras för att säkerställa att kravet på att de prioriterade kategorierna ska registreras är uppfyllt. Utredningen ser även att det kan komma att bli aktuellt med fler kompletteringar om kommissionen, på det sätt som anges i artikel 14.2, genom delegerade akter ändrar uppgifterna i bilaga I. Avseende de prioriterade kategorierna elektroniska recept och elektroniska expedieringar regleras det i huvudsak i NLL. Kategorin elektroniska recept definieras i EHDS-förordningen som elektroniska hälsodata som utgör ett recept för ett läkemedel enligt definitionen i artikel 3 k i patientrörlighetsdirektivet. Av den tillämpliga definitionen i patientrörlighetsdirektivet framgår att recept är en ordination av ett läkemedel eller ett medicinskt

102

hjälpmedel som utfärdas av en person som utövar ett reglerat vårdyrke och som har laglig rätt att göra detta i den medlemsstat där ordinationen utfärdas. EHDS-förordningens definition av begreppet elektroniska recept innefattar således såväl förskrivna läkemedel vilka hämtas ut från apotek som läkemedel vilka ordinerats inom den slutna vården, även benämnda ordinerade läkemedel. Denna definition omfattar mer uppgifter än som finns i den nationella läkemedelslistan. Där saknas exempelvis slutenvårdsordinationer. Uppgifter om elektroniska läkemedelsordinationer omfattas emellertid av de uppgifter som ska finnas i en patientjournal enligt 3 kap. 6 § PDL. Sammantaget konstaterar utredningen att bestämmelser om att de prioriterade kategorierna ska registreras finns i PDL och NLL Utredningens bedömning är att bestämmelserna om registrering av uppgifter som finns i PDL och NLL innefattar de prioriterade kategorierna av hälsodata enligt artikel 14.1. Utöver kompletteringar i Socialstyrelsens föreskrifter och allmänna råd om journalföring och behandling av personuppgifter i hälso- och sjukvården för att säkerställa att alla de prioriterade kategoriernas egenskaper anges i patientjournalen, krävs alltså inga anpassningar av nationell rätt för att uppfylla kravet om registrering av ifrågavarande uppgifter. Det krävs emellertid kompletteringar i nationell rätt för att tillgodose kraven i 13.3 vilket utredningen återkommer till i nästa avsnitt.

Kravet på registrering av patientens identifieringsuppgifter i försäkringsmedlemsstaten kräver komplettering i nationella myndighetsföreskrifter om journalföring samt i lagen om nationell läkemedelslista

Av artikel 13.3 följer att en behandlande medlemsstat – om den inte är densamma som patientens försäkringsmedlemsstat – ska säkerställa att elektroniska hälsodata registreras med de identifieringsuppgifter som patienten har i sin försäkringsmedlemsstat. Det innebär i praktiken att när en patient behandlas i ett annat land än där patienten är medborgare eller invånare, ska patienten registreras under sina nationella identifieringsuppgifter. Som framgått ska en patientjournal alltid

103

innehålla uppgifter om en patients identitet (3 kap. 6 § 2 st. 1 p. PDL) och en patientjournal får innehålla uppgifter som ska antecknas enligt förordningen (7 §). Det finns alltså utrymme i PDL för att anteckna även dessa uppgifter i patientjournalen. Av 5 kap. 3– 4 §§ Socialstyrelsens föreskrifter och allmänna råd (HSLF-FS 2016:40) om journalföring och behandling av personuppgifter i hälso- och sjukvården framgår att patienten ska identifieras entydigt och att det måste finnas rutiner för att säkerställa att det finns möjlighet att föra patientjournal även om patienten inte kan identifieras eller om patienten saknar svenskt personnummer. Socialstyrelsens föreskrifter innehåller således mer konkreta bestämmelser om hur en patient ska identifieras i journalen. Utredningens bedömning är att föreskrifterna bör kompletteras på sådant sätt att förordningens krav om att elektroniska hälsodata registreras med de identifieringsuppgifter som patienten har i sin försäkringsmedlemsstat uppfylls. Socialstyrelsen har föreskriftsrätt genom 3 kap. 12 § PDL om journalhandlingars innehåll och utformning. Utredningen anser att det innefattas i Socialstyrelsens befintliga uppdrag att säkerställa att deras föreskrifter är uppdaterade och förenliga med gällande rätt. Den som bedriver verksamhet inom hälso- och sjukvården som innefattar ordination och förskrivning av läkemedel eller andra varor ska enligt 9 kap. 1 § 2 NLL, från den 1 december 2025, vid en elektronisk förskrivning lämna de uppgifter till den nationella läkemedelslistan som anges i 3 kap. 8 § NLL. I 9 kap. 2 § finns en hänvisning till motsvarande skyldighet i samband med en expediering, som regleras i lagen om handel med läkemedel. De uppgifter som enligt 3 kap. 8 § NLL får finnas i registret motsvarar således vårdgivarnas uppgiftsskyldighet till registret. Enligt 3 kap. 8 § 2 får patientens namn, personnummer eller samordningsnummer, folkbokföringsort och postnumret i patientens bostadsadress finnas i den nationella läkemedelslistan. EHDS-förordningens krav i 13.3 innebär att registreringen av den fysiska personens identifieringsuppgifter i försäkringssmedlemsstaten även måste vara möjlig i samband med en elektronisk förskrivning eller elektronisk expediering. Det innebär att dessa uppgifter behöver kunna registreras i den nationella läkemedelslistan. Enligt nuvarande bestämmelser får NLL inte

104

innehålla en sådan uppgift. Utredningen förslår därför att NLL ändras så att dessa uppgifter också får ingå i registret. Utredningen föreslår att 3 kap. 8 § 2 NLL ändras på så sätt att andra identifieringsuppgifter än de som räknas upp enligt nu gällande bestämmelse får registreras i den nationella läkemedelslistan.

Det behövs inga anpassningar av patientdatalagen till följd av förordningens krav om att prioriterade kategorier av hälsodata ska hållas uppdaterade

Av artikel 13.2 framgår att när vårdgivare behandlar data i elektroniskt format ska de säkerställa att elektroniska hälsodata med personuppgifter för de fysiska personer som står under deras behandling uppdateras med information om hälso- och sjukvården. Av den i förordningen direkt tillämpliga artikeln följer således att vårdgivare, när de behandlar data i elektroniskt format, ska säkerställa att elektroniska hälsodata om de personer som står under deras vård uppdateras. Kravet innebär i praktiken att patientens journal alltid ska uppdateras med information om den pågående vårdinsatsen, eventuella resultat av denna och ytterligare information som behövs för en god och säker vård. Av 3 kap. 1 § PDL framgår, som nämnts, att det vid vård av en patient ska föras patientjournal. Därutöver gäller enligt 3 kap. 9 § att uppgifter som ska antecknas i journalen ska föras in så snart som möjligt. Gällande rätt innebär således att varje vårdinsats, utan onödigt dröjsmål, ska dokumenteras i patientjournalen, dvs. att patientjournalen ska hållas uppdaterad. Bestämmelser som innebär krav på vårdgivare att hålla patientjournalen uppdaterad finns således i såväl EHDSförordningen som i nationell rätt. Enligt vår bedömning finns det inte skäl att göra anpassningar i nationell rätt för att undvika den dubbelreglering som uppkommer eftersom det skulle innebära omotiverade ingrepp i befintlig författningsstruktur och orsaka en mer svårtillgänglig nationell reglering.

105

Det behövs inga anpassningar av lag om nationell läkemedelslista till följd av förordningens krav om att prioriterade kategorier av hälsodata ska hållas uppdaterade

Avseende de prioriterade kategorierna elektroniska recept och elektroniska expedieringar ska, som nämnt tidigare i detta avsnitt, den som bedriver verksamhet inom hälso- och sjukvårdens område vid en elektronisk förskrivning samt den som bedriver öppenvårdsapotek vid expediering, lämna de uppgifter till den nationella läkemedelslistan som anges i 3 kap. 8 NLL. Det innefattar uppgifter om en läkemedelsordination och expediering. Av förarbetena 22 framgår att målet om ett fullständigt och korrekt registerinnehåll förutsätter att all hälso- och sjukvårdspersonal som genom elektronisk förskrivning registrerar uppgifter om läkemedel eller andra varor i den nationella läkemedelslistan ska ha en anslutning som möjliggör både 23 registrering och direktåtkomst till registret. I samband med att ett läkemedel expedieras kommer kravet i 9 kap. 2 § NLL innebära att uppgifter om till exempel expedierad vara och datum för expedition skickas till NLL. Dessa uppgifter kommer bidra till att det framgår hur många doser som återstår på patientens recept. Således hålls uppgifterna hela tiden uppdaterade. Vid en expediering skickas alltid uppgifter som avser den aktuella expedieringen. De bör därmed anses uppdaterade per automatik. Utredningen gör bedömningen att befintliga bestämmelser i NLL och lag om handel med läkemedel uppfyller kravet på att uppgifter om de prioriterade kategorierna elektronisk förskrivning och elektronisk expediering ska hållas uppdaterade. Skyldigheterna i artikel 13.2 motsvaras av gällande nationell rätt, därav krävs ingen anpassning.

Författningsförslag

Ändring av 3 kap. 8 § 2 NLL.

22 Prop. 2017/18:223 23 Prop. 2017/18:223. s.182.

106

4.3 Krav på vårdgivare vid elektronisk journalföring

Utredningens förslag : Om uppgifter i patientjournalen behandlas elektroniskt ska de registreras på sådant sätt att de kan tillgängliggöras och tas emot i enlighet med utbytesformat som föreskrivs i EHDS-förordningen eller nationella krav. Vårdgivare som ska omfattas av krav på att elektroniskt tillgängliggöra uppgifter om patienter enligt föreskrivna formatkrav ska ha sådana tekniska system för journalföring som uppfyller kraven avseende elektroniska hälsodokumentationssystem enligt i EHDS-förordningen. En ny bestämmelse införs i patientdatalagen om att vårdgivare som ska tillgängliggöra uppgifter enligt 6 kapitlet ska ha sådana tekniska system för journalföring som uppfyller kraven avseende elektroniska hälsodokumentationssystem enligt EU:s förordning om det europeiska hälsodataområdet.

Utredningens bedömning: Kravet om att prioriterade kategorier ska registreras i ett vårdinformationssystem som uppfyller EHDS-förordningens krav kräver ingen ändring i lagen om nationell läkemedelslista.

Skälen för utredningens förslag och bedömning

De prioriterade kategorierna ska registreras i elektroniska hälsodokumentationssystem som uppfyller förordningens krav

Som nämnts innehåller förordningen krav på att åtminstone de prioriterade kategorierna i artikel 14 ska registreras i särskilt avsedda elektroniska hälsodokumentationssystem (EHR-system). Enligt förordningen avses med EHR-system (artikel 2.2 k): varje system där programvaran, eller en kombination av maskinvaran och programvaran i det systemet, möjliggör lagring, förmedling, export, import, konvertering, redigering eller visning av elektroniska hälsodata med personuppgifter som tillhör de prioriterade kategorier av elektroniska hälsodata med personuppgifter som fastställs i denna förordning, och som enligt tillverkaren ska användas av vårdgivare vid

107

tillhandahållande av patientvård eller av patienter när de tar del av sina elektroniska hälsodata.

Det grundläggande kravet är att systemet ska innehålla två harmoniserade programvarukomponenter. En komponent för interoperabilitet och en komponent för loggning (artikel 25.1). Ett EHR-system får släppas ut på marknaden eller tas i bruk endast om det uppfyller bestämmelserna i förordningen (artikel 26). Det är tillverkare av EHR-system som är skyldiga att säkerställa att de harmoniserade programvarukomponenterna (och, i förekommande fall, EHR-systemen som sådana) uppfyller de väsentliga kraven i bilaga II till förordningen samt de i artikel 36 gemensamma specifikationerna avseende dessa krav (artikel 30). I bilagan preciseras kraven avseende bl.a. interoperabilitet, säkerhet och loggning. En mer utförlig beskrivning av de krav som ställs på dessa system och på tillverkare av systemen samt de eventuella anpassningar av nationell rätt som kommer att krävas till följd av dem kommer att redovisas i utredningens kommande promemoria. För att klargöra innebörden av bestämmelsen i artikel 13.1 behöver emellertid vissa aspekter av hur förordningen beskriver informationssystemens ingående delar belysas redan i denna promemoria.

Kraven på vårdinformationssystem avser främst att möjliggöra ett utbyte av elektroniska hälsodata enligt det europeiska formatet för utbyte

Av EHDS-förordningens ingress, skäl 36, framgår bl.a. följande. För att möjliggöra ett sömlöst utbyte av elektroniska hälsodata och säkerställa att fysiska personers och hälso- och sjukvårdspersonals rättigheter respekteras, bör elektroniska hälsodokumentationssystem som marknadsförs på den inre marknaden kunna lagra och överföra högkvalitativa elektroniska hälsodata på ett säkert sätt. Detta för att säkerställa fri förlighet för elektroniska hälsodata i hela unionen. Enligt kommissionen är definitionen av ett elektroniskt hälsodokumentationssystem medvetet bred för att säkerställa

108

interoperabilitet genom en kedja av sammankopplade system. 24 Det framgår vidare att de harmoniserade programvarukomponenterna för dessa system främst rör datatransformation, även om de kan medföra ett behov av indirekta krav på dataregistrering och datapresentation i systemet. De tekniska specifikationerna för harmoniserade programvarukomponenterna ska fastställas genom genomförandeakter och bör enligt skäl 36 baseras på användningen av det europeiska formatet för utbyte av elektronisk hälsodokumentation. I samma skälpunkt anges att harmoniserade programvarukomponenterna för elektroniska hälsodokumentationssystem bör vara utformade så att de kan återanvändas och sömlöst integreras med andra komponenter inom ett större programvarusystem. I artikel 42 finns bestämmelser om att medlemsstaterna får anta nationella krav för elektroniska hälsodokumentationssystem, och bestämmelser om bedömningen av deras överensstämmelse när det gäller andra aspekter än de harmoniserade programvarukomponenterna för elektroniska hälsodokumentationssystem. De nationella kraven får emellertid inte negativt påverka de harmoniserade programvarukomponenterna för elektroniska hälsodokumentationssystem. Om en medlemsstat antar sådana krav ska kommissionen underrättas om det. Detta stärker, enligt utredningen, bilden av att ett vårdinformationssystem kan bestå av kompletterande programvarukomponenter som är skilda från de harmoniserade programvarukomponenterna. I artikel 25.2 och skäl 38 ges exempel på programvaror som inte är att betraktas som ett elektroniskt hälsodokumentationssystem. Det anges att elektroniska hälsodokumentationssystem, som enligt tillverkaren särskilt är avsedda att användas för behandling av en eller flera specifika kategorier av elektroniska hälsodata, bör vara föremål för obligatorisk egencertifiering. Trots detta bör programvara som används för allmänna ändamål inte betraktas som ett elektroniskt hälsodokumentationssystem, inte ens om programvaran används i en vårdmiljö. Det bör därför inte krävas att sådan programvara uppfyller kraven i EHDS-förordningen. Detta omfattar t.ex. ordbehandlingsprogram som används för att skriva rapporter som

24 European Commission. Frequently asked questions on the European health data space. URL: 4dd47ec2-71dd-49fc-b036-ad7c14f6ed68_en . Uppdaterad 280305. Åtkomst 250922.

109

sedan blir en del av skriftlig elektronisk hälsodokumentation, mellanvara för allmänna ändamål eller programvara för databasadministration som används som en del av datalagringslösningar.

Journaluppgifter kan finnas i en rad olika programvarukomponenter inom vad som kan anses vara ett vårdinformationssystem

Kravet på journalföring enligt PDL innebär att uppgifter ska registreras i en patientjournal (3 kap. 1 §). Bestämmelsen anger inte hur en patientjournal ska vara beskaffad eller, i de fall det är en elektronisk journal, hur den tekniskt ska konstrueras eller utformas. Det innebär att det inte finns krav på att det görs samlat i ett system. Inte heller finns i gällande rätt något som hindrar att innehållet i patientjournalen fördelas eller återfinns i flera olika system. Av uppgifter från Inera AB och SKR till utredningen framgår att en region i genomsnitt har 20 system som innehåller sådana data som omfattas av EHDS-förordningens prioriterade kategorier. Enligt utredningen medger förordningens definition av elektroniska hälsodokumentationssystem att ett sådant system kan bestå av flera olika programvaror eller system med skilda funktioner och informationsinnehåll. Genom att delarna är tekniskt kompatibla och kan kommunicera med varandra, t.ex. via gemensamma gränssnitt eller interoperabilitetslösningar, är det fråga om ett sammanhängande informationssystem. Det väsentliga är att systemet som helhet möjliggör en samlad åtkomst till åtminstone de prioriterade hälsodatakategorierna via en central åtkomstpunkt. Kravet på att de prioriterade kategorierna av elektroniska hälsodata som behandlas i samband med vård av en patient ska registreras i ett vårdinformationssystem syftar, enligt utredningens uppfattning, till att elektroniska hälsodata ska kunna göras tillgängliga i det utbytesformat som föreskrivs i EHDSförordningen. Detta ska ske främst med stöd av harmoniserade interoperabilitets- och loggningsprogramvarukomponenter som vårdgivares vårdinformationssystem måste innehålla. Det är av särskild vikt att informationsflödet är obrutet, dvs. att inga uppgifter förloras eller förvanskas i överföringen mellan olika systemkomponenter.

110

En ny bestämmelse införs om att vårdgivare som journalför elektroniskt ska registrera prioriterade kategorier i ett EHR-system som uppfyller förordningens krav

För att uppfylla EHDS-förordningens krav i artikeln 13.1 om att åtminstone de prioriterade kategorierna av hälsodata ska registreras i ett system som uppfyller förordningens krav föreslår utredningen att, vid elektronisk journalföring, ska vårdgivares vårdinformationssystem uppfylla kraven för sådana elektroniska hälsodokumentationssystem som avses i artikel 2.2 k i EHDSförordningen. Det gäller vid journalföring av åtminstone sådana uppgifter som omfattas av artikel 14 i förordningen. Förslaget syftar till att säkerställa att de prioriterade kategorierna kommer att kunna tillgängliggöras med stöd av interoperabilitetskomponenter som specificeras i EHDS-förordningen.

Förordningen kräver inte att vårdgivare journalför elektroniskt men de som gör det kommer att registrera prioriterade kategorier

Bestämmelserna i 3 kap. PDL gäller, som framgått, för vårddokumentation i såväl pappersform som elektronisk form, och utan att det föreskrivs i vilket slags mjukvarusystem uppgifterna ska registreras, om de behandlas elektroniskt. Det finns således inga bestämmelser i nationell rätt som motsvarar EHDS-förordningens krav om att elektroniska hälsodata med personuppgifter ska registreras i ett sådant särskilt kravställt system för hälsodokumentation som avses i förordningens definition av ett EHR-system. I likhet med befintlig nationell reglering innehåller bestämmelserna i EHDS-förordningen inga krav om att vårdgivare ska journalföra elektroniskt. Skyldigheten att registrera hälsodata i enlighet med förordningen inträder först under förutsättning att den journalföringspliktiga vårdgivaren faktiskt behandlar elektroniska hälsodata, dvs. journalför elektroniskt (artikel 13.1). För vårdgivare som endast för journal analogt inträder alltså inte några nya skyldigheter till följd av EHDS-förordningens krav. Utredningen ser det som osannolikt att ett vårdbesök kan genomföras utan att någon av de uppgifter som ingår i de

111

prioriterade kategorierna kommer att behöva behandlas, inte minst med beaktande av att identitetsuppgifter ingår i en patientöversikt som är en prioriterad kategori. Mot den bakgrunden gör utredningen bedömningen att alla som enligt 3 kap. 3 § PDL är skyldiga att föra journal och gör detta elektroniskt, kommer att behöva registrera åtminstone vissa av de prioriterade kategorierna i samband med vårdbesök och därmed omfattas av kravet på att använda ett hälsoinformationssystem som uppfyller EHDS-förordningens krav. Givet vad som anförts kommer den bestämmelse som utredningen föreslår om att den vårdgivare som för journal elektroniskt ska registrera i ett vårdinformationssystem som uppfyller EHDSförordningens krav inte specificera att det enbart gäller vid behandling av prioriterade kategorier. I stället kommer kravet att rikta sig mot de vårdgivare som för journal elektroniskt.

Skyldigheten att registrera uppgifter om elektroniska recept och expedieringar i ett EHR-system kräver ingen ändring i lag om nationell läkemedelslista

Som framgått är den som har tillstånd att bedriva öppenvårdsapotek skyldig att lämna uppgifter om expediering av en förskrivning till den nationella läkemedelslistan. På motsvarande sätt är den som bedriver verksamhet inom hälso- och sjukvården skyldig att lämna uppgifter om elektroniska förskrivningar till läkemedelslistan (avsnitt 4.2). Nationella läkemedelslistan är ett system som möjliggör lagring och förmedling av vissa hälsodata som tillhör de prioriterade kategorierna av hälsodata enligt artikel 14 i förordningen (se t.ex. 3 och 4 §§ NLL). E-hälsomyndigheten har konstaterat att EHRsystem är ett nytt begrepp som införs i EHDS-förordningen. Myndigheten har bedömt att EHR-system omfattar ett brett spektrum av system, exempelvis vårdinformationssystem, laboratoriesystem, medicinska bildsystem, expeditionssystem, vaccinationssystem samt troligtvis nationella läkemedelslistan och etjänster som Nationell patientöversikt och 1177. Även de

112

tillgångstjänster som ska finnas enligt EHDS-förordningen är enligt E-hälsomyndigheten att betrakta som EHR-system. 25 Utredningen bedömer, efter dialog med Läkemedelsverket och E-hälsomyndigheten, att den nationella läkemedelslistan sannolikt träffas av definitionen av ett EHR-system. Systemet kommer därför behöva anpassas så att kraven i förordningen uppfylls.För detta krävs enligt utredningen emellertid inga lagändringar. Genom skyldigheterna att lämna och tillgängliggöra uppgifter om elektroniska recept och elektroniska expeditioner till den nationella läkemedelslistan finns det, enligt utredningens mening, redan i nationell reglering (NLL) bestämmelser som säkerställer den registrering av elektroniska hälsodata som avses i artikel 13.1 i EHDS-förordningen. Det finns därmed inte behov av anpassningar av gällande rätt i detta avseende.

Författningsförslag

En ny bestämmelse i 3 kap. 7 a § PDL.

4.4 Elektroniska hälsodata ska registreras enligt angivna datakvalitetskrav och så att de kan tillgängliggöras med fastställt utbytesformat

Utredningens förslag: I patientdatalagen införs en ny bestämmelse om att när uppgifter i patientjournalen behandlas elektroniskt ska de registreras på sådant sätt att de kan tillgängliggöras i enlighet med föreskrivna krav på utbytesformat. I paragrafen införs även en upplysningsbestämmelse med hänvisning till kommissionens genomförandeakter med datakvalitetskrav för registrering av prioriterade kategorier av hälsodata med personuppgifter.

25 E-hälsomyndigheten (2024). Genomförandet av en nationell digital infrastruktur för hälsooch sjukvård och EHDS primäranvändning. Dnr 2024/03223

113

Skälen för utredningens förslag

EHDS-förordningen fastställer datakvalitetskrav för registrering av elektroniska hälsodata

Av artikel 13.4. framgår att kommissionen senast den 26 mars 2027 genom genomförandeakter ska fastställa datakvalitetskrav, med avseende på semantik, enhetlighet, konsekvens, korrekthet och fullständighet, för registrering av elektroniska hälsodata med personuppgifter i ett EHR-system, beroende på vad som är relevant. Som nämnts finns nationella bestämmelser avseende patientjournalens innehåll och utformning i PDL. I lagen finns emellertid inte några närmare krav på journalhandlingars utformning. Det finns däremot ett bemyndigande för föreskrifter om journalhandlingars innehåll och utformning (3 kap. 12 § PDL och 2 § 3 förordning (1985:796) med vissa bemyndiganden för Socialstyrelsen att meddela föreskrifter m.m.) I Socialstyrelsens föreskrifter och allmänna råd (HSLF-FS 2016:40) om journalföring och behandling av personuppgifter, finns närmare reglering av vad som ska anges i en patientjournal. Det finns däremot inte några krav på att använda särskilda kodverk, standarder eller specifikationer när uppgifterna registreras. I föreskrifterna anges att uppgifterna i en patientjournal ska vara entydiga (5 kap. 2 §). I anslutningen till kravet anges som allmänt råd att vissa utpekade standarder kan användas för att garantera denna entydighet. Utöver dessa allmänna råd finns alltså inga specifika skyldigheter för vårdgivare att använda sig av särskilda standarder eller specifikationer. Avsaknaden av krav på standarder har resulterat i att vårdgivare dokumenterar på olika sätt och delar olika mycket information med andra vårdgivare. 26

26 SOU 2024:33. Avsnitt 14.1.1.

114

Det är mer ändamålsenligt att ställa krav på utbytesformat än på format för registrering

Det finns flera sätt att skapa förmåga och möjlighet hos system och organisationer att kunna kommunicera med varandra elektroniskt, så kallad interoperabilitet. Ett sätt är att ställa krav på vårdgivare att strukturera de uppgifter som registreras på ett anvisat sätt, dvs. att använda en särskild specifikation för registrering (som består av en enhetlig tillämpning av standarder och kodverk). Ett annat sätt är att ställa krav på ett fastställt särskilt utbytesformat i samband med delning av data. I betänkandet Delad hälsodata – dubbel nytta (SOU 2024:33) anges att flera skäl talar mot att, genom nationell styrning, ställa ytterligare krav på hur informationen ska struktureras hos en vårdgivare för att åstadkomma ökad interoperabilitet. Att begränsa vårdaktörers förmåga att själva definiera sin verksamhet ur ett informationsperspektiv utgör ett allt för långgående intrång i autonomin i syfte att åstadkomma interoperabilitet. Vidare anges att det är tveksamt om en alltför omfattande nationell styrning av dokumentationsformat är önskvärt om aktörerna ska kunna vara fria att välja vilka it-system som bäst stödjer den egna verksamheten. Då informationen kan finnas i hundratals, om inte tusentals, olika itsystem blir det enligt vad som anförs i nämnda betänkande dessutom ett oerhört tidskrävande och kostsamt åtagande för hälso- och sjukvården att bygga om sina system från grunden till följd av dessa krav. I stället anförs att gemensamma specifikationer för delning av information är den mest ändamålsenliga och samhällsekonomiska vägen att inom en rimlig tidsram nå interoperabilitet mellan så många aktörer som möjligt i svensk hälso- och sjukvård. Utredningen instämmer med det anförda och anser mot den bakgrunden att ingen kravställning avseende hur uppgifter registreras ska anges, utöver vad som fastställs i EU-kommissionens genomförandeakter avseende datakvalitetskrav i samband med att registrering ska införas. Utredningen anser emellertid att det är centralt att uppgifter registreras på sådant sätt att de kan tillgängliggöras i enlighet med de krav som ställs på utbytesformat.

115

En ny bestämmelse ska införas om att uppgifter ska registreras på ett sådant sätt att de kan utbytas enligt fastställt utbytesformat

Mot bakgrund av ovanstående föreslår utredningen att det ska införas en ny bestämmelse om att när uppgifter i patientjournalen behandlas elektroniskt ska de registreras på sådant sätt att de kan tillgängliggöras i enlighet med de krav på utbytesformat som gäller enligt EHDS-förordningen och som föreslås ska gälla för sådana ytterligare informationsmängder som ska utbytas mellan vårdgivare inom Sverige (kapitel 5). Utredningen föreslår även att en upplysningsbestämmelse införs om att det i kommissionens genomförandeförordning kommer finnas bestämmelser om datakvalitetskrav som ska tillämpas när uppgifter registreras elektroniskt i patientjournalen.

Författningsförslag

Nya bestämmelser 3 kap. 7 a § PDL

4.5 Historiska elektroniska hälsodata som fortfarande behandlas omfattas av EHDSförordningens krav och därmed utredningens förslag

Utredningens bedömning: Hälsodata som finns lagrade i ett system hos en vårdgivare i syfte att användas för vård av en patient eller administration kring vården av en enskild patient utgör hälsodata med personuppgifter som behandlas av vårdgivaren i den utsträckning som avses i EHDS-förordningen. Samtliga hälsodata med personuppgifter som behandlas hos en vårdgivare för vården av en patient och som omfattas av någon av de prioriterade kategorierna av hälsodata, omfattas av EHDSförordningens krav som ställs på hanteringen av dessa hälsodata.

116

Skälen för utredningens bedömning

EHDS-förordning ställer krav på att personal och enskild ska ha tillgång till elektroniska hälsodata som behandlas för att ge vård

I artikel 13 i EHDS framgår att medlemsstaterna ska säkerställa att elektroniska hälsodata som behandlas för tillhandahållande av hälsooch sjukvård registreras i ett elektroniskt hälsodokumentationssystem (EHR-system). I andra punkten anges att vårdgivare när de behandlar data i ett elektroniskt format ska de säkerställa att elektroniska hälsodata ska uppdateras med information om hälso- och sjukvården. Av 13.4 framgår att EUkommissionen senast den 26 mars 2027 ska ta fram genomförandeakter som kravställer hur datan ska vara utformad. Utgångspunkten i dessa artiklar är således att när hälsodata behandlas så ska den, vad avser de prioriterade kategorierna, registreras i ett EHR-system som därmed uppfyller de krav som finns på att de ska innehålla europeisk programvarukomponent för interoperabilitet för elektroniska hälsodokumentationssystem och en europeisk programvarukomponent för loggning enligt artikel 25. Centralt är att uppgifter ska kunna tillgängliggöras och tas emot i det europeiska formatet för utbyte enligt artikel 15.

Uppgifter som behandlas omfattas av EHDS-förordningens krav

Ett avgörande begrepp i dessa bestämmelser är behandla, vilket är ett begrepp från EU:s dataskyddsförordning och som omfattar i princip all hantering av personuppgifterna som hälsodatan utgör. Det här torde innebära att medlemsstaten ska se till att när hälsodata behandlas i samband med tillhandahållandet av hälso- och sjukvård, dvs. i denna bemärkelse behandlas för att vårda en enskild patient, så ska vårdgivaren registrera och hålla de hälsodatamängder som omfattas av de prioriterade kategorierna uppdaterade. Vi bedömer således att det inte bara är helt ny information som ska registreras utan att även hälsodata som tidigare genererats och behandlas i samband med vården av en patient ska kunna tillgängliggöras med hjälp av de komponenter som EHR-systemen ska innehålla. Utifrån

117

denna slutsats kan det anses vara så att historiska data succesivt måste registreras och tillgängliggöras enligt kraven i EHDSförordningen i samband med att patienter får vård. Begreppet behandling i EU:s dataskyddsförordning är ett mycket vitt begrepp som egentligen innefattar all hantering som sker med personuppgifter såsom registrering, överföring, lagring, strukturering och bearbetning. Utifrån detta perspektiv bedömer vi att det är rimligt att betrakta hälsodata som finns lagrad i ett journalsystem hos en vårdgivare som varande under behandling av vårdgivaren i den utsträckning som avses i EHDS. Även historiska data, som fortfarande bevaras för ändamålet att vårda patienten, torde således vara under behandling av vårdgivaren. Det ska förvisso understrykas att det endast är de prioriterade kategorierna som omfattas av EHDS-förordningens skyldighet och ska kunna utbytas efter vissa standarder. Historiska hälsodata som inte omfattas av någon av de prioriterade kategorierna påverkas således inte direkt av skyldigheterna. Det ska också påpekas att detta kräver att själva EHR-systemet byts ut. Kravet är att hälsodata ska kunna utbytas och tas emot i det europeiska formatet genom de komponenter som ska finnas i systemet. Det kan innebära att uppgifterna översätts från det interna filformatet till formatet enligt artikel 15. 27 Medlemsstaterna är skyldiga att se till att vårdgivare från den 26 mars 2029 tillgängliggör hälsodata vad avser de prioriterade kategorierna a-c i det europeiska utbytesformatet. Det kan återigen påminnas om att det endast är de prioriterade kategorierna som ska registreras i ett visst format och kunna utbytas efter vissa standarder. Utredningen bedömer att historiska hälsodata som inte omfattas av någon av de prioriterade kategorierna inte omfattas av dessa skyldigheter. Inte heller historiska data som inte längre behandlas för ändamålet att tillhandahålla hälso- och sjukvård till en enskild patient omfattas (som till exempel arkiverad information). Dessa uppgifter behöver inte utbytas eller registreras i samma system som de finns i för tillfället (det historiska systemet) utan det kan tänkas att de registreras/överförs/transformeras till ett nytt system för att

27 Se fråga 28 I Frequently Asked Questions on the European Health Data Space, 26 September 2025, Frequently Asked Questions on the European Health Data Space - Public Health

118

möjliggöra utbyte. 28 Skyldigheten att registrera uppgifterna enligt art 13 innebär dock en skyldighet att registrera dem just i ett EHRsystem, alltså ett sådant system som uppfyller alla krav i EHDS. Vad gäller leverantörerna av EHR-system så beskrivs dessas skyldigheter kring hur systemen ska vara utformade i kapitel 3 i EHDS-förordningen. Utredningen kommer att återkomma till den regleringen i slutrapporten.

28 Se fråga 28 I Frequently Asked Questions on the European Health Data Space, 26 September 2025, Frequently Asked Questions on the European Health Data Space - Public Health

119

5 Hälsodata ska göras tillgängliga mellan vårdgivare

5.1 Inledning

I föregående kapitel har vi redogjort för hur skyldigheter ska utformas för att samtliga vårdgivare ska registrera hälsodata i ett visst system och i ett visst format med viss datakvalitet. I detta kapitel kommer vi att fortsätta redovisa hur hälsodata ska vara åtkomlig i hela vårdkedjan genom att föreslå hur tillgängliggörandet av hälsodata mellan vårdgivare ska garanteras genom obligatoriska krav på delning av i vart fall prioriterade kategorier. Vidare kommer vi att redovisa hur ytterligare kategorier av hälsodata för obligatorisk delning kan införas nationellt och vilka uppgifter utpekade statliga myndigheter ska ha i den processen.

5.2 En vårdgivare ska ge andra vårdgivare elektronisk tillgång till prioriterade kategorier av hälsodata

Utredningens förslag: En vårdgivare ska, genom direktåtkomst eller annat elektroniskt utlämnande, ge en annan vårdgivare tillgång till de uppgifter som avses i artikel 14 i EHDSförordningen. Denna skyldighet liksom förutsättningar för sådant tillgängliggörande ska regleras i ett nytt, 6 kapitel, i patientdatalagen.

120

Hänvisningar till lagen om sammanhållen vård- och omsorgsdokumentation i 13 § 3 lagen (2018:744) om försäkringsmedicinska utredningar respektive 6 § 2 lagen (2021:363) om estetiska kirurgiska ingrepp och estetiska injektionsbehandlingar ska ändras till att avse 6 kap. patientdatalagen. Upplysningsbestämmelser med hänvisningar till vissa författningar som innehåller bestämmelser om vårdgivares tillgång till uppgifter som behandlas förs in i 6 kap. 2 § patientdatalagen. Regeringen eller den myndighet regeringen bestämmer ska få meddela föreskrifter om vilka vårdgivare som ska undantas från kravet på obligatoriskt och möjligheten till frivilligt tillgängliggörande enligt 6 kap. patientdatalagen.

Utredningens bedömning: Nuvarande bestämmelser i lagen om nationell läkemedelslista säkerställer att de prioriterade kategorier som lagen reglerar kommer att tillgängliggöras för andra vårdgivare då de tillgängliggörs av den som bedriver verksamhet inom hälso- och sjukvården eller öppenvårdsapotek. EHDS-förordningens krav på att de ska vara tillgängliga är således uppfyllt.

Skälen för utredningens förslag och bedömning

EHDS-förordningen förutsätter att hälso- och sjukvårdspersonal ska ha tillgång till åtminstone de prioriterade kategorierna av elektroniska hälsodata

I artikel 11 i EHDS-förordningen finns bestämmelser om hälso- och sjukvårdspersonals tillgång till elektroniska hälsodata med personuppgifter. Förordningens definition av hälso- och sjukvård och hälso- och sjukvårdspersonal är samma som i patientrörlighetsdirektivet och yrkeskvalifikationsdirektivet, vilket innebär att den även omfattar apotekare och receptarier som expedierar läkemedel på öppenvårdsapotek.

121

När hälso- och sjukvårdspersonal behandlar hälsodata med personuppgifter i elektroniskt format, ska de ha tillgång till relevanta och nödvändiga hälsodata avseende de patienter som står under deras behandling. Detta gäller oavsett vilken medlemsstat som patienten är tillhörig och i vilken medlemsstat som uppgifterna behandlas (artikel 11.1). Den tillgång till uppgifter som avses ska enligt artikel 11.3 inbegripa åtminstone de prioriterade kategorierna av elektroniska hälsodata som anges i artikel 14. Kommissionen har enligt artikel 14.2 befogenhet att anta delegerade akter i enlighet med artikel 97 EHDS-förordningen för att ändra denna förordning. Detta kan göras genom att ändra bilaga I genom tillägg, ändring eller strykning av de huvudsakliga egenskaperna hos de prioriterade kategorierna av elektroniska hälsodata med personuppgifter enligt vad som avses i punkt 1, under förutsättning att ändringarna syftar till att anpassa de prioriterade kategorierna av elektroniska hälsodata med personuppgifter till den tekniska utvecklingen och internationella standarder. Dessutom ska tillägg och ändringar av dessa egenskaper uppfylla båda följande kriterier: egenskapen är relevant för hälso- och sjukvård som tillhandahålls fysiska personer samt egenskapen används enligt den senaste informationen i de flesta medlemsstater. I skäl 19 till EHDS-förordningen anges att hälso- och sjukvårdspersonals tillgång till patienters journaler i rätt tid är grundläggande för att säkerställa vårdkontinuitet, undvika dubbelarbete och fel samt minska kostnaderna. Utebliven tillgång till patienters fullständiga journal uppges kunna leda till att hälsooch sjukvårdspersonal inte kan fatta optimala medicinska beslut om patientens diagnos och behandling med avsevärda kostnader och sämre hälsoutfall som konsekvens, se utredningens konsekvensanalys kap. 13. Hälso- och sjukvårdspersonalens tillgång till relevanta och nödvändiga uppgifter om patienter som står under dess behandling ska möjliggöras genom de tillgångstjänster som avses i artikel 12, se avsnitt 6.2.

122

Befintliga nationella bestämmelser i SVOD möjliggör men ställer inte krav på att hälsodata tillgängliggörs mellan vårdgivare

Genom bestämmelser i lagen (2022:913) om sammanhållen vård och omsorgsdokumentation (SVOD) finns det i Sverige en möjlighet för vårdgivare att, under vissa förutsättningar, ge andra vårdgivare tillgång till personuppgifter, genom direktåtkomst eller annat elektroniskt utlämnande. Det är emellertid inte obligatoriskt för vårdgivare att skapa förutsättningar för att andra vårdgivare ska få tillgång till uppgifterna. Frågan om en obligatorisk sammanhållen journal togs upp redan i förarbetena till patientdatalagen (2008:355, PDL). Regeringen anförde att ett väl fungerande informationssystem, där alla journalanteckningar om en patient samlas i strukturerad form, skulle ha en stor nyttopotential. Tillgång till korrekta och lätt åtkomliga uppgifter ansågs generellt sett öka patientsäkerheten vid alla kommande vårdtillfällen. Även en rad andra skäl anfördes. Regeringen bedömde emellertid att det vid tidpunkten saknades grundläggande förutsättningar för att inom en överskådlig tid införa en för samtliga vårdgivare sammanhållen journal för varje patient. Någon lagstiftning om en skyldighet att journalföra i ett sammanhållet system ansågs därför inte lämpligt att införa. 29 Utöver möjligheten till sammanhållen journalföring enligt SVOD är det möjligt för en offentlig vårdgivare att begära adekvat information direkt från en annan offentlig vårdgivare. En offentlig aktör är enligt 8 § förvaltningslagen (2017:900) skyldig att på begäran lämna informationen till en annan offentlig vårdgivare. Bestämmelsen innebär en generell skyldighet för myndigheter att samverka men utgör inte en uppgiftsskyldighet som bryter sekretess. Myndigheten måste således alltid försäkra sig om att visst informationsutbyte är förenligt med tillämpliga bestämmelser i offentlighets- och sekretesslagen (2009:400, OSL). 30 För en privat vårdgivare som inte lyder under förvaltningslagen finns ingen motsvarande samverkansskyldighet. Vid en begäran om utlämnande gäller, i stället för OSL, reglerna om tystnadsplikt i patientsäkerhetslagen (2010:659).

29 prop. 2007/08:126 s. 82 ff. 30 Prop. 2016/17:180 s. 292 f.

123

Eftersom ett utlämnande av detta slag kräver en bedömning i varje enskilt fall, en s.k. menprövning eller motsvarande för en privat aktör, kan det i många fall förekomma en inte oansenlig tidsutdräkt mellan begäran om att ta del av information fram till dess att ett utlämnande sker. Gällande rätt ställer, som framgått, inte något krav på att alla vårdgivare ska ge andra vårdgivare tillgång till samtliga relevanta och nödvändiga personuppgifter om patienter som står under deras vård. När det gäller uppgifter om elektroniska recept och elektroniska expedieringar finns dock författningskrav på tillgängliggörande i lagen (2018:1212) om nationell läkemedelslista (NLL), se nedan.

En skyldighet att tillgängliggöra hälsodata för andra vårdgivare ska införas

I EHDS-förordningen, liksom i Tidöavtalet, framhålls att syftet med att säkerställa tillgång till heltäckande och aktuella hälsodata i hela vårdkedjan är den nytta som patienten och vårdgivare ska erhålla i form av stärkt patientsäkerhet, mindre dubbelarbete och bättre beslutsunderlag. Som nämnts förutsätter EHDS-förordningen att behörig hälso- och sjukvårdspersonal har tillgång till åtminstone alla prioriterade kategorier av hälsodata från alla vårdgivare genom en tillgångstjänst. EHDS-förordningen kräver att medlemsstaterna säkerställer detta i nationell rätt. Enligt förordningen räcker det inte att det är tillåtet för vårdgivare att dela hälsodata. Av artikel 3.1 i EHDS-förordningen framgår vidare att individens egen åtkomst till sin egen elektroniska hälsodata med personuppgifter ska möjliggöras omedelbart i samband med att dessa införs i EHR-systemet. Något krav på omedelbar tillgång anges inte i artikel 11 i samma förordning när det gäller hälso- och sjukvårdspersonalens tillgång till hälsodata. Av skäl 19 till EHDSförordningen följer dock att det för god och säker vård är nödvändigt med tidig och tillräcklig åtkomst till all relevant hälsodata vid vården av en patient. Syftet med det harmoniserade regelverket om tillgång till hälsodata för vårdpersonalen är, enligt utredningens uppfattning, att hälsodata ska tillgängliggöras så snart det är tekniskt möjligt efter registreringen av uppgifterna i ett

124

vårdinformationssystem. För att en sådan snabb åtkomst ska vara möjlig finns det inte utrymme att hantera en process där hälsodata vid varje åtkomsttillfälle ska begäras ut. Utredningen bedömer att nuvarande regelverk, med undantag för de bestämmelser som finns i NLL, inte säkerställer ett sådant komplett, säkert och effektivt utbyte av hälsodata som krävs för att uppfylla medlemsstaternas skyldigheter enligt EHDS. För att uppfylla kraven som ställs på medlemsstaterna i EHDSförordningen föreslår utredningen att en lagstadgad skyldighet för vårdgivare att dela hälsodata med andra vårdgivare införs. För att möta EHDS-förordningens krav ska skyldigheten gälla för åtminstone sådana personuppgifter som omfattas av artikel 14 i samma förordning. Utredningen föreslår att detta obligatoriska utbyte av hälsodata ska regleras i ett nytt 6 kap. i PDL. I kommande avsnitt föreslår utredningen utöver dessa bestämmelser även ytterligare bestämmelser avseende tillgängliggörande mellan vårdgivare inom Sverige, se avsnitt 5.3.

Undantag från kravet om obligatoriskt tillgängliggörande

Definitionerna av begreppen vårdgivare och hälso- och sjukvård i EHDS-förordningen är desamma som i 31 patientrörlighetsdirektivet. Således avses med vårdgivare varje fysisk eller juridisk person eller varje annan entitet som lagligen bedriver hälso- och sjukvård på en medlemsstats territorium. Med hälso- och sjukvård avses hälso- och sjukvårdstjänster som hälsooch sjukvårdspersonal tillhandahåller patienter i syfte att bedöma, bibehålla eller återställa deras hälsotillstånd, inbegripen förskrivning, utlämning och tillhandahållande av läkemedel och medicinska hjälpmedel. (artikel 2.1 b i EHDS-förordningen och artikel 3 a och g patientrörlighetsdirektivet). Våra förslag innebär att bestämmelser om vårdgivares obligatoriska tillgängliggörande av hälsodata förs in i PDL. Det finns därmed anledning att överväga om samtliga de vårdgivare som träffas

31 EUROPAPARLAMENTETS OCH RÅDETS DIREKTIV 2011/24/EU av den 9 mars 2011 om tillämpningen av patienträttigheter vid gränsöverskridande hälso- och sjukvård.

125

av bestämmelserna i PDL också ska omfattas av det nya obligatoriet, eller om det finns anledning att undanta någon verksamhet. Enligt PDL omfattar begreppet hälso- och sjukvård sådan verksamhet som avses i hälso- och sjukvårdslagen (2017:30), tandvårdslagen (1985:125), lagen (1991:1128) om psykiatrisk tvångsvård, lagen (1991:1129) om rättspsykiatrisk vård, smittskyddslagen (2004:168), lagen (2006:351) om genetisk integritet m.m., lagen (2018:744) om försäkringsmedicinska utredningar, lagen (2019:1297) om koordineringsinsatser för sjukskrivna patienter, lagen (2021:363) om estetiska kirurgiska ingrepp och estetiska injektionsbehandlingar, lagen (2024:237) om vissa kirurgiska ingrepp i könsorganen, den upphävda lagen (1944:133) om kastrering samt den upphävda lagen (1972:119) om fastställande av könstillhörighet i vissa fall. Definitionen av begreppet vårdgivare i PDL skiljer sig från den i SVOD på så sätt att sådan verksamhet som avses i lagen (2018:744) om försäkringsmedicinska utredningar och lagen (2021:363) om estetiska kirurgiska ingrepp och estetiska injektionsbehandlingar inte omfattas av SVOD. I lagstiftningsärendet avseende lagen om försäkringsmedicinska utredningar gjorde regeringen sammanfattningsvis bedömningen att det, eftersom försäkringsmedicinska utredningar inte har ett behandlingssyfte, saknades behov av att behandla personuppgifter genom sammanhållen journalföring för att fullgöra journalföringsplikten. Inte heller fanns det enligt regeringen behov för någon annan vårdgivare att genom direktåtkomst ta del av personuppgifter som dokumenterats vid en sådan utredning eftersom den inte innebär att medicinska åtgärder sätts in och därmed inte behöver utvärderas. 32 I förarbetena till lagen om estetiska kirurgiska ingrepp och estetiska injektionsbehandlingar anförde regeringen sammanfattningsvis att det vid sådana ingrepp var rimligt att anta att den enskilde inte kommer att ha del i flera olika vårdprocesser, även om det i vissa undantagsfall skulle kunna uppstå ett sådant behov. Regeringen bedömde att skyddet för individens integritet, i de undantagsfall ett behov skulle uppkomma, vägde tyngre än behovet av att tillåta sammanhållen journalföring. Förslagen bedömdes vara

32 Prop. 2017/18:224, s. 113 f.

126

förenliga med EU-rätten och patientrörlighetsdirektivet. 33 Det ter sig tveksamt att estetiska kirurgiska ingrepp skulle anses utgöra en del av patientrörlighetsdirektivets definition av hälso- och sjukvård där vård utgörs av åtgärder för att bedöma, bibehålla eller återställa hälsotillstånd. 34 I enlighet med regeringens förslag i nämnda förarbeten infördes bestämmelser om undantag från möjligheten till sammanhållen journalföring i de angivna lagarna, liksom i dåvarande 6 kap. PDL. Vid införandet av SVOD gjorde regeringen motsvarande bedömningar och i enlighet därmed undantogs försäkringsmedicinska utredningar och estetiska kirurgiska ingrepp och estetiska injektionsbehandlingar från 35 tillämpningsområdet för SVOD. Enligt utredningens bedömning gör sig tidigare anförda skäl för ifrågavarande undantag alltjämt gällande, även för det obligatoriska tillgängliggörande av hälsodata som nu föreslås. Således bör begreppen vårdgivare och hälso- och sjukvård vid tillämpningen av 6 kap. PDL motsvara de som gäller enligt SVOD. Det bör i sammanhanget framhållas att kirurgiska ingrepp och injektionsbehandlingar som utgör hälso- och sjukvård enligt hälsooch sjukvårdslagen (2017:30), tandvård enligt tandvårdslagen (1985:125), eller som görs i syfte att förändra eller bevara utseendet i munhålan inte omfattas av tillämpningsområdet för lagen om estetiska kirurgiska ingrepp och estetiska injektionsbehandlingar. Således omfattas åtgärder som vårdgivare gör av medicinska skäl, liksom tidigare, av bestämmelserna om obligatoriskt tillgängliggörande. Utöver de redan nämnda kan det finnas skäl att undanta vissa ytterligare vårdgivare och verksamheter från kraven på obligatoriskt tillgängliggörande i det föreslagna nya 6 kap. PDL. I sammanhanget finns det anledning att framhålla att det av artikel 1.9 i framgår att EHDS-förordningen inte är tillämplig på behandling av personuppgifter a) när behandlingen utgör ett led i en verksamhet som inte omfattas av unionsrätten och b) när behandlingen utförs av behöriga myndigheter i syfte att förebygga, förhindra, utreda,

33 Prop. 2020/21:57, s. 73 f. 34 Artikel 3a direktiv (2011/24/EU) av den 9 mars 2011 om tillämpningen av patienträttigheter vid gränsöverskridande hälso- och sjukvård 35 Prop. 2021/22:177 s. 85–87.

127

avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, inklusive för att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten. Att förordningen inte är tillämplig innebär enligt utredningens bedömning inte att dessa verksamheter måste undantas från nationella bestämmelser om obligatorisk delning. Det innebär dock att det inte finns något krav på att verksamheter som faller utanför tillämpningsområdet måste omfattas. Således finns det, för verksamheter som inte omfattas av unionsrätten eller för brottsutredande och brottsbekämpande myndigheter, utrymme även i EHDS-förordningen att göra undantag. Såvitt nu är relevant undantas från unionsrätten verksamhet som är kopplad till nationell säkerhet, exempelvis Försvarsmakten. För sådan verksamhet finns det å ena sidan skäl att beakta den risk ett tillgängliggörande av uppgifter om hälsodata kan innebära för rikets säkerhet. Å andra sidan bör vikten av att försvarsmedicin samordnas med den civila sjukvården och tandvården för att säkerställa en sammanhållen och uthållig medicinsk förmåga och sammanhållna vårdkedjor beaktas 36 . Även för verksamhet inom Polismyndigheten, Säkerhetspolisen eller Kriminalvården kan det finnas skäl att överväga undantag liksom för företagshälsovård i stort, särskilt för sådana delar som avser datainsamling i arbetsmiljösyfte. Frågan bör lämpligen utredas i det fortsätta beredningsarbetet. Utredningen föreslår, för att tillgodose behovet av att undanta vissa verksamheter från kravet på obligatoriskt tillgängliggörande, att regeringen eller den myndighet regeringen bestämmer bemyndigas att meddela förskrifter om sådana undantag. Ett sådant bemyndigande bör enligt utredningen föras in i det nya 6 kap. PDL (1 § 2 stycket). Utredningen kan som framgått redan nu konstatera att det finns skäl att undanta vårdgivare och verksamhet som avses i lagen (2018:744) om försäkringsmedicinska utredningar respektive lagen (2021:363) om estetiska kirurgiska ingrepp och estetiska injektionsbehandlingar från bestämmelserna i 6 kap. PDL. Med hänsyn därtill, och eftersom våra förslag innebär att SVOD inte längre ska reglera utbytet av vårddokumentation vårdgivare

36 Se Socialstyrelsen (2025), Utgångspunkter för civilmilitär samverkan inom totalförsvarets hälso- och sjukvård och tandvård - Slutredovisning av regeringsuppdrag (S2024/00865 (delvis)).

128

sinsemellan, finns det förutsättningar att redan nu förslå att befintliga hänvisningar till SVOD i de respektive lagarna ändras till att i stället avse 6 kap. PDL. Av lagen (2018:744) om försäkringsmedicinska utredningar respektive lagen (2021:363) om estetiska kirurgiska ingrepp och estetiska injektionsbehandlingar ska det således fortsatt framgå att vårdgivare som avses i respektive lag inte får ha tillgång till personuppgifter som behandlas av andra vårdgivare. För att motsatt förhållande ska gälla, dvs. att vårdgivare som regleras i dessa lagar inte ska vara skyldiga att tillgänggöra hälsodata enligt den föreslagna nya regleringen i 6 kap. PDL bör – med stöd av föreslaget bemyndigande – föreskrifter om undantag från bestämmelserna i 6 kap. PDL skyndsamt meddelas.

Vårdgivare ska genom direktåtkomst eller annan elektronisk åtkomst ges tillgång till hälsodata hos andra vårdgivare

Ett elektroniskt informationsutbyte kan utformas tekniskt på olika sätt. Direktåtkomst är en form av elektronisk informationsöverföring som förenklat innebär att den utlämnande myndigheten ger mottagaren möjlighet att hämta information direkt från den utlämnande myndighetens register eller it-system utan att en sekretessprövning och ett utlämnande görs vid varje tillfälle information hämtas. Högsta förvaltningsdomstolen tolkar, i den s.k. LEFIonlinedomen (HFD 2015 ref. 61), begreppet direktåtkomst på så sätt att den utlämnande myndigheten inte har någon möjlighet att styra vilken information som den mottagande myndigheten tar del av, när direktåtkomst väl etablerats för en informationsmängd. Direktåtkomst har på senare tid problematiserats p.g.a. att den leder till åtkomst av s.k. överskottsinformation, dvs. information som delas enbart för att den ingår i ett visst tekniskt system. Direktåtkomst anses även leda till att sekretessgränser mellan myndigheter luckras upp och att det kan bli otydligt var gränsen mellan olika myndigheters information faktiskt går. Bland andra eSam framhåller i sin vägledning att nya system inte bör utformas

129

för direktåtkomst utan i stället så långt det är möjligt utgöra en automatiserad form av utlämnande. 37 Som nämnts innebär EHDS-förordningen att uppgifter görs tillgängliga för andra behöriga aktörer så fort det är tekniskt möjligt. Enligt SVOD får vårdgivare medge andra vårdgivare direktåtkomst eller genom annat elektroniskt utlämnande bereda andra vårdgivare (och omsorgsgivare) åtkomst till uppgifter om patienter. Detta möjliggör en automatiserad tillgång till uppgifter genom system som är utformade på ett sådant sätt att krav på sekretess och dataskydd kan efterlevas. Av förarbetena till SVOD framgår att regeringen ansåg det motiverat att vårdgivare och omsorgsgivare ska ges tillgång till uppgifter hos varandra genom direktåtkomst. Möjligheten för vårdgivare att ta del av uppgifter om patienter hos andra vårdgivare genom sammanhållen journalföring kvarstod, men utökades med möjligheten för vårdgivare att ta del av uppgifter hos omsorgsgivare och vice versa. 38 Utredningen anser att det kan tolkas som att det finns ett bibehållet och motiverat behov av fortsatt möjlighet till att vårdgivare kan beredas tillgång till varandras uppgifter genom direktåtkomst. Enligt Utredningen om sammanhållen information inom vård och omsorg har synen på vad som utgör direktåtkomst och dess likhet med fråga-svarsutlämnande av allmänna handlingar förändrats 39 genom Högsta förvaltningsdomstolens dom i LEFI-onlinemålet. Det är inte helt tydligt om regeringen anslöt sig till den utredningens uppfattning om att det, från integritetsskyddssynpunkt, inte föreligger någon egentlig praktisk skillnad mellan direktåtkomst och elektroniskt utlämnande genom en fråga-svar-funktion. Regeringen anförde emellertid bl.a. att det finns anledning att vara restriktiv med möjligheten till direktåtkomst till personuppgifter. Vidare konstaterades att: det inte är lämpligt att utforma regleringen på ett sådant sätt att den låser fast det elektroniska utlämnandet i system med sammanhållen vård- och omsorgsdokumentation till just direktåtkomst. Det kan finnas system som uppfyller behovet av informationsöverföring men med högre integritetsskydd än vid direktåtkomst, och dessa måste vara

37 Elektroniskt informationsutbyte – en vägledning för utlämnande i elektronisk form, 2016, eSam, sid 21 38 Prop. 2021/22:177. s.78. 39 SOU 2021:4 Informationsöverföring inom vård och omsorg, sid 247 ff

130

tillåtna. Regeringen avser inte att begränsa hur sådana system är uppbyggda mer än vad som motiveras utifrån ett sekretess- och dataskyddsperspektiv. 40

Mot den bakgrunden föreslog regeringen, i tillägg till att vårdgivare och omsorgsgivare kan ges tillgång till personuppgifter genom att beredas direktåtkomst, att sådana personuppgifter får tillhandahållas genom annat elektroniskt utlämnande. Den reglering som utredningen föreslår om en skyldighet för vårdgivare att ge andra vårdgivare tillgång till elektroniska uppgifter utgör en legal förutsättning för ett informationsutbyte. Interoperabilitet för vårdinformationssystem kommer därutöver att styras genom EHDS-förordningen. Med beaktande härav gör utredningen bedömningen att det är ändamålsenligt att motsvarande former för elektroniskt tillgängliggörande enligt SVOD ska gälla även i fråga om den nya regleringen av vårdgivares skyldighet och möjlighet att ge tillgång till och ta emot uppgifter från andra vårdgivare. Utredningen föreslår därför att en vårdgivare ska ge en annan vårdgivare tillgång, genom direktåtkomst eller annat elektroniskt utlämnande, till uppgifter som behandlas för att bereda patienten vård. Direktåtkomst innebär att systemet möjliggör att en aktör har teknisk möjlighet att själv hämta uppgifter från ett annat system. Förutsättningarna för direktåtkomsten sätts alltså upp innan någon åtkomst faktiskt skett. Själva åtkomsten sker sedan vid behov när förutsättningarna är uppfyllda. Bestämmelsen bör därför inte formuleras som att direktåtkomst eller annat elektroniskt utlämnande endast ska ske på begäran.

Hänvisningar i flera lagar förändras till följd av utredningens förslag

Till följd av utredningens förslag om att bestämmelserna om att vårdgivares ska ge andra vårdgivare tillgång förs in i patientdatalagen behöver hänvisningar i flera lagrum ändras. Hänvisningar till lagen om sammanhållen vård- och omsorgsdokumentation i 13 § 3 lagen (2018:744) om försäkringsmedicinska utredningar respektive 6 § 2 lagen (2021:363) om estetiska kirurgiska ingrepp och estetiska

40 Prop. 2021/22:177 s. 78 och 79.

131

injektionsbehandlingar ska ändras till att avse 6 kap. patientdatalagen, se avsnitt 5.10. Hänvisning i 5 kap. 4 § PDL om att ytterligare bestämmelser om direktåtkomst eller annat elektroniskt utlämnande förekommer på vissa ställen utökas till att även innefatta en hänvisning till det föreslagna 6 kap. i PDL.

Upplysningsbestämmelser med hänvisning till vissa författningar som innehåller bestämmelser om vårdgivares tillgång till hälsodata förs in i patientdatalagen

Det finns ett antal författningar som innehåller bestämmelser om vårdgivares tillgång till uppgifter som behandlas bl.a. för vård av patienter. Utredningen föreslår att nya upplysningsbestämmelser med hänvisningar till vissa författningar förs in. I ett första stycke förs en hänvisning till den föreslagna nya lagen om nationell infrastruktur och tjänster för elektroniskt informationsutbyte på område in. I lagen finns bestämmelser om bland annat den statliga tillgångstjänst i vilken hälso- och sjukvårdspersonal ska ges tillgång till elektroniska hälsodata. I ett andra stycke förs en hänvisning till NLL in. I denna lag finns, som nämnts på flera ställen, bestämmelser som gäller för vårdgivares tillgängliggörande av och tillgång till uppgifter om förskrivna och expedierade läkemedel. I ett tredje stycke förs en hänvisning till SVOD där bestämmelser om vårdgivares och omsorgsgivares tillgängliggörande och tillgång till personuppgifter finns. Bestämmelser om tillgängliggörande av vissa uppgifter om elektroniska recept och elektroniska expedieringar i lagen om nationell läkemedelslista uppfyller EHDS-förordningens krav. I NLL finns bestämmelser om att den som bedriver verksamhet inom hälso- och sjukvården som innefattar ordination och förskrivning av läkemedel eller andra varor ska ha ett elektroniskt system som gör det möjligt att få åtkomst till uppgifter i den nationella läkemedelslistan, och vid en elektronisk förskrivning lämna de uppgifter till den nationella läkemedelslistan som anges i lagen (9 kap. 1 § NLL). Motsvarande skyldighet gäller vid expediering av en förskrivning för den som bedriver detaljhandel

132

med läkemedel enligt lagen (2009:366) om handel med läkemedel (9 kap. 2 § NLL). Enligt NLL ska läkemedelslistan innehålla sådana uppgifter som krävs i samband med en förskrivning eller en expediering (3 kap. 8 § NLL). NLL och lagen om handel med läkemedel ställer således krav på tillgängliggörande och åtkomst till de prioriterade kategorierna erecept och elektroniskt expedierade läkemedel. Utredningen bedömer att nuvarande bestämmelser i NLL säkerställer att de prioriterade kategorier som lagen reglerar kommer att tillgängliggöras för hälso- och sjukvårdspersonal då de behandlas av hälso- och sjukvården eller öppenvårdsapotek. Således är kravet i EHDS-förordningen om att hälso- och sjukvårdspersonal ska ha tillgång till de uppgifter i nationella läkemedslistan som berörs uppfyllt. Utredningen föreslår därför ingen komplettering av detta regelverk.

Författningsförslag

5 kap. 4 § PDL 6 kap.1-3 §§ PDL Ändringar 13 § 3 lagen (2018:744) om försäkringsmedicinska utredningar Ändring i 6 § 2 lagen (2021:363) om estetiska kirurgiska ingrepp och estetiska injektionsbehandlingar

5.3 Vårdgivare ska vara skyldiga att utöver de prioriterade kategorierna av hälsodata även tillgängliggöra vissa andra uppgifter inom Sverige

Utredningens förslag: En ny bestämmelse förs in i patientdatalagen om att en vårdgivare, genom direktåtkomst eller annat elektroniskt utlämnande, ska ge en annan vårdgivare tillgång till vissa andra uppgifter om en patient som behövs för en effektiv och säker vård. Tillgången avser bara sådana uppgifter

133

som behandlas för att ge en patient vård och vid en vårdgivares elektroniska informationsutbyte inom Sverige. Regeringen eller den myndighet som regeringen bestämmer ska få meddela föreskrifter som närmare reglerar denna skyldighet och enligt vilka nationella specifikationer som sådana uppgifter ska tillgängliggöras.

Skälen för utredningens förslag

I de dialoger utredningen fört med regioner har det framkommit att det kan finnas annan information än de prioriterade kategorierna enligt artikel 14 som är viktig att kunna tillgängliggöra mellan vårdgivare inom Sverige. Även E-hälsomyndigheten gör i rapporten Genomförandet av en nationell digital infrastruktur för hälso- och sjukvård och EHDS primäranvändning bedömningen att det kan krävas nationella anpassningar för den nationella datadelningen som 41 kan behöva omfatta fler än de prioriterade kategorierna. Avseende vilka informationsmängder som är aktuella att tillgängliggöra utöver de prioriterade kategorierna av hälsodata anges i betänkandet Delad hälsodata – dubbel nytta (SOU 2024:33) att det varken är ändamålsenligt eller lämpligt att all information som frivilligt kan delas också ska vara obligatoriskt att dela. 42 Vidare görs bedömningen att det är olämpligt i lag ytterligare precisera vilka uppgifter om patienten som ska omfattas av uppgiftsskyldigheten. I avsnitt 15.4 i SOU 2024:33 föreslås i stället att regeringen eller den myndighet regeringen bestämmer ska få meddela föreskrifter om hur en sådan uppgiftsskyldighet skulle kunna fullgöras. Bemyndigandet föreslogs innefatta såväl en rätt att ange vilka uppgifter som ska omfattas av uppgiftsskyldigheten som rätt att ställa krav på hur uppgifterna ska göras tillgängliga för andra vårdgivare. I skälen framhålls att vilka uppgifter som ska tillgängliggöras bör bestämmas i samverkan med sektorns aktörer och utgå från hälso- och sjukvårdens behov. I avsnitt 15.2.4. föreslås att ett rådgivande organ tillsätts så att de aktörer som träffas av

41 E-hälsomyndigheten (2025). Genomförandet av en nationell digital infrastruktur för hälsooch sjukvård och EHDS primäranvändning. Dnr 2024/03223 42 SOU 2024:33. s.279.

134

kraven representeras och kan vara med i processen för att påverka prioritering, tågordning och införandetakt av nationella standarder. Ett sådant råd har inrättats på E-hälsomyndigheten. 43 Rådet samlar experter från hela sektorn och ska identifiera och prioritera nationella behov av standardisering inom hälso- och sjukvårdssektorn. Utredningen instämmer med de ställningstaganden som görs i betänkandet Delad hälsodata – dubbel nytta (SOU 2024:33) om att det är lämpligt att närmare precisera vilka uppgifter som ska tillgängliggöras på föreskriftsnivå samt att beslutet om vilka informationsmängder som ska tillgängliggöras nationellt bör tas fram i samverkan med och baseras på hälso- och sjukvårdens behov. Utredningen konstaterar att ett sådant stödjande råd redan är etablerat vilket bidrar till att säkerställa att så görs. Det faktum att EHDS-förordningen redan ställer krav på att de prioriterade kategorierna av hälsodata ska tillgängliggöras innebär att förutsättningarna skiljer sig väsentligt från de som rådde vid tiden för redovisningen av förslaget i det nämnda betänkandet (SOU 2024:33). Då fanns endast bestämmelser om frivillig delning av hälsodata inom ramen för SVOD. Utredningen bedömer emellertid, baserat på dialoger som förts med regioner och kommuner, att det trots det krav som följer av EHDS-förordningen föreligger ett behov av att nationellt kunna fatta beslut om att ytterligare information ska göras tillgänglig inom Sverige. Mot bakgrund det anförda föreslår utredningen att det ska uppställas krav på vårdgivare att inom Sverige ge elektronisk tillgång till vissa andra uppgifter som behövs för effektiv och säker vård av patienter, men som inte omfattas av de prioriterade kategorierna av hälsodata enligt EHDS-förordningen. Tillgången till uppgifter ska omfatta enbart sådana som behandlas för ändamål som anges i 2 kap. 4 § 1 och 2 PDL (vårdändamål). Skyldigheten att tillgängliggöra uppgifterna är därtill beroende av att det för dessa finns anvisade nationella specifikationer. Som konstaterats av Utredningen om infrastruktur för hälsodata som nationellt intresse, är det inte lämpligt att i lag närmare precisera vilka uppgifter om patienter som behövs för en säker och effektiv vård och hur de ska tillgängliggöras. I stället bör regeringen eller den myndighet som regeringen

43 E-hälsomyndighetens regleringsbrev för 2024. Avsnitt 4.

135

bestämmer får meddela föreskrifter om detta. Framtagandet av nationella specifikationer ska, som tidigare nämnts, vara behovsstyrt och ske i samverkan med sektorns aktörer. När sådana specifikationer är fastställda finns det förutsättningar att, med stöd av föreslaget bemyndigande, föreskriva om krav på tillgängliggörande av ytterligare informationsmängder enligt i de i avsedda föreskrifter anvisade specifikationer. Utredningens förslag utgör inget hinder mot att nationella standarder tas fram för frivillig tillämpning vid sidan av de föreskrivna, obligatoriska. Utredningen återkommer till frågan om föreskriftsrätten avseende vårdgivares tillgängliggörande i avsnitt 5.5.3.

Författningsförslag

6 kap. 4 och 13 §§ PDL

5.4 Prioriterade kategorier av hälsodata ska tillgängliggöras i det europeiska formatet för utbyte

Utredningens förslag: En ny bestämmelse införs i patientdatalagen om att när vårdgivare tillgängliggör prioriterade kategorier av elektroniska hälsodata med personuppgifter, ska de vara skyldiga att använda det europeiska formatet för utbyte av elektronisk hälsodokumentation för hälso- och sjukvården som definieras i artikel 15 i EHDS-förordningen. En likvärdig bestämmelse införs i lagen om nationell läkemedelslista om att när uppgifter som utgör prioriterade kategorier av hälsodata med personuppgifter enligt artikel 14 EHDS-förordningen ska tillgängliggöras till den nationella läkemedelslistan, så ska vårdgivare vara skyldiga att använda det europeiska formatet för utbyte. Motsvarande bestämmelse ska också införas i lagen om handel med läkemedel när det gäller formatet för de uppgifter om expediering som ska lämnas till E-hälsomyndigheten. En ny bestämmelse införs också i lag om nationella läkemedelslistan om att E-hälsomyndigheten ska vara skyldig att

136

använda det europeiska formatet för utbyte när uppgifter tillgängliggörs från den nationella läkemedelslistan.

Skälen för utredningens förslag

EHDS-förordningen ställer krav på att elektroniska hälsodata ska tillgängliggöras i det europeiska formatet för utbyte

Medlemsstaterna ska säkerställa att prioriterade kategorier av elektroniska hälsodata tillhandahålls i det europeiska format för utbyte av elektronisk hälsodokumentation som föreskrivs i artikel 15. Om dessa uppgifter överförs automatiskt för primäranvändning ska den mottagande parten godta uppgifternas format och kunna läsa dem. EHDS-förordningen ställer i artikel 19.2 (g) krav på att den myndighet som utses till en myndighet för digital hälsa ska säkerställa att det europeiska formatet för utbyte av hälsodata genomförs på nationell nivå. Kommissionen ska anta genomförandetakter om datakvalitetskrav för registrering av elektroniska hälsodata med personuppgifter. Datakvalitetskraven avser bl.a. semantik, enhetlighet, konsekvens, korrekthet och fullständighet (artikel 13.4). I artikel 15.1. föreskrivs att kommissionen genom genomförandeakter ska fastställa de tekniska specifikationerna för de prioriterade kategorierna av hälsodata och ange det europeiska format för utbytet som ska användas. Formatet ska vara allmänt använt och maskinläsbart och tillåta överföring av elektroniska hälsodata mellan olika programvaruapplikationer, anordningar och vårdgivare. Formatet ska stödja överföring av strukturerade och ostrukturerade hälsodata och ska omfatta: • Harmoniserade dataset som innehåller elektroniska hälsodata och definierande strukturer, såsom datafält och datagrupper för beskrivning av kliniskt innehåll och andra delar av elektroniska hälsodata.

137

• Kodsystem och värden som ska användas i dataset som innehåller elektroniska hälsodata. • Tekniska interoperabilitetsspecifikationer för utbyte av elektroniska hälsodata, inklusive innehållsbeskrivningar, standarder och profiler för dessa data

Kommissionen ska enligt artikel 15.2 också genom genomförandeakter tillhandahålla regelbundna uppdateringar av det europeiska formatet för att integrera relevanta revideringar av kodsystem och nomenklaturer för hälso- och sjukvård. Kommissionen får även enligt artikel 15.3 genom genomförandeakter fastställa tekniska specifikationer för att utbygga det europeiska formatet med ytterligare kategorier som avses i 14.1 tredje stycket.

Nationella bestämmelser om format för tillgängliggörande av uppgifter mellan vårdgivare

I befintliga bestämmelser i SVOD om vårdgivares tillgängliggörande av uppgifter till andra vårdgivare finns inga krav på hur tillgängliggörandet ska genomföras rent tekniskt, dvs. det förekommer inget krav på särskilt format till skillnad från EHDSförordningen. Inte heller i befintliga bestämmelser i 3 kap. PDL finns några konkreta krav på journalhandlingars utformning. PDL däremot en föreskriftsrätt för den myndighet regeringen utser att närmare föreskriva regler om journalhandlingens innehåll och utformning. I Socialstyrelsens föreskrifter och allmänna råd (HSLF- FS 2016:40) om journalföring och behandling av personuppgifter, finns inga fasta format specificerade som måste användas. I föreskrifterna anges enbart att uppgifterna i en patientjournal ska vara entydiga (5 kap. 2 §). I anslutningen till kravet anges som allmänt råd att vissa utpekade standarder kan användas för att möjliggöra denna entydighet. Förutom dessa råd finns sammanfattningsvis inga direkta skyldigheter för vårdgivare att använda sig av någon särskild standard. Av NLL framgår att vårdgivare och öppenvårdsapotek ska ha ett elektroniskt system som gör det möjlighet att få direktåtkomst till

138

uppgifter i den nationella läkemedelslistan och vid en elektronisk förskrivning ska lämna de uppgifter som anges i 3 kap. 8 §. Av Läkemedelsverkets föreskrifter (HSLF - FS 2021:75) om förordnande och utlämnande av läkemedel och teknisk sprit anges vidare ett antal krav avseende vilken information som ska registreras vid förskrivning av ett läkemedel. Av föreskriften framgår att vid elektronisk förskrivning till människa ska de uppgifter som anges i 8 § överföras till E-hälsomyndigheten. Vid sådan överföring ska det säkerställas att uppgifterna överförs på ett säkert och korrekt sätt och på det sätt som E-hälsomyndigheten anvisar. Vidare har E-hälsomyndigheten ställt upp ett antal krav på anslutande system och som framgår av myndighetens handbok. 44 Det finns idag inget bemyndigande till E-hälsomyndigheten att föreskriva om hur skyldigheten att lämna och ta emot uppgifter som registreras i den nationella läkemedelslistan ska fullgöras av den som bedriver verksamhet inom hälso- och sjukvården. Utredningen återkommer till detta i avsnitt 5.6.

Nya bestämmelser införs i patientdatalagen, lagen om nationell läkemedelslista och lagen om handel med läkemedel om krav på tillgängliggörande av prioriterade kategorier i det europeiska formatet

Genom EHDS-förordningen kommer det finnas en direkt skyldighet för samtliga vårdgivare att när de elektroniskt behandlar de prioriterade kategorierna av hälsodata registrera dessa i ett vårdinformationssystem som uppfyller EHDS-förordningens krav. Medlemsstaterna ska enligt EHDS säkerställa att prioriterade kategorier av elektroniska hälsodata med personuppgifter tillhandahålls i detta europeiska format för utbyte av elektronisk hälsodokumentation. Idag saknas nationella bestämmelser om i vilket format uppgifter ska tillgängliggöras. Utredningen föreslår därför att en ny bestämmelse införs i PDL om att vårdgivare ska tillgängliggöra prioriterade kategorier av hälsodata för andra vårdgivare i det europeiska formatet för utbyte av elektronisk hälsodokumentation.

44 E-hälsomyndigheten (2025). Handbok för vård- och apotekstjänster. Version 21.14. URL: Välkommen till E-hälsomyndighetens Handbok för vård- och apotekstjänster - Handbok för vård- och apotekstjänster .

139

Utredningen föreslår att motsvarande bestämmelser införs i NLL och lagen om handel med läkemedel för de uppgifter som utgör prioriterade kategorier av hälsodata med personuppgifter enligt artikel 14 EHDS-förordningen och som ska kunna tas emot och lämnas ut till den nationella läkemedelslistan av vårdgivare och apotek. I NLL införs även en ny bestämmelse om att när E-hälsomyndigheten är skyldig att lämna ut uppgifter från läkemedelslistan, som utgör prioriterade kategorier av hälsodata med personuppgifter enligt artikel 14 EHDS-förordningen, ska de lämnas ut enligt det europeiska utbytesformatet som anges i artikel 15 i EHDS-förordningen.

Författningsförslag

6 kap. 6 § PDL Ny bestämmelse i 6 kap. 9 § NLL samt ändringar i 9 kap. 1 § NLL Ändring i 2 kap. 6 § lagen om handel med läkemedel

5.5 Behov av mer precisa nationella standarder

5.5.1 Det finns ett behov av att kunna fatta beslut om format genom nationella specifikationer

Det ingår i utredningens uppdrag att göra en fördjupad analys av de förslag om krav på obligatorisk delning av vissa patientuppgifter, som lämnades av Utredningen om infrastruktur för hälsodata som nationellt intresse, i den mån de förslagen har beröring med EHDSförordningen, (se bilaga 2). Den utredningen hade i uppdrag att lämna förslag på hur en bättre och säkrare informationsöverföring av hälsodata mellan system och aktörer ska åstadkommas med syftet att öka patientsäkerheten och minska administrativt dubbelarbete för hälso- och sjukvårdspersonal. 45 Detta är även är ett mål som anges i skäl 19 i EHDS-förordningens ingress.

45 Kommittédirektiv 2022:98. Hälsodata som nationellt intresse - en lagstiftning för interoperabilitet.

140

Utredningen om infrastruktur för hälsodata som nationellt intresse skulle bl.a. utreda och lämna förslag på vilken eller vilka myndigheter som skulle ansvara för att utfärda föreskrifter, utöva tillsyn och ta fram andra stödjande eller styrande dokument om val och tillämpning av tekniska och semantiska standarder. I direktiven för utredningen framhölls den nytta som en mer heltäckande tillgång till patientens hälsodata ger i form av bättre underlag för diagnos och behandling. I utredningsdirektiven hänvisades även till slutsatser i betänkandet Riksintressen i hälso- och sjukvården om att vårdens utveckling hindras av den fragmenterade digitala infrastruktur som finns i Sverige i dag. 46 Förbättrade möjligheter till informationsdelning av data på hälso- och sjukvårdsområdet angavs ha stor 47 potential att bidra till vårdens utveckling. Utredningen om infrastruktur för hälsodata som nationellt intresse lämnade i sitt slutbetänkande Delad hälsodata – dubbel nytta (SOU 2024:33) ett antal förslag för att åstadkomma detta, vilket har redovisats i bl.a. avsnitt 4.5 och nu behandlas närmare i det följande.

Det finns en variation i hur vårdgivare dokumenterar och delar patientuppgifter

Det finns olika sätt att beskriva hälsodata. Format och struktur för data kan representeras i informationsmodeller. I betänkandet Delad hälsodata – dubbel nytta sammanfattas i kapitel 12 det omfattande arbete som redan bedrivs i Sverige för att åstadkomma gemensamma standarder och informationsmodeller inom hälso- och sjukvården. Som framgår av betänkandet har såväl myndigheter som regioner och kommuner länge försökt skapa förutsättningar för delning av hälsodata över organisatoriska och geografiska gränser, bl.a. genom arbetet med gemensamma standarder och informationsstruktur. I många avseende kan vi i Sverige anses ligga i framkant. Det finns emellertid utmaningar som följer av att det är frivilligt att dela hälsodata och att det inte har funnits några krav på

46 SOU 2021:71. Riksintressen i hälso- och sjukvården. 47 Kommittédirektiv 2022:98. Hälsodata som nationellt intresse - en lagstiftning för interoperabilitet.

141

standarder. Det har resulterat i att vårdgivare dokumenterar på olika sätt och delar olika mycket information med andra vårdgivare. 48 I en sektor som saknar gemensamma standarder och ramverk för beskrivning av information uppstår en flora av sätt att koda och strukturera information för olika syften. 49 De allmänna råd som Socialstyrelsen upprättat i anslutning till HSLF-FS 2016:40 ger utrymme för att använda fem olika terminologier, klassifikationer eller publikationer. Ett så pass stort handlingsutrymme ger en stor variation och försvårar entydighet och delning av data över organisations- och systemgränser. En ansenlig del av hälso- och sjukvårdens tusentals olika itsystem bygger i dag på egenutvecklade standarder och 50 informationsmodeller. Mängden it-system i hälso- och sjukvården och det faktum att de utvecklats med begränsad standardisering däremellan har lett till att de flesta regioner i dag har ett spretigt och rikt utbud av både tjänster och system som kräver kostsam 51 förvaltning och utveckling. Avsaknaden av gemensamma format, standarder eller principer uppges även resultera i ett omfattande arbete för att möjliggöra säker delning av information. 52 Regionerna framhöll 2023 i sin årliga rapport framtagen av SLIT-gruppen att enhetliga standarder och interoperabilitet är ett av de mest prioriterade områdena och att det är avgörande att man slutar förlita 53 sig på proprietära lösningar.

Det finns en önskan om en hög nationell ambitionsnivå och en tydligare och mer precis statlig styrning

I Sverige är ansvaret för tillämpningen av standarder, informationsmodeller, begrepp, terminologier, kodverk och tekniska specifikationer i stor utsträckning decentraliserad och har traditionellt varit omgärdad av icke bindande styrning. Ett försök till styrning på området skedde genom Vision e-hälsa 2025.

48 Se t.ex. SOU 2023:13, SOU 2024:33 och URL: NPÖ - Nationell patientöversikt - Inera 49 Några av de kodverk som är mest använda beskrivis i SOU 2024:33, avsnitt 13.2. 50 Swedish medtech et al. (2019). Gemensamt ramverk av standard för interoperabilitet – del 2. 51 SLIT (2022). IT och digitalisering i hälso- och sjukvården 2022. s 21. 52 SLIT (2022). IT och digitalisering i hälso- och sjukvården 2022. s 23. 53 SLIT (2023). IT och digitalisering i hälso- och sjukvården 2023.

142

Statskontoret konstaterade i sin granskning av samverkan inom ramen för Vision e-hälsa att den haft begränsad eller oönskad effekt. 54 Utredningen om infrastruktur för hälsodata som nationellt intresse gjorde bedömningen att ett statligt åtagande och ledarskap för hälso- och sjukvårdens interoperabilitet är nödvändigt. Det konstaterades att bristen på nationella beslut, en gemensam målbild och statligt ledarskap medfört att sektorns samlade agerande har skapat långt gångna utmaningar för hälso- och sjukvården och för möjligheten att säkra olika nationella intressen. Utredningen anförde vidare att det behöver finnas möjlighet för en myndighet att ställa bindande krav på utbytesformat (interoperabilitetslösningar) när data görs tillgängliga inom hälso- och sjukvården. 55

Det finns ett behov av att kunna styra tillämpningen av nationella standarder

EHDS-förordningen liksom Tidöavtalet har som målsättning att patientens elektroniska hälsodata ska vara tillgänglig i hela vårdkedjan, oavsett vårdgivare. I EHDS-förordningen ges kommissionen mandat att fastställa datakvalitetskrav och utbytesformat. Att ha en enhetlig tillämpning av standarder är något som eftersträvats i Sverige under många år, och som också regeringen framhållit behovet av. Nationella krav ställs dock varken på semantiska eller tekniska standarder. Dessutom har tillgängliggörande av hälsodata mellan vårdgivare hittills varit frivilligt. Utredningen konstaterar att behovet av att stödja och styra en tillämpning av tekniska och semantiska standarder redan är utrett och klarlagt, bl.a. i det tidigare redovisade slutbetänkandet från Utredningen om infrastruktur för hälsodata som nationellt intresse (SOU 2024:33). Med EHDS-förordningens registreringskrav och krav på utbytesformat tillgodoses vissa av de behov som identifierats sedan tidigare. Dessa krav kommer att, genom de genomförandeakter som kommissionen ska anta, närmare specificeras. Det handlar, som

54 Statskontoret (2021). Vision e-hälsa – ett försök till att styra genom samverkan. 55 SOU 2024:33. Avsnitt 15.1.2 samt 15.4.1.

143

framgått, om såväl datakvalitetskrav, inbegripet semantiska krav, som utbytesformat för de prioriterade kategorierna. Utredningen anser emellertid att behovet av att kunna fastställa nationella standarder kvarstår, dels för de informationsmängder som enbart delas nationellt (dvs. uppgifter som inte utgör prioriterade kategorier av hälsodata), dels för de prioriterade kategorierna, eftersom kommissionens krav på utbytesformat inte är precist nog för svenska behov. Så kan bli fallet om kommissionens genomförandeakter avseende utbytesformat t.ex. föreskriver som minimikrav att uppgifter ska kunna delas i PDF:er, vilket inte motsvarar den svenska ambitionen om ökad användning av ett strukturerat format för utbyte av patientuppgifter. Under utredningstiden har inte några genomförandeakter antagits av kommissionen. Det har dock, i det pågående arbetet med att ta fram genomförandeakter, presenterats förslag på formatkrav. Innan kommissionens genomförandeakter är antagna är det således inte möjligt att uttala sig säkert om vad det slutliga innehållet kommer att vara. 56 Som också har påpekats kan det antas att kommissionen kommer att anta ytterligare delegerade akter (artikel 14.2) och kan komma att förändra innehållet i artikel 14.1 och formatkraven enligt artikel 15 enligt det mandat som ges i 14.3 och 15.3. Det kan likväl inte uteslutas och det finns omständigheter som tyder på att det kommer att behövas ytterligare reglering i form av nationella föreskrifter, som naturligtvis måste vara förenliga med såväl EHDS-förordningen som kommande genomförandeförordningar. För att vårdgivares nödvändiga anpassningar av sina vårdinformationssystem, utifrån nationella föreskrifter inte ska behöva göras om, måste sådana föreskrifter utgå från internationella standarder och nära följa kommissionens arbete med att vidareutveckla kraven som ställs inom ramen för de genomförandeakter som tas fram. Sammanfattningsvis gör utredningen bedömningen att det finns behov av att kunna uppställa nationella krav avseende standarder för att åstadkomma ett mer detaljerat och strukturerat utbyte av hälsodata, se även avsnitt 5.3.

56 Xt-EHR (2025). Extended EHR@EU Data Space for Primary Use. URL: Home - Xt-EHR . Åtkomst: 250924.

144

5.5.2 Det är otydligt vilken myndighet som har ansvar för nationella standarder och specifikationer inom hälsooch sjukvårdssektorn

Utredningens bedömning: Socialstyrelsen och E-hälsomyndigheten har överlappande ansvar för nationell informationsstruktur och därmed för interoperabilitet inom sektorn, vilket kan påverka myndigheternas arbete negativt och leda till att resurser inte används optimalt. Det finns ett behov av att förtydliga ansvarsfördelningen mellan myndigheterna. Genom en tydlig ansvarsfördelning ökar förutsättningarna för att EHDSförordningens kommande krav om tillgängliga hälsodata ska kunna tillgodoses.

Skälen för utredningens bedömning

För att möta behovet av att stödja och styra en tillämpning av nationella standarder samt för att utredningens förslag i avsnitt 5.4 ska vara möjligt att tillämpa och få avsedd effekt, behöver en myndighet bemyndigas att föreskriva om nationella krav på tillgängliggörande och tillämpning av standarder i samband med tillgängliggörandet. Utredningen konstaterar att det idag finns två myndigheter som har ett ansvar för standarder och specifikationer och därmed för interoperabilitet i sektorn, Socialstyrelsen och Ehälsomyndigheten. Myndigheternas uppdrag sammanfattas kort nedan.

Socialstyrelsens uppdrag kopplat till nationell informationsstruktur

Socialstyrelsen har, som nämnts, i sin instruktion i uppdrag att skapa och tillhandahålla enhetliga begrepp, termer och klassifikationer inom sitt verksamhetsområde samt skapa, beskriva och tillhandahålla en ändamålsenlig informationsstruktur inom sitt verksamhetsområde. Socialstyrelsen har även föreskriftsrätt som ger myndigheten rätt att styra förutsättningar för hälso- och sjukvårdens interoperabilitet. Enligt 3 kap. 12 § 3 PDL och 2 § 3 förordningen (1985:796) med vissa bemyndiganden för

145

Socialstyrelsen att meddela föreskrifter m.m. kan Socialstyrelsen meddela föreskrifter om exempelvis journalhandlingars innehåll och utformning. Av 4 § 4 i förordningen framgår att Socialstyrelsen får meddela de ytterligare föreskrifter som behövs för verkställigheten av skyldigheten att föra patientjournal. Det betyder att Socialstyrelsen har möjlighet att reglera vad som ska dokumenteras, exempelvis ”diagnos” eller ”uppmärksamhetsinformation”. Föreskriftsrätten omfattar även hur uppgifter dokumenteras, exempelvis med en ICD11-kod eller informationsspecifikationen för uppmärksamhetsinformation. Myndigheten har alltså rätt att föreskriva om journalhandlingarnas innehåll och utformning. Utredningen bedömer att en s.k. informationsspecifikation som svarar både på vad som ska dokumenteras och hur (med vilka standarder) informationen ska dokumenteras, skulle kunna vara föremål för sådana föreskrifter. Socialstyrelsen har dock inte meddelat några föreskrifter om hur informationen ska dokumenteras. Myndigheten har däremot meddelat föreskrifter om krav på att uppgifterna ska vara entydiga och ger genom sina allmänna råd vägledning om hur detta kan åstadkommas i form av olika rekommenderade regelverk. Med stöd av lagen (1998:543) om hälsodataregister har Socialstyrelsen vidaredelegerats föreskriftsrätt för viss detaljreglering av sådana register.

E-hälsomyndighetens uppdrag kopplat till nationell informationsstruktur

E-hälsomyndigheten har enligt 1 § andra stycket förordningen (2013:1031) med instruktion för E-hälsomyndigheten i uppdrag att samordna regeringens satsningar på e-hälsa och nationell digital infrastruktur för hälso- och sjukvård, tandvård och socialtjänst. Vidare har E-hälsomyndigheten i uppdrag att ansvara för att fastställa vilka e-hälsospecifikationer som ska vara nationella och gemensamma och tillgängliggöra information om dessa samt samordna och stödja berörda aktörers arbete med att ta fram och använda sådana specifikationer (2 § 13 nämnda förordning). En e-hälsospecifikation är enligt E-hälsomyndigheten en strukturerad

146

beskrivning av krav och regler för dokumentation och informationsutbyte, inom eller mellan informationssystem, som är tillräckligt detaljerade för att kunna tillämpas entydigt. E-hälsomyndigheten har även i uppdrag att utveckla och förvalta en funktion för interoperabilitet, där arbete med e-hälsospecifikationer utgör en central del. Regeringen aviserade i budgetpropositionen 2024 att medel tilldelas E-hälsomyndigheten för att utveckla en nationell digital infrastruktur för hälso- och sjukvården. 57 Myndigheten har sedan dess fått ett antal regeringsuppdrag som kan knytas till regeringens satsning på infrastrukturen för informationsutbyte. Flera av de register och tjänster som utgör nödvändiga förutsättningar för en sådan infrastruktur har myndigheten, enligt regleringsbrev och 58 flertalet regeringsuppdrag i uppdrag, att utveckla och förvalta. I budgetpropositionen för 2026 har regeringen aviserat att den avser att permanenta medel till E-hälsomyndigheten för att utveckla och tillhandahålla en nationell digital infrastruktur. Den utökade medelstilldelningen är avsevärd och omfattar även uppgiften att genomföra EHDS-förordningen. 59 Uppdraget att kontinuerligt sammanställa samt på lämpligt sätt tillgängliggöra gemensamma nationella specifikationer, dvs. överenskommelser om hur standarder ska tillämpas i olika situationer för att underlätta informationsutbyte (semantisk och teknisk interoperabilitet) inom och mellan hälso- och sjukvård och socialtjänst har myndigheten haft sedan 2019. Fastställandet av e-hälsospecifikationer utgör inte ett formellt mandat att föreskriva om sådana men det faktum att uppdraget blivit infört i myndighetens instruktion, visar enligt utredningen på regeringens intention att göra uppdraget långsiktigt.

Överlappen i myndigheternas uppdrag tar onödig tid och resurser i anspråk

Såväl Socialstyrelsen som E-hälsomyndigheten har, som redovisats, ett ansvar för standarder och specifikationer och därmed för

57 Prop. 2023/24:1 Utgiftsområde. 9 avsnitt 3.5, s. 45 58 Se t.ex. E-hälsomyndighetens regleringsbrev 2025. 59 Prop. 2025/26:1 Utgiftsområde 9, s. avsnitt 3.7.10, s. 66.

147

semantisk interoperabilitet inom sektorn. Det överlapp som finns avseende ansvaret för den nationella informationsstrukturen inom hälso- och sjukvårdsområdet framhålls även i den myndighetsöversyn som Statskontoret nyligen har genomfört av Socialstyrelsen 60 . I rapporten uppger Statskontoret följande:

Vi har identifierat ett område där ansvarsfördelningen inte är helt tydlig. Det handlar om Socialstyrelsens och E-hälsomyndighetens delade ansvar för den nationella informationsstrukturen inom hälso- och sjukvårdsområdet. I dag får myndigheterna lägga förhållandevis mycket tid på att samverka och reda ut vem som ska göra vad. Vi kan konstatera att den pågående utbyggnaden av nationella system för hälsodata kommer att innebära ett ökat tryck på hälso- och sjukvården och myndigheterna att dela sådan data nationellt och inom EU. Det gör det ännu viktigare att ansvarsfördelningen mellan myndigheterna är tydlig framöver.

I rapporten framkommer vidare att medarbetare och företrädare för Socialstyrelsens ledning uppger att det är otydligt hur deras ansvar förhåller sig till E-hälsomyndighetens. Det uppges leda till att myndigheterna får avsätta tid för dialog i syfte att utreda vem som ansvarar för vad i varje enskilt fall. Samarbetet uppges fungera väl men tar onödiga resurser i anspråk. 61 Utredningen gör, på samma sätt som Statskontoret, bedömningen att myndigheternas ansvarsfördelning inom ramen för den nationella informationsstrukturen inom hälso- och sjukvården är otydlig och att deras uppdrag är överlappande. Utredningen delar Statskontorets slutsats om att ett förtydligande av ansvarsfördelningen mellan myndigheterna behövs, får anses bli allt viktigare och angelägen framöver med tanke på den pågående utbyggnaden av systemen för delning av hälsodata nationellt och internationellt.

60 Statskontoret (2025). Myndighetsanalys av Socialstyrelsen. Slutrapport. s.17 61 Ibid., s. 45.

148

5.5.3 E-hälsomyndigheten ska bemyndigas att meddela föreskrifter om hur kraven på vårdgivare att tillgängliggöra uppgifter ska fullgöras m.m.

Utredningens förslag: Det ska i patientdataförordningen införas ett bemyndigande för E-hälsomyndigheten att meddela föreskrifter enligt utredningens förslag i nya 6 kap. 13 § patientdatalagen om hur kraven på vårdgivare att tillgängliggöra uppgifter ska fullgöras (avsnitt 5.3). Bemyndigandet ska omfatta en rätt att föreskriva vilka uppgifter som ska tillgängliggöras. Det ska även omfatta vilka nationella specifikationer som, utöver det som framgår av denna lag och kommissionens genomförandeförordning, som ska tillämpas av vårdgivare när uppgifter tillgängliggörs inom Sverige. Rätten ska förenas med möjligheten för Myndigheten för digital förvaltning och Socialstyrelsen att yttra sig.

Skälen för utredningens förslag

För att åstadkomma en tydlighet och styrning på området är det angeläget att ansvarsfördelningen mellan Socialstyrelsen och E-hälsomyndigheten klargörs. Det föreslagna bemyndigandet om att meddela föreskrifter som pekar ut vilka nationella specifikationer som ska tillämpas vid vårdgivares tillgängliggörande av uppgifter är ett steg i ett sådant klargörande. Utredningen konstaterar att Socialstyrelsen länge haft i uppdrag att samordna och införa nationell informationsstruktur och därigenom har såväl kunskap som en fungerande process och samverkan för ändamålet. Som framgått har även E-hälsomyndigheten uppdrag och besitter därmed kunskaper inom väsentligen samma område. Utredningen anser emellertid att det är tydligt att uppdrag och mandat behöver samlas hos en aktör eftersom nuvarande ordning leder till otydlighet för omgivande intressenter men även hämmar utvecklingen inom området och kan ta onödig tid och onödiga resurser från båda myndigheternas verksamheter. Otydligheten leder till att myndigheternas resurser inte används optimalt vilket bl.a. inte

149

gagnar patientnyttan. Det skapar även en otydlighet i sektorn generellt då man inte alltid vet vem som ansvarar för vad och vad som gäller. Utredningen konstaterar att regeringen redan i samband med inrättandet av en ny myndighet för hälso- och vårdinfrastruktur (senare E-hälsomyndigheten) presenterade en tydlig bild av vilka uppdrag de såg framför sig att myndigheten skulle ha. Av direktivet till den organisationskommitté som inrättade myndigheten framgår: Regeringens skäl för bildandet av en ny myndighet är följande. Information som registreras och hanteras inom hälso- och sjukvård och omsorg är en långsiktig och användbar resurs. Att göra informationen användbar för många förutsätter dock att det finns en gemensam struktur för hur denna information utformas och samlas in. Det har i olika sammanhang påpekats att det finns ett påtagligt behov av en nationell infrastruktur för it-lösningar och kommunikationskanaler i vård- och omsorgssektorn. Detta framhölls bl.a. i slutbetänkandet från Statens vård- och omsorgsutredning, Gör det enklare! (SOU 2012:33). Även Riksrevisionen pekade i sin rapport Rätt information vid rätt tillfälle inom vård och omsorg - samverkan utan verkan? (RiR 2011:19) på att ingen aktör har det övergripande ansvaret för samordningen av de olika nationella satsningar som görs för att säkra tillgången till väl fungerande it-stöd.

Utredningen anser att det av direktivet framgår att regeringens intention vid E-hälsomyndighetens bildande har varit att frågor om informationsstrukturen för hälso- och sjukvården samt omsorgen ska vara E-hälsomyndighetens ansvarsområde. Det har i skriftliga underlag från E-hälsomyndigheten respektive Socialstyrelsen anförts skäl för att tilldela den ena eller den andra myndigheten ansvar för frågor om nationell informationsstruktur. De uppdrag som regeringen ålagt E-hälsomyndigheten på senare år, inte minst uppdraget om att utveckla en nationell digital infrastruktur för hälso- och sjukvården med tillhörande mjuk och hård infrastruktur, stärker emellertid bilden av att regeringen fortfarande strävar mot den redovisade målbilden. I budgetpropositionen för 2026 anges: Regeringen arbetar aktivt för att öka delningen av hälsodata för både primär- och sekundäranvändning och minska den administrativa bördan som insamlingen idag innebär. För att uppnå detta tillförs nu permanenta medel till E-hälsomyndigheten för att utveckla och tillhandahålla en nationell digital infrastruktur. En infrastruktur med långsiktig finansiering är en grundförutsättning för att aktörerna inom

150

systemet ska kunna planera och ansluta till den nationella digitala infrastrukturen. Vidare krävs implementering av förordningen om det europeiska hälsodataområdet (EHDS) samt att fler tidiga testversioner utvecklas i bred samverkan, starkare krav på interoperabla lösningar, ett skifte från aktiva samtycken till opt-out, bättre tillgång till grunddata, ökad datadelning och ökad automatisering av datainsamlingen. Regeringen avsätter därför 262 miljoner kronor 2026 och beräknar avsätta 369 miljoner kronor 2027, 323 miljoner kronor 2028 och 158 miljoner kronor årligen från 2029. 62

Den ursprungliga intentionen för E-hälsomyndigheten, att ansvara för att göra information inom hälso- och sjukvården användbar, framgår däremot inte med tydlighet i myndighetens instruktion. Inte heller har instruktionen ändrats i takt med att myndigheten getts nya uppdrag, såsom den nationella digitala infrastrukturen och dess ingående styrande och stödjande komponenter och strukturer. De pågående regeringsuppdragen som myndigheten har med koppling till den nationella digitala infrastrukturen samt uppdraget om att etablera en nationell funktion för interoperabilitet stödjer enligt utredningen bilden av att regeringen önskar samla denna typ av uppdrag vid E-hälsomyndigheten. För att säkerställa att föreskrifterna samordnas, dels med det närliggande arbete som Socialstyrelsen bedriver, dels med det arbete som Myndigheten för digital förvaltning bedriver om förvaltningsgemensam interoperabilitet ska bemyndigandet förenas med en rätt för båda myndigheterna att yttra sig. Mot bakgrund av ovanstående resonemang föreslår utredningen, 63 i likhet med förslaget i SOU 2024:33 , att E-hälsomyndigheten ska bemyndigas av regeringen att kunna meddela föreskrifter om hur kraven på vårdgivare att tillgängliggöra uppgifter ska fullgöras. Utredningen föreslår att ett bemyndigande till regeringen eller den myndighet som regeringen bestämmer ska föras in i PDL (se avsnitt 5.3).

Författningsförslag

3b § patientdataförordningen

62 Prop.2025/26:1. Utgiftsområde 9. S. 40 f. 63 SOU 2024:33. Avsnitt 15.4.2.

151

5.5.4 Föreskriftsbemyndigandet avseende journalhandlingars innehåll och utformning bör ändras

Utredningens bedömning: Befintligt bemyndigande i 3 kap. 12 § 3 patientdatalagen om journalhandlingars innehåll och utformning bör ändras så att bemyndigandet inte längre innefattar patientjournalens utformning. Socialstyrelsen bör fortsatt föreskriva om journalens innehåll. Socialstyrelsens bemyndigande i 2 § 3 förordningen med vissa bemyndiganden för Socialstyrelsen att meddela föreskrifter m.m. bör ändras till följd av föreslagen ändring i 3 kap. 12 § patientdatalagen.

Skälen för utredningens bedömning

Enligt 3 kap. 12 § 3 PDL och 2 § 3 förordningen (1985:796) med vissa bemyndiganden för Socialstyrelsen att meddela föreskrifter m.m. kan Socialstyrelsen meddela föreskrifter om exempelvis journalhandlingars innehåll och utformning. Av 4 § 4 i förordningen framgår att Socialstyrelsen får meddela de ytterligare föreskrifter som behövs för verkställigheten av skyldigheten att föra patientjournal. Det betyder att Socialstyrelsen har möjlighet att reglera vad som ska dokumenteras, exempelvis ”diagnos” eller ”uppmärksamhetsinformation”. Föreskriftsrätten omfattar även hur uppgifter dokumenteras, exempelvis med en ICD11-kod eller informationsspecifikationen för uppmärksamhetsinformation. Myndigheten har alltså rätt att föreskriva om journalhandlingarnas innehåll och utformning. Utredningen bedömer att en s.k. informationsspecifikation som svarar både på vad som ska dokumenteras och hur (med vilka standarder) informationen ska dokumenteras, skulle kunna vara föremål för sådana föreskrifter. Nuvarande bemyndigande är otydligt och skapar osäkerhet avseende vilken myndighet som har mandat och ansvar för vilka

152

delar. Mot bakgrund av det som anförts i föregående avsnitt, att bemyndigandet avseende nationella specifikationer behöver samlas på en myndighet, anser utredningen att bemyndigandet i 3 kap. 12 § 3 PDL bör ändras på sådant sätt att det enbart avser patientjournalens innehåll. Enligt utredningen bör vidare Socialstyrelsens bemyndigande i 2 § 3 förordningen (1985:796) med vissa bemyndiganden för Socialstyrelsen att meddela föreskrifter m.m. ändras till följd av föreslagen ändring av 3 kap. 12 § PDL. Dessa författningsändringar är nära kopplade till det förslag om instruktionsändring för E-hälsomyndigheten och Socialstyrelsen som lämnats i betänkandet SOU 2024:33 och som bereds i Regeringskansliet. I den pågående beredningen bör även erforderliga ändringar av nämnda föreskriftsbemyndiganden hanteras. Det är i sammanhanget viktigt att framhålla det förslag utredningen lämnar i avsnitt 4.5 om att uppgifter ska registreras på sådant sätt att uppställda krav på utbytesformat kan tillämpas. Den föreslagna bestämmelsen behöver beaktas i de fall befintlig föreskriftsrätt om journalens utformning tillämpas.

5.5.5 Myndigheternas instruktioner bör ändras för att förtydliga respektive myndighets ansvarsområde

Utredningens bedömning: E-hälsomyndighetens och Socialstyrelsens myndighetsinstruktioner bör ändras för att undvika överlappande ansvar och uppdrag.

Skälen för utredningens bedömning

Mot bakgrund av de förslag utredningen lämnar gör utredningen bedömningen att E-hälsomyndighetens och Socialstyrelsens instruktioner bör ses över. Ett sådant förslag har presenterats i SOU 2024:33 och bereds på Regeringskansliet. Utredningen lämnar därför inget förslag i frågan. Eventuella förändringar som kan medföra ändrat ansvar och ändringar i organisationerna bör

153

emellertid hanteras utifrån ett långsiktigt perspektiv där redan igångsatta projekt i myndigheterna omhändertas.

5.6 Krav vid utlämnande och mottagande av uppgifter som registreras i den nationella läkemedelslistan

Utredningens förslag: En ny bestämmelse införs i lag om nationell läkemedelslista om att regeringen eller den myndighet som regeringen bestämmer ska få meddela föreskrifter om hur skyldigheten att lämna och ta emot uppgifter som registreras i den nationella läkemedelslistan ska fullgöras av den som bedriver verksamhet inom hälso- och sjukvården. Motsvarande bemyndigande ska införas i lagen om handel med läkemedel avseende hur skyldigheten att lämna och ta emot uppgifter ska fullgöras av den som har tillstånd att bedriva öppenvårdsapotek. Bemyndigandena ska också omfatta att regeringen eller den myndighet som regeringen bestämmer får föreskriva om tekniska och organisatoriska krav på säkerhet på den som bedriver verksamhet inom hälso- och sjukvården och den som har tillstånd att bedriva detaljhandel med läkemedel vid fullgörandet av skyldigheten att lämna uppgifter till och ta emot uppgifter från den nationella läkemedelslistan.

Skälen för utredningens förslag

Enligt förordningen (2013:1031) med instruktion för E-hälsomyndigheten ska myndigheten ansvara för register och itfunktioner som öppenvårdsapotek och vårdgivare behöver ha tillgång till för en patientsäker och kostnadseffektiv läkemedelshantering. Myndigheten ska vidare enligt 2 § 3 myndighetens instruktion vid behov genomföra kontroller av det elektroniska system för direktåtkomst till uppgifter hos myndigheten som en tillståndshavare ska ha enligt 2 kap. 6 § 6 lagen

154

(2009:366) om handel med läkemedel, eller som den som bedriver hälso- och sjukvårdsverksamhet ska ha enligt 9 kap. 1 § 1 NLL. Av 4 kap. 2 § Läkemedelsverkets föreskrifter (HSLF - FS 2021:75) om förordnande och utlämnande av läkemedel och teknisk sprit (receptföreskrifter) framgår att vissa uppgifter ska överföras till E-hälsomyndigheten vid elektronisk förskrivning till människa. Vid sådan överföring ska det enligt föreskrifterna säkerställas att uppgifterna överförs på ett säkert och korrekt sätt och på det sätt som E-hälsomyndigheten anvisar. Av Läkemedelsverkets vägledning till bestämmelsen framgår att E-hälsomyndigheten är den myndighet som ansvarar för att lagra och förmedla elektroniska recept. Samtliga elektroniska recept ska därför överföras via E-hälsomyndighetens system för att vara giltiga. För närmare information om hur överföringen ska gå till hänvisas till E - hälsomyndighetens webbplats www.ehalsomyndigheten.se. Regeringen har i förarbetena till NLL uttalat att det ingår i E-hälsomyndighetens roll som personuppgiftsansvarig att ställa krav på samtliga aktörer som behöver ha en anslutning till den nationella läkemedelslistan. 64 Regeringen framförde vidare att bestämmelserna i den nya lagens 9 kap. 1 §, och i 2 kap. 6 § lagen om handel med läkemedel tillsammans med E-hälsomyndighetens ansvar som personuppgiftsansvarig, möjliggör för myndigheten att kunna ställa de krav som är nödvändiga på anslutande aktörer. Regeringen bedömde att det inte fanns något behov av ett bemyndigande för E-hälsomyndigheten att utfärda föreskrifter i denna fråga. När det gäller vilka krav som ska ställas anförde regeringen att E-hälsomyndigheten har mandat att i första hand ställa krav på den tekniska specifikationen för anslutningen och överföringsformatet mellan ett vård- eller apotekssystem och det nya registret, men kan också omfatta krav på presentation av information, krav på användning av källor och kodverk, krav på spårbarhet samt krav på behörighet för åtkomst till den nationella läkemedelslistan. Enligt regeringen ska E-hälsomyndigheten också säkerställa att uppställda säkerhetskrav följs. 65 Utredningen anser att det inte finns anledning att ifrågasätta att E-hälsomyndigheten utifrån sin roll har mandat att ställa krav på

64 Prop. 2017/18:2223, s. 184 ff och 195 ff. 65 Prop. 2017/18:2223, s. 184 ff.

155

hälso- och sjukvården respektive öppenvårdsapoteken avseende de elektroniska system som möjliggör direktåtkomst till uppgifter i den nationella läkemedelslistan samt avseende de uppgifter som ska lämnas vid en förskrivning. Utredningen anser dock att det finns anledning att överväga om den statliga styrningen avseende krav på aktörerna som ansluter till den nationella läkemedelslistan är tillräckligt tydlig. Utredningen bedömer att det är nödvändigt för samtliga aktörer som är skyldiga att lämna ut uppgifter till den nationella läkemedelslistan att känna till vilka krav som gäller för anslutning till läkemedelslistan. Myndigheten ska, som utredningen redogjort för ovan, vid behov genomföra kontroller av det elektroniska system för direktåtkomst till uppgifter hos myndigheten som ett apotek ska ha eller som den som bedriver hälso- och sjukvårdsverksamhet ska ha. Det behöver därför vara tydligt och förutsägbart för de ansvariga aktörerna vilka krav som måste vara uppfyllda vid en sådan kontroll. Utredningen bedömer att styrningen av ansvariga aktörer kan underlättas om en myndighet får specificera vissa krav i bindande föreskrifter. En sådan tydlighet vad gäller krav på anslutande aktörer, kan enligt utredningens bedömning underlätta såväl styrning som samarbetet med aktörerna. För aktörerna kan krav som specificeras i föreskrifter innebära tydligare förutsättningar såväl för samarbetet med myndigheten och i arbetet med att uppfylla de nödvändiga kraven samt även större förutsägbarhet för vad som kan komma att kontrolleras av myndigheten. Utredningen föreslår därför att regeringen eller den myndighet som regeringen bestämmer ska få meddela föreskrifter om hur skyldigheten att lämna och ta emot uppgifter enligt 9 kap. 1 § NLL ska fullgöras, och hur motsvarande skyldighet att lämna och ta emot uppgifter enligt 2 kap. 6 § 5 och 6 lagen om handel med läkemedel ska fullgöras. Det handlar om att regeringen eller den myndighet som regeringen bestämmer ska få meddela föreskrifter om exempelvis vilka uppgifter som ska lämnas och om specificeringar avseende det format som ska användas vid utlämnande och mottagande av uppgifterna. Det finns enligt utredningens bedömning behov av att kunna uppställa nationella krav avseende standarder för att åstadkomma ett mer detaljerat och strukturerat utbyte av hälsodata.

156

Utredningen föreslår motsvarande bemyndigande i 6 kap. 11 § PDL till bestämmelserna om tillgängliggörande enligt 6 kap. 3 och 4 §§ PDL. I avsnitt 5.3 – 5.6 finns fördjupade analyser avseendet behovet av preciseringar i föreskrifter avseende kraven på tillgängliggörande i ett visst format. Bemyndigandet ska också omfatta att regeringen eller den myndighet som regeringen bestämmer får föreskriva om tekniska och organisatoriska krav på säkerhet hos vårdgivaren respektive den som har tillstånd att bedriva detaljhandel med läkemedel vid fullgörandet av skyldigheten att lämna och ta emot uppgifter enligt 9 kap. 1 § NLL respektive 2 kap. 6 § 5 och 6 lagen om handel med läkemedel.

Författningsförslag

Ändring av 10 kap. 3 § NLL och ny bestämmelse i 2 kap. 11 b § lagen om handel med läkemedel.

5.7 Möjlighet till frivilligt informationsutbyte mellan vårdgivare

Utredningens förslag: Det ska införas en ny bestämmelse i patientdatalagen om att en vårdgivare får ge tillgång, genom direktåtkomst eller annat elektroniskt utlämnande, till andra uppgifter än de som är obligatoriska att tillgängliggöra. Det gäller bara om uppgifterna används för att vårda en patient.

Skälen för utredningens förslag

EHDS-förordningen ställer, som nämnts ovan, krav på att åtminstone de prioriterade kategorierna av hälsodata ska vara tillgängliga för hälso- och sjukvårdspersonal. Den nationella regleringen av tillgången till personuppgifter som behandlas av andra vårdgivare i SVOD specificerar inte närmare vilka uppgifter som avses. Tillgången får emellertid bara avse personuppgifter som behandlas för ändamål som anges i 2 kap. 4 § 1 och 2 PDL dvs. under förutsättning att vårdgivaren behandlar uppgifterna för vård av en

157

patient eller för att ansvara för eller utföra insatser eller för administration av sådana insatser eller sådan dokumentation som avses i 1 kap. 3 § andra stycket. Utredningens förslag avser inte att begränsa den delning av hälsodata som tidigare varit möjlig inom Sverige. Därför föreslås att den nya bestämmelsen i 6 kap. 4 § PDL om att prioriterade kategorier och att vissa andra uppgifter ska tillgängliggöras, kompletteras med en bestämmelse i 6 kap. 5 § PDL om att en vårdgivare får medge en annan vårdgivare i Sverige direktåtkomst eller genom annat elektroniskt utlämnande till andra än de som är obligatoriska att tillgängliggöra. Det frivilliga tillgängliggörandet enligt detta förslag avser sådana uppgifter som behandlas för att bereda patienten vård även om det inte finns krav på tillgängliggörande enligt föreslagna föreskrifter om specifikationer, se avsnitt 5.3.

Författningsförslag

6 kap. 5 § PDL

5.8 Möjligheten att i nationell rätt föreskriva om ytterligare kategorier av hälsodata blir prioriterade bör för närvarande inte utnyttjas

Utredningens bedömning: Det finns för närvarande inte skäl att nyttja möjligheten som ges till medlemsstaterna att, i nationell rätt, föreskriva om ytterligare kategorier av elektroniska hälsodata med personuppgifter som ska göras tillgängliga och utbytas för primäranvändning i enlighet med EHDSförordningen.

158

Skälen för utredningens bedömning

EHDS-förordningen ger medlemsstaterna möjlighet att föreskriva om ytterligare kategorier som ska bli prioriterade att tillgängliggöras i enlighet med EHDS-förordningen

EHDS-förordningen innehåller bestämmelser om under vilka förutsättningar medlemsstater får föreskriva om ytterligare, nationella prioriterade kategorier av hälsodata som ska göras tillgängliga och utbytas i enlighet med EHDS-förordningen. Om en medlemsstat nyttjar denna möjlighet får, enligt artikel 14.1 fjärde stycket, kommissionen under vissa förutsättningar fastställa direkt tillämpliga genomförandeakter, där det fastställs villkor för gränsöverskridande specifikationer för de ytterligare prioriterade kategorier som ifrågavarande medlemsstat tagit fram. Dessa genomförandeakter ska antas i enlighet med det granskningsförfarande som avses i artikel 98.2. Innebörden av redovisade bestämmelser är alltså att om det i exempelvis Sverige tas fram och definieras en ytterligare kategori av elektroniska hälsodata kan den på sikt bli en gemensam prioriterad kategori. I sådant fall inträder en skyldighet att se till att även en sådan ytterligare kategori av elektroniska hälsodata går att utbyta för primärändamål inom EES.

De prioriterade kategorierna av hälsodata ska utgöra den mest relevanta informationen

Arbetet med gränsöverskridande delning av hälsodata för hälso- och sjukvårdsändamål för en mer patientsäker gränsöverskridande vård har pågått sedan patientrörlighetsdirektivet trädde i kraft. Av bestämmelserna i patientrörlighetsdirektivet följer att det ska blidas ett sådant inom vilket EU stödjer och främjar samarbetet och utbytet av information. De prioriterade kategorierna av hälsodata i artikel 12 härrör från det arbete som bedrivits av medlemsstaterna inom ramen för Nätverket för e-hälsa”. 66 I EHDS-förordningen skäl 19 framhålls att syftet med att säkerställa tillgång till heltäckande och

66 SOU 2023:13. Se bland annat avsnitt 4.2.

159

aktuella hälsodata för hälso- och sjukvårdspersonal är den nytta som patienten och vårdgivare ska erhålla i form av stärkt patientsäkerhet, mindre dubbelarbete och bättre beslutsunderlag. Det är med den intentionen som de prioriterade kategorierna av hälsodata i artikel 14 och deras egenskaper i bilaga I har valts ut. Av artikel 14.2 framgår att kommissionen ges befogenheter att anta delegerande akter i enlighet med artikel 97 för att ändra förordningen genom att ändra i bilaga 1 avseende de prioriterade kategorierna genom tillägg, ändring eller strykning av de huvudsakliga egenskaperna hos de prioriterade kategorierna.

Det finns i nuläget inte skäl att nyttja medlemsstaternas möjlighet att fram egna kategorier av hälsodata med personuppgifter

Det finns i dag inte någon etablerad bedömning eller uppfattning om de föreslagna kategorierna är tillräckliga informationsmängder för att kunna bedriva en god och säker vård eller om någon informationsmängd saknas. Utredningen anser emellertid att de i EHDS-förordningen föreskrivna prioriterade kategorierna av hälsodata med personuppgifter är tillräckliga. Utredningen bedömer att det för närvarande inte finns någon anledning att påbörja eller bedriva ett arbete med att ta fram eller föreslå ytterligare kategorier av hälsodata med personuppgifter som på sikt kan bli obligatoriska att utbyta för primäranvändning i enlighet med EHDSförordningen, inbegripet gränsöverskridande utbyte. Vi bedömer emellertid att det kan finnas ett behov av att kunna fatta beslut om att ställa krav på att tillgängliggöra ytterligare informationsmängder inom Sverige. Utredningen har redogjort för detta i avsnitt 5.3 ovan.

5.9 Befintliga villkor för att uppgifter ska få göras tillgängliga är inte förenliga med EHDSförordningen

Utredningens bedömning: Befintliga krav på att information till patienten om att dennes hälsodata tillgängliggörs ska föregå att

160

uppgifterna tillgängliggörs för annan vårdgivare är inte förenliga med EHDS-förordningen. Socialstyrelsen ska få i uppdrag att ta fram informationsmaterial i syfte att stödja vården i samtalet med patienter om att hans eller hennes hälsodata tillgängliggörs.

Utredningens förslag: Det införs en bestämmelse i patientdatalagen om att en patient ska få information om att dennes elektroniska hälsodata med personuppgifter görs tillgängliga för andra vårdgivare.

Skälen för utredningens bedömning och förslag

EHDS-förordningens bestämmelser om förutsättningar för tillgång

Som nämnt ovan framgår av artikel 11 i EHDS-förordningen att när hälso- och sjukvårdspersonal behandlar hälsodata med personuppgifter i elektroniskt format, ska de ha tillgång till åtminstone de prioriterade kategorierna av hälsodata avseende de patienter som står under deras behandling. EHDS-förordningen presenterar inte några förutsättningar som ska vara uppfyllda innan hälsodata får tillgängliggöras. Däremot framgår av artikel 10 att medlemsstaternas lagstiftning får föreskriva att fysiska personer har rätt att motsätta sig tillgång till sina elektroniska hälsodata med personuppgifter som registrerats i ett elektroniskt hälsodokumentationssystem via de tjänster för tillgång till elektroniska hälsodata som avses i artiklarna 4 och 12. I sådana fall ska medlemsstaterna se till att utövandet av denna rätt är reversibelt.

