sou · GWB328 · 2008-03-20 00:00:00 — Uthämtade läkemedel kan intas efter utgången av . Utredningen anser att en gallringsfrist räknat från registre- ringen, liknande den som finns i receptregisterlagen, skulle kunna vara lämplig att använda i apoteksdatalagen avseende de person- uppgifter som registrerats för ändamål som påverkas av ett recepts giltighet. Enligt utredningens huvudbetänkande kommer regeringen att meddela närmare föreskrifter om hur ofta till- ståndsinnehavaren ska lämna försäljningsstatistik till . Det är därför svårt att slutligt ta ställ- ning till när dessa uppgifter ska gallras. Utredningen väljer därför att hänföra detta ändamål under den grupp som ska gallras . Även personuppgifter som är hänförliga till ända- målet spårning av utlämnade läkemedel och andra varor som för- ordnats samt hantering av reklamationer, förutom den special- reglering som angetts i paragrafen avseende vissa verifikationer, ska gallras . Även de personuppgifter som registrerats för ändamålen administrering av delbetalning av läke- medel, registrering och redovisning till , Jordbruks- verket och länsstyrelserna för dess tillsyn, rapportering till för- skrivare om utbyte av läkemedel, hälsorelaterad kundservice på läkemedelsområdet och utlämnande av recept eller blanketter över förskrivna varor till den enskilde anser utredningen bör knytas till en femton månaders gallringstid eftersom dessa uppgifter till stor del är kopplade till giltigheten av ett recept. En fullmakt är giltig tills den återkallas. Det skulle vara orimligt om den enskilde med ett bestämt tidsintervall var tvungen att lämna in en ny fullmakt bara för att personuppgifterna skulle gallras. Utredningen anser därför att uppgifter som kan hänföras till enskilda personer och som bevarats för ändamålet admini- strering av fullmaktsregister ska tas bort ur registret när fullmakten återkallas. När det gäller personuppgifter som behandlas för fullgörande av skyldigheter som följer av annan författning är det enligt utred- ningens mening svårt att ta ställning till inom vilken tid de ska gallras eftersom det är svårt att förutse i vilka situationer en behandling av personuppgifter för detta ändamål kommer att ske. Utredningen anser därför att dessa uppgifter ska gallras när skyldigheten enligt annan författning fullgjorts. Enligt 17 § förordningen om läkemedelsförmåner ska de hand- lingar som enligt förordningen utgör verifikationer för- varas från den dag begärde ersättning för dem. I 63 § första stycket föreskrifter om förordnande och utlämnande av läkemedel m.m. (receptföre- skrifter, LVFS 1997:10) stadgas att verifikationer avseende försälj- ning och utlämnande av läkemedel eller teknisk sprit ska arkiveras på , samt i tredje stycket att verifikationer för ansökning om licensförskrivning av inte godkända läkemedel ska arkiveras . När det gäller verifikationer avseende narkotiska läkemedel ska dessa enligt 63 § andra stycket Läke- medelsverkets receptföreskrifter arkiveras . Ett av de ändamål för vilket personuppgifter får hanteras på apoteken är för att kunna spåra utlämnande av läkemedel och andra varor som förordnats. Denna spårning görs med hjälp av de verifi- kationer som upprättas över utlämnandet av läkemedel och andra varor som förordnats. Utredningen anser därför att det i apoteks- datalagen ska tas in en bestämmelse om att verifikationer avseende av narkotiska läkemedel tas bort ur registret under den sextionde månaden efter den under vilken de registrerades, avseende försälj- ning och utlämnande av läkemedel eller teknisk sprit under den trettiosjätte månaden efter den under vilken de registrerades och för ansökning om licensförskrivning av inte godkända läkemedel under den femtonde månaden efter den under vilken de registrerades. Enligt utredningens uppfattning bör 17 § i förordningen om läkemedelsförmåner ändras på så sätt att det istället för står . Eftersom det till viss del är samma