Öppna data för vem?

Det kan knappast ha förbigått någon att information blivit det nya guldet och att det finns extremt starka både offentliga och privata intressen som vill vara med och ta hem vinster från den resursen. Framför allt den information som skapas i offentlig sektor är extra åtråvärd dels för att den är så omfångsrik, dels för att den ofta innehåller detaljerade uppgifter om olika allmänt intressanta förhållanden.

Intresset för att använda den offentligt producerade informationen som här kallas ”öppna data” har inom EU formaliserats genom PSI-direktivet som även blivit svensk lag sedan 2010.  En utredning tillsattes på klassiskt och bra svenskt maner 2019 för att bl.a.

genomföra en översyn och utvärdering av lagen (2010:566) om vidareutnyttjande av handlingar från den offentliga förvaltningen, analysera behovet av för-fattningsändringar för att genomföra öppna data-direktivet och säkerställa en ändamålsenlig nationell reglering som, ur ett rättsligt perspektiv, främjar och stödjer den offentliga förvaltningens arbete med att tillgängliggöra öppna data och annan digital information samt lämna förslag till nödvändiga författningsändringar.

Den lämnades över i höstas under beteckningen  SOU 2020:55 Innovation genom information och har knappast lett till några större rubriker. Att vidareförädla data kan ju tyckas som en högst okontroversiell inriktning för ett alltmer digitaliserat samhälle men ändå är det vissa frågor som skaver alltmer ju mer jag funderar på dem. I utredningen ges följande beskrivning av syftet med offentlig verksamhet ska lägga resurser på arbetet med öppna data:

I portalparagrafen till PSI-lagen anges att syftet med lagen är att främja utvecklingen av en informationsmarknad genom att underlätta enskildas användning av handlingar som tillhandahålls av myndigheter.

Redan där kan man haja till. I Sverige har vi en mycket lång tradition av att utnyttja offentlig information för forskning och allmänhetens insyn men vad som här avses skapas är en ”informationsmarknad”. Observera att med enskilda avses inte medborgare som vill ha insyn enligt offentlighetsprincipen vilket klargörs längre fram i utredningen utan endast företag som ska använda informationen. Den tes som drivs i direktivet och i efterföljande lagar och utredningar är att det finns ett starkt samhällsintresse av att skapa en ”informationsmarknad” som ska försörja nationella och internationella företag med råvaran offentlig information till ett självkostnadspris. I en rapport som tagits fram av Lantmäteriet på uppdrag av regeringen blandas ändå syftena ihop så att det framstår som att öppna data skulle förbättra möjligheten till insyn:

Öppna data skapar värde på flera olika plan i samhället. Det rör sig dels om rena ekonomiska värden i form av stimulerad tillväxt och ökad effektivitet som ger aktörer möjlighet att utveckla nya produkter och tjänster. Dessutom bidrar öppna offentliga data per definition till ökad transparens och demokratisk kontroll genom att öka insyn och förståelse för offentlig förvaltning. Den ökade insynen innebär nya möjligheter för externa aktörer att mäta policyeffekter och granska, upptäcka samt motverka oegentligheter inom offentlig sektor.

För mig framstår som mycket tydligt att det finns framför allt tre olika syften med extern åtkomst till myndigheters information:

  • demokratiaspekter genom insyn och transparens
  • forskningens tillgång till information på lång och kort sikt
  • förtags behov av råvara till olika typer av tjänster inklusive AI

Av dessa syften har under de senaste decennierna det sistnämnda syftet varit extremt prioriterat (även om forskning och företagande ofta kan vara överlappande). I de olika initiativ som bedrivits i Sverige rörande digitalisering har jag inte på ett enda ställe sett några konkreta förslag för att utveckla lösningar för att stärka offentlighetsprincipen. Detta trots att öppenheten blivit ordentligt naggad i kanten bland annat genom Sveriges EU-inträde genom avsiktliga och oavsiktliga anpassningar till den betydligt mer begränsade insynsmöjlighet som finns i övriga EU-länder (bortsett från Finland). När man pratar om ökad delaktighet i digitala sammanhang är det alltså inte ökad insyn som diskuteras utan i de allra flesta olika tekniska lösningar som lanseras för offentlig service.

Vilka möjligheter som finns att digitalt utveckla demokratin är ett ämne som ligger mig varmt om hjärtat men jag skulle här även vilja peka på ytterligare en aspekt där den nuvarande satsningen på öppna data rymmer stora intressekonflikter. Eftersom jag skulle vilja belysa den på ett principiellt plan och inte fastna i inhemska perspektiv väljer jag att ta ett exempel från USA. I Erik Åsards nya bok Med lögnen som vapen som handlar om Donald Trump och hans påverkan på det amerikanska samhället. I ett avsnitt berättar Åsard om Trumps märkliga tillsättningar av ledande tjänstemän. Detta är nog så intressant men i det som jag fastnat för i detta sammanhang är när han föreslog Barry Myers, en miljonär och gammal kompis, som chef för NOAA som är den amerikanska motsvarigheten till SMHI. Myers var av en händelse även ägare till ett privat företag som säljer väderrapporter som en kommersiell tjänst. Enligt Åsard såg Myers rapporteringen från NOAA som en svår konkurrent eftersom myndigheten tillhandahöll samma data kostnadsfritt (enligt lag) som Myers paketerade om och marknadsförde i sin egen tjänst. Som Åsard skriver:

Rapporterna från the National Weather Service är kostnadsfria, men AccuWeather lyckades genom förförisk och inte sällan vilseledande marknadsföring få kunderna att betala för dem. Utan den statliga väderlekstjänsten och dess skattefinansierade tillgångar (radar, väderstationer, väderballonger) skulle inte företaget ha mycket att erbjuda. För att skilja ut sig från konkurrenterna började AccuWeather tillverka prognoser som sträckte sig 45 och till och med 90 dagar framåt. Det är en metod som seriösa meteorologer har dömt ut och liknat vid att använda handläsning eller horoskoptydning.

Vidare skriver Åsard:

Till skillnad från bolagen i den privata sektorn är the National Weather Service enligt lag förbjuden att göra reklam för sina tjänster. Det har utnyttjats av företagare som Myers, som under 1990-talet offentligt började argumentera för att den statliga myndigheten borde förbjudas att göra några väderprognoser överhuvudtaget (utom vid fara för liv och egendom). Sådan information borde vara en fråga mellan kunderna och de privata företagen, menade han. När den konservativa republikanska senatorn Rick Santorum lade fram ett snarlikt lagförslag 2005, fick det entusiastiskt stöd av Myers. Förslaget föll, men Myers tvekade alltså inte att stödja en lag som flagrant skulle gynnat hans eget företag och tvingat skattebetalarna att betala dubbelt för en tjänst som den statliga myndigheten tillhandahållit gratis.
Som Michael Lewis påpekar har privata företag i branschen ett ekonomiskt intresse av väderkatastrofer som deras offentliga motsvarigheter saknar. Ju större och farligare orkaner, desto fler kunder kommer att vilja betala för att få varningar om dem. Och ju fler kunder desto större vinster. Lewis föreställer sig en dystopiskt slut – ”dagen då du bara får den väderleksrapport du betalar för”.

Lyckligtvis har vi ingen Trump i Sverige (än). De många intressekonflikter som Erik Åsard så elegant lyfter fram i ett kort stycke i sin bok saknas är dock helt relevanta för  Sverige när det gäller öppna data. Av någon anledning har de utredningar som genomförts sedan direktivets tillkomst undvikit att ta upp dessa frågor trots att de har stor betydelse för både samhälle och den enskilde individen.

Att låta marknadskrafter bli dominerande när det gäller hur offentlig information ska användas skapar intressekonflikter. ”Öppna data” kan leda till motsatsen, att de undanhålls från medborgarna för att de utgör råvara för ett företag.  Och kommer det att ställas krav på myndigheterna att de måste upprätthålla informationshantering som annars skulle effektiviseras bort för att det skulle påverka företag som använder informationen negativt om den togs bort? Det är inte heller säkert att låta multinationella försäkringsbolag kostnadsfritt ta del av patientuppgifter är något som gynnar några andra än just försäkringsbolagen. Som alltid när det gäller intressekonflikter finns det inget entydigt svart eller vitt i hanteringen av öppna data även om det i det svenska sammanhanget hittills framställts som helt utan komplikationer att langa ut vår viktigaste gemensamma resurs gratis på marknaden. Själv har jag svårt att förstå hur det kan utgöra en marknad överhuvudtaget, snarare en nationell välgörenhetsbasar.

För att skapa en mer mångdimensionell bild av öppna data där olika intressen kartläggs och ställs mot varandra på ett öppet (!) sätt bör ett mer gediget underlag än olika konsultrapporter tas fram om det verkliga ekonomiska värdet.  Därefter kan en offentlig diskussion föras om hur vår gemensamma informationsbonanza ska användas så att alla våra olika intressen tillvaratas – inte bara de ekonomiska för vissa aktörer.

Marshmallows och digitalisering

Häromveckan kom en OECD-rapport där det framkom att Sverige enligt de måttstockar som användes inte var så bra på digitalisering. Rapporten väckte förvåning och upprördhet i vissa kretsar. Jag kan på sätt och vis förstå att det kan upplevas som en kalldusch med tanke på hur mycket offentlig ”digitalisering” haussas och sponsras. Samtidigt får jag litet drygt medge att jag inte är såååå häpen. Den svenska digitaliseringen har under decennier fört en haltande tillvaro trots att den ständigt varit omgiven av jublande kaskader av pepp.

Under dessa år har olika mystiska nationella organisationer skapats, marknadsförts och sedan dött utan att lämna några imponerande spår efter sig. Ur minnet kan jag rada upp följande:

  • Toppledarforum
  • E-nämnden (Nämnden för elektronisk förvaltning)
  • 24-timmarsmyndigheten
  • Verva
  • E-delegationen
  • E-legitimationsnämnden
  • Digitaliseringskommissionen
  • Digitaliseringsrådet
  • DIGG

Utöver detta har diverse ännu mer kortlivade initiativ tagits av regeringar i form av råd och kanske den mest luftiga av alla: en nationell CIO, en funktion som lyckligtvis evaporerade efter mindre än ett år. Av allt detta finns idag bara DIGG kvar – en myndighet med oklart ansvar och mandat.

