Tillsyn - äldreomsorg

Transkript

1 Datum Diarienr TioHundra AB Box Norrtälje Tillsyn - äldreomsorg Datainspektionens beslut Datainspektionen konstaterar att TioHundra AB 1. I Procapita genom direktåtkomst lämnar ut personuppgifter till TioHundranämnden i strid med 6 och 8 lagen om behandling av personuppgifter inom socialtjänsten. 2. I WebCare genom direktåtkomst lämnar ut personuppgifter mellan hälso- och sjukvården och socialstjänsten i strid med 5 kap. 4 patientdatalagen. TioHundra AB ska därför föreläggas att upphöra med ovanstående behandling av personuppgifter. Datainspektionen förutsätter att TioHundra AB kontinuerligt utvärderar rutinerna för åtkomstkontroll i Procapita för att säkerställa att rutinerna är verkningsfulla. Ärendet avslutas men kan komma att följas upp. Redogörelse för tillsynsärendet Datainspektionen har genomfört en inspektion hos TioHundra AB den 23 november TioHundra AB har fått tillfälle att yttra sig över inspektionsprotokollet. Datainspektionen har därefter begärt kompletterande information som TioHundra AB har lämnat. Tillsynen omfattar både TioHundra AB:s behandling av personuppgifter som utförare av socialtjänst och behandling av patientuppgifter som vårdgivare. Postadress: Box 8114, Stockholm E-post: datainspektionen@datainspektionen.se Besöksadress: Drottninggatan 29, plan 5 Telefon: Webbplats: Telefax:

2 I Procapita dokumenterar TioHundra AB enligt såväl lagen om behandling av personuppgifter inom socialtjänsten som patientdatalagen. Procapita förvaltas av TioHundranämnden. TioHundranämndens biståndshandläggare har inte åtkomst till bolagets dokumentation enligt patientdatalagen. De har däremot åtkomst till all dokumentation som TioHundra AB gör i Procapita enligt lagen om behandling av personuppgifter inom socialtjänsten. Skäl för beslutet Procapita; utlämnande genom direktåtkomst I ärendet har framkommit att TioHundranämndens biståndshandläggare har direktåtkomst till den dokumentation som TioHundra AB utför i Procapita som utförare av socialtjänst enligt lagen (2001:454) om behandling av personuppgifter inom socialtjänsten. TioHundra AB har uppgett att det inte är nödvändigt att TioHundranämnden genom direktåtkomst ges obegränsad åtkomst till all information. Enligt 6 lagen om behandling av personuppgifter inom socialtjänsten får personuppgifter behandlas bara om behandlingen är nödvändig för att arbetsuppgifter inom socialtjänsten ska kunna utföras. Personuppgifter får även behandlas för uppgiftsutlämnande som föreskrivs i lag eller förordning. Av 8 samma lag framgår att ifråga om utlämnande av personuppgifter som finns inom socialtjänsten gäller de begränsningar som följer av offentlighetsoch sekretesslagen (2009:400), socialtjänstlagen (2001:453) och lagen (1993:387) om stöd och service till vissa funktionshindrade. Av Socialstyrelsens föreskrifter och allmänna råd (SOSFS 2006:5) om dokumentation vid handläggning av ärenden och genomförande av insatser enligt SoL, LVU, LVM och LSS anges i 6 kap. 2 att genomförandet av ett beslut om en insats ska dokumenteras fortlöpande. I de allmänna råden anges att om en beslutad insats genomförs i enskild verksamhet, bör dokumentationen under genomförandet hållas samman i en personakt som upprättas hos den som genomför insatsen. Genomförandet av ett beslut om en insats bör dokumenteras i en journal, oavsett om insatsen genomförs av den nämnd som har fattat beslut i ärendet, av en annan nämnd än den beslutande eller i enskild verksamhet. Av en journal som tillhör en annan nämnd än den beslutande eller en enskild verksamhet bör det dessutom framgå vilka uppgifter som, efter en prövning enligt bestämmelserna i sekretesslagen eller bestämmelserna om tystnadsplikt i 15 kap. 1. SoL eller 29 LSS, har lämnats till den nämnd som har fattat beslut i ärendet. Av en sådan journal bör det även framgå när och till vem uppgifterna har lämnats. Sida 2 av 6