uppgifter som registreras och bevaras för olika ändamål blir det ändamål som sist uppfylls avgörande för när gallring ska ske. Utredningen har inte haft möjlighet att närmare överväga vilka personuppgifter som det exakt kan bli aktuellt att gallra och vilka uppgifter som kommer att sparas även för andra ändamål. Det kan dock redan nu antas att de flesta uppgifter behöver finnas kvar i registret än och det kan inte uteslutas att de inte kommer att kunna gallras förrän . Denna fråga kan därför särskilt behöva granskas i det fortsatta lagstiftningsarbetet. Gallringsbestämmelserna gäller bara för uppgifter som kan hänföras till enskilda personer, vilket innebär att kravet är uppfyllt om så mycket tagits bort att det är möjligt att hänföra kvarvarande uppgifter till någon viss person, det vill säga i normalfallet om namn och personnummer har avlägsnats. Det bör i detta sammanhang noteras att de uppgifter som registreras för ändamålen systematisk och fortlöpande utveckling och säkring av apotekens kvalitet och administration, planering, uppföljning och utvärdering av apotekens verksamhet samt fram- ställning av intern statistik inte regleras av denna bestämmelse, eftersom de uppgifter som registrerats för dessa ändamål inte kan hänföras till en enskild person. 17 Information till den registrerade Personuppgiftslagen (1998:204) innehåller särskilda bestämmelser om den personuppgiftsansvariges skyldighet att lämna information om behandling av personuppgifter till den registrerade (23–27 §). Regleringen gäller den personuppgiftsansvariges skyldighet att självmant lämna information till den registrerade i samband med att personuppgifterna samlas in (23–25 §), men även den personupp- giftsansvariges skyldighet att lämna information på den registrerades begäran (26 §). I 27 § stadgas att bestämmelser om sekretess och tystnadsplikt alltid går före en skyldighet att lämna information. Om uppgift om en person samlas in från personen själv, ska den personuppgiftsansvarige i samband med insamlandet självmant lämna information till den registrerade om behandlingen av uppgifterna (23 §). Som huvudregel bör den registrerade informeras om behandlingen innan uppgifterna samlas in. Om personuppgifterna samlas in från någon annan källa än från den registrerade personen, till exempel genom sambearbetning, överföring från register eller via andra personer, ska den person- uppgiftsansvarige enligt 24 § personuppgiftslagen som huvudregel självmant lämna den registrerade information om behandlingen. Informationen ska lämnas när uppgifterna registreras. Informa- tionen behöver inte lämnas, om det finns bestämmelser om registrerandet eller utlämnandet av personuppgifterna i en lag eller någon annan författning. Information behöver inte heller lämnas om det skulle visa sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. Om uppgifterna används för att vidta åtgärder som rör den registrerade, ska dock informationen lämnas senast i samband med att så sker. Information till den registrerade I 25 § personuppgiftslagen anges vilken information den person- uppgiftsansvarige ska lämna självmant. Informationen ska innehålla uppgift om den personuppgiftsansvariges identitet, uppgift om ändamålen med behandlingen och all annan information som den registrerade behöver för att kunna ta till vara sina rättigheter i sam- band med behandlingen, såsom information om mottagarna av uppgifterna, skyldighet att lämna uppgifter och rätten att ansöka om information och få rättelse. Enligt 25 § andra stycket behöver information inte lämnas om sådant den registrerade redan känner till. Om den personuppgiftsansvarige avser att fortlöpande samla in information om den registrerade behöver inte information lämnas varje gång nya uppgifter samlas in. Informationen ska lämnas till den registrerade. Den måste inte lämnas skriftligen utan kan även lämnas muntligen. Det är den personuppgiftsansvarige som har bevisbördan