Efter att ha rört mig i både närmare centrum och och för det mesta i periferin av dessa cirklar så finns det vissa genomgående drag som jag tycker mig kunnat notera. Bara uppräkningen av alla flyktiga organisationer som haft en förväntan på sig att samordna den svenska digitaliseringen visar på det kanske främsta problemet: bristen på kontinuitet. Det har aldrig funnits en långsiktig plan med prioriteringar för hur den offentliga digitaliseringen ska rullas ut. Bristen på strategisk inriktning skulle i sig kunna vara en strategi, att den svenska staten gjort en välavvägd bedömning att en organisk framväxt  utan styrning av digitala lösningar på sikt skulle gynna samhället bäst. Om detta har varit planen har den dock hållits väl dold. Verkligheten tyder på, i alla fall för mig, att planering och tydlig inriktning hade varit mycket önskvärt för att skapa en fungerande digital infrastruktur.

Kanske var vi närmare en möjlighet att skapa en infrastruktur på slutet av 90-talet än idag. Då fanns en medvetenhet om att Sverige hade unika möjligheter bland annat genom denna snabba spridningen av hemdatorer som skett då anställda fick möjlighet att med förmånliga villkor skaffa sig en egen dator via arbetsgivaren. Då diskuterades hur en statlig e-legitimation skulle kunna införas som en central infrastrukturkomponent. Själv tyckte jag att det var en rimlig förlängning av ett statlig åtagande: folkbokföring, personnummer och sedan e-legitimation skulle fullfölja en lång linje i svensk förvaltningshistoria som skulle kunna vara byggstenen för många andra lösningar. Men sedan hände ingenting, varje år sas det att i september – då kommer den att komma! Vet ej varför just september var en så bra månad för att lansera e-leg men i min något osäkra minnesbild var det så. En myndighet (E-nämnden) bildades 2003 för att leva i två somrar med uppdrag att

stödja utvecklingen av ett säkert effektivt elektroniskt informationsutbyte mellan myndigheter och mellan myndigheter och enskilda genom att beslut om vilka standarder för informationsutbyte myndigheter under regeringen skulle använda sig av.

Detta inkluderade även e-legfrågan. Men som sagt någon statlig e-legitimation blev det inte då vilket jag är ganska övertygad berodde på ideologiska skäl. Politiker av olika schatteringar gick all in för nyliberalism och ville hellre att ”marknaden” skulle hantera e-legitimationerna vilket säkert påverkade införande och fördröjde en säker infrastruktur-utveckling. Att jag tagit upp denna gamla historia är mest för att peka på ett annat återkommande tema i den svenska digitaliseringen, nämligen att det saknats öppna och tydliga diskussioner om hur staten och marknaden ska samverka på bästa sätt för gynna samhället. Istället har framtagandet av digitala lösningar skett i en ideologisk blindhet som lett mycket stora kostnader (tänk bara Hälsa för mig) utan att det lett till de resultat som eftersträvats.

Och vad är det då för resultat som eftersträvas? Man skulle tycka att med den stora förväntan på digitalisering och AI som lösningen på alla problem liksom de miljarder som pytsats in att även utan plan så skulle det vara nödvändigt att ha någon slags tydliga mål som går att följa upp. Så är dock inte fallet om man inte räknar det outsägligt fåniga målet att ”Sverige ska vara bäst i världen på att använda digitaliseringens möjligheter” som tydligt. Istället vimlar det av fluffiga utsägelser som digitaliseringen ska rädda allt från äldreomsorgen till exportindustrin och självklart skolan. Exakt hur det här ska gå till beskrivs vad jag kan se varken av infrastrukturdepartementet, DIGG eller digitaliseringsevangelisterna SKR  trots att man skrivit vad man kallar mål och strategier. Det förväntas bara ske.

Det ligger något av en paradox i att digitaliseringslösningar idag så ofta används för att mäta som en del i det rådande NPM-paradigmet när det samtidigt sker så litet av formell utvärdering av vad digitaliseringen faktiskt leder till. Om man går in de traditionella utvärderarna av ”vad f-n får vi för pengarna?” som Riksrevisionen, Statskontoret och, när det gäller e-hälsa, Myndigheten för vårdanalys finns påfallande få granskningar och rapporter skrivna just om digitalisering. Riksrevisionen publicerade 2016  en rapport som knappast är en av dem som länder revisionen till heder med tanken på kvaliteteten som kontrollerar om myndigheter digitaliserat tillräckligt mycket – inte vad digitaliseringen lett till. Detta är i sig en generell tendens, att se digitaliseringen i sig som något ”gott” samtidigt som man i nästa andetag säger att digitaliseringen inte är självändamål. Men vad kan vara mer självändamål än att ha som mål att ”Sverige ska vara bäst i världen på att använda digitaliseringens möjligheter”? Däremot kom 2019 en granskning  om digitalisering och nyföretagande som faktiskt sätter nyföretagandet i centrum – inte digitaliseringen. Utöver detta finns det inte mycket att hämta om digitalisering hos Riksrevisionen om man är intresserad av resultatet av statens insatser på området. Statskontoret har skrivit myndighetsanalyser av bl.a. E-delegationen, Digisam och Digitaliseringsrådet (spoiler alert: de har inte lyckats så bra) men egentligen inget vad jag kan se om digitaliseringen i sig. Riksrevisionens och Statskontorets uppdrag kan möjligen göra dem något begränsade i sina granskningar men att Myndigheten för vårdanalys inte haft detta som ett starkt granskningsområde förvånar mig starkt. Med tanke på hur e-hälsa, välfärdsteknologi, AI och digitalisering lyfts fram  som vårdens frälsare borde utfallet av detta vara mycket angeläget att kontinuerligt följa. Som det nu är hittar jag egentligen bara en rapport som handlar om cancervården specifik. Ett projekt om äldreomsorgens digitalisering ska slutlevereras 2023 och inriktningen ”Myndigheten ska bedöma hur digitaliseringen av äldreomsorgen bidrar till verksamhetsutveckling, med särskilt fokus på kostnadseffektivitet.” – alltså hur ska digitaliseringen ”effektivisera” äldreomsorgens.  Sammanfattande kan jag förstå om det är svårt att göra granskningar med så fluffiga mål för vad är det egentligen som ska följas upp?

Min egen anekdotiska upplevelse är att den svenska digitaliseringen lider svårt av ett marshmallowssyndrom. Ni vet det där gamla experimentet om uppskjuten tillfredställelse som sedan har ifrågasatts men som jag ändå använder här som bild. På Stanford university erbjöds fyraåring att marshmallows med förutsättningen att om de kunde motstå att genast sluka den godbit de fick och kunde vänta några minuter kunde de istället få två. Tanken var att de som kunde planera och motstå frestelsen blev framgångsrika längre fram i livet. Den svenska digitaliseringen tyckte jag ofta har liknat barnen som inte kunde låta bli att genast tillfredsställa sitt sötsug. De politiker, tjänstemän och företag som drivit på digitaliseringen har dock styrts av starkare tobak än marshmallows men kontentan blir att det idag saknas en plan. Det tycks som man ofta gör saker för att man kan, inte för att man analyserat och kommit fram till att det är rätt steg i en bestämd riktning.

Detta leder också till den intressanta frågan vems intressen tjänar den nuvarande digitaliseringen. Som redan nämnts är äldreomsorgen ett frestande område att digitalisera, mindre så digitaliseringsbyråkraternas egna jobb. Jag ska inte ge mig in på David Graebers tankar om Bullshit jobs (läs gärna själva!) men tanken på de undersköterskor som flänger omkring som torra skinn i äldreomsorgen är de som ska effektiviseras och inte de som har bullshit jobs är djupt störande. Jag tänker också på vad en äldre människa tjänar på att inte få en människa som kommer och hjälper till med matning utan en robot. Detta borde vi prata mycket mer om.

För att ingen ska missförstå ovanstående: jag vet och uppskattar den ständigt puttrande digitaliseringen men skulle uppskatta en plan.

Förstatliga eller inte förstatliga – det är frågan

1910 blev Karlstads lasarett det andra i Sverige som blev s.k. delat lasarett (efter Falun). Att ett lasarett blev delat betydde att det fanns både en medicinsk och en kirurgisk verksamhet. I korthet var detta första steget på den snabba utveckling pådriven av en framgångsrik forskning där ögon, öron, ortopedi, röntgen, BB, barn, gynekologi o.s.v, o.s.v. , blev egna specialiteter och subspecialiteter i ett allt finmaskigare nät. Till detta kommer allmänmedicin och annan öppenvårdsverksamhet för att inte glömma psykiatrin i olika former. Alla dessa med tiden hundratals olika kompetensområden måste organiseras i avdelningar, kliniker, mottagningar m.m. för att få bästa möjliga vård för patienten till en för samhället rimlig kostnad.

Det räcker dock inte med att organisera vårdens olika verksamhet i förhållande till varandra utan vården måste styckevis och delt även passas in i samhällets generella styrning som i sin tur består av förvaltning respektive den politiska styrningen.  För Sveriges del har det i huvudsak inneburit inpassning i kommun, landsting/region och stat eftersom vården varit offentligt finansierad (även detta i huvudsak) sedan lång tid tillbaka. Historiskt har vårdverksamheten i delar vandrat mellan huvudmännen. Att allmänmedicin och psykiatri var ett statligt ansvar fram till 1960-talet och äldrevård en landstingsangelägenhet fram till ÄDEL-reformen då den överfördes till primärkommunerna är bara två exempel.

Vad jag vill säga med denna skamligt korta sammanfattning är att sjukvård är EXTREMT svårt att styra med en fullständigt oöverblickbar komplexitet i tre dimensioner: den interna styrningen av vårdarbetet och förvaltningsstyrningen samt den politiska styrningen. Fram till 1970-talet var inriktningen för att hantera denna komplexitet bland annat att försöka skapa mer enhetliga huvudmannaskap vilket var en av orsakerna till att exempelvis allmänmedicin och psykiatri överfördes till landstingen från staten. Denna trend avlöstes av den glada NPM-eran när styrningen av offentlig verksamhet fragmentiserades bland annat för att underlätta för privata alternativ. Det var då äldreomsorgen och den social omsorgen fördes till den kommunala sektorn vilket bland annat har lett till bollandet av gamla multisjuka mellan två huvudmän  – något vi sett de avskräckande konsekvenserna av nu efter covid-19.

