Saksbehandler: Mari Kristine Rollag Arkiv: G10 &13 Arkivsaksnr.: 14/ Dato:

Transkript

1 SAKSFRAMLEGG Saksbehandler: Mari Kristine Rollag Arkiv: G10 &13 Arkivsaksnr.: 14/ Dato: HØRING - FORSKRIFT OM TILGANG TIL HELSEOPPLYSNINGER MELLOM VIRKSOMHETER â INNSTILLING TILBYSTYREKOMITÉ HELSE, SOSIAL OG OMSORG/BYSTYRET: Rådmannens forslag til vedtak: Drammen kommune avgir følgende høringsuttalelse: Drammen kommune ønsker med dette å gi sin tilslutning til forslagene i høringsnotatet. Hensynet til gode behandlingsforløp, pasientsikkerhet og kvalitet i helse- og omsorgstjenestene forutsetter at relevante og nødvendige pasientopplysninger er tilgjengelige for helsepersonell som yter helsehjelp. Dette bidrar også til at pasienten skal slippe å gjenta opplysninger hver gang de er i kontakt med helsevesenet, og at det gis helse- og omsorgstjenester av best mulig kvalitet. Forskriften vil etter kommunens oppfatning gjøre det tydelig hvilke krav som stilles for å gi tilgang til helseopplysninger mellom virksomheter. Når det gjelder forskriftens virkeområde, har departementet reist spørsmål om andre virksomheter bare skal kunne gis lesetilgang til pasientopplysninger, eller om det også skal være mulighet for å registrere opplysninger en annen virksomhets journalsystem. Kommunen ser de betenkelighetene som kan være knyttet til dette, men er enig i departementets vurderinger med hensyn til hvilke tilfeller som kan gi grunnlag for en begrenset skrivetilgang. Osmund Kaldheim rådmann á Eva Milde Grunwald helse- og sosialdirektør

2 â HØRING FORSLAG TIL FORSKRIFT OM TILGANG TIL HELSEOPPLYSNINGER MELLOM VIRKSOMHETER 1. Bakgrunn for saken Helse- og omsorgsdepartementet har sendt forslag til forskrift om tilgang til helseopplysninger mellom virksomheter ut på høring. Formålet med forskriften er å ivareta informasjonssikkerhet og personvern ved tilgang mellom virksomheter. Slik tilgang gjelder helseopplysninger i pasientjournaler og andre behandlingsrettede helseregistre for å yte, administrere eller kvalitetssikre helsehjelp til den enkelte. Forskriften skal bidra til at pasienter og brukere skal kunne ha tillit til at opplysningene i systemene blir sikret på best mulig måte og ikke tilflyter uvedkommende. Høringsfristen er satt til 17. november Ettersom fristen utløper før bystyremøtet blir administrativt høringssvar likelydende med rådmannens forslag til høringsuttalelse sendt innen fristen med forbehold om bystyrets godkjenning. Høringsnotatet omhandler viktige prinsipielle spørsmål der personvernhensyn og hensyn til samhandling og gode pasientforløp settes opp mot hverandre. 2. Hovedinnholdet i høringsnotatet Forskriften skal hjemles i pasientjournalloven 19. Pasientjournalloven (lov 20. juni 2014 nr. 42 om behandling av helseopplysninger ved ytelse av helsehjelp), skal sammen med ny helseregisterlov som ble vedtatt samme dag, erstatte helseregisterloven av Disse to lovene er ennå ikke trådt i kraft, og forskriften skal tre i kraft samtidig med de nye lovene. Pasientjournalloven legger til rette for god kvalitet i helsehjelpen og god pasient- og informasjonssikkerhet. Dette forutsetter at relevante og nødvendige helseopplysninger gjøres tilgjengelige for helsepersonell når de yter helsehjelp, uavhengig av hvem som gir helsehjelpen og uavhengig av hvor opplysningene om pasientene er registrert og lagret. Høringsnotatet omhandler tilgang for helsepersonell mellom virksomheter. Med tilgang menes her at helsepersonell gis adgang til å hente frem elektroniske helseopplysninger om pasienter. Helseopplysningene skal kunne gjøres tilgjengelige for helsepersonell uavhengig av organisatorisk tilknytning når dette er nødvendig for å gi pasienten best mulig helsehjelp, uavhengig hvor pasienten tidligere har mottatt helsehjelp. Det er et viktig prinsipp at helseopplysninger bare skal kunne gjøres tilgjengelige dersom de er relevante og nødvendige for å yte helsehjelp og det er sikkerhet for at opplysningene ikke kommer på avveie. Den foreslåtte forskriften gjelder når en virksomhet lar andre virksomheter gi helsepersonell tilgang til behandlingsrettede helseregistre som virksomheten er ansvarlig for. Forskriften regulerer bare tilgang til journalsystem fra andre virksomheter, og ikke internt i en virksomhet eller mellom virksomheter som samarbeider om et felles journalsystem. 2