3 Av regelverket framgår således att uppgifter inte utan vidare kan lämnas från den verksamheten som genomför en insats till den nämnd som har fattat beslut i ärendet. Datainspektionen bedömer att varje uppgiftslämnande ska ha föregåtts av en prövning enligt bestämmelser om sekretess och tystnadsplikt. Härtill kommer att det knappast kan anses vara nödvändigt för TioHundranämnden att dagligen kunna ta del av samtliga noteringar som TioHundra gör. Mot bakgrund av det ovanstående bedömer Datainspektionen att det inte kan anses vara förenligt med 6 och 8 lagen om behandling av personuppgifter inom socialtjänsten att låta den nämnd som fattat beslut i ärendet genom direktåtkomst ha tillgång till uppgifter som dokumenteras av den som genomför insatsen. TioHundra AB ska därför föreläggas att upphöra med att genom direktåtkomst lämna ut personuppgifter som behandlas om klienterna inom socialtjänsten till TioHundranämnden. Procapita; loggkontroll I ärendet har följande framkommit. Det finns en rutin för åtkomstkontroll. Förvaltningen plockar ut loggposter varje månad och skickar till boendecheferna som utför kontrollerna. Bestämmelser om åtkomstkontroll finns för hälso- och sjukvården i 4 kap. 3 patientdatalagen och 2 kap. 11 SOSFS 2008:14. För socialtjänsten följer kraven på åtkomstkontroll av säkerhetskraven i 31 personuppgiftslagen. Datainspektionen förutsätter att TioHundra AB kontinuerligt utvärderar rutinerna för åtkomstkontroll för att säkerställa att rutinerna är verkningsfulla. Till stöd för detta arbete bifogas Datainspektionen checklista för hälso- och sjukvården Systematisk logguppföljning som även kan ge vägledning för socialtjänsten. WebCare TioHundra AB har uppgett bland annat följande. Inom den geriatriska vården används WebCare. Det sker i dagsläget ingen åtkomst till WebCare från äldreboendena. WebCare fyller två funktioner, underlag för debitering och patientinformationsöverföring. Som informationsutbytesinstrument anser bolaget att det har ett lågt värde. Bolaget önskar att minska antalet journalsystem och har i upprepade försök sökt en annan lösning utan att få gehör hos TioHundranämnden. Det övergripande journalsystemet inom hälso och sjukvård, TakeCare, är idag infört inom hela bolaget men parallell Sida 3 av 6

4 användning av WebCare är en nödvändighet för att få ett avtal med beställaren. Datainspektionen har i ett annat tillsynsärende konstaterat följande. Det måste anses vara fråga om direktåtkomst när användarna får åtkomst till varandras uppgifter i Webcare. Det saknas rättsligt stöd för att genom direktåtkomst överföra personuppgifter i WebCare mellan hälso- och sjukvården och socialtjänsten. Kraven i 6 kap. patientdatalagen om sammanhållen journalföring är inte uppfyllda för att det ska vara tillåtet att genom direktåtkomst tillgängliggöra uppgifter mellan vårdgivare i WebCare, såvitt avser annat än vårddokumentation enligt 2 kap. 4 första stycket 1 och 2. Det föreligger vidare en allvarlig brist i skyddet för personuppgifter, eftersom informationen är åtkomlig med hjälp av enbart användarnamn och lösenord. Datainspektionen har därför förelagt vårdgivaren att upphöra med den aktuella behandlingen av personuppgifter i WebCare, till dess att bristerna har åtgärdats (beslut med vårt diarienummer som bifogas). Datainspektionen konstaterar att TioHundra AB i WebCare genom direktåtkomst lämnar ut personuppgifter mellan hälso- och sjukvården och socialtjänsten i strid med 5 kap. 4 patientdatalagen. TioHundra AB ska därför föreläggas att upphöra med ovanstående behandling av personuppgifter. Ärendet kan därmed avslutas men kan komma att följas upp. Hur man överklagar Om ni vill överklaga beslutet ska ni skriva till Datainspektionen. Ange i skrivelsen vilket beslut som överklagas och den ändring som ni begär. Överklagande ska ha kommit in till Datainspektionen senast tre veckor från den dag ni fick ta del av beslutet för att kunna prövas. Datainspektionen sänder överklagandet vidare till Förvaltningsrätten i Stockholm för prövning om inspektionen inte själv ändrar beslutet på det sätt som ni begärt. Detta beslut har fattats av generaldirektören Göran Gräslund i närvaro av chefsjuristen Hans-Olof Lindblom, tillsynschefen Erik Janzon, IT-säkerhetsspecialisten Magnus Bergström och juristen Katarina Högquist, föredragande. Göran Gräslund Katarina Högquist Sida 4 av 6

5 Sida 5 av 6

6 Kopia till: Socialdepartementet SKL Socialstyrelsen Sida 6 av 6