sou · GVB348 · 2008-01-01 00:00:00 — Innehavare av godkännande skall enligt 9 a § läkemedelslagen som ett led i säkerhetsövervakningen av det läkemedel som god- känts registrera, lagra, utvärdera och rapportera information rörande biverkningar av läkemedlet i enlighet med vad som före- skrivs av regeringen eller den myndighet regeringen bestämmer (). I 4 kap. 2 § läkemedelsförordningen åläggs den som innehar ett godkännande för försäljning av ett läkemedel att föra register med alla uppgifter om misstänkta biverkningar av läkemedlet som förekommit i Europeiska ekonomiska samarbets- området eller i tredje land och som kommit till innehavarens kännedom. Innehavaren skall rapportera alla sådana biverkningar till . De redovisade skyldigheterna för innehavare av godkännanden gäller även den som innehar en registrering av ett traditionellt växtbaserat läkemedel (se 2 c § läkemedelslagen och 1 kap. 3 § läkemedelsförordningen) eller innehar ett erkännande av ett godkännande eller en sådan registrering (se 6 c § läkemedels- lagen). Däremot omfattas inte den som beviljats en s.k. licens enligt 5 § tredje stycket läkemedelslagen. har vidare i 4 kap. 7 § läkemedelsförordningen getts bemyndigande att meddela ytterligare föreskrifter om registrer- ing, lagring, utvärdering och rapportering av information om biverk- ningar av läkemedel. Detaljbestämmelserna i direktiven om vilka uppgifter en innehavare av ett godkännande skall rapportera till verket anges i föreskrift (LVFS 2001:12) om säkerhetsövervakning av läkemedel. I 6 § i verkets föreskrift anges att bl.a. att uppgifter om de biverkningar som skall rapporteras till verket skall lämnas i form av en rapport i enlighet med riktlinjerna i volym 9 i publikationen Läkemedelsregler inom Europeiska gemenskapen. Rapporterna skall enligt 6 a § skickas elektroniskt till verket om inte annat i undantags- fall har överenskommits med verket. Innehavaren av godkännandet för försäljning av ett humanläkemedel skall enligt 7 § 1.Registrera och rapportera samtliga misstänkta allvarliga biverk- ningar som inträffar i och som anmälts av hälso- och sjuk- vårdspersonal. Rapporteringen skall omgående ske till Läkemedels- verket och inte senare än15 dagar efter det att anmälan mottagits. 2.Registrera och rapportera samtliga övriga i inträffade misstänkta allvarliga biverkningar vilka innehavaren rimligtvis kan förväntas ha kännedom om och som uppfyller rapporteringskraven enligt riktlinjerna i volym 9. Rapporteringen skall omgående ske till Ytterligare reglering av behandling av personuppgifter hos och inte senare än efter det att informa- tionen mottagits. 3.Tillse att samtliga misstänkta allvarliga och oförutsedda bi- verkningar samt all misstänkt överföring av smittämnen via läke- medel som inträffar i tredje land omgående, och inte senare än efter det att informationen mottagits, rapporteras i enlig- het med riktlinjerna i volym 9 så att den finns tillgänglig för Euro- peiska läkemedelsmyndigheten och . 4.Tillse att samtliga misstänkta allvarliga biverkningar som inträffar inom det Europeiska ekonomiska samarbetsområdet rapporteras till . Detta gäller för läkemedel där agerar som referensmed- lemsstat, även innefattande sådana läkemedel som omfattas av Rådets direktiv /22/EEG av om tillnärmning av medlemsstaternas åtgärder vad gäller meddelande av försäljnings- tillstånd för högteknologiska läkemedel på marknaden, särskilt sådana som framställts genom bioteknologi. Innehavaren av godkännandet för försäljning av ett veterinär- medicinskt läkemedel skall enligt 8 § i föreskrifterna vidta nedan angivna åtgärder: 1.Registrera och rapportera samtliga misstänkta allvarliga biverk- ningar hos djur och biverkningar hos människor som inträffar i och som kommit till innehavarens kännedom eller vilka denne rimligtvis kan förväntas ha kännedom om. Rapporteringen skall omgående ske till och inte senare än efter det att informationen mottagits. 