sou · GWB328 · 2008-03-20 00:00:00 — Bestämmelsen utgör en generell bestämmelse om att enskildas och förskrivares integritet ska respekteras då personuppgifter om dem hanteras och förvaras. Bestämmelsen utgör även en reglering av den inre sekretessen (se vidare i 13 §). Personuppgiftslagen (1998:204) gäller för apotekens behandling av personuppgifter, om inget annat följer av denna lag. I paragrafen anges förhållandet mellan personuppgiftslagen och apoteksdatalagen på så sätt att personuppgiftslagen gäller utöver apoteksdatalagen vid apotekens behandling av personuppgifter. Om bestämmelserna i apoteksdatalagen avviker från bestämmel- serna i personuppgiftslagen, ska alltså bestämmelserna i apoteks- datalagen tillämpas. I de frågor som inte regleras av apoteks- datalagen, gäller däremot bestämmelserna i personuppgiftslagen. Följaktligen kan flera bestämmelser i personuppgiftslagen bli tillämpliga vid personuppgiftsbehandling på apoteken. De begrepp som används i apoteksdatalagen, till exempel behandling och personuppgifter har samma innebörd i apoteksdatalagen som i 3 § personuppgiftslagen. Den enskildes inställning till personuppgiftsbehandling Sådan behandling av personuppgifter som är tillåten enligt denna lag får utföras även om den enskilde motsätter sig den. Paragrafen har behandlats under avsnitt 6. I paragrafen tydliggörs att sådana personuppgiftsbehandlingar som är tillåtna enligt apoteksdatalagen får utföras även om den enskilde motsätter sig den. I de fall det enligt apoteksdatalagen krävs samtycke, det vill säga 6 § 6 och 9, är personuppgiftsbehandling givetvis inte tillåten om inte uttryckligt samtycke ges. Tillståndsinnehavaren är personuppgiftsansvarig för den personuppgifts- behandling som görs på . Paragrafen har behandlats i avsnitt 7. Enligt 2 kap. 1 § lag (xxxx:xx) om handel med läkemedel m.m. får endast den som har fått Läke- medelverkets tillstånd bedriva detaljhandel med läkemedel m.m. Sådan detaljhandel får endast bedrivas på apotek. Enligt apoteks- datalagens bestämmelse om personuppgiftsansvar är tillståndsinne- havaren ansvarig för den personuppgiftsbehandling som görs på de apotek som omfattas av tillståndet. Personuppgifterna i apotekens register får behandlas om det behövs för 1.expediering av läkemedel och andra varor som förordnats samt åtgärder i anslutning till expedieringen, 2.registrering och redovisning av uppgifter till Apotekens Service- bolag för fullgörande av skyldigheter enligt 2 kap. § 3 lag (xxxx:xx) om handel med läkemedel m.m., 3.registrering och redovisning av uppgifter till Apotekens Service- bolag för fullgörande av skyldigheter enligt 2 kap. 6 § 4 lag (xxxx:xx) om handel med läkemedel m.m., 4.spårning av utlämnade läkemedel och andra varor som förordnats samt hantering av reklamationer, 5.administrering av delbetalning av läkemedel och andra varor, 6.administrering av fullmaktsregister, 7.registrering och redovisning av uppgifter till , Jord- bruksverket och länsstyrelserna för deras tillsyn, 8.rapportering till förskrivare om utbyte av läkemedel ( 21 § 3 stycket lag (2002:160) om läkemedelsförmåner m.m.), 9.hälsorelaterad kundservice på läkemedelsområdet, 10.utlämnande av recept eller blanketter över förskrivna varor till den enskilde, 11.fullgörande av skyldighet som följer av annan författning, 12.systematisk och fortlöpande utveckling och säkring av apotekens kvalitet, och 13.administration, planering, uppföljning, och utvärdering av apotekens verksamhet samt framställning av intern statistik. Sådan personuppgiftsbehandling som avses i första stycket 6 och 9 får inte omfatta annan än den som har lämnat sitt samtycke till registrering. För ändamål som avses i första stycket 12 och 13 får inga uppgifter redovisas som kan hänföras till en enskild person. Tillståndsinnehavaren får för de ändamål som anges i första stycket 5, 12 och 13 behandla personuppgifter för flera apotek som denne driver. Tillståndsinnehavare som även bedriver annan verksamhet ska hålla