sou · GVB348 · 2008-01-01 00:00:00 — Det är värt att notera i detta sammanhang att den farmaceutiska personalen på ett apotek, som i sådant fall skulle få stå för information och inhämtande av samtycke, inte har någon direkt nytta av uppföljningsverksamheten hos landstingen. Med all sannolikhet innebär detta risker för att mängden samtycken minskar vid hård arbetsbelastning på ett apotek. Om samtycke från enskilda skulle vara en förutsättning för att uppgifter om dem skulle kunna användas i uppföljning, skulle det få till resultat att ett antal personers uttag vid ett eller flera tillfällen inte skulle registreras. Samma sak skulle bli följden av en opt out- modell. Detta skulle leda till felaktiga eller i vart fall missvisande resultat i de uppföljningar som görs. Om ett läkemedelsuttag inte registreras, kan man i verksamheten inte upptäcka om vissa fel- aktiga läkemedelskombinationer ges eller om en rekommenderad behandlingsordning inte följs. Diagnoser kan man inte välja att ta bort från lagring i lands- tingens vårddokumentation, vilket betyder att ett uteblivet sam- tycke eller en opt out-anmälan från en enskild avseende behandling av en uppgift om ett läkemedelsuttag i uppföljningsverksamhet ger en indikation i uppföljningen att diagnosen inte behandlas. Om individer i ett område är överrepresenterade vad avser registrering eller om förskrivare i ett område har negativ attityd till registrering, kan det i uppföljningen uppfattas som en kraftig under- behandling av patienter i detta område. Smittskyddsläkemedel kommer sannolikt att ha en låg samtyckes- frekvens resp. en hög andel opt out-anmälningar. Det finns inget som tyder på att smittskyddsvården är i mindre behov av uppfölj- ning. Alla läkemedel som ges till patienter som inte vid uthämtnings- tillfället kan ge sitt informerade samtycke skulle med stor sanno- likhet exkluderas från uppföljningsdatabasen. Detta innefattar exempelvis dementa och de patienter som gett uppdrag till ett Landstingens uppföljning av förskrivning och användning av läkemedel ombud att hämta ut ett läkemedel. I och för sig kan naturligtvis förvaltare, gode män eller ombud ha behörighet att lämna ett formellt samtycke av aktuellt slag. Det går dock inte att bortse från de komplikationer som en sådan ordning skulle innebära i dessa fall. Det ter sig generellt sett inte troligt att dessa kategorier av företrädare utan vidare skulle vara beredda att vid ett uthämtnings- tillfälle å sin huvudmans vägnar ta ställning till en fråga om ut- lämnande av personuppgifter för uppföljning. Sannolikt skulle det medföra att en stor del av vården inom särskilda boenden och upp- följning av exempelvis Alzheimerläkemedel inte kommer att om- fattas av uppföljning, som kommuner och lands- ting anser att dessa grupper bör vara mycket högt prioriterade vad avser systematisk läkemedelsuppföljning. Redan dessa exempel visar enligt vår uppfattning att det inte är lämpligt att förena det ansvar som landstingen har för uppföljningen av hälso- och sjukvården med ett krav på samtycke eller med att det skall finnas en möjlighet för patienter att motsätta sig behandling av uppgifter om dem i verksamheten för uppföljning. I detta fall menar vi således att det allmännas intresse av en heltäckande upp- följning väger tyngre än den enskildes intresse av största möjliga integritetsskydd. Som kommer att utvecklas i det följande lämnar vi emellertid vissa förslag rörande denna verksamhet som syftar till att garantera enskilda ett särskilt starkt skydd för den personliga integriteten. 