Kommunstyrelsen — 14 oktober 2026

1 § HSL följer att hälso- och sjukvård avser åtgärder för att medicinskt förebygga, utreda och behandla sjukdomar och skador samt åtgärder som avser sjuktransporter, och omhändertagande av avlidna. Eftersom nationell vårdförmedling inte kommer omfatta åtgärder som sjuktransporter eller omhändertagna av avlidna bör uttrycket hälso- och sjukvård begränsas till endast åtgärder för att medicinskt förebygga, utreda och behandla sjukdomar och skador enligt 2 kap. 1 § 1 HSL (se avsnitt 5.1). Begränsningen bör emellertid inte förstås snävt som enbart diagnostik och behandling i läkarcentrerad mening. Av förarbetena till 1982 års hälso- och sjukvårdslag framgår att uttrycket medicinskt tillkom för att undvika en alltför vid tolkning av uttrycket hälso- och sjukvård och för att markera avgränsningen mot annan samhällsverksamhet, inte för att inskränka till rent biologiska eller kurativa insatser (prop. 1981/82:97 s. 27). Regeringen uttalade samtidigt att hälso- och sjukvårdens vårdansvar i princip bör omfatta sådana vårdbehov som kräver insatser av medicinskt utbildad personal eller sådan personal i samverkan med annan kompetens, och preciserade att med medicinskt utbildad personal även avses personal vars utbildning är inriktad på patientomvårdnad och rehabilitering (prop. 1981/82:97 s. 44 och 45). Den allmänna definitionen i 2 kap. 1 § 1 HSL är sannolikt vidare än den vård som för närvarande aktualiseras för nationell vårdförmedling. Den vård som primärt aktualiseras i vårdförmedlingssammanhang har sin naturliga utgångspunkt i bestämmelserna om vårdgaranti. Av 9 kap. 1 § första stycket 3 och 4 HSL följer att vårdgarantin i dessa delar avser besök i den specialiserade vården och planerade vård. Det framgår även av E-hälsomyndighetens och Socialstyrelsens delredovisning Utveckla och etablera arbetet med nationell vårdförmedling att nationell vårdförmedling oftast gäller specialiserad vård och att avgränsningen i grunden utgår från vårdgarantin och inte från en viss vårdform (mars 2026, s. 7). Utredningen Behovsstyrd vård (S 2024:05) ska bl.a. föreslå en ny vårdgaranti (dir. 2024:50 och 2025:94). Av direktiven framgår att utred- ningen bl.a. ska föreslå en vårdgaranti inom den specialiserade vården med väsentligt kortare tidsgränser än i dag, som bl.a. innebär att barn och unga som är i behov av specialiserad vård vid psykisk ohälsa inte ska behöva vänta längre än 30 dagar på en första bedömning samt ytterligare 30 dagar på en fördjupad utredning eller behandling. Utredningen ska som ska lämna sin slutredovisning senast den 18 juni 2026. Mot denna bakgrund framstår det som mindre lämpligt att bygga regleringen på en snäv definition som i hög grad speglar dagens vård- garantimodell. En sådan definition riskerar att bli inaktuell om vård- garantin förändras på det sätt som nu övervägs. Genom en definition av hälso- och sjukvård som följer av 2 kap. 1 § 1 HSL kan regleringen av vårdförmedlingen vila på en fast och välkänd definition av uttrycket hälso- och sjukvård, samtidigt som den lämnar utrymme för att anpassa vårdförmedlingens närmare räckvidd till den fortsatta utvecklingen av vårdgarantin och övriga reformer på området. Sammantaget bedöms därför att 2 kap. 1 § 1 HSL bör utgöra den allmänna legala utgångspunkten för definitionen av hälso- och sjukvård i den föreslagna lagen om en nationell vårdsökstjänst. 5.3 Innehåll i vårdsöksregistret Förslag Registret över uppgifter om regioners utbud av hälso- och sjukvård (vårdsöksregistret) ska få innehålla uppgifter om den hälso- och sjuk- vård som 1. regionen erbjuder, och 2. någon annan vårdgivare erbjuder genom avtal med regionen enligt hälso- och sjukvårdslagen. Registret ska inte få innehålla uppgifter om patienter. Det ska i lagen tas in en upplysning om att regeringen eller den myndighet som regeringen bestämmer kan meddela närmare före- skrifter om innehållet i registret. Bedömning Vårdsöksregistret bör få innehålla uppgifter om 1. villkor för nyttjande av den hälso- och sjukvård som en vårdgivare erbjuder, 2. under vilken tid som det avtalade utbudet av hälso- och sjukvård gäller, och 3. samband mellan avtal som en vårdgivare har med olika regioner. Skälen för förslaget och bedömningen Syftet med ett vårdsöksregistret är att ge information om sådana uppgifter som behövs för en nationell vårdförmedling som möjliggör för vårdgivare att erbjuda hälso- och sjukvård åt den patient som omfattas av en annan regions ansvar för hälso- och sjukvård. I avsnitt 5.2 görs bedömningen att det är den regionala hälso- och sjukvården enligt hälso- och sjukvårdslagen som kommer i fråga för nationell vårdförmedling. Det innebär att regionerna själva, i egenskap av vårdgivare, och andra offentliga eller privata vårdgivare, som har avtal med regionen enligt 15 kap. 1 § HSL, omfattas av nationell vårdförmedling. Mot denna bakgrund bör vårdsöksregistret innehålla uppgifter över regi- oners egna utbud av hälso- och sjukvård. Det handlar om uppgifter om vilken hälso- och sjukvård som regionen erbjuder, såsom vård och behandling, och vilka regionala vårdgivare som utför den vården. Vårdsöksregistret bör också innehålla information om regioners avtalade utbud av hälso- och sjukvård enligt 15 kap. 1 § HSL. Det kan t.ex. handla om de villkor som gäller för nyttjande av den hälso- och sjukvård som erbjuds inom ramen för ifrågavarande avtal, under vilken tid som det avtalade utbudet av hälso- och sjukvårdstjänster gäller och samband mellan avtal som en vårdgivare har med olika regioner. Vissa uppgifter som innehåller information om personalens kompetens, lokalernas utform- ning, utrustning och sjukvårdsprodukter kan också vara relevanta. Det kan också handla om vissa mer grundläggande uppgifter av administrativ karaktär, såsom avtalsidentifikation, med stöd av vilken lagstiftning hälso- och sjukvårdstjänsterna har upphandlats och på vilken webbplats som, i förekommande fall, avtalet finns lagrat. Det bedöms dock att det inte finns behov av uppgifter om priser. Eftersom ett vårdsöksregistrets syfte är att underlätta nationell vårdför- medling bedöms det inte finns behov av uppgifter om patienter i registret. Närmare överväganden om personuppgiftsbehandling med anledning av en nationell vårdsökstjänst och vårdsöksregistret finns i avsnitt 8.2. Över- väganden om sekretess finns i avsnitt 7.2. För att regleringen ska vara så flexibel som möjligt bör det närmare innehållet i registret framgå av förordning. Det kan t.ex. handla om uppgifter om villkor för nyttjande av den hälso- och sjukvård som en vårdgivare erbjuder, under vilken tid som det avtalade utbudet av hälso- och sjukvård gäller, och samband mellan avtal som en vårdgivare har med olika regioner enligt hälso- och sjukvårdslagen. Regeringen kan meddela sådana föreskrifter om verkställighet av lag enligt 8 kap. 7 § första stycket 1 regeringsformen. I vissa situationer kan det vara motiverat att ha en upplysningsbestämmelse om regeringens möjlighet att meddela sådana föreskrifter, då riksdagen lagstiftar inom området för regeringens rest- kompetens (jfr HFD 2023 ref. 2). När riksdagen har reglerat en viss fråga kan regeringen inte längre använda sin föreskriftsrätt i samma fråga, eftersom en lag endast får ändras genom lag (8 kap. 18 § regeringsformen). Det anses att det i det här fallet bör finnas en bestämmelse som upplyser om att regeringen kan meddela föreskrifter på området. Det föreslås därför att det tas in en upplysning i lagen om att regeringen eller den myndighet som regeringen bestämmer kan meddela närmare föreskrifter om innehållet i registret över vårdgivare med stöd av 8 kap. 7 § regerings- formen. Uttrycket närmare föreskrifter innebär att det är verkställighets- föreskrifter som avses. 5.4 Ansvarig myndighets skyldighet att lämna ut uppgifter genom den nationella vårdsökstjänsten Förslag Den ansvariga myndigheten ska på begäran av en vårdgivare lämna ut uppgifter ur vårdsöksregistret om det behövs för att vårdgivare ska kunna hitta andra vårdgivare som kan erbjuda vård åt den som omfattas av en annan regions ansvar för hälso- och sjukvård. Den ansvariga myndigheten ska på begäran av en vårdgivare lämna ut uppgifter om andra vårdgivares väntetider om det behövs för att vårdgivare ska kunna hitta andra vårdgivare som kan erbjuda vård åt den som omfattas av en annan regions ansvar för hälso- och sjukvård. Uppgifterna ska lämnas ut genom den nationella vårdsökstjänsten. Regeringen eller den myndighet som regeringen bestämmer ska få meddela ytterligare föreskrifter om villkor för åtkomst till sådana uppgifter som ska lämnas ut från vårdsökstjänsten. Bedömning E-hälsomyndigheten bör få meddela ytterligare föreskrifter om villkor för åtkomst av uppgifter som ska lämnas ut från vårdsöksregistret. Skälen för förslaget och bedömningen Ansvarig myndighet ska på begäran av en vårdgivare lämna ut uppgifter ur vårdsöksregister För att snabbare och mer effektivt kunna erbjuda vård till väntande patienter och därmed uppfylla kravet på vårdgarantin behöver vårdgivare få tillgång till uppgifter om tillgängligt vårdutbud i hela landet. Ansvarig myndighet behöver därmed ge vårdgivare tillgång till information om andra vårdgivares vårdutbud ur vårdsöksregistret. Det handlar t.ex. om uppgifter om vilken hälso- och sjukvård som regionen erbjuder, såsom typ av specialistvård och vilka regionala vårdgivare som utför den vården. Det kan även handla om uppgifter om villkor för nyttjande av en vårdgivares hälso- och sjukvård och under vilken tid som det avtalade utbudet av hälso- och sjukvård gäller. Uppgifterna ska inte innehålla vårddokumentation om en patient (se avsnitt 5.3). Av avsnitt 7.2 framgår att uppgifter från avtal kan innehålla enskilds affärs- eller driftsförhållande men att uppgifterna inte bör vara av sådan karaktär att de omfattas av sekretess. Mot den bakgrunden bedöms att det finns ett behov av att införa en skyldighet i lag för myndigheten att på begäran av en vårdgivare lämna ut uppgifter ur vårdsöksregistret. En sådan reglering ger ett tydligt uppdrag till den ansvariga myndigheten att lämna ut uppgifter ur vårdsökregister och ett tydligt stöd för den personuppgiftsbehandling som det kan medföra (se avsnitt 8.2). Uppgiftsskyldigheten bör endast gälla i den utsträckning som upp- gifterna behövs för vårdgivaren att hitta andra vårdgivare som kan erbjuda hälso- och sjukvård. Uppgifterna bör därför lämnas till vårdgivare först efter en begäran. I samband med en begäran om uppgifter ur vårdsöks- registret behöver den begärande vårdgivaren precisera vilka uppgifter som den vill få del av. Den utlämnande myndigheten får i samband med detta ta ställning till om uppgifterna omfattas av uppgiftsskyldigheten och därmed ska lämnas ut. Uppgifter om vårdgivares väntetider och uppgifter om vårdgivare ur grundregistret över vårdgivare För att kunna erbjuda vård till väntande patienter hos andra vårdgivare behöver vårdgivare på ett enkelt sätt kunna hitta information om aktuella väntetider. Det är först när uppgifter om vilken vård som kan utföras kopplas till uppgifter om väntetid som en vårdsökstjänst kan erbjuda avsedd överblick över aktuella vårdgivare med kortare väntetider och därmed möjliggöra att väntande patienter får vård snabbare. Regionerna omfattas i dag av en skyldighet att rapportera in uppgifter om väntetider till en nationell databas enligt 9 kap. 3 § HSL. Av 6 kap. 3 § hälso- och sjukvårdsförordningen (2017:80) framgår att registrerings- skyldigheten ska fullgöras genom att regionerna lämnar uppgifter om väntetider till den nationella väntetidsdatabas som förs av Socialstyrelsen. Mot den bakgrunden bedöms det att ansvarig myndighet behöver samla in uppgifter om vårdgivares väntetider och tillgängliggöra sådana upp- gifter till vårdgivare. När det gäller insamling av uppgifter om vårdgivares väntetider bör det i nuläget ske från Socialstyrelsens väntetidsdatabas (se avsnitt 5.6). Av utredningens (S 2024:A) promemoria Rättsliga förutsättningar för nationell vårdförmedling framgår att uppgifter om vårdgivares väntetider består av faktiska väntetider som mäts varje månad och som visar hur länge de patienter som besökte sjukhusen under månaden hade väntat. Uppgifterna innehåller även information om väntande patienter som fastställs varje månadsskifte och visar hur många som väntar på vård och hur länge de har väntat. Uppgifterna består även av information om aktuellt väntetidsläge som rapporteras vid behov och visar hur lång tid nya patienter förväntas behöva vänta som längst. Väntetiderna avser normalt besök, undersökningar eller behandlingar (s. 79). Det bedöms att de uppgifter som är nödvändiga för vårdsökssystemet bör vara aggregerade och utgöras av ett antal väntande patienter och deras faktiska väntetid. Uppgifterna bör vara aggregerade till en sådan nivå att de inte utgör personuppgifter. Eftersom uppgifterna bör vara på aggregerad nivå bör de heller inte omfattas av sekretess. Det bör trots detta införas en skyldighet för den ansvariga myndigheten att lämna ut uppgifter om vårdgivares väntetider. En sådan reglering ger ett tydligt uppdrag till den ansvariga myndigheten att lämna ut uppgifterna. Se även bedömningen om att Socialstyrelsen bör har en uppgiftsskyldighet gentemot den ansvariga myndigheten (se avsnitt 5.5). Det bedöms även finnas behov av andra uppgifter för vårdsökstjänstens funktionalitet. Det handlar om uppgifter om vårdgivares organisation, som t.ex. organisationsnummer för den som bedriver verksamheten, var verk- samheten bedrivs, verksamhetens inriktning. Sådana uppgifter kan dock den ansvariga myndigheten inhämta från grundregistret över vårdgivare (se avsnitt 3.1). Ansvarig myndighet ska lämna ut uppgifter till vårdgivare genom den nationella vårdsökstjänsten Uppgifter ur vårdsöksregistret och uppgifter om väntetider och vård- givares organisation bör tillgängliggöras elektroniskt på ett samlat och enhetligt sätt. En sådan ordning bidrar även till att minska den administra- tiva bördan hos berörda aktörer. Den nationella vårdsökstjänsten beskrivs i avsnitt 5.1 som ett digitalt system som kan möjliggöra för vårdgivare i regionerna att få tillgång till uppgifter om vårdkapacitet i hela landet i syfte att snabbare kunna erbjuda vård till väntande patienter. Tjänsten ska innehålla en sökfunktion som gör det möjligt för vårdgivare att söka efter tillgängliga vårdgivare och vårdenheter utifrån ett specifikt vårdbehov. Mot den bakgrunden bör utlämnande av uppgifter ur vårdsökregistret och uppgifter om väntetider och vårdgivares organisation kunna göras elektroniskt genom den nationella vårdsökstjänsten. Det kan t.ex. ske till en regions ”vårdlots” eller ”vårdgarantikansli”, som hjälper bl.a. verksam- heter med frågor kopplade till vårdgarantin och väntetider. Ytterligare bestämmelser om uppgiftsskyldigheten För att regleringen ska vara så flexibel som möjligt bör vissa bestämmelser om uppgiftsskyldigheten framgå av förordning. Det handlar bl.a. om hur uppgiftsskyldighet ska fullgöras och villkor för åtkomst till vårdsöks- tjänsten. Det föreslås därför att regeringen eller den myndighet som regeringen bestämmer får meddela ytterligare föreskrifter om villkor för åtkomst till sådana uppgifter som ska lämnas ut från vårdsöksregistret. I avsnitt 5.1 bedöms det att E-hälsomyndigheten bör vara ansvarig myndighet. E-hälsomyndigheten bör därför få meddela ytterligare före- skrifter om villkor för åtkomst av uppgifter som ska lämnas ut från vårdsöksregistret. 5.5 Regionens och Socialstyrelsens skyldighet att lämna uppgifter Förslag En region, i egenskap av huvudman för hälso- och sjukvård, ska lämna uppgifter till den ansvariga myndigheten om sitt utbud av hälso- och sjukvård som regionen erbjuder eller har avtalat om enligt hälso- och sjukvårdslagen. Uppgiftsskyldigheten ska inte gälla uppgifter som är säkerhetsskyddsklassificerade enligt säkerhetsskyddslagen. Om de förhållanden för vilka uppgifter lämnats ändras, ska detta skyndsamt anmälas till den ansvariga myndigheten. Regeringen eller den myndighet som regeringen bestämmer ska få meddela ytterligare föreskrifter om uppgifts- och anmälningsskyldig- heten. Bedömning Socialstyrelsen bör på begäran av E-hälsomyndigheten lämna uppgifter om väntetider om det behövs för att vårdgivare ska kunna hitta andra vårdgivare som kan erbjuda vård åt den som omfattas av en annan regions ansvar för hälso- och sjukvård. E-hälsomyndigheten bör få meddela ytterligare föreskrifter om regionens uppgifts- och anmälningsskyldighet. Skälen för förslaget och bedömningen Behov av en skyldighet för regioner att lämna ut uppgifter För att förse vårdsöksregistret med nödvändig information behöver regionerna lämna ut uppgifter om sitt eget utbud av hälso- och sjukvård och sitt avtalade utbud av hälso- och sjukvård enligt 15 kap. 1 § HSL (se avsnitt 5.3). Detta är nödvändigt eftersom syftet med vårdsöksregistret är att ge information om sådana uppgifter som behövs för att en nationell vårdsökstjänst ska kunna möjliggöra för vårdgivare att erbjuda hälso- och sjukvård åt den patient som omfattas av en annan regions ansvar för hälso- och sjukvård. Behovet av komplett och korrekt information kan inte fullt ut säkerställas genom ett uppgiftslämnande som vilar på frivilligt åtagande. Det finns därför behov av att införa en skyldighet för regionen att lämna ut uppgifter om regionens utbud av hälso- och sjukvård till den ansvariga myndigheten. Uppgiftsskyldigheten bör omfatta uppgifter om vilken hälso- och sjukvård som regionen erbjuder, både egen och upphandlad, såsom typ av specialistvård och vilka vårdgivare som utför den vården. Den bör även omfatta uppgifter ur avtal som regionen har med en annan vårdgivare enligt 15 kap. 1 § HSL. Det kan t.ex. röra sig om uppgifter om villkor för nyttjande av en vårdgivares hälso- och sjukvård och under vilken tid som det avtalade utbudet av hälso- och sjukvård gäller. Uppgifterna ska inte innehålla vårddokumentation om en patient (se avsnitt 5.3). Innehållet i uppgifterna ska inte heller vara sådana att de omfattas av sekretess (se avsnitt 7.2). I samband utlämnade av uppgifter behöver den utlämnande regionen ta ställning till om uppgifterna omfattas av uppgiftsskyldigheten och ska lämnas ut. Uppgiftsskyldigheten gäller inte säkerhetsskyddsklassificerade uppgifter Med säkerhetsskyddsklassificerade uppgifter avses i 1 kap. 2 § Av 1 kap.

2 § säkerhetsskyddslagen (2018:585) framgår att säkerhetsskyddsklassi- ficerade uppgifter är sådana som rör säkerhetskänslig verksamhet och som därför omfattas av sekretess enligt offentlighets- och sekretesslagen eller som skulle ha omfattats av sekretess enligt den lagen, om den hade varit tillämplig. Vårdsöksregistret ska föras för att ge information om sådana uppgifter som behövs för en nationell vårdsökstjänst. Det kan i ett fåtal fall finnas uppgifter om en vårdgivares vårdutbud som skulle kunna omfattas av den så kallade försvarssekretessen i 15 kap. 2 § OSL och därmed utgöra säker- hetsskyddsklassificerade uppgifter. Av bestämmelsen framgår att sekretess gäller för uppgift som rör verksamhet för att försvara landet eller plan- läggning eller annan förberedelse av sådan verksamhet eller som i övrigt rör totalförsvaret, om det kan antas att det skadar landets försvar eller på annat sätt vållar fara för rikets säkerhet om uppgiften röjs. För att säker- ställa att säkerhetsskyddsklassificerade uppgifter inte lämnas med stöd av den nya lagen bör det införas ett undantag som innebär att skyldigheten att lämna uppgifter inte gäller säkerhetsskyddsklassificerade uppgifter. Den ansvariga myndigheten bör också informera vårdgivarna om att avsikten inte är att vårdgivaren ska lämna in säkerhetsskyddsklassificerade uppgifter. Anmälningsskyldighet för ändrade förhållanden För att säkerställa att informationen är korrekt i vårdsöksregistret krävs att uppgifter lämnas när förhållandena förändras. Det finns av det skälet anledning att införa en skyldighet för regioner att anmäla förändringar som påverkar de uppgifter som ligger till grund för registreringen. Det kan exempelvis avse förändringar i utbudet av hälso- och sjukvård eller vilken vårdgivare som erbjuder vården. Det kan också handla om när avtal eller avtalsvillkor ändras eller om avtal upphör i förtid. En reglerad anmälningsskyldighet vid ändrade förhållanden bidrar till att minska risken för att uppgifter i vårdsöksregistret blir inaktuella eller missvisande. Den kompletterar därmed regionernas uppgiftsskyldighet och skapar bättre förutsättningar för en kontinuerligt uppdaterad och kvalitetssäkrad informationsmängd. Sådan anmälan bör även göras skyndsamt för att inte riskera felaktig- heter i vårdsöksregistret. Därför bör regionen så snart det är möjligt anmäla ändrade förhållanden till den ansvariga myndigheten. Uppgifter om väntetider behövs för vårdsöksregistret Som framgår av avsnitt 5.4 bedöms det att den ansvariga myndigheten behöver samla in uppgifter om vårdgivares väntetider och tillgängliggöra sådana uppgifter till vårdgivare. Regionerna omfattas redan av en skyldig- het att rapportera in uppgifter om väntetider till en nationell databas enligt 9 kap. 3 § HSL. Av 6 kap. 3 § hälso- och sjukvårdsförordningen framgår att registreringsskyldigheten ska fullgöras genom att regionerna lämnar uppgifter om väntetider till den nationella väntetidsdatabas som förs av Socialstyrelsen. För att minska den administrativa belastningen på de vårdgivare som ska lämna in uppgifter bör uppgifter som redan finns i myndighetsregister, i möjligaste mån, hämtas därifrån i stället för att lämnas in igen till ansvarig myndigheten. Att en sådan återanvändning av uppgifter i vissa fall inte är möjlig beror på bl.a. den tidigare nämnda avsaknaden av semantisk interoperabilitet mellan myndighetsregister samt att det saknas teknisk infrastruktur för att kunna hämta uppgifterna på ett enkelt och automati- serat sätt. Det bedöms dock att uppgifter om vårdgivares väntetider kan inhämtas från Socialstyrelsens väntetidsdatabas. Som framgår av avsnitt 5.4 ska uppgifter om väntetider vara aggregerade och inte innehålla uppgifter som omfattas av sekretess eller är person- uppgifter. Trots det bedöms det att det bör införas en skyldighet för Socialstyrelsen att lämna ut uppgifter om vårdgivares väntetider till ansvarig myndighet. En sådan reglering ger ett tydligt uppdrag till Socialstyrelsen att lämna ut uppgifterna. En sådan uppgiftsskyldighet bör regleras i förordning. I avsnitt 5.1 bedöms det att E-hälsomyndigheten bör vara ansvarig myndighet. Socialstyrelsen bör därför ha en uppgifts- skyldighet gentemot E-hälsomyndigheten. Ytterligare bestämmelser om uppgifts- och anmälningsskyldigheten Eftersom förändringar i de tekniska förutsättningarna ger utrymme för andra, mer ändamålsenliga, informationsflöden, bedöms det inte lämpligt att närmare beskrivning av vilka uppgifter som ska omfattas av regionens uppgiftsskyldighet eller när sådana uppgifter ska lämnas framgår av lag. Det föreslås därför regeringen eller den myndighet som regeringen bestämmer ska få meddela ytterligare föreskrifter om uppgifts- och anmälningsskyldigheten. I avsnitt 5.1 bedöms det att E-hälsomyndigheten bör vara ansvarig registermyndighet. E-hälsomyndigheten bör därför få meddela ytterligare föreskrifter om uppgifts- och anmälningsskyldigheten. 5.6 Regionens skyldighet att uppfylla tekniska och organisatoriska krav Förslag En region ska uppfylla de tekniska och organisatoriska krav som är nödvändiga för att uppgifter i elektronisk form ska kunna lämnas till den ansvariga myndigheten. Det ska i lagen tas in en upplysning om att regeringen eller den myndighet som regeringen bestämmer kan meddela närmare före- skrifter om de tekniska och organisatoriska kraven. Bedömning E-hälsomyndigheten bör få meddela närmare föreskrifter om de tekniska och organisatoriska kraven. Skälen för förslaget och bedömningen I avsnitt 5.5 lämnas förslag om att en region, i egenskap av huvudman för hälso- och sjukvård, ska lämna uppgifter till den ansvariga myndigheten om sitt utbud av hälso- och sjukvård som regionen erbjuder eller har avtalat om enligt 15 kap. 1 § HSL. Det föreslås även att om de för- hållanden för vilka uppgifter lämnats ändras, ska detta skyndsamt anmälas till den ansvariga myndigheten. att vårdgivare ska kunna begära ut uppgifter om var en patients andra vårdgivare. Förslagen innebär således att regioner har en skyldighet att kunna lämna uppgifter till ansvarig myndighet. Regionen bör därför ha ett ansvar att uppfylla tekniska och organisatoriska krav som är nödvändiga för att möjliggöra konsekvent och säkert informationsutbyte mellan vårdgivaren och myndigheten. De tekniska kraven syftar till att säkerställa att vårdgivarens informations- system kan kommunicera med it-funktioner hos den ansvariga myndig- heten. Med organisatoriska krav avses att regionen bl.a. ska ha behovs- och riskanalyser som grund för behörighetstilldelning, policyer för informationssäkerhet och rutiner för incidenthantering. Mot bakgrund av den tekniska utvecklingen bedöms det mest ända- målsenligt att närmare bestämmelser om skyldighet för vårdgivaren att uppfylla vissa tekniska och organisatoriska krav framgår av förordning och myndighetsföreskrifter. Regeringen kan meddela sådana föreskrifter om verkställighet av lag enligt 8 kap. 7 § första stycket 1 regeringsformen. I vissa situationer kan det vara motiverat att ha en upplysnings- bestämmelse om regeringens möjlighet att meddela sådana föreskrifter, då riksdagen lagstiftar inom området för regeringens restkompetens (jfr HFD 2023 ref. 2). När riksdagen har reglerat en viss fråga kan regeringen inte längre använda sin föreskriftsrätt i samma fråga, eftersom en lag endast får ändras genom lag (8 kap. 18 § regeringsformen). Det anses att det i det här fallet bör finnas en bestämmelse som upplyser om att regeringen kan meddela föreskrifter på området. Det föreslås därför att det tas in en upplysning i lagen om att regeringen eller den myndighet som regeringen bestämmer kan meddela närmare föreskrifter om de tekniska och organisa- toriska kraven med stöd av 8 kap. 7 § regeringsformen. Uttrycket närmare föreskrifter innebär att det är verkställighetsföreskrifter som avses. I avsnitt 5.1 bedöms det att E-hälsomyndigheten bör vara ansvarig myndighet. E-hälsomyndigheten bör därför få meddela närmare före- skrifter om de tekniska och organisatoriska kraven. 6 Det ska inte längre krävas samtycke för vårdgivares tillgång till och behandling av personuppgifter Förslag Kravet på patientens samtycke för att en vårdgivare ska få behandla uppgifter som en annan vårdgivare har gjort tillgängliga ska tas bort. I stället ska en vårdgivare få behandla uppgifter som en annan vårdgivare har gjort tillgängliga om patienten inte motsatt sig det. En vårdgivare ska få ges tillgång till personuppgifter som behandlas av andra vårdgivare genom direktåtkomst eller annat elektroniskt utlämnande, om en patient inte motsatt sig att en vårdgivare behandlar uppgifter som en annan vårdgivare har gjort tillgängliga. En vårdgivare ska få ta del av uppgift om vilka andra vårdgivare som har gjort uppgifter tillgängliga om det inte finns anledning att anta att patienten skulle ha motsatt sig det. Bedömning Någon bestämmelse om att patientens samtycke inte krävs om patienten är ett barn som inte kan lämna något samtycke behövs inte. Några ytterligare åtgärder för att tillvarata patientens integritetsskydd behövs inte. Det finns inget behov av ändring i patientdatalagen avseende den enskildes inställning till personuppgiftsbehandling. Skälen för förslaget och bedömningen Bestämmelser om hälso- och sjukvårdspersonalens åtkomst till patienters hälsodata Bestämmelser som rör hälso- och sjukvårdspersonalens åtkomst till hälsodata finns i olika lagar. I patientdatalagen (2008:355), förkortad PDL, finns bestämmelser om åtkomsten avser uppgifter som finns hos samma vårdgivare. I lagen (2022:913) om sammanhållen vård- och omsorgs- dokumentation, förkortad SVOD, finns bestämmelser om åtkomsten avser uppgifter som finns hos olika vårdgivare eller omsorgsgivare. Lagen om sammanhållen vård- och omsorgsdokumentation reglerar åtkomsten till hälsodata mellan vårdgivare och omsorgsgivare genom det elektroniska systemet sammanhållen vård- och omsorgsdokumentation. Av 1 kap. 1 § PDL framgår bl.a. att lagen tillämpas vid vårdgivares behandling av personuppgifter inom hälso- och sjukvården och att det i lagen även finns bestämmelser om skyldigheten att föra patientjournal. I 4 kap. PDL finns bestämmelser om sekretess och elektronisk åtkomst inom en vårdgivares verksamhet. Det finns inte något krav på patientens samtycke i patientdatalagen för att en vårdgivare ska få ta del av uppgifter eller för att få tillgängliggöra uppgifter om patienten som förs helt eller delvis automatiserat elektroniskt. Patientens möjlighet att begränsa den elektroniska åtkomsten till personuppgifter för vårdändamål är enligt 4 kap. 4 § PDL i stället utformad som en rätt att motsätta sig sådan åtkomst för den som arbetar vid en annan vårdenhet eller inom en annan vård- process hos samma vårdgivare. Enligt 1 kap. 3 § SVOD tillämpas lagens bestämmelser på vårdgivares behandling av personuppgifter enligt patientdatalagen. Med samman- hållen vård och omsorgsdokumentation avses ett elektroniskt system som gör det möjligt för en vårdgivare eller omsorgsgivare att ge eller få tillgång, genom direktåtkomst eller annat elektroniskt utlämnande, till personuppgifter hos andra vårdgivare eller omsorgsgivare (1 kap. 1 § SVOD). En vårdgivare får under vissa förutsättningar ges tillgång, genom direktåtkomst eller annat elektroniskt utlämnande, till vissa person- uppgifter som behandlas av andra vårdgivare (2 kap. 1 § SVOD). Innan uppgifter om en patient görs tillgängliga för andra vårdgivare ska patienten av vårdgivare informeras om vad sammanhållen vård- och omsorgsdokumentation innebär, och möjligheten att motsätta sig att uppgifter görs tillgängliga för andra vårdgivare eller omsorgsgivare genom sådan dokumentation (2 kap. 2 § första stycket SVOD). För att en vårdgivare ska få behandla personuppgifter som tillgängliggjorts av en annan vårdgivare krävs enligt 3 kap. 1 § SVOD bl.a. att patienten sam- tycker till det. En patient ska också informeras om att uppgiften om att det finns spärrade uppgifter om patienten och vilken vårdgivare som har spärrat uppgifterna ska göras tillgängliga för andra vårdgivare, och vid fara för patientens liv eller när det annars finns allvarlig risk för dennes hälsa får en annan vårdgivare ta del av uppgift om vilken vårdgivare som har spärrat uppgifterna (2 kap. 2 § andra stycket SVOD). Motsätter sig patienten det, får uppgifter om patienten inte tillgängliggöras för andra vårdgivare och uppgifterna ska genast spärras av vårdgivaren. En vårdnadshavare kan inte motsätta sig att uppgifter om ett barn görs tillgängliga för andra vårdgivare (2 kap. 3 § SVOD). Ordningen har motiverats av en avvägning mellan skyddet för den personliga integriteten och behovet av informationsutbyte för att hälso- och sjukvården ska kunna uppmärksamma barn som far illa samt ta ställning till om en anmälan till socialnämnden ska göras, i syfte att säkerställa att barnet får ett tillräckligt skydd (prop. 2021/22:177 s. 94). Ospärrade uppgifter om en patient ska göras tillgängliga för de vård- givare som är anslutna till sammanhållen vård- och omsorgsdokumenta- tion. Om det finns ospärrade uppgifter om patienten, ska det föras in en uppgift om detta. Andra vårdgivare ska kunna ta del av denna uppgift utan att ta del av uppgiften om vilken vårdgivare som har gjort uppgiften tillgänglig eller av de ospärrade uppgifternas innehåll (2 kap. 4 § SVOD). Av 2 kap. 5 § SVOD följer att uppgift om att det finns spärrade uppgifter om en patient samt uppgift om vilken vårdgivare som har spärrat uppgifterna ska göras tillgängliga för andra vårdgivare. Uppgift om vilken vårdgivare som har spärrat uppgifterna får endast göras tillgängliga för andra vårdgivare under de förutsättningar som anges i 3 kap. 5 och 6 §§ SVOD. Det handlar bl.a. om det finns fara för en patients liv eller det finns allvarlig risk för dennes hälsa. I 2 kap. 6 § SVOD regleras tillgänglig- görande av uppgifter avseende en patient eller en omsorgsmottagare som inte endast tillfälligt saknar förmåga att ta ställning. Samtyckeskravet har varit omdiskuterat Bestämmelser om sammanhållen journalföring reglerades fram till den 1 januari 2023 i 6 kap. patientdatalagen. Samtyckeskravet i dåvarande 6 kap. 3 § PDL har under de senaste 15 åren diskuterats och utretts av flera statliga utredningar. Den statliga utredningen Rätt information i vård och omsorg föreslog i sitt betänkande Rätt information på rätt plats i rätt tid att samtyckeskravet i samband med sammanhållen journalföring skulle tas bort (SOU 2014:23 s. 376). Förslaget motiverades med att patientens samtycke är en grund- läggande förutsättning för att vårda en patient, och att det därför är rimligt att utgå från att patienten även samtycker till den informationshantering som behövs för att få bästa möjliga vård. Integritetskyddsmyndigheten var dock kritisk till förslaget. I ett särskilt yttrande till utredningen anförde myndighetens expert att förslagen kunde leda till en obefogad och okontrollerad spridning av hälsodata bl.a. mot bakgrund att vårdgivarna inte lever upp till bestämmelserna om behörighetsstyrning och åtkomst- kontroll (SOU 2014:23 s. 1219–1228). Riksdagen tillkännagav för regeringen bl.a. det som socialutskottet anfört om digitalisering i vården att regeringen bör se över om dagens krav på ett aktivt samtycke för sammanhållen journalföring bör ändras så att patienten antas samtycka till att vårdgivarna tar del av patientinformation till dess att motsatsen har meddelats (bet. 2019/20:SoU11 p. 18). I en rapport från Sveriges Kommuner och Regioner den 13 maj 2022 föreslogs att samtycke skulle omvärderas vad gäller överföring av hälsodata mellan vårdgivare för att möjliggöra så kallad populationshälsa (Digitala möjligheter som stöd i den nära vården, s. 63). I propositionen Sammanhållen vård- och omsorgsdokumentation påtalades risken med integritetsintrång i och med regler som ökar möjligheten att utbyta information om enskilda genom direktåtkomst eller annat elektroniskt utlämnande inom och mellan vissa verksamheter inom bland annat sjukvården (prop. 2021/22:177). Flera remissinstanser menade att krav på samtycke var onödigt vid utlämnanden av uppgifter inom och mellan verksamheter eftersom det finns en annan rättslig grund än samtycke för informationsutbytet utifrån ett dataskyddsperspektiv. Regeringen konstaterade dock att det är angeläget att patientens förtroende för hälso- och sjukvården inte skadas. Ett krav på samtycke bedömdes därför vara nödvändigt för att säkerställa patientens delaktighet i, och förtroende för vården. Genom att patienten själv kan kontrollera sprid- ningen av sina personuppgifter sätts han eller hon i centrum för informa- tionshanteringen. Regeringen delade därför inte remissinstansernas synpunkter om att möjligheten att kunna begära att uppgifter spärras skulle vara en tillräcklig integritetsstärkande åtgärd och samtyckeskravet togs inte heller bort (s. 113 och 114). I Utredningen om infrastruktur för hälsodata som nationellt intresses betänkande Samordnat juridiskt stöd och vägledning för hälso- och sjukvårdens digitalisering (SOU 2023:83) påtalades behovet av ett samordnat juridiskt stöd och vägledning för hälso- och sjukvårdens digitalisering. Ett område som särskilt pekades ut var reglerna för sam- tycke när det gäller tillgång till bl.a. journaler. En kritik som framfördes avsåg tolkningsutrymmet av reglerna för samtycke. En annan kritik som lyftes var att samtyckesinhämtningen var onödigt betungande, framför allt vid täta och regelbundna läkarkontakter som sker med en och samma patient (s. 35 och 36). I Samordnaren för en nationell digital infrastruktur i hälso- och sjukvårdens betänkande En nationell digital infrastruktur i hälso- och sjukvården (SOU 2026:6) framfördes att en digital infrastruktur för hälso- och sjukvården inte bör utformas så att den skapar beroenden av samtycke (bilaga 2 s. 106). Det framhölls även att användningen av hälsodata just nu befinner sig i ett förändringsskede. Patientföreningar, huvudmän, vårdgivare och vårdprofessioner uppges vara positiva till reformen om en digital infrastruktur för hälso- och sjukvården. Man ser att reformen bidrar till ökad patientsäkerhet, enklare administration och att den skapar bättre och säkrare arbetsprocesser som underlättar för vårdpersonalen att få den information som behövs inför ett vårdbesök (s. 11). Av betänkandet framgår även att representanter från hälso- och sjukvården samt patient- organisationer har uttryckt ett behov av att förändra den rådande synen på informationssäkerhet, från att i första hand undvika oönskad åtkomst till att i större utsträckning undvika otillräcklig åtkomst. En digital infra- struktur för hälso- och sjukvården bör inte utformas så att den skapar beroenden av samtycke. I betänkandes konstateras att krav på samtycke 74 kan leda till problem och ofta tvingas personalen att utveckla temporära lösningar för att kunna utföra vård. Av betänkandet framgår att det är viktigt att vårdgivare ges tillgång till uppgifter, behandlingar, utredningar och bedömningar som har gjorts av andra vårdgivare samt att det i vissa fall finns det en risk för informationsförlust om man inte begär och får patientens godkännande (bilaga 2 s. 104, 106 och 107). Sammantaget kan det konstateras att den återkommande kritiken talar för att den nuvarande ordningen med krav på samtycke inte fullt ut mot- svarar vårdgivares behov av information för att ge rätt vård. Europa- parlamentets och rådets förordning (EU) 2025/327 av den 11 februari 2025 om det europeiska hälsodataområdet och om ändring av direktiv 2011/24/EU och förordning (EU) 2024/2487, förkortad EU:s hälsodata- förordning, som träder i kraft 29 mars 2029 (i dessa delar), medför dessutom att svensk rätt behöver anpassas. I förordningen finns inget krav på att patienten först ska samtycka till att åtkomsten får användas. Tvärtom utgår förordningen ifrån att information ska finnas tillgänglig utan aktiv åtgärd från patienten. EU:s hälsodataförordning möjliggör dock begräns- ningar till åtkomst av personuppgifter genom artikel 8 (patients rättighet att begränsa åtkomst, s.k. spärr) och artikel 10 (patients rättighet till att motsätta sig tillgång, s.k. opt-out). I förhållande till lagen om samman- hållen vård- och omsorgsdokumentation innebär det att samtycke kommer att ersättas av andra rättsliga grunder eller särskilda åtkomst- och skydds- mekanismer. I promemorian Hälsodata ska vara tillgänglig i hela vårdkedjan från utredningen (S 2024:A) Uppdrag att möjliggöra en nationell digital infra- struktur för hälsodata, görs bedömningar och lämnas förslag om patientens rättigheter att dels motsätta sig tillgång till hälsodata (opt-out), dels rättigheten att begränsa tillgången för hälso- och sjukvårdspersonal (spärr) och hur dessa rättigheter ska harmoniseras i nationell rätt och då med anledning av de krav som EU:s hälsodataförordning ställer. Dessa förslag bereds i Regeringskansliet och kommer att hanteras tillsammans med andra bestämmelser om patienters rättigheter och där krav återfinns i EU:s hälsodataförordning. Mot denna bakgrund finns det skäl att överväga om kravet på patientens samtycke i 3 kap. 1 § 2 SVOD för att en vårdgivare ska få behandla uppgifter som en annan vårdgivare har gjort tillgängliga bör tas bort. Kravet på samtycke vid en vårdgivares behandling av uppgifter som en omsorgsgivare har gjort tillgängliga, eller en omsorgsgivares behandling av uppgifter som en vårdgivare har gjort tillgängliga behandlas dock inte i denna promemoria. Samtyckeskravet bör tas bort i lagen om sammanhållen vård- och omsorgsdokumentation för vårdgivare Hälso- och sjukvården har genomgått stora strukturförändringar, patienter vårdas och behandlas av olika vårdgivare, inte sällan i en vårdkedja vilket innebär att antalet yrkesutövare som direkt involveras i vården av en enskild patient har ökat genom åren. Pandemin har tydliggjort vikten av en ökad tillgång till digitala tjänster inom hälsosektorn och komplicerade regelverk, strukturer och processer i medlemsstaterna försvårar tillgång till och att dela hälsodata, särskilt vad gäller gränsöverskridande datadelning (Regeringskansliet Faktapromemoria, 2021/22: FPM97). Tillgång till fullständig och aktuell patientinformation är en central förutsättning för säker diagnostik, behandling och uppföljning. När infor- mationsåtkomst är beroende av samtycke, såsom i lagen om sammanhållen vård- och omsorgsdokumentation, kan det uppstå risker för informations- brist, dubbelarbete eller fördröjd behandling. En reglering som i praktiken begränsar åtkomsten till medicinskt relevant information mellan vård- givare kan därmed stå i konflikt med grundläggande krav på god och säker vård samt vårdgivarens ansvar att fatta välgrundade medicinska beslut. Därutöver medför administrativ hantering av samtycken tids- och resurs- åtgång för vårdpersonal, vilket kan påverka verksamhetens effektivitet. När personalen behöver säkerställa samtycke innan nödvändig infor- mation kan inhämtas, riskerar arbetsprocesser att fördröjas och resurser att omfördelas från patientnära arbete till administration. Detta kan motverka målet om en effektiv och ändamålsenlig offentlig verksamhet. Patientens förtroende för hälso- och sjukvården liksom skyddet för den personliga integriteten är fortsatt viktigt att ta hänsyn till. Men den omständigheten att patientinformation inte finns tillgänglig och därmed kan påverka vården negativt väger också tungt. Om information inte finns tillgänglig kan det även påverka patientens förtroende för hälso- och sjukvården på ett negativt sätt. Samtidigt är det viktigt att lyfta fram de integritetsrisker som kan finnas med att ta bort samtyckes kravet. Ett borttagande av innebär enligt ett särskilt yttrande i SOU 2014:23 att patientens medbestämmande för- svinner. Av yttrandet framgår även att det innebär en risk för en obefogad och okontrollerad spridning av uppgifterna eftersom vårdgivarna i dag inte lever upp till bestämmelserna om behörighetsstyrning och åtkomst- kontroll. Till skillnad från vad som framförs i SOU 2014:23 bedöms ett borttagande av samtycke i lagen om sammanhållen vård- och omsorgs- dokumentation inte innebära att patientens inflytande över uppgifterna försvinner. Det bedöms inte heller finns belägg, i dagsläget, för att ett borttagande av kravet på samtycke skulle leda till okontrollerad spridning av hälsodata. Möjligheten att motsätta sig att en annan vårdgivare får behandla uppgifter, krav på information och behörighetsstyrning och kontroll av åtkomst, kvarstår för patientens inflytande över sina uppgifter. För att tillvarata patientens integritetsskydd finns även bestämmelser om information till patienten och patientens inflytande över tillgänglig- görandet av uppgifterna i 2 kap. 2–5 §§ SVOD. Integritetsskyddet upprätthålls även genom ett system av materiella och organisatoriska skyddsåtgärder. Liksom tidigare är det av central betydelse att vårdgivare har ändamålsenliga rutiner och processer som säkerställer att hälso- och sjukvårdspersonal endast får tillgång till de personuppgifter som är nödvändiga för att fullgöra sina arbetsuppgifter liksom tydliga krav på tilldelning och uppföljning av behörighet till elektronisk åtkomst, och regelbunden kontroll av sådan åtkomst. Den information som lämnas till patienten ska, liksom tidigare, uppfylla kraven på information till den registrerade enligt Europaparlamentets och rådets förordning (EU) nr 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 76 95/46/EG. Ett borttagande av samtycket i lagen om sammanhållen vård- och omsorgsdokumentation för vårdgivare innebär därmed inte att integritets- skyddets nivå sänks, utan att regleringen görs mer systematiskt samman- hållen och ändamålsenlig samtidigt som förutsättningarna för en säker och effektiv informationshantering i vården förbättras. Patientens delaktighet i och förtroende för vården bedöms därför inte påverkas negativt. Några ytterligare åtgärder för att tillvarata patientens integritetsskydd är inte nödvändiga. Förslaget bedöms innebära en godtagbar avvägning mellan intresset av ett borttagande av samtycket och intresset av att skydda den enskildes personliga integritet. Det starka allmänintresset av att tillgängliggöra information om patienten och möjliggöra att all relevant information om patienter finns för vårdgivare i hela vårdkedja står i rimlig proportion till det intrång i den personliga integriteten. Intrånget bedöms följaktligen vara motiverat och proportionerligt i förhållande till vårdgivares behov att behandla patientens personuppgifter enligt de angivna ändamålen i lagen om sammanhållen vård- och omsorgsdokumentation och inom de övriga ramar som anges i den lagen. Sammantaget bedöms det därför att kravet på samtycke till åtkomst inom sammanhållen vård- och omsorgsdokumentation för vårdgivare i 3 kap. 1 § 2 SVOD bör tas bort och ersättas med en möjlighet för patienten att motsätta sig att uppgifter som en annan vårdgivare har gjort tillgängliga får behandlas. Förslaget att ta bort kravet på samtycke är också ett steg mot anpassning av nationell reglering avseende vårdgivares tillgång till elektronisk information om en patient enligt EU:s hälsodataförordning. Som nämns under rubriken Samtyckeskravet har varit omdiskuterat utreds och bereds för närvarande förslag om ytterligare anpassningar av svensk rätt gällande bl.a. patienternas rättigheter med anledning av de krav som ställs i EU:s hälsodataförordning av Utredningen (S 2024:A) Uppdrag att möjliggöra en nationell digital infrastruktur för hälsodata. När samtycket tas bort och ersätts med en bestämmelse om att patienten kan motsätta sig att uppgifter som en annan vårdgivare har gjort tillgängliga får behandlas behöver även vissa följdändring göras i lagen om sammanhållen vård- och omsorgsdokumentation. En ändring som behövs handlar om att en vårdgivare ska få ges tillgång till personuppgifter som behandlas av andra vårdgivare genom direktåtkomst eller annat elektroniskt utlämnande, om en patient inte motsatt sig att en vårdgivare behandlar uppgifter som en annan vårdgivare har gjort tillgängliga. En annan ändring som behöver göras innebär att en vårdgivare under vissa förutsättningar ska få ta del av uppgifter om vilka andra vårdgivare som gjort uppgifter tillgängliga om patienten för det fallet att patienten inte endast tillfälligt saknar förmåga att motsätta sig detta enligt den föreslagna nya bestämmelsen. Det finns också behov av att göra följdändringar i 2 kap. 1 § SVOD som innebär att den föreslagna bestämmelsen läggs till och i 3 kap. 3 § SVOD som innebär att en vårdgivare under vissa förutsättningar får ta del uppgifter om patienten även i den situationen då patienten inte endast tillfälligt saknar förmåga att motsätta sig det. Det bedöms inte finnas behov av ändringar i patientdatalagen (2008:355) avseende den enskildes inställning till personuppgifts- behandling. 77 Barns personuppgifter förtjänar särskilt skydd Av EU:s dataskyddsförordnings skäl 38 framgår att barns personuppgifter förtjänar ett särskilt skydd, eftersom barn kan vara mindre medvetna om de risker, följder och skyddsåtgärder som är förenade med personuppgifts- behandling samt om sina rättigheter i detta avseende. Samtidigt ska barns integritet respekteras, och i takt med att barnet uppnår tillräcklig ålder och mognad bör barnet själv kunna utöva inflytande över och kontroll över sina personuppgifter (prop. 2021/22:177 s. 94–96). På samma sätt som när det gäller samtycke för vuxna ska barns integritet respekteras, och i takt med att barnet uppnår tillräcklig ålder och mognad bör barnet själv kunna utöva inflytande och kontroll över sina person- uppgifter även när det gäller att motsätta sig behandling av person- uppgifter. Det innebär att även barn har rätt att t.ex. få information om personuppgiftsbehandlingen. 7 Offentlighets- och sekretessfrågor 7.1 Sekretess vid sammanhållen vård- och omsorgsdokumentation Förslag Sekretess ska gälla hos en myndighet som bedriver verksamhet inom hälso- och sjukvård för uppgift om en enskilds personliga förhållanden som gjorts tillgänglig av en annan vårdgivare enligt lagen om sammanhållen vård- och omsorgsdokumentation, om patienten motsatt sig att en vårdgivare får behandla uppgifter som en annan vårdgivare har gjort tillgängliga. Sekretess ska också gälla om patienten inte motsatt sig att en vårdgivare får behandla uppgifter som en annan vårdgivare har gjort tillgängliga eller om myndigheten tidigare har behandlat sådana upp- gifter, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men. Bedömning Det behövs ingen ändring i bestämmelserna om tystnadsplikt i patient- säkerhetslagen. Skälen för förslaget och bedömningen Av 25 kap. 1 § offentlighets- och sekretesslagen (2009:400), förkortad OSL, framgår bl.a. att sekretess gäller inom hälso- och sjukvården för uppgift om en enskilds hälsotillstånd eller andra personliga förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående lider men. Av 25 kap. 2 § första stycket OSL framgår att s.k. absolut sekretess 78 gäller hos en myndighet som bedriver hälso- och sjukvård eller annan medicinsk verksamhet för uppgift om en enskilds personliga förhållanden som gjorts tillgänglig av en annan vårdgivare eller omsorgsgivare enligt lagen (2022:913) om sammanhållen vård- och omsorgsdokumentation, förkortad SVOD, om inte förutsättningarna enligt 3 kap. 1, 3, 5 eller 6 § samma lag för att myndigheten ska få behandla uppgiften är uppfyllda. Förutsättningarna handlar bl.a. om krav på patientens samtycke för att en vårdgivare ska få behandla uppgifter som en annan vårdgivare har gjort tillgängliga. Med absolut sekretess avses att uppgifterna inte lämnas ut och att någon skadeprövning inte behöver göras. Den egna vårddokumenta- tionen, som görs tillgänglig för andra anslutna vårdgivare och omsorgs- givare i systemet, regleras av den ordinarie hälso- och sjukvårds- sekretessen i 25 kap. 1 § OSL. Av 25 kap. 2 § andra stycket OSL framgår att om förutsättningarna enligt 3 kap. 1, 3, 5 eller 6 § SVOD är uppfyllda gäller sekretess för uppgift om enskilds personliga förhållanden i stället enligt detta stycke. Detsamma gäller om myndigheten tidigare har behandlat uppgiften med stöd av nämnda bestämmelser i den aktuella lagen. Sekretessen gäller om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men, dvs. med ett omvänt skaderekvisit. Det råder alltså en presumtion för sekretess. I avsnitt 6 föreslås att regleringen om att en vårdgivare ska få behandla uppgifter som en annan vårdgivare har gjort tillgängliga, om patienten samtyckt, ska tas bort från bestämmelsen i 3 kap. 1 § SVOD. I stället ska det införas en ny bestämmelse om att en vårdgivare får behandla uppgifter som en annan vårdgivare har gjort tillgängliga om patienten inte motsatt sig det. Det bör även fortsättningsvis gälla absolut sekretess för uppgift om en enskilds personliga förhållanden som gjorts tillgänglig av en annan vårdgivare, om patienten motsatt sig att en vårdgivare får behandla uppgifter som en annan vårdgivare har gjort tillgängliga. Om patienten inte motsatt sig att en vårdgivare får behandla uppgifter som en annan vård- givare har gjort tillgängliga eller om myndigheten tidigare har behandlat sådana uppgifter bör sekretess också gälla fortsättningsvis, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men. När det gäller enskild verksamhet som bedriver hälso- och sjukvård eller annan medicinsk verksamhet finns bestämmelser om tystnadsplikt i 6 kap. 12–16 §§ patientsäkerhetslagen (2010:659). Tystnadsplikt innebär att upp- gifter inte obehörigen får lämnas ut utanför den verksamhet för vilken tystnadsplikten gäller. Enskilda vårdgivare och omsorgsgivare kan trots reglerna om tystnadsplikt lämna ut uppgifter med stöd av förarbets- uttalandena om att utlämnande från en enskild vårdgivare eller omsorgsgivare inte är att anse som ett obehörigt utlämnande om det sker i överensstämmelse med motsvarande regler i offentlighets- och sekretess- lagen för offentliga vårdgivare och omsorgsgivare (se prop. 2021/22:177 s. 158 och prop. 1980/81:28 s. 23). Det bedöms därför inte finnas något behov av ändring av bestämmelserna om tystnadsplikt i patientsäkerhets- lagen. 7.2 Sekretess hos E-hälsomyndigheten Förslag Sekretess hos E-hälsomyndigheten för uppgift om en enskilds hälso- tillstånd eller andra personliga förhållanden ska inte hindra att uppgifter enligt lagen om ett nationellt register över patienters vårdgivare och lagen om en nationell vårdsökstjänst lämnas till enskilda vårdgivare. Bedömning Det finns inget behov av ytterligare bestämmelser om sekretess. Skälen för förslaget och bedömningen Sekretess i E-hälsomyndighetens verksamhet E-hälsomyndigheten föreslås i denna promemoria vara ansvarig myndig- het för de föreslagna registren och vårdsökstjänsten (se avsnitt 3.1, 4.1 och 5.1). Av 25 kap. 17 a § OSL framgår att sekretess gäller hos E-hälsomyn- digheten för uppgift om en enskilds hälsotillstånd eller andra personliga förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men. I E-hälsomyndighetens verksamhet förekommer också uppgifter som avser enskildas affärs- eller driftsförhållanden. För sådana uppgifter gäller sekretess hos myndigheten, om det kan antas att den enskilde lider skada om uppgiften röjs enligt 25 kap. 17 b § OSL. Det kan handla om uppgifter om försäljning av läkemedel, uppgifter som framkommer i samband med kontroll av en apoteksaktörs elektroniska system för direktåtkomst till uppgifter hos myndigheten eller uppgifter om företags affärsförhållanden i olika samarbeten som myndigheten deltar i. I 25 kap. 17 c § OSL finns vissa sekretessbrytande bestämmelser som innebär att sekretessen enligt 17 a och 17 b §§ i samma kapitel inte hindrar att bl.a. uppgift i den nationella läkemedelslistan lämnas enligt lagen (2018:1212) om nationell läkemedelslista till hälso- och sjukvårds- personal. Uppgifter i grundregistret över vårdgivare bör inte omfattas av sekretess Enligt avsnitt 3.3 ska grundregistret över vårdgivare bl.a. innehålla upp- gifter om vårdgivares organisation, verksamhetens inriktning och kontakt- uppgifter. Registret ska inte få innehålla uppgifter om patienter. Uppgift om vårdgivare och deras organisation bedöms inte omfattas av någon bestämmelse om sekretess. Det rör sig om organisationsuppgifter som förekommer i flera olika myndighetsregister. Inte ens den omstän- digheten att hälso- och sjukvårdsverksamhet kan bedrivas av enskilda näringsidkare medför att ett företagsnamn (firma) eller personnummer alternativt samordningsnummer bedöms omfattas av sekretess. Det får anses ligga i sådana vårdgivares eget intresse att göra dessa uppgifter allmänt tillgängliga för att skapa kännedom om verksamheten. Inte heller bör information om var en verksamhet bedrivs eller om vissa utpekade befattningshavare omfattas av sekretess. Det finns inte behov av nya sekretessbestämmelser för uppgifter i registret över patienters vårdgivare I avsnitt 4.1 lämnas förslag om ett nationellt register över patienters vårdgivare. Där framgår att ett sådant register ska innehålla uppgifter om patientens personnummer, samordningsnummer eller annan identitets- beteckning, patientens vårdgivares organisationsnummer eller mot- svarande identitetsbeteckning och elektroniska kontaktuppgifter. I detta register kommer det behandlas uppgifter om vilken patient som vårdas eller har vårdats hos en vårdgivare samt vårdgivarens identitet. Registret kommer innehålla känsliga personuppgifter eftersom informa- tionen avslöjar att en individ har behandlats inom ramen för hälso- och sjukvård. Uppgifterna avser också hos vilken vårdgivare patienten har varit, vilket i vissa fall kan avslöja något om patientens hälsa, t.ex. om det rör sig om en specialistklinik. Uppgifterna hos E-hälsomyndigheten om vilken patient som vårdas eller har vårdats hos en vårdgivare bedöms omfattas av sekretess enligt bestämmelserna i 25 kap. 17 a § OSL för enskilds hälsotillstånd eller andra personliga förhållanden om förutsättningarna i den bestämmelsen är uppfyllda. Det kan heller inte uteslutas att det skulle kunna finnas uppgifter om patienter som skulle kunna omfattas av den s.k. försvarssekretessen i 15 kap. 2 § OSL. Av den bestämmelsen framgår att sekretess gäller för uppgift som rör verksamhet för att försvara landet eller planläggning eller annan förberedelse av sådan verksamhet eller som i övrigt rör total- försvaret, om det kan antas att det skadar landets försvar eller på annat sätt vållar fara för rikets säkerhet om uppgiften röjs. I avsnitt 4.4 föreslås det därför ett undantag från uppgiftsskyldigheten om att lämna säkerhets- skyddsklassificerade uppgifter enligt säkerhetsskyddslagen (2018:585). Registret över patienters vårdgivare ska även innehålla uppgifter om vårdgivares elektroniska kontaktuppgifter. Sådana uppgifter avser upp- gifter som innehåller information om anropsadresser till informations- system och tekniska tjänster (API:er), dvs. tekniska gränssnitt en organisation tillhandahåller (se avsnitt 4.1). Elektroniska kontaktuppgifter är inte personuppgifter och bedöms inte vara känsliga i övrigt. Det bedöms därför att sådana uppgifter inte omfattas eller bör omfattas av sekretess. Det föreslås även att det ska införas uppgiftsskyldighet för vårdgivare att lämna sådana uppgifter som behövs för registret över patienters vårdgivare (se avsnitt 4.4). Det handlar alltså om uppgifter om vilken patient som vårdas eller har vårdats hos en vårdgivare. Sådana uppgifter kan omfattas av sekretess enligt 25 kap. 1 § OSL. För den enskilda hälso- och sjukvården gäller i stället bestämmelser om tystnadsplikt i 6 kap. 12 § patientsäkerhetslagen. Av den bestämmelsen framgår bl.a. att den som tillhör eller har tillhört hälso- och sjukvårdspersonalen inom den enskilda hälso- och sjukvården inte får obehörigen röja vad han eller hon i sin verksamhet har fått veta om en enskilds hälsotillstånd eller andra personliga förhållanden. Mot den bakgrunden bedöms det inte finnas skäl att införa ytterligare sekretessbestämmelser för uppgifter som hanteras i registret över patienters vårdgivare eller med anledning av föreslagen uppgiftsskyldig- het. Befintliga sekretessbestämmelser bedöms vara tillräckliga. Det finns inte behov av nya sekretessbestämmelser för uppgifter i vårdsökstjänsten och vårdsöksregistret I avsnitt 5.1 lämnas förslag om att en myndighet ska tillhandahålla en nationell vårdsökstjänst och föra ett register över uppgifter om regioners utbud av hälso- och sjukvårdsjukvård (vårdsöksregistret). Det föreslås även att det ska införas en uppgiftsskyldighet för regionen att lämna sådana uppgifter som behövs för myndigheten att föra vårdsöksregistret (avsnitt 5.5). Vårdsöksregistret ska få innehålla uppgifter om regionens egna utbud av hälso- och sjukvårdstjänster och regionens avtalade utbud av hälso- och sjukvård, enligt 15 kap. 1 § hälso- och sjukvårdslagen (2017:30), förkortad HSL. Registret ska inte få inte innehålla uppgifter om patienter (avsnitt 5.3). Uppgifter om regionens utbud av hälso- och sjukvård kan sägas utgöra en detaljerad precisering av sådan information om inriktning för och omfattning av en verksamhet som (på en övergripande nivå) ska anmälas till Inspektionen för vård och omsorg enligt 2 kap. 1 § patientsäkerhets- lagen. Dessa uppgifter bedöms därför som huvudregel inte omfattas av sekretess. Det kan dock finnas uppgifter om vårdutbud som skulle kunna omfattas av den så kallade försvarssekretessen i 15 kap. 2 § OSL, dvs. uppgift som rör verksamhet för att försvara landet eller planläggning eller annan för- beredelse av sådan verksamhet eller som i övrigt rör totalförsvaret, om det kan antas att det skadar landets försvar eller på annat sätt vållar fara för rikets säkerhet om uppgiften röjs. I avsnitt 5.5 föreslås det därför ett undan- tag från uppgiftsskyldigheten om att lämna sådana uppgifter som är säkerhetsskyddsklassificerade enligt säkerhetsskyddslagen. Vårdsöksregistret ska även få innehålla uppgifter från avtal som en region har med en annan vårdgivare enligt 15 kap. 1 § HSL. Det kan t.ex. handla om uppgifter om villkor för nyttjande av den hälso- och sjukvård som en vårdgivare erbjuder, under vilken tid som det avtalade utbudet av hälso- och sjukvård gäller och samband mellan avtal som en vårdgivare har med olika regioner (avsnitt 5.3). Uppgifter från avtal som en region har med en annan vårdgivare och som ingår i registret skulle kunna direkt eller indirekt omfattas av enskilds affärs- eller driftsförhållande. Enskilds affärs- eller driftsförhållanden kan t.ex. vara uppgifter om anbud, kund- listor eller tillverkningsmetoder. Enligt 25 kap. 17 b § gäller sekretess hos E-hälsomyndigheten för uppgift om en enskilds affärs- eller driftsför- hållanden, om det kan antas att den enskilde lider skada om uppgiften röjs. Hos regionen kan motsvarande uppgifter omfattas av sekretess enligt 19 kap. 1 § och 31 kap. 16 § OSL. Av bestämmelsen i 19 kap. 1 § OSL framgår bl.a. att sekretess gäller i en myndighets affärsverksamhet för uppgift om myndighetens affärs- eller driftförhållanden, om det kan antas att någon som driver likartad rörelse gynnas på myndighetens bekostnad om uppgiften röjs. Av 31 kap. 16 § OSL följer bl.a. att sekretess gäller för uppgift om en enskilds affärs- eller driftförhållanden när denne har trätt i affärsförbindelse med en myndighet, om det av särskild anledning kan antas att den enskilde lider skada om uppgiften röjs. Med affärs- och driftförhållanden avses förvärv, överlåtelse, upplåtelser eller användning av egendom, tjänster eller annat, t.ex. elektricitet, gas, vatten eller värme. Hit räknas också affärshemligheter av mera allmänt slag som marknadsundersökningar, marknadsplaneringar, prissättnings- kalkyler och planer rörande reklamkampanjer (prop. 1979/80:2 Del A s. 145). När en region tecknar ett avtal med en privat vårdgivare angående erbjudande av hälso- och sjukvård ingås en affärsförbindelse mellan parterna. Om avtalet innehåller uppgifter om den enskildes affärs- eller driftförhållanden kan alltså uppgifterna omfattas av sekretess. De upp- gifter som är relevanta för vårdsöksregistret och vårdsökstjänsten ska vara sådana som innehåller information om hälso- och sjukvårdsutbudet, personalens kompetens, lokalernas utformning, utrustning och sjukvårds- produkter. Det handlar också om vissa grundläggande uppgifter av administrativ karaktär, såsom avtalsidentifikation, med stöd av vilken lagstiftning hälso- och sjukvårdstjänsterna har upphandlats och på vilken webbplats som, i förekommande fall, avtalet finns lagrat. Prisuppgifter ska inte samlas in. Utifrån behovsbilden och angivna exempel kan de uppgifter som är aktuella för vårdsöksregistret och vårdsökstjänsten komma att innehålla information om regionens och enskildas affärs- eller driftförhållanden. Däremot bör inte uppgifterna för de fall de röjs vara av sådan karaktär att någon som driver likartad rörelse gynnas på myndighetens bekostnad eller att det kan antas att den enskilde lider skada. Det kan också tilläggas att det inte är ovanligt att regioner redovisar sina avtal och tillgängliggör dessa på sina för ändamålet avsedda webbplatser. I övrigt kommer vårdsökstjänsten hantera uppgifter om vårdgivares väntetider från Socialstyrelsens väntetidsdatabas och uppgifter ur grundregistret över vårdgivare. Dessa uppgifter bedöms inte omfattas av sekretess (se avsnitt 5.4). Sammantaget bedöms det inte finns anledning att införa ytterligare sekretessbestämmelser för uppgifter som hanteras i vårdsöksregistret och vårdsökstjänsten. Befintliga bestämmelser bedöms vara tillräckliga. Det finns behov av ytterligare sekretessbrytande bestämmelser Enligt 8 kap. 1 § OSL gäller sekretess som huvudregel både mot enskilda och mot andra svenska myndigheter. I vissa fall måste dock myndigheter kunna utbyta uppgifter för att kunna utföra sina uppgifter. Sekretess- regleringen innehåller därför särskilda sekretessbrytande bestämmelser. Dessa har utformats efter en intresseavvägning mellan myndigheternas behov av att utbyta uppgifter och det intresse som den aktuella sekretess- bestämmelsen avser att skydda. En sekretessbrytande bestämmelse innebär att en sekretessbelagd uppgift får lämnas ut under vissa förutsätt- ningar (3 kap. 1 § OSL). Sekretessbrytande bestämmelser som gäller i förhållande till svenska myndigheter kan införas i offentlighets- och sekretesslagen eller i lag eller förordning som offentlighets- och sekretesslagen hänvisar till (8 kap. 1 § OSL). Någon hänvisning till den lag eller förordning som innehåller en sekretessbrytande bestämmelse behöver dock inte tas in i offentlighets- och sekretesslagen, om bestämmelsen i fråga utformas som en uppgifts- skyldighet enligt 10 kap. 28 § första stycket OSL. Av den bestämmelsen framgår att sekretess inte hindrar att en uppgift lämnas till en annan myndighet, om det finns en uppgiftsskyldighet som följer av lag eller förordning. Författningsreglerade uppgiftsskyldigheter gör alltså att den sekretessbrytande bestämmelsen i 10 kap. 28 § blir tillämplig. För utlämnande till en privat aktör krävs däremot att en sekretessbrytande bestämmelse införs i offentlighets- och sekretesslagen för att en myndighet ska kunna fullgöra sin uppgiftsskyldighet. I avsnitt 4.3 lämnas förslag om att registermyndigheten ska lämna ut uppgifter från registret över patienters vårdgivare till offentliga och privata vårdgivare. Det framgår även att vissa av de uppgifter som ska lämnas ut omfattas av sekretess enligt 25 kap. OSL. Uppgiftsskyldigheten gentemot offentliga vårdgivare får dock en sekretessbrytande effekt enligt 10 kap.

