sou · GWB328 · 2008-03-20 00:00:00 — Vid ett utlämnande på medium för automatiserad behandling gör den som lämnar ut uppgifterna i varje enskilt fall en prövning i enlighet med ändamålen för personuppgiftsbehandling huruvida uppgifterna kan lämnas ut eller inte. Överordnat bestämmelsen om utlämnande av uppgifter på medium för automatiserad behandling finns bestämmelserna om tystnadsplikt som avgör om ett utlämnande 1 och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och det fria flödet av sådana uppgifter. Utlämnande av uppgifter på medium för automatiserad behandling överhuvudtaget kan komma i fråga, oavsett medium för utlämnande. Utredningen föreslår, i likhet med motsvarande bestämmelse i receptregisterlagen, att utlämnande av uppgifter på medium för automatiserad behandling inte ska begränsas på något annat sätt än vad som följer av apoteksdatalagens ändamålsbestämmelser. Apotekspersonal som expedierar recept omfattas av lagen (1998:531) om yrkesverksamhet på hälso- och sjukvårdens område och lagens bestämmelser om tystnadsplikt (se avsnitt 14). För att inte utlämnandet av uppgifter till , , och länsstyrelserna samt för- skrivare ska anses som ett obehörigt röjande anser utredningen att det i apoteksdatalagen bör införas bestämmelser om uppgifts- skyldighet för apoteken. Utredningens förslag: Tillståndsinnehavaren ska till momentant och elektroniskt lämna sådan redovisning av uppgifter som avses i 6 § första stycket 2. Utredningen har i sitt huvudbetänkande (SOU 2008:4, avsnitt 14.4.4, s. 325 f) kommit fram till att ska tillhandahålla ett antal register och databaser till samtliga apotek på marknaden. För att ska kunna vara personuppgiftsansvarigt samt driva registren och data- baserna måste bolaget få tillgång till den information som ingår i samlingarna. Eftersom uppgifterna, såvitt avser förskrivna läke- medel, liksom lämpligen samlas in vid expedieringen av recepten har utredningen i huvudbetänkandet ansett att apoteken momentant och elektroniskt ska överföra uppgifter om samtliga De uppgifter som utredningen har föreslagit ska rapporteras in till är de som finns i receptregistret, nämligen uppgift om inköpsdag, vara, mängd, dosering, kostnad och kostnads- reducering enligt lagen (2002:160) om läkemedelsförmåner m.m., förskrivningsorsak, kundens namn, personnummer och folkbok- föringsort samt postnumret i kundens bostadsadress, administra- tiva uppgifter, förskrivarens namn, yrke, specialitet, arbetsplats, arbetsplatskod och, vad avser läkares eller tandläkares förskrivning av narkotiskt läkemedel, förskrivarkod samt, i de fall detta krävs, lämnat samtycke. Eftersom det är av stor vikt att registren upp- dateras löpande har utredningen i sitt huvudbetänkande föreslagit att apoteken åläggs att ha sådan teknisk utrustning som krävs för att uppgifterna på ett säkert sätt ska kunna överföras momentant på elektronisk väg. Apoteken måste leverera dessa uppgifter momentant för att erhålla och behålla sitt tillstånd till att bedriva detaljhandel med läkemedel. Eftersom det åligger den personupp- giftsansvarige, det vill säga tillståndsinnehavaren, att se till att upp- gifterna lämnas till anser utredningen att uppgiftsskyldigheten ska knytas till tillståndsinnehavaren (se avsnitt 7). Utredningen föreslår mot bakgrund av det ovanstående en uppgiftsskyldighet för tillståndsinnehavaren att till momentant och elektroniskt lämna sådan redovis- ning av uppgifter som avses i 6 § första stycket 2. Utredningens förslag: Tillståndsinnehavaren ska till lämna sådan redovisning av uppgifter som avses i 6 § första stycket 3 samt till , Jord- bruksverket och länsstyrelserna lämna sådan redovisning av uppgifter som avses i 6 § första stycket 7, och till den för- skrivare som gjort förskrivningen lämna sådan redovisning av uppgifter som avses i 6 § första stycket 8. Utredningen har i sitt huvudbetänkande (SOU 2008:4, avsnitt 14.4.3, s. 322 ff) föreslagit att ska ta över ansvaret för sammanställning av nationell läkemedelsstatistik