Idag finns nationella bestämmelser om förutsättningar som ska vara uppfyllda innan information kan tillgängliggöras mellan vårdgivare

SVOD innehåller idag krav på vilka förutsättningar som ska vara uppfyllda för att direktåtkomst eller annan elektronisk åtkomst kan

161

etableras mellan olika vårdgivare eller omsorgsgivare samt när en vård- eller omsorganställd får ta del av uppgifterna. Dessa regler innefattar dels förutsättningar för när ett tillgängliggörande av information för direktåtkomst är tillåtet, dels regler för vilka begränsningar i redan etablerad direktåtkomst som ska föreligga. I detta avsnitt behandlas bestämmelser om när hälsodata får tillgängliggöras. Åtkomstbegränsningar för vården behandlas i kapitel 6. Enligt SVOD (2 kap. 2 §) måste vårdgivaren informera samtliga patienter innan vårdgivaren får tillgängliggöra hälsodata för direktåtkomst från andra vårdgivare. Vidare får uppgifter inte göras tillgängliga om en patient motsätter sig det, vilket utredningen återkommer till i kapitel 7. En vårdgivare eller en omsorgsgivare får tillgängliggöra uppgifter om en patient eller en omsorgsmottagare, som inte endast tillfälligt saknar förmåga att ta ställning, om patientens inställning till sådan behandling av personuppgifter så långt som möjligt har klarlagts, och det inte finns anledning att anta att patienten skulle ha motsatt sig behandlingen av personuppgifterna. Kravet på information om behandlingen av personuppgifter har sin grund i artiklarna 13 och 14 i EU:s dataskyddsförordning och innebär att den registrerade alltid ska informeras om den behandling som förekommer. I egenskap av personuppgiftsansvarig har vårdgivaren en skyldighet att informera patienten om all denna hantering.

Det är inte förenligt med EHDS krav att information till patienten måste föregå tillgängliggörande av uppgifter

Hälso- och sjukvårdspersonalens åtkomst till hälsodata är ett krav enligt EHDS-förordningen. Utredningen bedömer att ett krav på att patienten ska informeras innan uppgifter görs tillgängliga inte är förenligt med EHDS-förordningens bestämmelser. Utredningen konstaterar emellertid att kravet på att den registrerade ska informeras om den behandling av dennes uppgifter som sker enligt dataskyddsförordningen fortsatt gäller. Vidare anser utredningen att det är centralt att alla medborgare i Sverige får detaljerad information

162

om EHDS-förordningen och den nationella implementeringen samt om vilka rättigheter som individen har och vad de innebär så att han eller hon ska kunna tillvarata dessa.

En ny bestämmelse ska införas om att patienten ska får information om att dennes hälsodata tillgängliggörs

Mot bakgrund av ovanstående föreslår utredningen att det införs en ny bestämmelse i 8 kap. PDL om att vårdgivare ska informera patienten om att dess elektroniska hälsodata görs tillgänglig. Utredningen föreslår att Socialstyrelsen ska få i uppdrag att ta fram informationsmaterial till vårdgivare om detta. Utredningen föreslår även i avsnitt 7.6 att Socialstyrelsen ska få i uppdrag att ta fram riktlinjer och stöd för dialogen med patienten om dess rätt att begränsa tillgång och åtkomst till dess uppgifter. Utredningen konstaterar vidare att den myndighet som ska utpekas till myndighet för digital hälsa enligt artikel 19.2 b) EHDSförordningen kommer att ha ett ansvar för att se till att fysiska personer, inklusive hälso- och sjukvårdspersonal, får information om de rättigheter och skyldigheter som framgår av kapitel II och III i EHDS-förordningen.

Författningsförslag

8 kap. 6 § 4 PDL

5.10 Bestämmelser om tillgängliggörande av hälsodata mellan vårdgivare i SVOD utmönstras

Utredningens förslag: Befintliga bestämmelser i lagen (2022:913) om sammanhållen vård- och omsorgsdokumentation som rör tillgängliggörande av uppgifter vårdgivare emellan upphävs eller ändras så att vårdgivares informationsutbyte inte längre regleras i den lagen. Det frivilliga informationsutbytet dels mellan omsorgsgivare, dels mellan vårdgivare och omsorgsgivare ska däremot fortsatt regleras i lagen.

163

Skälen för utredningens förslag

EHDS-förordningens bestämmelser och utredningens uppdrag om tillgång till hälsodata avser bara hälso- och sjukvård och tandvård

Som framgått finns i SVOD reglering som möjliggör ett frivilligt utbyte av uppgifter vårdgivare emellan under vissa förutsättningar. Regleringen motsvarar inte de krav som ställs enligt EHDSförordningen. Till följd av EHDS-förordningen kommer delningen av hälsodata mellan vårdgivare att förändras i flera avseenden. De nya regler som föreslagits i detta kapitel påverkar enbart vårdgivares personuppgiftsbehandling. De huvudsakliga bestämmelserna om vårdgivares behandling av personuppgifter finns i PDL. Utredningens förslag innebär att den nya regleringen av elektroniskt tillgängliggörande av hälsodata mellan vårdgivare införs i PDL (se avsnitt 5.2). Därmed hålls de bestämmelser som avser hälso- och sjukvårdens behandling av personuppgifter samman på ett tydligt sätt. Befintliga bestämmelser i SVOD som rör utbyte av hälsodata enbart mellan vårdgivare ska till följd av detta upphävas eller ändras så att lagen inte omfattar sådant utbyte. Utredningen föreslår också ändringar av bestämmelserna om förutsättningarna för hälso- och sjukvårdspersonals åtkomst till uppgifterna hos en vårdgivare i 4 kap. PDL (se förslag i avsnitt 6.4). Vidare föreslår utredningen vissa ändringar i andra lagar till följd av att bestämmelser om utbyte av hälsodata mellan vårdgivare ska regleras i PDL i stället för i SVOD, se avsnitt 5.2. Avslutningsvis föreslår utredningen även att bestämmelser i PDL som hänvisar till SVOD ändras så att de när det är relevant i stället hänvisar till motsvarande bestämmelse i det föreslagna 6 kap. PDL.

164

SVOD föreslås enbart reglera frivillig delning av uppgifter om omsorgsmottagare och patienter mellan olika omsorgsgivare samt mellan omsorgsgivare och vårdgivare

Bestämmelserna i SVOD ska alltså ändras så att lagen enbart gäller för utbyte av uppgifter mellan omsorgsgivare samt mellan vårdgivare och omsorgsgivare. I 1 kap. SVOD ska definitionen av sammanhållen journalföring ändras så att den inte omfatta delning av hälsodata mellan vårdgivare. Befintliga bestämmelser i 2 kap. SVOD ska upphävas eller ändras på så sätt att lagen inte längre innehåller någon reglering av vårdgivares tillgängliggörande av hälsodata sinsemellan. Vidare ska bestämmelserna i 3 kap., om vårdgivares och omsorgsgivares tillgång till och behandling av personuppgifter, och 4 kap., om vårdgivarnas och omsorgsgivarnas ansvar för dokumentationen, ändras på motsvarande sätt. Förslaget innebär att SVOD ändras på ett betydande sätt. Trots att begreppet sammanhållen vård- och omsorgsdokumentation får en snävare definition kan lagen enligt utredningen även fortsättningsvis benämnas lagen om sammanhållen vård- och omsorgsdokumentation.

Författningsförslag

2 kap. 5 §, 3 kap. 5 och 6 §§ SVOD ska upphöra att gälla. 1 kap. 1 och 2 §§, 2 kap. 1-4 och 6 §§, 3 kap. 1, 3 och 7 §§ samt 4 kap. 1 och 2 §§ SVOD ska få ändrade lydelser. Rubrikerna närmast före 2 kap. 5 § och 3 kap. 5 § SVOD ska upphävas. Rubriken närmas före 4 kap. 2 § SVOD ska få en ny lydelse. Ändringar i 3 kap. 1 § PDL.

165

5.11 Bestämmelserna i lag om sammanhållen vård och omsorgsdokumentation behöver ses över

Utredningens bedömning: Bestämmelserna avseende delning av hälsodata mellan vårdgivare och omsorgsgivare samt mellan omsorgsgivare kommer skilja sig från bestämmelserna avseende delning av hälsodata mellan vårdgivare och behöver därför ses över.

Skälen för utredningens bedömning

EHDS-förordningens bestämmelser inom primäranvändning liksom utredningens uppdrag omfattar endast hälso- och sjukvård

Utredningen har som nämnt i kapitel 2 i uppdrag att analysera och föreslå åtgärder som möjliggör en nationell digital infrastruktur för hela hälso- och sjukvården. Hälsodata blir tillgängliga i hela vårdkedjan för både hälso- och sjukvård och tandvård. Syftet är att öka kvaliteten i vården och förbättra patientsäkerheten samt att den administrativa bördan för vårdpersonalen ska minska. Utredaren ska även analysera och ta fram förslag kopplade till EHDSförordningen. Utredningens uppdrag är avgränsat till hälso- och sjukvård och omfattar därmed inte den del av omsorgen som inte är hälso- och sjukvård.

Två olika rättsordningar för delning av hälsodata

Utöver att reglera utbyte av uppgifter inom hälso- och sjukvården möjliggör bestämmelserna i SVOD ett frivilligt utbyte av uppgifter mellan omsorgsgivare samt mellan vårdgivare och omsorgsgivare. Det ingår inte i utredningens uppdrag att lämna förslag som påverkar informationsutbyten mellan omsorgsgivare eller mellan omsorgsgivare och vårdgivare. Utredningens uppdrag är endast att

166

föreslå åtgärder så att hälsodata kan delas mellan vårdgivare inom hälso- och sjukvården och tandvården. Effekten av att utredningens uppdrag och EHDS-förordningens krav endast avser hälso- och sjukvården och tandvården gör att flödet av hälsodata till och från samt inom omsorgen kommer skilja sig från flödet inom hälso- och sjukvården. Vårdgivare måste tillämpa olika bestämmelser beroende på om uppgifterna ska lämnas ut till omsorgen eller om de ska lämnas till en annan vårdgivare. Det kommer inom hälso- och sjukvården vara krav på att tillgängliggöra åtminstone de prioriterade kategorierna av hälsodata. Inom omsorgen och mellan omsorgen och hälso- och sjukvården kommer delningen av hälsodata vara frivillig. Därtill föreligger krav som ska uppfyllas för att hälsodata ska få delas inom omsorgen och mellan omsorgen och hälso- och sjukvården som inte finns när hälsodata delas inom hälso- och sjukvården. På samma sätt kommer bestämmelserna som avser begränsningar i åtkomst att skilja sig åt, utredningens förslag avseende dessa återfinns i kapitel 6 och 7.

Bestämmelserna i lag om sammanhållen vård och omsorgsdokumentation behöver ses över

Såväl EHDS-förordningens krav avseende flödet av elektroniska hälsodata som utredningens uppdrag omfattar enbart hälso- och sjukvård. Detta kommer, givet hur hälso- och sjukvården och omsorgen är organiserad i Sverige, riskera skapa ett svårtillgängligt regelverk, om inte bestämmelserna i SVOD ses över. Gränsdragningen mellan hälso- och sjukvård och omsorg är såvitt utredningen erfar, efter dialog med regioner och kommuner, sällan helt tydlig. Det är enligt utredningens mening inte optimalt att olika bestämmelser ska gälla för flödet inom hälso- och sjukvården och flödet till och inom omsorgen. Hälsodata behöver kunna användas för att stödja patienter som rör sig mellan hälso- och sjukvård och omsorg. Det är vanligt att en enskild person samtidigt får insatser såväl från omsorgen som från hälso- och sjukvården. Detta leder, enligt utredningen, sannolikt till att såväl implementering som tillämpning blir komplicerad för vårdgivare och systemleverantörer. Utredningen anser att regleringen av informationsflödet till och

167

inom omsorgen behöver utredas i särskild ordning för att när det är lämpligt och ändamålsenligt harmoniseras med det regelverk som utredningen föreslår.

168

6 Hälso- och sjukvårdspersonalens tillgång till elektroniska hälsodata

6.1 Inledning

I föregående kapitel har utredningens bedömningar och förslag om hur hälsodata ska registreras (kapitel 4) för att sedan göras tillgängliga för alla vårdgivare (kapitel 5) redovisats. EHDSförordningen innehåller krav på att medlemsstaterna ska se till att all hälso- och sjukvårdspersonal har tillgång till de prioriterade kategorierna av hälsodata. I detta kapitel redovisas därför utredningens bedömningar och förslag om hur hälso- och sjukvårdspersonalen ska kunna få sådan tillgång till registrerade hälsodata och vilka förutsättningar och krav sådan tillgång ska vara behäftad med.

6.2 Tillgångstjänster för hälso- och sjukvårdspersonal

6.2.1 Den myndighet regeringen bestämmer ska tillhandahålla en nationell tillgångstjänst för hälso- och sjukvårdspersonal

Utredningens förslag: Den statliga myndighet regeringen bestämmer ska tillhandahålla en sådan tillgångs-tjänst för hälsooch sjukvårdspersonal som avses i artikel 12 i EU:s förordning om det europeiska hälsodataområdet. En bestämmelse om

169

tillhandahållandet av tillgångstjänsten förs in i utredningens förslag till lag om nationell infrastruktur och tjänster för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet.

Skälen för utredningens förslag

Krav på tillgångstjänster för hälso- och sjukvårdspersonal

EHDS-förordningen föreskriver att medlemsstaterna ska säkerställa kostnadsfri tillgång till de prioriterade kategorierna av hälsodata som avses i artikel 14 för hälso-och sjukvårdspersonal genom tjänster för tillgång (artikel 12). Enligt förordningen är en tillgångstjänst för personal en tjänst som stöds av ett elektroniskt hälsodokumentationssystem och som gör det möjligt för hälso- och sjukvårdspersonal att få tillgång till data för de fysiska personer som står under deras behandling (artikel 2.2 i). Tillgångstjänster för personal ska presentera hälsodata på ett användarvänligt sätt. Av skäl 19 framgår att hälso- och sjukvårdspersonal ska ges tillgång till lämpliga elektroniska medel, till exempel elektroniska anordningar och portaler eller andra tjänster för tillgång, för att kunna använda elektroniska hälsodata med personuppgifter när de utför sitt arbete, oavsett vilken vårdgivare som har registrerat uppgifterna. Tjänsterna ska vara tillgängliga endast för hälso- och sjukvårdspersonal som kan identifiera sig elektroniskt genom en identifiering som erkänts enligt artikel 6 i förordning (EU) nr 910/2014 (förkortad EIDAS-förordningen) eller andra medel för elektronisk identifiering som uppfyller de gemensamma specifikationer som avses i artikel 36 i EHDS-förordningen om gemensamma specifikationer för de harmoniserade programvarukomponenterna. Användningen av tillgångstjänsterna förutsätter alltså att användare kan autentisera sig säkert genom en elektronisk autentisering som är godkänd enligt EIDASförordningen eller eventuellt motsvarande autentisering som tas fram i de gemensamma specifikationerna för programvarukomponenter.

170

Det anges vidare i skäl 19 i EHDS-förordningen att det är en uppgift av allmänt intresse att tillhandahålla tjänster för tillgång för hälso- och sjukvårdspersonal. Utförandet av en sådan uppgift kräver behandling av personuppgifter i den mening som avses i artikel 6.1 e i förordning (EU) 2016/679 (dataskyddsförordningen). Genom EHDS-förordningen tillhandahålls villkor och skyddsåtgärder för behandling av elektroniska hälsodata i samband med tjänster för tillgång för hälso- och sjukvårdspersonal i enlighet med artikel 9.2 h dataskyddsförordningen. En tillgångstjänst utgör inte en infrastrukturkomponent i egentlig mening, utan är en tjänst som är beroende av att det finns sådana register och it-funktioner som ingår i den nationella digitala infrastrukturen för hälso- och sjukvården. I kapitel 8 lämnar utredningen de författningsförslag som behövs för att säkerställa informationsutbytet i infrastrukturen.

Befintliga tekniska lösningar för hälso- och sjukvårdspersonalens åtkomst till hälsodata

För att uppfylla kraven och målsättningarna i EHDS-förordningen måste varje medlemsstat se till att det finns tillgång till digitala verktyg som möjliggör tillgång till åtminstone de prioriterade kategorierna av hälsodata enligt artikel 14 och bilaga I. Mer exakt hur sådana tillgångstjänster för personal ska tas fram eller vem som ska åläggas att tillhandahålla den anges inte i EHDS-förordningen utan är upp till varje medlemsstat. I dag använder vårdgivare i Sverige olika tekniska lösningar för att möjliggöra åtkomst för hälso- och sjukvårdspersonal till hälsodata från andra vårdgivare. Av utredningen Delad hälsodata – dubbel nytta – regler för ökad interoperabilitet (SOU 2024:33) framgår att det finns tre huvudsakliga mekanismer för att dela patientuppgifter mellan vårdgivare: • Vårdgivare använder samma vårdinformationsystem • Journaluppgifter görs tillgängliga genom tjänsten Nationell patientöversikt • Kommuner får läsbehörighet i regionernas journalsystem

171

Nationell patientöversikt (NPÖ) är en tjänst som tillhandahålls av Inera AB på uppdrag av regionerna och kommunerna. Nationell patientöversikt (NPÖ) är den mest använda nationella tjänsten för att ta del av hälsodata från andra vårdgivare. Samtliga regioner, drygt 70 kommuner och knappt 200 privata vårdgivare delar och tar del av information i NPÖ. 67 Tjänsten erbjuds till offentligt finansierade vårdgivare vilket innebär att vårdgivare som endast driver privat finansierad verksamhet saknas. Eftersom det enligt gällande rätt är frivilligt att tillgängliggöra hälsodata för en annan vårdgivare varierar det vilken information som de vårdgivare som använder tjänsten tillgängliggör. Detta gör att informationen om patienten inte blir heltäckande. Den vårdanställde som nyttjar tjänsten kan därför inte vara säker på att den ser all information om patienten inom ramen för de informationsmängder som finns att tillgå. Utöver dessa mekanismer för delning av journaluppgifter tillhandahåller E-hälsomyndigheten en tjänst för åtkomst till de uppgifter som finns i nationella läkemedelslistan kallad Förskrivningskollen. Från den 1 december 2025 ska emellertid behörig hälso- och sjukvårdspersonal hos en vårdgivare kunna se en patients förskrivnings- och uttagsinformation från nationella läkemedelslistan i det ordinarie vårdinformationssystem som används hos vårdgivaren.

Ingen befintlig tillgångstjänst uppfyller EHDS-förordningens krav

Det är Sverige som medlemsstat som har skyldighet att säkerställa att en tillgångstjänst finns enligt de krav EHDS ställer och därmed garanterar att hälso- och sjukvårdspersonal kostnadsfritt kan ta del av de prioriterade kategorierna av hälsodata när de behandlar en patient. Utredningen konstaterar att ingen av de mekanismer eller tjänster för delning som finns idag är tillräcklig för att uppfylla kravet i EHDS-förordningen om att medlemsstaterna ska se till att det finns en tjänst som ger kostnadsfri tillgång till åtminstone de prioriterade kategorierna av hälsodata enligt artikel 14. Den tillgångstjänst som kostnadsfritt tillhandahåller hälsodata är Förskrivningskollen. Ensamt bidrar emellertid inte denna tjänst till

67 Inera. Nationell patientöversikt- NPÖ. Anslutna vårdgivare. URL: NPÖ - Nationell patientöversikt - Inera. Åtkomst 2025-08-19.

172

att EHDS-förordningens krav på kostnadsfri tillgång till de prioriterade kategorierna uppfylls. Inte heller NPÖ som är den tjänst som erbjuder vårdgivare att se uppgifter från alla regionala vårdgivare och många kommuner kan anses bidra till att EHDSförordningens krav är uppfyllda eftersom den inte är tillgänglig för alla. Vidare finns andra aspekter med NPÖ som följer av att den tillhandahålls av Inera AB som är av vikt att beakta i sammanhanget, utredningen återkommer till dessa nedan.

Alternativa sätt att uppfylla EHDS-krav om att tillhandahålla en tillgångstjänst för personal

Sverige som medlemsstat kan uppfylla kravet på att hälso- och sjukvårdspersonal kostnadsfritt får tillgång till relevanta och nödvändiga prioriterade kategorier av elektroniska hälsodata genom att ålägga alla vårdgivare att själv ansvara för att tillhandahålla personalen en sådan tjänst. Ett alternativ är att lägga ansvaret på sjukvårdshuvudmännen (ensamt eller gemensamt med andra huvudmän). Ytterligare ett alternativ är att staten tillhandahåller en tillgångstjänst genom att en myndighet ges i uppdrag att inrätta en sådan tjänst. Om ansvaret för tillgångstjänster skulle fördelas till varje vårdgivare skulle det innebära att ytterligare en resurskrävande uppgift tilldelas vårdgivarna. Beroende på vårdgivarens storlek och tekniska förutsättningar skulle detta vara olika betungande. Det skulle sannolikt vara mer betungande för små organisationer, vilka utgör fler i antal än de stora organisationerna. En stor region, som både är huvudman och vårdgivare, har naturligtvis en helt annan kapacitet än t.ex. en enskild privat vårdcentral att tillhandahålla en tillgångstjänst. Ett ansvar att inrätta en sådan tjänst innebär en kostnad som inte heller kan finansieras genom licensavgifter för hälso- och sjukvårdspersonalen eftersom användningen av tjänsten ska vara kostnadsfri enligt EHDS-förordningen. Utredningen utesluter emellertid inte, men har inte utrett vidare, att en kostnad skulle kunna utgå för att tillhandahålla tjänsten till en vårdgivare som organisation. Även alternativet att ålägga huvudmännen ansvaret

173

skulle innebära olika stor belastning beroende på hur stor respektive region är. En nationell tillgångstjänst ska fungera för alla vårdgivare, privata, kommunala och statliga. Även om hälso- och sjukvården i Sverige huvudsakligen utförs av eller åt regionerna och kommunerna är det inte en obetydlig del som bedrivs av aktörer som inte har någon koppling alls till huvudmännen. Det finns också privata vårdgivare som bedriver verksamhet i flera olika regioner och kommuner vilket kan tänkas komplicera det ytterligare. Det är enligt utredningens uppfattning inte rimligt att huvudmännen har ett obligatoriskt ansvar för en tillgångstjänst där flera av de användande vårdgivarna inte har någon eller enbart begränsad koppling till huvudmännen och deras verksamhet. Det är upp till respektive medlemsstat att säkerställa att en sådan tjänst tillhandahålls gratis för all hälso- och sjukvårdspersonal. Staten har ett övergripande ansvar för att hälso- och sjukvården bedrivs enligt de nationella målen om god hälsa och vård på lika villkor för hela befolkningen. Det kan mot den bakgrunden anses rimligt att staten tar ett tydligt ansvar för att uppfylla kravet om att garantera att all hälso- och sjukvårdpersonal kan få tillgång, även de som inte arbetar för huvudmännen eller de stora privata aktörerna.

Den myndighet regeringen bestämmer ska tillhandahålla en tillgångstjänst för hälso- och sjukvårdspersonal

Det finns enligt utredningen ett antal argument för att staten ska tillhandahålla en sådan tjänst. Hälso- och sjukvården i Sverige är till 86 procent offentligt finansierad. 68 Enligt hälso- och sjukvårdslagen (2017:30) ska regioner och kommuner ansvara för att tillhandahålla en god och säker vård. Ur det perspektivet anser utredningen att det är en rimlig utgångspunkt att det offentliga bör säkerställa att kravet om kostnadsfri tillgångstjänst för all hälso- och sjukvårdspersonal kan uppfyllas. Tillgång till en samlad bild av patientens hälsodata kan vara avgörande för att kunna ge en patientsäker och god vård i en

68 Myndigheten för vård och omsorgsanalys (2023). Sweden Health system review. Health systems in transition 2023.

174

situation av förhöjd beredskap eller fredstida kris. Därför är en tillgångstjänst även viktig ur ett beredskapsperspektiv. I betänkandet SOU 2020:23 69 framhålls att det är viktigt att vården initialt i utvecklingen av teknik tar hänsyn till riskerna ur ett beredskapsperspektiv. Fokus bör ligga på att skapa säkra, robusta system. Uppgifter om patientens hälsa är känsliga personuppgifter som behöver skyddas. Lika viktigt som att skydda informationen är att säkerställa att den är korrekt. Eftersom uppgifter om patienterna ligger till grund för beslut om vård och behandling är informationssäkerhet grundläggande. En tjänst som tillhandahålls av staten omfattas av helt andra krav än en tjänst som tillhandahålls av ett aktiebolag (exempelvis Inera AB eller en privat vårdgivare). Detta framhålls bland annat i 70 betänkandet SOU 2023:13. Gemensamma krav på ett aktiebolag och en statlig myndighet utgörs av att alla leverantörer av samhällsviktiga tjänster och vissa digitala tjänster omfattas av EU:s 71 NIS-direktiv som ställer krav på säkerhet i nätverk och informationssystem samt av EU:s dataskyddsförordning. 72 NISdirektivet har införlivats i den svenska rättsordningen genom lagen (2018:1174) om informationssäkerhet för samhällsviktiga och digitala tjänster med anslutande förordning (2018:1175). Därefter har NIS 2-direktivet antagits. 73 Enligt regeringens förslag ska det nya direktivet genomföras genom att bl.a. de nämnda författningarna upphävs och ersätts med en ny cybersäkerhetslag, som ska träda i kraft vid den 15 januari 2026. 74 Statliga myndigheter omfattas, till skillnad från ett aktiebolag, även av förordning (2015:1052) om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap. Bestämmelserna i förordningen syftar till att statliga myndigheter

69 Delbetänkande av Utredningen om hälso- och sjukvårdens beredskap, Hälso- och sjukvård i det civila försvaret – underlag till försvarspolitisk inriktning (SOU 2020:23), s. 102. 70 SOU 2023:13. Patientöversikter inom EES och Sverige. S. 240. 71 Europaparlamentets och rådets direktiv (EU) 2016/1148 72 Allmänna dataskyddsförordningen (Europaparlamentets och rådets förordning (EU) nr 2016/679). 73 Europaparlamentets och rådets direktiv (EU) 2022/2555 av den 14 december 2022 om åtgärder för en hög gemensam cybersäkerhetsnivå i hela unionen, om ändring av förordning (EU) nr 910/2014 och direktiv (EU) 2018/1972 och om upphävande av direktiv (EU) 2016/1148 (NIS 2-direktivet) 74 Lagrådsremiss, den 12 juni 2025, Ett starkt skydd för nätverks- och informationssystem – en ny cybersäkerhetslag.

175

genom sin verksamhet ska minska sårbarheten i samhället och utveckla en god förmåga att hantera sina uppgifter under fredstida krissituationer samt inför och vid höjd beredskap. Myndigheter omfattas, till skillnad från aktiebolag, även av förvaltningslagen (2017:900). Lagen reglerar hur beslut ska fattas, dokumenteras och motiveras, om objektivitet, tillgänglighet, för kontakter med enskilda, samverkan med andra, handläggning av ärenden med mera. Vidare råder myndigheter under offentlighetsprincipen vilket innebär att allmänheten har rätt till insyn och tillgång till information om dess verksamhet såvida informationen inte omfattas av sekretess. Bestämmelser om sekretess finns framför allt i offentlighets- och sekretesslagen (2009:400), OSL. Sammanfattningsvis ställs krav på en myndighetstjänst som säkerställer såväl robusthet, kontinuitet, informationssäkerhet, transparens och insyn. Motsvarande krav ställs inte på samma sätt hos privata aktörer. Genom att tilldela staten ansvaret för en tillgångstjänst skulle staten också få ta ansvar för den tillkommande kostnaden för utveckling och förvaltning. Det skulle innebära en minskad praktisk och ekonomisk belastning på regioner, kommuner och privata vårdgivare jämfört med alternativet att lägga ansvaret på vården. I E-hälsomyndighetens rapport om genomförandet av en nationell digital infrastruktur uppger myndigheten att det är rimligt att staten tar ansvar för att uppfylla kravet för hälso- och sjukvårdspersonal som inte kan få tillgång till de prioriterade kategorierna genom ett eget system. 75 Ett ökat statligt ansvar för den infrastruktur för hälsodata som alla vårdgivare behöver är i linje med regeringens satsningar som framhålls i Tidöavtalet och budgetpropositionen för 2024. 76 I budgetpropositionen för 2026 har ambitionerna ytterligare tydliggjorts genom att regeringen aviserat att den avser att permanenta medel till E-hälsomyndigheten för att utveckla och tillhandahålla en nationell digital infrastruktur. 77

75 E-hälsomyndigheten (2025). Genomförandet av en nationell digital infrastruktur. Dnr:2024/03223. s.91. 76 Prop. 2023/24:1, Utgiftsområde 9, s. 21 ff. 77 Prop. 2025/26:1, Utgiftsområde 9, s. 42.

176

Det ska införas en ny bestämmelse om att regeringen eller den myndighet regeringen bestämmer ska tillhandahålla en tillgångstjänst för hälso- och sjukvårdspersonal

Mot bakgrund av det anförda föreslår utredningen att en statlig myndighet ska få en författningsreglerad skyldighet att tillhandahålla en tillgångstjänst för hälso- och sjukvårdspersonal. Tjänsten ska tillhandahållas kostnadsfritt.Vid sidan av att en sådan tillgångstjänst bidrar till att hälsodata kan göras elektroniskt tillgängliga i hela vårdkedjan i enlighet med Sverigedemokraternas och regeringens uttalade ambition i Tidöavtalet, innebär en statlig tillgångstjänst för hälso- och sjukvårdspersonal att det säkerställs att Sverige som medlemsstat uppfyller sin skyldighet enligt EHDSförordningen (artikel 12). Den omständigheten att förordningen uppställer detta krav på medlemsstaterna talar för att det författningsreglerade ansvaret för den föreslagna, statliga tillgångstjänsten hålls samman med de ytterligare kompletterande bestämmelser till EHDS-förordningen som utredningen redan nu bedömer vara nödvändiga. Det handlar bl.a. om kraven på medlemsstaterna att utse dels en nationell kontaktpunkt för digital hälsa (artikel 23), dels en eller flera myndigheter för digital hälsa (artikel 19). Sådana bestämmelser har, enligt utredningens preliminära bedömning, ingen naturlig hemvist i någon befintlig författning på hälso- och sjukvårdsområdet. Det är också vanligt att nationella kompletterande bestämmelser till en EUförordning tas in i en för ändamålet särskild kompletteringslag. Som utredningen återkommer till i kapitel 8 ingår det i uppdraget att överväga och lämna förslag om ett statligt ansvar för en nationell infrastruktur som ska bidra till att uppgifter i elektronisk form, som en vårdgivare behandlar för vård av patienter, kan göras tillgängliga för patienter och deras företrädare, samt utbytas mellan vårdgivare. Med anledning av det uppdraget föreslås att en sådan verksamhet ska regleras i en ny lag. Det förslaget skapar förutsättningar för att, i samma lag, fastslå att en statlig myndighet ska ges i ansvar att tillhandahålla den statliga tillgångstjänsten för hälso- och sjukvårdspersonal, och därmed kan utredningen, redan i denna delredovisning, även lämna ett författningsförslag.

177

Det finns dock anledning att framhålla att tillhandahållande av tillgångstjänster, såväl till hälso- och sjukvårdspersonal som patienter, inte är avsedd att vara förbehållet staten (se vidare nedan). Utredningen kommer i sin slutrapport att närmare behandla förutsättningar för andra än staten att tillhandahålla tillgångstjänster enligt EHDS-förordningen och behov av författningsreglering i detta avseende. Det kan föranleda en annan bedömning av i vilken författning ansvaret för den statliga tillgångstjänsten bör regleras.

Författningsförslag

2 kap. 4 § lag om nationell infrastruktur och tjänster för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet .

6.2.2 E-hälsomyndigheten bör ha ansvaret för en nationell tillgångstjänst för hälso- och sjukvårdspersonal

Utredningens bedömning: E-hälsomyndigheten bör ges det författningsreglerade ansvaret att tillhandahålla en nationell tillgångstjänst för hälso- och sjukvårdspersonal. Tillgångstjänsten ska ge hälso- och sjukvårdspersonal tillgång till dels de av EHDSförordningen utpekade prioriterade kategorierna dels de ytterligare uppgifter som behövs för en god och säker vård och ska tillgängliggöras i elektronisk form enbart inom Sverige.

Skälen för utredningens bedömning

Regeringen presenterar i Tidöavtalet sin målsättning om att hälsodata ska vara tillgänglig i hela vårdkedjan med stöd av en nationell digital infrastruktur för vilken staten tar ett större ansvar. Regeringen har på flera sätt pekat ut E-hälsomyndigheten som ansvarig för infrastruktur kopplat till de målsättningar regeringen presenterar i Tidöavtalet. Myndigheten ska enligt sin instruktion samordna regeringens satsningar på e-hälsa och nationell digital infrastruktur. Regeringen har också genom ett flertal regeringsuppdrag och uppdrag i myndighetens regleringsbrev gett E-hälsomyndigheten i uppgift att genomföra en nationell digital

178

infrastruktur för hälso- och sjukvården och förbereda för att Sverige ska genomföra EHDS-förordningen rörande primäranvändning. 78 I den rapport som E-hälsomyndigheten lämnade till regeringen i mars 2025 om genomförandet av den nationella digitala infrastrukturen uppger myndigheten att det är rimligt att staten tar ansvar för att uppfylla kravet avseende hälso- och sjukvårdspersonal som inte kan få tillgång till de prioriterade kategorierna genom system hos den vårdgivare de arbetar för, alternativt i ett enmansföretag, sitt eget system. 79 Vidare föreslås att Ehälsomyndigheten ska utveckla, förvalta och ansvara för en statlig tillgångstjänst för hälso- och sjukvårdspersonal. Tjänsten ska ge tillgång till åtminstone de prioriterade kategorierna från samtliga vårdgivare i Sverige, såväl offentligt finansierade som privata utan offentlig finansiering, och vårdgivare i andra EU- och EES-länder. I budgetpropositionen för 2026 har regeringen aviserat att den kommer att tillföra E-hälsomyndigheten permanenta medel för att utveckla och tillhandahålla en nationell digital infrastruktur samt för att genomföra EHDS. 80 Mot bakgrund av det anförda bedömer utredningen att E-hälsomyndigheten bör ansvara för att tillhandahålla en nationell tillgångstjänst för hälso- och sjukvårdspersonal. Som framgått av det föregående finns det utrymme att införa bestämmelser om ansvaret för den nationella tillgångstjänsten i den av utredningen föreslagna nya lagen om en nationell infrastruktur och tjänster för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet (se vidare kap. 8). I en till lagen anslutande förordning bör därför regleras att E-hälsomyndigheten utses till ansvarig myndighet (se bilaga 3).

Närmare om E-hälsomyndighetens uppgift att tillhandahålla en tillgångstjänst för hälso-och sjukvårdspersonal

Enligt EHDS-förordningens definition är en tillgångstjänst för hälso- och sjukvårdspersonal en tjänst som stöds av ett elektroniskt

78 Regleringsbrev för budgetåret 2025 avseende E-hälsomyndigheten. Villkor för anslag 1:10. Ap.1 Nationell digital infrastruktur. 79 E-hälsomyndigheten (2025). Genomförandet av en nationell digital infrastruktur. Dnr:2024/03223. s.91. 80 Prop. 2025/26:1 Utgiftsområde 9, s. 41 f och s. 66.

179

hälsodokumentationssystem och som gör det möjligt för hälso- och sjukvårdspersonal att få tillgång till hälsodata för de fysiska personer som står under deras behandling (artikel 2.2 i). Av den av utredningen föreslagna nya lagen om nationell infrastruktur och tjänster för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet ska framgå att tillgångstjänsten ska säkerställa att hälso- och sjukvårdspersonal, när de vårdar en patient, har tillgång till relevanta och nödvändiga personuppgifter som behandlas för att bereda patienten vård (dvs. för ändamål som anges 2 kap. 4 § första stycket 1 och 2 PDL). För att möjliggöra att personalen ges tillgång till alla relevanta och nödvändiga elektroniska hälsodata om patienten åläggs vårdgivare, enligt utredningens förslag, att elektroniskt tillgängliggöra sådana data för varandra enligt nya bestämmelser i 6 kap. PDL (avsnitten 5.2–5.5). Det är t.ex. uppgifter om identitet, diagnos, vidtagen eller planerad vård, medicinska varningar och medicintekniska produkter och implantat samt utskrivningsrapporter. För uppgifter om elektroniska recept och föreskrivningar, se avsnitt 6.6). Ansvaret att tillhandahålla en statlig tillgångstjänst för hälso- och sjukvårdspersonal omfattar för den ansvariga myndigheten att ta emot och förmedla (genom att visa upp dem för mottagaren) personuppgifter som vårdgivare behandlar för att bereda patienter vård. Uppgifterna som visas upp i tillgångstjänsten ska tillgängliggöras av vårdgivare för den ansvariga myndigheten (se avsnitt 6.3). Efter inloggning i tillgångstjänsten bereds hälso- och sjukvårdspersonal tillgång till sådana uppgifter som omfattas av den berörda personalens behörighet. Som utredningen återkommer till i kapitel 8 är det i dagsläget inte klarlagt hur frågor om identitet, behörighet och spårbarhet ska ombesörjas inom infrastrukturen för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet. Det gäller även för användning av den föreslagna nationella tillgångstjänsten för hälso- och sjukvårdspersonal. Den nya lagen om nationell infrastruktur och tjänster för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet föreslås innehålla bestämmelser om behandling av personuppgifter i den ansvariga myndighetens verksamhet. Det framgår av föreslagna bestämmelser att den behöriga myndigheten (E-hälsomyndigheten)

180

får behandla personuppgifter, om det är nödvändigt bl.a. för ändamålet att tillhandahålla en tillgångstjänst för hälso- och sjukvårdspersonal. Utlämnande av uppgifter, inbegripet genom den nationella tillgångstjänsten, utgör ett tillåtet ändamål för behandlingen (se avsnitt 9.11). För att möjliggöra att uppgifterna tillgängliggörs i tjänsten föreslår utredningen även en sekretessbrytande regel förs in i offentlighets och sekretesslagen (se avsnitt 10.2).

Utredningen tar i nuläget inte ställning till om och i så fall vilka rättsliga förutsättningar som krävs för att andra ska tillhandahålla tillgångstjänster

E-hälsomyndigheten föreslår i sin rapport 81 att det ska vara möjligt för vårdgivare i Sverige att integrera egna tillgångstjänster för hälsooch sjukvårdspersonal, för att tillgängliggöra hälsodata om en patient utan att använda den statliga tillgångstjänsten. Myndighetens förslag bygger således på att vårdgivarna i första hand bör sträva efter att dela och ta emot hälsodata direkt med varandra. På så sätt kan vårdpersonalen få tillgång till hälsodata direkt i det system de arbetar i. Det förutsätter att mottagande vårdgivare har integrerat en tillgångstjänst i sitt system, som kan hämta och visa upp uppgifter från andra vårdgivare. Ehälsomyndigheten bedömer att delning direkt mellan utlämnande och mottagande vårdgivare utgör ett mindre intrång i patienternas personliga integritet. E-hälsomyndigheten föreslår dock inte att det ska bli obligatoriskt för vårdgivarna att tillhandahålla en sådan tjänst till sin personal utan att det blir frivilligt för dem. Som framgår i avsnitt 5.4. ska åtminstone de prioriterade kategorierna alltid tillgängliggöras enligt det Europeiska formatet oavsett om de tillgängliggörs till andra vårdgivare direkt eller E-hälsomyndigheten. Utgångspunkten för E-hälsomyndigheten är således att vårdgivare ska kunna ha egna tillgångstjänster för att kunna visa upp hälsodata från andra vårdgivare Utredningen instämmer i myndighetens bedömning om att det kan finnas stora fördelar med att hälso- och sjukvårdspersonal kan

81 Genomförandet av en nationell digital infrastruktur för hälso- och sjukvård och EHDS primäranvändning.

181

få tillgång till uppgifterna i de system de arbetar i. Såvitt Utredningen erfarit under utredningsarbetet finns intresse hos vårdgivare att möjliggöra tillgång för hälso- och sjukvårdspersonal inom de system som redan används. Enligt representanter från SKR ska lösningar såsom NPÖ kunna anpassas för att möjliggöra tillgång till elektroniska hälsodata på det sätt som EHDS-förordningen kräver för de anslutna aktörerna. Utredningens bedömning syftar till att säkerställa att Sverige ska kunna uppfylla de krav som ställs i EHDS-förordningen om att den hälso- och sjukvårdspersonal som arbetar inom landet ska kunna ha tillgång till de prioriterade kategorierna av hälsodata kostnadsfritt i en tillgångstjänst. Utredningens förslag är i sig inget hinder mot att andra tillhandahåller sådana tjänster som uppfyller av EHDSförordningen ställda krav på en tillgångstjänst och nationella krav på delning av hälsodata. Utredningen har emellertid inte analyserat om det skulle krävas någon särskild reglering och i så fall vilken för att andra skulle kunna tillhandahålla sådana tjänster och tar därför inte ställning i frågan. Som nämnts avser Utredningen att i sin slutrapport återkomma till frågan om förutsättningar för andra än staten att tillhandahålla tillgångstjänster och behov av författningsreglering för ett sådant tillhandahållande.

6.2.3 Konkurrensrättslig bedömning om förslaget om en statlig tillgångstjänst för hälso- och sjukvårdspersonal

Utredningens bedömning: Syftet med den statliga tillgångstjänsten för hälso- och sjukvårdspersonal är att vara en garant för att uppfylla EHDS-förordningens krav. Utredningens förslag hindrar inte vårdgivare från att ta fram egna tillgångstjänster. Den statliga tillgångstjänsten kan anses utgöra en ekonomisk verksamhet i konkurrenslagens mening men är motiverad av allmänt intresse.

182

Skälen för utredningens bedömning

En ekonomisk säljverksamhet i konkurrenslagens mening

I det fall staten ska tillhandahålla nationella tjänster behöver de konkurrensrättsliga aspekterna beaktas och utredas. Det gäller oavsett om staten bygger nya tjänster eller tar över tjänster som i dag finns hos andra aktörer och oavsett om tjänsten i dag tillhandahålls av någon offentlig aktör på marknaden eller inte. Med säljverksamhet avses verksamhet av ekonomisk eller kommersiell natur. Det behöver inte föreligga något vinstsyfte för att verksamheten ska anses vara en säljverksamhet, utan det avgörande är om verksamheten utövas på en konkurrensutsatt marknad. Även statliga och kommunala organ som driver verksamhet av ekonomisk eller kommersiell natur räknas som företag. En avgränsning till verksamhet av ekonomisk eller kommersiell natur innebär att regeln inte omfattar myndighetsutövning. 82 Av 3 kap. 27 § konkurrenslagen (2008:576) framgår att staten, en kommun eller en region får förbjudas att i en säljverksamhet tillämpa ett visst förfarande om detta snedvrider eller är ägnat att snedvrida förutsättningarna för en effektiv konkurrens på marknaden. Detsamma gäller om förfarandet hämmar eller riskerar att hämma förekomsten eller utvecklingen av sådan konkurrens. Förbud får dock inte meddelas om förfarandet är försvarbart från allmän synpunkt. Av 3 kap. 27 § tredje stycket konkurrenslagen framgår indirekt att staten endast kan meddelas ett förfarandeförbud och inte förbjudas att bedriva säljverksamheten som sådan. Förbud får dock inte meddelas för förfaranden som är försvarbara från allmän synpunkt enligt 3 kap. 27 § andra stycket konkurrenslagen. Huruvida förfarandet kan anses allmänt försvarbart beror på ett antal olika faktorer. Om konkurrenssnedvridande effekter är en direkt eller avsedd verkan av lagstiftning bör de inte omfattas av dessa regler. Begreppet snedvrida avser situationen att konkurrens inte råder på lika villkor, exempelvis om den offentliga aktören behandlar företag olika utan saklig grund

82 Prop. 2008/09:231. S.34

183

eller drar oberättigade fördelar av en myndighetsroll vid sidan av säljverksamheten. Begreppet hämma tar sikte på förfaranden som leder till att privata alternativ faller bort eller att privata aktörer över huvud taget inte träder in på marknaden. Det kan även vara så att de privata företagens tillväxt och utveckling i övrigt hejdas eller på annat sätt hålls tillbaka. 83 Motiv bakom de konkurrenssnedvridande effekterna ska vägas in i bedömningen. Om verksamheten kan motiveras av det allmännas behov av den bör den anses som försvarbar. 84

Den statliga tillgångstjänsten är en garant för att EHDSförordningens krav uppfylls

En statlig tillgångstjänst syftar ytterst till att säkerställa att det finns en sådan tjänst som uppfyller EHDS-förordningens krav och som alla vårdgivare kan erbjuda sin hälso- och sjukvårdspersonal. Utredningens förslag hindrar inte andra vårdgivare från att tillhandahålla en likvärdig tjänst. Tvärtom framhåller både utredningen och E-hälsomyndigheten att det finns fördelar med om vårdgivare kan ta del av den samlade bilden av patientens hälsodata i de system de arbetar i genom att vårdgivaren tillhandahåller en tillgångstjänst. Utredningen har emellertid inte tagit ställning i frågan om huruvida det krävs rättslig reglering för att möjliggöra för andra att tillhandahålla sådana tjänster. Resonemang om konkurrens och en eventuell marknad för likvärdiga tjänster nedan får utgå från hypotesen om att det finns rättsligt stöd och former för det. En statlig tillgångstjänst kommer att utgöra ekonomisk verksamhet i konkurrenslagens mening eftersom den kommer att verka på samma konkurrensutsatta marknad som privata alternativ. Även E-hälsomyndigheten gör i sin rapport från 2025 bedömningen att tillhandahållandet av en statlig tillgångstjänst för personal skulle kunna anses utgöra offentlig säljverksamhet. 85

83 Konkurrensverket, Offentligt privat, Konkurrens i kristider, Analys i korthet (Rapport 2023:5), s. 7 84 Jfr. EFTA-domstolens dom den 17 november 2020 i mål nr E-9/19, Abelia och WTW AS ./. EFTA Surveillance Authority 85 E-hälsomyndigheten (2025). Genomförandet av en nationell digital infrastruktur för hälsodata. Diarienummer: XXx

184

En statlig tillgångstjänst för personal kan i viss utsträckning komma att konkurrera med privata aktörer i den mån dessa önskar tillhandahålla en motsvarande tjänst. Det ska vara kostnadsfritt för hälso- och sjukvårdspersonal att ta del av hälsodata i tjänsten. Utredningen tolkar det som att användningen av tjänsten inte får kosta pengar. Det finns därför inte en möjlighet att ta licenskostnad för personalens användning. Utredningen utesluter som nämnt tidigare inte att det kan vara förenat med kostnader att köpa in tjänsten för vårdgivaren som organisation men har inte kunnat hitta underlag i EHDS-förordningen som tillstyrker eller avstyrker en sådan tes. Likväl kan det för en vårdgivare bidra till bättre arbetsverktyg och en mer tillgänglig informationsöverblick vilket motiverar en sådan utveckling trots att den inte får kosta pengar att använda för personal. Dessa kan tänkas ha andra fördelar, om de tillexempel integreras i befintliga system, än den statliga tjänsten, vilket kan ge ett mervärde till användaren. På detta sätt kan den snedvridning av konkurrens som den statliga tjänsten kan medföra begränsas. Givet rätt förutsättningar kan en ökad konkurrens bidra till utvecklingen på området. I kommittédirektiven till Utredningen om effektiv styrning av nationella digitala tjänster (N 2016:01) framhölls att privat sektors medverkan i utveckling och leverans av digitala tjänster är en nyckelfaktor för tillväxt och innovation samt för att tillvarata teknikens möjligheter. 86 Utredningen ansluter sig till såväl den uppfattningen som till den att ett positivt samspel mellan offentlig och privat sektor kan bidra till förnyelse i offentlig verksamhet och samtidigt leda till innovation och internationell konkurrenskraft i näringslivet.

Den statliga tillgångstjänsten kan anses vara en säljverksamhet men är motiverad av allmänna intressen

Utredningen konstaterar ovan att den tillgångstjänst som Ehälsomyndigheten föreslås tillhandahålla kan antas vara säljverksamhet. En sådan är tillåten om den är motiverad av allmänt intresse. Det följer av EHDS-förordningen att Sverige ska

86 Dir. 2016:39

185

säkerställa att det finns tillgångstjänst. I skäl 19 i förordningen anges: Att tillhandahålla tjänster för tillgång för hälso- och sjukvårdspersonal är en uppgift av allmänt intresse som tilldelas genom den här förordningen, och utförandet av en sådan uppgift kräver behandling av personuppgifter i den mening som avses i artikel 6.1 e i förordning (EU) 2016/679.

Tjänsten får mot bakgrund av ovanstående skrivning i EHDSförordningen anses vara en uppgift av allmänt intresse. Som utredningen anför ovan finns det övervägande skäl som talar för att en statlig tillgångstjänst ska inrättas. Det är utredningens bedömning att den konkurrenssnedvridning som skulle kunna uppkomma är försvarbar givet det allmänna intresse som ombesörjs genom tillgång till tjänsten och därmed tillgång till prioriterade kategorier av hälsodata säkras för all hälso- och sjukvårdspersonal. Mot bakgrund av vad som redogjorts för ovan är utredningens bedömning att en statlig tillgångstjänst kommer att utgöra ekonomisk verksamhet i konkurrenslagens mening eftersom den kommer att verka på samma konkurrensutsatta marknad som de privata alternativen men att den är försvarbar då uppgiften är av allmänt intresse.

6.3 Vårdgivare ska ge E-hälsomyndigheten tillgång till elektroniska hälsodata

Utredningens förslag: Det ska införas en ny bestämmelse i patientdatalagen om att vårdgivare på begäran ska tillgängliggöra dels de prioriterade kategorierna av elektroniska hälsodata enligt artikel 14 i EHDS-förordningen, dels de ytterligare uppgifter som behövs för en god och säker vård och ska tillgängliggöras i elektronisk form enbart inom Sverige. Uppgifterna ska tillgängliggöras för den myndighet som ska ansvara för att tillhandahålla en statlig tillgångstjänst för hälsooch sjukvårdspersonal enligt den föreslagna nya lagen om en nationell infrastruktur och tjänster för elektroniskt informa-

186

tionsutbyte inom hälso- och sjukvården. Uppgifterna ska, under samma förutsättningar, tillgängliggöras även för den nationella kontaktpunkten för digital hälsa.

Skälen för utredningens förslag

Utredningen har föreslagit att E-hälsomyndigheten ska tillhandahålla den statliga tillgångstjänsten för hälso- och sjukvårdspersonal som regleras i artikel 12 EHDS-förordningen. För att E-hälsomyndigheten ska kunna tillhandahålla denna tjänst måste myndigheten dels ha i uppdrag att utföra den, dels få övriga rättsliga förutsättningar som krävs för att få behandla nödvändiga personuppgifter. Personuppgiftsbehandlingen redogörs närmare för i kapitel 9. Förutom de rättsliga förutsättningarna att kunna tillhandahålla tjänsten måste myndigheten även kunna få tillgång till den hälsodata som ska förmedlas till hälso- och sjukvårdspersonal genom tillgångstjänsten. Utredningen bedömer att vårdgivare måste åläggas en skyldighet att vid förfrågan utlämna prioriterade kategorier av hälsodata till E-hälsomyndigheten, så att dessa kan förmedlas till den hälso- och sjukvårdspersonal som eftersöker den i tillgångstjänsten. Uppgifterna ska lämnas ut till E-hälsomyndigheten för att möjliggöra myndighetens förmedling av uppgifterna till den hälsooch sjukvårdspersonal som använder sig av den tillgångstjänst som myndigheten kommer att tillhandahålla. Avsikten med tillgångstjänsten är att kunna förmedla hälsodata momentant till den personal som bereder sig tillgång till uppgifterna. Avsikten är således inte att E-hälsomyndigheten ska lagra hälsodata under någon längre tid eller i övrigt behandla den för några andra ändamål än att tillgängliggöra den genom tillgångstjänsten. En patient har vissa rättigheter att motsätta sig tillgång och att begränsa tillgång till hälsodata enligt artikel 8 och 10 i EHDS. Vårdgivares åtkomst till varandras information kan således begränsas genom patientens rättigheter att begränsa tillgång. Skyldigheten för vårdgivare att ge E-hälsomyndigheten tillgång till de prioriterade kategorierna av hälsodata för att dessa ska kunna förmedlas till hälso- och sjukvårdspersonal genom tillgångstjänster

187

måste begränsas på motsvarande sätt så att patientens rättigheter får genomslag även när tillgångstjänsten används för tillgång. Utredningen återkommer till frågan om rättigheten att motsätta sig tillgång i kapitel 7. Enligt 25 kap. 1 § OSL, omfattas uppgifter om enskilds hälsotillstånd eller andra personliga förhållanden av sekretess hos offentliga vårdgivare om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men. Sekretess hindrar dock inte att en uppgift lämnas till en annan myndighet, om uppgiftsskyldighet följer av lag eller förordning (10 kap. 28 § OSL). Motsvarande regel om tystnadsplikt och undantag från tystnadsplikten för privata vårdgivare finns i 6 kap. 12 § patientsäkerhetslagen. Genom att införa en lagreglerad uppgiftsskyldighet i PDL behöver utlämnandet av de uppgifter som omfattas av skyldigheten inte prövas mot regler om sekretess eller tystnadsplikt. På så sätt möjliggörs flödet av hälsodata till tillgångstjänsten. Bestämmelsen medför vidare att den behandling som utlämnandet utgör blir ett tillåtet ändamål även enligt 2 kap. 5 § PDL vari det framgår att uppgifterna får behandlas för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Utredningen föreslår att E-hälsomyndigheten ges tillgång till samtliga uppgifter som omfattas av bestämmelserna i 6 kap. 3 - 5 §§ PDL för att kunna fullgöra sina uppgifter med att tillhandahålla en tillgångstjänst. Sammanfattningsvis föreslår utredningen att en bestämmelse förs in i det nya 6 kap. PDL om att vårdgivare på begäran ska utlämna uppgifter till den ansvariga myndigheten enligt den föreslagna lagen (202X:00) om nationell infrastruktur och tjänster för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet. E-hälsomyndigheten ska i sin tur tillgängliggöra motsvarande uppgifter till andra vårdgivare för elektroniskt informationsutbyte inom hälso- och sjukvården. Bestämmelsen innebär således att en vårdgivare, på begäran, ska tillgängliggöra de personuppgifter som behandlas för vård av patienten och som omfattas av de i lagen angivna kategorierna av hälsodata. Tillgängliggörandet av uppgifterna till den ansvariga myndigheten och den nationella kontaktpunkten för digital hälsa ska ske under samma

188

förutsättningar som gäller för tillgängliggörande av sådana uppgifter mellan vårdgivare. Bestämmelsen ger även stöd för uppgiftsutlämnande av de prioriterade kategorierna till den nationella kontaktpunkten för digital hälsa, vilket säkerställer att uppgifterna kan förmedlas för gränsöverskridande elektroniskt informationsutbyte enligt kraven i EHDS-förordningen. Regleringen av den svenska nationella kontaktpunkten ska införas i en ny lag med kompletterande bestämmelser till EHDS. Utredningen återkommer med förslag om sådan kompletterande nationell lagstiftning i sin slutredovisning.

Författningsförslag

6 kap. 8 § PDL

6.4 Villkor för tillgång inom en vårdgivare och vid utbyte av hälsodata mellan vårdgivare

6.4.1 Bestämmelser om hälso- och sjukvårdspersonalens tillgång till uppgifter om en patient samlas i 4 kapitlet patientdatalagen

Befintliga bestämmelser som rör hälso- och sjukvårdspersonalens åtkomst till hälsodata finns i olika lagar beroende på om åtkomsten avser uppgifter som finns hos samma vårdgivare (4 kap. 1 § PDL) eller om åtkomsten ges genom sammanhållen vård- och omsorgsdokumentation (3 kap. 1 § SVOD). När det gäller behörighetsstyrning och logguppföljning tillämpas bestämmelserna i 4 kap. 2 och 3 §§ PDL av den vårdgivare som den anställde arbetar för, även avseende tillgången till uppgifter som görs åtkomliga av andra vårdgivare genom sammanhållen vård- och omsorgsdokumentation (se vidare avsnitt 6.7). Utredningen föreslår nya bestämmelser om obligatorisk och frivillig delning av elektroniska hälsodata mellan vårdgivare, se avsnitten 5.2–5.4. De nya bestämmelserna om vårdgivares delning av hälsodata införs i ett nytt 6 kap. i PDL. Utredningen föreslår som en

189

följd av detta att regleringen avseende sammanhållen vård- och omsorgsdokumentation som rör tillgängliggörande av och tillgång till vårddokumentation enbart vårdgivare emellan, utmönstras ur SVOD. Till följd av detta kommer den lagen endast att omfatta frivilligt tillgängliggörande av dokumentation mellan omsorgsgivare och mellan omsorgsgivare och vårdgivare, se avsnitt 5.10. När det gäller regleringen av hälso- och sjukvårdspersonals tillgång till sådana uppgifter som ska tillgängliggöras enligt de nya bestämmelserna i 6 kap. PDL, anser utredningen att de bör finnas kvar i 4 kap. PDL. Detta kapitel innehåller redan i dag grundläggande bestämmelser om hälso- och sjukvårdspersonals tillgång till uppgifter om patienter och om elektronisk åtkomst inom en vårdgivares verksamhet. För att förenkla tillämpningen anser utredningen att bestämmelserna om tillgång till uppgifter ska vara så lika som möjligt, oavsett om tillgången avser uppgifter inom en vårdgivares verksamhet eller uppgifter som tillgängliggjorts av andra vårdgivare. I det följande redogör utredningen först för de förslag till förändringar i PDL som krävs för att åstadkomma harmonisering av reglerna och tydlighet av vad som gäller vid åtkomst till hälsodata (avsnitt 6.4.2). Därefter redovisas bakgrunden till reglerna om och bedömningen av det nu gällande kravet på samtycke (avsnitt 6.4.3).

6.4.2 Villkor för tillgång inom en vårdgivare och vid utbyte av hälsodata mellan vårdgivare

Utredningens förslag: Befintlig bestämmelse i 4 kap. 1 § patientdatalagen som anger under vilka villkor hälso- och sjukvårdspersonal ska få tillgång till uppgifter om en patient förtydligas och kompletteras. Liksom tidigare ska den som arbetar hos en vårdgivare få ta del av dokumenterade uppgifter om en patient endast om han eller hon deltar i vården av patienten. Det ska genom ett tillägg i bestämmelsen även framgå att uppgifterna ska vara relevanta och nödvändiga för patientens vård. Av ett nytt andra stycke i paragrafen ska framgå att förutsättningarna för tillgång till uppgifter för hälso- och sjukvårdspersonal, som deltar i vården

190

av en patient, även ska gälla sådana uppgifter som tillgängliggörs av andra vårdgivare än den hos vilken personalen är anställd. Vidare ska den som arbetar hos en vårdgivare, i likhet med vad som redan gäller, få tillgång till uppgifter inom den egna vårdgivaren som, av annat skäl behövs för att arbete inom hälsooch sjukvården ska kunna utföras. Befintlig kapitelrubrik och paragrafrubrik ändras på så sätt att uttrycket inre sekretess utmönstras och uttrycket elektronisk åtkomst ersätts med elektronisk tillgång.

Skälen för utredningens förslag

EHDS-förordningen kräver att hälso- och sjukvårdspersonalen har tillgång till hälsodata

Hälso- och sjukvårdspersonal ska, när de behandlar data i elektroniskt format, ha tillgång till relevanta och nödvändiga elektroniska hälsodata med personuppgifter för fysiska personer som står under deras behandling (artikel 11 i EHDS-förordningen). Tillgången till uppgifter ska inbegripa åtminstone de prioriterade kategorierna av hälsodata enligt artikel 14 i förordningen.

Nationella regler innefattar vissa villkor för åtkomst till hälsodata

Som redan framgått är villkoren för hälso- och sjukvårdspersonalens åtkomst till hälsodata reglerade i olika lagar beroende på om åtkomsten avser uppgifter som finns hos samma vårdgivare (4 kap. 1 § PDL) eller om åtkomsten har möjliggjorts genom sammanhållen vård och omsorgsdokumentation (3 kap. 1 § SVOD). När det gäller åtkomst till uppgifter inom en vårdgivare gäller att den som arbetar hos en vårdgivare får ta del av dokumenterade uppgifter om en patient endast om han eller hon deltar i vården av patienten eller av annat skäl behöver uppgifterna för sitt arbete inom hälso- och sjukvården.

191

I SVOD är rätten till åtkomst reglerad på vårdgivarnivå, dvs. bestämmelsen uttrycker vilka uppgifter vårdgivaren får bereda sig åtkomst till. När det gäller åtkomst till uppgifter som tillgängliggjorts av en annan vårdgivare gäller enligt 3 kap. 1 § SVOD tre villkor för åtkomst till uppgifterna: 1. uppgifterna rör en patient som det finns en aktuell patientrelation med, 2. patienten samtycker till det, och 3. uppgifterna kan antas ha betydelse för att inom hälso- och sjukvården förebygga, utreda eller behandla sjukdomar och skador hos patienten, utföra insatser enligt lagen (2019:1297) om koordineringsinsatser för sjukskrivna patienter eller bedöma behovet av sådana insatser.

Vårdgivaren får även behandla sådana uppgifter om uppgifterna rör en patient som det finns eller har funnits en patientrelation med och uppgifterna kan antas ha betydelse för att utfärda ett intyg. Vid behandling av uppgifter om barn gäller inte kraven på samtycke. I förarbetena till den ursprungliga bestämmelsen om krav på samtycke (6 kap. 3 § första stycket 3 PDL) anges att det ska vara ett sådant samtycke som avses i personuppgiftslagen (1998:204) dvs frivilligt, särskilt och otvetydigt. 87 Numera ska den enskildes samtycke uppfylla de krav som följer av EU:s dataskyddsförordning i stället för de krav som uppställdes i den tidigare personuppgiftslagen.

En ny bestämmelse om tillgång till uppgifter mellan vårdgivare som är anpassad till EHDS-förordningen föreslås

Utredningen anser att de nya reglerna för tillgängliggörande av uppgifter om en patient ska kombineras med förtydligade och kompletterade bestämmelser för åtkomst som är anpassade till förutsättningarna som slås fast i EHDS-förordningen, bl.a. att hälsooch sjukvårdspersonal ska ha tillgång till relevanta och nödvändiga

88 Prop. 2007/08:126, s. 115 ff.

192

elektroniska hälsodata med personuppgifter för fysiska personer som står under deras behandling. Det villkor om samtycke för åtkomst som gäller enligt SVOD kan inte anses förenligt med förordningens krav, och bör därför inte utgöra en förutsättning för hälso- och sjukvårdspersonalens tillgång till uppgifter. Utredningens överväganden om nuvarande krav på samtycke finns i avsnitt 6.4.3. Utredningen föreslår att den befintliga bestämmelsen i 4 kap. 1 § PDL ska förtydligas och kompletteras genom att villkoren för hälsooch sjukvårdspersonalens tillgång till hälsodata samordnas så att den avser uppgifter såväl inom vårdgivarens verksamhet som andra vårdgivares. Bestämmelsen ska också förtydligas i enlighet med utformningen av artikel 11, om hälso- och sjukvårdspersonals tillgång till elektroniska hälsodata med personuppgifter. Utredningen föreslår således att den som arbetar hos en vårdgivare endast får ta del av dokumenterade uppgifter om en patient hos vårdgivaren om han eller hon deltar i vården av patienten och uppgifterna är relevanta och nödvändiga för patientens vård. Till skillnad från tidigare ska sådan tillgång till uppgifter omfatta även uppgifter som tillgängliggörs av andra vårdgivare än den hos vilken hälso- och sjukvårdspersonalen är anställd. Detta ska uttryckligen framgå av ett nytt andra stycke till 4 kap. 1 §. I likhet med vad som gäller idag ska personal alltjämt få tillgång till dokumenterade uppgifter om en patient inom den egna vårdgivaren, om dessa av annat skäl behövs för att personalen i fråga ska kunna utföra sitt arbete inom hälso- och sjukvården. Tillgång till hälsodata som tillgängliggjorts av en annan vårdgivare ska vara tillåten endast om hälso- och sjukvårdspersonalen deltar i vården av patienten och om uppgifterna är relevanta och nödvändiga för patientens vård. Denna åtkomst får endast ges om personen deltar i vården av patienten enligt punkt 1. Utöver ovanstående ändras även befintlig kapitelrubrik och paragrafrubrik på så sätt att uttrycket inre sekretess utmönstras och uttrycket elektronisk åtkomst ersätts med elektronisk tillgång anpassas. Förslaget utgår från det uttryckssätt som används i EHDSförordningen, vilket innebär att begreppet åtkomst ersätts med tillgång.

193

Förutsättningarna för tillgång ska vara desamma för all hälsodata som dokumenteras i patientjournalen

Kraven i EHDS-förordningen om att all hälsodata ska vara tillgänglig för vårdens anställda i samband med vårdåtagande gäller endast de kategorier av hälsodata som är definierade som prioriterade i EHDS-förordningen. Den nationella regleringen av sammanhållen vård och omsorgsdokumentation skulle därför kunna kvarstå i sin helhet vad avser de hälsodatamängder som faller utanför de prioriterade kategorierna och nationella kategorierna. Detta skulle dock innebära en situation där olika informationsmängder skulle vara åtkomliga för vården under helt olika förutsättningar, trots att det integritetsmässigt inte är någon skillnad. Skyddsvärdet för dessa uppgifter är naturligtvis detsamma. Det blir dock svårt att motivera varför det exempelvis skulle krävas samtycke för åtkomst till vissa informationsmängder som till exempel journalanteckningar kring ett vårdbesök medan de diagnoser som har ställts efter vårdbesöket inte skulle kräva något samtycke. Det skulle också bli svårt för hälso- och sjukvårdspersonal och vårdgivare att tillämpa bestämmelser som är olika för olika informationsmängder. Det är utredningens uppfattning att det är rimligt att de villkor för tillgång som utredningen förslår ska vara desamma oavsett vilken informationsmängd som avses. En annan ordning skulle vara svår för vårdpersonal att ta till sig. Distinktionen skulle vara svårförklarad och inte leda till någon egentligt högre integritetsskydd eftersom de uppgifter som kräver samtycke inte nödvändigtvis avslöjar mer integritetskänslig information än de uppgifter som inte kräver samtycke. Utredningen föreslår sammanfattningsvis att villkoren för hälsooch sjukvårdspersonalens tillgång till hälsodata som föreslås i 4 kap. 1 § PDL inte enbart ska avse de prioriterade kategorierna av hälsodata utan gälla för samtliga uppgifter som dokumenteras i patientjournalen.

Författningsförslag

4 kap. 1 § PDL

194

6.4.3 Samtycke ska inte längre vara ett villkor för hälso- och sjukvårdspersonalens tillgång till hälsodata i patientjournalen

Utredningens bedömning: Ett villkor för åtkomst till hälsodata som innefattar krav på samtycke från patienten är inte förenligt med EHDS-förordningen. Något sådant villkor förs därför inte in i den nya bestämmelsen om villkor för hälso- och sjukvårdens åtkomst i 4 kap. 1§ patientdatalagen.

Skälen för utredningens bedömning

Samtycke som villkor för åtkomst

Kravet på samtycke för vårdgivares åtkomst till personuppgifter om en patient som tillgängliggjorts av andra vårdgivare, infördes genom den nya patientdatalagen år 2008. Det framhölls i propositionen till lagen att det främsta skälet till att möjliggöra sammanhållen journalföring var den stora nyttopotentialen för den enskilde patienten som en sådan journal skulle innebära. För att uppnå potentialen bedömde regeringen att det var angeläget att patienter inte ”för säkerhets skull” skulle motsätta sig (spärra) att uppgifter gjordes tillgängliga i det sammanhållna journalföringssystemet. Ett sådant beteende bedömdes kunna motverkas om den enskilde patienten fick ett inflytande även i det senare skedet när någon extern vårdgivare faktiskt tog del av uppgifterna. Därför infördes ett krav på samtycke från patienten som förutsättning för varje åtkomst 88 genom sammanhållen journalföring. Det var således inte primärt de integritetsskyddande skälen som var bakgrunden till regeringens förslag, även om dessa också berördes, utan bedömningen om att det utan den ytterligare säkerhetsåtgärden fanns en risk för att patienter i stor utsträckning skulle använda sig av sin möjlighet att motsätta sig att uppgifterna gjordes tillgängliga för sammanhållen journalföring.

88 Prop. 2007/08:126, s. 115 ff.

195

Regleringen i PDL var en omfattande förändring av det tidigare regelverket och som för första gången möjliggjorde elektronisk åtkomst till hälsodata över sekretessgränser mellan olika organisationer. Lagstiftningen härstammar från en tid då digitaliseringen inte hade kommit särskilt långt och fortfarande främst innebar en digital version av redan förekommande dokumentation i pappersformat. Idag återfinns digitalisering i alla delar av samhället och innebär något mer än enbart digitalisering av tidigare pappersburen information. Data bearbetas i större utsträckning genom maskin- till maskinkommunikation i olika skeden av vårdåtagandet. Tillgången och möjligheten till automatisering, kliniska beslutsstöd och maskininlärning innebär i många fall fortfarande ett behov av åtkomst till information i samband med vården av en patient, men däremot i helt andra situationer än där patienten är på fysisk plats för ett vårdbesök med hälso- och sjukvårdspersonal.

Samtyckeskravet i PDL har varit omdiskuterat

Samtyckeskravet i PDL har under de senaste 15 åren diskuterats och utretts av flera statliga utredningar. Privatisering av den offentligfinansierade sjukvården i kombination med samtyckeskravet skapade en betydande skillnad avseende tillgång till journalinformation mellan de regioner som till största delen består av offentliga vårdgivare och de regioner där det finns ett stort utbud av både offentliga och privata men offentligt finansierade vårdgivare, det vill säga ett större antal vårdgivargränser. Möjligheten till informationsåtkomst i de fall där det saknas samtycke från patient ser då helt olika ut i olika regioner trots att det gäller samma typ av information. Även Riksrevisionen uppmärksammade redan 2011 denna diskrepans i sin granskning av de statliga insatserna för att vårdpersonal ska ha tillgång till all relevant patientinformation vid rätt tillfälle. Riksrevisionen konstaterade att det är enklare att få elektronisk tillgång till patientinformation i landsting (regioner) med få privata utförare och därmed färre organisationsgränser. Riksrevisionen rekommenderade regeringen att analysera de konsekvenser som det ökande antalet

196

privata vårdgivare får för målet att behörig personal ska ha rätt information vid rätt tillfälle och överväga om det behövs någon ytterligare lagreglering. 89 Den statliga utredningen Rätt information i vård och omsorg hade mot bakgrund av en upplevd osäkerhet i tillämpningen av PDL i uppdrag att analysera vari tillämpningsproblemen låg och hur dessa skulle lösas. Utredningen föreslog att samtyckeskravet i samband med sammanhållen journalföring skulle tas bort. 90 Förslaget motiverades med att patientens samtycke är en grundläggande förutsättning för att vårda en patient, och att det därför är rimligt att utgå från att patienten även samtycker till den informationshantering som behövs för att få bästa möjliga vård. Om detta är förutsättningen för hälso- och sjukvårdspersonalens åtkomst inom den egna verksamheten är det irrationellt att göra en annan bedömning endast för att informationen behöver hämtas från en annan vårdgivare. Särskilt som det i olika regioner kunde se olika ut beroende på om det var flera vårdgivare inblandade i vården. Utredningens förslag genomfördes inte. Framför allt Integritetskyddsmyndigheten (dåvarande Datainspektionen) var kritisk till förslaget. I ett särskilt yttrande till utredningen anförde Datainspektionens expert i utredningen att förslagen kunde leda en obefogad och okontrollerad spridning av hälsodata bland annat mot bakgrund att vårdgivarna inte lever upp till bestämmelserna om behörighetsstyrning och åtkomstkontroll. 91 Myndigheten var även i sitt remissvar mycket kritisk och avstyrkte utredningens förslag. Det har i SOU 2014:23 redogjorts för att det finns utbredda tillämpningsproblem med PDL. 92 Förhållandet verkar inte ha förändrats över tid utan är alltjämt en utbredd uppfattning. Flera regioner framhöll i en skrivelse till regeringen 2019 att kravet på patientens samtycke medfört tillämpningsproblem och generella problem när det gäller digitalisering av hälso- och sjukvården. 93 I en rapport från SKR år 2022 föreslogs att samtycke skulle omvärderas vad gäller överföring av hälsodata mellan vårdgivare för att

89 Rätt information vid rätt tillfälle inom vård och omsorg – samverkan utan verkan? RiR 2011:9, s. 45 och 69 ff. 90 SOU 2014:23, s.376. 91 SOU 2014:23, s 1219 ff 92 SOU 2014:23, s. 116 ff. 93 Skrivelse till Socialdepartementet från regionernas chefsjurister 2019-06-13, Vi behöver en modern lagstiftning för patientuppgifter, Regeringskansliets dnr. S2019/02788

197

möjliggöra så kallad populationshälsa. 94 År 2023 föreslog en statlig utredning att ett samordnat juridiskt stöd skulle tas fram för bland annat vägledning inom hälso- och sjukvården vad gällde 95 digitaliseringsfrågor. Även i lagstiftningsärendet för systemet med en sammanhållen vård- och omsorgsdokumentation (SVOD) behandlades frågan om samtyckeskravet. Kravet på samtycke kunde, enligt flera remissinstanser, uppfattas som onödigt eftersom det finns en annan rättslig grund än samtycke för informationsutbytet utifrån ett dataskyddsperspektiv. Regeringen konstaterade dock att det är angeläget att patientens och omsorgsmottagarens förtroende för hälso- och sjukvården och socialtjänsten inte skadas. Ett krav på samtycke bedömdes därför vara nödvändigt för att säkerställa patientens och omsorgsmottagarens delaktighet i, och förtroende för vården och omsorgen. Genom att patienten eller omsorgsmottagaren själv kan kontrollera spridningen av sina personuppgifter sätts han eller hon i centrum för informationshanteringen. Regeringen delade därför inte remissinstansernas synpunkter om att möjligheten att kunna begära att uppgifter spärras skulle vara en tillräcklig integritetsstärkande åtgärd och samtyckeskravet togs inte heller bort. 96

Krav på samtycke är inte förenligt med EHDS-förordningens krav

Hälso- och sjukvårdpersonal ska enligt EHDS-förordningen ha tillgång till relevanta och nödvändiga elektroniska hälsodata med personuppgifter för fysiska personer som står under deras behandling när de behandlar data i elektroniskt format. Medlemsstaterna ska säkerställa att hälso- och sjukvårdspersonal får tillgång till de prioriterade kategorierna av hälsodata genom tjänster för tillgång för hälso- och sjukvårdspersonal. EHDS-förordningen möjliggör begränsningar till denna åtkomst genom artikel 8 (patients rättighet att begränsa åtkomst, s.k. spärr) och artikel 10 (patients rättighet till att motsätta sig tillgång, s.k. opt-out).

94 Digitala möjligheter som stöd i den nära vården, SKR, 2022-05-13, sid 63 95 SOU 2023:83, Samordnat juridiskt stöd och vägledning för hälso- och sjukvårdens digitalisering. 96 prop. 2021/22:177, sid 114.

198

Förutom dessa patientinitierade begränsningar finns i art 11.3 en skyldighet för medlemsstaterna att fastställa regler för de kategorier av hälsodata som ska vara tillgängliga för olika kategorier av hälsooch sjukvårdspersonal eller olika hälso- och sjukvårdsuppdrag. Medlemsstaterna får även enligt artikel 11 föreskriva ytterligare skyddsåtgärder. Utöver ovanstående återfinns inga begränsningar vad gäller vårdens åtkomst till hälsodata reglerad i EHDS-förordningen. Det finns med andra ord i förordningen inget krav på att patienten först ska samtycka till att åtkomsten får användas. Tvärtom utgår förordningen ifrån att information ska finnas tillgänglig utan aktiv åtgärd från patienten. En patient kan dock påverka spridningen genom rätten till begränsning av åtkomst och rätten att helt motsätta sig delning. Frågan är om det svenska regelverket för sammanhållen vård- och omsorgsdokumentation med ett villkor om samtycke för åtkomst, är förenligt med EHDS-förordningens bestämmelser. Det skulle kunna hävdas att förekomsten av ett krav om samtycke är en integritetshöjande åtgärd som införts för att säkerställa att någon otillåten åtkomst till patientens uppgifter inte förekommer utan patientens kännedom. En sådan integritetshöjande åtgärd skulle kunna vara ett led för den personuppgiftsansvarige för att uppfylla artikel 24 i EU:s dataskyddsförordning. Enligt denna bestämmelse ska den ansvarige med beaktande av behandlingens art, omfattning, sammanhang och ändamål samt risker, ska genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen utförs i enlighet dataskyddsförordningen. I en sådan kontext skulle en organisatorisk åtgärd i form av den enskildes medgivande då kunna utgöra en lämplig åtgärd för just detta. Det framgår särskilt i skäl nr 19 (EHDS-förordningen) att genom förordningen tillhandahålls villkor och skyddsåtgärder för behandling av elektroniska hälsodata i samband med tjänster för tillgång för hälso- och sjukvårdspersonal i enlighet med artikel 9.2 h i förordning (EU) 2016/679. Detta talar för att EHDS-förordningen tagits fram med beaktande av de avvägningar som ska göras enligt EU:s dataskyddsförordning både avseende rättsliga grunder för behandlingen av personuppgifter och behov av särskilda skyddsåtgärder för dessa. Det är därför utredningens bedömning att

199

det primärt är de skyddsåtgärder som särskilt reglerats i EHDSförordningen som ska nyttjas av medlemsstaten vid tillämpningen av förordningen. Andra mer särskilda eller specifika skyddsåtgärder som förekommer i nationell lagstiftning och skapar hinder för EHDS-förordningens intention om tillgång är enligt utredningens bedömning inte förenliga med medlemsstatens skyldighet att tillämpa förordningen som nationell lag.

Samtycke ska inte vara ett krav för åtkomst enligt det nya regelverk för utbyte av hälsodata som utredningen föreslår

Vid bedömningen av hur ett ändamålsenligt integritetsskydd bör utformas kan E-hälsokommitténs resonemang beaktats. E-hälsokommittén understryker i sitt betänkande att ett ändamålsenligt integritetsskydd också måste utformas utifrån 97 behovet av god och säker hälso- och sjukvård. Utredningen anser i likhet med kommittén att det inte är en fråga om antingen tillgodose integritet eller tillgång till information, utan snarare om hur integritetsskyddet, med beaktande av 2 kap, 21 § RF, bör utformas för att ge så goda förutsättningar som möjligt att bedriva en verksamhet av hög kvalitet som ständigt utvecklas och förbättras. Det handlar därför enligt utredningens uppfattning om att konstruera och upprätthålla ett integritetsskydd som faktiskt bidrar till att skydda och stimulera en god hälso- och sjukvård, vilket också är ett krav från lagstiftaren. Sveriges nationella krav om samtycke vid varje åtkomsttillfälle får enligt utredningens bedömning anses utgöra en sådan ytterligare skyddsåtgärd som går utöver de skyddsåtgärder som EHDSförordningen specificerat. Det saknas vidare bestämmelser i EU:s dataskyddsförordning som mer specifikt anger att samtycke ska användas som en säkerhetsåtgärd. Däremot finns EU:s dataskyddsförordnings krav om att varje behandling av personuppgifter ska skyddas utifrån den risk som uppstår vid behandlingen och att varje behandling ska vara proportionerlig till behovet. Möjligheten för medlemsstaterna att införa bestämmelser om att en enskild kan motsätta sig tillgång (opt-out) och därmed

97 SOU 2015:32, Nästa fas i e-hälsoarbetet, sid 163 ff

200

helt stå utanför utbytet av hälsodata samt övriga rättigheter för patienter att begränsa tillgång enligt EHDS-förordningen innebär enligt utredningens mening att det finns tydliga och effektiva skyddsåtgärder för de individer som så önskar det. Villkoren för hälso- och sjukvårdspersonalens tillgång till elektroniska hälsodata som har tillgängliggjorts av en annan vårdgivare måste överensstämma med EHDS-förordningens bestämmelser om att hälso- och sjukvårdspersonal ska ha tillgång till relevanta och nödvändiga elektroniska hälsodata med personuppgifter för fysiska personer som står under deras behandling. Sammanfattningsvis anser utredningen att ett krav på samtycke från en patient innan hälso- och sjukvårdspersonalen ges tillgång till hälsodata inte är förenligt med EHDS-förordningens bestämmelser i artikel 11.1 och 12. Utredningens förslag om regler för tillgång till hälsodata, som redovisas i avsnitt 6.4.2 ska och kan därför inte innefatta något sådant krav. Reglerna i SVOD om informationsutbyte inom omsorgen och mellan vårdgivare och omsorgsgivare omfattas inte av EHDS-förordningens krav och kvarstår därför oförändrade avseende samtycke.

6.4.4 Behörighetsstyrning vid elektronisk tillgång till hälsodata

Utredningens bedömning och förslag: Nuvarande nationella bestämmelser i patientdatalagen om att en vårdgivare ska bestämma villkor för tilldelning av behörighet för tillgång som förs helt eller delvis automatiserat, ska kvarstå men mindre justeringar av begrepp ska ske.

201

Skälen för utredningens bedömning och förslag

EHDS-förordningen kräver nationell reglering som begränsar hälsooch sjukvårdspersonals tillgång till hälsodata

Av artikel 11 i EHDS-förordningen framgår att hälso- och sjukvårdspersonal i samband med vård av en patient ska ha tillgång till åtminstone de prioriterade kategorierna av elektroniska hälsodata. Medlemsstaterna ska emellertid fastställa regler om vilka uppgifter som ska vara tillgängliga för vem. Som även anges i tidigare avsnitt framgår av artikel 11.3 andra stycket: I enlighet med de principer som anges i artikel 5 i förordning (EU) 2016/679 ska medlemsstaterna fastställa regler för de kategorier av elektroniska hälsodata med personuppgifter som ska vara tillgängliga för olika kategorier av hälso- och sjukvårdspersonal eller olika hälsoeller sjukvårdsuppdrag. Sådana regler ska ta hänsyn till möjligheten att införa begränsningar enligt artikel 8 i den här förordningen.

Den hänvisade artikeln i EU:s dataskyddsförordning innehåller de allmänna principerna för behandling av personuppgifter, bl.a. att behandlingen ska genomföras på ett öppet, korrekt och lagligt sätt. Vidare föreskrivs i nämnda artikel att den personuppgiftsansvarige ska tillämpa gällande ändamålsbegränsningar och inte behandla personuppgifter för andra än angivna ändamål Bestämmelsen i artikel 11.3 andra stycket i EHDS-förordningen innebär att medlemsstaterna ska införa nationella bestämmelser som tillvaratar minimeringsprincipen enligt EU:s dataskyddsförordning. Med stöd av sådana regler får hälso- och sjukvårdsanställda tillgång begränsas till sådana uppgifter som är adekvata för olika yrkesgruppers behov för att utföra sina arbetsuppgifter. Personal med en viss arbetsuppgift kan exempelvis behöva ha tillgång till en mer begränsad mängd uppgifter för att kunna utföra sitt arbete än andra. Denna typ av begränsningar liknar krav på behörighetsstyrning som säkerställer att den individuella behörigheten att ta del av information är begränsad till sådan information som faktiskt kan ha betydelse för de uppgifter som den vårdanställde ska utföra.

202

De nationella bestämmelserna ska alltså främst uppfylla uppgiftsminimeringen, dvs. att inte fler personuppgifter ska behandlas än vad som krävs för att uppfylla ändamålet med behandlingen. Detta är något som också framgår av skäl 3 i EHDSförordningen, där det påpekas att principen om uppgiftsminimering är viktig att tillämpa även inom ramen för hälso- och sjukvård. Av skäl 19 framgår att vårdgivare ska begränsa anställdas tillgång till information till sådant som är relevant för en specifik vårdepisod, följa principen om uppgiftsminimering och begränsa de data de tar del av till data som är strikt nödvändiga och motiverade för tillhandahållandet av en viss tjänst. Åtkomstmöjligheter ska således begränsas till det behov som hälso- och sjukvårdspersonal har utifrån sin arbetsuppgift och situationer som kräver åtkomst. Artikel 11.3 andra stycket hänvisar också till artikel 8 som reglerar rättigheten för den enskilde att själva kunna begränsa möjligheten till tillgång av individens hälsodata utifrån vårdgivare och typ av hälsodata. Innebörden torde vara att begränsningarna i åtkomst inte bara ska genomföras genom nationella regler om behörighetsstyrning utan att även patients önskemål vad gäller begränsning (spärrar) också ska tillvaratas inom ramen för tillämpningen av artikel 11.3. Sammantaget förutsätts att nationell rätt innehåller regler för åtkomst som tillvaratar patienternas integritetsskydd.

Personuppgiftsansvariga ska säkerställa att personuppgifter behandlas i enlighet med EU:s dataskyddsförordning

Personuppgiftsansvariga har ett generellt ansvar för att genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandling av personuppgifter utförs i enlighet med dataskyddsförordningen. Det framgår av de grundläggande principerna i artikel 5 men regleras även i artikel 24 i EU:s dataskyddsförordning. Åtgärderna ska genomföras med beaktande av behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers fri-och rättigheter. Åtgärderna ska ses över och uppdateras vid behov.

203

Personuppgiftsansvariges mer preciserade ansvar för säkerheten i samband med behandling av personuppgifter regleras i artikel 32 i EU:s dataskyddsförordning. Den personuppgiftsansvarige ska vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken. Vid bedömningen ska beaktas den senaste utvecklingen, genomförandekostnaderna, behandlingens art, omfattning, sammanhang och ändamål samt riskerna för fysiska personers rättigheter och friheter, som kan vara av varierande sannolikhetsgrad och allvar. Särskild hänsyn ska tas till de risker som behandlingen medför, i synnerhet för oavsiktlig eller olaglig förstöring, förlust eller ändring eller för obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats. Det krävs således att den personuppgiftsansvarige dels identifierar de möjliga riskerna för de registrerades rättigheter och friheter, dels bedömer sannolikheten för att riskerna inträffar och allvarligheten om de inträffar. Vad som är lämpligt varierar inte bara i förhållande till riskerna utan även utifrån behandlingens art, omfattning, sammanhang och ändamål. Det har därmed betydelse för bedömningen vilka tekniska och organisatoriska åtgärder som är lämpliga, vad det är för personuppgifter som behandlas, hur många uppgifter det är frågan om, hur många som behandlar uppgifterna, under hur lång tid osv.

Enligt gällande nationell rätt bestämmer vårdgivaren villkor för tilldelning av behörighet för åtkomst

I 4 kap. 1 och 2 §§ PDL finns de villkor som föreligger för personalens tillgång till patientens uppgifter samt huvudregler för tilldelning av behörigheter för att ta del av hälsodata inom ramen för en vårdgivares inre sekretessområde (inre sekretess). Villkor för personalens tillgång har redovisats i tidigare avsnitt. I 4 kap. 2 § anges att vårdgivaren (dvs. organisationen som är ansvarig för vården) ska bestämma villkor för tilldelning av behörighet för åtkomst till sådana uppgifter om patienter som förs helt eller delvis automatiserat. Sådan behörighet ska begränsas till vad som behövs för att den enskilde ska kunna fullgöra sina

204

arbetsuppgifter inom hälso- och sjukvården. Detta innebär alltså en skyldighet för organisationen att upprätta och tillämpa regler om behörighetstilldelning så att varje medarbetare har en viss tilldelad behörighet som motsvarar dennes uppdrag i sitt arbete. I 2 § tredje stycket finns ett föreskriftsbemyndigande som, genom vidaredelegering, ger Socialstyrelsen rätt att meddela närmare föreskrifter på området. Sådana föreskrifter finns i Socialstyrelsens föreskrifter och allmänna råd (HSLF-FS 2016:40) om journalföring och behandling av personuppgifter i hälso- och sjukvården. Av 4 kap. 2 § i dessa föreskrifter följer att vårdgivaren ska ansvara för att varje användare tilldelas en individuell behörighet för åtkomst till personuppgifter. Vårdgivarens beslut om tilldelning av behörighet ska föregås av en behovs- och riskanalys vilket är en central del av processen för hantering av behörigheter. Det innebär att nationell rätt föreskriver krav på en lämplig organisatorisk säkerhetsåtgärd som ska vidtas innan tilldelning av behörigheter till journalsystemet. Bestämmelserna som nämns ovan är placerade i ett kapitel i PDL som i dag handlar om åtkomst till vårdgivarens egna uppgifter. Det är dock den vårdgivare som den anställde arbetar för, som måste reglera även tillgången till uppgifter som görs elektroniskt tillgängliga av andra vårdgivare genom sammanhållen vård och omsorgsdokumentation (se utredningens förslag om ändrat tillämpningsområde av 4 kap. PDL i avsnitt 6.3).

Den språkliga utformningen av 4 kap. 2 § patientdatalagen ska justeras, men innebörden av bestämmelsen om vårdgivares tilldelning av behörighet ska inte ändras

Det framgår av artikel 11.3 andra stycket EHDS-förordningen att medlemsstaterna ska fastställa regler för de kategorier av elektroniska hälsodata som ska vara tillgängliga för olika kategorier av hälso- och sjukvårdspersonal eller olika hälso- eller sjukvårdsuppdrag. Utredningens bedömning är att artikeln innebär att medlemsstaterna tar fram regler som pekar ut vilka kategorier av hälsodata som ska vara tillgängliga för vilka kategorier av vårdpersonal. Enligt utredningens bedömning är det dock inte lämpligt att i lagstiftning inkludera mer detaljerade regler på området

205

än vad som redan gäller i detta avseende enligt PDL. Det krävs insyn i vårdens organisation och funktion för att närmare kunna bedöma vilka informationsmängder som bör vara tillgängliga för olika kategorier av anställda och de specifika uppdrag som tilldelats dem. Utredningen anser därför att nuvarande bestämmelser som lägger ansvaret på vårdgivaren att bedöma och tilldela behörigheter till hälso- och sjukvårdspersonal ska kvarstå oförändrade. Utredningen bedömer att det genom nuvarande bestämmelser i 4 kap. 2 § PDL finns sådana bestämmelser om behörighetstilldelning som EHDS-förordningens ställer krav på i artikel 11.3 andra stycket. Utredningen har i avsnitt 6.4.1. föreslagit att 4 kap. PDL ska omfatta bestämmelser om tillgång såväl till uppgifter som finns inom en vårdgivare som till uppgifter som tillgängliggjorts av andra vårdgivare med stöd av de nya bestämmelser om delning av hälsodata som utredningen föreslår. Genom denna ändring blir vårdgivarens hela ansvar för behörighetstilldelningen tydligare. Mot bakgrund av att begreppet elektronisk åtkomst tidigare förknippades med åtkomst endast inom en vårdgivares organisation och även mot bakgrund av att EHDS använder sig av begreppet tillgång till hälsodata föreslår utredningen att begreppet åtkomst i PDL anpassas till EHDS begrepp tillgång.

Författningsförslag

4 kap. 2 § PDL (mindre justering av begrepp)

6.5 Samtycke ska inte längre vara ett villkor för åtkomst till hälsodata i den nationella läkemedelslistan

Utredningens förslag: Kraven på samtycke för behörig personals åtkomst till uppgifter i den nationella läkemedelslistan ska tas bort från lagen om nationell läkemedelslista.

206

Utredningens bedömning: Det är inte förenligt med intentionerna i EHDS-förordningen att ha samtycke från patienten som villkor för åtkomst till hans eller hennes uppgifter om elektroniska recept och elektroniska förskrivningar.

Skälen för utredningens förslag och bedömning

Regleringen av åtkomst till uppgifter i den nationella läkemedelslistan

Som nämnts i kapitel 4 återfinns nationella bestämmelser om registrering och åtkomst till de av EHDS-förordningen utpekade prioriterade kategorierna av elektroniska hälsodata (artikel 14) i både PDL och NLL. Regleringen av förutsättningarna för hälso- och sjukvårdens och apotekens åtkomst till den nationella läkemedelslistan är detaljerade och komplexa. Olika regler för åtkomst gäller för olika uppgifter i registret, olika yrkesgrupper och olika ändamål för behandlingen av uppgifterna. I NLL är direktåtkomsten som ges till hälso- och sjukvårdspersonal med patientens samtycke begränsad till de som har behörighet att förskriva läkemedel eller andra varor, sjuksköterska utan behörighet att förskriva läkemedel eller andra varor samt dietist och farmaceut i hälso- och sjukvården (5 kap. 3 § NLL). Detta är denna hälso- och sjukvårdspersonal som bedöms ha ett berättigat skäl av att ta del av uppgifter i registret för att kunna skapa bättre förutsättningar för en sakkunnig och omsorgsfull läkemedelsbehandling. I bestämmelsen regleras även att direktåtkomsten ska vara knuten till vissa angivna ändamål, se avsnitt nedan.

Direktåtkomst den nationella läkemedelslistan för expedierande personal på öppenvårdsapotek

Direktåtkomst till den nationella läkemedelslistan för expedierande personal (5 kap. 1 § NLL) kräver som huvudregel inte patientens samtycke, till skillnad från vad som gäller för åtkomsten för hälsooch sjukvårdspersonal (5 kap. 3 – 5 §§ NLL). Det finns dock

207

samtyckeskrav även för expedierande personal när det gäller vissa uppgifter i den nationella läkemedelslistan. När det gäller direktåtkomst till uppgift om ordinationsorsak får sådana uppgifter nämligen endast med patientens samtycke ges till expedierande personal på öppenvårdsapotek för ändamålet expediering av läkemedel och andra varor som förskrivits (5 kap. 2 § NLL). Den tillåtna direktåtkomsten får endast avse förskrivningar som registrerats i den nationella läkemedelslistan inom de senaste 24 månaderna. Det krävs enligt NLL även samtycke när det gäller direktåtkomst till andra uppgifter i den nationella läkemedelslistan än ordinationsorsak när det gäller åtkomst för ändamålet underlättande av en patients läkemedelsanvändning (5 kap. 2 § NLL). När det gäller argumenten för att inte som huvudregel kräva samtycke för åtkomst på apotek, anför regeringen följande i förarbetena: Det är av stor vikt att expedierande personal kan få direktåtkomst till korrekt och fullständig information för att bl.a. uppfylla de krav som ställs i Läkemedelsverkets föreskrifter. Kraven avser att bedöma om en förskrivning är korrekt utfärdad, om förskrivaren är behörig och om samtliga uppgifter finns med som krävs för att förskrivningen ska vara giltig. Ett särskilt viktigt moment i expedieringen av ett läkemedel är den farmakologiska kontrollen där det säkerställs att läkemedlet, styrkan och dosen som förskrivits är rimliga till den aktuella patienten samt till den avsedda behandlingen. Här ingår också att göra en bedömning av risken för interaktion med andra läkemedel som patienten använder. Åtkomst till information om patientens övriga förskrivna läkemedel behövs även för tillämpningen av bestämmelserna om läkemedelsförmåner. 98

Regeringen ansåg vidare i samma proposition att det för ändamålet expediering av läkemedel och andra varor som förskrivits, i likhet med den reglering som då gällde enligt lagen om receptregister, inte var lämpligt med samtycke som integritetshöjande åtgärd. Informationen i registret behövs för att kunna fullgöra en rättslig förpliktelse, samtidigt som det inte finns något alternativt sätt för patienten att hämta ut förskrivna läkemedel eller andra varor. När det gällde förutsättningarna för åtkomst till uppgifter om ordinationsorsak anförde regeringen att sådan åtkomst till skillnad från åtkomst till andra uppgifter skulle kräva patientens samtycke.

98 Prop. 2017/18:223, s. 146.

208

Ordinationsorsak är en förhållandevis integritetskänslig uppgift, som till exempel kan visa att en patient har en psykiatrisk diagnos eller en smittsam sjukdom. Enligt regeringen fanns det integritetsskäl som talade för att införa en integritetshöjande åtgärd för just ordinationsorsak, med innebörden att direktåtkomst till ordinationsorsak alltid ska vara förenat med ett krav på att den enskilde ska ha samtyckt till personuppgiftsbehandling. För uppgifter som ska vara åtkomliga med stöd av ändamålet underlättande av en patients läkemedelsanvändning anförde regeringen att direktåtkomst ska vara tillåten utan tidsbegränsning, men med krav på samtycke som en integritetshöjande åtgärd. Ändamålet avser situationer där apotekspersonal kan bistå patienten med råd eller svar avseende tidigare läkemedelsexpedieringar eller tidigare års högkostnadsskydd. Att direktåtkomst till uppgifter för ändamålet underlättande av en patients läkemedelsbehandling till skillnad från expedieringsändamålet inte får någon tidsbegränsning i förhållande till när dessa uppgifter kom in i registret, motiverar regeringen med att patientens frågor kan avse tidigare behandlingar. Att få information om tidigare behandlingar kan vara aktuellt om patienten t.ex. upplevde bättre resultat än den behandling som han eller hon får i dag eller om tidigare behandlingar tvärtom ledde till problem som patienten inte vill råka ut för igen. Eftersom ett flertal kroniska sjukdomar kännetecknas av skov eller ett nytt insjuknande som inträffar med flera års mellanrum behöver uppgifterna vara åtkomliga för detta ändamål längre än vad som krävs för en patientsäker expediering av läkemedel. 99

Direktåtkomst till den nationella läkemedelslistan för hälso- och sjukvårdspersonal hos en vårdgivare

Hälso- och sjukvårdspersonal som har behörighet att förskriva läkemedel eller andra varor får med patientens samtycke ha direktåtkomst till uppgifter i nationella läkemedelslistan (5 kap. 3 § NLL). Det gäller för samtliga ändamål som uttryckligen rör hälsooch sjukvården. Dessa ändamål är åstadkommande av en säker

99 Prop. 2017/18:223, s. 148 ff.

209

ordination av läkemedel och andra varor för en patient, beredande av vård eller behandling av en patient samt komplettering av en patientjournal. Sjuksköterskor utan behörighet att förskriva läkemedel eller andra varor, dietister och farmaceuter i hälso- och sjukvården får med patientens samtycke ha direktåtkomst till uppgifter i registret. För dessa personalkategorier gäller detta dock enbart för ändamålen beredande av vård och behandling för en patient och komplettering av en patientjournal. 100 Regeringen anför i förarbetena till NLL att även om det kan antas ligga i patienters intresse att behörig hälso- och sjukvårdspersonal som är involverad i deras vård och behandling får se samtliga uppgifter, kräver hälso- och sjukvårdens åtkomst som huvudregel att patienten samtycker till personuppgiftsbehandlingen. Det viktigaste skälet till detta var enligt regeringen att uppgifterna i den nationella läkemedelslistan i varierande grad kan vara integritetskänsliga, framför allt uppgifter om förskriven eller expedierad vara (läkemedelsnamn) och ordinationsorsak. Regeringen ansåg att till skillnad från öppenvårdsapotekens expediering av läkemedel eller andra varor, som inte går att genomföra utan direktåtkomst till uppgifter som kommer att finnas i den nationella läkemedelslistan, kan patienten i regel fortfarande få vård och behandling på en nivå som inte nödvändigtvis behöver vara patientosäker om personalen inte får direktåtkomst till uppgifter i registret. I vissa fall räcker information i patientjournalen för att få en helhetsbild om patientens läkemedel och ibland kan patienten själv redogöra för sina läkemedelsbehandlingar. Av denna anledning ansåg regeringen att patienter ska ha möjligheten att ta ställning till vilka uppgifter som ska vara åtkomliga för hälso- och sjukvårdspersonal i olika situationer. Samtycket för de ändamål som rör hälso- och sjukvården infördes som en av flera integritetshöjande åtgärder som ska skydda patientens integritet om han eller hon så önskar. 101 Patienter som får dosdispenserade läkemedel utgör ett undantag vad gäller krav på samtycke för direktåtkomst. En patient som får sina läkemedel dosdispenserade behöver i stället, till skillnad från andra patienter, ge sitt samtycke till att uppgifter om förskrivna

100 5 kap. 3 § 2 lagen om nationell läkemedelslista. 101 Prop. 2017/18:223, s. 159

210

läkemedel och andra varor registreras (4 kap. 1 § andra stycket NLL). Därefter krävs inte att en sådan patient också ger sitt samtycke till att hälso- och sjukvårdspersonal ska få direktåtkomst till uppgifterna i registret för övriga ändamål som rör hälso- och sjukvården (5 kap. 3 § sista stycket NLL). 102 Det finns ytterligare undantag från kravet på samtycke för 103 direktåtkomst. Det gäller dels uppgiften om att en patient fått narkotika eller andra särskilda läkemedel förskrivna (5 kap. 4 § NLL), dels i vissa situationer när patienten är ur stånd att ge ett samtycke (5 kap. 5 § NLL). För uppgiften om att en patient fått narkotiska eller andra särskilda läkemedel förskrivna ges direktåtkomst till uppgifter hänförliga till förskrivningar som registrerats inom de senaste 24 månaderna (5 kap. 4 § andra stycket NLL). Uppgifter om förskrivningar registreras i registret nationell läkemedelslista utan att patienten kan motsätta sig det (4 kap. 1 § NLL). Anledningen till detta är bland annat att registret ligger till grund för att öppenvårdsapoteken ska kunna fullgöra sin förpliktelse att tillhandahålla patienter förskrivna läkemedel och varor. För ändamålet expediering av läkemedel och andra varor som förskrivits krävs därför inte heller patientens samtycke för apotekspersonalens direktåtkomst till uppgifter i registret, undantaget uppgiften om ordinationsorsak (5 kap. 1 § NLL) och direktåtkomst för ändamålet att underlätta en patients läkemedelsanvändning.

Villkoret på samtycke för åtkomst till uppgifter i den nationella läkemedelslistan tas bort

Enligt EHDS-förordningen gäller att medlemsstaterna ska säkerställa att hälso- och sjukvårdspersonal vid tillhandahållande av hälso- och sjukvård kostnadsfritt ska ha tillgång till de prioriterade kategorier av elektroniska hälsodata med personuppgifter som avses i artikel 14, inklusive för gränsöverskridande hälso- och sjukvård, genom tjänster för tillgång för hälso- och sjukvårdspersonal. Med

102 Prop. 2017/18:223, s. 127 ff. 103 5 kap. 4 och 5 §§ lagen om nationell läkemedelslista.

211

hälso- och sjukvårdspersonal avses enligt förordningen även expedierande apotekare eller receptarie på apotek. Utredningen bedömer att kraven på samtycke i NLL inte är förenliga med EHDS-förordningen. Det resonemang om möjligheten att reglera krav på samtycke vad gäller åtkomst till uppgifter i patientjournaler i förhållande till EHDS-förordningen som utredningen för i avsnitt 6.4.3 gäller även för åtkomst till uppgifter med stöd av NLL. Utredningen hänvisar därför till argumenten i dessa delar och som redovisades i avsnittet ovan. Utredningen kan vidare konstatera att regleringen kring åtkomst och samtycke i NLL är mycket komplicerat med flera olika kombinationer av uppgifter som av vissa personalkategorier kräver samtycke, medan det i andra fall inte finns samma krav. För en patient torde det vara direkt svårtillgängligt att få en uppfattning av hur ens uppgifter kan spridas eller inte och under vilka förutsättningar detta görs. Redan av denna anledning finns det enligt utredningen starka skäl att göra regleringen enhetlig på hela området oavsett om det handlar om uppgifter om läkemedel eller andra uppgifter från patientens journal. Utredningen anser som resonerat ovan att krav på att samtycke ska föregå tillgång till uppgifter inte är förenligt med EHDS. I avsnitt 6.4.3 ovan föreslår utredningen att samtycke inte ska vara ett för hälso- och sjukvårdspersonalens tillgång till hälsodata i patientjournalen. Utredningen anser att motsvarande ska gälla för behörig hälso-och sjukvårdspersonal hos en vårdgivare när det gäller åtkomsten till den nationella läkemedelslistan. Det ska inte längre krävas ett samtycke från patienten för att behörig hälso- och sjukvårdspersonal enligt 5 kap. 3 § NLL ska få direktåtkomst till hans eller hennes uppgifter i läkemedelslistan. Huvudregeln är att expedierande personal inte behöver samtycke från patienten för direktåtkomst till den nationella läkemedelslistan. Utredningen anser att även de krav på samtycke för direktåtkomst som finns för expedierande personal ska tas bort. Kravet på samtycke som gäller för expedierande hälso- och sjukvårdspersonals åtkomst till uppgifter om ordinationsorsak ska därför upphävas. Expedierande personal på apotek kan så vitt utredningen erfar ofta redan på grund av vilket läkemedel som expedieras dra slutsatser om ordinationsorsaken. Ordinationsorsaken kan också vara en uppgift

212

som underlättar den farmakologiska kontrollen vilket utifrån patientsäkerhet talar för att den expedierande personalen har behov av att ta del av informationsmängden. 104 För det fall patienten av en eller annan anledning upplever särskilda behov av att dölja information om ordinationsorsak så återstår möjligheten för patienten att spärra information, om till exempel ordinationsorsak. Utredningens överväganden när det gäller patientens möjlighet att begränsa tillgång genom spärr finns i avsnitt 7.3. Utredningen anser att det inte heller ska krävas samtycke för expedierande personals direktåtkomst till andra uppgifter än ordinationsorsak när det gäller åtkomst för ändamålet underlättande av en patients läkemedelsanvändning. Enligt 3 kap. 1 § läkemedelslagen (2015:315) ska den som förordnar eller lämnar ut läkemedel särskilt iaktta kraven på sakkunnig och omsorgsfull vård samt på upplysning till och samråd med patienten eller företrädare för denne. Det framgår även av 2 kap. 9 a § lagen (2009:366) om handel med läkemedel att en farmaceut vid expediering av en förskrivning ska lämna information och rådgivning enligt 2 kap. 6 § 11 i lagen och utföra de övriga uppgifter som har särskild betydelse för en säker hantering och användning av läkemedlet. Farmaceuten ska så långt det är möjligt säkerställa att läkemedlet kan användas på rätt sätt. Det ingår således i expedierande personals yrkesansvar och är en del i den vård de ger att bistå med råd för att underlätta patientens läkemedelsanvändning. För att utföra denna arbetsuppgift behöver expedierande personal ha tillgång till uppgifter om patientens läkemedelsbehandling. Sammanfattningsvis är det utredningens bedömning att ett krav på samtycke från patienten innan personal ges åtkomst till hälsodata inte är förenligt med EHDS-förordningens bestämmelser i artikel 11.1. Detta gäller även för expedierande personals åtkomst till uppgifter om ordinationsorsak och åtkomst till uppgifter för ändamålet underlättande av patientens läkemedelsanvändning. Utredningen föreslår därför att kraven på samtycke för åtkomst till patientens uppgifter i nationella läkemedelslistan ska ta tas bort. Det innebär att samtliga bestämmelser i NLL som innefattar krav på samtycke för åtkomst till uppgifter om patientens e-recept och

104 Fokusområde 2 i den nationella läkemedelsstrategin.

213

elektroniska förskrivningar ska ändras. Utredningen föreslår således att samtyckeskravet ska tas bort från 5 kap. 1 – 3 §§ NLL. Utredningen föreslår dock ingen ändring vad avser tidsbegränsningen för expedierande personals direktåtkomst för ändamålet expediering. Den tillåtna direktåtkomsten får endast avse förskrivningar som registrerats i den nationella läkemedelslistan inom de senaste 24 månaderna. Denna begränsning ska fortsatt inte gälla för direktåtkomst för ändamålet underlättande av en patients läkemedelsanvändning. Hänvisningarna i 5 kap. 1 § sista stycket behöver justeras så att ingen materiell ändring av bestämmelsen i det avseendet uppstår. Även formuleringar i 5 kap. 4 och 5 §§ behöver anpassas till att samtyckeskravet ska tas bort. Bestämmelsen om hur kravet på samtycke ska hanteras när det gäller patienter som inte endast tillfälligt saknar förmåga att ta ställning till om uppgifter ska få behandlas, ska också upphävas (4 kap. 2 § NLL).

Författningsförslag

Ändringar i 4 kap. 1 § och i 5 kap. 1 - 5 §§ NLL. Upphävande av 4 kap. 2 § och 5 kap. 2 § NLL.

6.6 Tillgången till elektroniska hälsodata för hälsooch sjukvårdspersonal på apotek tillgodoses genom åtkomst till nationella läkemedelslistan

Utredningens bedömning: Tillgången till elektroniska hälsodata för hälso- och sjukvårdspersonal som arbetar på apotek tillgodoses genom åtkomst till nationella läkemedelslistan. Genom den tillgång som är tillåten enligt lagen om nationell läkemedelslista ombesörjs behovet av uppgifter som krävs för att expedierande personal ska kunna fullgöra sina arbetsuppgifter. EHDSförordningen ger stöd för en sådan avgränsad tillgång till uppgifter för vissa yrkeskategorier i enlighet med medlemsstaternas nationella rätt.

214

Skälen för utredningens bedömning

Av EHDS-förordningen framgår i artikel 11.3 andra stycket att medlemsstaterna, i enlighet med de principer som anges i artikel 5 i förordning (EU) 2016/679, ska fastställa regler för de kategorier av elektroniska hälsodata med personuppgifter som ska vara tillgängliga för olika kategorier av hälso- och sjukvårdspersonal eller olika hälso- eller sjukvårdsuppdrag. Sådana regler ska ta hänsyn till möjligheten att införa begränsningar enligt artikel 8 i den här förordningen. Utredningen återkommer närmare till artikel 11.3 i nästföljande avsnitt om behörighetsstyrning. I öppenvårdsapotekens grunduppdrag ingår enligt 3 a § lagen om handel med läkemedel att verka för en god och säker läkemedelsanvändning genom att säkerställa att konsumenten får tillgång till förordnade läkemedel och varor, att ge sakkunnig och individuellt anpassad information och rådgivning och att genomföra och upplysa om utbyte av läkemedel. Öppenvårdsapotek måste ha ett elektroniskt system som ger direktåtkomst till uppgifter i den nationella läkemedelslistan (9 kap. 2 § NLL och 2 kap. 6 § 6 lagen om handel med läkemedel). Öppenvårdsapotek har också skyldighet att lämna uppgifter till E-hälsomyndigheten som behövs för att hålla den nationella läkemedelslistan uppdaterad och för att myndigheten ska kunna föra statistik (2 kap. 6 § 5 och 7 lagen om handel med läkemedel). Vad gäller den nationella läkemedelslistan är kravet på tillgängliggörande av prioriterade kategorier av hälsodata i form av elektroniska recept och elektroniska expedieringar således redan reglerat genom såväl vårdgivarnas och som apotekens skyldighet att tillföra uppgifter till läkemedelslistan samt reglerna om åtkomst till uppgifterna. Såsom redovisats i avsnitt 4.3 är det utredningens bedömning att även så kallade ordinerade läkemedel innefattas i den prioriterade kategori som i EHDS-förordningen benämns som elektroniska recept. Således ska även de läkemedel som ordineras inom slutenvården och aldrig expedieras via apotek omfattas av de regler som gäller för prioriterade kategorier av hälsodata. Idag tillgodoses uppgifter om ordinerade läkemedel genom möjligheten att dela uppgifterna med stöd av reglerna om sammanhållen vård- och omsorgsdokumentation i SVOD. Utredningen om fortsatt

215

utveckling av registret nationell läkemedelslista har föreslagit att uppgifter om vaccinationer och ordinerade läkemedel med långvarig effekt, ska tillgängliggöras genom den nationella läkemedelslistan. 105 Betänkandet bereds i Regeringskansliet. Som redovisat inledningsvis i detta avsnitt ska medlemsstaterna fastställa regler för vilka kategorier av elektroniska hälsodata med personuppgifter som ska vara tillgängliga för vilka kategorier av hälso- och sjukvårdspersonal eller olika hälso- eller sjukvårdsuppdrag (artikel 11.3 andra stycket i EHDSförordningen). I Sverige finns nationella bestämmelser om vilka kategorier av hälsodata som hälso- och sjukvårdspersonal ska ha rätt att ta del av i NLL. De uppgifter som ska tillgängliggöras för hälsooch sjukvårdspersonal som expedierar läkemedel på apotek är anpassad till vilket uppdrag de svenska apoteken har och vilka uppgifter som personalen behöver ta del av för att utföra sina arbetsuppgifter på apoteken. Övrig hälso- och sjukvårdspersonals tillgång till hälsodata regleras både i NLL och i PDL. Utredningen bedömer att hälso- och sjukvårdspersonal på apotek genom befintlig lagstiftning har tillgång till de prioriterade kategorierna e-recept och expedieringar enligt de bestämmelser som finns i NLL. Nuvarande ordning är enligt utredningens bedömning ändamålsenlig. Utredningen anser att de informationsmängder som omfattas av NLL är väl avvägda för öppenvårdsapoteks personals behov. EHDS-förordningen ger stöd för en sådan avgränsad tillgång till uppgifter för vissa yrkeskategorier i enlighet med medlemsstaternas nationella rätt. Utredningen föreslår därför ingen ändring i gällande nationell rätt i detta avseende.

6.7 Spårbarhet av vårdens tillgång till hälsodata (loggning)

Utredningens förslag: I bestämmelsen i 4 kap. 3 § patientdatalagen om kontroll av elektronisk åtkomst ersätts begreppet elektronisk åtkomst med elektronisk tillgång.

105 SOU 2025:71

216

Utredningens bedömning: Nuvarande bestämmelser om spårbarhet och loggning är förenliga med EHDS-förordningens krav och bör kvarstå oförändrade.

Skäl för utredningens förslag och bedömning

EHDS-förordningen innehåller bestämmelser om loggning vid registrering och åtkomst

EHDS-förordningen innehåller ett antal olika krav om skyddsåtgärder. Dessa kan delas upp i bestämmelser som ställer krav på spårbarhet i form av loggning vid registrering och åtkomst till hälsodata samt möjlighet för den registrerade att ta del av sådana loggar. I artikel 13.4 andra stycket finns bestämmelser om att när elektroniska hälsodata med personuppgifter registreras eller uppdateras så ska den hälso- och sjukvårdspersonal och den vårdgivare som utförde registreringen eller uppdateringen registreras (loggas). I registreringen ska framgå den tidpunkt då registreringen eller uppdateringen gjordes samt vilken individ som genomfört registreringen. Medlemsstaterna får även kräva att andra aspekter av dataregistreringen ska registreras (loggas). EHDS innehåller vidare i artikel 11.5 andra stycket ett krav på att vårdgivare särskilt måste logga en åtkomst avseende hälsodata där patienten begärt att åtkomsten till hälsodata ska vara begränsad (spärrad), men när sådan åtkomst ändå förekommer på grund av de nationella reglerna för nödåtkomst. Sådana fall ska loggas i ett tydligt och begripligt format och ska vara lättillgängliga för den registrerade. Elektroniska hälsodokumentationssystem ska vidare enligt artikel 25 innehålla en europeisk programvarukomponent för interoperabilitet för elektroniska hälsodokumentationssystem och en europeisk programvarukomponent för loggning för elektroniska hälsodokumentationssystem. I EHDS bilaga 2 framgår mer i detalj de krav som kommer att ställas på de harmoniserade programvarukomponenterna vad avser till exempel loggning.

217

Fysiska personer ska ha rätt att få information, inbegripet genom automatiska meddelanden, om all tillgång som ges till deras elektroniska hälsodata med personuppgifter genom tjänsten för tillgång för hälso- och sjukvårdspersonal i samband med hälso- och sjukvård, inbegripen tillgång i form av nödåtkomst i enlighet med artikel 11.5 andra stycket i EHDS-förordningen. Patientens rättighet att få information om åtkomst framgår av artikel 9. Utredningen återkommer till patientens rättigheter i kapitel 7.

Nationella regler för loggning av åtkomst vad avser hälsodata

I 3 kap. 6 § tredje stycket PDL framgår att en anteckning i journal alltid ska innehålla information om vem som ansvarat för anteckningen och vid vilken tidpunkt som anteckningen gjordes. Av 5 kap. 3 § 3 p Socialstyrelsens föreskrifter och allmänna råd (HSLF- FS 2016:40) om journalföring och behandling av personuppgifter i hälso- och sjukvården framgår att det alltid ska dokumenteras uppgifter om namn och befattning på den personal som svarar för en viss journaluppgift. Vidare framgår av 4 kap. 3 § PDL att en vårdgivare ska se till att åtkomst till sådana uppgifter om patienter som förs helt eller delvis automatiserat dokumenteras och kan kontrolleras (loggas). Vid sammanhållen vård- och omsorgsdokumentation ska samma principer om åtkomstkontroll tillämpas vilket framgår genom en hänvisning till PDL i SVOD 4 kap 4 § tredje stycket. Vårdgivaren ska vidare genomföra systematiska och återkommande kontroller av om någon obehörigen kommer åt sådana uppgifter. I andra stycket samma bestämmelse ges regeringen eller den myndighet regeringen bestämmer föreskriftsrätt på området. Socialstyrelsen har meddelat föreskrifter som mer specifikt anger hur loggning ska göras och vilka rutiner vårdgivare ska införa för loggkontroll. Av HSLF-FS 2016:40 framgår vidare att det är vårdgivarens ansvar att se till att systematisk och regelbunden kontroll görs över de åtkomster som förekommit för att verifiera att ingen otillåten åtkomst till informationen förekommer. Vårdgivaren är enligt 8 kap. 5 § PDL även skyldig att på begäran ge en patientåtkomst till loggarna.

218

De nationella reglerna för loggning är förenliga med EHDSförordningen

Sammantaget finns det omfattande bestämmelser i svensk rätt som ställer krav på vårdgivaren att se till att alla journaluppgifter förses med loggar såväl vid dess registrering som för att uppnå spårbarhet av den elektroniska åtkomst som förekommer. De svenska reglerna motsvarar kraven på loggning i EHDS-förordningen och går i vissa fall utöver dessa. I svensk rätt finns inga särskilda bestämmelser som anger att nödåtkomst till spärrad information särskilt ska loggas och göra det möjligt för patienten att uppmärksamma åtkomsten. Skyldigheten att föra logg enligt 4 kap. 3 § PDL anger generellt att åtkomst till sådana uppgifter om patienter som förs helt eller delvis automatiserat dokumenteras och kan kontrolleras. Det torde enligt utredningens bedömning vara tillräckligt att särskilda skyldigheter om dokumentation av den så kallade nödåtkomst regleras av Socialstyrelsens föreskrifter. Det är därför inte nödvändigt med någon ändring av PDL i denna del. Det framgår av artikel 13 att medlemsstaterna får införa regler om att andra aspekter av åtkomst ska loggas. Utredningen bedömer att de svenska reglerna är förenliga med EHDS-förordningen. Det förefaller emellertid sannolikt att Socialstyrelsens föreskrifter kan komma att behöva ändras för att bättre motsvara de standarder för loggning av uppgifter som kommer att införas genom krav för de harmoniserade programvarukomponenterna för elektroniska hälsodokumentationssystem, vilka framgår av bilaga 3 avsnitt 3 EHDS-förordningen. En nationell reglering av skyldigheten att föra logg över åtkomst innebär enligt utredningen inte dubbelreglering eftersom utredningen föreslår att rätten även ska omfatta uppgifter som inte ingår i de prioriterade kategorierna av hälsodata. En nationell bestämmelse gör därtill rättsområdet mer överskådligt. Utredningen menar därtill att det saknas anledning att tillämpa olika säkerhetsåtgärder vad avser hälsodata som omfattas av de prioriterade kategorierna (och därmed omfattas av EHDSförordningens regelverk) och övriga hälsodata som också hanteras

219

av vården. Reglerna i PDL om kontroll av åtkomst (loggning) ska därmed tillämpas oavsett typ av uppgift. Mot bakgrund av ovanstående resonemang bedömer utredningen att nuvarande bestämmelser om spårbarhet och loggning är förenlig med EHDS-förordningens krav och bör kvarstå oförändrad. Vad avser patients möjlighet att få tillgång till loggar genom tillgångstjänst för patient återkommer utredningen i sin slutredovisning.