2.Tillse att samtliga misstänkta allvarliga och oförutsedda biverk- ningar hos djur, misstänkta biverkningar hos människor samt all misstänkt överföring av smittämnen via läkemedel som inträffar i tredje land omgående, och inte senare än efter det att informationen mottagits, rapporteras i enlighet med riktlinjerna i volym 9 så att den finns tillgänglig för Europeiska läkemedelsmyndig- heten () och . 3.Tillse att samtliga misstänkta allvarliga biverkningar hos djur och biverkningar hos människor som inträffar inom det Europeiska ekonomiska samarbetsområdet rapporteras till . Detta gäller för läkemedel där agerar som referensmedlems- stat, även innefattande sådana läkemedel som omfattas av Rådets direktiv /22/EEG. Innehavaren av godkännandet för försäljning skall enligt 9 § lämna rapport över samtliga biverkningar till i Ytterligare reglering av behandling av personuppgifter hos form av en periodisk säkerhetsrapport. Rapporten skall, såvida inte andra krav har fastställts som villkor för godkännandet för för- säljning eller fastställts senare i enlighet med riktlinjerna i volym 9, lämnas antingen på begäran eller periodiskt på följande sätt: var sjätte månad från det att godkännandet för försäljning beviljades fram till att läkemedlet släpps ut på marknaden, var sjätte månad efter det att läkemedlet första gången släpptes ut på marknaden samt en gång . Därefter skall den periodiska säkerhetsrapporten överlämnas eller på begäran. Härutöver skall en säkerhetsrapport lämnas med ansökan om förnyat god- kännande för försäljning i enlighet med dokumentationskraven i föreskrifter och allmänna råd (LVFS 1995:8) om godkännande av läkemedel för försäljning m.m. samt Läkemedels- verkets föreskrifter (LVFS 2006:3) om traditionella växtbaserade läkemedel för humant bruk. Den periodiska säkerhetsrapporten skall innehålla en vetenskaplig utvärdering av nyttan och riskerna med läkemedlet. Det skall framgå fullständiga uppgifter om försälj- ningsvolymen för läkemedlet samt de uppgifter om förskrivnings- volymen som innehavaren av godkännandet för försäljning har tillgång till. Enligt 9 a § kan innehavaren av godkännandet för försäljning an- söka om ändring av de i 9 § angivna rapporteringsperioderna enligt det förfarande som anges i Kommissionens förordning (EG) nr 1084/2003 av om granskning av ändringar av villkoren för ett godkännande för försäljning av humanläkemedel och veterinärmedicinska läkemedel vilket utfärdats av en behörig myndighet i en medlemsstat. Innehavaren av godkännande eller registrering är enligt 9 a § läkemedelslagen personuppgiftsansvarig för sådana behandlingar av personuppgifter som han eller hon utför som ett led i säkerhets- övervakningen. De grundläggande nationella lagliga grunderna för åligganden för hälso- och sjukvårdspersonal respektive veterinärer om skyldighet att rapportera misstänkta biverkningar finns dels i 6 § lagen om hälsodataregister, dels i 7 § lagen (1994:844) om behörighet att utöva veterinäryrket. Dessa bestämmelser torde vara att betrakta som sekretessbrytande enligt 14 kap. 1 § sekretesslagen. har med stöd av 4 kap 6 § läkemedelsförord- ningen meddelat tillämpningsföreskrifter om uppgiftsskyldigheten för den som bedriver verksamhet inom hälso- och sjukvården och Ytterligare reglering av behandling av personuppgifter hos veterinärer i 10–11 §§ föreskrift (LVFS 2001:12) om säkerhetsövervakning av läkemedel. Enligt 10 § skall den som bedriver verksamhet inom hälso- och sjukvården till Läkemedels- verket rapportera samtliga allvarliga biverkningar, samtliga oförutsedda biverkningar samt sådana biverkningar som synes öka i frekvens. Rapporteringen kan även ske via regionala biverkningscentra. Enligt 11 § skall veterinärer till Läke- medelsverket rapportera samtliga allvarliga biverkningar hos djur, samtliga oförutsedda biverkningar hos djur, samtliga biverk- ningar hos människor samt sådana biverkningar som synes öka i frekvens hos djur. Rapporteringsskyldigheten omfattar förutom biverkningar