sou · GWB328 · 2008-03-20 00:00:00 — För att stärka skyddet för den enskildes integritet har utred- ningen föreslagit att tillämpningsområdet för receptregisterlagen utvidgas till att avse även läkemedel som inte omfattas av lagen om läkemedelsförmåner m. m. För att kunden fritt ska kunna välja vilket apotek denne vill gå till har utredningen föreslagit att samt- liga apotek ska ha tillgång till receptregistret. Utredningen har därför föreslagit att det i receptregisterlagen ska tas in en skyldig- het för att lämna uppgifter till apoteken. Expedierande personal ska i receptregistret få ha direkt åtkomst till uppgifter för expediering av läkemedel och andra varor som förordnats, underlaget för högkostnadsskyddet samt dosrecept, itererade recept och elektroniska recept. Med direktåtkomst avses möjligheten att efter sökning i registret direkt få tillgång till infor- mation men utan möjlighet att påverka innehållet i registret. Det har vidare föreslagits att alla apotek momentant ska rapportera samtliga köp till . Apoteken ska då lämna uppgift om inköpsdag, vara, mängd, dosering, kost- nad, och kostnadsreducering enligt lagen om läkemedelsförmåner m.m., förskrivningsorsak, den enskildes namn, personnummer och folkbokföringsort samt postnumret i den enskildes bostadsadress, administrativa uppgifter, förskrivares namn, yrke, specialitet, arbetsplats, arbetsplatskod och, vad avser läkares eller tandläkares förskrivning av narkotiska läkemedel, förskrivarkod samt, i de fall detta krävs, lämnat samtycke, till . På så sätt kan information om alla uthämtade läkemedel tillföras läkemedelsförteckningen. Utredningen har också föreslagit att varje apotek ska leverera statistik avseende all försäljning till . Detta för att måste få tillgång till denna information om bolaget ska kunna vara personuppgiftsansvarig samt driva registren och databaserna. 2En särskild lag för apotekens interna hantering av personuppgifter Utredningens förslag: En särskild lag, apoteksdatalagen, ska införas. Utredningens bedömning: Skyddet för den enskildes integritet bör bibehållas genom att hanteringen av information i apotekens interna register författningsregleras. Den individinriktade verksamhet som bedrivs på apotek kräver en omfattande hantering av personuppgifter för att fungera ändamåls- enligt så att en hög säkerhet, god kvalitet och effektivitet i verk- samheten kan upprätthållas. Grundläggande bestämmelser om behandling av personupp- gifter finns i personuppgiftslagen. Apotekens interna behandling av personuppgifter omfattas av denna lag. behandling av personuppgifter regleras även av receptregisterlagen. Utredningen har i sitt huvudbetänkande föreslagit att ska ta över personuppgiftsansvaret för recept- registret. Utredningen anser att det är osäkert om personuppgifts- lagen ger tillräckligt stöd för den behandling av personuppgifter som sker på apoteken. har uttalat att ett myndighetsregister med ett stort antal registrerade personer och med särskilt känsligt innehåll ska bli föremål för specialreglering (bet. 1997/98 KU 18 s. 37). Apotekens hantering av personupp- gifter omfattar ett mycket stort antal individer och innehåller upp- gifter av känslig natur. Utredningen anser att det är av största vikt att personuppgifterna hos apoteken skyddas. Utredningen har i sitt huvudbetänkande konstaterat att fler apoteksaktörer kommer att hantera denna information. En särskild lag för apotekens interna hantering av personuppgifter att spridas till ett större antal aktörer skapar nya integritetsrisker. Med hänsyn härtill anser utredningen att apotekens behandling av personuppgifter särskilt ska författningsregleras för att bibehålla skyddet för enskildas och förskrivares integritet. Utredningen menar att det ska ske genom att en ny lag ska införas. Denna lag bör ges namnet apoteksdatalagen. Lagen ska innehålla tydliga regler för hur informationen får användas och hur den ska skyddas. Det som regleras i denna lag är hur uppgifterna