220

7 Patientens rätt att motsätta sig (opt-out) och begränsa tillgången (spärr) till sina elektroniska hälsodata

7.1 Inledning

I föregående kapitel har utredningens bedömningar och förslag kring hur hälsodata ska registreras (kapitel 4) för att sedan göras tillgängliga för alla vårdgivare (kapitel 5) och förutsättningar för hälso- och sjukvårdspersonalens tillgång (kapitel 6) redovisats. EHDS-förordningen innehåller förutom dessa krav på tillgängliggörande och tillgång även rättigheter för patienten om att kunna förfoga över om tillgängliggörande överhuvudtaget ska ske och om så är fallet i vilken utsträckning olika vårdgivare och vårdpersonal kan ta del av hälsodatan. I detta kapitel redovisas därför utredningens bedömningar och förslag om patientens rättigheter att dels motsätta sig tillgång till hälsodata (opt-out), dels rättigheten att begränsa tillgången för hälso- och sjukvårdspersonal (spärr) och hur dessa rättigheter ska harmoniseras i nationell rätt.

221

7.2 Patientens rätt att motsätta sig elektronisk tillgång till de personuppgifter som behandlas för att vårda patienten (opt-out)

7.2.1 Nya bestämmelser ska införas om patientens rätt att helt motsätta sig elektronisk tillgång

Utredningens förslag:

Patienter i Sverige ska ha rätt att motsätta sig att de personuppgifter som behandlas för att vårda patienten görs elektroniskt tillgängliga för andra vårdgivare, s.k. opt-out.

Förslaget innebär att: – Det ska föras in en bestämmelse i 6 kap. patientdatalagen om att patienten har rätt att motsätta sig att uppgifter om honom eller henne som en vårdgivare behandlar för ändamål att ge vård görs elektroniskt tillgängliga för andra än den vårdgivare som registrerat dem. Uppgifterna ska i så fall genast blockeras för elektronisk tillgång. – Patienten ska ha rätt att återta sin begäran, med följd att uppgifterna åter ska göras tillgängliga för elektroniskt informationsutbyte. Utredningens bedömning: Om en patient begärt att hans eller hennes uppgifter som behandlas för att vårda patienten inte får göras tillgängliga för elektroniskt informationsutbyte innebär det i praktiken att patienten inte heller kan få tillgång till en sammanställning av dessa uppgifter från olika vårdgivare i en tillgångstjänst för patienter.

222

Skälen för utredningens förslag och bedömning

Kraven i EHDS om patientens rättighet att motsätta sig tillgängliggörande (opt-out)

EHDS-förordningen innehåller två artiklar som berör patientens inflytande över tillgången till sina till elektroniska hälsodata. I detta avsnitt behandlar utredningen patientens rätt att helt motsätta sig att hans eller hennes hälsodata tillgängliggörs för andra vårdgivare, s.k. opt-out. Patientens rätt att begränsa tillgång till hälsodata (spärr) beskrivs i avsnitt 7.3. I artikel 10 EHDS-förordningen regleras en möjlighet för medlemsstaterna att föreskriva en rätt för en patient att helt motsätta sig tillgång till sin elektroniska hälsodata som registrerats i ett elektroniskt hälsodokumentationssystem via de tjänster för tillgång som avses i artikel 4 och 12. Om medlemsstaten inför en sådan rättighet ska patienten kunna ändra sitt beslut att motsätta sig tillgängliggörande av uppgifterna. Om patienten ändrar sig så ska uppgifterna göras tillgängliga igen. I skäl 18 anges att rätten gäller att motsätta sig tillgång för andra än den ursprunglige personuppgiftsansvarige. Där framgår vidare att rätten att motsätta sig innebär att hälsodata inte kan tillgängliggöras via de tjänster som inrättats inom ramen för EHDS för andra än den vårdgivare som tillhandahållit behandlingen. Om en medlemsstat föreskriver en rätt som avses i artikel 10.1, ska medlemsstaten också fastställa regler och särskilda skyddsåtgärder för mekanismen för att motsätta sig. Medlemsstaterna får föreskriva en möjlighet för vårdgivaren eller hälso- och sjukvårdspersonalen att få tillgång till elektroniska hälsodata med personuppgifter i fall där behandlingen är nödvändig för att skydda den registrerades grundläggande intressen.

Patienten ska kunna motsätta sig tillgång och därmed helt avstå från att hans eller hennes hälsodata tillgängliggörs på ett samlat sätt

Utredningen har fått i uppdrag att analysera och ta ställning till hur patientens rätt att motsätta sig sådan delning av hälsodata (s.k. opt-

223

out), ska regleras i nationell rätt. Utgångspunkten enligt uppdragets formulering är således att möjligheten att motsätta sig tillgång ska införas i Sverige vad gäller tillgängliggörande av hälsodata. Utredningen anser att möjligheten för individen att välja att helt stå utanför systemet med delning av hälsodata som föreskrivs i artikel 10 är en viktig rättighet mot bakgrund av att EHDSförordningen innebär omfattande förändringar i svensk nationell rätt om delning av hälsodata. Vad som tidigare var en frivillig möjlighet för vårdgivare att dela individens hälsodata inom Sverige föreslås bli ett krav på en obligatorisk delning av hälsodata inom Sverige, och övriga EU. EHDS-förordningen innehåller förvisso flera integritetshöjande rättigheter och möjligheter för patienten att få bättre insyn i vem som har tillgång till hälsodata jämfört med gällande rätt. Trots detta kommer det, enligt utredningens bedömning, att finnas individer som känner en osäkerhet inför den enligt förordningen förutsatta delningen. För dessa personer kan det vara viktigt med en möjlighet att helt utesluta tillgängliggörandet av deras uppgifter för delning, att få stå utanför systemet. En sådan möjlighet bör vara absolut, tydlig och därigenom lätt att förstå för den enskilda individen. Har patienten valt att stå utanför systemet för delning av hälsodata ska inte heller någon delning av hälsodata förekomma, dvs. om individen motsätter sig tillgång ska ingen utanför den vårdgivare som registrerat uppgifterna ha möjlighet att få tillgång till uppgifterna. Om en patient utnyttjar sin rättighet att motsätta sig tillgång innebär detta som framgår av skäl 18 att ingen vårdgivare kommer att kunna ta del av hans eller hennes hälsodata från andra vårdgivare genom tillgångstjänster för personal. På motsvarande sätt kommer inte heller patienten själv att kunna ta del av någon sammanställning av sina hälsodata från olika vårdgivare via tillgångstjänster för fysiska personer som avses i artikel 4 EHDS-förordningen, framöver hänvisade till som tillgångstjänster för patienter. Mot bakgrund av det anförda föreslår utredningen att det ska vara möjligt för patienten att motsätta sig att uppgifter om honom eller henne som en vårdgivare behandlar i syfte att ge vård görs elektroniskt tillgängliga för andra vårdgivare.

224

Nya bestämmelser ska föras in i patientdatalagen om patienters rätt att motsätta sig tillgång

Enligt utredningens uppfattning har systemet med en yttre spärr i 2 kap. 3 § lag (2022:913) om sammanhållen vård och omsorgsdokumentation (SVOD) likheter med den rättighet som beskrivs i EHDS-förordningen om att motsätta sig att hälsodata görs tillgängliga. Båda åtgärderna innebär att individen i fråga väljer att stå utanför systemet och att uppgifterna inte överhuvudtaget ska tillgängliggöras för delning mellan vårdgivare. Som framgått är det varje medlemsstat som har att ta ställning till huruvida det i den nationella lagstiftningen ska införas en rätt för patienter att på sätt som följer av artikel 10 i EHDS-förordningen motsätta sig tillgång avseende primäranvändning. Mot bakgrund av det som anförts föreslår utredningen att rätten för patienten att helt motsätta sig att uppgifter om honom eller henne görs tillgängliga för andra vårdgivare än den som vårdat patienten ska framgå av en ny bestämmelse i PDL (6 kap. 8 §). I så fall ska uppgifterna genast blockeras för elektroniskt tillgängliggörande. Om en patient har begärt att uppgifter inte får tillgängliggöras för delning, bedömer utredningen mot bakgrund av det som skrivs i artikel 10 och skäl 18 i EHDS-förordningen, att det i praktiken kommer att innebära att han eller hon inte heller själv kommer att kunna få tillgång till personuppgifter om sig själv (som behandlas för att vårda patienten) från olika vårdgivare i en tillgångstjänst för patienter. Utredningen återkommer till frågan om patientens tillgång och tillgångstjänster i slutredovisningen.

Rätten att motsätta sig tillgång avser all hälsodata som ska och får tillgängliggöras mellan vårdgivare enligt patientdatalagen

Tillgången till hälsodata enligt EHDS-förordningen, är som framgått, avgränsad till de prioriterade kategorierna enligt artikel 14. Således omfattas inte all den information som får delas mellan vårdgivare genom gällande bestämmelser i SVOD. Utredningen anser att det varken är ändamålsenligt eller lämpligt att ha olika regler för tillgång till hälsodata som utgör prioriterade kategorier av hälsodata enligt EHDS-förordningen och sådana

225

uppgifter som inte ingår i dessa kategorier, men som behandlas för ändamål som anges i 2 kap. 4 § 1 och 2 PDL. Det skulle vara svårförståeligt för patienten själv och svårt att tillämpa för hälso- och sjukvården. De begränsningar av tillgång som utredningen föreslår ska därför gälla för all hälsodata som ska eller får tillgängliggöras mellan vårdgivare i samband med vård av patient. Utredningen förslag om patientens möjlighet att motsätta sig tillgängliggörande av hälsodata ska gälla för alla uppgifter som en vårdgivare behandlar för ändamål som anges i 2 kap. 4 § första stycket 1 och 2 PDL (i syfte att vårda en patient).

Vissa områden försvåras om patienten motsatt sig tillgång

Det finns områden där det kan komma att uppstå praktiska problem när en patient valt att motsätta sig tillgång. Inom vissa vårdförlopp kan det mer eller mindre vara en förutsättning att olika delar av förloppet har åtkomst till de informationsmängder som tidigare delar av har journalfört. Nyttjandet av opt-out innebär, utöver patientsäkerhetsrisker, att förlopp som kräver inblandning av flera olika vårdgivare blir komplicerade. Fallet när en vårdgivare remitterar en patient till en annan vårdgivare är särskilt aktuellt att beakta. En remiss är en handling om en patient som utgör beställning av en tjänst eller begäran om övertagande av vårdansvar. Det finns inte närmare reglerat hur en remiss ska vara utformad men i SOSFS 2004:11 Socialstyrelsens föreskrifter och allmänna råd om ansvar för remisser för patienter inom hälso- och sjukvården, tandvården m.m. anges i 3 § att vårdgivaren ska ge skriftliga direktiv och säkerställa att det finns rutiner för hur remisser ska utformas och hanteras. Det anges också i 4 och 5 §§ att verksamhetschefen ska ta fram rutiner för hur remisser ska registreras och sändas. Viktig är här att notera att en remiss sänds eller tas emot, det är alltså en informationsmängd som skickas mellan vårdenheter eller vårdgivare och framöver kommer finnas dokumenterad på båda ställena, dvs det är inte fråga om direktåtkomst till uppgifter hos en annan vårdgivare. Som exempel på dokumenterade rutiner kan nämnas Region Stockholms regelverk för remisshantering. Däri anges att det tydligt

226

ska framgå att mottagaren erhåller en remiss. 106 Vidare framgår att remissen inte får bestå av enbart hänvisning till journal eller journalkopior utan ska innehålla relevant medicinsk information som behövs för att utföra de åtgärder som efterfrågas. En remiss inom Region Stockholm innehåller således den information som krävs för att kunna genomföra de åtgärder som begärs eller efterfrågas vilket enligt utredningen torde innebära att det inte bör innebära särskilda utmaningar för patienter som motsatt sig tillgång men ändå vill bli remitterad. Det är emellertid inte känt för utredningen om samtliga regioner har motsvarande rutin som förebygger att information som behövs inte kan nås. Värt att nämna i sammanhanget är att en sådan begränsning som opt-out endast påverkar den elektroniska tillgången mellan vårdgivare, den påverkar inte möjligheten eller förmågan att skicka uppgifter från en vårdgivare till en annan efter sedvanlig sekretessbedömning. I de fall remissen inte är komplett kan ovanstående antaganden om att den information som behövs finns tillgänglig inte göras. I sådana fall behöver patienten förmedla relevant information och/eller en direktkontakt tas mellan de vårdgivare som är aktuella. I en vårdplanering som arbetar utifrån att hälsodata alltid ska kunna vara tillgänglig mellan olika vårdgivare finns det naturligtvis skäl att anta att sådana undantagsfall som en opt-out innebär sannolikt blir förenad med vissa utmaningar. Det är därför av stor vikt att patienten informeras om konsekvenser av att nyttja rätten, vilket utredningen återkommer till i avsnitt 7.5 och 7.6. nedan. Vidare blir det aktuellt för vårdgivaren att ha rutiner för hur situationer som uppstår praktiskt ska kunna hanteras.

En patient som motsatt sig tillgängliggörande av uppgifter kan begära att vårdgivaren åter gör dessa elektroniskt tillgängliga

Av artikel 10 i EHDS-förordningen framgår att om medlemsstaten väljer att införa en rätt för fysiska personer att motsätta sig tillgång till sina elektroniska hälsodata, ska medlemsstaten se till att

106 Se Regelverket för remisshantering inom Region Stockholms hälso- och sjukvård, https://vardgivarguiden.se/administration/patientadministration/remittering/omremisshantering/regelverk-remisshantering/ hämtad 2025-10-02

227

utövandet av denna rätt är reversibel. En patient ska med andra ord kunna ändra sitt beslut och begära att uppgifterna åter görs tillgängliga för delning. En bestämmelse som fastslår detta ska därför införas i anslutning till den föreslagna bestämmelsen om att en patient har rätt att motsätta sig att uppgifter som behandlas för vårdsyfte tillgängliggörs för elektroniskt informationsutbyte. Utredningen har föreslagit att uppgifter som omfattas av krav på att göras elektroniskt tillgängliga, ska registreras av vårdgivare så att de kan ge tillgång till och ta emot uppgifterna enligt föreskrivna formatkrav (se avsnitt 4.4). Detta registreringkrav ska gälla även om patienten motsatt sig att uppgifter om honom eller henne tillgängliggörs för elektroniskt informationsutbyte, dvs. uppgifterna ska, i enlighet med journalföringsplikten, fortsatt registreras, och vid elektronisk journalföring, registreras i sådana hälsodokumentationssystem som möjliggör informationsutbyte enligt föreslagna formatkrav. På så sätt kan registrerade uppgifter elektroniskt tillgängliggöras enligt formatkraven, om en patient senare ångrar sitt beslut och begär att uppgifter ska göras elektroniskt tillgängliga för delning. Sammanfattningsvis föreslår utredningen mot bakgrund av kravet i EHDS-förordningens artikel 10 att det införs bestämmelser om att en patient som motsatt sig tillgängliggörande av uppgifter får begära att vårdgivaren åter gör dessa uppgifter elektroniskt tillgängliga. Bestämmelserna förs in i 6 kap. 9 § andra stycket PDL.

Befintliga föreskrifter behöver kompletteras

Med de bestämmelser som utredningen föreslår om att helt motsätta sig tillgång till hälsodata finns ingen möjlighet för vårdpersonal att bereda sig åtkomst till uppgifterna. Patienten har däremot enligt utredningens förslag alltid möjlighet att återta sin begäran om optout, exempelvis i ett akut läge. Mot den bakgrunden anser utredningen att det är angeläget att det är tydligt på vilket sätt patienten kan återta sin opt-out. Utredningens förslag fastställer inte hur detta exakt ska gå till. Det förefaller enligt utredningen mer lämpligt att detta regleras genom myndighetsföreskrifter på samma sätt som hantering av spärrar och nödåtkomst idag är beskrivet i

228

Socialstyrelsens föreskrifter och allmänna råd (HSLF-FS 2016:40) om journalföring och behandling av personuppgifter i hälso- och sjukvården. Utredningen anser därför att Socialstyrelsen ska få i uppdrag att utreda formerna för hur en patient kan återta sin begäran om opt-out. Föreskrifterna behöver därefter kompletteras med sådana anvisningar. Utredningen föreslår även en bredare översyn av Socialstyrelsen föreskrifter i avsnitt 7.6.

Utredningen återkommer till formerna för hur en begäran om opt-out lämnas och återtas i utredningens slutbetänkande

Utredningens förslag till bestämmelser fastställer inte formerna för hur en begäran om opt-out ska lämnas eller till vem. I EHDSförordningen föreskrivs att en patient ska kunna utöva sina rättigheter i en tillgångstjänst för patienter (artikel 4). Utredningen behandlar frågan om tillgångstjänst för patient och de rättigheter som ska kunna utövas genom denna tjänst i sin slutredovisning. Det innefattar att återkomma till vilka särskilda regler och skyddsåtgärder som kommer gälla i samband med att patienten lämnar eller häver en begäran om opt-out i sitt slutbetänkande.

Författningsförslag

6 kap. 8 § PDL

7.2.2 Om patienten valt att motsätta sig tillgång ska uppgifterna inte vara tillgängliga ens i en nödsituation

Utredningens förslag : En bestämmelse införs i patientdatalagen om att patientens uppgifter inte får göras tillgängliga om han eller hon har motsatt sig att vårdgivare ska få tillgång.

Utredningens bedömning: Om patienten valt att uppgifterna inte ska göras tillgängliga, får det inte ske ens om patientens liv är i fara eller allvarlig risk för patientens hälsa föreligger.

229

Skäl till utredningens förslag och bedömning

Av artikel 10 EHDS framgår att medlemsstaterna, om de inför en möjlighet till opt-out, även får införa regler och skyddsåtgärder kring hur rättigheten nyttjas. Ett exempel på en sådan skulle kunna vara att införa en legal möjlighet för hälso- och sjukvårdspersonal att trots att patienten motsatt sig tillgång, ta del av dennes uppgifter vid en nödsituation. För att tillgång ska kunna beredas i en sådan nödsituation behöver det finnas en teknisk funktionalitet på plats för att medge tillgång till hälsodata. Om en sådan teknisk funktionalitet är inbyggd finns det också en teoretisk möjlighet att en vårdanställd tar del av uppgifterna, oavsett om åtgärden är tillåten eller otillåten genom att göra gällande att det är en nödsituation. Har en patient nyttjat sin rätt att motsätta sig tillgång till hälsodata får det förutsättas att han eller hon vill säkerställa att tillgång till uppgifterna inte ska vara möjlig för andra än den ursprunglige, personuppgiftsansvarige vårdgivaren (skäl 18). Utredningen anser därför att det under sådana omständigheter inte ska vara tekniskt möjligt för vården att få tillgång till uppgifter om en patient som finns hos andra vårdgivare. På så sätt ges individen som motsatt sig tillgång av hälsodata en större trygghet och garanti för att deras hälsodata inte delas med andra vårdgivare. En sådan lösning utgör enligt utredningen en tydlig och lättförklarad modell där individen kan känna sig säker på att ställningstagandet har en faktisk effekt och att det endast är individen själv som kan ändra på beslutet. Patienten kan när som helst välja att ta tillbaka sin begäran varpå uppgifterna ska göras tillgängliga igen, se avsnitt 7.2.1. Trots att patientsäkerhetsskäl kan tala för att tillgång skulle behöva ges till vårdgivare om patientens liv är i fara, bedömer utredningen att rätten för patienter att helt motsätta sig att hälsodata görs elektroniskt tillgängliga för andra vårdgivare ska införas i svensk rätt, utan möjlighet till nödåtkomst. Därigenom ges patienten en möjlighet att stå helt utanför systemet för vårdgivares delning av hälsodata genom ett beslut om att motsätta sig som ska upplevas som, och vara tydligt, och definitivt för patienten. Givet de konsekvenser en opt out kan få i ett akut läge är det av stor vikt att patienten får information om vilka konsekvenser ett sådant beslut kan få, utredningen återkommer till detta i avsnitt 7.5 och 7.6.

230

För de patienter som endast önskar begränsa tillgång till hälsodata för andra vårdgivare men önskar att nödåtkomst fortsatt ska vara möjlig, finns alternativet att begära en omfattande begränsning av tillgång genom spärr (enligt artikel 8 EHDS) . Överväganden om hur begränsningen av tillgången till hälsodata (spärrar) ska regleras redovisas i avsnitt 7.3.

Författningsförslag

6 kap. 6 § PDL

7.2.3 Bestämmelser i SVOD om patientens rätt att motsätta sig att uppgifter görs tillgänglig mellan vårdgivare upphävs

Utredningens förslag: Nuvarande bestämmelser i lag om sammanhållen vård och omsorgsdokumentation som avser patientens rätt att motsätta sig att uppgifter görs tillgänglig mellan vårdgivare, upphävs.

Skälen för utredningens förslag

Utformningen av patientens möjligheter att motsätta sig tillgängliggörande enligt gällande svensk rätt

Nationell reglering av patientens rätt att motsätta sig tillgängliggörande av sina hälsodata finns i SVOD. Av 2 kap. 3 § SVOD framgår att om en patient eller omsorgsmottagare motsätter sig det, får uppgifterna om patienten eller omsorgsmottagaren inte göras tillgängliga för andra vårdgivare eller omsorgsgivare. I sådant fall ska uppgifterna genast spärras av vårdgivaren eller omsorgsgivaren. En vårdnadshavare för ett barn får dock inte motsätta sig att uppgifter om barnet görs tillgängliga för andra vårdgivare eller omsorgsgivare.

231

Spärren har kommit att kallas för yttre spärr eftersom det innebär en spärr mot informationsöverföring mellan två olika vårdgivare. Spärren ska verkställas på ett sådant sätt att det inte ska finnas någon teknisk möjlighet att faktiskt ta del av uppgifterna. Detta har betydelse för under vilka förutsättningar som en sådan yttre spärr kan hävas. Eftersom uppgifterna inte ens ska vara tillgängliggjorda så är det bara den vårdgivare som satt spärren som också kan häva den och därigenom börja tillgängliggöra uppgifter. I 2 kap. 5 § SVOD regleras en möjlighet till s.k. nödöppning (se även 3 kap. 5–6 §§ SVOD). I händelse av nöd, dvs. om det finns fara för en patients liv eller det finns allvarlig risk för dennes hälsa, kan den vårdgivare som är i behov av uppgifterna, begära att den vårdgivare som spärrat uppgiften, häver spärren. Hävningen av spärren måste tekniskt beslutas och utföras av den vårdgivare som har satt spärren. Det är också denne vårdgivare som vid nödåtkomst åter ska tillgängliggöra uppgifterna och därigenom möjliggöra åtkomsten till uppgifterna enligt regler för sammanhållen vård och omsorgsdokumentation i SVOD.

Nuvarande bestämmelser om spärr av delning av uppgifter i lag om sammanhållen vård och omsorgsdokumentation ändras

Till följd av att bestämmelser om patientens möjlighet att motsätta sig att hans eller hennes uppgifter görs tillgängliga för andra vårdgivare föreslås regleras i PDL anser utredningen att nuvarande bestämmelser i 2 kap. 3 § SVOD behöver ändras. Bestämmelsen ska ändras på sådant sätt att den enbart avser tillgängliggörandet av uppgifter mellan vårdgivare och omsorgsgivare samt mellan omsorgsgivare. Av den nya formuleringen framgår att om en patient motsätter sig det får uppgifter om patienten hos en vårdgivare inte göras tillgängliga för omsorgsgivare eller motsvarande mellan omsorgsgivare. I sådant fall ska uppgifterna genast spärras av omsorgsgivaren eller vårdgivaren.

232

Författningsförslag

2 kap. 3 § SVOD

7.2.4 Ett barn ska inte ha möjlighet att helt motsätta sig (opt-out) tillgång till elektroniska hälsodata

Utredningens förslag: En patient som inte har fyllt arton år, ska inte ha möjlighet att helt motsätta sig (opt-out) tillgängliggörande av hälsodata. Förslaget ska införas genom en ny bestämmelse i patientdatalagen.

Skälen för utredningens förslag

I EHDS-förordningen anges inte någon nedre åldersgräns för när den rätt som avses i artikel 10 kan träda i kraft. Med barn avses den som är under 18 år. En patients möjlighet att själv bestämma om uppgifter ska göras elektroniskt tillgängliga för delning till andra vårdgivare, är dock inte villkorad av att han eller hon har fyllt 18 år. Däremot framgår av artikel 10 p 2 EHDS att det vid införande av en rätt att motsätta sig tillgång så ska också fastställas regler och särskilda skyddsåtgärder för mekanismen.

Barn och ungdomars rättigheter enligt nationell rätt

I propositionen till PDL anförs att i takt med den underåriges stigande ålder och mognad ska allt större hänsyn tas till barnets önskemål och vilja, om uppgifter om honom eller henne ska få göras tillgängliga för andra vårdgivare eller inte. I propositionen görs även en hänvisning till 6 kap. 11 § föräldrabalken (1949:381, FB). 107 Av den bestämmelsen följer att vårdnadshavaren har rätt och skyldighet att bestämma i frågor som rör barnets personliga angelägenheter. Vårdnadshavaren ska dock i takt med barnets stigande ålder och

107 prop. 2007/08:126 s. 115 och 250 ff.

233

utveckling ta allt större hänsyn till barnets synpunkter och önskemål. Barnkonventionen gäller sedan den 1 januari 2020 som svensk lag (lagen [2018:1197] om Förenta nationernas konvention om barnets rättigheter). Lagen innebär ett förtydligande av att rättstillämparna i samtliga mål och ärenden ska tolka svenska bestämmelser i förhållande till barnkonventionen. Enligt artikel 12 ska konventionsstaterna tillförsäkra det barn som är i stånd att bilda egna åsikter rätten att fritt uttrycka dessa i alla frågor som rör barnet. Barnets åsikter ska tillmätas betydelse i förhållande till barnets ålder och mognad. Vid alla åtgärder som rör barnet ska vidare i första hand beaktas vad som bedöms vara barnets bästa. Enligt artikel 6 har varje barn rätt till liv och varje konventionsstat ska till det yttersta av sin förmåga säkerställa barnets överlevnad och utveckling. Barnet har av artikel 24 rätt till bästa möjliga hälsa och tillgång till hälso- och sjukvård. Av artikel 5 följer emellertid bl.a. att konventionsstaterna ska respektera det ansvar och de rättigheter och skyldigheter som tillkommer t.ex. föräldrar eller vårdnadshavare eller andra personer som har juridiskt ansvar för barnet, att på ett sätt som står i överensstämmelse med den fortlöpande utvecklingen av barnets förmåga ge lämplig ledning och råd då barnet utövar de rättigheter som erkänns i denna konvention. Det bör uppmärksammas att barn har samma rättigheter till skydd för sina personuppgifter som vuxna. Det innebär att även barn har rätt att t.ex. få information om personuppgiftsbehandlingen.

Barn och ungdomar ska av patientsäkerhetsskäl inte ha rätt att motsätta sig tillgång till hälsodata

Att vårdpersonal inte har tillgång till all patientviktig information vid vårdtillfället kan medföra stora patientsäkerhetsrisker och konsekvenser. Att som patient välja att stå utanför möjligheten till tillgång till all hälsodata mellan vårdgivare (opt-out) lägger ett stort ansvar på patienten själv eller för barn, med stöd av vårdnadshavarna, att redogöra för alla viktiga detaljer som kan behövas i ett vårdmöte. Vårdnadshavarnas möjlighet att utöva sitt ansvar att se till att barnet

234

får den vård och omsorg som behövs på kort och lång sikt kan också försvåras om barnet ges möjlighet att fatta ett beslut om att motsätta sig tillgång till hälsodata. Ett beslut om opt-out kan vidare dölja viktig information som är nödvändig för att upptäcka och förebygga skada och ge tidiga diagnoser. Den yttersta konsekvensen av att motsätta sig tillgången till hälsodata är att det vid en situation där patienten är medvetslös inte finns någon möjlighet för vården att ta del av andra vårdgivares information eftersom möjligheten till nödåtkomst inte finns för optout. I detta avseende skiljer sig utredningens förslag om rätt att begränsa tillgång (opt-out) från rätt att begränsa åtkomst (spärr) åt. I det sistnämnda finns en möjlighet till nödöppning, varför utredningen gör en annan bedömning om barns rätt till att spärra informationen än barns rätt till opt-out, se avsnitt 7.3.4 nedan. Utredningen anser att ett utnyttjande av rättigheten att motsätta sig hälso- och sjukvårdspersonals tillgång till hälsodata innebär en svår avvägning och ett stort ansvarstagande. Eftersom ett beslut om att motsätta sig tillgång kan få stora konsekvenser för patientsäkerheten är det nödvändigt att individen faktiskt förstår vad det innebär att nyttja sin rättighet. Det är utredningens uppfattning att det är svårare för ett barn att uppfatta, bedöma och värdera den risk en opt-out kan innebära. I förarbeten till SVOD för regeringen ett liknande resonemang i fråga om information till barn om behandling av deras personuppgifter i enlighet med artikel 12 i dataskyddsförordningen. Av propositionen framgår i samband med förslaget om att en patient ska informeras innan uppgifter görs tillgängliga följande: Detta gäller i synnerhet för information som är särskilt riktad till barn eftersom barn kan vara mindre medvetna om berörda risker, följder och skyddsåtgärder samt om sina rättigheter när det gäller behandling av personuppgifter (enligt skäl 38 i EU:s dataskyddsförordning förtjänar barns personuppgifter särskilt skydd). 108

Vidare framhålls att informationen behöver vara koncis, klar, tydlig och begriplig. Utredningen anser att ett sådant ansvarstagande som beslutet om opt-out innebär inte ska läggas på ett barn, oavsett bedömning av

108 Prop. 2021/22:177. s. 87 fff

235

barnets mognad och förmåga till självbestämmande. Om ett barn av olika anledningar har ett starkt behov att begränsa tillgången till hälsodata och har nått en tillräcklig mognad kommer det finnas möjlighet för barnet att nyttja sin rättighet att begränsa tillgång till hälsodata (spärr), se avsnitt 7.3.4 nedan. Utredningen föreslår sammanfattningsvis att barn och ungdomar inte ska kunna nyttja rättigheten att motsätta sig tillgången till hälsodata på samma sätt som vuxna. En bestämmelse om detta ska införas i PDL.

Författningsförslag

6 kap. 9 § första stycket PDL

7.2.5 Det ska inte vara tillåtet för vårdnadshavare att motsätta sig tillgång (opt-out) avseende sina barns uppgifter

Utredningens bedömning: Det ska även i fortsättningen vara otillåtet för vårdnadshavare att motsätta sig tillgång avseende sina barns uppgifter. Nuvarande bestämmelse i patientdatalagen flyttas till ett nytt kapitel i samma lag men är i sak oförändrad.

Skäl för utredningens bedömning

Av 4 kap. 4 § tredje stycket PDL framgår att vårdnadshavare inte får begära spärr av sina barns uppgifter. Bakgrunden till denna begränsning är att det ansetts olämpligt utifrån skyddsaspekter för minderåriga att föräldrar ska kunna dölja uppgifter som till exempel skulle kunna avslöja misshandel eller andra former av brister i vårdnadshavares omsorg om sina barn. Om vårdnadshavare ges möjlighet att begära sina barns uppgifter spärrade, finns det risk för att missförhållanden som beror på vårdnadshavaren själv inte uppmärksammas eller att det tar längre tid för missförhållanden att upptäckas. Regeringen gjorde såväl i förarbetet till patientdatalagen

236

som i förarbetet till SVOD bedömningen att skyddet av barnet väger tyngre än det integritetsintrång det innebär att vårdnadshavare inte ges möjlighet att spärra uppgifter om barnet. 109 EHDS-förordningen har inte specifikt berört möjligheten att vårdnadshavare för sina barns räkning ska kunna motsätta sig åtkomsten till hälsodata. Det framgår däremot i artikel 10 andra stycket att medlemsstaten får fastställa regler och särskilda skyddsåtgärder för mekanismen för att motsätta sig tillgång. I skälen till EHDS-förordningen nummer 17, som förvisso berör artikel 8, rätten att begränsa tillgång, framgår att begränsningarna av tillgång till elektroniska hälsodata kan få livshotande konsekvenser och att nationella skyddsåtgärder och mekanismer får införas för att hantera dessa risker. Utredningen gör fortsatt samma bedömning som regeringen om att skyddet av barnet väger tyngre än det integritetsintrång det utgör att vårdnadshavare inte kan spärra sina barns uppgifter. Utredningen föreslår därför att nuvarande bestämmelser ska bestå oförändrade i sak men föreslår att de flyttas från 4 kap. 4 § PDL till 6 kap. 9 § PDL.

Författningsförslag

6 kap. 9 § andra stycket PDL

7.2.6 Utredningen återkommer i frågan om andra särskilt skyddsvärda gruppers rätt till opt-out

Utredningens bedömning: Det kan finnas andra särskilt skyddsvärda grupper vars rätt till opt-out behöver utredas. En sådan grupp är exempelvis de som inte endast tillfälligt saknar förmåga att själva ta ställning i frågan. Utredningen återkommer till detta i slutredovisningen.

109 Prop. 2021/22:177. s.94

237

Skäl för utredningens bedömning.

I nuvarande bestämmelser om sammanhållen omsorgsdokumentation finns särskilda bestämmelser om patienter som inte endast tillfälligt saknar förmåga att ta ställning i frågan. Vårdgivare eller omsorgsgivare får göra uppgifter tillgängliga för andra vårdgivare eller omsorgsgivare som är anslutna till sammanhållen vård- och omsorgsdokumentation, om patienten inte endast tillfälligt saknar förmåga att ta ställning i frågan. Det gäller om följande förutsättningar är uppfyllda: • Patientens eller omsorgsmottagarens inställning till sådan personuppgiftsbehandling har klarlagts så långt som möjligt. • Det finns inte anledning att anta att patienten eller omsorgsmottagaren skulle ha motsatt sig personuppgiftsbehandlingen. Utredningen återkommer i slutredovisningen i frågan om andra särskilt skyddsvärda gruppers rätt till opt-out.

7.2.7 Patientens rätt att motsätta sig tillgång till hälsodata ska inte gälla för uppgifter i nationella läkemedelistan

Utredningens bedömning: Patienten ska inte ha rätt att motsätta sig tillgång till de uppgifter om elektroniska förskrivningar och elektroniska expedieringar som finns i nationella läkemedelslistan.

Skälen för utredningens bedömning

Nationella bestämmelser om tillgång till den nationella läkemedelslistan

Nationella läkemedelslistan utgör i praktiken såväl ett register som en form av tillgångstjänst för vissa uppgifter om elektroniska förskrivningar och expedieringar. Det är inte frivilligt för den

238

enskilde att ingå i registret (4 kap. 1 § NLL). Däremot krävs samtycke för vissa behandlingar av uppgifter och för viss åtkomst till uppgifter. Det finns också möjlighet för patienten att begränsa viss tillgång genom spärrar. Uppgifter om förskrivningar registreras alltså i registret nationell läkemedelslista utan att patienten kan motsätta sig det. Anledningen till detta är bland annat att registret ligger till grund för att öppenvårdsapoteken ska kunna fullgöra sin förpliktelse att tillhandahålla patienter förskrivna läkemedel och varor. Den rättsliga grunden för behandling av personuppgifter i den nationella läkemedelslistan, med undantag för registrering av fullmakter och underlättande av en patients läkemedelsbehandling, är att behandlingen är nödvändig för att fullgöra den rättsliga förpliktelse som E-hälsomyndigheten har i fråga om att föra och ansvara för register som öppenvårdsapotek och vårdgivare behöver ha tillgång till för en patientsäker och kostnadseffektiv 110 läkemedelshantering. Behandling av personuppgifter som är tillåten enligt NLL kräver således inget godkännande från patienten. Vad avser läkemedelslistan är det inte möjligt för en patient att motsätta sig att uppgifter registreras i den nationella läkemedelslistan. I NLL finns dock regler om att själva åtkomsten i vissa fall kräver samtycke och en patient har också rätt att spärra vissa uppgifter för åtkomst (se nedan under avsnittet om spärr). Det ska inte införas någon möjlighet för en patient att motsätta sig delning av uppgifter inom ramen för nationella läkemedelslistan Den nationella läkemedelslistan innehåller en begränsad mängd uppgifter som framgår av 3 kap. 8 § NLL. Innehållet i registret utgör endast en begränsad del av de uppgifter som förekommer inom hälso- och sjukvårdens verksamhet. Ändamålen för den nationella läkemedelslistan avser huvudsakligen hantering av personuppgifter som är nödvändig för att en patient ska kunna få både en säker ordination och en säker expediering av ett förskrivet läkemedel, samt redovisning av uppgifter till olika myndigheter som behöver uppgifterna i sin tillsyn eller övriga verksamhet. Huvudregeln är därför enligt 4 kap. 1 § NLL att den behandling av personuppgifter

110 Regeringens proposition med förslag om nationell läkemedelslista (prop. 2017/18:223), s. 124 ff.

239

som är tillåten enligt lagen ska få utföras även om den registrerade inte lämnat sitt samtycke till behandlingen. I den nationella läkemedelslistan får uppgifter behandlas för mer begränsade ändamål än inom öppenvårdsapotekens respektive hälsooch sjukvårdens övriga verksamhet. De avvägningar mellan patientsäkerheten och den personliga integriteten som regeringen gjorde inför lagstiftningen i fråga om den nationella läkemedelslistan utgick från de ändamål och det innehåll som gäller för registret. Regeringen ansåg att det för den nationella läkemedelslistan behövdes, liksom för de tidigare registren receptregister och läkemedelsförteckning, särskilda regler om samtycke och spärrar. 111 Utifrån hur elektronisk förskrivning och elektronisk expediering av läkemedel är organiserad i Sverige skulle det inte vara möjligt att få ett läkemedel expedierat, om inte både den förskrivande personalen och den expedierande personalen har tillgång till nationella läkemedelslistan. Utredningen bedömer därför att det inte ska införas någon möjlighet för en patient att helt stå utanför det nationella registret dvs. att det inte ska finnas någon möjlighet att motsätta sig delning av uppgifter inom ramen för nationella läkemedelslistan. Nuvarande reglering i NLL ska därför kvarstå. Utredningen återkommer i avsnittet nedan om vilka andra möjligheter till inflytande över delningen av hälsodata inom nationella läkemedelslistan som föreslås.

7.3 Patienten ska ha rätt att begränsa elektronisk tillgång till sina uppgifter

7.3.1 Nationella regler om patientens rätt att begränsa tillgång (spärr) till hälsodata ändras

Utredningens förslag: Nya och ändrade bestämmelser om patientens rätt att begränsa elektronisk tillgång till sina hälsodata genom spärr förs in i patientdatalagen. Av bestämmelserna ska framgå:

111 Prop. 2017/18:223, s. 131

240

– att patienten ska ha rätt att begränsa elektronisk tillgång till sina hälsodata för hälso- och sjukvårdspersonal såväl inom som mellan vårdgivare, – att om patienten begränsar elektronisk tillgång till sina hälsodata ska uppgiften genast spärras, – att en begränsning av elektronisk tillgång till uppgifter inte får göras mot den vårdenhet eller inom den vårdprocess där uppgifterna dokumenterades, och – att en patient har rätt återta en begäran om en begränsning av elektronisk tillgång till registrerade uppgifter om honom eller henne.

Skälen för utredningens förslag

Kraven i EHDS-förordningen om patientens rätt att begränsa tillgång till hälsodata

Enligt artikel 8 i EHDS-förordningen ska fysiska personer ha rätt att begränsa tillgången till alla eller delar av personens prioriterade kategorier av hälsodata som avses i artikel 14. Medlemsstaterna får införa regler och särskilda skyddsåtgärder kring tillämpningen av patientens rätt till begränsning av tillgång. Av skälen i punkt 17 framgår att dessa regler och skyddsåtgärder ska avse de hälsokonsekvenser som begränsning av åtkomst till hälsodata kan leda till avseende vidtagna vårdinsatser. Det faktum att en fysisk person har begränsat tillgången till hälsodata enligt artikel 8 ska inte vara synligt för vårdgivare. Inte heller får vårdgivaren eller hälso- och sjukvårdspersonalen informeras om det spärrade innehållet enligt artikel 11.5.

241

Gällande nationell rätt avseende patients möjlighet till att begränsa tillgång genom spärr

I PDL finns regler som ger en patient rätt att påverka hur hälsodata delas inom en vårdgivare genom att begära spärr av informationen. Det finns kortfattat tre olika möjligheter till spärr i svensk lagstiftning. Den första möjligheten har utformats som en yttre spärr. Denna beskriver utredningen mer utförligt i avsnittet ovan om opt-out. Den andra möjligheten är en så kallad inre spärr vilket innebär att patienten begär att uppgifterna inte per automatik ska vara tillgängliga för behörig vårdpersonal som arbetar inom samma vårdgivare, men vid en annan vårdenhet eller annan vårdprocess än den där uppgifterna registrerades. Den tredje möjligheten har en patient inom ramen för nationella läkemedelslistan där han eller hon kan begära att information om förskrivna läkemedel ska spärras på så sätt att den inte längre är tillgänglig för direktåtkomst från hälsooch sjukvårdspersonal hos en vårdgivare och även i vissa fall för apotekspersonal. Utredningen återkommer till spärrar i NLL i avsnitt 7.4 Inre spärr, det vill säga spärr inom en vårdgivare, regleras i 4 kap. 4 § PDL. En patient har rätt att begära att personuppgifter som registreras för ändamålet att dokumentera vården eller för administration av denna vård inte ska kunna göras tillgänglig för personal som arbetar vid en annan vårdenhet eller inom en annan vårdprocess. Detta har kommit att kallas för en så kallad inre spärr eftersom den ger patient möjlighet att påverka åtkomst till hälsodata inom en vårdgivare. När en uppgift väl har spärrats kan åtkomst endast medges efter att patienten begärt eller samtyckt till ett hävande av den satta spärren eller om patienten av någon anledning inte kan samtycka och det föreligger en nödsituation. Uppgift om att en spärr har satts och att det förekommer information som är spärrad ska däremot alltid vara åtkomlig för vårdpersonal.

242

EHDS-förordningen ger möjlighet till detaljerad begränsning av tillgång, vilket innebär att nuvarande reglering om spärrar i patientdatalagen behöver ändras

EHDS-förordningen anger i artikel 8 att en patient ska ha rätt att begränsa tillgången för hälso- och sjukvårdspersonal och vårdgivare till alla eller delar av sina elektroniska hälsodata med personuppgifter enligt artikel 3 (vilken reglerar patientens rätt att ta del av åtminstone de prioriterade kategorierna av sina hälsodata). I skäl 22 anges att det inom ramen för ett team inom vården som består av flera vårdanställda, till exempel inom primärvården, så är utgångspunkten med regleringen tänkt vara att samtliga ingående i ett sådant team ska kunna ha åtkomst. Av skäl 17 framgår vidare att vid ett utbyte av elektroniska hälsodata med personuppgifter så bör de begränsningar som den berörda fysiska personen begärt ha samma verkan inom en viss medlemsstats territorium som vid gränsöverskridande datadelning. I artikeln anges att rätten till begränsning gäller gentemot hälso- och sjukvårdspersonal och vårdgivare. Vidare anges att detta kan vara särskilt relevant i fall med känsliga hälsofrågor, exempelvis rörande psykisk eller sexuell hälsa, känsliga förfaranden såsom abort eller uppgifter om särskilda läkemedel. EHDS-förordningen ger således patienter en rätt att införa begräsningar både vad avser omfattning, det vill säga typ av hälsodata, och utsträckning, det vill säga vilka vårdgivare eller vilken vårdpersonal, som begränsningen riktar sig mot. Utredningen bedömer att regleringen i PDL av möjligheten att spärra en uppgift, åtminstone delvis, överensstämmer med en sådan tillåten begränsning av åtkomsten såsom rättigheten för patienten är formulerad i EHDS-förordningen. På det sätt som inre spärr är reglerad i 4 kap. 4 § PDL möjliggörs enligt utredningen en viss detaljnivå både avseende vilka informationsmängder som ska omfattas och vilken hälso- och sjukvårdspersonal som ska omfattas (personal vid andra vårdenheter eller vid andra vårdprocesser). Det är emellertid, enligt utredningen, oklart om det med stöd av nämnda lagrum går att begära en spärr för endast en viss delmängd hälsodata, till exempel en viss diagnos eller om det som får begränsas i praktiken är tillgången till all information som är tillhörig en viss organisatorisk vårdenhet eller vårdprocess.

243

Enligt förarbetena till PDL har vårdgivaren stora möjligheter att påverka den praktiska möjligheten för patienten att spärra uppgifter mot bakgrund av att spärren handlar just om organisatoriska gränser. Hur de organisatoriska gränserna närmare ska dras inom en vårdgivares verksamhet bestäms ytterst av varje vårdgivare själv med utgångspunkt i dennes behov. I förarbetena betraktas det som självklart att gränserna avseende tillgång till information – inom ramen för vad paragrafen föreskriver – ska dras på ett praktiskt och rimligt sätt för vårdgivaren. 112 Varken praxis eller förarbeten säger egentligen något om med vilken granularitet en spärr kan begäras, men det kan konstateras att förarbetena lägger en stor del av förfoganderätten avseende spärrens praktiska utformning hos vårdgivaren. I förarbetena sägs till och med uttryckligen att vårdgivare inte ska behöva tillmötesgå varje patients individuella önskemål avseende inre spärr. 113 Eftersom förarbeten inte berör den närmare innebörden av vilken informationsmängd en patient kan begära spärrad är det oklart om en vårdgivare utifrån en sådan begäran är skyldig att se till att bara just den delen av informationen blir spärrad eller om det är tillräckligt att hela vårdenhetens informationsmängd förses med en spärr. Vid beaktande av hur vårdgivare i praktiken arbetar med införande av spärr, erfar utredningen att det idag inte är typen av uppgifter som spärras utan den organisatoriska enhet där uppgifterna finns registrerade som logiskt begränsas i systemen från att ge andra vårdenheter eller vårdprocesser tillgång till uppgifterna.

Det ska införas en bestämmelse om att en patient har rätt att begränsa elektronisk tillgång till en eller samtliga personuppgifter

Utredningen gör sammantaget bedömningen att EHDSförordningen ger patienten en mer omfattande rätt att på ett mer detaljerat sätt begränsa åtkomsten till sina hälsodata än vad svensk nationell rätt gör idag. Utredningen föreslår därför att bestämmelsen om patientens rätt att begränsa elektronisk åtkomst anpassas till EHDS-förordningen. Av de nya bestämmelserna ska det framgå att

112 Prop. 2007/08:126, s. 241 113 Prop. 2007/08:126, s. 151.

244

en patient har rätt att begränsa elektronisk tillgång till en eller samtliga personuppgifter om honom eller henne som behandlas för vårdändamål. En sådan begränsning får dock inte göras mot den vårdenhet eller den vårdprocess inom vilken uppgifterna dokumenterades. Om en patient begär en begränsning ska uppgifterna genast spärras. Uppgifterna får inte göras tillgängliga genom elektronisk tillgång för den eller dem mot vilken begränsningen gäller.

Det ska införas en ny bestämmelse om att patienten kan återta en begäran om begränsning av tillgång

I förarbetena till PDL förutsattes att patienten själv skulle kunna vända sig till vårdgivaren och begära en hävning av sin spärr. 114 Detta kom dock inte till uttryck i lagen. I EHDS-förordningen föreskrivs att en patient ska kunna utöva sina rättigheter i en tillgångstjänst för patienter (artikel 4). Utredningen bedömer att det behöver vara tydligt vilka rättigheter en patient kan utöva i tillgångstjänsten. Utredningen anser därför att det behöver framgå av PDL att en patient har rätt att återta en begäran om en begränsning av elektronisk tillgång till registrerade uppgifter om honom eller henne. Följden av en sådan begäran är att uppgifterna åter ska vara elektroniskt tillgängliga för hälso- och sjukvårdspersonal. Utredningen föreslår en ny bestämmelse om detta i PDL.

Rätten att begränsa elektronisk tillgång avser all hälsodata som ska och får tillgängliggöras mellan vårdgivare enligt patientdatalagen

Utredningen konstaterar att den rättighet att begränsa tillgång genom spärr som EHDS-förordningen reglerar, enbart avser de prioriterade kategorierna av elektroniska hälsodata. I likhet med resonemanget som förs angående samtycke i avsnitt 6.4.3 anser utredningen att det är olämpligt att ha olika regler för hur olika informationsmängder ska hanteras inom ramen för patientens vårddokumentation. Olika regler för spärr beroende på vilken typ av

114 Prop. 2007/08:126, s. 152.

245

informationsmängd det handlar om, gör det väldigt problematiskt både för leverantörer av system samt för hälso- och sjukvårdspersonal och patient. Det blir inte begripligt vad en spärr faktiskt får för effekt och den blir svår att tillämpa för en vårdgivare. Dagens spärrsystem har sin utgångspunkt i vårdens egen organisation, vilket även det kan göra det svårt för en patient att utan hjälp få en uppfattning om effekten av en spärr. Utredningen anser att det finns ett behov av att förnya reglerna om spärr och att de utformas tydligare än idag. Utredningen föreslår att motsvarande rätt att begränsa tillgång genom spärr som följer av artikel 8 i EHDSförordningen ska gälla även för vårdgivares tillgängliggörande av andra kategorier av hälsodata än de prioriterade kategorierna enligt artikel 14. En nationell reglering av patientens rätt att begränsa elektronisk tillgång till hälsodata mellan vårdgivare och vårdpersonal behöver därför utformas på ett sådant sätt att den överensstämmer med rättigheten att begränsa tillgång enligt EHDS-förordningen. Detta ska gälla oavsett vilken kategori av hälsodata som patienten vill spärra och inte bara de prioriterade kategorierna.

Nya bestämmelser och ändrade bestämmelser om rätten att spärra föreslås i patientdatalagen

Ändring av nuvarande bestämmelser om spärr föreslås. I nationell rätt regleras rätten till att spärra uppgifter mellan vårdgivare idag i SVOD, medan rätten till spärr inom en vårdgivare regleras i PDL. Utredningen föreslår att samtliga bestämmelser som avser patientens rätt att motsätta sig eller begränsa tillgång framöver ska finnas i PDL. Det ska vara tydligt att rätten att spärra uppgifter omfattar både tillgång till hälsodata inom en vårdgivare och mellan olika vårdgivare. Rätten till så kallad yttre spärr har redan behandlats ovan och föreslås införas som en tydlig rättighet för de patienter som helt vill motsätta sig och därmed stå utanför delningen av hälsodata (så kallad opt-out). EHDS-förordningens bestämmelse i artikel 8 om rättigheten att begränsa tillgång gör ingen principiell skillnad mellan inre och yttre spärrar på samma sätt som svensk rätt gör idag. Det saknas enligt utredningen anledning att särskilja mellan elektronisk åtkomst inom en vårdgivare och direktåtkomst mellan

246

vårdgivare när det gäller rättigheten till att spärra information. Uppdelningen har snarast, och som redogjorts för ovan, varit svårbegriplig för patienter. Det finns inte heller någon anledning att, som i dag, begränsa bestämmelserna i 4 kap. PDL till att endast reglera åtkomst inom en vårdgivare. Bestämmelserna i kapitlet bör enligt utredningens uppfattning i stället omfatta grundläggande bestämmelser om elektronisk tillgång till hälsodata generellt. Utredningen föreslår därför att nya bestämmelser och ändrade bestämmelser förs in i 4 kap. i PDL. Dessa ska utformas på ett sådant sätt att kapitlet nu omfattar grundläggande bestämmelser om elektronisk tillgång till uppgifter om en patient. Den förändring som förslås i 4 kap. PDL innebär att den nationella regleringen är i överensstämmelse med det som EHDSförordningen kräver. Den leder också till en förenkling på så sätt att det blir tydligare för patienten och vården vilka möjligheter till begränsning av tillgång genom spärr som finns. För en patient är det, vad utredningen erfar, sällan självklart eller tydligt vilken verksamhet som erbjuds av en och samma vårdgivare och var gränserna mellan olika vårdenheter går.

Utredningen återkommer till formerna för hur en begäran om begränsning av elektronisk tillgång genom spärr kan lämnas i utredningens slutbetänkande

Utredningens förslag till bestämmelserna fastställer inte formerna för hur en begäran om att uppgifterna ska spärras ska lämnas eller till vem. I EHDS-förordningen föreskrivs att en patient ska kunna utöva sina rättigheter i en tillgångstjänst för patienter (artikel 4). Utredningen behandlar frågan om tillgångstjänst för patient och de rättigheter som ska kunna utövas genom denna tjänst i sin slutredovisning. Det innefattar att återkomma till vilka särskilda regler och skyddsåtgärder som kommer gälla i samband med att patienten lämnar eller häver en begäran om spärr i sitt slutbetänkande.

247

Författningsförslag

Ändringar i 4 kap. 4 § och en ny paragraf 4 kap. 4 a §§ PDL

7.3.2 Uppgifter om att information är spärrad ska inte synas för vårdgivare

Utredningens förslag: Det ska införas en bestämmelse i patientdatalagen om att det inte ska vara synligt för vårdgivare att det finns elektroniska hälsodata vars tillgång har begränsats för vårdgivaren.

Skälen för utredningens förslag

Såsom rättigheten till spärr är reglerad idag finns det alltid möjlighet för vårdpersonal att se att det finns information som är spärrad. Genom processer som regleras i Socialstyrelsens föreskrifter och allmänna råd (HSLF-FS 2016:40) om journalföring och behandling av personuppgifter i hälso- och sjukvården kan personal genom att tillämpa så kallade aktiva val ta del av vilka uppgiftsmängder som är spärrade. Av artikel 8 i EHDS-förordningen framgår det tydligt av tredje stycket att information om att patient nyttjat sin rättighet att spärra information inte får synas för vårdgivaren (dvs. vårdpersonalen). Det finns förvisso en öppning i fjärde stycket om att medlemsstater ska fastställa regler och särskilda skyddsåtgärder kring rättigheten till begränsning av åtkomst. Dessa skyddsåtgärder kan dock knappast med beaktande av det tredje styckets tydlighet möjliggöra att information om att patient begärt spärr kan vara synligt. Utredningen föreslår mot bakgrund av ovanstående resonemang att nuvarande bestämmelse i PDL ska ändras så att det tydliggörs att information om att det finns spärrade uppgifter inte får delges till de vårdgivare, vårdenheter eller anställd vårdpersonal som påverkas av spärren. Som en konsekvens av ändringen måste även

248

Socialstyrelsens föreskrifter om behandling av personuppgifter i hälso- och sjukvården och hanteringen av inre spärr anpassas.

Författningsförslag

En ny paragraf 4 kap. 4 a § andra stycket PDL

7.3.3 Det ska vara möjligt att häva en spärr i en nödsituation

Utredningens förslag: Det ska även fortsatt vara möjligt för en vårdgivare att häva en patients begränsning av elektronisk tillgång till sina hälsodata om det finns en fara för en patients liv eller allvarlig risk för dennes hälsa och patienten saknar förmåga att själv begära att spärren ska hävas. Bestämmelsen ändras på sådant sätt att patientens begäran om hävning av begränsningen inte längre ska vara knuten till något samtycke. Det ska inte heller längre vara en förutsättning för tillgång att uppgifterna kan antas behövas för vården av patienten.

Skäl för utredningens förslag

Av 4 kap. 5 § PDL följer att en spärr får hävas av en behörig befattningshavare hos vårdgivaren om patientens samtycke inte kan inhämtas och informationen kan antas ha betydelse för den vård som patienten oundgängligen behöver. Med oundgängligen menas att det är fara för patientens liv och hälsa. I artikel 11 EHDS-förordningen anges att genom undantag från artikel 8 första stycket får vårdgivaren eller hälso- och sjukvårdpersonalen beviljas åtkomst till de elektroniska hälsodata som är föremål för begränsning, om det är nödvändigt för att skydda den registrerades grundläggande intressen. Det ska i så fall loggas i ett tydligt och begripligt format och ska vara lättillgängliga för den registrerade. EHDS-förordningen tillåter således någon form av hävande (dvs. det som ofta kallas nödöppning eller nödåtkomst) av den spärr som upprättats genom att patienten utnyttjat sin rättighet

249

till att begränsa tillgång, om det är nödvändigt för att skydda den registrerades grundläggande intressen. Nuvarande bestämmelser i PDL utgår i första hand från att patienten samtycker till att spärren hävs. Men om patienten inte kan samtycka till det, t.ex. på grund av medvetslöshet, så kan vårdgivaren genomföra en s.k. nödöppning. Det innebär att kontrollen över när en satt spärr hävs normalt finns hos patienten, förutom när det uppstår nödsituationer och patienten inte är kapabel att samtycka till att spärren hävs. Så länge patienten har handlingsförmåga så kan patienten begära att spärren ska hävas. Det är enligt utredningen missvisande att beskriva en sådan begäran som ett samtycke. Krav på samtycke finns för flera olika situationer i PDL och annan kringliggande lagstiftning. Utredningen erfar att det av många uppfattas som en svår lagstiftning att förstå och inte minst de olika samtyckeskraven vid olika tillfällen kan bidra till denna svårighet. Utredningen föreslår i stället att bestämmelsen ska fokusera på patientens förmåga att själv begära att spärren kan hävas. Även med en sådan formulering anser utredningen att det syfte som eftersträvas, dvs. att patientens kontroll över de begräsningar som är satta, bibehålls. Det föreligger emellertid mindre risk för sammanblandning mellan detta samtycke och de tidigare omnämnda. Bestämmelsen är i sak oförändrad men med en annan språklig utformning. Genom att utelämna begreppet samtycke, förebyggs att sammanblandning görs med andra samtycken inom ramen för hälso- och sjukvården, vilket utredningen erfar är fallet i dag. Idag ska det därutöver även krävas att den information som är spärrad och som personal vill göra en nödöppning av kan antas ha betydelse för den vård som patienten oundgängligen behöver. Personalen måste alltså värdera vilken typ av spärrad information som har faktisk betydelse i vårdsituationen. Tillvägagångssättet bygger på att vårdpersonalen har tillgång till information om i vart fall på ett ungefär vilken typ av uppgifter som finns tillgängliga bakom en spärr. Eftersom det inte längre ska få synas att det finns spärrade uppgifter kommer det dock inte att framgå vilken typ av uppgifter som finns bakom en spärr eller ens någon information om att spärrade uppgifter överhuvudtaget förekommer.

250

Under den workshop som utredningen genomfört med representanter för hälso- och sjukvårdspersonal framhåller flera att det är problematiskt och en patientsäkerhetsrisk att det inte går att se om det finns spärrad information eller inte. Dels utifrån omständigheten att det då är svårt för vården att veta vilken slags samtal och vilka slags frågor de behöver ställa till patienten. Dels utifrån att det blir mycket svårt att skapa sig en uppfattning om behovet att kunna ta del av eventuellt spärrad information vid en nödsituation. 115 Utredningen bedömer mot bakgrund av detta att det inte är rimligt att behålla ett krav om att hälso- och sjukvårdspersonalen ska genomföra denna värdering innan de försöker ta del av spärrad information i en nödsituation. Det ska vara tillräckligt att det är en nödsituation där patienten behöver vård för att hans eller hennes liv är i fara och att patienten inte har förmåga att själva häva en spärr för att uppfylla kriterierna till att genomföra nödåtkomst till spärrad information. Utredningen föreslår enligt ovanstående resonemang att en ändring av bestämmelserna i PDL som gör det möjligt för vården att häva spärrar som patienten satt. Bestämmelsen i 4 kap. 5 § ändras. Av den ändrade bestämmelsen framgår att en spärr får hävas av en behörig befattningshavare hos vårdgivaren om patientens liv är i fara, eller en allvarlig risk för patientens hälsa föreligger och patienten saknar förmåga att själv begära att spärren ska hävas. Utredningen bedömer att den ändringen som föreslås överensstämmer med möjligheterna i EHDS artikel 8 att fastställa regler och särskilda skyddsmekanismer samt artikel 11 andra stycket om undantag från artikel 8. Vad avser kravet i artikeln om loggning av nödåtkomst har utredningen redogjort för detta i avsnitt 6.7 och bedömt att det inte behöver införas ändrade bestämmelser i PDL. Det räcker med att tydliggöra detta genom myndighetsföreskrifter. Som nämns i 7.3.1 kommer utredningen återkomma i slutrapporten i fler frågor, bland annat om patientens möjlighet att ta del av logg via en tillgångstjänst.

Författningsförslag

Ändringar i 4 kap. 5 § PDL

115 PM Workshop 1 Sveriges framtida infrastruktur för hälsodata, 2025-03-18,

251

7.3.4 Barn och ungdomar ska ha rätt att begränsa tillgången (spärr) till elektroniska hälsodata

Utredningens bedömning: Barn och ungdomar ska, precis som vuxna, fortsatt kunna begränsa tillgången till hälsodata. Någon särreglering för barn och ungdomar ska inte införas. Möjligheten att spärra uppgifter ska bedömas av vården individuellt utifrån barnets mognad.

Skälen för utredningens bedömning

Bedömningen av barns och ungdomars förmåga att själv begränsa tillgång (spärr) till sina elektroniska hälsodata bör hanteras på motsvarande sätt som i den övriga verksamheten inom hälso- och sjukvården

I avsnitt 7.2.4 om rätten att motsätta sig tillgång till hälsodata har redogjorts för barn och ungdomars rättigheter enligt nationell rätt. Sammanfattningsvis får vårdnadshavare inte spärra ett barns uppgifter, men barnet eller ungdomen själv har däremot i takt med stigande ålder och mognad rätt att begära spärr av sina uppgifter. Regeringen framhöll i förarbetena till lagen om sammanhållen vård- och omsorgsdokumentation att barn som är patienter eller omsorgsmottagare är i ett beroendeförhållande till vårdgivaren eller omsorgsgivaren. Därför var det angeläget att vårdgivaren eller omsorgsgivaren i tillämpandet av den lagen skulle säkerställa att samtycken från barn är reella samtycken, och att barnets rättigheter tillvaratas. 116 En specifik åldersgräns för när ett barn ska ha rätt att spärra uppgifter i ett system med sammanhållen vård- och omsorgsdokumentation framstod därmed inte som lämpligt. I stället ansågs enligt regeringen, i likhet med vad som gäller för sammanhållen journalföring enligt PDL, att barnet själv ska ha rätt att spärra uppgifter om sig själv i takt med sin stigande ålder, mognad 117 och utveckling. I förarbeten till PDL angavs endast att vid

116 Prop 2021/22:177, s. 96 117 Prop. 2021/22:177, s. 95 ff.

252

bedömning av mognadsgrad bör barn och tonåringar hanteras på motsvarande sätt som i den övriga verksamheten inom hälso- och sjukvården. I takt med den underåriges stigande ålder och mognad ska allt större hänsyn tas till barnets önskemål och vilja vad till exempel gäller om uppgifter om honom eller henne ska få göras tillgängliga för andra vårdgivare eller inte. 118 Även i förarbetena till NLL ansågs att barn skulle kunna besluta om spärr i takt med mognad. Regeringen ansåg att det inte var möjligt att i lag närmare precisera vilken ålder som vore passande för 119 samtliga barn. Utredningen bedömer att rätten att spärra är en del av barnets rätt till självbestämmande och inflytande, i enlighet med barnkonventionen. I likhet med vad som föreslagits och reglerats tidigare i PDL, SVOD och NLL bör även utredningens förslag om patientens möjlighet att begränsa tillgång till hälsodata omfatta barn och ungdomar som nått en tillräckligt mognad. Förslaget i avsnitt 7.3.1 om en bestämmelse i 4 kap. 4 § avseende patientens rätt att begränsa tillgång till elektroniska uppgifter för vårdsyfte ska således även gälla personer under 18 år. Möjligheten att utöva sin rättighet ska även fortsatt bedömas individuellt utifrån barnets mognad, inte ålder, och bör därför kunna utövas först när någon i vården gjort en sådan bedömning. Utredningen anser att den reglering som utredningen föreslår om den enskildes rätt att begränsa tillgång till hälsodata utgör en anpassning av nationell rätt i enlighet med de rättigheter som föreskrivs i 8 kap. EHDS-förordningen. Förslaget står även i överensstämmelse med det som anges i artikel 5 och artikel 12 barnkonventionen om att i takt med barnets stigande ålder och mognad så ska allt större hänsyn tas till barnets åsikter, önskemål och vilja. Mot bakgrund av att det inte längre kommer vara synligt för vården huruvida en spärr föreligger eller inte måste riskerna tydliggöras för barnet eller ungdomen om vad en spärr kan få för patientsäkerhetsmässiga konsekvenser, utredningen återkommer till det i avsnitt 7.5 nedan.

118 Prop 2007/08:126, s. 153 119 Prop. 2017/18:223, s. 139

253

7.3.5 Det ska inte vara tillåtet för vårdnadshavare att begränsa tillgång (spärr) till sina barns uppgifter

Utredningens bedömning: Det ska fortsatt inte vara tillåtet för vårdnadshavare att begränsa hälso- och sjukvårdspersonal elektronisk tillgång till sina barns uppgifter, i förhållande till vårdnadshavare i Sverige.

Skäl för utredningens bedömning

Av 4 kap. 4 § andra stycket PDL framgår idag att vårdnadshavare inte får begära spärr av sina barns uppgifter. Motsvarande begränsning gäller i NLL. Bakgrunden till denna begränsning är som beskrivet i avsnitt 7.2.5 att det ansetts olämpligt utifrån skyddsaspekter för minderåriga att föräldrar ska kunna dölja uppgifter som till exempel skulle kunna avslöja misshandel eller andra former av brister i vårdnadshavares omsorg om sina barn. EHDS-förordningen har inte specifikt berört möjligheten att vårdnadshavare för sina barns räkning kan begära att åtkomsten till hälsodata begränsas. Det framgår däremot i artikel 8 att medlemsstaten får fastställa regler och särskilda skyddsåtgärder för mekanismen att begränsa åtkomst. I skälen till EHDS-förordningen nummer 17 framgår att begränsningarna av tillgång till elektroniska hälsodata kan få livshotande konsekvenser och att nationella skyddsåtgärder och mekanismer får införas för att hantera dessa risker. Utredningen anser mot bakgrund av detta att det är förenligt med EHDS-förordningens bestämmelser att nationellt reglera att vårdnadshavare inte ska ha möjlighet att begära begränsningar för vårdens åtkomst till barnets hälsodata. Denna begränsning har sin utgångspunkt i säkerhet och skydd av barnets hälsa. Utredningen gör bedömningen att det förbud mot att vårdnadshavare får spärra sina barns uppgifter som idag finns i 4 kap. 4 § PDL bör kvarstå oförändrad i sak. Utredningen flyttar bestämmelsen till en egen paragraf och föreslår mindre språkliga anpassningar av bestämmelsen för att den ska överensstämma med språkbruket i EHDS-förordningen och formuleringarna av övriga bestämmelser i 4 kap.

254

Författningsförslag

En ny paragraf 4 kap. 4 b § PDL

7.4 Patienten ska ha rätt att begränsa tillgången till uppgifter i den nationella läkemedelslistan

7.4.1 Patientens rätt att spärra tillgång till uppgifter i nationella läkemedelslistan utökas

Utredningens förslag: Patientens rätt att spärra uppgifter i den nationella läkemedelslistan utvidgas så att alla uppgifter som dokumenterats för ändamålet expediering av läkemedel får spärras.

Skäl för utredningens förslag

Nuvarande bestämmelser om möjligheten till spärr i den nationella läkemedelslistan

Enligt NLL har den enskilde möjlighet att begränsa åtkomsten till uppgifterna i nationella läkemedelslistan genom att begära att få sina uppgifter spärrade (4 kap. 3§ NLL). Det har ansetts vara en viktig integritetshöjande åtgärd, som dock har begränsats till vissa angivna områden, för att på så sätt ändå möjliggöra att ändamålen med personuppgiftsbehandlingen i den nationella läkemedelslistan kan uppnås samtidigt som patienten har ett visst utrymme till att begränsa spridning. Genom åtgärden spärr kan patienten förhindra tillgängliggörandet av vissa utpekade uppgifter som patienten själv uppfattar som särskilt integritetskänsliga, som t.ex. vissa utpekade läkemedel som härrör från en viss vårdenhet som psykiatri eller visst utpekat läkemedel som anses känsligt i sig. 120

120 Se prop. 2017/18:223, s. 136.

255

Patienten kan begära att uppgifter spärras för direktåtkomst för hälso- och sjukvårdspersonal. Om patienten utnyttjat denna möjlighet får utpekad hälso- och sjukvårdspersonal, bland annat de som har behörighet att förskriva läkemedel, åtkomst till uppgiften om att det finns spärrade uppgifter. 121 Enligt lagens förarbeten motiveras denna möjlighet av att den som med patientens samtycke ges direktåtkomst till uppgifter i registret bör ha kännedom om att tillgängliggörandet inte avser samtliga uppgifter om patienten som finns i nationella läkemedelsregistret. Vetskapen om att uppgifterna inte är fullständiga behövs för att hälso- och sjukvårdsbeslut inte ska fattas på felaktiga antaganden. Kännedom om att det finns spärrade uppgifter kan också initiera en önskvärd dialog med patienten. 122 Patienten har också viss möjlighet att spärra apotekspersonals åtkomst till uppgifter i registret. Samtliga uppgifter kan spärras när ändamålet för åtkomsten är att underlätta patientens läkemedelsanvändning, medan uppgifter om ordinationsorsak kan 123 spärras när de ska användas för att expediera ett läkemedel. Övriga uppgifter behöver apotekspersonal få ha tillgång till för att kunna expediera förskrivna läkemedel och andra varor i enlighet med de författningskrav som är förenade med expedieringen.

Patientens rätt att spärra uppgifter i den nationella läkemedelslistan utvidgas så att alla uppgifter kan spärras för ändamålet expediering av läkemedel

På motsvarande sätt som för PDL bedömer utredningen att möjligheten att spärra en uppgift i NLL är en tillåten begränsning av tillgång utifrån patientens rätt att begränsa tillgång såsom den formulerats i artikel 8 EHDS-förordningen (se avsnitt 7.3.1). Enligt NLL har en patient rätt att få uppgifter i den nationella läkemedelslistan spärrade för direktåtkomst för ändamålen underlättande av en patients läkemedelsanvändning, åstadkommande av en säker ordination av läkemedel och andra varor för en patient, beredande av vård eller behandling av en patient och komplettering av en patientjournal (4 kap. 3 § NLL). På samma sätt

121 4 kap. 3 § sista stycket samt 5 kap. 3 § andra stycket lagen om nationell läkemedelslista. 122 Prop. 2017/18:223, s. 137 f. 123 4 kap. 3 § första stycket lagen om nationell läkemedelslista.

256

kan uppgift om ordinationsorsak kunna spärras även för ändamålet expediering av läkemedel och andra varor som förskrivits. Utredningen anser att det fortsatt ska vara så att en patient ska ha rätt att spärra uppgifter i den nationella läkemedelslistan. En patient kan enligt gällande rätt emellertid inte begära att E-hälsomyndigheten ska spärra uppgifter i nationella läkemedelslistan för apotekspersonalens direktåtkomst för ändamålet expediering av läkemedel och andra varor som förskrivits (med undantag för uppgifter om ordinationsorsak). Om uppgifterna är spärrade blir nämligen konsekvensen att patienten inte kan hämta ut sina läkemedel på apoteket. I förarbetena till NLL ansågs att hela ändamålet med att registrera uppgiften då blir omöjlig att uppfylla och därför undantogs expediering från möjligheten till spärr. Utredningen bedömer dock att den patient som vill utöva en aktiv kontroll över sina uppgifter bör ha dessa möjligheter i så stor utsträckning som möjligt, inte minst mot bakgrund av den förändringen som utredningen föreslår som innebär att samtycke inte längre ska vara en förutsättning för åtkomst samt av att delning av hälsodata kommer att bli obligatoriskt. En patient som vill utöva aktiv kontroll över sina uppgifter kan spärra dessa fram till dess att läkemedlet ska hämtas ut och får vid uthämtningstillfället häva spärren, för att läkemedlet ska kunna hämtas ut. Vid ett sådant förfarande behåller patienten kontroll över spridningen av sina uppgifter i enlighet med artikel 8 i EHDSförordningen. Utredningen föreslår därför att bestämmelsen i NLL ändras så att patienten ska ha rätt att begränsa tillgång till alla uppgifter i den nationella läkemedelslistan som behandlas för ändamålen expediering av läkemedel och andra varor som förskrivits eller för underlättande av en patients läkemedelsanvändning, genom att spärra expedierande personals direktåtkomst. Av den nya bestämmelsen framgår att E-hälsomyndigheten efter begäran av en patient ska spärra uppgifterna i den nationella läkemedelslistan för de ändamål som gäller idag samt även fullt ut för ändamålet expediering av läkemedel och andra varor som förskrivits.

Författningsförslag

4 kap. 3 § första stycket § NLL

257

7.4.2 Uppgifter om spärrar får inte vara synliga i den nationella läkemedelslistan

Utredningens förslag: Uppgifter om spärrar ska inte få vara synliga i den nationella läkemedelslistan. En ny bestämmelse om att det inte får framgå att det finns spärrade uppgifter om patienten förs in i lag om nationell läkemedelslista.

Skälen till utredningens förslag

Av artikel 8 i EHDS-förordningen framgår det i tredje stycket att information om att en patient nyttjat sin rättighet att spärra uppgifter inte får synas för vårdpersonalen. Enligt NLL får hälsooch sjukvårdspersonal ha åtkomst till uppgiften om att det finns uppgifter i läkemedelslistan, som en patient har spärrat. 124 Enligt lagens förarbeten motiveras denna möjlighet av att den som med patientens samtycke ges direktåtkomst till uppgifter i registret bör ha kännedom om att tillgängliggörandet inte avser samtliga uppgifter om patienten som finns i nationella läkemedelsregistret. Regeringen ansåg att vetskapen om att uppgifterna inte är fullständiga behövs för att hälso- och sjukvårdsbeslut inte ska fattas på felaktiga antaganden. 125 Utredningen föreslår emellertid att en ny bestämmelse ska införas i 4 kap 3 § NLL om att det inte får framgå av den nationella läkemedelslistan att det finns spärrade uppgifter om patienten eftersom artikel 8 i EHDS-förordningen på ett tydligt sätt framhåller att spärrar inte får synas för vårdgivare och apotek. Utredningen föreslår även att nuvarande bestämmelse i 5 kap. 3 § andra stycket NLL, om att hälso- och sjukvårdspersonal får ges direktåtkomst avseende uppgiften om att det finns spärrade uppgifter, upphävs. Detta är en följd av den nya bestämmelsen i 4 kap. NLL.

Författningsförslag

4 kap. 3 § NLL

124 4 kap. 3 § sista stycket samt 5 kap. 3 § andra stycket lagen om nationell läkemedelslista. 125 Prop. 2017/18:223, s. 137 ff.

258

5 kap. 3 § andra stycket NLL (upphävs)

7.4.3 En spärr ska inte hindra direktåtkomst till uppgifter om en patient som får dosdispenserade läkemedel.

Utredningens förslag: En spärr ska inte hindra att utpekad hälso- och sjukvårdspersonal för vissa ändamål ges direktåtkomst till uppgifter om en patient som får dosdispenserade läkemedel. Nuvarande bestämmelse om direktåtkomst till uppgifter om patienter som får dosdispenserade läkemedel ska ändras. Av den nya lydelsen ska framgå att direktåtkomst får ges till uppgifter om en patient som får dosdispenserade läkemedel även om det finns spärrade uppgifter.

Skälen till utredningens förslag

Direktåtkomst för behörig hälso- och sjukvårdspersonal hos en vårdgivare (5 kap. 3 § 1 och 2 NLL) får utan patientens samtycke ges till uppgifter om en patient som får dosdispenserade läkemedel. En konsekvens av utredningens förslag om att ta bort samtyckeskravet för behörig personals åtkomst till den nationella läkemedelslistan är att denna undantagsbestämmelse kan tas bort. Frågan är om skälen för åtkomst utan samtycke när det gäller denna typ av förskrivning, motiverar ett undantag från rätten att spärra uppgifterna. Enligt artikel 8 EHDS-förordningen har fysiska personer rätt att begränsa tillgången för hälso- och sjukvårdspersonal och vårdgivare till alla eller delar av sina elektroniska hälsodata med personuppgifter. Medlemsstaterna ska därtill enligt artikel 8 sista stycket fastställa regler och särskilda skyddsåtgärder för sådana begränsningsmekanismer. I artikel 11 EHDS-förordningen anges att genom undantag från artikel 8 första stycket får vårdgivaren eller hälso- och sjukvårdpersonalen beviljas åtkomst till de elektroniska

259

hälsodata som är föremål för begränsning, om det är nödvändigt för att skydda den registrerades grundläggande intressen. Utredningen bedömer att rätten att spärra uppgifter från åtkomst är en grundläggande och för patientens integritet viktig rättighet som EHDS-förordningen påbjuder, särskilt som utgångspunkten i förordningen är att uppgifter ska delas mellan vårdgivare. Begränsningar i denna rättighet måste därför vara väl motiverade. Enligt 4 kap. 3 § 3 NLL så hindrar en spärr inte åtkomst utan samtycke till uppgifter om dosdispenserade läkemedel. Utredningen anser att det vore önskvärt att göra en så liten förändring av reglerna om åtkomst till uppgifter om dosdispenserade läkemedel som möjligt. Syftet med bestämmelserna, som de är utformade i gällande rätt, är att det ska finnas tillgång till uppgifter om dessa förskrivningar i läkemedelslistan. En viktig anledning till att legitimerad hälso- och sjukvårdspersonal har åtkomst till uppgifter som rör patienter som får dosdispenserade läkemedel är att dessa patienter i regel behandlas med flera läkemedel åt gången, ibland mer än tio. Det är inte ovanligt att dessa s.k. dospatienter har en kognitiv nedsättning och många av dem är äldre, vilket innebär ökad risk för försämrad njurfunktion och andra åldersrelaterade förändringar i kroppens förmåga att bryta ned läkemedel. Det skulle vara förenat med stora risker att skriva ut läkemedel till dessa patienter utan att 126 veta vilka andra aktuella förskrivningar som finns. Utredningen anser därför att tillgång till sådana uppgifter är nödvändig för att skydda den registrerades grundläggande intresse av en god och säker vård. Utredningen föreslår att bestämmelsen i 5 kap. 3 § NLL ändras. Av bestämmelsen ska framgå att direktåtkomst får ges till uppgifter om en patient som får dosdispenserade läkemedel, även om det finns spärrade uppgifter. En sådan direktåtkomst ska bara vara tillåten för ändamålen åstadkommande av en säker ordination av läkemedel och andra varor för en patient, beredande av vård eller behandling av en patient och komplettering av en patientjournal. Vidare föreslår utredningen att bestämmelsen i 4 kap. 3 § NLL tredje stycket ändras så att en spärr inte hindrar sådan behandling av personuppgifter som avses i 5 kap. 3 § andra stycket NLL om direktåtkomst till uppgifter om en patient som får dosdispenserade läkemedel. Direktåtkomst

126 Prop. 2017/18:233, s.

260

ska endast vara tillåten för den hälso- och sjukvårdspersonal och de angivna ändamål som pekas ut i 5 kap. 3§ första stycket NLL.

Författningsförslag

Ändring av 4 kap. 3 § och 5 kap. 3 § NLL.

7.4.4 Hälso- och sjukvårdspersonal ges direktåtkomst till uppgifter om narkotiska eller andra särskilda läkemedel även om de är spärrade

Utredningens förslag : Direktåtkomst till uppgifter i den nationella läkemedelslistan om en patients förskrivningar av narkotiska eller andra särskilda läkemedel ska, även om uppgifterna är spärrade, få ges till hälso- och sjukvårdspersonal som har behörighet att förskriva läkemedel för ändamålen åstadkommande av en säker ordination av läkemedel och andra varor för en patient, beredande av vård eller behandling av en patient och komplettering av en patientjournal.

Skälen till utredningens förslag

Enligt nuvarande reglering i NLL får behörig hälso- och sjukvårdspersonal hos en vårdgivare ha direktåtkomst till uppgiften om att narkotiska eller andra särskilda läkemedel har förskrivits till en patient, även utan patientens samtycke och även om det finns spärrade uppgifter (5 kap. 4 § NLL). En följd av utredningens förslag om att krav på samtycke för åtkomst ska tas bort generellt (se avsnitt 6.5) är att denna bestämmelse behöver ses över. Enligt förarbetena till NLL är det ett viktigt skäl för direktåtkomst till uppgift om att patienten har fått narkotiska eller andra särskilda läkemedel förskrivet att det ger hälso- och sjukvårdspersonalen en möjlighet att påbörja en dialog med patienten, särskilt om han eller hon har valt att inte dela denna information med vården. Det kan annars vara svårt för exempelvis läkare att bedöma om det finns risk för missbruksproblematik eller

261

för uttag av läkemedel som överskrider de mängder som behövs för det personliga bruket, t.ex. för att patienten har för avsikt att sälja läkemedel vidare. Även om hälso- och sjukvårdspersonal inte kan få information om vilket eller vilka läkemedel det handlar om skulle uppgiften om att det finns spärrade uppgifter enligt regeringens bedömning sannolikt komma att bidra till en mer kontrollerad 127 förskrivning av denna typ av läkemedel. Utredningen bedömer att rätten att spärra uppgifter från åtkomst är en grundläggande och för patientens integritet viktig rättighet som EHDS-förordningen påbjuder, särskilt som utgångspunkten i förordningen är att uppgifter ska delas mellan vårdgivare. Begränsningar i denna rättighet måste därför vara väl motiverade. EHDS-förordningen tillåter som beskrivits någon form av hävande av den spärr som patienten har begärt, om det är nödvändigt för att skydda den registrerades grundläggande intressen. Utredningen delar regeringens bedömning i förarbetena till NLL om att det finns starka skäl för att hälso- och sjukvårdspersonal som har behörighet att förskriva läkemedel ska ha åtkomst till uppgifter om att narkotiska eller andra särskilda läkemedel har förskrivits till en patient. Liksom regeringen bedömer utredningen att de potentiella skadeverkningarna som missbruk eller oegentlig uthämtning av den här typen av läkemedel har, är ett tillräckligt starkt skäl för att tillåta direktåtkomst till denna uppgift. Däremot anser utredningen att den tillåtna direktåtkomsten måste omfatta uppgifterna om själva förskrivningarna, inte bara uppgiften om att det finns sådana läkemedel förskrivna. Det är också en konsekvens av att EHDS-förordningen inte tillåter åtkomst till uppgifter om spärrar. Utredningen föreslår att direktåtkomst till uppgifter i den nationella läkemedelslistan om en patients förskrivningar av narkotiska eller andra särskilda läkemedel ska, även om uppgifterna är spärrade, få ges till hälso- och sjukvårdspersonal som har behörighet att förskriva läkemedel. En sådan direktåtkomst får endast avse uppgift som är hänförlig till förskrivningar som har registrerats i den nationella läkemedelslistan inom de senaste 24 månaderna.

127 Prop. 2017/18: 223, s. 160.

262

Utredningen föreslår att nuvarande bestämmelse i 5 kap 4 §NLL ändras så att hälso- och sjukvårdspersonal som har behörighet att förskriva läkemedel ska ges direktåtkomst till uppgifter om förskrivningar av narkotiska och andra särskilda läkemedel, även om uppgifterna är spärrade.

Författningsförslag

Ändring av 5 kap. 4 § NLL

7.4.5 Patienten ska kunna begära att en spärr hävs och det ska fortsatt vara möjligt att häva en spärr i en nödsituation.

Utredningens förslag: Bestämmelsen om patientens rätt att häva en spärr, ska formuleras om på så vis att det är en begäran från patienten som krävs för att en spärr ska hävas. Det ska fortsatt vara möjligt att häva spärr mot direktåtkomst till uppgifter i den nationella läkemedelslistan om det finns en fara för en patients liv eller allvarlig risk för dennes hälsa och patienten saknar förmåga att själv begära att spärren ska hävas. Bestämmelsen i lag om nationell läkemedelslista ska ändras på så sätt att det villkor som idag är uppställt för att häva spärren i form av att patienten inte kan samtycka ändras till att patienten inte kan begära att spärren hävs samtidigt som den språkliga formuleringen av nödsituationen justeras.

Skälen till utredningens förslag

I avsnitt 7.3.3 har utredningen redogjort för att EHDS-förordningen tillåter någon form av hävande av den spärr som upprättats genom att patienten utnyttjat sin rättighet till att begränsa tillgång, om det är nödvändigt för att skydda den registrerades grundläggande intressen. Förekomsten av spärrade uppgifter ska enligt nu gällande 4 kap. 5 § NLL inte hindra att direktåtkomst ges till uppgifter om det är

263

nödvändigt för att en patient ska kunna få den vård eller behandling som han eller hon oundgängligen behöver och patienten inte kan lämna sitt samtycke. Sådan direktåtkomst får ges till hälso- och sjukvårdspersonal som har behörighet att förskriva läkemedel och sjuksköterska utan sådan behörighet för ändamålen åstadkommande av en säker ordination av läkemedel och andra varor för en patient, beredande av vård eller behandling av en patient och komplettering av en patientjournal (3 kap. 4 § NLL). Direktåtkomsten får även avse uppgifter som spärrats. Vård eller behandling som patienten oundgängligen behöver innebär att det ska vara fråga om en akut nödsituation, t.ex. att en patient kommer in medvetslös på en akutmottagning eller andra situationer då patienten på grund av sitt hälsotillstånd eller andra skäl inte kan ta ställning till samtyckesfrågan. Det förutsätter också att informationen i registret kan antas ha betydelse för den vård eller behandling som patienten oundvikligen behöver. 128 Utredningen bedömer att motsvarande behov av tillgång till en patients uppgifter i en nödsituation gäller när uppgifterna är spärrade, som i de situationer som uppstår enligt gällande rätt när det saknas samtycke. Ifall patienten själv inte kan uttrycka sin mening så kan det i en nödsituation uppstå behov av att vården snabbt får tillgång till patientens uppgifter. Utredningen anser att tillgång till sådana uppgifter är nödvändig för att skydda den registrerades grundläggande intresse av en god och säker vård. Nationell gällande rätt utgår i första hand från att patienten kan begära (samtycka till) att spärren hävs. Men om patienten inte kan begära detta (samtycka), t.ex. på grund av medvetslöshet, så kan vårdgivaren utföra en nödöppning. Det innebär att kontrollen över när en satt spärr hävs finns hos patienten utom när det uppstår nödsituationer och patienten inte är kapabel att samtycka till att spärren hävs. Utredningen bedömer på samma sätt som anförs och motiveras i avsnitt 7.3.3 att utgångpunkten ska vara att patienten i första hand själv ska begära att spärren tas bort om denne vill att vårdåtkomst ska vara tillåten. Först i andra hand, om patienten inte kan begära att spärren tas bort, t.ex. på grund av medvetslöshet, ska det finns en möjlighet för hälso- och sjukvårdspersonalen att genom nödåtkomst

128 Prop. 2017/18:223, s. 162.

264

lyfta spärren. Bestämmelsens formulering avseende villkoret för att häva en spärr ändras på så sätt att i stället för att en patient inte kan samtycka till att spärren hävs, krävs att patienten inte kan begära att spärren hävs. Utredningen föreslår därför att bestämmelsen i 4 kap. 5 § NLL ska formuleras om på så vis att det är en begäran från patienten som krävs för att en spärr ska hävas. Utredningen föreslår att motsvarande ändring ska göras i 5 kap. 5 § NLL. Utredningen föreslår vidare att en spärr inte ska hindra att direktåtkomst ges till uppgifter i nationella läkemedelslistan, om patientens liv är i fara eller en allvarlig risk för hans eller hennes hälsa föreligger och patienten själv inte kan begära att spärren tas bort. En sådan direktåtkomst får ges till hälso- och sjukvårdspersonal som har behörighet att förskriva läkemedel samt sjuksköterska utan sådan behörighet Direktåtkomsten får avse ändamålen i 3 kap. 4 § NLL. Beskrivningen av de omständigheter som utgör nöd anpassas till den formulering som föreslås i 4 kap. 5 § PDL, se motivering i avsnitt 7.3.3.

Författningsförslag

Ändring av 4 kap. 5 § och 5 kap. 5 § NLL.

7.4.6 Vårdnadshavare ska inte ha rätt att spärra uppgifter om sina barn i den nationella läkemedelslistan

Utredningens bedömning: Det ska fortsatt inte vara tillåtet för en vårdnadshavare att spärra uppgifter om sina barn i den nationella läkemedelslistan.

Skälen för utredningens bedömning

Utredningen anser att det även fortsättningsvis inte ska vara tillåtet för vårdnadshavare att spärra uppgifter om sina barn i den nationella läkemedelslistan (4 kap. 3 § andra stycket NLL). Någon ändring av NLL är därför inte nödvändig. Samma skyddsaspekter som ligger

265

bakom motsvarande bestämmelser i PDL gäller för NLL och beskrivs i avsnitt 7.3.5. Bakgrunden till begränsningen är bl.a. att det ansetts olämpligt utifrån skyddsaspekter för minderåriga att föräldrar ska kunna dölja uppgifter som till exempel skulle kunna avslöja misshandel eller andra former av brister i vårdnadshavares omsorg om sina barn. Avsikten med begränsningen är alltså att öka vårdpersonalens möjligheter att upptäcka barn som far illa och i så fall anmäla till socialnämnden för att barnet ska få erforderligt skydd. Utredningen hänvisar därför till de skäl som vi redogjort för i avsnitt 7.3.5.

7.5 Vårdgivare ska informera patienter om rätten till att begränsa och motsätta sig elektronisk tillgång till hälsodata och de risker som följer därav

Utredningens förslag: Nya bestämmelser införs i patientdatalagen om att en vårdgivare är skyldig att informera patienten om dennes rätt att begränsa elektronisk tillgång genom spärr samt om att begränsningen av elektronisk tillgång kan påverka tillhandahållandet av hälso- och sjukvård till dem. Vidare införs nya bestämmelser i patientdatalagen om att en vårdgivare är skyldig att informera patienten om dennes rätt att motsätta sig elektronisk tillgång avseende primäranvändning (opt-out) samt om att detta allvarligt kan påverka tillhandahållandet av hälso- och sjukvård till dem. En upplysningsbestämmelse med motsvarande innehåll ska föras in i lagen om nationell läkemedelslista.

Skälen till utredningens förslag

Av artikel 8 i EHDS-förordningen följer att en patient ska informeras om att en begränsning av elektronisk tillgång till hälsodata kan påverka tillhandahållandet av hälso- och sjukvård till dem. Utredningen föreslår regler som, till följd av EHDSförordningens krav, ökar möjligheten att tillgängliggöra och få

266

tillgång till information genom direktåtkomst eller annat elektroniskt utlämnande inom och mellan vårdgivare samt Ehälsomyndigheten. Utredningen anser att en avgörande faktor för att patienter fortsatt ska känna förtroende för vården och hanteringen av de uppgifter som genereras där är att de får möjlighet att ha inflytande över hur dessa sprids. Även i förarbetena till PDL 129 130 och SVOD ansågs en grundläggande principfråga vara i vilken mån patienten bör ha inflytande över den potentiellt sett breda tillgängligheten av journaluppgifter som möjliggörs. En förutsättning för att en patient ska ha inflytande över personuppgiftsbehandlingen är att han eller hon informerats om möjligheten. Av nuvarande bestämmelserna i PDL och NLL framgår det inte att patienten måste informeras om riskerna som kan uppstå när patienten begär att elektronisk åtkomst till uppgifter ska begränsas. Skyldigheten att informera patienten om att en begränsning av elektronisk tillgång kan påverka tillhandahållandet av hälso- och sjukvård till dem följer direkt av artikel 8 EHDS och behöver således inte nödvändigtvis framgå i svensk nationell lag. Förordningens bestämmelse är emellertid avgränsad till att avse de prioriterade kategorierna av elektroniska hälsodata. Utredningen föreslår, som nämnts ovan, att rätten att motsätta sig elektronisk tillgång och begränsa tillgång även ska omfatta hälsodata som inte ingår i de prioriterade hälsodatakategorierna. Därmed ser utredningen ett behov av och ett utrymme för att i PDL införa krav på att en patient ska informeras om risker med begränsning av åtkomst. Utredningens bedömning är att en sådan bestämmelse skiljer sig från bestämmelsen i EHDS-förordningen i och med att rättigheten till begränsning omfattar fler informationsmängder än de prioriterade kategorierna av hälsodata och att det därför inte utgör någon dubbelreglering att införa den. Utöver information om rättigheten att motsätta sig att uppgifterna tillgängliggörs eller begränsa vilka som får ta del av uppgifterna är det enligt utredningen centralt att patienten får information om de patientsäkerhetsrisker som kan följa av att rättigheten nyttjas. Avseende patientens rätt till opt-out är det av

129 Prop 2007/08:126 s. 151 f. 130 Prop. 2021/22:177 s 88.

267

särskild vikt att informera patienten om att uppgifterna inte kan nås oavsett om patientens liv är i fara, såvida patienten själv inte begär att uppgifterna åter görs tillgängliga. Avseende rätten att begränsa elektronisk tillgång till uppgifter som behandlas för vårdsyfte är det nödvändigt att patienten får information om att det inte längre ska finnas någon indikation på att en patient har spärrat uppgifter och att detta innebär att hälso- och sjukvårdspersonalen inte med säkerhet kommer att veta om det finns ytterligare uppgifter som kan vara viktiga att känna till i en vårdsituation eller inte. Den som vårdar patienten vet då inte heller om det finns anledning att fråga patienten efter fler uppgifter. Det ökar risken för att information som bidrar till en säker och effektiv vård av patienten inte kommer att vara tillgänglig i samband med vård, vilket kan utgöra en allvarlig patientsäkerhetsrisk. Det följer redan av dataskyddsförordningens 12 artikel att patienten ska informeras om den behandling av deras personuppgifter som görs. Vidare följer att informationen ska vara tydlig, koncis och lättbegripligt. Samma utgångspunkter gör sig enligt utredningen gällande avseende informationen om rätten att motsätta sig och begränsa tillgång samt konsekvenser som följer därav. Vidare behöver informationen anpassas till patienten. Detta är av grundläggande betydelse i det fall patienten är ett barn. Som nämnts ovan anförs i förarbetena till SVOD att det är särskilt viktigt att informationen som ges till barn är tydlig eftersom barn kan vara mindre medvetna om berörda risker, följder och skyddsåtgärder samt om sina rättigheter när det gäller behandling av personuppgifter. Det framgår av artikel 19.2 b i EHDS-förordningen att Myndigheten för digital hälsa ska säkerställa att fullständig och aktuell information om genomförandet av de rättigheter och skyldigheter som anges i kapitel II och kapitel III görs lättillgänglig för fysiska personer, hälso- och sjukvårdspersonal och vårdgivare. Utöver detta anser utredningen att även vårdgivare behöver åläggas att informera patienten, eftersom det är hälso- och sjukvårdspersonalen hos vårdgivaren som träffar patienten i samband med att uppgifterna genereras. Utredningen föreslår därför att en skyldighet för vårdgivare att informera patienten ska införas i PDL. Informationsplikten innebär

268

inte att information måste ges vid varje enskilt vårdmöte. Däremot innebär det att vårdgivare ska bidra i arbetet med att göra informationen om patientens rättigheter och det nya flödet av hälsodata känt för patienten. Likaså är det väsentligt för patientens tillit och trygghet att han eller hon kan få information och möjlighet att ställa frågar om det blir aktuellt i samband med vårdmötet. Utredningen föreslår att två nya bestämmelser ska införas i PDL. En ny bestämmelse förs in i 6 kap. 10 § PDL om att en vårdgivare ska informera patienten om att det allvarligt kan påverka tillhandahållandet av hälso- och sjukvård, om uppgifterna inte får göras elektroniskt tillgängliga för andra vårdgivare. Ytterligare en ny bestämmelse föreslås föras in i 4 kap. 5a § PDL om att vårdgivaren ska informera patienten om att begränsad elektronisk tillgång till dokumenterade uppgifter om patienten kan påverka tillhandahållandet av hälso- och sjukvård till honom eller henne. Utredningen föreslår i avsnitt 7.6 att Socialstyrelsen ska ta fram rekommendationer för informationen för hälso- och sjukvården. Genom den nationella läkemedelslistan utbyter vårdgivare och apotek uppgifter om elektroniska förskrivningar och e-recept, som utgör prioriterade kategorier enligt EHDS-förordningen. Det följer direkt av artikel 8 i förordningen att vårdgivare ska informera patienten om att begränsad tillgång till dokumenterade uppgifter om patienten kan påverka tillhandahållandet av hälso- och sjukvård till honom eller henne. Utredningen föreslår att det i lagen om nationell läkemedelslistan införs en upplysningsbestämmelse om denna skyldighet för vårdgivarna. Utredningen vill i sammanhanget framhålla att det är viktigt att det finns tydlig och tillgänglig informationen även i de situationer där en patient nyttjar sin rättighet utan att någon vårdpersonal deltar i processen, till exempel genom de digitala tjänster som kommer att införas nationellt. Utredningen återkommer till detta i sitt slutbetänkande.

Författningsförslag

4 kap. 5a § och 6 kap. 10 § PDL 4 kap. 4 a § NLL

269

7.6 Socialstyrelsen bör få i uppdrag att ta fram rekommendationer för informationen till patienten samt uppdatera sina föreskrifter

Utredningens förslag: Socialstyrelsen ska få i uppdrag att ta fram rekommendationer om och stöd riktat till hälso- och sjukvårdspersonal samt vårdgivare om dialogen med patienten om rätten att begränsa elektronisk tillgång till hälsodata genom spärr samt rätten att motsätta sig tillgång (opt-out) och de patientsäkerhetsrisker som kan följa därav. Vidare bör Socialstyrelsen få i uppdrag att se över sina föreskrifter och allmänna råd om journalföring och behandling av personuppgifter i hälso- och sjukvården.

Skälen till utredningens förslag

Regeringsuppdrag till Socialstyrelsen om framtagande av information till vårdgivare och hälso- och sjukvårdspersonal

Mot bakgrund av att det inte får förekomma information eller indikationer på att det finns spärrade uppgifter, kommer det uppstå situationer där hälso- och sjukvårdspersonalen inte kan veta om de har tillgång till all information eller om vissa uppgifter är dolda. Det kommer därför behöva utvecklas rutiner hos vårdgivaren om att en patient alltid bör upplysas om att spärrad information inte är synlig för vårdpersonalen och att en sådan spärr kan innebära patientsäkerhetsmässiga risker. Rutiner kan också innehålla olika sätt för vårdpersonal att inleda samtal kring dessa frågor och vikten att patienten, om spärr förekommer, själv informerar vården om viktiga medicinska omständigheter. Utredningen föreslår att Socialstyrelsen ska få i uppdrag att ta fram rekommendationer om hur kommunikationen med patienten i denna fråga bör genomföras och utformas. Särskild hänsyn ska här tas till barn och ungdomars förutsättningar att tillgängliggöra sig information om konsekvenser av att spärra information.

270

Liknande patientsäkerhetsrisker kommer att finnas vad avser de patienter som vill använda sig av sin rättighet att helt motsätta sig tillgång och därmed inte tillgängliggöra hälsodata för delning mellan vårdgivare alls. Ett sådant ställningstagande av en patient innebär att informationen om en patient, till skillnad från spärr, inte ens kommer att vara tillgänglig i en situation där patientens liv är i fara och den inte är i stånd att ge sitt godkännande till att information tillgängliggörs. I fall där patienten motsatt sig tillgång kommer endast hälsodata från den egna vårdgivaren vara tillgänglig för hälsooch sjukvårdspersonalen. Det är därför viktigt att personalen har en utförlig dialog med patienten om vilken information som är viktig att patienten själv kan delge och vilka konsekvenser som kan uppstå om patienten hamnar i ett tillstånd där den inte kan delge uppgifter. Utredningen föreslår att Socialstyrelsen även får i uppdrag att ta fram rekommendationer och stödmaterial riktat till hälso- och sjukvårdspersonal och vårdgivare om dialogen med patienten om rätten att begränsa tillgång till hälsodata genom spärr samt rätten att motsätta sig tillgång (opt-out) och de patientsäkerhetsrisker som kan följa därav. Uppdraget föreslås utgöra en del av det uppdrag om informationsmaterial till vårdgivare i syfte att stärka förmågan att informera patienten som utredningen föreslår för Socialstyrelsen i avsnitt 5.9. Detta är en följd av den bestämmelse som förs in i 8 kap. PDL om att vårdgivare ska informera patienten om att dess elektroniska hälsodata görs tillgänglig.

Regeringsuppdrag till Socialstyrelsen om att se över sina föreskrifter

De bestämmelser som utredningen föreslår i detta kapitel kommer att få påverkan på Socialstyrelsens befintliga föreskrifter, framför allt Socialstyrelsens föreskrifter och allmänna råd (HSLF-FS 2016:40) om journalföring och behandling av personuppgifter i hälso- och sjukvården där hantering av spärrar och nödåtkomst är beskriven. Utredningen anser att dessa kommer att behöva uppdateras och anpassas. Socialstyrelsen föreslås därför få i uppdrag av regeringen att se över de befintliga föreskrifterna och att detta utgör en del av uppdraget till myndigheten att ta fram information till vårdgivare och hälso- och sjukvårdspersonal.

271

8 En statlig infrastruktur för elektroniskt informationsutbyte av hälsodata

8.1 Utgångspunkter för utredningens förslag och bedömningar

8.1.1 Behovet av en statlig infrastruktur för elektroniska hälsodata

I utredningens direktiv framhålls konsekvenserna av att det för närvarande saknas en nationell digital infrastruktur som omfattar samtliga vårdgivare som bedriver verksamhet som regleras i hälsooch sjukvårdslagen (2017:30) och tandvårdslagen (1985:125). Enligt vad som anges har avsaknaden av en sådan gemensam infrastruktur och brist på styrning och samordning lett till åtskilliga separata lösningar runt om i landet, vilket har försvårat kommunikationen mellan olika it-system, och medfört att nödvändiga uppgifter inte alltid följer patienten vid olika kontakter med vården. En patient kan därför behöva upprepa sin sjukdomshistoria för flera vårdgivare eller genomgå samma undersökningar flera gånger, vilket i sin tur medför att hälso- och sjukvårdspersonal ibland behöver lägga onödig tid på att samla in uppgifter från flera källor, dubbeldokumentera, ta om prover som patienten redan tagit eller göra om undersökningar som patienten redan genomgått. Vidare anges att möjligheterna till uppföljning, forskning, innovation och utveckling på hälso- och sjukvårdens område försvåras. I det sammanhanget framhålls att Coronakommissionen

272

exempelvis påtalade att avsaknaden av en patientcentrerad sammanhållen journalföring är ett allvarligt patientsäkerhetsproblem och att avsaknaden av digitala system utgör ett reellt hinder för att effektivt kunna följa upp statistik kring smittspårning. 131,132 Även Riksrevisionen har påpekat att åtgärder krävs för att förbättra insamling och hantering av vårddata för att 133 åstadkomma ett mer effektivt smittskydd. Regeringen har, för att komma till rätta med ovanstående utmaningar, en målsättning om en nationell digital infrastruktur för hälso- och sjukvården där staten tar ett större ansvar. I budgetpropositionen för 2026 aviserades att regeringen för att uppnå detta tillför permanenta medel till E-hälsomyndigheten för 134 att utveckla och tillhandahålla en nationell digital infrastruktur. Utöver den nationella ambitionen utgör ett fungerande elektroniskt utbyte av vårdinformation en förutsättning för att Sverige som medlemsstat ska kunna uppfylla sina skyldigheter enligt EHDSförordningen.

8.1.2 E-hälsomyndighetens regeringsuppdrag och förslag

Utredningen har i inledningen till denna rapport redovisat innehållet i ett av de regeringsuppdrag som E-hälsomyndigheten fått med anledning av regeringens satsning på en statlig nationell digital

infrastruktur för hälsodata (se avsnitt 3.2) .

Regeringsuppdraget – och de förslag som myndigheten lämnat hittills – utgör utgångspunkter för de förslag på författningsreglering som vi nu lämnar. Förslag med anledning av sådan personuppgiftsbehandling som är nödvändig för infrastrukturen redovisas i kapitel 9. Av E-hälsomyndighetens rapport framgår att utredningsfasen är pågående för alla komponenter som myndigheten föreslår. 135 Utifrån det som myndigheten hittills har redovisat är det emellertid vår uppfattning att förutsättningar finns för att lämna förslag till en

131 Äldreomsorgen under pandemin (SOU 2020:80), s. 15. 132 Sverige under pandemin (SOU 2022:10) s. 41 133 Det nationella smittskyddet – inte anpassat för en storskalig smittspridning (RiR 2023:9), s. 81. 134 Prop. 2025/26:1. Utgiftsområde 9. s.42. 135 E-hälsomyndigheten (2025). Genomförandet av en nationell digital infrastruktur för hälsooch sjukvård och EHDS primäranvändning. Dnr: 2024/03223, s. 124.

273

ny lag. Bestämmelserna i lagen kan dock behöva anpassas i samband med utredningens slutredovisning och allt eftersom myndighetens utredningsarbete framskrider och ny information tillkommer. Den för infrastrukturen nödvändiga funktionaliteten kopplat till identitets- och behörighetshantering såvitt avser datadelning mellan vårdgivare är ännu inte beskriven på ett sådant sätt att författningsförslag kan lämnas. Därför saknas sådan reglering helt i våra förslag. E-hälsomyndigheten och Myndigheten för digital förvaltning har pågående regeringsuppdrag inom området med 136 slutredovisning i december 2025. Relevanta regeringsuppdrag och myndighetens förslag redogörs för i den omfattning som är nödvändig för förståelsen av våra förslag eller bedömningar. Redan inledningsvis finns det dock anledning att översiktligt redogöra för de register, tjänster och it-funktioner som enligt E-hälsomyndigheten krävs för informationsutbytet inom infrastrukturen.

8.1.3 E-hälsomyndighetens förslag om nödvändiga register och it-funktioner

Vårdgivares informationssystem ska integreras med infrastrukturen via grundläggande register och it-funktioner

E-hälsomyndigheten konstaterade i sin rapport Genomförandet av en nationell digital infrastruktur för hälso-och sjukvård och EHDS primäranvändning att infrastrukturen behöver binda samman alla vårdgivare och ha funktionalitet som möjliggör en säker och effektiv datadelning för att kraven i EHDS-förordningen ska tillgodoses. Huvudprincipen för en sådan infrastruktur är enligt myndigheten att den dels är öppen för alla berörda aktörer, dels innehåller krav som ska vara uppfyllda för att garantera att all nödvändig information delas på ett säkert sätt. Enligt myndigheten ska infrastrukturen vara informationsorienterad och API-baserad. Hälsodata ska i huvudsak utbytas direkt mellan vårdgivare med hjälp av nationellt fastställda

136 Se E-hälsomyndighetens och Myndigheten för digital förvaltnings regleringsbrev för 2025.

274

specifikationer som beskriver dels vilken information som ska delas, dels hur informationen tekniskt ska göras tillgänglig för andra. 137 I sin rapport har myndigheten lämnat förslag om vissa grundläggande komponenter, it-funktioner och strukturer som är centrala och nödvändiga för att infrastrukturen ska fungera. Vid utredningens kontakter med E-hälsomyndigheten har förtydligats att i vart fall de nedan beskrivna registren och it-funktionerna är nödvändiga komponenter för informationsförsörjningen av infrastrukturen.

Patientdataindex

E-hälsomyndigheten har fått i uppdrag av regeringen att påbörja ett tekniskt utvecklingsarbete av ett patientdataindex som möjliggör att patientdata kan hittas och delas mellan vårdaktörer (PDI). 138 Enligt myndigheten utgörs PDI av ett centralt register. Vårdgivare ska, genom sina EHR-system, på ett automatiserat sätt försörja ett centralt PDI-register med information om dels för vilka patienter de har registrerat hälsodata, dels i vilka system dessa data finns. I normalfallet kommer, utöver patientens identitetsuppgifter, enbart id-beteckningen på den unika installationen av ett vårdinformationssystem och aktuell vårdgivare att framgå av registret. Syftet med PDI är att visa var det finns information om en viss patient, så att sökningar kan begränsas till de vårdgivare och system som faktiskt har relevanta hälsodata om patienten. Med hjälp av PDI ska det gå att få fram information om i vilket eller vilka vårdinformationssystem, och hos vilken vårdgivare, det finns hälsodata om en viss patient. 139 Vårdgivare ska enligt myndigheten vara skyldiga att lämna uppgifter till PDI och hålla registret uppdaterat.

137 E-hälsomyndigheten (2025). Genomförandet av en nationell digital infrastruktur för hälsooch sjukvård och EHDS primäranvändning . Dnr: 2024/03223. s. 6. 138 E-hälsomyndighetens regleringsbrev för 2024, s. 8. 139 E-hälsomyndigheten (2025). Genomförandet av en nationell digital infrastruktur för hälsooch sjukvård och EHDS primäranvändning . Dnr: 2024/03223, s. 59f.

275

E-hälsomyndigheten ska ha motsvarande skyldighet att lämna ut uppgifter ur PDI till vårdgivare. 140

Nationell tjänsteadresseringskatalog (NTK)

E-hälsomyndigheten har föreslagit att myndigheten ska utveckla, etablera och förvalta en nationell tjänsteadresseringskatalog (NTK). NTK är enligt myndigheten ett register med information om anropsadresser till it-system och tekniska tjänster (API:er) som kan anropas för att få tillgång till hälsodata om en aktuell patient. Uppgifterna i NTK omfattar via vilken anropsadress ett system kan nås, vilka API:er som systemet kan hantera samt vilka aktörer som använder systemet. NTK:s egna API:er möjliggör sökningar i katalogen som kan användas av de anslutna systemen. Därigenom kan organisationer som tillhandahåller standardiserade API:er för sina informationssystem (exempelvis vårdinformationssystem) förändra sin systemportfölj utan att det påverkar de tjänster som integrerar med organisationens system via dess API:er. 141 För att uppgifterna i NTK ska gå att lita på och användas föreslår E-hälsomyndigheten att vårdgivare, på samma sätt som för PDI, ska vara skyldiga att hålla sina uppgifter i NTK uppdaterade. E-hälsomyndigheten ska ha motsvarande skyldighet att lämna ut uppgifter ur NTK till vårdgivare. 142 Myndigheten har i dialog med utredningen upplyst att skyldigheten initialt ska avse vårdgivare men inte apotek.

Nationella spärrfunktionen och spärregistret

E-hälsomyndigheten har föreslagit att en nationell spärrfunktion (Nationella spärrfunktionen) och ett register (Nationella spärregistret) över vissa spärrar av mer generell art (av E-

140 E-hälsomyndigheten (2025), Rättsliga förutsättningar för att realisera en nationell digital infrastruktur för hälso-och sjukvård, Dnr 2024/03223, s. 40. 141 E-hälsomyndigheten (2025), Genomförandet av en nationell digital infrastruktur för hälsooch sjukvård och EHDS primäranvändning, Dnr 2024/03223, s. 6 142 E-hälsomyndigheten (2025), Rättsliga förutsättningar för att realisera en nationell digital infrastruktur för hälso-och sjukvård , Dnr 2024/03223, s. 40–41.

276

hälsomyndigheten kallade ”allmänna spärrar”) inrättas hos myndigheten. Enligt E-hälsomyndigheten ska spärrar lagras på olika sätt beroende på om det är lokala eller generella spärrar. Lokala spärrar ska endast lagras hos den vårdgivare som har registrerat de spärrade uppgifterna. Generella spärrar, som inte är knutna till en viss vårdgivare utan berör fler, ska lagras både centralt i det Nationella spärregistret och hos samtliga berörda vårdgivare. Enligt myndigheten är syftet med att de generella spärrarna lagras även hos respektive vårdgivare att minska antalet anrop mot det centralt hållna registret. För att säkerställa detta, men ändå se till att varje vårdgivare har uppdaterad information, avser myndigheten att utveckla en funktionalitet som distribuerar uppdateringar. Det är med andra ord fråga om en kombination av en decentraliserad lagring och ett nationellt register. Ett exempel på en generell spärr är en spärr av alla patientöversikter. Denna typ av spärr är generisk och inte relaterad till en viss given vårdgivare eller informationsägare. Om en patient har valt att nyttja sin rätt till att helt motsätta sig att personuppgifter delas, dvs. (opt-out), ska det också i spärregistret utgöra en generell spärr. En lokal spärr är i stället knuten till vårddokumentation hos en viss specifik vårdgivare och kan till exempel avse en viss ordination eller särskild diagnos. Från Nationella spärregistret, via spärrfunktionen, kan generella spärrar distribueras till berörda EHR-system och till det nationella spärregistret. Nationella spärrfunktionen ska till att börja med behandla de åtkomstbegränsningar (spärrar) som patienten satt gentemot vårdgivare och vårdpersonal, inklusive opt-out (integritetsspärrar). Spärrfunktionen kan enligt myndigheten även på sikt utvecklas för att hantera åtkomstbegränsningar satta av vården gentemot patienten själv (av myndigheten kallade sekretesspärrar). Enligt EHDS-förordningen får det inte vara synligt för vårdgivare att patienten har begränsat tillgången till uppgifter. Myndigheten har därför, och för att uppfylla dataskyddsförordningens krav om uppgiftsminimering, föreslagit att varje vårdgivare ska ansvara för att tillämpa spärrarna och filtrera

277

informationen i sitt vårddokumentationssystem så att ingen spärrad information lämnas ut. Den nationella spärrfunktionen är en förutsättning för att en patient, via en tillgångstjänst, ska kunna administrera sina spärrar. Tillgångstjänsten hämtar och aggregerar samtliga spärrar och presenterar dem på ett ändamålsenligt sätt för patienten. Om patienten via sin tillgångstjänst ändrar sina spärrar så uppdateras – beroende på vilken typ av spärr som avses – antingen lokalt lagrade spärrar hos aktuella vårdgivare eller centralt lagrade spärrar i det nationella spärregistret, genom att spärrfunktionen distribuerar aktuella spärrar till berörda EHR-system eller det nationella registret. Den i tillgångstjänsten presenterade sammanställda spärrlistan över lokala och generella spärrar raderas i tjänsten vid patientens utloggning.

Nationella företrädarfunktionen och fullmaktsregistret

E-hälsomyndigheten har föreslagit att en it-funktion inrättas för att behandla nödvändiga data om dels ombud som en patient har utsett genom fullmakt, dels rättsliga företrädare som har behörighet att företräda patienten enligt nationell rätt (Nationella företrädarfunktionen). It-funktionen ska förvaltas av E-hälsomyndigheten och möjliggöra att företrädare ges elektronisk tillgång till patientens hälsodata i enlighet med sin behörighet. Funktionen ska agera mellanhand mellan de register i vilka uppgifter om företrädarskap lagras och de system som behöver få åtkomst till uppgifterna. Ett sådant informationsflöde kan till exempel vara nödvändigt mellan å ena sidan folkbokföringsregistret för uppgifter om vårdnadshavare och å andra sidan en tillgångstjänst. Enligt myndighetens förslag ska det upprättas ett register med uppgifter om ombud som en patient har utsett genom fullmakt (Nationella fullmaktsregistret). Registret ska, om förutsättningar finns, utgöra en sektorsspecifik nod inom Mina Ombud som är en nationell infrastruktur för en standardiserad och säker digital fullmaktshantering vilken idag utvecklas och förvaltas av Bolagsverket.

278

Uppgifter om rättsliga företrädare bör enligt myndigheten lagras i och hämtas från ursprungskällor hos andra myndigheter.

8.2 Ett rättsligt ramverk för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet

Utredningens förslag: En ny lag med anslutande förordning ska reglera ett statligt ansvar för verksamhet som ska bidra till att uppgifter i elektronisk form, som en vårdgivare behandlar för vård av patienter, kan göras tillgängliga för patienter och deras företrädare, samt utbytas mellan vårdgivare. I lagen införs också bestämmelser om den personuppgiftsbehandling som är nödvändig i verksamheten. Den nya lagen ska inte tillämpas vid utbyte av uppgifter om förskrivna och expedierade läkemedel för vilka lagen (2018:1212) om nationell läkemedelslista i stället gäller. Lagen ska benämnas lag om nationell infrastruktur och tjänster för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet. Syftet med lagen ska vara att bidra till ökad vårdkvalitet och patientsäkerhet samt att minska den administrativa bördan för hälso- och sjukvårdens medarbetare genom att de, på ett säkert och effektivt sätt, ges tillgång till relevanta personuppgifter som är nödvändiga för de arbetsuppgifter som ska utföras. Lagen syftar också till att patienters och övriga registrerades rättigheter tillgodoses och deras integritet respekteras.

Skälen för utredningens förslag

Bestämmelser om en nationell infrastruktur ska tas in i en ny lag

Informationsförsörjningen av de register och it-funktioner som E-hälsomyndigheten har bedömt vara en förutsättning för en nationell infrastruktur kommer att kräva att såväl privata som

279

offentliga vårdgivare åläggs uppgiftsskyldighet (se avsnitt 8.4). Ifrågavarande uppgiftsskyldighet utgör offentligrättslig reglering som träffar enskilda samt kommuner och regioner i egenskap av huvudmän för hälso- och sjukvård på ett sådant sätt att det krävs att riksdagen meddelar föreskrifter genom lag (8 kap. 2 § RF). Uppgiftsskyldigheten, liksom den personuppgiftsbehandling som kommer att utföras i för infrastrukturen nödvändiga register och itfunktioner förutsätter alltså reglering på lagnivå (för en närmare redogörelse för normgivningsmakten och utredningens överväganden och förslag om personuppgiftsbehandling se kapitel 9). Regleringen på hälso- och sjukvårdsområdet är redan fragmentiserad varför utredningen, i syfte att undvika ytterligare sådan, har övervägt möjligheten att införa bestämmelser om infrastrukturen i någon befintlig lag. Enligt vår bedömning finns det emellertid ingen sådan i vilken det framstår som naturligt att föra in nödvändiga bestämmelser. Trots att det alltså finns behov av en mer samlad rättslig reglering såväl inom hälso- och sjukvårdsområdet, som för E-hälsomyndighetens roll inom sektorn, föreslår vi reglering i en ny lag. Som också E-hälsomyndigheten framhållit finns det dock skäl att överväga en mer omfattande översyn av regelverket. 143

Lagen ska tillämpas vid statlig verksamhet som består i att tillhandahålla register och it-funktioner som möjliggör informationsutbyte

Utgångspunkten för utredningens förslag, liksom för E-hälsomyndighetens, är enligt våra respektive uppdragsbeskrivningar att möjliggöra en nationell infrastruktur för hälso- och sjukvården som dessutom ska möta kraven enligt EHDS-förordningen. Den infrastruktur som regleras i lagen syftar således till att skapa förutsättningar för att underlätta vårdgivares skyldighet att på ett säkert och effektivt sätt kunna ge tillgång till och ta emot uppgifter som behandlas för vårdändamål, s.k. vårddokumentation. Kraven på att vårdgivare ska tillgängliggöra hälsodata följer av de av

143 E-hälsomyndigheten (2025), Rättsliga förutsättningar för att realisera en nationell digital infrastruktur för hälso-och sjukvård , Dnr 2024/03223, s. 58 f.