Det är ett ganska väl beforskat hur organisatorisk komplexitet leder till det som slarvigt brukar kallas byråkrati men som jag hellre skulle benämna administration som inte är direkt kopplad till kärnverksamhetens uppgifter. Ju större antal aktörer som ska förmås att röra sig i samma riktning eller åtminstone samspela, desto fler samordnade aktiviteter krävs för att hålla ihop helheten. Det blir strategier, policies, planer, möten, kontroller och rapporteringar i olika riktningar. Genom privatiseringen av offentlig verksamhet har dessutom ytterligare behov av upphandlingar, kravställningar, regelverk, beställningar och uppföljningar tillkommit. Detta skapar kohorter av  nya typer av administratörer, alltså inte den gamla typen som skötte budget, bokföring och löneutbetalningar. Istället har kvalitetsutvecklare, upphandlingsspecialister, digitaliseringsstrateger, e-hälsosamordnare och (visst, jag kackar i eget bo) informationssäkerhetsansvariga tillkommit. Och så naturligtvis kommunikatörer, kommunikatörer och åter kommunikatörer. Utan jämförelser i övrigt kommer jag osökt att tänka på den här gamla klassiska bilden där jag föreställer mig vårdpersonalen dignar under hela lasset av administration upp till sjukvårdspolitiker och vårdbolagschefer.

Det är med detta i bakhuvudet jag läser ledaren i DN som drar en lans för förstatligande av sjukvården. För mig framstår det som ett relevant förslag. 1962 gav de flesta landsting ut historiker över sina första hundra år. Dessa historiker rymmer en fascinerande motsättning mellan beständighet och föränderlighet. Landstingen hade funnits i respektingivande hundra år men vad ett landsting var och skulle syssla med hade ständigt förändrats under dessa är.

Vad detta lär oss är att hur samhällets basala funktioner ska organiseras ständigt måste omprövas för att institutionerna ska vara ändamålsenliga och anpassade till rådande behov. Historiskt har detta skett kontinuerligt som jag snabbskissat ovan och det finns ingen anledning att tro att just den organisation av sjukvården har idag är den enda möjliga oavsett vad som händer i samhället i övrigt.  Själv hyser jag inte någon ohejdad tilltro till att ett förstatligande av sjukvården skulle lösa alla eller ens merparten av problem som vården har att leva med men i all enkelhet skulle åtminstone ett lager i pyramiden försvinna. Förhoppningsvis skulle grundläggande mål som likvärdig vård vara enklare att uppnå. En annan effekt är att den samordnade byråkratin internt mellan de idag 21 regioner skulle kunna plockas bort (även om den säkert delvis skulle komma tillbaka i en annan form).

Att inte bara DN utan även andra med viss energi börjar ifrågasätta regionernas roll väcker oro i regionsleden, inte minst hos särintressets främsta företrädare SKR vars ordförande Anders Knape som skrev ett kanske aningen sentimentalt svar på DN:s ledare. Han, liksom regionala företrädare, lobbar ivrigt för att regionernas USP är den politiska styrningen av regionerna som hypotetiskt skulle göra  sjukvården regionalt anpassad och därmed ”bättre”. Med viss bombasm skriver Knape:

Folkviljan utövas genom den lokala och regionala nivåns omkring 40.000 förtroendevalda utifrån kunskap om invånarna lokalt och regionalt. Deras kraft är oslagbar.

För den som något fördjupat sig i landstingens/regionernas historia väcker denna beskrivning antagligen skuggan av ett leende. Inga sjukvårdsstrider har varit så infekterade som de inom enskilda landsting där sedan åtminstone 1920-talet omfattande manifestationer skett för att sjukstugor skulle placeras i ”rätt” samhälle eller rörande nedläggningar av sjukhus. Knapes uttalande pekar snarare på en klassisk problemställning inom svensk sjukvård: den potentiella motsättningen mellan regional särart å ena sidan och likvärdighet nationellt å andra.

För mig framstår denna argumentationslinje också som alltmer paradoxal då SKR själva så intensivt försöker samla nationell styrning hos sig själva. Som jag tidigare skrivit om har alltfler frågor börjat samordnas via SKR och därmed flyttats från den regionala nivån till en nationell.

Om SKR starkaste argument mot ett förstatligande är det demokratiska värde som finns i den  regionala politiska styrningen verkar det ju vara att såga av sin egen viktigaste sittgren om makten förs från dessa demokratiska församlingar in i det mörker som föreningen SKR utgör. Själv skulle jag alla dagar i veckan föredra en normal svensk myndighet framför SKR som nationellt samordnande. Ibland dristar jag mig till och med till att tycka att det kanske är en demokratisk fördel om sjukvården lyfts bort från bypolitiken.

Knape har förstås en poäng när han lyfter fram mindre lyckade statliga experiment och då även inom digitaliseringsområdet. Tyvärr måste jag dock säga att det är en boll som är svår att inte smasha tillbaka för den som strävar mot förstatligande av sjukvården. INGEN fråga har engagerat SKR så mycket som digitalisering som lösning på all och jag misstänker att man har en gemensam morgonbön i SKR-palatset som går ungefär så här:

Digitalisering, låt ditt namn bli helgat

Låt ditt rike komma.

Låt din vilja ske, på jorden som i molnet.

Ge oss i dag vårt dagliga bröd .

Och glöm våra misslyckade projekt, så som vi glömmer dem själva.

Och för oss inte in i verkligheten, utan fräls oss från ansvar.

Förlåt, det är semester…

Min poäng är att trots den närmast religiösa inställning som SKR har till digitalisering i teorin så ser i praktiken digitaliseringen av den svenska sjukvården som ett härke trots de enorma resurser som tillförts. Jag sitter mycket tungt på mina händer för att inte skriva något om den totala frånvaron av samordning av informationssäkerhet och det provocerande ointresset för integritetsfrågor där SKR knappast agerat som insiktsfull vägledare för sina medlemmar.  Om verkligheten ska användas som betygssättare för regionernas och SKR:s förmåga att skapa en nationellt sammanhållande och långsiktigt fungerande vård så ser det rätt illa ut för Knapes linje.

För att komma vidare vore det önskvärt med en hederlig gammaldags utredning som inte helt styrdes av särintressen inom vården. Personligen lutar jag svagt åt att behovet av nationell samordning av sjukvården bäst hanteras genom ett förstatligande åtminstone av delar av vården. Det kommer visserligen att skapa nya gränslinjer – hur ska exempelvis äldreomsorgen hanteras med större medicinsk kompetens – men jag tror verkligen det är dags att ompröva dagens situation.

Skriften och minnet

Jag ska nu framföra den något inopportuna åsikten att det dokumenteras för litet i organisationerna. Inopportun eftersom vi fortfarande lever i en tid med oändlig övertro på fragmentiserade mätvärden, checklistor, matriser och inkodande, väl skildrat här. Huvudsak blir bisak och frågan är allt oftare för vems skull allt detta registrerande sker, kanske inte för patienten eller eleven utan för att försörja något multinationellt företags omätliga begär efter data?

Det är inte denna typ av dokumentation jag skriver om här utan snarare när matriser ersätter resonemang och utvecklade bedömningar. För att ta informationssäkerhetsområdet som ett exempel ser jag som regel snarare än undantag informationsklassningar och riskanalyser vars värde kan ifrågasättas, särskilt i det längre perspektivet. Det som återstår efter timmar av nedlagd arbetstid och noggrann analys är alltför ofta en matris eller ett excel-ark utan förklaringar. Deltagare eller roller som ingått framgår inte och inte heller hur resultatet ska hanteras. Men mest saknas på vilka grunder bedömningen gjorts. Att arbeta på det här sättet är som att skriva i vatten.

Skrivandet, när det sker på ett beständigt sätt, är i sig ett stöd för tanken. Medan man skriver formulerar man sina tankar, utvecklar och förtydligar, hittar svagheter, gör synteser och lägger grunden för kommunikation. Man skapar förutsättningar för en diskussion som vaskar fram de bästa praktiska lösningarna.

Både informationsklassningar och riskanalyser ska naturligtvis ske återkommande. En väl dokumenterad tidigare klassning eller riskanalys är ovärderligt stöd då proceduren ska upprepas. Istället för att börja från noll kan man gå igenom vilka faktorer som kvarstår eller ändrats, om man fått fördjupad kunskap som påverkar bedömningarna, om åtgärder vidtagits som påverkar risken eller om lagstiftning tillkommit för att ta några exempel. Utan bra dokumentation kommer inte ens de som deltagit i den förra övningen hur diskussionen gick, än mindre de som kommer till.

Att det organisatoriska minnet skapar effektivitet är en sak. Ytterligare en är att dokumentationens syfte inte enbart är att kommunicera utan det är också ett sätt att aggregera kunskap inte bara i enstaka situationer utan genom att skapa ett större kunskapsunderlag som kan återanvändas i nya situationer. Detta bör även ses som en del i organisationens generella riskarbete. Det skrivna ordet är vår kapsel för kunskap vilket även går att översätta till mänsklighetens utveckling.

Låt mig ta ett sista argument för bättre dokumentation och organisatoriskt minne, nämligen att det är verktyg för att skapa ett sammanhang för de som arbetar i organisationen. En fullödig dokumentation lägger fram de rationella skälen till gjorda bedömningar och motiverar i förlängningen säkerhetsåtgärder. Detta leder till en positiv säkerhetskultur kan växa fram där det är naturligt att samtala om säkerhet och där det är tillåtet att ifrågasätta säkerhetsbedömningar. Den som arbetar med säkerhet behöver inte känna sig pressad och defensiv när någon frågar varför ett visst tillvägagångssätt ska tillämpas eftersom det finns mer än siffra att bygga sin motiverande argumentation på.  KASAM, känslan av sammanhang, var ett begrepp som myntades av  sociologen Aaron Antonovsky på 1960-talet och innebär i korthet att om omvärlden ter sig begriplig, hanterbar och meningsfull så har du lättare att hantera svåra situationer. Jag menar att det organisatoriska minnet är en betydelsefull del i om vi upplever kasam eller inte på vår arbetsplats. Bättre rutiner för att ta fram och återanvända meningsfull dokumentation ökar vår förmåga att känna delaktighet och motverkar stress. Detta är inte på något sätt oväsentligt i dessa dagar då allt fler mår dåligt på jobbet.

Se alltså detta inlägg som en plädering för att skriva bättre och läsa mer. Den som känner sig osäker i sitt skrivande måste få öva, öva, öva och att skriva bra bör uppvärderas och ses som en omistlig kompetens för den som arbetar med informationssäkerhet.

Arkivutredningen: Härifrån till hit eller det är många ”skall” som blivit ”ska”

Sällan har jag läst en utredning med sådant intresse som den nya arkivutredningen SOU 2019:58 ”Härifrån till evigheten” och då har jag ändå läst många.Stoffet i utredningen och hur den är genomförd vore helt enkelt värt en egen utredning och inte bara ett blogginlägg men man tager vad man haver. Det finns alltså hur mycket som helst att skriva ytterligare men som inte ryms här.