ska hanteras så länge de finns i de enskilda apotekens register och vad som är tillåtet i fråga om vidareredovisning till andra register. Utredningens förslag: Apotek får behandla enskildas och för- skrivares personuppgifter för de ändamål som anges i 6 §. Med apotek avses en inrättning för detaljhandel med läke- medel med personal med farmacevtisk kompetens närvarande under öppethållandet. Med tillståndsinnehavare avses i denna lag den som enligt 2 kap. 1 § lag (xxxx:xx) om handel med läkemedel m.m. fått tillstånd att bedriva detaljhandel med läkemedel m.m. Utredningen anser att apoteksdatalagen bör omfatta apotekens interna hantering av personuppgifter. De personuppgifter som apoteken kommer att hantera är hänförliga till enskilda och för- skrivare. Med förskrivare avses till exempel både läkare och veteri- närer. Denna lag omfattar således inte eventuella register avseende apotekens personal. I huvudbetänkandet har utredningen i 1 kap. 2 § lag (xxxx:xx) om handel med läkemedel m.m. definierat apotek som en inrätt- ning för detaljhandel med läkemedel med personal med farmacev- tisk kompetens närvarande under öppethållande. Med inrättning avses inte bara en butikslokal, utan det kan också röra sig om en lokal där läkemedel färdigställs för att sedan tillhandahållas konsu- menten på annat sätt, till exempel genom distanshandel. Begreppet apotek omfattar således även en inrättning där läkemedel färdig- ställs till konsumenter efter att beställning gjorts per telefon, brev, elektronisk post eller liknande sätt, för att sedan transporteras till beställaren per post, bud eller liknande. Det måste alltså inte finnas en butik dit den enskilde kan gå. Utredningen anser att begreppet apotek även i apoteksdatalagen ska definieras på detta sätt. I 2 kap. 1 § lag om handel med läkemedel m.m. regleras tillstånd till detaljhandel med läkemedel m.m. Den som erhållit ett sådant tillstånd benämns i apoteksdatalagen som tillståndsinnehavare. Apotekens kärnverksamhet utgörs av expediering av läkemedel och andra varor som förordnats. Denna verksamhet utgör grunden för registrering av ett antal känsliga personuppgifter. I lag om handel med läkemedel m.m. har intagits en bestämmelse om att apoteken, som en förutsättning för att erhålla och inneha tillstånd till att bedriva detaljhandel till konsument, ska lämna upplysningar till . Apoteken behöver även för detta ändamål behandla personuppgifter. Apoteken behöver även behandla personuppgifter för andra ändamål (se avsnitt 8), bland annat för att administrera verksamheten och ta fram intern statistik, samt i olika avseenden utveckla verksamheten. Utredningen har så långt som är möjligt beaktat frågor rörande handel med läkemedel för djur i detta delbe- tänkande. I den mån dessa frågor inte behandlas i tillräcklig ut- sträckning här kommer en komplettering av apoteksdatalagen att göras i utredningens slutbetänkande där handel med läkemedel för djur behandlas. Utredningen vill särskilt förtydliga att denna lag endast gäller för apotek och inte för den detaljhandel med vissa receptfria läke- medel på andra platser som utredningen kommer att föreslå i nästa betänkande. 4Respekt för enskildas och förskrivares integritet Utredningens förslag: Personuppgifter ska behandlas så att enskildas och förskrivares integritet respekteras. Dokumenterade personuppgifter ska hanteras och förvaras så att obehöriga inte får tillgång till dem. Utredningen anser att skyddet för den enskilde individen mot intrång i den personliga integriteten är av stor vikt och måste beaktas när det blir aktuellt att förteckna personuppgifter med känsligt innehåll i ett register. Utredningen anser att tillkomsten av apoteksdatalagen innebär att skyddet för de enskildas integritet bibehålls på en omreglerad marknad. Själva begreppet personlig integritet finns inte entydigt definierat. Enligt förarbetena till hälsodata- och vårdregisterlagarna (prop. 1997/98:108) används ofta beskrivningen att