3.4.9.3Identitetsuppgifter i uppföljningsverksamhet skall vara krypterade Med hänsyn till de aktuella uppgifternas stora mängd och integritets- känsliga karaktär bör det inte komma i fråga att i uppföljningsverk- samheten hantera uppgifter om läkemedelsförskrivningen till indi- vider med användning av de vanliga identitetsuppgifterna om patien- terna såsom namn och personnummer i okrypterat skick. I likhet med vad som är fallet med det danska läkemedelsstatistikregistret bör uppgifter som anknyter till patienters identitet krypteras, så att de vanliga identitetsuppgifterna inte kan läsas och kopplas till en viss individ på normalt sätt. Enligt vår uppfattning är det dock inte av integritetsskäl påkallat att kryptera uppgifter om förskrivares identitet. Inledningsvis kan konstateras att vi enligt våra direktiv skall utforma regler som med- Landstingens uppföljning av förskrivning och användning av läkemedel ger uppföljning på förskrivarnivå. I fråga om den dokumentation i uppföljningsverksamheten som kopplas till förskrivarnas identitet är det ju vidare inte fråga om uppgifter om en person som utifrån förskrivarens perspektiv rimligtvis kan betecknas som känsliga. Det handlar ju om uppgifter som utgör en dokumentation av förskriv- arens reguljära yrkesverksamhet. Det är dessutom fråga om doku- mentation av uppgifter om yrkesverksamhet som är så viktig att det i författning åläggs en skyldighet för förskrivaren själv att doku- mentera uppgifterna i en journal, som skall kunna användas för en rad olika syften. I och för sig är det så att uppföljningsverksam- heten inom landstingen primärt är inriktad på verksamheter och inte på individinsatser. Återkoppling med inriktning på enskilda förskrivare sker i det ovan beskrivna systemet för uppföljning inom hälso- och sjukvården främst genom verksamhetschefernas försorg. Läkemedelsförskrivning är emellertid så gott som alltid förenad med mer eller mindre stora risker för patienterna. Detta medför att säkerhetsperspektivet är viktigt i uppföljningsverksamheten. Ett exempel på när det utifrån ett säkerhetsperspektiv kan vara ytterst viktigt att förskrivarkoden finns med i uppföljningen i läsbart skick är om det uppmärksammas att en patient ordinerats olika läke- medel av olika läkare i en kombination som medför stora risker för patienten. I en sådan situation är det viktigt att snabbt kunna ge en återkoppling till de förskrivande läkarna. Det bör dock observeras att några uppgifter om patienternas identitet inte kan lämnas till förskrivande läkare, eftersom identitetsuppgifter i normalt läsbar form inte är tillgängliga för landstingen om inte de registrerade samtyckt till detta. Ett annat exempel är om det uppmärksammats att det förekommer ett produktfel hos ett läkemedel som innebär risk för patienterna. Förskrivarkoden ger då förutsättningar att snabbt nå ut specifikt till läkare som ofta förskriver just den typen av läkemedel. Detta utgör sammanfattningsvis viktiga skäl för att förskrivarkoden, i den utsträckning den förekommer i landstingens verksamhet för uppföljning av förskrivning av läkemedel, inte bör vara krypterad. Av detta följer även att den enligt recept- registerlagen gällande begränsningen för i vilka fall förskrivarkod får registreras i receptregistret bör avskaffas, se även avsnitt 2.4.6. Landstingens uppföljning av förskrivning och användning av läkemedel 3.4.9.4Närmare om kryptering i detta sammanhang En lösning som på ett tillfredsställande sätt beaktar de enskilda patienternas intresse av integritetsskydd måste ha som utgångs- punkt att hela verksamheten bedrivs med identitetsuppgifter i krypterat skick. Med kryptering avses här att man genom använd- ning av en algoritm bearbetar uppgifter matematiskt så att de är läsbara på normalt sätt. I stället för exempelvis ett person- nummer erhålls en annan sträng med tecken, som på visst sätt motsvarar personnumret men som inte utan särskild bearbetning kan ge upplysning om det ursprungliga personnumret. Genom krypteringen uppnås en pseudonymisering som elimine- rar möjligheten att genom automatiserad behandling koppla upp- gifter till en särskild identitet. bibehålls en möjlighet för uppföljningssystemet att koppla ihop uppgifter om en och samma person från olika källor genom att samma metod för kryptering används för samma uppgift. Genom detta förfarande uppnås inte en total avidentifiering, där alla uppgifter som på något sätt kan knyta en identitet