Innan jag går in på utredningens egentliga leverans vill jag jag uppmärksamma den metodik och presentation som tillämpats som känns mer som en redovisning av en fortlöpande workshop än en traditionell svensk utredning. Genomgående refereras samtal med olika intressegrupper vars argument framförs utförligt innan utredningen lämnar sina förslag. Det ger verkligen en fyllig bild av den stora bredd av frågeställningar och konfliktlinjer som förekommer i Arkiv-Sverige (detta märkliga land). Detta tillsammans med beskrivningen med bakgrundshistorik av hur arkivväsendet är organiserat i Sverige ser jag som den stora behållningen av utredningen, mycket användbar exempelvis i undervisningssammanhang.

Utöver detta är mitt sammanfattande intryck att utredningen ägnat sig åt en mängd relativt sett små frågor, om än i vissa fall intressanta, men duckar för alla verkligt väsentliga frågor. Dessutom är förslagen angående de frågor som man verkligen ägnar sig i de flesta fall ytterst konservativa, typ: ”efter noggrant övervägande har vi kommit fram till att den rådande ordningen är den bästa.”. Sin djärvhet och kreativitet tycks utredningen ha reserverat för titeln på utredningen som synes sällsynt missvisande i förhållande till innehållet (intresset för putslustiga utredningstitlar är visserligen inte unikt för den här utredningen utan snarare legio i det svenska utredningsväsendet). När man läser förslagen på ny arkivlag är det många ”skall” som blivit ”ska” och ”arkivvård” som som blivit ”arkivförvaltning” men i övrigt mycket litet förändrande kraft. En mer rimlig utredningstitel hade varit ”Härifrån till hit”.

En annan mindre men tyvärr betydelsefull förskjutning som skett är betoningen av ”kulturarvet” ökat. I dagens arkivlag står:

Myndigheternas arkiv är en del av det nationella kulturarvet.

Myndigheternas arkiv ska bevaras, hållas ordnade och vårdas så att de tillgodoser
1. rätten att ta del av allmänna handlingar,
2. behovet av information för rättskipningen och förvaltningen, och
3. forskningens behov.

I utredningens författningsförslag sker inga större skillnader i detta förutom att ”syfte” bli ”ändamål”, ändamålet får en egen paragraf och det nationella försvinner från kulturarvet. Däremot ägnar utredningen sig nästintill enbart åt resonemang om kulturarvet och hur det ska skyddas och i princip inte alls åt de tre övriga ändamålen. För mig självklara och angelägna frågor som exempelvis hur demokratin skulle kunna utvecklas genom bättre insyn i myndigheterna via de allmänna handlingarna, hur behovet av snabb och säker tillgång till information med hög grad av autenticitet i myndigheterna ska tillgodoses samt betydelsen av ett organisatoriskt minne  behandlas inte alls. Forskning likställs i bästa fall med historisk forskning men alltför ofta tycks det vara släktforskning som avses. Ibland framstår forskning och kulturarv som på något sätt synonyma begrepp. Kanske skulle utredningens experter och sekreterare kunnat ha en något annorlunda sammansättning för att andra centrala perspektiv kunnat lyftas fram. De glasögon känsliga för kulturarv som använts präglar hur utredningen tar sig an övriga frågor. Släktforskare i all ära men vilken möjlighet som här förlorats att redovisa hur de övriga ändamålen skulle kunna tillgodoses på ett bättre sätt!

Som ett par exempel på hur kulturarvsglasögonen påverkar utredningens resonemang skulle jag vilja lyfta fram följande. Utredningen tar upp de olika uppfattningar som kan finnas mellan att digitalisera äldre material alternativt lägga resurser på att omhänderta det digitala material som hela tiden tillväxer. Detta presenteras som om det vore två jämförbara alternativ vilket jag menar är en tankevurpa. Att digitalisera redan omhändertaget material i pappersformat är framförallt en åtgärd för att förbättra tillgänglighet och service vilket i sig är behjärtansvärt. Däremot är fönstret för att bevara den digitala information som ständigt tillväxer en engångschans – görs det inte kommer informationen helt enkelt inte att finnas kvar. Även om jag inte sett någon forskning om detta är mitt intryck att vi redan nu har förlorat en stor del av de senaste decenniernas viktiga information eftersom det saknats verktyg för att ta hand om den. I ett sådant läge är det knappast rätt prioritering att tillfredsställa dagens kulturarvsintressenter med bättre service eftersom det oundvikligen sker på framtidens bekostnad. Ett annat (betydligt mindre viktigt) resursmässigt vägval som kommit i förgrunden för mig under senare år är att det borde vara fullt möjligt att minska arkivinstitutionernas lokalytorna i attraktiva lägen. Idag finns de statliga arkiven fortfarande ofta kvar i pampiga byggnader trots den stark sinande strömmen av besökare till forskarsalarna när alltmer material finns digitalt tillgängligt. Går det att moraliskt försvara denna resursfördelning eller börjar det bli dags att avveckla forskarsalarna, samarbeta med biblioteken om forskarservice och flytta depåer till billigare lägen? Även här tror jag kulturarvskulturen (!) spelar in i bedömningen eller att frågan inte ens tas upp när arkivens knala ekonomi diskuteras i utredningen. Jag menar, det är ju inte säkert att det finns pengar att spara, men finns ju anledning att åtminstone ställa frågan.

Jag skulle också vilja hävda att det positiva som ligger i det empiriska förhållningssättet med mängder av intervjuer och kompilationer av bakgrund möjligen skett på bekostnad av en genomarbetad teoretisk utgångspunkt. Arkivteori lyser helt med sin frånvaro, något som jag tror missgynnat utredningen i dess problemformuleringar. Exempelvis tror jag att analyser med avstamp i en problematisering av inre och yttre proveniens i ett dagens gemensamma informationssäkerhetsarkitekturer skulle kunna ge intressanta ingångar för exempelvis ansvarsfördelning och nya tekniska lösningar. En fåfäng önskan, jag vet det, är att utredningen skulle fördjupat sig i för- och nackdelar med den nära kopplingen mellan TF, OSL och arkivlagen. När starka krafter strävar att allt mindre del av myndigheters information ska ses som allmänna handlingar kommer det i nuvarande legala konstruktion att påverka inte bara insynsmöjligheten utan i sin förlängning både forskning och kulturarv.

Som den arkivarie jag innerst inne är sörjer jag över att utredningen missat möjligheten att faktiskt göra något som skulle rädda den situation som jag idag skulle vilja jämställa med klimatkrisen. Den gigantiska mängden information som ständigt skapas men som inte omhändertas eller bevaras på ett beständigt och säkert sätt och där arkivarierna står som med snöskyfflar i en global lavin. Utredningens ytterst modesta försök att greppa denna situation kan delvis ses som ett symptom på att det saknas en gemensam metateori om samhällets informationshantering som gör att varje utredning eller annan insats blir som ett fragment utan sammanhang.

Ofta blir utredningar fångar i sitt uppdrag. Orsakerna till detta kan vara flera. En vanlig orsak är att uppdragsgivaren redan bestämt sig för vilket svar man vill ha från utredningen, en annan att uppdragsgivaren har så oklar bild av området att uppdraget får en så märklig inriktning att det blir svårt att genomföra. Jag kan inte se att detta gäller arkivutredningen. Uppdraget som utredaren fått är både helt fritt och detaljstyrt på en gång:

En särskild utredare ska göra en bred översyn av arkivområdet. Det övergripande syftet är att säkerställa samhällets tillgång till allmänna handlingar både nu och i framtiden.Utredaren ska bl.a.

•översiktligt beskriva arkivsektorn samt beskriva och analysera hur samhällsutvecklingen har påverkat och kan förväntas påverka förutsättningarna för arkivverksamheten och olika arkivinstitutioner,

•se över arkivlagstiftningen och närliggande lagstiftning och vid behov lämna förslag på hur lagstiftningen kan anpassas till utvecklingen på området,

•analysera Riksarkivets roll och lämna förslag på uppgifter i förhållande till andra myndigheter och arkivaktörer för att undvika över-lappning och för att upprätthålla en god och säker informations-hantering och möjliggöra en allsidig historiebeskrivning,

•analysera de ekonomiska konsekvenserna för Riksarkivet och andra arkivmyndigheter på kort och lång sikt av den offentliga förvaltningens övergång till digitala processer, och

•analysera om regleringen för de enskilda arkiven bör förändras för att kunna tillgodose behov inom rättsskipning, förvaltning, forskning och skydd för kulturarvet

•lämna nödvändiga författningsförslag.

Det övergripande syftet är att säkerställa samhällets tillgång till allmänna handlingar både nu och i framtiden. Smaka på det syftet. Jag menar att utredningen haft chansen att ta ett strategiskt grepp om samhällets arkivfråga men istället fastnat i detaljerna och inte minst i de konflikter som finns inom arkivområdet.

Den allt överskuggande konflikten är den gällande Riksarkivets ställning vilket också framkommer i redovisningar som lämnas från de dialoger som utredningen fört med olika aktörer. Konflikten har funnits under lång tid men har tack vare utredningen kommit i öppen dager på ett sunt sätt. En resumé av konflikten är ungefär så här: Riksarkivet vill gärna centralisera och bestämma mer medan andra aktörer som kommuner och regioner tycker att Riksarkivet lämnar alldeles för dåligt stöd och borde ägna sig åt att utveckla sin styrning genom att sysselsätta sig med  metodutveckling och effektiv rådgivning. Riksarkivet vill t.ex. kunna meddela föreskrifter för kommuner och regioner vilket inte mottas väl av de tilltänkta objekten för föreskrivandet. Detta anspråk förefaller även mig rätt övermaga med tanke på att kommuner och regioner ligger betydligt längre fram i centrala arkivfrågor än vad staten och Riksarkivet gör.

Riksarkivet tycks gärna vilja fly ett operativt ansvar t.ex. i fråga om e-arkiv och FGS:er men känner sig sedan förbisedda trots att det sällan finns anledning att uppsöka den som inte gör något. Kritiken mot Riksarkivet är tämligen förödande då den beskrivs i ämbetsmannaprosa i utredningen:

Det finns en uppfattning om att så länge den statliga arkivmyndigheten inte fullt ut klarar sina grundläggande uppgifter bör myndigheten inte tillföras nya. Frågetecken sätts för om myndigheten verkligen har förmåga att i framtiden leda utvecklingen kring digital informationshantering.