integritetsskyddet innebär att man ska skydda den enskildes rätt att bli lämnad ifred. I vårdsammanhang skulle man kunna se det som att intrånget i den personliga integri- teten inträffar redan när man söker hjälp hos vården och måste tala om varför man behöver vård och när personen i fråga därefter eventuellt hämtar ut mediciner från ett apotek och orsaken till hans eller hennes behov av mediciner kommer fram. Ett annat sätt att beskriva den personliga integriteten är att den enskilde ska kunna kontrollera spridningen av uppgifter eller ha rätt att själv bestämma vilka uppgifter om sig själv som han eller hon vill dela med sig till andra. Sammanfattningsvis anges i den ovan nämnda propositionen s. 27 f: I begreppet personlig integritet kan man lägga in två delkomponenter. För det första att den enskilde bör tillförsäkras en sfär som skyddas mot otillbörligt intrång från myndigheter och andra som kan betraktas som utomstående och för det andra att den enskilde bör ha rätt och Respekt för enskildas och förskrivares integritet möjlighet att själv vara med och bestämma i vilka sammanhang upp- gifter om honom får utnyttjas och hur det i så fall ska ske. I båda fallen måste dock den enskilde tåla visa ingrepp, framför allt från samhällets sida, när andra intressen, som av samhället bedöms som totalt sett viktigare, kräver det. Ingreppet får dock inte vara alltför långtgående, alltför besvärande eller betungande i förhållande till de syften som intrånget ska tjäna. Varje gång det blir aktuellt att utnyttja uppgifter om en enskilds personliga förhållanden måste således en avvägning göras mellan den enskildes rätt till personlig integritet och det allmän- nas behov av information. Utredningen ser det som en viktig utgångspunkt för förslaget om en särskild lag avseende den interna hanteringen av personuppgifter på apotek att skapa en reglering som möjliggör både en hög säker- het för den enskilde och ett starkt integritetsskydd. Utredningen anser att det är av stor vikt att det i lagen finns tydliga regler för hur de registrerade personuppgifterna får användas och hur de ska skyddas. Utredningen kommer i det följande att begränsa de personuppgifter som får behandlas genom att ange för vilka ända- mål detta får ske och att endast sådana uppgifter som behövs för dessa ändamål får behandlas. Utredningen kommer vidare att stärka skyddet genom att föreslå bestämmelser om tystnadsplikt, inre sekretss, behörighet, åtkomst, gallring, information till de enskilda om personuppgiftsbehandlingen, samt rättelse och skadestånd. är det utredningens utgångspunkt att det är ett viktigt allmänintresse att apoteken på ett rationellt och effektivt sätt kan använda IT för att fullgöra de uppgifter som åligger dem. Förslaget avspeglar således en, enligt utredningens uppfattning, rimlig avväg- ning i de fall en konflikt uppstår mellan samhällets och apotekens behov kontra den enskildes berättigade anspråk på skydd för sin personliga integritet. Utredningen har avseende de nedan lämnade förslagen tagit upp frågan hur stort intrånget i integriteten kan bli och om den enskilde personen bör finna sig i detta intrång. Utredningen anser även att särskilda bestämmelser, liksom i för- slaget till patientdatalagen, om att apoteken ska behandla person- uppgifter så att enskildas och förskrivares integritet respekteras, samt att dokumenterade personuppgifter ska hanteras och förvaras så att obehöriga inte får tillgång till dem, ska införas för att under- stryka vikten av respekt för de enskildas integritet. Bestämmelsen utgör en mera övergripande regel som slår fast att behandlingen av personuppgifter enligt denna lag ska ske med respekt för enskildas och förskrivares integritet. Bestämmelsen utgör även en generell Respekt för enskildas och förskrivares integritet bestämmelse om att enskildas och förskrivares integritet ska respekteras då personuppgifter om dem i övrigt hanteras och förvaras. Med hantering och förvaring avses alla