och den skyldighet att leverera uppgifter till myndigheter och landsting som ligger på . Utredningen har i huvudbetänkandet på grund härav ansett att varje apotek till ska leverera statistik avseende all för- säljning av läkemedel och varor som avses i 3 § läkemedelslagen (1992:859). En bestämmelse om att varje apotek ska leverera stati- stik till har tagits in i förslaget till lag (xxxx:xx) om handel med läkemedel m.m. 2 kap. 6 § 4. Apoteken måste leverera denna statistik för att erhålla och behålla sitt till- stånd till att bedriva detaljhandel med läkemedel. Utredningen föreslår att en bestämmelse om uppgiftsskyldighet intas i apoteks- datalagen avseende varje apoteks skyldighet att leverera statistik avseende all försäljning av läkemedel och varor som avses i 3 § läke- medelslagen. Enligt 6 § 8 i apoteksdatalagen får personuppgifter även användas för registrering och redovisning av uppgifter till Social- styrelsen för dess tillsyn över hälso- och sjukvårdspersonal enligt lagen om yrkesverksamhet på hälso- och sjukvårdens område. Av punkten 8 framgår vidare att personuppgifter får behandlas för registrering och redovisning av uppgifter till och länsstyrelserna för dess tillsyn över veterinärer enligt 3 § förord- ning (1971:810) med allmän veterinärinstruktion och 3 § (2002:864) förordning med länsstyrelseinstruktion. Utredningen föreslår att en bestämmelse om uppgiftsskyldighet för apoteken till , och länsstyrelserna intas i apoteksdatalagen. Varje apotek har enligt 21 § 3 stycket lag om läkemedels- förmåner m.m. en skyldighet att rapportera till förskrivare om bytt ut det läkemedel som förskrivits. Utredningen före- slår även att en bestämmelse om uppgiftsskyldighet till förskrivare intas i apoteksdatalagen. Eftersom det åligger den personuppgiftsansvarige att se till att uppgifterna lämnas till , , och länsstyrelserna, samt förskrivarna anser utred- ningen att uppgiftsskyldigheten ska knytas till tillståndsinne- havaren (se avsnitt 7). 14 Tystnadsplikt och inre sekretess Utredningens förslag: För sådan apotekspersonal som till- verkar eller expedierar läkemedel eller lämnar råd eller upplys- ningar gäller tystnadsplikt enligt 2 kap. 8–10 §§ lagen (1998:531) om yrkesverksamhet på hälso- och sjukvårdens område. Tystnadsplikten enligt första stycket gäller även för annan personal som arbetar eller har arbetat på apotek. Bestämmelsen om tystnadsplikt innebär ett förbud för personer som avses i första och andra stycket att obehörigen röja vad han eller hon i sin verksamhet har fått veta om en enskilds hälsotillstånd eller andra personliga förhållanden, vare sig det sker muntligen eller genom att handling lämnas ut. Övrig personal inom sådan detaljhandel med läkemedel som omfattas av särskilda föreskrifter och personal som är verksam inom den särskilda giftinformationsverksamheten vid och som tillverkar eller expedierar läkemedel eller lämnar råd och upplysningar är enligt 1 kap. 4 § 4 lagen om yrkes- verksamhet på hälso- och sjukvårdens område hälso- och sjuk- vårdspersonal och omfattas av den lagens bestämmelser om skyl- digheter för personalen. Enligt 2 kap. 8 § nämnda lag får den som tillhör eller har tillhört hälso- och sjukvårdspersonalen inom den enskilda hälso- och sjukvården inte obehörigen röja vad han eller hon i sin verksamhet har fått veta om en enskilds hälsotillstånd eller andra personliga förhållanden. Som obehörigt röjande anses inte att någon fullgör sådan uppgiftsskyldighet som följer av lag eller förordning. Utredningen har i förslag till lag (xxxx:xx) om handel med läkemedel m.m. 6 kap. 2 § tagit in en bestämmelse som Tystnadsplikt och inre sekretess innebär att för sådan apotekspersonal som tillverkar eller expedierar läkemedel eller lämnar råd eller upplysningar gäller 2 kap. 8–10 §§ lagen om yrkesverksamhet på hälso- och sjuk- vårdens område (SOU 2008:4, avsnitt 14.4.9, s. 336 f). På ett apotek, främst inom en stor apotekskedja, kan det komma att finnas annan personal som inte tillverkar