Utredningen tycks ställa sig på deras sida som tycker att Riksarkivet borde luta sig mer mot att tillhandahålla nyttiga redskap än att genomdriva sin vilja på ett mer repressivt sätt:

Utredningens inriktning bakom de föreslagna bestämmelserna är att samförstånd, tydliga föreskrifter och en generös rådgivning ska prioriteras framför arkivmyndigheternas tillsyn och sanktioner.

Jag delar helt den uppfattningen. Både som verksam arkivarie och därefter har jag förundrats över hur torftigt stöd Riksarkivet tillhandahåller. För att bara ta ett exempel i den stora högen så har myndigheten inte tagit fram någon vägledning för centrala arkivuppgiften gallring sedan 1995 och jag tror vi alla kan vara överens om att det hänt en del på 25 år.

Legitimiteten för Riksarkivet tycks låg också då myndigheten avlövats ett antal uppdrag till bland annat DIGG. Den brist på metateori om samhällets informationshantering som jag tidigare nämnde leder även till en oförmåga att hantera myndigheters uppdrag i förhållande till varandra där nu det finns stora oklarheter om hur Riksarkivet och  DIGG ska leva tillsammans. Utredningens lösning på frågan är att Riksarkivet ska samordna metoden då de orimligt upphaussade FGS:er (ser verkligen fram emot att nyttan av dem utvärderas på ett opartiskt sätt) även då de tas fram på annat håll. DIGG ska å sin sida föreslås fortsätta:

samordna frågor om gemensamma standarder, format, specifikationer och liknande krav för den offentliga förvaltningens informationsutbyte i de fall uppgifterna inte ligger på regeringen eller en annan myndighet

FGS:erna är verkligen ett tröstpris då Riksarkivet blir omkörda av DIGG i princip allt annat som gäller informationshantering. Det är svårt att se att Riksarkivet spelar en viktig roll i samhällets digitalisering. Istället lever myndigheten i en permanent identitetskris med ständiga omorganisationer där man förlamats av frågan hur mycket arkivverksamheten ska vara en del i den pågående informationshantering. Det förefaller som de som deltagit i dialoger med utredningen, och då särskilt representanter från kommuner och regioner, starkt pläderat för det som kallas ”proaktivitet”.

Häri ligger av de andra stora konflikterna inom arkivområdet. Ska arkiven helt koncentrera sig på att omhänderta avställt material eller ska man även gå in och proaktivt bearbeta organisationers informationshantering så att arkivintresset är med redan från då information skapas? Eller ska arkivarierna t.o.m. vara specialister på informationshantering generellt och inte bara sett i arkivperspektivet? Medan vankelmod råder centralt där nog traditionen att kalla informationshanteringen  för ”kontors-ADB” och något att frynas över går framför allt fler kommuner och regioner över mot organisatoriska lösningar man samordnar uppgifter relaterade till informationshantering som arkiv, informationsförvaltning, dataskydd och informationssäkerhet. Man ser helt enkelt informationen som den kanske viktigaste resursen för en organisation, en resurs som måste utvecklas och förvaltas för att organisationen ska fungera på ett ändamålsenligt sätt. Detta är en linje som jag själv drivit sedan 90-talet så det är klart jag hyllar denna utveckling. Samtidigt går det inte att förneka att det uppstår en dissonans när Riksarkivet inte alls är i takt med denna rörelse utan snarare utgör en konserverande kraft (och då inte på ett positivt sätt). Det gör att det saknas ett nationellt nav för teori-, metod-, och kunskapsutveckling, erfarenhetsutbyte och styrning för det som till och med saknar ett entydigt begrepp, jag menar informationsstyrning, informationshantering eller informationsförvaltning kan innebära vad som helst (ja, jag vet att det finns en standard för informationsförvaltning men det hjälper inte särskilt mycket här).

För mig framkommer här ytterligare en av de stora bristerna i utredningen, nämligen att man helt missar kopplingen till informationssäkerhet. Ordet ”informationssäkerhet” nämns nio (9!) gånger i hela utredningen och då bara en passant. Inga analyser eller ens resonemang om hur informationssäkerhet och -hantering inklusive arkiv skulle kunna vara två hjul på samma vagn trots att mål, objekt och metoder verkligen behöver samordnas för att bli ett effektivt stöd för verksamheten. Extra tråkigt är det då allt fler arkivarier sett sambandet i praktiken och skulle behöva inriktning och moraliskt stöd för att gå vidare. Samma sak gäller dataskydd.

Men den stora frågan är trots allt att man inte orkar närma sig den stora elefanten: hur ska den alltmer gemensamma informationsarkitekturen tas med in i framtiden? I detta sammanfaller alla de brister som jag tidigare pekat på. Som att det saknas ett arkivteoretiskt resonemang om hur proveniensprincipen ska tillämpas när det inte längre går att urskilja tydliga arkivbildare i en gemensam informationshantering. Som att utredningen inte förmår att föra en diskussion om information istället för det snäva begreppet ”allmänna handlingar”? Som att man inte tar på allvar hur den verkligt bevarandevärda informationen som patientjournaler löper en överhängande risk att försvinna för att lagstiftning tillåter det och för att det saknas metodik för att hand om den. Som att det inte finns en antydan till förslag på hur det långsiktiga bevarandet ska ske organisatoriskt eller tekniskt eller ens hur frågan ska angripas. Som att det inte görs något begreppsmässigt klarläggande gällande ”e-arkiv” och långsiktigt digitalt bevarande. Som att varken utredningen eller Riksarkivet kräver rimliga ekonomiska förutsättningar för att göra det som är nödvändigt, jag menar 288 miljoner under 5 år … Jag skulle kunna fortsätta med denna uppräkning ett bra tag till men skonar de eventuella läsare som orkat följa mig ända hit.

Det är närmast en tradition att arkivutredningar inte kommer fram till något särskilt. Att även Härifrån till evigheten är som en kompass utan visare ska kanske därför inte dömas för hårt. Istället får vi tacka för det redovisande innehållet och söka de nödvändiga lösningarna på organisation och vision för hur det långsiktiga bevarandet av information ska ske på annat håll.
Själv pläderar jag återigen för framtagandet av en arkivstrategi där både vägval görs om vad som ska ses som ingående i arkivområdet och alla de spretiga som frågor som ändå kommer att återstå knyts ihop i en rörelse framåt. Framför allt borde INGEN kunna blunda för att det ännu inte finns någon plan för hur all den information som skapas idag ska bevaras med kvalitet, säkerhet och autenticitet för framtiden. Detta gör att övriga arkivfrågor i min värld framstår som petitesser.

 

 

 

Den opaka e-hälsan eller what are they building in there?

Ett obligatoriskt men till intet förpliktigande uttryck sedan länge är ”transparens”, ibland så flitigt använt att man riskerar att glömma bort hur viktigt det faktiskt är med öppenhet. Öppenheten är central för samhällsklimatet och delaktigheten men också för att kunna tillvarata den samlade kompetensen. I Sverige har vi varit gynnade av den unika institution som offentlighetsprincipen utgjort sedan 1700-talet och som visserligen på många sätt hotas men som fortfarande är ett omhuldat ideal.

Att få insyn i och i förlängningen möjlighet att påverka de stora samhällsfrågorna är det stora värdet med öppenhet för de offentliga verksamheter där offentlighetsprincipen ska tillämpas. Öppenhet är av samma skäl obekvämt för makthavare, det är liksom bekvämare om man får arbeta ostört och göra som man vill. Misstag behöver heller inte upptäckas och att slippa stå till svars för det ena och det andra är naturligtvis behagligt.

Sjukvård rankas som den viktigaste frågan av väljarna. I Sverige är sjukvården offentligt finansierad. Dessa två premisser sammantaget ger att ett stort mått av öppenhet i hanteringen av sjukvårdsfrågor borde vara en självklarhet. Tyvärr är inte så fallet när det gäller e-hälsa. Även för en som tämligen noggrant följt utvecklingen inom området i 25 år är det mycket svårt att få en överblick ens över hur området styrs. Då menar jag i form institutioner och presenterade inriktningar som rör sig på en konkret nivå.

Under de senaste tio åren har jag sett en rörelse där allt större inflyttande över e-hälsan flyttats över från staten och regionerna till SKL. Jag har tidigare skrivit om Inera som ändå fattat beslut om att följa offentlighetsprincipen trots att man inte är skyldig att göra det. Värre är det med SKL som är en arbetsgivarorganisation för regioner och kommuner. Trots den litet udda konstruktionen att man som intresseorganisation tillskjuts mycket stora offentliga medel från staten och man styrs av folkvalda politiker så har inte kravet på öppenhet följt med. Bristen på insyn blir mycket påtaglig när man ser på den beredning för digitalisering som tillsattes efter valet och består av politiker från regioner och kommuner. Det är alltså ett indirekt valt politiskt organ. Uppdraget är stort och spännande för den som är intresserad av e-hälsa:

Beredningen hanterar strategiska frågor om grundläggande gemensamma förutsätt­ning­ar för digital utveckling, exempelvis fråge­ställ­ningar kopplat till effektivisering genom digitalisering, automation och artificiell intelligens (AI), inno­vations- och förändringsledning, data som strategisk resurs, säker informations­hante­ring och nationell digital infrastruktur.

Vidare ska beredningen hantera rättsliga för­utsättningar för en digital samverkande förvaltning. I uppdraget ingår också att följa SKL-koncernens samverkan för att gemensamt stötta med­lem­marna i deras verk­sam­hetsutveckling med stöd av digitalisering.

Inte minst blir man ju sugen på att läsa mer om hur beredningen ska hantera de rättsliga förutsättningar efter SKL kanske inte helt klargörande insats angående molntjänster häromveckan där man inte ens nämner eSams rättsliga uttalande där man avråder från att använda molntjänster. Detta trots att SKL själva uppger följande i sin rapport:

Undersökningen från Radar visar att cirka 50 procent av kommunerna använder Microsoft Office 365 (MS O365) och att 100 procent av de större kommunerna använder denna tjänst.

Hur som helst blev jag intresserad av att ta del av beredningen för digitalisering har för arbete på gång, vilka frågor man ventilerade och vilka insatser som planerades. Detta visade sig vara en stängd dörr för när jag skickade dessa frågor till SKL:s presstjänst (de har ju inget diarium):

Jag skulle vilja  veta:

– vilka handlingar som finns relaterade till Beredningen för digitalisering

– vilka av dessa handlingar som jag kan få ta del av

fick jag följande, kanske väntade svar:

Hej!

Tack för att du kontaktar oss.