3 § I denna lag avses med 1. vårdgivare: statlig myndighet, kommun och region i fråga om sådan hälso- och sjukvård som myndigheten, regionen eller kommunen har ansvar för, samt annan juridisk person eller enskild näringsidkare som bedriver hälso- och sjukvård, och 2. hälso- och sjukvård: verksamhet som omfattas av hälso- och sjukvårdslagen (2017:30), tandvårdslagen (1985:125), lagen (1991:1128) om psykiatrisk tvångsvård, lagen (1991:1129) om rättspsykiatrisk vård, lagen (2001:499) om omskärelse av pojkar, smittskyddslagen (2004:168), lagen (2018:744) om försäkringsmedicinska utredningar, lagen (2019:1297) om koordineringsinsatser för sjukskrivna patienter och lagen (2021:363) om estetiska kirurgiska ingrepp och estetiska injektionsbehandlingar samt verksamhet inom detaljhandel med läkemedel enligt lagen (2009:366) om handel med läkemedel. I paragrafen anges vad som avses med vissa uttryck i lagen. Över- vägandena finns i avsnitt 3.2. Med uttrycket vårdgivare i punkt 1 avses de som är statliga myndigheter, regioner, kommuner och andra juridiska personer eller enskilda närings- idkare i Sverige och som bedriver hälso- och sjukvård. Det innebär att uttrycket vårdgivare omfattar vårdgivare med offentlig huvudman, dvs. både regionalt och kommunalt, liksom statligt tillhandahållen vård. Likaså omfattas vårdgivare som är en fysisk person som bedriver hälso- och sjukvårdsverksamhet i en enskild firma eller en juridisk person t.ex. ett aktiebolag, en stiftelse, ett handelsbolag eller liknande. Sådana vårdgivare kan bedriva verksamhet med eller utan offentlig finansiering. Den som samtidigt bedriver både hälso- och sjukvård och annan verksamhet kan anses som vårdgivare avseende den del som rör hälso- och sjukvård. Det gäller bl.a. tillhandahållande av elevhälsa enligt skollagen (2010:800), företagshälsovård enligt arbetsmiljölagen (1977:1160), eller hälso- och sjukvård enligt fängelselagen (2010:610). Med uttrycket hälso- och sjukvård i punkt 2 avses verksamhet som omfattas av de i punkten uppräknade lagarna. Definitionen av hälso- och sjukvård i denna lag motsvarar den bredare definitionen i patient- säkerhetslagen (2019:659). Uttrycken vårdgivare och hälso- och sjukvård överensstämmer i sakligt hänseende med hur uttrycken vårdgivare och hälso- och sjukvård är utformade i patientrörlighetsdirektivet (Europaparlamentets och rådets direktiv 2011/24/EU av den 9 mars 2011 om tillämpningen av patienträttigheter vid gränsöverskridande hälso- och sjukvård). Lagens förhållande till annan dataskyddsreglering

4 § Denna lag kompletterar Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävandet av direktiv 95/46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskyddsförordning. Ord och uttryck i lagen har samma betydelse som i förordningen. Vid behandling av personuppgifter enligt denna lag gäller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen. Paragrafen anger lagens förhållande till annan dataskyddsreglering. Övervägandena finns i avsnitt 8.2. I paragrafens första stycke anges att lagen kompletterar EU:s dataskyddsförordning. Det innebär att lagen inte kan tillämpas fristående, utan endast tillsammans med EU:s dataskyddsförordning. EU:s data- skyddsförordning är direkt tillämplig men förutsätter eller tillåter i vissa avseenden nationella bestämmelser som kompletterar förordningen. Av paragrafens andra stycke framgår lagens förhållande till lagen med kompletterande bestämmelser till EU:s dataskyddsförordning, förkortad dataskyddslagen. Dataskyddslagen, som kompletterar EU:s dataskydds- förordning på nationell generell nivå, är subsidiär i förhållande till denna lag. Bestämmelsen innebär att om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen, gäller dataskydds- lagen. Innehåll i registret

5 § Registret över patienters vårdgivare får innehålla uppgifter om 1. patientens personnummer, samordningsnummer eller motsvarande identitets- beteckning, 2. patientens vårdgivares organisationsnummer eller motsvarande identitets- beteckning, 3. vilket elektroniskt journalsystem som innehåller uppgifter om patienten, och 4. vårdgivares elektroniska kontaktuppgifter. I paragrafen regleras innehållet i registret över patienters vårdgivare. Över- vägandena finns i avsnitt 4.1. Av paragrafen framgår att registret över patienters vårdgivare får innehålla uppgifter om patientens personnummer, samordningsnummer eller motsvarande identitetsbeteckning. En motsvarande identitetsbe- teckning kan t.ex. vara direkt hänförliga personuppgifter, såsom att personnummer ersätts med ett löpnummer i det analysmaterial som myndigheten arbetar med och att en kodnyckel med de direkt hänförliga personuppgifterna förvaras separat från övriga uppgifter i registret. Registret får också innehålla uppgifter om patientens vårdgivares organisationsnummer, vilket elektroniskt journalsystem som innehåller uppgifter om patienten och elektroniska kontaktuppgifter till vårdgivare. Med elektroniskt journalsystem avses hälso- och sjukvårdens elektroniska system som innehåller journalhandlingar med uppgifter om patientens hälsotillstånd eller andra personliga förhållanden eller om vidtagna eller planerade vårdåtgärder (jfr 1 kap. 3 § patientdatalagen [2008:355]). Med elektroniska kontaktuppgifter avses t.ex. anropsadresser till vårdgivares informationssystem och tekniska tjänster. Närmare bestämmelser om innehållet i registret enligt punkt 4 får meddelas i verkställighetsföreskrifter enligt 17 §. Utlämnande av uppgifter ur registret

6 § Registermyndigheten ska på begäran av en vårdgivare lämna ut uppgifter ur registret över patienters vårdgivare för att vårdgivaren ska kunna lokalisera andra vårdgivare för vård av en viss patient. Uppgifterna får lämnas ut elektroniskt på annat sätt än genom direktåtkomst. Paragrafen innehåller en uppgiftsskyldighet för registermyndigheten. Övervägandena finns i avsnitt 4.3 och 8.3.5. Av första stycket framgår att registermyndigheten har en skyldighet att på begäran av en vårdgivare lämna ut uppgifter ur registret över patienters vårdgivare för att vårdgivare ska kunna lokalisera andra vårdgivare för vård av en viss patient. Uppgiftsskyldigheten syftar till att vårdgivare ska få tillgång till information om sin patient från andra vårdgivare som patienten varit eller är registrerad hos. Uppgiftsskyldigheten omfattar endast sådana uppgifterna som behövs för vårdgivaren ska kunna lokalisera patientens andra vårdgivare för vård av en viss patient. Det handlar om uppgifter om vilken vårdgivare som har vårddokumentation som behövs för vård av patienten och vid vilken elektronisk adress som informationen finns hos den andra vårdgivaren. Med uppgifter från registermyndigheten kan alltså den begärande vårdgivaren efterfråga uppgifter om aktuell patient från andra berörda vårdgivare. Uppgifterna ur registret ska inte innehålla vårddokumentation om en patient. Det innebär att inga personuppgifter som behandlas för direkta vårdsyften får tillgängliggöras eller tas emot i registermyndighetens infrastruktur. Registermyndighetens informationssystem och registret ska i stället bidra till att flödet av hälsodata mellan vårdgivare kan ske på ett säkert och effektivt sätt. I samband med en begäran om uppgifter ur registret över patienters vårdgivare behöver den begärande vårdgivaren precisera vilka uppgifter som den vill få del av. Den utlämnande myndigheten får i samband med detta ta ställning till om uppgifterna omfattas av uppgiftsskyldigheten och ska lämnas ut. De uppgifter som lämnas ut kan komma omfattas av sekretess enligt 25 kap. 17 a eller 17 b § offentlighets- och sekretesslagen (2009:400), förkortad OSL. Uppgiftsskyldigheten enligt paragrafen har sekretess- brytande verkan enligt 10 kap. 28 § OSL och sekretessen hindrar därför inte ett utlämnade till offentliga vårdgivare. Av 25 kap. 17 c § 4 OSL följer att sekretess enligt 25 kap. 17 a eller 17 b § OSL inte heller hindrar att uppgift lämnas enligt lagen till enskilda vårdgivare. Enligt andra stycket får uppgifter lämnas ut elektroniskt på annat sätt än genom direktåtkomst. Ett elektroniskt utlämnande av personuppgifter måste vara förenligt med kraven i EU:s dataskyddsförordning på säkerhet och skydd av personuppgifter. Det innebär att det som utgångspunkt inte är tillåtet att lämna ut känsliga personuppgifter via vanlig e-post. Personuppgifter får inte lämnas ut genom direktåtkomst. Direktåtkomst innebär att en mottagare har direkt tillgång till någon annans register eller databas och därigenom på egen hand kan ta del av information (se HFD 2015 ref. 61). Som exempel på annat elektroniskt utlämnande än genom direktåtkomst kan nämnas utlämnande i en digital tjänst, på en webbplats, via digitala lösningar såsom API, på USB-minne eller genom e-post. Den form för utlämnande som sannolikt är mest vanlig vid överföring av större informationsmängder är dock direkt överföring från ett datorsystem till ett annat (jfr prop. 2022/23:34 s. 209). Ändamål

7 § Registermyndigheten ska elektroniskt tillhandahålla uppgifter ur grund- registret för 1. att ge information om vårdgivare, 2. att möjliggöra utbyte av information mellan vårdgivare, och 3. nationella digitala tjänster på hälso- och sjukvårdsområdet. Registret ska hållas tillgängligt hos registermyndigheten. Paragrafen innehåller en skyldighet för registermyndigheten att elektroniskt tillhandahålla uppgifter ur grundregistret över vårdgivare. Övervägandena finns i avsnitt 3.6. Av paragrafens första stycke framgår att registermyndigheten elektroniskt ska tillhandahålla uppgifter ur grundregister över vårdgivare. Det innebär att myndigheten har en skyldighet att elektroniskt lämna ut uppgifter ur grundregistret till fysiska eller juridiska personer. Med elektroniskt utlämnande avses såväl utlämnande genom direktåtkomst som annat elektroniskt utlämnande, t.ex. utlämnande via digitala lösningar för informationsöverföring av datamängder, exempelvis genom ett s.k. API. Tillhandahållandet av uppgifter ur registret ska uppfylla vissa ändamål. Av punkt 1 följer att ett tillhandahållande av uppgifter ska göras för att ge information om vårdgivare till exempelvis andra vårdgivare eller myndigheter. Det kan handla om utlämnande till Inspektionen för vård och omsorg för myndighetens tillsynsverksamhet. Av punkt 2 följer att tillhandahållandet av uppgifter ska göras för att möjliggöra utbyte av information mellan vårdgivare. Det kan handla om att en vårdgivare behöver hitta sin patients hälsodata hos en annan vårdgivare och därmed behöver få information om vårdgivarens kontaktuppgifter. Av punkt 3 framgår att tillhandahållandet av uppgifter ska göras för nationella digitala tjänster på hälso- och sjukvårdsområdet. Det kan handla om att tillhandahålla uppgifter om vårdgivares organisation till en nationell vårdsökstjänst enligt lagen (2027:000) om en nationell vårdsöks- tjänst. Av andra stycket framgår att registret ska hållas tillgängligt hos registermyndigheten. Det innebär att myndigheten behöver distribuera uppgifter ur registret på ett ändamålsenligt sätt. Det kan t.ex. göras genom direktåtkomst, i en digital tjänst, på en webbplats, via digitala lösningar såsom API eller att en konsoliderad fil innehållande många olika filer med uppgifter bifogas med e-post, genom s.k. bulknedladdning. Att mottagaren har ett kontinuerligt eller stort behov av uppgifterna i sin verksamhet kan tala för att direktåtkomst är lämpligt. Motsatsvis bör direktåtkomst till uppgifter som mottagaren sällan kan komma att behöva, eller som inte är av särskilt stor betydelse för mottagaren, inte aktualiseras särskilt ofta. Behov av direktåtkomst kan t.ex. aktualiseras i situationer som omfattar ett informationsförsörjningsuppdrag, när uppgifterna är offentliga eller vid informationsöverföring mellan olika självständiga verksamhetsgrenar inom en myndighet. Närmare bestämmelser om tillgängliggörandet av registret enligt andra stycket får meddelas i verkställighetsföreskrifter enligt 12 §. Uppgifts- och anmälningsskyldighet för vårdgivare

8 § E-hälsomyndigheten får meddela närmare föreskrifter om de tekniska och organisatoriska kraven enligt 15 § lagen (2027:00) om en nationell vårdsökstjänst. Denna förordning träder i kraft de n 1 juli 2027. 2 Hälsodatas tillgänglighet i hela vårdkedjan 2.1 En nationell digital infrastruktur Av Tidöavtalet, som är en politisk överenskommelse mellan Sverige- demokraterna, Moderaterna, Kristdemokraterna och Liberalerna, framgår att hälsodata ska bli tillgängliga i hela vårdkedjan för all vård, såväl kommunal som regional, och för tandvård oavsett huvudman. Regeringen har mot den bakgrunden en målsättning om att inrätta en nationell digital infrastruktur för elektroniskt informationsutbyte inom hälso- och sjukvården och för hälsodata där staten tar ett större ansvar. Med en nationell digital infrastruktur avses tekniska och organisatoriska resurser som stöder och möjliggör informationsutbytet mellan och inom olika verksamheter och sektorer. Infrastruktur avser inte omfatta digitala tjänster såsom nationell jämförelsetjänst. Med hälsodata avses en persons dokumenterade information om vårddata, biologiska data, eller livsstils- data. Avsaknaden av en gemensam digital infrastruktur för hälsodata och brist på tydlig styrning och samordning har lett till åtskilliga separata lösningar runt om i landet, vilket försvårat datadelningen mellan olika vårdgivare. Följden blir att nödvändiga uppgifter om patientens vård inte alltid följer med patienten i dennas kontakter med hälso- och sjukvården. En nationell digital infrastruktur ska kunna bidra till att öka kvaliteten i vården, förbättra patientsäkerheten, stärka patientens ställning och minska den administrativa bördan för hälso- och sjukvårdens medarbetare. Regeringen beslutade därför den 22 januari 2024 att ge en utredare i uppdrag att biträda Socialdepartementet med att bl.a. analysera och föreslå åtgärder som möjliggör en nationell digital infrastruktur för hälsodata (S2024/00100). Utredningen (S 2024:A) lämnade sin delredovisning i promemorian Hälsodata ska vara tillgänglig i hela vårdkedjan i september 2025. Regeringen har även gett E-hälsomyndigheten flera uppdrag i olika faser av arbetet med att inrätta en nationell digital infrastruktur för elektroniskt informationsutbyte inom hälso- och sjukvården. Den 1 april 2026 fick E-hälsomyndigheten i uppdrag att etablera en nationell digital infrastruk- tur för data inom hälsa, vård och omsorg. Uppdraget innebär att fortsätta genomföra och vidareutveckla den nationella digitala infrastrukturen för hälso- och sjukvård, tandvård och socialtjänst (S2026/00701). Av upp- draget framgår att E-hälsomyndigheten ska etablera och vidareutveckla en robust och säker nationell digital infrastruktur som skapar förutsättningar för att samtliga vårdgivare i Sverige ska kunna dela data med varandra. I detta ingår även att E-hälsomyndigheten ska utveckla, etablera och drift- sätta nödvändiga tekniska komponenter i infrastrukturen samt utveckla strukturer för samverkan med berörda aktörer. Arbetet ska bedrivas på ett sätt som möjliggör ett stegvis införande av en nationell digital infra- struktur. 2.2 Lagen om sammanhållen vård- och omsorgsdokumentation Sammanhållen vård- och omsorgsdokumentation är ett elektroniskt system som gör det möjligt för en vårdgivare eller omsorgsgivare att ge eller få tillgång, genom direktåtkomst eller annat elektroniskt utlämnande, till personuppgifter hos andra vårdgivare eller omsorgsgivare. Systemet regleras i lagen (2022:913) om sammanhållen vård- och omsorgs- dokumentation och ger förutsättningar för ett informationsutbyte av hälsodata mellan vård- och omsorgsgivare. Enligt 3 kap. 1 § samma lag krävs det att patienten samtycker till att hälsodata görs tillgängligt för andra. Detta försvårar möjligheten att dela information mellan olika vårdgivare och kravet på samtycke har kritiserats av flera statliga utredningar, som bl.a. Rätt information i vård och omsorg (SOU 2014:23), Utredningen om infrastruktur för hälsodata som nationellt intresse (SOU 2023:83) och Samordnaren för en nationell digital infrastruktur i hälso- och sjukvården (SOU 2026:6). Kritiken består bl.a. i att nuvarande ordning inte fullt ut motsvarar vårdgivares behov av information för att ge rätt vård och att samtyckesinhämtningen kan vara onödigt betungande för hälso- och sjukvårdspersonal. Det är viktigt ur ett patientsäkerhetsperspektiv att vårdgivare ges tillgång till uppgifter, behandlingar, utredningar och bedömningar som har gjorts av andra vårdgivare. I vissa fall finns det en risk för informationsförlust om vårdgivaren inte känner till att det finns andra uppgifter och därför inte begär och får patientens godkännande. 2.3 EU:s hälsodataförordning Kommissionen har beslutat att införa ett gemensamt hälsodataområde, European Health Data Space, EHDS. I Europaparlamentets och rådets förordning (EU) 2025/327 av den 11 februari 2025 om det europeiska hälsodataområdet och om ändring av direktiv 2011/24/EU och förordning (EU) 2024/2487, här benämnd EU:s hälsodataförordning, regleras området. Förordningen ska tillämpas från och med den 26 mars 2027. Syftet med förordningen är att underlätta delning och utbyte av hälsodata. De förslag som lämnas i denna promemoria är ett steg mot anpassning av nationell reglering avseende vårdgivares tillgång till elektronisk information om en patient enligt EU:s hälsodataförordning. I promemorian föreslås dock inga kompletterande bestämmelser till den förordningen. De kompletterande bestämmelser och åtgärder som behövs för att anpassa svensk rätt till förordningen hanteras inom ramen för Uppdraget att möjliggöra en nationell digital infrastruktur för hälsodata (S 2024:A). 2.4 En nationell vårdförmedling Av Tidöavtalet följer även att en nationell vårdförmedling i statlig regi ska inrättas. Syftet med nationell vårdförmedling är att tillgängliggöra hela landets vårdkapacitet för patienter i behov av vård och att förkorta vänte- tiderna inom hälso- och sjukvården. Att korta vårdköerna är en av regeringens högsta prioriteringar. Vård kan i dag förmedlas mellan regioner, det saknas dock såväl nationellt sammanställda data och som digitala verktyg för att ge stöd och underlätta vårdförmedling nationellt. Mot den bakgrunden har regeringen gett E-hälsomyndigheten flera uppdrag. Bland annat gav regeringen den 15 maj 2025 Socialstyrelsen och E-hälsomyndigheten i uppdrag att utveckla och etablera arbetet med nationell vårdförmedling (S2022/01372, S2023/02117 och S2025/00971). Myndigheterna delredovisade uppdraget i februari 2026 i delredo- visningen Utveckla och etablera arbetet med nationell vårdförmedling (E- hälsomyndigheten och Socialstyrelsen, 2026). Genom det digitala stöd för nationell vårdförmedling som E-hälsomyndigheten utvecklat kommer väntande patienter enklare kunna erbjudas vård hos en annan vårdgivare med kortare väntetider oavsett var i landet denna vårdgivare finns. En nationell vårdförmedling är även beroende av att det finns ett rättsligt ramverk. Av den anledningen ändrade regeringen den 3 juli 2024 utred- ningens (S 2024:A) uppdrag till att i en delredovisning analysera de rättsliga förutsättningarna för att kunna inrätta en nationell vårdförmed- ling. Utredningen redovisade i mars 2025 promemorian Rättsliga förut- sättningar för en nationell vårdförmedling innehållande förslag om en ny lag som ger E-hälsomyndigheten i uppgift att samla in och tillhandahålla uppgifter om vårdgivare och deras organisation, utbud av hälso- och sjukvård samt regioners avtal med vårdgivare som erbjuder hälso- och sjukvårdstjänster. 2.5 Utgångspunkter för regleringen Utgångspunkten för förslagen i denna promemoria är att skapa ett tydligt och transparent regelverk. I promemorian lämnas förslag på tre nya lagar. I lagen om grundregister över vårdgivare föreslås att ett register ska föras för att tillhandahålla en samlad, kvalitetssäkrad och enhetligt strukturerad informationsmängd om vårdgivares organisation. I lagen om ett nationellt register över patienters vårdgivare föreslås att ett register ska föras för att ge information om sådana uppgifter som behövs för att lokalisera en patients vårdgivare. Lagen om en nationell vårdsökstjänst syftar till att förenkla för vårdgivare att hitta tillgänglig hälso- och sjukvård hos andra vårdgivare i en annan region. Det lämnas även förslag på anslutande förordningar. Förslagen utgör ett första steg i genomförandet av en nationell digital infrastruktur på hälsodataområdet och ska underlätta för informations- utbytet av hälsodata mellan vårdgivare i hela vårdkedjan. Förslagen är förberedande inför de krav som kommer ställas på vårdgivare i EU:s hälsodataförordning, t.ex. om skyldighet att dela hälsodata mellan vårdgivare. Förslagen ger även rättsliga förutsättningar för att regioner enklare ska kunna söka efter ledig vårdkapacitet i syfte att underlätta nationell vårdförmedling. 3 Grundregister över vårdgivare 3.1 Det ska införas en ny lag Förslag Den myndighet som regeringen bestämmer (registermyndigheten) ska genom en ny lag ges möjlighet att på ett ändamålsenligt sätt föra ett register över uppgifter om vårdgivare (grundregistret). Grundregistret över vårdgivare ska föras för att tillhandahålla samlad, kvalitetssäkrad och enhetligt strukturerad information om vårdgivares organisation. Bedömning Befintliga myndighetsregister eller andra källor med information om vårdgivare och deras organisation är inte heltäckande eller enhetligt strukturerade på ett sådant sätt att de kan användas för den nationella digitala infrastrukturen eller en nationell vårdsökstjänst. E-hälsomyndigheten bör vara registermyndighet enligt den särskilda lagen. Skälen för förslaget och bedömningen Det finns behov av en samlad information om vårdgivare I flera myndighetsrapporter påpekas att det finns ett behov av ändamåls- enliga register över uppgifter om vårdgivare för att kunna identifiera vårdgivare i Sverige. Det kan t.ex. handla om myndigheters behov av uppgifter om vårdgivare för tillsyn, uppföljning av läkarintyg på vård- givarnivå eller för brottsförebyggande åtgärder. Det framgår bl.a. av Socialstyrelsens rapport Kartläggning av datamängder av nationellt intresse på hälsodataområdet – slutrapport, oktober 2022, Försäkrings- kassans och Socialstyrelsens slutredovisning Rapport – Fortsatt uppdrag att skapa förutsättningar för uppföljningar av läkarintyg, oktober 2022, och Brottsförebyggande rådets rapport Välfärdsbrott mot kommuner och regioner (2022:1). Behovet av en samlad information om landets vårdgivare har föranlett flera regeringsuppdrag till E-hälsomyndigheten. En nationell och gemen- sam informationsresurs för uppgifter över vårdgivare och på sikt även utförare av socialtjänst har i flera regeringsuppdrag benämnts vård- och omsorgsgivarkatalogen (S2023/02118, S2025/00971 och S2025/00972). Av E-hälsomyndighetens tredje delredovisning Nationell katalog över vårdgivare och utförare av socialtjänst framgår att katalogen över upp- gifter om vård- och omsorgsgivare kan fungera som en gemensam, heltäckande och kvalitetssäkrad källa för information om aktörer inom sektorn hälsa, vård och omsorg samt som en del av den framväxande nationella digitala infrastrukturen (februari 2026). Av promemoria Rättsliga förutsättningar för en nationell vårdförmedling framgår att en vårdgivarkatalog är en förutsättning för en nationell vårdförmedling eftersom det i den digitala tjänsten behövs information om vilka vårdgivare som finns. Av promemorian framgår även att uppgifter ur ett sådant register kan återanvändas i verksamhetssystem och i e-tjänster hos t.ex. tandläkare, apotek eller andra aktörer som behöver information om vårdgivare i sin verksamhet. Det kan därmed konstateras att det finns behov av en uttömmande informationskälla över vårdgivare som kan tillhandahållas myndigheter, aktörer inom hälso- och sjukvården samt andra berörda som har behov av kvalitetssäkrade uppgifter om vårdgivares organisationer och deras verksamhet. En sådan informationskälla är en förutsättning för nationell digital infrastruktur och nationell vårdförmedling. Det som av E-hälsomyndigheten benämns vård- och omsorgsgivar- katalog bör delas upp i syfte att möjliggöra ett bredare användningsområde och skapa förutsättningar för en skalbar reglering av även framtida när- liggande initiativ inom hälso- och sjukvårdssektorn. En grunddatamängd om vårdgivare bör regleras särskilt och i stället benämnas som ett register. Uppgifter om omsorgsgivare behandlas inte inom ramen för denna promemoria. Vissa uppgifter om vårdgivare finns redan i befintliga informationskällor Vissa av de informationskategorier om vårdgivare som bedöms vara nödvändiga för bl.a. den nationella digitala infrastrukturen för hälso- och sjukvården och nationell vårdförmedling finns redan i befintliga informa- tionskällor. Inspektionen för vård och omsorg (IVO) är skyldig att bl.a. föra ett automatiserat register över anmälda verksamheter samt över vissa sjukvårdsinrättningar och enheter, det s.k. vårdgivarregistret, enligt 2 kap.