till upp- gifterna har avlägsnats. Det är alltså fortfarande fråga om person- uppgifter i personuppgiftslagens mening. Enligt vår uppfattning innebär det föreslagna förfarandet i förening med de övriga skydds- regler som redan gäller eller som föreslås nedan trots detta enligt vår mening ett tillfredsställande skydd för patienternas integritet. Detta innebär till en början att uppgifter som lämnas ut från för detta ändamål skall vara krypterade redan vid utlämnandet. Den ovan berörda regeln om uppgiftsskyldighet för bör därför kompletteras med en regel som innebär att de uppgifter om identitet för patienter som lämnar ut skall vara krypterade på ett sådant sätt att de registrerades identitet är skyddad vid utlämnandet och under själva överföringen till lands- tingen. Dessutom föreslår vi en regel som innebär att de uppgifter om patienters identitet som härrör från landstingens vårddoku- mentation och som skall sambearbetas med uppgifterna från Apo- teket AB skall vara krypterade på motsvarande sätt. Enligt vår uppfattning bör den krypteringsmetod som används i dessa fall vara s.k. envägskryptering, dvs. den metod som används vid kryptering är utformad på ett sådant sätt att man inte efter krypteringen kan behandla produkten med hjälp av en nyckel eller algoritm och därigenom återskapa exempelvis ett personnummer i Landstingens uppföljning av förskrivning och användning av läkemedel Krypteringen skall alltså inte vara i den meningen reversibel. För att ett landsting skall kunna fullgöra informationsskyldig- heten enligt 26 § personuppgiftslagen krävs dock att en viss möjlig- het till bakvägsidentifiering finns. I dessa fall får detta ske genom att behöriga personer med tillgång till databasen för uppföljning och dokumentationen av krypteringsmetoden får kryptera den registre- rades personnummer eller namn med den tillämpade metoden och därefter söka efter den erhållna produkten i databasen. På sådant sätt kan de uppgifter om den registrerade som finns i databasen an- träffas och lämnas ut till denne. Några närmare bestämmelser om metod för kryptering bör dock inte ges i lag, utan i verkställighetsföreskrifter som meddelas av regeringen eller den myndighet regeringen bestämmer. Som framgått ovan är avsikten att uppgifter om individer från skall sambearbetas, dvs. läggas samman, med upp- gifter om samma individer som inhämtas från bl.a. landstingens egna vårddokumentation. Metoden för kryptering som sålunda skall användas hos såväl som de organ inom lands- tingen som skall stå för analysarbetet måste i ett system för upp- följning av det tilltänkta slaget vara samordnade så att uppgifter om en och samma individ från olika håll kan knytas samman. Detta är dock en sak som bör lösas genom de ovan berörda verkställighets- föreskrifterna. 3.4.9.6Skydd mot obehörig åtkomst till dokumentation av krypteringsmetod Med hänsyn till den ovan berörda möjligheten till bakvägsidenti- fiering är det viktigt att dokumentationen av metoden för kryptering, som alltså innebär en möjlighet till bakvägsidentifiering, omfattas av ett långtgående skydd mot obehörig åtkomst. Detta gäller såväl obehörig åtkomst som sker genom att en utomstående obehörigen erhåller tillgång till dokumentationen från ett landsting eller som obehörig åtkomst inom ett landsting eller . Landstingens uppföljning av förskrivning och användning av läkemedel Vad beträffar skyddet mot att uppgift om en dokumentation om kryptering som finns hos ett landsting röjs för en utomstående kan till en början konstateras att enligt 5 kap. 2 § andra stycket sekre- tesslagen gäller sekretess för uppgift som lämnar eller kan bidra till upplysning om säkerhets- eller bevakningsåtgärd med avseende på bl.a. system för automatiserad behandling av information om det kan antas att syftet med åtgärden motverkas om uppgiften röjs. Den föreskrivna sekretessen torde omfatta uppgifter om doku- mentation av det slag som är aktuellt. I kommentaren till sekretess- lagen anges sålunda att bestämmelsen