eller expedierar läkemedel eller lämnar råd eller upplysningar. Exempel på sådan personal är personal- och IT-ansvariga. Dessa personer hanterar i vissa fall personuppgifter som omfattas av tystnads- plikten hos sådan personal som tillverkar eller expedierar läkemedel eller lämnar råd eller upplysningar. Utredningen anser att alla anställda på ett apotek ska omfattas av samma tystnadsplikt och knyter därför även annan personal som arbetar eller har arbetat på ett apotek till tystnadsplikten enligt 2 kap. 8–10 §§ lagen om yrkes- verksamhet på hälso- och sjukvårdens område. För att inte bestämmelsen om tystnadsplikt ska kringgås genom att personuppgifter ges ut i skriftlig form anser utredningen att bestämmelsen om tystnadsplikt även ska gälla utlämnande av en handling. Bestämmelsen innebär sålunda även ett förbud för apotekspersonal att obehörigen röja vad han eller hon i sin verk- samhet har fått veta om en enskilds hälsotillstånd eller andra personliga förhållanden, vare sig det sker muntligen eller genom att handling lämnas ut. Utredningen föreslår av tydlighetsskäl att det i apoteksdatalagen ska göras en hänvisning till 2 kap. 8–10 §§ lagen om yrkesverk- samhet på hälso- och sjukvårdens områdes bestämmelser om tyst- nadsplikt. Vidare föreslår utredningen att denna bestämmelse kompletteras på så sätt att den även omfattar annan personal som arbetar eller har arbetat på apotek, samt genom att det anges att bestämmelsen avser förbud att röja uppgift, vare sig det sker muntligen eller genom att handling lämnas ut. Utredningens förslag: Den som arbetar på ett apotek får ta del av dokumenterade uppgifter om enskilda eller förskrivare endast om han eller hon behöver uppgifterna för att kunna utföra sitt arbete på . Tystnadsplikt och inre sekretess Inre sekretess är inget juridiskt definierat eller helt avgränsat begrepp. Med begreppet menas ofta i vad mån personal inom en verksamhet får, muntligen eller på annat sätt, lämna ut uppgifter som omfattas av sekretessen till arbetskamrater. För att upprätt- hålla ett gott integritetsskydd och ett förtroende från allmänheten måste det, enligt utredningens mening, även inom en verksamhet finnas ett integritetsskydd avseende hantering av uppgifter om enskilda. Utredningen har i sitt huvudbetänkande föreslagit en omreglering av apoteksmarknaden. Efter att omregleringen genom- förts kommer ett okänt antal nya aktörer att etablera sig på marknaden. Det går inte fullt ut att förutsäga hur dessa nya aktörer kommer att vara organiserade och hur stora affärskedjor som kommer att bildas. Utredningen anser att det på grund härav finns ett behov av en rättslig avgränsning av vilka uppgifter som kan lämnas inom en verksamhet. Desto större aktörsenheter som bildas på marknaden desto större är risken för att känsliga, och därmed skyddsvärda, uppgifter kommer att spridas i onödigt stor omfattning. Som nämnts i avsnitt 14.1 föreslås att sådan apotekspersonal som tillverkar eller expedierar läkemedel eller lämnar råd eller upplysningar, samt även annan personal som arbetar eller har arbetat på apotek, ska omfattas av de föreslagna bestämmelserna om tystnadsplikt. Bestämmelserna är till sin ordalydelse inte begränsad till röjanden eller utlämnanden till mottagare utanför den privata verksamhetens organisation. Utredningen anser emellertid att tveksamhet kan uppstå angående bestämmelsens räckvidd avseende den inre sekretessen. Detta får särskilt betydelse vid en straffrättslig bedömning av om brott mot tystnadsplikten föreligger (20 kap. 3 § ). Utredningen anser att en bestämmelse som reglerar vilka upp- gifter som kan lämnas inom en verksamhet är väsentlig för det inre sekretesskyddet. Det ska därför klargöras att en befattningshavare är behörig att ta del av uppgifter om enskilda eller förskrivare endast om han eller hon behöver uppgifterna i sitt arbete på . Regelns tillämpningsområde begränsas inte enbart till hälso- och sjukvårdens personal utan har generell räckvidd och omfattar all personal oavsett var den tjänstgör. Allt utbyte av sådana uppgifter som har sin grund i skvaller, personlig nyfikenhet eller andra ovidkommande syften skulle därmed bli olaglig. Bestämmelsen är teknikoberoende och tillämplig på alla slags Tystnadsplikt och inre sekretess dokumenterade personuppgifter om enskilda eller förskrivare. Utredningen föreslår därför att en bestämmelse om inre sekretess ska tas in i apoteksdatalagen. 