för att den registrerade fått nödvändig information. Enligt 26 § är den personuppgiftsansvarige skyldig att till var och en som ansöker om det en gång per kalenderår gratis lämna besked om personuppgifter som rör den sökande behandlas eller inte. Behandlas sådana uppgifter ska ett registerutdrag lämnas även om vilka uppgifter om den sökande som behandlas, varifrån dessa uppgifter har hämtats, ändamålen med behandlingen och till vilka mottagare som uppgifterna lämnats ut. Från skyldighet att lämna information finns vissa undantag enligt 26 §. I 27 § finns undantag från informationsskyldigheten i 23–26 §§ vid sekretess och tystnadsplikt. I den utsträckning det är särskilt föreskrivet i lag eller annan författning eller i beslut som meddelats med stöd av författning att uppgifter inte får lämnas ut till den registrerade gäller, enligt 27 §, inte bestämmelserna i 23–26 §§. Regler om sekretess och tystnadsplikt gäller således alltid före skyldigheten att lämna information. Information till den registrerade Utredningens förslag: Den information som tillståndsinne- havaren ska lämna till de registrerade enligt 23 eller 24 §§ personuppgiftslagen(1998:204) ska innehålla upplysningar om 1.vem som är personuppgiftsansvarig, 2.ändamålen med registret, 3.vilka kategorier av uppgifter registret får innehålla, 4.den uppgiftsskyldighet som åligger tillståndsinnehavaren, 5.de tystnads-, sekretess- och säkerhetsbestämmelser som gäller för registret, 6.rätten att ta del av uppgifterna enligt 26 § personuppgifts- lagen, 7.rätten enligt 28 § personuppgiftslagen till rättelse av oriktiga eller missvisande uppgifter, 8.rätten enligt 48 § personuppgiftslagen till skadestånd vid be- handling av personuppgifter i strid mot apoteksdatalagen, 9.vad som gäller i fråga om sökbegrepp och utlämnade av uppgift på medium för automatiserad behandling, 10.vad som gäller i fråga om bevarande och gallring, samt 11.att registreringen inte är frivillig med undantag för ända- målen enligt 6 § första stycket 6 och 9. Utredningens förslag innebär att personuppgiftsbehandling enligt apoteksdatalagen som huvudregel ska få ske även om den enskilde motsätter sig behandlingen (se avsnitt 6). Mot bakgrund härav är det ur integritetssynpunkt angeläget att den registrerade får utförlig information om personuppgiftsbehandlingen. Den regi- strerade behöver informationen för att kunna tillvarata sina rättig- heter i samband med personuppgiftsbehandlingen. Informationen är även viktig för att skapa en nödvändig grund för allmänhetens förtroende för behandlingen. Utredningen anser att den informa- tionsskyldighet som framgår av 25 § personuppgiftslagen bör preciseras avseende vilken information som tillståndsinnehavaren ska lämna till den registrerade. En sådan precisering innebär att det blir tydligare för både tillståndsinnehavaren och den registrerade vilken information som ska lämnas. Därför ska det i apoteksdata- lagen föras in en särskild bestämmelse om vilken information som tillståndsinnehavaren ska lämna. Utredningen anser att följande information ska lämnas av tillståndsinnehavaren: vem som är Information till den registrerade personuppgiftsansvarig, ändamålen med registret, vilken kategori av uppgifter registret får innehålla, vilken uppgiftsskyldighet som åligger tillståndsinnehavaren, de tystnadsplikts-, sekretess- och säkerhetsbestämmelser som gäller för registret, rätten att ta del av uppgifterna enligt 26 § personuppgiftslagen, rätten enligt 28 § personuppgiftslagen till rättelse av oriktiga eller missvisande uppgifter, rätten enligt 48 § personuppgiftslagen till skadestånd vid behandling av personuppgifter i strid mot apoteksdatalagen, vad som gäller i fråga om sökbegrepp och utlämnande på medium för automatisk databehandling, vad som gäller i fråga om bevarande och gallring, samt att registreringen inte är frivillig med undantag för ändamålen enligt 6 § första stycket punkten 6 och 9. Hur