3 Forskriften omhandler hvilke krav som må være oppfylt i virksomhetene for å kunne gi helsepersonell i andre virksomheter tilgang til pasientjournalen. En virksomhet som vil gi andre virksomheter tilgang må ha vurdert risikoen ved dette og ha iverksatt eventuelle tiltak for å begrense risikoen. Virksomheter som vil gi helsepersonell fra andre virksomheter tilgang, må inngå en særskilt avtale om dette. Begge virksomhetene må ha gode organisatoriske og tekniske tiltak for å avgrense og kontrollere tilgangen til de opplysningene som er relevante og nødvendige for ytelse, administrasjon og kvalitetssikring av helsehjelp tilpasienten. Avtalepartene må vurdere risikoen for pasientens personvern, derunder brudd på taushetsplikt og svekket informasjonssikkerhet som følge av tilgangen. Reglene i forskriften skal komme i tillegg til og utfylle de alminnelige personvernreglene som gjelder ved behandling av helseopplysninger. Høringsdokumentene kan lastes ned her: 3. Nærmere om bakgrunnen for forslaget Helseopplysninger er i utgangspunktet beskyttet av bestemmelser om personvern og taushetsplikt. Enhver som behandler helseopplysninger etter loven har taushetsplikt. I tillegg til en plikt til å tie, innebærer taushetsplikten en aktiv plikt til å hindre at helseopplysninger gjøres tilgjengelige for uvedkommende. Personvernet omfatter imidlertid mer enn taushetsplikten. Et formål med personvern er å sikre at personopplysninger blir brukt på rett måte, og at opplysninger skal være korrekte og oppdaterte, og tilgjengelige for rett person til rett tid. Manglende tilgjengelighet til oppdaterte og korrekte opplysninger om pasienten kan true pasientsikkerheten. Det følger av pasientjournalloven at pasientopplysninger skal følge pasienten og være tilgjengelig for helsepersonell som yter helsehjelp. Dette bidrar også til at pasienten skal slippe å gjenta opplysninger hver gang de er i kontakt med helsevesenet, og at det gis helse- og omsorgstjenester av best mulig kvalitet. Hovedansvaret for behandlingen av helseopplysningene ligger hos den databehandlingsansvarlige. Etter helseregisterloven 13 var utgangspunktet at bare den som arbeider under den databehandlingsansvarliges eller databehandlers instruksjonsmyndighet kunne få tilgang til helseopplysninger. Dette vil i praksis si at det bare er ansatte i den aktuelle virksomheten som kan få tilgang til helseopplysninger om en person som er registrert i virksomhetens journalsystem. Det er senere gitt hjemmel for å forskriftsfeste tilgang på tvers av virksomhetsgrenser, forutsatt at den opplysningene gjelder gir et uttrykkelig samtykke. Helseinformasjonssikkerhetsforskriften har regler om tilgang på tvers av virksomhetsgrenser, men denne forskriften er ikke trådt i kraft. Begrensningene knyttet til virksomhetsgrenser er ikke videreført i den nye pasientjournalloven. Endringene er begrunnet en erkjennelse av betydningen av at nødvendige helseopplysninger er tilgjengelige for å yte god helsehjelp, og at tilgang ikke bør være begrenset av hvordan helsetjenestene til en hver tid er organisert. 3