15Bestämmelser om behörighetstilldelning och åtkomstkontroll Enligt 31 § personuppgiftslagen (1998:204) ska den personupp- giftsansvarige vidta lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifterna och därmed åstadkomma en säkerhetsnivå som är lämplig med beaktande av hur känsliga upp- gifterna är, vilka tekniska möjligheter som finns, de särskilda risker som finns med behandlingen av uppgifterna samt vad det skulle kosta att genomföra åtgärderna. Enligt 32 § får tillsynsmyndig- heten, Datainspektionen, i enskilda fall besluta om vilka säkerhets- åtgärder som den personuppgiftsansvarige ska vidta enligt 31 §. Datainspektionen har även utfärdat allmänna råd om säkerhet för personuppgifter. I dessa råd förordas att det ska finnas en behörighetskontroll för att förhindra obehörig åtkomst genom att användaren identifieras genom till exempel lösenord. Systemet bör kunna kontrollera användningen så att endast de som behöver upp- gifterna för sitt arbete får tillgång till personuppgifterna. Data- inspektionen har vidare lyft fram att personuppgifter bör skyddas genom till exempel kryptering för att förhindra att de förstörs, ändras eller förvanskas vid överföring via nät och för att skyddas mot obehörig åtkomst. När utrustningen ansluts till Internet bör anslutningen skyddas för att förhindra obehörig trafik. Data- inspektionen anser, i samma syfte, att åtkomst från nätet till annan utrustning eller lokala nät hos bolaget bör förhindras. Data- inspektionen lyfter även fram att effektiva och regelbundna rutiner för kontroll av loggar är av avgörande betydelse för integritets- Bestämmelser om behörighetstilldelning och åtkomstkontroll skyddet; såväl för dess avhållande verkan som för att det är ett verktyg att i efterhand spåra upp och konstatera ett otillåtet intrång. Av betydelse är även att olovligt intrång och olovligt efter- forskande i elektroniska informationssystem, till exempel apotekens register, kan vara straffbart enligt straffbestämmelsen om dataintrång. Den som olovligen bereder sig tillgång till upptag- ning för automatisk databehandling eller olovligen ändrar eller utplånar eller i register för in sådan upptagning döms enligt 4 kap. 9 c § för dataintrång till böter eller fängelse i högst . Bestämmelsen är tillämplig då någon använder sig av sin behörighet till åtkomst till ett elektroniskt register för att läsa uppgifter om en kund utan att detta behövs från arbetssynpunkt, till exempel på grund av ren nyfikenhet. Utredningen har i sitt huvudbetänkande (SOU 2008:4, avsnitt 14.4.8, s. 335) i förslag till lag (xxxx:xx) om handel med läkemedel m.m. 2 kap. 6 § 6 och 7 föreslagit bestämmelser om att varje apotek ska ha bestämda villkor för personalens tilldelning av behörighet för åtkomst till personuppgifter som förs helt eller delvis automati- serat och att personalens elektroniska åtkomst ska dokumenteras och kontrolleras samt att det ska genomföras systematiska och återkommande kontroller av om obehörig åtkomst till sådana upp- gifter förekommer. I samma lag har i 2 kap. 12 § föreslagits en bestämmelse om att regeringen, eller den myndighet som regeringen bestämmer ska meddela närmare föreskrifter om doku- mentation och kontroll av åtkomst. Apoteken måste uppfylla dessa villkor för att erhålla och behålla sitt tillstånd till att bedriva detalj- handel med läkemedel. Utredningens förslag: Tillståndsinnehavaren ska ha bestämda villkor för tilldelning av behörighet för åtkomst till sådana upp- gifter om enskilda och förskrivare som förs helt eller delvis automatiserat. Tillståndsinnehavaren