av veterinärmedicinska läkemedel även motsvarande biverkningar avseende humanläkemedel i veterinärmedicinsk an- vändning. Rapporteringsskyldigheten för den som bedriver hälso- och sjuk- vård eller är veterinär är således inte begränsad till enbart i godkända eller registrerade läkemedel, utan omfattar även läke- medel som omfattas av ett godkännande eller en registrering som erkänts i och s.k. licensläkemedel. Dessutom omfattas läke- medel som godkänts i den s.k. centrala proceduren för god- kännande av läkemedel. De uppgifter som rapporteras in till från hälso- och sjukvården respektive veterinärer förs in i ett hälsodataregister enligt 1 § lagen om hälsodataregister som enligt 4 kap. 5 § läkemedelsförordningen får föra för att tillgodose behovet av uppgifter för de ändamål som anges i 9 § läkemedelslagen samt för framställning av statistik och för forskning. En inte obetydlig andel av de behandlingar av personuppgifter som skall utföras i systemet för säkerhetsövervakning torde dock inte ske i hälso- dataregister, i den meningen att uppgifterna behandlas då de fort- farande är beståndsdelar i den strukturerade samling av uppgifter i registerform som hälsodataregistret utgör. Författningstexten i 4 kap. 5 § läkemedelsförordningen har således utformats med utgångs- punkt i det förhållandet att systemet för säkerhetsövervakning är en vidare verksamhet än vad som kan utföras i ett enstaka register. I artikel 102 i humanläkemedelsdirektivet anges att medlems- staterna skall se till att lämplig information som samlas in med hjälp av detta system överlämnas till de andra medlemsstaterna och till myndigheten. Informationen skall registreras i den databas som avses i artikel 57.1 andra stycket l i förordning (EG) nr 726/2004 Ytterligare reglering av behandling av personuppgifter hos och skall ständigt vara tillgänglig för alla medlemsstater och utan dröjsmål för allmänheten. För veterinärmedicinska läkemedel finns motsvarande bestämmel- ser, som även inbegriper rapportering av biverkningar hos människor, i artikel 73 i det veterinärmedicinska direktivet. åläggs i 2 kap. 1 § läkemedelsförordningen att utföra det som enligt ovan nämnda artiklar ankommer på medlems- staterna att göra. I 2 kap. 2 § läkemedelsförordningen finns en sekretessbrytande bestämmelse som innebär att utlämnande enligt 1 § får ske även i fråga om uppgifter för vilka det gäller sekretess enligt sekretesslagen i den utsträckning skyldig- heter innebär att lämna uppgifter till a)Europeiska gemenskapernas kommission, b)Europeiska läkemedelsmyndigheten, c)Europeiska gemenskapernas kommitté för humanläkemedel, d)Europeiska gemenskapernas kommitté för veterinärmedicinska läkemedel, e)Europeiska gemenskapernas kommitté för växtbaserade läke- medel, f)myndigheter i annan stat i Europeiska ekonomiska samarbets- området, g)en sådan samordningsgrupp som avses i artikel 27 i Europa- parlamentets och rådets direktiv /83/EG, eller i artikel 31 i och rådets direktiv /82/EG, eller h)en mellanfolklig organisation. De personuppgifter som kommer att lämnas ut till följd av dessa bestämmelser kommer dock ofta att vara avidentifierade. har, som tidigare berörts, upprättat databasen för att registrera rapporterade biverkningar. Biverkningsrapporter från såväl kliniska prövningar som spontanrapporter ska registreras. EudraVigilance, består av två moduler EV CT (EudraVigilance Clinical Trial Module) respektive EV PM (EudraVigilance Post- Marketing Module), för att registrera rapporterade biverkningar. I EV CT registreras biverkningsrapporter från kliniska prövningar, s.k. SUSARs (misstänkta, oförutsedda, allvarliga oönskade reaktioner) och i EV PM registreras spontanrapporter. Databasens innehåll är konfidentiellt och endast åtkomligt för behöriga läkemedelsmyndigheter inom EU, och . Respektive sponsor kommer dock att kunna granska egna inrapporterade biverkningsrapporter. Ytterligare reglering av behandling av personuppgifter hos 