personuppgifter som härrör från apoteksverksamheten avskilda från personuppgifter som härrör från annan verksamhet. Personuppgifter får inte behandlas för andra ändamål än de som anges Paragrafen har redovisats i avsnitt 8. I paragrafens första stycke anges de ändamål för vilka personuppgifter får behandlas på apotek. Syftet med att ange ändamålen är att slå fast en yttersta ram för när personuppgifter får samlas in och fortsättningsvis behandlas. Inom denna ram måste tillståndsinnehavaren i allmänhet bestämma mer konkreta och preciserade ändamål. Det ändamål som anges i punkten 1, expediering av läkemedel och andra varor som förordnats samt åtgärder i anslutning till expediering utgör apotekens primära verksamhet. Med expediering avses färdigställande och utlämnande av läkemedel och andra varor som förordnats. Ändamålet innefattar en mängd olika åtgärder som utförs vid och i anslutning till en expediering. Exempel på dessa åtgärder är hanteringen av personuppgifter vid licensförfarandet, överföring av personuppgifter vid hanteringen av extemporeläke- medel, packning och leverans av läkemedel som dosdispenserats, en farmacevts ändringar/tillägg av ett förordnande till exempel på recept, makulering av uppgifter om en gjord expediering och hanteringen av personuppgifter vid distanshandel med läkemedel. Punkterna 2 och 3 avser registrering och redovisning av upp- gifter till . Under punkten 2 ska registrering och redovisning ske momentant och elektroniskt av samtliga recepttransaktioner. Varje apotek ska lämna upplysning om inköpsdag, vara, mängd, dosering, kostnad och kostnads- reducering enligt lagen (2002:160) om läkemedelsförmåner m.m., förskrivningsorsak, kundens namn, personnummer och folkbok- föringsort samt postnumret i kundens bostadsadress, administra- tiva uppgifter, förskrivarens namn, yrke, specialitet, arbetsplats, arbetsplatskod och, vad avser läkares eller tandläkares förskrivning av narkotiska läkemedel, förskrivarkod samt, i de fall detta krävs, lämnat samtycke för förande av receptregistret enligt lagen (1996:1156) om receptregister och läkemedelsförteckning enligt lagen (2005:258) om läkemedelsförteckning samt för fullgörande av annan föreskriven uppgiftsskyldighet. Under punkten 3 ska registrering och redovisning ske av försäljningsstatistik avseende försäljning av samtliga läkemedel samt varor som avses i 3 § läke- medelslagen (1992:859). Försäljningsstatistiken ska inte omfatta några uppgifter som direkt eller indirekt kan hänföras till en fysisk person. Denna punkt har tagits med för att så fullständigt som möjligt redogöra för de uppgifter apoteken ska lämna till . Punkterna 4 och 5 avser spårning av utlämnade läkemedel och andra varor som förordnats samt hantering av reklamationer, samt administrering av delbetalning av läkemedel och andra varor. Under punkten 5 får tillståndsinnehavaren behandla personuppgifter för flera apotek som denne driver. Punkten 6 avser administrering av fullmaktsregister. I detta register framgår vem som har rätt att hämta ut läkemedel å någon annans vägnar. Detta har särskild betydelse både vid uthämtande av elektroniskt lagrade recept och vid beslut om delbetalning av läke- medel. Samtycke krävs för registrering av personuppgifter för detta ändamål. Punkten 7 avser registrering och redovisning av uppgifter till , och länsstyrelserna för deras till- syn. Apoteken är på , och läns- styrelsernas begäran skyldiga att lämna ut handlingar som rör verk- samheten och upplysningar om verksamheten som dessa aktörer behöver för sin tillsyn. Punkten 8 avser rapportering till förskrivare om utbyte av läke- medel och har behandlats under avsnitt 8.2.8. Punkten 9 avser hälsorelaterad kundservice på läkemedels- området. Exempel på sådan service är e-handel, läkemedelsgenom- gångar, patientprofiler och egenvård till kunderna. Denna service måste dock vara hälsorelaterad och avse läkemedel. Samtycke krävs för behandling av personuppgifter för detta ändamål. Punkten 10 