slags åtgärder som vidtas beträffande personuppgifterna. Med personuppgifter avses all slags information som direkt eller indirekt kan hänföras till en fysisk person. Obehöriga personer kan vara såväl utomstående, till exempel andra enskilda som uppehåller sig på ett apotek, som befattningshavare inom . När det gäller den sistnämnda kategorin utgör bestämmelsen en reglering av den inre sekretessen. En förutsättning för att en befattningshavare på ska få ta del av uppgifter om en enskild eller en förskrivare är att han eller hon behöver uppgiften för att utföra sitt arbete på . Angående den inre sekretessen se avsnitt 14.2. Utredningens förslag: Personuppgiftslagen (1998:204) gäller för apotekens behandling av personuppgifter, om inget annat följer av apoteksdatalagen. Personuppgiftslagen är generellt tillämplig på behandling av personuppgifter. Lagen är dock subsidiär i förhållande till andra författningar. Om det finns avvikande bestämmelser i en annan lag eller i en förordning ska enligt 2 § personuppgiftslagen de bestäm- melserna gälla. Sådana avvikande bestämmelser har utredningen föreslagit ska finnas i apoteksdatalagen. När reglering saknas i apoteksdatalagen är således personupp- giftslagens bestämmelser tillämpliga. Apoteksdatalagens förhållande till personuppgiftslagen bör enligt utredningen uttryckligen framgå av apoteksdatalagen. 6Den enskildes inställning till personuppgiftsbehandlingen Utredningens förslag: Sådan behandling av personuppgifter som är tillåten enligt apoteksdatalagen får utföras även om den enskilde motsätter sig den. Enligt och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och det fria flödet av sådana upp- gifter (dataskyddsdirektivet) ska den registrerade i vissa fall, bland annat då behandlingen av personuppgifter är nödvändig för att utföra en arbetsuppgift av allmänt intresse eller som är ett led i myndighetsutövning som utförs av den registeransvarige eller tredje man till vilken uppgifterna har lämnats ut, ha rätt att mot- sätta sig behandling av uppgifter som rör honom eller henne, utom när den nationella lagstiftningen föreskriver någonting annat. I 12 § andra stycket personuppgiftslagen (1998:204) föreskrivs med anledning härav att en registrerad inte, utöver vad som följer av 11 § och 12 § första stycket, har rätt att motsätta sig sådan behand- ling av personuppgifter som är tillåten enligt personuppgiftslagen. Utredningen kommer nedan (se avsnitt 8) att föreslå att apoteksdatalagen i två fall ställer krav på den enskildes samtycke för att personuppgiftsbehandlingen i apoteksregistret ska vara tillåten. Personuppgiftslagen gäller, som ovan nämnts, om inte apoteksdatalagen reglerar frågan, vilket innebär att bestämmelsen i 12 § andra stycket personuppgiftslagen gäller vid personuppgifts- behandling enligt apoteksdatalagen. Enligt utredningens uppfatt- ning bör det emellertid för tydlighetens skull – i likhet med vissa andra registerförfattningar – uttryckligen framgå av apoteksdata- lagen att sådan behandling av personuppgifter som är tillåten enligt lagen får utföras även om den enskilde motsätter sig behandlingen. Den enskildes inställning till personuppgiftsbehandlingen Om det enligt lagen krävs samtycke, är personuppgiftsbehand- lingen givetvis inte tillåten om inte uttryckligt samtycke ges. Av dataskyddsdirektivet, liksom av 15 § personuppgiftslagen, följer att det generella förbudet mot att behandla känsliga person- uppgifter inte gäller om den registrerade uttryckligen samtycker till personuppgiftsbehanlingen. Utredningen har funderat på olika lös- ningar på hur apoteksdatalagens bestämmelser i detta hänseende ska se ut. Utredningen har i sitt huvudbetänkande föreslagit en omreglering av apoteksmarknaden. Efter omregleringen kommer ett okänt antal nya apoteksaktörer att hantera känsliga personupp- gifter om vilka läkemedel som har förordnats för enskilda individer. Utredningen anser av försiktighetsskäl att en bestämmelse om att behandling