9 § Den ansvariga myndigheten ska på begäran av en vårdgivare lämna ut uppgifter ur vårdsöksregistret om det behövs för att vårdgivare ska kunna hitta andra vårdgivare som kan erbjuda vård åt den som omfattas av en annan regions ansvar för hälso- och sjukvård. Paragrafen innehåller en uppgiftsskyldighet för den ansvarige myndig- heten. Övervägandena finns i avsnitt 5.4. Av paragrafen framgår att den ansvariga myndigheten har en skyldighet att på begäran av en vårdgivare lämna ut uppgifter ur vårdsöksregistret om det behövs för att vårdgivare ska kunna hitta andra vårdgivare som kan erbjuda vård åt den som omfattas av en annan regions ansvar för hälso- och sjukvård. Uppgiftsskyldigheten syftar till att ge information om vårdgivares utbud av hälso- och sjukvård så att vårdgivare kan hitta tillgänglig hälso- och sjukvård hos andra vårdgivare i andra regioner. Det handlar alltså om uppgifter om vilken hälso- och sjukvård som regionen erbjuder, såsom vård och behandling, och vilka regionala vårdgivare som utför den vården, såsom sjukhus eller specialistkliniker. Det handlar även om uppgifter om regioners avtal med andra vårdgivare om hälso- och sjukvård enligt 15 kap. 1 § HSL, såsom uppgifter om det avtalade utbudet av hälso- och sjukvård, villkor för nyttjande av en upphandlad vårdgivares hälso- och sjukvård och under vilken tid som det avtalade utbudet av hälso- och sjukvård gäller. Uppgifterna ska inte innehålla vårddokumentation om en patient (se kommentaren till 8 §). Vad som avses med vårdgivare och hälso- och sjukvård framgår 6 §. Vad som avses med den nationella vårdsökstjänsten framgår av 2 §. I samband med en begäran om uppgifter ur vårdsöksregistret behöver den begärande vårdgivaren precisera vilka uppgifter som den vill få del av. Enligt 11 § ska uppgifterna lämnas ut genom den nationella vårdsökstjänsten.

10 § Personuppgifter som behandlas enligt 8 § får behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med de ändamål som uppgifterna samlades in för. Paragrafen innehåller en bestämmelse om den s.k. finalitetsprincipen i dataskyddsförordningen. Övervägandena finns i avsnitt 8.3.3. Bestämmelsen tydliggör att finalitetsprincipen i artikel 5.1 b i EU:s data- skyddsförordning gäller vid behandling av personuppgifter enligt lagen. Utvidgad behandling av personuppgifter enligt denna paragraf förutsätter att uppgifterna har samlats in för något av de primära ändamål som anges i 8 §. Bestämmelsen är utformad i nära anslutning till artikel 5.1 b i förordningen och bör tolkas på samma sätt. Detta innebär bl.a. att behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 i förordningen inte ska anses vara oförenlig med de ursprungliga ändamålen. Det innebär också att de omständigheter som anges i artikel 6.4 i förordningen ska beaktas vid bedömningen av om behandlingen är förenlig med finalitetsprincipen. Bestämmelsen medför t.ex. att det kan vara tillåtet att samköra uppgifter från registret över patienters vårdgivare med uppgifter från andra register under förutsättning att ändamålet med en sådan behandling inte är oförenligt med de ändamål som anges i 8 §. Känsliga personuppgifter