4 Den foreslåtte forskriften gir nærmere bestemmelser som fastsetter vilkår for tilgang mellom virksomheter til behandlingsrettede helseregistre. 4. Nærmere om innholdet i forskriftsutkastet Forskriften inneholder følgende formålsparagraf ( 1): Formålet med forskriften er at informasjonssikkerhet og personvern blir ivaretatt når det gis tilgang til helseopplysninger mellom virksomheter for å yte, administrere eller kvalitetssikre helsehjelp til den enkelte. Virkeområdet for forskriften er i henhold til formålsbestemmelsen begrenset til å gi tilgang til opplysninger i forbindelse med at det gis helsehjelp. Dette innebærer at forskriften ikke regulerer tilgang til helseopplysninger for andre formål, for eksempel forskning. Det er viktig at helsepersonellet gis tilgang til nødvendige og relevante opplysninger, og at informasjonsutvekslingen skjer på en effektiv og sikker måte. Samtidig skal forskriften ivareta pasientens rett til konfidensialitet, og hindre at opplysninger kommer i hendene på uvedkommende. Pasienten skal derfor få informasjon om at ansatte i andre virksomheter kan gis tilgang til journalen, og pasienten har rett til å motsette seg tilgang for helsepersonell fra andre virksomheter enn der opplysningene er nedtegnet. Videre skal all tilgang til systemet logges, slik at pasienten skal kunne få se hvem som har hentet frem opplysninger fra registeret. Forskriften regulerer tilgang til elektroniske journalsystemer, og gjelder bare der helsepersonell gis tilgang ved å logge seg inn for å hente frem opplysninger. Tilgang til papirjournaler omfattes ikke av forskriften. Opplysninger som utleveres ved brev, meldingsutveksling, per telefon eller på andre måter er heller ikke regulert av forskriften, men av de vanlige reglene i pasientjournalloven, helsepersonelloven og pasient- og brukerrettighetsloven. I utgangspunktet er det meningen at helsepersonell i andre virksomheter bare skal gis lesetilgang, og ikke anledning til å registrere eller endre opplysninger i journalen. Departementet åpner imidlertid for at det kan være situasjoner der det er hensiktsmessig å gi en begrenset skrivetilgang etter forskriften (se høringsnotatets punkt 5.6.2), som begrenses til registreringer som er nødvendige for forståelsen av de vurderingene som er gjort. Departementet ber om høringsinstansenes syn på dette spørsmålet. Behovet for tilgang til helseopplysninger i andre virksomheter kan for eksempel være aktuelt ved samarbeid mellom helseforetak, mellom sykehus og fastlege, samarbeid mellom fastlege og kommunal helse- og omsorgstjeneste, eller mellom helseforetak og kommune. Tilgangen trenger ikke å være gjensidig mellom virksomhetene. For eksempel kan fastlegen få tilgang til helseopplysninger om fastlegens pasienter på sykehuset uten at sykehuset får tilgang til fastlegens journalsystem. I forslaget til forskrift er det uttrykkelig slått fast at begge virksomhetene skal ha tilstrekkelig gode rutiner og systemer for informasjonssikkerhet. Begge virksomhetene vil fortsatt ha ansvaret for informasjonssikkerheten knyttet til opplysningene som det gis tilgang til. De databehandlingsansvarlige i begge virksomhetene skal ha særlige rutiner for hvordan informasjonssikkerheten skal ivaretas ved tilgang mellom virksomhetene, og det må stilles krav til informasjonssikkerheten i den andre virksomheten som gis tilgang. Tilgang mellom virksomheter 4