i fråga kan utnyttjas också för att hålla uppgifter om säkerheten vid datorkommunikation hemliga, t.ex. i ett allmänt datanät. Uppgifter om krypterings- metod måste rimligen anses utgöra upplysning om säkerhetsåtgärd med avseende på system för automatiserad behandling, även om detta inte direkt nämns som exempel. Det noteras dock i kommen- taren att för uppgifter som rör bl.a. kryptering vid telekommuni- kation kan också bestämmelserna i 5 kap. 3 § vara tillämpliga. Enligt 5 kap. 3 § sekretesslagen gäller sekretess för uppgift som lämnar eller kan bidra till upplysning om chiffer, kod eller liknande metod som har till syfte att 1.underlätta befordran eller användning i allmän verksamhet av uppgifter utan att föreskriven sekretess åsidosätts, eller 2.göra det möjligt att kontrollera om data i elektronisk form har förvanskats, om det kan antas att syftet med metoden motverkas om upp- giften röjs. De fall som avses i första punkten i bestämmelsen syftar till att skydda befordran eller användning i allmän verksamhet av upp- gifter utan att föreskriven sekretess åsidosätts. Det torde innebära att bestämmelsen är tillämplig i fråga om dokumentation av metod för kryptering som används för att skydda mot obehörig spridning utanför en myndighet av uppgifter för vilka hälso- och sjukvårds- sekretessen gäller. Bestämmelsens räckvidd är dock begränsad till metoder som används vid befordran eller användning i allmän verksamhet. Detta inbegriper förmodligen inte t.ex. krypterings- nycklar som endast används vid befordran av uppgifter från enskild till allmän verksamhet eller som endast används för att säkerställa upprätthållandet av en tystnadsplikt enligt avtal eller annan för- fattning än sekretesslagen. I 4 kap. 1 och 2 §§ i den föreslagna patientdatalagen anges vissa bestämmelser om inre sekretess och tilldelning av behörighet för Landstingens uppföljning av förskrivning och användning av läkemedel Dessa bestämmelser omfattar inte dokumen- tation av en metod för kryptering, eftersom de endast avser upp- gifter om patienter. Krypteringsmetoden är i dessa fall inte indivi- duellt knuten till enskilda patienter, utan en och samma metod kommer att användas för alla personuppgifter som krypteras. När det gäller skydd mot obehörig åtkomst inom en myndighet, torde det emellertid vara möjligt att i viss utsträckning uppnå ett motsvarande skydd genom att, i likhet med vad som anges i 4 kap. 1 och 2 §§ patientdatalagen, i författning föreskriva att endast den som tilldelats viss särskild behörighet får ha åtkomst till uppgifter om dokumentationen av krypteringsmetoden och då endast för vissa godtagbara specificerade syften. Det skulle innebära att inre sekretess skulle gälla för uppgifterna i den utsträckning som mot- svaras av bestämmelserna och att ansvar för dataintrång skulle kunna komma i fråga vid överträdelse av bestämmelserna. I princip motsvarande resultat kan dock uppnås genom att respektive lands- ting själva inför interna bestämmelser om detta, eventuellt efter samråd med Datainspektionen. Detsamma gäller om Datainspek- tionen meddelar föreskrifter med sådant innehåll. En sådan författ- ningsbestämmelse i lag ter sig därför inte nödvändig i detta samman- hang. Vad därefter gäller skyddet hos mot obehörig spridning bör det införas en regel i lag om tystnadsplikt för an- ställda vid som skyddar innehållet i dokumentationen av krypteringsmetoden på motsvarande sätt som bestämmelserna i 5 kap. 2 och 3 §§ sekretesslagen. En sådan bestämmelse innebär att tystnadsplikt råder för de anställda hos i fråga om utformning etc. av den kryptering som används. Tystnadsplikten gäller såväl i förhållande till andra anställda inom (motsvarande s.k. inre sekretess) som i förhållande till utomstående. Härutöver föreslår vi en i lag reglerad skyldighet för såväl Apote- ket AB som landstingen att dokumentationen av krypterings- metoden skall fysiskt förvaras på ett betryggande sätt. 3.4.9.7Förbud mot efterforskning av identitet Nuvarande