11 § patientsäkerhetslagen (2010:659), förkortad PSL. Registret får användas för tillsyn och forskning samt för framställning av statistik (2 kap. 11 § första stycket PSL). Den som avser att bedriva hälso- och sjukvårdsverksamhet är skyldig att anmäla sin verksamhet till IVO senast en månad innan verksamheten påbörjas. En anmälan ska även göras till IVO om verksamheten helt eller till väsentlig del förändras eller flyttas (2 kap. 1 och 2 §§ PSL). Vid sidan av IVO:s register finns också andra register som innehåller vissa relevanta informationsmängder över vårdgivare, framför allt den elektroniska Hälso- och sjukvårdens adressregisterkatalog (HSA- katalogen). HSA-katalogen tillhandahålls av Inera AB, som är ett bolag som samägs av Sveriges Kommuner och Regioner (SKR) och av kommuner och regioner. HSA-katalogen innehåller uppgifter om organisation och personer inom vård och omsorg i Sverige och utgör en källa för att styra behörighet när användare loggar in i tjänster och system tillhandahållna av Inera AB, bl.a. för åtkomst till personuppgifter. Samtliga kommuner och regioner liksom ett stort antal privata vård- givare använder HSA-katalogen. Innehållet i HSA-katalogen bygger på att uppgifter lämnas frivilligt till Inera AB, vilket samtidigt är en förutsättning för att kunna nyttja tillhandahållna tjänster, såsom Nationell patient- översikt (NPÖ), som ger tillgång till journaluppgifter från andra vård- givare. Befintliga informationskällor ger inte en heltäckande bild av vårdgivare Av både E-hälsomyndighetens delredovisning Uppdrag att ta fram en nationell katalog över vårdgivare och utförare av socialtjänst (2023, s. 32) och utredningens (S 2024: A) promemoria Rättsliga förutsättningar för en nationell vårdförmedling (2025 s. 32–35) framgår att befintliga informa- tionskällor, såsom bl.a. HSA-katalogen, IVO:s vårdgivarregister, om- sorgsregister och säkerhetsregister, inte, var för sig, fullt ut kan tillgodose statens behov av strukturerade och standardiserade uppgifter om organisa- tion och verksamheter för vårdgivare. IVO:s vårdgivarregister, som innehåller uppgifter om vårdgivare, får användas för myndighetens tillsynsverksamhet och forskning samt för framställning av statistik och är därför, av förklarliga skäl, inte anpassat för att användas för sådana ändamål som är avsikten med den nationella digitala infrastrukturen eller nationell vårdförmedling. Det har tidigare identifierats att uppgifter som samlas in för tillsynsändamål är svåra att använda för andra ändamål än just tillsyn (se t.ex. Socialstyrelsens rapport Kartläggning av datamängder av nationella intresse på hälsodatområdet, 2022). IVO:s vårdgivarregister, i sin nuvarande tekniska och semantiska ut- formning, bedöms inte heller innehålla information på den detaljerings- grad som krävs för den nationella digitala infrastrukturen. De inlämnade uppgifterna är inte strukturerade på ett sådant sätt att dessa kan tillgodose behoven för den nationella digitala infrastrukturen eller nationell vård- förmedling (se avsnitt 5). Även innehållet i HSA-katalogen är otillräckligt för den nationella digitala infrastrukturen eftersom denna förutsätter enhetligt strukturerade och interoperabla grunddata för att möjliggöra säkert och effektivt informationsutbyte mellan vårdgivare. Bristen på enhetlighet mellan myndighetsregister och tjänster innebär även att definitioner av informationskategorier samt processer för insamling av uppgifter skiljer sig åt. Skillnaderna påverkar register- uppgifternas struktur och kvalitet. När uppgifter anges på olika sätt blir det ofta svårt och ibland inte möjligt för olika system att kommunicera på ett effektivt sätt. Mot den bakgrunden bedöms att de befintliga myndighetsregister eller andra källor över information om vårdgivare och deras organisation, inte är heltäckande eller enhetligt strukturerade på ett sådant sätt att de kan återanvändas för den nationella digitala infrastrukturen eller nationell vårdförmedling. Det finns därmed ett behov av ett nytt grundregister över vårdgivare som kan tillgodose behovet av strukturerade och standardi- serade uppgifter om vårdgivarens organisation och verksamheter. Ett grundregister bör ha ett brett syfte Ett nytt grundregister över vårdgivare bör kunna ha som syfte att ge en samlad och aktuell bild av vilka vårdgivare som finns i landet, hur deras verksamheter är organiserade, var verksamhet bedrivs och hur verksamheterna kan kontaktas. Av E-hälsomyndighetens slutredovisning, Uppdrag att ta fram en nationell katalog över vårdgivare och utförare av socialtjänst, framgår att ett sådant register bör utgöra en gemensam, kvalitetssäkrad och heltäckande informationskälla som kan användas både i verksamhetsflöden och vid informationsutbyte mellan olika aktörer (april 2025, s. 4). Ett grundregister över vårdgivare bedöms vara en viktig del i regeringens arbete med ökad interoperabilitet och förbättrad datadelning inom hälso- och sjukvården. Inom den nationella digitala infrastrukturen kan grundregistret över vårdgivare användas av infrastrukturens prioriterade komponenter för olika syften. Grundregistret över vårdgivare kan t.ex. användas tillsammans eller samköras med andra register. I avsnitt 4 lämnas förslag om ett nationellt register över patienters vårdgivare som syftar till att lokalisera en patients vårdgivare. Grundregistret över vård- givare kan användas som kontrollfunktion som säkerställer att endast vårdgivare förekommer i registret över patienters vårdgivare, vilket förbättrar träffsäkerhet och kvalitet på uppgifterna i det registret (se avsnitt 3.2). Ett grundregister över vårdgivare kan även användas vid anslutning till den nationella digitala infrastrukturen. Registret kan i detta samman- hang nyttjas som referens som en del av identifieringen och verifieringen en vårdgivare. Uppgifter från grundregistret över vårdgivare kan också användas för att stödja den nationella vårdsökstjänsten (se avsnitt 5.1). Utöver att vara korrekta och aktuella måste uppgifter om vårdgivare ha en detaljerings- grad och vara strukturerade på ett sådant sätt som gör att vårdsökstjänsten kan uppnå nödvändig funktionalitet (se avsnitt 5.2). Det vårdsökssystem som E-hälsomyndigheten har i uppdrag att utveckla och förvalta är avsett att ge regionerna stöd i arbetet med att erbjuda vård inom vårdgarantins gränser (S2022/01372). Uppdraget har resulterat i en första version av en vårdsökstjänst i form av ett digitalt vårdsökssystem, som ska möjliggöra för regionerna att bl.a. se tillgänglig vårdkapacitet i hela landet (Uppdrag att genomföra en förstudie om hur ett nationellt vårdsöksystem kan utvecklas, organiseras och förvaltas, E-hälsomyndigheten, 2025). Ett grundregister över vårdgivare kan förse vårdsökstjänster med uppgifter om vårdgivare och bör ses som ett verktyg för den nationella vårdför- medling som regeringen inrättar för att korta köerna inom hälso- och sjukvården (se avsnitt 5.1). Över tid bedöms även ett kvalitetssäkrat och aktuellt grundregister över vårdgivare kunna användas i fler sammanhang för fler samhällsnyttiga syften. Registret kan exempelvis få betydelse för samhällets beredskap genom att underlätta för att uppgifter snabbare kan delas och samman- ställas vid kriser och andra allvarliga störningar. Därutöver finns ett tydligt kontroll- och tillsynsintresse för samlade uppgifter över vårdgivare i landet. I promemorian Förbättrade förutsättningar för IVO – förslag för att motverka oseriösa och kriminella aktörer inom hälso- och sjukvården (Ds 2025:17) framgår bl.a. hur oseriösa och kriminella aktörer kan undandra sig tillsyn genom att inte anmäla sig till IVO eller att underlåta att anmäla ändrade förhållanden om sin verksamhet. Detta försvårar en effektiv tillsyn och kan ytterst få konsekvenser för såväl patientsäkerheten som riktigheten i offentliga utbetalningar. Ett grundregister över vårdgivare kan även användas som informations- källa i den webbaserade nationella jämförelsetjänsten av vårdgivare som E-hälsomyndigheten fått i uppdrag av regeringen att utveckla och tillhandahålla (S2025/01280). Utöver det kan grundregistret över vård- givare vara en del i de tekniska lösningar som ska användas vid 29 lokalisering och delning av hälsodata enligt Europaparlamentets och rådets förordning (EU) 2025/327 av den 11 februari 2025 om det europeiska hälsodataområdet och om ändring av direktiv 2011/24/EU och förordning (EU) 2024/2487, här benämnd EU:s hälsodataförordning. Mot denna bakgrund görs bedömningen att ett grundregister över vårdgivare bör ha ett tydligt och övergripande syfte att tillhandahålla en samlad, kvalitetssäkrad och enhetligt strukturerad informationsmängd över vårdgivare så att informationen kan tillhandahållas i olika syften. E-hälsomyndigheten bör vara ansvarig registermyndighet E-hälsomyndigheten är expertmyndighet för frågor som rör digitala tjänster inom hälso- och sjukvårdsområdet. Enligt 1 § förordningen (2013:1031) med instruktion för E-hälsomyndigheten framgår bl.a. att E- hälsomyndigheten ska ansvara för och tillhandahålla den nationella digitala infrastrukturen för hälso- och sjukvård, tandvård, socialtjänst och verksamhet enligt lagen (1993:387) om stöd och service till vissa funktionshindrade (LSS-verksamhet) samt ansvara för de register och it- funktioner som öppenvårdsapotek och vårdgivare behöver ha tillgång till för en patientsäker och kostnadseffektiv läkemedelshantering. E-hälsomyndigheten har även haft flera regeringsuppdrag om den nationella digitala infrastrukturen och om en nationell katalog över vårdgivare och utförare av socialtjänst. Mot den bakgrunden bedöms E-hälsomyndigheten vara väl lämpad som ansvarig registermyndighet att föra ett grundregister över vårdgivare på ett ändamålsenligt sätt. Bestämmelser om grundregistret över vårdgivare bör regleras i en särskild lag Bestämmelser om grundregistret över vårdgivare innebär ett ansvar för registermyndigheten att föra ett register på ett ändamålsenligt sätt. I de informationsmängder som behövs för registret finns, om än i begränsad omfattning, uppgifter som innehåller personuppgifter (se avsnitt 8.2). Eftersom det inte kommer röra sig om en omfattande personuppgifts- behandling eller ett särskilt känsligt innehåll bör det inte krävas reglering i lag enligt 2 kap. 6 § regeringsformen (se avsnitt 8.2). Informations- försörjningen av registret förutsätter skyldigheter för såväl offentliga som privata vårdgivare att lämna uppgifter till registermyndigheten (se avsnitt 3.4 och 3.7). Det bedöms därför att bestämmelser om grundregistret över vårdgivare bör regleras i lag. Det är även ändamålsenligt att bestämmelser om uppgiftsskyldighet och övrig behövlig reglering hålls samman. Av den anledningen och eftersom det inte framstår som lämpligt att införa samtliga nya bestämmelser i gällande lagar på området, såsom hälso- och sjukvårdslagen (2017:30), förkortad HSL, föreslås en särreglering i form av en ny lag. Den nya lagen ska benämnas lagen om grundregister över vårdgivare. För att regleringen ska bli så flexibel som möjligt bör vissa bestäm- melser om grundregistret över vårdgivare regleras i förordning eller myndighetsföreskrifter. Det handlar bl.a. om innehållet i grundregistret (se avsnitt 3.3), uppgiftsskyldighet för vårdgivare (se avsnitt 3.4), hur uppgifter ur registret ska tillgängliggöras (se avsnitt 3.6) och vissa tekniska och organisatoriska krav som ska ställas på vårdgivare (se avsnitt 3.7). 3.2 Uttrycken vårdgivare och hälso- och sjukvård i lagen Förslag Den nya lagen ska innehålla följande definitioner: 1. vårdgivare: statlig myndighet, kommun och region i fråga om sådan hälso- och sjukvård som myndigheten, regionen eller kommunen har ansvar för, samt annan juridisk person eller enskild näringsidkare som bedriver hälso- och sjukvård, och 2. hälso- och sjukvård: verksamhet som omfattas av hälso- och sjuk- vårdslagen, tandvårdslagen, lagen om psykiatrisk tvångsvård, lagen om rättspsykiatrisk vård, lagen om omskärelse av pojkar, smittskyddslagen, lagen om försäkringsmedicinska utredningar, lagen om koordineringsinsatser för sjukskrivna patienter och lagen om estetiska kirurgiska ingrepp och estetiska injektionsbehandlingar samt verksamhet inom detaljhandel med läkemedel enligt lagen om handel med läkemedel. Skälen för förslaget Uttrycket vårdgivare i grundregistret över vårdgivare För att det ska vara tydligt vilka aktörer som omfattas av lagens bestäm- melser bör uttrycket vårdgivare definieras. Definitionen av uttrycket vårdgivare i den nya lagen bör bestämmas så att den motsvarar det identifierade informationsbehovet. Syftet med grundregistret över vårdgivare är att inhämta och tillgängliggöra information om relevanta verksamhetsutövare inom hälso- och sjukvårdssektorn i Sverige. Uppgifterna ska vara avsedda att stödja datakvaliteten i och funktionaliteten av andra förekommande delar i den digitala infrastrukturen, som t.ex. uppgifterna i registret över patienters vårdgivare (se avsnitt 4.1). Som en fristående informationskälla har innehållet ytter- ligare användningsområden, bl.a. för försörjning av befintliga och framtida digitala tjänster på hälso- och sjukvårdsområdet. Det bedöms även att grundregistret ska kunna tillhandahålla uppgifter över vårdgivare till den nationella vårdsökstjänsten (se avsnitt 5.1). Avsikten är också att andra myndigheter och aktörer som har behov av tillförlitliga uppgifter om vårdgivares organisation och verksamhet ska kunna använda informa- tionen, exempelvis i tillsynsverksamhet eller för analyser relaterade till välfärdsbrottslighet. I E-hälsomyndighetens uppdrag att ta fram en nationell katalog över vårdgivare och utförare av socialtjänst har regeringen framhållit att den nationella katalogen över vårdgivare ska möjliggöra att information kan tillhandahållas om samtliga vårdgivare och utförare av hälso- och sjukvård i Sverige (S2023/02118). Mot den bakgrunden är det viktigt att lagen om grundregister över vårdgivare innehåller en bred definition av vilka verksamhetsutövare som ska innefattas i uttrycket vårdgivare. Flertalet lagar som är relevanta för hälso- och sjukvården definierar på ett identiskt eller snarlikt sätt uttrycket vårdgivare, som i t.ex. patient- datalagen (2008:355), patientsäkerhetslagen, hälso- och sjukvårdslagen och lagen (2022:913) om sammanhållen vård- och omsorgsdokumenta- tion. I de nämnda lagarna avses med vårdgivare en statlig myndighet, region och kommun i fråga om sådan hälso- och sjukvård som myndig- heten, regionen eller kommunen har ansvar för samt annan juridisk person eller enskild näringsidkare som bedriver hälso- och sjukvård. Definitionen bör därför lämpligen utformas i enlighet med den vanligaste breda definitionen av vårdgivare i författningar på hälso- och sjukvårdsområdet. Med vårdgivare bör därför avses vårdgivare med offentlig huvudman, dvs. både regionala och kommunala vårdgivare. En vårdgivare kan även vara en fysisk person som bedriver hälso- och sjukvårdsverksamhet i en enskild firma eller en juridisk person t.ex. ett aktiebolag, en stiftelse, ett handelsbolag eller liknande. Sådana vårdgivare kan bedriva verksamhet med eller utan offentlig finansiering. Den som samtidigt bedriver både hälso- och sjukvård och annan verk- samhet kan anses som vårdgivare avseende den del som rör hälso- och sjukvård, bl.a. när det är fråga om elevhälsa enligt skollagen (2010:800), företagshälsovård enligt arbetsmiljölagen (1977:1160). Sådana vårdgivare omfattas också av definitionen. Även statliga myndigheter som bedriver hälso- och sjukvård omfattas, t.ex. Kriminalvården, Försvarsmakten, Rättsmedicinalverket, Statens institutionsstyrelse samt universitet och högskolor. Typiskt för de statliga vårdgivarna är att hälso- och sjukvård inte utgör deras kärnverksamhet utan att den bedrivs parallellt med annan verksamhet. Myndigheterna är således underkastade sjukvårdslagstiftning endast i den del av deras verksamhet som innefattar hälso- och sjukvård. Uttrycket hälso- och sjukvård i hälso- och sjukvårdslagen… Den valda utformningen av definitionen av vårdgivare i grundregistret över vårdgivare förutsätter också att uttrycket hälso- och sjukvård behöver definieras. Av 2 kap. 1 § HSL framgår att med hälso- och sjukvård avses sådana åtgärder för att medicinskt förebygga, utreda och behandla sjukdomar och skador. Det framgår även att åtgärder som sjuktransporter och omhänder- tagande av avlidna omfattas av uttrycket hälso- och sjukvård. Lagen är tillämplig på individinriktad patientvård och omfattar såväl sjukdoms- förebyggande åtgärder som den egentliga sjukvården. Till individinriktade förebyggande åtgärder räknas bl.a. all verksamhet som har till syfte att uppspåra hälsoproblem av skilda slag, t.ex. allmänna och riktade hälso- kontroller, vaccinationer, hälsoupplysning liksom mödra- och barnhälso- vård (prop. 1981/82:97 s. 111). Även hälso- och sjukvårdsåtgärder med anledning av medfödda skador samt graviditet och barnsbörd innefattas i uttrycket hälso- och sjukvård. I uttrycket ryms också exempelvis åtgärder i samband med abort och sterilisering (se prop. 1981/82:97 s. 111). Speciallagarna för dessa verksamhetsområden, abortlagen (1974:595) och steriliseringslagen (1975:580), reglerar de närmare förutsättningarna för sådana ingrepp, men inte nödvändigtvis alla övriga förhållanden som hänger samman med verksamheterna. Motsvarande gäller i fråga om transplantationer enligt lagen (1995:831) om transplantation m.m., och lagen (2024:237) om vissa kirurgiska ingrepp i könsorganen. Även vård enligt lagen (1991:1128) om psykiatrisk tvångsvård, lagen (1991:1129) om rättspsykiatrisk vård, och smittskydds- lagen (2004:168) är hälso- och sjukvård. Till hälso- och sjukvården hör även företagshälsovården, elevhälsan och studerandehälsovården, oaktat att dessa verksamhetsgrenar delvis faller utanför den hälso- och sjukvård som de offentliga huvudmännen i den egenskapen har att svara för. Även sådan verksamhet som regleras i lagen (2006:351) om genetisk integritet m.m. är hälso- och sjukvård. Till sin ordalydelse kan alltså definitionen av hälso- och sjukvård i hälso- och sjukvårdslagen sägas vara icke uttömmande och förhållandevis vidsträckt. Enligt lydelsen omfattar definitionen – beskriven som åtgärder med vissa syften – också sjukdomar och skador i munhålan. Detta är dock inte avsikten. Från hälso- och sjukvårdslagens tillämpningsområde undantas uttryckligen tandvården (2 kap. 1 § andra stycket). Tandvården regleras i stället i tandvårdslagen (1985:125), och definieras däri som åtgärder för att förebygga, utreda och behandla sjukdomar och skador i munhålan (1 § tandvårdslagen). … och i patientsäkerhetslagen Uttrycket hälso- och sjukvård har en bredare definition i patientsäker- hetslagen än den i hälso- och sjukvårdslagen och omfattar, utöver de verksamheter som omfattas av hälso- och sjukvårdslagen, fler verksam- heter som är att anse som hälso- och sjukvård. Av 1 kap. 2 § patientsäkerhetslagen framgår att med hälso- och sjukvård avses även verksamhet som omfattas av tandvårdslagen, lagen om om- skärelse av pojkar, lagen (2018:744) om försäkringsmedicinska utredningar, lagen (2019:1297) om koordineringsinsatser för sjukskrivna patienter, lagen (2021:363) om estetiska kirurgiska ingrepp och estetiska injektionsbehandlingar, lagen (2024:237) om vissa kirurgiska ingrepp i könsorganen samt verksamhet inom detaljhandel med läkemedel enligt lagen (2009:366) om handel med läkemedel. Lagen syftar till att främja patientsäkerhet inom hälso- och sjukvård och därmed jämförlig verksamhet (1 kap. 1 §). Av lagens förarbeten framgår att med uttrycket därmed jämförlig verksamhet avses sådan verksamhet som regleras i 5 kap. och 7 kap. 2 § patientsäkerhetslagen och verksamheter vid enheter för rättspsykiatriska undersökningar (prop. 2009/10:210 s. 188). Uttrycket hälso- och sjukvård i grundregistret över vårdgivare Med beaktande av den nya lagens syfte är den definition av hälso- och sjukvård som finns i hälso- och sjukvårdslagen inte tillräcklig. I stället är den bredare definitionen i patientsäkerhetslagen mer ändamålsenlig. Därigenom inkluderas hälso- och sjukvårdslagen och annan verksamhet som är medicinskt motiverad, som verksamheter enligt lagen om psyki- atrisk tvångsvård, lagen om rättspsykiatrisk vård och smittskyddslagen. Verksamheter enligt tandvårdslagen och lagen om handel med läkemedel kommer också omfattas av definitionen av uttrycket hälso- och sjukvård. Därutöver inkluderas vissa verksamheter som inte anses vara hälso- och sjukvård i hälso- och sjukvårdslagens mening, men som genererar hälsodata, såsom verksamheter enligt lagen om genetisk integritet m.m., lagen om försäkringsmedicinska utredningar och lagen om koordinerings- insatser för sjukskrivna patienter. Andra verksamheter som inte heller anses vara hälso- och sjukvård i hälso- och sjukvårdslagens mening men för vilka det finnas behov av tillsyn och att säkerställa skyddet för den enskilde i dennes kontakt med hälso- och sjukvårdspersonal, som lagen om estetiska kirurgiska ingrepp och estetiska injektionsbehandlingar samt lagen om vissa kirurgiska ingrepp i könsorganen. En sådan definition av uttrycket hälso- och sjukvård möter även regeringens ambition om en heltäckande informationskälla över vård- givare. Både författningstekniskt och de föreslagna definitionernas sakliga innehåll överensstämmer även med hur uttrycken vårdgivare och hälso- och sjukvård är utformade i patientrörlighetsdirektivet (Europapar- lamentets och rådets direktiv 2011/24/EU av den 9 mars 2011 om tillämpningen av patienträttigheter vid gränsöverskridande hälso- och sjukvård), till vilka hänvisningar görs i EU:s hälsodataförordning. I båda rättsakterna avses således med vårdgivare varje fysisk eller juridisk person eller varje annan entitet som lagligen bedriver hälso- och sjukvård på en medlemsstats territorium. Med hälso- och sjukvård avses hälso- och sjukvårdstjänster som hälso- och sjukvårdspersonal tillhandahåller patienter i syfte att bedöma, bibehålla eller återställa deras hälsotillstånd, inbegripen förskrivning, utlämning och tillhandahållande av läkemedel och medicinska hjälpmedel (artikel 2.1 b i EU:s hälsodataförordning och artikel 3 a och 3 g i patientrörlighetsdirektivet). I likhet med vad som är fallet med patientsäkerhetslagen bör definitionen av hälso- och sjukvård innehålla en förteckning över sådana författningar om verksamheter vilka anses utgöra hälso- och sjukvård enligt den föreslagna lagen. Därmed preciseras innebörden även för definitionen av vårdgivare. 3.3 Innehållet i grundregistret över vårdgivare Förslag Grundregistret över vårdgivare ska få innehålla uppgifter om vård- givares organisation. Registret ska inte få innehålla uppgifter om patienter. Det ska i lagen tas in en upplysning om att regeringen eller den myndighet regeringen bestämmer kan meddela närmare föreskrifter om innehållet i grundregistret över vårdgivare. Bedömning Grundregistret över vårdgivare bör innehålla uppgifter om 1. vårdgivares namn och organisationsnummer, 2. kontaktuppgifter till de organisatoriska enheterna inom vårdgivares organisation och befattningshavare inom vårdgivares organisation, 3. var vårdgivare bedriver verksamhet, 4. vårdgivares verksamhetsinriktning, 5. organisationssamband mellan olika vårdgivare och deras verksamheter, och 6. vårdgivares tillstånd eller förbud att bedriva verksamhet patientsäkerhetslagen. Skälen för förslaget och bedömningen Syftet med grundregistret över vårdgivare är att inhämta och tillgänglig- göra information om vårdgivares organisation. Uppgifterna är även avsedda att stödja datakvaliteten i och funktionaliteten av andra förekom- mande och avsedda delar i den nationella digitala infrastrukturen, som uppgiftssamlingarna i registret över patienters vårdgivare (se avsnitt 4). Grundregistret över vårdgivare är även en förutsättning för en nationell vårdsökstjänst (se avsnitt 5). För att uppnå syftet med ett grundregister över vårdgivare behöver det således innehålla uppgifter om vårdgivares organisation. Av E-hälso- myndighetens slutredovisning Uppdrag att ta fram en nationell katalog över vårdgivare och utförare av socialtjänst framgår att en katalog över vårdgivare möjliggör tillhandahållande av olika typer av information om exempelvis uppgifter om huvudman, organisations- och kontaktuppgifter, geografisk plats samt verksamheternas innehåll och målgrupp (april 2025, s. 20). Grundregistret över vårdgivare bör därför innehålla uppgifter om t.ex. vårdgivares namn, organisationsnummer, kontaktuppgifter till vårdgivares verksamhet, var vårdgivare bedriver verksamhet, vårdgivares verksam- hetsinriktning, organisatoriska enheter inom vårdgivares verksamhet, organisationssamband mellan olika vårdgivares verksamheter och tillstånd eller förbud för vårdgivare att bedriva hälso- och sjukvårdsverksamhet. Grundregistret över vårdgivare syftar till att på ett korrekt sätt återspegla vilka aktörer som bedriver hälso- och sjukvård. De uppgifter som ska tillgängliggöras i grundregistret över vårdgivare bör därför inte innehålla uppgifter om patienter. Det bedöms även att uppgifter i grundregistret över vårdgivare inte ska innehålla sådana uppgifter som omfattas av sekretess. Överväganden om sekretess med anledning av förslagen om ett grund- register över vårdgivare behandlas närmare i avsnitt 7.2. För att regleringen ska vara så flexibel som möjligt bör det närmare innehållet i grundregistret över vårdgivare framgå av förordning. Regeringen kan meddela sådana föreskrifter om verkställighet av lag med stöd av 8 kap. 7 § första stycket 1 regeringsformen. I vissa situationer kan det vara motiverat att ha en upplysningsbestämmelse om regeringens möjlighet att meddela sådana föreskrifter, då riksdagen lagstiftar inom området för regeringens restkompetens (jfr HFD 2023 ref. 2). När riksdagen har reglerat en viss fråga kan regeringen inte längre använda sin föreskriftsrätt i samma fråga, eftersom en lag endast får ändras genom lag (8 kap. 18 § regeringsformen). Det anses att det i det här fallet bör finnas en bestämmelse som upplyser om att regeringen kan meddela föreskrifter 35 på området. Det föreslås därför att det tas in en upplysning i lagen om att regeringen eller den myndighet som regeringen bestämmer kan meddela närmare föreskrifter om innehållet i grundregistret över vårdgivare med stöd av 8 kap. 7 § regeringsformen. Uttrycket närmare föreskrifter innebär att det är verkställighetsföreskrifter som avses. 3.4 Vårdgivares uppgiftsskyldighet gentemot registermyndigheten Förslag Vårdgivare ska till registermyndigheten lämna de uppgifter som är nödvändiga för att föra ett grundregister över vårdgivare. Skyldigheten gäller inte sådana uppgifter som är säkerhetsskyddsklassificerade enligt säkerhetsskyddslagen. Om de förhållanden för vilka uppgifter lämnats ändras, ska det skyndsamt anmälas till registermyndigheten. Regeringen eller den myndighet som regeringen bestämmer ska få meddela ytterligare föreskrifter om uppgifts- och anmälningsskyldig- heten. Bedömning E-hälsomyndigheten bör få meddela ytterligare föreskrifter om vårdgivares uppgifts- och anmälningsskyldighet. Skälen för förslaget och bedömningen Behov av en uppgiftsskyldighet För att förse grundregistret över vårdgivare med nödvändig information behöver de vårdgivare som omfattas av den nya lagen lämna uppgifter om sin organisation. Behovet av komplett och korrekt information kan inte fullt ut säkerställas genom ett uppgiftslämnande som vilar på frivilligt åtagande. Det finns därför behov av att det införs en skyldighet för vårdgivare att lämna de uppgifter om vårdgivarens organisation som är nödvändiga för att föra ett grundregister över vårdgivare till register- myndigheten. Uppgiftsskyldigheten bör omfatta information om bl.a. vårdgivarens namn, organisationsnummer, kontaktuppgifter till vårdgivarens verk- samhet, var vårdgivaren bedriver verksamhet, vårdgivarens verksamhets- inriktning och förutsättningarna för vårdgivaren att bedriva hälso- och sjukvårdsverksamhet. Av 2 kap. 1 § PSL följer redan en skyldighet för vårdgivare som omfattas av IVO:s tillsyn att anmäla sin verksamhet till myndigheten. Anmälan ska innehålla bl.a. uppgifter om verksamhetens inriktning, var verksamheten ska bedrivas, vem som är verksamhetschef och vem som ansvarar för anmälningsskyldigheten (2 kap. 1 § patientsäkerhets- förordningen [2010:1369]). Det kan därmed konstateras att flera av de uppgifter som omfattas av IVO:s anmälningsskyldighet överensstämmer med de uppgifter som behöver finnas i grundregistret över vårdgivare (se avsnitt 3.3). Ett fåtal av de uppgifter som är nödvändiga för grundregister över vårdgivare skulle därför i stället kunna inhämtas från IVO. Det bedöms dock att det inte är möjligt att registermyndigheten inhämtar alla uppgifter om vårdgivare från IVO (se avsnitt 3.5). Som anges i avsnitt 3.1 är de uppgifter som finns i IVO:s vårdgivarregister inte anpassade för att användas för sådana ändamål som avses i den nationella digitala infrastrukturen eller den nationella vårdsökstjänsten. IVO:s vårdgivar- register i sin nuvarande tekniska och semantiska utformning bedöms inte heller innehålla information på den detaljeringsgrad eller i det format som krävs. Det innebär att det kommer finnas en skyldighet för vårdgivare att till viss del lämna ut liknande uppgifter till två olika myndigheter. Frågan är om en sådan administrativ belastning som en ny uppgiftsskyldighet medför är godtagbar. Syftet med en uppgiftsskyldighet till grundregistret över vårdgivare är att förse grundregistret med information om vårdgivare för samlad, kvalitetssäkrad och enhetligt strukturerad information över vårdgivare. Detta bidrar bl.a. till att höja kvaliteten i vården, stärka patientsäkerheten och förbättra patientens ställning genom att möjliggöra för en mer sömlös datadelning mellan vårdgivare. Ett grundregister över vårdgivare är även en förutsättning för att kunna tillhandahålla flera digitala tjänster såsom den nationella vårdsökstjänsten (se avsnitt 5.1). Med hänsyn härtill får den administrativa belastning som en ny uppgiftsskyldighet medför anses godtagbar. Eftersom några mindre ingripande åtgärder inte bedöms kunna uppfylla det angivna syftet bedöms uppgiftsskyldigheten också vara proportionerlig. En ordning där dubbla uppgiftsskyldigheter innebär en tyngre administrativ börda för vårdgivare bör endast pågå under en övergångs- period. För att underlätta för vårdgivare bör det utvecklas en inrapporteringskanal hos registermyndigheten och IVO. En dubbel uppgiftsskyldighet skulle därmed inte upplevas lika betungande om uppgifterna endast lämnas en gång. Skyldigheten kommer att omfatta både privata och offentliga vårdgivare (se avsnitt 3.1). Personuppgiftsbehandling med anledning av förslagen om uppgiftsskyldighet behandlas i avsnitt 8.2. Uppgiftsskyldigheten gäller inte säkerhetsskyddsklassificerade uppgifter Grundregistret över vårdgivare ska tillhandahålla öppen information om vårdgivare. Bedömningen är därför att uppgiftsskyldigheten endast i sällsynta fall skulle kunna röra säkerhetsskyddsklassificerade uppgifter. Med säkerhetsskyddsklassificerade uppgifter avses enligt 1 kap. 2 § säkerhetsskyddslagen (2018:585) uppgifter som rör säkerhetskänslig verksamhet och som därför omfattas av sekretess enligt offentlighets- och sekretesslagen (2009:400) eller som skulle ha omfattats av sekretess enligt den lagen, om den hade varit tillämplig. När det gäller grundregistret över vårdgivare skulle det i undantagsfall kunna röra sig om uppgifter om vårdgivares inriktning och omfattning av verksamheten. För att säkerställa att säkerhetsskyddsklassificerade uppgifter inte lämnas med stöd av den nya lagen bör det införas ett undantag som innebär att skyldigheten att lämna uppgifter enligt lagen inte gäller säkerhetsskyddsklassificerade uppgifter. Registermyndigheten bör också informera vårdgivarna om att säkerhetsskyddsklassificerade uppgifter inte ska lämnas till myndigheten. Anmälningsskyldighet om ändrade förhållanden Det är av central betydelse att grundregistret över vårdgivare speglar faktiska förhållanden och håller en hög grad av aktualitet och kvalitet. Registrets funktion som tillförlitlig informationskälla förutsätter att de uppgifter som ingår i registret är korrekta och uppdaterade. Det finns därför anledning att införa en skyldighet för vårdgivare att anmäla förändringar som påverkar de uppgifter som ligger till grund för registreringen. Det kan exempelvis avse förändringar av organisatoriska eller verksamhetsrelaterade förhållanden, såsom ändringar av verksam- hetens organisationsnummer, kontaktuppgifter eller verksamhetens inriktning. Skyldigheten kan även omfatta förändringar som innebär att verksamheten upphör, överlåts eller på annat sätt inte längre bedrivs i den form som tidigare har registrerats. En reglerad anmälningsskyldighet vid ändrade förhållanden bidrar till att minska risken för att uppgifter i registret blir inaktuella eller missvisande. Den kompletterar därmed den uppgiftsskyldighet som gäller när uppgifter lämnas på begäran av registermyndigheten och skapar bättre förutsättningar för en kontinuerligt uppdaterad och kvalitetssäkrad informationsmängd. En sådan anmälan bör även göras skyndsamt för att inte riskera felaktigheter i grundregistret. Därför bör vårdgivare så snart det är möjligt anmäla ändrade förhållanden till registermyndigheten. Ytterligare bestämmelser om vårdgivares uppgifts- och anmälningsskyldighet Eftersom uppgifts- och anmälningsskyldigheten innebär ett åliggande för såväl kommuner och regioner som för enskilda gentemot det allmänna behöver skyldigheten regleras i lag. Ytterligare bestämmelser om uppgifts- och anmälningsskyldigheten, som t.ex. vilka uppgifter som ska lämnas, hur de ska lämnas och när de ska lämnas, bör dock framgå av föreskrifter på lägre normnivå än lag. Det föreslås därför regeringen eller den myndighet som regeringen bestämmer ska få meddela ytterligare före- skrifter om uppgifts- och anmälningsskyldigheten. I avsnitt 3.1 bedöms det att E-hälsomyndigheten bör vara ansvarig registermyndighet. E-hälsomyndigheten bör därför få meddela ytterligare föreskrifter om uppgifts- och anmälningsskyldigheten. 3.5 Inspektionen för vård och omsorgs uppgiftsskyldighet gentemot E- hälsomyndigheten Bedömning Inspektionen för vård och omsorg bör vara skyldig att till E-hälsomyndigheten lämna de uppgifter som är nödvändiga för att föra grundregistret över vårdgivare. Inspektionen för vård och omsorg bör även skyndsamt informera E-hälsomyndigheten om de förhållanden för vilka uppgifter lämnats ändras. Skälen för bedömningen Det finns behov av en uppgiftsskyldighet För att grundregistret över vårdgivare ska kunna ge en korrekt och aktuell bild över vilka vårdgivare som bedriver hälso- och sjukvårdsverksamhet behöver registret innehålla uppgifter om förutsättningarna för vårdgivare att bedriva hälso- och sjukvårdsverksamhet. Sådana uppgifter finns i IVO:s tillsynsverksamhet. Det kan handla om uppgifter om att en privat vårdgivare för tandvård har tillstånd av IVO att bedriva verksamhet enligt 2 kap. 4 § PSL. Det kan även handla om uppgifter om att IVO helt eller delvis har förbjudit en vårdgivare att bedriva hälso- och sjukvårds- verksamhet eller beslutat att helt eller delvis återkalla tillståndet för verksamheten. Sådana uppgifter över vårdgivare kan ge en samlad och tillförlitlig bild av vårdgivarnas rättsliga status. Därigenom förbättras förutsättningarna för informationsutbyte inom den nationella digitala infrastrukturen och för att andra myndigheter, regioner och kommuner ska kunna förlita sig på att uppgifter om vilka aktörer som har förutsättningar att bedriva hälso- och sjukvård är korrekta och aktuella. Eftersom IVO har uppgifter om vårdgivares förutsättningar att bedriva hälso- och sjukvårdsverksamhet bör IVO förse registermyndigheten med de nödvändiga uppgifterna. För att säkerställa att informationen ska komma registermyndigheten tillhanda bedöms det att informationsutbytet bör regleras särskilt och att en uppgiftsskyldighet bör regleras i förordning. Därigenom kommer det att stå klart för IVO att myndigheten ansvarar för uppgiftslämnandet och hur det ska ske. Det ges även ett tydligt stöd för den personuppgiftsbehandling som uppgiftsöverföringen kan medföra (se avsnitt 8.2). Uppgiftsskyldigheten bör inte omfatta uppgifter som omfattas av sekretess (se avsnitt 7.2). I avsnitt 3.1 bedöms det att E-hälsomyndigheten bör vara register- myndighet. IVO bör därför ha en uppgiftsskyldighet gentemot E-hälsomyndigheten. Informationsskyldighet om ändrade förhållanden För att ett grundregister över vårdgivare ska ge en korrekt och aktuell bild av vilka aktörer som har rätt att bedriva hälso- och sjukvård är det även nödvändigt att registret återspeglar förändringar i vårdgivares rättsliga förutsättningar att bedriva verksamhet. Sådana förändringar kan följa av IVO:s beslut inom tillståndsprövning eller av tillsynen. Om en verksamhet inte längre har rätt att bedriva hälso- och sjukvård, exempelvis till följd av att ett tillstånd har återkallats eller att ett förbud har meddelats, är det av stor vikt att denna förändring snabbt återspeglas i registret. Mot denna bakgrund bör det även införas en skyldighet i förordning för IVO att informera E-hälsomyndigheten om sådana förändringar som är av betydelse för uppgifterna i grundregistret över vårdgivare. 3.6 Registermyndighetens skyldighet att tillhandahålla uppgifter Förslag Registermyndigheten ska elektroniskt tillhandahålla uppgifter ur grundregistret över vårdgivare för 1. att ge information om vårdgivare, 2. att möjliggöra utbyte av information mellan vårdgivare, och 3. nationella digitala tjänster på hälso- och sjukvårdsområdet. Registret ska hållas tillgängligt hos registermyndigheten. Det bör i lagen tas in en upplysning i om att regeringen eller den myndighet som regeringen bestämmer kan meddela närmare föreskrifter om tillgängliggörandet av grundregistret över vårdgivare. Bedömning E-hälsomyndigheten bör få meddela närmare föreskrifter om tillgängliggörandet av registret. Skälen för förslaget Registermyndigheten bör tillhandahålla uppgifter ur grundregistret över vårdgivare Grundregister över vårdgivare ska föras för att tillhandahålla en samlad, kvalitetssäkrad och enhetligt strukturerad informationsmängd över vårdgivare (se avsnitt 3.1). Registermyndigheten bör därför ha ett ansvar för att försörja aktörer inom hälso- och sjukvården, liksom myndigheter och andra berörda aktörer med vårdgivarinformation. Tillhandahållandet av uppgifter bör avgränsas utifrån syftet med registret och det behov som registret ska kunna tillgodose. Register- myndighetens tillhandahållande av uppgifter ska handla om att förse myndigheter med information om vårdgivare, som exempelvis för IVO:s tillsynsverksamhet eller för ett brottsförebyggande eller brottsbekämpande arbete. I avsnitt 4 lämnas förslag om ett register över patienters vårdgivare som syftar till att vårdgivare ska kunna lokalisera en patients andra vårdgivare. Uppgifter ur grundregistret över vårdgivare kan då användas för att kontrollera vårdgivare som förekommer i registret över patienters vårdgivare. I avsnitt 5 finns förslag om en nationell vårdsökstjänst som möjliggör för vårdgivare att erbjuda hälso- och sjukvård åt den patient som omfattas av en annan regions ansvar för hälso- och sjukvård. Uppgifter ur grundregistret över vårdgivare kan då användas för att förse vårdsöks- tjänsten med korrekt information om vårdgivare. Även andra digitala tjänster på hälso- och sjukvårdsområdet kan behöva förses med information om vårdgivare. Mot den bakgrunden bör det införas en bestämmelse om en skyldighet för registermyndigheten att tillhandahålla uppgifter om vårdgivares organisation ur grundregistret över vårdgivare för att ge information om vårdgivare, möjliggöra utbyte av information mellan vårdgivare och för nationella digitala tjänster på hälso- och sjukvårdsområdet. Registermyndigheten ska hålla grundregistret över vårdgivare tillgängligt För att uppgifter ur grundregistret över vårdgivare ska kunna tillhanda- hållas i avsett syfte behöver de kunna tillgängliggöras för mottagaren. En vanlig ordning är att det inkommer en begäran till myndigheten om ett utlämnade av uppgifter. En begäran om att få tillgång till information från en myndighet förutsätter ett antal åtgärder från myndighetens sida, exempelvis att identifiera och ta fram efterfrågad information samt ställningstagande till om någon sekretessbestämmelse är tillämplig. Eftersom grundregistret över vårdgivare inte ska innehålla känsliga personuppgifter eller uppgifter som omfattas av sekretess bör det inte finnas behov av att ett utlämnande alltid föregås av en begäran av utlämnande av uppgifter eller ett ställningstagande kring sekretess. Däremot bör det ställas krav på att uppgifterna ska tillhandahållas elektroniskt. Att elektroniskt tillhandahålla uppgifter ur grundregistret över vårdgivare kan bidra till att minska den administrativa bördan hos berörda aktörer som har behov av uppgifterna. I själva tillhandahållandet ligger också att avgöra på vilket sätt informationen elektroniskt ska tillgängliggöras. Flera former av elektroniska tillgängliggörande av information förekommer. En form av elektroniskt utlämnande är direktåtkomst. Begreppet definieras inte i lag eller i någon annan författning. En myndighet som har direktåtkomst till en annan myndighets databas kan på egen hand söka efter uppgifter i samma databas. Den myndighet som mottar uppgifter kan även hämta in information till sitt eget system och bearbeta den där. Den mottagande myndigheten kan dock inte påverka innehållet i databasen. Andra former av elektroniskt utlämnande kan vara genom internet, via digitala lösningar såsom API, i en digital tjänst eller att en fil bifogas med e-post, genom s.k. bulknedladdning. Att mottagaren har ett kontinuerligt eller stort behov av uppgifterna i sin verksamhet kan t.ex. tala för att direktåtkomst är lämpligt. Motsatsvis bör direktåtkomst till uppgifter som mottagaren sällan kan komma att behöva, eller som inte är av särskilt stor betydelse för mottagaren, inte aktualiseras särskilt ofta. Behov av direktåtkomst kan t.ex. aktualiseras i situationer som omfattar ett informationsförsörjningsuppdrag, när uppgifterna är offentliga eller vid informationsöverföring mellan olika självständiga verksamhetsgrenar inom en myndighet. Även i situationer där två eller flera myndigheter är gemensamt ansvariga för att utföra en viss uppgift kan direktåtkomst komma att framstå som det mest ändamålsenliga sättet för utlämnande. På vilket sätt ett tillgängliggörande ska göras, genom direktåtkomst eller genom att elektroniskt utlämnade bör inte regleras särskilt. Det bör i stället vara upp till registermyndigheten att avgöra vilket distributionssätt som är mest ändamålsenligt i det enskilda fallet. För att möta berörda aktörers behov förutsätts kontinuerlig utveckling av tekniska lösningar och anpassningar av tillgängliggörandet av informationen. Det brukar i dessa sammanhang även talas om digitala ekosystem för att beskriva hur olika aktörer, system, register och processer samverkar och är beroende av varandra. Att reglera ett visst distributionssätt är därför inte alltid nödvändigt eller lämpligt, utan distributionssätt kommer att kunna variera och nya kan utvecklas. Det bör mot den bakgrunden endast ställas krav på att grundregistret över vårdgivare ska hållas tillgängligt hos register- myndigheten. Överväganden om personuppgiftsbehandling finns i avsnitt 8.2. Närmare bestämmelser om tillgängliggörande av uppgifter Mot bakgrund av den tekniska utvecklingen bedöms det mest ända- målsenligt att närmare bestämmelser om tillgängliggörande av uppgifter ur grundregistret över vårdgivare regleras i förordning och myndighets- föreskrifter. Det kan avse vilka uppgifter som ska tillgängliggöras och hur de ska tillgängliggöras. Det kan även avse lämpligt elektroniskt format och distributionssätt för tillgängliggörandet. Regeringen kan meddela sådana föreskrifter om verkställighet av lag enligt 8 kap. 7 § första stycket 1 regeringsformen. I vissa situationer kan det vara motiverat att ha en upplysningsbestämmelse om regeringens möjlighet att meddela sådana föreskrifter, då riksdagen lagstiftar inom området för regeringens restkompetens (jfr HFD 2023 ref. 2). När riksdagen har reglerat en viss fråga kan regeringen inte längre använda sin föreskriftsrätt i samma fråga, eftersom en lag endast får ändras genom lag (8 kap. 18 § regeringsformen). Det anses att det i det här fallet bör finnas en bestämmelse som upplyser om att regeringen kan meddela föreskrifter på området. Det föreslås därför att det tas in en upplysning i lagen om att regeringen eller den myndighet som regeringen bestämmer kan meddela närmare föreskrifter om tillgängliggörande av uppgifter ur grundregistret över vårdgivare med stöd av 8 kap. 7 § regeringsformen. Uttrycket närmare föreskrifter innebär att det är verkställighetsföreskrifter som avses. I avsnitt 3.1 bedöms det att E-hälsomyndigheten bör vara register- myndighet. E-hälsomyndigheten bör därför få meddela närmare föreskrifter om tillgängliggörandet av registret. 3.7 Vårdgivares skyldighet att uppfylla tekniska och organisatoriska krav Förslag En vårdgivare ska uppfylla de tekniska och organisatoriska krav som är nödvändiga för att uppgifter i elektronisk form ska kunna lämnas till registermyndighet. Det ska i lagen tas in en upplysning om att regeringen eller den myndighet som regeringen bestämmer kan meddela närmare föreskrifter om de tekniska och organisatoriska kraven. Bedömning E-hälsomyndigheten bör få meddela närmare föreskrifter om de tekniska och organisatoriska kraven. Skälen för förslaget och bedömningen I avsnitt 3.4 lämnas förslag om att vårdgivare ska ha en skyldighet att lämna de uppgifter som är nödvändiga för att föra ett grundregister över vårdgivare. Det föreslås även att om de förhållanden för vilka uppgifter lämnats ändras, ska det skyndsamt anmälas till registermyndigheten. Förslagen innebär således att vårdgivare ska kunna lämna ut uppgifter till registermyndigheten. Vårdgivaren bör därför ha ett ansvar att uppfylla tekniska och organisatoriska krav som är nödvändiga för att möjliggöra konsekvent och säkert informationsutbyte mellan vårdgivaren och myndigheten. De tekniska kraven syftar till att säkerställa att vårdgivarens informationssystem kan kommunicera med it-funktioner hos register- myndigheten. Med organisatoriska krav avses att vårdgivare bl.a. ska ha behovs- och riskanalyser som grund för behörighetstilldelning, policyer för informationssäkerhet och rutiner för incidenthantering. Mot bakgrund av den tekniska utvecklingen bedöms det mest ända- målsenligt att närmare bestämmelser om skyldighet för vårdgivaren att uppfylla vissa tekniska och organisatoriska krav framgår av förordning och myndighetsföreskrifter. Regeringen kan meddela sådana föreskrifter om verkställighet av lag enligt 8 kap. 7 § första stycket 1 regeringsformen. I vissa situationer kan det vara motiverat att ha en upplysnings- bestämmelse om regeringens möjlighet att meddela sådana föreskrifter, då riksdagen lagstiftar inom området för regeringens restkompetens (jfr HFD 2023 ref. 2). När riksdagen har reglerat en viss fråga kan regeringen inte längre använda sin föreskriftsrätt i samma fråga, eftersom en lag endast får ändras genom lag (8 kap. 18 § regeringsformen). Det anses att det i det här fallet bör finnas en bestämmelse som upplyser om att regeringen kan meddela föreskrifter på området. Det föreslås därför att det tas in en upplysning i lagen om att regeringen eller den myndighet som regeringen bestämmer kan meddela närmare föreskrifter om de tekniska och organisatoriska kraven med stöd av 8 kap. 7 § regeringsformen. Uttrycket närmare föreskrifter innebär att det är verkställighetsföreskrifter som avses. I avsnitt 3.1 bedöms det att E-hälsomyndigheten bör vara register- myndighet. E-hälsomyndigheten bör därför få meddela närmare före- skrifter om de tekniska och organisatoriska kraven. 4 Nationellt register över patienters vårdgivare 4.1 Det ska införas en ny lag Förslag Den myndighet som regeringen bestämmer (registermyndigheten) ska föra ett register över uppgifter om patienters vårdgivare (registret över patienters vårdgivare). Registret över patienters vårdgivare ska föras för att ge information om sådana uppgifter som behövs för att lokalisera patientens vårdgivare. Registret över patienters vårdgivare ska få innehålla 1. patientens personnummer, samordningsnummer eller motsvarande identitetsbeteckning, 2. patientens vårdgivares organisationsnummer eller motsvarande identitetsbeteckning 3. vilket elektroniskt journalsystem som innehåller uppgifter om patienten, och 4. vårdgivares elektroniska kontaktuppgifter. Bestämmelserna ska införas i en särskild lag. Det ska i lagen tas in en upplysning om att regeringen eller den myndighet som regeringen bestämmer kan meddela närmare föreskrifter om innehållet i registret. Bedömning E-hälsomyndigheten bör vara registermyndighet enligt den särskilda lagen. Registret över patienters vårdgivare bör få innehålla uppgifter om anropsadresser till vårdgivares informationssystem och tekniska tjänster. Skälen för förslaget och bedömningen Det finns behov av ett nationellt register över patienters vårdgivare Regeringens ambition är att hälsodata ska tillgängliggöras mellan vårdgivare i hela vårdkedjan för all vård, både kommunal vård, regional sjukvård och tandvård, oavsett huvudman. I dag finns ingen nationell digital infrastruktur som möjliggör ett sådant informationsutbyte och som omfattar samtliga vårdgivare som bedriver hälso- och sjukvårds- verksamhet. Vårdgivare har även åtskilliga separata digitala lösningar runt om i landet, vilket har försvårat kommunikationen mellan vårdgivares informationssystem och medfört att nödvändiga uppgifter inte alltid följer patienten vid olika kontakter med vården. En patient kan därför behöva upprepa sin sjukdomshistoria för flera vårdgivare eller genomgå samma undersökningar flera gånger, vilket i sin tur medför att hälso- och sjukvårdspersonal ibland behöver lägga onödig tid på att samla in upp- gifter från flera källor, dubbeldokumentera, ta om prover som patienten redan tagit eller göra om undersökningar som patienten redan genomgått. Lagen (2022:913) om sammanhållen vård- och omsorgsdokumentation, förkortad SVOD, möjliggör visserligen för vårdgivare att ge eller få tillgång, genom direktåtkomst eller annat elektroniskt utlämnande, till ospärrade uppgifter om en patient hos vårdgivare. Att ansluta sig till ett elektroniskt system med sammanhållen vård- och omsorgsdokumentation är dock frivilligt, vilket innebär att det t.ex. saknas fulltäckande information om var en patient har fått vård (prop. 2021/22:177 s. 193). Nationell patientöversikt (NPÖ) är en tjänst som tillhandahålls av Inera AB på uppdrag av regionerna och kommunerna. NPÖ är den mest använda nationella tjänsten för att ta del av hälsodata från andra vårdgivare. Av utredningens (S 2024:A) promemoria Hälsodata ska vara tillgänglig i hela vårdkedjan framgår att samtliga regioner, drygt 70 kommuner och knappt 200 privata vårdgivare delar och tar del av information i NPÖ (september 2025, s. 171 och 172). Tjänsten erbjuds till offentligt finansierade vårdgivare vilket innebär att vårdgivare som endast driver privat finansierad verksamhet saknas. Eftersom det är frivilligt att tillgängliggöra hälsodata för en annan vårdgivare varierar det vilken information som de vårdgivare som använder tjänsten tillgängliggör. Detta gör att informationen om patienten inte blir heltäckande. Den vårdanställde som nyttjar tjänsten kan därför inte vara säker på att den ser all information om patienten inom ramen för de informationsmängder som finns att tillgå. NPÖ uppfyller inte heller kraven i Europaparlamentets och rådets förordning (EU) 2025/327 av den 11 februari 2025 om det europeiska hälsodataområdet och om ändring av direktiv 2011/24/EU och förordning (EU) 2024/2487, här benämnd EU:s hälsodataförordning. Förordningen träder i kraft 29 mars 2029 (i dessa delar), och reglerar bl.a. att vårdpersonal ska ha tillgång till sina patienters relevanta och nödvändiga hälsodata. Inera AB har även en tjänsteadresseringskatalog som är en integrerad del av Inera AB:s nationella tjänsteplattform som används för tekniskt informationsutbyte mellan anslutna system inom vård och omsorg. Ineras tjänsteadresseringskatalog innehåller uppgifter som ligger till grund för adressering, vägval och kontroll av anropsbehörighet. Denna infrastruktur är dock inte tillgänglig för all vård. Mycket av datadelningen sker dessutom genom att vårdgivarna arbetar i samma vårdinformationssystem eller genom NPÖ och inte genom informationsutbyten mellan vård- informationssystemen. Mot den bakgrunden bedöms det att det finns ett behov av ett nationellt register som möjliggör för vårdgivare i hela vårdkedjan att få information om patienten varit eller är registrerad hos andra vårdgivare. Ett nationellt register bör därför föras över patienters vårdgivare för att ge information om sådana uppgifter som behövs för att lokalisera patientens vårdgivare. Uppgifter ur registret ska alltså visa var relevant information om patienten 45 finns och hos vilken vårdgivare. Detta innebär att den sökning vårdgivare behöver göra för att hitta en patients andra vårdgivare begränsas till de vårdgivare och vårdinformationssystemen som innehåller relevant hälsodata. Ett sådant register är också ett steg mot anpassning av nationell reglering avseende vårdgivares tillgång till elektronisk information om en patient enligt EU:s hälsodataförordningen. Innehållet i ett nationellt register över patienters vårdgivare För att vårdgivare ska få tillgång till information om sin patient från andra vårdgivare behövs information om patienten varit eller är registrerad hos andra vårdgivare. För att kunna identifiera patienten behöver därför registret över patienters vårdgivare innehålla uppgifter om patientens personnummer, samordningsnummer eller motsvarande identitets- beteckning samt vilket elektroniskt journalsystem som innehåller uppgifter om patienten. För att kunna hitta patientens vårdgivare behöver vårdgivarens organisationsnummer och elektroniska adressuppgifter också registreras. Det finns dock inte behov av att registret innehåller vårddokumentation om patienter, s.k. kliniska uppgifter, som t.ex. patientens diagnoser eller vård och behandling. Dessa uppgifter får i stället vårdgivaren hämta själv från andra vårdgivare. Det kan t.ex. ske genom sammanhållen vård- och omsorgsdokumentation. För att vårdgivare enkelt ska kunna utbyta uppgifter om patienter med varandra genom sina vårdinformationssystemen behöver registret över patienters vårdgivare innehålla uppgifter om vårdgivares elektroniska adressuppgifter. Dessa uppgifter ska möjliggöra delning av hälsodata mellan samtliga vårdgivare oavsett om de har olika informationssystem eller inte. För att informationsutbytet ska fungera förutsätts att de elektroniska adressuppgifterna innehåller information om vårdgivares utbud av API:er samt dess anropsadresser. Genom registret kan sådana uppgifter tillhandahållas av registermyndigheten och vårdgivarna själva behöver inte hålla reda på och uppdatera sådan information i sina system. I stället kan anropsadresserna hämtas från registret när det behövs. Sekretessfrågor och frågor om personuppgiftsbehandling behandlas i avsnitt 7, 8 och 9. E-hälsomyndigheten bör vara ansvarig registermyndighet E-hälsomyndigheten är expertmyndighet för frågor som rör digitala tjänster inom hälso- och sjukvårdsområdet. Enligt 1 § förordningen (2013:1031) med instruktion för E-hälsomyndigheten framgår det bl.a. att E-hälsomyndigheten ska ansvara för och tillhandahålla den nationella digitala infrastrukturen för hälso- och sjukvård och tandvård samt ansvara för de register och it-funktioner som öppenvårdsapotek och vårdgivare behöver ha tillgång till för en patientsäker och kostnadseffektiv läke- medelshantering. Mot den bakgrunden bedöms E-hälsomyndigheten vara väl lämpad som ansvarig registermyndighet att föra ett nationellt register över patienters vårdgivare på ett ändamålsenligt sätt. Bestämmelser om registret över patienters vårdgivare bör regleras i en särskild lag Registermyndigheten kommer behöva behandla ett stort antal person- uppgifter för att vårdgivare ska kunna lokalisera andra vårdgivare som behandlar personuppgifter för vård av en viss patient. Registret kommer också innehålla känsliga personuppgifter eftersom informationen avslöjar att en individs personuppgifter har behandlats inom ramen för hälso- och sjukvård. Uppgifterna om hos vilken vårdgivare patienten har varit kan, i vissa fall, avslöja något om patientens hälsa, t.ex. om det rör sig om en viss specialistklinik. I avsnitt 8.3 görs bedömningen att en särskild reglering av personuppgiftsbehandlingen i ett nationellt register över patienters vårdgivare bör införas i lag. Ramarna för registermyndighetens person- uppgiftsbehandling slås därmed fast i lag och särskilda skyddsåtgärder kan tas fram. Även bedömningen att registermyndighetens behandling av personuppgifter i det nationella registret över patienters vårdgivare kan utgöra ett betydande intrång i den personliga integriteten enligt 2 kap. 6 § andra stycket regeringsformen medför att en reglering behöver ske i lag (se avsnitt 8.3). Riksdagen och regeringen har uttalat att myndighetsregister som innehåller ett stort antal registrerade och ett särskilt känsligt innehåll bör regleras i lag (prop. 1990/91:60 s. 58, bet. 1990/91:KU11 s. 11, prop. 1997/98:44 s. 41 och bet. 1997/98:KU18 s. 48). Uttalandena har med åren kommit att tillämpas på såväl regleringen av regelrätta register som myndigheters behandling av personuppgifter i stort (prop. 1997/98:44 s. 41, bet. 1997/98:KU18 s. 43, prop. 1999/2000:39 s. 78 och prop. 2009/10:80 s. 183). Även dessa uttalanden från riksdag och regering utgör skäl till att en särskild reglering om ett nationellt register över patienters vårdgivare bör vara i form av lag. Därtill förutsätter informationsförsörjningen av registret skyldigheter för såväl offentliga som privata vårdgivare att lämna uppgifter till registermyndigheten. Sådana bestämmelser behöver också regleras i lag. Mot den bakgrunden och eftersom det inte framstår som lämpligt att införa samtliga dessa nya bestämmelser i gällande lagar på området, såsom hälso- och sjukvårdslagen, föreslås en särreglering i form av en ny lag. Den nya lagen ska benämnas lagen om ett nationellt register över patienters vårdgivare. För att regleringen ska bli så flexibel som möjligt bör dock vissa mer preciserade bestämmelser om registret över patienters vårdgivare regleras i förordning eller myndighetsföreskrifter. Det handlar om närmare bestämmelser om innehållet i registret som behandlas i detta avsnitt. Det handlar även om närmare föreskrifter om vårdgivares uppgiftsskyldighet, som t.ex. vilka uppgifter som vårdgivare ska lämna ut och hur uppgiftsskyldighet ska fullgöras (se avsnitt 4.4). Regeringen kan meddela sådana föreskrifter om verkställighet av lag enligt 8 kap. 7 § första stycket 1 regeringsformen. I vissa situationer kan det vara motiverat att ha en upplysnings- bestämmelse om regeringens möjlighet att meddela sådana föreskrifter, då riksdagen lagstiftar inom området för regeringens restkompetens (jfr HFD 2023 ref. 2). När riksdagen har reglerat en viss fråga kan regeringen inte längre använda sin föreskriftsrätt i samma fråga, eftersom en lag endast får ändras genom lag (8 kap. 18 § regeringsformen). Det anses att det i det här fallet bör finnas en bestämmelse som upplyser om att regeringen kan meddela föreskrifter på området. Det föreslås därför att det tas in en upplysning i lagen om att regeringen eller den myndighet som regeringen bestämmer kan meddela närmare föreskrifter om innehållet i registret med stöd av 8 kap. 7 § regeringsformen. Uttrycket närmare föreskrifter innebär att det är verkställighetsföreskrifter som avses. 4.2 Uttrycken vårdgivare och hälso- och sjukvård i lagen Förslag Den nya lagen ska innehålla följande definitioner: 1. vårdgivare: statlig myndighet, kommun och region i fråga om sådan hälso- och sjukvård som myndigheten, regionen eller kommunen har ansvar för, samt annan juridisk person eller enskild näringsidkare som bedriver hälso- och sjukvård, och 2. hälso- och sjukvård: verksamhet som avses i hälso- och sjukvårdslagen, tandvårdslagen, lagen om psykiatrisk tvångsvård, lagen om rättspsykiatrisk vård, smittskyddslagen, lagen om genetisk integritet m.m., lagen om koordineringsinsatser för sjukskrivna patienter, lagen om vissa kirurgiska ingrepp i könsorganen, den upphävda lagen om kastrering samt den upphävda lagen om fastställande av könstillhörighet i vissa fall. Skälen för förslaget Uttrycket vårdgivare i registret över patienters vårdgivare För att det ska vara tydligt vilka aktörer som omfattas av lagens bestäm- melser bör uttrycket vårdgivare definieras. Definitionen av uttrycket vårdgivare i den nya lagen bör bestämmas så att den motsvarar det identifierade informationsbehovet. Syftet med registret över patienters vårdgivare är att ge information om sådana uppgifter som behövs för att lokalisera en patients vårdgivare. Lagen ska alltså möjliggöra nödvändigt utbyte av patienters hälsodata mellan vårdgivare. Lagen om sammanhållen vård- och omsorgsdokumentation reglerar också utbyte av hälsodata mellan vårdgivare. Av den lagen framgår att med vårdgivare avses statliga myndigheter, region och kommun i fråga om sådan hälso- och sjukvård som myndigheten, regionen eller kommunen har ansvar för samt annan juridisk person eller enskild näringsidkare som bedriver hälso- och sjukvård (1 kap. 1 § SVOD). Denna definition överensstämmer i stort med hur uttrycket vårdgivare definieras i många andra lagar på hälso- och sjukvårdsområdet, såsom patientsäkerhetslagen (2010:659) och patientdatalagen (2008:355). Mot den bakgrunden bedöms det att definitionen av uttrycket vårdgivare enligt 1 kap. 1 § SVOD är ändamålsenligt även för den nya lagens syfte. Med vårdgivare ska alltså avses statliga myndigheter, region och kommun 48 i fråga om sådan hälso- och sjukvård som myndigheten, regionen eller kommunen har ansvar för samt annan juridisk person eller enskild näringsidkare som bedriver hälso- och sjukvård. Det innebär att både kommuner och regioner omfattas av den ny lagen i de delar de bedriver hälso- och sjukvård. Även statliga myndigheter kan vara vårdgivare. Vissa myndigheter kan utföra hälso- och sjukvård parallellt med annan verksamhet som myndigheten bedriver, t.ex. universitet och högskolor, Statens institutionsstyrelse, Kriminalvården eller Totalförsvarets plikt- och prövningsverk. En vårdgivare kan även vara en fysisk person som bedriver hälso- och sjukvårdsverksamhet i en enskild firma eller en juridisk person, t.ex. ett aktiebolag, en stiftelse, ett handelsbolag eller liknande, en s.k. privat eller enskild vårdgivare. Bolag, föreningar och stiftelser som avses i 2 kap. 3 § offentlighets- och sekretesslagen (2009:400), förkortad OSL, dvs. aktiebolag, handelsbolag, ekonomiska föreningar och stiftelser omfattas också av vårdgivar- definitionen. Uttrycket hälso- och sjukvård i registret över patienters vårdgivare Den valda utformningen av definitionen av vårdgivare i registret över patienters vårdgivare förutsätter att även uttrycket hälso- och sjukvård definieras. Som framgår under rubriken Uttrycket vårdgivare i registret över patienters vårdgivare möjliggör både den nya lagen om ett nationellt register över patienters vårdgivare och lagen om sammanhållen vård- och omsorgsdokumentation informationsutbyte mellan vårdgivare. Uttrycket hälso- och sjukvård bör därför, såsom uttrycket vårdgivare, beskrivas på samma sätt i den nya lagen som i lagen om sammanhållen vård- och omsorgsdokumentation. Av 1 kap. 1 § SVOD framgår att med uttrycket hälso- och sjukvård avses sådan verksamhet som i hälso- och sjukvårdslagen (2017:30), tand- vårdslagen (1985:125), lagen (1991:1128) om psykiatrisk tvångsvård, lagen (1991:1129) om rättspsykiatrisk vård, smittskyddslagen (2004:168), lagen (2006:351) om genetisk integritet m.m., lagen (2019:1297) om koordineringsinsatser för sjukskrivna patienter, lagen (2024:237) om vissa kirurgiska ingrepp i könsorganen, den upphävda lagen (1944:133) om kastrering samt den upphävda lagen (1972:119) om fastställande av könstillhörighet i vissa fall. 4.3 Registermyndighetens skyldighet att lämna ut uppgifter Förslag Registermyndigheten ska på begäran av en vårdgivare lämna ut upp- gifter ur det nationella registret över patienters vårdgivare för att vårdgivaren ska kunna lokalisera andra vårdgivare för vård av en viss patient. Skälen för förslaget Registermyndigheten ska vara skyldig att lämna ut uppgifter om patienters vårdgivare Vårdgivare har generellt sett ett behov av att få tillgång till information om sin patient från andra vårdgivare så att rätt vård och behandling kan ges. Ett nationellt register över patienters vårdgivare ska möjliggöra vårdgivares tillgång till nödvändig information om var uppgifter om patienter finns så att vårdgivaren vet varifrån ytterligare uppgifter kan begäras för att välgrundade medicinska beslut kan fattas och att patienten inte längre ensam behöver vara bärare av sina egna hälsodata. I dag läggs ett stort ansvar på patienten att veta var och när denna fått vård samt att säkerställa att dessa uppgifter delas med relevanta vårdgivare. Ett nationellt register över patienters vårdgivare gör så att patienten inte längre behöver upprepa sin patienthistoria i samma utsträckning. Registermyndigheten behöver därför, inom ramen för den nationella digitala infrastrukturen, ge vårdgivare tillgång till sådan information som kan lokalisera patientens andra vårdgivare, dvs. information om att patienten varit eller är registrerad hos andra vårdgivare och vårdgivarens elektroniska adressuppgifter. Med uppgifter från registermyndigheten kan vårdgivare efterfråga uppgifter om aktuell patient från andra berörda vårdgivare. Detta kan t.ex. ske mellan vårdgivarnas informationssystem genom sammanhållen vård- och omsorgsdokumentation som gör det möjligt för en vårdgivare eller omsorgsgivare att ge eller få tillgång, genom elektroniskt utlämnande, till personuppgifter hos andra vårdgivare eller omsorgsgivare. Registermyndighetens informationssystem och register ska bidra till att flödet av hälsodata mellan vårdgivare kan ske på ett säkert och effektivt sätt. Uppgifter som behöver lämnas ut ur registret över patienters vårdgivare handlar bl.a. om vilken vårdgivare som har information om aktuell patient, i vilket elektroniskt journalsystem som patientens uppgifter finns och vid vilken elektronisk adress som informationen finns hos den vårdgivaren (se avsnitt 4.1). Uppgifterna ska inte innehålla vårddokumentation om en patient, såsom patientens diagnoser eller vård och behandling. Det innebär att inga personuppgifter som behandlas för direkta vårdsyften får tillgängliggöras eller tas emot i registermyndighetens infrastruktur. I avsnitt 8.3 och 8.4 finns närmare överväganden kring frågor om person- uppgiftsbehandling t.ex. personuppgiftsansvar, ändamål med be- handlingen, känsliga personuppgifter, åtkomst till personuppgifter och längsta tid för behandling. Uppgifter om att en patient är eller har varit registrerad hos en vårdgivare kan dock omfattas av sekretess enligt bestämmelserna i 25 kap. OSL. Eftersom det bedöms att ansvarig registermyndighet bör vara E-hälso- myndigheten kan uppgifterna omfattas av sekretess enligt 25 kap. 17 a § OSL (se avsnitt 4.1). Av den bestämmelsen framgår bl.a. att sekretess gäller hos E-hälsomyndigheten för uppgift om en enskilds hälsotillstånd eller andra personliga förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men. Av 10 kap. 28 § OSL framgår dock att sekretess inte hindrar att en uppgift lämnas till en annan myndighet, om uppgiftsskyldighet följer av lag eller förordning. Mot den bakgrunden bedöms att det finns ett behov av att införa en skyldighet i lag för registermyndigheten att lämna ut uppgifter till vård- givare för att lokalisera andra vårdgivare. Den föreslagna uppgifts- skyldigheten får därmed även en sekretessbrytande verkan och sekretessen hindrar därför inte ett utlämnade till offentliga vårdgivare. Av förslaget i avsnitt 7.2 följer även att inte heller sekretess enligt 25 kap. 17 a § OSL hindrar att uppgift lämnas till enskilda vårdgivare. Närmare överväganden om sekretess med anledning av förslagen i denna promemoria finns i avsnitt 7. En uppgiftsskyldighet ger även ett tydligt rättsligt stöd för den personuppgiftsbehandling som sker i samband med utlämnande av uppgifter. Närmare övervägande om personuppgiftsbehandling finns i avsnitt 8.3. Uppgiftsskyldigheten bör dock endast gälla i den utsträckning som uppgifterna behövs för vårdgivaren ska kunna lokalisera patientens andra vårdgivare för vård av en viss patient. Det bedöms därför att uppgifterna ska lämnas till vårdgivare först efter att en begäran har gjorts. I samband med en begäran om uppgifter ur registret över patienters vårdgivare behöver den vårdgivare som begär uppgifter precisera vilka uppgifter som den vill få del av. Den utlämnande myndigheten får i samband med detta ta ställning till om uppgifterna omfattas av uppgiftsskyldigheten och därmed ska lämnas ut. I avsnitt 8.3 lämnas förslag på att uppgifterna får lämnas ut elektroniskt på annat sätt än genom direktåtkomst. När det gäller uppgifter om patienter som finns i patientjournaler som har omhändertagits enligt 9 kap. 1 § patientdatalagen av Inspektionen för vård och omsorg kommer dessa uppgifter inte ingå i registret eftersom inspektionen inte är en vårdgivare (se avsnitt 4.2). Uppkommer behov hos en vårdgivare av att ta del av uppgifter i dessa handlingar får det i stället ske genom en sedvanlig begäran om utlämnande av allmänna handlingar. Uppgiftsskyldigheten bedöms vara proportionerlig Vid bedömningen av om en uppgiftsskyldighet ska införas och hur den ska utformas bör en avvägning göras mellan de inblandade aktörernas behov av att utbyta uppgifterna i fråga och motstående intressen. Bestämmelserna om sekretess och tystnadsplikt inom hälso- och sjukvården innebär ett relativt starkt skydd för den enskilde. Mot denna aspekt står vårdgivares behov av att få tillgång till information om sin patient från andra vårdgivare så att rätt vård och behandling kan ges. Mottagande vårdgivare bedöms omfattas av antingen hälso- och sjukvårdssekretessen i 25 kap. 1 § OSL eller av tystnadsplikten i 6 kap.

12 § patientsäkerhetslagen. Mot denna bakgrund bedöms vårdgivare ha ett berättigat intresse av information om hos vilken vårdgivare en patient är eller varit registrerad för vård av patienten. Ett införande av en uppgiftsskyldighet för registermyndigheten bedöms därmed som proportionerlig. En samlad integritets- och proportionalitetsanalys finns i avsnitt 9. 4.4 Vårdgivares skyldighet att lämna uppgifter Förslag Vårdgivare ska skyndsamt lämna de uppgifter som är nödvändiga för registret över patienters vårdgivare till registermyndigheten. Skyldig- heten att lämna uppgifter ska inte gälla uppgifter som är säkerhetsskyddsklassificerade enligt säkerhetsskyddslagen. Det ska i lagen tas in en upplysning om att regeringen eller den myndighet som regeringen bestämmer kan meddela närmare före- skrifter om uppgiftsskyldigheten. Bedömning E-hälsomyndigheten bör få meddela närmare föreskrifter om uppgifts- skyldigheten. Skälen för förslaget och bedömningen Behov av en skyldighet för vårdgivare att lämna uppgifter till registermyndigheten Enligt 3 kap. 1 § patientdatalagen ska det vid vård av patienter föras patientjournal för varje patient. Av 3 kap. 6 § patientdatalagen följer att en patientjournal ska innehålla de uppgifter som behövs för en god och säker vård av patienten. Av samma bestämmelse framgår det även att, om uppgifterna finns tillgängliga, ska en patientjournal alltid innehålla uppgift om bl.a. patientens identitet, väsentliga uppgifter om bakgrunden till vården, uppgift om ställd diagnos och anledning till mera betydande åtgärder, väsentliga uppgifter om vidtagna och planerade åtgärder. För att förse det nationella registret över patienters vårdgivare med nöd- vändig information behöver vårdgivare lämna uppgifter om att en patient har varit eller är registrerad hos vårdgivaren och i vilket elektroniskt journalsystem som patientens uppgifter finns. Vårdgivare behöver även lämna uppgifter om sina elektroniska adressuppgifter (se avsnitt 4.1). Detta är nödvändigt eftersom syftet med registret är att tillgodose vårdgivares behov av att få tillgång till information om sin patient från andra vårdgivare så att rätt vård och behandling kan ges. I 25 kap. 1 och 2 §§ OSL finns bestämmelserom sekretess inom den offentliga hälso- och sjukvården för uppgift om en enskilds hälsotillstånd eller andra personliga förhållanden. För den enskilda hälso- och sjukvården gäller i stället bestämmelser om tystnadsplikt i 6 kap. 12 § patientsäkerhetslagen. Av den bestämmelsen framgår bl.a. att den som tillhör eller har tillhört hälso- och sjukvårdspersonalen inom den enskilda hälso- och sjukvården inte obehörigen får röja vad han eller hon i sin verksamhet har fått veta om en enskilds hälsotillstånd eller andra personliga förhållanden. Enligt 10 kap. 28 § OSL hindrar inte sekretess att en uppgift lämnas till en annan myndighet, om det finns en uppgiftsskyldighet som följer av lag eller förordning. Med uppgiftsskyldighet avses att det i annan lag eller av förordning följer att uppgift ska lämnas (prop. 1979/80:2 del A s. 322). Inte 52 heller hindrar tystnadsplikt i 6 kap. 12 § patientsäkerhetslagen att någon fullgör uppgiftsskyldighet som följer av lag eller förordning. Något obehörigt röjande av en uppgift anses inte ske i dessa fall (prop. 1980/81:28 s. 23). Eftersom uppgifter om att en patient är eller har varit registrerad hos vårdgivare kan omfattas av sekretess eller tystnadsplikt hos utlämnande vårdgivare, och för att ge ett tydligt rättsligt stöd för den personuppgifts- behandling som utlämnandet medför, föreslås det att det införs en uppgiftsskyldighet som säkerställer överföring av uppgifter från vård- givare till registermyndigheten. Denna skyldighet bör omfatta de uppgifter som är nödvändiga för ett nationellt register över patientens vårdgivare, såsom patientens person- nummer, i vilket elektroniska journalsystem som patientens uppgifter finns, vårdgivarens organisationsnummer och vårdgivares elektroniska kontaktuppgifter. Uppgiftsskyldigheten bör inte omfatta uppgifter om patienter som gallrats enligt 3 kap. 18 § patientdatalagen. Uppgiftsskyldig- heten omfattar inte heller uppgifter som vårdgivaren har arkiverat (se avsnitt 8.4). För att registermyndigheten på ett effektivt sätt ska kunna ge vårdgivare tillgång till information om sin patient från andra vårdgivare behöver myndigheten kontinuerligt tillföras aktuella uppgifter från vårdgivare. Det är ur effektivitetssynpunkt inte lämpligt att myndigheten inför varje inhämtning av uppgifter ska behöva framställa en begäran till respektive utlämnande vårdgivare. Uppgiftslämnandet bör i stället ske genom regelbunden överföring av uppgifter till myndigheten. Uppgifterna ska alltså lämnas utan någon uttrycklig begäran i varje enskilt fall. Det föreslås även att det ställs ett krav på vårdgivare att skyndsamt lämna ut sådana uppgifter som är nödvändiga för registret över patienters vårdgivare till registermyndigheten. Det innebär att vårdgivare så snart som möjligt ska lämna uppgifter till registermyndigheten. Registermyn- digheten får tillsammans med den berörda aktören närmare bestämma formerna för överlämnandet (se avsnitt 4.5). Uppgiftsskyldigheten bör inte omfatta säkerhetsskyddsklassificerade uppgifter Av 1 kap. 2 § säkerhetsskyddslagen (2018:585) framgår att säkerhets- skyddsklassificerade uppgifter är sådana som rör säkerhetskänslig verksamhet och som därför omfattas av sekretess enligt offentlighets- och sekretesslagen eller som skulle ha omfattats av sekretess enligt den lagen, om den hade varit tillämplig. Registret över patienters vårdgivare ska innehålla uppgift om vilken vårdgivare som har behandlat en viss patient. Det kan inte uteslutas att det skulle kunna finnas uppgifter om patienter som skulle kunna omfattas av den s.k. försvarssekretessen i 15 kap. 2 § OSL. Av den bestämmelsen framgår att sekretess gäller för uppgift som rör verksamhet för att försvara landet eller planläggning eller annan förberedelse av sådan verksamhet eller som i övrigt rör totalförsvaret, om det kan antas att det skadar landets försvar eller på annat sätt vållar fara för rikets säkerhet om uppgiften röjs. Det bedöms dock att uppgiftsskyldigheten endast i sällsynta fall skulle kunna röra säkerhetsskyddsklassificerade uppgifter. För att säkerställa att säkerhetsskyddsklassificerade uppgifter inte lämnas med stöd av den nya lagen bör det införas ett undantag som innebär att skyldigheten att lämna uppgifter enligt lagen inte gäller säkerhetsskyddsklassificerade uppgifter. Registermyndigheten bör också informera vårdgivarna om att avsikten inte är att de ska lämna säkerhetsskyddsklassificerade uppgifter till myndigheten. Uppgiftsskyldigheten bedöms vara proportionerlig Vid bedömningen av om en uppgiftsskyldighet ska införas och hur den ska utformas bör en avvägning göras mellan de inblandade aktörernas behov av att utbyta uppgifterna i fråga och motstående intressen. Bestämmelserna om sekretess och tystnadsplikt inom hälso- och sjukvården innebär ett relativt starkt skydd för den enskilde. Mot denna aspekt står registermyndigheten behov av att förse registret över patienters vårdgivare med information så att vårdgivare kan få tillgång till information om sin patient från andra vårdgivare så att rätt vård och behandling kan ges. Eftersom det bedöms att E-hälsomyndigheten bör vara ansvarig registermyndighet gäller även sekretess enligt 25 kap. 17 a § OSL hos den mottagande myndigheten. Mot denna bakgrund bedöms registermyndigheten ha ett berättigat intresse av information om patienters vårdgivare. Ett införande av en uppgiftsskyldighet för vårdgivare bedöms därmed som proportionerlig. En samlad integritets- och proportionalitetsanalys finns i avsnitt 9. Närmare bestämmelser om uppgiftsskyldigheten bör regleras på lägre normnivå än lag Eftersom förändringar i de tekniska förutsättningarna kan ge utrymme för andra, mer ändamålsenliga, informationsflöden, bedöms det inte lämpligt att en närmare beskrivning av vilka uppgifter som ska omfattas av upp- giftsskyldigheten framgår av lag. Närmare bestämmelser om uppgifts- skyldigheten, som t.ex. vilka uppgifter som ska lämnas, hur de ska lämnas och när de ska lämnas, bör framgå av föreskrifter på lägre normnivå än lag. Regeringen kan meddela sådana föreskrifter om verkställighet av lag enligt 8 kap. 7 § första stycket 1 regeringsformen. I vissa situationer kan det vara motiverat att ha en upplysningsbestämmelse om regeringens möjlighet att meddela sådana föreskrifter, då riksdagen lagstiftar inom området för regeringens restkompetens (jfr HFD 2023 ref. 2). När riksdagen har reglerat en viss fråga kan regeringen inte längre använda sin föreskriftsrätt i samma fråga, eftersom en lag endast får ändras genom lag (8 kap. 18 § regeringsformen). Det anses att det i det här fallet bör finnas en bestämmelse som upplyser om att regeringen kan meddela föreskrifter på området. Det föreslås därför att det tas in en upplysning i lagen om att regeringen eller den myndighet som regeringen bestämmer kan meddela närmare föreskrifter om uppgiftsskyldigheten med stöd av 8 kap. 7 § regeringsformen. Uttrycket närmare föreskrifter innebär att det är verkställighetsföreskrifter som avses. I avsnitt 4.1 bedöms det att E-hälsomyndigheten bör vara ansvarig registermyndighet. E-hälsomyndigheten bör därför få meddela närmare föreskrifter om uppgiftsskyldigheten. 4.5 Vårdgivares skyldighet att uppfylla tekniska och organisatoriska krav Förslag En vårdgivare ska uppfylla de tekniska och organisatoriska krav som är nödvändiga för att uppgifter i elektronisk form ska kunna lämnas till registermyndighet. Det ska i lagen tas in en upplysning om att regeringen eller den myndighet som regeringen bestämmer kan meddela närmare föreskrifter om de tekniska och organisatoriska kraven. Bedömning E-hälsomyndigheten bör få meddela närmare föreskrifter om de tekniska och organisatoriska kraven. Skälen för förslaget och bedömningen I avsnitt 4.4 lämnas förslag om att vårdgivare ska ha en skyldighet att lämna uppgifter som är nödvändig för att lokalisera en patients vårdgivare till registermyndigheten. Förslagen innebär således att vårdgivare behöver kunna lämna uppgifter till registermyndigheten. Vårdgivaren bör därför ha ett ansvar att uppfylla tekniska och organisatoriska krav som är nödvändiga för att möjliggöra konsekvent och informationsutbyte mellan vårdgivaren och myndigheten. De tekniska kraven syftar till att säkerställa att vårdgivarens informationssystem kan kommunicera med it-funktioner hos registermyndigheten. Med organisatoriska krav avses att vårdgivare bl.a. ska ha behovs- och riskanalyser som grund för behörighetstilldelning, policyer för informationssäkerhet och rutiner för incidenthantering. Mot bakgrund av den tekniska utvecklingen bedöms det mest ända- målsenligt att närmare bestämmelser om skyldighet för vårdgivaren att uppfylla vissa tekniska och organisatoriska krav framgår av förordning och myndighetsföreskrifter. Regeringen kan meddela sådana föreskrifter om verkställighet av lag enligt 8 kap. 7 § första stycket 1 regeringsformen. Det föreslås därför att det tas in en upplysning i lagen om att regeringen eller den myndighet som regeringen bestämmer kan meddela närmare föreskrifter om de tekniska och organisatoriska kraven med stöd av 8 kap.