ska genomföra åtgärder som innebär att åtkomst till sådana uppgifter om enskilda och förskrivare som förs helt eller delvis automatiserat dokumenteras och kan kontrolleras. Det ska genomföras systematiska och återkom- Bestämmelser om behörighetstilldelning och åtkomstkontroll mande kontroller av om obehörig åtkomst till sådana uppgifter förekommer. Regeringen eller den myndighet regeringen bestämmer får meddela ytterligare föreskrifter om tilldelning av behörighet för åtkomst till uppgifter samt om dokumentation och kontroll. Utredningen anser att ett godtagbart integritetsskydd kräver en kombination av väl avvägda rutiner för behörighetstilldelning, administrativa rutiner för när det är tillåtet att ta del av personupp- gifter samt kontroller i efterhand av loggar. Utredningen menar att det i apoteksdatalagen bör införas en bestämmelse som föreskriver ett ansvar för den personuppgiftsan- svarige att närmare bestämma villkoren för personalens elektroniska åtkomst till personuppgifter. Behörigheten för personalens elektroniska åtkomst ska begränsas till vad befatt- ningshavaren behöver för att kunna utföra sina arbetsuppgifter på . Behörigheter ska följas upp och förändras eller inskränkas efter hand som ändringar i den enskilde befattnings- havarens arbetsuppgifter ger anledning till det. Syftet med bestäm- melsen är att den personuppgiftsansvarige ska göra aktiva och individuella behörighetstilldelningar utifrån analyser av vilken närmare information olika personalkategorier och olika slags verk- samheter behöver. I detta sammanhang behöver den personupp- giftsansvarige även göra riskanalyser samt informera de anställda om behörighetsreglerna. Utredningen anser att en bestämmelse om skyldighet för den personuppgiftsansvarige att dokumentera all elektronisk åtkomst bör tas in i apoteksdatalagen. Åtkomsten blir därigenom möjlig att dokumentera i efterhand genom loggen. Det räcker emellertid inte att bara göra uppföljningskontroller i särskilda fall då man misstänker obehörigt intrång, till exempel för att kunden är en känd person. Uppgiftskontroller bör göras både då man misstänker obehörigt intrång och systematiskt och fortlöpande. Att det införs en sådan bestämmelse i apoteksdatalagen innebär att förekomst av dataintrång kommer att kunna konstateras och beivras. Bestämmelsen bör också få en starkt avhållande effekt på personalen. Att i generella termer reglera hur behörighetstilldelning till apotekspersonal och åtkomstkontroll av personuppgifter bör utformas är dock inte möjligt, i vart fall inte genom lagstiftning. Bestämmelser om behörighetstilldelning och åtkomstkontroll Närmare riktlinjer och föreskrifter om dokumentation och kontroll av åtkomst ska meddelas av regeringen, eller den myndighet som regeringen bestämmer. Utredningen anser att samråd bör ske med Datainspektionen då föreskrifter meddelas. Utredningen anser att det även med sådana föreskrifter kommer att ligga ett ansvar på tillståndsinnehavaren att utveckla goda rutiner och adekvata metoder för uppfyllande av de mål och krav som följer av författningarna. Tillståndsinnehavaren har ett ansvar för att tillse att personalen är på det klara med vad som gäller i fråga om hantering av uppgifter om den enskilde och förskrivare. Vidare ska understrykas att det ingår i tillståndsinnehavarens ansvar att kontinuerligt följa upp att utarbetade rutiner och interna regler verkligen tillämpas av personalen i den vardagliga verksamheten. Det kan exempelvis gälla sådana självklara rutiner som att en arbetstagare, som är inloggad på en dator, ska låsa datorn då han eller hon lämnar datorn utom kontroll. Utredningen föreslår på grund av ovan nämnda skäl att det i apoteksdatalagen ska intas en bestämmelse om att tillståndsinne- havaren ska ha bestämda villkor för personalens tilldelning av behörighet för åtkomst till personuppgifter som förs helt eller delvis automatiserat och att personalens elektroniska åtkomst ska dokumenteras och kontrolleras samt att det ska