280

utredningen föreslagna bestämmelserna om obligatoriskt tillgängliggörande i 6 kap. patientdatalagen, PDL, vilka i sin tur är nödvändiga för att anpassa nationell rätt till kraven i EHDSförordningen (se mer om förslagen i kapitel 5). Föreslagna anpassningar av bestämmelserna i PDL är alltså avsedda att, utöver den nationella ambitionen om att hälsodata ska tillgängliggöras i hela vårdkedjan, säkerställa den i EHDSförordningen föreskrivna rätten till elektronisk tillgång till prioriterade kategorier av hälsodata med personuppgifter som gäller för hälso- och sjukvårdspersonal såväl som för patienter (artiklarna 3 och 11). Tillgång till uppgifterna ska enligt EHDS-förordningen ges genom tillgångstjänster (artiklarna 4 och 12). För patienter gäller att en tillgångstjänst ska tillgodose även vissa andra rättigheter, till exempel att tillföra hälso- och sjukvården egen information (artikel 5) och begränsa hälso- och sjukvårdspersonals tillgång till patientens uppgifter (artikel 8). Tillgångstjänsterna är, även om de tillhandahålls i statlig regi, inte att betrakta som en del i den verksamhet som omfattar att ansvara för och administrera den tekniska infrastrukturen, men den föreslås regleras i samma lag. Tjänsterna är alltså inte infrastrukturkomponenter i egentlig mening, men infrastrukturen är en förutsättning för att tillgångstjänster för hälso- och sjukvårdspersonal (liksom på sikt för patienter) ska fungera och kunna användas. Utöver att tillgodose informationsutbyte genom tillgångstjänsterna ska infrastrukturen möjliggöra ett gränsöverskridande utbyte av elektroniska hälsodata via den nationella kontaktpunkten för digital hälsa (NCP) enligt artikel 23 i EHDS-förordningen. De närmare förutsättningarna för det utbytet ska enligt utredningens bedömning regleras i en lag med kompletterande bestämmelser till EU:s förordning om det europeiska hälsodataområdet. En hänvisning till sådana bestämmelser görs därför redan nu i den nu föreslagna lagen. Utredningens närmare överväganden och förslag om en sådan lag liksom om NCP redovisas i kommande delrapport. Utredningens förslag om att en statlig myndighet ska tillhandahålla en tillgångstjänst för hälso- och sjukvårdspersonal behandlas i avsnitt 6.2. Överväganden och förslag om en

281

kompletterande nationell reglering av tillgångstjänster för patienter redovisas i stället i utredningens slutrapport. I samband med ett sådant fortsatt arbete kan det finnas skäl att överväga om regleringen av tillgångstjänsterna, tillsammans med den för NCP, ska tas in i nämnda lag med kompletterande bestämmelser till EU:s förordning om det europeiska hälsodataområdet.

Bestämmelserna i lagen gäller för vårdgivare som omfattas av kraven i föreslagna 6 kap. PDL

Det finns ingen enhetlig legaldefinition av begreppet vårdgivare i svensk rätt. I stället definieras begreppet kontextuellt i olika lagar utifrån vem som bedriver hälso- och sjukvård och syftet med regleringen. Infrastrukturen ska, som framgått, syfta till att möjliggöra att vårdgivare kan tillgängliggöra vårddokumentation på ett säkert och effektivt sätt enligt föreslagna bestämmelser i 6 kap. PDL. Således bör definitionen av begreppen vårdgivare och hälsooch sjukvård överensstämma med de som gäller för de föreslagna bestämmelserna i 6 kap. PDL. Utredningen har gjort bedömningen att begreppen vårdgivare och hälso- och sjukvård vid tillämpningen av 6 kap. PDL ska motsvara de som gäller enligt lagen (2022:913) om sammanhållen vård- och omsorgsdokumentation, SVOD, (se avsnitt 5.2). Med vårdgivare avses således i den nya lagen en statlig myndighet, region och kommun i fråga om sådan hälso- och sjukvård som myndigheten, regionen eller kommunen har ansvar för (offentlig vårdgivare), samt annan juridisk person eller enskild näringsidkare som bedriver hälso- och sjukvård (privat vårdgivare). I hälso- och sjukvårdsbegreppet inbegrips vårdgivare som bedriver verksamhet som avses i hälso- och sjukvårdslagen (2017:30), tandvårdslagen (1985:125), lagen (1991:1128) om psykiatrisk tvångsvård, lagen (1991:1129) om rättspsykiatrisk vård, smittskyddslagen (2004:168), lagen (2006:351) om genetisk integritet m.m., lagen (2019:1297) om koordineringsinsatser för sjukskrivna patienter, lagen (2024:237) om vissa kirurgiska ingrepp i könsorganen, den upphävda lagen (1944:133) om kastrering samt

282

den upphävda lagen (1972:119) om fastställande av könstillhörighet i vissa fall. Såvitt avser begreppet hälso- och sjukvård finns det i sammanhanget skäl att framhålla att det enligt PDL även omfattar vårdgivare som bedriver verksamhet enligt lagen (2018:744) om försäkringsmedicinska utredningar och lagen (2021:363) om estetiska kirurgiska ingrepp och estetiska injektionsbehandlingar. Utredningen har därför föreslagit att regeringen eller den myndigheten regeringen bestämmer ska få meddela undantag från skyldigheten och möjligheten att tillgängliggöra uppgifter enligt de nya bestämmelserna i 6 kap. PDL (se avsnitt 5.2). De skyldigheter som gäller för vårdgivare i den föreslagna lagen avser alltså sådana vårdgivare som omfattas av bestämmelserna i 6 kap. PDL och föreskrifter som meddelats med stöd av bemyndigandet i 6 kap. 1 §. Detta följer av den föreslagna lagens definition av vårdgivare, liksom att det i lagen anges att den ansvariga myndigheten ska tillhandahålla de nödvändiga register och itfunktioner som krävs för att möjliggöra att vårdgivare kan ge tillgång till och ta emot uppgifter i elektronisk form på det sätt som avses i 6 kap. PDL. Kraven om att vårdgivare ska kunna ansluta till infrastrukturen samt lämna och ta emot uppgifter gäller i motsvarande omfattning, vilket framgår genom hänvisningar i bestämmelser med angivna krav (se mer i avsnitt 8.4 och 8.5). Lagen är inte avsedd att tillämpas vid frivilligt utbyte av vårddokumentation mellan omsorgsgivare och vårdgivare samt omsorgsgivare sinsemellan enligt SVOD (se kapitel 12 för en beskrivning av konsekvenserna detta medför).

Infrastrukturen ska underlätta ett säkert och effektivt informationsutbyte av hälsodata

Infrastrukturen är en betydelsefull förutsättning för att vårdgivare ska kunna göra vårddokumentation i elektronisk form tillgänglig i hela vårdkedjan. De uppgifter som ska tillgängliggöras med hjälp av infrastrukturen är först och främst sådana som enligt artikel 14 i EHDS-förordningen utgör prioriterade kategorier av hälsodata med personuppgifter. Dessa motsvarar enligt utredningens bedömning i

283

huvudsak sådana uppgifter som ska eller får journalföras enligt 3 kap. PDL och som utgör uppgifter som behandlas för vårdändamål (se förslag till 6 kap. 3 § PDL och avsnitt 5.2). Uppgifter som behandlas för vårdändamål eller för att bereda patienter vård är, i likhet med begreppet vårddokumentation, ett uttryck för de uppgifter som anges i 2 kap. 4 § 1 och 2 patientdatalagen (2008:355), PDL, dvs. personuppgifter som får behandlas inom hälso- och sjukvården för fullgörandet av journalplikten och upprättandet av annan dokumentation som behövs i och för vården av patienter, samt administration som rör patienter och som syftar till att ge vård i enskilda fall eller som annars föranleds av vård i enskilda fall. Utöver att infrastrukturen ska möjliggöra vårdgivares elektroniska tillgängliggörande av de prioriterade kategorierna av hälsodata ska vissa andra uppgifter tillgängliggöras inom Sverige när de behandlas för ändamålet att vårda patienten. Sådana uppgifter ska enligt våra förslag tillgängliggöras i enlighet med föreskrifter om specifikationer (se 6 kap. 4 och 13 §§ PDL samt avsnitt 5.3). Slutligen ska det vara möjligt att tillgängliggöra vissa ytterligare uppgifter om en patient som behandlas för vårdändamål tillgängliggöras inom Sverige även om det för dem inte finns krav på tillgängliggörande (se 6 kap. 5 § PDL och avsnitt 5.6).

För uppgifter om förskrivna och expedierade läkemedel tillämpas lag om nationell läkemedelslista

Uppgifter om förskrivna och expedierade läkemedel omfattas av de informationsmängder (prioriterade kategorier av hälsodata) som ska tillgängliggöras i enlighet med kraven i EHDS-förordningen. Sådana uppgifter måste således också tillgängliggöras för att åstadkomma ett komplett informationsbyte på hälso-och sjukvårdsområdet. I nationell rätt regleras informationsutbytet av ifrågavarande uppgifter redan i lag (2018:1212) om nationell läkemedelslista (NLL). Genom bestämmelserna i den lagen är alltså kravet på att vårdgivare liksom den som har tillstånd att bedriva handel med läkemedel att tillgängliggöra uppgifter om elektroniska recept och elektroniska förskrivningar redan uppfyllt. För att undvika dubbel

284

uppgiftsskyldighet förslår utredningen att dessa uppgifter undantas från infrastrukturlagens tillämpningsområde. Den som enligt lagen (2009:366) om handel med läkemedel har tillstånd att bedriva öppenvårdsapotek träffas således inte av krav enligt den förslagna lagen. För vårdgivare gäller däremot både den nya lagen och NLL, beroende på vilka uppgifter som är föremål för elektroniskt informationsbyte. Vid en eventuell och mer omfattande översyn av regleringen på hälso- och sjukvårdsområdet finns det enligt utredningens bedömning skäl att överväga en samordning av regleringen. (se även avsnitt 5.2)

Lagen ska benämnas lag om en nationell infrastruktur och tjänster för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet

Den nationella infrastrukturen inom hälso- och sjukvården i Sverige omfattar ett brett spektrum av myndigheter, vårdgivare, privata aktörer och systemleverantörer. Dessa aktörers uppdrag med koppling till infrastrukturen styrs genom flertalet olika regelverk. Den lag som utredningen nu lämnar förslag om gör inte anspråk på att reglera en sådan nationell infrastruktur i dess vidare bemärkelse. Lagen innehåller i stället bestämmelser om komponenter i form av tjänster, register och it-funktioner, jämte för dessa nödvändig personuppgiftsbehandling, som staten ansvarar för och som utgör förutsättningar för att möjliggöra just ett elektroniskt informationsutbyte inom hälso- och sjukvården och tandvården. För att tydliggöra detta föreslår vi att lagen benämns lag om en nationell infrastruktur och tjänster för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet. Förordningen till lagenåterfinns i bilaga 3.

Författningsförslag

1 kap. 1 - 4 §§ förslag till lag (202X:XX) om nationell infrastruktur och tjänster för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet

285

8.3 En statlig myndighet ska ansvara för nödvändiga komponenter och strukturer i infrastrukturen

Utredningens förslag: Den statliga myndighet som regeringen bestämmer (den ansvariga myndigheten) ska ansvara för den infrastruktur som krävs för vårdgivares elektroniska informationsutbyte av hälsodata genom att dels tillhandahålla nödvändiga it-funktioner och föra de register som krävs, dels till vårdgivare lämna ut uppgifter som behandlas i it-funktionerna och registerna. Regeringen eller den myndighet som regeringen bestämmer ska få meddela närmare föreskrifter om dels funktionaliteten för och användningen av de it-funktioner och register som den ansvariga myndigheten ska tillhandahålla eller ansvara för enligt lagen, dels vilka uppgifter som myndigheten ska lämna ut och hur utlämnandet ska fullgöras.

Utredningens bedömning: E-hälsomyndighetens uppgift som ansvarig myndighet bör framgå av den till lagen anslutande förordningen.

Skälen för utredningens förslag och bedömning

En ansvarig myndighets grundläggande skyldigheter ska framgå av lagen

För att tydliggöra det statliga ansvaret för infrastrukturen föreslår utredningen att det i lagen fastslås en skyldighet för en ansvarig myndighet att föra nödvändiga register och tillhandahålla de itfunktioner som krävs för att vårdgivare ska kunna ge tillgång till och ta emot vårddokumentation i elektronisk form. Det är alltså fråga om att tillhandahålla sådana tekniska komponenter och funktioner som krävs för att bidra till att vårdgivare på ett säkert och ändamålsenligt sätt ska kunna tillgängliggöra hälsodata. I den ansvariga myndighetens uppgift ingår även att förse anslutna vårdgivare med uppgifter från registren och via it-

286

funktionerna. Utan ett sådant uppgiftslämnande kan syftet med infrastrukturen inte uppnås eftersom en central funktionalitet för densamma till att börja med är att vårdgivare får del av information som anvisar i vilka vårdinformationssystem vissa hälsodata finns registrerade. Den ansvariga myndighetens skyldighet att lämna ut uppgifter omfattar även sådana som behandlas i spärr- eller företrädarfunktionerna när de behövs för att säkerställa att uppgifter som är spärrade inte tillgängliggörs eller för att kontrollera behörighet hos utsedda ombud. För att det tydligt ska framgå att den ansvariga myndigheten är skyldig att lämna ut uppgifter föreslår utredningen att skyldigheten anges i lagen. En författningsreglerad uppgiftsskyldighet innebär dessutom att den ansvariga myndigheten utan hinder av sekretess kan lämna ut uppgifter till offentliga vårdgivare. (Se mer om utredningens förslag om nödvändiga sekretessbestämmelser i kapitel 10). Utredningen föreslår även att en statlig myndighet ska tillhandahålla en tillgångstjänst för hälso- och sjukvårdspersonal (se avsnitt 6.2). Som redan framgått är en tillgångstjänst inte en infrastrukturkomponent i egentlig mening, men den är en förutsättning för uppfyllelse av Sveriges åtaganden i fråga om patienters och vårdgivares tillgång till hälsodata som åvilar medlemsstaterna i enlighet med EHDS-förordningen. Även om tillgångstjänsten alltså är en förutsättning för uppfyllelse av EHDSförordningens krav finns det i sammanhanget skäl att framhålla att förordningens avgränsning till prioriterade kategorier av hälsodata med personuppgifter (artikel 14) inte utgör något hinder mot att den statliga tillgångstjänsten ska möjliggöra för vårdgivare inom Sverige att ge och få tillgång även till andra uppgifter om patienter som behandlas för att bereda patienter vård. Således ska även sådana uppgifter som omfattas av krav på elektroniskt informationsutbyte enbart inom Sverige kunna efterlevas av vårdgivare genom användning av den statliga tillgångstjänsten. Detsamma gäller det frivilliga informationsutbytet mellan svenska vårdgivare som ovan redovisats (6 kap. 4 respektive 5 § PDL). I den föreslagna nya lagen tas därför in en bestämmelse om att den ansvariga myndigheten ska tillhandahålla en sådan tillgångs-

287

tjänst för hälso- och sjukvårdspersonal som avses i artikel 12 i EHDS-förordningen.

Regeringen eller den myndighet regeringen bestämmer ska få meddela föreskrifter om registren och it-funktionerna

Eftersom arbetet med infrastrukturen är pågående, men också för att regleringen avser tekniska komponenter som med tiden förändras och förfinas, framstår det inte som ändamålsenligt att på lagnivå närmare precisera vilka komponenter myndigheten ska ansvara för. Det bör i stället ankomma på regeringen eller, på det sätt regeringen anser vara lämpligt, den ansvariga myndigheten att bedöma vilka itfunktioner och register som krävs för att myndigheten ska kunna fullgöra sitt uppdrag att administrera verksamheten. Regeringen eller den myndighet regeringen bestämmer ska därför bemyndigas att meddela närmare föreskrifter om funktionaliteten för och användningen av de register och it-funktioner som den ansvariga myndigheten ska ansvara för eller tillhandahålla. För att – under givna förutsättningar – skapa en så tydlig reglering som möjligt finns det emellertid skäl för att i lagen övergripande ange vad de nödvändiga registerna och it-funktionerna är avsedda att användas till och vilka förmågor de ska ha. It-funktionerna och registerna ska till att börja med möjliggöra att vårdinformation kan lokaliseras. För det ändamålet ska enligt E-hälsomyndigheten registrerade uppgifter i PDI och NTK användas. Genom uppgifterna som finns i respektive register kan en vårdgivares anrop begränsas till just de vårdgivare och EHR-system som har registrerade personuppgifter (vårddokumentation) om en patient. Med stöd av uppgifterna som erhålls genom anropen kan en vårdgivare, antingen via en i sitt eget EHR-system integrerad tillgångstjänst eller via en av staten tillhandahållen sådan, få tillgång till relevanta och nödvändiga hälsodata. Även rätten att motsätta sig tillgängliggörande av (opt-out) eller begränsning av tillgång till personuppgifter, ska möjliggöras, genom lokalisering, administrering och förmedling av sådana begränsningar (spärrar).

288

Sådan funktionalitet har E-hälsomyndigheten beskrivit att spärregistret och spärrfunktionen ska erbjuda. De spärrar som avser en patients hälsodata hos en viss vårdgivare (lokala spärrar) ska inte lagras i registret utan lokalt och distribueras via spärrfunktionen endast i de fall en patient, via sin tillgångstjänst, vill administrera spärrarna. Generella spärrar, som även ska lagras centralt i spärregistret och avser uppgifter hos fler än en vårdgivare, ska distribueras via spärrfunktionen till berörda vårdgivare. E-hälsomyndigheten har upplyst utredningen om att de generella spärrarna också ska lagras lokalt för att minska antalet anrop och därigenom belastningen på infrastrukturen. För att uppnå det syftet krävs att de angivna spärrarna hålls uppdaterade genom meddelanden från den ansvariga myndighetens register. En sådan funktionalitet ska som framgått inledningsvis enligt myndigheten utvecklas i det fortsatta arbetet. Slutligen ska infrastrukturen möjliggöra att ombud kan utses genom fullmakt från patienten, liksom kontroll av ombuds och andra företrädares behörighet genom lokalisering, administrering och förmedling av uppgifter om behörighet för fysiska personer att företräda en patient och få tillgång till dennes hälsodata. Det som avses är att ett ombud eller en rättslig företrädare såsom en vårdnadshavare eller förvaltare ska kunna få tillgång till en patients hälsodata. Enligt artikel 4 i EHDS-förordningen ska ifrågavarande tillgång möjliggöras inom ramen för en patients tillgångstjänst. Det bör i detta sammanhang påpekas att det enligt gällande rätt inte är obligatoriskt för en vårdgivare att ge ett ombud eller företrädare elektronisk åtkomst till en patients uppgifter. 144 En närmare beskrivning av tillgångstjänsten för patient och dess funktionalitet samt eventuella anpassningar av nationell rätt som krävs i anslutning till dessa tjänster, lämnas i utredningens slutbetänkande. För att säkerställa att avsedda uppgifter kan lokaliseras, administreras och förmedlas inom ramen för infrastrukturen, ska de funktionaliteter som fullmaktsregistret och företrädarfunktionen erbjuder användas. Genom att i lagen på föreslaget sätt ange komponenternas avsedda förmågor fastslås den yttre ramen för dels myndighetens personuppgiftsbehandling (se kapitel 9), dels för vilka

144 Förslag om möjlighet för vårdgivare att medge sådan elektronisk åtkomst har lämnats av Utredningen om sammanhållen information inom vård och omsorg (SOU 2021:39), s. 117 f.

289

uppgiftsmängder vårdgivare ska vara skyldiga att förse myndigheten med (se mer om uppgiftsskyldighet i avsnitt 8.4). Utöver funktionaliteten för och användningen av de itfunktioner och register som den ansvariga myndigheten ska tillhandahålla eller ansvara för, ska föreskriftsbemyndigandet omfatta vilka uppgifter som ska lämnas ut och hur utlämnandet ska fullgöras. E-hälsomyndigheten har upplyst utredningen att sådana föreskrifter kan behövas för att reglera exempelvis i vilka fall uppgifter ska lämnas ut endast på begäran av en vårdgivare. Vidare kan det enligt myndigheten finnas skäl att föreskriva att uppgifter från registren i vissa fall inte ska lämnas ut direkt till en vårdgivare när den statliga tillgångstjänsten för hälso- och sjukvårdspersonal används eftersom det då saknas behov av ett sådant utlämnande till vårdgivaren. I stället är det till den statliga tillgångstjänsten uppgifter från berört register returneras och vårdgivaren kan därigenom ta del av relevant vårddokumentation och föra in i sitt vårdinformationssystem.

E-hälsomyndighetens roll som ansvarig myndighet följer av myndighetens instruktion och regeringsuppdrag

E-hälsomyndigheten bildades eftersom regeringen ansåg att det fanns behov av en nationell aktör med uppdrag att tillgodose behovet av en samordning av nationella it-infrastrukturtjänster för vården och omsorgen. 145 Myndighetens uppdrag framgår av förordning (2013:1031) med instruktion för E-hälsomyndigheten enligt vilken myndigheten ska samordna regeringens satsningar på e-hälsa och nationell digital infrastruktur för hälso- och sjukvård, tandvård och socialtjänst samt bistå regeringen med underlag för utvecklingen av digitaliseringen inom dessa områden (1 §). Enligt E-hälsomyndighetens regleringsbrev för 2025 ska myndigheten under året fortsätta arbetet med att genomföra en nationell digital infrastruktur inom hälso- och sjukvården och förbereda för att Sverige ska genomföra förordningen om det europeiska hälsodataområdet (EHDS) rörande primäranvändning. Vidare anges

145 Ny myndighet för infrastrukturfrågor för vård och apotek, (Ds 2012:21), s. 70 f.

290

att det i arbetet ingår att påbörja utvecklingen av grundläggande komponenter och strukturer i infrastrukturen. 146 I sammanhanget kan också nämnas att E-hälsomyndigheten genom budgetpropositionen för 2026 tillförs permanenta medel för att utveckla och tillhandahålla en nationell digital infrastruktur och genomföra EHDS. För 2026 innebär tilldelningen nästan en 147 fördubbling av myndighetens anslag. E-hälsomyndighetens roll som ansvarig myndighet följer alltså av syftet med inrättandet av myndigheten, myndighetens instruktion och preciseras ytterligare genom regleringsbrevet, liksom regeringens ambition i budgetpropositionen för 2026 att kraftigt förstärka medlen som går till E-hälsomyndigheten. Det skulle därmed vara möjligt att redan i lagen fastslå att E-hälsomyndigheten är den ansvariga myndigheten. I takt med att infrastrukturen utvecklas kan det emellertid inte uteslutas att ytterligare myndigheter får ansvar för någon eller några delar i infrastrukturen. I vårt förslag ges därför utrymme för regeringen att utse ytterligare ansvariga myndigheter om ett sådant behov skulle uppkomma.

Författningsförslag

2 kap. 1–5§§ förslag till lag (202X:XX) om nationell infrastruktur och tjänster för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet.

146 Regleringsbrev för budgetåret 2025 avseende E-hälsomyndigheten, Socialdepartementet, S2025/01234, 19 juni 2025. 147 Se prop. 2025/26:1 Utgiftsområde 9, s. 41 och s. 66.

291

8.4 Vårdgivare ska lämna och ta emot nödvändiga uppgifter

Utredningens förslag: Vårdgivare ska vara skyldiga att – till den ansvariga myndigheten lämna de uppgifter som myndigheten behöver för att kunna tillhandahålla en ändamålsenlig nationell infrastruktur, och – ta emot sådana uppgifter från myndigheten som krävs för att på ett säkert och effektivt sätt möjliggöra ett elektroniskt informationsutbyte på hälso- och sjukvårdsområdet.

Regeringen eller den myndighet som regeringen bestämmer ska få meddela föreskrifter dels om undantag från uppgiftsskyldigheten, dels närmare föreskrifter om vilka uppgifter som ska lämnas och tas emot samt hur dessa skyldigheter ska fullgöras.

Utredningens bedömning: Ett nationellt ställföreträdarregister med verifierbara uppgifter om rättsliga företrädare är av avgörande betydelse för infrastrukturens funktionalitet och vissa patienters tillgång till sina elektroniska hälsodata.

Skälen för utredningens förslag

En uppgiftsskyldighet för vårdgivare ska framgå av lag

För att verksamheten ska uppfylla sitt syfte, att möjliggöra ett säkert och effektivt flöde av hälsodata, måste den ansvariga myndigheten från vårdgivare förses med vissa uppgifter som är nödvändiga för infrastrukturens register och it-funktioner. En sådan uppgiftsskyldighet ska, för att informationsförsörjningen av infrastrukturen ska vara garanterad, regleras särskilt. Därigenom fastslås den yttre ramen för uppgiftsskyldigheten och för den ansvariga myndighetens personuppgiftsansvar för uppgifter i registerna och it-funktionerna. Genom att uppgiftsskyldigheten

292

regleras i lagen säkerställs också att vårdgivare kan lämna uppgifter till den ansvariga myndigheten, även om uppgifterna är skyddade av sekretess eller tystnadsplikt (se vidare om sekretess i avsnitt 10). Som framgått är infrastrukturen under uppbyggnad. E-hälsomyndigheten har i sin rapport framhållit att utredningsfasen är pågående för samtliga av myndigheten föreslagna komponenter. Därmed kvarstår motsvarande utredningsarbete innan myndigheten närmare kan precisera vilka uppgifter som behövs i verksamheten med att förvalta och administrera komponenterna i infrastrukturen. Det är således inte möjligt att i den nya lagen i detalj precisera vilka uppgifter som ska omfattas av uppgiftsskyldigheten. Det är inte heller lämpligt att på lagnivå precisera uppgiftsskyldighetens omfattning eftersom komponenterna i infrastrukturen kan komma att ändras utifrån nya tekniska förutsättningar eller genom att initiativ för myndighetssamverkan ger utrymme för andra, mer ändamålsenliga, informationsflöden. Som redan angetts fastslås emellertid den yttre ramen för uppgiftsskyldigheten genom att det ska vara fråga om nödvändiga uppgifter. Hur uppgiftsskyldigheten ska fullgöras och närmare bestämmelser om vilka uppgifter som ska lämnas in bör framgå av den till lagen anslutande förordningen och, vid behov, ytterligare preciseras i myndighetsföreskrifter. De uppgifter som behövs för verksamheten med att administrera nödvändiga register och it-funktioner finns i allt väsentligt hos vårdgivarna, men det är inte fråga om journalhandlingar. Uppgifter i patientjournalen som behandlas för att bereda patienten vård, dvs. vårddokumentation, kommer inte att förekomma inom ramen för den tekniska infrastrukturen. Behandling av sådana uppgifter kommer emellertid att förekomma i den statliga tillgångstjänsten för hälso- och sjukvårdspersonal, till följd av vårdgivares skyldighet att tillgängliggöra vårddokumentation i enlighet med av utredningen föreslagna bestämmelser i 6 kap. PDL (se kapitel 5).

Vårdgivare ska vara skyldiga att på elektronisk väg ta emot uppgifter från infrastrukturens register och it-funktioner

För att säkerställa flödet i infrastrukturen och därigenom patientsäkerheten samt skyddet för patienternas personliga

293

integritet bör det uttryckligen framgå av lagen att vårdgivare ska vara skyldiga att ta emot uppgifter som behandlas i infrastrukturens register eller it-funktioner. Genom skyldigheten följer att det ankommer på vårdgivaren att skapa tekniska förutsättningar för att ta emot svar på de anrop som görs till infrastrukturens register och it-funktioner samt på annat sätt ta emot uppgifter från infrastrukturen. Genom att ta emot uppgifter från PDI och NTK kan vårdgivare exempelvis avgränsa vilka andra vårdgivares EHRsystem som måste kontaktas för att inhämta nödvändiga uppgifter om en viss patient. På så sätt möjliggörs inte bara utbytet av hälsodata, funktionaliteten innebär också att belastningen på vårdgivares system minskar eftersom antalet nödvändiga anrop minskar. Därutöver är skyldigheten att ta emot uppgifter en förutsättning för att, via spärrfunktionen, säkerställa att spärrar är uppdaterade och, via företrädarfunktionen, att en företrädare som efterfrågar åtkomst till journaluppgifter har erforderlig behörighet.

Närmare bestämmelser om hur uppgiftsskyldigheten ska fullgöras bör framgå av den till lagen anslutande förordningen

För att tydliggöra vårdgivares uppgiftsskyldighet behövs bestämmelser som närmare preciserar vilka uppgifter som ska lämnas för respektive komponent i infrastrukturen samt på vilket sätt och i vilket format de ska lämnas. Uppgiftslämnandet behöver, utifrån komponenternas respektive funktionalitet, göras i olika omfattning och under delvis skilda förutsättningar. Enligt E-hälsomyndigheten behövs för PDI exempelvis uppgifter för att kunna identifiera patienten såsom personnummer eller samordningsnummer, vårdgivarens identitet såsom organisationsnummer samt uppgifter om händelsen. Det sistnämnda kan avse överföringstidpunkt, unik identifierare för den systemkomponent vårdgivaren använder för att överföra uppgifterna till PDI, vilken typ av händelse som föranledde överföringen eller orsaken till att delning inte längre är möjlig (exempelvis för att en patient avlidit). För att illustrera behovet av möjlighet till flexibilitet i författningen har E-hälsomyndigheten upplyst utredningen om att det nuvarande förslaget om innehåll i

294

PDI utgår ifrån statistiska beräkningar baserade på uppgifter om systemlandskapets uppbyggnad, dvs. hur information är distribuerad i olika källsystem, och en hypotes om framtida användning av tillgångstjänster. Om det skulle visa sig att beräkningarna inte speglar verkligheten och att syftet med PDI – dvs. att åstadkomma ett tillräckligt skydd för överbelastning – inte kan uppnås, skulle en nödvändig åtgärd kunna vara att utöka typen av uppgifter som vårdgivarna måste överföra till PDI. NTK omfattar uppgifter om via vilken anropsadress ett system kan nås, vilka API:er systemet kan hantera samt vilka aktörer som använder systemet. Uppgifter för PDI, liksom dem för NTK, behöver tillföras infrastrukturen kontinuerligt och måste därför som utgångspunkt lämnas till den ansvariga myndigheten utan särskild begäran. För spärregistret behövs närmare uppgifter om patientens identitet, spärrens verkansområde, vad som ska spärras, tillfälliga undantag och spärrens giltighetstid. Enligt E-hälsomyndigheten kommer regelverket för spärrar att behöva justeras och utvecklas kontinuerligt allt eftersom förändrade behov blir kända. Om en spärr sätts av en vårdgivare, ska vårdgivaren, i de fall spärren är eller kan bli tillämplig även för andra vårdgivare, vara skyldig att förse infrastrukturen med sådana uppgifter automatiskt. Vårdgivare ska också, på begäran, lämna ut uppgifter om de spärrar som lagras hos vårdgivaren. Ett sådant uppgiftslämnande är nödvändigt i första hand för att en patient ska kunna administrera sina spärrar i en tillgångstjänst och för att andra vårdgivare ska kunna tillämpa relevanta spärrar. För de lokala spärrarna gäller att det ankommer på varje vårdgivare att tillämpa dem och filtrera informationen. Det nationella fullmaktsregistret kommer att behöva innehålla uppgifter om patientens identitet, ombudets identitet, vad fullmakten avser – dvs vilken åtkomst och befogenhet som ska ges – och fullmaktens giltighetsperiod. Sådana uppgifter kommer emellertid inte omfattas av vårdgivares uppgiftsskyldighet utan ska, enligt vad E-hälsomyndigheten upplyst utredningen, tillföras registret via patienternas tillgångstjänst eller, för patientens räkning, förmedlas till registret av en vårdgivare. Genom att det i lagen anges att uppgiftsskyldigheten får avse uppgifter som myndigheten behöver för att administrera

295

infrastrukturen omfattas, utöver de nyss nämnda, även vissa andra uppgifter som är nödvändiga i verksamheten. Det kan handla om uppgifter som behövs för kvalitetssäkring av registrens innehåll, planering av registrets framtida dimensioner och som stöd vid incidenthantering eller analyser relaterade till vårdhändelser. Föreskriftsbemyndigandet ska omfatta rätt att meddela föreskrifter om undantag från uppgiftsskyldigheten. Ett sådant undantag kan exempelvis meddelas när en vårdgivare i och för sig har dokumenterade uppgifter om en patient men det finns skäl för att det inte ska framgå av myndighetens register, exempelvis PDI, eftersom patienten har begärt s.k. opt-out.

För offentliga uppgifter behövs ingen uppgiftsskyldighet

E-hälsomyndigheten har bedömt att uppgifter om rättsliga företrädare, som behövs för att tillgodose den funktionalitet som ska tillhandahållas i patientens tillgångstjänst (artikel 4.2 b), bör lagras i och hämtas från ursprungskällor hos andra myndigheter. 148 Uppgifter om vårdnadshavare finns lagrade i Skatteverkets folkbokföringsdatabas (2 kap. 3 § 10 p. lag (2001:182) om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet). Till sådana uppgifter får en myndighet ha direktåtkomst om myndigheten behöver uppgifterna för att fullgöra sitt uppdrag och får behandla dem (2 kap. 8 § 2 stycket). Uppgifter i folkbokföringsdatabasen är i regel offentliga. Sekretess gäller för uppgift om en enskilds personliga förhållanden endast om det av särskild anledning kan antas att den enskilde eller någon närstående till denne lider men om uppgiften röjs. Vad gäller personuppgiftsbehandling får uppgifter i folkbokföringsdatabasen behandlas av Skatteverket bland annat för att fullgöra uppgiftslämnande som görs i överensstämmelse med lag eller förordning, se 1 kap. 4 § andra stycket lagen om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet (jfr 6 kap. 5 § OSL). Skatteverkets utlämnande av uppgifter till en ansvarig myndighet för användning i verksamheten med att administrera

148 E-hälsomyndigheten (2025). Genomförandet av en nationell digital infrastruktur för hälsooch sjukvård och EHDS primäranvändning, Dnr: 2024/03223, s. 74 ff.

296

infrastrukturen ryms enligt utredningens bedömning inom dessa ändamål.

Avsaknad av nödvändiga nationella register medför bristande funktionalitet

Enligt E-hälsomyndigheten bör nödvändiga uppgifter om andra rättsliga företrädare hämtas från ett nationellt register över förordnade förmyndare, gode män och förvaltare som föreslagits av Ställföreträdarutredningen 149 . Förslagen bereds för närvarande i Regeringskansliet. Alternativet skulle enligt myndigheten vara att uppgifter om ställföreträdare registreras i samma register som ombud, eller i ett separat register efter uppvisande av beslut om ställföreträdarskap. 150 Vi delar E-hälsomyndighetens uppfattning att uppgifter om ställföreträdare bör hämtas från ett nationellt register. Enligt vår bedömning är ett nationellt ställföreträdarregister av avgörande betydelse för att EHDS-förordningen ska kunna genomföras fullt ut. Utan ett sådant är det nämligen inte möjligt att, på ett för infrastrukturen ändamålsenligt sätt, säkerställa att det finns tillförlitliga och uppdaterade uppgifter om en patients ställföreträdare. Det beror på att uppgifter om ett ställföreträdarskap kan förändras kontinuerligt, såväl vad gäller en ställföreträdares uppdrag som hur ingripande ett sådant ska vara för huvudmannen. Att hålla ifrågavarande register uppdaterat hos den ansvariga myndigheten utan att det finns en nationell säkerställd källa skulle sannolikt kräva ett omfattande arbete och medföra rättssäkerhetsrisker. Det är därför inte ändamålsenligt att ansvarig myndighet för hälso- och sjukvårdens infrastruktur ansvarar för ett sådant register, även om ett nationellt ställföreträdarregister inte kan införas i tid.

149 Gode män och förvaltare-en översyn (SOU 2021:36), s. 437f. 150 E-hälsomyndigheten (2025). Genomförandet av en nationell digital infrastruktur för hälsooch sjukvård och EHDS primäranvändning , Dnr: 2024/03223, s. 73 f. och bilaga 1, s. 50.

297

Författningsförslag

4 kap. 1 § och 4 § 1 p förslag till lag (202X:XX) om nationell infrastruktur och tjänster för elektroniskt informationsutbyte på hälsooch sjukvårdsområdet.

8.5 Krav på anslutning till infrastrukturens register och it-funktioner

Utredningens förslag: Vårdgivare ska vara skyldiga att – ansluta sina system för elektronisk journalföring till de register och it-funktioner som den ansvariga myndigheten har bedömt vara nödvändiga i verksamheten med att administrera den nationella infrastrukturen på ett säkert och effektivt sätt, – uppfylla de krav på teknisk och organisatorisk säkerhet som är nödvändiga för att säkerställa att uppgifter i elektronisk form ska kunna lämnas till och tas emot från infrastrukturens register och it-funktioner samt kunna tillgängliggöras och tas emot i den statliga tillgångstjänsten.

Regeringen eller den myndigheten regeringen bestämmer ska få meddela föreskrifter om undantag från anslutningskravet samt närmare föreskrifter om dels hur kravet på anslutning ska fullgöras, dels de tekniska och organisatoriska krav på säkerhet som en vårdgivare ska uppfylla.

Skälen för utredningens förslag

Vårdgivare ska ansluta sina elektroniska vårddokumentationssystem till infrastrukturens register och it-funktioner

Skyldigheten att lämna och ta emot uppgifter är i huvudsak avsedd att fullgöras genom en automatiserad process. Detta förutsätter att

298

vårdgivares system är integrerade med infrastrukturens itfunktioner och register. Det informationsutbyte som infrastrukturen ska möjliggöra bygger på att vårdgivare registrerar hälsodata i system som uppfyller kraven för ett elektroniskt hälsodokumentationssystem (EHRsystem) enligt artikel 2.2 k i EHDS-förordningen (se avsnitt 4.3). Utredningen har därför föreslagit att det av 3 kap. 7 a § PDL ska framgå att vårdgivare, när de för journal elektroniskt, är skyldiga att använda sådana system för att kunna tillgängliggöra och ta emot hälsodata enligt 6 kap. PDL. Således följer redan av EHDSförordningen och föreslagna bestämmelser i PDL att vårdgivare är skyldiga att använda särskilt anvisade system. E-hälsomyndigheten har emellertid upplyst utredningen om att det, utöver förordningens krav på EHR-system, kan finnas skäl att ställa ytterligare krav på de system som vårdgivare ska använda för att fullgöra skyldigheten att lämna och ta emot uppgifter via infrastrukturen. Utredningen föreslår därför att det ska framgå av lagen att vårdgivare är skyldiga att ansluta sina system för elektronisk journalföring till de register och it-funktioner som den ansvariga myndigheten tillhandahåller. Kravet innebär att det ankommer på vårdgivare att se till att deras vårddokumentationssystem har teknisk kapacitet för att kunna kommunicera med registren och itfunktionerna och för att en faktisk anslutning är möjlig. Anslutningsskyldigheten säkerställer att uppgifter säkert och effektivt ska kunna utbytas mellan vårdgivare enligt den nya regleringen i 6 kap. PDL. Genom ett uttryckligt krav på anslutning tydliggörs också att det inte ska vara frivilligt för vårdgivare som för patientjournal elektroniskt att använda sig av infrastrukturen. Enligt utredningens bedömning ska regeringen eller den myndighet regeringen bestämmer få meddela närmare föreskrifter om hur kravet på anslutning ska fullgöras. Därigenom skapas förutsättningar för den ansvariga myndigheten att precisera vilka krav som gäller för anslutning, vilket i sin tur utgör en grund för att på ett tillräckligt förutsebart sätt säkerställa efterlevnad av kraven. För vissa informationsmängder kan, enligt vad Ehälsomyndigheten upplyst, i stället för en automatiserad process ett manuellt förfarande användas. Det kan exempelvis vara aktuellt för uppgifter som ska lämnas till NTK. Utredningen föreslår, för att

299

möjliggöra ifrågavarande undantag, att regeringen eller den myndighet regeringen bestämmer ska få meddela undantag från anslutningsskyldigheten.

E-hälsomyndigheten har efterfrågat mandat att ställa krav på godkännande och regelefterlevnad

E-hälsomyndigheten har i sin rapport framfört att det finns behov av författningsreglering för att fastslå myndighetens rätt att kontrollera och därefter godkänna de elektroniska system som vårdgivare önskar integrera med register och it-funktioner i den nationella infrastrukturen. Enligt myndigheten ska en sådan process omfatta en kontroll av hur vårdgivare fullgör sina skyldigheter. Därutöver behöver enligt vad som anges krav på till exempel tekniska specifikationer och överföringsformat, som ställs för att ett system ska godkännas, samt på den anslutande vårdgivaren, preciseras. 151 E-hälsomyndigheten framförde i sitt remissvar motsvarande behov i lagstiftningsärendet avseende NLL. Regeringen uttalade då att det ingår i E-hälsomyndighetens roll som personuppgiftsansvarig att ställa krav på samtliga aktörer som behöver ha en anslutning till den nationella läkemedelslistan och att kravställning är i linje med Ehälsomyndighetens uppgift enligt förordningen (2013:1031) med instruktion för E-hälsomyndigheten att ansvara för register och itfunktioner som öppenvårdsapotek och vårdgivare behöver ha tillgång till för en patientsäker och kostnadseffektiv läkemedelshantering. Enligt regeringen avser mandatet i första hand att ställa krav på den tekniska specifikationen för anslutningen och överföringsformatet mellan ett vård- eller apotekssystem och det nya registret, men kan också omfatta krav på presentation av information, krav på användning av källor och kodverk, krav på spårbarhet samt krav på behörighet för åtkomst till den nationella läkemedelslistan. Vidare ingår enligt vad som angavs i myndighetens uppgift att säkerställa att uppställda säkerhetskrav följs. 152

151 E-hälsomyndigheten (2025), Rättsliga förutsättningar för att realisera en nationell digital infrastruktur för hälso-och sjukvård , Dnr 2024/03223s. 25 f. 152 Prop. 2017/18:223, s. 184 ff.

300

Regeringen gjorde bedömningen att den föreslagna bestämmelsen i den nya lagens 9 kap. 1 §, (i förening med uppgiftsskyldigheten i) befintliga 2 kap. 6 § 5 och 6 lagen (2009:366) om handel med läkemedel samt E-hälsomyndighetens ansvar som personuppgiftsansvarig möjliggör för myndigheten att ställa de krav som är nödvändiga. Enligt regeringen fanns det därför inte vid den tidpunkten ett behov av bemyndigande för Ehälsomyndigheten att utfärda föreskrifter i frågan. 153

Det ska framgå av lag att vårdgivare ska uppfylla krav på teknisk och organisatorisk säkerhet

Den nationella infrastrukturen kommer att utgöra en samhällsviktig funktion i vilken personuppgifter för stora delar av befolkningen hanteras. Därtill är det av avgörande betydelse för en god och patientsäker vård att uppgifterna i infrastrukturen är tillgängliga, relevanta och pålitliga. Kraven på teknisk och organisatorisk säkerhet behöver därmed ha högsta prioritet. Bristande säkerhet hos de anslutna vårdgivarna skulle kunna påverka säkerheten i hela systemet. Utredningen anser att det, även med beaktande av vad regeringen anförde i förarbetena till NLL, nu finns anledning att uttryckligen författningsreglera den ansvariga myndighetens rätt att ställa krav på anslutande vårdgivare. Eftersom det är fråga om myndighetsutövning med krav kopplade till en obligatorisk anslutningsskyldighet för enskilda vårdgivare samt kommuner och regioner i egenskap av huvudmän för hälso- och sjukvård, bör rätten att ställa krav framgå av lag. Därigenom uppnås också förutsebarhet för anslutande vårdgivare och ett tydligt mandat för den ansvariga myndigheten att agera vid eventuella säkerhetsbrister. Således ska det av den föreslagna lagen framgå att vårdgivare är skyldiga att uppfylla de krav på teknisk och organisatorisk säkerhet som är nödvändiga för att säkerställa dels att uppgifter i elektronisk form ska kunna lämnas till och tas emot från infrastrukturens register och it-funktioner, dels kunna tillgängliggöras till den statliga tillgångstjänsten. Därigenom möjliggörs interoperabelt och säkert

153 A.a. s. 196.

301

informationsutbyte enligt EHDS-förordningen och den nya regleringen om vårdgivares elektroniska tillgängliggörande av uppgifter enligt 6 kap. PDL. De tekniska kraven syftar till att säkerställa att vårdgivarens informationssystem kan kommunicera på ett säkert sätt med komponenterna i infrastrukturen och den statliga tillgångstjänsten. Med organisatoriska krav avses att vårdgivare bland annat ska ha behovs- och riskanalyser som grund för behörighetstilldelning, policyer för informationssäkerhet och dataskydd samt rutiner för incidenthantering. Vilka närmare krav som bör ställas kan lämpligen framgå av den till lagen anslutande förordningen (se bilaga 3) eller myndighetsföreskrifter. I den föreslagna lagen ska därför införas ett föreskriftsbemyndigande för regeringen eller den myndighet regeringen bestämmer.

Författningsförslag

4 kap. 2–3 §§ och 4 § 2 och 3 p. förslag till lag (202X:XX) om nationell infrastruktur och tjänster för elektroniskt informationsutbyte på hälsooch sjukvårdsområdet.

8.6 Vissa frågor om anslutningskrav samt behörighet, identitetshantering och spårbarhet kräver fortsatt beredning

Utredningens bedömning: För funktionaliteten i den nationella infrastrukturen är det av avgörande betydelse att frågor om behörighet, identitetshantering och spårbarhet är lösta på ett tillfredställande sätt. För att tillgodose en ändamålsenlig reglering kopplad till dessa frågor behövs ytterligare utredning. Det behövs ytterligare utredning av vilka konsekvenser en vårdgivares bristande efterlevnad av uppställda krav ska medföra och av de förutsättningar under vilka en vårdgivare eller dennes system ska kunna uteslutas från infrastrukturen.

302

Skälen för utredningens bedömning

De krav som ska ställas för anslutning till infrastrukturen behöver klargöras genom E-hälsomyndighetens fortsatta arbete

Utredningen har bedömt att det finns förutsättningar att lämna förslag om att en ansvarig myndighet ska få ställa krav på anslutande vårdgivare. Det bör emellertid framhållas att en förutsättning för en sådan kravställning är att det är klarlagt på vilket sätt frågor om behörighet, identitetshantering och spårbarhet ska lösas. E-hälsomyndigheten har i sin rapport Genomförandet av en nationell digital infrastruktur för hälso-och sjukvård och EHDS primäranvändning beskrivit behovet av att åstadkomma dels en tillitsbaserad, säker och effektiv identitets- och behörighetshantering inom hälso- och sjukvården, dels att spårbarhet ska vara möjlig mellan organisationer för att exempelvis tydliggöra vem som ansvarar för vad. I rapporten redovisas att Myndigheten för digital förvaltning (Digg) och E-hälsomyndigheten har pågående regeringsuppdrag enligt vilka myndigheterna ska utveckla en sammanhållen infrastruktur för identitets- och behörighetshantering, som ska tillhandahållas inom ramen för Ena – Sveriges digitala infrastruktur. Digg ska ansvara för det förvaltningsgemensamma arbetet, men uppdraget ska utföras i nära samverkan med E-hälsomyndigheten för att möta behovet av att införa en nationell digital infrastruktur i hälso- och sjukvården. Digg ska dessutom se över behovet av eventuella författningsändringar och föreslå hur drift och förvaltning av infrastrukturen ska se ut. E-hälsomyndigheten ska ansvara för de sektorsspecifika frågorna för identitets- och behörighetshantering inom hälso- och sjukvården. Parallellt med regeringsuppdragen arbetar E-hälsomyndigheten, enligt vad som framgår av rapporten, med att dels utreda lösningar för att realisera EHDS-förordningens krav på identifiering, dels tillhandahålla ett stöd i form av ett regelverk för åtkomst till hälsodata inom den 154 nationella infrastrukturen.

154 E-hälsomyndigheten (2025). Genomförandet av en nationell digital infrastruktur för hälsooch sjukvård och EHDS primäranvändning . Dnr: 2024/03223, s. 51–58 och dess bilaga 2

303

Det är alltså ännu inte fullt ut klarlagt hur frågor om identitet, behörighet och spårbarhet ska ombesörjas inom infrastrukturen. Resultaten av E-hälsomyndighetens och Diggs regeringsuppdrag ska redovisas i december 2025 och det är i vart fall inte dessförinnan möjligt att närmare redogöra för hur nämnda frågor ska hanteras. Dessa frågor kräver således ytterligare beredning för att regleringen av infrastrukturen ska bli helt ändamålsenlig. I ett sådant sammanhang bör särskilt övervägas om och i sådant fall hur uppgifter kopplade till patienter med skyddade personuppgifter blir aktuella att hantera i infrastrukturens register och it-funktioner.

Följderna av bristande efterlevnad av kraven för att ansluta bör utredas vidare

Enligt E-hälsomyndigheten ska det, om ett system inte längre uppfyller villkoren för godkännande eller om förutsättningarna för anslutning inte längre är uppfyllda, vara möjligt att upphäva ett godkännande av ett system eller stänga av en vårdgivare. 155 Utredningen anser liksom myndigheten att det finns goda skäl för varför angivna åtgärder ska vara möjliga att vidta. Säkerhetsbrister i infrastrukturen eller hos anslutna vårdgivare kan medföra risker kopplade till patienters personliga integritet och skulle sannolikt påverka tilliten till hälso- och sjukvården och infrastrukturen, liksom tilliten mellan medlemsstater samt kunna få betydelse för rikets säkerhet. Enligt utredningens bedömning krävs emellertid en fördjupad analys av vilka konsekvenser ett sådant beslut får för en vårdgivares möjlighet att fortsatt bedriva verksamhet. Våra förslag innebär att en vårdgivare ska vara skyldig att dels tillgängliggöra uppgifter, dels ansluta till infrastrukturen. Om en vårdgivare utesluts får det till följd att dennes möjlighet att bedriva verksamhet blir starkt begränsad. Vidare skulle förutsättningarna att uppfylla den författningsenliga skyldigheten att tillgängliggöra hälsodata samt

Inriktning för en tillitsstruktur för identitet och behörighet samt regleringsbrev för budgetåret 2025 avseende Myndigheten för digital förvaltning (Fi2024/0059, Fi2024/02483 (delvis)) samt avseende E-hälsomyndigheten (S2024/02156 (delvis)). 155 E-hälsomyndigheten (2025), Rättsliga förutsättningar för att realisera en nationell digital infrastruktur för hälso-och sjukvård , Dnr 2024/03223, s. 26.

304

ansluta till infrastrukturen i praktiken saknas. Det bör enligt utredningens mening i samband med nämnda analys övervägas om skyldigheterna, i förening med risken att bli utesluten, i praktiken innebär ett krav på tillstånd för att bedriva hälso- och sjukvård. I sammanhanget bör även framhållas att ett beslut att utesluta eller stänga av en vårdgivare kan få betydande konsekvenser för patientsäkerheten och för enskilda patienters möjlighet att få del av sin vårddokumentation till följd av att vårdgivaren saknar förutsättningar att genom infrastrukturen tillgängliggöra vårddokumentation. Den ytterligare analys som krävs är enligt utrednings bedömning omfattande och ryms inte inom vårt nuvarande uppdrag. En sådan analys skulle även behöva involvera exempelvis tillsynsmyndigheter som IVO.

8.7 Säkerhetsbehov hos den ansvariga myndigheten

Utredningens bedömning: Verksamheten med att tillhandahålla den nationella infrastrukturen kommer att behöva vara robust, uthållig och säker. Den ansvariga myndigheten behöver ha en väl utvecklad säkerhetskultur som arbetar med ständiga förbättringar, uppföljningar, granskningar och tester av säkerheten så att säkerheten uppdateras i takt med att hot och risker utvecklas. Infrastrukturen behöver fungera under svåra påfrestningar och höjd beredskap samt vid krig då ordinarie driftslösning potentiellt blir otillgänglig.

Skälen för utredningens bedömning

E-hälsomyndigheten har i sin rapport framhållit vikten av att analysera it- och cybersäkerhetsfrågor vid tillhandahållande av digital infrastruktur. Enligt myndigheten behöver även frågor om beredskap och risker för Sveriges säkerhet analyseras när uppgifter om den svenska hälso- och sjukvården och om svenska och utländska patienters hälsa och vård kopplas samman. Därutöver har

305

myndigheten konstaterat att information och system som hanteras kan behöva klassificeras i enlighet med säkerhetsskyddslagen och därmed kräva en högre nivå av it-säkerhet. 156 Utredningen delar myndighetens uppfattning och anser liksom myndigheten att NIS2-direktivet, dataskyddsförordningen (GDPR), CER-direktivet, säkerhetsskyddslagen och Myndighetens för Samhällsskydd och beredskap föreskrifter kring cybersäkerhet behöver beaktas och tillämpas för att säkerställa adekvat hantering och skydd för infrastrukturkomponenterna. Utöver det som E-hälsomyndigheten anfört anser utredningen att det finns skäl att framhålla vissa ytterligare säkerhetsåtgärder som kan vara relevanta. Det är till att börja med fråga om att arbeta med förebyggande säkerhetsarbete, exempelvis riskanalyser för att prioritera och vidta rätt säkerhetsåtgärder. Ett sådant arbete bör lämpligen kompletteras med omvärldsbevakning och övervakning av infrastrukturkomponenterna för att hantera incidenter. Vidare behöver den ansvariga myndigheten planera för att hantera mer omfattande störningar som kan inträffa, s.k. kontinuitetshantering. Infrastrukturen behöver byggas robust med en hög uthållighet så att fel eller avbrott i enskilda komponenter i infrastrukturen, nätverkstjänster eller system inte leder till avbrott eller störningar i tillhandahållandet eller möjligheten att använda de enskilda komponenterna. Informationen som lagras i myndighetens register behöver ha ett riktighetsskydd som visar om oönskade förändringar av informationen har skett. Den information som lagras och genereras behöver beakta principer för dataminimering, men även skyddas under lagring, överföring och användning. Det kan vidare finnas skäl att införa vissa organisatoriska säkerhetsåtgärder i form av riktlinjer, processer och rutiner för anställda hos myndigheten. På så sätt kan personberoenden undvikas, vilket också motiverar att vissa kritiska moment bör utföras av minst två personer tillsammans. Därutöver bör kontroller genomföras exempelvis i samband med beslutsprocesser inför förändringar i komponenter och system i syfte att undvika risken för att en enskild medarbetare av misstag eller illvilja påverkar

156 E-hälsomyndigheten (2025). Genomförandet av en nationell digital infrastruktur för hälsooch sjukvård och EHDS primäranvändning . Dnr: 2024/03223, s. 41.

306

säkerheten i hela infrastrukturen. Uppföljning och tester bör ske genom återkommande säkerhetsgranskningar, revisioner och penetrationstester. Sådana granskningar kan ske genom stöd från myndigheter med särskilt kompetens på området, men det kan även upphandlas på marknaden. Den nationella infrastrukturen kan slutligen komma att bli viktig ur ett totalförsvarsperspektiv. Det innebär att den ansvariga myndigheten kan behöva planera för och ta i anspråk anställda för totalförsvarsbehov i händelse av höjd beredskap eller krig samt vidta övriga åtgärder som krävs för att säkerställa ett uthålligt tillhandahållande av verksamheten med att administrera infrastrukturen.

307

9 Reglering av behandling av personuppgifter

I detta kapitel redogör utredningen för de grundläggande förutsättningarna för reglering av dataskydd och personuppgiftsbehandling samt lämnar förslag till författningsreglering för en ansvarig myndighets personuppgiftsbehandling i den föreslagna verksamheten med att tillhandahålla en nationell infrastruktur för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet (8 kap.). I kap. 4–6 redovisas vissa ytterligare förslag till bestämmelser som berör personuppgiftsbehandling, såväl för ansvarig myndighet som för vårdgivare och ansvariga för öppenvårdsapotek.

9.1 Innebörden av dataskydd och om behovet av reglering

9.1.1 EU:s dataskyddsförordning

De grundläggande reglerna för all personuppgiftsbehandling inom EU finns i Europaparlamentets och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), fortsättningsvis kallad EU:s dataskyddsförordning. Förordningen är direkt tillämplig i alla medlemsstater, vilket innebär att verksamheter inom hälso- och sjukvården direkt ska tillämpa förordningens bestämmelser. I vissa

308

fall förutsätter, eller tillåter, dock EU:s dataskyddsförordning att nationella bestämmelser införs som kompletterar förordningen. EU:s dataskyddsförordning tillämpas vid helt eller delvis automatiserad behandling av personuppgifter samt vid manuell behandling av personuppgifter som ingår i eller kommer att ingå i ett register, artikel 2.1. Således är tillämpningsområdet brett.

9.1.2 Dataskyddslagen

Nationella dataskyddsbestämmelser finns dels i den generella lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning, förkortad dataskyddslagen, dels i andra sektorsspecifika författningar och registerlagstiftning. Dataskyddslagen och de föreskrifter som har meddelats i anslutning till den lagen innehåller bestämmelser som på generell nivå kompletterar EU:s dataskyddsförordning (1 kap. 1 § dataskyddslagen). De nationella bestämmelser som behövs eller är lämpliga och som är av generell karaktär, i betydelsen att de rör hela samhället eller flertalet myndigheter, finns alltså i dataskyddslagen. Eftersom dataskyddslagen endast utgör ett komplement till EU:s dataskyddsförordning finns det stora flertalet av de regler som ska tillämpas i EU:s dataskyddsförordning. De av dataskyddslagens bestämmelser som innehåller hänvisningar till EU:s dataskyddsförordning är därför av upplysande karaktär. Det gäller främst hänvisningarna i bestämmelserna om rättslig grund, känsliga personuppgifter och skadestånd. Andra hänvisningar till EU:s dataskyddsförordning rör bland annat vilka myndigheter som är behöriga att pröva olika frågor eller som ska vidta åtgärder enligt EU:s dataskyddsförordning samt vilka förfarandebestämmelser som ska gälla när förordningen saknar bestämmelser eller hänvisar till att nationell rätt ska tillämpas. Dataskyddslagen ska därför läsas tillsammans med EU:s dataskyddsförordning och termer och uttryck i lagen har samma betydelse som i EU:s dataskyddsförordning. Dataskyddslagen är subsidiär i förhållande till avvikande bestämmelser i annan lag eller i förordning (1 kap. 6 §). Det gäller bland annat registerförfattningar. I den del en registerförfattning

309

inte reglerar viss typ av personuppgiftsbehandling, kan således dataskyddslagen innehålla tillämpliga bestämmelser. Dataskyddslagen innehåller bestämmelser som ger en generell rättslig grund för behandling av personuppgifter som är nödvändig för att fullgöra rättslig förpliktelse, uppgift av allmänt intresse eller myndighetsutövning som följer av bland annat lag eller annan författning (2 kap. 1 och 2 §§). Bestämmelserna kan sägas utgöra ett införlivande av direkt tillämpliga förordningsbestämmelser, men regeringen har ansett att det finns anledning att i dataskyddslagen upplysningsvis tydliggöra att en rättslig förpliktelse respektive en uppgift av allmänt intresse eller myndighetsutövning utgör en rättslig grund för behandling av personuppgifter, om förpliktelsen 157 följer av bland annat lag eller annan författning.

9.1.3 EHDS-förordningens förhållande till EU:s dataskyddsförordning

Förordningen om det europeiska hälsodataområdet ( EHDSförordningen ) syftar till att inrätta en gemensam ram för användning och utbyte av e-hälsodata i hela EU (ett europeiskt hälsodataområde). Den ska förbättra enskilda personers tillgång till och kontroll över personliga e-hälsodata, samtidigt som vissa data kan återanvändas för ändamål som rör allmänintresset, politiskt stöd och vetenskaplig forskning. Enligt EU-kommissionens information om EHDS- 158 förordningen ska det europeiska hälsodataområdet vara en trygg ram för säker tillgång till och behandling av en mängd olika hälsodata. Det europeiska hälsodataområdet bygger på viktiga befintliga övergripande EU-ramar, bland annat följande: • Den allmänna EU:s dataskyddsförordning (EU) 2016/279 (GDPR) • Dataförvaltningsakten (EU) 2022/868 • Dataförordningen (EU) 2023/2854

157 Prop. 2017/18:105 s. 54, 61 och 63. 158 Förordningen om det europeiska hälsodataområdet - Europeiska kommissionen https://health.ec.europa.eu/ehealth-digital-health-and-care/european-health-data-spaceregulation-ehds_sv, 2025-06-27

310

• Nätverks- och informationssäkerhetsdirektivet (EU) 2022/2555 (NIS2)

EHDS-förordningen kompletterar bestämmelserna i dessa rättsakter och innehåller mer skräddarsydda regler för hälso- och sjukvårdssektorn när det behövs.

9.1.4 Allmänna principer för behandling av personuppgifter

All behandling av personuppgifter ska enligt artikel 5 i EU:s dataskyddsförordning utföras utifrån följande sex grundläggande principer: 1. Uppgifterna ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade (laglighet, korrekthet och öppenhet). 2. Uppgifterna ska som huvudregel samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål (ändamålsbegränsning). 3. Uppgifterna ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (uppgiftsminimering). 4. Uppgifterna ska vara korrekta och om nödvändigt uppdaterade. Alla rimliga åtgärder måste vidtas för att säkerställa att personuppgifter som är felaktiga i förhållande till de ändamål för vilka de behandlas raderas eller rättas utan dröjsmål (korrekthet). 5. Uppgifterna får som huvudregel inte förvaras i en form som möjliggör identifiering av den registrerade under en längre tid än vad som är nödvändigt för det ändamål för vilket personuppgifterna behandlas (lagringsminimering). 6. Uppgifterna ska behandlas på ett sätt som säkerställer lämplig säkerhet för personuppgifterna, inbegripet skydd mot obehörig eller otillåten behandling och mot förlust, förstöring eller skada genom olyckshändelse, med användning av lämpliga tekniska eller organisatoriska åtgärder (integritet och konfidentialitet).

311

Det är alltid den personuppgiftsansvarige, dvs. den som bestämmer ändamålen och medlen med behandlingen i fråga, som ansvarar för och ska kunna visa att nämnda principer efterlevs (ansvarsskyldighet).

Behandling av personuppgifter kräver en rättslig grund

Utöver de allmänna principerna utgår EU:s dataskyddsförordning från att varje behandling av personuppgifter ska vila på åtminstone en av de rättsliga grunder som uttömmande anges i artikel 6.1 i EU:s dataskyddsförordning. Dessa är samtycke (6.1 a), avtal (6.1 b), rättslig förpliktelse (6.1 c), skydd av vissa intressen (6.1 d), uppgift av allmänt intresse och myndighetsutövning (6.1 e), och intresseavvägning (6.1 f). Om ingen av de uppräknade rättsliga grunderna är tillämpliga är behandlingen av personuppgifter inte laglig och får därmed inte utföras. I vissa fall får dock personuppgifter vidarebehandlas för ändamål som är förenliga med de ändamål för vilka personuppgifterna ursprungligen behandlas (finalitetsprincipen). I så fall krävs inte någon annan separat rättslig grund. De rättsliga grunderna är i viss mån överlappande. Flera rättsliga grunder kan därför vara tillämpliga avseende en och samma behandling. Utrymmet för att myndigheter ska kunna basera en behandling av personuppgifter på den rättsliga grunden samtycke är begränsat (skäl 43 till EU:s dataskyddsförordning). Det är vidare inte tillåtet för myndigheter att behandla personuppgifter med stöd av den rättsliga grunden intresseavvägning. De rättsliga grunderna rättslig förpliktelse, uppgift av allmänt intresse och myndighetsutövning ska vidare fastställas i enlighet med unionsrätten eller en medlemsstats nationella rätt (artikel 6.3). Den rättsliga grunden ska vara tydlig och precis och dess tillämpning bör vara förutsägbar för de personer som omfattas av den (skäl 41 till EU:s dataskyddsförordning). Det innebär inte ett krav på att själva behandlingen av personuppgifter måste regleras, utan det är

312

den rättsliga förpliktelsen respektive uppgiften av allmänt intresse som ska ha stöd i rättsordningen. 159

Behandling av särskilda kategorier av personuppgifter (känsliga personuppgifter)

Enligt artikel 9.1 i EU:s dataskyddsförordning är det som huvudregel förbjudet att behandla särskilda kategorier av personuppgifter (benämnda känsliga personuppgifter i 3 kap. 1 § dataskyddslagen). Det handlar om uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening samt genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa och uppgifter om en fysisk persons sexualliv eller sexuella läggning. Från förbudet mot behandling anges vissa undantag i artikel 9.2. Det handlar om undantag som har sin grund i bl.a. den registrerades uttryckliga samtycke till behandlingen (9.2 a), skyddet för en persons grundläggande intressen (9.2 c), att behandlingen är nödvändig med hänsyn till ett viktigt allmänt intresse på grundval av unionsrätt eller nationell rätt (9.2 g), samt att behandlingen är nödvändig av skäl som hör samman med t.ex. tillhandahållande av hälso- och sjukvård, behandling, social omsorg eller förvaltning av hälso- och sjukvårdstjänster och social omsorg och av deras system (9.2 h), av skäl av allmänt intresse på folkhälsoområdet(9.2 i), för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål (9.2 j).

Säkerhet i samband med behandling av personuppgifter

Det finns särskilda bestämmelser om säkerhet i samband med behandling av personuppgifter, bland annat i artikel 32 i EU:s dataskyddsförordning. Enligt artikeln ska den personuppgiftsansvarige och, i förekommande fall, personuppgiftsbiträdet vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i

159 Prop. 2017/18:105 s. 48 f.

313

förhållande till risken inbegripet, när det är lämpligt, vissa i artikeln angivna åtgärder. I det arbetet ska den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter beaktas.

9.2 Normgivningsnivå för behandlingen av personuppgifter

9.2.1 Normgivningsmakten enligt regeringsformen

Normgivningsmakten regleras i huvudsak i 8 kap. RF. Av 8 kap. 1 § första stycket RF följer att föreskrifter meddelas av riksdagen genom lag och av regeringen genom förordning. Föreskrifter ska meddelas genom lag om de avser bland annat skyldigheter för enskilda eller ingrepp i enskildas personliga eller ekonomiska förhållanden (8 kap. 2 § första stycket 2 RF). Begreppet ingrepp syftar på förpliktelser att tåla ingrepp i den enskilda rättssfären. 160 Kravet på att en sådan föreskrift ska ha form av lag är emellertid inte obligatoriskt. Riksdagen kan bemyndiga regeringen att meddela den typen av föreskrifter, 8 kap. 3 § RF. Regeringen får även meddela föreskrifter som inte enligt grundlag ska meddelas av riksdagen, 8 kap. 7 § 2 RF, den s.k. restkompetensen. Att regeringen meddelar föreskrifter i ett visst ämne hindrar inte att riksdagen meddelar föreskrifter i samma ämne, 8 kap. 8 § RF. Av 8 kap. 10 och 11 §§ RF följer att en vidaredelegation till en förvaltningsmyndighet att meddela föreskrifter också kan medges av riksdagen eller, inom ramen för regeringens primärområde i 8 kap. 7 §, av regeringen själv. Det anses inte innebära någon skyldighet för den enskilde eller något ingrepp i enskildas personliga förhållanden att det allmänna behandlar personuppgifter om enskilda i den mening som avses i regeringsformen. Bestämmelser om personuppgiftsbehandling som utförs av statliga myndigheter under regeringen har därmed i princip ansetts kunna beslutas av regeringen med stöd av dess

160 Eka A. m.fl., Regeringsformen med kommentarer, 2:a upplagan, s. 361

314

restkompetens. 161 Sedan länge finns dock en allmän strävan att föreskrifter om myndighetsregister som rör ett stort antal registrerade och har ett särskilt känsligt innehåll ska meddelas genom lag. Därtill finns ett krav på lagform vid reglering av åtgärder som medför ett betydande intrång i den personliga integriteten. Då ska lagstiftaren beakta kraven på lagform som följer av det förstärkta grundlagsskyddet i 2 kap. 6 § andra stycket RF. 4.5.2

9.2.2 En begränsning av regeringens normgivningsmakt vid betydande intrång i den personliga integriteten

Det förstärkta grundlagsskyddet för den personliga integriteten som följer av 2 kap. 6 § andra stycket RF innebär att enskilda är skyddade mot åtgärder från det allmännas sida som innefattar betydande intrång i den personliga integriteten, om intrånget görs utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Skyddet är inte absolut utan begränsningar får göras genom lag, se 2 kap. 20 § 2 RF. En sådan begränsning får dock göras endast för att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle och får aldrig gå utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett den och inte heller sträcka sig så långt att den utgör ett hot mot den fria åsiktsbildningen såsom en av folkstyrelsens grundvalar. Syftet med bestämmelsen är alltså att begränsa statsmakternas normgivningsbefogenheter inom ramen för rättighetsskyddet och att riksdagen ska besluta om inskränkningar i skyddet, dvs. inskränkningar i skyddet ska regleras i lag. Kravet på reglering i lag innebär dels att riksdagen måste iaktta de begränsningar som följer av 2 kap. 21 § RF, dels att lagstiftaren tvingas att tydligt redovisa de avvägningar som därvid görs. Det förstärkta grundlagsskyddet förhindrar inte det allmänna att införa regler som innebär betydande intrång i den personliga integriteten. Syftet är att regelverket om rättighetsinskränkningar ska vara tillämpligt när detta görs och att det då gäller krav på lagform och proportionalitet. Regleringen i 2 kap. 6 § andra stycket RF kompletterar därmed den generella regleringen om lagar och

161 Prop. 2017/18:105, Ny dataskyddslag, s. 26.

315

föreskrifter som finns i 8 kap. RF. Nedan följer en närmare genomgång av de rekvisit som ska vara uppfyllda för att det förstärkta grundlagsskyddet ska vara tillämpligt.

Skyddet omfattar enskildas personliga förhållanden

Det förstärkta grundlagsskyddet tar sikte på att skydda en enskilds personliga förhållanden. Uttrycket personliga förhållanden har samma innebörd som i tryckfrihetsförordningen och offentlighetsoch sekretesslagen. Det innebär att bestämmelsen kan omfatta vitt skilda slag av information som är knuten till en enskild person, exempelvis uppgift om namn och andra personliga identifikationsuppgifter, bosättning och hälsa.

Intrånget görs utan samtycke och innebär övervakning eller kartläggning

Det förstärkta grundlagsskyddet omfattar endast åtgärder som utförs utan samtycke och som innebär kartläggning eller övervakning av enskildas personliga förhållanden. Detta beror på att kartläggning och övervakning anses vara de mest ingripande intrången i den personliga integriteten. Det går inte att en gång för alla att avgöra vilka slag av åtgärder som utgör kartläggning eller övervakning. Även gränsdragningen av vad som utgör det ena eller det andra kan vara otydlig. Vidare är det inte heller det primära syftet med insamling och behandling av uppgifter som avgör om en åtgärd innebär kartläggning eller övervakning. Det är snarare de effekter som en åtgärd får som är avgörande vid bedömningen. En åtgärd som vidtas från det allmännas sida primärt i syfte att ge underlag för exempelvis forskning och statistikverksamhet kan alltså innebära en kartläggning av en enskilds personliga förhållanden även om det inte är avsikten.

316

Intrånget i den personliga integriteten ska vara betydande

Endast sådana åtgärder som innebär ett betydande intrång i den personliga integriteten omfattas av det förstärkta grundlagsskyddet. Vad som utgör ett betydande integritetsintrång måste bedömas utifrån de samhällsvärderingar som råder vid varje givet tillfälle. Vid bedömningen av hur ingripande ett intrång i den personliga integriteten är ska stor vikt läggas vid uppgifternas karaktär. Ju känsligare uppgifterna är, desto mer ingripande måste det allmännas hantering av uppgifterna normalt sett anses vara. Även ändamålet med behandlingen har betydelse vid bedömningen, liksom mängden uppgifter som behandlas och i vilken omfattning de lämnas ut till andra utan omedelbart stöd i offentlighetsprincipen.

9.3 Behandlingen av personuppgifter inom den nationella digitala infrastrukturen omfattas av det förstärkta grundlagsskyddet

Utredningens bedömning : Behandlingen av personuppgifter i de it-funktioner, register och tillgångstjänst för hälso- och sjukvårdspersonal som omnämns i lagen om nationell infrastruktur och tjänster för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet omfattas av det förstärkta grundlagsskyddet och måste därför regleras i lag.

Skälen för utredningens bedömning

E-hälsomyndigheten har fått flera regeringsuppdrag i syfte att genomföra en nationell digital infrastruktur i hälso- och sjukvården och att förbereda för att Sverige ska genomföra EHDS-förordningen rörande primäranvändning. Myndigheten kommer att i vissa av de it-funktioner och register som ska ingå i infrastrukturen samt i tillgångstjänsten för personal att behöva behandla personuppgifter om merparten av Sveriges invånare och även om ett stort antal utländska medborgare. Det kommer i princip uteslutande att handla om behandling av så kallade känsliga personuppgifter.

317

Personuppgifterna kommer i de flesta fall att behandlas utan att patienten uttryckligen begär det eller samtycker till det. Sådan omfattande behandling av känsliga personuppgifter bedöms i regel kunna omfattas av det förstärkta integritetsskyddet i 2 kap. 6 § andra stycket regeringsformen, och därmed behöva regleras i lag. De it-funktioner och register som ska ingå i den nationella digitala infrastrukturen förutsätter behandling av olika typer av information. I vissa register kommer informationen inte att utgöra personuppgifter eller i vart fall inte känsliga personuppgifter. Eftersom förutsättningarna ser olika ut bör bedömningen av om respektive behandling omfattas av det förstärkta grundlagsskyddet i 2 kap. 6 § andra stycket RF, göras för varje register eller it-funktion för sig. I patientdataindex, nationella spärregistret, nationella spärrfunktionen, nationella fullmaktsregistret, nationella företrädarfunktionen och tillgångstjänst för hälso- och sjukvårdspersonal kommer personuppgifter om patienter att behandlas, vilket beskrivs nedan. Uppgifterna ska i huvudsak samlas in från vårdgivare, men i viss mån även från patienter. Den nationella tjänsteadresseringskatalogen (NTK) och som beskrivs i avsnitt 8.1.3 kommer inte att innehålla några personuppgifter.

Patientdataindex

I detta register ska E-hälsomyndigheten till exempel behandla uppgifter om vilken patient som vårdas eller har vårdats hos en vårdgivare, vårdgivarens identitet och uppgifter om varför en uppgift ska delas eller inte delas mellan vårdgivare. Indexet kommer att innehålla känsliga personuppgifter eftersom informationen avslöjar att en individ har behandlats inom ramen för hälso- och sjukvård. Uppgifterna avser också hos vilken vårdgivare patienten har varit, vilket i vissa fall kan avslöja något om patientens hälsa, t.ex. om det rör sig om en specialistklinik.

Nationella spärregistret och spärrfunktionen

Den föreslagna lösningen med en nationell spärrfunktion och ett nationellt spärregister innebär att E-hälsomyndigheten kommer att

318

behandla personuppgifter. Personuppgifter avseende såväl allmänna som lokala spärrar (t.ex spärrar som avser viss information som finns dokumenterad hos en viss vårdgivare) kommer att behandlas i nationella spärrfunktionen under den tid som funktionen används. Därutöver kommer de allmänna spärrarna, dvs. sådana som avser mer allmänt hållna begränsningar som att all information från en viss vårdgivare ska spärras, att behandlas löpande i den nationella spärregistret. I nationella spärrfunktionen kommer personuppgifter att behandlas bland annat genom att begäran om att begränsa tillgång till hälsodata tas emot från patienter och hälso- och sjukvårdspersonal för att sedan förmedlas till respektive vårdgivare, och i tillämpliga fall till nationella spärregistret, där de mer allmänna spärrarna ska lagras. Nationella spärrfunktionen kommer också att hämta och, via en tjänst, visa upp patientens spärrar för patienten och möjliggöra administration av dessa, såsom möjligheten att införa nya spärrar, ändra tidigare spärrar eller ta bort spärrar. Spärrarna innehåller känsliga personuppgifter eftersom de avslöjar att en individ har vårdats inom hälso- och sjukvården. I förekommande fall kan en spärr omfatta mer exakt information om vilken vård individen har fått. I nationella spärregistret ska E-hälsomyndigheten behandla uppgifter om begränsningar av tillgängliggörande och tillgång, som är eller kan bli tillämpliga för flera vårdgivare. Myndigheten kommer genom registret att tillhandahålla och förvalta ett nytt register för de allmänna spärrarna och opt-out.

Nationella företrädarfunktionen

Denna it-funktion ska möjliggöra att företrädare får åtkomst till patientens hälsodata. Funktionen ska hantera både ombud som patienten själv har utsett genom fullmakt och sådana rättsliga företrädare som har behörighet att företräda patienten enligt nationell rätt. Funktionen ska agera mellanhand mellan de register där de olika typerna av företrädarskap sparas och de system som behöver få åtkomst till uppgifterna om företrädare, till exempel vårdinformationssystem och tillgångstjänster.

319

Företrädarfunktionen kommer inte, till skillnad från fullmaktsregistret, att permanent lagra personuppgifter utan dessa kommer endast att momentant hanteras i funktionen när funktionen används.

Nationella fullmaktsregistret

I detta register ska E-hälsomyndigheten till exempel behandla uppgifter om fullmaktsgivaren (patienten) och det ombud denne har utsett samt om fullmaktens omfång och räckvidd. Registret kan innehålla känsliga personuppgifter eftersom förekomsten av en fullmakt avslöjar att en individ har vårdats inom hälso- och sjukvård. Beroende på fullmaktens innehåll kan den även avslöja detaljer om den vård som har givits eller i vart fall inom vilken vårdgren som vården har givits. Uppgifterna kommer att bevaras i fullmaktsregistret så länge de behövs för ändamålet med registret.

Tillgångstjänst personal

Den statliga tillgångstjänsten för hälso- och sjukvårdspersonal ska ge tillgång till åtminstone de prioriterade kategorierna men kan, om nationell reglering medger, även ge tillgång till mer än de prioriterade kategorierna. Hälso- och sjukvårdspersonal hos vårdgivare som inte har egna tillgångstjänster integrerade i sina system kan använda sig av den statliga tillgångstjänsten för att ta del av hälsodata om en patient som de vårdar. Förslaget innebär i korthet att en patients samtliga prioriterade kategorier lokaliseras av E-hälsomyndigheten genom anrop till den nationella digitala infrastrukturen och därefter visas ospärrade uppgifter upp för vårdpersonalen i den statliga tillgångstjänsten. De aktuella uppgifterna ska behandlas av E-hälsomyndigheten under den tidsperiod som den mottagande vårdpersonalen tar del av informationen i tillgångstjänsten. Den bevaras alltså inte under någon längre tid i tjänsten. För en mer fullständig redovisning av behandlingen av uppgifter i de ovan beskrivna registren hänvisas till avsnitt 8.1.

320

Sammanfattning behandling i funktioner, register och tillgångstjänst

Uppgifterna som ska behandlas i patientdataindex, nationella spärregistret, nationella spärrfunktionen, det nationella fullmaktsregistret och nationella företrädarregistret samt tillgångstjänst personal är sådana att de rör enskildas personliga förhållanden i den mening som avses i 2 kap. 6 § andra stycket RF. Därtill handlar det till övervägande del om sådana personuppgifter som avses i artikel 9.1 i EU:s dataskyddsförordning, s.k. känsliga personuppgifter. Vidare ska den behandling av personuppgifter som sker utföras utan den registrerades samtycke. De personuppgifter som behöver behandlas kommer att röra en stor del av Sveriges befolkning. Syftet med behandlingen av personuppgifter är inte att övervaka eller kartlägga enskilda individer. En effekt av att de omfattande uppgiftsmängderna lagras och behandlas, exempelvis för att möjliggöra utbyte av uppgifterna, blir emellertid att enskilda kan komma att kartläggas trots att det huvudsakliga ändamålet med behandlingen är något annat. Den behandling av personuppgifter som behöver utföras inom ramen för patientdataindex, nationella spärregistret, nationella spärrfunktionen, det nationella fullmaktsregistret och nationella företrädarregistret samt tillgångstjänst personal innebär därmed enligt vår bedömning en sådan kartläggning av enskildas förhållanden som avses i 2 kap. 6 § andra stycket RF. Nästa fråga är om det intrång i den personliga integriteten som insamling, lagring, bearbetning och utlämnande av personuppgifter i dessa register och tjänster innebär också är betydande. Vid denna bedömning bör flera olika omständigheter vägas in. Stor vikt ska läggas vid uppgifternas karaktär. Ju känsligare uppgifterna är, desto mer ingripande måste hanteringen normalt sett anses vara. Vid bedömningen är det också naturligt att lägga stor vikt vid ändamålen med behandlingen och mängden uppgifter som behandlas. Utredningen konstaterar att det kommer att vara omfattande mängder personuppgifter som ska behandlas i de tjänster och register som behövs för att uppgifter ska kunna tillgängliggöras för vårdgivare (och enskilda) på det sätt som förutsätts enligt EHDSförordningen. Vissa uppgifter är också känsliga eller mycket känsliga till sin karaktär. Dessa omständigheter talar för att intrånget i den

321

personliga integriteten är betydande. I bedömningen ska dock även ändamålen med behandlingen och rådande samhällsvärderingar vägas in. Det handlar i detta fall om ändamål kopplade till angelägna samhällsintressen, att möjliggöra säkert, effektivt och ändamålsenligt informationsutbyte som tillgodoser god vårdkvalitet, patientsäkerhet och minskad administration för hälsooch sjukvårdens medarbetare, vilket är det fastslagna syftet för den föreslagna nya regleringen. På en övergripande nivå kommer E-hälsomyndighetens ändamål för behandling av personuppgifter inom ramen för infrastrukturen vara av sådan karaktär att de är till gagn för samhället i allmänhet och för säkerhet och kostnadseffektivitet inom hälso- och sjukvården i synnerhet. Oaktat detta anser utredningen att den omfattande insamlingen och utlämnandet av uppgifter medför att behandling av personuppgifter i patientdataindex, nationella spärregistret, nationella spärrfunktionen, det nationella fullmaktsregistret och företrädarfunktionen innebär ett betydande intrång i den personliga integriteten i den mening som avses i 2 kap. 6 § andra stycket RF. Den personuppgiftsbehandling som sker inom ramen för tillgångstjänsten för hälso- och sjukvårdspersonal innebär behandling av rena kliniska uppgifter om den enskilda patienten. Även om det bara är en förmedlingstjänst där uppgifterna således mycket kortvarigt hanteras så innebär det en behandling av personuppgifterna som informationen med hälsodata utgör och denna måste till sin känslighet och de mängder som omfattas betraktas utgöra ett betydande intrång i den personliga integriteten i den bemärkelse om avses i 2 kap- 6 § andra stycket RF. Utredningen bedömer sammantaget att de behandlingar som ska vara tillåtna i de nu föreslagna nya registren, it-funktionerna och tjänsterna och tillhörande verksamhet måste regleras i lag. Enligt vad som tidigare redovisats måste därtill intrånget i den personliga integriteten stå i proportion till de ändamål för vilka uppgifterna samlas in, se kapitel 11 där en integritetsanalys görs för vår proportionalitetsbedömning.

322

9.4 Personuppgiftsbehandling som normalt utgör betydande intrång i den personliga integriteten

Vår utgångspunkt är att den behandling av personuppgifter som utförs i vissa av de it-funktioner och register som ska ingå i den statliga nationella digitala infrastrukturen samt tillgångstjänst personal behöver regleras i lag. Nästa fråga att ta ställning till är vilka specifika delar av behandlingen som medför ett betydande intrång i den personliga integriteten och som därför behöver regleras i lag.

Viss vägledning ges i befintliga förarbeten

I frågan om vilka delar av en personuppgiftsbehandling som normalt sett kan utgöra betydande intrång och därför bör bli föremål för lagreglering har Integritetsskyddskommittén (Ju 2004:05), vars förslag ligger till grund för det förstärkta grundlagsskyddet i 2 kap. 6 § andra stycket RF, uttalat sammanfattningsvis följande i sitt 162 slutbetänkande.

De från integritetsskyddssynpunkt viktigaste momenten i hanteringen handlar om hur uppgifter om enskilda får samlas in, ändamålet med behandlingen och i vilken utsträckning uppgifter på grund av uppgiftsskyldighet, som alltså bryter sekretess som gäller för uppgifterna, skall lämnas ut till andra för samkörning med uppgifter i andra myndighetsregister eller av andra skäl samt om uppgifterna hanteras utan samtycke från den enskilde.

I propositionen som föregår ändringen i 2 kap. 6 § RF diskuteras inte uttryckligen vilka delar av en personuppgiftsbehandling som behöver regleras i lagform. Frågeställningen berörs dock i samband med de resonemang som förs i frågan om vilka intrång i den personliga integriteten som kan anses vara av betydande karaktär. Härvid nämns bland annat att uppgifternas karaktär och omfattning endast är två faktorer att beakta. Även sådana omständigheter som ändamålet med behandlingen av uppgifterna och omfattningen av utlämnandet av uppgifter till andra som görs utan omedelbart stöd 163 av offentlighetsprincipen kan vara av betydelse vid bedömningen.

162 SOU 2008:3, Skyddet för den personliga integriteten, s. 272 f. 163 Prop. 2009/10:80, s. 184.

323

Frågan om vilka delar av en personuppgiftsbehandling som utgör ett betydande intrång i den personliga integriteten är sällan föremål för en närmare analys i lagförarbeten. Regeringen konstaterar ofta att en behandling av personuppgifter helt eller delvis utgör ett betydande intrång i den personliga integriteten och att ramarna för, eller den huvudsakliga behandlingen av, personuppgifter ska slås fast 164 i lag. Utredningen har i föregående avsnitt konstaterat detta vad gäller personuppgiftsbehandlingen i vissa register och tjänster i infrastrukturen. 165 I samband med EU:s dataskyddsreform inleddes en omfattande översyn av myndigheternas registerförfattningar. Befintliga registerförfattningar anpassades till EU:s dataskyddsförordning. Genom riksdagens beslut att anta regeringens förslag till sådana lagar, som helt eller delvis reglerar verksamhet som omfattas av det förstärkta grundlagsskyddet, har en viss praxis etablerats inom området i frågan om vilka moment i en personuppgiftsbehandling som bör ges lagform. Ledning i denna fråga bör alltså kunna hämtas i hur författningsreglering av verksamheter som omfattas av det förstärkta grundlagsskyddet har utformats i praktiken.

Mer vägledning ges i beslutade lagar

Alltsedan den 1 januari 2011, när det förstärkta grundlagsskyddet i 2 kap. 6 § andra stycket RF trädde i kraft, har lagstiftaren tagit ställning till vilka delar av en behandling av personuppgifter som utgör ett betydande intrång i den personliga integriteten och som därför ska ges i lagform. Det har gjorts genom att riksdag och regering har beslutat om föreskrifter i form av lag och förordning för sådana verksamheter som omfattas av det förstärkta grundlagsskyddet. En närmare granskning av ett antal registerförfattningar 166 som reglerar verksamhet som omfattas av det förstärkta

164 Se exempelvis prop. 2022/23:34, Utbetalningsmyndigheten, s. 118, prop. 2019/20:106, Stärkt integritet i Rättsmedicinalverkets verksamhet, s. 22 f. och prop. 2016/17:89, Skattebrottsdatalag, s. 46 165 Se bland annat prop. 2022/23:34, s. 118. 166 Utredningen utgår här från den granskning som Utredningen om hälsodataregister gjort i sitt betänkande Ett nytt regelverk för hälsodataregister (SOU 2024:57) s. 124 ff. I

324

grundlagsskyddet visar att vissa specifika moment i en personuppgiftsbehandling i allmänhet verkar regleras i lag. Det rör sig för det första om de primära ändamålen för behandlingen, dvs. för vilka specifika syften personuppgifterna får samlas in och behandlas. Även sekundära ändamål för behandling regleras i lag. Här handlar det i regel om en rättslig grund för den behandling av personuppgifter som utförs inom ramen för utlämnanden av uppgifter som inte görs med stöd av offentlighetsprincipen. Denna reglering kompletteras ofta med en bestämmelse som fastställer när det är tillåtet att lämna ut personuppgifter i elektronisk form och om, och i så fall under vilka förutsättningar, det är tillåtet att ge någon direktåtkomst till uppgifterna. I lag brukar vanligtvis även finnas förtydligande om huruvida det är tillåtet att behandla personuppgifterna för andra ändamål än de ändamål som de ursprungligen samlades in för. Sådan behandling kan vara tillåten under förutsättning att behandlingen inte är oförenlig med de ursprungliga ändamålen, den s.k. finalitetsprincipen, artikel 5.1 b i EU:s dataskyddsförordning. I eSam:s promemoria En modern registerförfattning förespråkas dock att registerförfattningar som huvudregel inte ska innehålla någon bestämmelse som reglerar finalitetsprincipen. I stället ska principen i EU:s dataskyddsförordning gälla, om inte lagstiftaren uttryckligen 167 angett att principen inte är tillämplig. För det andra regleras, där det är relevant, tillåten behandling av sådana personuppgifter som avses i artikel 9.1 i EU:s dataskyddsförordning, dvs. känsliga personuppgifter. För det tredje innehåller vissa registerlagar reglering av uppgiftsskyldighet med sekretessbrytande verkan. Det kan vara uppgiftsskyldighet för den personuppgiftsansvariga myndigheten eller uppgiftsskyldighet för andra aktörer som möjliggör för den personuppgiftsansvariga myndigheten att samla in uppgifter. En sådan uppgiftsskyldighet kan emellertid likaväl regleras i annan författning. Sammanfattningsvis kan man säga att den praxis som utvecklats i allt väsentlig överensstämmer med Integritetsskyddskommitténs

granskningen ingår bland annat följande lagar: lag (2023:457) om behandling av personuppgifter vid Utbetalningsmyndigheten och lag (2020:421) om Rättsmedicinalverkets behandling av personuppgifter och domstolsdatalag (2015:728). 167 eSam:s promemoria En modern registerförfattning (ES2022-06).

325

uttalanden i frågan om vilka moment i en behandling som utgör ett betydande intrång i den personliga integriteten och därför bör regleras i lag. 168 Utöver de ovan beskrivna momenten förekommer det också att en lag i detalj reglerar vilka personuppgifter som får behandlas för de i samma lag angivna ändamålen, se exempelvis lag om register över 169 nationella vaccinationsprogram m.m. En vanligare modell är dock att i lag ange den yttersta ramen för vilka personuppgifter som får behandlas, eventuellt i kombination med mer detaljerade bestämmelser i förordning, se exempelvis lag (2023:457) om behandling av personuppgifter vid Utbetalningsmyndigheten och den anslutande förordningen (2023:463) om behandling av personuppgifter vid Utbetalningsmyndigheten. Under senare år kan man skönja en strävan från lagstiftarens sida att inte tynga registerlagar med detaljerade uppräkningar av vilka personuppgifter som får behandlas. 170 För det fall lagstiftaren anser att det finns behov av särskilda bestämmelser om vilka personuppgifter som får behandlas i en särskild verksamhet så regleras det vanligen i förordning. Undantag finns dock, exempelvis i nu gällande lag (2018:112) om nationell läkemedelslista. Nämnda lag har dock nyligen varit föremål för översyn med det uttalade syftet att ta ställning till om de uppgifter som får registreras i nationell läkemedelslista bör regleras på en lägre normgivningsnivå än lag. 171 I eSam:s promemoria En modern registerförfattning lämnas rekommendationen att registerförfattningar som huvudregel inte ska innehålla bestämmelser om vilka personuppgifter som får behandlas. 172 Andra bestämmelser som generellt återfinns i lagform men som snarare bidrar till att balansera ett betydande intrång i den personliga

168 SOU 2008:3, s. 272 f. 169 Vaccinationsprogramsutredningen föreslår dock en ny förordning vari det ska regleras vilka uppgifter som får behandlas i det nationella vaccinationsregistret, se SOU 2024:2, Ett samordnat Vaccinationsarbete – för effektivare hantering av kommande vacciner. 170 Se exempelvis dir 2021:104, En modern dataskyddsreglering för Skatteverket, Tullverket och Kronofogdemyndigheten och förbättrade förutsättningar för en effektiv kontrollverksamhet, och dir. 2023:133, Fortsatt utveckling av registret nationell läkemedelslista 171 Betänkande av Utredningen om fortsatt utveckling av registret nationell läkemedelslista: Fortsatt utveckling av en nationell läkemedelslista – en del i en ny nationell infrastruktur för datadelning (SOU 2025:71). 172 eSam:s promemoria En modern registerförfattning (ES2022-06).

326

integriteten som en viss verksamhet utgör, är reglering av eventuella sökbegränsningar och längsta tid för behandling av personuppgifterna. Även bestämmelser som fastställer de yttre ramarna för att exempelvis anställda ska ges åtkomst till personuppgifterna och vad som gäller i fråga om dokumentation och uppföljning av sådan åtkomst återfinns ofta i lag. I en registerlag fastställs också vanligen vilken aktör eller vilken krets av aktörer som är personuppgiftsansvariga för den behandling av personuppgifter som regleras i lagen.

9.5 Delar av behandlingen av personuppgifter inom ramen för infrastrukturen bör regleras på lagnivå

Utredningens bedömning: Den ansvariga myndighetens behandling av personuppgifter bör regleras i lag. Detaljerade bestämmelser om vilka uppgifter som får behandlas bör framgå av en till lagen anslutande förordning

Skälen för utredningens bedömning

Utredningen har i uppdrag att analysera och föreslå åtgärder som möjliggör en nationell digital infrastruktur för hela hälso- och sjukvården. I det ingår att analysera och ta ställning till om det behövs kompletterande reglering för E-hälsomyndighetens och vårdgivarnas behandling av personuppgifter inom ramen för den nationella digitala infrastrukturen, och i så fall föreslå en sådan reglering. Med ledning av Integritetsskyddskommitténs uttalanden 173 , den praxis som utvecklats inom området och de bedömningar som utredningen om ett nytt regelverk för hälsodataregister har gjort 174 anser vi att ramarna för behandlingen av personuppgifter i de register och tjänster som ingår i den nationella digitala infrastrukturen ska

173 SOU 2008:3, s. 272 174 SOU 2024:57, s. 122 ff.

327

regleras i lag. Det ska införas bestämmelser som beskriver hur uppgifter får samlas in, de primära ändamålen med behandlingen, hur länge uppgifterna får behandlas och när uppgifter ska kunna lämnas ut på grund av uppgiftsskyldighet som bryter sekretess som gäller för uppgifterna. En sådan reglering bör för att möjliggöra personuppgiftsbehandling i patientdataindex, nationella spärregistret, nationella spärrfunktionen, det nationella fullmaktsregistret, nationella företrädarfunktionen och tillgångstjänst personal finnas i lagen om nationell infrastruktur för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet. Detaljerade bestämmelser om vilka uppgifter som får behandlas bör dock regleras på förordningsnivå (se bilaga 3). I vilken utsträckning andra moment i hanteringen av personuppgifter bör regleras i lag eller förordning avgörs utifrån de allmänt gällande reglerna om normgivning i 8 kap. RF.

9.6 Reglering om behandling av personuppgifter kan komplettera EU:s dataskyddsförordning

Utredningens bedömning : En särreglering för behandling av personuppgifter inom ramen för den nationella digitala infrastrukturen är en tillåten kompletterande nationell reglering till EU:s dataskyddsförordning.

Skälen för utredningens bedömning

EU:s dataskyddsförordning är direkt tillämplig, men det är tillåtet för medlemsstaterna att införa mer specifika nationella bestämmelser i olika avseenden. Kompletterande nationell reglering får dock endast införas i den mån EU:s dataskyddsförordning medger det, och då inom de ramar som förordningen ställer upp. Nationell rätt kan exempelvis föreskriva om vem som är personuppgiftsansvarig för en viss behandling enligt artikel 4 i EU:s dataskyddsförordning. Det är också tillåtet att i nationell rätt närmare fastställa hur förordningens bestämmelser ska tillämpas när

328

det gäller behandling som utförs med stöd av exempelvis den rättsliga grunden utförande av uppgift av allmänt intresse. Det är tillåtet att i sådan nationell reglering ha bestämmelser om bland annat ändamål och de allmänna villkor som ska gälla för en behandling, vilka typer av uppgifter som ska behandlas, vilka registrerade som berörs och åtgärder för att tillförsäkra en laglig och rättvis behandling. Kompletterande nationell reglering ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas, se artiklarna 6.2 och 6.3. Det är vidare tillåtet att införliva delar av EU:s dataskyddsförordning i nationell rätt om det är nödvändigt för att exempelvis göra de nationella bestämmelserna begripliga för de personer de tillämpas på, se skäl 8 till EU:s dataskyddsförordning. Vikten av att säkerställa en konsekvent och enhetlig tillämpning av förordningens bestämmelser i hela unionen lyfts särskilt i skäl 10. Vid behandling av uppgifter i syfte att exempelvis utföra en uppgift av allmänt intresse tillåts medlemsstaterna införa nationella bestämmelser för att närmare fastställa hur bestämmelserna i förordningen ska tillämpas. Det gäller även för behandling av känsliga personuppgifter. Den rättsliga grunden för behandling av personuppgifter i de register och tjänster som ingår i den nationella digitala infrastrukturen är som utgångspunkt utförande av en uppgift av allmänt intresse enligt artikel 6.1 e i EU:s dataskyddsförordning, se avsnitt 9.7. En kompletterande särreglering som syftar till att närmare fastställa hur EU:s dataskyddsförordnings bestämmelser om exempelvis ändamålen med behandlingen, vilka typer av uppgifter som får samlas in och behandlas och vilka ytterligare skyddsåtgärder som är nödvändiga för att säkerställa att behandlingen utförs på ett integritetssäkert sätt är följaktligen enligt utredningens bedömning en tillåten kompletterande nationell reglering enligt artikel 6.2 och 6.3 i EU:s dataskyddsförordning.

329

9.7 Det finns rättslig grund för behandlingen av personuppgifter i den nationella digitala infrastrukturen

Utredningens förslag : Den föreslagna nya lagen om nationell infrastruktur för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet ska reglera en ansvarig myndighets personuppgiftsbehandling i dess verksamhet med att tillhandahålla nödvändiga register och it-funktioner samt den statliga tillgångstjänsten för hälso- och sjukvårdspersonal. Regleringen ska endast gälla om behandlingen är helt eller delvis automatiserad eller om personuppgifterna ingår i eller kommer att ingå i ett register. Den ska även i tillämpliga delar gälla vid behandling av uppgifter om avlidna.

Utredningens bedömning : Det kommer att finnas rättslig grund för den ansvariga myndighetens behandling av personuppgifter i den nationella digitala infrastrukturen och vid tillhandahållande av tillgångstjänst för personal genom det lagförslag som utredningen lämnar. Förslaget uppfyller kravet i EU:s dataskyddsförordning. Personuppgiftsbehandlingen som föreslås är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning. EHDS-förordningen utgör i sig en rättsakt som fastställer att behandlingen är nödvändig för att utföra en uppgift av allmänt intresse, därtill kommer detta framgå av nationell rätt. Delar av myndighetens personuppgiftsbehandling kommer även att vara nödvändig för att fullgöra en rättslig förpliktelse som myndigheten har.

Skälen för utredningens förslag och bedömning

EHDS-förordningens ingress innehåller bedömningar som vittnar om att förordningen är framtagen i syfte att bl.a. möjliggöra utbytet av hälsodata på ett sätt som kan minska hälso- och sjukvårdspersonalens administrativa börda. Personalen bör ges

330

tillgång till hälsodata genom lämpliga elektroniska medel, t.ex. portaler eller andra tjänster för tillgång för hälso- och sjukvårdspersonal, när de utför sitt arbete (skäl 19). Det anges samtidigt att tillhandahållande av avsedda tillgångstjänster är en uppgift av allmänt intresse som tilldelas genom EHDSförordningen. Utförandet av en sådan uppgift kräver behandling av personuppgifter i den mening som avses i artikel 6.1 e i förordning (EU) 2016/679 (EU:s dataskyddsförordning). De av EHDS-förordningen definierade prioriterade kategorierna finns idag utspridda i respektive vårdgivares informationssystem, med andra ord är de inte samlade i en enskild källa. För att uppfylla EHDS-förordningens krav på att dessa hälsodata samlat kan göras tillgängliga i en tillgångstjänst behövs en infrastruktur som stödjer att uppgifterna lokaliseras hos och kan tillgängliggöras från alla vårdgivare. Vidare måste åtkomstbegränsningar som placerats hos en vårdgivare men berör andra vårdgivare kunna appliceras av samtliga innan uppgifter tillgängliggörs. För att möjliggöra detta krävs en infrastruktur som kan stödja flödet av spärrar från alla vårdgivare till alla vårdgivare. Det kan alltså sägas att denna infrastruktur som möjliggör åtkomst och begränsar åtkomst är en förutsättning att kunna tillhandahålla en tillgångstjänst som möjliggör det utbyte av hälsodata som EHDS-förordningen kräver. EHDS-förordningen i sig utgör därmed en rättslig grund för den personuppgiftsbehandling som behöver utföras i den nationella digitala infrastrukturen. Det ska dock också beaktas att en infrastruktur kan byggas upp på olika sätt och det kan tänkas att en mer eller mindre centraliserad modell skulle kräva olika omfattningar av personuppgiftsbehandling. Det vore därför vanskligt att enbart förlita sig på EHDS-förordningen som rättslig grund. Den nationella digitala infrastrukturen i Sverige kan därtill komma att användas även för andra hälsodata än det som utgör de prioriterade kategorierna och regleras i EHDSförordningen. Utredningen har därför föreslagit (se avsnitt 8.2) en lagstiftning som ålägger den ansvarige myndigheten en skyldighet att tillhandahålla en infrastruktur för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet samt en statlig tillgångstjänst för hälso- och sjukvårdspersonal (se avsnitt 6.2). I den föreslagna nya lagen om nationell infrastruktur och tjänster för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet

331

regleras även den behandling av personuppgifter som krävs för dessa verksamheter. Den personuppgiftsbehandling som kommer att behöva utföras i verksamheterna är, enligt utredningens bedömning, tillåten genom att den är nödvändig för att fullgöra en rättslig förpliktelse. Därutöver är även den rättsliga grunden utförande av en uppgift av allmänt intresse tillämplig för den behandlingen av personuppgifter som kommer att vara nödvändig inom ramen för myndighetens personuppgiftsbehandling för tillhandahållandet av infrastrukturen för elektroniskt informationsutbyte samt den statliga tillgångstjänsten för hälso- och sjukvårdspersonal. I den nya lagen tydliggörs att bestämmelser om behandling av personuppgifter, som alltså kompletterar EU:s dataskyddsförordning, är tillämpliga inom ramen för den ansvariga myndighetens verksamheter. Det materiella tillämpningsområdet ska i likhet med artikel 2 EU:s dataskyddsförordning innebära att behandlingen av personuppgifter är helt eller delvis automatiserad eller om personuppgifterna ingår eller kommer att ingå i ett register. På motsvarande sätt som i andra registerförfattningar på hälso- och sjukvårdsområdet ska bestämmelserna, i tillämpliga delar, gälla också vid behandling av uppgifter om avlidna.

Författningsförslag:

3 kap. 1 § i den nya lagen om nationell infrastruktur för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet.

9.8 Det ska vara tillåtet att behandla känsliga personuppgifter vid tillhandahållandet av en nationell digital infrastruktur och tillgångstjänst

Utredningens förslag : Den ansvariga myndigheten ska få behandla känsliga personuppgifter vid tillhandahållandet av en nationell digital infrastruktur och den statliga tillgångstjänsten för hälso- och sjukvårdspersonal. En bestämmelse om detta införs i den föreslagna lagen om nationell infrastruktur för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet.

332

Skälen för utredningens förslag

Såsom redogjorts för i kapitel 9.1.1 finns i artikel 9.1 EU:s dataskyddsförordning ett förbud mot behandling av särskilda kategorier av personuppgifter som berör bland annat hälsa. Dessa särskilda kategorier av personuppgifter kallas vanligen känsliga personuppgifter, se 3 kap. 1 § dataskyddslagen. De uppgifter som kommer att behandlas inom ramen för tillhandahållande av en nationell digital infrastruktur för hälsodata utgör till betydande del personuppgifter. I avsnittet ovan har beskrivits att merparten av dessa personuppgifter därtill är att betrakta som så kallade känsliga personuppgifter vilka regleras i artikel 9.1 Även om infrastrukturen och tillhandahållandet av register, funktioner och tjänster i vissa delar kommer att innebära hantering av informationsmängder som inte är kopplade till individer, kommer det således även att behandlas en stor mängd känsliga personuppgifter. EU:s dataskyddsförordning innehåller en huvudregel om förbud mot behandling av känsliga personuppgifter i artikel 9.1. Det finns dock ett antal undantag från förbudet i artikel 9.2. Om något av dessa undantag är uppfyllt, får sådana känsliga personuppgifter som anges i artikel 9.1 behandlas. Ett av undantagen (artikel 9.2 h) är behandling av skäl som hör samman med till exempel tillhandahållande av hälso- och sjukvård samt social omsorg. För att känsliga personuppgifter ska kunna behandlas med stöd av denna undantagsgrund krävs det att behandlingen är nödvändig dels för att uppnå något av de rättsliga grunder som anges i artikel 6.1 b–f, dels för just det utpekade syften som anges i artikel 9.2 h. Vidare anges i artikel 9.2 g att behandling får ske om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse på grundval av medlemsstatens nationella rätt vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätte till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. När det gäller nödvändighetskravet har regeringen bedömt att innebörden av detta krav är densamma i artikel 9 som i artikel 6, dvs. kravet på att en personuppgiftsbehandling ska kunna

333

anses vara nödvändig ska inte tolkas så snävt som att det också innebär att behandlingen ska vara oundgänglig. 175 Vid tillhandahållande av it-funktioner och register som föreskrivs i den föreslagna lagen nationell infrastruktur för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet handlar behandlingen av personuppgifter om att se till att hälsodata kan överföras mellan olika vårdgivare samt mellan vårdgivare och patient. Det krävs olika funktioner för att administrera och hantera dessa överföringar, såsom hantering av inloggning, behörigheter, vilken information som är spärrad m.m. Även om dessa uppgifter inte hanteras i tjänster som är direkt hänförliga till att vårda en patient inom hälso- och sjukvården så är registren och tjänsterna en förutsättning för att möjliggöra det utbyte av hälsodata som behövs för att garantera tillgängliga hälsodata i hela vårdkedjan. I EU:s dataskyddsförordning art 9.2 h framgår att undantaget omfattar hälso- och sjukvård samt social omsorg och även mer specifikt förvaltning av hälso- och sjukvårdstjänster och av deras system. Utredningen bedömer att ett tillhandahållande av en nationell infrastruktur för att möjliggöra utbytet av hälsodata är ett sådant område för behandling av personuppgifter som omfattas av 9.2 h. Om känsliga personuppgifter ska få behandlas med stöd av undantaget i artikel 9.2 h, ska den som behandlar eller ansvarar för behandlingen omfattas av tystnadsplikt enligt unionsrätten eller medlemsstaternas nationella rätt, artikel 9.3 i EU:s dataskyddsförordning. Den behandling som utredningen föreslår ska vara möjlig, kommer att genomföras under lagstadgad tystnadsplikt. Enligt 25 kap. 17 a § gäller sekretess hos E-hälsomyndigheten för uppgift om en enskilds hälsotillstånd eller andra personliga förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men. Kravet på tystnadsplikt motsvarar det som gäller i hälso- och sjukvårdsverksamhet. Utredningen bedömer därför att förutsättningarna för undantaget mot förbudet att behandla känsliga personuppgifter i EU:s dataskyddsförordning är tillämpliga avseende den behandling som ska utföras av den ansvariga myndigheten.

175 Prop. 2017/18:105 s.75 f.

334

Om känsliga personuppgifter ska få behandlas med stöd av undantaget i artikel 9.2 g krävs att behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse. Tillhandahållandet av en nationell digital infrastruktur betraktas som ett viktigt allmänt intresse vilket redogjorts för i kap 9.7. Vidare utgör tillhandahållande av tillgångstjänst i enlighet med EHDS-förordningen en uppgift av allmänt intresse som tilldelas genom den förordningen. Tillhandahållande av en nationell sådan tjänst vars uppdrag ges i nationell lag är därmed att betrakta som ett viktigt allmänt intresse som reglerats i nationell rätt. Vad avser proportionalitetsbedömningen redogörs för denna i integritetsanalysen, kapitel 11. Utredningen föreslår att den ansvariga myndigheten ska få behandla känsliga personuppgifter under de förutsättningar som redogjorts för. En bestämmelse om detta införs i den nya lagen om nationell infrastruktur för elektroniskt informationsutbyte på hälsooch sjukvårdsområdet.

Förfat t ningsförslag:

3 kap. 5 § den nya lagen om nationell infrastruktur för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet

9.9 Rätten att göra invändningar ska inte gälla

Utredningens förslag: Rätten för registrerade att göra invändningar enligt EU:s dataskyddsförordning ska inte gälla vid sådan behandling av personuppgifter som är tillåten vid den ansvariga myndigheten. En bestämmelse om detta införs i den föreslagna lagen om nationell infrastruktur för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet.

335

Skälen för utredningens förslag

EU:s dataskyddsförordning och rätten att göra invändningar mot behandling

När personuppgifter behandlas för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning (dvs. behandling enligt artikel 6.1 e i EU:s dataskyddsförordning) ska den registrerade ha rätt att när som helst, av skäl som hänför sig till hens specifika situation, göra invändningar mot behandlingen. Den personuppgiftsansvarige får då inte längre behandla personuppgifterna, såvida denne inte kan påvisa tvingande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter eller om det utförs för fastställande, utövande eller försvar av rättsliga anspråk. Detta följer av artikel 21.1 i EU:s dataskyddsförordning. Rätten att göra invändningar innebär att den registrerade har möjlighet att få till stånd en kontroll av om uppgifterna får behandlas. Under tiden som en sådan prövning pågår har den registrerade rätt att kräva att behandlingen av personuppgifterna begränsas (se artikel 18.1 d i EU:s dataskyddsförordning). Om det bedöms saknas berättigade skäl för behandlingen har den registrerade rätt att få personuppgifterna raderade (se artikel 17.1 c i EU:s dataskyddsförordning).

Det finns skäl att begränsa rätten att göra invändningar

Medlemsstaterna har enligt artikel 23 i EU:s dataskyddsförordning möjlighet att genom lagstiftningsåtgärder begränsa vissa av de skyldigheter och rättigheter som följer av förordningen, däribland rätten att göra invändningar mot behandlingen av personuppgifter. En sådan begränsning får göras om den införs med respekt för andemeningen i de grundläggande rättigheterna och friheterna. Begränsningen måste vidare utgöra en nödvändig och proportionell åtgärd i syfte att säkerställa olika uppräknade intressen, bl.a. viktiga mål av generellt allmänt intresse, särskilt ett av unionens eller en medlemsstats viktiga ekonomiska eller finansiella intressen

336

(däribland penning-, budget- eller skattefrågor, folkhälsa och social trygghet). Sådana lagstiftningsåtgärder ska enligt artikeln innehålla specifika bestämmelser när så är relevant, avseende bl.a. ändamålen med behandlingen, lagringstiden samt tillgängliga skyddsåtgärder med beaktande av behandlingens art, omfattning och ändamål. Utredningen anser att det är nödvändigt att personuppgifter får behandlas när den ansvariga myndigheten utför sina uppgifter, oberoende av den registrerades inställning. Myndigheten behöver kunna utföra de uppgifter som den har tilldelats av riksdag och regering. Om enskilda hade möjlighet att undantas från behandlingen skulle det kunna undergräva själva syftet med behandlingen. Personuppgiftsbehandlingen ska möjliggöra att hälsodata blir tillgänglig i hela vårdkedjan. Detta ska bidra till ökad vårdkvalitet och patientsäkerhet samt att minska den administrativa bördan för hälso- och sjukvårdens medarbetare genom att de, på ett säkert, snabbt och effektivt sätt, ges tillgång till relevanta personuppgifter som är nödvändiga för de arbetsuppgifter som ska utföras. Personuppgiftsbehandlingen vid den ansvariga myndigheten är sammanfattningsvis en förutsättning för att myndigheten ska kunna utföra sina uppgifter på ett korrekt och effektivt sätt. För att säkerställa förutsättningarna för myndigheten att behandla relevanta personuppgifter bör mot denna bakgrund den registrerade inte ha någon rätt att motsätta sig sådan personuppgiftsbehandling som är tillåten enligt lagen. Utredningen föreslår därför en bestämmelse om att rätten att göra invändningar enligt artikel 21.1 i EU:s dataskyddsförordning inte ska gälla vid sådan behandling av personuppgifter som är tillåten enligt lag om nationell infrastruktur för elektroniskt informationsutbyte på hälsooch sjukvårdsområdet eller föreskrifter som har meddelats i anslutning till den. Utredningen anser, med hänsyn till vad som anförs ovan, att begränsningen av rätten att göra invändningar utgör en nödvändig och proportionell åtgärd i syfte att säkerställa ett viktigt mål av generellt allmänt intresse, nämligen att möjliggöra ett säkert och effektivt informationsutbyte inom hälso- och sjukvården samt att utföra den samhällsviktiga funktionen att förvalta och administrera en infrastruktur för elektroniskt informationsutbyte.

337

Författningsförslag

3 kap. 2 § i den nya lagen om nationell infrastruktur för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet

9.10 Reglering av ansvarig myndighets personuppgiftsansvar

Utredningens förslag: Den av regeringen utsedda ansvariga myndigheten ska vara personuppgiftsansvarig för behandlingen av personuppgifter som utförs vid myndighetens verksamheter att tillhandahålla en nationell infrastruktur och tjänster för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet.

Skälen för utredningens förslag

Personuppgiftsansvarig är den fysiska eller juridiska person, offentliga myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Den personuppgiftsansvarige har bestämmanderätt över ändamål och medel men kan delegera valet av tekniska och organisatoriska medel för behandlingen till en annan part (som då utgör ett personuppgiftsbiträde). Med ändamål avses varför behandlingen utförs. Med medel avses hur behandlingen utförs. Personuppgiftsansvaret syftar till att etablera en tydlig ansvarsfördelning som är ändamålsenlig utifrån principerna för dataskydd. Med det menas att det är den som är personuppgiftsansvarig som ska se till att de rättigheter och krav som följer av EU:s dataskyddsförordning också tillämpas och att det därför är avgörande att det är den parten som faktiskt har möjlighet och kapacitet att tillse detta som är den som innehar rollen. Om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt, kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlemsstaternas

338

nationella rätt (artikel 4.7 i EU:s dataskyddsförordning). Det är alltså tillåtet att i nationell lagstiftning peka ut vem som ska vara personuppgiftsansvarig, vilket också är vanligt förekommande i registerförfattningar. Att en aktör är personuppgiftsansvarig innebär att denne är ytterst ansvarig för att skyldigheterna i EU:s dataskyddsförordning tillämpas på ett korrekt sätt. I lagen om nationell infrastruktur och tjänster för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet ska de övergripande kriterierna för personuppgiftsansvaret fastställas. Det är ytterst den aktör som är ansvarig för hanteringen av personuppgifterna och som kan bestämma över de ändamål och medel som bör vara personuppgiftsansvarig. Vad gäller E-hälsomyndigheten bör myndighetens särskilda karaktär av infrastrukturmyndighet nämnas. Myndigheten ansvarar idag för de register som möjliggör den nationella läkemedelslistan. Av lagen (2018:1212) om nationell läkemedelslista framgår t.ex. att E-hälsomyndigheten ska föra ett register över vissa uppgifter om förskrivna och expedierade läkemedel och andra varor för människor (nationell läkemedelslista) och vara personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför i läkemedelslistan. Myndigheten utför således ett arbete och ansvarar för en verksamhet som behandlar personuppgifter vilka berör ändamål som inte direkt behövs inom E-hälsomyndighetens egen verksamhet. Myndigheten har dock en särskild roll som uppkommit ur behovet av att kunna erbjuda en konkurrensneutral samt ur integritetssynpunkt säker överföring av personuppgifter mellan olika aktörer, något som konstaterades redan vid införandet av nationell läkemedelslistan. 176 Utredningen föreslår nu att en ansvarig myndighet ska inneha en liknande roll när det gäller infrastrukturen för hälsodata och inom ramen för den tillhandahålla funktioner och tjänster samt tillse att de kravställningar som finns kring anslutning till denna infrastruktur är uppfyllda. Myndigheten kommer utgöra en garant för att de höga kraven på säkerhet och integritet faktiskt kan upprätthållas. Den ansvariga myndigheten bör därmed utpekas till personuppgiftsansvarig för den personuppgiftsbehandling som myndigheten utför i anslutning till den digitala infrastrukturen i

176 Prop. 2017/18:223, s. 81.

339

form av register, funktioner och tjänster som möjliggör tillgängliggörande av hälsodata mellan vårdgivare samt tillhandahållande av en tillgångstjänst för hälso- och sjukvårdspersonal. Utredningen föreslår således att det av den nya lagen om nationell infrastruktur för elektroniskt informationsutbyte och tjänster på hälso- och sjukvårdsområdet ska framgå ett den myndighet som regeringen bestämmer ska vara personuppgiftsansvarig för de register som ingår i den nationella digitala infrastrukturen. För att förtydliga vilken myndighet som är personuppgiftsansvarig för vart och ett av de register och tjänster som ska ingå i den nationella digitala infrastrukturen anser utredningen att personuppgiftsansvaret ska preciseras ytterligare i förordning.

Författningsförslag

3 kap. 3 § i den nya lagen om nationell infrastruktur för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet

9.11 Tillåtna ändamål för behandlingen av personuppgifter

Utredningens förslag: Den ansvariga myndigheten ska få behandla personuppgifter om det är nödvändigt för att kunna utföra sina uppgifter att föra de register och tillhandahålla de itfunktioner som avses i den nya lagen om nationell infrastruktur och tjänster för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet, och för att tillhandahålla en tillgångstjänst för hälso- och sjukvårdspersonal. Regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om begränsningar och preciseringar av de tillåtna ändamålen för behandlingen och om vilka uppgifter som får behandlas i de it-funktioner och register som är nödvändiga för den infrastruktur för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet, liksom i den

340

statliga tillgångstjänsten som ska tillhandahållas av den ansvariga myndigheten.

Utredningens bedömning: Utlämnande av uppgifter utgör ett tillåtet ändamål för behandling.

Skälen för utredningens förslag och bedömning

Tillåtna ändamål för behandling

Som framgår av tidigare avsnitt förutsätter EU:s dataskyddsförordning att behandling av personuppgifter sker för uttryckligt angivna ändamål. Ändamålsbestämmelser anger den yttersta ramen för de syften inom vilken uppgifter får behandlas. Ändamålsbestämmelser är sådana specifika bestämmelser som anpassar tillämpningen av EU:s dataskyddsförordning och säkerställer en laglig och rättvis behandling och är således tillåtna i nationell rätt enligt artikel 6.2 och 6.3 i EU:s dataskyddsförordning. Genom väl avvägda ändamålsbestämmelser kan en myndighet som ansvarar för ett register eller funktion i den statliga nationella digitala infrastrukturen ges nödvändiga förutsättningar att behandla personuppgifter i sin verksamhet, samtidigt som risken för obefogade intrång i den personliga integriteten minskar. I lagen om en nationell digital infrastruktur ska ett övergripande ändamål regleras för all behandling av personuppgifter som görs inom ramen för infrastrukturen. Detta övergripande ändamål ska utgöra den yttersta ramen för hur E-hälsomyndigheten får behandla personuppgifter inom ramen för infrastrukturen. Utredningen föreslår att det övergripande ändamålet ska knyta an till syftet med den nationella digitala infrastrukturen. E-hälsomyndigheten ska få behandla personuppgifter i en itfunktion eller register som ingår i den nationella digitala infrastrukturen om det är nödvändigt för målet att hälsodata med personuppgifter ska kunna tillgängliggöras mellan vårdgivare och för patienten och dennes företrädare. Vad avser tillgångstjänsten för hälso- och sjukvårdspersonal så ska E-hälsomyndigheten få behandla

341

personuppgifter i denna tjänst som är nödvändiga för målet att tillgängliggöra hälsodata med personuppgifter till behörig hälso- och sjukvårdspersonal i enlighet med EHDS-förordningen art 11 och 12. Ändamålsbestämmelserna behöver täcka all den behandling som är nödvändig för att myndigheten ska kunna utföra sin verksamhet, med undantag för personaladministrativ verksamhet och annan sådan verksamhet som kan medföra personuppgiftsbehandling hos myndigheter generellt. Alltför breda ändamål kan samtidigt lätt bli otydliga eller ospecifika vilket av bland annat Integritetskyddsmyndigheten (IMY) ansetts vara oförenligt med dataskyddsförordningen som anger att ändamålen behöver vara mer preciserade. Utredningen bedömer att ändamålens koppling till det mycket konkreta syftet med den digitala infrastrukturen ger en tillräcklig precision även i de bredare ändamålen som föreslås. Dessa mer övergripande ändamålsbestämmelser kan sedan även specificeras i förordning för att därigenom tydliggöra uppgifternas innebörd, se mer om detta nedan. Motsvarande har föreslagits i utredningen om framtidens dataskydd vid Skatteverket 177 och i lagstiftningsärendet om inrättande av utbetalningsmyndigheten. 178

Utlämnande av uppgifter utgör ett tillåtet ändamål för behandling

Vanligen regleras fullgörande av uppgiftslämnande som ett sekundärt ändamål. Det beror på att utlämnanden oftast betraktas som en vidarebehandling som inte i sig är central för den personuppgiftsansvariga myndighetens egen verksamhet . När det gäller behandling av personuppgifter inom ramen för en infrastruktur kan inte uppgiftsutlämnande betraktas på detta sätt . Syftet med lagen om en nationell digital infrastruktur ska vara att främja ett säkert, effektivt och ändamålsenligt informationsutbyte som tillgodoser god kvalitet, patientsäkerhet och kostnadseffektivitet i hälso- och sjukvården . Uppgiftsutlämnande är således ett grundläggande syfte med infrastrukturen. Utlämnande av uppgifter inom ramen för infrastrukturen kan därmed anses vara en central och viktig del för den ansvariga myndighetens verksamhet.