13 § Tillgången till personuppgifter ska begränsas till det som var och en behöver för att kunna fullgöra sina arbetsuppgifter. Tillgången till personuppgifter ska kontrolleras och följas upp regelbundet. Paragrafen reglerar den interna tillgången till personuppgifter i registret över patienters vårdgivare hos registermyndigheten. Övervägandena finns i avsnitt 8.3.5. Första stycket innebär att registermyndigheten ska begränsa åtkomsten till personuppgifter i registret över patienters vårdgivare och utlämnade av uppgifter ur registret till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. Sådana arbetsuppgifter kan exempelvis handla om att möjliggöra utlämnade av uppgifter till vårdgivare. Uttrycket ”var och en” 151 inkluderar såväl tillsvidareanställd personal som personer med tids- begränsade anställningar eller uppdrag vid registermyndigheten. Myndig- heten ska alltså aktivt ta ställning till vilket informationsbehov ett tjänsteåliggande eller uppdrag medför och tilldela den behörighet som behövs utifrån det. Registermyndigheten har ett ansvar för att vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa att personuppgifter inte sprids utanför den krets av personer som behöver ha åtkomst till dessa för att kunna utföra sina arbetsuppgifter (jfr artikel 32 i EU:s dataskyddsförordning). Andra stycket innebär att registermyndigheten ska kontrollera och följa upp tillgången till personuppgifter regelbundet. Kontroller ska genomföras systematiskt och återkommande och inte bara när registermyndigheten av någon orsak har fått anledning att misstänka att obehörig åtkomst har förekommit. Kontroll kan t.ex. ske genom uppföljning av loggar i olika system. Närmare bestämmelser om kontroll och uppföljning enligt andra stycket får meddelas i verkställighetsföreskrifter enligt 17 §. Längsta tid för behandling

14 § Personuppgifter får inte behandlas under längre tid än vad som behövs med hänsyn till ändamålet med behandlingen. Paragrafen reglerar att personuppgifter inte får behandlas under längre tid än vad som behövs med hänsyn till ändamålet med behandlingen. Övervägandena finns i avsnitt 8.4. Paragrafen innehåller en skyldighet för registermyndigheten att upphöra med behandlingen av personuppgifter så snart personuppgifterna inte längre behövs med hänsyn till det ändamål för vilket de behandlas. Det är alltså ändamålet med behandlingen som avgör hur länge uppgifterna får behandlas. När det inte längre, med hänsyn till ändamålet, finns något behov av att behandla personuppgifterna ska dessa tas bort eller avidentifieras på ett sådant sätt att alla identifieringsmöjligheter försvinner. Bestämmelsen ställer krav på registermyndigheten att kunna motivera fortsatt behandling av personuppgifter, t.ex. inför en tillsynsmyndighet. Det kan förekomma att behovet av att behandla personuppgifter upphör avseende behandling för ett ändamål, medan det kvarstår för ett annat ändamål. Personuppgifterna får då fortsätta att behandlas för det kvarstående ändamålet. Regleringen innebär alltså inte att all behandling ska upphöra om behovet upphör för ett av flera ändamål. Bestämmelsen utgör inte en sådan avvikande bestämmelse som avses i

15 § En vårdgivare ska skyndsamt lämna de uppgifter som är nödvändiga för registret över patienters vårdgivare enligt 2 § till registermyndigheten. Skyldigheten gäller inte sådana uppgifter som är säkerhetsskyddsklassificerade enligt säkerhetsskyddslagen (2018:585). Paragrafen innehåller en uppgiftsskyldighet för vårdgivare. Över- vägandena finns i avsnitt 4.4. Av första stycket framgår att vårdgivare ska lämna ut sådana uppgifter som är nödvändiga för att föra registret över patienters vårdgivare till registermyndigheten. Det innebär att endast uppgifter som behövs för att lokalisera vilka vårdgivare som behandlar personuppgifter för vård av en viss patient omfattas av uppgiftsskyldigheten. Det kan handla om upp- gifter om patienter som är eller har varit patienter hos vårdgivaren, såsom uppgifter om patienters personnummer eller samordningsnummer i kombination med patienters vårdgivarens elektroniska adressuppgifter, såsom anropsadresser till vårdgivarens informationssystem och tekniska tjänster. Uppgiftsskyldigheten omfattar inte uppgifter om patienter som gallrats enligt 3 kap. 18 § patientdatalagen (2008:355). Paragrafen innehåller även ett krav på att utlämnandet ska göras skyndsamt. Kravet i bestämmelsen innebär att utlämnandet måste hanteras så snart som möjligt. Enligt 25 kap. 1 § OSL gäller sekretess inom hälso- och sjukvården för uppgift om enskilds personliga förhållanden. För enskilda vårdgivare gäller tystnadsplikt för enskilds hälsotillstånd eller andra personliga för- hållanden enligt 6 kap. 12 § patientsäkerhetslagen (2010:659). Uppgifts- skyldigheten i bestämmelsen har därför en sekretessbrytande effekt enligt 10 kap. 28 § OSL och 6 kap. 12 § patientsäkerhetslagen. I andra stycket regleras ett undantag från vårdgivarens skyldighet att lämna uppgifter. Registret över patienters vårdgivare ska inte innehålla säkerhetsskyddsklassificerade uppgifter. Uppgifter som är säkerhets- skyddsklassificerade enligt säkerhetsskyddslagen ska därför inte lämnas till registermyndigheten. Med säkerhetsskyddsklassificerade uppgifter avses uppgifter som rör säkerhetskänslig verksamhet och som därför omfattas av sekretess enligt offentlighets- och sekretesslagen eller som skulle ha omfattats av sekretess enligt den lagen om den hade varit tillämplig (1 kap. 2 § säkerhetsskyddslagen). Närmare bestämmelser om uppgiftsskyldigheten får meddelas i verkställighetsföreskrifter enligt 17 §. Tekniska och organisatoriska krav på vårdgivaren

16 § En vårdgivare ska uppfylla de tekniska och organisatoriska kraven som är nödvändiga för att uppgifter i elektronisk form ska kunna lämnas enligt 15 §. Paragrafen innehåller en skyldighet för vårdgivare att uppfylla tekniska och organisatoriska krav. Övervägandena finns i avsnitt 4.5. Av paragrafen framgår att vårdgivare har en skyldighet att uppfylla de tekniska och organisatoriska kraven som är nödvändiga för att vårdgivare ska kunna fullgöra sin uppgiftsskyldighet enligt 15 §. Det innebär att vårdgivaren har ett ansvar att uppfylla tekniska och organisatoriska krav som är nödvändiga för att möjliggöra konsekvent och säkert informationsutbyte enligt lagen. De tekniska kraven syftar till att säkerställa att vårdgivarens informationssystem kan kommunicera med it- funktioner hos registermyndigheten. Med organisatoriska krav avses att vårdgivare bl.a. ska ha behovs- och riskanalyser som grund för behörighetstilldelning, policyer för informationssäkerhet och rutiner för incidenthantering. Närmare bestämmelser om tekniska och organisatoriska krav får meddelas i verkställighetsföreskrifter enligt 17 §. Rätt att meddela föreskrifter

17 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela närmare föreskrifter om 1. innehållet i vårdsöksregistret enligt 8 §, och 2. de tekniska och organisatoriska kraven enligt 15 §. Denna lag träder i kraft den 1 juli 2027. 1.4 Förslag till lag om ändring i offentlighets- och sekretesslagen (2009:400) Härigenom föreskrivs att 25 kap. 2 och 17 c §§ offentlighets- och sekretesslagen (2009:400) ska ha följande lydelse. Nuvarande lydelse Föreslagen lydelse 25 kap. 2 §1 Sekretess gäller hos en myndighet Sekretess gäller hos en myndighet som bedriver verksamhet som som bedriver verksamhet som avses i 1 § för uppgift om en avses i 1 § för uppgift om en enskilds personliga förhållanden enskilds personliga förhållanden som gjorts tillgänglig av en annan som gjorts tillgänglig av en annan vårdgivare eller omsorgsgivare vårdgivare eller omsorgsgivare enligt lagen (2022:913) om enligt lagen (2022:913) om sammanhållen vård- och sammanhållen vård- och omsorgsdokumentation, om inte omsorgsdokumentation, om inte förutsättningarna enligt 3 kap. 1, 3, förutsättningarna enligt 3 kap. 1, 5 eller 6 § samma lag för att 1 a, 3, 5 eller 6 § samma lag för att myndigheten ska få behandla myndigheten ska få behandla uppgiften är uppfyllda. uppgiften är uppfyllda. Om de förutsättningar som anges Om de förutsättningar som anges i första stycket är uppfyllda eller i första stycket är uppfyllda eller myndigheten har behandlat myndigheten har behandlat uppgiften enligt 3 kap. 1, 3, 5 eller uppgiften enligt 3 kap. 1, 1 a, 3, 5