regler i sekretesslagen och de ovan föreslagna bestäm- melserna om tystnadsplikt innebär ett skydd mot att de i uppfölj- ningsverksamheten använda personuppgifterna obehörigen avkryp- teras hos landstingen eller att identiteten för en registrerad röjs på Landstingens uppföljning av förskrivning och användning av läkemedel Det bör dock därutöver införas en regel i författning, som innebär ett förbud hos landstingen mot automatiserad behand- ling av de från erhållna uppgifterna i syftet att röja en registrerads identitet, om inte den registrerade samtyckt till detta. Genom en sådan bestämmelse torde en olovlig sådan åtgärd falla under straffansvaret för dataintrång enligt 4 kap. 9 c § . Den föreslagna bestämmelsen medger att landstingen kan efterkomma bestämmelserna om information till de registrerade i personuppgiftslagen. En åtgärd för att genom den ovan beskrivna metoden för bakvägsidentifiering söka rätt på uppgifter i databaser om en registrerad som begärt att få ett registerutdrag enligt 26 § personuppgiftslagen måste anses grundad på den registrerades samtycke. Vi föreslår däremot inte någon motsvarighet i fråga om de uppgifter som krypteras hos inför överföringen till landstingen. 3.4.9.8Personkretsen med tillgång till uppgifter En annan viktig aspekt när det gäller bedömning av risker för integritetsintrång vid en viss typ av automatiserad behandling är hur vid den personkrets är som har tillgång till uppgifterna, främst i de fall då uppgifterna är tillgängliga på individnivå. Denna fråga aktualiseras i första hand hos landstingen. Med tillgång till upp- gifterna avses här såväl möjligheten att genom elektronisk åtkomst direkt ta del av uppgifterna i den databas där de registrerats som möjligheten att förfoga över vilka behandlingar som sker med upp- gifterna. I första hand är det ledning som har ansvaret för att den del av verksamheten som omfattar läkemedelsförskrivningen följs upp och styrs så att de gällande riktlinjerna inom området präglar verksamheten fullt ut. Dessutom har läkemedelskommitté- erna en viktig roll när det gäller uppföljning och styrning av läke- medelsförskrivningen. Inom landstingen bör det i princip endast vara landstingens ledning och läkemedelskommittéerna som för- fogar över vilka behandlingar av personuppgifter som skall ske med användning av uppgifter om uttagna läkemedel från . Som ovan berörts kommer huvuddelen av bestämmelserna i 4 kap. i den föreslagna patientdatalagen att vara tillämpliga i fråga om tillgång till de personuppgifter som behandlas i landstingens verksamhet för uppföljning av hälso- och sjukvården. I 4 kap. 1 § Landstingens uppföljning av förskrivning och användning av läkemedel anges en grundläggande bestämmelse om s.k. inre sekretess som innebär att den som arbetar hos ett landsting får ta del av de patientuppgifter som behandlas i uppföljningsverksamheten endast om han eller hon deltar i vården av den registrerade eller av annat skäl behöver uppgifterna för sitt arbete inom hälso- och sjuk- vården. En ytterligare viktig begränsning gäller enligt 2 §, i vilken det anges att en vårdgivare, dvs. , skall bestämma villkor för tilldelning av behörighet för elektronisk åtkomst till sådana upp- gifter om patienter som förs helt eller delvis automatiserat. Sådan behörighet skall begränsas till vad som behövs för att den enskilde skall kunna fullgöra sin arbetsuppgifter inom hälso- och sjuk- vården. Enligt uppgift från SKL är avsikten att endast mellan en och tre personer inom ett landsting skall ha åtkomst, dvs. tilldelas behörighet för elektronisk åtkomst, till de databaser med individ- uppgifter om uttag av läkemedel som kan komma att utlämnas från för uppföljning på sådant sätt att de kan behandla uppgifter på individnivå. Det är främst fråga om personer med antingen IT- eller farmaceutisk kompetens. Vi förutsätter att lands- tingen kommer att tillämpa detta strikta förhållningssätt när den föreslagna regleringen börjar tillämpas och behörighet för sådan åtkomst skall tilldelas personalen. Därutöver kommer ett större antal personer per landsting att kunna använda uppgiftssamlingarna för bearbetning i uppföljnings- syfte utan att få del av uppgifter på individnivå. De har endast till- gång till uppgifter på aggregerad nivå. Självklart kommer även ett stort antal personer inom landstingen att kunna få del av resultaten av verksamheten. 