informationen ska ges bör överlåtas åt varje tillståndsinne- havare att bestämma. Utredningen föreslår inte något rättsligt krav på att informationen ska ges i viss form. Det finns dock anledning att understryka vikten av att tillståndsinnehavaren skapar rutiner för hur informationsskyldigheten ska fullgöras. Säkra rutiner ligger i tillståndsinnehavaren eget intresse eftersom tillståndsinnehavaren har bevisbördan för att obligatorisk information faktiskt har lämnats till den registrerade. Informationsskyldigheten bör liksom kunna fullgöras genom broschyrer och information på apotekens webplatser. 18 Rättelse och skadestånd Utredningens förslag: Bestämmelserna i personuppgiftslagen (1998:204) om rättelse och skadestånd ska gälla vid behandling av personuppgifter enligt apoteksdatalagen. Enligt 28 § personuppgiftslagen (1998:204) är den personuppgifts- ansvarige skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana personuppgifter som inte behandlats i enlighet med personuppgiftslagen eller föreskrifter som utfärdats med stöd av den lagen. Att en uppgift rättas innebär att den ersätts eller kompletteras med korrekta uppgifter. Med blockering avses en åtgärd som vidtas för att personuppgifterna ska vara för- knippade med information om att de är spärrade och anledningen till spärren. Åtgärden vidtas för att informationen inte ska lämnas ut till tredje man. Att en uppgift utplånas innebär att den förstörs så att den inte kan återskapas. Det är i princip den personuppgifts- ansvarige som själv väljer korrigeringsmetod. Av annan lagstiftning eller av sakens natur kan dock följa att vissa korrigeringsmetoder inte kan användas (prop. 1997/98:44 s. 132). Sker rättelse ska den personuppgiftsansvarige också underrätta tredje man till vilken uppgifterna har lämnats ut om åtgärden, om den registrerade begär det eller om mer betydande skada eller olägenhet för den registrerade ska kunna undvikas genom en underrättelse. Någon sådan rättelse behöver emellertid inte göras, om detta visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbets- insats. Personuppgiftslagens bestämmelser om rättelse av personupp- gifter är endast tillämpliga när uppgifter behandlats i strid med den lagen eller föreskrift som har utfärdats med stöd av den lagen. personuppgifter behandlats på något annat sätt som endast står i strid med någon annan författning kan alltså inte rättelse ske med stöd av personuppgiftslagens bestämmelser. Enligt utredningens uppfattning bör den registrerade ha samma möjligheter att få personuppgifter rättade vid behandling av personuppgifter i strid mot apoteksdatalagen som vid behandlig i strid mot personupgiftslagen. I apoteksdatalagen ska därför göras en hänvisning till personuppgiftslagens bestämmelser om rättelse. Det bör i detta sammanhang noteras att det enligt 9 § första stycket h personuppgiftslagen är ett grundläggande krav på den personuppgiftsansvarige att vid behandling av personuppgifter se till att alla rimliga åtgärder vidtas för att korrigera felaktiga eller ofullständiga personuppgifter med hänsyn till ändamålen med behandlingen. I 9 § första stycket e och g personuppgiftslagen ställs vidare krav på den personuppgiftsansvarige att se till att de person- uppgifter som behandlas är adekvata och relevanta i förhållande till ändamålen med behandlingen och att de personuppgifter som behandlas är riktiga och, om det är nödvändigt, aktuella. Den personuppgiftsansvarige måste således – oberoende av bestämmel- serna i 28 § personuppgiftslagen om skyldighet att vidta rättelse på den registrerades begäran – självmant vara aktiv för att se till att behandlade uppgifter är korrekta. Dessa krav, liksom andra grund- läggande krav i 9 § första stycke personuppgiftslagen, gäller även då uppgifter behandlas enligt apoteksdatalagen. Enligt 48 § personuppgiftslagen ska den personuppgiftsansvarige ersätta den registrerade för skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med