21 § regeringsformen. Skyddet får således inte begränsas genom förordning. Begreppet personliga förhållanden har samma innebörd som i sekretesslagstiftningen, och omfattar bl.a. namn och andra identifika- tionsuppgifter, adress, familjeförhållanden, hälsa och vandel. Även uppgifter som inte är direkt knutna till den enskildes privata sfär, t.ex. uppgift om anställning, omfattas av begreppet (se prop. 2009/10:80 s. 177). Mot denna bakgrund kan det konstateras att uppgifter som kommer behandlas i grundregistret över vårdgivare, vårdsöksregistret och i en nationell vårdsökstjänst inte rör enskildas personliga förhållanden i den mening som avses i 2 kap. 6 § andra stycket regeringsformen. De typer av personuppgifter som kommer behandlas är främst vårdgivarens namn, om den innehåller fysiska personers namn och personnummer alternativt samordningsnummer, och kontaktuppgifter till berörda personers arbets- platser eller arbetsgivare. Med beaktande av detta bedöms det att myndig- hetens personuppgiftsbehandling inte kommer innebära ett sådant betydande intrång i den personliga integriteten som avses i 2 kap. 6 § andra stycket regeringsform. Den rättsliga grunden för nödvändig behandling av personuppgifter En grundläggande förutsättning för att en behandling av personuppgifter ska vara laglig och tillåten är att den ryms inom någon av de rättsliga grunderna för behandling som finns i artikel 6.1 i EU:s dataskydds- förordning. I avsnitt 8.1 redogörs för EU:s dataskyddsförordnings krav på hur den rättsliga grunden fastställs. Enligt artikel 6.2 och 6.3 i EU:s dataskyddsförordning är det tillåtet att ha bestämmelser om när myndigheter får behandla personuppgifter i nationell rätt för att reglera behandling som grundar sig på en uppgift av allmänt intresse enligt artikel 6.1 e. Enligt 2 kap. 1 och 2 §§ dataskyddslagen kan den rättsliga grunden eller det allmänna intresset följa av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning. Av förarbetena till dataskyddslagen framgår att regeringen anser att alla uppgifter som riksdag eller regering har gett i uppdrag åt statliga myndigheter att utföra är av allmänt intresse (prop. 2017/18:105 s. 56 och 57). Därav följer att den verksamhet som en statlig eller kommunal myndighet bedriver, inom ramen för sin befogenhet, är av allmänt intresse. Den rättsliga grunden i artikel 6.1 e bör därmed vanligen tillämpas av myndigheter, även utanför området för myndighetsutövning. Detta utesluter dock inte att också andra rättsliga grunder samtidigt kan vara tillämpliga i vissa situationer. I normalfallet utgör en myndighets uppdrag enligt författning, instruktion eller regleringsbrev en rättslig grund för behandling av personuppgifter enligt artikel 6.1 e (prop. 2017/18:105 s. 53–57). Tydliga uppdrag att behandla personuppgifter i författning, exempelvis en myndighets instruktion, kan också utgöra en rättslig förpliktelse enligt artikel 6.1 c. Artikel 6.1 c i EU:s dataskyddsförordning gäller även behandling som är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige. Det kan exempelvis handla om författningar som anger en skyldighet för en myndighet att lämna personuppgifter till en annan myndighet. Registermyndighetens och den ansvariga myndighetens verksamhet kommer huvudsakligen bestå i att föra register och tillhandahålla uppgifter till vårdgivare. All den behandling av personuppgifter som register- myndigheten och den ansvariga myndigheten behöver utföra enligt lagen om grundregister för vårdgivare och lagen om en nationell vårdsökstjänst bedöms utgöra uppgifter av allmänt intresse enligt artikel 6.1 e i EU:s dataskyddsförordning. Det kan därför ske med stöd av den artikeln. Eftersom registermyndighetens och den ansvariga myndighetens uppgift att föra register och tillhandahålla uppgifter kommer regleras i lag och förordning kan artikel 6.1 c, dvs. att fullgöra en rättslig förpliktelse, även utgöra rättslig grund för behandlingen. All behandling av personuppgifter som är nödvändig för att register- myndigheten och den ansvariga myndigheten ska kunna utföra sina uppgifter ryms således inom den rättsliga grunden i artikel 6.1 c och 6.1 e i EU:s dataskyddsförordning. Sammantaget kommer det finnas rättslig grund för all den person- uppgiftsbehandling som registermyndigheten och den ansvariga myndig- heten kommer att behöva utföra. Den rättsliga grunden kommer att framgå av nationell rätt på det sätt som krävs enligt EU:s dataskyddsförordning. Ändamålsbestämmelserna ska omfatta all nödvändig personuppgiftsbehandling Ett fastställt ändamål är enligt EU:s dataskyddsförordning en grund- läggande förutsättning för att personuppgifter ska få samlas in och i övrigt behandlas. Personuppgifter ska enligt artikel 5.1 b i EU:s dataskydds- förordning bara samlas in för särskilda, uttryckligt angivna och berättigade ändamål. Dataskyddsregleringen ställer inte i sig krav på att ändamålen ska slås fast i författning. EU:s dataskyddsförordning ger dock enligt artiklarna 6.2 och 6.3 utrymme för att införa bestämmelser om tillåtna ändamål i nationella registerförfattningar. Ändamålsbestämmelser i registerförfattningar kan sägas anpassa tillämpningen av EU:s dataskydds- förordning och säkerställa en laglig och rättvis behandling av person- uppgifter. Lagarna bör innehålla sådana bestämmelser. Ändamåls- bestämmelserna behöver täcka all den behandling som är nödvändig för att myndigheten ska kunna utföra sin verksamhet i att föra föreslagna register. Det bör framhållas att kravet på nödvändighet inte innebär ett krav på att behandlingsåtgärden ska vara oundgänglig. En behandling kan anses nödvändig om den leder till effektivitetsvinster (se prop. 2017/18:105 s. 189). I kravet på nödvändighet ligger dock att personuppgifter inte får behandlas om syftet med behandlingen kan uppnås med andra medel, t.ex. genom att anonymisera uppgifterna (s. 117). Det bör också framhållas att även om det slås fast ändamålsbestämmelser i författning, kan register- myndigheten för att uppfylla kraven på tydliga ändamål behöva formulera mer preciserade ändamål för de specifika behandlingar av personuppgifter som sedermera sker i myndighetens verksamhet (jfr prop. 2019/20:106 s. 43). Syftet med grundregistret, som beskrivs i avsnitt 3.1, och vårdsöks- registret, som beskrivs i avsnitt 5.1, medför att båda registren måste innehålla uppgifter om vårdgivare i Sverige, såväl offentliga som privata. Detta syfte kan inte uppnås om inte också uppgifter om vårdgivare som är enskilda näringsidkare ingår i registret. Det bedöms inte uppstå några integritetsrisker för den som har sitt personnummer som identitets- beteckning för sin enskilda näringsverksamhet. Att bedriva verksamhet som enskild näringsidkare är ett aktivt val. Om näringsverksamhetens identitetsbeteckning inte är offentlig och kan användas, skulle inte heller någon verksamhet kunna bedrivas. I dessa fall kan syftet med behandlingen av personnummer inte uppnås på annat sätt. Det får därmed anses vara berättigat och klart motiverat att behandla personnummer i egenskap av beteckning för enskilda näringsidkare. För att ge tillgång till uppgifter från vårdsöksregistret kommer den ansvariga myndigheten i vissa fall även behöva behandla personuppgifter för att administrera inloggnings- och behörighetsfunktioner. Även i dessa fall kommer det vara nödvändigt för myndigheten att behandla personnummer för att säkerställa en säker identifiering. Detsamma gäller beträffande nödvändig hantering av personnummer inom ramen för kontoadministration av registret och för att säkerställa att bara personer med korrekt behörighet administrerar uppgifter i registret. Villkor för tilldelning av behörighet till uppgifter och tekniska krav för åtkomst utgör exempel på sådana åtgärder som avses i artikel 32 i EU:s dataskydds- förordning och som en personuppgiftsansvarig kan vidta för att säkerställa en lämplig säkerhetsnivå i samband med behandling av personuppgifter. Det är således även i dessa fall klart motiverat att behandla personnummer utan krav på särskilt samtycke (se 3 kap. 10 § dataskyddslagen). Registermyndigheten och den ansvariga myndigheten är personuppgifts- ansvarig för den behandling av personuppgifter som myndigheten utför i sin registerverksamhet (se avsnitt 8.2.2). Att vårdgivare och regioner som omfattas av uppgiftsskyldighet är personuppgiftsansvariga för den behandling som krävs för fullgörandet av skyldigheten behöver däremot inte särskilt författningsregleras. Med personuppgiftsansvaret föreligger en skyldighet att efterleva reglerna för behandling av personuppgifter i EU:s dataskyddsförordning. Finalitetsprincipen Enligt artikel 5.1 b i EU:s dataskyddsförordning ska personuppgifter samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. Det sistnämnda ledet ger uttryck för finalitetsprincipen. Principen kommer även till uttryck i artikel 6.4, där det bland annat anges vad som i vissa fall ska beaktas vid en bedömning av om en behandling för andra ändamål är förenlig med de ändamål för vilka personuppgifterna ursprungligen samlades in. Finalitetsprincipen bör utgöra den yttersta ramen inom vilken personuppgifter får behandlas på EU:s dataskyddsförordnings område enligt de nya registerlagarna. EU:s dataskyddsförordnings bestämmelser om finalitetsprincipen är direkt tillämpliga vid en statlig myndighet som ansvarar för person- uppgiftsbehandling inom den nationella digitala infrastrukturen. Det föreslås därför inte någon sådan bestämmelse varken i lagen om grund- register över vårdgivare eller i lagen om en nationell vårdsökstjänst. Behov av att införa sökbegränsningar Sättet på vilket personuppgifter kan sammanställas anses ofta som en viktig fråga ur integritetssynpunkt. Ju större möjligheter till samman- ställning av uppgifter om enskilda, särskilt om sammanställningarna kommer från olika register eller olika områden, desto större blir riskerna för otillbörliga intrång i de enskildas integritet. De personuppgifter som kommer att behandlas i de föreslagna registren och vårdsökstjänsten innehåller inte detaljer eller uppgifter som möjliggör sammanställning av integritetskänsliga personuppgifter. Det kan också noteras att den så kallade finalitetsprincipen är tillämplig på alla behandlade personuppgifter vilket innebär att de inte får vidarebehandlas för ett ändamål som är oförenligt med det ursprungliga ändamålet vilken även det innebär ett visst skydd mot nya behandlingar. Det bedöms sammantaget att det inte finns något behov att införa regler om förbud mot sökbegrepp eller liknande begräsningar. Ett elektroniskt utlämnande behöver inte regleras särskilt Även om EU:s dataskyddsförordning inte ställer upp något generellt förbud mot att lämna ut uppgifter i en viss form är det vanligt att elektroniskt utlämnande regleras särskilt i en registerförfattning. Detta har sin grund i att ett elektroniskt utlämnande av uppgifter traditionellt sett har ansetts medföra en större risk för otillbörliga integritetsintrång, eftersom det ger en större möjlighet att bearbeta och sprida information jämfört med ett utlämnande som sker i pappersform. Av artikel 6.3 framgår att den rättsliga grunden, som ska fastställas i enlighet med unionsrätten eller medlemsstaternas nationella rätt, kan innehålla särskilda bestämmelser för att anpassa tillämpningen av bestämmelserna i förordningen, bl.a. vad gäller typer av behandling och förfaranden för behandling. Det är alltså möjligt att i nationell rätt införa regler som preciserar formerna för behandlingen av personuppgifter. I Sverige skiljer lagstiftningen ofta mellan två former av elektroniskt utlämnande: direktåtkomst och annat elektroniskt utlämnande (även kallat utlämnande på medium för automatiserad behandling). Dessa två former av elektroniskt utlämnande får ur integritetssynpunkt olika effekter. Det finns inte någon legaldefinition av begreppet direktåtkomst. Den grund- läggande innebörden anses vara att någon har tillgång till information hos någon annan, och på egen hand kan söka i den, dock utan att själv kunna påverka innehållet. Direktåtkomst kan ge användaren möjlighet att även hämta in information till sitt eget system och bearbeta den där (se t.ex. prop. 2016/17:58 s. 112). Vid direktåtkomst har den uppgiftslämnande myndigheten i det enskilda fallet inte någon kontroll över vilka uppgifter som mottagaren tar del av vid ett visst söktillfälle. Direktåtkomst kan generellt sägas öka riskerna för intrång i den personliga integriteten, eftersom den typiskt sett innebär att uppgifterna blir tillgängliga för fler personer och att den utlämnande myndighetens möjlighet att kontrollera utlämnandet minskar. Direktåtkomst innebär att en mottagare har direkt tillgång till någon annans register eller databas och därigenom på egen hand kan ta del av information (se HFD 2015 ref. 61). Uttrycken annat elektroniskt utlämnande och utlämnande på medium för automatiserad behandling har samma innebörd. Det förra uttrycket förekommer i nyare registerförfattningar. Vad som avses med uttrycken har förändrats i takt med teknikutvecklingen, men de förhåller sig alltid på något sätt till utlämnande genom direktåtkomst. Med dagens teknik kan utlämnande av information ske genom annat elektroniskt utlämnande, exempelvis genom e-post, på ett usb-minne eller genom direkt överföring från ett datorsystem till ett annat. Vid ett mer omfattande informations- utbyte mellan myndigheter är det oftast den senare metoden, direkt överföring från ett datorsystem till ett annat, som används. I avsnitt 3.6 lämnas förslag om att registermyndigheten ska elektroniskt tillhandahålla uppgifter ur grundregistret över vårdgivare. Det innebär att registermyndigheten ska tillgängliggöra uppgifter för en fysisk eller juridisk person, t.ex. genom en digital tjänst eller genom en direkt överföring från ett datorsystem till ett annat. I avsnitt 5.4 lämnas förslag om att ansvarig myndighet ska lämna ut uppgifter om vårdgivare ur vårdsöksregistret och uppgifter om vårdgivares organisation och väntetider genom vårdsökstjänsten. I tjänsten ska uppgifter tillgänglig- göras genom en digital tjänst på ett samlat och enhetligt sätt. Den nationella vårdsökstjänsten beskrivs i avsnitt 5.1 som ett digitalt system som kan möjliggöra för vårdgivare i regionerna att få tillgång till uppgifter om vårdkapacitet i hela landet i syfte att snabbare kunna erbjuda vård till väntande patienter. Det finns i dag integritetshöjande säkerhetsåtgärder vid elektroniskt utlämnande som innebär att ett sådant utlämnande inte kan anses utgöra en högre risk för integritetsintrång än ett utlämnande i pappersform. Mot denna bakgrund bedöms det att integritetsrisker inte nödvändigtvis alltid är lägre vid analogt utlämnande än vid elektroniskt utlämnande. Det bedöms även att det bör ankomma på registermyndigheten och ansvarig myndighet att välja lämpligt sätt för det elektroniska utlämnandet. Med hänsyn till att grundregistret över vårdgivare och den nationella vårdsöks- tjänsten ska hantera uppgifter om vårdgivares organisation, vårdutbud och väntetider bedöms det att en direktåtkomst till uppgifterna av den anledningen inte innebär någon närmare risk för intrång i den personliga integriteten. Elektroniskt utlämnande i form av direktåtkomst kan därför, om myndigheten bedömer det, utgöra en teknisk lösning för grundregistret över vårdgivare. Det kan dock ifrågasättas om direktåtkomst är en lämplig teknisk lösning för utlämnande ur vårdsökregistret (se avsnitt 5.4). Det bör ankomma på den ansvariga myndigheten att vid tillhanda- hållandet en sådan tjänst vidta lämpliga säkerhetsåtgärder. 8.2.2 Personuppgiftsansvaret och förhållandet till annan dataskyddsreglering Förslag Registermyndigheten ska vara personuppgiftsansvarig för den behandling av personuppgifter som får utföras enligt lagen om grund- register över vårdgivare eller enligt föreskrifter som har meddelats i anslutning till lagen. Den ansvariga myndigheten ska vara personuppgiftsansvarig för den behandling av personuppgifter som får utföras enligt lagen om en nationell vårdsökstjänst eller enligt föreskrifter som har meddelats i anslutning till lagen. Lagen om grundregister över vårdgivare och lagen om en nationell vårdsökstjänst ska innehålla en bestämmelse som upplyser om att lagen kompletterar EU:s dataskyddsförordning. Lagarna ska även innehålla en bestämmelse som anger att vid behandling av personuppgifter enligt denna lag gäller lagen med kompletterande bestämmelser till EU:s dataskyddförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen. Skälen för förslaget Personuppgiftsansvar Uttrycket personuppgiftsansvarig är centralt inom all dataskyddsreglering. Den personuppgiftsansvarige är skyldig att se till att behandling av personuppgifter sker i enlighet med gällande bestämmelser och enskilda ska alltid kunna vända sig till den personuppgiftsansvarige för att göra sina rättigheter gällande. Den personuppgiftsansvarige ska exempelvis ansvara för och kunna visa att de grundläggande principerna i artikel 5.1 i EU:s dataskyddsförordning efterlevs (artikel 5.2). Därutöver ska den person- uppgiftsansvarige bl.a. genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen utförs i enlighet med EU:s dataskyddsförordning (artikel 24.1) och för att säkerställa en lämplig säkerhetsnivå (artikel 32.1). Av definitionen i artikel 4.7 i EU:s dataskyddsförordning framgår att med personuppgiftsansvarig avses en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Om ändamålen eller medlen för behandlingen bestäms i unionsrätten eller medlemsstaternas nationella rätt, kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt. Det är alltså tillåtet att i nationell rätt ange vem som är personuppgiftsansvarig för en viss behandling av personuppgifter. Registerförfattningar innehåller regelmässigt en reglering av vem som är personuppgiftsansvarig. Det bör därför i lagen om grundregister över vårdgivare införas en bestämmelse som anger att registermyndigheten är personuppgifts- ansvarig för den behandling av personuppgifter som myndigheten utför enligt lagen och föreskrifter som har meddelats i anslutning till lagen. Det bör även i lagen om en nationell vårdsökstjänst införas en bestämmelse om att den ansvariga myndigheten är personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför enligt lagen och föreskrifter som har meddelats i anslutning till lagen. Det bör upplysas om att de nya lagarna kompletterar EU:s dataskyddsförordning EU:s dataskyddsförordning är direkt tillämplig i varje medlemsstat och har företräde framför nationell lagstiftning. Principen om unionsrättens företräde innebär att en bestämmelse i en registerförfattning får tillämpas endast om den är förenlig med EU:s dataskyddsförordning och avser en fråga som enligt förordningen får särregleras eller specificeras genom nationell rätt (prop. 2017/18:105 s. 27). En ny lag får därmed bara innehålla bestämmelser som kompletterar eller tar över EU:s dataskyddsförordning när detta är tillåtet. För att det ska vara tydligt för tillämparen hur de olika regleringarna förhåller sig till varandra bedöms det att en bestämmelse med upplysning om att lagen kompletterar EU:s dataskyddsförordning bör införas i lagarna. De nya lagarna bör upplysa om förhållandet till dataskyddslagen och föreskrifter till den Lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning, förkortad dataskyddslagen, innehåller nationella kompletterande bestämmelser till EU:s dataskyddsförordning på en generell nivå. Dataskyddslagen är subsidiär i förhållande till annan lagstiftning om behandling av personuppgifter (se 1 kap. 6 § dataskydds- lagen). Det behövs därför inte någon materiell bestämmelse för att bestämmelserna i de föreslagna ska ges företräde framför dataskydds- lagen. Registerförfattningar innehåller trots det ofta en upplysning om att det kan finnas tillämpliga bestämmelser om behandling av personuppgifter i dataskyddslagen och föreskrifter som har meddelats i anslutning till dataskyddslagen. Av tydlighetsskäl bör det därför införas en bestämmelse som klargör att dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen ska gälla vid behandling av personuppgifter enligt de nya lagarna, om inte annat följer av den nya lagen eller föreskrifter som har meddelats i anslutning till den lagen (jfr prop. 2017/18:171 s. 73). 8.3 Behandling av personuppgifter i lagen om ett nationellt register över patienters vårdgivare 8.3.1 Den rättsliga grunden för nödvändig behandling av personuppgifter Bedömning Registermyndigheten kommer behöva behandla personuppgifter för att kunna hantera ett nationellt register över patienters vårdgivare. Det kommer finnas en rättslig grund för registermyndighetens behandling av personuppgifter i verksamhet som avser register. Personuppgifts- behandlingen kommer vara nödvändig för att fullgöra en rättslig förpliktelse som registermyndigheten har. Personuppgiftsbehandlingen är även nödvändig för att utföra en uppgift av allmänt intresse. Den rättsliga grunden kommer att framgå av nationell rätt på det sätt som krävs enligt EU:s dataskyddsförordning. Skälen för bedömningen Personuppgifter kommer att behandlas i stor omfattning I avsnitt 4.1 lämnas förslag om att registermyndigheten ska föra registret över patienters vårdgivare i syfte att ge information om sådana uppgifter som behövs för att lokalisera en patients vårdgivare. Förslaget innebär registermyndigheten kommer hantera uppgifter om vilken patient som vårdas eller har vårdats hos en vårdgivare samt vårdgivarens identitet. Registret ska få innehålla uppgifter om patientens personnummer, samord- ningsnummer eller annan identitetsbeteckning samt uppgifter om patientens vårdgivares namn, organisationsnummer och vårdgivares 94 elektroniska kontaktuppgifter. Registret kommer innehålla uppgifter om alla personer i landet som är registrerade hos en vårdgivare. Det begränsas dock genom de regler som finns om skyldigheten att bevara journal- handlingar under 10 år enligt 3 kap. 17 § patientdatalagen. I registret över patienters vårdgivare kommer uppgifter om samtliga patienter behandlas och uppgifterna bedöms i allt väsentligt vara känsliga personuppgifter som har ett högt skyddsvärde. Det förtjänar att påpekas att sådana personuppgifter redan behandlas för liknande ändamål i dag genom den infrastruktur som främst de offentliga vårdgivarna genom Sveriges kommuner och regioner och Inera AB byggt upp avseende den frivilliga delningen av hälsodata för hälso- och sjukvårdsändamål. Promemorians förslag innebär således inte att helt nya personuppgifter ska registreras utan snarare att behandlingen av dessa personuppgifter centraliseras och att behandlingen av dem inte längre är frivillig utan obligatorisk för samtliga vårdgivare. Personuppgiftsbehandling aktualiseras även när det gäller vårdgivares organisationsuppgifter, om verksamhetens benämning är ett personnamn eller om det är fråga om en enskild näringsidkare. En enskild närings- verksamhet är inte en juridisk person, och kan därför inte tilldelas ett organisationsnummer. Den enskilda näringsidkarens personnummer utgör i stället en identitetsbeteckning för den bedrivna närings-verksamheten. I avsnitt 4.3 lämnas förslag på skyldighet för registermyndigheten att lämna ut uppgifter ur registret över patienters vårdgivare för att vård- givaren ska kunna lokalisera andra vårdgivare för vård av viss patient. Registermyndigheten behöver därför ge vårdgivare tillgång till sådan information som kan lokalisera patientens andra vårdgivare, dvs. information om att patienten varit eller är registrerad hos andra vårdgivare för vård och vårdgivarens elektroniska adressuppgifter. Med uppgifter från registermyndigheten kan alltså vårdgivare efterfråga uppgifter om aktuell patient från andra berörda vårdgivare. Det föreslås därtill i avsnitt 4.4 en skyldighet för vårdgivare att lämna uppgifter om bl.a. en patient är eller har varit registrerad hos vårdgivaren. Även personuppgifter avseende hälso- och sjukvårdsanställda måste behandlas i högre utsträckning. Detta behövs inte minst för att möjliggöra säker autentisering till informationssystemen, behörighetstilldelningar och loggning av vem som tagit del av vilka informationsmängder för att uppnå spårbarhet i systemet. Dessa personuppgifter är till den största delen inte av känslig art, men kommer ändå att medföra en väsentlig ytterligare behandling och spridning av dessa informationsmängder jämfört med hur det ser ut i dag. Sammantaget kan det konstateras att det kommer röra sig om en omfattande behandling av personuppgifter eftersom personer som någon gång har registrerats hos en vårdgivare under en 10-årsperiod ska omfattas av ett nationellt register över patienters vårdgivare. Personuppgifts- behandlingen avser även uppgifter som kan avslöja något om patientens hälsa, t.ex. om det rör sig om en specialistklinik. Uppgifterna som ska behandlas innehåller därmed personuppgifter som anses känsliga enligt artikel 9.1 i EU:s dataskyddsförordning, eftersom informationen avslöjar att en individ har behandlats inom ramen för hälso- och sjukvård. Det kommer finnas en rättslig grund för registermyndighetens behandling av personuppgifter i verksamhet som avser register En grundläggande förutsättning för att en behandling av personuppgifter ska vara laglig och tillåten är att den ryms inom någon av de rättsliga grunderna för behandling som finns i artikel 6.1 i EU:s dataskydds- förordning. I avsnitt 8.1 redogörs för kraven i EU:s dataskyddsförordning om hur den rättsliga grunden fastställs (artikel 6.3). I avsnitt 8.2.1 finns överväganden om vilket rättsligt stöd som finns för behandling av personuppgifter i verksamhet som avser grundregistret över vårdgivare, vårdsöksregistret och nationell vårdsökstjänst. Motsvarande bedömning gäller även till viss del för registermyndighetens behandling av person- uppgifter i verksamhet som avser registret över patienters vårdgivare. Det kan därmed konstateras att registermyndighetens verksamhet huvudsakligen kommer bestå i att föra register och tillhandahålla uppgifter till vårdgivare. All den behandling av personuppgifter som register- myndigheten behöver utföra enligt lagen om ett nationellt register över patienters vårdgivare bedöms utgöra uppgifter av allmänt intresse enligt artikel 6.1 e i EU:s dataskyddsförordning. Det kan därför ske med stöd av den artikeln. Eftersom registermyndighetens uppgift att föra register och tillhandahålla uppgifter kommer regleras i lag och förordning kan artikel 6.1 c, dvs. att fullgöra en rättslig förpliktelse, även utgöra rättslig grund för behandlingen. All behandling av personuppgifter som är nödvändig för att registermyndigheten och den ansvariga myndigheten ska kunna utföra sina uppgifter ryms således inom den rättsliga grunden i artikel 6.1 c och 6.1 e i EU:s dataskyddsförordning. Sammantaget kommer det finnas rättslig grund för all den person- uppgiftsbehandling som registermyndigheten kommer att behöva utföra. Den rättsliga grunden kommer att framgå av nationell rätt på det sätt som krävs enligt EU:s dataskyddsförordning. Att vårdgivare som omfattas av uppgiftsskyldighet är personuppgifts- ansvariga för den behandling som krävs för fullgörandet av skyldigheten behöver däremot inte särskilt författningsregleras. Med personuppgifts- ansvaret föreligger en skyldighet att efterleva reglerna för behandling av personuppgifter i EU:s dataskyddslag. När det gäller vårdgivares behandling av personuppgifter som de kan efterfråga av andra vårdgivare regleras den i patientdatalagen (2008:355). 8.3.2 Behandling av personuppgifter ska regleras i lag Förslag Lagens syfte ska dels vara att ge registermyndigheten möjlighet att behandla personuppgifter i registret över patienters vårdgivare på ett ändamålsenligt sätt, dels att skydda patienter mot att deras personliga integritet kränks vid behandlingen. Registermyndigheten ska vara personuppgiftsansvarig för be- handlingen av personuppgifter som myndigheten utför enligt lagen om ett nationellt register över patienters vårdgivare och föreskrifter som har meddelats i anslutning till lagen. Lagen om ett nationellt register över patienters vårdgivare ska innehålla en bestämmelse som upplyser om att lagen kompletterar EU:s dataskyddsförordning. Lagen ska även innehålla en bestämmelse som anger att vid behandling av personuppgifter enligt denna lag gäller lagen med kompletterande bestämmelser till EU:s dataskyddförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som meddelas i anslutning till lagen. Bedömning Personuppgiftsbehandling i det nationella registret över patienters vårdgivare omfattas av det förstärkta grundlagsskyddet och måste därför regleras i lag. Kompletterande bestämmelser om personuppgifts- behandling bör införas i lagen om ett nationellt register över patienters vårdgivare. Skälen för förslaget och bedömningen Personuppgiftsbehandlingen i det nationella registret över patienters vårdgivare omfattas av det grundlagsreglerade integritetsskyddet Enligt 2 kap. 6 § andra stycket regeringsformen är var och en gentemot det allmänna skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Enligt 2 kap. 20 § regeringsformen får skyddet begränsas genom lag enligt de förutsättningar som anges i 2 kap. 21 § regeringsformen. Skyddet får således inte begränsas genom förord- ning. I avsnitt 8.3.1 klargörs de övergripande typer av personuppgifter som registermyndigheten bedöms ha ett behov av att kunna behandla i det nationella registret över patienters vårdgivare vilket inbegriper uppgifter om enskilda personer vårdas eller har vårdats hos en vårdgivare. Det kan därmed konstateras att uppgifter som kommer behandlas rör enskildas personliga förhållanden i den mening som avses i 2 kap. 6 § andra stycket regeringsformen. Begreppet personliga förhållanden har samma innebörd som i sekretesslagstiftningen, och omfattar bl.a. namn och andra identifikationsuppgifter, adress, familjeförhållanden, hälsa och vandel. Även uppgifter som inte är direkt knutna till den enskildes privata sfär, t.ex. uppgift om anställning, omfattas av begreppet (se prop. 2009/10:80 s. 177). Avgörande för bedömningen av om en åtgärd ska anses innebära övervakning eller kartläggning i den mening som avses i 2 kap. 6 § andra stycket regeringsformen är inte åtgärdens huvudsakliga syfte, utan åtgärdens effekt. Vad som avses med övervakning respektive kartläggning får bedömas utifrån vad som enligt normalt språkbruk läggs i dessa begrepp. Enligt förarbetena till bestämmelsen är uppgifter i myndighets- specifika verksamhetsregister, och databaser med information som är knuten till en myndighets ärendehantering, i många fall tillgängliga för myndigheten på ett sådant sätt att lagringen och behandlingen av upp- gifterna kan sägas innebära att enskilda kartläggs, även om det huvud- sakliga ändamålet med behandlingen är ett helt annat (prop. 2009/10:80 s. 180). Eftersom registret över vårdgivare ska innehålla uppgifter om alla personer i landet som är registrerad hos en vårdgivare kommer de personuppgifter som samlas in röra en betydande del av Sveriges befolkning. Uppgifterna kommer som utgångspunkt att samlas in löpande och kan avse enskilda i livets olika faser. Tillsammans kan de uppgifter som samlas in ge en tydlig bild av en enskilds personliga förhållanden. Det bedöms att registermyndighetens personuppgiftsbehandling, med hänsyn till uppgifternas karaktär och den stora mängden uppgifter i fråga, kan innebära en sådan övervakning eller kartläggning som avses i regeringsformen. Behandlingen av personuppgifter sker inte med den enskildes samtycke. Den avgörande frågan är då om det intrång i den personliga integriteten som behandlingen kan innebära är betydande. Enligt förarbetena bör flera omständigheter vägas in vid denna bedömning. Stor vikt ska läggas vid uppgifternas karaktär. Ju känsligare uppgifterna är, desto mer ingripande måste hanteringen normalt sett anses vara. Vid bedömningen av intrångets karaktär är det också naturligt att stor vikt läggs vid ändamålet med behandlingen. Därutöver kan mängden uppgifter vara en betydelsefull faktor, liksom omfattningen av utlämnande av personuppgifter till andra, som sker utan omedelbart stöd av offentlighetsprincipen (prop. 2009/10:80 s. 183 och 184). Ändamålet med registermyndighetens behandling av personuppgifter i registret över patienters vårdgivare syftar till att ge information om sådana uppgifter som behövs för att lokalisera vilka vårdgivare som behandlar personuppgifter för vård av en viss patient. Ändamålet är kopplat till angelägna samhällsintressen, att möjliggöra säkert, effektivt och ändamålsenligt informationsutbyte som tillgodoser god vårdkvalitet, patientsäkerhet och minskad administration för hälso- och sjukvårdens medarbetare. För detta syfte kan det vara nödvändigt med en relativt omfattande behandling av personuppgifter. På en övergripande nivå kommer registermyndighetens behandling av personuppgifter i registret vara av sådan karaktär att de är till gagn för patienten och för samhället i allmänhet och för säkerhet och kostnadseffektivitet inom hälso- och sjukvården i synnerhet. Oaktat detta bedöms det att, med hänsyn till uppgifternas karaktär och den stora mängden uppgifter som kommer att behandlas, personuppgiftsbehandlingen kan innebära ett sådant betydande intrång i den personliga integriteten som avses i 2 kap. 6 § andra stycket regeringsformen. För att personuppgifterna ska kunna behandlas krävs därmed enligt 2 kap. 20 § regeringsformen stöd i lag. Överväganden om intrånget i den personliga integriteten står i proportion till de ändamål för vilka uppgifterna samlas in framgår av avsnitt 9. Kompletterande bestämmelser om personuppgiftsbehandling ska införas i lagen om register över patienters vårdgivare Det anses att en särskild reglering av personuppgiftsbehandlingen i registret över patienters vårdgivare bör införas i lag. Ramarna för registermyndighetens personuppgiftsbehandling slås därmed fast i lag och särskilda skyddsåtgärder kan tas fram. Även bedömningen att register- myndighetens behandling av personuppgifter i registret över patienters vårdgivare kan utgöra ett betydande intrång i den personliga integriteten enligt 2 kap. 6 § andra stycket regeringsformen medför att en reglering behöver ske i lag. Riksdagen och regeringen har uttalat att myndighetsregister som innehåller ett stort antal registrerade och ett särskilt känsligt innehåll bör regleras i lag (prop. 1990/91:60 s. 58, bet. 1990/91:KU11 s. 11, prop. 1997/98:44 s. 41 och bet. 1997/98:KU18 s. 48). Uttalandena har med åren kommit att tillämpas på såväl regleringen av regelrätta register som myndigheters behandling av personuppgifter i stort (prop. 1997/98:44 s. 41, bet. 1997/98:KU18 s. 43, prop. 1999/2000:39 s. 78 och prop. 2009/10:80 s. 183). Även dessa uttalanden från riksdag och regering utgör skäl till att en särskild reglering om behandling av personuppgifter i nationella register bör vara i form av lag. Syftet med lagen bör dels vara att ge registermyndigheten möjlighet att behandla personuppgifter i registret över patienters vårdgivare på ett ändamålsenligt sätt, dels att skydda patienter mot att deras personliga integritet kränks vid sådan behandling. Det kan även konstateras att lagen inte ska tillämpas i någon annan del av registermyndighetens verksamhet än vid behandling av personuppgifter i registret över patienters vårdgivare. Personuppgiftsansvar I avsnitt 8.2.2 redogörs för den personuppgiftsansvariges skyldigheter. Den personuppgiftsansvarige ska exempelvis ansvara för och kunna visa att de grundläggande principerna i artikel 5.1 i EU:s dataskyddsförordning efterlevs (artikel 5.2). Därutöver ska den personuppgiftsansvarige bl.a. genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen utförs i enlighet med EU:s dataskyddsförordning (artikel 24.1) och för att säkerställa en lämplig säkerhetsnivå (artikel 32.1). På samma sätt som i lagen om grundregister över vårdgivare och i lagen om nationella register över patienters vårdgivare, bör även lagen om nationella register över patienters vårdgivare innehålla en reglering av vem som är personuppgiftsansvarig. Det bör därför i införas en bestämmelse som anger att registermyndigheten är personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför enligt lagen och föreskrifter som har meddelats i anslutning till lagen. Lagen bör upplysa om förhållandet till EU:s dataskyddsförordning och dataskyddslagen I avsnitt 8.2.2 redogörs för principen om att EU:s dataskyddsförordning är direkt tillämplig i varje medlemsstat och har företräde framför nationell lagstiftning och att en ny lag får därmed bara innehålla bestämmelser som kompletterar eller tar över EU:s dataskyddsförordning när detta är tillåtet. För att det ska vara tydligt för tillämparen hur de olika regleringarna förhåller sig till varandra bedöms det att en bestämmelse med upplysning om att lagen kompletterar EU:s dataskyddsförordning bör införas i lagen. Som framgår av 8.2.2 innehåller registerförfattningar innehåller ofta en upplysning om att det kan finnas tillämpliga bestämmelser om behandling av personuppgifter i dataskyddslagen och föreskrifter som har meddelats i anslutning till dataskyddslagen. Av tydlighetsskäl bör det därför införas en bestämmelse som klargör att dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen ska gälla vid behandling av personuppgifter enligt den nya lagen, om inte annat följer av den nya lagen eller föreskrifter som har meddelats i anslutning till den lagen (jfr prop. 2017/18:171 s. 73). 8.3.3 Ändamål för behandling av personuppgifter Förslag Registermyndigheten ska få behandla personuppgifter om det är nödvändigt för att föra registret över patienters vårdgivare och för att ge information om sådana uppgifter som behövs för att lokalisera vilka vårdgivare som behandlar personuppgifter för vård av en viss patient. Det ska framgå av lagen att personuppgifter får behandlas även för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Det ska tydliggöras att personuppgifter får behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med de ändamål som uppgifterna samlades in för. Skälen för förslaget Ändamål för behandling av personuppgifter i nationella register över vårdgivare ska fastställas Principen om att personuppgifter bara får samlas in för särskilda, uttryckligt angivna och berättigade ändamål är en allmän dataskydds- princip som följer av artikel 5.1 b i EU:s dataskyddsförordning. I skäl 39 till förordningen klargörs att de specifika ändamål som personuppgifterna behandlas för bör vara tydliga och legitima och ha bestämts vid den tidpunkt då personuppgifterna samlades in. Utifrån ändamålet avgörs vilka personuppgifter som får behandlas (artikel 5.1 c) och den registrerade har rätt att få information om ändamålet för behandlingen av personupp- gifterna (artiklarna 13–15). Även lämplig säkerhetsnivå bestäms utifrån bl.a. behandlingens ändamål (artikel 32). Ändamålet fastställs av den personuppgiftsansvarige, i EU-rätt eller i nationell rätt (artiklarna 4.7, 6.2 och 6.3). Att personuppgifter bara får samlas in för särskilda, uttryckligt angivna och berättigade ändamål är en allmän dataskyddsprincip. Enligt den s.k. finalitetsprincipen får personuppgifter inte vidarebehandlas för något annat ändamål som är oförenligt med insamlingsändamålen. Möjligheten att senare behandla personuppgifterna för andra ändamål är således begränsad. Ändamålsbestämmelser anger alltså den yttersta ramen inom vilken uppgifter får behandlas. Ändamålsbestämmelser är sådana specifika bestämmelser som anpassar tillämpningen av EU:s dataskyddsförordning och säkerställer en laglig och rättvis behandling och är således tillåtna i nationell rätt enligt artikel 6.2 och 6.3 i EU:s dataskyddsförordning. Ändamålsbestämmelserna behöver täcka all den behandling som är 100 nödvändig för att myndigheten ska kunna utföra sin verksamhet i att föra föreslaget register. Det bör framhållas att kravet på nödvändighet inte innebär ett krav på att behandlingsåtgärden ska vara oundgänglig. En behandling kan anses nödvändig om den leder till effektivitetsvinster (se prop. 2017/18:105 s. 189). I kravet på nödvändighet ligger dock att person- uppgifter inte får behandlas om syftet med behandlingen kan uppnås med andra medel, t.ex. genom att anonymisera uppgifterna (s. 117). Primära ändamål är sådana ändamål som avser myndigheters interna verksamhet. I registerförfattningar förekommer primära ändamål med varierande detaljeringsgrad. För att leva upp till kravet på särskilda, uttryckligt angivna och berättigade ändamål i EU:s dataskyddsförordning behöver myndigheten normalt också formulera mer preciserade ändamål för de specifika behandlingar av personuppgifter som sker i myndighetens verksamhet (prop. 2019/20:106 s. 39). Det bedöms att utgångspunkten för utformningen av den primära ändamålsbestämmelsen i lagen bör spegla registermyndighetens behov av att behandla uppgifter i registret över patienters vårdgivare för att ge myndigheten förutsättningar för att kunna utföra sitt uppdrag på ett ändamålsenligt sätt. Registermyndigheten bör därför få behandla personuppgifter om det är nödvändigt för att föra registret över patienters vårdgivare och för att ge information om sådana uppgifter som behövs för att lokalisera vilka vårdgivare som behandlar personuppgifter för vård av en viss patient. Sekundära ändamål När registermyndigheten ska lämna uppgifter till bl.a. vårdgivare med anledning av lagen om ett nationellt register över patienters vårdgivare kommer utlämnandet ofta medföra behandling av personuppgifter. Uppgifter kan även lämnas ut till andra myndigheter med stöd av bestämmelser som ger en sådan möjlighet men som inte föreskriver en sådan skyldighet. Ett exempel på detta är utlämnande som sker med stöd av den s.k. generalklausulen i 10 kap. 27 § offentlighets- och sekretess- lagen (2009:400), förkortad OSL. Det kan inte uteslutas att det kan bli aktuellt med ett uppgiftslämnande till någon annan myndighet som inte omfattas av de s.k. primära ändamålsbestämmelserna som redogörs för under rubriken Ändamål för behandling av personuppgifter i ett nationellt register över vårdgivare ska fastställas. Det bör därför finnas en ändamålsbestämmelse som säkerställer att det är möjligt att behandla personuppgifter även i dessa fall, en s.k. sekundär ändamålsbestämmelse. Det är lämpligt att bestämmelsen omfattar både fall då det finns en skyldighet att lämna uppgifter och fall där det finns en möjlighet att lämna uppgifter. Det finns bestämmelser med en sådan uppbyggnad i ett flertal registerförfattningar, t.ex. 7 § lagen (2023:457) om behandling av personuppgifter vid Utbetalningsmyndig- heten. En sekundär ändamålsbestämmelse ger stöd för den behandling av personuppgifter som sker vid ett utlämnande av personuppgifter. Stöd för utlämnandet finns dock i annan lagstiftning. Vid uppgiftslämnande är den viktigaste frågan ur ett integritetsperspektiv om uppgifterna ska lämnas ut. Det föreslås därför en sekundär ändamålsbestämmelse om att person- uppgifter som får behandlas enligt den primära ändamålsbestämmelsen också ska få behandlas för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Begränsningen till person- uppgifter som behandlas enligt de angivna ändamålen innebär att det inte kan bli aktuellt att t.ex. samla in uppgifter i det enda syftet att lämna ut dessa med stöd av en bestämmelse om uppgiftsskyldighet. Uppgifter som får lämnas ut med stöd av denna bestämmelse måste således redan vara föremål för behandling enligt de primära ändamålen. Finalitetsprincipen Utöver de primära och sekundära ändamål som pekar ut ramarna för den behandling som är tillåten utgör principen om ändamålsbegränsning (kallad finalitetsprincipen) den yttersta gränsen för tillåten behandling på EU:s dataskyddsförordnings område. Finalitetsprincipen framgår av artikel 5.1 b i EU:s dataskyddsförordning och utgör en av de grund- läggande principerna för behandling av personuppgifter. Denna princip medger att uppgifter behandlas för andra ändamål än de ändamål som uppgifterna samlats in för, under förutsättning att behandlingen inte är oförenlig med de ursprungliga ändamålen. Det bedöms att finalitetsprincipen bör utgöra den yttersta ramen för personuppgiftsbehandlingen i ett nationellt register över patienters vårdgivare. Finalitetsprincipen innebär i sig ett integritetsskydd eftersom den förbjuder ytterligare behandling av personuppgifter som är oförenlig med ursprungsändamålen. Vid tillämpning av finalitetsprincipen ska kopplingar mellan de ändamål för vilka personuppgifterna har samlats in och ändamålen med den avsedda ytterligare behandlingen, det samman- hang inom vilket personuppgifterna har samlats in, personuppgifternas art, eventuella konsekvenser för registrerade av den planerade fortsatta behandlingen och förekomsten av lämpliga skyddsåtgärder beaktas (artikel 6.4 i EU:s dataskyddsförordning). Finalitetsprincipen kan alltså inte tillämpas utan avvägningar som i praktiken innebär att de nya ända- målen kommer att behöva ligga mycket nära de ursprungliga ändamålen eller kunna ses som en förlängning av de ursprungliga ändamålen (jfr prop. 2023/24:29 s. 50). Vid fråga om utlämnande av personuppgifter gäller bestämmelser om sekretess. Bestämmelser om finalitetsprincipen i EU:s dataskyddsförordning är direkt tillämpliga vid registermyndighetens behandling av person- uppgifter. Det anses dock att det av tydlighetsskäl bör införas en bestämmelse som ger uttryck för finalitetsprincipen genom att ange att personuppgifter som behandlas för något av de i lagen angivna ändamålen även får behandlas för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. 8.3.4 Känsliga personuppgifter Förslag Registermyndigheten ska få behandla känsliga personuppgifter om det är nödvändigt med hänsyn till ändamålet med behandlingen. Skälen för förslaget Reglering om känsliga personuppgifter i EU:s dataskyddsförordning och dataskyddslagen Personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning benämns i EU:s dataskydds- förordning som särskilda kategorier av uppgifter (artikel 9.1). Av samma artikel framgår att behandling av sådana personuppgifter är förbjuden. I svensk rätt kallas uppgifterna känsliga personuppgifter (se t.ex. 3 kap. 1 § dataskyddslagen). Förbudet i artikel 9.1 att behandla sådana personuppgifter kompletteras av ett antal undantag i artikel 9.2, t.ex. om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen (artikel 9.2 g). Artikel 9.2 g är visserligen direkt tillämplig, men det är möjligt för medlemsstaterna att i nationell rätt införa mer specifika bestämmelser avseende känsliga personuppgifter (se artikel 6.2 och skäl 10). Enligt artikel 9.4 får medlemsstater också behålla eller införa ytterligare villkor, även begränsningar, för behandlingen av genetiska eller biometriska uppgifter eller uppgifter om hälsa. Det finns bestämmelser om behandling av känsliga personuppgifter i dataskyddslagen. Enligt 3 kap. 3 § första stycket dataskyddslagen får känsliga personuppgifter behandlas av en myndighet med stöd av artikel 9.2 g i EU:s dataskyddsförordning om uppgifterna har lämnats till myndig- heten och behandlingen krävs enligt lag, om behandlingen är nödvändig för handläggningen av ett ärende, eller i annat fall, om behandlingen är nödvändig med hänsyn till ett viktigt allmänt intresse och inte innebär ett otillbörligt intrång i den registrerades personliga integritet. Enligt andra stycket är det vid behandling som sker enbart med stöd av första stycket förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Registermyndigheten har ett behov av att behandla personuppgifter om hälsa Registermyndigheten behöver kunna behandla ett stort antal person- uppgifter för att kunna utföra sitt uppdrag enligt lagen om ett nationellt register över patienters vårdgivare på ett ändamålsenligt sätt. Behand- lingen inbegriper även känsliga personuppgifter. I avsnitt 8.3.1 klargörs de övergripande typer av personuppgifter som registermyndigheten bedöms ha ett behov av att kunna behandla i registret över patienters vårdgivare vilket inbegriper uppgifter om personers hälsa. Registermyndigheten kommer hantera uppgifter om vilken patient som vårdas eller har vårdats hos en vårdgivare samt vårdgivarens identitet. Sådana uppgifter kan avslöja något om patientens hälsa, t.ex. om det rör sig om en specialist- klinik, och att en individ har behandlats inom ramen för hälso- och sjuk- vård. I registret över patienters vårdgivare kommer även personuppgifter om barn behandlas eftersom barn är patienter. Barns personuppgifter förtjänar ett särskilt skydd, eftersom barn kan vara mindre medvetna om risker, följder och skyddsåtgärder samt om sina rättigheter när det gäller behandling av personuppgifter (skäl 38 i EU:s dataskyddsförordning). Sådana uppgifter är visserligen inte känsliga personuppgifter i EU:s data- skyddsförordnings mening, men behandling av sådana personuppgifter är integritetskänslig. Behandlingen är nödvändig med hänsyn till ett viktigt allmänt intresse Eftersom behandling av känsliga personuppgifter som huvudregel är förbjuden enligt artikel 9.1 i EU:s dataskyddsförordning, måste något av undantagen i artikel 9.2 vara tillämpligt för att behandlingen ska vara tillåten. I detta sammanhang är det centralt om behandlingen kan anses vara nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstatens nationella rätt (artikel 9.2 g). Vad som är ett allmänt intresse, dvs. uttrycket som används i artikel 6.1 e, respektive ett viktigt allmänt intresse som används i artikel 9.2 g, är inte definierat i EU:s dataskyddsförordning. I förarbetena till dataskyddslagen konstateras att det är svårt att på ett generellt plan definiera vad som skiljer ett allmänt intresse från ett viktigt allmänt intresse. Regeringen har dock uttalat att det utgör ett viktigt allmänt intresse att svenska myndigheter, även utanför området myndighetsutövning, kan bedriva den verksamhet som tydligt faller inom ramen för deras befogenheter på ett korrekt, rättssäkert och effektivt sätt (se prop. 2017/18:105 s. 83 och prop. 2022/23:34 s. 130). Registermyndighetens uppgifter kommer att följa av lagen om ett nationellt register över patienters vårdgivare och anslutande föreskrifter. Syftet med registermyndighetens behandling av personuppgifter är att föra registret över patienters vårdgivare för att möjliggöra vårdgivares tillgång till nödvändig information om var uppgifter om patienter finns så att välgrundade medicinska beslut kan fattas. När registermyndigheten behandlar känsliga personuppgifter som är nödvändiga för att utföra de uppgifter som framgår av författning rör det sig således om en sådan behandling som avses i artikel 9.2 g i EU:s dataskyddsförordning, dvs. en behandling som är ett viktigt allmänintresse på grundval av nationell rätt. Behandlingen av känsliga personuppgifter är alltså motiverad med hänsyn till ett viktigt allmänintresse. För att det ska vara tillåtet att behandla känsliga personuppgifter enligt artikel 9.2 g i EU:s dataskyddsförordning måste behandlingen vara nödvändig. Kravet på nödvändighet i artikel 9 innebär detsamma som kravet på nödvändighet i artikel 6 (prop. 2017/18:105 s. 75 och 76). Om registermyndigheten inte får möjlighet att behandla känsliga person- uppgifter skulle innebära informationen till vårdgivare blir mindre relevant och de sökningar som vårdgivare behöver göra för att hitta andra vårdgivare bli mer omfattande och tidskrävande. Det skulle i slutändan drabba patientens hälsa. Vid registermyndighetens behandling av personuppgifter kommer det att finnas ändamålsbestämmelser som begränsar myndighetens möjligheter att behandla personuppgifter och krav på att behandlingen ska vara nödvändig. Lagen kommer även att innehålla krav på skyddsåtgärder, som begränsning av tillgången till personuppgifter, sökbegränsningar och begräsningar i tiden för behandling av personuppgifter, för att balansera det integritetsintrång som behandlingen av känsliga personuppgifter inne- bär. Vad gäller vårdgivare och andra myndigheters uppgiftslämnande till registermyndigheten, som kan innefatta känsliga personuppgifter, inne- håller lagen krav på att det ska finnas ett behov av uppgifterna. Behovs- prövningen är således central för möjligheten att behandla person- uppgifter. Behandlingen bedöms därför uppfylla kraven i artikel 9.2 g att den nationella rätten ska stå i proportion till det eftersträvade syftet, vara förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda skyddsåtgärder för att säkerställa de registrerades grundläggande rättigheter. Behandlingen bör regleras i lagen I dataskyddslagen har det införts ett för myndigheter generellt undantag från förbudet mot att behandla känsliga personuppgifter. Känsliga person- uppgifter får enligt 3 kap. 3 § första stycket dataskyddslagen behandlas av en myndighet med stöd av artikel 9.2 g i EU:s dataskyddsförordning om uppgifterna har lämnats till myndigheten och behandlingen krävs enligt lag, om behandlingen är nödvändig för handläggningen av ett ärende eller i annat fall, om behandlingen är nödvändig med hänsyn till ett viktigt allmänt intresse och inte innebär ett otillbörligt intrång i den registrerades personliga integritet. Uppgifterna som registermyndigheten ska utföra, vilka utgör ett viktigt allmänt intresse, ska regleras i författning. Det innebär att myndighetens behandling av känsliga personuppgifter kan ske på grundval av nationell rätt på det sätt som föreskrivs i den direkt tillämpliga regleringen i artikel 9.2 g i EU:s dataskyddsförordning och i enlighet med 3 kap. 3 § första stycket dataskyddslagen. Enligt artikel 6.2 och 6.3 i EU:s dataskyddsförordning är det tillåtet att ha bestämmelser om när myndigheter får behandla personuppgifter i nationell rätt för att reglera behandling som grundar sig på en uppgift av allmänt intresse enligt artikel 6.1 e i EU:s dataskyddsförordning. Det bedöms att det är förenligt med både EU:s dataskyddsförordning och det grundlagsreglerade integritetsskyddet att tillåta behandling av känsliga personuppgifter för ändamålet att föra registret över patienters vårdgivare och ge information om sådana uppgifter som behövs för att lokalisera vilka vårdgivare som behandlar personuppgifter för vård av en viss patient. Andra skyddsvärda uppgifter Av förslaget om ett register över patienters vårdgivare framgår att person- och samordningsnummer kommer behöva behandlas, dels ska sådana uppgifter registreras i registret, dels kommer sådana uppgifter användas som sökbegrepp i den sökning myndigheten gör för att lokalisera patientens vårdgivare (se avsnitt 4.1). Inget samtycke kommer att krävas för behandlingen av uppgifterna. Enligt 3 kap. 10 § dataskyddslagen gäller redan generellt att person- och samordningsnummer endast får behandlas utan samtycke när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktans- värt skäl. Syftet med register över patienters vårdgivare är att visa vårdgivare var relevant information om patienten finns och hos vilken vårdgivare. Nödvändiga uppgifter följer alltså med patienten i olika kontakter med vården. Patienten ska inte behöva upprepa sin sjukdoms- historia för flera vårdgivare eller genomgå samma undersökningar flera gånger. Hälso- och sjukvårdspersonal behöver inte lägga onödig tid på att samla in uppgifter från flera källor, dubbeldokumentera och ta om samma prover. Med hänsyn till detta bedöms att behandlingen av person- och samordningsnummer är klart motiverat med hänsyn till ändamålet med behandlingen. 8.3.5 Särskilda skydds- och säkerhetsåtgärder Förslag Uppgifter i registret över patienters vårdgivare ska få lämnas ut elektroniskt på annat sätt än genom direktåtkomst. Tillgången till personuppgifter ska begränsas till det som var och en behöver för att kunna fullgöra sina arbetsuppgifter. Åtkomsten till personuppgifter ska kontrolleras och följas upp regelbundet. Det ska i lagen tas in en upplysning om att regeringen eller den myndighet regeringen bestämmer kan meddela närmare föreskrifter om kontroll och uppföljning av åtkomsten till personuppgifter. Det ska inte få utföras sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Bedömning E-hälsomyndigheten bör få meddela närmare föreskrifter om kontroll och uppföljning av åtkomsten till personuppgifter. Skälen för förslaget och bedömningen Elektroniskt utlämnande på annat sätt än genom direktåtkomst I lagen regleras att uppgifter, på begäran av en vårdgivare får lämnas ut elektroniskt på annat sätt än genom direktåtkomst, se avsnitt 4.3. Direkt- åtkomst, som beskrivs i avsnitt i 8.2.1, bedöms inte vara nödvändigt för att tillgodose vårdgivares behov av att ta del av aktuella uppgifter på ett ändamålsenligt och effektivt sätt. Som framgår av avsnitt 8.2.1 utgör direktåtkomst en särskilt integritetsingripande form av uppgiftslämnande. Direktåtkomst medför också att uppgifter i en allmän handling som en myndighet har åtkomst till blir del av allmänna handlingar hos den myndigheten. Direktåtkomst bör därför endast komma i fråga om det finns ett verkligt behov av detta. En s.k. fråga-svar-teknik kräver inte någon direktåtkomst. Möjligheten att ge vårdgivare liknande tillgång till uppgifterna kan erbjudas utan att det rättsligt sett behöver vara fråga om direktåtkomst. Upplevelsen för vårdgivaren kan vara densamma även utan direktåtkomst. I registret över patienters vårdgivare kommer det före- komma en stor mängd integritetskänsliga personuppgifter. Elektronisk överföring av sådana uppgifter bör övervägas noga. Riskerna med att överföra uppgifter elektroniskt, som bl.a. kan bestå i en ökad fara att uppgifter sprids eller att någon annan än den avsedda mottagaren får del av uppgifterna, måste vägas mot vårdgivarnas behov av att få tillgång till uppgifter om patientens hälsodata liksom ur ett patientsäkerhetsperspektiv. En ändamålsenlig avvägning mellan dessa intressen bedöms kunna uppnås genom en reglering som tydliggör att registermyndigheten får lämna ut uppgifter elektroniskt, men som samtidigt uttryckligen reglerar att direktåtkomst inte är tillåtet (jfr prop. 2019/20:106 s. 54 och 55). En sådan reglering är också att anse som en skyddsåtgärd enligt EU:s dataskydds- förordning (se t.ex. artikel 9.2 g). Åtkomsten till personuppgifter ska begränsas och kontrolleras EU:s dataskyddsförordning innehåller inte någon uttrycklig bestämmelse som begränsar tillgången till personuppgifter. I artikel 5.1 c uttrycks dock den grundläggande principen att personuppgifter som behandlas ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (principen om uppgiftsminimering). Enligt artikel 25.2 ska den personuppgiftsansvarige också genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa att endast personuppgifter som är nödvändiga för varje specifikt ändamål med behandlingen behandlas. Den skyldigheten gäller mängden insamlade personuppgifter, behandlingens omfattning, tiden för deras lagring och deras tillgänglighet. Framför allt ska dessa åtgärder säkerställa att personuppgifter i standard- fallet inte utan den enskildes medverkan görs tillgängliga för ett obegränsat antal fysiska personer. Möjligheten till spridning av personuppgifterna har stor betydelse vid en bedömning av integritetsriskerna med behandlingen. Om uppgifter sprids ökar det risken för att uppgifterna används på ett sätt som inte är avsett. Utan en begränsning av spridningen av personuppgifterna kan också personuppgiftsbehandling komma att genomföras som det inte finns behov av. Skyldigheten för personuppgiftsansvariga att på olika sätt begränsa tillgången till personuppgifter följer av EU:s dataskyddsförordning. Det har därför i en del lagstiftningsärenden bedömts inte finnas skäl att införa ytterligare krav i lag (jfr prop. 2019/20:166 s. 125 och prop. 2021/22:217 s. 53). Vissa författningar innehåller dock bestämmelser som reglerar tillgången till personuppgifter. Bestämmelser av detta slag anses utgöra en sådan specificering som enligt artikel 6.2 och 6.3 i EU:s dataskydds- förordning är tillåten i nationell rätt. Som exempel på sådan reglering kan nämnas 2 kap. 5 § lagen (2020:421) om Rättsmedicinalverkets behandling av personuppgifter, enligt vilken tillgången till personuppgifter ska begränsas till det som var och en behöver för att kunna fullgöra sina arbetsuppgifter. För skyddet av den personliga integriteten är det viktigt att det vid registermyndigheten säkerställs att personuppgifter i verksamheten endast görs tillgängliga för de medarbetare som behöver uppgifterna i sitt arbete. En bestämmelse om att tillgången till personuppgifter ska begränsas till det som var och en behöver för att kunna fullgöra sina arbetsuppgifter bör därför föras in i den nya lagen om ett nationellt register över patienters vårdgivare. Det finns också skäl att ställa ytterligare krav på registermyndigheten i fråga om tillgången till personuppgifter. Det bör därför anges i lagen att åtkomsten till personuppgifter ska kontrolleras och följas upp regelbundet. Ett krav i lag på att åtkomsten ska kontrolleras utgör ännu en skyddsåtgärd i syfte att minska intrånget i enskildas personliga integritet. Det bör vara upp till registermyndigheten att närmare bestämma formerna för kontrollen. Sådana kontroller bör dock genomföras systematiskt och åter- kommande och inte endast om registermyndigheten av någon orsak har fått anledning att misstänka att obehörig åtkomst har förekommit. Kontroll kan t.ex. göras genom uppföljning av loggar. Det kan hävdas att en skyldighet att regelbundet kontrollera och följa upp åtkomsten av personuppgifter redan följer av EU:s dataskyddsförordning eller att det är en reglering som kan införas på förordningsnivå. Det kan finnas skäl att ställa närmare krav avseende tillgången till personuppgifter. Det kan t.ex. röra rutiner för tilldelning av behörigheter för åtkomst till personuppgifter eller loggning därav. Det kan även handla om krav på att den som vid myndigheten utför arbetsuppgifter som innefattar behandling av personuppgifter ska genomgå utbildning. Sådana krav bör regleras på lägre normnivå än lag. Därför bör regeringen eller den myndighet som regeringen bestämmer få meddela närmare föreskrifter om kontroll och uppföljning av åtkomsten till personuppgifter. I avsnitt 4.1 görs bedömningen att E-hälsomyndigheten bör vara ansvarig registermyndighet över registret över patienters vårdgivare. E-hälsomyndigheten bör därför även få meddela närmare föreskrifter om kontroll och uppföljning av åtkomsten till personuppgifter. Sökbegränsningar Registermyndighetens ska föra ett register över uppgifter om patienters vårdgivare för att ge information till vårdgivare om sådana uppgifter som behövs för att lokalisera patientens vårdgivare. Registermyndigheten bedöms därför ha behov av att kunna göra sökningar bland uppgifter där personuppgifter förekommer. I EU:s dataskyddsförordning finns inget förbud mot att använda person- uppgifter vid sökning, men vid behandling av känsliga personuppgifter krävs lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen (artikel 9.2 g). Regeringen har bedömt att en sökbegränsning är en sådan skyddsåtgärd som säkerställer den registrerades grundläggande rättigheter och intressen (prop. 2017/18:105 s. 90 och 91). En sökbegränsning utgör därför många gånger en förutsättning för att behandling av känsliga personuppgifter ska vara tillåten enligt EU:s dataskyddsförordning. Vid utformningen av en sökbegränsning måste en avvägning göras mellan å ena sidan intresset av effektivitet i en myndighets verksamhet och å andra sidan risken för integritetsintrång. Regler om begränsning av tillåtna sökbegrepp bör därför ta sikte på sådana sökningar som typiskt sett medför särskilda integritetsrisker. I ett flertal lagstiftningsärenden på senare tid har sökbegränsningar utformats på ett sätt som utgår från syftet med sökningen (se t.ex. 10 § lagen [2023:457] om behandling av personuppgifter vid Utbetalnings- myndigheten och 114 kap. 12 § socialförsäkringsbalken). En sådan utformning av sökbegränsningen innebär att det är förbjudet att utföra sökningar i syfte att få fram ett personurval grundat på känsliga person- uppgifter. Det är således inte tillåtet att utföra sökningar som innebär en kartläggning av personer på grundval av uppgifter om t.ex. etnicitet eller religion. Däremot hindrar ett sådant sökförbud inte sökningar som görs för andra ändamål, t.ex. i syfte att utöva tillsyn, för att ta fram verksamhets- statistik eller för registervård, dvs. när syftet med sökningen inte är att identifiera ett urval av individer (se prop. 2017/18:105 s. 91 och prop. 2017/18:254 s. 38). Det är dock viktigt att dokumentera syftet med en sökning, såvida det inte tydligt framgår av sammanhanget. Det underlättar både intern kontroll och tillsyn över verksamheten (jfr prop. 2017/18:232 s. 155 och 156). Mot denna bakgrund bör det inte vara tillåtet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. En sådan skyddsåtgärd minimerar riskerna för att känsliga personuppgifter missbrukas och upprätthåller integritetsskyddet. 8.4 Längsta tid som personuppgifter får behandlas Förslag Det ska införas en bestämmelse i lagen om ett nationellt register över patienters vårdgivare om att personuppgifter inte ska få behandlas under längre tid än vad som behövs med hänsyn till ändamålet med behandlingen. Bedömning Det bör inte införas bestämmelser om längsta tid för behandling av personuppgifter i lagen om grundregister över vårdgivare eller i lagen om en nationell vårdsöktjänst. Arkivlagstiftningens principer om bevarande bör vara utgångs- punkten för uppgifterna i de nya lagarna. Skälen för förslaget och bedömningen Längsta tid som personuppgifter får behandlas enligt EU:s dataskyddsförordning och arkivlagen Enligt artikel 5.1 e i EU:s dataskyddsförordning får personuppgifter inte förvaras i en form som möjliggör identifiering av den registrerade under en längre tid än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas. Bestämmelsen ger uttryck för förordningens princip om lagringsminimering. Personuppgifter ska därför inte fortsätta behandlas om det saknas ett behov av behandling. När det inte längre finns något behov av att behandla personuppgifter bör dessa alltså tas bort eller avidentifieras på ett sådant sätt att alla identifieringsmöjligheter försvinner i verksamhetssystemen eller arkiveras. EU:s dataskyddsförordning är direkt tillämplig i svensk rätt och principen om lagringsminimering kräver därför att de uppgifter som inte längre behöver behandlas för ett visst ändamål också slutar behandlas för det ändamålet. I arkivlagen (1990:782) och arkivförordningen (1991:446) finns bestämmelser om bevarande av uppgifter hos myndigheter och vissa andra organ. Utgångspunkten enligt 3 § arkivlagen är att allmänna handlingar ska bevaras, hållas ordnade och vårdas så att myndigheternas arkiv kan tillgodose rätten att ta del av allmänna handlingar, behovet av information för rättskipningen och förvaltningen samt forskningens behov. Om arkiv- ändamålen kan tillgodoses får under vissa förutsättningar allmänna handlingar dock gallras (10 § arkivlagen). Arkivlagens bestämmelser är subsidiära i förhållande till annan lagstiftning. Om det finns avvikande bestämmelser om gallring av vissa allmänna handlingar i annan lag eller förordning har de bestämmelserna företräde enligt 10 § tredje stycket arkivlagen. Med gallring avses att en handling förstörs på ett eller annat sätt. Statliga myndigheter får enligt 14 § arkivförordningen gallra allmänna handlingar endast i enlighet med föreskrifter eller beslut av Riksarkivet om inte särskilda gallringsbestämmelser finns i lag eller förordning. Gallring enligt det arkivrättsliga regelverket syftar till att begränsa arkivens omfattning, bl.a. för att därmed öka deras tillgänglighet, medan bestämmelser om längsta tid för behandling av personuppgifter enligt det dataskyddsrättsliga regelverket syftar till att skydda enskildas personliga integritet (prop. 2023/24:147 s. 75). Längsta tid som personuppgifter får behandlas i registret över patienters vårdgivare En bestämmelse om en längsta tid under vilken personuppgifter får behandlas i de föreslagna registren skulle kunna motiveras av tydlighets- och integritetsskäl. Till skillnad från vad som många gånger är fallet med uppgiftsinsamlingar som används för exempelvis ärendehandläggning, tappar dock uppgifter i registret över patienters vårdgivare inte alltid sin relevans med tiden. Det kan nämligen finnas relevant information om vilka vårdgivare en patient varit registrerad hos längre tillbaka i tiden. Uttryckliga tidsgränser för när personuppgifter ska upphöra att behandlas kan dock göra det mer tydligt för såväl den registrerade som den berörda myndigheten att överblicka hur länge personuppgifter får behandlas. En fast tidsgräns riskerar dock att kraftigt begränsa nyttan med ett nationellt register över patienters vårdgivare. Mot den bakgrunden och med hänsyn till den omfattande behandlingen av känsliga personuppgifter bedöms det vara motiverat med en reglering som förtydligar att det är ändamålet med behandlingen som avgör hur länge uppgifterna får behandlas i nationella register över vårdgivare. Det innebär att när det inte längre, med hänsyn till ändamålet, finns något behov av att behandla personuppgifterna ska dessa tas bort eller avidenti- fieras på ett sådant sätt att alla identifieringsmöjligheter försvinner. En sådan bestämmelse ställer krav på registermyndigheten att kunna motivera fortsatt behandling av personuppgifter, t.ex. inför en tillsynsmyndighet. Det kan förekomma att behovet av att behandla personuppgifter upphör avseende behandling för ett ändamål, medan det kvarstår för ett annat ändamål. Personuppgifterna får då fortsätta att behandlas för det kvar- stående ändamålet. Regleringen bör alltså inte innebära att all behandling ska upphöra om behovet upphör för ett av flera ändamål. Längsta tid som personuppgifter får behandlas i grundregistret över vårdgivare och vårdsöksregistret Grundregistret över vårdgivare och vårdsöksregistret ska inte innehålla uppgifter om patienter eller i övrigt innebära en omfattande person- uppgiftsbehandling. Därför finns inte samma tydlighets- och integritets- skäl för en bestämmelse om en längsta tid under vilken personuppgifter får behandlas. EU:s dataskyddsförordning är dessutom direkt tillämplig i svensk rätt och principen om lagringsminimering kräver att de uppgifter som inte längre behöver behandlas för ett visst ändamål också slutar behandlas för det ändamålet. Det anses därför inte att det finns ett behov av att särskilt reglera frågan i lag om längsta tid för behandling av personuppgifter i grundregistret över vårdgivare och i vårdsöksregistret. I stället ska EU:s dataskyddsförordning och arkivlagen tillämpas. Att personuppgifter upphör att behandlas innebär inte nödvändigtvis att handlingarna gallras. Av skäl 39 till EU:s dataskyddsförordning framgår att den personuppgiftsansvarige bör införa tidsfrister för radering eller för regelbunden kontroll för att säkerställa att personuppgifter inte sparas längre än nödvändigt. Att myndigheterna internt formulerar vissa mer specificerade tidsfrister för när behandling ska upphöra har därmed stöd i EU:s dataskyddsförordning. 