Regiondirektören Jonas Rastad +46 44 309 39 25 +46 708 46 70 67 Jonas.rastad@skane.se BESLUT Datum 2014-06-25 1 (5) Tillämpningsanvisningar om Rätt att ta del av patientuppgifter inom Följande tillämpningsanvisningar är en revidering av de anvisningar om elektronisk åtkomst till patientuppgifter som beslutades den 14 november 2013 () och ersätter dessa. Anvisningarna inleds med nedanstående förenklade sammanfattning. När du arbetar inom sjukvården får du ta del av de patientuppgifter som är nödvändiga för att utföra ditt arbete. Vad som ingår i ditt arbete bestäms ytterst av din verksamhetschef. När får medarbetare ta del av patientuppgifter? Det är tillåtet att ta del av patientuppgifter (bl.a. genom det elektroniska journalsystemet) om: (1) du deltar i vården av en enskild patient, dvs. utför en vårdinsats för en viss patient och behöver patientuppgifterna för denna vård. Vårdinsatsen kan vara direkt, dvs. det är du som utför vården eller indirekt, du blir konsulterad angående vården av patienten. Det kan också gälla administrationen av vården till patienten. Detta beskrivs vanligen som att du har en vårdrelation till patienten. Eller, (2) du har en arbetsuppgift utöver vård och tar del av patientuppgifter i den utsträckning som är nödvändig för att utföra arbetsuppgiften. Det är verksamhetschefen som bestämmer och delar ut arbetsuppgifter. Det är viktigt att arbetsuppgiften eller uppdraget är dokumenterat antingen i din arbetsbeskrivning eller i specifikt dokument, t.ex. uppdragsbeskrivning. Exempel på arbetsuppgifter kan vara kvalitetssäkring av utfört arbete inom vården, ett administrativt uppdrag att utvärdera eller dokumentera vården eller utlämnande av journaler. När ska medarbetare ta del av patientuppgifter? Vårdpersonal som möter patienter ska ta del av den egna vårdenhetens journaluppgifter och även ospärrade patientuppgifter från andra vårdenheter i den utsträckning det behövs för att ge en god och säker vård till patienten. Postadress: 291 89 Kristianstad Besöksadress: J A Hedlunds väg Telefon (växel): 044-309 30 00 Fax: 044-309 32 98 Internet: skane.se Organisationsnummer: 23 21 00-0255
2 (5) Vidare förutsätts medarbetare att i enlighet med verksamhetschefens instruktioner löpande följa upp sitt arbete som ett led i kvalitetssäkringen av vården. Kvalitetssäkring kan ske genom individuell kvalitetsuppföljning avseende patienter man har, eller i närtid har haft, en vårdrelation till eller som projektbaserad kvalitetssäkring avseende patienter utifrån en viss diagnos eller annat urval. Kvalitetssäkring ska återkopplas till verksamheten. Det finns regionala anvisningar för kvalitetssäkring som mer detaljerat beskriver förutsättningarna. När är det inte tillåtet att ta del av patientuppgifter? Har du inte en vårdrelation eller en arbetsuppgift som kräver tillgång till patientuppgifter är det inte tillåtet att ta del av patientuppgifter. Utbildning är normalt inte en patientrelaterad arbetsuppgift i patientdatalagens bemärkelse. Du får alltså inte ta del av journaluppgifter endast i syfte att utbilda dig själv om till exempel en viss åkomma. Ska patientuppgifter användas för utbildning av andra ska de sammanställas av någon som fått ett uppdrag att utföra detta och sedan avidentifieras innan de används i utbildning. Nyfikenhet är aldrig en acceptabel anledning för att ta del av patientuppgifter. Det är inte tillåtet att använda sin yrkesmässiga behörighet till IT-stöden för att ta del av sina egna patientuppgifter eftersom man inte har en vårdrelation till sig själv. Överträdelse kan medföra rättsliga konsekvenser. Är du tveksam bör du alltså alltid ta kontakt med verksamhetschefen för samråd. Denna förenklade sammanfattning förtydligas i följande dokument med mer omfattande bakgrund, legala förutsättningar och ordlista.
3 (5) Inre sekretess Inre sekretess innebär att bara viss personal inom en vårdgivare har rätt att ta del av en patients journaluppgifter (patientuppgifter) samt att behörig personal alltid tar del av dessa patientuppgifter på eget ansvar. Sekretessen innebär också att uppgifterna inte får spridas vidare, vare sig muntligen eller på något annat sätt. Inre sekretess berör både elektroniska journalsystem och pappersjournaler, det vill säga all dokumenterad information om patienten. Mer specifikt innebär inre sekretess att bara den som är anställd hos en vårdgivare och deltar i vården av patienten eller av annat skäl behöver uppgifterna för sitt arbete får ta del av patientuppgifter. Detta framgår av Patientdatalagen (4 kap. 1 PDL) som, tillsammans med Socialstyrelsens föreskrifter (SOSFS 2008:14), ger ramarna för vad som är tillåten åtkomst till patientuppgifter. Den som arbetar hos en vårdgivare och deltar i vården av patienten eller av annat skäl behöver uppgifterna för sitt arbete inom hälso- och sjukvården får ta del av uppgifter om en patient. (4 kap. 1 PDL) Förutom dessa legala ramar krävs också att medarbetaren fått behörighet till elektronisk åtkomst till uppgifterna (tillgång till det elektroniska journalverktyget). Denna behörighet ska tilldelas av verksamhetschefen efter prövning av den anställdes yrkesmässiga behov, enligt bestämmelserna ska behörigheten inte omfatta vare sig mer eller mindre än detta och föregås av en behovs och riskanalys. Vad innebär begreppet deltar i vården av patienten (vårdrelation) 1? Vårdrelation innebär att medarbetare aktivt deltar i vården av en patient. Vårdinsatsen kan vara direkt; dvs. medarbetare som själv utför vården eller indirekt; medarbetare blir konsulterad angående vården av patienten. Det kan också gälla administrationen av patienten för vård. Det är alltid medarbetaren själv, inte vårdgivaren som organisation (), som har vårdrelationen. En läkare som inte längre behandlar en patient deltar inte längre i vården av patienten (och saknar därmed vårdrelation), även om patienten själv fortfarande behandlas inom vårdgivaren men av annan hälso- och sjukvårdspersonal t.ex. på en annan vårdenhet. När ett deltagande i vården av en patient mer exakt börjar och slutar kan verka diffust. Normalt börjar vården med att patienten kontaktar sjukvården och avslutas när vårdinsatsen avslutats. I förarbetena till Patientdatalagen anges att vårdrelationen är avslutad då en patient skrivs ut som färdigbehandlad och det inte finns några inplanerade återbesök. Detsamma gäller om patienten skrivs ut för 1 Begreppet vårdrelation är inte definierat i lagtext men används normalt i verksamheten för att beskriva relationen mellan patient och utövande vårdpersonal. Det som avgör innebörden av begreppet vårdrelation är den juridiska tolkningen av uttrycket deltar i vården av patienten från bestämmelsen i 4 kap 1 PDL.