avser utlämnande av recept eller blanketter över för- skrivna varor till den enskilde. Den enskilde har enligt detta ända- mål en möjlighet att omvandla sitt pappersrecept eller blanketter över förskrivna varor i pappersform till elektronisk form och även en möjlighet att omvandla dem tillbaka till pappersform igen. En spärrning av receptets eller blankettens tidigare format innefattas även av detta ändamål. Punkten 11 avser fullgörande av skyldigheter enligt olika för- fattningar. Exempel härpå är bestämmelsen om rapporterings- skyldighet till följd av de så kallade bestämmelserna i 2 kap. 7 § lagen (1998:531) om yrkesverksamhet på hälso- och sjukvårdens område. Punkten 12 avser kvalitetssäkring. Enligt tredje stycket får upp- gifter som kan hänföras till enskilda personer inte redovisas enligt detta ändamål. Punkten 13 innebär att tillståndsinnehavaren fortlöpande eller vid särskilda tillfällen kan administrera, planera, följa upp, och utvärdera verksamheten på olika nivåer. Med utvärdering avses analys och värdering av kvalitet, effektivitet och reslutat av en verk- samhet i förhållande till de mål som bestämts för denna. Enligt denna punkt får personuppgifter även behandlas för verksamhets- och försäljningsstatistik. Enligt tredje stycket får uppgifter som kan hänföras till enskilda personer inte redovisas enligt detta ändamål. Inget hinder möter mot att samköra personuppgifter i olika register om samkörningen sker för något eller några av de ändamål som avses i första stycket. I andra stycket anges att behandling av personuppgifter för administrering av fullmaktsregister och hälsorelaterad kundservice på läkemedelsområdet, punkterna 6 och 9, inte får omfatta annan än den som har lämnat sitt samtycke till registrering. Det inte kan uteslutas att bestämmelser i annan lag eller förordning ger enskilda personer en möjlighet att med rättslig verkan motsätta sig en personuppgiftsbehandling som i och för sig regleras av apoteks- datalagen. En sådan bestämmelser bör, enligt utredningens mening, gälla före apoteksdatalagens bestämmelse. I tredje stycket regleras i vilken utsträckning uppgifter som kan hänföras till enskilda personer får ingå i den redovisning som fram- ställs vid användning av registret för ett visst angivet ändamål. Enligt fjärde stycket får tillståndsinnehavaren för ändamålen (punkten 5) administrering av delbetalning av läkemedel och andra varor, (punkten 12) systematisk och fortlöpande utveckling och säkring av apotekens kvalitet, samt (punkten 13) administration, planering, uppföljning, och utvärdering av apotekens verksamhet samt framställning av intern statistik behandla personuppgifter för flera apotek som denne driver. Denna reglering möjliggör att till- ståndsinnehavaren, som kan utgöras av fysiska personer i enskilda firmor eller av aktiebolag, stiftelser, handelsbolag eller liknande, får behandla personuppgifter inom de apotek som omfattas av till- ståndet. I femte stycket regleras den situation då den som fått tillstånd att bedriva detaljhandel med läkemedel m.m. även bedriver annan verksamhet. En tillståndsinnehavare som även bedriver annan verk- samhet ska hålla personuppgifter som härrör från apoteksverksam- heten avskilda från personuppgifter som härrör från annan verk- samhet. I sjätte stycket finns ett förbud mot att behandla personupp- gifter för andra ändamål än de som anges i lagen. Detta förbud innebär att ändamålen i apoteksdatalagen ska betraktas som uttöm- mande. Det måste dock påpekas att ändamålen i sig kan innefatta flera åtgärder än de som exemplifieras i betänkandet. Personuppgifter som får behandlas Endast sådana personuppgifter som behövs för ändamål som anges i 6 § får behandlas. Paragrafen har behandlats under avsnitt 9. Enligt paragrafen får endast sådana personuppgifter som behövs för ändamålen som anges i 6 § samlas in och vidare behandlas med stöd av apoteks- datalagen. Alla personuppgifter som behövs för det ändamål för vilken en behandling utförs får