9 Samlad integritets- och proportionalitetsanalys Bedömning Den personuppgiftsbehandling som möjliggörs genom förslagen utgör en proportionerlig inskränkning av det skydd för den personliga integriteten som finns i regeringsformen, Europakonventionen och EU:s rättighetsstadga. Förslagen är förenliga med kravet på pro- portionalitet i EU:s dataskyddsförordning. Skälen för bedömningen Utgångspunkter för bedömning av förslagens påverkan på den personliga integriteten och proportionalitet Förslaget i avsnitt 4 om ett nationellt register över patienters vårdgivare innebär att registermyndigheten kommer samla in och behandla en omfattande mängd personuppgifter. Även förslagen om grundregistret över vårdgivare och vårdsöksregistret innebär viss behandling av person- uppgifter (se avsnitt 3.1 och 5.1). Myndigheter, regioner och privata vård- givare kommer också i en större utsträckning behöva behandla person- uppgifter med anledning av de föreslagna uppgiftsskyldigheterna och de sekretessbrytandebestämmelserna (se avsnitt 3.4, 3.5, 4.4 och 5.5). Förslaget i avsnitt 6 innebär att kravet på samtycke tas bort och ersätts med en annan integritetshöjande åtgärd där patienten kan motsätta sig behandlingen av sina personuppgifter. Förslaget bedöms dock inte påverka vårdgivarnas behandling av personuppgifter i övrigt. Behandlingen som kommer att utföras med stöd av de föreslagna lagarna inkluderar bl.a. uppgifter som utgör känsliga personuppgifter enligt Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskyddsförordning, och andra personuppgifter av mer eller mindre integritetskänslig karaktär. Registret över patienters vårdgivare är personnummerbaserat, riks- täckande och omfattar stora delar av Sveriges befolkning. Det innebär att behandlingen inbegriper personuppgifter om barn och andra särskilt skyddsvärda individer vilket kan medföra ett betydande intrång i den enskildes personliga integritet. Därför är det nödvändigt att särskilt bedöma hur lagen om nationella patienters vårdgivare förhåller sig till de regelverk som syftar till att värna om den personliga integriteten. I det följande redovisas samlade överväganden i fråga om de föreslagna lagarnas risker för den personliga integriteten, integritetsstärkande åtgärder, behovet av den föreslagna regleringen och proportionalitet liksom förslagens förenlighet med EU:s dataskyddsförordning samt de begränsningar i annan reglering till skydd för enskildas personliga integritet som lagarna innebär. Vissa faktorer har ansetts särskilt viktiga att ta hänsyn till när det gäller att bedöma integritetskänsligheten vid helt eller delvis automatiserad behandling av personuppgifter. Det gäller arten av personuppgifter som samlas in och registreras, varför detta görs, hur och av vem uppgifterna används samt mängden av uppgifter som samlas på ett och samma ställe eller som på något annat sätt är tillgängliga för bearbetningar och sammanställningar. Även rådande samhällsvärderingar kan ha viss på- verkan på vilken reglering och begränsning av behandlingen av person- uppgifter som är nödvändig för att skydda den personliga integriteten (se t.ex. prop. 2005/06:173 s. 15 och prop. 2022/23:34 s. 162). Rättslig grund för behandling av personuppgifter som sker till följd av uppgiftsskyldigheter Bedömningen av rättslig grund och stöd för behandling av känsliga personuppgifter för den behandling som registermyndigheten och ansvarig myndighet kommer att utföra med anledning av förslagen framgår av avsnitt 8.2.1, 8.3.1, 8.3.3 och 8.3.4. Behandling av personuppgifter kommer att ske vid utlämnande till registermyndigheten och ansvarig myndighet till följd av de uppgifts- skyldigheter som föreslås i avsnitt 3.4, 3.5, 4.4 och 5.5. Myndigheter, regioner och privata vårdgivare kommer behöva behandla personuppgifter för att uppfylla sin uppgiftsskyldighet. Stöd för en sådan behandling finns i EU:s dataskyddsförordning i artikel 6.1 c (rättslig förpliktelse) och 6.1 e (allmänt intresse). Den rättsliga grunden för behandlingen kommer att vara fastställd i den nationella rätten på det sätt som krävs enligt artikel 6.3 i EU:s dataskyddsförordning genom de föreslagna bestämmelserna om uppgiftsskyldighet i lag. Behandling av personuppgifter hos regionen och andra privata vårdgivare görs även med stöd av patientdatalagen (2008:355), förkortad PDL. Personuppgifter får enligt den lagen behandlas för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning (2 kap. 5 § PDL). Det får göras begränsningar i skyddet för den personliga integriteten Regler till skydd mot intrång i den personliga integriteten finns i bl.a. regeringsformen, olika internationella rättsakter, EU:s dataskyddsförord- ning och sekretesslagstiftningen. Den enskilde är skyddad mot betydande intrång i den personliga integriteten och har en rätt till respekt för sitt privatliv. Den enskildes personuppgifter ska skyddas. I de fall en myndig- het vill behandla personuppgifter måste den beakta dessa rättigheter. I avsnitt 8.3.2 konstateras att den behandling av personuppgifter som registermyndigheten kommer behöva utföra med anledning av det nationella registret över patienters vårdgivare, och som möjliggörs genom den föreslagna lagen om ett nationellt register över patienters vårdgivare, i vissa fall kan innebära ett betydande intrång i den enskildes personliga integritet. I avsnitt 8.3.5 och 8.4 beskrivs hur de föreslagna bestäm- melserna bedöms bidra till att skydda den personliga integriteten. Även de behov som ligger till grund för förslaget redovisas, inbegripet bl.a. en bedömning av att registermyndigheten utför en uppgift av allmänt intresse. Rätten till skydd för den personliga integriteten enligt regeringsformen är inte absolut utan kan inskränkas genom lag. Begränsningar får endast göras för att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle och får aldrig gå utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett begränsningen, och inte heller sträcka sig så långt att den utgör ett hot mot den fria åsiktsbildningen såsom en av folkstyrelsens grundvalar (2 kap. 21 § regeringsformen). Enligt artikel 8.2 i den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna, förkortad Europakonventionen, får rätten till skydd för privatlivet inte inskränkas annat än med stöd av lag och om det i ett demokratiskt samhälle är nödvändigt med hänsyn till den nationella säkerheten, den allmänna säkerheten, landets ekonomiska välstånd eller till förebyggande av oordning eller brott eller skydd för hälsa eller moral eller för andra personers fri- och rättigheter. I artiklarna 3, 7 och 8 i Europeiska unionens stadga om de grundläggande rättigheterna (2010/C 83/02), förkortad EU:s rättighetsstadga, slås det fast att var och en har rätt till fysisk och mental integritet, respekt för sitt privat- och familjeliv, sin bostad och sina kommunikationer samt skydd av de personuppgifter som rör honom eller henne. Även i EU:s rättighetsstadga är utgångspunkten att en inskränkning endast får göras i lag och måste vara förenlig med det väsentliga innehållet i de rättigheter och friheter som erkänns i stadgan. Begränsningar får med beaktande av proportionalitetsprincipen endast göras om de är nödvändiga och faktiskt svarar mot mål av allmänt samhällsintresse som erkänns av unionen eller behovet av skydd för andra människors rättigheter och friheter (artikel 52.1). EU:s dataskyddsförordning förutsätter också att proportionalitets- bedömningar görs vid behandling av personuppgifter. Den rättsliga grunden som avser rättslig förpliktelse (artikel 6.1 c) och uppgift av allmänt intresse (artikel 6.1 e) ska vara proportionerlig mot det legitima mål som eftersträvas (artikel 6.3 andra stycket). Behandling av känsliga personuppgifter enligt artikel 9.2 g och j är endast tillåten om behandlingen står i proportion till det eftersträvade syftet. Rätten till skydd för den personliga integriteten måste också enligt skälen till EU:s data- skyddsförordning förstås utifrån sin uppgift i samhället och vägas mot andra grundläggande rättigheter utifrån proportionalitetsprincipen (skäl 4). Ovanstående villkor innebär bl.a. att det vid en begränsning i skyddet för den personliga integriteten ska göras en proportionalitetsbedömning där integritetsriskerna med personuppgiftsbehandlingen vägs mot fördelarna med behandlingen. I detta ingår att bedöma om behandlingen av personuppgifterna är nödvändig utifrån det avsedda ändamålet med behandlingen och om det finns alternativ som är mindre integritets- känsliga. För att det ska vara motiverat att införa möjligheter att samla in och behandla personuppgifter i registret över patienters vårdgivare enligt förslagen är alltså en förutsättning att det finns ett konkret och påtagligt behov av behandlingen och att ändamålet inte kan uppnås genom mindre ingripande åtgärder. Den nytta som den utökade personuppgifts- behandlingen innebär måste med andra ord stå i proportion till integritets- skyddsintresset för de personer som berörs av den ökade spridning av personuppgifter som en utökad behandling medför. Till grund för proportionalitetsbedömningen är det nödvändigt att närmare kartlägga riskerna för intrång i den personliga integriteten. Genom att det införs integritetsstärkande åtgärder kan behovet av behandling balanseras mot intresset av integritetsskydd. Integritetsrisker vid behandling av personuppgifter i ett nationellt register över patienters vårdgivare I registret över patienters vårdgivare kommer uppgifter om samtliga patienter behandlas och uppgifterna bedöms i allt väsentligt vara känsliga personuppgifter som har ett högt skyddsvärde. Det förtjänar att påpekas att sådana personuppgifter redan behandlas för liknande ändamål i dag genom den infrastruktur som främst de offentliga vårdgivarna genom Sveriges kommuner och regioner och Inera AB byggt upp avseende den frivilliga delningen av hälsodata för hälso- och sjukvårdsändamål. Promemorians förslag innebär således inte att helt nya personuppgifter ska registreras utan snarare att behandlingen av dessa personuppgifter centraliseras och att behandlingen av dem inte längre är frivillig utan obligatorisk för samtliga vårdgivare. Genom den föreslagna lagen om ett nationellt register över patienters vårdgivare får registermyndigheten möjlighet att behandla både en stor mängd personuppgifter och flera personuppgifter per individ. Det innebär i sig en integritetsrisk, eftersom en omfattande behandling av person- uppgifter generellt sett är förenad med större integritetsrisker än vad en mer begränsad behandling är. Uppgifter som avslöjar var enskilda får vård och var dessa uppgifter finns tillgängliga kommer att samlas in på ett sådant sätt att informationen enkelt kan sammanställas och systematiseras, vilket innebär en möjlig kartläggning av individer. Uppgiftssamlingen i sig innebär därför en särskild integritetsrisk. Utvecklingen av en nationell digital infrastruktur kommer i praktiken att innebära att personuppgifter samlas ihop nationellt från samtliga vård- givare och göra s tillgängliga för samma krets. Personuppgifterna som behandlas får på så sätt en större spridning än de har i dag. Driften och skötseln av den digitala infrastrukturen kommer också att innebära att ett större antal personer än tidigare kommer att vara involverade i behandlingen av personuppgifterna. Spridningen av uppgifterna till ett nationellt register innebär också en ökad risk för att personuppgifter behandlas otillbörligt, t.ex. genom att uppgifter kan komma i orätta händer eller röjas i strid med gällande sekretessbestämmelser. Vid en obehörig befattning med uppgifterna är riskerna särskilt stora mot bakgrund av att stora mängder uppgifter är samlade hos en och samma aktör. Vid en förlorad kontroll över uppgifterna, exempelvis vid en person- uppgiftsincident eller otillbörlig åtkomst, skulle uppgifterna kunna komma i utomståendes händer och användas för negativ särbehandling, övervakning, kartläggning av enskildas personliga förhållanden eller för att utsätta de registrerade för fara eller kränkningar. Oavsett om en otillbörlig spridning av personuppgifterna medför att den enskilde kommer till skada eller blir behandlad på ett negativt sätt, kan den enskilde komma att uppleva ett lidande av att integritetskänslig information blivit känd för andra i omgivningen utanför den enskildes privata krets eller vårdgivares verksamhet. Vårdgivare som åläggs en uppgiftsskyldighet kommer för detta ändamål behöva behandla fler personuppgifter. Även hos vårdgivarna finns det på samma sätt som hos registermyndigheten en risk för intrång, obehörig hantering av uppgifterna samt risk att uppgifter lämnas på ett sätt som leder till fara för uppgifterna kan komma i orätta händer. Även det förhållandevis omfattande uppgiftslämnandet från registret över patienters vårdgivare till vårdgivare innebär en risk för att utomstående på ett otillbörligt sätt skaffar sig åtkomst till uppgifterna. Också i denna del av verksamheten finns alltså en risk för obehörig extern åtkomst. Eftersom registret över patienters vårdgivare utgör ett nationellt ansvar finns även en risk för att det skulle kunna användas på ett otillbörligt sätt av en icke-demokratisk makthavare eller på annat sätt leda till oönskade konsekvenser för de registrerade. Utöver de risker som finns med själva spridningen av personuppgifterna innebär även personuppgifternas särskilt integritetskänsliga karaktär utökade integritetsrisker. Detta gäller i synnerhet den föreslagna tillåtna behandlingen av känsliga personuppgifter. Uppgifter i registret över patienters vårdgivare kommer omfatta personer som i något avseende har behov hälso- och sjukvård och i vissa fall vilken hälso- och sjukvård. Vårdgivare kommer därmed få del av många uppgifter om patientens tidigare vårdgivare och om patientens tidigare besök hos hälso- och sjukvården. Risken för otillbörlig användning och spridning av sådana uppgifter utanför den enskildes förtroendekrets kan därför uppfattas som särskilt känslig. Vid förlorad kontroll skulle hälsouppgifter kunna vidareförmedlas till någon som använder dem för att selektera bort personer med vissa 115 hälsotillstånd i anställningsprocesser, höja försäkringspremier eller liknande som förutom integritetsintrånget i sig även kan leda till materiella nackdelar för den enskilde. Också behandling av sådana personuppgifter som inte är känsliga på det sätt som avses i EU:s dataskyddsförordning kan vara förenad med integritetsrisker. Behandling av exempelvis personnummer och andra personuppgifter som direkt kan hänföras till den registrerade kan utgöra en integritetsrisk eftersom det möjliggör samkörning av uppgifter som finns i olika källor och behandling för andra ändamål än de ursprungligen avsedda. En samling av flera personuppgifter som är av mindre känslig karaktär kan tillsammans skapa en integritetskänslig sammanställning om en person som kan ligga till grund för utökad kartläggning. I registret över patienters vårdgivare kommer det även att finnas personuppgifter om flera grupper med behov av särskilt skydd. Barns personuppgifter förtjänar t.ex. ett särskilt skydd, eftersom barn kan vara mindre medvetna om berörda risker, följder och skyddsåtgärder samt om sina rättigheter när det gäller behandling av personuppgifter (skäl 38 i EU:s dataskyddsförordning). Även personer med vissa kognitiva funktionsnedsättningar kan vara mindre medvetna om sådana faktorer. Äldre personer kan också vara sårbara registrerade, vilket innebär att det kan vara svårt för dem att på ett enkelt sätt utöva sina rättigheter. Det finns också särskilt stora integritetsrisker vid personuppgiftsbehandling som rör personer med skyddade personuppgifter och personer som i övrigt är utsatta för våld eller förtryck. Utöver detta finns det en risk för att en individ upplever ett obligatoriskt insamlande av uppgifter från vårdgivares verksamheter till ett nationellt register över patienters vårdgivare som en kränkning av integriteten, något som i sin tur skulle kunna innebära att enskilda avhåller sig från att kontakta hälso- och sjukvården. Uppgiftsinsamlingen kan anses innebära att det förs in ett nytt moment i relationen mellan parterna, som inte handlar om anledningen till att den enskilde söker samhällets stöd eller hjälp. Bara vetskapen om att finnas i ett register kan skapa olust hos en enskild, oaktat om denne befarar att registrets uppgifter kommer ut eller att andra negativa konsekvenser kan uppstå. Vetskapen om att uppgifter samlas in till ett nationellt register skulle också kunna riskera att påverka behandlingsalliansen vid tillhandahållandet av olika hälso- och sjukvårds- insatser, i synnerhet om sådana sker med tvång. Även personuppgifter avseende hälso- och sjukvårdsanställda måste behandlas i högre utsträckning. Detta behövs inte minst för att möjliggöra säker autentisering till informationssystemen, behörighetstilldelningar och loggning av vem som tagit del av vilka informationsmängder för att uppnå spårbarhet i systemet. Dessa personuppgifter är till den största delen inte av känslig art, men kommer ändå att medföra en ytterligare behandling och spridning av dessa informationsmängder jämfört med hur det ser ut i dag. Beskrivning av integritetsstärkande åtgärder För att balansera de personuppgiftsbehandlingar som föreslås i promemorian, innefattar förslagen också vissa åtgärder för att stärka den enskildes integritet. En integritetsstärkande åtgärd i sig är att föreslå en särskild reglering av behandlingen av personuppgifter i registerlagar så att dess rättsliga grund och olika förutsättningar regleras på ett tydligs sätt. I avsnitt 8.2.2 och 8.3.2 utpekas registermyndigheten och den ansvariga myndigheten som personuppgiftsansvariga för de personuppgifter som behandlas i de föreslagna registren. Enligt EU:s dataskyddsförordning ska den personuppgiftsansvarige uppfylla krav på säkerhet vid behandling av personuppgifterna. Enligt artikel 5 f i EU:s dataskyddsförordning ska personuppgifter behandlas på ett sätt som säkerställer lämplig säkerhet för personuppgifterna, inbegripet skydd mot obehörig eller otillåten behandling och mot förlust, förstöring eller skada genom olyckshändelse, med användning av lämpliga tekniska eller organisatoriska åtgärder (integritet och konfidentialitet). Med beaktande av behandlingens art, omfattning, sammanhang och ändamål samt riskerna för fysiska personers rättigheter och friheter ska den personuppgiftsansvarige enligt artikel 24.1 genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen utförs i enlighet med EU:s dataskyddsförordning. Dessa åtgärder ska ses över och uppdateras vid behov. Ytterligare krav på den personuppgiftsansvariges säkerhetsarbete regleras i artiklarna 25 och 32 i EU:s dataskyddsförordning. I avsnitt 8.3.3 föreslås bestämmelser om ändamål för behandling av personuppgifter i registret över patienters vårdgivare. De föreslagna ändamålen utgör en grundläggande begränsning av all behandling i registret över patienters vårdgivare. Genom att det i lag fastställs för vilka ändamål myndigheten får behandla personuppgifter bestäms en yttersta ram för behandlingen, som endast kan ändras genom lag. Det bör noteras att ändamålsbestämmelserna ska läsas tillsammans med lagen i dess helhet och särskilt bestämmelsen om registrets syfte. I avsnitt 4.1 föreslås även bestämmelser som reglerar tillåtet innehåll i registret över patienters vårdgivare. Att i den föreslagna lagen särskilt reglera vilka personuppgifter som får finnas i registret över patienters vårdgivare samt de yttre ramarna för dessa säkerställer också att endast de uppgifter som behövs behandlas i registret. Förutom att en sådan reglering begränsar den tillåtna personuppgiftsbehandlingen förutsätter också regleringen ett noggrant övervägande av nödvändigheten och proportionaliteten av varje enskild personuppgift som föreslås få behandlas. En utökning av de personuppgifter som får behandlas förutsätter likaså att en sådan avvägning görs av riksdag eller regering. Denna reglering av innehållet bedöms därmed tillsammans med de föreslagna ändamålsbestämmelserna i avsnitt 8.3.3 och den föreslagna syftesbestämmelsen i avsnitt 4.1 och 8.3.2 minska integritetsriskerna och därmed utgöra en skyddsåtgärd. I avsnitt 8.3.4 föreslås att känsliga personuppgifter som utgångspunkt ska få behandlas om det är nödvändigt för ändamålet. I avsnitt 8.3.5 föreslås att sökningar inte ska få utföras i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Sökbegränsningen utgör en skyddsåtgärd då den begränsar möjligheten att analysera och sortera känsliga personuppgifter, vilket minskar risken för obefogad behandling av sådana uppgifter. I avsnitt 8.3.5 föreslås att tillgången till personuppgifter ska begränsas till det som var och en behöver för att kunna fullgöra sina arbetsuppgifter och att åtkomsten till personuppgifter ska kontrolleras och följas upp 117 regelbundet. Förslaget om begränsad åtkomst till personuppgifterna säkerställer ett aktivt arbete med s.k. behörighetsstyrning. Det bör endast vara ett begränsat antal medarbetare som har ett behov av att ta del av de personuppgifter som finns i registret över patienters vårdgivare. Kravet på att regelbundet kontrollera och följa upp åtkomsten till personuppgifter bidrar till att missbruk av behörigheter, intrång och andra säkerhetsrisker kan förebyggas och upptäckas i ett tidigt skede, vilket minskar risken för att personuppgifter används på ett sätt som de inte var avsedda för vid insamlingen. Risken minskar också för att personuppgiftsincidenter i övrigt inträffar. Bestämmelsen utgör därmed en skyddsåtgärd. Även de föreslagna bestämmelserna i avsnitt 8.3.5 om elektroniskt utlämnande bör betraktas som en skydds- och integritetshöjande åtgärd eftersom en sådan bestämmelse tydliggör och säkerställer att det alltid görs en lämplighetsavvägning innan personuppgifter lämnas ut elektroniskt. Vikten av en sådan avvägning blir särskilt relevant i förhållande till de mer integritetskänsliga formerna av elektroniskt utlämnande. För att motverka risken för att enskilda pga. obehag av att finnas med i ett register drar sig för att söka hjälp hos hälso- och sjukvården, är det viktigt med tydlig information om såväl ändamålet och syftet med att uppgifterna behandlas som att säkerheten i behandlingen är rigorös, tillgången kontrollerad och sekretessen mycket stark. Register- myndigheten bör även informera om registren genom att hålla allmän information om registren tillgänglig på myndighetens webbplats. Ett tillhandahållande av information säkerställer transparens och öppenhet och bör bidra till att trygga skyddet för den enskilde och säkerställa dennes rättigheter och intressen. Vissa personuppgifter omfattas av sekretess E-hälsomyndigheten föreslås i promemorian vara ansvarig myndighet för de föreslagna register och vårdsökstjänsten (se avsnitt 3.1, 4.1 och 5.1). Av 25 kap. 17 a § offentlighets- och sekretesslagen (2009:400), förkortad OSL, framgår att sekretess gäller hos E-hälsomyndigheten för uppgift om en enskilds hälsotillstånd eller andra personliga förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men. Uppgifterna hos E-hälsomyndigheten om vilken patient som vårdas eller har vårdats hos en vårdgivare bedöms omfattas av sekretess enligt bestämmelserna i 25 kap. 17 a § OSL för enskilds hälsotillstånd eller andra personliga förhållanden om förutsättningarna i den bestämmelsen är uppfyllda. Sekretess gäller också vårdgivare som mottar uppgifter från E-hälso- myndigheten med anledning av den skyldighet som myndigheten har att lämna ut uppgifter (se avsnitt 4.3). Det framgår av 25 kap. 1 § OSL att sekretess gäller inom hälso- och sjukvården för uppgift om en enskilds hälsotillstånd eller andra personliga förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående lider men. Det framgår även att detsamma gäller i annan medicinsk verksamhet, exempelvis rättsmedicinsk och rättspsykiatrisk undersökning, insemina- tion, befruktning utanför kroppen, abort, sterilisering, omskärelse och åtgärder mot smittsamma sjukdomar. Behovet av personuppgiftsbehandlingen Intrånget i den personliga integriteten måste vägas mot behovet av att behandla uppgifterna i det avsedda syftet. Som framgår av avsnitt 8.2 och 8.3 syftar registermyndighetens och den ansvariga myndighetens person- uppgiftsbehandling till att tillgodose ett allmänt intresse som kan rätt- färdiga en inskränkning av den personliga integriteten. I avsnitt 8.3 fram- går också att det är nödvändigt för myndigheten att i vissa fall kunna behandla en stor mängd personuppgifter, inklusive känsliga personupp- gifter. Syftet med det föreslagna grundregistret över vårdgivare är att tillhanda- hålla en samlad, kvalitetssäkrad och enhetligt strukturerad informations- mängd över vårdgivare för att ge information om vårdgivare, att möjlig- göra utbyte av information mellan vårdgivare och för nationella digitala tjänster på hälso- och sjukvårdsområdet (se avsnitt 3.1). Det kan t.ex. handla om myndigheters behov av uppgifter om vårdgivare för tillsyn eller för brottsförebyggande åtgärder. Det kan även handla om uppgifter för den nationella digitala infrastrukturen som ska möjliggöra ett enklare flöde av hälsodata mellan vårdgivare. Registret över patienters vårdgivare ska föras för att ge information om sådana uppgifter som behövs för att lokalisera patientens vårdgivare (se avsnitt 4.1). Registret möjliggör att all relevant information om patienter finns för vårdgivare i hela vårdkedjan. Registret ska alltså visa var relevant information om patienten finns och hos vilken vårdgivare. Detta innebär att den sökning vårdgivare behöver göra för att hitta en patients andra vårdgivare begränsas till de vårdgivare och vårdinformationssystemen som innehåller relevant hälsodata om patienten. Det innebär att nöd- vändiga uppgifter följer med patienten i olika kontakter med vården. Patienten ska alltså inte behöva upprepa sin sjukdomshistoria för flera vårdgivare eller genomgå samma undersökningar flera gånger. Hälso- och sjukvårdspersonal behöver inte lägga onödig tid på att samla in uppgifter från flera källor, dubbeldokumentera och ta om samma prover. Syfte med vårdsöksregistret i lagen om en nationell vårdsökstjänst är att ge information om sådana uppgifter som behövs för ett nationellt vårdförmedlingssystem som möjliggör för vårdgivare att identifiera en regions samlade utbud av hälso- och sjukvård och erbjuda hälso- och sjukvård åt den som omfattas av en annan regions ansvar för hälso- och sjukvård (se avsnitt 5.1). Behandlingen av personuppgifter bedöms vara proportionerlig Lagen om ett nationellt register över patienters vårdgivare möjliggör för registermyndigheten att utan samtycke, och möjlighet att motsätta sig, från den registrerade samla in, behandla och även lämna ut uppgifter om enskildas personliga förhållanden. Särskilt mot bakgrund av den stora omfattningen av personuppgifter som får behandlas i registret över patienters vårdgivare innebär förslagen ett intrång i den personliga integriteten, ett intrång som måste vägas mot behovet av att behandla uppgifterna i det avsedda syftet. Den föreslagna regleringen av registermyndighetens personuppgifts- behandling i registret över patienters vårdgivare syftar till att balansera myndighetens behov av att utföra sitt samhällsviktiga uppdrag på ett ändamålsenligt sätt och samtidigt säkerställa ett starkt skydd för enskildas personliga integritet. Det bedöms att detta skydd är tillräckligt starkt med hänsyn till de begränsningar och skyddsåtgärder som föreslås. Den omständighet att lagförslaget förutsätter kompletterande föreskrifter har vägts in i bedömningen. Även om den föreslagna regleringen syftar till att uppnå en rimlig balans mellan behov av ett register över patienters vårdgivare och de effekter på den personliga integriteten som förslagen kan komma att få, kommer vissa risker för integritetsintrång att kvarstå. Förslagen om uppgiftsskyldighet och de sekretessbrytande bestämmelserna bedöms också uppnå en rimlig balans mellan behovet av ett nationellt register över patienters vårdgivare och det intrång i den personliga integriteten som detta kan medföra. Överföringen av personuppgifter ska ske på ett säkert sätt. Den personuppgiftsansvariga myndigheten eller vårdgivaren ansvarar för att genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken samt för att säkerställa och kunna visa att behandlingen utförs i enlighet med EU:s dataskyddsförordning (artiklarna 24, 25 och 32 i EU:s dataskyddsförordning). Personuppgiftsbehandlingen syftar alltså till att tillgodose ändamål som anses godtagbara i ett demokratiskt samhälle, och därför kan rättfärdiga en inskränkning av skyddet för den personliga integriteten i bl.a. regeringsformen. Det anses att det inte är möjligt att uppnå förslagens syfte med mindre integritetskänsliga alternativ. Därför bedöms det att det är nödvändigt att ge registermyndigheten en möjlighet att samla in och behandla personuppgifter för att ge information om sådana uppgifter som behövs för att lokalisera patientens vårdgivare och möjliggöra att all relevant information om patienter finns för vårdgivare i hela vårdkedjan. Nyttan med detta bedöms stå i rimlig proportion till det intrång som uppstår i de enskildas integritet. Den planerade behandlingen av personuppgifter bedöms därför inte gå utöver vad som är nödvändigt med hänsyn till de syften som ligger till grund för förslagen. Behandlingen av uppgifterna hos registermyndigheten kommer även att omfattas av såväl generella bestämmelser i integritetshöjande syfte som bestämmelser om särskilda skydds- och säkerhetsåtgärder. Sekretes- skyddet för uppgifterna hos myndigheten är mycket starkt. Genom de föreslagna skyddsbestämmelserna, det dataskyddsrättsliga regelverket i övrigt samt befintlig sekretesslagstiftning säkerställs ett hållbart och tillfredsställande integritetsskydd. Den sammantagna bedömningen är att det föreslagna regelverket innebär en godtagbar avvägning mellan intresset av att uppgifterna samlas in och behandlas av registermyndigheten och den ansvariga myndigheten och intresset av att skydda den enskildes personliga integritet. Det starka allmänintresset av att ge information om sådana uppgifter som behövs för att lokalisera patientens vårdgivare och möjliggöra att all relevant information om patienter finns för vårdgivare i hela vårdkedja står i rimlig proportion till det intrång i den personliga integriteten som en utökad obligatorisk insamling av uppgifter i registret innebär. Intrånget bedöms följaktligen vara motiverat och proportionerligt i förhållande till registermyndighetens behov att behandla personuppgifter för de föreslagna ändamålen och inom de övriga ramar som anges i den 120 föreslagna lagen. Den personuppgiftsbehandling som möjliggörs av förslagen utgör en proportionerlig inskränkning av det skydd för den personliga integriteten som finns i regeringsformen, Europakonventionen samt EU:s rättighetsstadga. Förslagen bedöms även vara förenliga med kraven på proportionalitet enligt EU:s dataskyddsförordning. Det krävs därmed inte någon ytterligare reglering i dataskyddsrättsligt hänseende. 10 Ikraftträdande- och övergångsbestämmelser Förslag De nya lagarna och övriga lagändringar ska träda i kraft den 1 juli 2027. Bedömning Det finns inget behov av övergångsbestämmelser. Skälen för förslaget och bedömningen I promemorian föreslås två nya lagar med anslutande förordningar som ska reglera ett statligt ansvar för ett grundregister över vårdgivare och registret över patienters vårdgivare för att möjliggöra ett elektroniskt informationsutbyte på hälso- och sjukvårdsområdet. Det föreslås även en ny lag med anslutande förordning om statligt ansvar för en nationell vårdsökstjänst och ett vårdsöksregister som ska förbättra förutsättningarna för nationell vårdförmedling. Det föreslås även ändringar i lagen (2022:913) om sammanhållen vård- och omsorgsdokumentation och offentlighets- och sekretesslagen (2009:400). De nya lagarna och lagändringarna som föreslås behöver kunna fungera tillsammans. Det är därför ändamålsenligt att bestämmelserna som föreslås ska träda i kraft samtidigt. Förslagen bör ses som ett första steg i ett bredare arbete med att förbättra förutsättningarna för ett säkert, enhetligt och ändamålsenligt elektroniskt informationsutbyte mellan vårdgivare. Tidpunkten för ikraftträdande behöver också ses mot bakgrund av angelägenheten om att korta landets vårdköer. En fungerande vårdsökstjänst förutsätter tillgång till aktuella och kvalitetssäkrade uppgifter om vårdgivare, vårdutbud och andra uppgifter som behövs för att regioner och andra berörda aktörer ska kunna söka efter och erbjuda vård hos en annan vårdgivare med kortare väntetider eller ledig kapacitet. För att tillgodose behovet av att förbättra förutsättningarna för informationsutbyte på hälso- och sjukvårdsområdet och en nationell vårdförmedling i statlig regi är det angeläget att författningsförslagen träder i kraft så snart som möjligt. Ett snart ikraftträdande bedöms även vara motiverad mot bakgrund av behovet av att i god tid skapa inledande nationella rättsliga och organisatoriska förutsättningar inför de krav som följer av EU:s hälsodataförordning. Samtidigt måste det beaktas att förslagen medför behov av omställningsarbete för berörda aktörer och visst fortsatt utvecklingsarbete för E-hälsomyndigheten. Myndigheten behöver viss tid för att kunna driftsätta en nationell digital infrastruktur för det elektroniska informationsutbytet och den nationella vårdsökstjänsten. Uppgiftsskyldigheten för regioner och vissa vårdgivare innebär inledningsvis att en stor mängd uppgifter ska lämnas till registermyndig- heten och den ansvariga myndigheten. Enligt förslagen ska uppgifterna lämnas skyndsamt. Den myndighet som ska ansvara för de register som föreslås (se avsnitt 3.1 och 4.1) och den myndighet som ska ansvara för vårdsökstjänsten och vårdsöksregistret (se avsnitt 5.1) bör därför redan innan lagen träder i kraft vidta förberedande åtgärder för att underlätta för regioner och vårdgivare. När väl lagen träder i kraft bör kravet på skyndsamhet bedömas från fall till fall och i förhållande till hur stor mängd uppgifter som ska lämnas ut. Det bedöms därför inte finnas behov av ett senare ikraftträdande när det gäller uppgiftsskyldigheten. Eftersom förslagen bör träda i kraft så snart som möjligt bedöms det finnas behov av särskilda informationsinsatser inför ikraftträdandet. Informationsinsatserna bör riktas till de aktörer som berörs av de nya uppgiftsskyldigheterna och av den fortsatta anslutningen till de nationella digitala tjänsterna. Informationen bör avse bl.a. vilka uppgifter som ska lämnas, hur uppgiftsskyldigheterna ska fullgöras, hur uppgifterna ska användas och hur regleringen förhåller sig till arbetet med nationell digital infrastruktur, nationell vårdförmedling och EU:s hälsodataförordning. Promemorians förslag om att ta bort samtycket i lagen (2022:913) om sammanhållen vård- och omsorgsdokumentation medför behov av informationsinsatser både till vårdgivare och patienter. Det bör övervägas att ge en eller flera myndigheter i uppdrag att ta fram underlag för en informationsinsats i god tid innan ikraftträdandet. Vidare finns behov av att uppdatera stödmaterial till vårdgivare. Mot den bakgrunden anses det att lagförslagen bör träda i kraft den 1 juli 2027. Det bedöms inte finnas behov av några övergångsbestämmelser. 11 Konsekvenser av förslagen 11.1 Inledning I avsnittet redovisas en sammantagen analys av konsekvenserna av förslaget om ett grundregister över vårdgivare (avsnitt 3), förslaget om ett register över patienters vårdgivare (avsnitt 4), förslaget om ett vårdsöksregister och en nationell vårdsökstjänst (avsnitt 5) och förslaget om att det ska inte längre krävas samtycke för vårdgivares tillgång till och behandling av personuppgifter enligt lagen (2022:913) om sammanhållen vård- och omsorgsdokumentation (avsnitt 6). Kostnader och intäkter har kvantifierats i den mån det varit möjligt och relevant och bedömning har gjorts av om regleringens utformning står i proportion till det eftersträvade syftet. Av analysen nedan framgår bl.a. att uppskattningar av kostnader, besparingar och nyttor är behäftade med stor osäkerhet, eftersom huvud- män och vårdgivare ännu inte har full kännedom om de slutliga förutsättningarna för tillgängliggörandet av hälsodata. Det finns en risk för betydande och ojämnt fördelade kostnader mellan aktörer, men också en avsevärd besparings- och nyttopotential på längre sikt. När förutsätt- ningarna har klargjorts kan mer precisa bedömningar göras och en ändamålsenlig modell för finansiering utformas. Inom ramen för det fortsatta uppdraget att möjliggöra en nationell digital infrastruktur för hälsodata (S 2024:A) har utredningen att redovisa en förnyad och fördjupad konsekvensanalys som även har bäring på delar av de förslag som lämnas i denna promemoria. 11.2 Alternativa lösningar En nationell digital infrastruktur kan utformas och regleras på flera olika sätt. Vilken lösning som bör väljas måste bedömas utifrån en samlad avvägning av bl.a. behovet av nationell styrning, ansvarsfördelningen mellan berörda aktörer, skyddet för personuppgifter och intresset av en ändamålsenlig och långsiktigt hållbar och skalbar reglering. I det följande presenteras nollalternativet, de förslag som lämnats av utredningen med uppdraget att möjliggöra en nationell infrastruktur för hälsodata (S 2024:A) i promemoriorna Rättsliga förutsättningar för en nationell vårdförmedling och Hälsodata ska vara tillgänglig i hela vårdkedjan. Mot bakgrund av att förslagen bygger vidare på den färdplan som E- hälsomyndigheten har föreslagit och som regeringen har för avsikt att följa har några andra huvudsakliga regleringsalternativ inte bedömts vara aktuella (E-hälsomyndigheten, Förslag till färdplan för genomförandet av en nationell digital infrastruktur för hälso- och sjukvården, dnr 2023/02689). 11.2.1 Nollalternativet Om förslaget om ett grundregister över vårdgivare inte införs skulle det fortsatt finnas en avsaknad av samlade, kvalitetssäkrade och kompletta informationsmängder om svenska vårdgivare. Uppgifter om vårdgivare skulle därmed även fortsättningsvis riskera att vara fragmenterade eller ofullständiga, eller i övrigt ha en sådan kvalitet att de inte kan tillgodose de informationsbehov som krävs för både den nationella digitala infrastrukturen och för Sveriges anpassningarna till EU:s hälsodata- förordning. Om förslaget om ett nationellt register över patienters vårdgivare inte införs skulle det saknas lagstöd för de centrala komponenter som utpekad registermyndighet efterfrågat för den nationella infrastrukturens funktion. Det skulle bl.a. inte finnas stöd för den behandling av personuppgifter som krävs för informationsutbytets i den nationella digitala infrastrukturen. Utan den uppgiftsskyldighet som följer av förslaget undergrävs även infrastrukturens syfte om att skapa förutsättningar för olika system och aktörer att dela information med varandra. Därmed riskerar även syftet med den nationella digitala infrastrukturen att undergrävas. Sveriges möjligheter att inom givna tidsramar leva upp till de krav på delning av hälsodata som följer av EU:s hälsodataförordning kommer också begränsas eller försenas. Utan en nationell vårdsökstjänst har vårdgivare inte samma möjlighet att enklare och snabbare hitta andra vårdgivare som kan erbjuda vård åt patienter i behov inom vårdgarantins gränser. Utan korrekta och heltäckande uppgifter från både grundregister över vårdgivare och vårdsökregister så finns inte de nödvändiga uppgifter om vårdgivare, deras verksamhet och vårdutbud som behövs för att dessa ska tillgängliggöras på det sätt som en välfungerande nationell vårdsöktjänst är i behov av. Otillräckliga data i vårdsökstjänsten hade undergrävt dess syfte om att tillgängliggöra hela landets offentligt finansierade vårdkapacitet för patienter i behov av vård och att förkorta väntetiderna inom hälso- och sjukvården. Nollalternativet till förslaget om att ta bort kravet på samtycke i lagen om sammanhållen vård- och omsorgsdokumentation vore att informa- tionsdelningen inom ramen för den lagen kvarstår oförändrad med de risker för patientsäkerheten som framgår av avsnitt 6. 11.2.2 Uppdraget att möjliggöra en nationell digital infrastruktur för hälsodata I promemorian Rättsliga förutsättningar för en nationell vårdförmedling föreslog utredningen med uppdraget att möjliggöra en nationell digital infrastruktur för hälsodata (S 2024:A) en reglering av ett register som till stor del motsvarar de uppgifter som föreslås ingå i dels grundregistret över vårdgivare, dels i vårdsöksregistret. Utredningens alternativ innebär att uppgifter som behövs för den nationella digitala infrastrukturen och uppgifter som särskilt behövs för en nationell vårdsökstjänst samlas i ett och samma register. Förslaget togs fram med utgångspunkt i de behov som då identifierades för nationell vårdförmedling och har utgjort ett värdefullt underlag i det fortsatta arbetet med denna promemoria. I takt med att den nationella digitala infrastrukturen har utvecklats har det dock blivit tydligt att regleringen behöver utformas så att den kan utgöra en grund för fler nyttoområden än nationell vårdförmedling. Det finns därför skäl att skilja mellan ett grundregister över vårdgivare, som bör kunna användas för flera samhällsnyttiga ändamål, inom den nationella digitala infrastrukturen och ett vårdsöksregister som bör avse de ytterligare uppgifter som särskilt behövs för nationell vårdförmedling. En sådan uppdelning ger bättre förutsättningar för en mer långsiktigt hållbar och skalbar reglering. Den innebär också att regleringen bättre tar höjd för att den krets av vårdgivare som behöver omfattas av den nationella digitala infrastrukturen är bredare än den krets som behöver omfattas av en vårdsökstjänst för nationell vårdförmedling. I de delar av utredningens (S 2024:A) promemoria Hälsodata ska vara tillgänglig i hela vårdkedjan som avser en nationell digital infrastruktur föreslås en ny lag om nationell infrastruktur och tjänster för elektroniskt informationsutbyte på hälso- och sjukvårdsområdet. Den av utredningen föreslagna regleringen omfattar flera olika komponenter i infrastrukturen. Dessa komponenter har olika funktioner, är fler till antalet än de som omhändertagits i denna promemoria och avser uppgifter av delvis olika karaktär. Eftersom olika delar av infrastrukturen behöver innehålla olika typer av information och i delar behöver behandlas på olika sätt så blir det mer ändamålsenligt att separera infrastrukturens komponenter. En sådan ordning ger även bättre förutsättningar för en proportionerlig reglering. Den kan också möjliggöra ett mer ändamålsenligt tillhandahållande av sådana uppgifter som inte är integritetskänsliga eller som av andra skäl bör kunna delas mer öppet, samtidigt som uppgifter som kräver ett starkare skydd kan omfattas av särskilda begränsningar. 11.3 Samlad bedömning av nyttan av förslagen Frågan om delade hälsodata mellan vårdgivare har utretts ett antal gånger. Redan i förarbeten till patientdatalagen uttalade regeringen att ett väl fungerande informationssystem där alla journalanteckningar om en patient samlas i strukturerad form skulle ha en stor nyttopotential (prop. 2007/08:126 s. 82–86). Tillgång till korrekta och lätt åtkomliga uppgifter skulle generellt sett öka patientsäkerheten vid alla kommande vårdtill- fällen. Flera statliga utredningar i Sverige har beskrivit och i delar försökt beräkna nyttan med att dela hälsodata inom vården, som t.ex. Delbetänkande av Utredningen om sammanhållen information inom vård och omsorg (SOU 2021:4), Utredningen om e-recept och patientöversikter inom EES:s slutbetänkande Patientöversikter inom EES och Sverige (SOU 2023:13) och Utredningen om sekundäranvändning av hälsodatas betänkande Vidareanvändning av hälsodata för vård och klinisk forskning (SOU 2023:76). I avsnitt 3.1 lämnas förslag om ett grundregister över vårdgivare som ska innehålla samlad, kvalitetssäkrad och enhetligt strukturerad information om vårdgivares organisation. I avsnitt 4.1 lämnas förslag om ett register över patienters vårdgivare som ska ge information om sådana uppgifter som behövs för att lokalisera en patients vårdgivare. Registren ska innehålla information som behövs för att lokalisera vilka vårdgivare som behandlar personuppgifter för vård av en viss patient. Förslagen syftar till att förenkla informationsutbytet av hälsodata mellan vårdgivare. Detta möjliggörs genom en samlad, kvalitetssäkrad och enhetligt strukturerad information om vårdgivares organisation och var patienters vårdgivare finns. Ökad tillgänglighet till strukturerade och enhetliga hälsodata bedöms kunna ge direkta nyttor för hälso- och sjukvården. En fullt utbyggd och etablerad nationell digital infrastruktur kan minska dubbelarbete och dubbeldokumentation, vilket sparar tid och resurser i vårdmötet. En tydlig struktur bedöms även öka datakvaliteten, stärka patientsäkerheten och minska risken för felaktiga ordinationer eller upprepade undersökningar. En mer enhetlig informationshantering anses även förbättra sökbarhet, spårbarhet och jämförbarhet mellan vårdgivare, vilket kan bidra till effektivare informationsflöden. Därutöver finns det indirekta nyttor med den nationella digitala infrastrukturen som kan förstärka vårdens utvecklingsförutsättningar på längre sikt. Strukturerade format av data bedöms underlätta verksamhetsstyrning och resursplanering, samt minska framtida kostnader för systemutveckling och integration. De skapar även bättre förut- sättningar för sekundäranvändning i forskning, kvalitetsuppföljning och statistik, samt för användning av nya tekniska verktyg såsom beslutsstöd och AI. Samtidigt förutsätter dessa vinster betydande insatser i implementeringen och nyttan realiseras endast om relevanta data faktiskt används i vårdens arbete. Därutöver finns nyttor som inte enkelt kan översättas till ekonomiska termer, men som likväl bedöms vara värdeskapande. Det handlar framför allt om stärkt patientsäkerhet genom minskad risk för felaktiga ordinationer och informationsglapp, högre datakvalitet och spårbarhet som ger mer tillförlitliga underlag, samt ökat förtroende hos patienter. Men även att enhetliga format kan förbättra arbetsmiljön för vårdpersonal genom minskat dubbelarbete och tydligare rutiner. Detta framhålls som en central del av det mervärde som kan uppnås genom att strukturera och enhetliggöra hälsodata. En återkommande synpunkt hos regionerna är att patientsäkerheten stärks när vårdpersonal får en mer heltäckande bild av patientens vård- historik. Det anses kunna minska risken för felaktiga ordinationer, dubbel- dokumentation och upprepade undersökningar. En annan återkommande nyttokomponent är effektivitet: kortare ledtider, färre manuella kontroller och bättre resursutnyttjande. De ekonomiska vinsterna beskrivs främst i kvalitativa termer och kopplas till minskat dubbelarbete och tids- besparingar. Utöver att förbättra förutsättningarna för informationsdelning mellan vårdgivare består nyttan av förslagen i de stärkta möjligheterna för fler patienter att få vård inom vårdgarantins tidsgränser. Förslaget om en nationell vårdsökstjänst stärker regionernas förutsättningar att bedriva nationell vårdförmedling genom att göra det möjligt att samlat söka efter vårdgivare, vårdutbud och tillgänglig kapacitet. På så sätt kan väntande patienter lättare erbjudas vård hos en annan vårdgivare med kortare väntetider eller ledig kapacitet, oavsett var i landet vårdgivaren finns. 11.4 Konsekvenser för enskilda 11.4.1 Konsekvenser för patienter Förslagen i avsnitt 3.1 om grundregister över vårdgivare och i avsnitt 4.1 om registret över patienters vårdgivare skapar som delar av den nationella digitala infrastrukturen bättre förutsättningar för ökad nationell datadel- ning, vilket exempelvis medför att patienten inte kommer behöva upprepa sin sjukdomshistoria och i vissa situationer själv behöver bära ansvaret för att vården har tillgång till den information som behövs för att ge en god vård. Registret över patienters vårdgivare föreslås innehålla information om sådana uppgifter som behövs för att lokalisera vilka andra vårdgivare som har tillgång till relevanta uppgifter om patienten för dess vård, se avsnitt 4.1. Genom förslagen ökar förutsättningarna för att det vid vårdtillfället finns tillgång till fullständig och aktuell patientinformation, vilket är centralt för säker diagnostik, behandling och uppföljning. Av betänkandet En nationell digital infrastruktur i hälso- och sjukvården 126 (SOU 2026:6) framgår bl.a. att patientföreningar anger att hälsodata ska vara tillgänglig där den behövs för vård och behandling, bidra till forskning och nya behandlingsmetoder samt skyddas från obehöriga. Av betänkandet framgår även att huvudmän, vårdgivare och vårdproffessioner framfört att en nationell digital infrastruktur underlättar för vårdpersonalen att få den information som behövs inför ett vårdbesök. Det bidrar till ökad patientsäkerhet (s. 11 och 12). Det tillkommer också mer indirekta nyttor av en nationell digital infrastruktur såsom att nya nationella tjänster kan utvecklas och tillhandahållas. Ett sådant exempel är den nationella vårdsökstjänsten som föreslås i avsnitt 5 och som underlättar för vårdgivare att ge sina patienter vård inom vårdgarantins gränser. Förslaget i avsnitt 6 om att ta bort samtycket i lagen om sammanhållen vård- och omsorgsdokumentation får även det konsekvenser för patienter. I stället för att samtycka vid varje tillfälle kan patienten fortsatt motsätta sig att en vårdgivare behandlar uppgifter som en annan vårdgivare har gjort tillgängliga. Att samtycket tas bort innebär därför inte att patientens inflytande försvinner. Genom att regleringen görs mer systematisk sammanhållen och ändamålsenlig förbättras förutsättningarna för en säker och effektiv informationshantering inom hälso- och sjukvården eftersom tillgång till fullständig och aktuell patientinformation är en förutsättning för säker diagnostik, behandling och uppföljning. I avsnitt 8 finns överväganden om personuppgiftsbehandlingen och i avsnitt 9 finns en samlad integritets- och proportionalitetsanalys. 11.5 Konsekvenser för offentlig sektor 11.5.1 Konsekvenser för E-hälsomyndigheten E-hälsomyndigheten kommer att bli registermyndighet och ansvarig myndighet för registren enligt förslagen i denna promemoria vilket kommer leda till ökade kostnader för myndigheten. Myndigheten har sedan tidigare ansvar för olika register såsom nationella läkemedelslistan, registren som föreslås innebär därmed ingen ny typ av verksamhet för myndigheten. Däremot utgör grundregistret över vårdgivare och registret över patienters vårdgivare två centrala komponenter i den nationella digitala infrastrukturen. Detta ställer höga krav på användbarhet och driftsäkerhet. Även om uppgiften inte är ny för myndigheten så är skalan och antalet aktörer som är beroende av myndighetens register långt mycket större än tidigare, vilket kommer innebära att myndigheten behöver samverka med fler aktörer än tidigare. För att möta dessa och andra krav ökades myndighetens anslag med 77 miljoner kronor under 2024, med 123 miljoner kronor för 2025 och med 403 miljoner kronor 2026. För 2027 har regeringen avsatt 369 miljoner kronor och 323 miljoner kronor för 2028. Utöver dessa medel har myndigheten även fått medel för att arbeta med tjänster såsom nationell vårdförmedling vilket i delar också bekostat den del av den nationella infrastrukturen som behövts för att utveckla vårdsökstjänsten. De kostnader som uppkommer för E-hälsomyndigheten till följd av promemorians förslag bör därför hanteras inom myndighetens befintliga ekonomiska ramar. Promemorians förslag om ett grundregister över vårdgivare E-hälsomyndighetens kostnadsberäkningar utgår från en annan struktur än förslagen i denna promemoria. Det som i denna promemoria benämns grundregister över vårdgivare (avsnitt 3.1) benämns av E-hälsomyndig- heten som grunddata organisation och vård- och omsorgsgivarkatalog. Förslagen i denna promemoria är mer lik den komponent som beskrivs som grunddata organisation. Flera av kostnadsberäkningar utgår dock från begreppet vård- och omsorgsgivarkatalog. Skillnaden mellan den komponenten och ett grundregister över vårdgivare är att grundregistret inte innehåller avtalsinformation, vårdutbud eller omsorgsgivare. Kost- naderna för grundregistret över vårdgivare utgör därmed en mindre del än de kostnader som framgår av E-hälsomyndighetens beräkningar. De fasta kostnaderna för registret gör dock att kostnadsminskningen inte står i proportion till den minskade omfattningen, framför allt avseende omsorgsgivare. Förslaget i denna promemoria är dock konstruerat på ett sådant sätt att omsorgsgivare senare kan läggas till grundregistret utan att det i stor utsträckning påverkar myndighetens fasta kostnader. Kost- naderna som redovisas i tabell 1 ska därmed tolkas med försiktighet eftersom de även innehåller kostnader för att inkludera omsorgsgivare, avtalsinformation samt vissa kostnader som är hänförliga till vård- sökregistret och vårdsöksystemet. Utöver att kostnaderna grupperats på olika sätt så innebär också den nya grupperingen av data i olika register i denna promemoria att vissa fasta och variabla kostnader förändras. Exempelvis kommer det tillkomma ytterligare kostnader till följd av att avtalsinformation och vårdutbud nu separeras till ett nytt register. Kostnaderna för att hålla ytterligare ett register är beroende på typen av register. Vårdsöksregistret är ett litet register med förhållandevis enkla datamängder och innehåller dessutom inga känsliga personuppgifter. Därmed bedöms denna extra fasta kostnad vara marginell. Samtidigt hade samordningskostnaderna och den bristande skalbarheten som skulle följa av alternativet att ha dem i ett samlat register ökat allt eftersom den nationella digitala infrastrukturen byggs ut. De variabla kostnaderna för ett samlat register bedöms redan i detta skede överstiga de besparingar som skulle finnas i fasta kostnader med ett samlat register. Kostnaderna relateras till utredning, investering och utveckling, drift och förvaltning, avskrivningar samt till samordning och informations- insatser. Allt eftersom utvecklingskostnaderna går ner så ökar driftskost- naderna, men på totalen beräknas myndighetens kostnader för infra- strukturen att gå ner allt eftersom fler delar går in i löpande drift och behovet av utveckling minskar. Tabell 1. E-hälsomyndighetens uppskattade kostnader för en nationell katalog över vårdgivare och utförare av socialtjänst Aktiviteter och kostnadsberäkningar, 2027 2028 2029 per år, miljoner kronor Utredningskostnad 5 3 2 Investerings-/utvecklingskostnader 3 3 3 Drifts- och förvaltningskostnader 15 15 15 Avskrivningskostnader 3 Övriga kostnader 2 2 2 Anslutningsstöd (inklusive juridiskt 13 10 10 stöd) Total 41 33 32 Källa: E-hälsomyndighetens redovisning av Uppdrag till E-hälsomyndigheten att tillhandahålla och vidareutveckla den nationella katalogen över vårdgivare och utförare av socialtjänst, Nationell katalog över vårdgivare och utförare av socialtjänst (S2025/00972) s. 28. Promemorians förslag om ett nationellt register över patienters vårdgivare E-hälsomyndighetens kostnadsberäkningar som är hänförliga till ett nationellt register över patienters vårdgivare utgörs av kostnaderna för patientdataindex (PDI) och en nationell tjänsteadresseringskatalog (NTK). Dessa komponenter innehåller i sin tur flera mindre delar och dessa utvecklas succesivt. Det innebär att driftkostnaderna ökar succesivt under perioden allt eftersom de utvecklas. Tabell 2 och 3 nedan beskriver E-hälsomyndighetens uppskattade kostnader för att införa PDI och NTK. Kostnaderna 2026 uppgår totalt till 57 miljoner kronor och sjunker sedan till 39 miljoner kronor årligen därefter. Tabell 2. E-hälsomyndighetens uppskattade kostnader för att införa ett patientdataindex Aktiviteter och 2026 2027 2028 2029 kostnadsberäkningar, per år, miljoner kronor Utredningskostnad 2 Investerings- 18 5 5 5 /utvecklingskostnader Drifts- och förvaltningskostnader 11 18 18 18 Totalt 31 23 23 23 Källa: E-Hälsomyndighetens redovisning Etableringen av en nationell digital infrastruktur i hälso- och sjukvården och för primäranvändningen enligt EHDS-förordningen, Slutredovisning av uppdrag i E- hälsomyndighetens regleringsbrev för 2025, s. 80. Tabell 3. E-hälsomyndighetens uppskattade kostnader för att införa en nationell tjänsteadresseringskatalog Aktiviteter och 2026 2027 2028 2029 kostnadsberäkningar, per år, miljoner kronor Utredning 4 Utveckling 11 5 5 5 Förvaltning 11 11 11 11 Totalt 26 16 16 16 Källa: E-Hälsomyndighetens redovisning Etableringen av en nationell digital infrastruktur i hälso- och sjukvården och för primäranvändningen enligt EHDS-förordningen, Slutredovisning av uppdrag i E- hälsomyndighetens regleringsbrev för 2025, s. 80. 129 Promemorians förslag om en nationell vårdsökstjänst Vårdsöksregistret i avsnitt 5.1 är det register som utgör grunden för den nationella vårdsökstjänsten och utgör en del av det som tidigare kallades vård- och omsorgsgivarkatalogen. Eftersom E-hälsomyndighetens kostnadsberäkningarna i tabell 1 utgår från den bredare vård- och omsorgsgivarkatalogen så är det inte möjligt att med precision redogöra för kostnaderna hänförliga enbart till vårdsöksregistret. Det totala kostnaderna för E-hälsomyndigheten kommer dock vara relativt oförändrade, men det är i dagsläget inte möjligt att exakt precisera hur stora kostnaderna varit och kommer att vara för de enskilda register som föreslås i denna promemoria. Kostnaden avser E-hälsomyndighetens egna kostnader för att utveckla, införa och förvalta de digitala stöd som behövs för digital nationell vårdförmedling. Kostnaderna omfattar bl.a. den nationella vårdsöks- tjänsten, digitalt ärendestöd och nödvändiga integrationer. Kostnaderna uppgår enligt myndighetens beräkningar till 54 miljoner kronor under 2026 för att senare öka till 67 miljoner kronor under 2029. Kostnadsberäk- ningarna ska dock som tidigare nämnts tolkas med försiktighet eftersom en stor del av kostnaderna är hänförliga till den nationella digital infrastrukturen och inte enbart till det nationella vårdsöksystemet. Tabell 4: Kostnadsberäkningar för fortsatt arbete med digitala stöd för nationell vårdförmedling Aktiviteter och 2026 2027 2028 2029 kostnadsberäkningar, per år, miljoner kronor Utredning 13 14 12 7 Utveckling 13 13 18 26 Drift och förvaltning 28 28 32 34 Totalt 54 55 62 67 Källa: Socialstyrelsens och E-hälsomyndighetens delredovisning Utveckla och etablera arbetet med nationell vårdförmedling, s. 31. Promemorians förslag om att ta bort samtycket i lagen om sammanhållen vård- och omsorgsdokumentation Förslaget i avsnitt 6 om att ta bort samtycket i lagen om sammanhållen vård- och omsorgsdokumentation kommer endast ha indirekta kostnader för E-hälsomyndigheten, exempelvis genom att vissa utredningar som gjorts behöver anpassas efter de nya förutsättningarna. Dessa kostnader bedöms dock vara marginella. 11.5.2 Konsekvenser för Inspektionen för vård och omsorg Promemorians förslag i avsnitt 3.1 om ett grundregister över vårdgivare medför vissa kostnader för Inspektionen för vård och omsorg. Kostnaderna relateras till myndighetens skyldighet att till registermyndigheten lämna uppgifter om vårdgivare i syfte att både initialt informationsförsörja grundregister över vårdgivare och för att hålla dessa uppgifter aktuella. Kostnader uppstår vidare vid samordningen med registermyndigheten kring inhämtning av uppgifter från vårdgivare. Kostnaderna omfattar bl.a. ombyggnad av kodverket för vårdgivarregistret, ombyggnad av e-tjänster för anmälan av verksamhet, uppdatering och migrering av information, utredningsarbete, informations- och utbildningsaktiviteter, informations- säkerhet, dataskydd, rättslig kvalitetsgranskning. Inspektionen för vård och omsorg har uppskattat de initiala kostnaderna till 11–13 miljoner kronor för en sådan lösning. Den löpande förvaltnings- kostnaden uppskattas till en miljon kronor per år (Konsekvensutredning för nationell katalog över vårdgivare och utförare av socialtjänst, bilaga 2 till slutrapport, E-hälsomyndigheten, april 2025). Förslagen i övrigt bedöms inte medföra några kostnader för Inspektionen för vård och omsorg. De kostnader som uppkommer för Inspektionen för vård och omsorg till följd av förslagen bör hanteras inom myndighetens befintliga ekonomiska ramar. 11.5.3 Konsekvenser för Socialstyrelsen Promemorians förslag i avsnitt 5.1 om införande av en nationell vårdsöks- tjänst medför även kostnader för Socialstyrelsen som behöver tillgänglig- göra uppgifter från väntetidsdatabasen till E-hälsomyndigheten. Det är svårt att bedöma vilka kostnader för utvecklingen av väntetider hos Socialstyrelsen som är hänförliga till vårdsöksystemet. Väntetiderna behöver redan samlas in av myndigheten och tillgängliggöras till flera aktörer utöver registermyndigheten och väntetiderna kommer också användas i andra tjänster. Socialstyrelsen har redan tilldelats medel för sitt väntetidsarbete inom ramen för flera olika budgetposter och det är svårt att säga exakt vilka medel som använts för ändamålet att tillgängliggöra data för vårdsöksystemet. Kostnaderna för tillgängliggörandet för detta ändamål är dock små i förhållande till övriga kostnader som Social- styrelsen haft och kommer att ha kopplat till väntetidsdata eftersom de stora kostnaderna kommer från att samla in och ansvara för relevanta data. Socialstyrelsens kostnader för tillgängliggörandet av väntetidsdatabasen enligt promemorians förslag bedöms därför kunna hanteras inom myndighetens befintliga ekonomiska ramar. Socialstyrelsen kommer också ha vissa kostnader med anledning av förslaget i avsnitt 6 där det föreslås att kravet på patientens samtycke att behandla personuppgifter som andra vårdgivare har gjort tillgänglig tas bort. Socialstyrelsen ansvarar för kunskapsstöd till vårdgivare för deras användning av sammanhållen vård- och omsorgsdokumentation. Detta stöd kommer behöva uppdateras och det kan också komma att tillkomma kostnader för att göra riktade informationsinsatser. Socialstyrelsens kostnader för detta bedöms vara marginell och därför kunna hanteras inom myndighetens befintliga ekonomiska ramar. Det är också rimligt att anta att informationen kommer nå ut till vårdgivarna eftersom system- leverantörerna av de stora vårdinformationssystemen, vilka är en handfull, kommer vara de aktörer som gör ändringen i vårdinformationssystemen. Behovet av informationsinsatser redovisas i avsnitt 11.7.4. 11.5.4 Konsekvenser för andra statliga myndigheter Förslagen i avsnitt 3.1 och 4.1 kommer påverka statliga myndigheter i den uträckning de är vårdgivare. Även andra myndigheter som är i behov av information om vårdgivare kommer att påverkas av förslagen om grundregister i avsnitt 3.1. Eftersom syftet med den nationella digitala infrastrukturen är att aktörer ska kunna bygga tjänster med hjälp av den och möjliggöra datadelning så kommer samtliga statliga myndigheter som har behov av den nationella digitala infrastrukturen på något sätt kunna dra nytta av den. Det gäller framför allt myndigheter under Socialdeparte- mentet eftersom de är stora konsumenter av hälsodata. Men även andra myndigheter, såsom de brottsförebyggande myndigheterna, kommer kunna dra nytta av infrastrukturen. Det är svårt att kvantifiera nyttan eftersom nyttan till stor del är beroende på vilka tjänster som utvecklas till följd av att det finns en nationell digital infrastruktur. 11.5.5 Konsekvenser för kommuner och regioner Promemorians förslag om ett grundregister över vårdgivare Kommuner och regioner är vårdgivare i den uträckning de bedriver hälso- och sjukvårdsverksamhet och påverkas därför av förslagen i avsnitt 3. Främst bedöms kommuner och regioner påverkas av förslagen genom dess skyldighet att lämna uppgifter till E-hälsomyndigheten om sin organisation. Det finns i dag ingen tillförlitlig uppskattning på vad insamlingen av uppgifter kan komma att kosta kommuner och regioner. De uppgifter som ska lämnas in är dock uppgifter som redan idag samlas in i stor utsträckning av andra aktörer. Kommuner och regioner kommer också kunna dra nytta av infrastrukturen och kommer, beroende på vilka tjänster som utvecklas, även ha nytta av de insamlade uppgifterna. En av de stora nyttorna på kort sikt för kommuner och regioner ligger i förebyggande insatser på det brottsförebyggande området som infrastrukturen kommer möjliggöra. Skyldigheten att lämna uppgifter är också en följd av krav enligt EU:s hälsodataförordning. I delredovisningen Hälsodata ska vara tillgänglig i hela vårdkedjan av utredningen med uppdraget att möjliggöra en nationell infrastruktur för hälsodata (S 2024:A) påpekas hur kommuner har betonat att kostnaderna i hög grad beror på systemleverantörernas lösningar. Vid återanvändning av befintliga nationella komponenter förväntas anpassningarna bli begränsade, medan ett scenario utan återanvändning kan medföra betydande kostnader för nyutveckling, integrationer och utbildning. Flera kommuner framhåller också att den relativa belastningen kan bli större för mindre kommuner med begränsade resurser. Det är framför allt de krav som registermyndigheten kan ställa på hur uppgifterna ska struktureras och hur de ska skickas in som kommer medföra större delen av arbetet och kostnaden för kommuner och regioner. På sikt förväntas en stor del av uppgiftsinsamlingen ske automatiserat med utgångspunkt i principen om en uppgift en gång. Förslagen i denna promemoria möjliggör även att uppgifter kan lämnas via ombud, t.ex. genom Inera AB. Därmed bör aktörers befintliga integrationer kunna användas, vilket också indikerar att kostnaderna av förslagen kommer vara begränsade. Promemorians förslag om ett nationellt register över patienters vårdgivare Kommuner och regioner är vårdgivare i den uträckning de bedriver hälso- och sjukvårdsverksamhet och omfattas därför av förslagen i avsnitt 4. I avsnitt 4.4 lämnas förslag om en skyldighet för vårdgivare att lämna uppgifter om sina patienter till E-hälsomyndigheten. I likhet med den bedömning som görs av kostnader för grundregistret över vårdgivare ovan, så är det svårt att på förhand bedöma de övergripande kostnaderna för samtliga kommuner och regioner med anledning av förslagen om ett register över patienters vårdgivare. För detta register saknas i dag en motsvarande inrapportering vilket innebär att kostnaderna sannolikt kommer vara större. Uppgifter om patienters vårdgivare kommer även behöva uppdateras i nära anslutning till varje vårdtillfälle för att möjliggöra datadelning av för patientens vårds relevanta uppgifter inom ramen för den nationella digitala infrastrukturen vilket innebär att flera miljoner uppgifter om patienter ska antingen uppdateras eller registreras årligen. Dessa uppgifter kan dock uppdateras automatiskt efter att integrationen till infrastrukturen är upprättad och infrastrukturen är fullt utvecklad. Samtidigt så kommer också nyttorna av registret över patienters vårdgivare att vara större än nyttorna av grundregistret för vårdgivare för kommuner och regioner Register över patienters vårdgivare kommer tillsammans med andra nödvändiga komponenter av en fullt utvecklad och driftsatt nationell digital infrastruktur möjliggöra att kommuner och regioner både får tillgång till och kan dela samtliga uppgifter om sina patienter. Promemorians förslag om en nationell vårdsökstjänst Uppgiftsskyldigheten i avsnitt 5 träffar endast den regionala hälso- och sjukvårdens vårdgivare genom bl.a. en skyldighet för regionen att dels lämna uppgifter om sitt eget utbud av hälso- och sjukvård, dels sin upphandlade hälso- och sjukvård enligt 15 kap. 1 § hälso- och sjukvårdslagen (2017:30). De direkta ekonomiska konsekvenserna av förslagen kommer framför allt ifrån den föreslagna lagens uppgiftsskyldighet. Regionen kan också få indirekta kostnader men även intäkter av förslagen eftersom själva syftet med vårdsökstjänsten är att underlätta nationell vårdförmedling. Att vård blir enklare att förmedla bör också leda till minskade administrativa kostnader kopplat till den vårdförmedling som sker idag. Vårdsöktjänsten skapar också möjligheter för regionerna att potentiellt korta sina vårdköer genom att fler av regionens patienter får vård inom vårdgarantins gränser. Promemorians förslag om att ta bort samtycket i lagen om sammanhållen vård- och omsorgsdokumentation Förslaget i avsnitt 6 om att ta bort samtycket i lagen om sammanhållen vård- och omsorgsdokumentation får konsekvenser för kommuner och 133 regioner. Hantering av samtycke medför att tid och resurser måste avsättas för administration vilket kan påverka verksamhetens effektivitet. Förslaget kommer innebära minskad administration även om hantering av att patienter motsätter sig att dela information nu måste administreras. Det är också viktigt att patienten förstår möjligheten och rättigheten att spärra åtkomst till vissa uppgifter. Det finns därför behov av information både till patienter och vårdgivare i tid innan lagändringen träder i kraft, se avsnitt 10. Det finns också konsekvenser som inte enkelt kan översättas till ekonomiska termer, men som likväl bedöms vara värdeskapande. Det handlar framför allt om stärkt patientsäkerhet genom minskad risk för felaktiga ordinationer och informationsglapp, samt ökat förtroende hos patienter. 11.5.6 Kommunala självstyrelsen Enligt 14 kap. 3 § regeringsformen bör en inskränkning i den kommunala självstyrelsen inte gå utöver vad som är nödvändigt med hänsyn till de ändamål som föranlett den. Denna proportionalitetsprincip innebär att förslaget inte får vara onödigt långtgående och om syftet med det kan uppnås på ett mindre ingripande sätt så ska den väg väljas som lägger minst band på kommunernas självbestämmande. Vid proportionalitets- bedömningen ska det således göras dels en analys av de konsekvenser det tänkta förslaget får för den kommunala självstyrelsen, dels en avvägning mellan betydelsen av kommunal självstyrelse och de nationella intressen som den föreslagna lagstiftningen ska tillgodose. I avsnitt 3–5 föreslås att det ska införas en skyldighet för kommuner och regioner i egenskap av vårdgivare att lämna uppgifter om bl.a. sin organisation, patienter och utbud av hälso- och sjukvård. Förslagen innebär att nya åligganden för kommuner och regioner införs i lag och därmed en inskränkning i den kommunala självstyrelsen. Kommuner och regioner rapporterar visserligen redan i dag in uppgifter om sin organisation till Inspektionen för vård och omsorgs vårdgivarregister och uppgifter om patienter till Socialstyrelsens patientregister. Det bedöms därför att de föreslagna uppgiftsskyldigheterna inte innebär ett väsentligt avsteg från nuvarande åligganden. Förslagen innebär snarare en ambitionshöjning av kraven på att lämna uppgifter. Det anses därför att inskränkningen i den kommunala självstyrelsen är förhållandevis liten. Inskränkningen i den kommunala självstyrelsen ska även vägas mot ändamålet med förslaget. Uppgiftsskyldigheten syftar till att informations- försörja förslagen om ett grundregister över vårdgivare, registret över patienters vårdgivare och vårdsöksregistret. Skyldigheten syftar även till att grundregistret över vårdgivare ska ge samlad och tillförlitlig information om vårdgivare så att exempelvis andra vårdgivare och myndigheter, kan använda de registrerade uppgifterna i sin verksamhet. Grundregistret ska även tillgodose samhällets behov av strukturerade och standardiserade uppgifter om vårdgivare, exempelvis för att stärka tillsyn, samhällets beredskaps- och brottsförebyggande och nya digitala tjänster på hälso- och sjukvårdsområdet (se avsnitt 3). Uppgiftsskyldigheten i förslagen kopplade till registret över patienters vårdgivare syftar även till att ge information om sådana uppgifter som behövs för att lokalisera vilka vårdgivare som har uppgifter för vård av en viss patient (se avsnitt 4). Därtill syftar skyldigheten till att vårdsöksregistret ska förse den nationella vårdsökstjänsten med uppgifter som ska förenkla för vårdgivare att hitta tillgänglig hälso- och sjukvård hos andra vårdgivare i en annan region (se avsnitt 5). Det har övervägts om det finns mindre ingripande alternativ till förslagen. Bland annat har det prövats om det skulle var tillräckligt att inte ställa några krav på inrapportering av uppgifter till registren. Det bedöms dock att det är nödvändigt att det ställs krav på kommuner och regioner att rapportera in uppgifter så att informationsförsörjningen av registerna säkerhetsställs. Dessutom kommer det ställas krav på vårdgivare att utbyta hälsodata sinsemellan enligt EU:s hälsodataförordning. Det bedöms därför att en frivillig inrapportering av uppgifter till de föreslagna registren inte är tillräcklig och det behövs införas en uppgiftsskyldighet i lag. Mot ovan bakgrund anses den föreslagna uppgiftsskyldighetens påverkan på den kommunala självstyrelsen vara proportionerlig i förhållande till sitt syfte. 11.5.7 Finansieringsprincipen Promemorians förslag aktualiserar finansieringsprincipen genom att regioner och kommuner i lag i egenskap av vårdgivare åläggs nya uppgiftsskyldigheter i syfte att informationsförsörja centrala register för både vårdsökssystemet och den nationella digitala infrastrukturens funktion. Som framgår av avsnitt 11.5.6 så bedöms förslagens inskränk- ning av den kommunala självstyrelsen vara förhållandevis liten, men uppgiftsskyldigheten förväntas ändå medföra vissa kostnader. Insamlingen av relevanta uppgifter är dock något som redan görs i dag. En betydande del av de uppgifter som omfattas av förslagens uppgiftsskyldighet är uppgifter som i stor utsträckning redan lämnas av en majoritet av berörda vårdgivare. Det är framför allt de krav som registermyndigheten kommer att ställa på hur uppgifterna ska struktureras och till vem samt hur de ska skickas in som kommer stå för den större delen av arbetet och kostnaden enligt förslagen. Kostnader kommer bl.a. uppstå till följd av att huvudmän och vårdgivare valt olika tekniska lösningar och format. Att skapa en harmonisering mellan dessa kommer påverka aktörerna olika eftersom väldigt få vårdgivare har exakt samma system och rutiner. Vårdgivare som inte arbetat med att strukturera sina data kommer sannolikt få högre kostnader än de som redan gjort den investeringen i den egna verksam- heten. En sådan utveckling får ses som en naturlig del av den tekniska utvecklingen. Samtidigt innebär statens utökade ansvar för den nationella digitala infrastrukturen att vissa betydande kostnader som annars hade belastat kommunsektorn i stället kommer att bäras av staten. Staten bekostar redan betydande investeringar genom framtagandet, utvecklingen, driften och förvaltningen av den nationella digitala infrastrukturen, vilket avlastar framför allt kommuner och regioner. Promemorians föreslag innebär att uppgiftsskyldigheterna ska preciseras genom föreskrifter. Innan föreskrifternas närmare innehåll och utformning är etablerad är det inte möjligt att med säkerhet bedöma vilka anpassningar som kommer att krävas varje vårdgivare. Därför är både initiala kostnader för anslutning, anpassning av befintliga system och löpande kostnader för uppgiftslämnandet behäftat med betydande osäkerhet. Kostnadsbedömningen försvåras ytterligare av att de genom- förandeakter som precisera kraven enligt EU:s hälsodataförordning väntas antas först i mars 2027. Mot denna bakgrund avser regeringen att återkomma till frågan om finansieringsprincipens tillämpning i samband med beslut om myndighetsföreskrifter. 11.6 Konsekvenser för företag Konsekvenserna som beskrivs för kommuner och regioner i egenskap av vårdgivare i avsnitt 11.5.5 gäller även de företag som bedriver hälso- och sjukvårdsverksamhet och faller under förslagens definition av vårdgivare. Marknaden för privata vårdgivare i Sverige kännetecknas av ett stort antal små aktörer. Enligt utredningen om hälsodataregister betänkande Ett nytt regelverk för hälsodataregister (SOU 2024:57) finns det totalt omkring 13 500 privata företag med en årsomsättning över 100 000 kronor. Av dessa är cirka 12 900 mikroföretag med färre än tio anställda, varav mer än hälften utgörs av enmansföretag. Endast drygt 550 företag har fler än nio anställda. Denna struktur innebär att marknaden är fragmenterad och dominerad av lokalt verksamma småföretag. Av det totala antalet företag bedöms minst 2 847 privata vårdgivare vara direkt berörda, eftersom de levererar primärvård eller specialiserad öppenvård till regionerna för mer än 250 000 kronor per år. Därutöver uppskattas att mellan 12 000 och 16 000 företag kan komma att omfattas av en utökad uppgiftsinsamling, även om det faktiska antalet sannolikt är lägre. Detta beror på att många av mikroföretagen hyr ut sin arbetskraft till andra vårdgivare eller bedriver verksamhet som inte omfattas av journalföringsplikt. Det är framför allt mikroföretagen som kan komma att få en kostnad som är stor i förhållande till deras omsättning, främst med anledning av förslaget om register över patienters vårdgivare. Flera små företag använder dock etablerade vårdinformationssystem som kommer behöva erbjuda nödvändig funktionalitet för att kunna leva upp till kraven i EU:s hälsodataförordning. Därmed är det svårt att i nuläget bedöma exakt hur kostnaderna kommer fördela sig mellan aktörerna. De privata vårdgivarna kommer inte påverkas av kostnaderna för insamling av avtal eftersom det enbart är regioner som åläggs en uppgiftsskyldighet att rapportera in uppgifter om avtal till registermyndig- heten. Däremot kommer privata vårdgivare påverkas av att avtalat vårdutbud görs tillgängligt nationellt. En positiv effekt av vårdsöksystemet är att fler vårdgivare ges möjlighet att förmedla vård och därmed nyttja avtalat vårdutbud i högre utsträckning. Ökat synliggörande av regionalt avtalat vårdutbud innebär samtidigt att konkurrensen mellan privata vårdgivare förväntas öka. Övriga bolag kommer framför allt påverkas av en förändrad kravställning på tjänster och produkter som är beroende av infrastrukturen. Infrastrukturen kommer också möjliggöra utvecklingen av nya tjänster vilket bör ha en positiv effekt på företagens möjligheter att leverera eller förbättra befintliga tjänster och produkter. 11.7 Övriga konsekvenser 11.7.1 Konsekvenser för brottsligheten och det brottsförebyggande arbetet Promemorians förslag om ett grundregister över vårdgivare innebär att det finns en samlad, kvalitetssäkrad och enhetligt strukturerad informations- mängd över vårdgivares organisation. Registret ska ge tillförlitlig information om vårdgivare så att andra, såsom vårdgivare och myndigheter, ska kunna använda de registrerade uppgifterna i sin verksamhet. Grundregistret ska även tillgodose samhällets behov av strukturerade och standardiserade uppgifter om vårdgivare, t.ex. för tillsyn, samhällets beredskap, brottsförebyggande syften eller digitala tjänster på hälso- och sjukvårdsområdet. Förslagen bedöms därför ha en positiv effekt på det brottsförebyggande arbetet. 11.7.2 Konsekvenser för cybersäkerheten Enligt promemorians förslag är E-hälsomyndigheten registermyndighet enligt lagen om grundregister för vårdgivare och lagen om ett nationellt register över patienters vårdgivare samt ansvarig myndighet enligt lagen om en nationell vårdsökstjänst. Myndighetens uppdrag är att ansvara för och tillhandahålla den nationella digitala infrastrukturen för hälsa, vård och omsorg samt vissa register och it-funktioner. E-hälsomyndigheten ska enligt förordningen (2022:524) om statliga myndigheters beredskap se till att myndighetens informationshantering uppfyller kraven på säkerhet samt rapportera incidenter. Myndigheten är även en beredskapsmyndighet enligt bilaga 1 till förordningen om statliga myndigheters beredskap och omfattas därmed av cybersäkerhetslagen (2025:1506). Cybersäkerhetslagen innebär att E-hälsomyndigheten bl.a. ska vidta säkerhetsåtgärder för att skydda sina nätverks- och informationssystem samt rapportera betydande incidenter. Dessutom ska verksamhetens ledning ska genomgå utbildning om säkerhetsåtgärder. E-hälsomyndigheten kommer att behandla personuppgifter och ska därför även beakta säkerhetskraven i Europaparlamentets och rådets förordning (EU) nr 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG, förkortad EU:s dataskyddsförordning, föreskrifter meddelade i anslutning till den förordningen. EU:s hälsodataförordning som ska tillämpas från och med mars 2027 innebär bl.a. att registrering av hälsodata ska ske i ett EHR-system samt att produkter med digitala element som klassificeras som elektroniska hälsosdatasystem ska överensstämma med kraven i Europaparlamentets och rådets för ordning (EU) 2024/2847 av den 23 oktober 2024 om övergripande cybersäkerhetskrav för produkter med digitala element och om ändring av förordningarna (EU) nr 168/2013 och (EU) 2019/1020 och direktiv (EU) 2020/1828 (cyberresiliensförordningen). De informationssystem som kommer användas för de föreslagna registren bedöms vara samhällsviktiga men inte av betydelse för Sveriges säkerhet och omfattas därmed inte av säkerhetsskyddslagen. 11.7.3 Förslagens förenlighet med internationella åtaganden Flera av promemorians förslag aktualiserar EU:s dataskyddsförordning, europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna och Europeiska unionens stadga om de grundläggande rättigheterna (2010/C 83/02). Överväganden i förhållande till dessa internationella åtaganden görs i avsnitt 8 och 9. Promemorians förslag bedöms även aktualisera EU:s hälsodata- förordning, som ska tillämpas från och med den 26 mars 2027. Promemorian innehåller inga kompletterande bestämmelser till förordningen. De kompletterande bestämmelser och åtgärder som behövs i för att anpassa svensk rätt till den förordningen hanteras fortsatt inom ramen för Uppdraget att möjliggöra en nationell digital infrastruktur för hälsodata (S 2024:A). Förslagen bedöms i övrigt inte medföra några konsekvenser för Sveriges internationella åtaganden. 11.7.4 Behov av informationsinsatser I avsnitt 10 föreslås att förslagen i promemorian ska träda i kraft den 1 juli 2027. Det bedöms finnas behov av särskilda informationsinsatser inför ikraftträdandet av de nya registerlagarna. Informationsinsatserna bör riktas till de aktörer som berörs av de nya uppgiftsskyldigheterna och av den fortsatta anslutningen till de nationella digitala tjänsterna. Informationen bör avse bl.a. vilka uppgifter som ska lämnas, hur uppgiftsskyldigheterna ska fullgöras, hur uppgifterna ska användas och hur regleringen förhåller sig till arbetet med nationell digital infrastruktur, nationell vårdförmedling och EU:s hälsodataförordning. Promemorians förslag om att ta bort samtycket i lagen (2022:913) om sammanhållen vård- och omsorgsdokumentation medför behov av informationsinsatser både till vårdgivare och patienter. Det bör övervägas att ge en eller flera myndigheter i uppdrag att ta fram underlag för en informationsinsats i god tid innan ikraftträdandet. Vidare finns behov av att uppdatera stödmaterial till vårdgivare. 12 Författningskommentar 12.1 Förslaget till lag om grundregister över vårdgivare Lagens syfte och tillämpningsområde