den lagen har orsakat. Skadeståndsbestämmelserna i personuppgifts- lagen gäller framför de allmänna bestämmelserna om skadestånd i skadeståndslagen (1972:207). I den mån en fråga inte regleras i personuppgiftslagen ska emellertid bestämmelserna i skadeståndslagen tillämpas. Detta gäller till exempel i fråga om beräkning av skadeståndets storlek. Skillnaden mellan de allmänna bestämmelserna i personuppgiftslagen och bestämmelserna i skadeståndslagen består framför allt i att ersättning enligt person- uppgiftslagen kan utgå för ren förmögenhetsskada och för kränk- ning av den personliga integriteten även om brottslig gärning inte En annan viktig skillnad är att personuppgiftslagens skadeståndsbestämmelser bygger på ett i princip strikt skadeståndsansvar medan skadeståndsskyldighet enligt skadeståndslagen förutsätter ett oaktsamt handlande. Skadestånds- bestämmelserna i personuppgiftslagen gäller bara vid behandling av personuppgifter i strid mot bestämmelser i den lagen. De är alltså inte tillämpliga vid behandling av personuppgifter i strid med andra författningar. Enligt utredningens uppfattning bör den registrerade på samma sätt som när det gäller rättelse ha samma möjligheter att få skadestånd vid behandling av personuppgifter i strid med apoteks- datalagen som vid behandlig i strid mot personuppgiftslagen. I apoteksdatalagen ska därför göras en hänvisning till personupp- giftslagens bestämmelser om skadestånd. 19 Konsekvenser av förslaget För kommittéers och särskilda utredares arbete gäller kommitté- förordningens (1998:1474) bestämmelser. Om förslagen i ett betänkande påverkar kostnaderna eller intäkterna för staten, kommuner, landsting, företag eller andra enskilda, ska enligt 14 § kommittéförordningen en beräkning av dessa konsekvenser redovisas i betänkandet. Om förslagen innebär samhällsekonomiska konsekvenser i övrigt, ska dessa redovisas. När det gäller kostnadsökningar och intäktsminskningar för staten, kommuner eller landsting, ska kommittén föreslå en finansiering. Utredningens förslag innebär att det införs en ny lag – apoteks- datalagen – som ska tillämpas på apotekens behandling av person- uppgifter. Utredningen bedömer att förslaget i sig inte medför några förändringar av betydelse när det gäller omfattningen eller arten av behandlingar av personuppgifter mot vad som äger rum på apoteken. Utredningens bedömning är således att förslaget inte medför någon ökad kostnad. Genom förslaget om införande av apoteksdatalagen säkerställs emellertid att den personliga integri- teten skyddas som en hög säkerhet upprätthålls för den enskilde. Utredningens förslag: Lagstiftningen ska träda i kraft . Utredningens bedömning: Utredningen anser att det inte behövs några övergångsbestämmelser vid införandet av apoteks- datalagen. Utredningen anser emellertid att det, vid genom- förandet av en omreglerad apoteksmarknad, i det avtal som kommer att ingås mellan staten och bör tillses att inte får någon otillbörlig konkur- rensfördel. Utredningen anser även att regeringen enligt artikel 8.1, 8.4 och 8.6 dataskyddsdirektivet till kommissionen bör anmäla ikraftträdandet av apoteksdatalagen. Med hänsyn till den tid som kan beräknas gå åt för remissför- farandet, beredningen inom samt riksdagsbe- handlingen bör lagstiftningen kunna träda ikraft . Detta är dessutom lämpligt eftersom utredningen i huvud- betänkandet föreslog att lagen (xxxx:xx) om handel med läkemedel m.m. träder ikraft . Några övergångsbestäm- melser behövs inte. Enligt och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet) artikel 8.1 ska medlemsstaterna förbjuda behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening samt uppgifter som rör hälsa och sexualliv. Enligt punkten 4 i samma artikel får medlems- staterna antingen i sin nationella lagstiftning eller genom ett beslut av tillsynsmyndighet, under förutsättning av lämpliga skydds- åtgärder och av hänsyn till ett