5.3.10Personuppgiftslagen och behandling av personuppgifter Personuppgiftslagen är naturligtvis tillämplig i fråga om de behand- lingar av personuppgifter som förekommer hos eller hos en innehavare av ett godkännande. Således gäller de grundläggande kraven på behandling av personuppgifter som anges i 9 § personuppgiftslagen även för exempelvis de behandlingar av personuppgifter som äger rum som ett led i säkerhetsövervak- ningen. Vid tolkningar som innebär att det föreligger en konflikt mellan bestämmelserna i lagen och i förordningen (EG) 726/2004 torde det dock vara de sistnämnda bestämmelserna som har före- träde. I de fall av personuppgiftsbehandling hos verket som berörts ovan har emellertid ändamålen för behandlingarna fastställts i olika författningar såsom läkemedelslagen och läkemedelsförordningen och de är där formulerade som åligganden för verket att fullgöra vissa saker. Eftersom det av 3 § personuppgiftslagen följer att det är den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen som är personuppgiftsansvarig har det i 4 kap. 4 § andra stycket läkemedelsförordningen tagits in en bestämmelse om att är personuppgifts- ansvarigt för behandling av personuppgifter som verket utför för att fullgöra sådan skyldighet som åligger verket enligt läkemedels- lagen eller läkemedelsförordningen. Omfattningen av behandlingarna hos verket vad avser vilka upp- gifter som samlas in och behandlas och hur de behandlas styrs även de av läkemedelslagen eller läkemedelsförordningen, bl.a. genom hänvisning till de av kommissionen beslutade riktlinjerna i Volym 9. Bestämmelsen i 9 § i) personuppgiftslagen om att personupp- gifter inte får bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen är tillämplig i verkets verksamhet. Bestämmelsen är emellertid underordnad arkivlagens (1990:782) huvudregel om att allmänna handlingar skall bevaras såvida det inte finns generella eller myndighetsspecifika gallrings- beslut. Personuppgiftslagens bestämmelser om information till den registrerade i 23–26 §§ gäller naturligtvis också i fråga om Läke- medelsverkets behandling om personuppgifter. Till den del behand- lingarna regleras av lag eller annan författning gäller dock undan- taget i 24 § andra stycket personuppgiftslagen. Ytterligare reglering av behandling av personuppgifter hos bestämmelserna i personuppgiftslagen om rättelse, säkerhet, över- föring till tredje land, skadestånd och straff vid behandling av personuppgifter. Av de ovan redovisade bestämmelserna följer att såväl Läke- medelsverket som innehavare av godkännande för försäljning har en rad skyldigheter vad avser insamling, registrering, analys och rapportering av uppgifter om personer som drabbats av biverk- ningar. Dessa åligganden förutsätter även att de till stor del bibehåller den dokumentation av biverkningar som de upprättat under i princip hela den tid då försäljning av läkemedlet är aktuell. En innehavare av ett godkännande skall således vara skyldig och kapabel att fullgöra analys- och rapporteringsuppgifter dels i anledning av uppgifter om biverkningar som denne erhållit från exempelvis allmänheten eller sjukvården i de fall uppgifterna i sig påkallar detta, dels i anledning av en begäran från Läkemedels- verket. En sådan begäran kan innebära skyldighet att vidta mer eller mindre omfattande uppföljningsåtgärder med inriktning på använd- ningen av det godkända läkemedlet. Vidare framgår att dessa skyldigheter till stor del skall fullgöras genom eller på annat sätt förutsätter automatiserad behandling av personuppgifter, som dessutom i många fall är att beteckna som känsliga personuppgifter vid en tillämpning av personuppgiftslagens regler. Enligt 13 § personuppgiftslagen är personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, eller medlemskap i fackförening samt sådana person- uppgifter som rör hälsa eller sexualliv att beteckna som känsliga personuppgifter. Utgångspunkten i 13 § personuppgiftslagen är att automatiserad behandling