av personuppgifter som inte är tillåten ändå får utföras om den enskilde lämnat ett uttryckligt samtycke till behandlingen inte ska intas i apoteksdatalagen. Detta innebär att apoteksdata- lagen i detta avseende är mer restriktiv än personuppgiftslagen och det bakomliggande dataskyddsdirektivet. En konsekvens av detta ställningstagande är att de ändamålsbestämmelser som utredningen (se avsnitt 8) föreslår blir uttömmande. Utredningen anser att apoteksdatalagen i detta avseende bör ses efter om- regleringen för att då se om tiden är mogen för en anpassning till personuppgiftslagen. Utredningens förslag: Tillståndsinnehavaren är personupp- giftsansvarig för den personuppgiftsbehandling som görs på . Enligt definitionen i 3 § personuppgiftslagen (1998:204) är det den personuppgiftsansvarige som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandling av person- uppgifter. Personuppgiftsansvaret innebär en skyldighet att se till att de i 9 § personuppgiftslagen angivna grundläggande kraven på behandling av personuppgifter iakttas. I lag eller förordning kan bestämmas vem som är personuppgiftsansvarig. En sådan bestäm- melse tar över regleringen i personuppgiftslagen (2 §). I många registerförfattningar har det ansetts lämpligt från integritetsyn- punkt att på ett tydligt sätt reglera vem som är personuppgifts- ansvarig. Exempel på sådana författningar är lagen (1998:543) om hälsodataregister, lagen om behandling av personuppgifter i social- försäkringens administration och lagen (2005:258) om läkemedels- förteckning. har även föreslagit att det i receptregisterlagen och i förslaget till ska intas en bestämmelse om vem som är personuppgiftsansvarig (SOU 2006:82, s. 194 ff och SOU 2007:48, s. 83 f). För att den enskilde ska veta vem han eller hon ska vända sig till om det uppstår problem med personuppgiftshanteringen bör det enligt utredningens mening av apoteksdatalagen klart framgå vem som är personuppgiftsansvarig för personuppgiftsbehandlingen på apoteken. Utredningen har i sitt huvudbetänkande föreslagit att tillstånd att bedriva detaljhandel med läkemedel m.m. ska meddelas om sökanden visar att den uppfyller vissa i lagen om handel med läkemedel m.m. angivna krav (SOU 2008:4, s. 193 ff). Utredningen anser att det är lämpligt att den som innehar ett tillstånd att bedriva detaljhandel med läkemedel m.m. även är ansvarig för behandlingen av personuppgifter inom . Personuppgiftsansvaret innebär en skyldighet för tillståndsinnehavaren att lämna uppgifter till , , och länsstyrelserna (se avsnitt 13), att tillse att reglerna om tystnads- plikt och inre sekretess följs (se avsnitt 14), att vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de person- uppgifter som behandlas (se avsnitt 15), att tillse att reglerna om gallring följs (se avsnitt 16), att lämna information till den registre- rade (se avsnitt 17), att på begäran av den registrerade rätta, blockera eller utplåna personupgifter som inte behandlats i enlighet med apoteksdatalagen (se avsnitt 18.1), samt att ersätta den regi- strerade för den skada en lagstridig behandling av personuppgifter för med sig (se avsnitt 18.2). Det ska av apoteksdatalagen framgå att tillståndsinnehavaren är personuppgiftsansvarig för den person- uppgiftsbehandling som görs på . Personuppgiftslagen (1998:204) men även lag (1996:1156) om receptregister (receptregisterlagen) och lagen (2005:258) om läke- medelsförteckning är som ovan nämnts de författningar som reglerar apotekens hantering av personuppgifter. I 9 § personupp- giftslagen finns bestämmelser om grundläggande krav på behand- ling av personuppgifter som en personuppgiftsansvarig alltid måste följa. I 9 § första stycket anges även att personuppgifter får samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål (punkten c). De insamlade personuppgifterna får inte senare behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in – finalitetsprincipen (punkten d). Av denna princip följer att det