177 Sou 2023:100, Framtidens dataskydd vid Skatteverket, Tullverket och Kronofogden, del 1, s. 508. 178 Prop. 2022/23:34 s. 124.

342

Utredningen bedömning är därför att utlämnande av uppgifter utgör ett tillåtet ändamål för personuppgiftsbehandlingen inom ramen för den föreslagna regleringen för tillåtna ändamål för behandling i en nationell digital infrastruktur för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet.

Regeringen ska få meddela föreskrifter som begränsar och preciserar de tillåtna ändamålen och om vilka uppgifter som ska få behandlas

Den nya lagen om en nationell infrastruktur för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet utformas som en ramlag och är generell till sin karaktär med övergripande ändamål och typer av personuppgifter som kan komma att behandlas. Det innebär att vissa av lagens bestämmelser kommer att behöva preciseras i förordning, när det gäller för vilka ändamål det är tillåtet att behandla personuppgifter i de olika register och tjänster som kommer att behöva ingå i den statliga nationella digitala infrastrukturen och vid behov mer exakt vilka uppgifter som ska få behandlas. Det kan också vara av vikt att kunna precisera ändamålen för att undvika att de blir otydliga eller ospecifika vid hanteringen av de mer konkreta registren och funktioner som framgår av förordning. Utredningen föreslår därför att det i lagen bör finnas en bestämmelse som klargör att regeringen kan meddela föreskrifter om begränsningar och preciseringar av ändamålen, och om vilka uppgifter som får behandlas i de it-funktioner och register som ska tillhandahållas och föras av den ansvariga myndigheten. Föreskriftsrätten omfattar även närmare reglering av de uppgifter som får behandlas av myndigheten i den statliga tillgångstjänsten.

Författningsförslag:

3 kap. 4 § och 3 kap. 9 § i den nya lagen om nationell infrastruktur för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet

343

9.11.1 Tillåtna ändamål och vilka personuppgifter som får behandlas ska preciseras i förordning

Utredningens bedömning: Mer specifik reglering avseende de tillåtna ändamålen för behandlingen samt vilka personuppgifter som får behandlas liksom detaljer avseende åtkomsten till personuppgifter inom myndighetens verksamhet ska införas i förordning.

Skälen för utredningens bedömning

De ändamål för behandling av personuppgifter som utredningen föreslår, ska regleras i en ny lag om nationell infrastruktur för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet och utgöra den yttersta ramen för hur personuppgifter ska få behandlas av den ansvariga myndigheten. De tillåtna ändamålen bör därutöver preciseras på förordningsnivå utifrån de behov som kan identifieras för varje enskilt register och ansvarig myndighet. Förslag på sådan förordning återfinns i bilaga 3. E-hälsomyndigheten har uppgivit att den inom ramen för sitt ansvar för den nationella digitala infrastrukturen kommer att behöva föra ett antal nya register med personuppgifter, exempelvis patientdataindex (PDI), nationella spärregistret och fullmaktsregistret med fullmakter för ombud (och eventuellt andra företrädare). Myndigheten kommer också att behöva behandla personuppgifter genom att förmedla hälsodata mellan olika vårdgivare, mellan Sverige och andra medlemsstater och mellan vårdgivare och patienter samt deras företrädare. Sådan behandling föreslår myndigheten exempelvis i de statliga tillgångstjänsterna för 179 patienter och vårdpersonal, samt i nationell kontaktpunkt (NCP ). Även förmedlingen av personuppgifter innebär att personuppgifter behöver lagras i viss utsträckning i samband med att uppgifterna förmedlas.

179 Författningsförslag avseende tillgångstjänster för patienter och nationell kontaktpunkt kommer att föreslås i utredningens slutrapport.

344

De tjänster, it-funktioner och register som inledningsvis kommer att omfattas av den nya lagen och som innefattar behandling av personuppgifter är: 1. patientdataindex (PDI), 2. nationella spärregistret, 3. nationella spärrfunktionen, 4. nationella fullmaktsregistret med fullmakter för ombud, 5. nationella företrädarfunktionen, och 6. tillgångstjänst personal.

9.11.2 Patientdataindex (PDI)

Utredningens förslag: E-hälsomyndigheten ska i ett patientdataindex få behandla personuppgifter för ändamålet att lokalisera vilka vårdgivare som behandlar personuppgifter för vård av en viss patient och i vilket system. I patientdataindex får det finnas bland annat identitetsuppgifter om en patient och uppgifter om vilka vårdgivare som behandlar uppgifter om patienten samt uppgifter om vårdgivarens system.

Skälen för utredningens förslag

E-hälsomyndigheten har i uppdrag att utveckla och förbereda etablering av ett patientdataindex (PDI). 180 Enligt myndigheten ska PDI utgöra ett centralt register för information om var det förekommer uppgifter om en identifierad individ, dvs. hos vilka vårdgivare och i vilka system dessa uppgifter finns. Uppgifterna i PDI-registret utgör känsliga personuppgifter i EU:s dataskyddsförordnings mening. I normalfallet kommer, utöver patientens identitetsuppgifter, id-beteckningen på den unika installationen av ett EHR-system och aktuell vårdgivare att framgå

180 Regleringsbrev för budgetåret 2025 avseende E-hälsomyndigheten (S2024/02156).

345

av registret samt uppgifter om viken händelse som orsakat registreringen och i förekommande fall orsaken till att en delning upphör. Detaljeringsgraden hålls låg och genom detta behandlar PDI inte fler personuppgifter än nödvändigt. Det innebär att principen om uppgiftsminimering, enligt artikel 5 i EU:s dataskyddsförordning, beaktas samtidigt som nyttorna med PDIregistret kan uppnås i tillräckligt hög grad. I bilaga 3 återfinns ett utkast till förordning där det preciseras att E-hälsomyndigheten i patientdataindex får behandla personuppgifter för ändamålet att lokalisera vilka vårdgivare som behandlar personuppgifter för vård av en viss patient och i vilket system. I förordningen bör det även regleras att det i PDI behandlas bland annat identitetsuppgifter om en patient och uppgifter om vilka vårdgivare och system som behandlar uppgifter om patienten.

9.11.3 Nationella spärrfunktionen och spärregistret

Utredningens förslag: E-hälsomyndigheten ska i den nationella spärrfunktionen och spärregistret få behandla personuppgifter för ändamålet att begränsa tillgängliggörande av eller tillgång till patientens personuppgifter enligt de begränsningar som en patient har begärt. I den nationella spärrfunktionen och spärregistret får identitetsuppgifter om en patient och uppgifter om vilka begränsningar av tillgång till hälsodata (så kallade spärrar eller opt-out) som patienten har begärt behandlas.

Skälen för utredningens förslag

E-hälsomyndigheten har föreslagit att ett nationellt spärregister ska inrättas hos myndigheten. 181 Det nationella spärregistret ska enligt myndigheten kunna administrera olika former av spärrar i hälso- och sjukvården. I vart fall ska registret kunna hantera spärrar för att tillgodose de rättigheter som följer av EHDS-förordningen.

181 Genomförandet av en nationell digital infrastruktur för hälso- och sjukvård och EHDS primäranvändning, Dnr 2024/03223, s. 68.

346

Registret ska kunna utvecklas för att även hantera begränsningar av tillgång till hälsodata som inte ingår i de prioriterade kategorierna enligt EHDS-förordningen. Registret ska medge möjlighet att precisera detaljnivå för spärrarna efterhand som ytterligare behov uppkommer och har utretts. Syftet med registret är att registrera och lagra de spärrar och optout som en patient begärt och som ska bevaras centralt. Spärrfunktionen ska förmedla de spärrar som en patient begärt och som finns lagrade decentraliserat hos respektive vårdgivare. Skillnaden mellan registret och funktionen utifrån ett dataskyddsperspektiv är således bevarandetiden där funktionen endast momentant kommer att behandla personuppgifter i begärda spärrar, medan registret kommer att lagra uppgifterna så länge de behövs. E-hälsomyndighetens förslag om inrättande av en nationell spärrfunktion och ett nationellt spärregister innebär att myndigheten kommer att behandla personuppgifter. Dels ska personuppgifter avseende såväl allmänna som lokala spärrar behandlas i den nationella spärrfunktionen, dels ska myndigheten tillhandahålla och förvalta ett nytt register i form av det nationella spärregistret, för de allmänna spärrarna. Utredningen föreslår att det i förordning regleras att personuppgifter får behandlas i spärregister och spärrfunktion för ändamålet att begränsa tillgängliggörande av eller tillgång till patientens personuppgifter enligt de begränsningar som en patient har begärt. Sådan begränsning kan avse så kallade spärrar eller att patienten helt motsatt sig delning av hälsodata (opt-out). Uppgifter om vilka hälsodata som patienten inte vill göra tillgängliga utgör uppgifter som avslöjar information om individens hälsa och utgör därmed känsliga personuppgifter i EU:s dataskyddsförordnings mening. Uppgifterna kan dock, beroende på hur detaljerad en begäran om spärr är, vara mer allmänt hållna och inte lika integritetskänsliga som exempelvis rena journaluppgifter. De personuppgifter som får behandlas är patientens identitetsuppgifter, de spärrar som begärts samt dessas omfång och räckvidd. I den nationella spärrfunktionen kommer personuppgifter att behandlas bland annat genom att begäran om att begränsa tillgång

347

till hälsodata tas emot från patienter och hälso- och sjukvårdspersonal och sedan förmedlas till respektive vårdgivare och i tillämpliga fall till det nationella spärregistret, där de allmänna spärrarna ska lagras, även dessa ändamål ska framgå av förordningen. Uppgifter i nationella spärrfunktionen ska endast behandlas tillfälligt, utredningen berör detta närmare i avsnitt 9.3. I bilaga 3 återfinns ett utkast till förordning där det preciseras ändamål för behandling av personuppgifter i nationella spärrfunktionen och spärregistret.

9.11.4 Det nationella fullmaktsregistret och förträdarfunktionen

Utredningens förslag: E-hälsomyndigheten ska i det nationella fullmaktsregistret och företrädarfunktionen få behandla personuppgifter för ändamålet att en patient ska kunna utöva sin rätt att utse ett ombud som får åtkomst till patientens elektroniska hälsodata och som får utöva vissa av patientens rättigheter avseende hälsodata, och för att en legal ställföreträdare ska kunna utöva sitt företrädarskap för patienten. E-hälsomyndigheten får för att uppfylla ändamålen i företrädarfunktionen och i fullmaktsregistret behandla personuppgifter om företrädare som patienten själv utsett genom fullmakt, legala ställföreträdare, identitetsuppgifter för dessa, samt uppgifter om en fullmakts räckvidd och omfattning.

Skälen för utredningens förslag

Enligt EHDS-förordningen ska medlemsstaterna inrätta en eller flera fullmaktstjänster inom ramen för tillgångstjänster för patienter (artikel 4.2). Fullmaktstjänsterna ska omfatta både ombud som patienten själv utser genom fullmakt och sådana rättsliga företrädare som har legal rätt att företräda någon annan, exempelvis vårdnadshavare och andra legala ställföreträdare såsom förvaltare (nedan kallade rättsliga företrädare). Genom fullmaktstjänsterna ska

348

företrädare få åtkomst till patientens hälsodata och utöva vissa rättigheter som följer av EHDS-förordningen. E-hälsomyndigheten har fått i uppdrag att påbörja utvecklingsarbetet med etableringen av tillgångstjänster som gör det möjligt för patienter att utöva sina rättigheter enligt EHDSförordningen, inklusive fullmaktstjänster för patienters ombud. 182

Behov av en nationell företrädarfunktion

E-hälsomyndigheten har föreslagit att det inom ramen för den nationella digitala infrastrukturen inrättas en funktion för att hantera olika typer av företrädare för en patient (nationella företrädarfunktionen) som ska möjliggöra att företrädare får åtkomst till patientens hälsodata. Nationella företrädarfunktionen ska hantera både ombud som patienten själv har utsett genom fullmakt och sådana rättsliga företrädare som har behörighet att företräda patienten enligt nationell rätt. Företrädarfunktionen ska agera mellanhand mellan de register där de olika typerna av företrädarskap sparas och de system som behöver få åtkomst till uppgifterna om företrädare, till exempel vårdinformationssystem och tillgångstjänster. E-hälsomyndigheten föreslår att den vårdgivare från vilken hälsodata hämtas ska ansvara för att filtrera informationen så att företrädaren endast får tillgång till sådan information som omfattas av dennes behörighet. Det innebär att det behöver finnas funktioner för vårdgivaren att kontrollera vilken behörighet en företrädare har. För att ombud och rättsliga företrädare ska ha åtkomst till patientens hälsodata, på det sätt som krävs enligt EHDSförordningen, behövs enligt E-hälsomyndighetens bedömning en nationell reglering som möjliggör och tillåter sådan åtkomst. Regleringen bör bygga på, i tidigare utredningar redan lämnade förslag, med den anpassning av förslagen som krävs med anledning av EHDS-förordningen. 183

182 Regleringsbrev för budgetåret 2025 avseende E-hälsomyndigheten (S2024/02156). 183 . Ombuds tillgång till vård- och omsorgsuppgifter och förenklad behörighetskontroll inom vården ( SOU 2021:39), elektronisk tillgång till barns uppgifter inom hälso- och sjukvården och tandvården (ds 2023:26). Vi kommer att lämna förslag om patients, ombuds, vårdnadshavares och barns tillgång i framtida delrapporter.

349

Rättsliga företrädare bestäms enligt nationell rätt och i de beslut som fattas om ställföreträdarskap. Patienten kan således inte själv välja rättslig företrädare eller dennes behörighet. Patienten har därför inte något behov av att själv kunna se eller administrera uppgifter om sådana rättsliga företrädare. Samtidigt behöver sådana uppgifter finnas lagrade så att rättsliga företrädare kan få tillgång till patientens hälsodata genom den statliga nationella digitala infrastrukturen. Uppgifter om rättsliga företrädare bör enligt E-hälsomyndigheten lagras i och hämtas från ursprungskällor hos andra myndigheter i den mån sådana finns. För vårdnadshavare finns dessa hos Skatteverket och tillgängliggörs via Navet. För andra rättsliga företrädare finns idag inget centralt register och det bör enligt myndigheten inrättas ett sådant nationellt ställföreträdarregister i enlighet med Ställföreträdarutredningens förslag. 184 Den utredningen föreslog att ett nationellt register ska föras över förordnade förmyndare, gode män och förvaltare samt över dem som har en sådan ställföreträdare. Även om nationella företrädarfunktionen i sig inte skulle lagra uppgifter om rättsliga företrädare, utan dessa endast skulle förmedlas genom funktionen, behövs rättsligt stöd för myndigheten att behandla och vidareförmedla sådana personuppgifter. E-hälsomyndigheten bör därmed få en rätt att behandla de personuppgifter som krävs för att hämta och distribuera de personuppgifter som krävs.

Behov av ett fullmaktsregister

E-hälsomyndigheten har vidare föreslagit att ett fullmaktsregister ska inrättas inom ramen för den statliga nationella digitala infrastrukturen, för att de ombud som patienten själv utser ska kunna företräda patienten. Registret innebär behandling av personuppgifter, främst identitetsuppgifter. Beroende på hur behörigheterna i fullmakten ska kunna preciseras kan även känsliga uppgifter om patientens hälsa komma att omfattas.

184 Gode män och förvaltare – en översyn SOU 2021:36

350

Sammanfattningsvis behöver det alltså införas regler som möjliggör för E-hälsomyndigheten att föra ett fullmaktsregister avseende av patienten utsedda ombud samt en företrädarfunktion som ska kunna distribuera uppgifter om vilka ombud och företrädare som en patient har och vilka behörigheter dessa ombud och företrädare har.

Vilken rättslig grund finns för att behandla personuppgifter i fullmaktsregistret?

För att registrera en fullmakt i E-hälsomyndighetens nuvarande register för apoteksfullmakter krävs idag samtycke från både patient och ombud. I förarbetena ansågs att den rättsliga grunden för behandlingen av personuppgifter kring apoteksfullmakter var just det samtycke som inhämtades. EHDS-förordningen uppställer inte något krav på samtycke vid utseende av ombud. Utredningen bedömer att det finns stöd för behandlingen av ombudets personuppgifter i den rättsliga grund som föreligger för behandlingen av personuppgifter i den nationella digital infrastrukturen i övrigt, det vill säga att behandlingen är nödvändig för att utföra en uppgift av allmänt intresse. Denna bedömning har redogjorts för i avsnitt 9.7. Det saknas därför anledning att använda sig av samtycke som rättslig grund för behandlingen. Vi noterar att det kan finnas andra skäl till att fullmäktigen bör notifieras om sitt uppdrag och möjligen även acceptera uppdraget innan denne har möjlighet att nyttja fullmakten. Sådana rutiner har dock inte sin grund i personuppgiftsbehandlingen och behöver inte regleras.

För vilka ändamål ska personuppgifter få behandlas?

Utredningen föreslår att det i förordning ska regleras mer preciserade ändamål för behandling av personuppgifter inom ramen för företrädarfunktionen och fullmaktsregistret som myndigheten ska ansvara för. Myndigheten ska i fullmaktsregistret få behandla personuppgifter för ändamålet att en patient ska kunna utöva sin rätt att utse en företrädare som får åtkomst till patientens elektroniska hälsodata och som får utöva vissa av patientens rättigheter avseende

351

tillgången till hälsodata. Myndigheten ska också få behandla personuppgifter för ändamålet att legala ställföreträdare ska kunna utöva sitt företrädarskap för patienten. Det har redan konstaterats att utlämnande av uppgifter är ett tillåtet ändamål i avsnitt 9.11 Något särskilt ändamål för att möjliggöra utbyte av uppgifter om en patients företrädare och dennes befogenhet med vårdgivare och den som bedriver öppenvårdsapotek behövs därför inte. Utredningen föreslår att E-hälsomyndigheten i företrädarregistret ska få behandla identifieringsuppgifter för företrädare, ombud och patienten själv, fullmaktens omfattning samt hur länge fullmakten gäller. Uppgifter i nationella företrädarfunktionen ska endast behandlas tillfälligt. Utredningen berör detta närmare i avsnitt 9.3. I bilaga 3 återfinns ett utkast till förordning där det preciseras ändamål för behandling av personuppgifter i nationella fullmaktsregistret och förträdarfunktionen.

9.12 Nya bestämmelser om bevarandetid och gallring ska införas

Utredningens förslag: Personuppgifter ska inte få behandlas av den ansvariga myndigheten under längre tid än vad som behövs med hänsyn till ändamålet med behandlingen. Regeringen eller den myndighet som regeringen bestämmer ska ha rätt att meddela föreskrifter om gallring av uppgifter.

Skälen för utredningens förslag

Personuppgifter får inte förvaras i en form som möjliggör identifiering av den registrerade under en längre tid än vad som är nödvändigt för de ändamål för vilka uppgifterna behandlas ( artikel 5.1 e i EU:s dataskyddsförordning ) . Bestämmelsen ger uttryck för EU:s dataskyddsförordnings princip om lagringsminimering. Att personuppgifter upphör att behandlas för ett visst ändamål innebär

352

inte nödvändigtvis att handlingarna gallras, dvs. förstörs. Det kan i stället innebära att uppgifterna helt enkelt inte längre är tillgängliga i ett verksamhetssystem men att de fortfarande finns bevarade hos den registeransvariga myndigheten för ett annat ändamål i verksamheten. Allmänna handlingar som inte ska gallras med stöd av gällande regelverk ska bevaras i enlighet med arkivlagstiftningens krav. Bestämmelser om myndigheters skyldighet att bevara allmänna handlingar, på vilket sätt handlingarna ska bevaras och om gallring finns i arkivlagen, arkivförordningen och Riksarkivets föreskrifter, RA-FS och RA-MS. Huvudprincipen enligt arkivlagstiftningen är att allmänna handlingar ska bevaras. Myndigheternas arkiv ska som huvudregel bevaras, hållas ordnade och vårdas så att de tillgodoser rätten att ta del av allmänna handlingar, behovet av information för rättskipningen och förvaltningen samt forskningens behov, 3 § arkivlagen. Av 10 § arkivlagen framgår att allmänna handlingar under vissa förutsättningar får gallras. Med gallring avses att en handling förstörs på ett eller annat sätt. När det gäller gallring är arkivlagens bestämmelser subsidiära i förhållande till annan lagstiftning. Om det finns avvikande bestämmelser om gallring av vissa allmänna handlingar i annan lag eller förordning, har de bestämmelserna företräde, 10 § tredje stycket arkivlagen. Statliga myndigheter får gallra allmänna handlingar endast i enlighet med föreskrifter eller beslut av Riksarkivet, om inte särskilda gallringsföreskrifter finns i lag eller förordning. Grundprincipen i arkivlagstiftningen är således att allmänna handlingar ska bevaras. Några särskilda hänsyn till vilken risk som bevarandet kan medföra ur ett integritetsskyddsperspektiv ska inte tas. Gallring enligt arkivlagstiftningen och ”gallring” av personuppgifter som görs med stöd av exempelvis en registerförfattning har olika syften. Gallring som görs med stöd av arkivlagstiftningen motiveras ofta av kostnads- eller utrymmesskäl, medan gallring utifrån dataskyddslagstiftning motiveras av integritetsskäl. Enligt regelverket för dataskydd behövs, till skillnad från arkivregleringen, stöd för att bevara personuppgifter. Som framgår ovan får personuppgifter inte förvaras i en form som möjliggör identifiering av den registrerade under en längre tid än vad

353

som är nödvändigt för de ändamål för vilka personuppgifterna behandlas. Personuppgifter ska således inte behandlas om det inte längre finns ett behov av det. Utredningen anser att den ovan nämnda principen även bör komma till uttryck i lag om nationell infrastruktur och tjänster för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet och utgöra en huvudregel för personuppgiftsbehandlingen inom ramen för infrastrukturen. Utredningen föreslår därför att en bestämmelse införs om att personuppgifter inte ska få behandlas under längre tid än vad som behövs med hänsyn till ändamålet med behandlingen. Den föreslagna bestämmelsen säkerställer ytterligare den grundläggande principen om att endast uppgifter som behöver behandlas ska behandlas. Bestämmelsen möjliggör samtidigt behandling av personuppgifter under den tid som den är nödvändig, till exempel uppgifter som behöver bevaras under längre tid för att i efterhand kunna kontrollera loggar vid säkerhetsincidenter. Sådana behov av längre tids behandling som E-hälsomyndigheten har lyft fram kan på detta sätt tillgodoses. En bestämmelse av det aktuella slaget ställer höga krav på den personuppgiftsansvarige, dvs. E-hälsomyndigheten. Det behöver fortlöpande göras prövningar av om personuppgifter ska behandlas eller inte. Fortsatt behandling behöver kunna motiveras utifrån de ändamål för vilka personuppgifterna behandlas. Vad gäller de funktioner och tillgångstjänsten personal som den ansvariga myndigheten ska tillhandahålla är deras främsta användningsområde att förmedla information mellan två eller flera parter. Det finns då ingen anledning att den informationen som förmedlas bevaras i funktionen eller tjänsten när överföringen väl har skett. Mot bakgrund av att den hälsodata som förmedlas i tillgångstjänsten kan utgöra allmänna handlingar inom ramen för myndighetens verksamhet finns det anledning att inte bara konstatera att informationen inte behöver bevaras utan även krav på gallring av densamma. Principen att gallring ska ske motiveras i första hand av integritetsskäl. Behovet av gallringsbestämmelser måste således avgöras genom en avvägning mellan å ena sidan intresset av skydd för den personliga integriteten och å andra sidan intresset av offentlighet och insyn i myndigheternas verksamhet.

354

Vid förmedling av information över tillgångstjänster kommer känsliga personuppgifter att behandlas om patienters hälsa. Behandlingen kommer att omfatta en stor mängd patienter. Utredningens bedömning är att det finns anledning att även reglera vilken bevarandetid som ska gälla för uppgifterna som behandlas. Sådan reglering lämpar sig på annan nivå än lag, och är särskilt angelägen beträffande uppgifter som behandlas i den statliga tillgångstjänsten och i de it-funktioner som är nödvändiga för infrastrukturen för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet. I lagen införs därför ett bemyndigande för regeringen eller den myndighet som regeringen bestämmer att meddela närmare bestämmelser om bevarandetid för personuppgifter som ingår i nämnda it-funktioner och i tillgångstjänsten. Enligt utredningens bedömning bör sådana uppgifter inte få bevaras utan gallras, om de hanteras endast genom att finnas i verksamhetens system för att visas upp för mottagaren under den tid som denne nyttjar tillgångstjänsten eller, vad avser it-funktionerna, för att överföra information till mottagare. Det saknas anledning att ange en exakt tidsgräns utan det får anses var tillräckligt att föreskriva att gallring ska ske så fort ändamålet med den pågående tillgången till hälsodata har slutförts och det därmed inte längre finns någon anledning att bevara uppgifterna.

Författningsförslag:

3 kap. 8 och 9 §§ i den nya lagen om nationell infrastruktur för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet

9.13 Det saknas behov att införa sökbegränsningar och särskild reglering av finalitetsprincipen

Utredningens bedömning: Det finns inget behov av bestämmelser om sökbegränsningar i den nya lagen om nationell infrastruktur och tjänster för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet. EU:s dataskyddsförordnings bestämmelser om finalitetsprincipen är direkt tillämpliga vid en statlig myndighet

355

som ansvarar för personuppgiftsbehandling inom den statliga nationella digitala infrastrukturen.

Skälen för utredningens bedömning

Frågan om på vilket sätt personuppgifter kan sammanställas anses ofta som en viktig fråga ur integritetssynpunkt. Ju större möjligheter till sammanställning av uppgifter om enskilda, särskilt om sammanställningarna kommer från olika register eller olika områden, desto större blir riskerna för otillbörliga intrång i de enskildas integritet. De personuppgifter som kommer att behandlas inom ramen för den nationella digitala infrastrukturen innehåller inte detaljer eller uppgifter som möjliggör sammanställning av integritetskänsliga personuppgifter. De funktioner som kommer att behandla klinisk data kommer behandla hälsodata endast under korta tidsperioder när informationen överförs och dessa uppgifter kommer sedan att gallras. De mer permanenta register som föreslås inrättas kommer i stor utsträckning, även om de utgör personuppgifter, vara av mer teknisk karaktär utan någon större detaljrikedom. Utredningen noterar också att den så kallade finalitetsprincipen (se nedan) är tillämplig på alla behandlade personuppgifter vilket innebär att de inte får vidarebehandlas för ett ändamål som är oförenligt med det ursprungliga ändamålet vilken även det innebär ett visst skydd mot nya behandlingar. Utredningen bedömer sammantaget att det inte finns något behov att införa regler om förbud mot sökbegrepp eller liknande begräsningar.

Finalitetsprincipen

Enligt artikel 5.1 b i EU:s dataskyddsförordning ska personuppgifter samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. Det sistnämnda ledet ger uttryck för finalitetsprincipen. Principen kommer även till uttryck i artikel 6.4, där det bland annat anges vad som i vissa fall ska beaktas vid en bedömning av om en behandling för andra ändamål är förenlig med de ändamål för vilka

356

personuppgifterna ursprungligen samlades in. Finalitetsprincipen bör utgöra den yttersta ramen inom vilken personuppgifter får behandlas på EU:s dataskyddsförordnings område enligt den nya lagen om nationell infrastruktur och tjänster för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet. EU:s dataskyddsförordnings bestämmelser om finalitetsprincipen är direkt tillämpliga vid en statlig myndighet som ansvarar för personuppgiftsbehandling inom den nationella digitala infrastrukturen. Utredningen föreslår därför inte någon sådan bestämmelse.

9.14 Tillgången till personuppgifter inom ansvarig myndighet ska begränsas och kontrolleras

Utredningens förslag: Tillgången till personuppgifter inom den ansvariga myndighetens verksamhet ska begränsas till det som var och en behöver för att kunna fullgöra sina arbetsuppgifter. Åtkomsten till personuppgifter ska kontrolleras och följas upp. Det ska föras in en ny bestämmelse i den nya lagen om nationell infrastruktur för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet där detta framgår.

Skälen för utredningens förslag

EU:s dataskyddsförordning innehåller inte någon uttrycklig bestämmelse som begränsar tillgången till personuppgifter. I artikel 5.1 c uttrycks dock den grundläggande principen att personuppgifter som behandlas ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (principen om uppgiftsminimering). Enligt artikel 25.2 ska den personuppgiftsansvarige också genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa att endast personuppgifter som är nödvändiga för varje specifikt ändamål med

357

behandlingen behandlas. Den skyldigheten gäller mängden insamlade personuppgifter, behandlingens omfattning, tiden för deras lagring och deras tillgänglighet. Framför allt ska dessa åtgärder säkerställa att personuppgifter i standardfallet inte utan den enskildes medverkan görs tillgängliga för ett obegränsat antal fysiska personer. Möjligheten till spridning av personuppgifterna har stor betydelse vid en bedömning av integritetsriskerna med behandlingen. Om uppgifter sprids ökar det risken för att uppgifterna används på ett sätt som inte är avsett. Utan en begränsning av spridningen av personuppgifterna kan också personuppgiftsbehandling komma att genomföras som det inte finns behov av. Skyldigheten för personuppgiftsansvariga att på olika sätt begränsa tillgången till personuppgifter följer av EU:s dataskyddsförordning. Det har därför i en del lagstiftningsärenden bedömts inte finnas skäl att införa ytterligare krav i lag. 185 Vissa författningar innehåller dock bestämmelser som reglerar tillgången till personuppgifter. Bestämmelser av detta slag anses utgöra en sådan specificering som enligt artikel 6.2 och 6.3 i EU:s dataskyddsförordning är tillåten i nationell rätt. Som exempel på sådan reglering kan nämnas 2 kap. 5 § lagen (2020:421) om Rättsmedicinalverkets behandling av personuppgifter, enligt vilken tillgången till personuppgifter ska begränsas till det som var och en behöver för att kunna fullgöra sina arbetsuppgifter. För skyddet av den personliga integriteten är det viktigt att det vid E-hälsomyndigheten eller annan ansvarig myndighet säkerställs att personuppgifter i verksamheten endast görs tillgängliga för de medarbetare som behöver uppgifterna i sitt arbete. En bestämmelse med en sådan innebörd bör därför enligt utredningens mening införas i den nya lagen om nationell infrastruktur för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet. Enligt utredningen finns det skäl att ställa ytterligare krav på ansvarig myndighet i fråga om tillgången till personuppgifter. Utredningen föreslår därför också att det i lagen anges att åtkomsten till personuppgifter ska kontrolleras och följas upp regelbundet. Ett krav i lag på att åtkomsten ska kontrolleras utgör ännu en skyddsåtgärd i syfte att minska intrånget i enskildas personliga

185 jfr prop. 2019/20:166 s. 125 och prop. 2021/22:217 s. 53.

358

integritet. Liknande regleringar finns även i andra registerförfattningar, se till exempel 9 § andra stycket studiestödsdatalagen. Det bör vara upp till myndigheten att närmare bestämma formerna för kontrollen. Sådana kontroller bör dock genomföras systematiskt och återkommande och inte endast om myndigheten av någon orsak har fått anledning att misstänka att obehörig åtkomst har förekommit. Kontroll kan till exempel göras genom uppföljning av loggar. Det kan hävdas att en skyldighet att regelbundet kontrollera och följa upp åtkomsten av personuppgifter redan följer av EU:s dataskyddsförordning eller att det är en reglering som kan införas på förordningsnivå. I enlighet med vad som ovan anförs anser utredningen att det finns skäl att ställa mer 186 övergripande krav på ansvarig myndighet i lag. Det kan finnas skäl att ställa ytterligare krav på ansvarig myndighet avseende tillgången till personuppgifter. Det kan till exempel röra myndighetens rutiner för tilldelning av behörigheter för åtkomst till personuppgifter eller loggning därav. Det kan även handla om krav på att den som vid myndigheten utför arbetsuppgifter som innefattar behandling av personuppgifter ska genomgå utbildning. Utredningen bedömer att det i sådant fall är tillräckligt att sådana krav införs i förordning.

Författningsförslag:

3 kap. 7 § i den nya lagen om nationell infrastruktur för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet

9.15 Formen för utlämnande av personuppgifter i den nationella digitala infrastrukturen

Utredningens förslag: Den ansvariga myndigheten ska få lämna ut uppgifter genom elektroniskt utlämnande, dock inte genom direktåtkomst. En bestämmelse om detta ska föras in i den föreslagna lagen om nationell infrastruktur för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet.

186 Jämför även regeringens proposition Utbetalningsmyndigheten (prop. 2022/23:34), s. 136.

359

Skälen för utredningens förslag

En myndighet ska, enligt den nya föreslagna lagen om en nationell infrastruktur för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet, ansvara för att tillhandahålla och administrera en infrastruktur för elektroniskt informationsutbyte (se kap. 8). Myndigheten ska möjliggöra att det elektroniska informationsutbyte av personuppgifter kan genomföras på ett säkert och effektivt sätt genom att dels ansvara för att tillhandahålla nödvändiga it-funktioner samt föra de register som krävs, dels genom att till vårdgivare lämna ut uppgifter som behandlas i itfunktionerna och registerna. Myndigheten ska vidare vara skyldig att tillgängliggöra uppgifter som behandlas i de register och itfunktioner som är nödvändiga för att uppnå syftet med den avsedda nationella infrastrukturen. Det framgår av E-hälsomyndighetens rapport 187 att uppgifter inom ramen för den nationella digitala infrastrukturen ska lämnas ut med hjälp av API:er. Tekniken för utlämnande kan enligt myndigheten komma att ändras i takt med att tekniken utvecklas. E-hälsomyndigheten har därför framhållit att det inte bör regleras i exakt vilken teknik som ska användas för utlämnande när detta görs elektroniskt och att lagstiftningen ska vara teknikneutral. I EU:s dataskyddsförordning finns inga särskilda bestämmelser som reglerar olika former eller tekniker för utlämnande av personuppgifter. Däremot finns det bestämmelser som har betydelse för de frågor som uppkommer i relation till elektroniskt utlämnande både genom direktåtkomst och genom andra tekniska lösningar, särskilt avseende frågor om teknisk och organisatorisk säkerhet vid behandlingen och om inbyggt dataskydd och dataskydd som standard. Inte heller dataskyddslagen innehåller några bestämmelser som direkt reglerar uppgiftslämnande från en myndighet till en extern part. Det finns heller inga bestämmelser om de olika formerna för sådant utlämnande. 188 Som utredningen tidigare redogjort för betraktas direktåtkomst som en mer integritetskänslig form av elektroniskt utlämnande. Direktåtkomst innebär att samtliga informationsmängder som

187 E-hälsomyndigheten (2025). Genomförandet av en nationell digital infrastruktur för hälsooch sjukvård och EHDS primäranvändning, dnr 2024/03223 188 Även i avsnitt 5.2 har utredningen redogjort för de olika formerna av utlämnande.

360

tillgängliggörs anses utlämnade till den myndighet som uppgifterna gjort tillgängliga för. Det uppstår därmed överskottsinformation i form av de uppgifter som faktiskt betraktas som utlämnande, men som den mottagande myndigheten i praktiken aldrig kommer att behandla. Direktåtkomst är en form av tillgängliggörande som introducerades genom PDL och innebär att den mottagande myndigheten ges en möjlighet att ”logga in” in i den ansvariga myndighets system och där eftersöka den information som myndigheten bedömer sig behöva för tillfället, utifrån de regler som styr den individuella åtkomsten. Senare har de kommit att ifrågasättas om direktåtkomst som alltid föregås av en fråga-svar funktionalitet och där sekretessen inte kommer innebära något hinder mot utlämnandet verkligen innebär någon praktisk skillnad jämfört med ett annat elektroniskt utlämnande och som sådant en mindre integritetskänslig form av utlämnande. EU:s dataskyddsförordning innehåller inte några uttryckliga bestämmelser om elektroniskt utlämnande av personuppgifter. Det gör inte heller dataskyddslagen. Något generellt hinder mot sådant utlämnande finns alltså inte. Av artikel 6.3 i EU:s dataskyddsförordningen framgår dock att den rättsliga grunden, som ska fastställas i unionsrätten eller medlemsstaternas nationella rätt, kan innehålla särskilda bestämmelser för att anpassa tillämpningen av bestämmelserna i förordningen, bland annat vad gäller typer av behandling och förfaranden för behandling. Elektroniskt utlämnande av personuppgifter utgör en form av behandling och det är alltså möjligt att i nationell rätt införa regler som preciserar förutsättningarna för sådant utlämnande. Utredningen anser att det inte framkommit tillräckliga skäl som gör det nödvändigt att möjliggöra ett utlämnande av uppgifter genom direktåtkomst vad gäller de it-funktioner och register som E-hälsomyndigheten ska tillhandahålla respektive ansvara för. Mot bakgrund av att uppgifterna därtill utgörs av känsliga personuppgifter i stora mängder som potentiellt omfattar hela befolkningen bedömer utredningen att det är tillräckligt med ett elektroniskt utlämnande som inte innebär någon direktåtkomst och att sådan direktåtkomst alltså inte ska tillåtas vad avser dessa informationsmängder. Det väsentliga är att utlämnandet görs på ett

361

säkert sätt och i övrigt enligt den allmänna dataskyddsregleringen. Den enskilde får ett tillräckligt skydd genom artikel 32 i EU:s dataskyddsförordning, den allmänna regleringen i övrigt och sekretessregleringen. Utredningen föreslår därför att en bestämmelse införs om att uppgifter från de register och it-funktioner som ingår i den nationella infrastrukturen för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet ska lämnas ut elektroniskt, dock inte genom direktåtkomst.

Författningsförslag

3 kap. 6 § förslag till lag om nationell infrastruktur för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet

9.16 Nya upplysningsbestämmelser med hänvisning till EHDS-förordningens bestämmelser om behandling av personuppgifter införs

Utredningens förslag: I patientdatalagen, apoteksdatalagen och lagen om nationell läkemedelslista införs upplysningsbestämmelser med hänvisning till EHDSförordningens bestämmelser om behandling av personuppgifter.

Skälen för utredningens förslag

Utredningen lämnar ett antal förslag till nya eller ändrade författningar som reglerar olika aspekter av aktörernas personuppgiftsansvar i patientdatalagen (2008:355) (PDL), lagen (2022:913) om sammanhållen vård- och omsorgsdokumentation (SVOD) och lag (2018:1212) om nationell läkemedelslista (NLL) samt ett förslag till en ny lag om nationell infrastruktur för elektroniskt informationsutbyte på hälso- och sjukvårdsområde. I detta avsnitt redogör utredningen för befintliga författningar om vårdgivares och apoteks personuppgiftsansvar och några av utredningens förslag till ändringar om vissa delar av personuppgiftsansvaret.

362

Nya och ändrade bestämmelser i patientdatalagen

I 1 kap. 4 § PDL finns en upplysningsbestämmelse om lagens förhållande till annan reglering om dataskydd och personuppgiftsbehandling. Utredningen anser att det finns anledning att i PDL som reglerar personuppgiftsbehandling inom hälso- och sjukvården upplysa om att det i EHDS-förordningen finns ytterligare bestämmelser inom detta område. Utredningen föreslår därför att det i paragrafen ska införas en hänvisning även till EHDS-förordningen.

Författningsförslag

1 kap. 4 § patientdatalagen

Ändrade bestämmelser i apoteksdatalagen

I 5 § apoteksdatalagen finns en upplysningsbestämmelse om lagens förhållande till annan reglering om dataskydd och personuppgiftsbehandling. Utredningen anser att det finns anledning att i apoteksdatalagen som reglerar personuppgiftsbehandling hos öppenvårdsapotekens detaljhandel upplysa om att det i EHDS-förordningen finns ytterligare bestämmelser inom detta område. Utredningen föreslår därför att det i paragrafen ska införas en upplysning om EHDS-förordningen

Författningsförslag

5 § apoteksdatalagen

Nya och ändrade bestämmelser i lagen om nationell läkemedelslista

I 2 kap. 4 § NLL finns en upplysningsbestämmelse om lagens förhållande till annan reglering om dataskydd och personuppgiftsbehandling. Utredningen anser att det finns anledning att i NLL som reglerar E-hälsomyndighetens personuppgiftsbehandling i den nationella läkemedelslistan upplysa om att det i EHDS-förordningen finns ytterligare bestämmelser

363

inom detta område. Utredningen föreslår därför att det i paragrafen ska införas en hänvisning även till EHDS-förordningen.

Författningsförslag

2 kap. 4 § NLL

9.17 Behandling av personuppgifter när enskild har motsatt sig tillgängliggörande (opt-out)

Utredningens förslag: Det ska i patientdatalagen införas ett undantag från huvudregeln om att behandling av personuppgifter är tillåten även om den enskilde motsätter sig det. Patientens rätt motsätta sig behandling av personuppgifter genom opt-out ska utgöra ett undantag från huvudregeln.

Skälen för utredningens förslag

Behandling av personuppgifter i patientdatalagen är som regel tillåten även om den enskilde motsätter sig den men med vissa undantag (2 kap. 2 § PDL). Utredningen har i 7 kap. föreslagit att patienten ska ha möjlighet att helt motsätta sig att hans eller hennes hälsodata tillgängliggörs för andra vårdgivare (s.k. opt-out) genom elektroniskt informationsutbyte. Denna möjlighet att motsätta sig genom opt-out ska utgöra ett undantag från huvudregeln att behandlingen ska vara tillåten även om patienten motsätter sig det. Utredningen föreslår därför en sådan ändring av bestämmelsen.

Författningsförslag

2 kap. 2 § 2 PDL

364

9.18 Personuppgiftsansvar vid annat elektroniskt utlämnande

Utredningens förslag: Det ska i patientdatalagen införas reglering om personuppgiftsansvaret inte bara vid direktåtkomst utan även sådan behandling av personuppgifter som utförs när någon, genom annat elektroniskt utlämnande , i ett enskilt fall får tillgång till personuppgifter om en patient hos en annan vårdgivare eller myndighet.

Skälen för utredningens förslag

En vårdgivare som genom direktåtkomst har tillgång till personuppgifter hos andra vårdgivare för att söka efter eller läsa vårddokumentation blir personuppgiftsansvarig för den personuppgiftsbehandling som detta innebär (2 kap. 6 § andra stycket PDL). Detta hänger samman med att begreppet behandling av personuppgifter infattar alla åtgärder som vidtas beträffande personuppgifter. Vid hantering av personuppgifter i elektronisk form omfattas därmed varje åtgärd som vidtas av vårdgivaren i fråga om en personuppgift, även att endast ha sådan tillgång som avses med direktåtkomst. Bestämmelsen har förts in som ett klargörande av principen i 2 kap. 6 § första stycket PDL. 189 Den har betydelse främst i fråga om sådan åtkomst som förekommer vid sammanhållen vård- och omsorgsdokumentation. I 7 kap. PDL och i 4 kap. 1 § SVOD finns särskilda bestämmelser om personuppgiftsansvar. När dessa bestämmelser infördes i SVOD tillades annat elektroniskt utlämnade till regleringen vid sidan av direktåtkomst. Utredningen föreslår därför nu, när regleringen om elektroniskt informationsutbyte mellan vårdgivare införs i PDL, att den bestämmelse som alltså finns i SVOD, införs även i PDL, dvs. att vårdgivaren är personuppgiftsansvarig när vårdgivaren genom, inte bara direktåtkomst, utan även annat elektroniskt utlämnande i ett enskilt fall får tillgång till personuppgifter om en patient hos en annan vårdgivare.

189 Prop. 2007/08:126 s. 61 f. och 230.

365

Författningsförslag

2 kap. 6 § PDL

9.19 Personuppgiftsansvar avseende säkerhetsåtgärder vid elektroniskt informationsutbyte

Utredningens förslag: Det ska i patientdatalagen införas reglering om att regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om vem som ska ha personuppgiftsansvar för övergripande frågor om tekniska och organisatoriska säkerhetsåtgärder vid elektroniskt informationsutbyte mot bakgrund av att bestämmelserna om elektroniskt informationsutbyte numera regleras i patientdatalagen.

Skälen för utredningens förslag

I SVOD finns en bestämmelse om att regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om vem som ska ha personuppgiftsansvar för övergripande frågor om tekniska och organisatoriska säkerhetsåtgärder vid sammanhållen vård och omsorgsdokumentation, dvs. personuppgiftsbehandling över organisationsgränser. Utredningen bedömer att behovet av att ha ett sådant bemyndigande inte har förändrats. Eftersom utredningen föreslår att reglerna i SVOD kring direktåtkomst mellan vårdgivare flyttas till PDL och där regleras som elektroniskt informationsutbyte bör även en motsvarande bestämmelse om föreskriftsförordnande finns i PDL. Utredningen föreslår att det förs in en ny bestämmelse i 6 kap. 11 § PDL om att regeringen eller den myndighet regeringen bestämmer får meddela föreskrifter om vem som ska ha personuppgiftsansvar för övergripande frågor om

366

teknisk och organisatoriska säkerhetsåtgärder vid vårdgivare elektroniska tillgängliggörande.

Författningsförslag

6 kap. 11 § PDL

9.20 Följdändringar i SVOD om personuppgiftsansvar

Utredningens förslag: Utredningen föreslår följdändringar i lagen om sammanhållen vård- och omsorgsdokumentation om personuppgiftsansvaret vid direktåtkomst mot bakgrund av att dessa regler nu föreslås införas i patientdatalagen.

Skälen för utredningens förslag

I 4 kap. 1 § SVOD finns en bestämmelse om att personuppgiftsansvaret omfattar även sådan behandling av personuppgifter som utförs när någon genom direktåtkomst eller annat elektroniskt utlämnande i ett enskilt fall bereder sig tillgång till personuppgifter hos en annan vårdgivare eller omsorgsgivare. Motsvarande bestämmelse finns i 2 kap. 6 § 2 st. PDL men omfattar där endast direktåtkomst. Eftersom utredningen föreslår att reglerna i SVOD om direktåtkomst mellan vårdgivare flyttas till PDL bör regeln om personuppgiftsansvar motsvara den regeln som tidigare fanns i SVOD. Utredningen har ovan föreslagit att införande av bestämmelse personuppgiftsansvar utpekas även vid annat elektroniskt utlämnade i PDL. Vidare ska SVOD ändras så att den enbart avser direktåtkomst eller annat elektroniskt utlämnande enligt reglerna som kvarstår i SVOD, dvs. åtkomst mellan omsorgsgivare och mellan omsorgsgivare och vårdgivare. Utredningen föreslår därför sådan ändring i SVOD.

367

Författningsförslag

4 kap. 1 § SVOD

9.21 Bevarandeskyldighet när uppgifter är tillgängliga för flera vårdgivare

Utredningens förslag: Det ska i patientdatalagen införas reglering om att skyldigheten att bevara uppgifter endast faller på den vårdgivare som ansvarar för uppgiften även om de är tillgängliga för fler.

Skälen för utredningens förslag

I SVOD finns en bestämmelse om att endast den vårdgivare eller omsorgsgivare som ansvarar för uppgiften är skyldig att bevara den när den är tillgänglig för flera olika vårdgivare eller omsorgsgivare. Mot bakgrund av att utredningen föreslagit att bestämmelserna om att elektroniskt informationsutbyte mellan vårdgivare ska regleras i PDL ska där också införas en liknande bestämmelse vad avser vårdgivare.

Författningsförslag

6 kap. 12 § PDL

368

10 Ändringar i offentlighets- och sekretesslagen

10.1 Sekretessbrytande bestämmelser för utbyte av hälsodata mellan vårdgivare

Utredningens förslag: Nya sekretessbrytande bestämmelser ska föras in i offentlighets- och sekretesslagen för att offentliga vårdgivare, utan hinder av sekretess, ska kunna lämna uppgifter till – offentliga och enskilda (privata) vårdgivare i enlighet med föreslagna bestämmelser om vårdgivares elektroniska informationsutbyte i 6 kap. patientdatalagen, och – den myndighet som ansvarar för den statliga tillgångstjänsten för hälso- och sjukvårdspersonal enligt den föreslagna lagen om nationell infrastruktur och tjänster för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet.

Bestämmelsen i 25 kap. 11 § tredje punkten offentlighets- och sekretesslagen ska inte längre omfatta vårdgivares verksamhet.

369

Skälen för utredningens förslag

Sekretess gäller som utgångspunkt för uppgifter inom hälso- och sjukvård och annan medicinsk verksamhet

I offentlig hälso- och sjukvård och annan medicinsk verksamhet gäller sekretess för uppgift om patienters hälsotillstånd eller andra personliga förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men (25 kap. 1 § offentlighets- och sekretesslagen (2009:400), härefter OSL). Sekretess gäller som huvudregel både i förhållande till enskilda och andra myndigheter (8 kap. 1 § OSL). Sekretess kan även gälla mellan olika verksamhetsgrenar inom en myndighet, när dessa är att betrakta som självständiga i förhållande till varandra (8 kap. 2 § OSL). Uppgifter som omfattas av sekretess får inte röjas, genom att exempelvis lämnas ut till någon annan, förutom i vissa fall som måste framgå i OSL eller lag eller förordning som OSL hänvisar till (8 kap. 1 § OSL). Uppgifter får till exempel lämnas ut om en patient samtycker till det (10 kap. 1 § OSL), om uppgiftsskyldighet till annan myndighet anges i lag eller förordning (10 kap. 28 § OSL), eller om det finns någon annan sekretessbrytande bestämmelse i OSL (t.ex. 25 kap. 11 §). För personal som arbetar i den privata hälso- och sjukvården, inklusive apotekspersonal, gäller i stället bestämmelser om tystnadsplikt. Det innebär att en personal inte obehörigen får röja vad han eller hon i verksamheten fått veta om en enskilds hälsotillstånd eller personliga förhållanden (6 kap. 12 och 13 §§ patientsäkerhetslagen [2010:659], PSL, och 2 kap. 10 c § lagen [2009:366] om handel med läkemedel). Av 6 kap. 12 § PSL följer dock att det inte anses vara ett obehörigt röjande att någon fullgör sådan uppgiftsskyldighet som följer av lag eller förordning. Av förarbetsuttalanden framgår att vid tolkning av vad som ska anses vara ett obehörigt röjande enligt PSL ska ledning sökas i bestämmelserna i OSL. Enskilda vårdgivare och omsorgsgivare kan, enligt vad regeringen anförde i förarbetena till SVOD, trots reglerna om tystnadsplikt lämna ut uppgifter med stöd av

370

förarbetsuttalandena om att utlämnande från en enskild vårdgivare eller omsorgsgivare inte är att anse som ett obehörigt utlämnande om det sker i överensstämmelse med motsvarande regler i offentlighets- och sekretesslagen för offentliga vårdgivare och omsorgsgivare. 190

Utredningens förslag om obligatoriskt och frivilligt tillgängliggörande av hälsodata förutsätter nya och ändrade sekretessbrytande bestämmelser

Frivilligt utbyte av hälsodata regleras i lagen (2022:913) om sammanhållen vård- och omsorgsdokumentation (SVOD). För att möjliggöra ifrågavarande utbyte finns i 25 kap. 11 § tredje punkten OSL en sekretessbrytande bestämmelse som innebär att hälso- och sjukvårdssekretess inte hindrar att uppgift lämnas till vård- eller omsorgsgivare enligt bestämmelserna i SVOD. Utredningens förslag innebär att det blir obligatoriskt för vårdgivare att genom direktåtkomst eller annat elektroniskt utlämnande ge andra vårdgivare tillgång till prioriterade kategorier av elektroniska hälsodata, dvs. uppgifter som följer av artikel 14 i EHDS-förordningen, om dessa behandlas i elektronisk form och för vårdändamål. Därutöver innebär förslagen att vårdgivare ska vara skyldiga att tillgängliggöra vissa ytterligare uppgifter om en patient som behövs för en effektiv och säker vård och som har ett nationellt fastställt format (se avsnitt 5.2 och 5.3) . Bestämmelserna införs i ett nytt 6 kap. PDL (3 och 4 §§) och befintliga bestämmelser om frivilligt utbyte mellan vårdgivare utmönstras samtidigt ur SVOD (se avsnitt 5.9). De nya kraven på obligatoriskt tillgängliggörande innebär en författningsreglerad uppgiftsskyldighet för vårdgivare vilken, för informationsutbytet mellan offentliga aktörer, har sekretessbrytande verkan på det sätt som avses i 10 kap. 28 § OSL. Den angivna bestämmelsen i OSL är som framgått emellertid endast tillämplig vid uppgiftslämnande myndigheter sinsemellan. Det obligatoriska informationsutbyte som, till följd av de nya bestämmelserna i 6 kap. PDL, ska ske mellan offentliga och privata

190 Se prop. 2021/22:177, s. 158 samt där gjord hänvisning till prop. 1980/81:28 s. 23.

371

vårdgivare förutsätter därför att en sekretessbrytande bestämmelse införs. Utöver krav om obligatoriskt tillgängliggörande föreslår utredningen att det, under vissa förutsättningar, ska vara möjligt för vårdgivare att frivilligt utbyta hälsodata sinsemellan (se avsnitt 5.4 och 6 kap. 5 § PDL). Eftersom ett sådant frivilligt utbyte inte medför någon författningsreglerad uppgiftsskyldighet för vårdgivare krävs en bestämmelse som bryter hälso- och sjukvårdssekretessen hos den utlämnande vårdgivaren, vilket gäller för såväl offentliga som enskilda (privata) vårdgivare. Vidare föreslår utredningen att vårdgivare på begäran, och i förekommande fall, ska eller får tillgängliggöra motsvarande uppgiftsmängder som ovan redogjorts för till den myndighet som ansvarar för den statliga tillgångstjänsten för hälso- och sjukvårdspersonal enligt lagen om nationell infrastruktur för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet (se 191 avsnitt 6.2.2 och 6 kap. 8 § första stycket PDL). För de uppgifter som (enligt 6 kap. 5 § PDL) därmed får lämnas till den ansvariga myndigheten krävs en sekretessbrytande bestämmelse för att möjliggöra uppgiftslämnandet från en offentlig vårdgivare till den ansvariga myndigheten. För uppgifter som (enligt 6 kap. 3 och 4 §§ PDL) i stället ska lämnas till den ansvariga myndigheten blir 10 kap 28 § OSL tillämplig. Slutligen ska vårdgivare vara skyldiga att till en nationell kontaktpunkt lämna uppgifter som utgör prioriterade kategorier av hälsodata enligt artikel 14 i EHDS-förordningen. 192 Eftersom den skyldigheten endast avser uppgifter som (enligt 6 kap. 3 § PDL) ska tillgängliggöras får uppgiftsskyldigheten, med stöd av 10 kap. 28 § OSL, en sekretessbrytande verkan. Det anförda innebär sammanfattningsvis att utredningens förslag om såväl obligatoriskt som frivilligt tillgängliggörande av hälsodata kräver nya sekretessbrytande bestämmelser. Utredningen föreslår att bestämmelserna förs in som nya punkter (fyra och fem) i 25 kap. 11 § OSL.

191 Krav om att inrättande av en statlig tillgångstjänst för hälso- och sjukvårdspersonal framgår av artikel 12 i EHDS-förordningen. 192 Krav om att inrättande av en nationell kontaktpunkt framgår av i artikel 23 i EHDSförordningen.

372

Eftersom utredningens förslag innebär att SVOD inte längre ska omfatta vårdgivares utbyte av hälsodata sinsemellan ska 25 kap. 11 § tredje punkten ändras till att endast omfatta en myndighet som bedriver verksamhet som avses i 26 kap. 1 § eller en enskild omsorgsgivare.

Författningsförslag

Förslag till ändrad lydelse i 25 kap. 11 § 3 p. och nya bestämmelser i 25 kap. 11 § 4–5 p. offentlighets- och sekretesslag (2009:400).

10.2 Sekretessbrytande bestämmelser för Ehälsomyndighetens tillgängliggörande av elektroniska hälsodata

Utredningens förslag: Nya sekretessbrytande bestämmelser ska föras in i offentlighets- och sekretesslagen för att Ehälsomyndigheten, utan hinder av sekretess, ska kunna: – lämna uppgifter till enskilda (privata) vårdgivare i enlighet med föreslagna bestämmelser om uppgiftsskyldighet för en ansvarig myndighet i den föreslagna lagen om nationell infrastruktur och tjänster för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet, och – göra uppgifter elektroniskt tillgängliga för enskilda (privata) vårdgivare i den statliga tillgångstjänsten enligt den föreslagna lagen om nationell infrastruktur och tjänster för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet .

Skälen för utredningens förslag

I kapitel 8 lämnar utredningen förslag om en ny lag om nationell infrastruktur och tjänster för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet. Av lagen föreslås framgå att en statlig myndighet (ansvarig myndighet) ska ansvara för att föra nödvändiga register och tillhandahålla de it-funktioner som krävs för att möjliggöra ett obligatoriskt informationsutbyte enligt 6 kap. PDL

373

(se 2 kap. 2 § i den föreslagna lagen). Den ansvariga myndigheten ska, i elektronisk form, till offentliga och enskilda (privata) vårdgivare tillhandahålla uppgifter som behandlas i registren och itfunktionerna (3 §). Vidare föreskrivs i den nya lagen att en ansvarig myndighet ska tillhandahålla en tillgångstjänst för hälso- och sjukvårdspersonal som ska säkerställa att personalen har tillgång till hälsodata som tillgängliggörs enligt ovan redovisade bestämmelser i 6 kap. PDL (4 §). Enligt utredningens bedömning innebär tillgångstjänstens funktionalitet i sig en uppgiftsskyldighet eftersom den ansvariga myndigheten ska tillhandahålla vårdgivare uppgifter som omfattas av bestämmelserna i 6 kap. PDL, genom att visa upp dem i tillgångstjänsten (se vidare i avsnitt 6.2.2). Av en till lagen anslutande förordning föreslås framgå att E-hälsomyndigheten ska vara den ansvariga myndigheten (se avsnitt 8.3 och 6.2.2) Genom bestämmelserna i den föreslagna lagen införs, som framgått, en skyldighet för den ansvariga myndigheten (Ehälsomyndigheten) att dels från sina register och it-funktioner, dels via tillgångstjänsten lämna ut uppgifter till offentliga och privata aktörer. För myndighetens utlämnande av uppgifter till offentliga vårdgivare gäller, på samma sätt som för vårdgivare sinsemellan, att uppgiftsskyldigheten har en sekretessbrytande verkan på sätt som framgår av 10 kap. 28 § OSL. För utlämnande till privata aktörer krävs däremot en särskild sekretessbrytande bestämmelse för att den ansvariga myndigheten ska kunna fullgöra sin uppgiftsskyldighet i enlighet med bestämmelserna i den nya lagen. Utgångpunkten är alltså att E-hälsomyndigheten ska vara den ansvariga myndigheten. Sekretess gäller hos E-hälsomyndigheten för uppgift om enskilds hälsotillstånd eller andra personliga förhållanden samt för enskilds affärs- eller driftsförhållanden (25 kap. 17 a och b §§ OSL). I 25 kap. 17 c § finns bestämmelser som tillåter E-hälsomyndigheten att utan hinder av sekretess lämna ut vissa särskilt angivna uppgifter. Däremot saknas det bestämmelser i OSL eller annan författning som gör det möjligt för Ehälsomyndigheten att lämna ut sekretessbelagda uppgifter till vårdgivare, som inte är myndigheter. Utredningen föreslår därför att nya sekretessbrytande bestämmelser förs in i 25 kap. 17 c § OSL.

374

Således föreslår utredningen att det, för att E-hälsomyndigheten i egenskap av ansvarig myndighet ska kunna lämna ut nödvändiga uppgifter, införs en ny fjärde punkt i 25 kap. 7 c § OSL av vilken det ska framgå att hälso- och sjukvårdssekretessen hos E-hälsomyndigheten inte hindrar att uppgifter från myndighetens register och it-funktioner lämnas till vårdgivare som har anslutit sina system för elektronisk journalföring till dessa (se 2 kap. 2 och 3 §§ i den föreslagna nya lagen). Av en ny femte punkt förslås framgå att hälso- och sjukvårdssekretessen hos E-hälsomyndigheten inte heller ska hindra att uppgifter görs elektroniskt tillgängliga i den statliga tillgångstjänsten för enskilda vårdgivare som får använda den (2 kap. 4 § i den föreslagna nya lagen).

Författningsförslag

Förslag till nya bestämmelser i 25 kap. 17 c § fjärde och femte punkten offentlighets- och sekretesslag (2009:400).

10.3 Absolut sekretess ska gälla för uppgifter som är potentiellt tillgängliga för en vårdgivare

Utredningens förslag: En ny sekretessbestämmelse motsvarande den i 25 kap. 2 § offentlighets- och sekretesslagen ska, med nödvändiga anpassningar, föras in i samma lag för att tillgodose behovet av absolut sekretess för uppgifter som gjorts tillgängliga av en vårdgivare i enlighet med föreslagna nya bestämmelser i 6 kap. patientdatalagen. Bestämmelsen i 25 kap. 2 § offentlighets- och sekretesslagen ska ändras till att endast omfatta uppgifter som gjorts tillgängliga av en omsorgsgivare enligt lagen om sammanhållen vård- och omsorgsdokumentation. I konsekvens därmed ska i paragrafen hänvisade lagrum justeras och lydelsen i 26 kap. 1 a § offentlighets- och sekretesslagen anpassas för att inte längre avse tillgängliggörande vårdgivare sinsemellan.

375

Skälen för utredningens förslag

Enligt 25 kap. 2 § offentlighets- och sekretesslagen (2009:400) gäller absolut sekretess hos en myndighet som bedriver hälso- och sjukvård för uppgift om en enskilds personliga förhållanden som gjorts tillgänglig av en annan vårdgivare eller omsorgsgivare enligt bestämmelserna om sammanhållen vård- och omsorgsdokumentation i SVOD. Absolut sekretess innebär att uppgifter inte får lämnas ut oavsett om ett utlämnade skulle innebära skada eller inte. Det krävs alltså inte att någon skadeprövning görs. Som inledningsvis framgått (avsnitt 10.1) har utredningen föreslagit att bestämmelser om tillgängliggörande av hälsodata vårdgivare sinsemellan ska utmönstras från SVOD och införas i ett nytt 6 kap. PDL (se avsnitt 5.9). Utredningen gör bedömningen att det, på samma sätt som nu gäller, finns ett behov av bestämmelser om absolut sekretess när en offentlig vårdgivare får tillgång till andra vårdgivares uppgifter genom direktåtkomst med stöd av de bestämmelser som vi föreslår 193 i 6 kap. PDL, (se kap. 5). Enlig utredningen motiverar införandet av bestämmelser om obligatoriskt tillgängliggörande i 6 kap. PDL, till skillnad från nuvarande frivilliga utbyte enligt SVOD, inte någon annan bedömning. Utredningen föreslår därför att en motsvarande bestämmelse om absolut sekretess som nu gäller för sammanhållen vård- och omsorgsdokumentation införs i en ny 25 kap. 2 a § OSL. För att det tydligt ska framgå att bestämmelsen avser informationsutbyte vårdgivare sinsemellan bör en ny rubrik införas direkt före bestämmelsen. Till följd av utredningens förslag om ändringar i SVOD ska 25 kap. 2 § OSL endast omfatta uppgifter som gjorts tillgängliga av en omsorgsgivare. I konsekvens därmed ska hänvisade lagrum i paragrafens första och andra stycke justeras till att endast avse 3 kap. 1 eller 3 § samt lydelsen i 26 kap. 1 a § offentlighets- och sekretesslagen anpassas för att inte längre avse tillgängliggörande vårdgivare sinsemellan.

193 Prop. 2007/08:126, s 269 ff. och prop. 2021/22:177, s. 158 ff. I delbetänkandet från Utredningen om sammanhållen information inom vård och omsorg (SOU 2021:4 , s. 617 ff.) finns en utförlig redogörelse för behovet av absolut sekretess för potentiellt tillgängliga uppgifter vid direktåtkomst eller annat elektroniskt utlämnande.

376

Av 25 kap. 18 § andra stycket OSL framgår att den tystnadsplikt som följer av bland annat 25 kap. 2 § inskränker rätten att meddela och offentliggöra uppgifter när det är fråga om uppgift om annat än verkställigheten av beslut om omhändertagande eller beslut om vård utan samtycke. Det är lämpligt att regleringen om absolut sekretess för uppgift hos vårdgivare enligt de av utredningen föreslagna bestämmelserna i 6 kap. PDL överensstämmer med nu gällande regler om absolut sekretess i vissa fall för uppgift som behandlas med stöd av reglerna om sammanhållen vård- och omsorgsdokumentation. Mot denna bakgrund bör den tystnadsplikt som följer av den föreslagna sekretessbestämmelsen inskränka rätten att meddela och offentliggöra uppgifter såvitt avser föreslagna bestämmelse i 25 kap. a § OSL. Någon ändring av 25 kap. 18 § OSL krävs dock inte, eftersom den föreslagna bestämmelsen kommer att omfattas av hänvisningen i bestämmelsens andra stycke. 194

Författningsförslag

Förslag till ny bestämmelse i 25 kap. 2 a § samt ändring av 25 kap. 2 § och 26 kap. 1 a § offentlighets- och sekretesslag (2009:400).

194 Jmf. prop. 2021/22:177 s. 160 ff.

377

11 Integritetsanalys av utredningens förslag

11.1 Dataskydd och integritetsanalys

11.1.1 Utredningens förslag innebär ett behov av att genomföra en integritetsanalys

Utredningens bedömning : Utredningens förslag innebär behandling av ett stort antal känsliga personuppgifter. Det finns därför ett behov av att genomföra en särskild integritetsanalys avseende konsekvenserna av utredningens förslag när det gäller integriteten för de registrerade och väga dessa mot behovet av att genomföra dem. Det gäller såväl förslagen som berör behandling av personuppgifter för att möjliggöra en nationell digital infrastruktur som de förslag på obligatoriskt utbyte av hälsodata som behövs för att Sverige ska kunna uppfylla kraven i EHDSförordningen.

Skälen för utredningens bedömning

Utredningens förslag innefattar hur och under vilka omständigheter en stor mängd personuppgifter ska få behandlas av E-hälsomyndigheten inom ramen för den nationella digitala infrastrukturen. Flera av kategorierna av personuppgifter som ska behandlas avslöjar information om hälsa och utgör således en

378

särskild kategori av personuppgifter enligt artikel 9 EU:s dataskyddsförordning (så kallade känsliga personuppgifter) som är särskilt skyddsvärda och särskilt reglerad. I avsnitt 9.8 redogörs närmare för bedömningen av behandling av känsliga personuppgifter i register och funktioner i den nationella digitala infrastrukturen. Utredningen föreslår också författningsändringar för att möjliggöra det utbyte av hälsodata mellan vårdgivare som blir obligatoriskt på grund av EHDS-förordningen och för att tillgodose de patienträttigheter som följer med förordningen. Utredningen lämnar sammanfattningsvis förslag för att möjliggöra tillgång till uppgifter om hälsodata i hela vårdkedjan och inom ramen för en nationell infrastruktur. Förslagen kommer att innebära direkta konsekvenser för ett stort antal människor. Det finns därför behov av att genomföra en särskild integritetsanalys av vad förslaget innebär när det gäller integriteten för de registrerade vars personuppgifter kommer att påverkas av förslaget och hur dessa konsekvenser står sig jämfört med behovet av att införa förslagen. I avsnitt 11.2 genomför utredningen en sådan integritetsanalys avseende förslagen om personuppgiftsbehandling inom ramen för den statliga nationella digitala infrastrukturen och tillgångstjänsten för personal. I avsnitt 11.3 genomför utredningen motsvarande bedömning av våra förslag om obligatoriskt utbyte av hälsodata mellan vårdgivare (nationellt genomförande av EHDSförordningen).

Innebörden av dataskydd, skyddet av personuppgifter

Dataskydd är en grundläggande fri- och rättighet, som tryggar tillgodoseendet av individens rättigheter och friheter vid behandling av individens personuppgifter. En av grunderna i dataskyddet i EU:s dataskyddsförordning är att reglera när och under vilka förutsättningar personuppgifter kan behandlas. I avsnitt 9.1 redovisas den närmare innebörden av dataskydd och skyddet av personuppgifter. Där redogörs även för de rättsliga grunderna för behandlingen av personuppgifter och kriterierna för behandlingen av särskilda kategorier av personuppgifter (så kallade känsliga personuppgifter). I det kapitlet redovisar utredningen även förslag

379

på reglering avseende personuppgiftsansvaret avseende behandling av personuppgifter vid tillhandahållandet av en nationell digital infrastruktur för hälsodata.

Behandlingen av personuppgifter och de risker det medför ska vara proportionerligt mot det ändamål som uppfylls

Av artikel 8.2 i Europakonventionen följer att rätten till skydd för privatlivet inte får inskränkas annat än med stöd av lag och om det i ett demokratiskt samhälle är nödvändigt med hänsyn till den nationella säkerheten, den allmänna säkerheten, landets ekonomiska välstånd eller till förebyggande av oordning eller brott eller skydd för hälsa eller moral eller för andra personers fri- och rättigheter. I artiklarna 3, 7 och 8 i Europeiska unionens stadga om de grundläggande rättigheterna (2010/C 83/02), här benämnd EU:s rättighetsstadga, slås det fast att var och en har rätt till fysisk och mental integritet, respekt för sitt privat- och familjeliv, sin bostad och sina kommunikationer samt skydd av de personuppgifter som rör honom eller henne. I den mån stadgan omfattar rättigheter som motsvarar sådana som garanteras av Europakonventionen ska de ha samma innebörd och räckvidd som enligt konventionen, artikel 52.3 i EU:s rättighetsstadga. Bestämmelsen hindrar dock inte unionsrätten från att tillförsäkra ett mer långtgående skydd. I EU:s rättighetsstadga är utgångspunkten att en inskränkning av rättigheter och friheter enligt stadgan endast får göras i lag och måste vara förenlig med det väsentliga innehållet i de rättigheter och friheter som erkänns i stadgan. Begränsningar får med beaktande av proportionalitetsprincipen endast göras om de är nödvändiga och faktiskt svarar mot mål av allmänt samhällsintresse som erkänns av unionen eller behovet av skydd för andra människors rättigheter och friheter, artikel 52.1. För att det ska vara befogat att införa rättsliga stöd för behandling av personuppgifter för att möjliggöra tillgång till uppgifter om hälsodata i hela vårdkedjan och inom ramen för en nationell infrastruktur som stödjer detta, måste behovet av behandlingen väga tyngre än den enskildes intresse av skydd för den personliga integriteten. Behandlingen ska stå i rimlig proportion till det

380

integritetsintrång den medför. En förutsättning för att göra en sådan proportionalitetsbedömning är att riskerna för den personliga integriteten har identifierats och att skyddsåtgärder vidtas som begränsar den tillåtna behandlingen så att behovet av behandling därmed kan balanseras mot enskildas intresse av skydd för den personliga integriteten. Inom ramen för denna avvägning måste också hänsyn tas till att regelverket om det Europeiska hälsodataområdet, EHDS-förordningen, redan innehåller en avvägning mellan det intrång som regelverket innebär och de rättigheter och skyddsåtgärder som regelverket tilldelar den enskilde. Detta har redogjorts för i avsnitt 9.1.3. Utredningens förslag innebär bland annat att ytterligare personuppgifter ska samlas in och behandlas i stödfunktioner för en nationell infrastruktur för elektroniskt informationsutbyte på hälsooch sjukvårdsområdet och således för ändamålet att möjliggöra såväl en nationell åtkomst som en åtkomst inom EU. Utredningen föreslår också att personuppgifter i vissa fall ska få lagras under en längre tid i dessa stödfunktioner när så är nödvändigt av tekniska effektivitetsskäl och för att uppnå interoperabilitet. Behandlingen kommer i dessa stödfunktioner till största delen vara automatiserad. Utredningen lämnar även förslag för att möjliggöra ett obligatoriskt utbyte av hälsodata mellan vårdgivare. Förslagen syftar till att förverkliga de krav som följer av EHDS-förordningen, men också till att i viss mån förenkla befintligt regelverk.

11.2 Den behandling av personuppgifter som ska utföras inom ramen för infrastrukturen är proportionerlig i förhållande till nyttoeffekterna

Utredningens bedömning : Den personuppgiftsbehandling som möjliggörs genom det föreslagna regelverket om en nationell infrastruktur för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet utgör en proportionerlig inskränkning av det skydd för den personliga integriteten som finns i regeringsformen, Europakonventionen och EU:s rättighetsstadga. Förslaget är också förenligt med dataskyddsförordningens krav på proportionalitet eftersom det

381

innebär en acceptabel avvägning mellan det berättigade behov som finns på nationell nivå av en infrastruktur och det integritetsintrång det innebär med den ytterligare personuppgiftsbehandlingen som uppstår.

Skälen för utredningens bedömning

I följande avsnitt beskrivs den personuppgiftsbehandling som kommer att ske i den nationella infrastrukturen, vilka risker denna behandling bedöms innebära samt vilka integritetsstärkande åtgärder som planeras vidtas och en sammanvägd analys som lett fram till utredningens bedömning.

11.2.1 Beskrivning av personuppgiftsbehandlingen som föreslås inom ramen för infrastrukturen

Den nationella infrastruktur för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet (den nationella digitala infrastrukturen) som E-hälsomyndigheten har föreslagit, ska bestå av ett antal olika register och it-funktioner som möjliggör utbyte av hälsodata på nationell nivå och inom EU. E-hälsomyndighetens förslag till personuppgiftsbehandling i infrastrukturen och myndighetens egen bedömning kring denna behandling presenteras i avsnitt 9.3. I E-hälsomyndighetens slutrapport om genomförandet av en nationell digital infrastruktur för hälso- och sjukvård har myndigheten beskrivit olika alternativ för denna infrastruktur och förslag på hur den ska realiseras. 195 Fokus för myndighetens arbete i uppdraget har lagts på de komponenter och strukturer som är nödvändiga för att Sverige ska leva upp till EHDS-förordningen bestämmelser rörande primäranvändning. Utredningens uppdrag är att analysera och föreslå åtgärder som möjliggör en sådan statlig nationell digital infrastruktur för hela hälso- och sjukvården. I det ingår att analysera och ta ställning till

195 ,E-hälsomyndigheten, Genomförandet av en nationell digital infrastruktur för hälso- och sjukvård och EHDS primäranvändning, dnr 2024/03223, publicerad mars 2025, Sid 31 ff

382

om det behövs kompletterande reglering för E-hälsomyndighetens och vårdgivarnas behandling av personuppgifter inom ramen för den nationella digitala infrastrukturen, och i så fall föreslå en sådan reglering, I kapitel 3 redogör utredningen för E-hälsomyndighetens förslag att möjliggöra en statlig nationell digital infrastruktur. I figur 1 illustreras hur infrastrukturen och dess komponenter är tänkta att fungera utifrån ett dataskyddsperspektiv som bakgrund till integritetsanalysen.

383

Figur 1. En översikt över hur hälso- och sjukvårdspersonal ges tillgång till hälsodata med stöd av de författningsförslag som utredningen lämnar.

Den nationella digitala infrastrukturen kommer, för att kunna fungera effektivt, behöva hantera personuppgifter inom ramen för

384

de olika tjänster som E-hälsomyndigheten ska tillhandahålla och som beskrivits i kapitel 3. De framgår även i flödesbilden ovan. Nedan beskrivs den behandling av personuppgifter som kommer att ske i den nationella digitala infrastrukturen utifrån utredningens förslag i funktionerna patientdataindex (PDI), nationella spärregistret och fullmaktsregistret med fullmakter för ombud samt själva tillgångstjänsten för personal. Tillgångstjänsten för personal torde inte utgöra en del av infrastrukturen i sig själv, men infrastrukturen är en förutsättning för att den ska kunna finnas. Mot bakgrund av att E-hälsomyndigheten föreslås tillhandahålla en statlig tillgångstjänst för hälso- och sjukvårdsanställda inkluderas även denna i integritetsanalysen.

Beskrivning av personuppgiftsbehandling i Patientdataindex (PDI)

Funktionen PDI har beskrivits i avsnitt 8.1.3. Eftersom PDI utpekar en individ och var individens data återfinns kommer personuppgifterna i ett sådant index avslöja detaljer om individens hälsa eftersom en uppgift om var patienten vårdats utgör en tydlig indikation på att individen har vårdats och utgör således känsliga personuppgifter i EU:s dataskyddsförordnings mening. Uppgift om vårdgivare respektive registrerande system kan i vissa fall också avslöja något om patientens hälsotillstånd. Det kan vara fallet när vårdgivaren är specialiserad inom ett visst medicinskt område eller när system är specialiserade för exempelvis vissa diagnoser eller hälsotillstånd. Det går i dessa fall att dra slutsatser om patientens hälsa enbart utifrån uppgift om vårdgivare respektive system och att patienten förekommer däri. Uppgifterna kan också potentiellt – åtminstone vid tidpunkten för registreringen – avslöja var patienten befinner sig, vilket i vissa fall kan vara en uppgift av känslig karaktär.

Beskrivning av personuppgiftsbehandling i nationella spärregistret

Utredningen föreslår en mer sammanhållen reglering för spärrar och att kravet på samtycke för tillgång till uppgifter helt ska tas bort. Det kommer även att införas en rättighet för patienten att helt motsätta sig att hälsodata delas med andra vårdgivare (opt-out). Som noteras

385

i förslagen bedömer utredningen att detta kommer att kunna förenkla hanteringen av spärrar, både för patienter som vill nyttja sin rättighet att begränsa åtkomst och för vårdgivare samt även förenkla tillhandahållandet av en nationell infrastruktur eftersom spärrar kommer att hanteras på ett liknande sätt av alla aktörer. Utredningen har föreslagit att E-hälsomyndigheten i det nationella spärregistret, för ändamålet att till vårdgivare förmedla information om vilka begränsningar av tillgång till hälsodata som patienten begärt, ska få behandla personuppgifter. E-hälsomyndigheten har i sin rapport bedömt att det nationella spärregistret kommer att innehålla information om att patient har begärt mer övergripande spärrar som omfattar flera vårdgivare, till exempel när patient valt att spärra all information för alla aktörer eller när patienten helt valt att stå utanför systemet (opt-out). Lokala spärrar ska inte lagras i det nationella spärregistret utan hanteras direkt av vårdgivaren som ansvarar för informationen. Med ett sådant upplägg så kan den spärrade informationen filtreras bort av vårdgivaren redan vid begäran om åtkomst och tillgängliggörs aldrig utanför vårdgivarens system. Den föreslagna lösningen bygger alltså på en kombination av en decentraliserad lagring och ett nationellt register. Nationella spärregistret kommer således att innehålla personuppgifter eftersom det måste kunna identifiera patienten och registrera dennes val vad gäller utövandet av rättigheten att begränsa åtkomst till sina uppgifter. De personuppgifter som behandlas kommer vara känsliga sådana eftersom de potentiellt kan avslöja detaljer om den vård patienten erhållit och i vart fall avslöjar att patienten överhuvudtaget varit aktuell för vård och dessutom velat nyttja sin rättighet till att spärra information. Beroende på hur detaljerad patientens begäran om spärr är, desto mer kan potentiellt avslöjas om patientens mer exakta hälsosituation. Mot bakgrund av att utgångspunkten är att det nationella spärregistret ska omfatta uppgifter om övergripande spärrar ter det sig dock tveksamt om den typen av detaljerad information kommer att kunna gå att utläsa där.

386

Beskrivning av personuppgiftsbehandling i nationella spärrfunktionen

Spärrfunktionen kommer till skillnad från spärregistret inte innehålla någon mer permanent information, I stället kommer funktionen möjliggöra att de spärrar som sätts överförs till alla vårdgivare som berörs av dem så att de spärrarna kan lagras i vårdgivarnas lokala system. Trots detta utgör även en kortare tids behandling av uppgifterna att det sker en behandling av personuppgifter av känslig karaktär. Nationella spärrfunktionen kommer således att innehålla personuppgifter eftersom den måste kunna identifiera patienten och registrera dennes val vad gäller utövandet av rättigheten att begränsa åtkomst till sina uppgifter. De personuppgifter som behandlas kommer vara känsliga sådana eftersom de potentiellt kan avslöja detaljer om den vård patienten erhållit och i vart fall avslöjar att patienten överhuvudtaget varit aktuell för vård och dessutom velat nyttja sin rättighet till att spärra information. Beroende på hur detaljerad patientens begäran om spärr är, desto mer kan potentiellt avslöjas om patientens mer exakta hälsosituation. Uppgifterna kommer bara att behandlas i funktionen under den tid som krävs för att kommunicera ut nya spärrar till de vårdgivare som berörs av dem, sedan kommer uppgifterna att gallras i spärrfunktionen.

Beskrivning av personuppgiftsbehandling i nationella företrädarfunktionen och fullmaktsregistret

Införandet av fullmaktsregister innebär att det uppstår en ny personuppgiftsbehandling avseende dels de patienter som utsett ett ombud, dels personuppgifter som identifierar den som utgör patientens utsedda ombud. Eftersom en patient ska kunna ange mer specifikt vilken hälsodata ett ombud får ta del av och vad ett ombud får för befogenheter kommer även sådana behörighetsbegränsningar att lagras. Detta innebär att registret kan komma att avslöja känslig information som till exempel var en patient har vårdats, vilken också kan vara knuten till information om vilken slags vård patienten har erhållit. Utredningen föreslår i avsnitt 9.12.3 att det ska tillåtas personuppgiftsbehandling för ändamålet att en patient ska kunna utöva sin rätt att utse en företrädare för åtkomst till patientens

387

hälsodata, att en legal ställföreträdare ska kunna utöva sitt företrädarskap och att utbyta uppgifter om en patients företrädare mellan vårdgivare och öppenvårdsapotek. Personuppgifterna får avse den företrädare som patient själv utsett, legala ställföreträdare, patientens samt företrädarens identitetsuppgifter och uppgifter om fullmaktens omfattning. Uppgifter om rättsliga företrädare bör enligt E-hälsomyndigheten lagras i och hämtas från ursprungskällor hos andra myndigheter i den mån sådana finns. För vårdnadshavare finns de hos Skatteverket och tillgängliggörs via Navet. För andra rättsliga företrädare finns inget centralt register och det bör enligt myndigheten inrättas ett sådant nationellt ställföreträdarregister i enlighet med Ställföreträdarutredningens förslag. 196

Tillgångstjänst personal

Tillgångstjänsten för hälso- och sjukvårdspersonal ska ge tillgång till åtminstone de prioriterade kategorierna av hälsodata men kan, om nationell reglering medger, även ge tillgång till mer än de prioriterade kategorierna. EHDS-förordningen ställer krav på att medlemsstaterna ska se till att det i varje medlemsland finns en tillgångstjänst för hälso- och sjukvårdspersonal som säkerställer att hälso- och sjukvårdspersonal kostnadsfritt kan få tillgång till de prioriterade kategorier av elektroniska hälsodata med personuppgifter i samband med vård av patient. Tillgångstjänsten innebär att all hälsodata som tillgängliggörs av en eller flera vårdgivare görs åtkomliga för vårdpersonal hos en annan vårdgivare med undantag för sådana hälsodata där den registrerade har begärt begräsning av tillgång (spärr). Om den registrerade har motsatt sig tillgång helt (opt-out) ska ingen tillgång få förekomma mellan olika vårdgivare överhuvudtaget. Behandlingen av personuppgifter innebär att den nationella digitala infrastrukturen nyttjas för att avgöra vilka hälsodata som finns tillgängliga om en patient och att dessa hälsodata görs tillgängliga för den personal som autentiserat sig och därmed loggat in i systemet. Hälsodata behandlas under så lång tid som den anställde bereder sig tillgång till dem. När

196 Gode män och förvaltare – en översyn SOU 2021:36

388

tillgången har avslutats bevaras inga hälsodata i tillgångstjänsten utan dessa ska gallras.

11.2.2 Vilka behov finns av en nationell digital infrastruktur för hälso- och sjukvården?

Med en nationell digital infrastruktur avses det sammanhang av tekniska och organisatoriska resurser som stöder informationsutbytet mellan och inom olika verksamheter och sektorer. En sådan infrastruktur ska bidra till att öka effektiviteten och säkerheten i informationshanteringen och kan bestå av både hård infrastruktur, som kablar och servrar, och mjuk infrastruktur, som standarder, regelverk och gemensam terminologi Det saknas för närvarande en nationell digital infrastruktur som omfattar samtliga vårdgivare som berörs av hälso- och sjukvårdslagen (2017:30) och tandvårdslagen (1985:125). Avsaknaden av en gemensam digital infrastruktur för hälsodata och brist på styrning och samordning har lett till åtskilliga separata lösningar runt om i landet, vilket försvårar kommunikationen mellan olika it-system. Det innebär att nödvändiga uppgifter inte alltid följer med patienten i olika kontakter med vården. I Coronakommissionens (S 2020:09) första delbetänkande Äldreomsorgen under pandemin (SOU 2020:80) påtalar kommissionen att avsaknaden av en patientcentrerad sammanhållen journalföring är ett allvarligt patientsäkerhetsproblem. Det kan också innebära att patienten behöver upprepa sin sjukdomshistoria för flera vårdgivare eller genomgå samma undersökningar flera gånger. Det betyder vidare att hälso- och sjukvårdspersonal ibland behöver lägga onödig tid på att samla in uppgifter från flera källor, dubbeldokumentera och ta om samma prover. Avsaknaden av en gemensam digital infrastruktur hämmar även möjligheterna till uppföljning, forskning, innovation och utveckling på hälso- och sjukvårdens område. Regeringen har därför en målsättning om en nationell digital infrastruktur för hälso- och sjukvården där staten tar ett större ansvar. Av Tidöavtalet, som är en politisk överenskommelse mellan

389

Sverigedemokraterna, Moderaterna, Kristdemokraterna och Liberalerna, framgår att hälsodata ska bli tillgängliga i hela vårdkedjan för all vård, såväl kommunal som regional, och för tandvård oavsett huvudman. Den digitala infrastrukturen ska bidra till att öka kvaliteten i vården, att förbättra patientsäkerheten, att stärka patientens ställning och att minska den administrativa bördan för hälso- och sjukvårdens medarbetare. Inom ramen för denna nationella plan ska en enhetlig och gemensam digital infrastruktur för den svenska sjukvården ersätta och komplettera de 21 regionernas befintliga infrastruktur. Ambitionen är att sjukvården ska använda en enhetlig digital infrastruktur och här finns vissa likheter med vad som exempelvis gäller för apoteksmarknaden. För att skapa denna enhetlighet och kunna erbjuda effektiva lösningar till samtliga vårdgivare behöver staten ta ett större ansvar för den nationella digitala infrastrukturen för hälso- och sjukvården. Därtill har EHDS-förordningen trätt i kraft vilken ställer krav på medlemsstaterna att se till att det finns möjlighet till åtkomst till den samlade bilden över en patients hälsodata från samtliga vårdgivare. För att såväl genomföra och möta de krav som ställs i EHDSförordningen, till exempel att kunna ge tillgång till hälsodata till hälso- och sjukvårdspersonal, som de ambitioner som generellt finns på statlig nivå, behövs en nationell digital infrastruktur. En sådan infrastruktur behöver binda samman alla vårdgivare och ha funktionalitet som möjliggör en säker och effektiv datadelning. Huvudprincipen för en sådan infrastruktur är att den dels är öppen för alla berörda aktörer, dels ställer de krav på aktörerna som behövs för att garantera att all nödvändig information delas på ett säkert sätt. För hälso- och sjukvården skapar infrastrukturen en förbättrad patientsäkerhet och en ökad effektivitet i hanteringen av hälsodata. För vårdpersonalen förenklar infrastrukturen tillgången till relevanta hälsodata om patienter. Eftersom infrastrukturen i stor utsträckning föreslås vara informationsorienterad och API-baserad lägger den grunden för en successiv interoperabilitet som omfattar betydligt fler hälsodata, såväl kliniska som administrativa. Ju fler datamängder och flöden som standardiseras och blir nationellt gemensamma, desto större blir effektiviseringarna för vården.

390

De komponenter och infrastrukturtjänster som ändå behöver finnas i infrastrukturen, ska enligt E-hälsomyndigheten vara tekniskt oberoende av varandra och återanvändningsbara (modulära) för att förenkla utvecklingen när nya behov uppstår. De ska vara uppbyggda på ett sådant sätt att alla aktörer, oberoende av huvudmannaskap, finansieringsform eller storlek på systemleverantören och vårdgivaren, enkelt kan nå data via API:er eller andra tekniska lösningar på nationell nivå. Utredningens uppdrag är att analysera och föreslå åtgärder som möjliggör en nationell digital infrastruktur för hela hälso- och sjukvården. Utredningen har i avsnitt 9 föreslagit den kompletterande reglering för E-hälsomyndighetens och vårdgivarnas behandling av personuppgifter som behövs. En nationell digital infrastruktur är en bidragande förutsättning för att hälsodata ska kunna bli tillgänglig i hela vårdkedjan för all vård och utgör därmed en viktig förutsättning för kvalitet och säkerhet i hälso- och sjukvården. Utredningen bedömer att den statliga nationella digitala infrastrukturen bör betraktas som en kollektiv nyttighet som genererar värde för vårt samhälle och specifikt för vårdsektorn och för patienterna.

11.2.3 Beskrivning av vilka risker som finns med en nationell infrastruktur för hälso- och sjukvården utifrån ett dataskyddsperspektiv

Även om många av informationsmängderna som utredningen föreslår ska få hanteras av E-hälsomyndigheten i den nationella digitala infrastrukturen för hälsodata är av mer teknisk art, kommer myndigheten att behöva behandla ett stort antal uppgifter som tydligt, antingen direkt eller indirekt, kommer att peka ut enskilda individer. I de av E-hälsomyndigheten föreslagna komponenterna och tjänsterna för en digital infrastruktur kommer enligt utredningens kartläggning en mycket stor mängd personuppgifter att behöva behandlas centralt. Som framgår av kartläggningen av personuppgiftsbehandlingen (avsnitt 11.2.1) utgör dessa uppgifter i många fall så kallade känsliga personuppgifter som har ett högt skyddsvärde. Det förtjänar att påpekas att sådana personuppgifter

391

redan behandlas för liknande ändamål idag genom den infrastruktur som främst de offentliga vårdgivarna genom SKR och Inera byggt upp avseende den frivilliga delningen av hälsodata för hälso- och sjukvårdsändamål. Utredningens förslag innebär således inte att helt nya personuppgifter ska registreras utan snarare att behandlingen av dessa personuppgifter centraliseras och att behandlingen av dem inte längre är frivillig utan obligatorisk för samtliga vårdgivare. Utvecklingen av den nationella digital infrastrukturen kommer i praktiken att innebära att dessa personuppgifter samlas ihop nationellt från samtliga vårdgivare och görs tillgängliga för samma krets. Personuppgifterna som behandlas får på så sätt en större spridning än de har idag. Driften och skötseln av den digitala infrastrukturen kommer också att innebära att ett större antal personer än tidigare kommer att vara involverade i behandlingen av personuppgifterna. Det kommer även mot bakgrund av det nationella perspektivet vara möjligt att behandla personuppgifter på ett sådant sätt att det innebär kartläggning av enskilda individer, eftersom det handlar om uppgifter som avslöjar var enskilda får vård och var dessa uppgifter finns tillgängliga. Framtagandet av infrastrukturen och driften av den kommer också enligt utredningens bedömning att innebära att personuppgifter avseende hälso- och sjukvårdsanställda måste behandlas i högre utsträckning. Detta behövs inte minst för att möjliggöra säker autentisering till systemen, behörighetstilldelningar och loggning av vem som tagit del av vilka informationsmängder för att uppnå spårbarhet i systemet. Dessa personuppgifter är till den största delen inte av känslig art, men kommer ändå att medföra en väsentlig ytterligare behandling och spridning av dessa informationsmängder jämfört med hur det ser ut idag.

11.2.4 Beskrivning av integritetsstärkande åtgärder

För att balansera de personuppgiftsbehandlingar som utredningen föreslår, innefattar förslagen också vissa åtgärder för att stärka den enskildes integritet. En integritetsstärkande åtgärd i sig är att föreslå en särskild reglering av behandlingen av personuppgifter i den

392

nationella digital infrastrukturen så att dess rättsliga grund och olika förutsättningar kodifieras på ett tydligs sätt. Utredningens förslag på reglering är även framtagna med beaktande av redan befintliga regler som syftar till att stärka säkerhet vid behandling och den registrerades integritet. I kapitel 9 redogörs för utredningens lagförslag som ska möjliggöra att E-hälsomyndigheten kan behandla personuppgifter i de register och it-funktioner som är nödvändiga för den digitala infrastrukturen. De integritetsstärkande åtgärder som dessa förslag innefattar sammanfattas övergripande här.

Tydligt utpekat ansvar

E-hälsomyndigheten utpekas som personuppgiftsansvarig för de personuppgifter som behandlas i den nationella digitala infrastrukturen. EU:s dataskyddsförordning innebär att E-hälsomyndigheten som personuppgiftsansvarig ska uppfylla krav på säkerhet vid behandling av personuppgifterna. Enligt artikel 5 f dataskyddsförordningen ska personuppgifter behandlas på ett sätt som säkerställer lämplig säkerhet för personuppgifterna, inbegripet skydd mot obehörig eller otillåten behandling och mot förlust, förstöring eller skada genom olyckshändelse, med användning av lämpliga tekniska eller organisatoriska åtgärder (integritet och konfidentialitet). Med beaktande av behandlingens art, omfattning, sammanhang och ändamål samt riskerna för fysiska personers rättigheter och friheter ska den personuppgiftsansvarige enligt artikel 24.1 genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen utförs i enlighet med dataskyddsförordningen. Dessa åtgärder ska ses över och uppdateras vid behov. Ytterligare krav på den personuppgiftsansvariges säkerhetsarbete regleras i dataskyddsförordningen artikel 25 och 32. Utredningens utpekande av E-hälsomyndigheten som personuppgiftsansvarig vad gäller inte bara infrastrukturens funktioner och register men även tillgångstjänsten för personal innebär att det finns en tydlig aktör som har att vidta alla dessa säkerhetsåtgärder och löpande se över eventuellt ytterligare behov.

393

Lagreglerad tystnadsplikt

All behandling av personuppgifter inom den nationella digitala infrastrukturen kommer att utföras av anställda inom hälso- och sjukvården eller hos E-hälsomyndigheten vilka samtliga omfattas av straffsanktionerade sekretessregler. Det innebär att samtliga anställda utför sina arbetsuppgifter under lagreglerad tystnadsplikt. Tystnadsplikten är en säkerhetsåtgärd som innebär att om någon skulle välja att röja skyddsvärd information så är denna handling straffbar.

Enhetliga säkerhetskrav

En nationell digital infrastruktur kommer att kunna utgöra större möjligheter till att uppnå interoperabilitet. Det innebär inte endast att uppgifter ska kunna utbytas inom ramen för infrastrukturen, utan även att utbytet kommer att genomföras under ordnade former och med iakttagande av vidtagna säkerhetsåtgärder som är verksamma i hela kedjan. En nationell digital infrastruktur är en garant för att processen vid tillgängliggörande av hälsodata blir standardiserad. En standardiserad process innebär att samma säkerhetskrav kommer ställas på alla aktörer i kedjan. På så sätt kommer en säkrare hantering totalt sett att kunna uppnås. Ett obligatorium att ingå i den nationella infrastrukturen och den standardiserade processen innebär också att enhetliga krav kan ställas på samtliga aktörer som nu måste delta. Det kommer inte längre finnas utrymme för aktörer att nationellt tillgängliggöra uppgifter med mer bristfälliga eller proprietära säkerhetslösningar helt utifrån egna bedömningar. Den nationella infrastrukturen är en förutsättning för att denna enhetlighet ska kunna uppnås. Tillhandahållande av den nationella digitala infrastrukturen för hälsodata kommer att behöva vara robust, uthållig och säker. E-hälsomyndigheten behöver som tillhandahållare av infrastrukturen ha en väl utvecklad säkerhetskultur som arbetar med ständiga förbättringar, uppföljningar, granskningar och tester av säkerheten så att säkerheten uppdateras i takt med att hot- och risker utvecklas. Tillhandahållandet behöver kunna ske under normala förhållanden, svåra påfrestningar, höjd beredskap och krig.

394

Verksamheten har en roll i en samhällsfunktion som är viktig för Sverige och kommer sannolikt att kunna omfattas av regelverket om säkerhetsskydd och tillhandahållaren behöver då inledningsvis genomföra en säkerhetsskyddsanalys.

Möjlighet för patienter att utöva inflytande över hela kedjan

Syftet med EHDS-förordningen är förvisso att tillgång till hälsodata ska garanteras för ändamålet att vårda en patient, men förordningen ger också patienter rättigheter som möjliggör inflytande över vem som ska få tillgång till deras hälsodata. Patienterna ska genom att nyttja dessa rättigheter kunna styra över vilka hälsodata som görs tillgängliga och även över mellan vilka vårdaktörer tillgängligheten får förekomma. Infrastrukturen innebär inte enbart att ett stort antal personuppgifter av känslig art kommer att behöva behandlas för att driva infrastrukturen. Den utgör även förutsättningen för att den stora mängd hälsodata (som är av ännu mer känslig art), alltså själva hälsodatan i sig, ska kunna tillgängliggöras på ett säkert sätt och i enlighet med patientens utövande av sina rättigheter. Patienterna kommer också att kunna få bättre tillgång till och kontroll över sina egna hälsodata än de har i dagsläget. Den nationella digitala infrastrukturen som ska realisera EHDS-förordningen sätter därmed enligt utredningens bedömning patienten i centrum. Möjligheten att kunna ta hänsyn till patientens önskemål kommer inte längre vara beroende av det enskilda journalsystemet som används eller vilka förutsättningar den lokala vårdgivaren har, utan ska realiseras genom centrala tjänster. Sett från denna synvinkel omfattar den nationella digitala infrastrukturens behandling av personuppgifter inte bara ett möjliggörande av utbyte av hälsodata utan även individens möjligheter att utöva sina rättigheter vad avser detta utbyte. Detta måste enligt utredningens bedömning kunna betraktas som en viktig integritetsstärkande åtgärd i sig.

395

Centraliserad varaktig bevarande av personuppgifter endast när så krävs

Om nationella spärregistret byggs upp såsom föreslagits och centralt varaktigt bevarar endast övergripande spärrar medan mer exakt beskrivna spärrar bevaras endast lokalt, bedöms behandlingen av personuppgifter vara begränsad till ett minimum av vad som krävs för att upprätthålla den nationella digitala infrastrukturen. Lösningen innebär att patientens spärrlista finns lagrad hos de aktörer som berörs av den och att varje aktör bevarar ”sin del” av patientens sammanhållna spärrlista. Samtliga uppgifter kommer förvisso att behöva hanteras och därmed behandlas i infrastrukturen vid åtkomst och med hjälp av spärrfunktionen, men spärrarna kommer inte att varaktigt bevaras centralt. En sådan decentraliserad lösning förbättrar enligt E-hälsomyndigheten svarstiderna och minskar risken för störningar vid åtkomst. Utredningen bedömer också att det innebär ett mindre integritetsintrång att lagra spärren hos den aktör som redan har den hälsodata som ska spärras registrerad hos sig, än att också lagra en kopia av spärrinformationen i ett centralt statligt register.

Den nationella infrastrukturen kommer att medföra mindre behov av dubbellagring av känsliga personuppgifter

Den nationella infrastrukturen utgör en viktig förutsättning för att klinisk information kan göras åtkomlig i hela vårdkedjan genom en sammanhållen hantering av vårdinformation. Om den samlade bilden av hälsodata alltid finns åtkomlig via den nationella infrastrukturen, finns inte längre samma behov av att samma hälsodata lagras i flera kopior hos varje vårdgivare som patienten har kontakt med, något som utredningen erfar är vanligt idag. Utredningen har erfarit att det inte är ovanligt att hälsodata från andra vårdgivare bevaras genom att skannas eller på annat sätt föras in i flera system för att garantera att de finns åtkomliga. Klinisk information som ska visas upp i tillgångtjänster både för patient och för hälso- och sjukvårdsanställda ska med stöd av infrastrukturen endast behandlas i den nationella infrastrukturen under den tid de tillgängliggörs och sedan gallras. Utredningen föreslår särskilda

396

gallringsregler för att säkerställa detta, se kap 9.13. Dessa förslag utgör integritetsstärkande åtgärder som utformningen av den nationella infrastrukturen möjliggör.

För patienter som är tveksamma till delning av hälsodata finns möjlighet att helt avstå genom att motsätta sig tillgång

Utredningen föreslår även en möjlighet för patienter att helt avstå från att delta i utbytet av hälsodata och därmed förhindra att vårdgivare ger tillgång till hälsodata till andra vårdgivare. Detta ställningstagande från patienter att motsätta sig tillgång (opt-out) kommer att innebära att betydligt färre av dennes personuppgifter kommer att behandlas inom ramen för den nationella digitala infrastrukturen eftersom uppgifterna inte kommer vara tekniskt tillgängliga med mindre än att patienten begär det genom att återkalla sitt opt-out. Däremot kommer det av naturliga skäl vara tvunget att behandla uppgiften för att säkerställa opt ut för den patient som valt att motsätta sig tillgång. Opt-out är en konkret rättighet som utgör en garanti för de individer som känner sig osäkra eller tveksamma till den ökade möjligheten till utbyte av hälsodata mellan vårdgivare. Denna rättighet är därmed också en viktig integritetsstärkande åtgärd.

Skyddsåtgärder i utredningens författningsförslag avseende personuppgiftsbehandlingen inom ramen för infrastrukturen och tillgångstjänsten

Tidigare i avsnittet har i närmare detalj gåtts igenom integritetsstärkande åtgärder som föreslagits av utredningen. Vi har också föreslaget en ny författning var syfte är möjliggöra införandet och styrningen av en nationell digital infrastruktur. Detta förslag innehåller även det ett antal integritetsstärkande åtgärder enligt följande: 1. att E-hälsomyndigheten ska vara personuppgiftsansvarig för behandling av personuppgifter inom ramen för infrastrukturen,

397

2. att de primära ändamålen för den tillåtna behandlingen ska preciseras i en förordning, 3. vilka personuppgifter som får behandlas, 4. gallring av personuppgifter i funktioner och tillgångstjänst för personal, och 5. behörighet och åtkomst till register och tjänster hos E-hälsomyndigheten.

11.2.5 Sammanvägning av behoven, riskerna och integritetsstärkande åtgärder för den personuppgiftsbehandling som behövs för att möjliggöra den nationella infrastrukturen för hälsodata

Utredningens bedömning : Förslagen om en reglering av en nationell infrastruktur för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet är förenliga med dataskyddsförordningens krav på proportionalitet. Förslagen innefattar en acceptabel avvägning mellan det behov av en infrastruktur som finns på nationell nivå och det integritetsintrång som den ytterligare personuppgiftsbehandlingen kan medföra.

Skälen för utredningens bedömning

Utredningens förslag om reglering av en nationell digital infrastruktur för uppgifter inom hälso- och sjukvården innebär att det upprättas nya register och införs nya it-funktioner som leder till omfattande behandling av personuppgifter för ett stort antal människor. Tillhandahållande av en tillgångstjänst för personal innebär att en stor mängd hälsodata kommer att överföras mellan vårdgivare genom den tjänsten. I de flesta fall är dessa personuppgifter av mycket känslig karaktär eftersom de i vart fall avslöjar att personen i fråga varit föremål för vård eller att personen

398

i fråga velat nyttja någon av de rättigheter som rör hur informationen får tillgängliggöras inom hälso- och sjukvården. Förslaget och hanteringen innebär således ökade risker ur en integritetssynpunkt jämfört med om de inte skulle införas. Samtidigt innebär den nationella digitala infrastrukturen en tydligare nationell styrning för att möjliggöra en ökad tillgång till hälsodata inom ramen för hela hälso- och sjukvårdsområdet för ändamålet att kunna bedriva säker och god vård av patienter. Den föreslagna behandlingen av personuppgifter är således en förutsättning för att uppnå målet att relevant information om patienten ska vara tillgänglig i hela vårdkedjan vilket bedöms ha positiv effekt på patientsäkerheten och för en effektivare vård. Utredningens förslag om infrastrukturens olika register, och itfunktioner har samtliga tagits fram utifrån förutsättningen att så få personuppgifter som möjligt ska hanteras inom ramen för varje del. Det ska i de register som upprättas inte förekomma några uppgifter som direkt avslöjar någonting om den individuella vården av patienten. Det kan dock indirekt gå att dra många slutsatser utifrån att uppgifter om en patient faktiskt förekommer inom ramen för till exempel vissa typer av vårdenheter eller utifrån att patienten har valt att begränsa åtkomsten till vissa typer av vårdenheter. Som exempel kan nämnas vad gäller patientdataindex (PDI) så ska i normalfallet, utöver patientens identitetsuppgifter, enbart id-beteckningen på den unika installationen av ett EHR-system och aktuell vårdgivare att framgå av registret. Utgångspunkten i utredningens förslag är att indexet inte ska behandla fler personuppgifter än nödvändigt och att detaljeringsgraden i registret ska hållas så låg som möjligt. Det innebär att principen om uppgiftsminimering, enligt artikel 5 i EU:s dataskyddsförordning, beaktas samtidigt som nyttorna med indexet kan uppnås i tillräckligt hög grad. Det gör också att integritetsintrånget begränsas. I en jämförelse med Ineras engagemangsindex (EI) och med andra EU-länders motsvarigheter, kommer den föreslagna lösningen för index att ha lägre detaljeringsgrad avseende de personuppgifter vårdgivarna lämnar ut till motsvarande register. Den låga detaljeringsgraden förenklar också integrationen med index för de EHR-system som ska uppdatera innehållet. Det minskar i sin tur även risken för felaktigt

399

innehåll i registret och därmed risken för incidenter relaterade till kvalitetsbrister i innehållet. Genom E-hälsomyndighetens tillhandahållande av en tilläggstjänst för personal kommer det att behandlas en stor mängd känsliga personuppgifter i samband med att uppgifterna tillgängliggörs. Utgångspunkten är dock att dessa hälsodata inte ska bevaras i systemet eller tjänsten utan endast behandlas under den tidsperiod som uppgifterna tillgängliggörs till en slutanvändare. När tillgången avslutats så ska uppgifterna gallras. Oaktat den ytterligare personuppgiftsbehandlingen av känsliga personuppgifter som infrastrukturen kräver, är det också ett faktum att EHDS-förordningen ställer krav på Sverige som medlemsstat i EU att möjliggöra en tillgång till patientens samlade hälsodata inom hela hälso- och sjukvården, i vart fall vad avser de prioriterade kategorierna av hälsodata enligt artikel 15. Det ska också understrykas att EHDS-förordningen i sig har tagits fram med patienters integritet i åtanke och att regleringen omfattar en rad rättigheter för patienten. Vissa av rättigheterna är helt nya, som möjligheten att få en avisering vid varje tillfälle som tillgång till patientens uppgifter används, medan andra rättigheter förtydligar och förstärker vad som redan gäller idag, så som möjligheten att begränsa åtkomst till patientens uppgifter. En nationell digital infrastruktur är en viktig komponent för en enhetlig hantering av patienters rättigheter enligt EHDS-förordningen. Sammantaget bedömer utredningen därför att riskerna med den personuppgiftsbehandling som följer av de förslag till författningar som möjliggör en nationell infrastruktur för hälsodata inte väger tyngre än de nyttoeffekter som följer med en statlig nationell digital infrastruktur. En del av bedömningen har sin grund i att endast de personuppgifter som krävs för ändamålen, ska få behandlas inom ramen för infrastrukturen. En annan del av bedömningen grundar si på att personuppgifter i de fall då mer beständig lagring av uppgifterna inte är nödvändig, endast kommer att hanteras under en kort tid. En tredje del av bedömningen grundar sig på det faktum att EHDS-förordningen ställer krav på att nationella åtgärder vidtas som möjliggör utbyte av hälsodata såväl på nationell nivå som inom gemenskapen. Det finns således mycket starka skäl till att en nationell digital infrastruktur ska införas och regleras.

400

Sammanfattningsvis bedömer vi att utredningens förslag till reglering av en nationell digital infrastruktur är förenligt med dataskyddsförordningens krav på proportionalitet. Enligt utredningens bedömning utgör förslagen en acceptabel avvägning mellan det berättigade nationella behovet av en infrastruktur och det integritetsintrång som den ytterligare personuppgiftsbehandlingen medför.

11.3 Den behandling av personuppgifter som ska ske på grund av ett nytt obligatoriskt tillgängliggörande av hälsodata mellan vårdgivare är proportionerlig i förhållande till nyttoeffekterna

Utredningens bedömning : Den personuppgiftsbehandling som kommer att ske med stöd av det föreslagna regelverket som gör det obligatoriskt för alla vårdgivare att göra hälsodata tillgänglig för andra vårdgivare inom Sverige och EU, utgör en proportionerlig inskränkning av det skydd för den personliga integriteten som finns i regeringsformen, Europakonventionen och EU:s rättighetsstadga. EHDS-förordningen som regelverk har tagits fram inom EU utifrån de förutsättningar som övriga regelverk, såsom EU:s dataskyddsförordning, ställer och står inte i strid med dessa. Utredningens förslag är också förenligt med dataskyddsförordningens krav på proportionalitet eftersom det innebär en acceptabel avvägning mellan det berättigade behov av utbyte av hälsodata som finns på nationell nivå, vidtagna skyddsåtgärder som möjliggör en viss kontroll över tillgängliggörandet och det integritetsintrång det innebär med den vidare spridning det innebär för personuppgifter inom ramen för hälso- och sjukvård.

401

Skäl för utredningens bedömning

I tidigare avsnitt har utredningen, när det har varit relevant, utvecklat sin bedömning av specifika förslags effekter på den personliga integriteten (se t.ex. avsnitt 6.4.2 om förändringen av krav på samtycke vid åtkomst). I det följande ges en bredare och mer samlad bedömning avseende integritets- och proportionalitetsaspekter av förslagen. Den största effekten på området är förändringen som införandet av EHDS-förordningen innebär. Samtliga vårdgivare blir skyldiga att tillgängliggöra utpekade kategorier av hälsodata mellan sig. Enligt dagens lagstiftning är en sådan möjlighet endast frivillig för vårdgivarna. Det är således EHDS-förordningen obligatorium som innebär den största förändringen vad avser omfattningen av tillgängliggörande av hälsodata mellan vårdgivare. I denna del är det alltså inte utredningen som föreslår detta, utan det är EUregelverket som reglerar obligatoriet. Denna förändring behöver således inte bedömas av utredningen utifrån ett integritetsperspektiv. Sådana avvägningar har nämligen redan gjorts i samband med att förordningen tagits fram inom EU. Det framgår bland annat i skäl 4, 8 och 9 i EHDS-förordningen att förordningen innehåller tillräckliga skyddsmekanismer utifrån uppgifternas känslighet och att regelverket innebär en komplettering till EU:s dataskyddsförordning vad avser personliga hälsodata. Vissa av utredningens förslag följer dock inte direkt av krav i EHDS-förordningen, utan utgör anpassningar av regelverket av andra orsaker som t.ex. utökning av nationella typer av hälsodata som ska vara obligatoriskt att dela nationellt samt förändringar av reglerna om spärr, samtycke m.m. som kommer att gälla all hälsodata och inte endast de kategorier som regleras i EHDS-förordningen. Dessa förtjänar därför att närmare beskrivas och bedömas nedan.

11.3.1 Kartläggning och beskrivning av personuppgiftsbehandlingen som sker vid utbytet av hälsodata inom den nationella digitala infrastrukturen

I avsnitt 9.3 har beskrivits den personuppgiftsbehandling som föreslås ske i den digitala nationella infrastrukturen vad avser de

402

tjänster som krävs för att möjliggöra infrastrukturens funktion. I förevarande avsnitt beskrivs kortfattat den personuppgiftsbehandling som vårdgivare ska utföra inom ramen för vården samt vid tillgängliggörandet och utbytet av hälsodata via den nationella digitala infrastrukturen. Vårdgivarna samlar in personuppgifter från patienten själv vid behandling av denne, från närstående till patient eller externt genom remisser eller åtkomst till information om patienten från andra vårdgivare. Personuppgifterna kan bestå av namn, personnummer, kontaktinformation, hälsouppgifter, diagnoser, läkemedel, mätvärden, med mera. Personuppgifterna behandlas sedan genom att de dokumenteras i ett journalsystem genom att föras in i vårdgivarens lokala elektroniska journalsystem (EHR-system). När uppgifterna finns dokumenterade så kan de användas av vårdgivaren för flera olika ändamål. Främst det kanske mest centrala ändamålet att de ska användas för vården av patienten själv och för att administrera denna vård. Andra ändamål som är tillåtna för vårdgivaren är att kvalitetssäkra vårdinsatser, verksamhetsplanering av vården i stort, införande av uppgifterna i nationella och regionala kvalitetsregister, i enlighet med de särskilda regler som gäller för sådan hantering enligt 7 kap. patientdatalag (2008:355, PDL) samt även utlämnande av uppgifter om så kallad antalsberäkning vid forskning. Uppgifterna kan när de finns dokumenterade också tillgängliggöras till andra aktörer som behöver dem för att kunna vårda patienten. Inom vårdgivaren egen organisation får åtkomst till uppgifterna ske i enlighet med den behörighet som individuellt har tilldelas vårdpersonal och de krav som ställs i lagstiftningen om åtkomst. Åtkomsten kan vara begränsad utifrån vilken roll den enskilde anställde har, men också mellan olika vårdenheter vad gäller ändamålet vård av patienten om patienten begärt att vårdenheten ska vara spärrad. Mellan vårdgivare, alltså utanför organisationen, finns möjlighet för två eller flera vårdgivare och / eller omsorgsgivare att frivilligt ingå i ett system för sammanhållen vård- och omsorgsdokumentation enligt bestämmelserna i lag (2022:913) om sammanhållen vård och omsorgsdokumentation (SVOD) och därmed tillgängliggöra uppgifter för varandra.

403

Vid annat utlämnande till andra aktörer än med stöd av reglerna i SVOD, får endast utlämnande ske efter sekretessprövning (om det inte finns andra särskilda skyldigheter för uppgiftslämnande). Exempel på sådana utlämnanden är till andra myndigheter efter begäran, utlämnande för att uppgifterna ska användas för forskning men även till privata aktörer såsom försäkringsbolag vid försäkringsutredningar. Bevarandet av uppgifterna finns reglerat i PDL. Uppgifterna måste bevaras av vårdgivaren i journalsystem i minst 10 år efter senaste vårdkontakt och i övrigt gäller särskilda regler för arkivlagring hos offentliga vårdgivare.

11.3.2 Behoven av ett förändrat regelverk

Av E-hälsomyndighetens slutrapport Sammanhållen Journalföring – Möjligheter till digital informationsförsörjning på 197 hälsodataområdet , framgår att vårdgivare inom en region som delar samma vårdinformationssystem har god tillgång till den mesta av informationen om en patient. I de fall där patienten har kontakt med vårdgivare i olika regioner, eller vårdgivare som inte ingår i samma vårdinformationssystem, är det däremot svårare att rent tekniskt utbyta information. Det betyder att det fortfarande behövs andra system för att utbyta patientinformation mellan regioner med samma leverantör av vårdinformationssystem. Det pågår ett intensivt arbete på EU-nivå vad gäller delning av hälsodata. EHDS-förordningen som nu trätt i kraft ställer bland annat krav på att varje medlemsland ska tillgängliggöra patientuppgifter när det gäller primäranvändning av hälsodata, dvs. inom hälso- och sjukvården. Vidare ska varje medlemsstat säkerställa att hälso- och sjukvårdspersonal har tillgång till vissa prioriterade kategorier av hälsodata för patienter som de behandlar, oavsett var patienten är bosatt. Tillgången ska säkerställas genom tillgångstjänster för hälso- och sjukvårdspersonal. Både behovet nationellt av att säkerställa en samlad tillgång till patientens uppgifter i hela vårdkedjan och de nu gällande krav som EHDSförordningen ställer på medlemsstaterna innebär därmed starka

197 S2021/03119

404

behov av ett förändrat regelverk i Sverige vad gäller de rättsliga förutsättningarna och begräsningarna för sådan åtkomst.

11.3.3 Riskerna med ett förändrat regelverk

Den utökade spridningen av hälsodata som införandet av den nationella digitala infrastrukturen och ett obligatoriskt tillgängliggörande av hälsodata kommer att innebära medför att både mängden uppgifter som behandlas per individ kommer att öka liksom antalet aktörer som kan ta del av uppgifterna. Behandling av stora mängder personuppgifter är generellt sett förenat med större integritetsrisker än mer begränsade behandlingar. En vanligt mitigerande åtgärd som föreslås för att minska integritetsrisken är att personuppgifterna anonymiseras eller pseudonymiseras för att göra det omöjligt eller svårare att härleda en viss informationsmängd till en viss individ. Men mot bakgrund av att hälsodata ska användas för ändamålet att vårda patienter är det av största vikt att den är kopplad till en viss individ på ett säkert sätt. Möjligheterna till att vidta säkerhetsåtgärder som på olika sätt skulle avidentifiera eller pseudonymisera information när den kommuniceras i den nationella digitala infrastrukturen kommer därför enligt utredningens bedömning att vara högst begränsad. Utgångspunkten är tvärtom att uppgifterna i den utsträckning de behövs för att koppla hälsodata till individ är personnummerbaserade, rikstäckande och omfattar stora delar av Sveriges befolkning oavsett ålder och kön. Det innebär också att behandlingen kommer att omfatta personuppgifter om barn och andra särskilt skyddsvärda individer. Den kliniska hälsodata som ska överföras med stöd av den nationella infrastrukturen finns redan registrerad i respektive EHRsystem hos den vårdgivare som ansvarar för uppgiften. Den nationella infrastrukturen kommer således inte att leda till att det uppstår ytterligare kopior av dessa kliniska personuppgifter. Däremot innebär infrastrukturen naturligtvis att möjligheten till att sprida den kliniska informationen nationellt väsentligt utökas. Varje sådant spridningstillfälle innebär också att uppgifterna när de kommuniceras med hjälp av infrastrukturen utsätts för ett

405

potentiellt intrångshot oavsett om själva kommunikationen endast innebär en flyktig lagring av informationen eller inte.

11.3.4 Några särskilda riskområden och integritetsstärkande åtgärder inom dessa

Det finns några särskilda delar av våra förslag som förtjänar att kommenteras särskilt vad gäller dess påverkan av den personliga integriteten.