5 må baseres på løpende vurderinger av risikoen for pasientenes personvern i begge virksomhetene som tilgang mellom virksomhetene kan føre til. De databehandlingsansvarlige skal på bakgrunn av slike risikovurderinger avpasse de tekniske og organisatoriske tiltakene til hverandre for å etterleve kravene til informasjonssikkerhet. For å kunne gi tilgang etter forskriften må det inngås en særskilt avtale mellom virksomhetene. Avtalen skal i henhold til forskriftsutkastets 4 minst regulere: Hva avtalen gjelder Hvilke behovs- og risikovurderinger som ligger til grunn for avtalen Hvilke journalmoduler avtalen omfatter og Rutiner og fordeling av oppgaver for å ivareta kravene i denne forskriften Forskriften pålegger begge de databehandlingsansvarlige å etablere nødvendige organisatoriske og tekniske tiltak for tildeling og kontroll av tilgangsrettigheter til helseopplysninger. Løsningene skal minst ivareta at: Opplysningene ikke gjøres tilgjengelige dersom pasienten har motsatt seg eller motsetter seg det Det kun gis tilgang til opplysninger som er relevante og nødvendige for å yte, administrere eller kvalitetssikre helsehjelp til pasienten Helsepersonellet er autorisert for slik tilgang og har autentisert seg ved bruk av sikker autentiseringsløsning. Forskriftsutkastet inneholder for øvrig krav om logging og dokumentasjon av tilgang, og at det etableres systemer for oppfølging og kontroll av tilgangen til helseopplysningene. 5. Rådmannens vurdering Høringsnotatet inneholder forslag som utfyller gjeldende bestemmelser om informasjonssikkerhet og personvern. Hensynet til gode behandlingsforløp, pasientsikkerhet og kvalitet i helse- og omsorgstjenestene forutsetter at relevante og nødvendige pasientopplysninger er tilgjengelige for helsepersonell som yter helsehjelp. Dette bidrar også til at pasienten skal slippe å gjenta opplysninger hver gang de er i kontakt med helsevesenet, og at det gis helse- og omsorgstjenester av best mulig kvalitet. Samhandlingsreformen innebærer at kommunene har fått større ansvar for å tilby flere og mer spesialiserte helse- og omsorgstjenester til innbyggerne. Dette forutsetter et økt samarbeid mellom kommunene og spesialisthelsetjenesten. Når flere virksomheter behandler samme pasient i samme behandlingsforløp, er det behov for en mer effektiv informasjonsutveksling enn det tidligere lovgivning har tatt høyde for. Rådmannen legger til grunn at den foreslåtte forskriften vil sikre god og forsvarlig forvaltning av pasientopplysninger i tråd med disse forutsetningene. For Drammen kommune kan det være aktuelt 5

6 å inngå avtaler med samarbeidende virksomheter om tilgang til helseopplysninger for å sikre helhetlige pasientforløp. Det er imidlertid verdt å understreke at forskriften ikke innebærer noe pålegg, men at det vil være mulig for kommunen å inngå en slik avtale der man ser at det er formålstjenlig. Forskriften vil derfor ikke innebære noen direkte administrative eller økonomiske konsekvenser for Drammen kommune. 6. Rådmannens forslag til høringsuttalelse Drammen kommune ønsker med dette å gi sin tilslutning til forslagene i høringsnotatet. Hensynet til gode behandlingsforløp, pasientsikkerhet og kvalitet i helse- og omsorgstjenestene forutsetter at relevante og nødvendige pasientopplysninger er tilgjengelige for helsepersonell som yter helsehjelp. Dette bidrar også til at pasienten skal slippe å gjenta opplysninger hver gang de er i kontakt med helsevesenet, og at det gis helse- og omsorgstjenester av best mulig kvalitet. Forskriften vil etter kommunens oppfatning gjøre det tydelig hvilke krav som stilles for å gi tilgang til helseopplysninger mellom virksomheter. Når det gjelder forskriftens virkeområde, har departementet reist spørsmål om andre virksomheter bare skal kunne gis lesetilgang til pasientopplysninger, eller om det også skal være mulighet for å registrere opplysninger en annen virksomhets journalsystem. Kommunen ser de betenkelighetene som kan være knyttet til dette, men er enig i departementets vurderinger med hensyn til hvilke tilfeller som kan gi grunnlag for en begrenset skrivetilgang. Vedlegg: Høring forslag til forskrift om tilgang til helseopplysninger mellom virksomheter Høringsbrev Høringsnotat á 6