Page History

...

1. Frågan blir då vad som gäller för en behörighetskontroll i de två exemplen i avsnitten 3.1 och 3.2, enligt bl.a. PDL och NLL.
2. Vad som menas med behörighetskontroll är där
   1. hårt särreglerat, genom bestämmelser som inte följer det ovan beskrivna mönstret, och
   2. tar sikte på direktåtkomst, medan den teknik som numera införts även inom hälso- och sjukvården  (fråga och svar enligt högsta förvaltningsdomstolen bedömning i LEFI online-målet) följer mönstret för utlämnande på medium.

Exemplet där uppgifter behövs från den nationella läkemedelslistan

1. Lagen (2018:1212) om nationell läkemedelslista (”läkemedelslistelagen”) reglerar behandling av personuppgifter i den nationella läkemedelslistan som förs av E-hälsomyndigheten.

2. Tillgången till uppgifter i läkemedelslistan är hårt särreglerad, och ett grundläggande krav är att endast den som är behörigfår ta del av uppgifter. Kravet på behörighetskontroll är därmed centralt för systemets rättsenlighet, både ur integritetssynpunkt och för att uppfylla de krav på informationssäkerhet som följer av EU:s dataskyddsförordning (GDPR) och hälso- och sjukvårdens sekretessbestämmelser.

3. Av 8–12 §§ läkemedelslistelagen framgår att endast vissa aktörer får ha direktåtkomst till uppgifter i läkemedelslistan, och endast i den utsträckning det behövs för deras uppgifter.

   • 8 § anger att E-hälsomyndigheten ska göra uppgifter i läkemedelslistan tillgängliga för:

     1. den enskilde själv,

     2. den som förskriver läkemedel eller förskrivningsberättigade varor,

     3. den som expedierar läkemedel (apotekspersonal), och

     4. vissa andra aktörer som anges i lagen.

   • 9 § preciserar att tillgången ska vara begränsad till vad som är nödvändigt för respektive ändamål.

   • 10–11 §§ reglerar särskilda fall, t.ex. förskrivares tillgång till en patients uppgifter och den enskildes möjlighet att spärra uppgifter.

4. Dessa bestämmelser förutsätter att en behörighetskontroll kan säkerställa två saker:

   1. Att användaren är identifierad (vem den är).

   2. Att användaren har rätt att ta del av uppgifterna i den aktuella rollen och för det aktuella ändamålet(behörighet).

5. Enligt 17 § ska E-hälsomyndigheten se till att obehörig åtkomst förhindras. Av förarbetena (prop. 2017/18:223 s. 183 f.) framgår att detta innebär krav på ett tekniskt och organisatoriskt system för behörighetskontroll. Myndigheten ska säkerställa att endast personer med korrekt vårdrelation, roll och ändamål får åtkomst. Behörighetskontrollen ska bygga på en säker identitetshantering och tilldelning av roller och åtkomsträttigheter som motsvarar den enskildes funktion i vården, vilket innebär att E-hälsomyndigheten inte själv beslutar vem som är behörig i vårdorganisationen, men myndigheten ska kunna kontrollera och verifiera att åtkomsten grundas på giltig behörighetsinformation från den vårdgivare eller apoteksaktör som ansvarar för användaren.

6. I 4 kap. 2 § föreskrivs att E-hälsomyndigheten ska föra loggar och vidta tekniska åtgärder för att säkerställa att åtkomst endast ges till behöriga. Förordningen preciserar att myndigheten ska kunna kontrollera vilken funktion eller yrkesrollsom ligger till grund för åtkomsten. Detta konkretiseras i myndighetens föreskrifter (HSLF-FS 2020:24) om tekniska krav, där det krävs att vårdgivaren överför behörighetsattribut till E-hälsomyndigheten i samband med åtkomstbegäran.

Behörighetskontrollen enligt lagen består alltså av följande komponenter:

Slutsatser

1. 1. Behörighetskontroll är ett uttryckligt lagkrav enligt läkemedelslistelagen.