av känsliga personuppgifter inte är tillåten. Den bestämmelse om undantag från förbudet mot behandling av känsliga personuppgifter som ligger närmast till hands att åberopa till stöd för en sådan behandling som sker som ett led i säkerhets- övervakningen är 18 § i personuppgiftslagen. Känsliga personupp- gifter får enligt 18 § första stycket behandlas för hälso- och sjuk- vårdsändamål, om behandlingen är nödvändig för a) förebyggande hälso- och sjukvård, b) medicinska diagnoser, c) vård eller behand- ling, eller d) administration av hälso- och sjukvård. Räckvidden av de redovisade undantagen i 18 § är inte närmare preciserad i lagens förarbeten (se prop. 1997/98:44 s. 68 f. och 128 f.). Det är dock rimligt att inte ge bestämmelsen en alltför snäv räckvidd. Även aktiviteter med bäring på hälso- och sjukvård utanför det primära vårdområdet måste kunna inbegripas. Ytterligare reglering av behandling av personuppgifter hos De bakomliggande syftena för säkerhetsövervakningen är att förebygga medicinska skador till följd av läkemedelsanvändning samt att säkerställa att de som drabbats av eller löper risk att drabbas av sådana skador på grund av läkemedelsanvändning ges adekvat behandling. I princip innebär systemet för säkerhetsöver- vakning en uppföljning av den medicinering som sker inom den direkt vårdutövande delen av sjukvården. anses också vara central förvaltningsmyndighet inom hälso- och sjukvården i den mening som avses i lagen om hälsodataregister (se prop. 1997/98:108 s. 90). Huvuddelen av registreringen och rapporteringen av biverkningar sker också, som redovisats ovan, via sjukvården. De uppgifter i form av registrering m.m. av person- uppgifter som innehavarna av godkännande är skyldiga att utföra i enlighet med direktiven har samma syften som rapporteringen från sjukvården. I viss utsträckning torde det dessutom handla om be- handling av samma uppgifter. Med hänvisning till de ovan redovisade förhållandena har det i förarbetena till de senaste ändringarna av läkemedelslagstiftningen redovisats bedömningen att det på goda grunder kan hävdas att även den behandling av personuppgifter som utförs av innehavare av godkännanden som ett led i säkerhetsövervakningen faller in under bestämmelsen om undantag från förbudet mot behandling av känsliga personuppgifter i personuppgiftslagen (se prop. 2005/06:70 s. 145). Med hänsyn till intresset av klarhet har det dock i 4 kap. 4 § läkemedelsförordningen tagits in en bestämmelse, vari det anges att och innehavare av godkännande trots bestäm- melserna i 13 § andra stycket personuppgiftslagen får utföra de behandlingar av personuppgifter som rör hälsa och som är nöd- vändiga för att fullgöra de skyldigheter som föreskrivs i läke- medelslagen eller i läkemedelsförordningen. Sistnämnda bestämmelse torde emellertid inte omfatta säkerhetsövervakning som avser s.k. licensläkemedel. Härigenom klargörs emellertid även att utan hinder av förbudet i personuppgiftslagen mot behandling av känsliga uppgifter får behandla sådana uppgifter i sin övriga verk- samhet, såsom exempelvis tillsyn, i den utsträckning den följer av ett åliggande i läkemedelslagen. Verkets tillsynsansvar, som anges i 23 § läkemedelslagen, innebär naturligtvis att verket måste kunna granska hur en innehavare av ett godkännande har efterkommit de åligganden som ankommer på denne, exempelvis vad avser säker- Ytterligare reglering av behandling av personuppgifter hos Med stöd av 24 § läkemedelslagen har Läke- medelsverket rätt att få tillgång till de handlingar som verket be- höver för att kunna utöva tillsynen. Detta innebär naturligtvis att verket kan infordra de databaser med personuppgifter som en inne- havare upprättat som ett led i säkerhetsövervakningen och granska dessa genom egna automatiserade behandlingar av uppgifterna. anser att den s.k. hälso- och sjukvårdssekretessen enligt 7 kap. 1 c § sekretesslagen är tillämplig i fråga om de person- uppgifter som behandlas av verket i de delar av dess verksamhet som avser bedömningar av läkemedels ändamålsenlighet. 