är viktigt att alla de ändamål för vilka man kan tänkas behöva använda de uppgifter man samlat in finns angivna redan när man samlar in uppgifterna. Det finns inget hinder mot att ange flera ändamål vid insamlingen. Enligt 9 § andra stycket personuppgiftslagen ska senare behandling av uppgifter för historiska, statistiska eller vetenskapliga ändamål dock inte anses som oförenliga med de ändamål för vilka uppgifterna samlades in. Bestämningen av ändamålen med behandlingen av personupp- gifter är av central betydelse för apoteksdatalagens skydd för enskilda registrerades personliga integritet. Gränserna för register- ändamålen preciseras främst med avseende på den ur integritets- synpunkt avgörande frågan huruvida enskilda personers (enskilda eller förskrivare) identitet får registreras eller redovisas. Detta får ske endast i den mån det är nödvändigt för att respektive ändamål ska kunna tillgodoses (prop. 1996/97:27 s. 124 f). ningar anges uttryckligen för vilka ändamål personuppgifter får behandlas. En omdiskuterad fråga är i vilken mån ändamålen ska anses vara uttömmande eller inte. Närmare bestämt huruvida andra med ändamålsbestämningen inte oförenliga ändamål ska anses vara tillåtna eller inte vid sidan av de uttryckliga ändamålen, då det handlar om en behandling av redan insamlade personuppgifter. Framgår det inte av registerlagen att ändamålen syftar till att vara uttömmande och personuppgiftslagen gäller utöver den särskilda registerlagen torde, enligt utredningens uppfattning, även andra inte angivna ändamål vara tillåtna. Detta förutsatt att dessa ändamål inte är oförenliga med de i författningen angivna ändamålen eller om det är fråga om behandling för historiska, statistiska eller veten- skapliga ändamål. 8.2Utredningens bedömning av apoteksdatalagens ändamålsbestämning Utredningens förslag: I apoteksdatalagen anges ändamålen för vilka personuppgifter får behandlas. Ändamålen är följande. 1.expediering av läkemedel och andra varor som förordnats samt åtgärder i anslutning till expedieringen, 2.registrering och redovisning av uppgifter till , för fullgörande av skyldigheter enligt 2 kap. 6 § 3 lag (xxxx:xx) om handel med läkemedel m.m., 3.registrering och redovisning av uppgifter till , för fullgörande av skyldigheter enligt 2 kap. 6 § 4 lag (xxxx:xx) om handel med läkemedel m.m., 4.spårning av utlämnade läkemedel och andra varor som för- ordnats samt hantering av reklamationer, 5.administrering av delbetalning av läkemedel och andra varor, 6.administrering av fullmaktsregister, 7.registrering och redovisning av uppgifter till , och länsstyrelserna för deras tillsyn, 8.rapportering till förskrivare om utbyte av läkemedel, 9.hälsorelaterad kundservice på läkemedelsområdet, 10.utlämnande av recept eller blanketter över förskrivna varor till den enskilde, 11.fullgörande av skyldighet som följer av annan författning, 12.systematisk och fortlöpande utveckling och säkring av apotekens kvalitet, och 13.administration, planering, uppföljning, och utvärdering av apotekens verksamhet samt framställning av intern statistik. Utredningens bedömning: Utredningen har i huvudbe- tänkandet föreslagit att lagen (1996:1156) om receptregister ska ändras på så sätt att personuppgifter i receptregistret får be- handlas för expediering av läkemedel och andra varor som för- skrivits. Utredningen anser att detta ändamål även innefattar ändringar/tillägg på recept. Enligt bestämmelsen i 18 § personuppgiftslagen skulle att apoteken få tämligen vida ramar att utan den enskildes samtycke behandla känsliga personuppgifter för olika syften. Det finns således starka skäl som talar för att lagstiftaren i apoteksdatalagen uttryckligen och så uttömmande som möjligt bestämmer ändamålen för all personuppgiftsbehandling som regleras i lagen. Genom en ut- trycklig reglering av för vilka ändamål personuppgifter får behandlas hos apoteken åstadkoms en ökad tydlighet i regleringen vilket är viktigt ur integritetssynpunkt.