alltså behandlas. Kravet på att personuppgifterna ska behövas för att få behandlas innebär att endast sådana personuppgifter som behövs för att uppfylla de aktuella ändamålen med personuppgiftsbehandlingen får behandlas. När det gäller frågan vilka personuppgifter som får behandlas måste även personuppgiftslagens grundläggande krav på att person- uppgifterna ska vara adekvata och relevanta i förhållande till ända- målen med behandlingen iakttas. Kraven innebär också att inte fler personuppgifter får behandlas än vad som är nödvändigt med hänsyn till ändamålen med behandlingen samt att personuppgifter som behandlas ska vara riktiga och, om nödvändigt, aktuella (personuppgiftslagen (1998:204) 9 § e–g). Ovidkommande eller onödigt många personuppgifter i förhållande till ändamålen får alltså inte behandlas. Inte heller får uppgifter som direkt pekar ut enskilda, till exempel personnummer, användas om det är tillräck- ligt för ändamålet att använda uppgifter som bara indirekt kan härledas till en viss person. Begreppen behövs i förevarande paragraf och nödvändig i personuppgiftslagen har i huvudsak samma innebörd. Enskildas identitet får användas som sökbegrepp endast för de ändamål som anges i 6 § första stycket 1, 4–6, 9 och 10. Förskrivares identitet får användas som sökbegrepp endast för de ändamål som anges i 6 § första stycket 7 och 8. Kod för förskrivningsorsak får inte användas som sökbegrepp. Paragrafen har behandlats under avsnitt 11. Användning av person- identitet som sökbegrepp begränsas till den frivilliga servicen till enskilda i fråga om administrering av delbetalning av läkemedel, administrering av fullmaktsregister, hälsorelaterad kundservice på läkemedelsområdet och utlämnande av recept eller blanketter över förskrivna varor till den enskilde. Apoteken får även använda enskildas identitet som sökbegrepp när det gäller registrering av underlaget för tillämpningen av bestämmelserna om läkemedels- förmåner vid köp av läkemedel m.m., samt när det gäller registrering av dosrecept, recept för flera uttag och elektroniska recept (elektroniska recept intas enligt utredningens förslag i huvudbetänkandet i 3 § 8 receptregisterlagen), då även detta rör den frivilliga servicen till den enskilde. I de fall en enskild reklamerar ett läkemedel eller en vara som förskrivits kan apoteks- personal behöva söka på den enskildes identitet. Även en sådan sökning är tillåten enligt denna paragraf. användas som sökbegrepp endast för registrering och redovisning till för dess tillsyn och för rapportering till för- skrivare om utbyte av läkemedel. Förskrivningsorsaken utesluts helt som sökbegrepp. Utlämnande av uppgifter på medium för automatiserad behandling Uppgifter ur apoteksregistret som lämnas ut i enlighet med ändamålen i 6 § får lämnas på medium för automatiserad behandling. Paragrafen har behandlats under avsnitt 12. Utlämnandet av upp- gifter på medium för automatiserad behandling begränsas inte på något annat sätt än som följer av ändamålen. Tillståndsinnehavaren ska till momentant och elektroniskt lämna sådan redovisning av uppgifter som avses i 6 § första stycket 2. Paragrafen har behandlats under avsnitt 13. I 10 och 11 §§ åläggs till- ståndsinnehavaren uttryckligen att lämna uppgifter från apotekens register. För personal på apoteken gäller den föreslagna bestämmelsen om tystnadsplikt i 12 §. Bestämmelsen förbjuder obehörigt röjande av uppgifter om enskildas hälsotillstånd eller andra personliga för- hållanden. Genom bestämmelsen om uppgiftsskyldighet i apoteks- datalagen klargörs att uppgiftsutlämnandet inte är obehörigt. Bestäm- melsen om uppgiftsskyldighet för tillståndsinnehavaren finns också i 2 kap. 6 § 3 lag (xxxx:xx) om handel med läkemedel m.m. I paragrafen åläggs tillståndsinnehavaren att momentant och elektroniskt, av samtliga recepttransaktioner, att lämna upplysning om inköpsdag, vara, mängd, dosering, kostnad och kostnadsreducering enligt lagen (2002:160) om läkemedelsförmåner