SKL är en intresse- och arbetsgivarorganisation och omfattas inte av skyldigheten att lämna ut allmänna handlingar enligt offentlighetsprincipen. Vi kan därmed inte hjälpa dig med din förfrågan.

Du kan läsa mer om SKL och vår organisation på vår webbplats.

Jag gjorde ett par försökt med kommuner och regioner, varav ett par med representanter i beredningen, om de fått in några handlingar men helt utan resultat. Ofrivilligt parafraserar jag Tom Waits gamla låt i huvudet och får en öronmask: what are they building in there?

Men det är inte bara att man faktiskt inte lämnar ut handlingar som är utestängande. När jag läser programmet till den Nationella e-hälsodagen 2019 med underrubriken

En dag. En vision. Oändliga möjligheter.

känner jag en lätt yrsel. Där kommer de usual suspects att prata om ungefär samma saker som vanligt på de otaliga konferenser som går av stapeln (även om jag känner ett visst intresse för den handlingsplan för 2020-2022 som ska diskuteras) medan många av oss andra känner en mycket stor oro för de många alarmerande händelser som tydligt visar att kostnaderna skenar för för e-hälsan och att nya mycket allvarliga säkerhetsbrister hela tiden avslöjas. Nu senast var det Region Skånes upphandling av ett nytt vårdinformationssystem där det avslöjas att det finns stora risker för både patientsäkerhet och integritet:

I rapporten pekas på att rutinerna för riskanalys i arbetet med Skånes digitala vårdsystem, SDV, är för dåliga – informationsklassificeringen görs för sent och avklarade riskanalyser sammanställs inte centralt så att de kan följas upp. Riskanalysverktyget anses dessutom vara svårt att hantera.

Organisationskulturen i sig finns också med bland de identifierade bristerna. Det finns helt enkelt ingen kommunicerad agenda för informationssäkerhet med verktyg för att rapportera brister i arbetet med den nya vårdinformationsplattformen.

Det gör att brister riskerar att förbises och att ”medarbetare genom uppgivenhet både upplever och bidrar till en tystnadskultur”. I sin tur leder det till att oro ventileras i korridorerna vilket leder till ytterligare risker.

Naturligtvis fick jag inte ut någon rapport från Region Skåne när jag efterfrågade den utan ett listigt svar att någon sådan rapport inte fanns diarieförd. Min fråga:

Jag undrar då om en sådan rapport inte finns utan att CS blivit vilseförda eller om den finns men man valt eller missat att diarieföra den?

besvarades med att den sannolikt var ett internt arbetsmaterial.

Det mest deprimerande i detta är att upprepningstvånget. Trots att svenska sjukvården gång på gång råkar ut för stora säkerhetsproblem, trots ett antal liknande projekt i bland annat Finland och Danmark med miljardinvesteringar inte fungerar på ett säkert sätt så är det som denna information inte tränger i genom väggarna på den svenska e-hälsans fort. Att dessa fullkomligt vitala frågor inte tas upp på en konferens om framtidens e-hälsa gör att verkar som vi lever i två olika världar: verkligheten respektive e-hälsans utopia. Detta är inte en bra grund för ett mycket komplicerat samhällsutvecklingsarbete!

Den tystnadskultur som den interna rapporten som CS tagit del av pekar på en mycket central risk, nämligen tystnadskulturen som gör det omöjligt att föra fram risker eftersom man då avfärdas som negativ. För den som arbetar med säkerhet och vet hur betydelsefull en positiv säkerhetskultur är för ett fungerande säkerhetsarbete förstår på djupet hur destruktivt det här förhållningssättet är.

Tyvärr praktiseras samma förhållningssätt även på nationell nivå t.ex. konferensprogram av typen Nationella e-hälsodagen och när en företrädare för SKL på en konferens säger att ”det är mycket enklare att vara emot”, underförstått att resa rationella frågor uppfattas som fientligt. Jag kan möjligen förstå att SKL som lobbyorganisation jobbar med ensidiga marknadsföringsknep även om jag som skattebetalare inte skulle vilja se pengar som så väl behövs i vården gå till detta. Däremot tycker jag att myndigheterna borde nyktra till och kunna föra en diskussion där även nyanser är tillåtna. Jag tror alla kan stå ut med litet av den dåliga stämning som uppstår när folk visar sig ha olika åsikter. För säkerheten i framtidens e-hälsa är det nödvändigt att kunna prata om risker och reducera dem innan de lett till ett nytt och ett nytt och ett nytt haveri.

 

 

 

Inera tredje gången gillt

Efter Kammarrättens utslag dröjde det bara några dagar innan jag fick ut de dokument som jag började jaga med en fråga den 6 augusti. Samtliga tre dokument har mycket marginella maskningar vilket jag återkommer till men som läsaren själv har möjlighet att bedöma eftersom jag lägger ut dem i sin helhet.

Låt oss då se på dokumenten och då först till det mest övergripande: Riktlinje för informationssäkerhet. Detta dokument tycks ha ganska litet att göra med den policy som beslutades i juni och där informationssäkerhetsarbetets övergripande syfte anges vara att

främja digitalisering samtidigt som tillit till informationshanteringen upprätthålls.

De flesta skulle kanske anse att informationssäkerheten ska stödja kärnverksamhetens uppdrag, i det här fallet egentligen kundernas uppdrag, men Inera är sannolikt i detta fall ett offer för SKL:s överideologi där digitalisering är ett dominerande egenvärde.Inte ett ord om  patientsäkerhet för att bara ta en sak som jag personligen anser aningen viktigare än att ”främja digitalisering”.  Den sällsynt korta policyn innehåller ingenting om ansvarsförhållanden eller vem som egentligen ska styra säkerheten, däremot är ett mål att säkerhetsarbetet ska grundas på ”gemensamma regelverk, referensarkitekturer och styrande principer”. Gemensamma för vem och framtagna av vem kan man undra. Policyn ska tillämpas enbart internt och det saknas relation till kunderna trots att Ineras roll som leverantör:

Denna policy gäller all verksamhet och alla medarbetare inom Inera AB, inklusive konsulter, samt all informationshantering. Den ska också tillämpas i projekt och på förvaltningsobjekt.

Policyn ger som jag ser det inte någon verksam strategisk ledning för Ineras säkerhetsarbete i rollen som tjänsteleverantör eftersom ansvar och relationer helt saknas. Hela upplägget med denna helt urvattnade policy känns litet märkligt när Inera dessutom arbetar baklänges och lägger den som olja på vattnet på redan framtagna underliggande dokument. Kanske har det funnits en annan policy tidigare som fadat bort utan kommentar. Låt oss lämna policyn och istället titta på riktlinjen som av naturliga skäl saknar den kopplingar till den beslutade policyn.

Riktlinje för informationssäkerhet Inera

En första observation som reser den alltid lika spännande frågan om kausalitet och korrelation. Av en händelse sammanfaller att jag efterfrågade riktlinjen den 6 augusti med en massiv uppdatering som skedde den 9 augusti när en mängd basala säkerhetsaspekter fördes in i riktlinjen (se revisionshistoriken). Detta var också första gången på tre och ett halvt år som en uppdatering skedde.

Nog om detta lustiga sammanträffande. Inera är är ju en tjänsteleverantör av känsliga informationstjänster till vården och det som först slår mig då jag läser riktlinjen är att detta förhållande är i det närmaste osynligt i riktlinjen på samma sätt som i policyn. Riktlinjen gör ingen distinktion mellan Ineras interna informationssäkerhet och den säkerhet som ska finnas i de tjänster som levereras. Kundernas frånvaro i hanteringen blir närmast självlysande i definitionen av informationsägaren:

För varje viktig informationsmängd ska det utses en informationsägare med uppdrag att hantera alla delar av informationssäkerheten som är relaterade till denna informationsmängd. För de tjänster som Inera tillhandahåller är detta normalt rollen Tjänsteansvarig.

Här man alltså kortslutit systemet så kunderna är inte informationsägare och ska inte heller hantera exempelvis informationsklassning och riskanalys av den information som de faktiskt är ansvariga för. För att göra det extrem tydligt: Inera är inte en vårdgivare utan hanterar andra vårdgivares information i ett antal gemensamma tjänster. Vårdgivarna (offentliga och privata) är enligt lag och föreskrift ansvariga för sin information och att den hanteras på ett säkert sätt – det är bara att läsa HSLF-FS 2016:40 för att få en samlad bild av kraven. Samtidigt skriver man t.ex. under 15.3.1. om en informationsägare som sannolikt är kunden.  Roller och begrepp är alltså inte konsistenta.

Ytterligare ett tecken på att riktlinje inte tjänar Ineras verksamhet särskilt väl är att de ytterst knapphändiga beskrivningar av utveckling som finns i kapitlen 15.1 och 15.2. Detta är alltså riktlinjen där ansvar, principer och arbetssätt bör framgå. Som jag uppfattar det är Ineras huvudsakliga uppdrag att utveckla olika it-lösningar för vården vilket skulle föranleda att ett verksamhetsanpassat säkerhetsarbete skulle ha en tyngdpunkt just i utvecklings- och förvaltningsprocessen av erbjudna lösningar. I Ineras riktlinje är det dock inte så utan det känns snarare som en ytlig genomgång av kraven i ISO 27001 med mycket små modifikationer. Dessutom ingår den i det jag brukar tänka på som ”de öde regelverken” eftersom det inte bara kunderna som saknas utan även i hög grad andra aktörer. Istället upprepas riktlinjen igenom ”Inera ska…” utan att närmare definiera vilken roll inom Inera som ska utföra säkerhetsarbetet. Igenkänningsfaktorn är hög. Jag har sett denna typ av regelverk ett otal antal gånger och ett genomgående drag är att när regelverk är så här diffusa så får de ingen eller ringa säkerhetshöjande effekt. Har ledningen inte pekat ut ansvar (vilket man här inte har i policyn och mycket litet i riktlinjen) så finns inget maskineri som drar runt säkerhetsarbetet.