Direktåtkomst och dataskydd

Direktåtkomst är en form av elektroniskt utlämnande av uppgifter. Uppgifter kan dock lämnas ut elektroniskt även på andra sätt än genom direktåtkomst. I s.k. registerförfattningar används ofta begreppet ”utlämnande på medium för automatiserad behandling”, men även begrepp som ”elektronisk åtkomst” och ”elektroniskt utlämnande” används. Några legaldefinitioner av dessa begrepp finns inte. Utredningen har i avsnitt 5.2 närmare redogjort för dessa begrepp och argumenterat för hur utredningen bedömer att tillgången ska regleras för att möjliggöra en nationell åtkomst till hälsodata inom hela vårdkedjan. Olika former för elektronisk tillgång har bedömts utgöra olika risker vad gäller dataskydd och integritet. Mot bakgrund av sammanställningsmöjligheterna och möjligheter till spridning av uppgifter som en digitaliserad behandling erbjuder, anses det vara mer känsligt utifrån integritetssynpunkt att lämna ut uppgifter elektroniskt än på papper. En myndighet kan således enligt en bestämmelse om uppgiftsskyldighet ha skyldighet att lämna ut vissa uppgifter till en annan myndighet, men den mottagande myndigheten kanske bara har rätt att ha direktåtkomst till vissa av dessa uppgifter.

198

Vad avser direktåtkomst har det tidigare bedömts att en sådan åtkomst generellt ökar riskerna för intrång i den personliga

198 Dir. 2011:86, Integritet, effektivitet och öppenhet i en modern e-förvaltning, s. 11 har vi inte me

406

integriteten. De upptagningar som direktåtkomsten avser blir allmänna handlingar hos den mottagande myndigheten och ju fler myndigheter som har direktåtkomst till uppgifter i ett datasystem, desto större blir allmänhetens möjlighet därmed att få tillgång till uppgifterna. Ett annat skäl till att direktåtkomst kan anses innebära särskilda risker är att sådan åtkomst typiskt sett innebär att uppgifter blir tillgängliga för fler personer och att den utlämnande myndighetens möjligheter att kontrollera användningen så att obehöriga inte tar del av uppgifterna minskar. Den utlämnande myndigheten har inte kontroll över vilka uppgifter som mottagaren vid varje enskilt tillfälle tar del av och vem som tar del av uppgifterna. Det är dock viktigt att konstatera att en myndighet som får tillgång till uppgifter genom direktåtkomst inte i sig innebär någon rätt att behandla personuppgifterna. Mottagaren måste ha ett rättsligt stöd i sin egen registerlagstiftning, uppdrag eller i någon annan tillämplig dataskyddsreglering för behandlingen av personuppgifter och även i övrigt uppfylla alla skyldigheter som är förenade med den. Det kan också konstateras att elektroniskt utlämnande av personuppgifter på annat sätt än genom direktåtkomst kan innebära risker för den personliga integriteten. Ett traditionellt utlämnande innebär som regel att mottagaren lättare kan bearbeta informationen, till exempel genom att samköra den med information som hämtas från andra källor och sprida den vidare elektroniskt i nya former jämfört med direktåtkomst som ofta innebär att uppgifterna tillgängliggörs genom ett på förhand definierat format i ett system där uppgifterna endast visas upp och inte laddas ned och varaktigt bevaras hos den myndighet som nyttjar direktåtkomsten. Det konstateras i utredningen som låg till grund för SVOD att högsta förvaltningsdomstolen i den så kallade LEFI-onlinedomen förändrat synen på vad som utgör direktåtkomst och dess likhet med frågasvar utlämnande av allmänna handlingar. 199 Av förarbetena till 200 SVOD framgår att regeringen föreslår att vårdgivare och omsorgsgivare ska ges tillgång genom direktåtkomst eller annat elektroniskt utlämnande. Möjligheten för vårdgivare att ta del av uppgifter om patienter hos andra vårdgivare genom sammanhållen

199 SOU 2021:4 Informationsöverföring inom vård och omsorg, sid 247 ff 200 Prop. 2021/22:177

407

journalföring kvarstår således oförändrad, men utökades med möjligheten för vårdgivare att ta del av uppgifter hos omsorgsgivare samt för omsorgsgivare att ta del av uppgifter hos vårdgivare och andra omsorgsgivare. Utredningen bedömer att detta bör tolkas som att det finns ett bibehållet och motiverat behov av en fortsatt möjlighet till direktåtkomst vårdgivare emellan, oaktat utvecklingen av praxis när det gäller formen för utlämnande. Huruvida regeringen ansluter sig till tesen om att direktåtkomst och fråga-svar utlämnande är likartade eller inte framgår inte av propositionen. Regeringen angav emellertid att de delar Utredningens om sammanhållen vård- och omsorgsdokumentations bedömning att det inte är lämpligt att utforma regleringen på ett sådant sätt att den låste fast det elektroniska utlämnandet till just direktåtkomst. Vidare framhöll regeringen att det kan finnas system som uppfyller behoven av informationsöverföring men med högre integritetsskydd än vid just direktåtkomst. 201 Mot den bakgrunden föreslogs ett tillägg till bestämmelsen som möjliggjorde att vårdgivare och omsorgsgivare kunde ge och få tillgång genom direktåtkomst eller annat elektroniskt utlämnande till personuppgifter hos andra vårdgivare och omsorgsgivare. Utredningen konstaterar även att flertalet andra utredningar på senare tid har förespråkat en funktionellt inriktad reglering av elektroniskt utlämnande som inte fokuserar på vilken teknik som ska användas för detta och även redogör för att det i praktiken kan vara liten skillnad mellan formerna för utlämnande. 202 Ingen av dessa utredningar har dock lett till lagstiftning. Oaktat detta har utredningen av anledningar som redan redogjorts för, föreslagit att såväl direktåtkomst som annan form av elektroniskt utlämnande ska möjliggöra det utbyte av hälsodata som ska ske nationellt. Utredningen konstaterar även att direktåtkomst som sådan, beroende på hur den konstrueras tekniskt, ur ett integritetsperspektiv inte innebär någon avgörande skillnad jämfört med ett elektroniskt utlämnande i form av en fråga-svar-funktion. Den föreslagna regleringen av hur informationsutbytet ska säkerställas genom den nationella digitala infrastrukturen innebär

201 Prop. 2021/22:177. s 78 ff. 202 Se bland annat SOU 2023:96 en reform för datadelning, SOU 2023:100 framtidens dataskydd vid skatteverket, tullverket och kronofogden,

408

inte i praktiken att olika vårdgivare får full tillgång till varandras itsystem utan att definierade informationsmängder ska tillgängliggöras under ordnade former. Utredningen bedömer därför att de särskilda skyddsåtgärder ur integritetshänsyn som föreslås är tillräckliga och inte behöver kompletteras ytterligare just för att tillgängliggörandet möjliggörs av direktåtkomst.

Borttagande av krav på samtycke vid åtkomst över vårdgivargränser

Vid införandet av SVOD gjordes egentligen inte någon annan bedömning än att förfarandet kring direktåtkomst genom den då i PDL reglerade möjligheten till sammanhållen journalföring varit ändamålsenlig och uppfyllt det avsedda syftet att med bibehållet integritetsskydd öka patientsäkerheten genom enkel och snabb tillgång till information. Bestämmelserna konstaterades ha tillämpats i närmare ett drygt decennium utan att det kommit fram någon allvarligare kritik mot själva lagstiftningen i sig från integritetsskyddssynpunkt. 203 Såsom utredningen har konstaterat tidigare finns dock en kritik från främst vårdgivarna mot att kravet på ett enskilt samtycke vid varje informationsinhämtning försvårar hanteringen i stort. 204 Vi har närmare redogjort för frågan om samtycke som grund för åtkomst i förslaget till ändringar i PDL, se avsnitt 6.4.2 och framåt, både utifrån integritetssynpunkt och andra aspekter. Utredningen har föreslagit att kravet på samtycke tas bort och att utgångspunkten numera ska vara att uppgifter kan tillgängliggöras i hela hälsokedjan utan att vid varje tillfälle behöva godkännas av den enskilde patienten. Den enskilde individen ges genom EHDS-förordningen nya rättigheter som kan användas för att påverka hur hälsodata kan tillgängliggöras i vårdkedjan och en möjlighet att genom så kallad opt-out helt avstå från att delta i utbytet vilket sammantaget anses ge tillräckligt skydd för individens integritet.

203 SOU 2021:4 Informationsöverföring inom vård och omsorg, sid 252 204 Se bla Skrivelse från chefsjurister i regionerna om lagstiftning för patientuppgifter, Socialdepartementet dnr S2019/02788

409

Obligatorisk tillgängliggörande av journalinformation som innebär att större mängder känslig information är tillgänglig för en större mängd personer kräver högre säkerhet

Ett obligatoriskt krav på att dela hälsodata genom tillgängliggörande av sådana uppgifter som ingår i de prioriterade kategorierna av hälsodata innebär att fler känsliga personuppgifter kommer att vara tillgängliga för fler vårdgivare, vilket i sig kan innebära en större risk för okontrollerad spridning av dessa uppgifter. Bakgrunden till obligatoriet är dels införandet av EHDS-förordningen som kräver att prioriterade hälsodata delas mellan vårdgivare, dels ett nationellt behov av att utveckla tillgången till hälsodata inom hela vårdkedjan för att garantera en effektivt och patientsäker vård. Det ska också beaktas att EHDS-förordningen också innehåller nya integritetsstärkande rättigheter för den enskilda, bl.a. möjligheten att reglera s.k. opt-out och rätten att få del av vilka åtkomst som skett genom automatiserad insyn i loggar samt även möjlighet att begränsa spridningen av hälsodata genom rätten att begränsa tillgång. Säkerheten i systemen för delning av hälsodata kommer vara avgörande för att begränsa en okontrollerad spridning. Här finns krav i EHDS-förordningen om loggning av all åtkomst och krav på att autentisering för åtkomst ska ske utifrån kraven i EiDASregleringen. I övrigt hänvisas även till sektorspecifika krav som följer av Europaparlamentets och rådets direktiv (EU) 2022/2555 om åtgärder för en hög gemensam cybersäkerhetsnivå (NIS-2 direktivet).

Förändrade möjligheter till spärr

Utredningen föreslår förändring av gällande regler för spärrar vilken bedöms komma att förenkla patientens rätt att spärra information utifrån dels vilka vårdgivare som ska kunna ta del av hälsodata, dels vilka informationsmängder som ska omfattas. Förändringen innebär ett, för patienten, tydligare regelverk jämfört med dagens system som är helt organisatoriskt inriktat där patient enbart kan påverka flödet av hälsodata utifrån vårdens egen organisatoriska

410

uppbyggnad. Förändringen bedöms också innebära en tydligare innebörd av vad spärr utgör och får för slags effekter. Dagens system med flera olika slags spärrar i olika lagar som medför olika effekter och kan hävas på olika sätt innebär att det är svårt för den enskilde individen att få en uppfattning av hur denne egentligen kan styra åtkomsten till individens egna uppgifter. Förslagen utgör enligt utredningen en förbättring av dagens system och därmed en förbättring av de integritetshöjande åtgärder som finns.

För patienter som är tveksamma finns möjlighet att helt avstå

Slutligen föreslår utredningen även en möjlighet för patienter att helt avstå från att delta i utbytet av hälsodata och därmed förhindra att vårdgivare ger elektroniskt tillgång till kliniska data till andra vårdgivare. Detta ställningstagande från patienter att motsätta sig tillgång (opt-out) kommer att innebära att betydligt färre av dennes personuppgifter kommer att behandlas inom ramen för den nationella infrastrukturen eftersom uppgifterna inte ens ska vara tekniskt möjliga att få tillgång till med mindre än att patienten återkallar sin opto ut. Däremot måste det av naturliga skäl vara möjligt att behandla uppgiften om att patienten valt att motsätta sig tillgång. Opt-out är en konkret rättighet som utgör en garanti för de individer som känner sig osäkra eller tveksamma till den utvidgade informationsspridningen som de nya reglerna om tillgängliggörande av hälsodata innebär. Denna möjlighet är en viktig integritetsstärkande åtgärd.

11.3.5 Avvägning mellan behov och risker avseende förslagen på ändringar i patientdatalagen och nationell läkemedelslista

Det saknas anledning att ifrågasätta slutsatsen att en obligatorisk delning av stora mängder uppgifter av känslig karaktär innebär en stor förändring och att denna innebär risker för individers personliga integritet. Sammantaget är det dock utredningens uppgift att

411

bedöma om de förslag som utredningen lämnar innebär några sådana risker som inte motsvaras av de behov och nyttor som förslagen innebär. Här kan återigen konstateras att själva grunden för det obligatoriska utbytet av hälsodata inom vårdkedjan kommer från EHDS-förordningen och därmed inte behöver utgöra en del av bedömningen även om det naturligtvis är den fond som omgärdar analysen. Det obligatoriska utbytet av hälsodata bedöms innebära stora nyttoeffekter för patientsäkerhet och därmed individers hälsa. Med beaktande av de åtgärder som föreslås, särskilt vad som gäller tydliggörande och förenkling av patienters möjligheter att påverka utbytet av hälsodata, såsom förtydligandet av rättigheterna till spärr, större möjligheter till insyn i vilken åtkomst som har skett och den konkreta rättigheten att helt avstå från att delta i utbytet är det utredningens bedömning att det finns skyddsmekanismer som utgör konkreta krav på vårdgivarna och dess anställda samt möjligheter till påverkan på personuppgiftsbehandlingen för individen. Även om personuppgiftsbehandlingen med borttagande av samtycke vid varje åtkomst mellan vårdgivare innebär en större risk för spridning av personuppgifter innebär de skyddsmekanismer som införs att risken för integritetsskyddet som uppstår i vart fall minskar i sådan grad att regelverket som helhet kan anses vara proportionerligt. Det måste också i sammanhanget beaktas att de skyddsåtgärder som föreligger sedan tidigare inom ramen för PDL fortfarande kommer att tillämpas. Det finns till exempel sedan tidigare krav på loggning och uppföljning av loggning vilket innebär möjligheter för att otillåten åtkomst upptäcks och därmed både utgör en förutsättning för att kunna göra sådana uppföljningar men även ett incitament till att inte bereda sig åtkomst till uppgifter utöver de behörigheter man som vårdpersonal har. Den behandling av personuppgifter som ska utföras inom ramen för tillgång till hälsodata i hela vårdkedjan, för vårdgivare och för patienter bedöms sammantaget betraktas som proportionerlig i förhållande till nyttoeffekterna.

412

12 Ikraftträdande

EHDS-förordningen trädde i kraft under första kvartalet 2025 och ska börja tillämpas från och med den 26 mars 2027. Olika delar av förordningen kommer sedan att börja tillämpas successivt fram till 2035. I denna delredovisning lämnar utredningen författningsförslag som behövs för den nationella digitala infrastrukturen samt för implementering av EHDS-förordningens bestämmelser om primäranvändning av hälsodata. Från och med den 26 mars 2029 ska förordningens krav i artiklarna 3–15 börja tillämpas på de prioriterade kategorierna patientöversikter, elektroniska recept och elektroniska expedieringar. Från och med 26 mars 2031 ska dessa artiklar tillämpas på fler prioriterade kategorier av elektroniska hälsodata. I detta kapitel föreslår utredningen vilka bestämmelser om ikraftträdande och övergångsbestämmelser som behövs.

12.1 Lagen om nationell infrastruktur för elektroniskt informationsutbyte och tjänster på hälso- och sjukvårdsområdet och anslutande förordning

Utredningens förslag: Lagen om nationell infrastruktur för elektroniskt informationsutbyte och tjänster på hälso- och sjukvårdsområdet ska träda i kraft den 26 mars 2029. Förordningen om nationell infrastruktur för elektroniskt informationsutbyte och tjänster på hälso- och sjukvårdsområdet ska träda i kraft samtidigt.

413

Skälen för utredningens förslag

Utredningen föreslår en ny lag med anslutande förordning som ska reglera ett statligt ansvar för en nationell digital infrastruktur för elektroniskt informationsutbyte och tjänster på hälso- och sjukvårdsområdet I den nya lagen fastslås en skyldighet för en ansvarig myndighet att föra nödvändiga register och tillhandahålla de it-funktioner krävs för att säkerställa att vårdgivare kan ge tillgång till och ta emot vårddokumentation i elektronisk form. Den ansvariga myndigheten ska även tillhandahålla en sådan tillgångstjänst för hälso- och sjukvårdspersonal som avses i artikel 12 i EHDS-förordningen. Myndigheten ska alltså tillhandahålla sådana tekniska komponenter som krävs för att på ett säkert och ändamålsenligt sätt möjliggöra delning av hälsodata. De författningsförslag som utredningen lämnar i denna delrapport syftar till att hälsodata ska bli tillgängliga i hela vårdkedjan och till att implementera EHDS-förordningen. Den nya lagen och de ändrade bestämmelserna i olika lagar som utredningen föreslår behöver kunna fungera tillsammans. Utredningen anser därför att de flesta bestämmelserna som föreslås, ska träda i kraft samtidigt och i anslutning till att EHDS-förordningens bestämmelser om primäranvändning ska börja gälla på de prioriterade kategorierna patientöversikter, elektroniska recept och elektroniska expedieringar. Utredningen föreslår således att lagen om nationell infrastruktur för elektroniskt informationsutbyte och tjänster på hälso- och sjukvårdsområdet ska träda i kraft den 26 mars 2029. Motsvarande ska gälla för ikraftträdande av anslutande förordning. Utredningen föreslår att förordningen om digital infrastruktur för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet ska träda i kraft den 26 mars 2029.

12.2 Patientdatalagen och lagen om sammanhållen vård- och omsorgsdokumentation

Utredningens förslag: Ändringarna i patientdatalagen och lagen om sammanhållen vård- och omsorgsdokumentation ska träda i

414

kraft den 26 mars 2029. Bestämmelsen i 6 kap. 3 § 2 patientdatalagen ska dock börja tillämpas den 26 mars 2031. Ändringarna i lagen om estetisk kirurgi och lagen och lagen om försäkringsmedicinska utredningar ska träda i kraft den 26 mars 2029.

Skälen för utredningens förslag

Ändringarna i patientdatalagen (2008:355, PDL) handlar om att anpassa lagen till EHDS-förordningens krav på registrering av hälsodata, tillgängliggörande av hälsodata till andra vårdgivare, hälso- och sjukvårdspersonalens tillgång till hälsodata och patientens inflytande över sina elektroniska hälsodata. Utredningens ambition har varit att förenkla reglerna om utbyte av hälsodata och harmonisera regler om frivilligt utbyte av hälsodata med bestämmelserna i EHDS-förordningen. De flesta ändringar som utredningen föreslår i PDL utgör anpassningar till EHDS-förordningens bestämmelser om primäranvändning. Bestämmelserna om primäranvändning i artiklarna 3–15 ska enligt artikel 105 börja tillämpas den 26 mars 2029. I 6 kap. 3 § PDL finns bestämmelser om att en vårdgivare genom direktåtkomst eller annat elektroniskt utlämnande, ska ge en annan vårdgivare tillgång till uppgifter som omfattas av artikel 14.1 a–c i EHDS-förordningen, och även uppgifter som omfattas av artikel 14.1 d–f i förordningen. När det gäller uppgifter som omfattas av artikel 14.1 d–f EHDS-förordningen, ska kraven enligt artikel 105 tredje stycket i förordningen börja tillämpas den 26 mars 2031. Utredningen föreslår att ändringarna PDL i ska träda i kraft den 26 mars 2029. När det gäller bestämmelsen i 6 kap. 3 § 2 p PDL så ska den börja tillämpas den 26 mars 2031. Bestämmelserna i lagen (2022:913) om sammanhållen vård- och omsorgsdokumentation (SVOD) ändras endast på så vis att de bestämmelser som handlar om utbyte av hälsodata mellan olika vårdgivare utmönstras från lagen. Såväl frivilligt som obligatoriskt utbyte av hälsodata mellan vårdgivare ska fortsättningsvis regleras i

415

PDL. Ändringarna hör således ihop med ändringarna i PDL och bör träda i kraft samtidigt. Utredningen föreslår därför att ändringarna i SVOD ska träda i kraft den 26 mars 2029. Ändringarna i lagen (2021:363) om estetisk kirurgi och lagen och lagen (2018:744) om försäkringsmedicinska utredningar avser enbart hänvisningsändringar till följd av att bestämmelserna om utbyte av hälsodata mellan vårdgivare flyttas till PDL. Utredningen förslår att dessa ändringar också ska träda i kraft den 26 mars 2029.

12.3 Lagen om nationell läkemedelslista och lagen om handel med läkemedel

Utredningens förslag: Ändringarna i lagen om nationell läkemedelslista träder i kraft den 26 mars 2029. Ändringarna i apoteksdatalagen, lagen om handel med läkemedel träder i kraft den 26 mars 2029.

Skälen för utredningens förslag

De ändringar i lagen (2028:1212) om nationell läkemedelslista (NLL), apoteksdatalagen (2009:367) och lagen (2009:366) om handel med läkemedel som utredningen föreslår handlar huvudsakligen. om anpassningar till EHDS-förordningens krav. Ändringarna i NLL berör främst kravet på samtycke vid direktåtkomst till den nationella läkemedelslistan som ska tas bort och att vissa regler om spärrar justeras. Förslagen till ändring i NLL och lagen om handel med läkemedel omfattar också att E-hälsomyndigheten, vårdgivare och apotek ska tillgängliggöra och ta emot uppgifter i den nationella läkemedelslistan i det europeiska formatet för utbyte som avses i EHDS-förordningen och enligt föreskrifter som meddelas med stöd av lagen. Sådana bestämmelser som har koppling till vissa prioriterade kategorierna av hälsodata ska enligt förordningen börja tillämpas tidigast 26 mars 2029. Utredningen föreslår i NLL och lagen om handel med läkemedel bestämmelser med bemyndigande till regeringen eller den

416

myndighet som regeringen att föreskriva om hur skyldigheten att lämna ut och ta emot uppgifter från den nationella läkemedelslistan ska fullgöras, och om tekniska och organisatoriska krav på säkerhet hos den som bedriver verksamhet inom hälso- och sjukvården respektive hos den som har tillstånd att bedriva detaljhandel med läkemedel. Dessa säkerhetskrav hör också ihop med kraven på tillgängliggörande av uppgifter enligt EHDS-förordningen. De flesta ändringar som utredningen föreslår i NLL och lagen om handel med läkemedel utgör anpassningar till EHDS-förordningens bestämmelse om primäranvändning. Dessa bestämmelser ska enligt artikel 105 börja tillämpas den 26 mars 2029. Utredningen föreslår därför att ändringarna i NLL, och lagen om handel med läkemedel ska träda i kraft den 26 mars 2029. Även ändringen i apoteksdatalagen ska träda i kraft denna dag.

12.4 Offentlighets- och sekretesslagen

Utredningens förslag: Ändringarna i offentlighets- och sekretesslagen ska träda i kraft den 26 mars 2029.

Skälen för utredningens förslag.

Ändringarna i offentlighets- och sekretesslagen (2009:400 [OSL]) avser främst de sekretessbrytande bestämmelser som behövs för att möjliggöra det utbyte av hälsodata som EHDS-förordningen kräver och som behövs för informationsutbyte inom den nationella digitala infrastrukturen. Utredningen föreslår även en regel om absolut sekretess som behövs för att skydda uppgifter som enbart är potentiellt tillgängliga för en vårdgivare. Dessa bestämmelser behöver träda i kraft samtidigt som de materiella bestämmelserna i PDL och lagen om nationell infrastruktur för elektroniskt informationsutbyte och tjänster på hälso- och sjukvårdsområdet. Utredningen föreslår därför att ändringarna i OSL ska träda i kraft 26 mars 2029.

417

13 Konsekvensanalys

13.1 Inledning

Utredningen har i uppdrag att analysera och föreslå åtgärder för att hälsodata ska vara tillgänglig i hela vårdkedjan samt för att möjliggöra en nationell digital infrastruktur för hälsodata. Utredningen har även i uppdrag att föreslå anpassningar i svensk rätt med anledning av den kommande EU-förordningen om det europeiska hälsodataområdet (EHDS). Uppdraget omfattar bland annat frågor om rättsliga förutsättningar för datadelning, personuppgiftshantering, informationssäkerhet, sekretess, organisatoriska ansvarsförhållanden och tekniska strukturer. Konsekvensutredningen i denna promemoria belyser effekterna av utredningens förslag. Konsekvensutredningen har utformats i enlighet med förordningen (2024:183) om konsekvensutredningar. Den innehåller en redogörelse för det problem som förslagen syftar till att lösa, en analys av effekterna av att inte vidta åtgärder samt en genomgång av alternativa lösningar och skälen till valet av det föreslagna alternativet. Vidare redovisas beräknade eller bedömda effekter för staten, kommuner och regioner, företag samt enskilda. Kostnader och intäkter har kvantifierats i den mån det varit möjligt och relevant. Utredningen har också analyserat proportionaliteten i regleringens utformning i förhållande till det eftersträvade syftet.

418

Där så är tillämpligt behandlas även konsekvenser i fråga om behovet av informationsinsatser, tidpunkten för ikraftträdande, möjlighet till uppföljning och utvärdering, påverkan på den kommunala självstyrelsen, samt förslagets förenlighet med unionsrätten och eventuella avvikelser från direktivens miniminivå. Konsekvensutredningen utgör ett underlag för att bedöma genomförbarhet, kostnadseffektivitet och rättssäkerhet i de föreslagna reformerna. Utöver konsekvensanalysen i detta kapitel kan nämnas att en konkurrensrättslig bedömning om förslaget om en statlig tillgångstjänst för hälso- och sjukvårdspersonal återfinns i avsnitt 6.2.3. En särskild dataskydds- och integritetsanalys återfinns i kapitel 11. I utredningens första delrapport Det europeiska hälsodataområdet - kostnadsuppskattningar, som redovisades i mars 2024 återfinns bl.a. kostnadsuppskattningar för genomförandet av EHDS i sin helhet, förslag till finansiering, en analys av nyttor och konsekvenser, en riskanalys av kostnaderna för genomförandet liksom ett resonemang om finansieringsprincipen. Rapporten kan ses som ett komplement till denna konsekvensanalys och som utredningen refererar till i valda delar i denna rapport.

13.2 Utredningens metod för att beskriva konsekvenser

Analysen av konsekvenser för berörda aktörer baseras på ett flertal källor, däribland myndighetsrapporter, öppna data i form av SCB:s register för bl.a. företagsdatabasen, befolkningsregister, samt en särskild enkätundersökning riktad till regioner, kommuner och privata vårdgivare (se bilaga 4). Utredningen har även haft dialoger med regioner under de 15 regionbesök som genomförts tillsammans med Samordnaren för nationell digital infrastruktur i hälso- och sjukvården 205 . En workshop har även genomförts tillsammans med samordnaren med representanter från hälso- och sjukvården samt patientföreträdare.

205 Samordnare för en nationell digital infrastruktur i hälso- och sjukvården. Dir 2023:177.

419

Enkäten var semistrukturerad och innehöll öppna frågor, svar återgavs i fritext. Frågorna syftade till att förstå hur vårdgivare påverkas av dels förslagen om en nationell digital infrastruktur som presenterats i E-hälsomyndighetens rapport, dels den kommande EHDS-förordningen.

Enkäten omfattade fyra delar: 1. Frågor om nyttor och besparingar av att tillgängliggöra hälsodata i hela vårdkedjan. 2. Frågor om den föreslagna informationsförsörjningen av register och funktioner hos E-hälsomyndigheten, inklusive krav på anslutning till infrastrukturen. 3. Frågor om anpassningar till följd av de krav som EHDSförordningen ställer om tillgängliggörande av hälsodata inklusive uppskattade nyttor, kostnader och risker. 4. Övriga synpunkter från respondenterna.

Enkäten skickades till ett urval av kommuner (43 st), samtliga regioner (21 st) och privata vårdgivare (via vårdföretagarna 10 st). Urvalet av kommunerna har gjorts i samråd med SKR och utgörs av kommundirektörsnätverket som enligt uppgift ska vara någorlunda representativt sett till geografi, storstad/landsbygd/glesbygd. Utredningen har även skickat enkäten till Karlskrona kommun som uppföljning efter ett fysiskt dialogmöte med kommunen. Av 21 regioner (inklusive Gotland) har 16 svarat. Av de regioner som svarade fanns en spridning avseende befolkningsmängd (storstad/glesbygd) samt ålderssammansättning på befolkningen. Detta ger ett underlag som kan betraktas som relativt representativt för regionnivån. En styrka i materialet är att flera svar är utförliga och innehåller både kvantitativa uppskattningar av kostnader och besparingar samt kvalitativa resonemang kring nyttor och risker. En svaghet är att ambitionsnivån varierar mellan svaren, vilket innebär att generella kvantitativa slutsatser försvåras. Av 43 kommuner har 16 inkommit med svar på åtminstone någon fråga. Omfattningen av svaren har varit varierande. Givet den explorativa formen på undersökningen med öppna frågor samt att

420

endast 37 procent av de tillfrågade har svarat kommer svaren inte kunna betraktas som representativa för samtliga kommuner. Svaren används därför främst för att få en bred bild av vilken typ av konsekvenser som kommuner ses samt belysa återkommande företeelser och exempel som, om de antas vara generella, kan indikera möjliga konsekvenser i en bredare kommunal kontext. För privata vårdgivare är svaren begränsade i omfattning, men ger viktiga indikationer om marknadseffekter, konkurrensneutralitet och tekniska anpassningsbehov. Det insamlade materialet från enkätundersökningen har vissa metodologiska begränsningar som bör beaktas vid tolkning av resultaten. För det första varierar svarens omfattning och detaljeringsgrad avsevärt mellan olika aktörer, vilket påverkar möjligheten att dra jämförbara slutsatser på individnivå. Detta gäller särskilt de kvantitativa uppgifterna om kostnader och besparingar, där vissa aktörer har lämnat uppskattningar medan andra har avstått från att kvantifiera effekterna. För det andra är urvalet av kommuner och privata vårdgivare begränsat i omfattning och inte statistiskt representativt för respektive sektor. Det innebär att resultaten främst bör betraktas som indikativa och illustrativa snarare än generaliserbara. Vidare bygger enkäten på självskattning och öppna svar, vilket medför en risk för tolkningsojämlikheter och subjektiva bedömningar. Konsekvensanalysen beaktar tre huvudsakliga aktörsgrupper: huvudmännen (regioner och kommuner), privata vårdgivare och systemleverantörer. Utredningens redovisning innefattar konsekvenser för små och medelstora företag. Konsekvenserna belyses ur flera perspektiv: ekonomiska (kostnader, nyttor, besparingar), administrativa (arbetsbörda, kompetensbehov), organisatoriska (styrning, ansvarsfördelning, samverkan), marknadsrelaterade (konkurrensneutralitet, innovation, risk för undanträngning) samt ett individperspektiv med fokus på patientsäkerhet, integritet och likvärdig tillgång till vård och omsorg.

421

13.3 Kort om utredningens förslag

Utredningens förslag sammanfattas i korthet nedan. • Vårdgivare ska vara skyldiga att sinsemellan tillgängliggöra särskilt utpekade hälsodata enligt ett fastställt format. Det ska inte längre vara frivilligt för vårdgivare att möjliggöra delning av hälsodata. Nya bestämmelser i enlighet med EHDSförordningens krav föreslås. • Hälsodata ska vara tillgänglig endast när det behövs för vården av patienten. Patientens aktiva samtycke ska inte längre krävas för att möjliggöra vårdgivares åtkomst till annan vårdgivares elektroniska hälsodata. Patienter ges andra rättigheter och möjligheter att kunna påverka i vilken utsträckning hälsodata tillgängliggörs och delas och nya bestämmelser i enlighet med EHDS-förordningens krav föreslås. • Patienten har rätt att begränsa (spärra) hälso- och sjukvårdspersonalens tillgång till hans eller hennes hälsodata. Sådana spärrar får enligt EHDS-förordningen inte synas för hälso- och sjukvårdspersonal. Det ska fortsatt vara möjligt att bryta en spärr om patientens liv är i fara och patienten själv inte kan be om att spärren hävs. Regelverken om spärrar ska vara likadana för alla uppgifter i journalen och i den nationella läkemedelslistan. • Fysiska personer ska ha rätt att helt motsätta sig hälso- och sjukvårdspersonalens tillgång och därmed stå utanför elektroniskt tillgängliggörande av hans eller hennes hälsodata (opt-out). Om opt-out har valts får hälso- och sjukvårdspersonal inte ta del av patientens elektroniska journalhandlingar. Begränsningen gäller även när patientens liv är i fara. • Personer under 18 år har inte möjlighet att välja opt-out men kan begränsa tillgång genom spärr. • Utredningens föreslår i huvudsak ändringar i patientdatalagen, lagen om sammanhållen vård- och omsorgsdokumentation, lagen om nationell läkemedelslista, lagen om handel med läkemedel och offentlighets- och sekretesslagen. Ett flertal föreskrifter kan

422

423

13.4 Alternativa lösningar

Utredningens förslag handlar om att anpassa svensk rätt till EHDSförordningen samt ge rättsliga förutsättningar för den nationella digitala infrastruktur som regeringen vill förverkliga och där förslagen utgår från E-hälsomyndighetens rapport. Några av denna utrednings förslag utgår från förslag i andra utredningar eller utredningens egna bedömningar utifrån det utrymme till nationell anpassning som EHDS ger. Alternativa lösningar för dessa förslag presenteras nedan.

Förslag om nationell delning av information och om nationella specifikationer (Avsnitt 5.3 samt 5.5.3)

Utredningen föreslår i avsnitt 5.3. att regeringen eller den myndighet regeringen bestämmer ska bemyndigas att dels fatta beslut om ytterligare information för delning inom Sverige. I avsnitt 5.5.3 föreslår utredningen att E-hälsomyndigheten ska bemyndigas att meddela föreskrifter om dels krav på vårdgivare att tillgängliggöra ytterligares information utöver de prioriterade kategorierna, dels kunna fastställa nationella format som ska användas när uppgifter delas. Utredningens förslag i dessa delar utgår från och är i sak identiska med de förslag som är lämnade i SOU 2024:33. Utredningen hänvisar därför till konsekvensanalysen i SOU 2024:33 för genomgång av alternativa lösningar. 206

206 SOU 2024:33, s. 331 ff

424

Utredningens förslag om en statlig tillgångstjänst för hälso- och sjukvårdspersonal (Avsnitt 6.2.1)

EHDS-förordningen föreskriver att medlemsstaterna ska säkerställa kostnadsfri tillgång till de prioriterade kategorierna av hälsodata som avses i artikel 14 för hälso-och sjukvårdspersonal genom tjänster för tillgång (artikel 12). Av förordningen framgår inte vem som ska åläggas att tillhandahålla en sådan tjänst. Utredningen har därför haft i uppdrag att föreslår hur Sverige uppfyller kravet på att tillhandahålla en sådan tjänst som är tillgänglig för all hälso- och sjukvårdspersonal i landet. Utredningen redogör för olika vägval och alternativ tidigare i denna delredovisning, se avsnitt 6.2.1. Sammanfattningsvis ser utredningen regeringen eller den myndighet regeringen bestämmer ska tillhandahålla den tillgångstjänst som avses i artikel 12 i EHDSförordningen.

Medlemsstaternas möjlighet att införa opt-out. (Avsnitt 7.2)

I artikel 10 EHDS-förordningen regleras en möjlighet för medlemsstaterna att föreskriva en rätt för en patient att helt motsätta sig tillgång till sin elektroniska hälsodata som registrerats i ett elektroniskt hälsodokumentationssystem via de tjänster för tillgång som avses i artikel 4 och 12. Om medlemsstaten inför en sådan rättighet ska patienten kunna ändra sitt beslut att motsätta sig tillgängliggörande av uppgifterna. Om patienten ändrar sig så ska uppgifterna göras tillgängliga igen. Om en patient utnyttjar sin rättighet att motsätta sig tillgång innebär detta, enligt utredningen, att patienten i fråga väljer att stå utanför hela systemet som möjliggör tillgång till hälsodata mellan olika vårdgivare. Konsekvensen av det blir att ingen vårdgivare kommer att kunna ta del av hans eller hennes hälsodata från andra vårdgivare genom tillgångstjänster för personal. På samma sätt kommer patienten inte heller själv att kunna ta del av någon sammanställning av sina hälsodata från olika vårdgivare via tillgångstjänster för fysiska personer som avses i artikel 4 EHDSförordningen, framöver hänvisade till som tillgångstjänster för patienter.

425

Om en medlemsstat föreskriver en rätt som avses i artikel 10.1, ska medlemsstaten också fastställa regler och särskilda skyddsåtgärder för mekanismen för att motsätta sig. Medlemsstaterna får föreskriva en möjlighet för vårdgivaren eller hälso- och sjukvårdspersonalen att få tillgång till elektroniska hälsodata med personuppgifter i fall där behandlingen är nödvändig för att skydda den registrerades grundläggande intressen. . Utredningen redogör för olika vägval och alternativ tidigare i denna delredovisning, se avsnitt 7.2.1. Sammanfattningsvis föreslår utredningen att det ska vara möjligt för patienten att motsätta sig att uppgifter om honom eller henne som en vårdgivare behandlar i syfte att ge vård görs elektroniskt tillgängliga för andra vårdgivare. Enbart personer över 18 år ska kunna tillämpa denna möjlighet.

13.4.1 Nollalternativet

Utredningens förslag är direkt eller indirekt föranledda av kraven i EHDS-förordningen. Konsekvensen av att inte göra föreslagna anpassningar av gällande rätt är att Sverige som medlemsstat inte uppfyller föreskrivna krav i förordningen. Detsamma kan sägas gälla även för de delar i EHDS-förordningen som ger medlemsstaterna visst utrymme att egna val till reglering, t.ex. i fråga om opt-out eller tillhandahållandet av tillgångstjänster. Att inte göra rättsliga anpassningar eller följa EHDS bedöms få flera negativa följder. Om Sverige inte tillämpar EU-lagstiftningen korrekt kan kommissionen inleda ett formellt överträdelseförfarande mot landet. En direkt konsekvens är vidare att hälsodata inte kommer kunna följa patienten över landsgränser. Vidare kommer informationsdelningen inom hälso- och sjukvården i Sverige att kvarstå oförändrad, dvs kräva patientens samtycke och vara frivillig för vårdgivare och därmed förekomma i i olika stor omfattning av olika vårdgivare.

13.5 Konsekvenser för berörda aktörer

426

13.5.1 Allmänt om utredningens analys av konsekvenser för berörda aktörer

Konsekvenserna av EHDS-förordningen har analyserats av EUkommissionen. Utredningen har sammanfattat kommissionens och andra medlemsstaters konsekvensanalyser i delredovisning 1. 207 Som nämnts i avsnittet ovan är vidare vissa förslag desamma eller modifierade förslag som lämnats av Utredningen om infrastruktur för hälsodata som nationellt intresse, och de är således konsekvensanalyserade i betänkandet SOU 2024:33. De övriga förslag som utredningen lämnar i denna delrapport bygger på befintliga regeringsbeslut om en nationell digital infrastruktur för hälso- och sjukvården. E-hälsomyndigheten har utrett och lämnat förslag om en genomförandeplan för en digital infrastruktur för hälsodata med beaktande av kraven i EHDSförordningen. I det arbetet har ingått att även analyserat vilka konsekvenser förslagen får för myndigheten. I enlighet med förordningen (2024:183) om konsekvensutredningar ska effekter belysas för staten, kommuner, regioner, företag och andra enskilda. Föreliggande avsnitt fokuserar på de aktörer som omfattats av den genomförda enkätundersökningen. För att analysera konsekvenserna har utredningen, vilket anges, ovan skickat ut enkäter till regioner, kommuner och privata vårdgivare (inklusive tandvården). Regioner och kommuner behandlas särskilt, då dessa har ett direkt ansvar för hälso- och sjukvård. Därutöver redovisas konsekvenser för privata vårdgivare inklusive små och medelstora företag. Konsekvenser för statliga myndigheter behandlas i ett separat avsnitt. Analysen omfattar ekonomiska aspekter såsom kostnader, investeringar, drift och besparingar, administrativa aspekter kopplade till förändrade arbetsprocesser, kompetensbehov och utbildningsinsatser, organisatoriska förhållanden avseende styrning, ansvarsfördelning och samverkan, samt marknadsrelaterade effekter i form av konkurrensneutralitet, innovationsförmåga och undanträngning. Frågor om likvärdighet och jämlikhet mellan

207 Det europeiska hälsodataområdet – kostnadsuppskattningar och finansieringsförslag. Dnr. S2024/01254

427

aktörer och regioner ingår. Analysen avser att redovisa konsekvenser på kort och lång sikt. Konsekvenserna av EHDS är analyserade av kommissionen. Utredningen redovisar kommissionens slutsatser i delredovisning 1, Det europeiska hälsodataområdet – kostnadsuppskattningar och finansieringsförslag. Utredningens förslag innefattar utöver direkta konsekvenser av EHDS även förslag som syftar till att möjliggöra regeringens satsning på en nationell digital infrastruktur där staten tar ett större ansvar. Den analys av konsekvenser för berörda aktörer som genomförs fokuserar därmed på att analysera konsekvenser av regeringens satsning på en nationell digital infrastruktur snarare än konsekvenserna som enbart följer av EHDS-förordningen. Frågor som ställts till berörda i det enkätutskick som gjorts avser konsekvenser av de förslag som E-hälsomyndigheten lämnat i sin delredovisning. Utredningens förslag överensstämmer i stort med dessa.

13.5.2 Nyttor av utredningens förslag

Tidigare redovisningar av nyttor

Syftet med den nationella digitala infrastruktur som, enligt regeringen, staten bör tillhandahålla är att hälsodata tillgängliggörs i hela vårdkedjan på ett säkert och effektivt sätt. EHDSförordningens bestämmelser syftar till att bl.a. säkerställa att hälsooch sjukvårdspersonal inom EU ges tillgång till relevanta och nödvändiga hälsodata. Således kan sägas att dessa syften är förenade och kompletterar varandra. Nyttan av regeringens initiativ om den nationella digitala infrastrukturen för hälsodata består till störst del i att flödet av hälsodata mellan vårdgivare möjliggörs. Utredningen redovisade i delredovisning 1 de slutsatser som kommissionen och andra länder kommit fram till avseende den nyttan som erhålls av att hälsodata kan följa med patienten genom vårdkedjan och finnas tillgänglig för vårdpersonal i samband med vård av patienten. 208

208 Det europeiska hälsodataområdet – kostnadsuppskattningar och finansieringsförslag (S2024:A), s. 20. Dnr. S2024/01254

428

Sammantaget ser kommissionen att omfattande besparingar kommer uppnås på sikt med genomförandet av EHDS. Även nationellt har frågan om delad hälsodata mellan vårdgivare utretts ett antal gånger. Redan i förarbetena till patientdatalagen (prop. 2007/08:126 s. 82 ff.) uttalade regeringen ansåg att ett väl fungerande informationssystem där alla journalanteckningar om en patient samlas i strukturerad form skulle ha en stor nyttopotential. Tillgång till korrekta och lätt åtkomliga uppgifter skulle generellt sett öka patientsäkerheten vid alla kommande vårdtillfällen. Flera statliga utredningar i Sverige har beskrivit och i delar försökt beräkna nyttan med att dela hälsodata inom vården. Beräkningar av exakt nytta är svåra att göra. I SOU 2023:13 beräknas nyttan av tjänsten patientöversikter (prioriterad kategori). Nyttan av tjänsten patientöversikter inom EES beräknades i form av nyttan för individen i form av bättre hälsa och nyttan för vården i form av minskade vårdkostnader. Sammantaget sågs betydande 209 besparingar.

Nyttan av utredningens förslag utifrån utredningens enkät

Som nämnts ovan har utredningen genomfört en enkätundersökning för att få en bild av den nytta som berörda aktörer ser av dels förslagen om en nationell digital infrastruktur som presenterats i Ehälsomyndighetens rapport, dels den kommande EHDSförordningen. Svaren redovisas nedan.

Nyttor för regioner

Utredningen har undersökt om regionerna kan identifiera besparingar och nyttor som kan uppstå när prioriterade kategorier av hälsodata görs tillgängliga för andra vårdgivare. Svaren ger en relativt samstämmig bild av att regionerna i första hand lyfter fram potentiella nyttor, snarare än kortsiktiga kostnader. Strukturerade och enhetliga hälsodata bedöms kunna ge direkta nyttor för hälso- och sjukvården. Flera regioner framhåller särskilt minskat dubbelarbete och dubbeldokumentation, vilket sparar tid

209 SOU 2023:13. s. 404 ff.

429

och resurser i vårdmötet. En tydligare struktur bedöms öka datakvaliteten, stärka patientsäkerheten och minska risken för felaktiga ordinationer eller upprepade undersökningar. En mer enhetlig informationshantering anses även förbättra sökbarhet, spårbarhet och jämförbarhet mellan vårdgivare, vilket bidrar till effektivare informationsflöden. Därutöver lyfts indirekta nyttor som kan förstärka vårdens utvecklingsförutsättningar på längre sikt. Strukturerade format bedöms underlätta verksamhetsstyrning och resursplanering, samt minska framtida kostnader för systemutveckling och integration. De skapar även bättre förutsättningar för sekundäranvändning i forskning, kvalitetsuppföljning och statistik, samt för användning av nya tekniska verktyg såsom beslutsstöd och AI. Samtidigt betonas i svaren att dessa vinster förutsätter betydande insatser i implementeringen, och att nyttan endast realiseras om datan faktiskt används i vårdens arbete. Utöver dessa besparingar lyfter regionerna även nyttor som inte enkelt kan översättas till ekonomiska termer, men som likväl bedöms vara värdeskapande. Det handlar framför allt om stärkt patientsäkerhet genom minskad risk för felaktiga ordinationer och informationsglapp, högre datakvalitet och spårbarhet som ger mer tillförlitliga underlag, samt ökat förtroende hos patienter. Flera svar betonar också att enhetliga format kan förbättra arbetsmiljön för vårdpersonal genom minskat dubbelarbete och tydligare rutiner. Detta framhålls som en central del av det mervärde som kan uppnås genom att strukturera och enhetliggöra hälsodata. En återkommande synpunkt hos regionerna är att patientsäkerheten stärks när vårdpersonal får en mer heltäckande bild av patientens vårdhistorik. Det anses kunna minska risken för felaktiga ordinationer, dubbeldokumentation och upprepade undersökningar. En annan återkommande nyttokomponent är effektivitet: kortare ledtider, färre manuella kontroller och bättre resursutnyttjande. De ekonomiska vinsterna beskrivs främst i kvalitativa termer och kopplas till minskat dubbelarbete och tidsbesparingar. Att kvantifiera besparingar är förenat med metodologiska utmaningar, men följande exempel kan tjäna som en uppskattning om den potentiella besparing som kan uppstå. Västra Götalandsregionen uppskattar exempelvis att långsiktiga

430

besparingar kan motsvara 2–5 procent av vårdens kostnader, vilket motsvarar 1–2 miljarder kronor årligen, förutsatt att åtgärderna samordnas och integreras i befintliga systemmiljöer. En enkel extrapolering baserad på befolkningsmängd ger ett nationellt intervall på årliga besparingar mellan 6–12 miljarder kronor. I utredningens första delrapport görs nyttoberäkningar angående införandet av EHDS. Utredningen har försiktigt uppskattat besparingspotentialen i digitala vårdbesök, vårdskador, effektivare administration och pekar på liknande nivåer som ovan avseende 210 potentiella besparingar. Utredningen vill understryka att beräkningarna ovan ska ses som indikativa och att besparingspotentialen är just en potential. Beräkningar av detta slag är behäftade med betydande osäkerheter, men kan ändå tjäna som illustration av den möjliga effekt som ett lyckat genomförande av en nationell digital infrastruktur och EHDS kan medföra.

Nyttor för kommuner

Utredningen försöker identifiera de potentiella nyttor och besparingar som kan uppstå när prioriterade kategorier av hälsodata görs tillgängliga för andra vårdgivare. Kommunernas svar ger en samstämmig bild av att nyttorna generellt framhålls tydligare än de kortsiktiga kostnaderna. En samlad tillgång till hälsodata bedöms möjliggöra att vårdpersonal inom hemsjukvård och på särskilda boenden får en mer heltäckande överblick av patientens vårdhistorik, vilket anses kunna stärka patientsäkerheten och minska risken för felaktiga ordinationer samt upprepade undersökningar. Kommunerna bedömer att strukturerad och enhetlig hälsodata kan ge direkta verksamhetsnyttor, främst genom minskat dubbelarbete, färre manuella moment och frigjorda resurser i vård och omsorg. Standardisering bedöms också kunna förbättra beslutsunderlag och informationsflöden mellan vårdgivare, vilket ger positiva effekter i vårdmötet för både patienter och personal.

210 Det europeiska hälsodataområdet – kostnadsuppskattningar och finansieringsförslag (S2024:A), s. 20.

431

På längre sikt framhålls att strukturerad data kan underlätta verksamhetsstyrning, rekrytering och introduktion av ny personal, eftersom arbetssätt och dokumentation blir mer enhetliga. Några kommuner ser även möjligheter till kostnadsbesparingar över tid genom minskade integrationskostnader, mindre behov av manuell rapportering samt effektivare uppföljning. Flera svar pekar också på att data kan användas för forskning, kvalitetsarbete och folkhälsorelaterade insatser, vilket stärker den långsiktiga kunskapsstyrningen. Utöver de direkta och indirekta nyttorna framhåller flera kommuner kvalitativa effekter. Enhetliga format anses kunna höja datakvaliteten och stärka patientsäkerheten, exempelvis genom minskad risk för felbehandlingar, informationsförlust och dubbelregistrering. Elevhälsan betonar särskilt värdet av att få tillgång till diagnoser och vårdinformation från andra vårdgivare, vilket kan möjliggöra tidigare insatser. Flera kommuner betonar att nyttorna även omfattar ökad effektivitet genom kortare ledtider, minskad dubbel dokumentation och förbättrad kontinuitet i vård- och omsorgskedjan. Detta bedöms kunna bidra till frigjorda resurser i det dagliga arbetet samt en förbättrad arbetsmiljö för personalen. De ekonomiska vinsterna beskrivs i huvudsak kvalitativt, exempelvis som tidsvinster och minskat dubbelarbete. Ingen kommun har lämnat kvantitativa kostnadsberäkningar eller försökt ange storleken på möjliga besparingar. Samtliga svar betonar att sådana beräkningar i nuläget inte är möjliga, främst på grund av osäkerheter kring teknisk lösning och genomförande.

Nyttor för privata vårdgivare

Utredningen har undersökt vilka nyttor och besparingar som privata vårdgivare bedömer kan uppstå genom tillgång till prioriterade hälsodata och enhetliga format. En enkät har skickats till tio privata vårdgivare. Svar har inkommit från två av de största aktörerna. Svaren överensstämmer i huvudsak med regionernas och kommunernas, men betonar osäkerheten i att kvantifiera nyttorna i nuläget.

432

Privata vårdgivare framhåller att en samlad tillgång till patientinformation kan förbättra patientsäkerheten och minska dubbelarbete, särskilt vid läkemedelsförskrivning och dokumentation. Vid sidan av nyttan av minskad administration, lyfts även värdet av att data samlas på en plats och därmed skapar bättre förutsättningar för informationsdelning mellan vårdgivare. På längre sikt bedöms enhetliga och strukturerade data kunna bidra till förbättrad uppföljning, analys och utveckling av vården. Detta kan leda till effektivare resursanvändning och möjliggöra nya digitala tjänster. Samtidigt framhålls att nyttorna är beroende av hur väl journalsystemen stödjer överföring och strukturering av data, och vinsterna minskar om omfattande egna integrationer eller manuella insatser krävs. Utöver dessa vinster kan ökad kunskap om när vårdinsatser inte är värdeskapande kan frigöra resurser och förbättra vårdens inriktning. En potentiell nytta är att enhetliga dataformat kan möjliggöra utveckling av applikationer ovanpå EHR-systemen utan behov av omfattande anpassningar. Sammantaget visar svaren att privata vårdgivare ser betydande nyttor i form av effektivisering, förbättrad patientsäkerhet och utvecklingsmöjligheter.

13.5.3 Konsekvenser för myndigheter

Konsekvenser för E-hälsomyndigheten

Förslag som påverkar E-hälsomyndigheten

Utredningen föreslår ett statligt ansvar för den nationella digitala infrastrukturen. Denna skyldighet omfattar en skyldighet för E-hälsomyndigheten att föra nödvändiga register och tillhandahålla de it-funktioner som krävs för att bidra till att vårdgivare på ett säkert och effektivt sätt kan ge tillgång till och ta emot vårddokumentation i elektronisk form. Det är alltså fråga om att tillhandahålla sådana tekniska komponenter och funktioner som krävs för att på ett ändamålsenligt sätt möjliggöra delning av

433

hälsodata. I myndighetens uppgift ingår även att förse anslutna vårdgivare med uppgifter från registren och via it-funktionerna. I kap. 8 lämnar utredningen förslag om en ny lag om nationell infrastruktur och tjänster för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet. I lagens beskrivs den ansvariga myndighetens uppgift att ansvara för att föra ett antal register och tillhandahålla ett antal it-funktioner och en nationell tillgångstjänst för hälso- och sjukvårdspersonal. I en till lagen anslutande förordning bör E-hälsomyndigheten utses som ansvariga myndighet. Myndigheten ska alltså vara personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför enligt den nya lagen och föreskrifter som meddelas i med stöd av lagen. Utredningen föreslår också ett ändringar av lagen (2018:1212) om nationell läkemedelslista (NLL). Eftersom E-hälsomyndigheten är ansvarig för den nationella läkemedelslistan, kan ändringar av detta regelverk påverka myndighetens verksamhet. Andra förslag som påverkar E-hälsomyndighetens arbete är utredningens förslag om ett antal bemyndigande att meddela föreskrifter i anslutning till utredningens författningsförslag.

E-hälsomyndighetens uppskattningar av kostnader och tidplan

211 E-hälsomyndigheten har i sin rapport redogjort för den tidplan som myndigheten tagit fram för införandet av infrastrukturen. Tidplanen redogör för utredning, utveckling och förvaltning inom områdena säkerhet, standarder och specifikationer, hitta information och system, åtkomsthantering, Nationell kontaktpunkt och Myndighet för digital hälsa samt stöd och styrning. Myndigheten anför att de olika komponenter som tillsammans utgör den nationella digitala infrastrukturen för hälso- och sjukvården behöver vara etablerade i god tid innan hälsodata ska börja delas med stöd av EHDS-förordningen. Det innebär att arbetet med att utreda, utveckla och få varje enskild komponent på plats behöver genomföras parallellt.

211 Genomförandet av en nationell digital infrastruktur för hälso-och sjukvård och EHDS primäranvändning, E-hälsomyndigheten

434

De komponenter som i dagsläget bedömdes kunna vara först ut att etableras är sådana som ger förutsättningar för att alla aktörer ska kunna förbereda sina verksamheter för de krav som ställs i EHDSförordningen. Det handlar om komponenter för stöd och styrning till sektorn, standarder och specifikationer samt att hitta information och system. För dessa komponenter är tidsplanen i dagsläget att de kommer att bli etablerade under 2026. När det gäller stöd och styrning har E-hälsomyndigheten redan påbörjat arbetet med flera av komponentens beståndsdelar. Under 2025 kommer myndigheten att etablera flera av de forum, insatser och stöd som beskrivs i kap 8 i myndighetens rapport. Ett tydligt exempel på en komponent med pågående aktiviteter är den Nationella kontaktpunkten där E-hälsomyndigheten redan förvaltar grundläggande infrastruktur för gränsöverskridande tjänster kopplat till MinHälsa@EU. Samtidigt har E-hälsomyndigheten i uppdrag att förbereda för utveckling av ytterligare tjänster kopplade till MinHälsa@EU. E-hälsomyndigheten har i sin rapport 212 redogjort för de kostnader som myndigheten kommer att ha för att utreda, utveckla och förvalta de prioriterade komponenterna och strukturerna inom den nationella digitala infrastrukturen för hälso- och sjukvården som föreslogs i rapporten.

Säkerhetsfrågor

Mot bakgrund av det säkerhetspolitiska läget och en fortsatt hög nivå av cyberattacker anför E-hälsomyndigheten i rapporten att det finns ett behov av att stärka arbetet med cybersäkerhet i sektorn. I takt med att hälso- och sjukvårdssystemen i allt högre grad blir måltavlor för cyberattacker och utpressningsprogram är myndigheten beredd att ta ett särskilt ansvar för att stärka medvetenheten och arbetet med säkerhet inom sektorn hälsa, vård och omsorg genom att inrätta ett forum för sektorsspecifik

212 Genomförande av en nationell digital infrastruktur för hälso- och sjukvård och EHDS primäranvändning. Slutredovisning av regeringsuppdrag S2023/02108, S2024/01201 och 2024/02156, dnr 2024/03223.

435

cybersäkerhet. Även regionerna och kommunerna ser ett behov av att förbättra stödet gällande cybersäkerhet. 213 Ett av de områden som E-hälsomyndigheten redovisat kostnaderna för är säkerhetsrelaterade åtgärder. Myndigheten anför i rapporten att den nationella digitala infrastrukturen för hälso- och sjukvården kommer i delar betraktas som samhällskritisk, vilket medför att höga krav behöver ställas på it-säkerheten. Det gäller såväl under normal drift som under kris och ytterst krig. I arbetet med säkerhetsrelaterade åtgärder för den nationella digitala infrastrukturen behöver relevanta EU-rättsliga och nationella regleringar beaktas och tillämpas.

Regeringens satsningar på en nationell digital infrastruktur

I budgetpropositionen för 2026 anförde regeringen att en infrastruktur med långsiktig finansiering är en grundförutsättning för att aktörerna inom systemet ska kunna planera och ansluta till den nationella digitala infrastrukturen. Vidare krävs implementering av förordningen om det europeiska hälsodataområdet (EHDS) samt att fler tidiga testversioner utvecklas i bred samverkan, starkare krav på interoperabla lösningar, ett skifte från aktiva samtycken till optout, bättre tillgång till grunddata, ökad datadelning och ökad automatisering av datainsamlingen. E-hälsomyndigheten tillförs därför permanenta medel för att utveckla och tillhandahålla en nationell digital infrastruktur. Regeringen har aviserat att den avsätter 262 miljoner kronor 2026 och beräknar avsätta 369 miljoner kronor 2027, 323 miljoner kronor 2028 och 158 miljoner kronor årligen från 2029. Medlen kommer bl.a. att kunna finansiera centrala funktioner som E-hälsomyndigheten ska ansvara för, såsom spärregister, patientdataindex (PDI), NTK samt rollen som nationell kontaktpunkt (NCP).

213 SKR (2024). Tiopunktslista för Nationell digital infrastruktur och SLIT (2023). IT och digitalisering i hälso- och sjukvården 2023.

436

Övriga konsekvenser för E-hälsomyndigheten

Utredningen beskriver i 5 kap. att ansvarsfördelningen mellan Ehälsomyndigheten och Socialstyrelsen måste förtydligas. Utredningen lämnar även ett antal förslag och bedömningar som kan få konsekvenser för ansvarsfördelningen mellan myndigheterna. Detta kan i sig få konsekvenser för myndigheten gällande verksamhetens uppdrag och vilka kompetenser som behövs. Utredningens bedömning är dock att en mer omfattande analys måste göras i anknytning till ett eventuellt beslut om en förändrad instruktion till respektive myndighet.

Konsekvenser för Socialstyrelsen

Utredningen föreslår i avsnitt 7.6 att Socialstyrelsen ska få i uppdrag att ta fram rekommendationer om och stöd riktat till hälso- och sjukvårdspersonal samt vårdgivare om dialogen med patienten om rätten att begränsa tillgång till hälsodata genom spärr samt rätten att motsätta sig tillgång (opt-out) och de patientsäkerhetsrisker som kan följa därav. Därutöver föreslås i avsnitt 7.6 att Socialstyrelsen ska få i uppdrag att ta informationsmaterial till vårdgivare i syfte att stärka förmågan att informera patienten. Vidare föreslås att Socialstyrelsen får i uppdrag att se över sina föreskrifter och allmänna råd om journalföring och behandling av personuppgifter i hälso- och sjukvården. För att kunna fullgöra det föreslagna uppdraget är utredningens bedömning att Socialstyrelsen bör tillföras nya medel. Kostnaden uppskattas totalt till 12,5 miljoner kronor. Utredningen föreslår att uppdraget till Socialstyrelsen finansieras genom anslaget 1:6 Bidrag till folkhälsa och sjukvård (Utgiftsområdet 9 Hälsovård, sjukvård och social omsorg). Det föreslagna uppdraget bedöms ligga inom ramarna för ändamålet med anslaget. Utöver det specifika regeringsuppdraget kan utredningens bedömningar och förslag påverka ansvarsfördelningen mellan Socialstyrelsen och E-hälsomyndigheten. Detta kan i sig få konsekvenser för myndigheten gällande verksamhetens uppdrag och vilka kompetenser som behövs. Utredningens bedömning är dock

437

att en mer omfattande sådan analys måste göras i anknytning till ett eventuellt beslut om en förändrad instruktion till respektive myndighet.

Konsekvenser för övriga myndigheter

Utredningens förslag liksom ikraftträdandet av av EHDSförordningen kan även påverka andra statliga myndigheter än de som vi redogör för ovan. Det kan exempelvis gälla de myndigheter som verkar inom samma områden som E-hälsomyndigheten och Socialstyrelsen och som har att förhålla sig till den nationella digitala infrastrukturen och EHDS-förordningen. Exempel på sådana myndigheter är exempelvis Läkemedelsverket och IVO. Därutöver kommer statliga myndigheter som även är att betrakta som vårdgivare påverkas av de nya krav som ställs genom den föreslagna lagen om nationell infrastruktur och tjänster för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet och EHDS när det gäller att tillgängliggöra hälsodata. I utredningens första delredovisning, Det europeiska hälsodataområdet -kostnadsuppskattningar och finansieringsförslag, görs en riskanalys avseende kostnader. I rapporten görs ett generellt konstaterande om att myndigheternas kostnader kan komma att överstiga de preliminära bedömningarna eftersom erfarenheten är att den typen av omfattande utvecklingsarbete, ofta it-relaterat, som EHDS-förordningen kommer att medföra, är svåra att kostnadsuppskatta. Av utredningens direktiv följer att utredningen i slutrapporten bl.a. ska analysera frågor rörande behöriga myndigheter och deras arbetsuppgifter. Utredningen kommer därför att behöva återkomma till konsekvenserna för andra myndigheter.

Konsekvenser för domstolarna

Utredningen föreslår en ny lag om en nationell infrastruktur för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet. I

438

den föreslagna lagen finns inga bestämmelser om rätt att överklaga. Utredningens bedömning är därför att förslagen i denna rapport inte kommer att ha några konsekvenser för domstolarna.

13.5.4 Konsekvenser för huvudmännen

Konsekvenser för regionerna

Detta avsnitt behandlar de huvudsakliga konsekvenserna för regionerna i deras egenskap av vårdgivare. Tyngdpunkten ligger på de effekter som kan följa av införandet av en nationell digital infrastruktur för hälsodata och av den föreslagna europeiska förordningen om ett europeiskt hälsodataområde (EHDS).

Lämna och ta del av uppgifter om spärrar

En mer enhetlig lösning för spärrhantering bedöms kunna stärka patientens rättigheter och förbättra kontrollen över den egna informationen. Samtidigt lyfts farhågor om att en ny teknisk lösning kan medföra ökade kostnader och administrativ belastning. För att spärrfunktionen ska fungera i praktiken betonar regionerna vikten av att den är hanterbar i vårdmötet. Om detta inte säkerställs riskeras både patientsäkerhet och förtroende. Regionerna uppger att det i nuläget är svårt att uppskatta omfattning och resursåtgång för att införa automatisk hantering av allmänna spärrar. Samtidigt framhålls att tekniska anpassningar av befintliga journalsystem är nödvändiga, liksom insatser för utveckling, testning och utbildning. Flera regioner betonar att kostnader kan uppstå, särskilt om befintliga lösningar behöver samexistera med nya under en övergångsperiod. Ett nationellt register för allmänna spärrar, förlagt till en myndighet, bedöms kunna främja en enhetlig och standardiserad hantering över vårdgivare och regiongränser. Ett sådant register anses stärka patientsäkerheten och öka förtroendet för informationsdelning. De huvudsakliga nyttorna omfattar ökad patientkontroll, minskad dubbelregistrering, förenklad

439

administration och förbättrad interoperabilitet. Samtidigt framhålls att dessa vinster förutsätter hög informationssäkerhet och enhetlig tillämpning. I annat fall riskeras ökad komplexitet och merkostnader, vars omfattning inte har kunnat uppskattas, samt försämrad patientsäkerhet.

Lämna och ta del av uppgifter om var hälsodata finns

I enkäten fick regionerna beskriva vilka anpassningar och vilken resursåtgång som krävs för att etablera ett nationellt patientdataindex (PDI). Frågorna skiljde mellan två scenarier: dels om befintliga strukturer, framför allt Ineras engagemangsindex, kan återanvändas, dels om nya lösningar måste utvecklas från grunden. Regionernas bedömningar av kostnader varierar. Flertalet framhåller att det är svårt att mer exakt uppskatta resursåtgången, men återkommande är den kvalitativa bedömningen att kostnaderna inte bedöms som omfattande när befintlig struktur kan användas. Västra Götalandsregionen utgör ett undantag och har för sina lokala förutsättningar lämnat en uppskattning i intervallet 25–50 miljoner kronor. I vilken grad detta är överförbart till andra regioner kan inte bedömas, men utredningen konstaterar att implementeringskostnaderna kan variera mellan regionerna. Om återanvändning inte är möjlig blir bilden en annan. Då bedömer regionerna att anpassningsbehoven blir betydligt mer omfattande, med krav på ny teknisk utveckling, större resursinsatser för testning och utbildning samt närmare dialog med systemleverantörer. Detta scenario anses öka både kostnader och komplexitet och riskerar att fördröja införandet. Även här betonas dock att det är svårt att lämna mer precisa uppskattningar, men skillnaden gentemot scenariot med återanvändning framstår som tydlig. Regionernas bedömningar av kostnader vid ett genomförande utan återanvändning av befintliga komponenter indikerar en avsevärt högre resursåtgång. Flera regioner uppger att ett sådant genomförande skulle kräva omfattande teknisk utveckling, integrationer samt etablering av testmiljöer. Detta bedöms även medföra ett ökat behov av drift- och förvaltningsresurser.

440

Västra Götalandsregionen uppskattar kostnaderna till mellan 75 och 200 miljoner kronor, med en införandetid om tre till fem år och en resursåtgång motsvarande 15–25 helårsarbeten. Region Östergötland anger utvecklingskostnader om cirka 50 miljoner kronor, omkring 10 000 arbetstimmar samt en kalendertid om två till tre år. Sammantaget konstateras att kostnadsvariationerna är betydande och att exakta uppskattningar saknas. Det finns dock en samstämmig bedömning om att ett genomförande utan återanvändning generellt sett skulle vara väsentligt mer resurskrävande. Givet att den befintliga tjänsteadresseringskatalogen i Inera AB:s plattform kan återanvändas, bedöms i huvudsak anpassningsbehoven som begränsade eller hanterbara. Flera regioner framhåller samtidigt att exakta uppskattningar av resursåtgången inte kan lämnas i nuläget. Sammantaget bedöms att återanvändning av befintlig komponent kan bidra till att begränsa kostnaderna för ett genomförande. Dock kvarstår viss osäkerhet till följd av variationer i lokala förutsättningar och tekniska miljöer. Utredningen har även efterfrågat regionernas bedömningar av anpassningsbehoven i ett scenario där den befintliga tjänsteadresseringskatalogen inte kan återanvändas. I detta scenario beskriver flera regioner behov av omfattande teknisk utveckling, nya integrationer, längre införandetid samt högre resursåtgång för testning, drift och förvaltning. Några regioner pekar även på risk för ökad komplexitet och merkostnader i den löpande administrationen. Exakta kostnadsuppskattningar är inte möjliga, men ett par regioner redovisar indikativa beräkningar. Regionernas indikativa uppskattningar varierar, med uppgifter om upp till 20 årsarbeten för utveckling och 2–4 årsarbeten för löpande drift och förvaltning. Osäkerheten i beräkningsförutsättningarna är betydande, särskilt vad gäller lokala tekniska och organisatoriska skillnader, vilket begränsar möjligheten att generalisera. För mer tillförlitliga bedömningar krävs förstudier baserade på faktiska förhållanden. Sammantaget konstaterar utredningen att ett genomförande utan återanvändning bedöms vara mer resurskrävande och kostsamt jämfört med ett scenario där återanvändning är möjlig.

441

Tillgängliggörande av data enligt gemensamt format

Regionerna betonar genomgående att det i nuläget inte är möjligt att lämna tillförlitliga kostnadsberäkningar för konsekvenserna av kravet att använda EHR-system som uppfyller EHDS-kraven, eftersom det ännu inte är klarlagt vilka system som ska omfattas och vilka tekniska specifikationer som kommer att gälla. Flera regioner framhåller samtidigt att kostnaderna kan bli betydande. Återkommande faktorer i svaren är behov av systemanpassningar eller, i vissa fall, systembyten, leverantörskostnader, avtalsfrågor samt resursåtgång för integration och datamodellering. Några regioner lyfter också risken för undanträngningseffekter, där andra utvecklingsinsatser kan behöva skjutas upp till följd av EHDS-anpassningen. Utredningen bedömer att tillförlitliga kostnadsberäkningar endast kan göras genom förstudier baserade på faktiska förhållanden i respektive region. Anpassningarna till de nya kraven bedöms även medföra organisatoriska kostnader. I svaren återkommer uppgifter om behov av personalutbildning, förändrade dokumentationsrutiner samt informatiskt arbete för att säkerställa datakvalitet. Även här betonas att omfattningen är svår att bedöma i nuläget.

Särskilt om konsekvenser för tandvården

Tandvården omfattas, i likhet med övrig hälso- och sjukvård, av krav på anpassning till en nationell digital infrastruktur och till bestämmelserna i EHDS-förordningen. Regionerna ansvarar enligt tandvårdslagen (1985:125) 214 för att erbjuda tandvård till barn och unga samt till vissa grupper av vuxna patienter. Övrig tandvård bedrivs i huvudsak av privata aktörer. Den tandvård som omfattas av regionernas ansvar organiseras i stor utsträckning genom Folktandvården, vilken har deltagit i utredningens enkätundersökning och efterföljande dialoger. Enkätsvaren visar att tandvården i stort delar de konsekvenser som ovan beskrivits för regionerna. Exempelvis svårigheten att bedöma exakta kostnader och behovet av tekniska anpassningar.

214 Tandvårdslagen (1985:125) i lydelse enligt SFS 2025:408, hämtad från Regeringskansliets rättsdatabaser den 11 september 2025.

442

Tandvården skiljer sig dock från övrig vård genom vissa strukturella och praktiska förutsättningar. Till skillnad från primärvården saknas ett system för listning av patienter, vilket gör att vårdgivare ofta saknar överblick över patientens tidigare vård och att regionerna har begränsade möjligheter att planera resursbehovet. Avsaknaden av listning bedöms kunna begränsa nyttan med en nationell digital infrastruktur. Från enkätsvaren framförs att för mindre privata mottagningar kan krav på digitalisering och systemanpassning medföra särskilda utmaningar, och det framhålls därför att finansieringsprincipen måste beaktas för att säkerställa att även dessa aktörer kan delta. Flera aktörer bedömer att en mer samordnad informationshantering kan bidra till att motverka bidragsrelaterade fel inom tandvården. Sammantaget bedöms tandvården kunna dra nytta av samma vinster som övrig hälso- och sjukvård – stärkt patientsäkerhet, förbättrad datakvalitet och minskad dubbelregistrering – men förutsättningarna varierar kraftigt mellan olika aktörer. Utredningen bedömer därmed att reformen kan ge betydande nyttor för tandvården, men att särskilda hänsyn behöver tas till små mottagningars förutsättningar.

Konsekvenser för kommunerna

Detta avsnitt behandlar de huvudsakliga konsekvenserna för kommunerna i deras egenskap av vårdgivare. Den kommunala hälsooch sjukvården omfattar främst hemsjukvård, vård i särskilda boenden, rehabilitering, läkemedelshantering och skolhälsovård, och är nära integrerad med äldreomsorgen och socialtjänsten. Kommunerna omfattas, i likhet med regionerna, av kraven på anpassning till den nationella digitala infrastrukturen för hälsodata samt till den föreslagna europeiska hälsodataförordningen (EHDS).

Lämna och ta del av uppgifter om spärrar

Kommunerna framhåller att möjligheten att lägga spärrar är ett centralt verktyg för att stärka patientens integritet och kontroll över sin information. Den förväntade nyttan bedöms främst bestå i ökad

443

transparens, rättssäkerhet och minskad administration genom ett nationellt register, under förutsättning att informationssäkerhet och användarvänlighet säkerställs. Samtidigt lyfts risker för ökad administration, parallella rutiner och oklara ansvarsförhållanden, särskilt om spärrhanteringen inte integreras väl i befintliga systemstöd. Flera kommuner understryker därför att spärrfunktionen måste vara lättanvänd i vårdmötet för att inte äventyra patientsäkerheten eller förtroendet. När det gäller resursåtgång anger kommunerna att det i nuläget är svårt att lämna tillförlitliga uppskattningar. Det framhålls dock att tekniska anpassningar av befintliga system samt insatser för utveckling, testning och utbildning kommer att krävas. Till skillnad från regionerna betonas särskilt att den relativa belastningen kan bli större för mindre kommuner med begränsade resurser. Ett nationellt register för allmänna spärrar bedöms kunna bidra till ökad rättssäkerhet, stärkt integritet och minskad administration, förutsatt att det utformas med hög säkerhet och god användarvänlighet. Eftersom svaren är relativt samstämmiga bedömer utredningen att de mest relevanta synpunkterna har fångats, även om andra perspektiv kan förekomma.

Lämna och ta del av uppgifter om var hälsodata finns

Utredningen har frågat kommuner om vilka anpassningar och vilken resursåtgång som krävs för att etablera ett nationellt patientdataindex (PDI), under förutsättning att Inera AB:s engagemangsindex kan återanvändas. Flera kommuner uppger att det i nuläget är svårt att göra en rättvisande bedömning och hänvisar i stället till att systemleverantörerna har en central roll i den tekniska implementationen. Bland de kommuner som lämnat uppskattningar framhålls att återanvändning av befintlig nationell infrastruktur kan begränsa omfattningen av nödvändiga anpassningar. De redovisade bedömningarna ligger på en lägre nivå än regionernas motsvarande uppskattningar, vilket delvis förklaras av mindre komplexa systemmiljöer i kommunerna samt regionerna sannolikt är mer vana vid att göra sådana uppskattningar. Sammantaget bedömer utredningen att kommunerna i detta scenario inte förutser några

444

större kostnadsökningar, men att osäkerheten i bedömningarna är betydande. De faktiska resursbehoven bedöms i hög grad bero på leverantörernas lösningar och den slutliga utformningen av den nationella infrastrukturen. I det scenario där Inera AB:s engagemangsindex inte kan återanvändas ombads kommunerna att bedöma vilka anpassningar och vilken resursåtgång som skulle krävas. Även här framkommer en hög grad av osäkerhet. Flera kommuner uppger att det i nuläget inte är möjligt att lämna mer precisa uppskattningar och framhåller återigen systemleverantörernas avgörande roll i den tekniska implementationen. Bland de kommuner som lämnat bedömningar anges att kraven i detta scenario blir mer omfattande än vid återanvändning. Anpassningarna bedöms kräva utveckling av nya funktioner, integrationer mot nationella gränssnitt samt ökade insatser från både IT och verksamhet. Sammantaget visar svaren att osäkerheten är stor, men att kommunerna bedömer att ett genomförande utan återanvändning kan bli betydligt mer resurskrävande och förenat med kostnader av större omfattning. Kommunerna ombads också redogöra för anpassningar kopplade till en nationell tjänsteadresseringskatalog (NTK), i det fall den befintliga katalogen i Inera AB:s plattform kan återanvändas. Flera kommuner anger att det är svårt att göra precisa uppskattningar och framhåller att systemleverantörerna har en central roll i den tekniska implementationen. De bedömningar som ändå lämnats pekar på att återanvändning av befintlig infrastruktur kan begränsa lokala anpassningar och hålla resursåtgången på en låg nivå. Kommunerna ser därför inte att kostnaderna ökar i större omfattning i detta scenario, men osäkerheten är betydande och resursbehoven beror i hög grad på leverantörernas lösningar och den slutliga utformningen av den nationella infrastrukturen. Om den befintliga tjänsteadresseringskatalogen inte kan återanvändas framkommer en hög grad av osäkerhet även här. Flera kommuner uppger att det i nuläget inte är möjligt att lämna mer precisa uppskattningar och framhåller återigen systemleverantörernas avgörande roll. De bedömningar som gjorts anger att kraven blir större än vid återanvändning och att anpassningarna omfattar utveckling av nya funktioner, integrationer mot nationella gränssnitt samt ökade insatser från både IT och verksamhet. I detta scenario bedöms

445

genomförandet bli mer resurskrävande och förenat med betydande kostnader.

Tillgängliggörande av data enligt gemensamt format

Kommunerna framhåller att det i nuläget är svårt att bedöma konsekvenserna av ett krav på att använda journalsystem som uppfyller EHDS-kraven. Tillförlitliga uppskattningar bedöms inte vara möjliga, eftersom de tekniska specifikationerna ännu inte är fastställda och det är oklart i vilken utsträckning befintliga system kan anpassas. Flera kommuner betonar samtidigt att kostnaderna kan bli betydande. Återkommande faktorer i svaren är behov av systemuppgraderingar eller i vissa fall systembyten, ökade licenskostnader och avtalsfrågor, samt resursåtgång för integration, utbildningsinsatser och förändrade arbetssätt. Några kommuner lyfter också risken för dubbelarbete under en övergångsperiod och att andra utvecklingsinsatser kan behöva skjutas upp eller prioriteras ned. Utredningen bedömer att tillförlitliga kostnadsberäkningar endast kan göras genom mer detaljerade analyser utifrån respektive kommuns faktiska förutsättningar. Vidare framhåller kommunerna att anpassningarna till de nya kraven sannolikt även medför organisatoriska kostnader. Återkommande är behov av personalutbildning, förändrade dokumentationsrutiner samt arbete med informatik för att säkerställa datakvalitet och kompatibilitet med nya standarder. Även här betonas att omfattningen är svår att bedöma i nuläget, men att insatserna kan bli resurskrävande och riskerar att tränga undan annan utveckling.

13.5.5 Konsekvenser för privata aktörer (företag)

Enligt förordningen (2007:1244) om konsekvensutredning vid regelgivning ska utredningen redovisa konsekvenser för företag, särskilt små och medelstora, samt effekter på konkurrensen. Detta gör det nödvändigt att beskriva marknaden för privata aktörer och analysera hur förslagen kan påverka konkurrensförhållanden, undanträngning och kostnadsfördelning mellan aktörer.

446

Privata aktörer som berörs av förslagen utgörs av dels privata vårdgivare, dels privata systemleverantörer. Dessa grupper har olika förutsättningar och möter olika utmaningar. Detta motiverar att systemleverantörer kommer behandlas separat senare i texten. Utredningens förslag i denna promemoria avser i huvudsak vårdgivare. Utrednigne återkommer till konsekvenser för systemleverantörer i sin slutredovisning.

Konsekvenser för privata vårdgivare

De privata aktörerna inom vård och omsorg utgör en betydande del av marknaden. Enligt SCB 215 utför privata företag omkring 19 procent av den samlade hälso- och sjukvården i Sverige. I denna del kommer konsekvenserna för privata vårdgivare beskrivas.

Antalet privata vårdgivare

Underlaget i detta avsnitt bygger på officiell statistik och på uppgifter från betänkandet Ny hälsoregisterdatalag, SOU 2024:57, Ny hälsoregisterdatalag, där antalet berörda vårdgivare har analyserats mer detaljerat. 216 Motsvarande statistik från SCB har 217 också granskats , men saknar de ekonomiska avgränsningar som tillämpats i SOU 2024:57. För att beskriva antalet privata vårdgivare bedöms därför uppgifterna i SOU 2024:57 , vara mer träffsäkra än 218 den öppna statistiken. Marknaden för privata vårdgivare i Sverige kännetecknas av ett stort antal små aktörer. Enligt SOU 2024:57 finns det totalt omkring 13 500 privata företag med en årsomsättning över 100 000 kronor. Av dessa är cirka 12 900 mikroföretag med färre än tio anställda,

215 SCB (2025). Finansiärer och utförare inom vård, skola och omsorg 2023. Statistiknyhet 2025- 09-16. 216 SOU 2024:57, Ny hälsoregisterdatalag, har, med stöd av SCB:s företagsdatabas (FDB) och Utförarregistret (UFREG), tillämpat avgränsningar för att utesluta vilande företag och aktörer med mycket begränsad vårdproduktion. 217 Bygger på samma SNI-indelning som i tabell 12.3 i SOU 2024:57, Ny hälsoregisterdatalag , kompletterad med apotek samt tandläkar- och tandhygienistmottagningar. 218 För utförligare beskrivningar om statistikunderlag och bearbetningar se Ny hälsoregisterdatalag (SOU 2024:57

447

varav mer än hälften utgörs av enmansföretag. Endast drygt 550 företag har fler än nio anställda. Denna struktur innebär att marknaden är fragmenterad och dominerad av lokalt verksamma 219 småföretag. Av det totala antalet företag bedöms minst 2 847 privata vårdgivare vara direkt berörda, eftersom de levererar primärvård eller specialiserad öppenvård till regionerna för mer än 250 000 kronor per år. Därutöver uppskattas att mellan 12 000 och 16 000 företag 220 kan komma att omfattas av en utökad uppgiftsinsamling, även om det faktiska antalet sannolikt är lägre. Detta beror på att många av mikroföretagen hyr ut sin arbetskraft till andra vårdgivare eller bedriver verksamhet som inte omfattas av journalföringsplikt. Sammantaget framträder en marknad som är omfattande och präglas av många små aktörer. En liknande slutsats återfinns i utredningen Delad hälsodata – dubbel nytta (SOU 2024:33), där marknaden beskrivs som bestående av ett stort antal privata vårdföretag, dominerade av mikroföretag och enmansföretag, med endast en mindre andel större aktörer.

Konsekvenser för små och medelstora vårdgivare (företag)

De mindre vårdföretagen utgör den stora majoriteten av de privata aktörer som kan komma att omfattas av en anslutning till den nationella digitala infrastrukturen. Enligt SOU 2024:57 består sektorn främst av mikroföretag och enmansföretag, medan endast en mindre andel utgör större organisationer med egen systemförvaltning. Dessa små aktörer är i hög grad beroende av journalsystem och it-tjänster som tillhandahålls av regioner eller kommersiella leverantörer. Kostnader och tekniskt genomförande hanteras i huvudsak av vårdgivare och systemleverantörer. De mindre företagen antas främst påverkas indirekt, exempelvis genom förändrade licens- eller serviceavgifter samt behov av viss systemanpassning, exempelvis

219 I SCB:s företagsdatabas återfinns ungefär 3 000 tandläkarmottagningar och 200 apotek, utan hänsyn till ekonomisk aktivitet. 220 Inkluderar apotek samt tandläkar- och tandhygienistmottagningar, oavsett ekonomisk aktivitet.

448

integration till nationellt definierade gränssnitt. För små aktörer med begränsade resurser kan även justeringar bli kännbara under en övergångsperiod. Det kan därför vara nödvändigt att genomförandet utformas med rimliga tidsramar och kompletterande stöd. Avsaknaden av gemensamma standarder har i tidigare utredningar lyfts som en källa till inlåsningseffekter, där vårdgivare 221 har svårt att byta system utan att förlora tillgång till information. En nationell digital infrastruktur med gemensamma komponenter, såsom patientdataindex, tjänsteadresseringskatalog och enhetliga spärrfunktioner, kan motverka detta och samtidigt stärka små företags förutsättningar att välja systemlösningar utifrån funktion och pris, snarare än tidigare investeringar. Samtidigt kvarstår ett visst beroende av befintliga plattformar under en övergångsperiod. När förutsättningarna för vårdens it-system påverkas har det konsekvenser på marknaden för system. I avsnitt om konsekvenser för systemleverantörer framhålles att utredningen förslag främjar likvärdiga förutsättningar för olika aktörer att verka på marknaden. För privata vårdgivare ökar valmöjligheten mellan olika lösningar som i sin tur främjar konkurrens och positiva marknadseffekter. Sammantaget påverkas små vårdföretag främst indirekt genom sina systemleverantörer. Över tid skapar en nationell digital infrastruktur med gemensamma standarder och hög grad av interoperabilitet bättre förutsättningar för konkurrensneutralitet, minskad korssubventionering och ökad marknadsdynamik. Reformen bedöms därför gynna mindre företag genom att öppna upp marknaden och jämna ut villkoren.

Konsekvenser för större vårdgivare (företag)

Endast två privata vårdgivare 222 har besvarat enkäten, och slutsatserna kan därför inte generaliseras till samtliga aktörer i sektorn. Avsnittet redovisas under konsekvenser för större vårdgivare, eftersom det är dessa som har lämnat svar. Utredningen konstaterar dock att svaren i stor utsträckning överensstämmer med dem från regioner och kommuner.

221 SOU 2024.33, s. 218 f. 222 Praktikertjänst och Kry har inkommit med svar. Båda räknas till gruppen större vårdgivare.

449

Lämna och ta del av uppgifter om spärrar

Privata vårdgivare bedömer i stort att hanteringen av spärrar inte medför några större förändringar jämfört med nuvarande arbetssätt. Samtidigt framhålls behovet av lokal flexibilitet, exempelvis i specialistvård, tandvård och verksamheter med särskilt känsliga uppgifter. Det betonas också att begreppet ”spärr” behöver förtydligas för att nyttan ska kunna bedömas mer konkret. Båda aktörerna framhåller integritetsaspekten som central, men även praktiska utmaningar i verksamheter som ännu inte är fullt digitaliserade.

Lämna och ta del av uppgifter om var hälsodata finns

Respondenterna betonar att det i nuläget är svårt att göra tillförlitliga bedömningar av resursåtgången. Förutsättningarna varierar beroende på använda system och verksamhetens omfattning. Det finns en risk att journalsystemsleverantörer debiterar för tekniska anpassningar, vilket kan leda till merkostnader. En vårdgivare framhåller att den administrativa bördan, snarare än de tekniska förändringarna, kan vara avgörande för konsekvenserna. Sammantaget råder stor osäkerhet, och vårdgivarna pekar på att mycket beror på leverantörernas lösningar och graden av nationell samordning.

Tillgängliggörande av data enligt gemensamt format

Vårdgivarna bedömer att kraven på EHR-system enligt EHDS kan få betydande konsekvenser, men osäkerheten är stor. En vårdgivare framhåller att kostnaderna är beroende av vilket tekniskt format som fastställs, och att harmonisering med befintliga lösningar (exempelvis HL7 FHIR) är avgörande för att undvika onödiga merkostnader. Även organisatoriska effekter väntas, bland annat behov av förändringsledning och utbildningsinsatser. En förväntan uttrycks om att journalsystemleverantörerna ska hantera anpassningarna, men det framhålls att detta kan innebära längre patientmöten om mer information behöver kommuniceras.

450

Sammantaget visar svaren att konsekvenserna bedöms som omfattande men med stor osäkerhet, och i hög grad beroende av leverantörernas stöd och den nationella utformningen.

Konsekvenser för konkurrensneutralitet

Marknaden för privata vårdföretag domineras av några få större aktörer. De fem största privata vårdgivaren står för närmare 30 procent av omsättningen i den privata vårdmarknaden bestående av 223 primärvård, specialistvård, tandvård. Det ger andra möjligheter att fatta strategiska beslut om utvecklingen eller inköp av exempelvis itlösningar inom sin sektor. En konsekvens av en gemensam nationell infrastruktur för EHDS bedöms kunna påverka konkurrensförhållandena genom att minska risken för inlåsning i slutna system. Detta uppstår av att EHR-system hos vårdgivare förväntas komma åt hälsodata via gemensamma standarder och format. Minskad inlåsning kan ge ökad valfrihet för patienter att välja vårdgivare, vilket i så fall skulle ge ökad konkurrensneutralitet på marknaden.

Konsekvenser för systemleverantörer

Systemleverantörerna utgör en central del av den digitala infrastrukturen i vården. De utvecklar och förvaltar journalsystem och andra lösningar som möjliggör registrering, lagring och åtkomst av patientdata. I takt med att EHDS ställer krav på interoperabilitet blir dessa aktörer avgörande för genomförandet av reformen och dess effekter på marknaden. Utredningen bedömer att förslagen, i och med införandet av EHDS, kommer att möjliggöra informationsutbyte mellan journalsystem genom krav på interoperabilitet. Alla system blir skyldiga att kunna kommunicera med andra vårdgivares lösningar. Det handlar om att implementera de EU-gemensamma tekniska standarderna och specifikationerna för interoperabilitet och att säkerställa att systemen kan utbyta

223 Grant Thornton (2024). Vårdrapporten 2024 – Så mår den privata vård- och omsorgssektorn i Sverige. Grant Thornton Sweden AB. Ramsay Santé redovisar ej Capios omsättning. Antas vara i samma storleksordning som Praktikertjänst.

451

hälsodata i strukturerade och standardiserade format. Leverantörerna måste uppfylla dessa krav för att deras system ska kunna användas i de europeiska hälso- och sjukvårdssystemen. EHDS kommer att implementeras under en längre tidsperiod men arbetet med teknisk anpassning bör påbörjas så tidigt som möjligt. Här kan konstateras att det fortfarande finns osäkerhet kring vilka exakta krav som kommer att ställas på systemen då arbete fortfarande pågår inom kommissionen med genomförandeakter m.m. Vad gäller systemleverantörerna så beskrivs dessas skyldigheter kring hur systemen ska vara utformade i kapitel 3 i EHDSförordningen. Utredningen kommer att återkomma till den regleringen i slutrapporten. Därutöver kommer utredningen att behandla frågor om sekundäranvändning i slutrapporten. Vi behöver därför återkomma i slutredovisningen gällande frågor om konsekvenser för systemleverantörer.

13.6 Kostnader och finansiering av utredningens förslag

Utredningen föreslår åtgärder för att möjliggöra en nationell digital infrastruktur för hälsodata samt för att anpassa svensk rätt till EHDS. Kostnader och intäkter har kvantifierats där så varit möjligt, och bedömts utifrån proportionalitet, effektivitet och förenlighet med unionsrätten. I de fall kvantifiering inte varit möjlig har kvalitativa bedömningar gjorts. Detta avsnitt redogör för de ekonomiska konsekvenserna av utredningens förslag samt hur dessa kan finansieras. Framställningen är uppdelad i fyra delar: finansieringsprincipen, kommunal självstyrelse, kostnader för berörda aktörer samt finansieringslösningar.

13.6.1 Finansieringsprincipen

Den kommunala finansieringsprincipen innebär att staten inte bör ålägga kommuner och regioner nya eller utvidgade uppgifter utan att

452

samtidigt tillhandahålla finansiering. Principen har sin grund i proposition 1993/94:150 bilaga 7 och har därefter etablerats som en norm i statens relation till kommunsektorn. Principen tillämpas återkommande i budgetpropositionerna, där justeringar av statsbidrag görs i samband med reformer som påverkar kommunsektorns uppgiftsbörda. Exempelvis redovisas i tabell 2.9 i budgetpropositionen för 2026 hur statsbidrag justeras vid införandet av nya eller utvidgade uppgifter. Det finns ett antal exempel på situationer där finansieringsprincipen inte ska tillämpas. En sådan situation är förändrade intäkter eller kostnader för kommunerna som följer av förändringar i regler som EU antagit utan att anpassning gjorts i svensk lag eller förordning. Ett annat exempel är förändrade intäkter eller kostnader för kommunerna till följd av demografiska eller tekniska förändringar. Däremot måste hänsyn tas till effekterna av sådana förändringar vid bedömningen av nivån på statens bidrag till kommunerna utifrån det samhällsekonomiska utrymmet och den kommunala ekonomin. Ekonomiska effekter för kommuner och regioner behöver därför även i dessa situationer beräknas för förslag där finansieringsprincipen inte bedöms tillämpbar. 224 En mer omfattande analys av finansieringsprincipen och då främst utifrån de krav EHDS ställer återfinns i utredningens första delrapport Det europeiska hälsodataområdet - kostnadsuppskattningar och finansieringsförslag. Regeringen har som målsättning att etablera en nationell digital infrastruktur för elektroniskt informationsutbyte inom hälso- och sjukvården. Staten ska ta ett utökat ansvar och säkerställa att delningen av hälsodata utvecklas och förvaltas långsiktigt. Utredningen bedömer att de föreslagna åtgärderna om en nationell digital infrastruktur (se avsnitt 12.3) medför nya eller utvidgade uppgifter för regioner och kommuner, framför allt i form av tekniska anpassningar, utbildningsinsatser och löpande förvaltningskostnader kopplade till hantering av hälsodata. Mot bakgrund av att dessa uppgifter följer av statligt initierade reformer

224 Det europeiska hälsodataområdet – kostnadsuppskattningar och finansieringsförslag (S2024:A), Delrapport 1, s. 89

453

aktualiseras finansieringsprincipen som ett viktigt motiv för det vägval som föreslås. 225 Eftersom delar av skyldigheterna följer av en EU-förordning (EHDS) är finansieringsprincipens formella tillämplighet inte entydig. Att EHDS ska tillämpas i Sverige och med de tekniska krav som följer av förordningen, är inte ett beslut direkt fattat av svenska staten men är en konsekvens av Sveriges medlemskap i EU. Medlemsstaterna är skyldiga att följa de krav som följer av EHDS. EHDS riktar sig heller inte uttalat mot Sveriges kommuner och regioner. Däremot är Sveriges hälso- och sjukvårdssystem organiserat på ett sådant sätt att den absoluta huvuddelen av vården utförs av regionerna och kommunerna. Samtidigt framhålls i utredningspraxis att principens anda bör beaktas även vid reformer som har sin grund i unionsrätten, särskilt när dessa medför kostnader av väsentlig omfattning för kommunsektorn. Om sådana merkostnader uppstår kan behovet av kompensation behöva prövas, exempelvis genom ökade generella statsbidrag eller riktade stöd.

Nödvändig teknisk utveckling

I utredningens första delrapport resoneras kring begreppet 226 nödvändig teknisk utveckling. De krav som EHDS ställer på Sverige och därmed även kommuner och regioner är i mycket kopplad till digitaliseringen och den tekniska utvecklingen som ändå bör ske. De åtgärder som behöver vidtas av huvudmännen med anledning av EHDS tillsammans med de krav som uppställs i den föreslagna lagen om nationell infrastruktur och tjänster för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet, kan sannolikt i mångt och mycket betraktas som investeringar, där nyttan på sikt kommer att överstiga de initiala kostnaderna. Den samhällsekonomiska nyttan av den nationella digitala

225 Stöd för bedömningen hämtas från Delrapport 1. Där redogörs att kommuner och regioner tidigare erhållit statligt stöd för digitalisering som följt av statlig styrning, bland annat genom överenskommelser mellan staten och SKR kring strukturerad information, standardisering och säker informationshantering. 226 A.a. s. 89.

454

infrastrukturen och EHDS och som redogörs för i detta avsnitt måste därför beaktas när en bedömning görs av konsekvenserna för huvudmännen. Liknande resonemang om initiala investeringskostnader och samhällsekonomiska vinster förs bl.a. även i betänkandena Patientöversikter inom EES och Sverige (SOU 2013:13) och En reform för datadelning (SOU 2023:96). I SOU 2023:96 anförs exempelvis att det mot bakgrund av den samhällsövergripande digitaliseringen finns anledning att ifrågasätta vilka åtgärder på digitaliseringens område som faktiskt kan anses gå utöver vad som krävs (av huvudmännen) med anledning av den tekniska utvecklingen överlag i samhället. Enligt det resonemanget bör åtgärder och nya krav som följer av nya tekniska möjligheter enligt utredningen endast undantagsvis och i mycket speciella fall omfattas av finansieringsprincipen. När datadelning som krävs eller förväntas av den offentliga förvaltningen försvåras av exempelvis framväxten av olika standarder och taxonomier, bildar det ett hinder för en rationell hantering av data i förvaltningen. Åtgärder som motverkar detta, i form av standardiserade krav, bör i allt väsentligt anses ingå i vad som krävs med anledning av den tekniska utvecklingen. 227 Flera av de nya åligganden som den nationella digitala infrastrukturen och EHDS medför för kommuner och regioner bör åtminstone i delar vara hänförliga till nödvändig teknisk utveckling. Med ett sådant resonemang skulle endast vissa delar av kommunernas och regionernas kostnader finansieras genom statliga bidrag.

13.6.2 Kommunal självstyrelse

Den kommunala självstyrelsen är grundlagsfäst och utgör en central princip i det svenska förvaltningssystemet. Enligt 14 kap. 2 § regeringsformen ansvarar kommuner och regioner för att hantera lokala och regionala angelägenheter. Självstyrelsen innebär ett handlingsutrymme att organisera verksamhet, fatta beslut och fördela resurser utifrån lokala förutsättningar.

227 SOU 2023:96, s. 282

455

Enligt förordningen (2024:183) om konsekvensutredningar ska det i en utredning särskilt bedömas om ett förslag inskränker den kommunala självstyrelsen. Om så är fallet ska de överväganden som krävs enligt 14 kap. 3 § regeringsformen redovisas. Bestämmelsen innebär att inskränkningar endast får ske om de är nödvändiga för att tillgodose ett angeläget allmänt intresse och inte går utöver vad som är nödvändigt för att uppnå syftet. Kommunal självstyrelse omfattar även grunderna för kommunernas och regionernas organisation och verksamhetsformer, vilket aktualiseras när staten genom lag reglerar hur informationshantering ska organiseras. Utredningens förslag innebär att kommuner och regioner åläggs rättsliga skyldigheter att tillgängliggöra hälsodata i enlighet med krav som följer av den föreslagna lagen om en nationell infrastruktur för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet och av EHDS-förordningen. Det handlar bl.a. om bestämmelser om uppgiftsskyldighet och skyldigheter att ansluta till och använda vissa delar av infrastrukturen. Vårdgivare inom kommunal och regional verksamhet ges därmed inte längre möjlighet att frivilligt ansluta sig, utan blir således skyldiga att delta i en nationell infrastruktur. Detta begränsar deras handlingsfrihet i organiseringen av informationshanteringen och innebär således en inskränkning i den kommunala självstyrelsen. Inskränkningen är motiverad av ett allmänt intresse av stor vikt – att säkerställa patientsäkerhet, effektivitet och kontinuitet i vård- och omsorgskedjan. I den rättsliga bilagan till E-hälsomyndighetens rapport Genomförandet av en nationell digital infrastruktur för hälso-och sjukvård och EHDS primäranvändning anför myndigheten att förslagen kommer att innebära en påverkan på kommuners och regioners självstyre. Enligt myndighetens uppfattning är det dock inte möjligt att uppfylla syftet med förslagen på något annat sätt för att undvika en inskränkning i den kommunala självstyrelsen. 228 Som framgår av avsnitt 13.5 om nyttor identifierar berörda aktörer betydande vinster i form av minskat dubbelarbete, förbättrad datakvalitet och stärkt patientsäkerhet. Det framhålls

228 Rättsliga förutsättningar för att realisera en nationell digital infrastruktur för hälso- och sjukvård Bilaga 1 till rapporten Genomförandet av en nationell digital infrastruktur för hälsooch sjukvård och EHDS primäranvändning, E-hälsomyndigheten, s. 6.

456

även att dessa nyttor över tid kan motsvara besparingar i storleksordningen några procent av vårdens totala kostnader. Mot denna bakgrund bedömer utredningen att inskränkningen i den kommunala självstyrelsen är proportionerlig enligt 14 kap. 3 § regeringsformen. Den går inte utöver vad som är nödvändigt för att uppnå syftet med regleringen och är förenlig med de skyldigheter som följer av unionsrätten. Proportionalitetsbedömningen i förhållande till andra aktörer än kommuner och regioner utvecklas vidare nedan.

13.6.3 Kostnader för berörda aktörer

Statens kostnader för att etablera och förvalta den nationella digitala infrastrukturen för hälsodata har redan beaktats i budgetpropositionen för 2025/26. E-hälsomyndigheten föreslås få särskilda tillskott för att finansiera centrala funktioner såsom spärrregister, patientdataindex (PDI), den nationella tjänstekatalogen (NTK) samt rollen som nationell kontaktpunkt (NCP). Ändamålet med medelstillskottet anges vara att etablera en nationell digital infrastruktur och genomföra EHDS. Regeringens satsning avser att finansiera infrastrukturen från och med 2026 och framåt. Medlen är permanenta. Mot denna bakgrund gör utredningen ingen ytterligare kostnadsbedömning av statens åtaganden i detta avsnitt utöver vissa merkostnader för Socialstyrelsen. Utredningen bedömer dock att det finns anledning att följa upp genomförandet av satsningen, särskilt vad gäller Ehälsomyndighetens utveckling och förvaltning av de nödvändiga registren, it-funktionerna och tillgångstjänsterna. Utredningen betonar även vikten av att säkerställa att arbetet med informationssäkerhet och cybersäkerhet upprätthålls på hög nivå. Utredningen har genom sin enkät undersökt kostnader för de föreslagna åtgärderna för regionerna i deras egenskap av vårdgivare. I svaren framhåller regionerna att det i nuläget är mycket svårt att lämna tillförlitliga kostnadsuppskattningar för de anpassningar som krävs. Underlaget präglas av osäkerhet, då beräkningsförutsättningarna är oklara, och flera regioner avstår

457

därför från att redovisa belopp. Den vanligaste återkopplingen är att inte ge något kvantitativt svar. En återkommande kvalitativ bedömning är dock att kostnaderna blir begränsade om befintliga nationella komponenter kan återanvändas, och att ett genomförande utan återanvändning skulle innebära högre resursåtgång. De få uppskattningar som inkommit visar på stor variation i kostnader. Regioner och kommuner ombeds bland annat beskriva vilken resursåtgång anpassningen kräver för att automatiserat lämna uppdaterade uppgifter till samt kunna ta del av uppgifter från ett nationellt PDI. Spannet sträcker sig från 50 till 200 miljoner kronor, beroende på om Inera AB:s engagemangsindex kan återanvändas eller ej. Andra regioner har endast lämnat indikativa uppgifter, exempelvis 2–4 helårsarbeten för drift och förvaltning. Utredningen konstaterar att det inkomna underlaget är otillräckligt för att möjliggöra en samlad och tillförlitlig uppskattning av regionernas ökade utgifter vid ett genomförande av utredningens förslag. Kommunerna beskriver en liknande bild. Flertalet kommuner avstår från att redovisa belopp och betonar att kostnaderna i hög grad beror på systemleverantörernas lösningar. Vid återanvändning av befintliga nationella komponenter förväntas anpassningarna bli begränsade, medan ett scenario utan återanvändning kan medföra betydande kostnader för nyutveckling, integrationer och utbildning. Flera kommuner framhåller också att den relativa belastningen kan bli större för mindre kommuner med begränsade resurser. I sammanhanget kan också nämnas att det i utredningens första delrapport konstateras att de underlag som tagits fram av SKR, representanter för regionerna m.fl. samt remissyttrandena från 2022 över EHDS framhålls på olika sätt att förordningen i sig kommer innebära kostnader och andra konsekvenser för regionerna. Merkostnader kopplas bl.a. till krav på stora förändringar avseende datahantering, informationssystem och processer inom hälso- och sjukvården. Varken i remissyttrandena eller i senare underlag har SKR och huvudmännen presenterat några siffror över förväntade merkostnader eller hur dessa skulle kunna fördela sig över tid. Inte heller har några siffror över förmodade effektivitetsvinster 229 presenterats. Mo t ovanstående bakgrund bedömer utredningen att det i nuläget inte är möjligt att redovisa en samlad

229 Det europeiska hälsodataområdet - kostnadsuppskattningar och finansieringsförslag, s. 88.

458

kostnadsberäkning för regioner och kommuner. Det råder dock en tydlig samstämmighet i att ett genomförande av förslagen medför ökade kostnader för båda aktörsgrupperna. Vidare framför regioner och kommuner att kostnaderna påverkas av vägval vid utveckling och återanvändande av tekniska lösningar. Därutöver kan nämnas att regionerna även lyfter andra utmaningar utöver direkta kostnader som handlar om brist på nödvändig kompetens och verksamhetens upplevda nytta av förändringar. 230 För att möjliggöra en mer precis kostnadsuppskattning bedömer utredningen att detaljerade förstudier behöver genomföras i ett senare skede, när beräkningsförutsättningarna är bättre definierade. För privata vårdgivare innebär förslagen motsvarande krav på anpassningar, men dessa omfattas inte av finansieringsprincipen. Kostnaderna betraktas som en del av deras ordinarie verksamhet, även om staten kan underlätta genom längre införandefaser eller riktade stöd. Även systemleverantörer behöver anpassa sina produkter. Kostnaderna bärs av företagen men kan komma att övervältras på vårdgivare och då i huvudsak regioner och kommuner genom licenser och serviceavgifter.

13.6.4 Hur förslagen finansieras

Genomförandet av EHDS kräver statliga investeringar i en nationell digital infrastruktur. E-hälsomyndigheten föreslås, i enlighet med budgetpropositionen för 2026, få tillskott om 262 miljoner kronor 2026, 369 miljoner kronor 2027, 323 miljoner kronor 2028 samt 158 miljoner kronor årligen från och med 2029. Medlen avser funktioner som spärrregister, patientdataindex (PDI), nationell tjänsteadresskatalog (NTK) samt rollen som nationell kontaktpunkt (NCP). Medlen ska ses som permanenta. Avgiftsfinansiering bedöms inte vara ändamålsenlig. En sådan modell riskerar att öka kostnaderna för kommuner och regioner, samtidigt som E-hälsomyndigheten redan har tillförts permanenta medel för att bygga upp och förvalta infrastrukturen. En

230 A.a. s.96.

459

avgiftsmodell bedöms även stå i strid med finansieringsprincipen 231 , då merkostnaderna skulle belasta kommunsektorn utan att staten bär kostnaden för beslutade åtgärder. Extern medfinansiering kan aktualiseras. EU har aviserat stöd genom program såsom EU4Health, Digital Europe och Horizon Europe. Dessa program kan bidra till finansiering av investeringar i digital infrastruktur, interoperabilitet och datadriven innovation, men kräver i regel nationell medfinansiering och att projekten uppfyller respektive programs kriterier. Utredningen bedömer att dessa program kan utgöra kompletterande finansieringskällor och bör följas upp i det fortsatta genomförandet. 232 För kommuner och regioner medför reformen merkostnader, bland annat för tekniska anpassningar, utbildning och löpande förvaltning. Exakta belopp är inte kända. Utredningens analys visar att kostnaderna varierar beroende på lokala förutsättningar och i vilken mån befintliga nationella komponenter kan återanvändas. Indikativa uppskattningar från huvudmän varierar från tiotals till hundratals miljoner kronor. Vissa regioner bedömer att kostnaderna kan bli mer begränsade vid återanvändning. I E-hälsomyndighetens rapport anges att ett proaktivt stöd krävs till vårdgivare vid anslutning till den digitala infrastrukturen och att det är av vikt att inkludera vården i utvecklingsprocessen. Ehälsomyndigheten anger att operativt samarbete med och mellan vårdgivare, myndigheter, systemleverantörer, kommuner samt regionerna och deras kundgrupper kommer att bli avgörande för att hantera komplexiteten i anslutningen till EHDS och nationella digitala infrastrukturen. Därför kommer myndigheten att erbjuda fördjupade dialoger, till exempel genom återkommande samarbetsforum och workshops i syfta att skapa förutsättningar för att identifiera och lösa gemensamma utmaningar på ett effektivt sätt Vidare nämns områden som nämns är stöd i införande och testning samt operativt samarbete i förvaltnings- och driftsfrågor. Utredningens bedömning är att kostnader för sådana stödjande

231 I 8 kap. 2 § kommunallagen 232 Extern medfinansiering kan aktualiseras. EU har aviserat stöd genom program såsom EU4Health, Digital Europe och Horizon Europe, vilka kan bidra till finansiering av investeringar i digital infrastruktur, interoperabilitet och datadriven innovation. Dessa program kräver i regel nationell medfinansiering, ofta upp till 50 procent, samt att projekten uppfyller respektive programs kriterier (Delrapport 1, s. 92; COM(2022) 197 final, avsnitt 6).”

460

insatser ska finansieras av staten och E-hälsomyndigheten genom de nya medel som tilldelats myndigheten. Regeringen beslutade den 15 maj 2025 om ett uppdrag till E-hälsomyndigheten att stödja vårdgivare och systemleverantörer i samband med anslutningen till den nationella digitala infrastrukturen (S2025/00973). Implementeringskostnader är inte nödvändigtvis proportionella mot regionens storlek. Större regioner kan dra nytta av skalfördelar, medan mindre regioner kan få högre kostnader per invånare. Detta indikerar att ersättningsmodeller bör anpassas efter lokala förutsättningar snarare än utgå från schablonbelopp. Mot denna bakgrund föreslår utredningen att staten, utöver att bära kostnaderna för den centrala infrastrukturen, initierar riktade förstudier och en fördjupad kostnadsanalys i samverkan med berörda aktörer. En sådan process bedöms vara nödvändig för att avgöra lämplig finansieringsmodell och nivå på kompensation, samt för att undvika risker för överfinansiering och ineffektiv resursanvändning. Om merkostnader bedöms som sannolika kan finansiering ske genom att en del av det generella kommunala statsbidraget, utgiftsområde 25, anslag 1:1 Kommunalekonomisk utjämning, får finansiera regionerna och kommunernas mer kostnader för genomförande av utredningens förslag.

13.6.5 Proportionalitetsprincipen

I utredningens uppdrag ingår att analysera och föreslå åtgärder för att möjliggöra en nationell digital infrastruktur för hälsodata i hela hälso- och sjukvården samt lämna förslag till hur nationell rätt behöver anpassas för att uppfylla de krav som följer av EHDS avseende primäranvändning av hälsodata. Detta innebär att vårdgivare, oavsett huvudmannaskap, åläggs en skyldighet att tillgängliggöra vissa specificerade informationsmängder via en nationell digital infrastruktur som uppfyller de krav som följer av utredningens författningsförslag liksom EHDS. Detta bedöms innebära en inskränkning i informationsmässig och teknisk självbestämmanderätt för alla vårdgivare, inklusive kommunala,

461

regionala, statliga och privata vårdgivare. För vårdgivare med hälsodata medför EHDS en skyldighet att anpassa befintliga system till de nya kraven på interoperabilitet och standardisering. Förslagen innebär att säkerställa att relevant hälsodata – inklusive uppgifter om läkemedel, diagnoser, vaccinationer och annan basinformation – är omedelbart tillgänglig längs hela vårdkedjan. Detta syfte bedöms vara legitimt mot bakgrund av kravet på en god och säker vård enligt hälso- och sjukvårdslagstiftningen, samt den ökande rörligheten av patienter inom såväl Sverige som EU. Genom att tillgängliggöra primärvårdsdata på ett strukturerat och interoperabelt sätt, kan vårdgivare snabbt och effektivt få tillgång till relevant information, vilket bedöms vara positivt för beslutsfattandet och patientens vårdresultat. En annan konsekvens är att detta möjliggör en mer sammanhållen och koordinerad vård, vilket minskar risken för felbehandlingar och förbättrar kontinuiteten i vården. Med start i avsnitt 12.4.1, och påföljande avsnitt, beskrivs nyttor av utredningens förslag. Där framhävs besparingspotentialen för samhället är påtaglig även om nivån är svår att slå fast. Enligt proportionalitetsprincipen, såsom den kommer till uttryck i 14 kap. 3 § regeringsformen och 6 § förordningen (2024:183) om konsekvensutredning vid regelgivning, ska varje inskränkning i den kommunala självstyrelsen eller annan enskild rättighet motiveras av ett legitimt ändamål och inte gå utöver vad som är nödvändigt för att uppnå detta ändamål. Vidare ska en avvägning göras där den samhällsnytta som åtgärden medför vägs mot den belastning eller det intrång som den medför för berörda aktörer. Utredningen bedömer att det inte föreligger någon mindre ingripande åtgärd som skulle uppnå samma effekt. Alternativa lösningar, som inbegriper mindre strukturerat hälsodata och sämre interoperabelt, har i praktiken visat sig otillräckliga. Sådana alternativ har exempelvis begränsad funktionalitet i akuta situationer, är administrativt betungande och kan inte tillgodose det behov av realtidsåtkomst som föreligger i modern hälso- och sjukvård.För det andra bedöms intrånget i vårdgivares informationsmässiga självbestämmanderätt och de administrativa kostnaderna stå i proportion till den nytta som uppstår. Genom att informationsutbytet sker på ett standardiserat sätt enligt EHDS och

462

med beaktande av etablerade principer för dataskydd, säkerställs att informationssäkerhet och patientsäkerhet inte äventyras. Skyldigheten att tillgängliggöra data begränsas till tydligt definierade informationsmängder och omfattar inte hela patientjournalen. I sammanhanget kan även nämnas att E-hälsomyndigheten gör bedömningen att de förslagna obligatoriska uppgifterna för aktörerna är nödvändiga för att den nationella digitala infrastrukturen ska kunna utformas i enlighet med kraven i EHDSförordningen och fungera på ett ändamålsenligt sätt. Detta samt den potentiella nyttan med en nationell digital infrastruktur och behovet av densamma, står därför enligt myndigheten i proportion till inskränkningen. 233 Mot ovanstående bakgrund bedömer utredningen att förslagen är proportionerliga i konstitutionell mening, då det uppfyller ett legitimt syfte, det saknas alternativa mindre ingripande lösningar, och det föreligger en rimlig balans mellan nyttan av åtgärden och det intrång den medför.

233 Rättsliga förutsättningar för att realisera en nationell digital infrastruktur för hälso- och sjukvård Bilaga 1 till rapporten Genomförandet av en nationell digital infrastruktur för hälsooch sjukvård och EHDS primäranvändning, E-hälsomyndigheten, s. 6 f.

463

13.7 Andra konsekvenser av utredningens förslag som identifierats

13.7.1 Konsekvenser för brottslighet och det brottsförebyggande arbetet

Utredningen konstaterar att när hälsodata görs tillgänglig för fler vårdgivare och E-hälsomyndigheten ökar även risken för att den sprids till aktörer som inte är behöriga att ta del av den. Utredningen resonerar kring integritetsrisker i kapitel 11. Mot den bakgrunden anser utredningen att säkerhetsarbetet är centralt och avgörande för att såväl behålla allmänhetens tillit men också för att säkerställa att data inte förvanskas, it-system slås ut eller att känslig information hamnar hos aktörer eller personer som inte har rätt att ta del av datan. För att förebygga sådana konsekvenser föreslår utredningen i att en ny bestämmelse ska införas i 4 kap. 4 § i den nya lagen om nationell infrastruktur och tjänster för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet som bemyndigar regeringen eller den myndighet regeringen bestämmer att meddela föreskrifter om tekniska och organisatoriska krav på säkerhet hos vårdgivaren som ska ansluta till den nationella digitala infrastrukturen och tillgängliggöra känsliga personuppgifter i form av hälsodata till den tillgångstjänst som staten ska tillhandahålla.

13.7.2 Sysselsättning och offentlig service

Hälso- och sjukvården är i huvudsak offentligt finansierad och utförs av offentligt ägda verksamheter. En förbättrad tillgång till hälsodata inom och mellan vårdgivare, oavsett var i landet de befinner sig, skapar bättre förutsättningar för en god offentlig service i hela landet. Elektronisk delning av hälsodata kan minska de geografiska barriärerna. Det kan bidra till att minska skillnaderna mellan stora och små vårdgivare samt göra att den geografiska lokaliseringen har mindre betydelse. Detta skulle i sig kunna bidra till förbättrade möjligheter att rekrytera personal i hela landet.

464

Tillgång till strukturerade och enhetliga hälsodata kan vidare ge effektivitetsvinster inom vården, exempelvis genom minskat dubbelarbete och förbättrad informationskvalitet, vilket beskrivs närmare i avsnitt 12.5.1. Detta kan frigöra tid och resurser i vårdgivares verksamheter, men det går inte att bedöma hur dessa används och i slutändan påverkar bemanning. På längre sikt kan man anta att förbättrad vårdkvalitet kan påverka befolkningens hälsoläge och därmed arbetskraftsdeltagandet. Minskad sjukfrånvaro och förbättrad arbetsförmåga kan öka det faktiska arbetsutbudet. Utredningen har inte möjlighet att skatta effekternas storlek, men riktningen bedöms vara positiv. En förbättrad folkhälsa kan bidra till ökad produktivitet och minskat resursbehov i välfärdssystemen.

13.7.3 Konsekvenser för miljön

Utredningens förslag bedöms inte ha några direkta konsekvenser för miljön. Avsikten med en nationella digital infrastruktur är att ge bättre förutsättningar för en utveckling av olika digitala lösningar som skulle kunna ersätta fysiska besök till förmån för digitala. Detta skulle i sig kunna medföra positiva effekter för klimat och miljö genom minskade transporter.

13.7.4 Jämställdheten mellan kvinnor och män

Utredningens förslag syftar till att hälsodata ska vara tillgänglig i hela vårdkedjan, vilket ger ökade förutsättningar för en patientsäker och jämställd hälso- och sjukvård som gynnar både kvinnliga och manliga patienter. Utredningens förslag är således i grunden könsneutrala. Fler kvinnor än män arbetar inom hälso- och sjukvården. En bättre tillgång till patienternas hälsodata underlättar för professionen att utföra sitt arbete effektivt och ge en god vård. Ur det perspektivet är det fler kvinnor än män som påverkas av fördelarna med förslagen.

465

13.7.5 Konsekvenser för barn och unga

Förbättrad tillgång till hälsodata gynnar barn och unga genom att de kan erbjudas en bättre hälso- och sjukvård. Hälsodata kan på ett effektivare sätt delas mellan olika vårdgivare där det tidigare har funnits hinder, exempelvis mellan skolhälsovården, där barn och unga återfinns, och regionernas hälso- och sjukvård.

13.7.6 Konsekvenser för integration

Målet med hälso- och sjukvården är en god hälsa och en vård på lika villkor för hela befolkningen. En förbättrad tillgång till hälsodata i hela hälso- och sjukvårdskedjan gynnar alla patienter oavsett patientens bakgrund och förutsättningar att förmedla information. En konsekvens skulle kunna vara en förbättrad hälsa i hela befolkningen vilket också gynnar de integrationspolitiska målen.

13.7.7 Förslagens överensstämmelse med EU-rätten

Utgångspunkten för utredningens uppdrag är att anpassa svensk rätt till de krav som EHDS-förordningen kommer att ställa på Sverige som medlemsstat. De förslag och bedömningar som görs i rapporten har prövats mot befintliga och kommande krav i EU-rätten och överensstämmer enligt utredningen med denna.

13.7.8 Övriga konsekvenser

Utredningen bedömer att förslagen i övrigt inte kommer att medföra några särskilda konsekvenser avseende övriga aspekter som ska beaktas enligt förordningen (2024:183) om konsekvensutredningar.