m.m., förskrivningsorsak, kundens namn, personnummer och folkbokföringsort samt post- numret i kundens bostadsadress, administrativa uppgifter, för- skrivarens namn, yrke, specialitet, arbetsplats, arbetsplatskod och, vad avser läkares eller tandläkares förskrivning av narkotiska läkemedel, förskrivarkod samt, i de fall detta krävs, lämnat samtycke för förande av receptregistret enligt lagen (1996:1156) om receptregister och läkemedelsförteckning enligt lagen (2005:258) om läkemedelsför- teckning samt för fullgörande av annan föreskriven uppgiftsskyl- dighet. Uppgifterna ska lämnas till . Tillståndsinnehavaren ska till lämna sådan redovisning av uppgifter som avses i 6 § första stycket 3 samt till , och länsstyrelserna lämna sådan redovis- ning av uppgifter som avses i 6 § första stycket 7 samt till den förskrivare som gjort förskrivningen lämna sådan redovisning av uppgifter som avses i 6 § första stycket 8. I paragrafen åläggs tillståndsinnehavaren, i enlighet med 2 kap. 6 § 4 lagen (xxxx:xx) om handel med läkemedel m.m., att lämna ut uppgift om försäljningsstatistik avseende försäljning av samtliga läkemedel samt varor som avses i 3 § läkemedelslagen (1992:859). Uppgifterna ska lämnas till . Försälj- ningsstatistiken ska inte omfatta några uppgifter som direkt eller indirekt kan hänföras till en fysisk person. Denna punkt har tagits med för att så fullständigt som möjligt redogöra för apotekens uppgiftsskyldighet. Vidare åläggs tillståndsinnehavaren att lämna ut handlingar som rör verksamheten och upplysningar om verksamheten till Social- styrelsen, och länsstyrelserna för deras tillsyn, samt rapportera till förskrivare om utbyte av läkemedel. Tystnadsplikt och inre sekretess För sådan apotekspersonal som tillverkar eller expedierar läkemedel eller lämnar råd eller upplysningar gäller tystnadsplikt enligt 2 kap. 8–10 §§ lagen (1998:531) om yrkesverksamhet på hälso- och sjukvårdens område. Tystnadsplikten enligt första stycket gäller även för annan personal som arbetar eller har arbetat på apotek. Bestämmelsen om tystnadsplikt innebär ett förbud för personer som avses i första eller andra stycket att obehörigen röja vad han eller hon i sin verksamhet har fått veta om en enskilds hälsotillstånd eller andra personliga förhållanden, vare sig det sker muntligen eller genom att hand- ling lämnas ut. Paragrafen har behandlats i avsnitt 14.1. I paragrafen erinras om att tystnadspliktsbestämmelserna i 2 kap. 8–10 §§ lagen (1998:531) om yrkesverksamhet på hälso- och sjukvårdens område gäller för apotekspersonal som expedierar läkemedel eller lämnar råd eller upplysningar. Bestämmelserna ska gälla även för annan personal som arbetar eller har arbetat på apotek. Exempel på sådan personal är personal- och IT-ansvariga som i vissa fall hanterar personupp- gifter som omfattas av tystnadsplikten för sådan personal som till- verkar eller expedierar läkemedel eller lämnar råd eller upplys- ningar. Förbudet innebär även att apotekspersonal inte obehörigen får röja vad han eller hon i sin verksamhet har fått veta om en enskilds hälsotillstånd eller andra personliga förhållanden, genom att lämna ut en handling som upptar dessa uppgifter. Den som arbetar på ett apotek får ta del av dokumenterade uppgifter om enskilda eller förskrivare endast om han eller hon behöver uppgifterna för att kunna utföra sitt arbete på . Paragrafen har behandlats i avsnitt 14.2. Den utgör en precisering av bestämmelsen i 2 § såvitt gäller den inre sekretessen. Bestämmel- sen är teknikoberoende och tillämplig på alla slags dokumenterade personuppgifter om enskilda eller förskrivare. Regelns tillämp- ningsområde är inte begränsat enbart till hälso- och sjukvårdens personal utan har generell räckvidd och omfattar all personal oavsett var den tjänstgör och oavsett för vilka syften uppgifterna behövs. Regleringen kompletteras genom bestämmelserna i 14 §, som föreskriver ett uttryckligt ansvar för tillståndsinnehavaren att begränsa personalens elektroniska åtkomst