3.4.9.9Behov av sekretessbrytande bestämmelser När det gäller behovet av sekretessbrytande bestämmelser kan kon- stateras att om vårt förslag om att sekretessgränserna skall upp- hävas mellan olika myndigheter inom hälso- och sjukvården som ingår i samma landsting genomförs, så krävs inte några sekretess- brytande bestämmelser för det fall att ett landsting har valt att bedriva sin verksamhet under olika kommunala nämnder. Hos gäller 2 kap. 8 § lagen om yrkesverksamhet på hälso- och sjukvårdens områden. Enligt den bestämmelsen får inte per- sonalen obehörigen röja uppgifter om enskildas hälsotillstånd eller Landstingens uppföljning av förskrivning och användning av läkemedel andra personliga förhållanden. Som obehörigt röjande anses inte att någon fullgör uppgiftsskyldighet som följer av lag eller förordning. Den föreslagna bestämmelsen i receptregisterlagen om uppgifts- skyldighet för medför alltså att tystnadsplikten inte gäller i den utsträckning som uppgiftsskyldigheten gäller. fattar beslut huruvida ett läke- medel skall omfattas av läkemedelsförmånerna är det underlag som nämnden har att tillgå i princip endast den dokumentation som ligger till grund för godkännandet för försäljning hos Läkemedels- verket. Denna dokumentation bygger i huvudsak på tester av läke- medlet i kliniska prövningar. En dokumentation som även omfattar hur läkemedlet används i vardagen, vid vilka diagnoser, i vilka doser och i vilka kombi- nationer med andra läkemedel skulle utgöra ett värdefullt komple- ment för verksamhet vid bedöm- ningen av om den förväntade hälsoekonomiska kostnadseffektivi- teten håller i verkligheten. Det kan ju vara så att läkemedlet är kostnadseffektivt på svårt sjuka patienter, men används på lindrigt sjuka. Värdet av läkemedlet kan då gå förlorat. En sådan dokumentation skulle troligen kunna upprättas av landstingen utan alltför stora kostnader om de föreslagna möjlig- heterna för uppföljning av läkemedelsförskrivningen genomförs. Enligt vår uppfattning omfattar det i den föreslagna patientdata- lagen angivna primära ändamålet uppföljning även en sådan verk- samhet. För landstingens del föreligger med hänsyn till finansi- eringsansvaret för läkemedelsförmånerna ett egenintresse av att genom analyser granska läkemedelsförskrivningen i ett renodlat hälsoekonomiskt perspektiv. Det skulle emellertid också utgöra ett viktigt informationstillskott för om landstingen skulle ges uppgiften att i samarbete med nämnden ge den typen av återkoppling efter det att ett läkemedel börjat användas. Självklart skulle detta inte inbegripa något utlämnande av personuppgifter utan återkopplingen skulle ske genom informations- överföring i aggregerad form. I detta avsnitt behandlas den i våra direktiv angivna frågan om för- fattningsreglering av det nationella register för vaccinationer som förs i projektform av , och . I våra ursprungliga direktiv (dir. 2003:42) anges att vi bl.a. skall över- väga om särskild författningsreglering behövs för vaccinations- registret, som är under uppbyggnad. Om vi anser att en särskild för- fattningsreglering är nödvändig, skall vi utarbeta ett förslag till en sådan. I fråga om vaccinationsregistret anges i dessa direktiv att det är tänkt att bli ett rikstäckande register som skall innehålla upp- gifter om i princip alla vaccinationer som görs i landet. Vårdgivaren skall bl.a. kunna få uppgifter från registret inför behandling av en patient där det är nödvändigt att veta om patienten har vaccinerats och i så fall när vaccinationen skett. Likaså skall den enskilde kunna få besked om vilka vaccinationer som han eller hon fått och när.