466

13.7.9 Riskbedömning

I nuläget saknas tillräckligt underlag för att bedöma de tekniska lösningarnas utformning och konsekvenser för alla aktörer och i slutändan medborgarna. Riskbedömningen i denna del är därför begränsad. Mot bakgrund av det säkerhetspolitiska läget och en fortsatt hög nivå av cyberattacker anför E-hälsomyndigheten i rapporten att det finns ett behov av att stärka arbetet med cybersäkerhet i sektorn. I takt med att hälso- och sjukvårdssystemen i allt högre grad blir måltavlor för cyberattacker och utpressningsprogram är myndigheten beredd att ta ett särskilt ansvar för att stärka medvetenheten och arbetet med säkerhet inom sektorn hälsa, vård och omsorg genom att inrätta ett forum för sektorsspecifik cybersäkerhet. Även regionerna och kommunerna ser ett behov av att förbättra stödet gällande cybersäkerhet. Utredningen kommer att återkomma i frågan.

467

14 Författningskommentarer

14.1 Förslaget till lagen om nationell infrastruktur och tjänster för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet

1 kap. Inledande bestämmelser

Lagens tillämpningsområde och syfte

1 § Denna lag tillämpas på den statliga verksamhet som ska bidra till att uppgifter i elektronisk form, som en vårdgivare behandlar för vården av patienter, kan tillgängliggöras för dem och deras företrädare, samt för andra vårdgivare. För elektroniskt tillgängliggörande av uppgifter om förskrivna och expedierade läkemedel gäller lagen (2018:1212) om nationell läkemedelslista.

I paragrafens första stycke anges lagens tillämpningsområde. Verksamheten, som ska bedrivas i statlig regi, består i att föra automatiserade register och tillhandahålla vissa it-funktioner samt att tillgängliggöra uppgifter från dessa register och funktioner (2 kap. 2 och 3 §§). Därutöver omfattar lagens tillämpningsområde tillhandahållandet av en statlig tillstångstjänst för hälso- och sjukvårdspersonal (2 kap. 4 §). De register och it-funktioner som avses i 2 kap. 2 § utgör nödvändiga delar i en infrastruktur som skapar förutsättningar för olika system att dela information. Syftet är att underlätta ett säkert och effektivt informationsutbyte av vårddokumentation vårdgivare sinsemellan och, på sikt, även vårdgivares elektroniska tillgängliggörande av sådana uppgifter för patienter eller deras företrädare.

468

Infrastrukturen är alltså en betydelsefull förutsättning för att vårdgivare ska kunna göra vårddokumentation i elektronisk form tillgänglig i hela vårdkedjan. Vårddokumentation används i vardagligt tal (och här) som benämning för sådana uppgifter som får behandlas för ändamål som anges i 2 kap. 4 § första stycket 1 och 2 PDL eller, som det också benämns, i syfte att bereda patienten vård. Infrastrukturen är också en av förutsättningarna för att Sverige som medlemsstat ska kunna uppfylla kraven i Europaparlamentets och rådets förordning (EU) 2025/327 av den 11 februari 2025 om det europeiska hälsodataområdet och om ändring av direktiv 2011/24/EU och förordning (EU) 2024/2847, härefter EHDSförordningen. I förordningen förutsätts en rätt till elektronisk tillgång till prioriterade kategorier av hälsodata med personuppgifter för hälsooch sjukvårdspersonal såväl som patienter (artiklarna 3 och 11). Denna tillgång till uppgifterna ska ombesörjas genom tillgångstjänster (artiklarna 4 och 12). För patienter gäller att en tillgångstjänst ska tillgodose även vissa andra rättigheter, t.ex. att tillföra hälso- och sjukvården egen information (artikel 5) och att begränsa hälso- och sjukvårdspersonals tillgång till patientens uppgifter (artikel 8). Det i paragrafen angivna tillämpningsområdet tar således höjd för att infrastrukturen, på sikt, ska bidra att även denna form av interaktion, mellan patient och vårdgivare, ska kunna ske på ett säkert och effektivt sätt. 234 Förevarande lag utgör en s.k. informationshanteringslag. Utöver bestämmelser i 2 kap. om ansvaret för infrastrukturens delar, liksom tillhandahållande av den statliga tillgångstjänsten, innehåller 3 kap. bestämmelser om nödvändig personuppgiftsbehandling i dessa verksamheter. I 4 kap. finns även bestämmelser om bl.a. uppgiftsskyldighet för berörda vårdgivare. Vad som avses med vårdgivare framgår av 1 kap. 5 §. Att lagen gäller för vårdgivares elektroniska informationsutbyte medför att enbart vårdgivare som för journal elektroniskt omfattas av lagens tillämpningsområde (se vidare avsnitt 4.3). Den ansvariga myndighetens verksamhet att tillhandahålla en nationell infrastruktur ska för närvarande vara avgränsad till sådant elektroniskt

234 Överväganden och förslag om kompletterande nationell reglering av bl.a. tillgångstjänster för patienter och deras företrädare kommer att redovisas i Utredningens slutrapport.

469

informationsutbyte som föreskrivs i 6 kap. PDL, dvs. mellan vårdgivare. Enligt regleringen i nämnda kapitel finns föreskriftsrätt för regeringen eller den myndighet som regeringen bestämmer, att meddela undantag från skyldigheten att elektroniskt tillgängliggöra uppgifter om patienter för ett sådant utbyte. Enligt bestämmelsen i andra stycket är lagen inte tillämplig på elektroniskt informationsutbyte avseende uppgifter om förskrivna och expedierade läkemedel. Sådant informationsbyte regleras genom den hänvisade lagen om nationell läkemedelslista (NLL). Den som enligt lagen (2009:366) om handel med läkemedel har tillstånd att bedriva öppenvårdsapotek träffas således inte av krav enligt förevarande lag. För vårdgivare gäller däremot både förevarande lag och NLL, beroende på vilka uppgifter som är föremål för elektroniskt informationsbyte. Övervägandena finns i avsnitt 8.2. Såvitt avser andra stycket, se även avsnitt 6.6.

I paragrafen anges lagens syften, vilka i stort överensstämmer med de syften som anges i EHDS-förordningen (se t.ex. artikel 1 och punkten 1 förordningens ingress). Övervägandena finns i avsnitt 8.2.

Lagens förhållande till annan reglering

3 § Lagen kompletterar Europaparlamentets och rådets förordning (EU) 2016/697 av den 27 april 2016 om skydd för fysiska personer med avseende på be-handling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävandet av direktiv 95/46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskyddsförordning. Ord och uttryck i denna lag har samma betydelse som i förordningen.

470

Vid behandling av personuppgifter enligt denna lag gäller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddförordning och föreskrifter som meddelas i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som meddelas i anslutning till lagen.

I paragrafen anges lagens förhållande till viss annan reglering om personuppgiftsbehandling. Första stycket upplyser om att lagen innehåller bestämmelser som kompletterar EU:s dataskyddsförordning. Förordningen är direkt tillämplig i medlemsstaterna, men förutsätter och tillåter i vissa avseenden nationella bestämmelser som kompletterar förordningen, vilket bl.a. finns i denna lag. Hänvisningen till EU:s dataskyddsförordning avser förordningen i dess vid varje tidpunkt gällande lydelse. Av andra stycket framgår lagens förhållande till dataskyddslagen. Den senare lagen är subsidiär i förhållande till förevarande lag, och gäller endast om denna lag eller föreskrifter som meddelas i anslutning till lagen inte innehåller några avvikande bestämmelser. Övervägandena finns i avsnitt 9.6.

4 § Lagen innehåller vissa bestämmelser som kompletterar 1. Europaparlamentets och rådets förordning (EU) 2025/327 av den 11 februari 2025 om det europeiska hälso-dataområdet och om ändring av direktiv 2011/24/EU och förordning (EU) 2024/2847, här benämnd EU:s förordning om det europeiska hälsodata-området, och 2. lagen (202X:00) med kompletterande bestämmelser till EU:s förordning om det europeiska hälsodataområdet. Bestämmelser i lagen med kompletterande bestämmelser till EU:s förordning om det europeiska hälsodataområdet ska tillämpas om inte annat följer av denna lag eller föreskrifter som meddelas i anslutning till lagen.

I paragrafen anges lagens förhållande till viss annan reglering om elektroniskt informationsutbyte på hälso- och sjukvårdsområdet. Enligt den i punkten 1 hänvisade, direkt tillämpliga EU-förordningen om det europeiska hälsodataområdet förutsätts att hälsooch sjukvårdspersonal har tillgång till relevanta och nödvändiga elektroniska hälsodata med personuppgifter om patienter som står under deras behandling (artikel 11). Med elektroniska hälsodata med

471

personuppgifter avses uppgifter om hälsa och genetiska uppgifter, som behandlas i elektroniskt format (artikel 2.2.a). Förordningen föreskriver dock inte att alla sådana hälsodata ska kunna göras tillgängliga för hälso- och sjukvårdspersonal, utan en särskild mängd prioriterade kategorier (artikel 14), se vidare 2 kap. 2 § och kommentaren till den paragrafen. Den förutsatta tillgången till sådana uppgifter gäller mellan vårdgivare i Sverige såväl som inom ESS. Den i förevarande lag reglerade nationella infrastrukturen är avsedd att bidra till att möjliggöra bl.a. detta informationsutbyte, i kombination med sådana tillgångstjänster för hälso- och sjukvårdspersonal och den nationella kontaktpunkten för digital hälsa som föreskrivs i EHDSförordningen (artikel 12 respektive artikel 23), se även 2 kap. 4 § och kommentaren till den paragrafen. I punkten 2 finns en hänvisning också till lagen med kompletterande bestämmelser till EU:s förordning om det europeiska hälsodataområdet. Av samma punkt framgår att den lagen är subsidiär i förhållande till förevarande lag, och gäller endast om denna lag eller föreskrifter som meddelas i anslutning till lagen inte innehåller några avvikande bestämmelser. 235 Övervägandena finns i avsnitt 8.2.

Ord och uttryck i lagen

5 § I lagen avses med 1. vårdgivare: statlig myndighet, region och kommun i fråga om sådan hälso- och sjukvård som myndigheten, regionen eller kommunen har ansvar för, samt annan juridisk person eller enskild näringsidkare som bedriver hälsooch sjukvård, och 2. hälso- och sjukvård: verksamhet som avses i hälso- och sjukvårdslagen (2017:30), tandvårdslagen (1985:125), lagen (1991:1128) om psykiatrisk tvångsvård, lagen (1991:1129) om rättspsykiatrisk vård, smittskyddslagen (2004:168), lagen (2006:351) om genetisk integritet m.m., lagen (2019:1297) om koordineringsinsatser för sjukskrivna patienter, lagen (2024:237) om vissa kirurgiska ingrepp i könsorganen, den upphävda lagen (1944:133) om

235 Överväganden och förslag om nationella kompletterande bestämmelser till EHDSförordningen kommer att redovisas i Utredningens slutrapport.

472

kastrering samt den upphävda lagen (1972:119) om fastställande av könstillhörighet i vissa fall.

I paragrafen definieras vad som enligt lagen avses med vårdgivare samt hälso- och sjukvård. Dessa stämmer inte i alla delar överens med hur begreppen definieras i EHDS-förordningen (artikel 2.1 b). Förevarande lag innehåller varken rättigheter eller skyldigheter för utländska aktörer, utan påverkar endast statliga myndigheter, regioner, kommuner och andra juridiska personer eller enskilda näringsidkare i Sverige som bedriver hälso- och sjukvårdsverksamhet. Definitionerna i paragrafen är därför utformade efter förebild i bl.a. PDL och lagen om sammanhållen vård- och omsorgsdokumentation (2022:913, SVOD). Definitionen av hälso- och sjukvård är densamma som i sistnämnda lag (se prop. 2021/22:177 s. 57). Av definitionerna följer att både offentliga och privata aktörer som tillhandahåller hälso- och sjukvård, tandvård och övrig uppräknad verksamhet utgör sådana vårdgivare vars informationsutbyte ska kunna ske med stöd av den infrastruktur som regleras i förevarande lag med anslutande förordning och myndighetsföreskrifter. För dessa aktörer gäller bl.a. krav på uppgiftslämnande enligt 4 kap. i lagen. Bestämmelserna om lagens tillämpningsområde och regleringen i 2 kap. om den ansvariga myndighetens verksamheter innebär dock att kraven i 4 kap. träffar enbart sådana vårdgivare som för journal elektronisk och omfattas av skyldigheten att tillgängliggöra vårddokumentation för elektroniskt informationsutbyte enligt 6 kap. PDL. I likhet med bl.a. PDL används begreppet patient utan särskild legaldefinition. Enligt Socialstyrelsens termbank definieras patient som ”person som erhåller eller är registrerad för att erhålla hälsooch sjukvård”, och anges omfatta både personer som får vård och personer som är i behov av vård, oavsett om det gäller undersökning, behandling, rehabilitering eller annan insats inom hälso- och sjukvården. Övervägandena finns i avsnitt 8.2.

473

2 kap. Ansvarig myndighets verksamheter

Ansvarig myndighet

1 § Den statliga myndighet som regeringen bestämmer ska ansvara för den verksamhet som anges i 2 §.

I paragrafen ges regeringen rätt att bestämma vilken myndighet som ska ges en roll som ansvarig myndighet för den infrastruktur som krävs för att, initialt, bidra till att vårdgivare på ett säkert och effektivt sätt kan möjliggöra avsett elektroniskt informationsutbyte enligt 6 kap. PDL.

236

Av 2 och 3 §§ framgår att det rör sig om verksamhet som består i att föra register och tillhandahålla itfunktioner samt att elektroniskt tillgängliggöra uppgifter som behandlas i dessa register och it-funktioner. Av 4 § framgår att en av regeringen utsedd myndighet ska ansvara för att tillhandahålla en statlig tillgångstjänst för hälso- och sjukvårdspersonal. Övervägandena finns i avsnitt 8.3.

Infrastruktur för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet

236 Det framgår av den till lagen föreslagna, anslutande förordningen att E-hälsomyndigheten är ansvarig myndighet enligt förevarande lag, se avsnitt 8.3.

474

3. att vårdgivare kan försäkra sig om att en patients ombud och andra företrädare är behöriga att få elektronisk tillgång till uppgifter som avses i första stycket. I lagen (2026:00) om insamling och tillhandahållande av vissa uppgifter om hälso- och sjukvårdsverksamheter finns bestämmelser om den nationella katalogen för vårdgivar- och vårdutbudsinformation.

Paragrafen fastställer grundläggande krav på den infrastruktur för elektroniskt utbyte av hälsodata som ska tillhandahållas i statlig regi. Av paragrafen följer att den ansvariga myndigheten, i denna roll, har att tillhandahålla och administrera en infrastruktur som möjliggör ett säkert och effektivt elektroniskt informationshantering så att hälso- och sjukvårdspersonal ges tillgång till vårddokumentation, inbegripen även sådan som finns hos andra vårdgivare. Bestämmelsen tar höjd för att infrastrukturen ska kunna möta krav på tillämpning som tillgodoser patienters och deras företrädares rätt till tillgång till elektroniska hälsodata i enlighet med EHDS-förordningen. 237 Den statliga verksamheten ska alltså underlätta för vårdgivare att uppfylla de krav på som ställs på dem att tillgängliggöra uppgifter om patienter enligt föreslagen, ny nationell reglering av elektroniskt informationsutbyte i 6 kap. PDL. Hänvisningen till 6 kap. PDL i första stycket ringar in förutsättningarna för, och vilka informationsmängder som omfattas av, vårdgivares obligatoriska och frivilliga, elektroniska informationsutbyte för vilket den statliga infrastrukturen är avsedd att stödja. Det handlar om vårddokumentation, med vilket här avses sådana uppgifter som får behandlas för ändamål som anges i 2 kap. 4 § första stycket 1 och 2 PDL eller, som det också benämns, i syfte att bereda patienten vård. Dessa uppgifter motsvarar i allt väsentligt de uppgiftsmängder som i EHDS-förordningen utgör prioriterade kategorier av hälsodata med personuppgifter (se kommentaren till 1 kap. 1 § första stycket och avsnitt 4.2). Skyldigheten att tillgängliggöra prioriterade kategorier av hälsodata framgår av 6 kap. 3 § PDL. Utöver de i EHDS-förordningen utpekade prioriterade kategorierna av hälsodata med personuppgifter ska, enligt komplet-

237 Angående frågan om patienters tillgångstjänster enligt EHDS-förordningen, se fotnot 1.

475

terande svensk lagstiftning, vårdgivares elektroniska informationsutbyte även omfatta vissa andra än uppgifter som behandlas elektroniskt för att bereda patienten vård, men som alltså inte ingår bland de prioriterade kategorierna. Dessa uppgifter ska tillgängliggöras elektronisk, förutsatt att de omfattas av föreskrifter om nationella specifikationer (6 kap. 4 och 12 §§ PDL). Därutöver innehåller den föreslagna, nya regleringen om elektroniskt informationsutbyte en möjlighet för vårdgivare att tillgängliggöra även uppgifter för vilka sådana föreskrifter inte gäller. Utbyte av sådana uppgifter är dock inte obligatoriskt (6 kap. 5 § PDL). Genom lagrumshänvisningen följer dessutom att en grundförutsättning för ett informationsutbyte är att patienten, vars uppgifter det gäller, inte har motsatt sig att de görs elektroniskt tillgängliga för delning (opt-out, se 6 kap. 6 och 8 §§ PDL). Följden av en sådan begäran är att inga uppgifter om patienten får göras elektroniskt tillgängliga av vårdgivaren som registrerat dem. Vid sidan av att patienter har denna rättighet, att helt ställa sig utanför det nya systemet för tillgängliggörande vårddokumentation, har patienten även möjlighet att begränsa hälso- och sjukvårdspersonalens elektroniska tillgång till en eller samtliga sina uppgifter (spärrade uppgifter, se 4 kap. 4 § PDL). Inga hälsodata, dvs. uppgifter som behandlas för vårdsyfte, kommer dock att tillgängliggöras eller tas emot i den ansvariga myndighetens infrastruktur för elektroniskt informationsutbyte, utan enbart i tillgångstjänster och den nationella kontaktpunkten (se 4 § och 4 kap. 2 §). De it-funktioner och register som utgör centrala delar av infrastrukturen ska i stället bidra till att flödet av hälsodata, som vårdgivare ska realisera, kan ske på ett säkert och effektivt sätt. I andra stycket anges övergripande vad de, för infrastrukturens syfte, nödvändiga registren och it-funktionerna är avsedda att användas till. Därigenom följer också vilka förmågor dessa komponenter ska ha. I punkten 1 beskrivs funktionalitet som ska göra det möjligt att begränsa mängden efterfrågningar (anrop) till de vårdgivare och vårdinformationssystem (elektroniska hälsodatasystem enligt benämningen i EHDS-förordningen) som faktiskt har uppgifter om en viss patient. Detta ska åstadkommas genom att avsedda register

476

och it-funktioner (patientdataindex och tjänsteadresseringskatalog) kan lokalisera hos vilka vårdgivare uppgifter om efterfrågad patient finns, liksom anropsadresserna till de berörda vårdinformationssystemen. Med returnerad information kan anropande vårdgivare, via en integrerad tillgångstjänst i sitt vårdinformationssystem eller en av staten tillhandahållen tillgångstjänst för hälso- och sjukvårdspersonal, efterfråga hälsodata från berörda vårdgivare. Att uppgifter från ifrågavarande infrastrukturkomponenter ska tillhandahållas vårdgivare följer av 3 §. Funktionaliteten i punkten 2 (spärrfunktion och spärregister) ska bidra till bl.a. att vårdgivare kan se till att inte elektroniska uppgifter om en patient tillgängliggörs, om han eller hon har motsatt sig elektroniskt informationsutbyte (opt-out) eller begränsat hälso- och sjukvårdspersonal elektroniska tillgång till en viss eller vissa uppgifter (spärrade uppgifter). Det förutsätter att uppgifter kan exempelvis registreras och lokaliseras. I registret lagras uppgifter om patientens begäran om begränsningar av elektronisk tillgång till uppgifter (spärrar) av generell karaktär som är eller kan bli tillämpliga för flera vårdgivare, dvs. begränsningarna är inte knutna till en specifik vårdgivare eller informationskälla. I registret ska även lagras patienters begäran om att uppgifter inte får göras tillgängliga för elektroniskt informationsutbyte, dvs. att patienten har nyttjat rätten att motsätta sig att andra än den som registrerat uppgifterna ges elektronisk tillgång till dem (opt-out). Spärrar respektive tillgångsblockeringar ska också lagras hos vårdgivare och distribueras, via spärrfunktionen, även till sådana vårdgivare som patienten får en vårdrelation med först efter att spärren eller tillgångsblockeringen har begärts av honom eller henne. Spärrar som är knutna till en viss vårdgivares uppgifter om en patient ska däremot lagras enbart hos ifrågavarande vårdgivare, dvs. decentraliserat. Dessa spärrar kan i sig – jämfört med de centralt lagrade spärrarna – innehålla mer känsliga personuppgifter relaterade till den information som spärren avser. Via spärrfunktionen ska, i förekommande fall, uppgifter lämnas ut enligt 3 § till en vårdgivare innan vårddokumentation tillgängliggörs för andra vårdgivare genom elektroniskt informationsutbyte. Det ankommer på varje vårdgivare att, genom tillämpning av till-

477

gångsblockeringar (opt-out) och spärrar, se till att inte tillgängliggöra sådana uppgifter för vilka patienter har antingen motsatt sig elektroniskt tillgängliggörande eller begränsat elektronisk tillgång. Spärrfunktionen kommer även vara en nödvändig förutsättning för att möta funktionalitetskrav för tillgångstjänster för patienter. I punkten 3 beskrivs funktionalitet som kommer att krävas för att tillgodose patienters rättigheter enligt EHDS-förordningen. Det handlar om register och it-funktioner (ombudsregister respektive företrädarfunktion) som är nödvändiga bl.a. för att säkerställa att ombud, liksom andra företrädare för en patient, dvs. vårdnadshavare och rättsliga ställföreträdare, ges tillgång till patientens vårddokumentation i elektronisk form i sådana tillgångstjänster för patienter som det åligger medlemsstaterna att se till att det 238 åtminstone finns en att tillgå. Detta förutsätter att uppgifter kan bl.a. registreras, lokaliseras och förmedlas. Detaljreglering av nödvändiga delar av den nationella infrastrukturen får, med stöd av bemyndigandet i 5 §, meddelas på förordningsnivå eller genom myndighetsföreskrifter. I 3 kap. finns bestämmelser om den ansvariga myndighetens personuppgiftsbehandling i verksamheten med att tillhandahålla och administrera den nationella infrastrukturen för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet. Tredje stycket innehåller en hänvisning till bestämmelser i den föreslagna nya lagen om insamling och tillhandahållande av vissa uppgifter om hälso- och sjukvårdsverksamheter. Det i lagförslaget nya registret ska hållas av E-hälsomyndigheten och utgör en fristående informationskälla med uppgifter om organisationer inom hälso- och sjukvårdsområdet (Regeringskansliet S2025/01022). Registret och dess innehåll kan komma att tillgodose behov inom den nationella digitala infrastrukturen. Övervägandena finns i avsnitt 8.3.

3 § Den ansvariga myndigheten ska till vårdgivare tillhandahålla uppgifter som behandlas i de register och it-funktioner som avses i 2§.

238 Det saknas bestämmelser som ålägger vårdgivare en skyldighet att tillgängliggöra elektroniska uppgifter om en patient till hans eller hennes ombud eller andra rättsliga företrädare. Förslag har lämnats och bereds inom Regeringskansliet. Angående frågan om patienters tillgångstjänster enligt EHDS-förordningen, se fotnot 1.

478

I paragrafen regleras den ansvariga myndighetens skyldighet att förse vårdgivare (direkt, eller indirekt via den statliga tillgångstjänsten för hälso- och sjukvårdspersonal) med uppgifter från de register och it-funktioner som avses i 2 §. Det är en central funktionalitet för infrastrukturen att returnera dels svar på de anrop som görs till register och it-funktioner, dels tillgängliggöra sådana uppgifter som i övrigt krävs för att infrastrukturen ska effektivisera vårdgivares elektroniska informationsutbyte och öka dess säkerhet, genom att bl.a. automatiserat distribuera patienters spärrar. Myndighetens skyldighet enligt bestämmelsen omfattar även andra uppgifter än de i registren som myndigheten ska föra. Det rör sig om uppgifter som förekommer och behandlas i spärr- eller företrädarfunktionerna, t.ex. för vårdgivares kontroll av behörighet för andra företrädare för patienter än ombud, (eller för att på sikt tillgodose patienters rätt att administrera exempelvis spärrar). Myndighetens tillhandahållande av uppgifter från nödvändiga register och it-funktioner enligt förevarande paragraf är avsett att ske elektroniskt. I 3 kap. 7 § finns stöd för ett elektroniskt utlämnande av förekommande personuppgifter. Övervägandena finns i avsnitt 8.3

Tillgångstjänst för hälso- och sjukvårdspersonal

4 § Den myndighet som regeringen bestämmer (ansvarig myndighet) ska tillhandahålla en sådan tillgångstjänst för hälso- och sjukvårdspersonal som avses i artikel 12 i EU:s förordning om det europeiska hälsodataområdet. Tillgångstjänsten enligt första stycket ska säkerställa att hälso- och sjukvårdspersonal, när de vårdar en patient, har tillgång till sådana personuppgifter som behandlas för ändamål som anges i 2 kap. 4 § första stycket 1och 2 patientdatalagen (2008:355) och tillgängliggörs elektroniskt av vårdgivare i enlighet med 6 kap. samma lag.

Paragrafen reglerar det statliga ansvaret att tillhandahålla en sådan tillgångstjänst för hälso- och sjukvårdspersonal som avses i EHDSförordningen. Detta framgår av första stycket .

479

Tillgångstjänster enligt EHDS-förordningen, det gäller även den som ska tillhandahållas i statlig regi, är inte att betrakta som en del i den verksamhet som omfattar att ansvara för och administrera den nationella infrastruktur som avses i 2 §. Infrastrukturen är däremot en förutsättning för att en statlig tillgångstjänst för hälso- och sjukvårdspersonal (liksom på sikt patienter) ska fungera och kunna 239 användas. Den i förordningen förutsatta tillgången till elektroniska uppgifter för hälso- och sjukvårdspersonal ska ske genom föreskrivna tillgångstjänster (artikel 12). Detta kommer till uttryck i andra stycket som också tydliggör kopplingen till regleringen om vårdgivares elektroniska tillgängliggörande av ifrågavarande uppgifter. I 6 kap. PDL föreskrivs också i vilket utbytesformat uppgifter ska tillgängliggöras och kunna tas emot, även när det gäller sådana uppgifters tillgänggörande för den myndighet som ska ansvara för den statliga tillgångstjänsten. Likaså finns i 6 kap. PDL en föreskriftsrätt om nationella specifikationer för informationsutbyte inom Sverige. EHDS-förordningens avgränsning till prioriterade kategorier av hälsodata med personuppgifter (artikel 14) utgör inget hinder mot att den statliga tillgångstjänsten ska möjliggöra för vårdgivare inom Sverige att ge och få tillgång även andra uppgifter om patienter som behandlas för att bereda patienter vård. Hänvisningen till 6 kap. PDL klargör således att även sådana uppgifter som omfattas av krav på elektroniskt informationsutbyte enbart inom Sverige ska kunna efterlevas av vårdgivare genom användning av den statliga tillgångstjänsten. Detsamma gäller det frivilliga informationsutbytet mellan svenska vårdgivare (6 kap. 4 respektive 5 § PDL). Övervägandena finns i avsnitt 6.2.1.

Rätt att meddela föreskrifter

5 § Regeringen eller den myndighet som regeringen bestämmer får meddela närmare föreskrifter om

239 Överväganden om tillgångstjänster som tillhandahålls av andra än staten och regleringsbehov för sådana tjänster redovisas i Utredningens slutrapport.

480

1. funktionaliteten för och användningen av de register och it-funktioner som den ansvariga myndigheten ska ansvara för eller tillhandahålla enligt 2 §, och 2. vilka uppgifter som ska lämnas ut enligt 3 § och hur utlämnandet ska fullgöras.

Paragrafen innehåller ett föreskriftbemyndigande avseende detaljreglering av nödvändiga delar av infrastrukturen, dvs. register och itfunktioner (2 §) och vilka uppgifter däri som den ansvariga myndigheten ska tillgängliggöra och på vilket sätt (3 §). På förordningsnivå eller i myndighetsföreskrifter regleras bl.a. hur uppgifter inom ramen för infrastrukturen ska förmedlas för att bidra till att vårdgivare på ett säkert och effektivt sätt ska tillgängliggöra och ta emot elektronisk vårddokumentation. Det får, enligt punkten 2, även föreskrivas om att uppgifter i vissa fall inte ska lämnas ut från ett visst register direkt till vårdgivare, t.ex. när det är förfrågningar från hälso- och sjukvårdspersonal hos en vårdgivare som inte har en tillgångstjänst som är integrerad med det egna vårdinformationssystemet. I sådant fall är det till tillgångstjänsten som uppgifter från berörda register returneras. Övervägandena finns i avsnitt 8.3.

3 kap. Ansvarig myndighets behandling av personuppgifter

Kapitlets tillämpningsområde

Av paragrafen framgår att bestämmelserna i förevarande kapitel gäller vid behandling av personuppgifter. Definitioner av begreppen behandling och personuppgifter finns i artikel 4.2 och 4.1 i EU:s dataskyddsförordning.

481

Av första stycket framgår att bestämmelserna gäller för den behandling av personuppgifter som den ansvariga myndigheten utför i sin verksamhet med att tillhandahålla en infrastruktur för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet. Denna verksamhet är avsedd att bidra till att vårdgivare på ett säkert och effektivt sätt ska kunna efterleva föreskrivna krav på att ge tillgång till och motta vårddokumentation i elektronisk form (2 kap. 2 §). Vidare omfattas personuppgiftsbehandling som den ansvariga myndigheten utför i verksamheten med att tillhandahålla den tillgångstjänst för hälso- och sjukvårdspersonal som staten ska ansvara för (2 kap. 4 §). För berörda vårdgivares personuppgiftsbehandling vid obligatoriskt och frivilligt tillgängliggörande av uppgifter som behandlas för vårdändamål gäller regleringen i PDL. Av andra stycket framgår att bestämmelserna i förevarande kapitel ska tillämpas endast vid sådan behandling av personuppgifter som är helt eller delvis automatiserad eller om personuppgifterna ingår i eller kommer att ingå i ett register. Denna begränsning innebär t.ex. att manuell behandling som inte ingår i, eller kommer att ingå i, ett register faller utanför kapitlets tillämpningsområde. Bestämmelsen är utformad i nära anslutning till artikel 2.1 i EU:s dataskyddsförordning och bör tolkas på samma sätt som den bestämmelsen. En definition av register finns i artikel 4.6 i dataskyddsförordningen. Genom tredje stycket utvidgas kapitlets tillämpningsområde till att delvis omfatta behandling av uppgifter som enligt dataskyddsförordningen inte utgör personuppgifter, nämligen uppgifter om avlidna. Bestämmelser om ändamål, tillgång till personuppgifter, samt bevarande och gallring ska enligt tredje stycket tillämpas även vid behandling av uppgifter om avlidna. Eftersom dataskyddsförordningen inte är tillämplig vid behandling av uppgifter om avlidna kan dock dataskyddsförordningens och dataskyddslagens bestämmelser om tillsyn och sanktionsavgifter inte tillämpas vid felaktig behandling av sådana uppgifter. Övervägandena finns i avsnitt 8.2 samt 9.7, såvitt avser andra och tredje styckena.

482

Rätten att göra invändningar

I paragrafen görs ett undantag från den rätt för registrerade att invända mot behandlingen av personuppgifter som följer av artikel 21.1 i EU:s dataskyddsförordning. Undantaget omfattar rätten för den registrerade att när som helst, av skäl som hänför sig till hans eller hennes specifika situation, göra invändningar mot behandlingen av personuppgifter. Undantaget utgör en sådan begränsning i den nationella rätten som är tillåten enligt artikel 23 i EU:s dataskyddsförordning. Vid sådan behandling av personuppgifter som är tillåten enligt lagen, eller föreskrifter som meddelas i anslutning till den, gäller därmed inte rätten enligt artikel 21.1 i förordningen att göra invändningar mot behandlingen. Övervägandena finns i avsnitt 9.9.

Personuppgiftsansvar

3 § Den ansvariga myndigheten är personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför enligt denna lag och föreskrifter som meddelas i anslutning till lagen.

Paragrafen reglerar den ansvariga myndighetens personuppgiftsansvar. En definition av begreppet personuppgiftsansvarig finns i artikel 4.7 i EU:s dataskyddsförordning. Av förordningen följer vissa skyldigheter för den som är personuppgiftsansvarig. Den personuppgiftsansvarige ansvarar bl.a. för att kunna visa att behandlingen av personuppgifter sker på ett korrekt sätt (artikel 5.1 och 5.2), att se till att lämpliga tekniska och organisatoriska åtgärder genomförs (artikel 24.1) och att den registrerade ersätts för skada som en rättsstridig behandling av personuppgifter har medfört (artikel 82).

483

Av bestämmelsen följer att den ansvariga myndigheten är personuppgiftsansvarig för behandling av personuppgifter som utförs i verksamheten med att tillhandahålla den infrastruktur myndigheten ålagts att ansvara för enligt 2 kap. 2 § och förordningseller myndighetsföreskrifter som meddelas med stöd av lagen. Detsamma gäller i fråga om en ansvarig myndighets behandling av personuppgifter med anledning av tillhandahållande av den statliga tillgångstjänsten för hälso- och sjukvårdspersonal enligt 2 kap. 4 § och till lagen anslutande förordning- eller myndighetsföreskrifter. Övervägandena finns i avsnitt 9.10.

Ändamål

I paragrafen anges ändamålen för den ansvariga myndighetens behandling av personuppgifter. Ändamålen återspeglar de behov av personuppgiftsbehandling som finns för att den ansvariga myndigheten ska kunna utföra sina uppgifter enligt lagen, och ger en ram för vilken personuppgiftsbehandling som är tillåten. Av bestämmelsen framgår att en grundläggande förutsättning för att en personuppgift ska vara tillåten att behandla är att den är nödvändig för att utföra en uppgift som myndigheten har. Nödvändighetskravet innebär inte att behandlingsåtgärden ska vara oundgänglig (prop. 2017/18:105 s. 189). Enligt bestämmelsen får den ansvariga myndigheten behandla personuppgifter om det är nödvändigt för att kunna utföra sin uppgift att tillhandahålla och administrera den nationella infrastruktur som skapar förutsättningar för ett säkert och effektivt elektroniskt informationsutbyte på hälso- och sjukvårdsområdet (2 kap. 2 §, se även 1 kap. 2 §). Bestämmelsen ger också stöd för nödvändig personuppgiftsbehandling för den ansvariga myndigheten att tillhandahålla den statliga tillgångstjänsten för hälso- och sjukvårdspersonal, med vilken tillgång till patienters uppgifter ska kunna tillhandahållas.

484

När det gäller ansvaret att tillhandahålla och administrera den nationella infrastrukturen för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet, kommer myndighetens behandling av personuppgifter att i huvudsak bestå av att ta emot uppgifter samt att registrera, lagra, söka och lämna ut uppgifter genom överföring eller tillhandahållande på annat sätt. Det finns inte något hinder mot att personuppgifter som lagras i register hos den ansvariga myndigheten behandlas någon annanstans än i ifrågavarande register, om det är nödvändigt för ändamålet med att tillhandahålla och administrera den avsedda infrastrukturen. Detta ändamål begränsar samtidigt vilka uppgifter som får lagras hos den ansvariga myndigheten efter att de tagits emot. Av bestämmelsen i 6 § framgår att personuppgifter får lämnas ut i elektronisk form. De personuppgifter som kommer att bli föremål för behandling är uppgifter om patienters identitet, såsom personnummer eller samordningsnummer. Beträffande utländska patienter kan det handla om en kombination av uppgifter. Patientens identifieringsuppgifter i kombineras med information om hos vilken vårdgivare och i vilka vårdinformationssystem som det finns sådana uppgifter om patienten som behandlas för hälso- och sjukvårdsändamål. Ett annat exempel på personuppgifter som behandlas är patientens spärrar, dvs. information om för vilka uppgifter som en patient har begränsat hälso- och sjukvårdspersonals elektroniska tillgång, t.ex. en diagnos eller en genomförd medicinsk behandling. Ett ytterligare exempel är patienters begäran om att hälsodata inte får göras tillgängliga för elektroniskt informationsutbyte via tillgångstjänster för hälso- och sjukvårdspersonal (tillgångsblockering). Beträffande tillhandahållandet den statliga tillgångstjänsten för hälso- och sjukvårdspersonal får den ansvariga myndigheten behandla personuppgifter i denna verksamhet som är nödvändiga för syftet att tillgängliggöra hälsodata med personuppgifter till behörig hälso- och sjukvårdspersonal i enlighet med artiklarna 11 och 12i EHDS-förordningen (se även 6 kap. 3 § PDL). Därutöver får vissa ytterligare uppgifter som krävs för en säker och effektiv vård behandlas av myndigheten, när vårdgivare via tillgångstjänsten ger eller tar del av uppgifterna i enlighet med föreskriven skyldighet i

485

eller vid frivilligt informationsutbyte enligt 6 kap. 4 respektive 5 § PDL) Verksamheten innebär att den ansvariga myndigheten kommer att ta emot och momentant tillgängliggöra elektroniska personuppgifter. Det handlar alltså om uppgifter såsom identitet, diagnos, vidtagen eller planerad vård samt utskrivningsrapporter, dvs. sådana uppgifter om patienter som behandlas för vårdsyfte. I uppräkningen av egenskaper för de prioriterade kategorierna av hälsodata (artikel 14 i EHDS-förordningen) ingår bl.a. medicinska varningar och medicintekniska produkter och implantat. I föreskrifter på förordningsnivå eller i myndighetsföreskrifter får ändamålen enligt förevarande bestämmelse begränsas eller preciseras. Detsamma gäller för närmare reglering av vilka uppgifter som får behandlas i de för infrastrukturen nödvändiga komponenterna. En upplysningsbestämmelse om att detta kan ske med stöd av regeringens restkompetens finns i 9 §. Övervägandena finns i avsnitt 9.11.

Känsliga personuppgifter

5 § Personuppgifter som avses i artikel 9.1 i EU:s dataskydds-förordning (känsliga personuppgifter) får behandlas med stöd av artikel 9.2 g och 9.2 h i förordningen, om det är nödvändigt med hänsyn till ändamålet med behandlingen.

Paragrafen reglerar möjligheten till sådan behandling av känsliga personuppgifter som får ske med stöd av artikel 9.2 g och 9.2 h i EU:s dataskyddsförordning. Bestämmelsen ersätter den generella bestämmelsen i 3 kap. 3 § första stycket dataskyddslagen avseende undantag från förbudet mot behandling av känsliga personuppgifter, som gäller där sektorsspecifik reglering saknas (prop. 2017/18:105 s. 91), och innebär i likhet med den bestämmelsen ett undantag från förbudet. De personuppgifter som myndigheten får behandla med stöd av bestämmelsen är sådana som avses i artikel 9.1 i EU:s dataskyddsförordning, bl.a. behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella

486

läggning. Definitioner av genetiska och biometriska uppgifter finns i artikel 4.13 och 4.14 i dataskyddsförordningen. Bestämmelsen omfattar inte behandling av uppgifter om en persons nationalitet, eftersom en sådan uppgift normalt inte ger upplysning om etniskt ursprung. Likaså faller som regel uppgifter om att en viss person närmast kommer från en viss världsdel eller ett visst land utanför bestämmelsens tillämpningsområde. Skulle en sådan uppgift i det enskilda fallet t.ex. avslöja etniskt ursprung faller den dock inom bestämmelsens tillämpningsområde (jfr prop. 2016/17:89 s. 142). Den ansvariga myndigheten får enligt bestämmelsen behandla känsliga personuppgifter om det är nödvändigt med hänsyn till ändamålet med behandlingen. Behandling av känsliga personuppgifter bör ofta kunna bedömas som nödvändig, eftersom sådana uppgifter är en förutsättning för myndighetens ansvar att tillhandahålla och administrera den föreskrivna infrastrukturen, liksom ansvaret att tillhandahålla en statlig tillgångstjänst för hälso- och sjukvårdspersonal. Behandlingen måste dock alltid kunna motiveras. Övervägandena finns i avsnitt 9.8.

Elektroniskt utlämnande av personuppgifter

6 § Personuppgifter och andra uppgifter som behandlas i de register och itfunktioner som anges i 2 kap. 2 § får lämnas ut elektroniskt, dock inte genom direktåtkomst.

Paragrafen reglerar elektroniskt utlämnande av personuppgifter. Att uppgifter från register och it-funktioner ska tillgängliggöras av den ansvariga myndigheten framgår av 2 kap. 3 §. Förevarande paragraf ger rättsligt stöd för elektroniskt utlämnande av personuppgifter, dock inte genom direktåtkomst. Den form för utlämnande som kan antas komma att aktualiseras i den ansvariga myndighetens verksamhet är direkt överföring från ett datorsystem till ett annat, genom API:er. Övervägandena finns i avsnitt 9.16.

Tillgång till personuppgifter inom den ansvariga myndigheten

487

7 § Tillgången till personuppgifter ska begränsas till det som var och en behöver för att kunna fullgöra sina arbets-uppgifter. Åtkomsten till personuppgifter ska kontrolleras och följas upp regelbundet.

Paragrafen reglerar den interna tillgången till personuppgifter i den ansvariga myndighetens verksamhet. Av paragrafens första stycke följer att den ansvariga myndigheten är skyldig att se till att tillgången till personuppgifter begränsas till det som var och en behöver för att kunna fullgöra sina arbetsuppgifter. Det är således vilka arbetsuppgifter den som tjänstgör vid den ansvariga myndigheten, inbegripet för ändamålet anlitade konsulter, har som ska vara styrande för vilka uppgifter som medarbetaren ska få tillgång till. Bestämmelsen förutsätter att tillgången till personuppgifter följs upp och förändras efter hand som ändringar i den enskilde medarbetarens arbetsuppgifter ger anledning till det. Av andra stycket följer att den ansvariga myndigheten också är skyldig att se till att åtkomsten till personuppgifter kontrolleras. Åtkomsten ska också följas upp regelbundet. Det är i första hand upp till myndigheten att närmare bestämma formerna för detta, men det kan t.ex. ske genom loggar. Övervägandena finns i avsnitt 9.15.

Bevarande av uppgifter

8 § Personuppgifter och andra uppgifter i de register som avses i 2 kap. 2 § får inte behandlas under längre tid än vad som behövs med hänsyn till ändamålet med behandlingen.

Paragrafen innehåller en bestämmelse om bevarande personuppgifter och andra uppgifter som behandlas av den ansvariga myndigheten i verksamheten med att tillhandahålla och administrera en infrastruktur för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet. Bestämmelsen är en tillåten precisering i förhållande till artikel 5.1 e i EU:s dataskyddsförordning. Bestämmelsen reglerar bevarandet av uppgifter som behandlas i den ansvariga myndighetens register som är nödvändiga för den

488

ifrågavarande verksamheten. Bestämmelsen innebär en skyldighet för myndigheten att upphöra med behandlingen av personuppgifter så snart personuppgifterna inte längre behövs med hänsyn till det ändamål för vilket de behandlas. Bestämmelsen ställer krav på myndigheten att kunna motivera fortsatt behandling av personuppgifter, t.ex. inför en tillsynsmyndighet. Om uppgiften behandlas för flera olika ändamål, får den dock fortsätta att behandlas för de andra ändamålen om behovet av behandling kvarstår för dessa. I 9 § finns föreskriftsrätt avseende gallring av uppgifter. Allmänna handlingar som inte ska gallras med stöd av särskilda gallringsbestämmelser ska bevaras i enlighet med arkivlagstiftningens krav. Övervägandena finns i avsnitt 9.13.

Rätt att meddela föreskrifter

Paragrafen innehåller i första stycket ett föreskriftsbemyndigande avseende gallring. I 8 § finns en bestämmelse om bevarande av uppgifter som förekommer i de register som är nödvändiga att föra för den ansvariga myndigheten inom verksamheten med att tillhandahålla en nationell infrastruktur för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet. Genom föreskriftsrätten kan det på förordningsnivå eller i myndighetsföreskrifter regleras att gallring är tillåten dels av personuppgifter och andra uppgifter som behandlas i de it-funktioner, t.ex. för hantering av patienters spärrar, dels personuppgifter som behandlas i den statliga tillgångstjänsten. I andra stycket 1 upplyses om att regeringen med stöd av sin restkompetens kan meddela föreskrifter eller vidaredelegera

489

föreskriftsrätt om begränsningar och preciseringar av ändamålen i 4 §. Sådana preciseringar föreslås införas i en till lagen ansluten förordning. Med stöd av restkompetensen kan regeringen även bestämma att den ansvariga myndigheten enligt förevarande lag ska meddela föreskrifter om sådana begränsningar eller preciseringar. EU:s dataskyddförordning ger utrymme för en personuppgiftsansvarig att även utan föreskriftsrätt närmare precisera ändamålen för sådan nödvändig behandling som ryms inom ramen för de lagstadgade ändamålen. Av punkten 2 framgår vidare det ligger inom restkompetensen att på förordningsnivå eller i myndighetsföreskrifter meddela bestämmelser om vilka uppgifter som får behandlas i de register och it-funktioner som är nödvändiga för den infrastruktur som avses i 2 kap. 2 § liksom den statliga tillgångstjänsten för hälso- och sjukvårdspersonal som regleras i 2 kap. 4 §. Övervägandena finns i avsnitt 9.11.

4 kap. Krav på vårdgivare

1 § Vårdgivare ska till den ansvariga myndigheten lämna de uppgifter som är nödvändiga för syftet med de register och it-funktioner som avses i 2 kap. 2 §, samt från myndigheten ta emot uppgifter som behandlas i sådana register och it-funktioner.

Paragrafen reglerar vårdgivares skyldighet att lämna de uppgifter som den ansvariga myndigheten behöver för att kunna tillhandahålla och administrera den infrastruktur vars syfte är att understödja vårdgivare att, på ett säkert och effektivt sätt, ge tillgång till och ta emot sådana elektroniska uppgifter om patienter som behandlas för att bereda patienten vård. Vad som avses med vårdgivare framgår av 1 kap. 4 §, se även kommentaren till 1 kap. 1 §. Bestämmelsen innebär också ett krav på vårdgivare att ta emot sådana uppgifter från myndighetens register och it-funktioner som vårdgivaren behöver för att, på ett säkert och effektivt sätt, kunna tillgängliggöra patienters hälsodata (dvs. sådana uppgifter som behandlas för ändamål som anges i 2 kap. 4 § första stycket 1 och 2 PDL) i enlighet med regleringen i 6 kap. PDL. Att den ansvariga myndigheten ska göra uppgifterna i berörda register och it-

490

funktioner tillgängliga framgår av 2 kap. 3 §, och stöd för elektroniskt utlämnande av personuppgifter finns i 3 kap 6 §. Av bestämmelsen i 2 kap. 2 § följer vilken funktionalitet som är nödvändig för att infrastrukturen ska fylla sitt syfte. Detta är i sin tur styrande för informationsförsörjningen av nödvändiga register och it-funktioner, se kommentarerna till 2 kap. 2 § samt 3 kap. 4 § om tillåtna ändamål för behandling av personuppgifter. Av 4 § andra stycket 1 följer att närmare bestämmelser om skyldighetens omfattning och fullgörande får meddelas på förordningsnivå eller i myndighetsföreskrifter. Ifrågavarande itfunktioner och register kommer att vara API-baserade. Det ger förutsättningar för att behövliga uppgifter kan överföras till myndigheten direkt från vårdgivarnas informationssystem. Det förutsätter dock att vårdgivare håller sina uppgifter i systemen uppdaterade och anpassar sina system. Uppgiftsskyldigheten som fastslås i denna paragraf omfattar inte uppgifter som behandlas för att bereda patienten vård. Vårddokumentation kommer således inte att förekomma inom ramen för infrastrukturen, dvs. i verksamheten som avses i 2 kap. 2 §. Tillhandahållandet av den statliga tillgångstjänsten för hälso- och sjukvårdspersonal (2 kap. 4 §) innebär däremot behandling av sådana personuppgifter (se även 3 kap. 4 §§). Det gäller även för den nationella kontaktpunkten (se 2 § andra stycket och kommentaren till den bestämmelsen) Av bestämmelser i 6 kap. 7 § PDL följer att vårdgivare är skyldiga att elektroniskt tillgängliggöra uppgifterna till den ansvariga myndigheten, i dess roll som tillhandahållare av tillgångstjänsten, samt till den nationella kontaktpunkten. Övervägandena finns i avsnitt 8.4.

Paragrafen innehåller en bestämmelse som innebär att vårdgivare ska integrera sina informationssystem för elektronisk journalföring (se avsnitt 4.3) med den infrastruktur som den ansvariga myndigheten

491

ska tillhandahålla (2 kap. 2 §). Skyldigheten enligt 3 §, att lämna och ta emot uppgifter, är i huvudsak avsedd att fullgöras genom en automatiserad process. Detta förutsätter att vårdgivares system är integrerade med infrastrukturens it-funktioner och register. För vissa informationsmängder kommer även ett manuellt förfarande vara aktuellt. Av 4 § första stycket följer att det, på förordningsnivå eller i myndighetsföreskrifter, kan regleras närmare i vilka fall och hur anslutning ska ske. Kravet innebär att vårdgivaren inte enbart ska ha teknisk kapacitet att kommunicera med dessa funktioner, utan att faktisk anslutning ska kunna ske. Enligt 3 § ska vårdgivare uppfylla krav på teknisk och organisatorisk säkerhet för att deras system ska kunna anslutas till nödvändiga it-funktioner och register. I andra stycket finns en hänvisning till reglering om anslutningskrav till den nationella kontaktpunkten för digital hälsa. 240 Anslutning till kontaktpunkten är en förutsättning för att vårdgivare ska uppfylla EHDS-förordningens krav på gränsöverskridande elektroniskt informationsutbyte vårdgivare emellan och mellan vårdgivare och patienter (artikel 23). Övervägandena finns i avsnitt 8.5 och såvitt avser kommande reglering om nationell kontaktpunkt i 8.2.

I paragrafen fastslås vårdgivares ansvar att uppfylla tekniska och organisatoriska säkerhetskrav som är nödvändiga för att möjliggöra interoperabel och säkert informationsutbyte enligt EHDS-förordningen och den nya regleringen om vårdgivares elektroniska tillgängliggörande av uppgifter enligt 6 kap. PDL.

240 Förslag om nationella kompletterande bestämmelser till EHDS-förordningen, bl.a. avseende den nationella kontaktpunkten för digital hälsa, kommer att lämnas i Utredningens slutredovisning

492

Kraven på att upprätthålla nödvändig säkerhetsnivå gäller inte bara vid vårdgivares anslutning av sina informationssystem till de av den ansvariga myndighetens it-funktioner och register (2 §), utan också vid varje tidpunkt därefter. Det ankommer på den ansvariga myndigheten att försäkra sig om att dessa vårdgivare uppfyller föreskrivna krav. 241 De tekniska kraven syftar till att säkerställa att vårdgivarens informationssystem kan kommunicera med dels nödvändiga register och it-funktioner i den nationella infrastrukturen ( punkten 1 ), dels den statliga tillgångstjänsten och den nationell kontaktpunkten för digital hälsa ( punkten 2 ). Detta förutsätter bl.a. implementering av säkerhetsfunktioner, såsom kryptering av data, behörighetsstyrning och autentisering. Med organisatoriska krav avses att vårdgivare bl.a. ska ha behovsoch riskanalyser som grund för behörighetstilldelning, policyer för informationssäkerhet och rutiner för incidenthantering. Detaljerade bestämmelser om krav på teknisk och organisatorisk säkerhet får meddelas med stöd av föreskriftsbemyndigandet i 4 § andra stycket 3. Övervägandena finns i avsnitt 8.5.

Paragrafen innehåller föreskriftsbemyndiganden. I första stycket finns föreskriftsrätt för att meddela undantag från uppgiftsskyldighet och anslutningskrav. Undantag från skyldigheten att lämna uppgifter kan aktualiseras när en vårdgivare har dokumenterade uppgifter om en patient, men det likväl finns skäl att detta inte måste framgå av myndighetens

241 Angående krav på vårdgivare vid interaktion med den nationella kontaktpunkten för digital hälsa, se fotnot 7.

493

avsedda register (patientdataindex), exempelvis om patienten i fråga har begärt att uppgifter inte får tillgängliggöras för elektroniskt informationsutbyte enligt regleringen i 6 kap. PDL. Andra stycket innehåller bemyndiganden att meddela närmare föreskrifter om uppgiftsskyldighetens omfattning och fullgörande, inbegripet vilka uppgifter som omfattas ( punkten 1 ) samt anslutningskravets fullgörande ( punkten 2) . När det gäller uppgiftsskyldighetens fullgörande är det fråga om förordnings- eller myndighetsföreskrifter om bl.a. i vilka fall uppgifter ska lämnas av vårdgivare automatiserat. Föreskriftsrätt delegeras också enligt punkten 3 avseende säkerhetskrav som vårdgivare och deras vårdinformationssystem måste uppfylla för att kunna ansluta sina vårdinformationssystem till it-funktioner och register samt för att nyttja den statliga tillgångstjänsten för hälso- och sjukvårdspersonal. Säkerhetskrav ska tolkas brett och inbegriper även krav som säkerställer att information överförs på ett korrekt sätt och att informationen är komplett. Övervägandena finns i avsnitten 8.4 och 8.5.

Ikraftträdande

Denna lag träder i kraft den 26 mars 2029.

Av bestämmelsen framgår lagens ikraftträdande, nämligen den 26 mars 2029, dvs. samma datum som bestämmelser om vårdgivares elektroniska tillgänggörande av personuppgifter enligt EU:s förordning om det europeiska hälsodataområdet. Övervägandena finns i avsnitt 12.1.

494

14.2 Förslaget till lag om ändring i patientdatalagen (2008:355)

1 kap.

4 §

Denna lag innehåller bestämmelser som kompletterar EU:s dataskyddsförordning, vid sådan behandling av personuppgifter inom hälsooch sjukvården som är helt eller delvis automatiserad eller där uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Vid behandling av personuppgifter som avses i första stycket gäller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen. Ytterligare bestämmelser om vårdgivares behandling av personuppgifter inom hälso- och sjukvården finns i Europaparlamentets och rådets förordning (EU) 2025/327 av den 11 februari 2025 om det europeiska hälsodataområdet och om ändring av direktiv 2011/24/EU och förordning (EU) 2024/2847, här benämnd EU:s förordning om det europeiska hälsodataområdet.

Paragrafen är en upplysningsbestämmelse om lagens förhållande till annan reglering om dataskydd och personuppgiftsbehandling. I de oförändrade första och andra styckena finns hänvisningar till EU:s dataskyddsförordning och den nationella reglering som kompletterar förordningen. I den befintliga upplysningen i tredje stycket tas hänvisningen till lagen om sammanhållen vård och omsorgsdokumentation (SVOD) bort. I den lagen finns reglering som, under vissa förutsättningar, gör det möjligt för vårdgivare att elektroniskt utbyta personuppgifter om patienter med omsorgsgivare. Sådan informationsdelning är frivillig. Tillgängliggörande av uppgifter om patienter vårdgivare sinsemellan regleras i 6 kap. förevarande lag. I det kapitlet är hänvisningen till SVOD införd, se 6 kap. 2 §. I tredje stycket införs i stället en hänvisning till EHDS-förordningen, både dess fullständiga benämning och den i efterföljande

495

paragrafer använda kortformen. Hänvisningen till EHDSförordningen är dynamisk, dvs. den avser rättsakten i den vid varje tidpunkt gälande lydelsen. Den direkt tillämpliga förordningen förutsätter att hälso- och sjukvårdspersonal har tillgång till relevanta och nödvändiga elektroniska hälsodata med personuppgifter om patienter som står under deras behandling, åtminstone sådana uppgifter som utgör prioriterade kategorier av elektroniska hälsodata (artiklarna 11 och 14). Med elektroniska hälsodata med personuppgifter avses uppgifter om hälsa och genetiska uppgifter, som behandlas i elektroniskt format (artikel 2.2.a). Den förutsatta tillgången till sådana uppgifter ska ske genom tillgångstjänster för hälso- och sjukvårdspersonal (artikel 12), och gäller mellan vårdgivare i Sverige såväl som inom det europeiska ekonomiska samarbetsområdet (ESS). Detta elektroniska informationsutbyte ska effektiviseras och underlättas genom en nationell infrastruktur som tillhandahålls genom staten enligt regleringen i den föreslagna, nya lagen (202X:00) om nationell infrastruktur och tjänster för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet. Övervägandena finns i avsnitt 9.17.

2 kap.

2 §

Behandling av personuppgifter som är tillåten enligt denna lag får utföras även om den enskilde motsätter sig den. Det gäller dock inte i de fall som anges i 4 kap. 4 §, 6 kap. 8 §, 7 kap. 2 § eller om något annat framgår av annan lag eller förordning.

Paragrafen reglerar betydelsen av den enskildes inställning till sådan personuppgiftsbehandling som är tillåten enligt lagen. Behandling av personuppgifter är som regel tillåten även om den enskilde motsätter sig den. De undantag som anges i andra meningen kompletteras med ytterligare ett lagrum. Den tillkommande hänvisningen är föranledd av de nya bestämmelserna i 6 kap. om en vårdgivares elektroniska tillgängliggörande av patienters personuppgifter som behandlas för att bereda patienter vård.

496

I 6 kap. 8 § fastslås en rätt för patienter att motsätta sig sådant tillgängliggörande (opt-out), se kommentaren till den paragrafen. En följd av att en patient nyttjat denna rättighet är att vårdgivare som behandlar uppgifter om patienten inte får göra några uppgifter elektroniskt tillgängliga för andra vårdgivare (6 kap. 6 §). Övervägandena finns i avsnitt 9.18.

6 §

En vårdgivare är personuppgiftsansvarig för den behandling av personuppgifter som vårdgivaren utför. I en region och en kommun är varje myndighet som bedriver hälso- och sjukvård personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför. Personuppgiftsansvaret enligt första stycket omfattar även sådan behandling av personuppgifter som vårdgivaren, eller den myndighet i en region eller en kommun som är personuppgiftsansvarig, utför när vårdgivaren eller myndigheten genom direktåtkomst eller annat elektroniskt utlämnande i ett enskilt fall bereder sig tillgång till personuppgifter om en patient hos en annan vårdgivare eller annan myndighet i samma region eller kommun. I 6 kap. och 7 kap. samt i 4 kap. 1 § lagen (2022:913) om sammanhållen vård- och omsorgsdokumentation finns särskilda bestämmelser om personuppgiftsansvar.

Paragrafen reglerar vårdgivares personuppgiftsansvar. Första stycket är oförändrat. Bestämmelsen i andra stycket utgör ett förtydligande av personuppgiftsansvaret i första stycket. Direktåtkomst (i traditionell mening) till en uppgiftssamling genererar inte med automatik något personuppgiftsansvar för den personuppgiftsbehandling som faktiskt utförs vid användning av direktåtkomsten. Den som har sådana begränsade åtkomsträttigheter anses normalt inte ha rätten att bestämma över ändamålet med och medlen för behandlingen att det finns utrymme att betrakta denne som personuppgiftsansvarig. Bestämmelsen, som endast avser att utgöra ett förtydligande av personuppgiftsansvaret som det beskrivs i första stycket, utgör ett undantag från den nu nämnda regeln om personuppgiftsansvar. Personuppgiftsansvaret omfattar enligt andra stycket sådana

497

åtgärder som utförs när någon vårdgivare som avses i första stycket, genom direktåtkomst i ett enskilt fall bereder sig tillgång till personuppgifter hos en annan vårdgivare. Den myndighet, juridiska person eller enskilda näringsidkare som på sådant sätt bereder sig tillgång till andra vårdgivares uppgifter för att söka efter, läsa eller annars behandla personuppgifter, är personuppgiftsansvarig för den behandling av personuppgifter som detta innebär. Enligt de nya bestämmelserna i 6 kap. ska uppgifter tillgängliggöras av vårdgivare genom direktåtkomst eller annat elektroniskt utlämnande, vilket återspeglas även i förevarande paragraf genom tillägget för den senare formen av utlämnande. Tredje stycket innehåller en upplysning om förekomst av andra bestämmelser om vårdgivares personuppgiftsansvar. Till de befintliga hänvisningarna tilläggs det nya 6 kap. Den åsyftade bestämmelsen finns i 11 § och är ett bemyndiganden att meddelar föreskrifter om vem som ska ha personuppgiftsansvar för övergripande frågor om tekniska och organisatoriska säkerhetsåtgärder vid vårdgivares elektroniska informationsutbyte enligt regleringen i 6 kap. Hänvisningen till angivet lagrum i SVOD avser reglering av personuppgiftsansvar för vårdgivare vid frivilligt tillgängliggörande av uppgifter om patienter för omsorgsgivare under de förutsättningar som reglers i den lagen. Övervägandena finns i avsnitt 9.19

3 kap.

1 §

Vid vård av patienter ska det föras patientjournal. En patientjournal ska föras för varje patient och får inte vara gemensam för flera patienter. I 6 kap. finns bestämmelser om vårdgivares tillgängliggörande av uppgifter för elektroniskt informationsutbyte . I lagen (2022:913) om sammanhållen vård- och omsorgsdokumentation finns bestämmelser om tillgång, genom direktåtkomst eller annat elektroniskt utlämnande, till omsorgsgivares uppgifter om patienter genom sammanhållen vård- och omsorgsdokumentation .

498

I paragrafens första stycke fastslås journalplikten. Denna skyldighet är oförändrad. Upplysningsbestämmelsen i andra stycket kompletteras med en hänvisning till bestämmelser i det nya 6 kap. Genom den nya regleringen om elektroniskt informationsutbyte säkerställs att vårdgivare ges tillgång till relevanta och nödvändiga patientuppgifter som behandlas för vårdsyfte på sätt som förutsätts enligt EHDSförordningen. Hänvisningen till SVOD justeras till följd av att den lagen inte längre reglerar vårdgivares möjlighet att få tillgång till andra vårdgivares elektroniska uppgifter om patienter, utan i stället enbart informationsutbyte mellan vårdgivare och omsorgsgivare samt omsorgsgivare sinsemellan. Övervägandena finns i avsnitt 5.9

7 a §

Om uppgifter i patientjournalen behandlas elektroniskt ska de registreras på sådant sätt att de kan tillgängliggöras och tas emot i enlighet med 6 kap. 3 och 4 §§. Vårdgivare som ska tillgängliggöra och ta emot uppgifter enligt 6 kap. ska ha sådana tekniska system för journalföring som uppfyller kraven avseende elektroniska hälsodokumentationssystem enligt EU:s förordning om det europeiska hälsodataområdet. I kommissionens genomförandeförordning (EU) 2027/XX av den 26 mars 2027 […] finns bestämmelser om datakvalitetskrav som tillämpas vid registrering enligt första stycket

Paragrafen är ny. Bestämmelsen är tillämplig endast om vårdgivare för patientjournal elektroniskt och omfattas av den nya regleringen om vårdgivares elektroniska informationsutbyte i 6 kap. Bestämmelsen innebär inte i sig ett krav på att föra journal elektroniskt. Syftet med bestämmelsen är att säkerställa att elektroniskt behandlade uppgifter i patientjournalen registreras på ett sätt som möjliggör ett sådant tekniskt och semantiskt informationsutbyte mellan vårdgivare som föreskrivs enligt de i paragrafen hänvisade lagrummen. Bestämmelsen kan sägas utgöra en förbindelselänk mellan dokumentation och interoperabilitet, och är en förutsättning

499

för att informationsutbytet mellan vårdgivare ska fungera, både nationellt och inom EES. Av hänvisade lagrum i första stycket följer att registreringskravet omfattar sådana uppgifter som utgör prioriterade kategorier av hälsodata enligt artikel 14 i EHDS-förordningen, t.ex. patientöversikter. Uppgifterna ska av vårdgivare kunna tillgängliggöras och tas emot i det europeiska utbytesformatet. Därutöver ska vårdgivare elektroniskt tillgängliggöra vissa andra uppgifter som behandlas för att bereda patienter en säker och effektiv vård. Det handlar om sådana informationsmängder som, enligt föreskrifter som får meddelas med stöd lagen, ska tillgängliggöras enligt nationella specifikationer. Av lagrumshänvisningarna följer vidare att kravet på registrering gäller sådana vårdgivare som omfattas av skyldighet att göra uppgifter om patienter elektroniskt tillgängliga för andra vårdgivare. Detta framgår även direkt av andra stycket. Bestämmelserna om vårdgivares elektroniskt tillgängliggörande finns i 6 kap., se även 6 kap. 1 § och kommentaren till den paragrafen. Bestämmelsen i andra stycket förevarande paragraf är föranledd av kraven i EHDS-förordningen. En vårdgivare som väljer att föra patientjournal elektroniskt och omfattas av kraven om att göra ifrågavarande uppgifter elektroniskt tillgängliga måste ha ett tekniskt system för journalföring där minst ett ingående system uppfyller förordningens krav för elektroniska hälsodokumentationssystem (EHR-system). EHR-system definieras i artikel 2.2 k i EHDS-förordningen. Definitionen omfattar varje system (en. ”any system”) som möjliggör bl.a. lagring, förmedling, redigering, eller visning av de i förordningen fastställda prioriterade kategorierna av elektroniska hälsodata med personuppgifter. Det ska dessutom vara fråga om system som enligt tillverkaren ska användas av vårdgivare vid tillhandahållande av patientvård eller av patienter när de tar del av sina elektroniska hälsodata. De krav som uppställs på EHR-system, och bl.a. tillverkare av sådana system, framgår primärt av kapitel III i EHDS-förordningen och bilagorna II–IV till förordningen. Ett grundläggande krav är att EHR-system ska innehålla harmoniserade programvarukomponenter för interoperabilitet och för loggning (artikel 25).

500

Programvarukomponenterna rör främst datatransformation men kan komma att medföra indirekta krav på dataregistrering och datapresentation i EHR-systemen (skälpunkt 36 till förordningen). De tekniska specifikationerna för komponenterna kommer att framgå av kommissionens genomförandeakter, som ska antas senast den 26 mars 2027 (artikel 36). Genom kraven på hälsodokumentationssystem och harmoniserade formatkrav säkerställs att sådana uppgifter som utgör prioriterade kategorier av hälsodata kan tillgängliggöras och tas emot av vårdgivare, i förekommande fall i deras vårdinformationsystem, om de har en integrerad tillgångstjänst (se 6 kap. 3 §). Egenskaperna för de prioriterade kategorierna av hälsodata enligt artikel 14 i förordningen beskrivs i bilaga I till EHDS-förordningen (se även avsnitten 4.2 och 4.5). Hänvisningen i förevarande paragraf till hela 6 kap. innebär att vårdgivare därutöver är skyldiga att ge tillgång till och ta emot uppgifter enligt nationella formatkrav. I det nya tredje stycket finns en upplysningsbestämmelse med hänvisning till kommissionens genomförandeakter med datakvalitetskrav vid registrering, som ska antas senast den 26 mars 2027 (artikel 13.4). Genom paragrafen omhändertas kraven på medlemsstaterna enligt artiklarna 13.1 och 14.4 i EHDS-förordningen. Övervägandena finns i avsnitt 4.3.

4. kap. Grundläggande bestämmelser om tillgång till uppgifter om en patient

Hälso- och sjukvårdspersonals tillgång till uppgifter om en patient

1 §

Den som arbetar hos en vårdgivare får ta del av dokumenterade uppgifter om en patient endast om han eller hon 1. deltar i vården av patienten och uppgifterna är relevanta och nödvändiga för patientens vård , eller 2. av annat skäl behöver uppgifter för sitt arbete inom hälso- och sjukvården.

501

Första stycket 1 gäller också för sådana uppgifter om en patient som tillgängliggörs av andra vårdgivare enligt 6 kap.

Paragrafen reglerar under vilka förutsättningar den som arbetar hos en vårdgivare får ta del av dokumenterade uppgifter om en patient. Bestämmelsen är teknikoberoende och tillämplig på alla slags dokumenterade personuppgifter om en patient, dvs. både elektroniskt förda patientjournaler och annan dokumentation om patienter, se vidare prop. 2007/08:126 s 238 f. I paragrafen delas bestämmelsen upp i två punkter i ett första stycke. Bestämmelsen bygger på principen om behovsprövad åtkomst, vilket innebär att tillgång till patientuppgifter är tillåten bara om det är motiverat av arbetsuppgifterna inom hälso- och sjukvården. Av punkten 1 framgår att tillgången till uppgifter är, liksom tidigare, beroende av att berörd hälso- och sjukvårdspersonal deltar i vården av patienten och behöver uppgifterna för detta syfte. Kravet på vårdrelation eller patientrelation innebär alltså att den som arbetar hos en vårdgivare har en faktisk arbetsuppgift att utföra för att vårda patienten. Tillägget, att uppgifterna ska vara relevanta och nödvändiga, överensstämmer med lydelsen i artikel 11.1 i EHDSförordningen, och betonar vikten av att minimeringsprincipen i EU: dataskyddsförordning beaktas. Den som arbetar hos en vårdgivare får också ta del av uppgifter om patienter när han eller hon av annat skäl behöver uppgifterna för sitt arbete inom hälso- och sjukvården, Bestämmelsen innebär en behörighet för berörd personal att få tillgång till uppgifterna p.g.a. en annan tilldelad arbetsuppgift, som ger honom eller henne ett legitimt skäl att ta del av hälsodata. Det kan exempelvis vara fråga om att samla in uppgifter för att genomföra kvalitetssäkring eller gå igenom loggar för att göra säkerhetsuppföljningar. Denna förutsättning för att behandla patientuppgifter är oförändrad och framgår av punkten 2 . I det nya andra stycket införs en bestämmelse som innebär att förutsättningarna för berörd personals tillgång till uppgifter om en patient enligt första stycket 1 gäller också för sådana uppgifter som tillgängliggörs elektroniskt av andra vårdgivare enligt den nya regleringen i 6 kap. Samma krav på tillgång till uppgifter gäller

502

således oavsett om uppgifterna är dokumenterade hos vårdgivaren där berörd personal är anställd, eller om uppgifterna tillgängliggörs av andra vårdgivare på sådant sätt som ska säkerställas enligt den föreslagna nya nationell regleringen och EHDS-förordningen. Med denna ändring är inte längre uttrycket ”inre sekretess” en relevant beskrivning av bestämmelsen och dess innebörd. I såväl kapitelrubriken som paragrafrubriken tas benämningen bort. Genom hänvisningen till 6 kap. följer att det är fråga om andra vårdgivares uppgifter om en patient som utgör prioriterade kategorier av hälsodata med personuppgifter enligt artikel 14 i EHDS-förordningen (se 6 kap. 3 §). Av regleringen i 6 kap. följer att skyldigheten för vårdgivare att göra uppgifter elektroniskt tillgängliga omfattar även vissa andra uppgifter som behandlas för en effektiv och säker vård, förutsatt att det är fråga om uppgifter som ska tillgängliggöras inom Sverige enligt nationella bestämmelser om utbytesformat (se 6 kap. 4 §). Tillgången till uppgifter från andra vårdgivare avser alltså sådana som behandlas för ändamål som anges i 2 kap. 4 § första stycket 1 och 2 (vårdändamål). Hälso- och sjukvårdspersonal vars arbetsuppgift förutsätter behandling av uppgifter om patienter av annat skäl än att bereda vård (dvs. första stycket 2), får däremot inte elektroniskt tillgänggöras uppgifter om patienter från andra vårdgivare. Övervägandena finns i avsnitt 6.4.2.

Tilldelning av behörighet för elektronisk tillgång till uppgifter om en patient

2 §

En vårdgivare ska bestämma villkor för tilldelning av behörighet för tillgång till sådana uppgifter om patienter som förs helt eller delvis automatiserat. Sådan behörighet ska begränsas till vad som behövs för att den enskilde ska kunna fullgöra sina arbetsuppgifter inom hälso- och sjukvården. Personuppgifter som behandlas i en utredning enligt lagen (2018:744) om försäkringsmedicinska utredningar för ändamål som anges i 2 kap. 4 § första stycket 1 och 2 får inte göras tillgängliga genom elektronisk åtkomst för den som arbetar vid en annan vårdenhet eller inom en annan vårdprocess hos samma vårdgivare. I den lagen finns särskilda bestämmelser om elektronisk tillgång vid sådana utredningar.

503

Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela närmare föreskrifter om tilldelning av behörighet enligt första stycket för åtkomst till uppgifter som förs helt eller delvis automatiserat.

I paragrafen regleras vårdgivares behörighetstilldelning för hälsooch sjukvårdspersonalens åtkomst till sådana uppgifter om patienter som förs helt eller delvis automatiserat. Detta har hittills kommit till uttryck genom benämningen ”elektronisk åtkomst”. Behörigheter för personal ska begränsas till vad som behövs för att den enskilde ska kunna fullgöra sina arbetsuppgifter inom hälso- och sjukvården. I paragrafen och tillhörande rubrik görs redaktionella ändringar. Ordet åtkomst ersätts med ordet tillgång. Ändringen är föranledd främst av EHDS-förordningens språkbruk. I förordningen används genomgående uttrycket ”tillgång till elektroniska hälsodata med personuppgifter”, avseende såväl patientens som hälso- och sjukvårdspersonals åtkomst till uppgifter i elektronisk form. Den i förevarande paragraf förekommande benämningen ”elektronisk åtkomst” används också för att, i särskiljande syfte, tydliggöra att det är fråga om personalens möjlighet att elektroniskt och helt eller delvis automatiserat bereda sig tillgång till personuppgifter som finns tillgängliga inom den egna vårdgivarens organisation. Vid tillgång till sådana uppgifter över organisationsgränser används i stället ordet ”direktåtkomst”. Uttrycket elektronisk åtkomst används på detta sätt även i 3 § och 4 §§, om vårdgivarens åtkomstkontroll respektive patienters möjlighet till åtkomstbegränsningar, se kommentarer till dessa paragrafer. Motsvarande åtskillnad vad gäller begreppsanvändning görs däremot inte i t.ex. SVOD. Av 1 § andra stycket följer att hälso- och sjukvårdspersonals tillgång till elektroniska uppgifter om patienter ska omfatta även sådana uppgifter som tillgängliggörs av andra vårdgivare, förutsatt att det finns ett berättigat behov av för vården av patienten i fråga. Med denna nya ordning saknas skäl att upprätthålla tidigare åtskillnad vad gäller begreppsanvändning. Utvidgningen av bestämmelsen i 1 § medför att förevarande paragrafs skyldighet för vårdgivare att bestämma villkor för tilldelning av behörighet för tillgång till elektroniska uppgifter om

504

patienter, liksom kontroll och dokumentation av tillgången enligt

3 §, omfattar även sådan tillgång till vårdgivares patientuppgifter genom elektroniskt informationsutbyte enligt 6 kap. Socialstyrelsen får, efter samråd med Integritetsmyndigheten, meddela närmare föreskrifter om behörighetstilldelning och åtkomstkontroll även vid sådant informationsutbyte. Övervägandena finns i avsnitt 6.4.4.

Kontroll av elektronisk tillgång till uppgifter om en patient

3 §

En vårdgivare ska se till att tillgång till sådana uppgifter om patienter som förs helt eller delvis automatiserat dokumenteras och kan kontrolleras. Vårdgivare ska göra systematiska och återkommande kontroller av om någon obehörigen kommer åt sådana uppgifter. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela närmare föreskrifter om dokumentation och kontroll enligt första stycket.

Paragrafen reglerar bl.a. vårdgivares skyldighet att dokumentera och kontrollera den tillgång som förekommit till uppgifter om patienter som förs helt eller delvis automatiserat. I paragrafen görs ändringar föranledda av EHDS-förordningens språkbruk samt den ändring som görs av 1 §, se kommentaren till 1 och 2 §§. Övervägandena finns i avsnitt 6.7.

Rätt att begränsa elektronisk tillgång till uppgifter för vårdsyfte

4 §

En patient har rätt att begränsa elektronisk tillgång till en eller samtliga personuppgifter om honom eller henne som behandlas för ändamål som anges i 2 kap. 4 § första stycket 1 och 2. En begränsning enligt första stycket får dock inte göras mot den vårdenhet eller den vårdprocess inom vilken uppgifterna dokumenterades. Patienten får begära att en begräsning enligt första stycket ska tas bort.

505

I paragrafen regleras hur hälso- och sjukvårdspersonals tillgång till elektronisk vårddokumentation kan begränsas av patienten själv, och förutsättningarna för sådan begränsning. Bestämmelsen och rubriken närmast före paragrafen förtydligas, främst som en anpassning till regleringen i EHDS-förordningen. Enligt artikel 8 i förordningen har fysiska personer rätt att för hälsooch sjukvårdspersonal och vårdgivare begränsa tillgången till alla eller delar av sina elektroniska hälsodata med personuppgifter. Att det är en rättighet för patienter återspeglas således genom dels den nya lydelsen av paragrafrubriken, del s att det i första stycket förs in en ny bestämmelse som uttryckligen anger att patienter har en rätt att begränsa hälso- och sjukvårdspersonals elektroniska tillgång till en eller samtliga personuppgifter om honom eller henne som behandlas för vårdändamål. Genom bestämmelsen tydliggörs att patienten har rätt, att på ett mer detaljerat sätt än vad tidigare lydelse gett uttryck för, begränsa den elektroniska tillgången till uppgifter som dokumenterats för att bereda patienten vård. Av bestämmelsen i andra stycket framgår dock att det inte är möjligt att begära en begränsning av elektronisk tillgång till uppgifter för den vårdenhet eller inom den vårdprocess där uppgifterna har dokumenterats. Utan denna inskränkning i patientens rättighet kan det inte säkerställas att berörd hälso- och sjukvårdspersonal kan upprätthålla en säker vård och möjliggöra korrekt journalföring. Enligt den nya bestämmelsen i tredje stycket har patienten rätt återta en begäran om en begränsning av elektronisk tillgång till registrerade uppgifter om honom eller henne. Följden av en sådan begäran är att uppgifterna ska vara elektroniskt tillgängliga för hälsooch sjukvårdspersonal (jfr 6 kap. 8 § och kommentaren till den paragrafen) Övervägandena finns i avsnitt 7.3.1.

4 a §

506

Om en patient begär en begränsning enligt 4 § första stycket ska uppgifterna genast spärras. Uppgifterna får inte göras tillgängliga genom elektronisk tillgång för den eller dem mot vilken begränsningen gäller. Det får inte framgå att uppgifter om patienten är spärrade för andra än den vårdenhet eller vårdprocess som dokumenterat dem.

Paragrafen, som är ny, innehåller i första stycket bestämmelser som delvis motsvarar de som tidigare fanns i 4 § första stycket. När det gäller konsekvensen av att en patient har nyttjat rätten att begränsa elektronisk tillgång till uppgifter om honom eller henne har lydelsen ändrats för att i sak överensstämma med innebörden av artikel 8 i EHDS-förordningen. Om en patient har begärt begränsning enligt första stycket får elektronisk tillgång till ifrågavarande uppgifter inte medges för den eller de som omfattas av begränsningen. En sådan begränsning kan, i likhet med tidigare, gälla för organisatoriska enheter (vårdenheter) och vårdprocesser. Den ändrade lydelsen slår däremot inte lägre fast mot vem spärrar kan sättas. Av förslaget till ny lag om nationell infrastruktur och tjänster för elektroniskt informationsutbyte följer att en vårdgivare är skyldig att lämna uppgifter till den enligt lagen utsedda ansvariga myndigheten för infrastrukturen. Uppgiftsskyldigheten omfattar information om sådana spärrar som är eller kan vara tillämpliga även för andra vårdgivare, t.ex. att patienten begärt att patientöversikten inte får göras elektroniskt tillgänglig. I andra stycket finns en bestämmelse som innebär att det inte får framgå att det finns uppgifter om patienten för vilka den elektroniska tillgången är begränsad. Det gäller dock inte för andra i förhållande till den vårdenhet eller vårdprocess inom vilken uppgifterna dokumenterats, eftersom det annars är omöjligt att häva en spärr på patientens begäran. En bestämmelse med, i sak, motsatt innebörd fanns tidigare i 4 § tredje stycket. Ändringen är föranledd av kravet enligt artikel 8 tredje stycket i EHDS-förordningen. Övervägandena finns i avsnitten 7.3.1 och 7.3.2.

4 b §

Vårdnadshavare till ett barn har inte rätt att begränsa elektronisk tillgång till barnets uppgifter för vårdgivare inom Sverige.

507

Paragrafen, som är ny, innehåller bestämmelsen som tidigare fanns i 4 § andra stycket. Bestämmelsen innebär att vårdnadshavare till ett barn inte rätt att spärra barnets uppgifter för vårdgivare inom Sverige. Med barn avses den som är under 18 år, se även prop. 2007/08:126 s 242. Lydelsen har justerats språkligt för att överensstämma med språkbruket i EHDS-förordningen och bestämmelserna i övriga bestämmelser i 4 kap. Bestämmelsen är i förhållande till dess tidigare lydelse även förtydligad på så sätt att det är mot vårdgivare inom Sverige för vilka vårdnadshavare inte får begränsa den elektroniska tillgången till barnens uppgifter. Övervägandena finns i avsnitt 7.3.5.

5 §

En spärr enligt 4 a § första stycket får hävas av en behörig befattningshavare hos vårdgivaren, om 1. patientens liv är i fara, eller en allvarlig risk för patientens hälsa föreligger, och 2. patienten saknar förmåga att själv begära att spärren ska hävas.

Paragrafen reglerar under vilka förutsättningar en spärr av patientuppgifter får hävas av en behörig befattningshavare hos en vårdgivare. Med spärr avses en sådan teknisk eller administrativ begränsning av elektronisk tillgång till uppgifter som är följden av att en patient har gjort gällande sin rätt enligt 4 §. Spärren syftar till att skydda patientens integritet. Ändringarna av bestämmelsen, som tidigare fanns i ett första stycke, liksom att det tidigare andra stycket upphävs, är föranledda av föreskrivna krav enligt EHDS-förordningen. Den nya bestämmelsen innebär en skärpning av förutsättningarna för att häva en spärr. Av bestämmelsen framgår att det krävs att patientens liv är i fara eller att det föreligger en allvarlig risk för hälsan, och att patienten i den situationen saknar förmåga att själv begära att spärren hävs. Detta innebär att patientens autonomi respekteras även i akuta situationer, om han eller hon är beslutskapabel. Genom att begränsa möjligheten att häva spärren till mycket allvarliga situationer och

508

endast när patienten inte kan agera själv, förstärks skyddet för patientens personliga integritet. Övervägandena finns i avsnitt 7.3.3.

5 a §

Vårdgivaren ska informera patienten om att en begränsning av elektronisk tillgång till uppgifter enligt 4 § första stycket kan påverka tillhandahållandet av hälso- och sjukvård till honom eller henne.

Paragrafen är ny. Av bestämmelsen framgår att vårdgivare har en skyldighet att informera en patient om konsekvenserna av en begäran om att begränsa elektronisk tillgång till en viss uppgift eller till samtliga uppgifter som behandlas av vårdgivaren för att bereda patienten vård. Patientens rätt till en sådan begränsning framgår uttryckligen av den nya bestämmelsen i 4 § första stycket. Bestämmelsen i förevarande paragraf är föranledd av kravet som uppställs i artikel andra stycket i EHDS-förordningen, jfr även 6 kap. 10 §. Övervägandena finns i avsnitt 7.5.

5 kap.

4 §

Utlämnande genom direktåtkomst till personuppgifter är tillåten endast i den utsträckning som anges i lag eller förordning. Om en region eller en kommun bedriver hälso- och sjukvård genom flera myndigheter, får en sådan myndighet ha direktåtkomst till personuppgifter som behandlas av någon annan sådan myndighet i samma region eller kommun. Ytterligare bestämmelser om direktåtkomst och annat elektroniskt utlämnande finns i 5 §, 6 kap. , 7 kap. 9 § och i lagen (2022:913) om sammanhållen vård- och omsorgsdokumentation.

Paragrafen innehåller bestämmelser om direktåtkomst till eller annat elektroniskt utlämnande av personuppgifter.

509

Tredje stycket , som är en upplysningsbestämmelse, kompletteras med en hänvisning till 6 kap. förevarande lag, som innehåller ny reglering av vårdgivares elektroniska tillgängliggörande av uppgifter om patienter. Hänvisningen till bestämmelser sammanhållen vårdoch omsorgsdokumentation i SVOD avser vårdgivares fortsatta möjlighet till informationsutbyte med omsorgsgivare. Övervägandena finns i avsnitt.

510

6 kap. Vårdgivares tillgängliggörande av uppgifter för elektroniskt informationsutbyte

Inledande bestämmelser

1 §

Detta kapitel gäller för en vårdgivare som ska ge andra vårdgivare tillgång till patienters elektroniska personuppgifter som behandlas för ändamål som anges i 2 kap. 4 § första stycket 1 och 2. Regeringen eller den myndighet regeringen bestämmer får meddela föreskrifter om undantag från skyldighet och från möjlighet att tillgängliggöra uppgifter för elektroniskt informationsutbyte enligt detta kapitel.

Av paragrafen, som är ny, framgår att förevarande kapitel reglerar sådant elektroniskt tillgängliggörande av hälsodata med personuppgifter som ska säkerställas enligt EHDS-förordningen. Regleringen omfattar även krav på visst ytterligare, nationellt informationsutbyte mellan vårdgivare. Grundläggande bestämmelser om vårdgivares utlämnande av uppgifter finns i 5 kap., bl.a. vårdgivares möjlighet att ge patienter elektronisk tillgång till uppgifter om sig själv. Skyldigheten såväl som möjligheten att göra uppgifter tillgängliga i enlighet med bestämmelserna i detta kapitel gäller för sådana vårdgivare som omfattas av definitionen i 1 kap. 3 §. Redan av första stycket följer dock att informationsutbyte enligt bestämmelserna i förevarande kapitel avser uppgifter i elektronisk form. Någon skyldighet för vårdgivare att föra journal elektroniskt finns inte, se 3 kap. 7 a § och kommentaren till den paragrafen. I andra stycket finns vidare ett bemyndigande för föreskrifter om undantag för vårdgivare eller viss hälso- och sjukvårdsverksamhet att tillgängliggöra uppgifter för elektroniskt informationsutbyte. Vårdgivare och verksamhet som avses i lagen (2018:744) om försäkringsmedicinska utredningar och lagen (2021:363) om estetiska kirurgiska ingrepp och estetiska injektionsbehandlingar får, enligt bestämmelser i respektive lag, inte vara en del i sammanhållen vård- och omsorgsdokumentation, och föreslås på motsvarande sätt inte tillåtas få elektronisk tillgång till andra vårdgivares uppgifter genom elektroniskt informationsutbyte enligt

511

förevarande kapitel. I föreskrifter meddelade med stöd av bemyndigandet ska därtill framgå att det för dessa vårdgivare och verksamhet inte heller ska finnas krav eller möjlighet att tillgängliggöra uppgifter enligt regleringen i förevarande kapitel. Övervägandena finns i avsnitt 5.2.

2 §

I lagen (20XX:00) om nationell infrastruktur och tjänster för elektroniskt informationsutbyte finns bestämmelser om den statliga verksamhet som ska bidra till att vårdgivare på ett säkert och effektivt sätt kan elektroniskt tillgängliggöra och ta emot uppgifter enligt bestämmelser i detta kapitel. I lagen (2018:1212) om nationell läkemedelslista finns bestämmelser som gäller för vårdgivares tillgängliggörande av och tillgång till uppgifter om förskrivna och expedierade läkemedel. I lagen (2022:913) om sammanhållen vård- och omsorgsdokumentation finns bestämmelser om vårdgivares tillgång, genom direktåtkomst eller annat elektroniskt utlämnande, till omsorgsgivares uppgifter om patienter .

Paragrafen, som är ny, innehåller upplysningsbestämmelser med hänvisningar till vissa författningar som innehåller bestämmelser om vårdgivares tillgång till uppgifter som behandlas bl.a. för vård av patienter. I första stycket finns en hänvisning till den föreslagna nya lagen om nationell infrastruktur och tjänster för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet. Utöver den digitala infrastruktur som ska bidra till att vårdgivares elektroniska informationsutbyte enligt förevarande lag kan ske på ett säkert och effektivt sätt, finns i den hänvisade lagen även bestämmelser om den statliga tillgångstjänsten för hälso- och sjukvårdspersonal. Den senare ska utgöra en statlig garant som möjliggör att hälso- och sjukvårdspersonal, vid vård av patienter, har sådan tillgång till relevanta och nödvändiga hälsodata som förutsätts enligt EHDSförordningen, se även kommentaren till 1 kap. 4 §. Av andra stycket följer att uppgifter om förskrivna och expedierade läkemedel inte omfattas av bestämmelserna om elektroniskt informationsutbyte enligt förevarande kapitel. Elektroniskt recept och elektroniska förskrivningar är i och för sig

512

prioriterade kategorier av hälsodata i EHDS-förordningens mening (artikel 14 och bilaga I till förordningen), men elektroniskt tillgängliggörande och tillgång sådana informationsmängder regleras i den hänvisade lagen om nationell läkemedelslista (NLL). I tredje stycket finns en hänvisning till det frivilliga elektroniska informationsutbytet mellan vårdgivare och omsorgsgivare, som möjliggörs genom SVOD. En hänvisning till SVOD fanns tidigare i upplysningsbestämmelsen i 1 kap. 4§. I den paragrafen finns nu i stället en hänvisning till EHDS-förordningen. Överväganden såvitt avser andra stycket finns i avsnitt 5.2.

Tillgängliggörande av uppgifter

3 §

En vårdgivare ska, genom direktåtkomst eller annat elektroniskt utlämnande, ge en annan vårdgivare tillgång till 1. uppgifter som omfattas av artikel 14.1 a–c i EU:s förordning om det europeiska hälsodataområdet, och 2. uppgifter som omfattas av artikel 14.1 d–f i samma förordning. Uppgifter enligt första stycket ska tillgängliggöras, och av andra vårdgivare kunna tas emot, i det europeiska formatet för utbyte av elektronisk hälsodokumentation enligt artikel 15 i EU:s förordning om det europeiska hälsodataområdet och enligt föreskrifter som meddelas med stöd av denna lag.

Paragrafen är ny. Den reglerar vårdgivares skyldighet att elektronisk tillgängliggöra sådana uppgifter som utgör prioriterade kategorier av hälsodata enligt EHDS-förordningen, dvs. artikel 14. Enligt 4 § ska vårdgivare tillgängliggöra även vissa andra uppgifter om patienter som behövs för en effektiv och säker vård. Uppdelning i två punkter är föranledd av olika tidpunkter för när respektive kategorier av hälsodata ska börja tillgängliggöras enligt förordningens bestämmelser om ikraftträdande och tillämpning (artikel 105 tredje stycket). Punkten 1 avser sådana prioriterade kategorier av hälsodata som ska tillgängliggöras med början den 26 mars 2029, dvs. patientöversikter, elektroniska recept och elektroniska förskrivningar. Punkten 2 avser övriga prioriterade kategorier av hälsodata, dvs. bilddiagnostiska undersökningar och relaterade rapporter om

513

bilddiagnostik, resultat av medicinska undersökningar, inklusive laboratorieresultat och andra diagnostiska resultat och relaterade rapporter samt utskrivningsrapporter. För sistnämnda kategorier är tidpunkten bestämd till den 26 mars 2031. Bilaga I till EHDS-förordningen innehåller en förteckning över huvudsakliga egenskaper för prioriterade kategorier av elektroniska hälsodata med personuppgifter för primäranvändning. Av artikel 14.2 framgår att kommissionen har befogenheter att anta delegerade akter för att, under särskilt angivna förutsättningar, göra tillägg, ändra eller stryka de huvudsakliga egenskaperna hos de prioriterade kategorierna av hälsodata enligt bilagan. Anledningen till kommissionens befogenhet är att de prioriterade kategorierna av hälsodata ska kunna anpassas till den tekniska utvecklingen och internationella standarder. Av andra stycket framgår att uppgifter ska tillgängliggöras och kunna tas emot enligt det i EHDS-förordningen föreskrivna europeiska utbytesformatet (artikel 15). Bestämmelsen syftar till att säkerställa interoperabilitet och enhetlighet när vårdgivare tillgängliggör och tar emot uppgifter om patienter. Detta gäller såväl nationellt som inom EES. Det europeiska formatet för utbyte av hälsodokumentation fastställs genom kommissionens genomförandeförordning enligt artikel 15.1 i EHDS-förordningen och omfattar tekniska och semantiska specifikationer, exempelvis HL7 FHIR. Nationella föreskrifter kan komplettera och precisera hur formatet ska tillämpas i svensk kontext, t.ex. genom krav på anpassning till svenska vårdprocesser, se 13 § och kommentaren till den paragrafen. Övervägandena finns i avsnitt 5.2, såvitt avser första stycket, och i avsnitt 5.4 såvitt avser andra stycket.

4 §

En vårdgivare ska, genom direktåtkomst eller annat elektroniskt utlämnande, ge en annan vårdgivare tillgång till vissa andra uppgifter om en patient än de som anges i 3 §.

514

Tillgången enligt första stycket får bara avse sådana personuppgifter som behandlas för ändamål som anges i 2 kap. 4 § första stycket 1 och 2. Skyldigheten gäller 1. vid en vårdgivares tillgängliggörande av uppgifter för andra vårdgivare inom Sverige, och 2. om uppgifterna som ska tillgängliggöras och tas emot omfattas av föreskrifter om specifikationer som meddelas med stöd av 13 §.

Paragrafen är ny. Den reglerar vårdgivares skyldighet att elektronisk tillgängliggöra och ta emot vissa ytterligare uppgifter om patienter än de som anges i 3 §. Av första stycket framgår att det handlar om sådana uppgifter som är nödvändiga för att ge patienten effektiv och säker vård, men som inte utgör prioriterade kategorier av hälsodata enligt artikel 14 i EHDS-förordningen. I andra stycket preciseras att tillgången avser endast sådana personuppgifter som behandlas för ändamål som anges i 2 kap. 4 § första stycket 1 och 2 (vårdändamål), om uppgifterna ska tillgängliggöras enligt nationella specifikationer i föreskrifter som får meddelats med stöd av bemyndigandet i 13 §, se kommentaren till den paragrafen. Skyldigheten att tillgängliggöra uppgifter enligt förevarande paragraf är således beroende av att nationella specifikationer är fastställda och att bestämmelser om att göra uppgifter tillgängliga enligt specifikationerna är införda i sådana föreskrifter. Skyldigheten gäller dessutom endast vid vårdgivares elektroniska informationsutbyte inom Sverige. Övervägandena finns i avsnitt 5.3.

5 §

En vårdgivare får, genom direktåtkomst eller annat elektroniskt utlämnande, ge en annan vårdgivare i Sverige tillgång till sådana uppgifter som avses i 4 §, även om det för uppgifterna inte finns krav på tillgängliggörande enligt föreskrifter om specifikationer som meddelas med stöd av 13 §.

Paragrafen, som är ny, möjliggör ett elektroniskt informationsutbyte mellan vårdgivare inom Sverige, även när det saknas

515

föreskrifter med krav på att tillgängliggöra uppgifter enligt nationella specifikationer. Avsaknaden av sådana föreskrifter hindrar alltså inte vårdgivare att frivilligt tillgängliggöra uppgifter elektroniskt till andra vårdgivare i Sverige. Detta skapar förutsättningar för att upprätthålla eller påskynda den datadrivna utvecklingen inom svensk hälso- och sjukvård. Det säkerställer även en god och sammanhållen vård, när tekniska standarder ännu inte är fastställda och omfattas av föreskrifter om specifikationer för informationsutbyte mellan vårdgivare. Vårdgivare som väljer att tillgängliggöra uppgifter enligt bestämmelsen ansvarar för att uppgifter behandlas på ett tryggt och rättssäkert sätt, i enlighet med EU:s dataskyddsförordning och patientdatalagens övriga bestämmelser. Om nationella specifikationer senare fastställs och tillgängliggörande enligt dem föreskrivs enligt 13 §, ska specifikationerna därefter användas vid vårdgivares tillgängliggörande och mottagande av uppgifterna. Övervägandena finns i avsnitt 5.7.

6 §

Uppgifter om en patient som behandlas av en vårdgivare för ändamål som anges i 2 kap. 4 § första stycket 1 och 2 får inte göras tillgängliga för andra vårdgivare enligt 3–5 §§, om patienten har motsatt sig tillgängliggörande enligt 8 §. I 4 kap. finns särskilda bestämmelser om att en vårdgivare inte får göra uppgifter elektroniskt tillgängliga, om patienten har begränsat tillgången för uppgifterna.

Paragrafen är ny. Bestämmelsen innebär en inskränkning av vårdgivares elektroniska informationsutbyte enligt förevarande kapitel, till förmån för patientens stärkta kontroll över sina hälsodata, vilket är ett av syftena med EHDS-förordningen, se t.ex. skälpunkterna 1 och 18 i ingressen till förordningen. Bestämmelsen i första stycket innebär att en vårdgivare inte får tillgängliggöra uppgifter om en patient enligt 3–5 §§, om patienten har motsatt sig ett sådant tillgängliggörande enligt 8 § (opt-out). Denna rättighet för patienter är absolut. Om patienten nyttjat rättigheten får uppgifterna inte göras tillgängliga för elektroniskt

516

informationsutbyte enligt bestämmelserna i förevarande kapitel. Detta gäller även om patientens liv är i fara eller det föreligger en allvarlig risk för patientens hälsa. Syftet är att säkerställa patientens självbestämmande och integritet, även i situationer där det annars skulle kunna finnas starka medicinska skäl för att dela uppgifterna, se vidare kommentaren till 8 §. Andra stycket erinrar om att sådana uppgifter som en patient har valt att begränsa elektronisk tillgång för (spärr) inte heller får tillgängliggöras elektroniskt för den som begränsningen omfattar, se 4 kap. 4 och 4 a §§ och kommentarer till de paragraferna. Övervägandena finns i avsnitt 7.2.2 såvitt avser första stycket, och avsnitt 7.3.1, såvitt avser andra stycket.

7 §

Under samma förutsättningar som anges i 3–6 §§ ska en vårdgivare på begäran 1. tillgängliggöra sådana uppgifter som avses i 3–5 §§ för den myndighet som ansvarar för den statliga tillgångstjänsten för hälso- och sjukvårdspersonal enligt lagen (202X:00) om nationell infrastruktur och tjänster för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet, och 2. tillgängliggöra sådana uppgifter som avses i 3 § för den nationella kontaktpunkten för digital hälsa enligt lagen (20XX:00) med kompletterande bestämmelser till EU:s förordning om det europeiska hälsodataområdet.

Paragrafen, som är ny, säkerställer att det finns rättsligt stöd för alla vårdgivare, såväl med offentlig huvudman som med privat huvudman, att behandla de angivna personuppgifterna genom utlämnande till dels den myndighet som ska ansvara för att tillhandahålla en statlig tillgångstjänst för hälso- och sjukvårdspersonal, dels den nationella kontaktpunkten. Syftet med bestämmelsen är även att säkerställa att den ansvariga myndigheten, liksom den nationella kontaktpunkten, har tillgång till personuppgifter för att kunna fullgöra sina uppgifter. Vårdgivare är inte skyldiga att använda den statliga tillgångstjänsten (se avsnitt 6.2.2). Den föreslagna statliga tillgångstjänsten för hälso- och sjukvårdspersonal hindrar inte vårdgivare från att integrera en tillgångstjänst i sitt hälsodokumentationssystem Ansvaret för tillhandahållandet av en statlig tillgångstjänst för hälso- och sjukvårdspersonal regleras i den nya lagen om nationell

517

infrastruktur och tjänster för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet. I förevarande paragraf görs därför en hänvisning till den lagen ( punkten 1 ). Bestämmelsen ger även stöd för uppgiftsutlämnande till den nationella kontaktpunkten för digital hälsa, vilket säkerställer att uppgifterna kan förmedlas för gränsöverskridande elektroniskt informationsutbyte enligt kraven i EHDS-förordningen. I punkten 2 finns en hänvisning till den nationella kontaktpunkten. 242 Bestämmelsen innebär således att en vårdgivare, på begäran, ska tillgängliggöra personuppgifter enligt de hänvisade lagrummen, dvs. patienters uppgifter som behandlas för vårdändamål. Tillgängliggörandet av uppgifterna till den ansvariga myndigheten och den nationella kontaktpunkten för digital hälsa ska ske under samma förutsättningar som gäller för tillgängliggörande av sådana uppgifter mellan vårdgivare, dvs. enligt bestämmelserna i 3– 6 §§. Det innebär att tillgängliggörandet ska ske i enlighet med de formatkrav som gäller enligt EHDS-förordningen och kompletterande nationella föreskrifter, dvs. att vårdgivaren ska säkerställa att uppgifterna är interoperabla och strukturerade. Av lagrumshänvisningarna följer att även de inskränkningar i vårdgivares elektroniska tillgängliggörande som framgår av 6 § är tillämpliga. Dessa inskränkningar medför att uppgifter inte får utlämnas till den ansvariga myndigheten eller den nationella kontaktpunkten för digital hälsa, om patienten har nyttjat sin rätt att motsätta sig tillgängliggörande för elektroniskt informationsutbyte enligt 8 §, eller om patienten har begränsat elektronisk tillgång enligt 4 kap. 4 §. Inskränkningarna gäller alltså även vid tillgängliggörande till den ansvariga myndigheten och den nationella kontaktpunkten för digital hälsa. Övervägandena finns i avsnitt 6.3.

242 Reglering av den svenska nationella kontaktpunkten är preliminärt avsedd att införas i en ny lag med kompletterande bestämmelser till EU:s förordning om det europeiska hälsodataområdet. Utredningen återkommer dock med förslag om sådan kompletterande nationell lagstiftning i sin slutredovisning.

518

Rätt att motsätta sig elektroniskt tillgänggörande av personuppgifter

8 §

En patient har rätt begära att uppgifter om honom eller henne som en vårdgivare behandlar för ändamål som anges i 2 kap. 4 § första stycket 1 och 2, inte görs tillgängliga för elektroniskt informationsutbyte enligt detta kapitel. I så fall ska uppgifterna genast blockeras för sådant informationsutbyte. En patient som motsatt sig tillgängliggörande av uppgifter enligt första stycket får begära att vårdgivaren åter gör dessa tillgängliga för elektroniskt informationsutbyte.

Paragrafen, som är ny, utgör nationell reglering av rätten för fysiska personer att motsätta sig tillgång avseende primäranvändning, optout, enligt artikel 10 i EHDS-förordningen. Den i första stycket fastslagna rättigheten innebär att en patient har rätt att begära att sådana uppgifter som vårdgivare behandlar för att bereda patienten vård, inte görs tillgängliga för elektroniskt informationsutbyte mellan vårdgivare eller mellan vårdgivare och patient. Rättigheten gäller myndiga patienter, se 9 §. Av EHDS-förordningen följer att tillgängliggörande av patienters hälsodata ska ske via tillgångstjänster dels för patienter (artikel 4), dels för hälso- och sjukvårdspersonal (artikel 12). 243 Om patienten nyttjar rätten till opt-out ska hans eller hennes samtliga journaluppgifter blockeras för elektroniskt tillgängliggörande. Uppgifterna får då inte göras elektroniskt tillgängliga för andra vårdgivare. Detta framgår direkt av 6 §. Uppgifterna är dock fortsatt tillgängliga för den vårdgivare hos vilken uppgifterna dokumenterades, så att vårdgivaren kan fullgöra journalföringsplikten och säkerställa patientsäkerheten. Det är också en förutsättning för att vårdgivare, på patientens begäran, ska kunna göra uppgifterna åter tillgängliga (se andra stycket). Av förslaget till ny lag om nationell infrastruktur och tjänster för elektroniskt informationsutbyte följer att en vårdgivare är skyldig att lämna uppgifter till den enligt lagen utsedda ansvariga myndigheten för infrastrukturen. Uppgiftsskyldigheten omfattar bl.a. information om en patient har nyttjat rätten att motsätta sig att uppgifter om

243 Överväganden och förslag om kompletterande nationell reglering av bl.a. tillgångstjänster för patienter och deras företrädare kommer att redovisas i Utredningens slutrapport.

519

honom eller henne görs tillgängliga för elektroniskt informationsutbyte enligt förevarande paragraf. En konsekvens av att patienten väljer att motsätta sig elektroniskt tillgängliggörande enligt förevarande paragraf är att inte heller patienten själv kommer att kunna ta del av en samlad bild av sina uppgifter från olika vårdgivare via tillgångstjänster (för patienter). Av andra stycket framgår att en patient, som har motsatt sig att uppgifter görs tillgängliga för elektroniskt informationsutbyte, har rätt att begära att tillgångsblockeringen tas bort så att uppgifterna åter kan göras elektroniskt tillgängliga för andra vårdgivare, och för att själv kunna får en samlad bild av sina hälsodata från olika vårdgivare. Syftet med bestämmelsen är att säkerställa patientens självbestämmande och kontroll över uppgifterna i sin journal. Bestämmelsen återspeglar innebörden i artikel 10.1 i EHDSförordningen, som kräver att rätten till opt-out ska vara reversibel. Det innebär att patienten kan ändra sitt val och åter öppna för elektronisk tillgång till sina uppgifter via tillgångstjänster för hälsooch sjukvårdspersonal respektive patienter. Övervägandena finns i avsnitt 7.2.1.

9 §

Rätten att motsätta sig att uppgifter görs elektroniskt tillgängliga enligt 8 § gäller inte för den som inte har fyllt arton år. En vårdnadshavare för ett barn får inte motsätta sig att uppgifter om barnet görs tillgängliga för andra vårdgivare.

Paragrafen, som är ny, utgör nationell reglering av rätten för fysiska personer att motsätta sig tillgång avseende primäranvändning, optout, enligt artikel 10 i EHDS-förordningen. Bestämmelsen i första stycket innebär att rätten för patienter att motsätta sig att uppgifter görs elektroniskt tillgängliga enligt 8 § inte gäller för personer under arton år. Således har barn och ungdomar inte rätt till att motsätta sig att uppgifter, som behandlas för att bereda om honom eller henne vård, görs tillgängliga för elektroniskt informationsutbyte enligt bestämmelser i förevarande kapitel.

520

Av andra stycket framgår att inte heller vårdnadshavare har rätt att motsätta sig att uppgifter om barnet görs tillgängliga för elektroniskt informationsutbyte mellan vårdgivare. Därigenom kan det säkerställas att barns hälso- och sjukvårdsuppgifter alltid kan delas elektroniskt mellan vårdgivare för att tillgodose barnets behov av säker och sammanhållen vård, oavsett vårdnadshavares inställning. Övervägandena finns i avsnitten 7.2.4 och 7.2.5.

10 §

En vårdgivare ska informera patienten om att det allvarligt kan påverka tillhandahållandet av hälso- och sjukvård, om uppgifter inte får göras tillgängliga för elektroniskt informationsutbyte.

Paragrafen är ny och syftar till att säkerställa att patienten får tydlig och fullständig information om konsekvenserna av att motsätta sig att uppgifter görs elektroniskt tillgängliga för andra vårdgivare. Det är särskilt viktigt att patienten förstår att en nyttjande av rätten att begära att uppgifter inte får göras tillgängliga för elektroniskt informationsutbyte kan få allvarliga konsekvenser för möjligheten att tillhandahålla säker, effektiv och sammanhållen vård, särskilt när patienten söker vård hos en annan vårdgivare än den som har dokumenterade uppgifter om patienten, jfr 4 kap. 5 a § och kommentaren till den paragrafen. Av informationen ska också framgå att en sådan begäran är absolut, såtillvida att uppgifterna därefter inte är elektroniskt tillgängliga för andra vårdgivare, se 6 §. Informationen ska möjliggöra att patienten kan fatta ett informerat beslut. Det ska stå klart för patienten att det krävs att han eller hon själv måste begära att uppgifterna åter ska göras tillgängliga för elektroniskt informationsutbyte. Vårdgivaren är ansvarig för att tillhandahålla denna information på ett begripligt och tillgängligt sätt. Informationskravet innebär inte att information måste ges vid varje enskilt vårdmöte. Däremot ska vårdgivare bidra i arbetet med att göra informationen om patientens rättigheter och det nya flödet av hälsodata känt för patienten, se även 8 kap. 6 §.

521

I en tillgångstjänst för patienter ska det vara möjligt att nyttja rätten att motsätta sig elektroniskt tillgängliggörande av uppgifter för andra än den vårdgivare som dokumenterat dem, och även att 244 administrera åtkomstbegränsningar enligt 4 kap. 4 § (spärrar). Detta innebär att också sådana tillgångstjänster måste tillhandahålla nödvändig, klar och lättförståelig information om risker som följer av att patienten motsätter sig ett elektroniskt tillgängliggörande av uppgifter (tillgångsblockering) eller spärrar vissa eller alla journaluppgifter. Övervägandena finns i avsnitt 7.5.

Personuppgiftsansvar bevarande och gallring

11 §

Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om vem som ska ha personuppgiftsansvar för övergripande frågor om tekniska och organisatoriska säkerhetsåtgärder vid vårdgivares elektroniska tillgängliggörande enligt 3–5 §§. I 2 kap. 6 § finns allmänna bestämmelser om personuppgiftsansvar.

Paragrafen, som är ny, innehåller i första stycket ett bemyndigande av föreskriftsrätt vad gäller personuppgiftsansvar i övergripande frågor vid personuppgiftsbehandling som aktualiseras vid personuppgiftsbehandling över organisationsgränser. När det gäller sådana frågor torde – lite beroende på organisation och samarbetsformer i det enskilda fallet – regeln i 2 kap. 6 § innebära att ansvaret delas solidariskt mellan de samarbetande vårdgivarna. En sådan ordning framstår inte alltid som naturlig. Eftersom det inte alltid är helt klart hur det förhåller sig med personuppgiftsansvaret i övergripande frågor vid personuppgiftsbehandling över organisationsgränser, kan det finnas ett behov av en tydlig reglering av personuppgiftsansvaret i dessa frågor. Sådan eventuell reglering får alltså föreskrivas om på förordningsnivå eller i myndighetsföreskrifter.

244 Utredningen återkommer med överväganden och förslag om tillgångstjänster för patienter i sin slutrapport.

522

I andra stycket erinras om den allmänna bestämmelsen om personuppgiftsansvar i 2 kap. 6 §, som innebär att en vårdgivare är personuppgiftsansvarig för den behandling av personuppgifter som vårdgivaren utför. Bestämmelsen är tillämplig även vid personuppgiftsbehandling som sker för sådant elektroniskt informationsutbyte enigt förevarande kapitel, se kommentaren till 2 kap. 6 §. Paragrafen motsvarar bestämmelsen i 1 kap. 4 § tredje stycket SVOD. När sammanhållen journalföring reglerades i förevarande fanns en motsvarande bestämmelse i dåvarande 6 kap. 6 § (se prop. 2007/08:126 s. 254 f.). Övervägandena finns i avsnitt 9.20.

12 §

När uppgifter är tillgängliga för flera vårdgivare enligt bestämmelserna i detta kapitel gäller skyldigheten att bevara uppgifterna endast för den vårdgivare som ansvarar för dem.

Paragrafen är ny. Den fastställer en huvudprincip som innebär att en vårdgivare ansvarar för bevarandet av de uppgifter som finns i journalhandlingar eller är registrerade i annan vårddokumentation, som vårdgivaren själv gör tillgängliga för andra vårdgivare genom det elektroniska informationsutbytet. Med den vårdgivare som ansvar för uppgifter avses alltså den vårdgivare som ursprungligen dokumenterat dem. Övriga vårdgivare har inte ett sådant ansvar enbart på den grund att de har en potentiell tillgång till dessa handlingar. Paragrafen motsvarar i sak bestämmelsen i 4 kap. 6 § SVOD. När sammanhållen journalföring reglerades i förevarande lag, fanns en motsvarande bestämmelse i dåvarande 6 kap. 6 § (se prop. 2007/08:126 s. 136 ff.). Övervägandena finns i avsnitt 9.22.

Övriga föreskriftsbemyndiganden

13 §

523

Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om 1. vilka uppgifter som ska tillgängliggöras enligt 4 §, och 2. hur uppgifter ska tillgängliggöras enligt 3 och 4 §§, inklusive de nationella specifikationer som, utöver vad som följer av denna lag och kommissionens genomförandeförordning [XXX], ska tillämpas vid tillgängliggörandet inom Sverige.

Paragrafen innehåller ytterligare föreskriftsbemyndiganden (se även 1 och 11 §§). Föreskriftsrätten motsvarar det utrymme som Sverige, som medlemsstat, har för kompletterande nationella bestämmelser om hur vårdgivare elektroniskt ska tillgängliggöra uppgifter enligt bestämmelser i förevarande kapitel och dessa uppgifters utbytesformat. Sådana föreskrifter kompletterar de tekniska specifikationer som följer av EHDS-förordningen och kommissionens (kommande) genomförandeakter för det europeiska utbytesformatet för de prioriterade kategorierna av hälsodata (se artiklarna 14 och 15.1). Enligt reglering på förordningsnivå eller i myndighetsföreskrifter får krav på struktur och kodning anpassas och preciseras efter nationella behov och ambitioner om datadriven utveckling inom svensk hälsooch sjukvård, så länge dessa inte står i strid med EU-rätten. Med stöd av bemyndigandet får det därutöver föreskrivas krav på vårdgivares elektroniska tillgängliggörande av vissa andra uppgifter som behandlas för en effektiv och säker vård, men som inte utgör prioriterade kategorier av hälsodata (se 4 §). Det är olämpligt att i lag ytterligare precisera vilka uppgifter som behövs för en effektiv och säker vård. Föreskriftsrätten omfattar i detta avseende dels vilka uppgifter som omfattas av krav på elektroniskt tillgängliggörande, dels hur tillgängliggörandet ska ske, inbegripet vilka specifikationer som ska tillämpas. Föreskrifter som meddelas med stöd av bemyndigandet möjliggör således nationell anpassning av EHDS-regleringen. Övervägandena finns i avsnitt 5.5.3.

524

8 kap.

6 §

Utöver vad som framgår av artiklarna 13 och 14 i EU:s dataskyddsförordning ska den som är personuppgiftsansvarig enligt denna lag lämna information till den registrerade om 1. den uppgiftsskyldighet som kan följa av lag eller förordning, 2. de sekretess- och säkerhetsbestämmelser som gäller för uppgifterna och behandlingen, 3. rätten enligt 4 kap. 4 § att i vissa fall begära att uppgifter spärras, 4. att uppgifter som behandlas för att bereda en patient vård, ska och får göras elektroniskt tillgängliga av vårdgivare enligt bestämmelser i 6 kap. om elektroniskt informationsutbyte, om patienten inte motsatt sig detta enligt 6 kap. 8 § 5. rätten enligt 5 § att få information om den åtkomst som förekommit, 6. rätten enligt artikel 82 i EU:s dataskyddsförordning och 7 kap. 1 § lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning till skadestånd vid behandling av personuppgifter i strid med denna lag, och 7. vad som gäller i fråga om sökbegrepp, direktåtkomst, utlämnande av uppgifter på medium för automatiserad behandling och annat elektroniskt utlämnande I 7 kap. 3 § och i 2 kap. 2 § lagen (2022:913) om sammanhållen vårdoch omsorgsdokumentation finns ytterligare bestämmelser om vilken information som ska lämnas i vissa fall.

Paragrafen innehåller krav på den personuppgiftsansvarige att lämna viss information till den registrerade, huvudsakligen vårdgivarens patienter. Av den nya punkten 4 framgår att information ska lämnas också om de skyldigheter och möjligheter som vårdgivare har enligt den nya regleringen om elektroniskt informationsutbyte i 6 kap. En patient ska upplysas om att huvudregeln nu är att uppgifter om patienten som behandlas för att bereda honom eller henne vård delas med andra vårdgivare genom elektroniskt informationsutbyte. Information ska också ges om patientens rätt att motsätta sig ett sådant elektroniskt tillgängliggörande, jfr även 6 kap. 10 §. Till följd av den införda nya punkten ändras beteckningarna för de efterföljande punkterna (från 4–6) till 5–7.

525

Övervägandena finns i avsnitt 5.9.

7 §

I denna lag finns föreskrifter om andra rättigheter för den enskilde i 3 kap. 8 §, 4 kap. 4 §, och 6 kap. 8 § samt 7 kap. 2 och 3 §§. Sådana föreskrifter finns även i 2 kap. 3 § första stycket lagen (2022:913) om sammanhållen vård- och omsorgsdokumentation .

I paragrafen erinras om andra bestämmelser i lagen som utgör rättigheter för den enskilde, såsom att begränsa tillgången till uppgifter för hälso- och sjukvårdspersonal enligt 4 kap. 4 §. Bestämmelsen kompletterad med en hänvisning till 6 kap. 8 §, som reglerar rätten för en patient att motsätta sig att vårdgivare gör uppgifter tillgängliga för elektroniskt informationsutbyte. Denna rättighet innebär att inga uppgifter om patienten får tillgängliggöras elektroniskt för andra vårdgivare. Den innebär samtidigt att patienten inte heller själv kan ta del av en samlad bild sina hälsodata, om dessa finns dokumenterade hos flera olika vårdgivare, se vidare 6 kap. 8 § och kommentaren till den paragrafen. Övervägandena finns i avsnitt .

Ikraftträdande- och övergångsbestämmelser

1. Denna lag träder i kraft den 26 mars 2029. 2. Bestämmelsen i 6 kap. 3 § 2 ska börja tillämpas den 26 mars 2031.

Av första punkten framgår att lagen ska träda i kraft den 26 mars 2029. Av andra punkten framgår att bestämmelsen i 6 kap. 3 § 2 ska börja tillämpas först den 26 mars 2031. Det senare datumet för när bestämmelsen i fråga ska börja tillämpas är föranlett av bestämmelser i artikel 105 om ikraftträdande och tillämpning i EU:s förordning om det europeiska hälsodataområdet. Övervägandena finns i avsnitt 12.2.

526

14.3 Förslaget till lag om ändring i lagen (2009:366) om handel med läkemedel

2 kap.

6 §

Den som har tillstånd enligt 1 § att bedriva detaljhandel med läkemedel till konsument ska 1. ha lokalen bemannad med en eller flera farmaceuter under öppethållandet, 2. bedriva verksamheten i lokaler som är lämpliga för sitt ändamål och säkerställa att de delar av lokalerna där information och rådgivning om läkemedel, utbyte av läkemedel, läkemedelsanvändning och egenvård lämnas är utformade så att konsumentens integritet skyddas, 3. tillhandahålla samtliga förordnade läkemedel, och samtliga förordnade varor som omfattas av lagen (2002:160) om läkemedelsförmåner m.m. så snart det kan ske, 4. ha en läkemedelsansvarig för apoteket som ska ha det inflytande över verksamheten som krävs för att han eller hon ska kunna fullgöra sina uppgifter, 5. vid expediering av en förskrivning lämna de uppgifter som anges i 3 kap. 8 § lagen (2018:1212) om nationell läkemedelslista till E-hälsomyndigheten, 6. ha ett elektroniskt system som gör det möjligt att få direktåtkomst till uppgifter hos E-hälsomyndigheten, 7. till E-hälsomyndigheten lämna de uppgifter som är nödvändiga för att myndigheten ska kunna föra statistik över detaljhandeln, 8. utöva särskild kontroll (egenkontroll) över detaljhandeln och hanteringen i övrigt och se till att det finns ett för verksamheten lämpligt egenkontrollprogram, 9. på begäran utfärda intyg enligt 3 a § lagen (1992:860) om kontroll av narkotika, 10. på begäran erbjuda konsumenter delbetalning av läkemedel och varor som omfattas av lagen om läkemedelsförmåner m.m., 11. tillhandahålla individuell och producentoberoende information och rådgivning om läkemedel, utbyte av läkemedel, läkemedelsanvändning och egenvård till konsumenter samt se till att informationen och rådgivningen endast lämnas av personal med tillräcklig kompetens för uppgiften, 12. ha ett för Läkemedelsverket registrerat varumärke för öppenvårdsapotek väl synligt på apoteket,

527

13. i de fall tillståndshavaren inte direkt kan tillhandahålla ett läkemedel eller en vara som avses i 3, informera konsumenten om på vilket eller vilka öppenvårdsapotek läkemedlet eller varan finns för försäljning, 14. uppfylla de krav avseende säkerhetsdetaljer som följer av kommissionens delegerade förordning (EU) 2016/161, och 15. vid expediering av en förskrivning av läkemedel för behandling av djur lämna uppgifter till E-hälsomyndigheten. Uppgifter enligt första stycket 5 och 6, som utgör prioriterade kategorier av hälsodata med personuppgifter enligt Europaparlamentets och rådets förordning (EU) 2025/327 av den 11 februari 2025 om det europeiska hälsodataområdet och om ändring av direktiv 2011/24/EU och förordning (EU) 2024/2847, ska av tillståndshavaren tillgängliggöras och tas emot i det europeiska format för utbyte av elektronisk hälso-dokumentation som avses i artikel 15 i samma förordning och enligt föreskrifter som meddelas enligt denna lag.