till uppgifter som behövs för att personalen ska kunna fullgöra sina arbetsuppgifter på . Tillståndsinnehavaren ska ha bestämda villkor för tilldelning av behörig- het för åtkomst till sådana uppgifter om enskilda och förskrivare som förs helt eller delvis automatiserat. Tillståndsinnehavaren ska genomföra åtgärder som innebär att åtkomst till sådana uppgifter om enskilda och förskrivare som förs helt eller delvis automatiserat dokumenteras och kan kontrolleras. Det ska genomföras systematiska och återkommande kontroller av om obehörig åtkomst till sådana uppgifter förekommer. Regeringen eller den myndighet regeringen bestämmer får meddela ytterligare föreskrifter om tilldelning av behörighet för åtkomst till upp- gifter samt om dokumentation och kontroll. Paragrafen har behandlats under avsnitt 15. Tillståndsinnehavaren ska bestämma villkoren för hur personalen ska tilldelas behörighet för elektronisk åtkomst till uppgifter om enskilda och förskrivare. Bestämmelsen motsvarar utredningens förslag i huvudbetänkandet (SOU 2008:4) 2 kap. 6 § 5–6 och 12 § förslag till lag (xxxx:xx) om handel med läkemedel m.m. och 9 a § förslag till lag om ändring i lagen (1996:1156) om receptregister. Med elektronisk åtkomst avses personalens möjligheter att bereda sig tillgång till person- uppgifter som finns elektroniskt tillgängliga på apoteken. Behörig- hetstilldelningen ska alltså vara aktiv och aktuell. När behörighets- tilldelningen görs bör också riskanalyser göras. Det bör också till- ses att alla i personalen får full information om behörighets- reglerna. Enligt bestämmelsen ska vidare tillståndsinnehavaren genomföra åtgärder som innebär att åtkomst till sådana uppgifter om enskilda och förskrivare som förs helt eller delvis automatiserat dokumenteras och kan kontrolleras. Av bestämmelsen följer att det systematiskt och fortlöpande ska kontrolleras om obehörig åtkomst till uppgifter om enskilda och förskrivare har förekommit. Genom att all elektronisk åtkomst ska dokumenteras blir det möjligt att göra kontroller i efterhand. Det är dock inte tillräckligt att göra kontroller i särskilda fall då misstanke kan finnas om obehörigt intrång. Uppgiftskontroller ska i stället både göras i särskilda fall då misstanke kan finnas om obehörigt intrång och systematiskt och fortlöpande. Av bestämmelsen framgår att ytterligare föreskrifter i ämnet får meddelas av regeringen eller den myndighet regeringen bestämmer. Av sådana föreskrifter bör det framgå att behörigheten ska begränsas till vad som behövs för att personalen ska kunna utföra sina arbetsuppgifter. Föreskrifterna bör även omfatta hur kontroller ska göras samt närmare reglera omfattningen av åtkomstdokumentationen och hur länge den ska sparas. Bestämmelserna kan röra när och av vem en slagning har skett i systemet. Uppgifter som kan hänföras till enskilda personer och som bevarats för ändamålet enligt 6 § första stycket 4 ska avseende verifikationer 1.av narkotiska läkemedel tas bort ur registret under den sextionde månaden efter den under vilken de registrerades, 2.avseende försäljning och utlämnande av läkemedel eller teknisk sprit under den trettiosjätte månaden efter den under vilken de registrerades, och 3.för ansökning om licensförskrivning av inte godkända läkemedel under den femtonde månaden efter den under vilken de registrerades. Uppgifter som kan hänföras till enskilda personer och som bevarats för ändamålet enligt 6 § första stycket 1 avseende expediering av veteri- närmedicinska läkemedel ska tas bort ur registret under den sextionde månaden efter den under vilken de registrerades. Uppgifter som kan hänföras till enskilda personer och som bevarats för ändamålet enligt 6 § första stycket 3–5 och 7–10 ska tas bort ur registret under den femtonde månaden efter den under vilken de registre- rades. Uppgifter som kan hänföras till enskilda personer och som bevarats för ändamålet enligt 6 § första stycket 11 ska tas bort ur registret när skyldigheten har fullgjorts.