Sekretessbelagda uppgifter
Menprövning och presumtivt samtycke
Menprövning innebär att man prövar om personuppgifter kan röjas utan att det är till men för den som uppgifterna rör eller dennes närstående. Huvudregeln är att en menprövning ska göras enligt 25 kap. 1 § OSL innan uppgifter om en patient får lämnas ut.
Inom hälso- och sjukvården råder stark sekretess, vilket innebär att en uppgift endast får lämnas ut om det står klart att utlämnandet inte är till men för patienten. Begreppet men har en mycket vid innebörd och avser framför allt de olika kränkningar av den personliga integriteten som kan uppstå om uppgifterna lämnas ut. Utgångspunkten för bedömningen ska vara den enskilda personens egna upplevelse.
Undantag från denna huvudregel gäller om det föreligger uppgiftsskyldighet enligt lag eller om informationsöverföring får ske med stöd av särskild bestämmelse i OSL. Menprövningen bör göras av någon som har god överblick över hela situationen. Undantag gäller som huvudregel om patienten samtycker till att uppgifterna lämnas ut. Det gäller dock inte om det finns uppgifter om annan person, till exempel anhörig, i journalen. Då måste vanlig menprövning göras.
Det är vanligtvis den medicinskt ansvarige läkaren eller omvårdnadsansvarig sjuksköterska som ansvarar för att menprövning har gjorts innan sekretessbelagda uppgifter lämnas ut. Varje vårdgivare är skyldig att ha rutiner för vem eller vilka som har rätt att på vårdgivarens uppdrag fatta ett beslut om utlämnande av patientuppgifter.
När man som personal informerar en patient om kommande vårdåtgärder, till exempel en remiss, och patienten inte protesterar, förutsätts att patienten har gett sitt samtycke till att nödvändigt journalmaterial överförs med remissen. Detta är ett exempel på så kallat presumtivt samtycke.
Offentlighets- och sekretesslagen gäller inte för enskilt (privat) bedriven hälso- och sjukvård. Här gäller istället bestämmelser om tystnadsplikt i patientsäkerhetslagen (SFS 2010:659).
Informationssäkerhet
Enligt Socialstyrelsens föreskrifter och allmänna råd (HSLF-FS 2016:40) om journalföring och behandling av personuppgifter i hälso- och sjukvården, ska vårdgivarens ledningssystem innehålla en informationssäkerhetspolicy. Policyn ska omfatta vårdgivarens övergripande mål och inriktning för verksamhetens arbete med informationssäkerhet och syfta till att bland annat säkerställa personuppgifternas konfidentialitet. Med det menas att obehöriga inte ska kunna ta del av dokumenterade personuppgifter hos vårdgivaren. Se 3 kap. 2 § p.3 och 4 § i HSLF-FS 2016:40.
Överföring av sekretessbelagda uppgifter
När sekretessbelagd information ska meddelas vidare måste det ske på ett sådant sätt så att inte obehöriga kan ta del av informationen.
Vid elektronisk överföring av personuppgifter ansvarar vårdgivaren för att obehöriga inte kan ta del av uppgifterna. Vårdgivaren ansvarar också för att tillgång till uppgifterna genom elektronisk åtkomst, direktåtkomst eller annat elektroniskt utlämnande föregås av så kallad flerfaktorsautentisering. Detta innebär inloggningslösningar som ställer krav på kontroll av uppgiven identitet på flera av varandra oberoende sätt. Se 3 kap. 15 § i HSLF-FS 2016:40.
Kravet på att överföringen av uppgifterna ska göras på ett sådant sätt att obehöriga inte kan få tillgång till dessa innebär i praktiken att uppgifterna måste vara krypterade eller överföras genom en krypterad förbindelse.
När det gäller överföring av påminnelser och kallelser till vård och behandling som riktar sig till patienter så får vårdgivaren under vissa förutsättningar besluta om undantag från kravet på kryptering. Det innebär att uppgifter om patienter i elektroniska påminnelser och kallelser som överförs via exempelvis sms eller e-post, inte behöver krypteras. Se 3 kap. 16 och 17 §§ i HSLF-FS 2016:40.
Förvaring av sekretessbelagda uppgifter
Dokument som innehåller sekretessbelagda uppgifter om patienter ska antingen förvaras under uppsikt eller vara inlåsta. För patientuppgifter som förs helt eller delvis automatiserat gäller att vårdgivaren ska säkerställa att informationssystem som används för behandling av personuppgifter skyddas fysiskt mot skada, störning och obehörig åtkomst enligt 3 kap. 14 § i HSLF-FS 2016:40.