Bestämmelsen i andra stycket är ny. Den som har tillstånd att bedriva detaljhandel med läkemedel till konsument ska, i det europeiska formatet för utbyte av elektroniska hälsodokumentation, kunna ta emot uppgifter från den nationella läkemedelslistan och till densamma lämna ut uppgifter som utgör prioriterade kategorier av hälsodata enligt EHDS-förordningen. Tillståndshavaren ska även tillämpa föreskrifter som anger formatkrav. Motsvarande reglering återfinns i 9 kap. 1 § andra stycket lagen (2018:1212) om nationell läkemedelslista (NLL) och 6 kap. 6 § PDL. Övervägandena finns i avsnitt 5.4.

11 b §

Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om 1. hur skyldigheten att lämna och ta emot uppgifter enligt 6 § 5 och 6 ska fullgöras, och 2. tekniska och organisatoriska krav på säkerhet vid fullgörandet av skyldigheten att lämna och ta emot uppgifter enligt 6 § 5 och 6.

Paragrafen är ny och innehåller bemyndiganden. I punkten 1 införs ett bemyndigande avseende hur skyldigheten att lämna och ta emot uppgifter ska fullgöras av den som har tillstånd att bedriva

528

detaljhandel med läkemedel. Det kan handla om att regeringen eller den myndighet som regeringen bestämmer meddelar föreskrifter om t.ex. vilka uppgifter som ska lämnas och om specificeringar avseende det format som ska användas vid utlämnande och mottagande av uppgifterna. Motsvarande bemyndigande finns i 6 kap. 12 § PDL och 10 kap. 3 § andra punkten NLL. I punkten 2 införs ett bemyndigande avseende att regeringen eller den myndighet som regeringen bestämmer får föreskriva om tekniska och organisatoriska krav på säkerhet hos den som har tillstånd att bedriva detaljhandel med läkemedel i samband med att de uppfyller skyldigheten att lämna uppgifter till och ta emot uppgifter från den nationella läkemedelslistan. Motsvarande bemyndigande finns i 10 kap. 3 § tredje punkten NLL och 4 kap. 4 § den föreslagna nya lagen om nationell infrastruktur och tjänster för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet. Övervägandena finns i avsnitt 5.6.

Ikraftträdande

Denna lag träder i kraft den 26 mars 2029.

529

14.4 Förslaget till lag om ändring i apoteksdatalagen (2009:367)

5 §

I paragrafen införs ett nytt tredje stycke . Det är en upplysningsbestämmelse om att det i EHDS-förordningen finns ytterligare bestämmelser om behandling av personuppgifter. Motsvarande hänvisningar införs i PDL och NLL. Övervägandena finns i avsnitt 9.17.

Ikraftträdande

Denna lag träder i kraft den 26 mars 2029.

530

14.5 Förslaget till lag om ändring i offentlighets- och sekretesslagen (2009:400)

25 kap.

2 §

Sekretess gäller hos en myndighet som bedriver verksamhet som avses i 1 § för uppgift om en enskilds personliga förhållanden som gjorts tillgänglig av en omsorgsgivare enligt lagen (2022:913) om sammanhållen vård- och omsorgsdokumentation, om inte förutsättningarna enligt 3 kap. 1 eller 3 § samma lag för att myndigheten ska få behandla uppgiften är uppfyllda. Om de förutsättningar som anges i första stycket är uppfyllda eller myndigheten har behandlat uppgiften enligt 3 kap. 1 eller 3 § lagen om sammanhållen vård- och omsorgsdokumentation tidigare, gäller sekretess, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men. Sekretessen gäller inte om annat följer av 7, 8 eller 10 § eller 26 kap. 6 §. För uppgift i en allmän handling gäller sekretessen i högst sjuttio år.

Paragrafen reglerar sekretess hos hälso- och sjukvårdsmyndighet för uppgift om en enskilds personliga förhållanden i ett elektroniskt system som möjliggör tillgång till personuppgifter från andra vårdgivare genom regleringen i lagen om sammanhållen vård- och omsorgsdokumentation. Av paragrafen följer att om de villkor för behandling av uppgifter som uppställs i de angivna lagrummen inte är uppfyllda, gäller absolut sekretess för uppgifterna. Detta innebär att den myndighet som har fått en begäran om att lämna ut uppgifterna kan avslå den utan att behöva ta del av uppgifterna. Om en sökning i systemet med sammanhållen vård- och omsorgsdokumentation visar att det finns ospärrade uppgifter om den person som begäran avser, men den myndighet som fått begäran saknar befogenhet att ta del av och behandla uppgifterna enligt lagrumshänvisningarna, omfattas uppgifterna av absolut sekretess. Myndigheten behöver då inte ta del av uppgifterna för att pröva sekretessfrågan. Visar sökningen att det inte finns ospärrade uppgifter om personen kan begäran avslås med hänvisning till att begärda uppgifter inte förvaras hos myndigheten, se prop. 2021/22:177 s. 227.

531

Paragrafens första och stycken innehåller enbart ändringar till följd av införandet av den nya regleringen om vårdgivares elektroniska informationsutbyte i 6 kap. patientdatalagen (2008:355), PDL. Denna nya reglering innebär samtidigt lagen (2022:913) om sammanhållen vård- och omsorgsdokumentation (SVOD) inte omfattar vårdgivares tillgängliggörande av uppgifter sinsemellan. Lagrumshänvisningarna gäller således enbart förutsättningar för sådan frivillig informationsdelning som alltjämt regleras i SVOD, dvs. den mellan omsorgsgivare samt den mellan omsorgsgivare och vårdgivare. Övervägandena finns i avsnitt 10.3

Vårdgivares elektroniska informationsutbyte

2 a §

Sekretess gäller hos en myndighet som bedriver verksamhet som avses i 1 § för uppgift om en enskilds personliga förhållanden som gjorts tillgänglig av en annan vårdgivare enligt 6 kap. patientdatalagen (2008:355), om inte förutsättningarna enligt 6 kap. 3–6 §§ samma lag för att myndigheten ska få behandla uppgiften är uppfyllda . Om de förutsättningar som anges i första stycket är uppfyllda eller myndigheten har behandlat uppgiften enligt bestämmelser i 6 kap. patientdatalagen tidigare, gäller sekretess, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men. Sekretessen gäller inte om annat följer av 7, 8 eller 10 § eller 26 kap. 6 §. För uppgift i en allmän handling gäller sekretessen i högst sjuttio år.

Paragrafen, som är ny, reglerar sekretess hos hälso- och sjukvårdsmyndighet för uppgift om en enskilds personliga förhållanden vid sådant obligatoriskt och frivilligt elektroniskt informationsutbyte som gäller enligt ny reglering i 6 kap. PDL. Bestämmelsen har motsvarande syfte och sakliga innebörd som 2 §, och har utformats med den paragrafen som förebild. Övervägandena finns i avsnitt 10.3

532

11 §

Sekretessen enligt 1 § hindrar inte att uppgift lämnas 1. från en myndighet som bedriver verksamhet som avses i 1 § i en kommun till en annan sådan myndighet i samma kommun, 2. från en myndighet som bedriver verksamhet som avses i 1 § i en region till en annan sådan myndighet i samma region, 3. till en myndighet som bedriver verksamhet som avses i 26 kap. 1 § eller en enskild omsorgsgivare enligt det som föreskrivs i lagen (2022:913) om sammanhållen vård- och omsorgsdokumentation, 4 . till en myndighet som bedriver verksamhet som avses i 1 § eller en enskild vårdgivare i enlighet med det som föreskrivs i 6 kap. 3–5 §§ patientdatalagen (2008:355), 5. till den myndighet som ansvarar för den statliga tillgångstjänst för hälsooch sjukvårdspersonal som avses i 2 kap. 4 § lagen (20XX:00) om nationell infrastruktur och tjänster för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet, 6 . till ett nationellt eller regionalt kvalitetsregister enligt patientdatalagen, 7 . från en myndighet som bedriver verksamhet som avses i 1 § inom en kommun eller en region till annan sådan myndighet för forskning eller framställning av statistik eller för administration på verksamhetsområdet, om det inte kan antas att den enskilde eller någon närstående till den enskilde lider men om uppgiften röjs, eller 8 . till en enskild enligt vad som föreskrivs i – lagen (1988:1473) om undersökning beträffande vissa smittsamma sjukdomar i brottmål, – lagen (1991:1129) om rättspsykiatrisk vård, – lagen (1995:831) om transplantation m.m., – smittskyddslagen (2004:168), – 6 och 7 kap. lagen (2006:351) om genetisk integritet m.m., – lagen (2006:496) om blodsäkerhet, – lagen (2008:286) om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler, – lagen (2012:263) om kvalitets- och säkerhetsnormer vid hantering av mänskliga organ eller förordning som har meddelats med stöd av den lagen, eller – 2 kap. lagen (2017:612) om samverkan vid utskrivning från sluten hälso- och sjukvård.

Paragrafen som innehåller sekretessbrytande bestämmelser på hälsooch sjukvårdens område ändras till följd av införande av ny reglering

533

om vårdgivares elektroniska informationsutbyte i 6 kap. PDL. Förarbeten till paragrafen finns i prop. 2007/08:126 s. 270 f. I paragrafen införs två nya punkter. Till följd av detta ersätts beteckningarna för punkterna 4–6 till punkterna 6–8. Av nya fjärde punkten framgår att hälso- och sjukvårdssekretessen enligt 25 kap. 1 § inte hindrar att uppgift lämnas till en myndighet som bedriver verksamhet som avses i 25 kap. 1 § eller till en enskild vårdgivare enligt det som föreskrivs i 6 kap. PDL. Bestämmelsen bryter sekretess för uppgift om en enskilds hälsotillstånd eller andra personliga förhållanden hos myndighet som bedriver hälso- och sjukvård eller annan medicinsk verksamhet. Bestämmelsen gäller också för företag där kommuner eller regioner har ett rättsligt bestämmande inflytande (2 kap. 3 § offentlighets- och sekretesslagen). Uppgiften kan med stöd av bestämmelsen således lämnas till en vårdgivare som är en myndighet, eller till en enskild vårdgivare under förutsättning att det sker enligt vad som föreskrivs i 6 kap. PDL. Av nya femte punkten framgår att hälso- och sjukvårdssekretessen enligt 25 kap. 1 § inte heller hindrar att uppgift lämnas till den myndighet som ansvarar för den statliga tillgångstjänst för hälsooch sjukvårdspersonal som avses i 2 kap. 4 § lagen (20XX:00) om nationell infrastruktur och tjänster för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet. Genom bl.a. denna tillgångstjänst ska vårdgivare elektroniskt kunna ge och ta emot uppgifter i enlighet med kraven i EU:s förordning om det europeiska digital hälsodataområdet och den nya regleringen i 6 kap. PDL. Enligt förslag ska E-hälsomyndigheten ges ansvar för att tillhandahålla den statliga tillgångstjänsten. Övervägandena finns i avsnitt 10.1

17 c §

Sekretessen enligt 17 a och 17 b §§ hindrar inte att 1. uppgift i den nationella läkemedelslistan lämnas enligt lagen (2018:1212) om nationell läkemedelslista till hälso- och sjukvårdspersonal som har behörighet att förskriva läkemedel eller andra varor, en sjuksköterska utan behörighet att förskriva läkemedel eller andra varor, en

534

dietist, en farmaceut i hälso- och sjukvården eller till expedierande personal på öppenvårdsapotek, 2. uppgift lämnas enligt lagen (2016:526) om behandling av personuppgifter i ärenden om licens för läkemedel till öppenvårdsapotek eller den som är behörig att förordna läkemedel, 3. uppgift om förordnande och expediering av läkemedel för behandling av djur lämnas till expedierande personal på öppenvårdsapotek , 4. uppgifter lämnas enligt 2 kap. 3 § lagen (20XX:00) om nationell infrastruktur och tjänster för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet till sådana enskilda vårdgivare som har anslutit sina system för elektronisk journalföring till de register och it-funktioner som avses i den lagen, och 5. uppgifter görs elektroniskt tillgängliga för enskilda vårdgivare i den statliga tillgångstjänst som avses i 2 kap 4 § lagen om nationell infrastruktur och tjänster för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet.

Paragrafen innehåller sekretessbrytande bestämmelser vad gäller E-hälsomyndighetens verksamhet. Sekretess gäller enligt 25 kap. 17 a § offentlighets- och sekretesslagen (2009:400), OSL, hos E-hälsomyndigheten för uppgift om en enskilds hälsotillstånd eller andra personliga förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående lider men. Sekretess gäller enligt 25 kap. 17 b § OSL hos E-hälsomyndigheten även för uppgift om en enskilds affärs- eller driftsförhållanden, om det kan antas att den enskilde lider skada om uppgiften röjs. Enligt huvudregeln i 8 kap. 1 § OSL får uppgift för vilken sekretess gäller enligt OSL inte röjas för enskilda eller för andra myndigheter, om inte annat anges i OSL eller i lag eller förordning som OSL hänvisar till. Sådant undantag ges i 25 kap. 17 c § OSL. Av den nya fjärde punkten följer att hälso- och sjukvårdssekretessen hos E-hälsomyndigheten inte hindrar att uppgifter från de register och it-funktioner som myndigheten, i egenskap av ansvarig myndigheten enligt den angivna lagen, lämnas till sådana vårdgivare som omfattas krav på att ansluta eller på annat sätt använda ifrågavarande register och it-funktioner (se 2 kap. 2 och 3 §§ i den föreslagna nya lagen). Av den nya femte punkten framgår att hälso- och sjukvårdssekretessen hos E-hälsomyndigheten inte heller hindrar att

535

uppgifter görs elektroniskt tillgängliga i den statliga tillgångstjänsten för sådana vårdgivare som får använda den. Det är Ehälsomyndigheten som, enligt förslag, ska tillhandahålla den statliga tillgångstjänsten (se 2 kap. 4 § i den föreslagna nya lagen). Övervägandena finns i avsnitt 10.2

26 kap.

1 a §

Sekretess gäller hos en myndighet som bedriver verksamhet som avses i 1 § för uppgift om en enskilds personliga förhållanden som gjorts tillgänglig av en vårdgivare eller en annan omsorgsgivare enligt lagen (2022:913) om sammanhållen vård- och omsorgsdokumentation, om inte förutsättningarna enligt 3 kap. 2 eller 4 § samma lag för att myndigheten ska få behandla uppgiften är uppfyllda. Om de förutsättningar som anges i första stycket är uppfyllda eller myndigheten har behandlat uppgiften enligt 3 kap. 2 eller 4 § lagen om sammanhållen vård- och omsorgsdokumentation tidigare, gäller sekretess, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men. Sekretessen gäller inte om annat följer av 5, 6 eller 7 §. För uppgift i en allmän handling gäller sekretessen i högst sjuttio år.

Paragrafen reglerar sekretess hos en myndighet som bedriver verksamhet som avses i 26 kap. 1 § för uppgift om en enskilds personliga förhållanden i ett elektroniskt system som möjliggör tillgång till personuppgifter från andra omsorgsgivare eller vårdgivare genom regleringen i lagen om sammanhållen vård- och omsorgsdokumentation. Förarbeten till paragrafen finns i prop. 2021/22:177 s. 229 f. I likhet med bestämmelsen i 25 kap. 2 § OSL innebär förevarande paragraf att absolut sekretess gäller hos en myndighet som bedriver verksamhet inom socialtjänst och därmed jämställd verksamhet för uppgift som gjorts tillgänglig av en annan vårdgivare eller en omsorgsgivare enligt SVOD, antingen genom direktåtkomst eller annat elektroniskt utlämnande. Uttrycken vårdgivare och omsorgsgivare förklaras i 1 kap. 1 § nämnda lag.

536

På motsvarande sätt som för 25 kap. 2 § görs i förevarande paragraf en ändring till följd av den nya regleringen om vårdgivares elektroniska informationsutbyte enligt 6 kap. PDL. Eftersom regleringen i SVOD därmed kommer att reglera enbart tillgängliggörande av uppgifter omsorgsgivare sinsemellan och mellan omsorgsgivare och vårdgivare görs en smärre justering i första stycket för att tydliggöra den nya omfattningen sammanhållen vårdoch omsorgsdokumentation.

Övervägandena finns i avsnitt 10.3

Ikraftträdande

Denna lag träder i kraft den 26 mars 2029.

Av bestämmelsen framgår att lagen träder i kraft den 26 mars 2029. Övervägandena finns i avsnitt 12.4.

537

14.6 Förslaget till lag om ändring i lagen (2018:1212) om nationell läkemedelslista

2 kap.

1 §

3 kap.

8 §

I den utsträckning det behövs för ändamålen enligt 2–5 §§ får den nationella läkemedelslistan innehålla följande uppgifter: 1. förskriven vara, mängd och dosering, aktiv substans, läkemedelsform, styrka, administreringssätt, läkemedelsbehandlingens längd, behandlingsändamål och datum för förskrivning,

538

2. patientens namn, personnummer, samordningsnummer eller annan identitetsbeteckning , folkbokföringsort och postnumret i patientens bostadsadress, 3. förskrivarens namn, yrke, specialitet, arbetsplats, arbetsplatskod och förskrivarkod, 4. ordinationsorsak, 5. senaste datum för när läkemedelsbehandlingen ska följas upp eller avslutas, 6. expedierad vara, mängd och dosering, datum för expediering, expedierande apotek, expedierande farmaceut och uppgift om att farmaceuten har motsatt sig utbyte av ett förskrivet läkemedel och skälen för det, 7. kostnad, kostnadsreducering enligt lagen (2002:160) om läkemedelsförmåner m.m. och kostnadsfrihet enligt smittskyddslagen (2004:168), 8. andra uppgifter som krävs i samband med en förskrivning eller en expediering, 9. uppgift om samtycke och om spärrade uppgifter, och 10. uppgift om fullmakt.

EHDS-förordningens krav i artikel 13.3 innebär att registreringen av den fysiska personens identifieringsuppgifter i försäkringssmedlemsstaten även måste vara möjlig i samband med en elektronisk förskrivning eller elektronisk expedition. Det innebär att även annan identitetsbeteckning än personnummer och samordningsnummer ska kunna registreras i den nationella läkemedelslistan. Bestämmelserna i punkten 2 ändras på så sätt att den nationella läkemedelslistan även får innehålla uppgifter om annan identitetsbeteckning. Övervägandena finns i avsnitt 4.2.

4 kap.

1 §

Behandling av personuppgifter som är tillåten enligt denna lag får utföras även om den registrerade inte har lämnat sitt samtycke till behandlingen. Den registrerades samtycke krävs för behandling av uppgifter om fullmakter för ändamålet i 3 kap. 2 § 3. Patientens samtycke krävs för behandling av uppgifter om en patient som får dosdispenserade läkemedel för

539

ändamålet i 3 kap. 2 § 1. Patientens samtycke krävs även i de fall som avses i 3 kap. 7 § andra stycket.

Hänvisningarna i andra stycket ändras till följd av att kraven på samtycke för behörig personals direktåtkomst till uppgifter i den nationella läkemedelslistan tas bort. Jämför med kommentarerna till

4 kap. 5 § och 5 kap. 1–5 §§. Övervägandena finns i avsnitt 6.5.

3 §

Efter begäran av en patient ska E-hälsomyndigheten spärra uppgifterna i den nationella läkemedelslistan för direktåtkomst såvitt gäller ändamålen i 3 kap. 3 och 4 §§. Ett barns vårdnadshavare har inte rätt att få uppgifter om barnet spärrade. En spärr enligt första stycket hindrar inte sådan behandling av personuppgifter som avses i 5 kap. 3 § andra stycket , 4 och 5 §§ Det får inte framgå av den nationella läkemedelslistan att det finns spärrade uppgifter om patienten.

I första stycket tas begränsningarna av patientens rätt spärra expedierande personals direktåtkomst bort. I tredje stycket införs en följdändring på grund av att ett stycke i 5 kap. 3 § upphävs. Det införs ett nytt fjärde stycke om att direktåtkomsten för hälsooch sjukvårdspersonal inte får avse uppgiften om att det finns spärrade uppgifter. Övervägandena finns i avsnitt 7.4.

4 a §

Det följer av artikel 8 i EU:s förordning om det europeiska hälsodataområdet att vårdgivaren ska informera patienten om att begränsad tillgång till dokumenterade uppgifter om patienten kan påverka tillhandahållandet av hälso- och sjukvård till honom eller henne.

Paragrafen, som är ny, innehåller en upplysningsbestämmelse om att vårdgivare ska informera patienter om rätten till att begränsa hälso-

540

och sjukvårdspersonals elektroniska tillgång till patientens uppgifter (spärr) och de patientsäkerhetsrisker som kan följa med en sådan begränsning. Övervägandena finns i avsnitt 7.5.

5 §

En spärr enligt 3 § första stycket ska hävas av E-hälsomyndigheten endast om patienten begär det.

Paragrafen ändras på så vis att en spärr ska hävas om en patient begär det, inte för att patienten samtycker till det. En användning av ordet samtycke i detta sammanhang är missvisande. När det gäller att ta bort en begränsning av elektronisk tillgång till uppgifter om patienter (spärr) handlar det om ett initiativ från patienten, dvs. en begäran. Övervägandena finns i avsnitt 7.4.5 (jfr avsnitt 7.3.1).

5 kap.

1 §

Direktåtkomst till uppgifter i den nationella läkemedelslistan får ges till expedierande personal på öppenvårdsapotek för det ändamål som anges i 3 kap. 3 §. Direktåtkomst för ändamål som anges i 3 kap. 3 § 1 får i fråga om uppgifter om förskrivningar endast avse förskrivningar som registrerats i den nationella läkemedelslistan inom de senaste 24 månaderna.

Första stycket ändras på så sätt att samtycke inte längre ska vara ett villkor för expedierande personals direktåtkomst. Andra stycket upphävs. I stycket fanns bestämmelser om krav på samtycke för direktåtkomst för uppgift om ordinationsorsak. I andra stycket införs, med viss ändrad lydelse, bestämmelsen som fanns paragrafens tidigare tredje stycket . I bestämmelsen regleras en tidsbegränsning för direktåtkomst för ändamålet

541

expediering av läkemedel och andra varor som förskrivits (3 kap. 3 § 1 NLL). För direktåtkomst för ändamålet att underlätta patientens läkemedelsanvändning (3 kap. 3 § 2 NLL) gäller fortsatt ingen tidsbegränsning. Hänvisningen i stycket till paragrafens första stycket justeras så att någon ändring av innebörden av bestämmelsen inte uppstår. Övervägandena finns i avsnitt 6.5.

3 §

Direktåtkomst till uppgifter i den nationella läkemedelslistan får ges till 1. hälso- och sjukvårdspersonal som har behörighet att förskriva läkemedel eller andra varor, för de ändamål som anges i 3 kap. 4 §, och 2. sjuksköterska utan behörighet att förskriva läkemedel eller andra varor, dietist och farmaceut i hälso- och sjukvården, för de ändamål som anges i 3 kap. 4 § 2 och 3. Direktåtkomst enligt första stycket får ges till uppgifter om en patient som får dosdispenserade läkemedel, även om det finns spärrade uppgifter.

I första stycket är kravet på samtycke borttaget. Något krav på samtycke för direktåtkomst till uppgifter i den nationella läkemedelslistan krävs inte längre. Andra stycket innehöll tidigare en bestämmelse om att direktåtkomst omfattar även uppgiften om att det finns spärrade uppgifter. Att det finns spärrade uppgifter ska inte längre vara synliga i läkemedelslistan. I andra stycket finns i stället bestämmelsen i paragrafens tidigare tredje stycke. Bestämmelsen är ändrad, vad gäller villkoren för åtkomst till uppgifter om dosdispenserade uppgifter. Direktåtkomsten ska vara tillåten även om det finns spärrade uppgifter. Övervägandena finns i avsnitt 6.5 och 7.4.3.

4 §

Direktåtkomst till uppgiften i den nationella läkemedelslistan om förskrivningar av narkotiska eller andra särskilda läkemedel till en patient får,

542

även om det finns spärrade uppgifter. för de ändamål som anges i 3 kap. 4 § ges till hälso- och sjukvårdspersonal ges till hälso- och sjukvårdspersonal som har behörighet att förskriva läkemedel. Direktåtkomst enligt första stycket får endast avse uppgift som är hänförlig till förskrivningar som registrerats i den nationella läkemedelslistan inom de senaste 24 månaderna.

Första stycket ändras på två sätt. För det första tas kravet på samtycke bort eftersom kravet på samtycke för direktåtkomst till uppgifter i den nationella läkemedelslistan utmönstras från NLL. För det andra anpassas bestämmelsen till att uppgifter om att det finns spärrade uppgifter inte får synas i läkemedelslistan (4 kap. 3 § NLL). Direktåtkomst är tillåten till uppgifter om förskrivningar av narkotiska eller andra särskilda läkemedel till en patient, även om det finns spärrade uppgifter. Andra stycket är oförändrat. Övervägandena finns i avsnitten 6.5 och 7.4.4.

5 §

En spärr enligt 4 kap. 3 § första stycket hindrar inte att direktåtkomst ges till hälso- och sjukvårdspersonal, som har behörighet att förskriva läkemedel och sjuksköterska utan sådan behörighet, för de ändamål som anges i 3 kap. 4 §, om 1. patientens liv är i fara eller en allvarlig risk för hans eller hennes hälsa föreligger, och 2. patienten saknar förmåga att själv begära att spärren ska hävas.

Paragrafen, som har en ny lydelse, reglerar direktåtkomst till uppgifter i den nationella läkemedelslistan vid en nödsituation för patienten trots förekomsten av spärr. Av bestämmelsen framgår att det krävs att patientens liv är i fara eller att det föreligger en allvarlig risk för hälsan, och att patienten i den situationen saknar förmåga att själv begära att spärren ska hävas. Detta innebär att patientens autonomi respekteras även i akuta situationer, om han eller hon är beslutskapabel. Genom att begränsa möjligheten att häva spärren till mycket allvarliga situationer och

543

endast när patienten inte kan agera själv, förstärks skyddet för patientens personliga integritet. En spärr ska hävas om en patient begär det – inte för att patienten samtycker till det. En användning av ordet samtycke i detta sammanhang är missvisande. När det gäller att ta bort en begränsning av tillgång (spärr) så handlar det om ett initiativ från patienten, d.v.s. en begäran. Jämför kommentaren till 4 kap. 5 §. Övervägandena finns i avsnitt 7.4.5 .

6 kap.

Uppgifter som ska tillgängliggöras i det europeiska formatet för utbyte

9 §

Uppgifter enligt 1 och 2 §§, som utgör göra prioriterade kategorier av hälsodata med personuppgifter enligt artikel 14 EU:s förordning om det europeiska hälsodataområdet, ska av E-hälsomyndigheten tillgängliggöras och tas emot i det europeiska format för utbyte av elektronisk hälsodokumentation som avses i artikel 15 i EU:s förordning om det europeiska hälsodataområdet och enligt föreskrifter som meddelas enligt denna lag.

Paragrafen och dess rubriken är ny. I paragrafen regleras att när E-hälsomyndigheten tillgängliggöra eller tar emot uppgifter enligt 1 och 2 §§ och uppgifterna utgör prioriterade kategorier av hälsodata enligt artikel 14 EHDS-förordningen, ska myndigheten använda det europeiska formatet för utbyte av elektronisk hälsodokumentation. E-hälsomyndigheten ska även tillämpa föreskrifter som anger formatkrav. Övervägandena finns i avsnitt 5.4.

9 kap.

1 §

Den som bedriver verksamhet inom hälso- och sjukvården som innefattar ordination och förskrivning av läkemedel eller andra varor ska

544

1. ha ett elektroniskt system som gör det möjligt att få direktåtkomst till uppgifter i den nationella läkemedelslistan, och 2. vid en elektronisk förskrivning lämna de uppgifter till den nationella läkemedelslistan som anges i 3 kap. 8 §. Uppgifter enligt första stycket, som utgör prioriterade kategorier av hälsodata med personuppgifter enligt EU:s förordning om det europeiska hälsodataområdet, ska av vårdgivare tillgängliggöras och tas emot i det europeiska format för utbyte av elektronisk hälso-dokumentation som avses i artikel 15 i EU:s förordning om det europeiska hälsodataområdet och enligt föreskrifter som meddelas enligt denna lag.

Bestämmelsen i andra stycket är ny. Den som bedriver verksamhet inom hälso- och sjukvården ska kunna ta emot och lämna ut prioriterade kategorier av hälsodata enligt EHDS-förordningen till den nationella läkemedelslistan i det europeiska formatet för utbyte av elektronisk hälsodokumentation. Vårdgivaren ska även tillämpa föreskrifter som anger formatkrav. Motsvarande reglering återfinns i 6 kap. 6 § PDL och 2 kap. 6 § lagen (2009:366) om handel med läkemedel avseende öppenvårdsapoteken. Övervägandena finns i avsnitt 5.4.

10 kap.

3 §

Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om 1. hur ordinationsorsak enligt 3 kap. 8 § ska registreras och redovisas, 2. hur skyldigheten att lämna och ta emot uppgifter enligt 9 kap. 1 § ska fullgöras, och 3. tekniska och organisatoriska krav på säkerhet vid fullgörandet av skyldigheten att lämna och ta emot uppgifter enligt 9 kap. 1 §.

Bestämmelserna i punkterna 2 och 3 är nya. Regeringen eller den myndighet regeringen bestämmer får bemyndigande att föreskriva krav på den som ska lämna ut till och ta emot uppgifter från den nationella läkemedelslistan. I punkten 2 införs ett bemyndigande avseende hur skyldigheten att lämna och ta emot uppgifter ska

545

fullgöras. Det kan handla om att regeringen eller den myndighet som regeringen bestämmer meddelar föreskrifter om t.ex. vilka uppgifter som ska lämnas och om specificeringar avseende det format som ska användas vid utlämnande och mottagande av uppgifterna. Motsvarande bemyndigande finns i 2 kap. 11 b § första punkten lagen om handel med läkemedel och 6 kap. 12 § PDL. I punkten 3 införs ett bemyndigande avseende att regeringen eller den myndighet som regeringen bestämmer får föreskriva om tekniska och organisatoriska krav på säkerhet hos den som bedriver verksamhet på hälso- och sjukvårdens område i samband med att de uppfyller skyldigheten att lämna uppgifter till och ta emot uppgifter från den nationella läkemedelslistan. Motsvarande bemyndigande finns i 4 kap. 4 § lagen om nationell infrastruktur och tjänster för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet och 2 kap. 11 b § andra punkten lagen om handel med läkemedel. Övervägandena finns i avsnitt 5.6.

Ikraftträdande

Denna lag träder i kraft den 26 mars 2029.

546

14.7 Förslaget till lag om ändring av lagen (2022:913) om sammanhållen vård- och omsorgsdokumentation

1 kap.

1 §

I denna lag används följande uttryck med nedan angiven betydelse

Uttryck Betydelse

--- ---

Sammanhållen vård- och omsorgs- Ett elektroniskt system som dokumentation. gör det möjligt för 1. en vårdgivare att ge eller få tillgång, genom direktåtkomst eller annat elektroniskt utlämnande, till personuppgifter hos omsorgsgivare, och 2. en omsorgsgivare att ge eller få tillgång, genom direktåtkomst eller annat elektroniskt utlämnande, till personuppgifter hos vårdgivare eller andra omsorgsgivare . --- ---

Paragrafen innehåller definitioner av vissa centrala uttryck i lagen om sammanhållen vård- och omsorgsdokumentation (SVOD). Definitionen av sammanhållen vård- och omsorgsdokumentation ändras för att anpassas till lagens förändrade tillämpningsområde. Till följd av EHDS-förordningens bestämmelser ändras reglerna om delning av hälsodata mellan vårdgivare. De nya reglerna om obligatoriskt utbyte av hälsodata mellan vårdgivare regleras i 6 kap. patientdatalagen (2008:355), PDL. Detsamma gäller för vårdgivares frivilliga utbyte av elektroniska hälsodata med andra vårdgivare. Bestämmelser i förevarande lag om vårdgivares elektroniska informationsutbyte med andra vårdgivare utmönstras. I lagen regleras i stället enbart vårdgivares möjlighet att ge omsorgsgivare

547

elektronisk tillgång till patienters uppgifter. Därutöver regleras, i likhet med tidigare, elektroniskt informationsutbyte omsorgsgivare sinsemellan. . Uttrycket sammanhållen vård- och omsorgsdokumentation omfattar således fortsättningsvis utbyte av personuppgifter mellan vårdgivare och omsorgsgivare samt mellan olika omsorgsgivare. Övervägandena finns i avsnitt 5.10.

2 §

Denna lag innehåller bestämmelser som kompletterar EU:s dataskyddsförordning, patientdatalagen (2008:355), lagen (2001:454) om behandling av personuppgifter inom socialtjänsten och föreskrifter som har meddelats i anslutning till dessa lagar. Vid behandling av personuppgifter enligt denna lag gäller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen. I patientdatalagen (2008:355) finns bestämmelser om vårdgivares elektroniska informationsutbyte med andra vårdgivare.

I paragrafen anges lagens förhållande till annan dataskyddsreglering. Paragrafen ändras genom ett nytt sista stycke med en upplysning om att det finns bestämmelser om vårdgivares elektroniska informationsutbyte med andra vårdgivare i PDL. Överväganden finns i avsnitt 5.10.

2 kap.

1 §

En vårdgivare får, under de förutsättningar som anges i 2–4 och 6 §§ och 3 kap. 1 och 3 §§, ges tillgång, genom direktåtkomst eller annat elektroniskt utlämnande, till personuppgifter som behandlas av en omsorgsgivare. En omsorgsgivare får, under de förutsättningar som anges i 2–4 och 6 §§ och 3 kap. 2 och 4 §§, ges tillgång, genom direktåtkomst eller annat elektroniskt

548

utlämnande, till personuppgifter som behandlas av vårdgivare eller av andra omsorgsgivare. Tillgången enligt första och andra styckena får bara avse personuppgifter som behandlas 1. för ändamål som anges i 2 kap. 4 § första stycket 1 och 2 patientdatalagen (2008:355), eller 2. för att ansvara för eller utföra insatser eller för administration av sådana insatser eller sådan dokumentation som avses i 1 kap. 3 § andra stycket.

Paragrafen beskriver möjligheten till utbyte av personuppgifter som behandlas av vårdgivare och omsorgsgivare inom ramen för sammanhållen vård- och omsorgsdokumentation. Paragrafens ändras för att anpassa den till lagens ändrade tillämpningsområde. Vårdgivares elektroniska informationsutbyte med andra vårdgivare regleras fortsättningsvis inte i SVOD, utan i PDL. Paragrafens första stycke delas upp i två. Det första stycket beskriver de övergripande förutsättningarna för vårdgivares möjlighet att tillgängliggöra personuppgifter för omsorgsgivare Det andra stycket beskriver de övergripande förutsättningarna för omsorgsgivares möjlighet att tillgängliggöra personuppgifter för vårdgivare eller andra omsorgsgivare. Det nya, tredje stycket innehåller bestämmelsen som tidigare fanns i andra stycket. Bestämmelsen ändras endast på så vis att en hänvisning även till andra stycket införs. Förarbetena till dessa bestämmelser finns i prop. 2021/22:177 s.

66 ff. och 82 ff. Övervägandena finns i avsnitt 5.10.

2 §

Innan uppgifter om en patient görs tillgängliga för omsorgsgivare ska patienten av vårdgivaren informeras om 1. vad sammanhållen vård- och omsorgsdokumentation innebär, och 2. möjligheten att motsätta sig att uppgifter görs tillgängliga för omsorgsgivare genom sådan dokumentation. Innan uppgifter om en omsorgsmottagare görs tillgängliga för vårdgivare eller andra omsorgsgivare ska omsorgsmottagaren av omsorgsgivare informeras om

549

1. vad sammanhållen vård- och omsorgsdokumentation innebär, och 2. möjligheten att motsätta sig att uppgifter görs tillgängliga för vårdgivare eller andra omsorgsgivare genom sådan dokumentation.

Paragrafen innehåller bestämmelser om information som ska lämnas till en patient eller omsorgsmottagare innan personuppgifter får tillgängliggöras. Paragrafens första stycke ändras för att anpassas till lagens ändrade tillämpningsområde, dvs. till att bestämmelser om vårdgivares elektroniska informationsutbyte med andra vårdgivare fortsättningsvis inte längre regleras i SVOD, utan i PDL. Det första stycket delas upp i två. Det första stycket anger förutsättningarna för att vårdgivare ska få tillgängliggöra personuppgifter för omsorgsgivare. Nuvarande andra stycket upphävs. Det reglerar information till patienten inför att en vårdgivare tillgängliggör uppgifter om patienten för andra vårdgivare. Sådant informationsutbyte regleras inte längre i SVOD. I det nya andra stycket anges i stället förutsättningarna för att omsorgsgivare ska få tillgängliggöra personuppgifter för vårdgivare eller andra omsorgsgivare. Detta stycke ersätter det andra stycket i befintlig paragraf. Förarbetena till dessa bestämmelser finns i prop. 2021/22:177 s. 87 ff. Övervägandena finns i avsnitt 5.10.

3 §

Om en patient motsätter sig det, får uppgifter om patienten inte göras tillgängliga för omsorgsgivare. I sådant fall ska uppgifterna genast spärras av vårdgivaren. En vårdnadshavare för ett barn får dock inte motsätta sig att uppgifter om barnet görs tillgängliga för omsorgsgivare. Om en omsorgsmottagare motsätter sig det, får uppgifter om omsorgsmottagaren inte göras tillgängliga för vårdgivare eller andra omsorgsgivare. I sådant fall ska uppgifterna genast spärras av omsorgsgivaren. En vårdnadshavare för ett barn får dock inte motsätta sig att uppgifter om barnet görs tillgängliga för vårdgivare eller andra omsorgsgivare. En patient eller en omsorgsmottagare kan när som helst begära att den vårdgivare eller omsorgsgivare som har spärrat uppgifterna häver spärren.

550

Paragrafen innehåller bestämmelser om att uppgifter om patienten eller omsorgsmottagaren inte får göras tillgängliga genom sammanhållen vård- och omsorgsdokumentation, om en patient eller en omsorgsmottagare motsätter sig det. Paragrafens första stycke ändras för att anpassas till lagens ändrade tillämpningsområde, dvs. att vårdgivares elektroniska informationsutbyte med andra vårdgivare fortsättningsvis inte regleras i SVOD, utan i PDL. Första och andra styckena delas upp så att patienters och omsorgstagares respektive inställning till tillgängliggörande av uppgifter behandlas var för sig. Det första stycket innehåller en bestämmelse om att en vårdgivare inte får tillgängliggöra en patients uppgifter för on omsorgsgivare om patienten motsätter sig det. Det andra stycket reglerar att en vårdnadshavare inte får motsätta sig att vårdgivaren tillgängliggör uppgifter om barnet för omsorgsgivare. Tredje stycket innehåller en ny bestämmelse om att en omsorgsgivare inte får tillgängliggöra en omsorgsmottagares uppgifter för vårdgivare eller för andra omsorgsgivare om patienten motsätter sig det. Det nya fjärde stycket reglerar att en vårdnadshavare inte får motsätta sig att omsorgsgivaren tillgängliggör uppgifter om barnet för vårdgivare eller andra omsorgsgivare. Det nya femte stycket innehåller den bestämmelse som tidigare fanns i tredje stycket. Bestämmelsen är oförändrad. Förarbetena till paragrafen finns i prop. 2021/22:177, s. 91 ff. Övervägandena finns i 5.10 och 7.2.3.

4 §

Ospärrade uppgifter om en patient eller en omsorgsmottagare ska göras tillgängliga för de vårdgivare eller omsorgsgivare som är anslutna till sammanhållen vård- och omsorgsdokumentation. Om det finns ospärrade uppgifter om patienten, ska det föras in en uppgift om detta. Omsorgsgivare ska kunna ta del av denna uppgift utan att ta del av uppgiften om vilken vårdgivare som har gjort uppgiften tillgänglig eller av de ospärrade uppgifternas innehåll.

551

Om det finns ospärrade uppgifter om omsorgsmottagaren, ska det föras in en uppgift om detta. Vårdgivare eller andra omsorgsgivare ska kunna ta del av denna uppgift utan att ta del av uppgiften om vilken omsorgsgivare som har gjort uppgiften tillgänglig eller av de ospärrade uppgifternas innehåll.

Paragrafen innehåller bestämmelser om tillgängliggörandet av ospärrade personuppgifter för de vårdgivare eller omsorgsgivare som är anslutna till den sammanhållna vård- och omsorgsdokumentationen. Första stycket ändras inte. Paragrafens andra stycke delas upp i två och bestämmelsen ändras för att anpassas till lagens ändrade tillämpningsområde, dvs. att vårdgivares elektroniska informationsutbyte med andra vårdgivare fortsättningsvis inte regleras i SVOD, utan i PDL. Den nya bestämmelsen i andra stycket reglerar tillgängliggörande av ospärrade uppgifter om en patient. Det nya tredje stycket reglerar tillgängliggörandet av uppgifter om omsorgsmottagare. Förarbetena till paragrafen finns i prop. 2021/22:177, s. 96 ff. Övervägandena finns i avsnitt 5.10.

6 §

En vårdgivare får tillgängliggöra uppgifter om en patient, som inte endast tillfälligt saknar förmåga att ta ställning enligt 3 § första stycket, för omsorgsgivare som är anslutna till sammanhållen vård- och omsorgsdokumentation, om 1. patientens inställning till sådan behandling av personuppgifter så långt som möjligt har klarlagts, och 2. det inte finns anledning att anta att patienten skulle ha motsatt sig behandlingen av personuppgifterna. En omsorgsgivare får tillgängliggöra uppgifter om en omsorgsmottagare, som inte endast tillfälligt saknar förmåga att ta ställning enligt 3 § första stycket, för vårdgivare eller andra omsorgsgivare som är anslutna till sammanhållen vård- och omsorgsdokumentation, om 1. omsorgsmottagarens inställning till sådan behandling av personuppgifter så långt som möjligt har klarlagts, och 2. det inte finns anledning att anta att omsorgsmottagaren skulle ha motsatt sig behandlingen av personuppgifterna.

552

Paragrafen innehåller bestämmelser om förutsättningar för tillgängliggörande av uppgifter om en patient eller en omsorgstagare som inte endast tillfälligt saknar förmåga att ta ställning till att uppgifterna tillgängliggörs. Paragrafen anpassas till lagens ändrade tillämpningsområde, dvs. att vårdgivares elektroniska informationsutbyte med andra vårdgivare fortsättningsvis inte regleras i SVOD, utan i PDL. Bestämmelserna delas in i två stycken. Första stycket reglerar förutsättningarna för att en vårdgivare ska få tillgängliggöra uppgifter för en omsorgsgivare om en patient, som inte endast tillfälligt saknar förmåga att ta ställning till detta. Andra stycket reglerar förutsättningarna för att en omsorgsgivare ska få tillgängliggöra uppgifter om en omsorgsmottagare för vårdgivare eller andra omsorgsgivare, om omsorgsmottagaren inte endast tillfälligt saknar förmåga att ta ställning till detta. Förarbetena till bestämmelsen finns i prop. 2021/22:177, s. 101 ff. Överväganden finns i avsnitt 5.10.

3 kap.

1 §

En vårdgivare får behandla uppgifter som en omsorgsgivare har gjort tillgängliga enligt 2 kap. 4 eller 6 § om 1. uppgifterna rör en patient som det finns en aktuell patientrelation med, 2. patienten samtycker till det, och 3. uppgifterna kan antas ha betydelse a) för att inom hälso- och sjukvården förebygga, utreda eller behandla sjukdomar och skador hos patienten, utföra insatser enligt lagen (2019:1297) om koordineringsinsatser för sjukskrivna patienter eller bedöma behovet av sådana insatser, eller b) vid utfärdande av ett sådant intyg som avses i 3 kap. 16 § patientdatalagen (2008:355). I fall som avses i första stycket 3 b gäller detta också när uppgifterna avser någon som det tidigare har funnits en patientrelation till.

553

Patientens samtycke krävs inte om denne är ett barn som inte självt kan samtycka.

I paragrafen regleras när en vårdgivare, som är ansluten till ett system med sammanhållen vård- och omsorgsdokumentation, får behandla en omsorgsgivares ospärrade uppgifter om en patient. Paragrafens första stycke ändras på sätt att den anpassas till lagens nya tillämpningsområde, dvs. att vårdgivares elektroniska informationsutbyte med andra vårdgivare inte regleras i SVOD, utan i PDL. Paragrafens andra och tredje stycke ändras inte. Förarbetena till bestämmelsen finns i prop. 2021/22:177, 106 ff. Överväganden finns i avsnitt 5.10.

3 §

En vårdgivare får ta del av uppgift om vilka omsorgsgivare som har gjort uppgifter tillgängliga enligt 2 kap. 4 eller 6 § om en patient inte endast tillfälligt saknar förmåga att lämna samtycke enligt 1 § första stycket 2. Vårdgivaren får i en sådan situation behandla också de uppgifter som avses i 2 kap. 4 eller 6 §, om 1. vårdgivaren bedömer att dessa kan antas ha betydelse för den vård som är nödvändig med hänsyn till patientens hälsotillstånd, 2. patientens inställning till sådan behandling av personuppgifter så långt som möjligt har klarlagts, och 3. det inte finns anledning att anta att patienten skulle ha motsatt sig behandlingen av personuppgifterna.

Paragrafen reglerar under vilka förutsättningar en vårdgivare får ta del av uppgift om vilka omsorgsgivare som har gjort uppgifter tillgängliga då en patient inte endast tillfälligt saknar förmåga att lämna samtycke. Paragrafens första stycke ändras på sätt att den anpassas till lagens nya tillämpningsområde, dvs. att vårdgivares elektroniska informationsutbyte med andra vårdgivare inte regleras i SVOD, utan i PDL. Paragrafens andra stycke ändras inte. Förarbetena till bestämmelsen finns i prop. 2021/22:177, s. 119 ff. Överväganden finns i avsnitt 5.10.

554

7 §

En vårdgivare får inte behandla omsorgsgivares uppgifter om en omsorgsmottagare under andra förutsättningar än dem som anges i 1–6 §§, även omsorgsmottagaren uttryckligen samtycker till det. En omsorgsgivare får inte behandla en vårdgivares eller annan omsorgsgivares uppgifter om en omsorgsmottagare under andra förutsättningar än dem som anges i 1–6 §§, även eller omsorgsmottagaren uttryckligen samtycker till det.

Regleringen av sammanhållen vård- och omsorgsdokumentation är uttömmande vad gäller möjligheterna för vårdgivare och omsorgsgivare att behandla personuppgifter genom sådan dokumentation. Om förutsättningarna inte är uppfyllda är behandlingen inte tillåten, även om patienten eller omsorgstagaren uttryckligen samtycker till det. Paragrafen delas in i två stycken, och bestämmelsen ändras på sätt att den anpassas till lagens nya tillämpningsområde, dvs. att vårdgivares elektroniska informationsutbyte med andra vårdgivare inte regleras i SVOD, utan i PDL. I första stycket regleras en vårdgivares förutsättningar att behandla personuppgifter inom ramen för sammanhållen vård- och omsorgsdokumentation. I andra stycket regleras motsvarande för omsorgsgivare. Förarbetena till bestämmelsen finns i prop. 2021/22:177, s. 128. Överväganden finns i 5.10.

4 kap.

1 §

555

Personuppgiftsansvaret omfattar även sådan behandling av personuppgifter som utförs när en vårdgivare genom direktåtkomst eller annat elektroniskt utlämnande i ett enskilt fall bereder sig tillgång till personuppgifter hos en omsorgsgivare. Personuppgiftsansvaret omfattar även sådan behandling av personuppgifter som utförs när en omsorgsgivare genom direktåtkomst eller annat elektroniskt utlämnande i ett enskilt fall bereder sig tillgång till personuppgifter hos en vårdgivare eller annan omsorgsgivare. I 2 kap. 6 § och 6 kap. patientdatalagen (2008:355) finns särskilda bestämmelser om personuppgiftsansvar Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om vem som ska ha personuppgiftsansvar för övergripande frågor om tekniska och organisatoriska säkerhetsåtgärder vid sammanhållen vård- och omsorgsdokumentation.

Paragrafen reglerar personuppgiftsansvar vid sammanhållen vårdoch omsorgsdokumentation. I paragrafen finns också ett bemyndigande för regeringen eller den myndighet som regeringen bestämmer att få meddela föreskrifter. Första stycket ändras inte. Bestämmelsen i andra stycke delas upp i två och anpassas till lagens nya tillämpningsområde, d.v.s. att vårdgivares elektroniska informationsutbyte med andra vårdgivare inte regleras i SVOD, utan i PDL. Ett nytt fjärde stycke införs en upplysningsbestämmelse med hänvisnig till särskilda bestämmelser om personuppgiftsansvar i 2 kap. 6 § och 6 kap. PDL. I det nya femte stycket finns ett oförändrat föreskriftsbemyndigande som tidigare fanns i paragrafens tredje stycke.. Förarbetena till bestämmelsen finns i prop. 2021/22:177, s. 130 ff. Överväganden finns i avsnitten 5.10 och 9.21.

Omsorgsmottagarens elektroniska tillgång till dokumentation

2 §

En omsorgsgivare får medge en omsorgsmottagare tillgång, genom direktåtkomst eller annat elektroniskt utlämnande, till sådana uppgifter om

556

omsorgsmottagaren själv som får lämnas ut till honom eller henne och som en vårdgivare eller omsorgsgivare får ha tillgång till enligt 2 kap. 4 §. Omsorgsmottagaren får också medges tillgång, genom direktåtkomst eller annat elektroniskt utlämnande, till sådan dokumentation som avses i 4 § första och tredje styckena. Tillgång enligt första stycket första meningen får dock inte medges till sådana uppgifter som en vårdgivare eller omsorgsgivare får ha tillgång till enligt 2 kap. 6 §. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela närmare föreskrifter om de krav på säkerhetsåtgärder som ska gälla vid sådan direktåtkomst eller annat elektroniskt utlämnande som avses i första stycket. I 5 kap. 5 § patientdatalagen (2008:355) finns det bestämmelser om patientens tillgång, genom direktåtkomst eller annat elektroniskt utlämnande, till uppgifter hos vårdgivare om patienten själv.

Paragrafen reglerar en omsorgsmottagares elektroniska tillgång till uppgifter om honom eller henne. Rubriken närmast före paragrafen och det första stycket ändras för att anpassas till lagens nya tillämpningsområde, d.v.s. till att bestämmelser om vårdgivares elektroniska informationsutbyte med andra vårdgivare inte ska regleras i SVOD, utan i PDL. En patients elektroniska tillgång till uppgifter om honom eller henne regleras fortsättningsvis enbart i PDL. Andra till tredje stycket ändras inte. I fjärde stycket stryks ordet ytterligare. Förarbetena till bestämmelsen finns i prop. 2021/22:177, s. 137 ff. Överväganden finns i avsnitt 5.10.

Ikraftträdande

Denna lag träder i kraft den 26 mars 2029.

557

Bilaga 1 Direktiv - Uppdrag att möjliggöra en nationell digital infrastruktur för hälsodata

Uppdrag att möjliggöra en nationell digital infrastruktur för hälsodata

Sammanfattning

En utredare får i uppdrag att analysera och föreslå åtgärder som möjliggör en nationell digital infrastruktur för hela hälso- och sjukvården. Hälsodata blir tillgängliga i hela vårdkedjan för både hälso- och sjukvård och tandvård.

Syftet är att öka kvaliteten i vården och förbättra patientsäkerheten samt att den administrativa bördan för vårdpersonalen ska minska. Utredaren ska även analysera och ta fram förslag kopplade till en kommande

EU-förordning om ett europeiskt hälsodataområde (EHDS). Syftet är att påbörja arbetet med att förbereda införandet av EHDS. Utredaren ska bl.a.

558

• analysera och ta ställning till om det behövs kompletterande reglering för E-hälsomyndigheten och vårdgivarnas behandling av personuppgifter inom ramen för den nationella digitala infrastrukturen, och i så fall föreslå en sådan reglering, • analysera och föreslå en eller flera myndigheter som ska utgöra organ med ansvar för tillgång till hälsodata samt en nationell kontaktpunkt när det gäller sekundäranvändning av hälsodata, • beräkna kostnaderna för genomförandet av EHDS i sin helhet och lämna förslag till finansiering, och • lämna nödvändiga författningsförslag.

En första delredovisning av uppdraget ska lämnas senast den 31 mars 2024. I den delredovisningen ska utredaren beräkna kostnaderna och lämna förslag på finansiering för genomförandet av EHDS i sin helhet. En andra delredovisning ska lämnas senast den 1 juni 2024. I den andra delredovisningen ska utredaren analysera och föreslå en eller flera myndigheter som ska utgöra organ med ansvar för tillgång till hälsodata samt en nationell kontaktpunkt i den gränsöverskridande infrastrukturen för sekundäranvändning av hälsodata. Uppdraget ska slutredovisas senast den 22 januari 2026.

Uppdraget att möjliggöra förbättrad informationsförsörjning inom hälso- och sjukvården inklusive tandvården

Det saknas för närvarande en nationell digital infrastruktur som omfattar samtliga vårdgivare som berörs av hälso- och sjukvårdslagen (2017:30) och tandvårdslagen (1985:125). Avsaknaden av en gemensam digital infrastruktur för hälsodata och brist på styrning och samordning har lett till åtskilliga separata lösningar runt om i landet, vilket försvårar kommunikationen mellan olika it-system. Det innebär att nödvändiga uppgifter inte alltid följer med patienten i olika kontakter med vården. I Coronakommissionens (S 2020:09) första delbetänkande Äldreomsorgen under pandemin (SOU 2020:80) påtalar kommissionen att avsaknaden av en patientcentrerad sammanhållen

559

journalföring är ett allvarligt patientsäkerhetsproblem. Det kan också innebära att patienten behöver upprepa sin sjukdomshistoria för flera vårdgivare eller genomgå samma undersökningar flera gånger. Det betyder vidare att hälso- och sjukvårdspersonal ibland behöver lägga onödig tid på att samla in uppgifter från flera källor, dubbeldokumentera och ta om samma prover. Avsaknaden av en gemensam digital infrastruktur hämmar även möjligheterna till uppföljning, forskning, innovation och utveckling på hälso- och sjukvårdens område.

Vikten av en snabb och säker informationsförsörjning blev tydlig under covid-19-pandemin. Coronakommissionen framhåller i sitt slutbetänkande Sverige under pandemin (SOU 2022:10) särskilt vikten av uppdaterade och detaljerade data för att kunna följa pandemins utveckling och som underlag för att ta fram träffsäkra åtgärder. Även Riksrevisionen pekar i sin granskning Det nationella smittskyddet – inte anpassat för en storskalig smittspridning (RiR 2023:9), på att åtgärder krävs för att förbättra insamling och hantering av vårddata för att åstadkomma ett mer effektivt smittskydd.

Det osäkra omvärldsläget visar tydligt på behovet av digital infrastruktur som är effektiv, robust och motståndskraftig vid olika typer av kriser.

Regeringen har därför en målsättning om en nationell digital infrastruktur för hälso- och sjukvården där staten tar ett större ansvar. Av Tidöavtalet, som är en politisk överenskommelse mellan Sverigedemokraterna, Moderaterna, Kristdemokraterna och Liberalerna, framgår att hälsodata ska bli tillgängliga i hela vårdkedjan för all vård, såväl kommunal som regional, och för tandvård oavsett huvudman. Den digitala infrastrukturen ska bidra till att öka kvaliteten i vården, att förbättra patientsäkerheten, att stärka patientens ställning och att minska den administrativa bördan för hälso- och sjukvårdens medarbetare.

Med en nationell digital infrastruktur avses det sammanhang av tekniska och organisatoriska resurser som stöder

560

informationsutbytet mellan och inom olika verksamheter och sektorer. En sådan infrastruktur ska bidra till att öka effektiviteten och säkerheten i informationshanteringen och kan bestå av både hård infrastruktur, som kablar och servrar, och mjuk infrastruktur, som standarder, regelverk och gemensam terminologi.

Genom sammanhållen vård- och omsorgsdokumentation ges möjlighet att dela patientuppgifter genom direktåtkomst eller annat elektroniskt utlämnande mellan olika vårdgivare, både inom hälsooch sjukvården och tandvården samt vissa delar av socialtjänsten. Sammanhållen vård- och omsorgsdokumentation regleras i lagen (2022:913) om sammanhållen vård- och omsorgsdokumentation. För att vårdgivare ska kunna göra uppgifter tillgängliga för andra vårdgivare krävs att dessa har kommit överens om att tillämpa bestämmelserna om sammanhållen vård- och omsorgsdokumentation och att patienten har informerats om vad det innebär och inte har motsatt sig att uppgifterna görs tillgängliga. För att en vårdgivare ska få ta del av uppgifter som en annan vårdgivare har gjort tillgängliga krävs också att det finns en aktiv patientrelation, att uppgifterna kan antas ha betydelse för vård och behandling och att patienten samtycker till att vårdgivaren får ta del av uppgifterna.

Av E-hälsomyndighetens slutrapport Sammanhållen Journalföring – Möjligheter till digital informationsförsörjning på hälsodataområdet framgår att vårdgivare inom en region som delar samma vårdinformationssystem har god tillgång till den mesta av informationen om en patient (S2021/03119). I de fall där patienten har kontakt med vårdgivare i olika regioner, eller vårdgivare som inte ingår i samma vårdinformationssystem, är det däremot svårare att rent tekniskt utbyta information. Det betyder att det fortfarande behövs andra system för att utbyta patientinformation mellan regioner med samma leverantör av vårdinformationssystem.

Tandvården har liknande utmaningar som övrig hälso- och sjukvård vad gäller möjligheten att dela uppgifter mellan olika aktörer. Socialstyrelsen uppmärksammar i sin rapport Kartläggning av hinder för samverkan mellan tandvård och hälso- och sjukvård att de

561

juridiska förutsättningarna för samverkan är goda vad gäller möjligheten att dela uppgifter om en patient med dennes samtycke (S2019/00143). Utmaningarna beror snarare på att tandvård och hälso- och sjukvård i hög utsträckning använder journalsystem som inte är kompatibla. Socialstyrelsen understryker i samma rapport behovet av att samverkan och sammanhållna journalsystem mellan tandvård och hälso- och sjukvård beaktas när nya journalsystem och e-tjänster utvecklas och införs.

Det pågår flera initiativ för att skapa en nationell digital infrastruktur och för att kunna dela data inom EU

Regeringen har påbörjat arbetet med att införa en nationell digital infrastruktur. E-hälsomyndigheten har som ett led i det arbetet fått ett uppdrag att ta fram ett förslag till färdplan för genomförandet av en nationell digital infrastruktur för hälso- och sjukvården (S2023/02108). I uppdraget ingår att analysera och presentera vilka förmågor som staten behöver etablera för att bygga upp en väl fungerande nationell digital infrastruktur för hälso- och sjukvården. Det inbegriper att ange vilka förutsättningsskapande komponenter, och vilka stödjande och styrande strukturer som krävs för en sammanhållen digital infrastruktur och i vilken ordning detta bör genomföras. Av uppdraget framgår också att infrastrukturen ska vara ändamålsenlig och kostnadseffektiv samt präglas av höga krav på informations- och cybersäkerhet och värna om skyddet för den personliga integriteten.

Regeringen aviserade i budgetpropositionen 2024 (prop. 2023/24:1 utg.omr. 9 avsnitt 3.5 s. 45) att medel tilldelas E-hälsomyndigheten för att utveckla en nationell digital infrastruktur för hälso- och sjukvården. Den 14 december 2023 beslutade regeringen att tillsätta en samordnare för en nationell digital infrastruktur i hälso- och sjukvården (S 2023:14) (dir. 2023:177).

Samordnaren ska bistå regeringen i arbetet med att införa en nationell digital infrastruktur för hälso- och sjukvården med målet att hälsodata ska bli tillgängliga i hela vårdkedjan för all vård, såväl

562

kommunal som regional, och för tandvård oavsett huvudman. Arbetet ska bedrivas genom att informera om regeringens arbete med nationell digital infrastruktur och föra dialog med berörda aktörer.

Det pågår även intensivt arbetet på EU-nivå vad gäller delning av hälsodata. EHDS ställer bl.a. krav på att varje medlemsland ska dela patientuppgifter när det gäller primäranvändning av hälsodata, dvs. inom hälso- och sjukvården. Vidare ska varje medlemsstat säkerställa att hälso- och sjukvårdspersonal har tillgång till vissa prioriterade kategorier av hälsodata för patienter som de behandlar, oavsett var patienten är bosatt. Tillgången ska säkerställas genom tillgångstjänster för hälso- och sjukvårdspersonal.

Även patienter ska ha tillgång sina egna patientuppgifter via s.k. patientportaler. Varje medlemsstat ska dessutom utse en nationell kontaktpunkt som bl.a. alla vårdgivare ska vara anslutna till. Enligt EHDS ska kravet på delning bli obligatoriskt för medlemsländerna.

E-hälsomyndighetens nuvarande uppdrag och ansvar

E-hälsomyndigheten ansvarar för delar av den nationella infrastrukturen på hälso- och sjukvårdens område. Myndigheten ansvarar för Nationell läkemedelslista, som är den nationella infrastruktur som krävs för att ge vården, öppenvårdsapoteken och patienten tillgång till samma information om förskrivna läkemedel. Den nationella läkemedelslistan regleras i lagen (2018:1212) om nationell läkemedelslista.

E-hälsomyndigheten har också ett samordningsansvar för e-hälsa (förordningen [2013:1031] med instruktion för Ehälsomyndigheten). Myndigheten ska samordna regeringens satsningar på nationell digital infrastruktur för hälso- och sjukvård, tandvård och socialtjänst och bistå regeringen med underlag för utvecklingen av digitaliseringen inom dessa områden. Ehälsomyndigheten ansvarar också särskilt för att fastställa vilka e-

563

hälsospecifikationer som ska vara nationella och gemensamma. Ehälso-specifikationer beskriver hur information ska skapas, användas och utbytas på ett entydigt och säkert sätt, så att informationen lättare kan överföras mellan olika it-system. Ehälsomyndigheten ansvarar också för att tillgängliggöra information om e-hälsospecifikationerna och för att samordna och stödja berörda aktörers arbete med att ta fram och använda sådana specifikationer.

Myndigheten är även nationell kontaktpunkt för e-hälsa inom ramen för ett frivilligt nätverk enligt artikel 14 i Europaparlamentets och rådets direktiv 2011/24/EU av den 9 mars 2011 om tillämpningen av patienträttigheter vid gränsöverskridande hälso- och sjukvård, (patientrörlighetsdirektivet).

Samarbetet syftar till att möjliggöra utbyte av patientrelaterad information mellan medlemsländerna.

Behov av vidare utredning av rättsliga förutsättningar för datadelning

Delar av en nationell digital infrastruktur inom hälso- och sjukvårdens område har tidigare kartlagts i avslutade regeringsuppdrag. I förstudien om en statlig, nationell infrastruktur för bilddiagnostik gör E-hälsomyndigheten bedömningen att det behövs två olika huvudlösningar för att kunna tillgodose de behov som förstudien har identifierat, dels en nationell datadelningstjänst, dels ett patientdataindex för att erbjuda en sökfunktion (S2021/05259). Ett patientdataindex ska möjliggöra en sökfunktion för att kunna hitta patientens alla tidigare undersökningar hos samtliga vårdgivare.

Av E-hälsomyndighetens rapport framgår också att för att ett patientdata- index ska bli en tillförlitlig lösning krävs en lagstadgad uppgiftsskyldighet för vårdgivarna att digitalt och automatiserat rapportera vissa uppgifter om varje relevant vårdkontakt. En sådan

564

sökfunktion kan antingen konstrueras som ett centralt index eller som flera mindre decentraliserade index. Gemensamt för de båda lösningsalternativen är att de kan bygga på och binda samman befintliga lösningar och infrastruktur, en så kallad federerad lösning. En sökfunktion som möjliggör sökning hos alla vårdgivare och på alla patienter har påverkan på dataskyddet och innebär intrång i de registrerades personliga integritet. E-hälsomyndigheten pekar därför i rapporten på behovet av vidare utredning av de rättsliga förutsättningarna.

Även frågor om sekretess aktualiseras i arbetet med att möjliggöra en nationell digital infrastruktur. Enligt 25 kap. 1 § offentlighetsoch sekretesslagen (2009:400), OSL, omfattas uppgifter om enskilds hälsotillstånd eller andra personliga förhållanden av sekretess hos offentliga vårdgivare om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men. Sekretess hindrar dock inte att en uppgift lämnas till en annan myndighet, om uppgiftsskyldighet följer av lag eller förordning (10 kap. 28 § OSL). För privata vårdgivare finns bestämmelser om tystnadsplikt och undantag från tystnadsplikten i 6 kap. 12 § patientsäkerhetslagen (2010:659). I Ehälsomyndighetens verksamhet gäller sekretess för uppgift om en enskilds hälsotillstånd eller andra personliga förhållanden om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men (25 kap. 17 a § OSL). I 25 kap. 17 c § OSL finns en sekretessbrytande bestämmelse som anger att sekretessen enligt 25 kap. 17 a och 17 b §§ OSL inte hindrar att Ehälsomyndigheten lämnar ut uppgifter i vissa situationer. För att möjliggöra ett effektivt informationsutbyte i den nationella digitala infrastrukturen, som inte enbart avser vissa situationer, bör därför en analys göras för att säkerställa ändamålsenliga bestämmelser om sekretess, inbegripet sekretessbrytande bestämmelser. I analysen bör det beaktas att en aggregerad mängd uppgifter kan utgöra sådan skyddsvärd information som behöver ges särskilt skydd, exempelvis genom olika typer av informations säkerhetsåtgärder.

Sammanfattningsvis pågår ett omfattande EU-gemensamt arbete och ett arbete på nationell nivå för att vidareutveckla den nationella

565

infrastrukturen inom hälso- och sjukvårdens och tandvårdens område. Därför behöver de rättsliga förutsättningarna för behandling av personuppgifter i den nationella digitala infrastrukturen analyseras.

Utredaren ska därför

• kartlägga behandlingen av personuppgifter inom ramen för den nationella digitala infrastrukturen, inbegripet vårdgivarnas personuppgiftsbehandling samt E-hälsomyndighetens roll i infrastrukturen, • analysera och ta ställning till om det behövs kompletterande reglering för E-hälsomyndigheten och vårdgivarnas behandling av personuppgifter inom ramen för den nationella digitala infrastrukturen, och i så fall föreslå en sådan reglering, • beakta behovet av informations- och cybersäkerhet samt skydd för den personliga integriteten och göra en integritetsanalys, • analysera de rättsliga förutsättningarna för att tillgången till uppgifter i den nationella digitala infrastrukturen ska kunna säkras och vid behov föreslå en skyldighet för vårdgivarna att lämna uppgifter inom ramen för den nationella digitala infrastrukturen,

• analysera och ta ställning till om det finns behov av nya eller ändrade sekretessbestämmelser för E-hälsomyndigheten och vårdgivare och då även beakta insynsintresset samt behovet av sekretessbrytande bestämmelser, • göra en analys av hur de förslag som lämnas förhåller sig till intresset av sekretesskydd för enskildas personliga förhållanden, och • lämna nödvändiga författningsförslag.

Vid genomförandet av uppdraget ska utredaren jämföra relevanta nordiska länders reglering av infrastruktur för delning av hälsodata inom hälso- och sjukvården inklusive tandvården.

566

Uppdraget att förbereda för det europeiska hälsodataområdet

Det pågår ett omfattande arbete inom EU för att möjliggöra ökad användning av hälsodata. Europeiska kommissionen lämnade den 3 maj 2022 ett förslag till Europaparlamentets och rådets förordning om ett europeiskt hälsodataområde (COM(2022) 197 final), förkortad EHDS. Syftet med förslaget är att öka tillgång till och delning av hälsodata både inom hälso- och sjukvården (primäranvändning) och för exempelvis forskning, innovation och beslutsfattande (sekundäranvändning).

EHDS innebär bl.a. att varje medlemsstat ska utse en eller flera e-hälsomyndigheter med vissa utpekade arbetsuppgifter avseende primäranvändningen av hälsodata och utse ett eller flera organ som har ansvar för tillgång till hälsodata och vissa utpekade arbetsuppgifter avseende sekundäranvändningen av hälsodata. Varje medlemsstat ska också utse en nationell kontaktpunkt för den gränsöverskridande infrastrukturen för primäranvändningen och en nationell kontaktpunkt för den gränsöver- skridande infrastrukturen för sekundäranvändningen. Varje medlemsstat ska även utse en marknadskontrollmyndighet för elektroniska journalsystem.

Styrning och krav gällande sekundäranvändning av hälsodata

Enligt EHDS ska den nationella kontaktpunkten för sekundäranvändning av hälsodata stödja den gränsöverskridande samverkan. EHDS ställer också krav på att organet med ansvar för tillgång till hälsodata bl.a. ska ta emot och pröva ansökningar om tillstånd för sekundäranvändning av hälsodata. När tillstånd har beviljats ska tillgången till hälsodata ges i en säker behandlingsmiljö. För att få kunskap om vilka hälsodata som finns tillgängliga för sekundäranvändning i en medlemsstat ska organet med ansvar för tillgång till hälsodata tillgängliggöra en nationell datasetskatalog som ska innehålla information om tillgängliga data och deras karaktär. Organet ska även vidta åtgärder vid bristande efterlevnad. Sverige har för närvarande inte någon central tillståndsprocess för tillgång till hälsodata och det finns således inte heller någon

567

myndighet som har i uppgift att ta emot ansökningar och besluta om tillstånd för tillgång till hälsodata. Det finns inte heller några krav på att tillgång till hälsodata ska ges i säkra behandlingsmiljöer, även om sådana miljöer finns. Exempelvis har Statistiska centralbyrån (förkortad SCB) sedan flera år tillbaka utvecklat en plattform och säkra behandlingsmiljöer för tillgängliggörande av mikrodata, MONA (Microdata Online Access). I MONA kan dataanvändare göra bearbetningar via internet utan att mikrodata lämnar SCB.

Sverige har inte heller någon heltäckande nationell katalog som innehåller information om tillgängliga data från datainnehavare. Vetenskapsrådet administrerar RUT (Register Utiliser Tool) som är ett webbaserat metadataverktyg där forskare kan söka och kombinera metadata från bl.a. svenska myndighetsregister och kvalitetsregister samt biobanksprov- samlingar. RUT är inte heltäckande men innehåller metadata från flertalet register och informationen uppdateras kontinuerligt med metadata från nya register.

Eftersom flera arbetsuppgifter som följer av EHDS när det gäller sekundäranvändning av hälsodata är nya i en svensk kontext finns det behov av att analysera hur dessa arbetsuppgifter ska organiseras på ett ändamålsenligt och kostnadseffektivt sätt. Ett sådant behov har även identifierats av Utredningen om sekundäranvändning av hälsodata (S 2022:04), som i en promemoria till regeringen har pekat på behoven av tydlighet och vidare utredning vad gäller rollfördelning av arbetsuppgifter kopplade till kraven som gäller sekundäranvändning av hälsodata i EHDS (S2023/02111).

Utredaren ska därför

• analysera och föreslå en eller flera myndigheter som ska utgöra organ med ansvar för tillgång till hälsodata samt en nationell kontaktpunkt när det gäller sekundäranvändning av hälsodata.

Vid genomförandet av analysen ska fokus vara på handläggning av ansökningar om tillstånd för sekundäranvändning, tillhandahållandet av säkra behandlingsmiljöer, tillgängliggörandet

568

av en nationell datasetskatalog samt åtgärder vid bristande efterlevnad av regelverket. Förslagen ska vara ändamålsenliga och kostnadseffektiva, vilket bl.a. inbegriper att såväl befintliga roller, arbetsuppgifter och infrastrukturer som eventuella synergier med planerad infrastruktur ska beaktas. Även eventuella intressekonflikter kopplade till ansvar, roller och arbetsuppgifter när det gäller hälsodata ska analyseras och beaktas.

Kostnaderna för genomförande av förslaget i sin helhet

EHDS kommer att få budgetära konsekvenser för att uppfylla kraven avseende både primär- och sekundäranvändning av hälsodata. Det pågår ett förberedande arbete i EU inom ramen för EU:s finansieringsprogram för hälsofrågor och inom programmet för ett digitalt Europa. Flera projekt pågår där medlemsstater kan söka medel för sitt förberedelsearbete gällande EHDS, men dessa bidrag kommer inte att täcka alla kostnader på nationell nivå. I takt med att Sverige behöver anpassa sig till kraven i EHDS krävs en fördjupad beräkning av såväl statens som andra aktörers kostnader för genomförandet av förslaget. Beräkningen ska utgå ifrån ett kostnadseffektivt genomförande och även inkludera en analys av risker som kan öka kostnaderna för genomförandet.

Utredaren ska därför

• beräkna kostnader för genomförandet av EHDS i sin helhet och lämna förslag på finansiering.

Konsekvensbeskrivningar

Utredaren ska redovisa förslagens konsekvenser i enlighet med 14– 15 a §§ kommittéförordningen (1998:1474). I 14 kap. 3 § regeringsformen anges att en inskränkning av den kommunala självstyrelsen inte bör gå utöver vad som är nödvändigt med hänsyn till ändamålen. Om något av förslagen påverkar den

569

kommunala självstyrelsen ska därför, utöver förslagets konsekvenser, de särskilda avvägningar som lett fram till förslaget särskilt redovisas.

Kontakter och redovisning av uppdraget

Utredaren ska ha en nära dialog med E-hälsomyndigheten och följa E-hälsomyndighetens pågående uppdrag och arbeten. Utredaren ska även ha en nära dialog med Myndigheten för digital förvaltning, Folkhälsomyndigheten, Läkemedelsverket, Socialstyrelsen, Integritetsskyddsmyndigheten, Statistiska Centralbyrån och Vetenskapsrådet. Utredaren ska inhämta synpunkter från kommuner, regioner, forskningsorganisationer, Sveriges Kommuner och Regioner, branschföreträdare och andra berörda privata och offentliga aktörer.

Utredaren ska även beakta relevanta pågående och avslutade utredningar såsom Utredningen om infrastruktur för hälsodata som nationellt intresse (S 2022:10), Utredningen om sekundäranvändning av hälsodata (S 2022:04) och Utredningen om e-recept och patientöversikter inom EES (S 2020:10). Dessutom ska utredaren följa utvecklingen vad gäller EHDS samt i sin analys beakta kommande krav som följer direkt av förslaget till EUförordning i syfte att undvika dubbelreglering.

Uppdraget ska delredovisas senast den 31 mars 2024 i fråga om att beräkna kostnaderna för genomförandet av EHDS i sin helhet, och senast den 1 juni 2024 i fråga om att analysera och föreslå en eller flera myndigheter som ska utgöra organ med ansvar för tillgång till hälsodata och en nationell kontaktpunkt i den gränsöverskridande infrastrukturen för sekundäranvändning av hälsodata. Uppdraget ska slutredovisas senast den 22 januari 2026.

570

Bilaga 2 Direktiv - Ändrat uppdrag om att möjliggöra en nationell digital infrastruktur för hälsodata

Uppdrag om att möjliggöra en nationell digital infrastruktur för hälsodata (S 2024:A)

Ändrat uppdrag om att möjliggöra en nationell digital infrastruktur för hälsodata

Regeringskansliet beslutade den 22 januari 2024 att ge en utredare i uppdrag att biträda Socialdepartementet med att dels analysera och föreslå åtgärder som möjliggör en nationell digital infrastruktur för hälsodata, dels analysera och ta fram förslag kopplade till den kommande EU-förordningen om det europeiska hälsodataområdet, EHDS (S2024/00100). Uppdraget skulle slutredovisas senast den 22 januari 2026. En första och andra delredovisning lämnades den 31 mars 2024 respektive den 1 juni 2024 i frågor kopplade till EHDS.

Regeringskansliet ändrar uppdraget i enlighet med vad som anges i bilagan. Uppdragstiden förlängs. Uppdraget ska i stället slutredovisas senast den 1 april 2026. En tredje delredovisning ska lämnas senast den 31 mars 2025. I den delredovisningen ska utredaren analysera de rättsliga förutsättningarna för att kunna inrätta en nationell vårdförmedling och lämna nödvändiga författningsförslag. En fjärde delredovisning ska lämnas senast den 30 september 2025. I den delredovisningen ska utredaren analysera och lämna författningsförslag som rör den nationella digitala infrastrukturen samt som rör EHDS bestämmelser om primäranvändning

571

av hälsodata och de övriga bestämmelser i EHDS som föreslås börja gälla två år efter förordningens ikraftträdande. Kostnaderna för uppdraget ska belasta utgiftsområde 1 Rikets styrelse, anslaget 4:1 Regeringskansliet m.m., anslagsposten 1 Till Regeringskansliets disposition, budgetramen 6 Socialdepartementet. Beslutet har fattats av chefen för Socialdepartementet, statsrådet Forssmed.

Ändring i uppdraget

Utredarens uppdrag utökas. Utredaren ska även analysera de rättsliga förutsättningarna för att kunna inrätta en nationell vårdförmedling med särskilt fokus på en nationell katalog över vårdgivare och utförare av socialtjänst. Utredaren ska även analysera och ta ställning till vilka anpassningar av nationell rätt som är nödvändiga respektive lämpliga att göra med anledning av EU:s förslag till förordning om det europeiska hälsodataområdet (EHDS) som förväntas antas inom kort.

Uppdraget att analysera de rättsliga förutsättningarna för en nationell vårdförmedling

En del i den framväxande nationella digitala infrastrukturen är inrättandet av en nationell vårdförmedling. Syftet med en nationell vårdförmedling är att tillgängliggöra hela landets vårdkapacitet för patienter i behov av vård och att förkorta väntetiderna inom hälso- och sjukvården. Genom en nationell vårdförmedling kommer väntande patienter kunna erbjudas vård hos en annan vårdgivare med kortare väntetider oavsett var i landet denna vårdgivare finns. Det är en komplex process och regeringen har tagit flera initiativ och beslutat flera uppdrag på området (S2022/01372, S2023/02117, S2023/02118 och S2023/02119).

Den 22 juni 2023 beslutade regeringen att ändra E-hälsomyndighetens pågående uppdrag att genomföra en förstudie om ett nationellt vårdsöksystem på så sätt att myndigheten bl.a. ska ta fram och tillhandahålla en infrastruktur för ett nationellt vårdsöksystem (S2022/01372). Vårdsöksystemet ska på sikt möjliggöra för regioner och vårdgivare som har avtal med regioner, inbegripet deras olika funktioner såsom vårdlotsar, att söka efter andra vårdgivare i landet som snabbare kan utföra den vård som väntande patienter är i behov av. Den grundläggande informationsmängden i ett vårdsöksystem är uppgifter om vårdgivare och vård-

572

utbud. Regeringen gav därför den 22 juni 2023 E-hälsomyndigheten i uppdrag att ta fram en nationell katalog över vårdgivare och utförare av socialtjänst (S2023/02118). Den nationella katalogen över vårdgivare och utförare av socialtjänst ska omfatta samtliga vårdgivare och utförare av hälso- och sjukvård i Sverige. Informationen i katalogen ska kunna tillhandahållas till myndigheter, aktörer inom hälso- och sjukvården och socialtjänsten samt andra berörda. Beroende på aktörernas roll och behov kan tillgången till uppgifterna se olika ut. Den nationella katalogen är en viktig del både för att skapa en mer enhetlig och gemensam nationell digital infrastruktur och för inrättandet av en nationell vårdförmedling. I avvaktan på att dessa långsiktiga och nationellt heltäckande initiativ kommer på plats gav regeringen den 22 juni 2023 E-hälsomyndigheten och Socialstyrelsen i uppdrag att omgående genomföra insatser som stödjer och stärker regionernas arbete med att möjliggöra för patienter som väntar på operation eller annan behandling att få vården utförd på annat håll i landet hos vårdgivare med ledig kapacitet eller kortare väntetider (S2023/02119). Den 22 juni 2023 fick E-hälsomyndigheten och Socialstyrelsen även i uppdrag att ta fram en sammanhållen nationell plan för nationell vårdförmedling. Myndigheterna ska identifiera eventuella ytterligare utmaningar i fråga om nationell vårdförmedling och lämna förslag på statliga insatser som kan bidra till att stödja, effektivisera och förenkla regionernas och vårdgivarnas processer och arbetssätt för att erbjuda patienter vård hos en annan vårdgivare med ledig kapacitet eller kortare väntetider (S2023/02117). Inrättandet av en nationell vårdförmedling är beroende av att det finns ett rättsligt ramverk som bl.a. möjliggör att nödvändiga uppgifter kan delas inom ramen för vårdförmedlingen. En särskilt viktig del av detta är den nationella katalogen över vårdgivare och utförare av socialtjänst (S2023/02118). Utredaren ska därför • analysera de rättsliga förutsättningarna för att kunna inrätta en nationell vårdförmedling med särskilt fokus på en nationell katalog över vårdgivare och utförare av socialtjänst, och • lämna nödvändiga författningsförslag.

Inom ramen för denna del av uppdraget ska utredaren ha en nära och löpande dialog med E-hälsomyndigheten och Socialstyrelsen.

573

Uppdraget att anpassa svensk rätt till förslaget om förordning om det europeiska hälsodataområdet

Inom kort förväntas EU besluta om förslaget till förordning om det europeiska hälsodataområdet (EHDS). Förordningen kommer sannolikt att träda i kraft under hösten 2024 och vissa bestämmelser ska börja tillämpas redan två år efter ikraftträdandet. Flertalet bestämmelser ska dock tillämpas fyra respektive sex år efter ikraftträdandet.

Förordningen kommer att vara direkt tillämplig i medlemsstaterna, vilket innebär att befintliga lagar och förordningar behöver ses över och vid behov anpassas. Förordningen kommer även i vissa fall ge möjlighet till eller förutsätta kompletterande nationella bestämmelser. Utredaren ska därför • analysera och ta ställning till vilka anpassningar av nationell rätt som är nödvändiga respektive lämpliga med anledning av EHDS, och • lämna nödvändiga författningsförslag.

Inom ramen för denna analys finns det frågor som behöver uppmärksammas särskilt. Dessa beskrivs närmare nedan.

Rättigheter och skyldigheter avseende primäranvändning av hälsodata

EHDS kommer att ställa krav på att vissa s.k. prioriterade datakategorier ska registreras och kunna utbytas för primäranvändning av hälsodata. För primäranvändning ger förordningen även patienter vissa rättigheter avseende hantering av sin hälsodata. Medlemsstaterna ska säkerställa att hälso- och sjukvårdspersonal har tillgång till hälsodata för de patienter de vårdar och patienter ska ha tillgång till sina hälsodata. Tillgång ska ges genom s.k. tillgångstjänster, som ska etableras i varje medlemsstat. Genom tillgångstjänster ska patienter kunna utöva sina rättigheter enligt förordningen. Bestämmelserna om rättigheter för patienter ställer i vissa delar krav på kompletterande bestämmelser i nationell rätt. Medlemsstaterna ska t.ex. etablera tjänster för samt reglera ombuds och vårdnadshavares tillgång till patientens hälsodata, reglera begränsning av åtkomst och reglera åtkomst till hälsodata för olika yrkeskategorier inom hälso- och sjukvården.

574

EHDS ger en rätt för patienter att föra in uppgifter i sin patientjournal, vilken ska kunna utövas genom tillgångstjänsterna för patienter eller applikationer som är länkade till dessa. Förordningen innehåller även vissa bestämmelser för s.k. hälsoappar, däribland att sådana appar endast får användas som en del av ett s.k. EHR-system (electronic health record system) givet vissa förutsättningar som anges i förordningen. EHDS ger medlemsstaterna möjlighet att reglera en rätt för patienten att motsätta sig åtkomst till sina hälsodata, en s.k. opt-out, inom ramen för de tillgångstjänster som medlemsstaterna ska etablera. Syftet med en optout är att stärka patientens inflytande över att dennes hälsodata delas. Utredaren ska därför • analysera och ta ställning till hur tillgångstjänster för patienter ska etableras och regleras i Sverige, inklusive ansvarsförhållandena för delning av hälsodata och annan information inom ramen för sådana tillgångstjänster, • analysera och ta ställning till hur nationell rätt behöver anpassas för att uppfylla kraven avseende patientens rättighet att föra in information i sin patientjournal, inklusive hur hälsoappar inom hälso- och sjukvården ska regleras, • analysera och ta ställning till hur patientens rätt att motsätta sig delning av hälsodata, en s.k. opt-out, ska regleras i nationell rätt, • analysera och ta ställning till hur nationell rätt i övrigt behöver anpassas för att uppfylla kraven avseende patientens rättigheter, och • lämna nödvändiga författningsförslag.

Som ett led i arbetet med en nationell digital infrastruktur i statlig regi för hälso- och sjukvården bör utgångspunkten vara att E-hälsomyndigheten även ansvarar för etablering av tillgångstjänster för patienter.

Rättigheter och skyldigheter avseende sekundäranvändning av hälsodata

EHDS kommer att ställa krav på att hälsodatainnehavare ska tillgängliggöra vissa datakategorier för sekundäranvändning av hälsodata efter en centraliserad ansökningsprocess. EHDS kommer även i vissa fall ge möjlighet till kompletterande bestämmelser i nationell rätt avseende sekundäranvändning av hälsodata. En sådan möjlighet är t.ex. att nationellt etablera och reglera s.k. intermediationstjänster med uppgiften att tillgängliggöra

575

hälsodata för sekundäranvändning, i stället för att datainnehavaren gör det. En sådan tjänst skulle kunna minska de administrativa bördorna för vissa datainnehavare, i synnerhet för mindre vårdgivare och de utförare av socialtjänst som kan komma att omfattas av förslaget. En sådan tjänst skulle även kunna minska administrationen för de som nyttjar hälsodata för sekundäranvändning. EHDS föreskriver att medlemsstaterna ska ta fram kompletterande bestämmelser i nationell rätt avseende vissa skyldigheter för dataanvändaren och datainnehavaren respektive rättigheter för personer. Det rör t.ex. skyldigheten att informera om betydande kliniska upptäckter som kan påverka en persons hälsa. I sådana situationer ställer förordningen krav på att det ska finnas villkor i nationell rätt för hur informationen ska ges, antingen direkt till berörd person eller till dennes hälso- och sjukvårdspersonal. Personer ska enligt bestämmelserna även ha rätt att begära att inte bli informerad om betydande kliniska upptäckter om dennes hälsa. EHDS föreskriver även en rätt för personer att motsätta sig att deras hälsodata behandlas för sekundäranvändning, en så kallad opt-out. För att möjliggöra denna rätt ställs krav på medlemsstaterna att tillhandahålla en tillgänglig och lättbegriplig opt-out-mekanism. En sådan opt-out-mekanism kan etableras hos datainnehavaren eller hos behörig myndighet, alternativt hos båda. Utredaren ska därför • analysera och ta ställning till om och, om det bedöms lämpligt, hur intermediationstjänster ska användas och regleras i nationell rätt, • analysera och ta ställning hur de skyldigheter och rättigheter som föreskrivs när det gäller information om betydande kliniska upptäckter avseende en persons hälsa ska regleras i nationell rätt, • analysera och ta ställning till hur rätten för personer att motsätta sig att hälsodata tillgängliggörs för sekundäranvändning, en s.k. opt-out, ska regleras i nationell rätt, och • lämna nödvändiga författningsförslag.

I den del som rör etablering av en intermeditationstjänst är utgångspunkten att E-hälsomyndigheten kan tilldelas en sådan roll för sådana datainnehavare som framgent kommer att vara anslutna till den nationella digitala infrastrukturen. E-hälsomyndigheten fick i juni 2024 uppdraget att bl.a. utreda och konkretisera vad som skulle krävas om myndigheten blir e-hälsomyndighet och nationell kontaktpunkt för primäranvändning enligt EHDS (S2024/01201). I de delar som rör personers rättigheter bör utredaren särskilt analysera möjligheten att nyttja de åtkomststjänster för patienter som ska etableras

576

för primäranvändning så att de även kan nyttjas för rättigheter vad gäller sekundäranvändning av hälsodata. I den del som rör opt-out bör utredaren särskilt beakta möjligheten för personer att kunna utöva den rätten redan hos innehavaren av hälsodata.

Förhållandet till bestämmelser om etikprövning i nationell rätt

Av EHDS framgår att nationella etiska bestämmelser, för det fall sådana gäller, ska beaktas i samband med ansökan och beviljande av datatillstånd. I Sverige krävs etikprövning, enligt lagen (2003:460) om etikprövning av forskning som avser människor, för forskning på känsliga personuppgifter om hälsa. Lagen gäller för forskning som utförs i Sverige. EHDS kommer att ge möjlighet för utländska aktörer att ansöka om datatillstånd hos behörig myndighet i Sverige. Det innebär att även utländska aktörer ska kunna beviljas datatillstånd och därmed ges tillgång till hälsodata för t.ex. forskningsändamål i säkra behandlingsmiljöer i Sverige, avseende forskning som bedrivs utomlands. Utredaren ska därför • analysera och ta ställning till hur EHDS bestämmelser om datatillstånd förhåller sig till nationella bestämmelser om etikprövning och om det krävs anpassningar av nationell rätt, och • lämna nödvändiga författningsförslag.

Inom ramen för denna del av uppdraget ska utredaren särskilt ha en nära och löpande dialog med Etikprövningsmyndigheten och Utredningen om undantag från kravet på etikgodkännande för viss forskning och regleringen av tillsyn i etikprövningslagen (U 2023:C).

Möjligheten att ta ut avgifter för sekundäranvändning av hälsodata och tvister gällande avgifter

Det kommer enligt EHDS vara möjligt för behörig myndighet och datainnehavare att ta ut avgifter för kostnader som uppstår till följd av att hälsodata tillgängliggörs för sekundäranvändning. Det kommer enligt förordningen även att vara möjligt att ha nationella bestämmelser om reducerade avgifter för tillgängliggörande av hälsodata till vissa utpekade dataanvändare, däribland offentliga organ, mindre företag och forskare vid universitet.

577

För det fall datainnehavare och dataanvändare är oense om nivån på avgifterna som behörig myndighet bestämt ska dessa ha tillgång till ett tvistelösningsorgan enligt artikel 10 i Europaparlamentets och rådets förordning (EU) 2023/2854 av den 13 december 2023 om harmoniserade regler för skälig åtkomst till och användning av data och om ändring av förordning (EU) 2017/2394 och direktiv (EU) 2020/1828 (dataförordningen). Utredaren ska därför • analysera och ta ställning till om rätten att ta ut avgifter för kostnader för tillgängliggörandet av hälsodata för sekundäranvändning kräver anpassningar av nationell rätt, • analysera och ta ställning till om det är lämpligt att införa bestämmelser om reducerade avgifter i nationell rätt, • analysera och ta ställning till hur ett tvistelösningsorgan ska organiseras och regleras, och • lämna nödvändiga författningsförslag.

Möjligheten att utse betrodda datainnehavare att hantera och bedöma ansökningar om datatillstånd

Det kommer enligt EHDS finnas en möjlighet för medlemsstater att utse s.k. betrodda datainnehavare att hantera och bedöma ansökningar om datatillstånd när ansökan endast avser hälsodata från den betrodda datainnehavaren. Betrodda datainnehavare ska dock inte ha befogenhet att fatta beslut om datatillstånd då detta är en uppgift för behörig myndighet, dvs. organet med ansvar för tillgång till hälsodata. Möjligheten att utse betrodda datainnehavare kan medföra minskade administrativa bördor och möjliggöra en mer effektiv ansökningsprocess. Utredaren ska därför • analysera och ta ställning till om och, om det bedöms lämpligt, hur nationell rätt ska anpassas för att ge betrodda datainnehavare möjlighet att hantera och bedöma ansökningar om datatillstånd, och • lämna nödvändiga författningsförslag.

Behöriga myndigheter och deras arbetsuppgifter

EHDS innebär en skyldighet för varje medlemsstat att utse behöriga myndigheter i form av en eller flera e-hälsomyndigheter, en marknads-

578

kontrollmyndighet, ett eller flera organ med ansvar för tillgång till hälsodata samt nationella kontaktpunkter för såväl primär- som sekundäranvändningen av hälsodata. Utredaren ska utgå från att E-hälsomyndigheten kommer att tilldelas rollen som e-hälsomyndighet och nationell kontaktpunkt för primäranvändning av hälsodata och att Läkemedelsverket kommer att tilldelas rollen som marknadskontrollmyndighet. Enligt EHDS tilldelas behöriga myndigheter vissa arbetsuppgifter. Även nationell dataskyddsmyndighet tilldelas enligt EHDS vissa nya arbetsuppgifter, däribland arbetsuppgifter avseende patienters rättigheter. EHDS ställer i vissa delar krav på medlemsstaterna, såsom att tillhandahålla digitala testmiljöer för EHR-system. Medlemsstaterna ska även nationellt reglera sanktioner vid överträdelser av förordningen. För att efterleva sådana bestämmelser kan arbetsuppgifter behöva tilldelas lämpliga myndigheter och dessa myndigheter behöver i sin tur ges förutsättningar att utföra de nya uppgifterna. Utredaren ska därför • analysera och ta ställning till vilka anpassningar av nationell rätt och andra åtgärder som krävs för att samtliga behöriga myndigheter ska kunna utföra det som åläggs dem enligt EHDS eller enligt kompletterande nationella bestämmelser, och • lämna nödvändiga författningsförslag.

Om utredaren i den del som rör rollen som e-hälsomyndighet respektive marknadskontrollmyndighet bedömer att vissa arbetsuppgifter av särskilda skäl bör tilldelas andra myndigheter än E-hälsomyndigheten respektive Läkemedelsverket ska detta särskilt motiveras och förslag lämnas.

Informationsutbyte och delning av hälsodata för såväl primäranvändning som sekundäranvändning

EHDS kommer att innehålla krav på utbyte av hälsodata för primär-respektive sekundäranvändning. Vad gäller primäranvändning ska hälsodata göras tillgängliga för hälso- och sjukvårdspersonal inom EU oavsett var patienten bor. Vad gäller sekundäranvändning ska datainnehavare tillgängliggöra hälsodata efter begäran från behörig myndighet. Behörig myndighet ska därefter tillgängliggöra anonymiserade eller pseudonymiserade hälsodata till en dataanvändare i en säker behandlingsmiljö. Behöriga myndigheter ska ha tillgång till information och i vissa fall utbyta information med andra myndigheter, inklusive behöriga myndig-

579

heter i andra länder, och med behöriga deltagare i den gränsöverskridande infrastrukturen samt med kommissionen. Viss information ska även vara offentligt tillgänglig. Kommissionen ska även i genomförandeakter, bl.a. fastställa regler för skydd av personuppgifter och utbyte av hälsodata. För att kunna säkerställa en effektiv tillämpning av EHDS behöver nationella bestämmelser om utbyte av information och delning av hälsodata analyseras i relation till kraven i EHDS, bl.a. utifrån aktuella bestämmelser om sekretess och tystnadsplikt, och vid behov anpassas. Utredaren ska därför • analysera och ta ställning till om det finns behov av nya eller ändrade bestämmelser om sekretess och tystnadsplikt, inklusive bestämmelser som bryter sekretess och tystnadsplikt, för att anpassa nationell rätt till EHDS bestämmelser om utbyte av information och delning av hälsodata, och • lämna nödvändiga författningsförslag.

Utredaren ska särskilt beakta och säkerställa att sådana uppgifter som behöver lämnas till och mellan myndigheter och mellan myndigheter och andra behöriga deltagare i infrastrukturerna ges ett tillräckligt skydd.

Sanktionsbestämmelser och viten

EHDS föreskriver en skyldighet för medlemsstaterna att ta fram nationella bestämmelser om andra sanktioner för överträdelser av förordningen än de som framgår direkt av förordningen och vidta alla nödvändiga åtgärder för att säkerställa att förordningen tillämpas. För sekundäranvändning av hälsodata finns bestämmelser om sanktionsavgifter för bristande regelefterlevnad för datainnehavare och dataanvändare. Enligt bestämmelserna har medlemsstaterna en möjlighet att begränsa rätten för myndigheter att påföra sanktionsavgifter. Enligt EHDS ska behörig myndighet för sekundäranvändning kunna påföra viten, s.k. periodic penalty payment, i enlighet med nationell rätt om datainnehavaren inte tillgängliggör hälsodata efter begäran eller inte respekterar de tidsfrister som gäller för att tillgängliggöra hälsodata. Utredaren ska därför • analysera och ta ställning till vilka ytterligare sanktioner som bör införas för att säkerställa att EHDS tillämpas, • analysera och ta ställning till om möjligheten att påföra sanktionsavgifter ska begränsas för myndigheter,

580

• analysera och ta ställning till hur rätten att påföra datainnehavaren viten, inklusive vilka belopp dessa bör uppgå till, ska införas i nationell rätt, och • lämna nödvändiga författningsförslag.

När förslag om sanktionsbestämmelser lämnas ska särskilt dubbelprövningsförbudet i den europeiska konventionen angående skydd för de mänskliga rättigheterna och de grundläggande friheterna (Europakonventionen) och Europeiska unionens stadga om de grundläggande rättigheterna (stadgan) beaktas. Enligt 2 kap. 19 § regeringsformen får inte lag eller annan föreskrift meddelas i strid med Sveriges åtaganden på grund av konventionen. Eftersom EHDS innehåller flera sanktionsbestämmelser vid bristande regelefterlevnad avseende bestämmelserna om sekundäranvändning ska utredaren särskilt fokusera på sanktionsbestämmelser för primäranvändning av hälsodata.

Allmänna utgångspunkter för uppdraget att anpassa nationell rätt till förordningen om det europeiska hälsodataområdet

Utredaren ska vid sina överväganden noga beakta skyddet för grundläggande fri- och rättigheter, däribland yttrande och informationsfriheten. Utredarens förslag ska i de delar EHDS ställer krav på eller ger möjlighet till nationella bestämmelser i så stor utsträckning som möjligt utgå ifrån befintliga bestämmelser. Möjligheten för hälso- och sjukvården att dela information med vissa delar av socialtjänsten inom ramen för bestämmelserna om sammanhållen vård- och omsorgsdokumentation ska kvarstå. Dessutom är det viktigt att de möjligheter som i dag finns i Sverige för forskning som använder biobanker, databaser, register- och hälsodata kvarstår. Utredarens förslag ska utformas så att de totala regelbördorna och kostnaderna inte ökar mer än nödvändigt. Detta innebär bl.a. att utredaren inte ska lämna förslag i de delar förordningen ger medlemsstaterna en möjlighet att utöka tillämpningsområdet i andra situationer än de som anges särskilt i detta uppdrag. Utredarens förslag ska även utformas så att skyddet av den personliga integriteten värnas och patientsäkerheten inte äventyras. Betänkandena Ombuds tillgång till vård- och omsorgsuppgifter och förenklad behörighetskontroll inom vården (SOU 2021:39) och Elektronisk tillgång till barns uppgifter inom hälso- och sjukvården och tandvården (Ds 2023:26) behandlar frågan om ombuds respektive vårdnadshavares

581

tillgång till uppgifter. I den mån betänkandena innehåller förslag som har beröring med EHDS bör en fördjupad analys av förslagen göras. Detsamma gäller för förslagen i betänkandena E-recept inom EES (SOU 2021:102) och Patientöversikter inom EES och Sverige (SOU 2023:13) gällande utbyte av e-recept och patientöversikter och förslagen i betänkandet Delad hälsodata – dubbel nytta (SOU 2024:33) rörande krav på obligatorisk delning av vissa patientuppgifter och tillsyn. Utredaren får, om det bedöms lämpligt och främjar uppdraget, undersöka hur andra medlemsstater planerar att genomföra förordningen.

Konsekvensbeskrivningar

Utredaren ska beskriva konsekvenserna av förslagen på samma sätt som anges i de ursprungliga direktiven. Det innebär bl.a. att utredaren genomgående ska analysera och bedöma samtliga förslags förenlighet med skyddet för mänskliga rättigheter såsom det kommer till uttryck i bl.a. regeringsformen, Europakonventionen, stadgan och barnkonventionen, samt analysera och bedöma kostnaderna och ta fram finansieringsförslag.

Kontakter

Utredaren ska utöver vad som framgår av de ursprungliga direktiven även ha nära dialog samt inhämta kunskap, erfarenheter och synpunkter från Etikprövningsmyndigheten och Överklagandenämnden för etikprövning.

582

Bilaga 3 Förslag till förordning om nationell infrastruktur och tjänster för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet

Förslag till förordning om nationell infrastruktur och tjänster för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet

Härigenom föreskrivs följande.

1 kap. Inledande bestämmelser

1 § Denna förordning innehåller kompletterande föreskrifter till lagen (2026/00) om nationell infrastruktur och tjänster för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet. Ord och uttryck i förordningen har samma betydelse som i den lag som avses i första stycket.

Ansvarig myndighet

2 § E-hälsomyndigheten är ansvarig myndighet enligt 2 kap. 1 och 4 §§ lagen om nationell infrastruktur och tjänster för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet.

583

2 kap. It-funktioner och register i infrastrukturen

1 § E-hälsomyndigheten ska tillhandahålla åtminstone följande itfunktioner och register i den nationella infrastrukturen för elektroniskt informationsutbyte: 1. Patientdataindex 2. Nationell tjänsteadresseringskatalog 3. Nationell spärrfunktion och nationellt spärregister 4. Nationell företrädarfunktion [och nationellt fullmaktsregister]

2 § E-hälsomyndigheten får tillhandahålla ytterligare it-funktioner och register som är nödvändiga för att uppfylla syftet i 2 kap. 2 § lagen om nationell infrastruktur och tjänster för elektroniskt informationsutbyte på hälso- och sjukvårdsområde.

Patientdataindex

3 § Personuppgifter får behandlas i patientdataindex om det är nödvändigt för att lokalisera vilka vårdgivare som behandlar personuppgifter för vård av en viss patient och i vilket system.

4 § Patientdataindex får innehålla de personuppgifter som behövs för ändamålet enligt 3 § såsom: 1. patientens identifieringsuppgifter, 2. vårdgivarens identitetsbeteckning, och 3. uppgifter om vårdgivarens system.

5 § E-hälsomyndigheten ska på begäran lämna ut uppgifter elektroniskt från patientdataindex till vårdgivare om det behövs för att uppfylla syftet enligt 2 kap 2 § lagen om nationell infrastruktur och tjänster för elektroniskt informationsutbyte på hälso- och sjukvårdsområde.

584

Nationell tjänsteadresseringskatalog

6 § Nationell tjänsteadresseringskatalog ska innehålla sådana digitala adressuppgifter som möjliggör för it-system att upprätta en förbindelse med andra it-system.

Nationell tjänsteadresseringskatalog får inte innehålla personuppgifter.

7 § E-hälsomyndigheten ska lämna ut digitala adressuppgifter elektroniskt från nationell tjänsteadresseringskatalog till vårdgivare om det behövs för att uppfylla syftet enligt 2 kap. 2 § lagen om nationell infrastruktur och tjänster för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet.

Nationell spärrfunktion och nationellt spärregister

8 § Personuppgifter får behandlas i nationella spärrfunktionen och nationella spärregistret om det är nödvändigt för att begränsa tillgängliggörande av eller tillgång till patientens personuppgifter enligt 6 kap. 9 § och 4 kap. 4 § patientdatalagen (2008:355).

9 § Nationellt spärregister får innehålla uppgifter som är eller kan bli tillämpliga för flera vårdgivare och som avser 1. fullständig begränsning av tillgängliggörande enligt 6 kap. 9 § patientdatalagen (2008:355), och 2. begränsning av tillgång enligt 4 kap. 4 § samma lag.

Registret får innehålla de personuppgifter som behövs för ändamålet enligt 8 § såsom: 1. patientens identifieringsuppgifter, och 2. begränsningens omfång och räckvidd.

10 § E-hälsomyndigheten får i nationella spärrfunktionen, utöver de uppgifter som finns i spärregistret, behandla de personuppgifter som behövs för att uppfylla ändamålet i 8 §.

585

11 § E-hälsomyndigheten ska på ett automatiserat sätt lämna ut de uppgifter från nationella spärregistret och nationella spärrfunktionen som behövs för att vårdgivare ska kunna uppfylla sina skyldigheter enligt x kap. x § patientdatalagen (2008:355).

12 § E-hälsomyndigheten ska radera de uppgifter som behandlas i nationella spärrfunktionen när uppgifterna har lämnats ut till vårdgivaren.

[Nationell företrädarfunktion [och nationellt fullmaktsregister]

13 § Personuppgifter får behandlas i nationella företrädarfunktionen [och nationella fullmaktsregistret] om det är nödvändigt för att [utse ombud eller] kontrollera [ombuds och andra] företrädares behörighet.

14 § [Nationellt fullmaktsregisterregister får innehålla de personuppgifter som behövs för ändamålet enligt 13 § såsom: 1. patientens identifieringsuppgifter, 2. ombudets identifieringsuppgifter, och 3. fullmaktens omfång och räckvidd.]

15 § E-hälsomyndigheten får i nationella företrädarfunktionen[, utöver de uppgifter som finns i nationella fullmaktsregistret,] behandla de personuppgifter som behövs för att uppfylla ändamålet i 13 §.

16 § E-hälsomyndigheten ska på begäran lämna ut uppgifter elektroniskt från [nationella fullmaktsregistret och] nationella företrädarfunktionen till de vårdgivare som behöver uppgifterna för att kontrollera [ett ombuds eller] en [annan] företrädares behörighet.

17 § E-hälsomyndigheten ska radera de uppgifter som behandlas i nationella företrädarfunktionen när efterfrågade uppgifter har lämnats ut till vårdgivaren.

586

3 kap. Tillgångstjänst för hälso- och sjukvårdspersonal

1 § E-hälsomyndigheten ska tillhandahålla en tillgångstjänst för hälso- och sjukvårdspersonal enligt 2 kap. 4 § lagen om nationell infrastruktur och tjänster för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet.

2 § E-hälsomyndigheten får behandla de personuppgifter som behövs för att tillhandahålla en tillgångstjänst enligt 1 §.

3 § E-hälsomyndigheten ska på begäran lämna ut uppgifter elektroniskt via tillgångstjänsten för hälso- och sjukvårdspersonal till en vårdgivare om det behövs för att vårdgivaren ska få tillgång till personuppgifter från en annan vårdgivare enligt 4 kap. 1 § andra stycket patientdatalagen.

4 § E-hälsomyndigheten ska radera de uppgifter som behandlas i tillgångstjänsten för hälso- och sjukvårdspersonal när efterfrågade uppgifter har lämnats ut till vårdgivaren.

4 kap. Skyldigheter för vårdgivare

1 § Vårdgivare ska på ett automatiserat sätt till E-hälsomyndigheten lämna de uppgifter om sina patienter som framgår av 2 kap. 4 §. Vårdgivare ska vid varje tidpunkt hålla patientdataindex uppdaterat.

2 § Vårdgivare ska till E-hälsomyndigheten lämna digitala adressuppgifter till vårdgivarens relevanta system. Vårdgivare ska vid varje tidpunkt hålla nationell tjänsteadresseringskatalog uppdaterad.

3 § Vårdgivare ska till E-hälsomyndigheten lämna uppgifter elektroniskt om sådana begränsningar av tillgängliggörande och tillgång som avses i 2 kap. 9 §.

587

4 § Vårdgivare ska till E-hälsomyndigheten lämna de uppgifter som behövs för att myndigheten ska kunna tillhandahålla ytterligare itfunktioner och register enligt 2 kap. 2 §.

5 § Vårdgivare ska ta emot de uppgifter som E-hälsomyndigheten har en skyldighet att lämna ut enligt denna förordning.

Bemyndigande

6 § E-hälsomyndigheten får meddela närmare föreskrifter om vilka uppgifter som vårdgivare ska lämna och ta emot och hur uppgiftsskyldigheten eller mottagandet enligt denna förordning ska fullgöras.

Krav på säkerhet

7 § E-hälsomyndigheten får meddela föreskrifter som avses i 3 kap. 8 § lagen om nationell infrastruktur och tjänster för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet.

Denna förordning träder i kraft den X X 202x.

588

Bilaga 4 Enkät för underlag till konsekvensutredning av nya bestämmelser om delning av hälsodata i vårdkedjan

Del 1. Tillgång till hälsodata i hela vårdkedjan

Regeringens målsättning är att hälsodata ska bli tillgänglig i hela vårdkedjan. Även EHDS-förordningen syftar till att främja användning och delning av hälsodata genom att inrätta ett gemensamt ramverk och en gränsöverskridande infrastruktur för detta ändamål inom hela EU. Genom EHDS införs bestämmelser om att prioriterade kategorier av hälsodata, så som patientöversikter och e-recept, ska tillgängliggöras av alla vårdgivare som registrerar/producerar dessa uppgifter i ett vårdinformationssystem för hälso- och sjukvårdsändamål. Patientöversikter utgörs av 18 viktiga kliniska fakta om en person så som uppgifter om allergier, vaccin, sjukdomshistorik, medicinska ingrepp, aktuella och relevanta tidigare läkemedel. Se bilaga 1 för en fullständig förteckning av de prioriterade kategorierna. Patient och hälso- och sjukvårdspersonal ska kunna ta del av dessa samlat och på ett lättillgängligt sätt i så kallade tillgångstjänster som medlemsstaterna ska säkerställa finns. Förordningen ställer också krav på hur uppgifter ska tillgängliggöras, fler frågor om detta kommer i del 3.

Fråga 1. Det kommer att bli obligatoriskt att tillgängliggöra de prioriterade kategorierna av hälsodata för andra vårdgivare och den

589

samlade informationen ska finnas tillgänglig på en plats (i en så kallad tillgångstjänst). Vilken nytta och vilka besparingar för hälso- och sjukvården ser ni att detta kan innebära? Svar kan anges exempelvis i form av besparing per år.

Del 2. Informationsförsörjning av nationell digital infrastruktur

För att uppnå målsättningen om att göra hälsodata tillgänglig i hela vårdkedjan vill regeringen upprätta en nationell digital infrastruktur för hälso- och sjukvården där staten tar ett större ansvar. Regeringen har gett E- hälsomyndigheten i uppdrag att föreslå hur denna infrastruktur ska se ut. För att delning av hälsodata ska vara möjligt och säker i en vårdkedja, inom en infrastruktur som staten tar ett större ansvar för, krävs anslutning till och informationsförsörjning av ett antal register och tjänster.1 Nedanstående frågor utgår från Ehälsomyndighetens förslag på hur infrastrukturen ska se ut och informationsförsörjas.

2.1 Krav på att ansluta till E-hälsomyndigheten

För att kunna lämna och ta del av uppgifter som möjliggör en säker och effektiv delning av hälsodata mellan vårdgivare föreslår Ehälsomyndigheten i avsnitt 5.3 och bilaga 2 att alla vårdgivare ska ansluta till den nationella digitala infrastrukturen som tillhandahålls av E-hälsomyndigheten via en struktur som skapar tillit till behörighetsgrundande information. En sådan sammanhållen infrastruktur för identitet och behörighet som tas fram av Ehälsomyndigheten och Myndigheten för digital hälsa (Digg)2 föreslås ligga till grund för anslutningen. För att kunna ansluta behöver de säkerhetsmässiga och tekniska krav som ställs, uppfyllas.

Fråga 2. Vilket medel för att uppnå stark autentisering/ flerfaktorsautentisering för all er hälso- och sjukvårdspersonal använder ni idag (t.ex. Ineras lösning med SITHS-kort)? Om ni inte har någon sådan på plats, planerar ni införa det?

590

2.2. Lämna och ta del av uppgifter om spärrar

En patient har idag rättigheten att spärra hälsodata för bland annat hälso- och sjukvårdspersonal. Denna rättighet kommer att kvarstå men anpassas utifrån de krav som ställs i EHDS-förordningen. I den nationella digitala infrastruktur som byggs föreslås att ett nationellt myndighetsregister med uppgifter om spärrar inrättas, se avsnitt 5.8 i E-hälsomyndighetens rapport. I registret ska uppgifter om spärrar som är generella och påverkar alla vårdgivare, så kallade allmänna spärrar, lagras. Vårdgivare föreslås uppdatera det nationella registret i de fall patienten önskar upprätta en allmän spärr.

Vårdgivare ska även genom anslutning till registret kunna ta del av uppgifter om allmänna spärrar från E-hälsomyndigheten. Vidare ska vårdgivare kunna tillämpa lokala spärrar som spärrar vissa uppgifter som bara finns lokalt hos vårdgivaren.

Fråga 3. Enligt förslaget ska vårdgivaren kunna tillämpa lokala spärrar samt kunna tillämpa och ta emot allmänna spärrar från Ehälsomyndigheten. Beskriv hur er verksamhet påverkas av detta förslag och hur ni tror att det kommer skilja sig från det som redan görs idag kring spärrar?

Fråga 4. Beskriv omfattning (ungefärligt hur er miljö anpassas) och resursåtgång (för anpassningen i form av tid, personal, teknisk utveckling och kostnader) för att automatiskt kunna lämna och ta del av uppgifter om allmänna spärrar från E-hälsomyndigheten.

Fråga 5. Vad ser ni för nytta/vinst i att upprätta ett nationellt register med allmänna spärrar hos en myndighet?

2.3. Lämna och ta del av uppgifter om var hälsodata finns

591

I en arkitektur där hälsodata är distribuerad bland väldigt många vårdgivare och system uppstår ett behov av att snabbt kunna veta var information om en patient finns för att begränsa sökningen. Ehälsomyndigheten har därför fått i uppdrag att utveckla ett nationellt patientdataindex (PDI). Vidare har myndigheten fått i uppdrag att etablera och förvalta en nationell tjänsteadresseringskatalog (NTK) med information om anropsadresser till it-system och tekniska tjänster (API:er) som kan anropas för att få tillgång till hälsodata om en aktuell patient. Alla vårdgivare föreslås automatiskt skicka uppdaterade uppgifter till och kunna ta emot uppgifter från PDI om i vilka system det finns hälsodata om en patient, se avsnitt 5.5. i Ehälsomyndighetens rapport. Alla vårdgivare föreslås även automatiskt skicka uppdaterade uppgifter till och kunna ta emot uppgifter från NTK, se avsnitt 5.6 i E-hälsomyndighetens rapport. Fråga 6. Beskriv i vilken omfattning (ungefärligt) er miljö behöver anpassas och vilken resursåtgång för anpassningen (i form av tid, personal, teknisk utveckling och kostnader) som krävs för att automatiserat lämna uppdaterade uppgifter till och kunna ta del av uppgifter från ett nationellt PDI. Utgå i svaret från att ni

a) kan återanvända Inera ABs engagemangsindex för att skicka in uppgifter till nationellt PDI. b) inte kan återanvända Inera ABs engagemangsindex för att skicka in uppgifter till nationellt PDI.

Fråga 7. Beskriv i vilken omfattning (ungefärligt) er miljö behöver anpassas och vilken resursåtgång för anpassningen (i form av tid, personal, teknisk utveckling och kostnader) som krävs för krävs för att automatiserat lämna uppdaterade uppgifter till och kunna ta del av uppgifter från ett nationellt NTK? Utgå i svaret från att ni

a) kan återanvända tjänsteadresseringskatalogen integrerad i Ineras tjänsteplattform för att skicka in uppgifter till nationella NKT. b) inte kan återanvända tjänsteadresserings-katalogen integrerad i Ineras tjänsteplattform för att skicka in uppgifter till nationella NKT.

2.4 Lämna uppgifter om åtkomst

592

Skyldigheten att föra logg enligt 4 kap 3 § PDL anger generellt att åtkomst till sådana uppgifter om patienter som förs helt eller delvis automatiserat ska dokumenteras och kan kontrolleras. Genom EHDS kommer patient ha en rättighet att ta del av loggarna i en så kallad tillgångstjänst för patienter. Regeringen har gett E-hälsomyndigheten i uppdrag att utveckla en sådan tillgängstjänst för patienter3. Myndigheten föreslår att uppgifterna ska delas från vårdgivare till den tillgångstjänst myndigheten tillhandahåller via API:er.

Fråga 8. Beskriv i vilken omfattning (ungefärligt) er miljö behöver anpassas och vilken resursåtgång för anpassningen (i form av tid, personal, teknisk utveckling och kostnader) som krävs för krävs för att automatiserat lämna uppgifter om vem som haft åtkomst till patientens uppgifter (logguppgifter) till E- hälsomyndigheten?

Del 3. Tillgängliggörande av data enligt gemensamt format

I EHDS-förordningen ställs som nämnts ovan krav på att vissa prioriterade kategorier av hälsodata ska tillgängliggöras för andra vårdgivare, oavsett huvudman och finansieringsform, för ändamålet att vårda patient. Av kravet framgår även hur uppgiften ska anges (tekniska och informatiska specifikationer), sammanfattat det europeiska formatet. Eftersom de detaljerade EHDS-formaten ännu inte är fastställda är det inte möjligt att redan idag peka på formaten och specifikationerna som kommer att gälla. Baserat på nuvarande överläggningar kan det tekniska formatet bli HL7 FHIR. Däremot är det mer osäkert hur strukturerad och kodad informationen i de prioriterade kategorierna ska vara. Det troliga är en kombination av fritext samt strukturerad och kodifierad information. I förordningen ställs krav på att elektroniska hälsodokumentationssystem (EHRsystem) ska kunna dela de prioriterade kategorierna av hälsodata enligt det europeiska formatet. E- hälsomyndigheten föreslår att

593

hälsodata (de prioriterade kategorierna) tillgängliggörs direkt mellan vårdgivare via de API:er som EHDS ställer krav på att EHR-system tillhandahåller. Vidare att behörighetsstyrning grundas på ett för ändamålet framtaget tillitsramverk, se avsnitt 2.1 ovan.

Fråga 9. Vilken påverkan på verksamheten och era kostnader (tillexempel pga befintliga avtal/licenser som löper) bedömer ni uppstår till följd av kravet på att vårdgivare ska registrera hälsodata i ett EHRsystem som uppfyller EHDS krav (om att kunna dela de prioriterade kategorierna enligt det europeiska formatet) från mars 2029?

Fråga 10. Beskriv vilken typ av anpassning och eventuella kringkostnader (till exempel förändrade arbetssätt, utbildning, intern teknisk utveckling, informatiskt arbete) ni bedömer tillkommer till följd av kravet på att använda EHR-system som uppfyller de nya kraven på att tillgängliggöra de prioriterade kategorierna med det europeiska formatet.

Fråga 11. Vilken nytta och/eller vilka besparingar för hälso- och sjukvården bedömer ni kan uppstå till följd av att hälsodata struktureras och får enhetliga format?

Fråga 12. Vilka risker (exempelvis integritetsrisker eller risk för ny/ökad it-eller välfärdsbrottslighet) eller utmaningar bedömer ni kan uppstå när de prioriterade kategorierna hälsodata tillgängliggörs via API:er direkt mellan vårdgivare där behörighet styrs av ett för ändamålet uppsatt tillitsramverk?

Del 4. Övriga synpunkter

Finns det något som ovanstående 12 frågor inte fångat som ni vill skicka med till utredningen?

594