Att något i denna anonyma text skulle befinnas vara av den art att det går att sekretesslägga med hänvisning till  OSL 18 kap. 8 §:

Sekretess gäller för uppgift som lämnar eller kan bidra till upplysning om säkerhets- eller bevakningsåtgärd, om det kan antas att syftet med åtgärden motverkas om uppgiften röjs och åtgärden avser

  1. byggnader eller andra anläggningar, lokaler eller inventarier,

  2. tillverkning, förvaring, utlämning eller transport av pengar eller andra värdeföremål samt transport eller förvaring av vapen, ammunition, sprängämnen, klyvbart material eller radioaktiva ämnen,

  3. telekommunikation eller system för automatiserad behandling av information,

  4. behörighet att få tillgång till upptagning för automatiserad behandling eller annan handling,

  5. den civila luftfarten eller den civila sjöfarten,

  6. transporter på land av farligt gods, eller

  7. hamnskydd.

kändes märkligt. Än mer så Ineras ursprungliga beslut att hela dokumentet skulle utgöra risk om det spreds. På ett sätt skulle jag ironiskt kunna hålla med: kvaliteten på dokumentet indikerar en klar brist på styrning av säkerhetsarbetet vilket kan naturligtvis är en stor risk om det framkommer. Men det som nu maskats i dokumentet är endast sex passager där man mitt i den i övrigt så generella beskrivningen av allmänna säkerhetsåtgärder tydligen placerat in var datalagring sker samt tekniska beskrivningar av bland annat segmentering. Om dessa uppgifter är på detaljnivå har de knappast i riktlinjen att göra eftersom den då inte går att sprida i en vidare krets internt. Även detta är att starkt skäl att se över regelverket och styrningen i stort.

Om vi sedan tittar på de två övriga dokument jag fått ta del av:

Anvisning för informationsklassificering Inera
Anvisning för informations- och IT-säkerhet för medarbetare inom Inera

så går maskningarna i dessa sammantaget att räkna på ena handens fingrar. Förutom att även dessa i huvudsak saknar anpassning till Ineras egentliga behov av styrning och även till SKL:s flaggskepp KLASSA är det svårt att se vad som föranlett Ineras rädsla för att sprida dem. Hela hanteringen av min begäran utlämnande av handlingar framstår som fånig och okunnig i mina ögon men har det goda med sig att det kanske hindrar andra från det överutnyttjande av 18.8 som jag tycker mig sett tecken på.

Min sammantagna bild är att Inera saknar ett sammanhängande systematiskt informationssäkerhetsarbete och att den styrning som finns inte är är inriktad på rätt målbild som till exempel att ge kunderna möjlighet att styra sin egen säkerhet eller på patientsäkerhet. Ingenstans framgår att den informationsklassning som kunderna gör av sin information ger utslag i Ineras leverans, inte heller att Inera har ett kunderbjudande som är transparent och flexibelt. Jag är den första att erkänna att Ineras uppdrag är mycket komplicerat men just därför skulle det kännas betydligt tryggare om det gick att urskilja ett stort engagemang för säkerhetsfrågor som skulle ge både kunder och allmänheten i stort en anledning att hysa en stor tillit till Inera.

Särskilt tänker jag på detta när nu Inera satt igång ett nytt projekt om säker digital kommunikation. Visserligen står det ”säker” i rubriken men vilket stöd har projektet i Ineras LIS för att uppnås denna säkerhet? Finns det en risk att detta projekt hamnar i samma situation som den utredning om säker it-drift som kritiserades så hårt av MSB när det gäller säkerhetsaspekterna (trots att det är se att MSB bidrog på ett så särskilt strukturerat sätt)? Hälso- och sjukvård är ju i högsta grad en samhällsviktig verksamhet som borde få MSB:s mest djuplodande intresse när en ny nationell lösning ska tas fram.

Möjligen har jag helt fel. Kanske är säkerheten i Ineras verksamhet mycket bättre än vad de styrande dokumenten ger intryck av. Men samtidigt är det svårt att föreställa sig ett systematiskt informationssäkerhetsarbete där det inte finns en tydlig dokumenterad styrning. Självklart borde denna styrning omfatta mer än Inera – jag ska väl inte tjata om en nationell styrmodell á la Normen en gång till… Däremot vore det mycket önskvärt med en större granskning av samtliga större aktörer inom hälso- och sjukvård både för att bedöma den reella säkerheten och för att se vilka samordningsbehov som finns. Med detta som utgångspunkt går det sedan att börja skissa på den gemensamma styrmodellen. I väntan på detta mitt utopiska tillstånd är en rimlig inriktning att IVO koncentrerar sin tillsyn utifrån NIS-direktivet främst på dessa stora aktörer eftersom de har den största påverkan på vår gemensamma säkerhet.

 

 

 

Kammarrätten har fällt sitt utslag

Den minnesgode kommer ihåg att jag bett att få se Ineras ledningssystem för informationssäkerhet, blivit nekad och hänvisad till Kammarrätt för att framföra mina besvär över detta, förloppet finns beskrivet här. Själv måste jag medge att jag fann Ineras agerande aningen besynnerligt. Om det nu finns styrande dokument för informationssäkerheten vid sidan om den A4 som utgör policy (vilket Inera hävdar) så förefaller det märkligt att varje ord i dessa dokument skulle utgöra en sådan betydande risk för Ineras säkerhet att de inte kan lämnas ut. För den som jag som arbetat med utlämnande av allmänna handlingar är väl bekant med rutinen att maska dokumenten så att de delar som bedöms som sekretesskänsliga inte kan läsas – ytterst sällan är dokumenten i sin helhet känsligt. Kanske har inte Inera upparbetat rutinen för maskning än men efter att ha läst Kammarrättens utslag så är det nog dags att komma igång med det nu.

Kammarrättens beslut

 

Jag är naturligtvis nöjd med utslaget och väntar nu på mina handlingar. Samtidigt väcker ju historien med Inera en hel del tankar. En är att vi alla är betjänta av största möjliga öppenhet om de regler gällande säkerhet som finns olika organisationer. Vi behöver lära av varandra och vi behöver närma oss mer av praxis både på branschnivå och i samhället i stort. Ett överdrivet hemlighetsmakeri skapar en negativ säkerhetskultur och förhindrar processen mot en nödvändig samsyn om hur styrningen av säkerhet bör utformas.

Ineras förhållningssätt pekar också på ett annat mer praktiskt problem, nämligen vikten av att utforma sin hierarki av styrande dokument rätt. Om man, som Inera tycks ha gjort, blandar principer,ansvarsfördelning och andra faktorer som bör kunna vara helt öppna i random organisation med detaljbeskrivningar av säkerhetslösningar, risker och sårbarheter har man ju skapat ett regelverk som knappast går att sprida ens internt och ännu mindre till externa parter som kunder.

En betydligt mer positiv erfarenhet var det att begära ut samma information hos eHälsomyndigheten där jag inte bara fick ta del av de handlingar som på ett övergripande sätt styr säkerhetsarbetet utan även en bild av de handlingar som är av mer känslig karaktär. Tyvärr bekräftades dock min bild av bristande styrning av säkerheten inom vården då två av de stora aktörerna inom svensk e-hälsa inte har ett gemensamt regelverk. Detta är en mycket stor fråga som måste lösas innan vi kan säga att vi är på väg mot en säker e-hälsa.

Prick-till-prick-teckning på samhällsnivå

Jag läste en så fantastisk metafor i Jennifer Clements roman Gun love. Romanen handlar Pearl och hennes mamma Margot som bor i baksätet i en bil. Miljön är den där sortens misär som bara finns i USA med hemlösa människor som helt saknar riktning i sitt liv. Redan tidigt i boken finns följande passus:

Mamma och jag flyttade in i Mercuryn när hon var sjutton och jag var nyfödd. Så den bilen, som stod i utkanten av en trailerpark mitt i Florida, var det enda hem jag kände till. Livet var en prick-till-prick-teckning och vi bekymrade oss inte stort om framtiden.

Bilden av prick-till-prick-teckningen hakade fast i mig och jag fick en stark känsla av hur de här romanfigurerna levde sitt liv. Så är det ju ofta med god litteratur, den lever vidare inom en. Men hjärnan är en märklig sak och vips började jag associera metaforen med hur jag uppfattar digitalisering och informationssäkerhet på samhällsnivå, som prickar till synes utan samband. Finns det en dold teckning under prickarna så kan i alla fall inte jag se den.

Att jag började tänka på det berodde på den nya rapport som regeringens uppdrag tagits fram av sju myndigheter om säkert och effektivt informationsutbyte i offentlig förvaltning . Lustigt nog var varken MSB eller någon annan myndighet med säkerhetsprofil bland de sju myndigheterna trots att uppdraget rörde just säkert informationsutbyte. Detta var säkert en bakgrund till de slängar som slungades från MSB på sociala medier men efter en genomläsning av rapporten får det sägas att de avsnitt som skrivits om säkerhet knappast skrivits av någon med erfarenhet från detta område. Att Försäkringskassan är en av de myndigheter som ingått i arbetet med att ta fram rapporten känns aningen illavarslande när man läser budgetproppen där det står om Försäkringskassans allt större roll som intern it-leverantör i staten:

Säker och samordnad it-drift Försäkringskassan har påbörjat anslutning av sex myndigheter inom regeringsuppdraget att er- bjuda samordnad och säker statlig it-drift (Fi2017/03257/DF). Intresset är stort och flera statliga myndigheter har inlett dialog med Försäkringskassan med avsikt att ansluta sin it- drift.

Förhoppningsvis är det andra som ska stå för den leveransen än de som skrivit om säkerhet i rapporten.

Ändå är rapporten positiv i andra avseende, främst genom att man pratar om en gemensam digital infrastruktur. Detta är något jag försökt driva i olika sammanhang utan påtaglig effekt. Jag vill självklart inte framhäva min egen roll utan bara säga att detta är en inriktning som tidigare saknats på ett mer uttalat sätt och som jag tror i sig har en tydligt säkerhetshöjande effekt. Att notera detta positiva anslag känns viktigt även om den stora bilden av infrastrukturen inte kan anas och på sin höjd tre prickar sammanfogats.

Problemet är inte endast att det tycks sakna en ritning för utveckling av digitaliseringen utan även för samhällets informationssäkerhet. MSB:s handläggare (ja, jag vet att hen liksom många andra tjänstemän friskriver sig på sociala medier genom att hävda att de ”twittrar som privatperson” – ett oskick jag beskrivit här) ansåg att rapporten var ett ”hafsverk” och att rapportförfattarna inte tagit till sig MSB:s synpunkter. Nyfiken som jag efterfrågade jag då de diarieföra synpunkter som det hänvisades till och fick ut detta mail:MSB 2019-09569-1 Kommentarer på slutrapport Uppdrag om säkert och effektivt informationsutbyte

Det avslöjar inte mycket av ett eventuellt infrastrukturellt synsätt. Informationssäkerhetsområdet tycks alltså ha sin egen mycket ofullständiga prick-till-prick-teckning. Liksom arkivväsendet som även det har en stor betydelse för den offentliga informationshanteringen.