28 § OSL och ingen ny sekretessbrytande bestämmelse behöver därför föras in i offentlighets- och sekretesslagen. För utlämnande till privata vårdgivare krävs däremot att det införs en sekretessbrytande bestämmelse i offentlighets- och sekretesslagen för att myndigheten ska kunna fullgöra sin uppgiftsskyldighet. Eftersom E-hälsomyndigheten bedöms vara registermyndighet enligt avsnitt 4.1 regleras sekretess för uppgifter i registret över patienters vårdgivare och vårdsöksregistret i 25 kap. 17 a § OSL (avsnitt 4.1 och 5.1). En sekretessbrytande bestämmelse bör därför föras in i 25 kap. 17 c § OSL om att sekretess inte hindrar att uppgifter enligt lagen om ett nationellt register över patienters vårdgivare lämnas till enskilda vårdgivare. 8 Personuppgiftsbehandling 8.1 Behandling av personuppgifter regleras i EU:s dataskyddsförordning Den primära regleringen av personuppgiftsbehandling finns i Europa- parlamentets och rådets förordning (EU) nr 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av person- uppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG, här benämnd EU:s dataskyddsförordning. Med personuppgifter avses enligt förordningen varje upplysning som avser en identifierad eller identifierbar fysisk person som är i livet. Avgörande är om den personuppgiftsansvariga eller någon annan kan knyta den aktuella uppgiften, ensamt eller i kombination med andra uppgifter, till en individ. Behandling av personuppgifter innefattar exempelvis insamling, registrering, lagring, bearbetning, utlämnande genom överföring, spridning eller radering (artikel 4.1 och 4.2). EU:s dataskyddsförordning syftar till, som framgår av dess benämning att skydda grundläggande rättigheter och friheter vid behandling av personuppgifter och att säkerställa det fria flödet av personuppgifter mellan medlemsstaterna. Förordningen är direkt tillämplig i alla medlemsstater, men både förutsätter och tillåter att det i vissa fall finns nationella bestämmelser som kompletterar eller utgör undantag från förordningens regler. Nationell rätt kan exempelvis föreskriva om vem som är personuppgiftsansvarig för en viss behandling, vilka typer som av uppgifter som får samlas in och ändamålet för deras behandling. I Sverige finns nationell reglering i bl.a. lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen). Dataskyddslagen är subsidiär i förhållande till annan lag eller förordning, t.ex. patientdatalagen (2008:355) och andra så kallade registerförfattningar. I lagen (2022:913) om sammanhållen vård- och omsorgsdokumentation finns ytterligare bestämmelser om vårdgivares behandling av personuppgifter inom hälso- och sjukvården (se avsnitt 6). All behandling av personuppgifter måste vara förenlig med de allmänna principer som anges i artikel 5.1 i EU:s dataskyddsförordning. Dessa innebär bland annat att personuppgifter ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade, samt att uppgifter bara får samlas in för vissa särskilda och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. I artikeln finns även principerna om uppgiftsminimering och lagringsminimering. Det är den personuppgiftsansvarige som ansvarar för och ska kunna visa att principerna i artikel 5 efterlevs. Med personuppgiftsansvarig avses en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter (artikel 4.7). Utöver de allmänna principerna utgår EU:s dataskyddsförordning från att varje behandling av personuppgifter ska vila på åtminstone en av de rättsliga grunder som uttömmande anges i artikel 6.1 i EU:s dataskyddsförordning. Dessa är samtycke (6.1 a), avtal (6.1 b), rättslig förpliktelse (6.1 c), skydd av vissa intressen (6.1 d), uppgift av allmänt intresse och myndighetsutövning (6.1 e), och intresseavvägning (6.1 f). Om ingen av de uppräknade rättsliga grunderna är tillämpliga är behandlingen av personuppgifter inte laglig och får därmed inte utföras. I vissa fall får dock personuppgifter vidarebehandlas för ändamål som är förenliga med de ändamål för vilka personuppgifterna ursprungligen behandlas (finalitetsprincipen). I så fall krävs inte någon annan separat rättslig grund. De rättsliga grunderna är i viss mån överlappande. Flera rättsliga grunder kan därför vara tillämpliga avseende en och samma behandling. Utrymmet för att myndigheter ska kunna basera en behandling av personuppgifter på den rättsliga grunden samtycke är begränsat (skäl 43 till EU:s dataskyddsförordning). Det är inte heller tillåtet för myndigheter att behandla personuppgifter med stöd av den rättsliga grunden intresse- avvägning. De rättsliga grunderna rättslig förpliktelse, uppgift av allmänt intresse och myndighetsutövning ska även fastställas i enlighet med unionsrätten eller en medlemsstats nationella rätt (artikel 6.3). Den rättsliga grunden ska vara tydlig och precis och dess tillämpning bör vara förutsägbar för de personer som omfattas av den (skäl 41 till EU:s dataskyddsförordning). Det innebär inte ett krav på att själva behandlingen av personuppgifter måste regleras, utan det är den rättsliga förpliktelsen respektive uppgiften av allmänt intresse som ska ha stöd i rättsordningen (prop. 2017/18:105 s. 48 och 49). 8.2 Behandling av personuppgifter i lagen om grundregister över vårdgivare och lagen om en nationell vårdsökstjänst 8.2.1 Det kommer att finnas en rättslig grund för behandlingen av personuppgifter Bedömning Registermyndigheten och den ansvariga myndigheten kommer behöva behandla personuppgifter för att kunna hantera grundregistret över vårdgivare, vårdsöksregistret och den nationella vårdsökstjänsten. Det kommer finnas en rättslig grund för registermyndighetens och den ansvariga myndighetens behandling av personuppgifter i verksamhet som avser register och den nationella vårdsökstjänsten. Personuppgifts- behandlingen kommer vara nödvändig för att fullgöra en rättslig förpliktelse som registermyndigheten och den ansvariga myndigheten har. Personuppgiftsbehandlingen är även nödvändig för att utföra en uppgift av allmänt intresse. Den rättsliga grunden kommer att framgå av nationell rätt på det sätt som krävs enligt EU:s dataskyddsförordning. Myndigheternas personuppgiftsbehandling omfattas inte av regeringsformens skydd mot betydande intrång i den personliga integriteten. Det finns inget behov av bestämmelser om sökbegränsningar i de nya lagarna. Det bör inte införas någon särskild reglering om finalitetsprincipen. Skälen för bedömningen Personuppgifter kommer att behandlas i grundregistret över vårdgivare, vårdsöksregistret och i den nationella vårdsökstjänsten I avsnitt 3 lämnas förslag om att registermyndigheten ska föra ett grundregister över vårdgivare. Förslaget innebär att registermyndigheten kommer hantera uppgifter om vårdgivares organisation, som t.ex. organisationsnummer, namn, kontaktuppgifter till vårdgivarens verksam- het och befattningshavare inom organisationen, vårdgivarens verksam- hetsinriktning och vårdgivares tillstånd och förbud att bedriva verksamhet. För att utföra detta uppdrag kommer registermyndigheten behöva behandla personuppgifter. Det kommer t.ex. ingå uppgifter om enskilda näringsidkare som bedriver hälso- och sjukvård, kontaktuppgifter till befattningshavare. En enskild näringsverksamhet är inte en juridisk person, och kan därför inte tilldelas ett organisationsnummer. Den enskilda näringsidkarens personnummer utgör i stället en identitetsbeteckning för den bedrivna näringsverksamheten. Grundregistret över vårdgivare ska dock inte få inte innehålla uppgifter om patienter (se avsnitt 3.3). I avsnitt 5 lämnas förslag om att den ansvariga myndigheten ska föra ett register över uppgifter om regioners utbud av hälso- och sjukvård (vårdsökregister) och tillhandahålla en nationell vårdsökstjänst. Ansvarig myndighet kommer hantera uppgifter om regioners egna utbud av hälso- 86 och sjukvård och avtalade utbud av hälso- och sjukvård enligt 15 kap. 1 § hälso- och sjukvårdslagen (2017:30) förkortad HSL (se avsnitt 5.1). I den nationella vårdsökstjänsten kommer myndigheten hantera uppgifter om vårdgivares väntetider och uppgifter från grundregistret över vårdgivare. För utföra dessa uppdrag kommer ansvarig myndighet behöva behandla personuppgifter. Det kan t.ex. förekomma personuppgifter, såsom i grundregistret över vårdgivare, uppgifter om vårdgivares namn som innehåller fysiska personers namn och personnummer alternativt samordningsnummer. Det kan även förekomma kontaktuppgifter till berörda personers arbetsplatser eller arbetsgivare. Vårdsöksregistret ska inte få innehålla uppgifter om patienter (se avsnitt 5.3). Avsnitt 3 och 5 innehåller även förslag om skyldighet för register- myndigheten och den ansvariga myndigheten att tillhandahålla uppgifter ur grundregistret över vårdgivare och vårdsöksregistret. Den informations- överföringen kommer innebära att det i viss utsträckning kommer att förekomma personuppgifter i informationsöverföringen. Det kan före- komma uppgifter om kontaktpersoner eller uppgiftslämnare som kan knytas till en enskild person i samband med informationsöverföringen med anledning av båda förslagen. Vilka personuppgifter som kommer behandlas i lagen om nationella register över patienters vårdgivare framgår av avsnitt 8.3. Myndigheternas personuppgiftsbehandling omfattas inte av regeringsformens skydd mot betydande intrång i den personliga integriteten Enligt 2 kap. 6 § andra stycket regeringsformen är var och en gentemot det allmänna skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Enligt 2 kap. 20 § regeringsformen får skyddet begränsas genom lag enligt de förutsättningar som anges i 2 kap.