5.4Våra överväganden och förslag 5.4.1Behovet av ytterligare integritetsskyddande reglering Vår bedömning: Det är inte påkallat att införa några särskilda i författning angivna regler om behörighetstilldelning eller logg- kontroll som avser verksamhet. Den gällande regleringen av personuppgiftsbehandlingen inom vad avser säkerhetsövervakning m.m. har be- handlats av respektive regeringen så sent som . I det författningsarbetet har det centrala dock varit att implemen- tera de ovan berörda ändringarna i de två centrala EG-direktiven inom läkemedelsområdet, humanläkemedelsdirektivet och det veterinärmedicinska direktivet. Därigenom har i och för sig änd- ringar av tidigare gällande lagstiftning genomförts så till vida att de hinder för efterkommandet av de åligganden som följer av EG- rätten och som påtalats av har upphört. EG-direktiven innebär en långt utvecklad styrning när det gäller frågor om ändamål för personuppgiftsbehandling, vilka uppgifter som skall behandlas och hur behandlingarna skall få utföras. Det måste också förutsättas att bestämmelserna i läkemedelsdirektiven har beretts med beaktande av bestämmelserna i dataskyddsdirek- tivet. Det är dock en tydlig iakttagbar ståndpunkt bakom direktivens bestämmelser att utformningen av systemet för säkerhetsöver- Ytterligare reglering av behandling av personuppgifter hos vakning skett främst med hänsynstagande till intresset att före- bygga skador till följd av läkemedelsanvändning och i mindre grad med hänsynstagande till de registrerades vilja. Detta hindrar emellertid inte i sig att bestämmelser som syftar till integritetsskydd införs vid sidan av den allmänna regleringen i personuppgiftslagen och sekretesslagen. Ett exempel på sådana regler skulle kunna vara regler om tilldelning av behörighet för de anställda hos verket och om skyldighet för verket att företa logg- kontroller av de behandlingar som företas. Karaktären av den i vissa fall ytterst integritetskänsliga informa- tionen som lagras i verkets databaser skulle kunna anses tala för detta. Å andra sidan är den verksamhet som verket bedriver av relativt begränsat omfång när det gäller såväl personalstyrka som geografisk spridning. Det totala antal personer som över huvud taget har någon faktisk möjlighet till åtkomst till de känsliga personuppgifter som behandlas inom myndigheten understiger vida vad som är fallet inom exempelvis en vårdgivare inom hälso- och sjukvården. Att man inte uttryckligen i författning särskilt föreskriver regel- bundna loggkontroller eller särskild reglering av tilldelning av behörighet innebär naturligtvis inte hinder mot att Läkemedels- verket med utgångspunkt i de allmänna bestämmelserna om IT- säkerhet i personuppgiftslagen inrättar verksamheten på detta sätt. En sådan lösning skulle också kunna innebära en mer preciserad inriktning av kontrollverksamhet m.m. än vad som skulle vara fallet vid en i författningsreglering. Det har inte heller framkommit några övriga omständigheter som på något sätt påkallar en särskild reglering i författning av dessa frågor. Några sådana förslag framstår mot bakgrund härav inte som tillräckligt motiverade. Av stor betydelse i sammanhanget är även vilket integritetsskydd som sekretesslagens bestämmelse innebär i sammanhanget. Även om sekretesslagens bestämmelser i första hand innebär ett skydd mot spridning av uppgifter från verkets verksamhet till mottagare utanför myndigheten, måste det skydd som dessa bestämmelser innebär anses ha stor betydelse vid en övergripande bedömning av integritetsskyddet i en myndighets verksamhet. Den relativt om- fattande behandlingen av känsliga uppgifter hos aktualiserar således även frågan huruvida sekretesskyddet för integritetskänsliga uppgifter är utformat på ett tillfredsställande sätt. Som framgått ovan anser att den s.k. hälso- Ytterligare reglering av behandling av personuppgifter hos