viktigt allmänt intresse, besluta om undantag från punkten 1. Den personuppgiftsbehandling som regleras av apoteksdatalagen innebär ett undantag från förbudet att behandla uppgifter som rör hälsa. Utredningen anser dock att lämpliga skyddsåtgärder vidtagits i och med att det i apoteksdata- lagen intagits bestämmelser bland annat om tystnadsplikt, inre sekretess, behörighetstilldelning, åtkomstkontroll, gallring, infor- mation till den registrerade, rättelse och skadestånd. Det är vidare enligt utredningens mening av viktigt allmänt intresse att apoteken ska kunna behandla personuppgifter i sin verksamhet. Enligt artikel 8.6 ska det undantag från punkten 1 som anges under punkten 4 anmälas till kommissionen. Utredningen anser därför att en sådan anmälan bör göras avseende ikraftträdandet av apoteks- datalagen. Inledande bestämmelse och definitioner Apotek får behandla enskildas och förskrivares personuppgifter för de ändamål som anges i 6 §. Med apotek avses i denna lag en inrättning för detaljhandel med läke- medel med personal med farmacevtisk kompetens närvarande under öppethållandet. Med tillståndsinnehavare avses i denna lag den som enligt 2 kap. 1–4 §§ lag (xxxx:xx) om handel med läkemedel m.m. fått tillstånd att bedriva detaljhandel med läkemedel m.m. Paragrafen har behandlats i avsnitt 3 och anger apoteksdatalagens tillämpningsområde. Lagen ska tillämpas vid behandling av person- uppgifter på apoteken. Personuppgiftsbehandlingen begränsas av de ändamål som anges i apoteksdatalagen. I apotekens verksamhet registreras ett stort antal känsliga personuppgifter. Till kärnverk- samheten hör expediering av läkemedel och andra varor som för- ordnats. Apoteken har även en uppgiftsskyldighet gentemot med flera och behöver även för detta ändamål behandla personuppgifter. Apoteken behöver även behandla personuppgifter bland annat för att administrera verk- samheten och ta fram intern statistik, samt i olika avseenden utveckla verksamheten. I paragrafen definieras begreppet apotek. Utredningen har utgått ifrån den definition som intagits i förslag till lag (xxxx:xx) om handel med läkemedel m.m. och som i sin tur i sak överensstämmer med definitionen i föreskrifter (LVFS 1997:10) om förordnande och utlämnande av läkemedel m.m. Definitionen av ett apotek omfattar inrättningar där det sker detaljhandel med läkemedel med personal med farmacevtisk kompetens närvarande under öppethållande. Försäljning kan från ett apotek ske till konsumenter men också till öppenvård, sjukhus med flera enligt 3 kap. lag om handel med läkemedel m.m. Med inrättning avses inte bara en butikslokal, utan det kan också röra sig om en lokal där läkemedel färdigställs för att sedan tillhandahållas konsumenten på annat sätt, till exempel genom distanshandel. Begreppet apotek omfattar således även en inrättning där läkemedel färdigställs till konsumenter efter att beställning gjorts till exempel per telefon, brev eller elektronisk post, för att sedan transporteras till konsumenter per post, bud eller på liknade sätt, utan att det måste finnas en butik dit kunden kan gå. I 2 kap. 1 § lag om handel med läkemedel m.m. regleras tillstånd till detaljhandel med läkemedel m.m. Den som erhållit sådant till- stånd benämns i apoteksdatalagen som tillståndsinnehavare. Av 5 § framgår att denne är personuppgiftsansvarig. Respekt för enskildas och förskrivares integritet Personuppgifter ska behandlas så att enskildas och förskrivares integritet respekteras. Dokumenterade personuppgifter ska hanteras och förvaras så att obehöriga inte får tillgång till dem. Paragrafen har behandlats under avsnitt 4. I paragrafen finns en mer övergripande regel som slår fast att behandling av personupp- gifter enligt denna lag ska ske med respekt för enskildas och för- skrivares integritet. I andra stycket finns en regel om att doku- menterade personuppgifter ska hanteras och förvaras så att obehöriga inte får tillgång till dem.