   2. E-hälsomyndigheten ansvarar för att tekniskt och organisatoriskt säkerställa att åtkomst endast ges till behöriga.

   3. Vårdgivaren och apoteksaktören ansvarar för att ange korrekt behörighet för sina användare och att hålla denna information aktuell.

   4. En fungerande behörighetsinfrastruktur är därför en förutsättning för att lagen ska kunna tillämpas rättsenligt och effektivt.

Kontroller som krävs innan direktåtkomst ges (förhandskontroller)

Dessa kontroller är villkor för att direktåtkomst över huvud taget ska medges. De ska alltså utföras automatiskt eller administrativt innan någon uppgift lämnas ut från den nationella läkemedelslistan.

5.2.2 Kontroller som ska göras löpande eller i efterhand (efterhandskontroller)

Exemplet där uppgifter behövs från en annan vårdgivares patientjournal

1. Lagen (2008:355) om patientdatalagen (”patientdatalagen”) reglerar behandling av personuppgifter inom hälso- och sjukvården och syftar till att tillgodose både patientsäkerhet och integritet. Lagen bygger på att varje vårdgivare är personuppgiftsansvarig för den behandling av uppgifter som sker inom den egna verksamheten.
2. Tillgången till uppgifter i patientjournaler är starkt reglerad. Ett grundläggande krav är att endast den som behöver uppgifterna för sitt arbete inom hälso- och sjukvården, eller för annat särskilt tillåtet ändamål, får ta del av dem. Kravet på behörighetskontroll är därför centralt för att säkerställa att åtkomst sker i enlighet med patientdatalagen, offentlighets- och sekretesslagen (2009:400) samt dataskyddsförordningen (GDPR).
3. Av 6 kap. 5–7 §§ patientdatalagen framgår att vårdgivaren ska begränsa tillgången till personuppgifter så att endast den som behöver uppgifterna för sitt arbete får ha åtkomst. Behörighetsstyrningen ska ske individuellt och utifrån arbetsuppgifter, och vårdgivaren ska föra loggar som gör det möjligt att i efterhand kontrollera åtkomst. Enligt 3 kap. 2 och 9 §§ patientdataförordningen (2008:360) ska vårdgivaren ha tekniska och organisatoriska rutiner för behörighetsstyrning, loggning och uppföljning.
4. Behörighetskontrollen enligt patientdatalagen ska säkerställa att:

   1. användaren är korrekt identifierad,

   2. användaren har behörighet grundad på roll och arbetsuppgift, och

   3. åtkomsten sker för ett tillåtet ändamål enligt 4 kap. 2 § patientdatalagen, såsom vårddokumentation, kvalitetssäkring eller forskning.

5. Enligt förarbetena (prop. 2007/08:126 s. 149 ff.) ska vårdgivaren säkerställa att åtkomst ges endast till personal med faktisk vårdrelation till patienten eller till annan personal som behöver uppgifterna för definierade uppgifter inom vårdgivarens verksamhet. Systemen ska därför utformas så att behörigheter tilldelas utifrån arbetsuppgifter och uppdateras löpande.
6. I 6 kap. 7 § anges att alla åtkomster ska loggas och att loggarna ska användas för intern kontroll och tillsyn.
7. Behörighetskontrollen enligt lagen består alltså av följande komponenter:

Slutsatser

• Krav på behörighetskontroll följer uttryckligen av 6 kap. 5–7 §§ patientdatalagen.

• Vårdgivaren ansvarar för att tekniskt och organisatoriskt säkerställa att endast behörig personal har åtkomst till patientuppgifter.

• Behörigheten ska kopplas till individens roll, funktion och vårdrelation samt till lagens tillåtna ändamål.

• En fungerande behörighetsinfrastruktur är nödvändig för att möjliggöra säker och rättsenlig åtkomst till patientuppgifter mellan olika vårdgivare.

Kontroller som krävs innan direktåtkomst ges (förhandskontroller)

Kontroller som ska göras löpande eller i efterhand (efterhandskontroller)