4 (5) fortsatt vård eller uppföljning på annan vårdenhet eller i annan vårdgivares regi dvs. när ansvaret för patienten tagits över av någon annan. Medarbetare kan aldrig ha en vårdrelation till sig själv och det är därför inte heller tillåtet att ta del av sina egna patientuppgifter med stöd av den inre sekretessen. Vad innebär av annat skäl behöver uppgifterna för sitt arbete inom hälso- och sjukvården? Begreppet innebär att hälso- och sjukvårdspersonal för sina arbetsuppgifter kan behöva tillgång till patientuppgifter av annat skäl än deltagande i vården av patienten. Annat skäl kan vara att medarbetaren har ett rent administrativt uppdrag att utvärdera eller dokumentera vården (t.ex. medicinsk sekreterare), ett ansvar att hantera fakturering eller ett ansvar att författa intyg, anmälningar eller bedömningar som följer av lag. Här innefattas även medarbetare i laboratorieverksamhet som utför analyser. Andra exempel kan vara att medarbetaren har ett övergripande uppdrag från vårdgivaren som innebär utveckling och säkerställande av vårdens kvalitet, tillsyn av verksamheten eller framställning av statistik. Medarbetaren kan också utföra individuell kvalitetssäkring av egna åtgärder (uppföljning av vidtagna åtgärder) i enlighet verksamhetschefens instruktioner. Oavsett vilket skäl medarbetaren har för att behöva patientuppgifterna måste behovet finnas dokumenterat. Ett uppdrag måste alltså alltid finnas som separat uppdrag, ingå i tjänstebeskrivning eller följa direkt av lag eller föreskrift Kvalitetssäkring ska generellt vara beslutad av verksamhetschefen och i förväg planerad, bestämd och dokumenterad. Vad avser den individuella kvalitetssäkringen ska finnas lokala riktlinjer om vilken personal som ska utföra denna och på vilket sätt resultat kan återföras verksamheten, se vidare regionala anvisningar om hantering av patientuppgifter för kvalitetssäkring. Behörighet för elektronisk åtkomst När det gäller åtkomst till patientuppgifter i de elektroniska journalsystemen måste medarbetaren även ha en tilldelad behörighet för elektronisk åtkomst. Verksamhetschefen är ansvarig för att varje medarbetares behov och tillgång till uppgifter kontrolleras och att lämplig behörighet tilldelas. Medarbetaren är själv ansvarig för användningen av sin behörighet. Enbart en faktisk möjlighet att genom tilldelad, teknisk behörighet i IT-stödet bereda sig tillgång till patientuppgifter innebär inte att en medarbetare också har rätt att ta del av uppgifterna, övriga kriterier (vårdrelation, behov av uppgifterna för arbetet m.m.) måste vara uppfyllda. Det är inte heller tillåtet att ta del av patientuppgifter genom elektronisk åtkomst om medarbetaren saknar teknisk behörighet för detta, oavsett om övriga kriterier är uppfyllda. Det är alltså aldrig tillåtet att använda en annan medarbetares behörighet för åtkomst till patientuppgifter.
5 (5) Den tilldelade behörigheten kan jämföras med en nyckel som ger medarbetaren möjlighet att öppna registret med patientuppgifter. För att få nyckeln av verksamhetschefen krävs att den anställde har ett dokumenterat uppdrag (arbetsuppgift), uppdraget ska också tydliggöra ändamålet för behandlingen; t.ex. vård- och behandling, administration, kvalitetssäkring eller verksamhetsuppföljning. För att få använda nyckeln krävs slutligen också att det finns ett lagligt stöd för åtkomsten, dvs. att den anställde i det enskilda fallet deltar i vården av patienten eller av annat skäl behöver uppgifterna för sitt arbete. Publicering av anvisningar samt frågor och svar Utifrån dessa regionala anvisningar ges enheten för juridik i uppdrag att ta fram frågor och svar kring konkreta situationer som ett stöd för verksamheten. Anvisningar om elektronisk åtkomst till patientuppgifter, anvisningar om kvalitetssäkring samt ovan nämnda sammanställning av frågor och svar ska vara lättillgängliga och publiceras på s intranät. Jonas Rastad Regiondirektör