genomföras syste- matiska och återkommande kontroller av om obehörig åtkomst till sådana uppgifter förekommer. Regeringen, eller den myndighet som regeringen bestämmer ska meddela närmare föreskrifter om dokumentation och kontroll av åtkomst. Utredningens förslag: Uppgifter som kan hänföras till enskilda personer och som bevarats för ändamålet enligt 6 § första stycket 4 ska avseende verifikationer 1.av narkotiska läkemedel tas bort ur registret under den sextionde månaden efter den under vilken de registrerades, 2.avseende försäljning och utlämnande av läkemedel eller teknisk sprit under den trettiosjätte månaden efter den under vilken de registrerades, och 3.för ansökning om licensförskrivning av inte godkända läke- medel under den femtonde månaden efter den under vilken de registrerades. Uppgifter som kan hänföras till enskilda personer och som bevarats för ändamålet enligt 6 § första stycket 1 avseende expediering av veterinärmedicinska läkemedel ska tas bort ur registret under den sextionde månaden efter den under vilken de registrerades. Uppgifter som kan hänföras till enskilda personer och som bevarats för ändamålet enligt 6 § första stycket 3–5 och 7–10 ska tas bort ur registret under den femtonde månaden efter den under vilken de registrerades. Uppgifter som kan hänföras till enskilda personer och som bevarats för ändamålet enligt 6 § första stycket 11 ska tas bort ur registret när skyldigheten har fullgjorts. Uppgifter som kan hänföras till enskilda personer och som bevarats för ändamålet enligt 6 § första stycket 6 ska tas bort ur registret när fullmakten återkallas. Uppgifter som kan hänföras till enskilda personer ska i övrigt tas bort ur registret under efter den under vilken de registrerades. Utredningens bedömning: 17 § förordningen (2002:687) om läkemedelsförmåner bör ändras på så sätt att det istället för ska stå Apotekens Servicebolag bolag. Att gallring sker är inte bara en praktisk och ekonomisk fråga. Det har också från integritetssynpunkt ansetts väsentligt att känsligt material om enskilda inte bevaras i onödan. Gallringsbestämmelser kan generellt sett sägas vara resultatet av en avvägning mellan å ena sidan integritetsskyddsintresset och å andra sidan det informa- tionsbehov som registret ska tillgodose. Utgångspunkten för gall- ringsbestämmelserna är att uppgifter som kan hänföras till enskilda personer ska tas bort ur registret så snart de ändamål för vilka de bevarats har uppfyllts (9 § första stycket i personuppgiftslagen (1998:204)). måste personuppgifterna avidentifieras eller utplånas. Enligt lag (1996:1156) om receptregister ska upp- gifter som kan hänföras till enskilda personer gallras . Denna tid förlängs dock när det gäller registrering i högkostnadsbasen eller registrering av dos- recept och recept för flera uttag. Såvitt gäller de ändamål som avser expediering av läkemedel (se dock undantaget avseende expediering av veterinärmedicinska läke- medel nedan) och andra varor som förordnats och den momentana registrering och redovisning till är ändamålet uppfyllt när expediering respektive redovisning har skett. Avseende dessa ändamål anser utredningen att det är lämpligt att uppgifter som kan hänföras till enskilda personer, i likhet med receptregisterlagens bestämmelse, gallras . Med en kort gallringsfrist säkerställs att en redovisning sker så snabbt som möjligt och det förhindras att registret blir allt för stort till sitt omfång. Utredningen har under avsnitt 9 redogjort för kraven enligt och rådets direktiv /82/EG av om upprättande av gemenskapsregler för veterinärmedicinska läkemedel artikel 66.2 föra ett utförligt register för försäljning av veterinärmedicinska läkemedel. Enligt artikel 66 fjärde stycket ska apoteken hålla dessa register tillgängliga för granskning av de behöriga myndigheterna av . Utredningen föreslår på grund härav att de personuppgifter som registreras i anledning av expediering av veterinärmedicinska läke- medel ska gallras . Recept är tidsbegränsade till .