Sammantaget så är planeringen av vår gemensamma informationshanteringsinfrastruktur uppenbart fragmentiserad och där olika myndigheter ritar sina prickar oberoende av varandra trots att de åtminstone borde vara i samma teckning. I detta dystra scenario är det inspirerande att snegla österut. I Finland har nämligen antagits en ny lag med om informationshantering inom den offentliga förvaltning. I propositionen som låg till grund för lagen ges inriktningen:

Det är fråga om en allmän lag som ska reglera informationshanteringen inom den offentliga sektorn. Lagen avses gälla all informationshantering som sker inom myndigheternas verksamhet. Genom lagen säkerställs en enhetlig förvaltning och en informationssäker behandling av myndigheternas informationsmaterial i syfte att genomföra offentlighetsprincipen. Dessutom har lagen bestämmelser om elektronisk överföring av information mellan olika myndigheters informationssystem. Genom regleringen effektiveras myndigheternas informationshantering så att myndigheterna kan tillhandahålla förvaltningskunderna sina tjänster på ett kvalitativt sätt som är förenligt med god förvaltning och kan sköta sina uppgifter på ett resultatgivande sätt. Syftet med lagen är att främja också interoperabiliteten mellan informationssystemen och informationslagren.

Lagen träder i kraft vid årsskiftet och innebär också att en informationshanteringsnämnd ska säkerställa samordningen mellan informationshantering (inklusive arkiv), digitalisering och informationssäkerhet. I dagarna har även en ny cyberstrategi antagits.

För mig förefaller denna ordning mycket ändamålsenlig särskilt om det även blir ett gemensamt myndighetsansvar. I Sverige skulle det kunna kopieras så att DIGG får skärpa till sig och samtidigt överta ansvaret för samhällets informationssäkerhet och se till att det blir integrerat i hela digitaliseringensprocessen. De myndigheter som redan idag framför allt är intresserade av internationella antagonistiska hot och cyberkrig kan fortsätta med detta med gott samvete. På detta sätt skulle prickarna åtminstone fyllas i på samma teckning.

Jag vet att detta är en överdriven förenkling och att det inte går att dra snörräta linjer mellan olika säkerhetsområden men jag tror vi måste komma tillbaka till en situation där normallägets funktionalitet respekteras och där bygget av en gemensam infrastruktur kan ske med god säkerhet.

 

 

 

Integritet, äganderätt och digital valfrihet

Ibland behöver vi ta ett steg tillbaka och betrakta en till synes fast definierad problemformulering på litet avstånd för att se om det är ett tillräckligt bra sätt att förstå en viktig fråga eller om det kanske finns andra sätt att betrakta den. Jag ska nu göra ett försök att vidga frågan om integritet i förhållande till vårdinformation i synnerhet men även till den information som skapas och bearbetas i offentliga verksamhet i allmänhet.

När vi pratar om den personliga integriteten idag handlar det i de flesta sammanhang om teknik som åtkomst till personuppgifter i it-system eller övervakningskameror. Jag tror att detta är en alldeles för begränsade problemformulering när vi ser hur personuppgifter är det högoktaniga bränslet för multinationella företag som jag skrivit om här. Samma fenomen beskrivs i den mycket välförtjänt hyllade och lästa Konsulterna av Anna Gustafsson och Lisa Röstlund.

Vår nuvarande inställning bygger på att obehörig åtkomst till uppgifterna skulle skada vårt anseende, att intima uppgifter om oss själva skulle bli kända för ”fel” personer. Det är en rättighetstradition som bygger på tanken att vi har en rätt till en privat sfär och även till att kontrollera ”bilden” av oss själva. Det är i min mening en alldeles rimlig uppfattning att känsliga uppgifter om oss endast ska vara åtkomliga för de som verkligen behöver dem, t.ex. för att ge oss rätt vård. Det är också en inriktning som fungerat i den svenska vården sedan patientjournalerna övergick från att vara räkenskapsmaterial till att bli stöd för vård och behandling. En snabb och hårdragen exposé skulle kunna se ut som följer. I och med att den svenska vården till sin absoluta merpart varit offentligt finansierad och offentligt utförd under i princip hela 1900-talet har vårdinformationen varit allmänna handlingar som ägts av vårdgivaren och i väsentliga delar bevarats i och med att sjukvårdshuvudmännen (landsting/regioner) har åtagit sig att bevara alla läkarförda journaler för all framtid. Förutom att detta förhållande har gynnat patienterna som kunnat få vård grundad på vederhäftig information har det gett Sverige ett unikt forskningsläge med tillgång till en hel befolknings data om hälsa och vård i ett välordnat system.

Förutom att det är lätt glömma bort att vi faktiskt haft mycket väl utvecklad hantering av patientdata i över ett sekel är det också lätt att glömma bort att detta bygger på ett samhällskontrakt som kan ses som en del i den svenska välfärdsstaten. Ungefär: högkvalitativ vård och en avancerad forskning finansieras via skatten och dina vårduppgifter används för att ge dig själv och andra patienter bättre vård. Förutsättningen för kontraktet var 1) att patientuppgifterna användes för etiskt prövad akademisk forskning och 2) att patientuppgifterna omgavs med sekretess och att det fanns hög grad av spårbarhet i vilka som tagit del av dem. Jag vet att så fort man säger eller skriver att patientuppgifterna omgavs med höga krav på sekretess så kommer det alltid ett antal människor rusande och återger hårresande berättelser från gamla journalarkiv. Min utgångspunkt är vad lagstiftning i form av bland annat patientjournallagen betonade och studier som gjorts av journalhantering under 60-80-talet samt de mycket konkreta  erfarenheter jag har av praktisk journalhantering samt sekretessmedvetande från ett antal år i olika typer av vårdverksamheter.

Personligen har jag tycket att detta varit ett bra samhällskontrakt som bygger på ett stort mått av tillit och har ofta argumenterat emot dem som menat att patienten själv ska äga sin journal eftersom det, enligt mig, skulle leda till stora nackdelar både för patienten och för samhället. Tyvärr har jag varit tvungen att börja ompröva detta efter de senaste decenniernas digitalisering inom sjukvården. Om vi tar det aktuella exemplet Region Stockholms Centrum för hälsodata liksom NKS intention att lämna ut stora mängder patientdata via BCG till amerikanska företag måste vi kanske övergå till ett annat sätt att se på integritet. Kanske måste vi lämna den traditionella svenska uppfattning och se på integritet som en äganderätt vilket är ett synsätt som varit etablerat i mer konservativa tanketraditioner som exempelvis Nozick med efterföljare. Det skulle i detta alltmer kommersialiserade sammanhang där personuppgifter blivit guldet eller oljan   kunna tolkas som att din äganderätt av dig själv också innebär att du också äger den eftertraktade resursen som dina personuppgifter utgör.  Om du äger uppgifterna måste också ha rätten att avgöra hur de får användas utöver exempelvis vad vården kräver.

Detta är ett synsätt som går emot den rådande trenden inom svensk sjukvård där sjukvårdspolitiker inte ens tycker de mycket begränsade möjligheter till samtycken ska få finnas kvar utan hanteringen av personuppgifter ska ske långt över huvudet på patienterna. En randanmärkning är att sjukvårdspolitiker och SKL inte riktigt tycks acceptera gällande lagstiftning som den gällande spärrar, integritet eller molntjänster. Istället för att inrätta sina verksamheter så att de följer lagstiftningen lägger man all energi på att argumentera för att lagstiftningen ska ändras. Det känns inte som allt igenom konstruktivt förhållningssätt och min uppfattning är att detta är en delförklaring till den haltande digitaliseringen av vården. I ovan refererade debattartikel  förefaller inriktningen vara att patientuppgifterna generellt liksom i centret för hälsodata få användas för random ändamål för var går gränserna för ändamål som exempelvis life science, kvalitetsutveckling och uppföljning? Det är aningen förbryllande att de politiker som kallar sig liberala tycks minst intresserade av liberala värderingar och individers rättigheter utan har en närmast kinesiskt touch i synen på relationen mellan individ, kapital och staten. När jag läser om Centrum för hälsodata tänker jag också hur Region Stockholm ständigt upprepade bristande affärssinne som i utförsäljningar av allmän egendom till totala underpriser. Nu ska man sälja hälsodata till ”självkostnadspris”. Varför ska kommersiella företag inte betala marknadspris för den råvara som personuppgifterna utgör?

Även om det i mina ögon är en olycklig utveckling inte minst för den medicinska forskningen vill jag ändå pröva tanken på hur det skulle se ut om vi ägde vår egen patientinformation. Det finns liksom ingen fördel för svenska patienter att lämna data till amerikanska försäkringsbolag eller som stöd till företagen i det som Zuboff kallar den multinationella övervakningskapitalismen. Om vi ska ersätta tillitsbaserade relationer med kommersiella måste detta ske på ett sätt som inte bara gynnar den ena parten. Vi skulle kunna laborera med möjligheten till en digital valfrihet där man som patient fick en äganderätt till sina patientuppgifter och därmed kunna bestämma över hur de får hanteras. Exempelvis kryssa i ett formulär med alternativ som

Mina patientuppgifter får användas:

  • endast för min vård, den uppföljning är lagstadgad och tydligt definierad administrativ hantering
  • utöver ovanstående även akademisk forskning där resultaten kommer samhället till del
  • utöver ovanstående även akademiskt forskning i kommersiell regi
  • för kommersiellt bruk oavsett bransch

Till detta kan läggas verklig anonymisering som alternativ på samtliga val. Patienten kanske ska erbjudas möjligheten att få ta ut ersättning då personuppgifterna säljs till kommersiella aktörer och då inte ”självkostnadspris” utan ett reellt pris.

Detta tror jag vore ett bra sätt att återföra makten till patienten, sätta till press på sjukvårdshuvudmännen att ta frågan på allvar och att utveckla privacy by design vilket ju är ett lagkrav för de som glömt bort det. Ett annat resultat vore möjligen också att patientföreningar som representerar patientens olika intressen kunde bildas och utgöra ett komplement till de patientföreningar vars oberoende kan ifrågasättas.  En ny sorts patientföreningar skulle kunna bli förhandlingspartners och förhandla fram bättre priser än självkostnadspris för råvaran. Tanken svindlar för vilka möjligheter som skulle kunna öppnas. Resonemanget om en digital valfrihet för individen kan med fördel även tas in i diskussionerna om öppna data.

Jag är inte säker på om jag håller med mig själv men jag tror vi som verkligen är intresserad av den personliga integriteten måste börja fundera på hur vi ska kunna hitta verktygen i en ny tid.