sou · GWB328 · 2008-03-20 00:00:00 — Till statsrådet och chefen för Regeringen beslutade att tillkalla en särskild utredare med uppgift att som en första del lämna förslag som möjliggör även för andra aktörer än att bedriva detaljhandel med receptbelagda och receptfria läkemedel. Som en andra del ska utredaren lämna förslag som möjliggör försäljning av ett begränsat sortiment receptfria läkemedel även på andra platser än på apotek. Utredaren kommer att separat behandla den del av uppdraget som rör läkemedel för djur. Regeringen beslutade (dir. 2008:14) att utredaren även ska överväga hur apotekens interna hantering av personuppgifter ska regleras. Som särskild utredare förordnades fr.o.m. . Övriga medverkande i utredningens arbete an- ges nedan. Utredningen, som har antagit namnet Apoteksmarknadsutred- ningen (S 2006:08), överlämnade ett delbe- tänkande i de frågor som rör sjukhusens läkemedelsförsörjning (SOU 2007:53) och huvudbetänkandet Om- reglering av apoteksmarknaden (SOU 2008:4). Utredningen över- lämnar härmed sitt delbetänkande angående hur apotekens interna hantering av personuppgifter ska regleras, Apoteksdatalagen (SOU 2008:28). Arbetet fortsätter nu med återstående frågor. Förteckning över vilka som deltagit i denna del av utredningens arbete (Om inte annat anges, har förordnandet gällt fr.o.m. ). , Datainspektionen doktor , Farmacevten , Försvarets chefsapotekare , Försvarsmedicinskt centrum Veterinärinspektör , Chefsjuristen , , Utredaren , Förbundsjuristen , Kommuner och Apotekaren , Kommuner och Landsting , Departementssekreteraren , Integrations- och jäm- ställdhetsdepartementet, fr.o.m. , Kanslirådet , Ämnessakkunniga , Rättssakkunnige , Hovrättsassessorn , fr.o.m. , huvudsekreterare Hovrättsassessorn , fr.o.m. Hovrättsassessorn , fr.o.m. Hovrättsassessorn , fr.o.m. den 1.4Huvudbetänkandet om omreglering av apoteksmarknaden vad avser IT-infrastruktur....................... En särskild lag för apotekens interna hantering av Respekt för enskildas och förskrivares integritet ............ Förhållandet till personuppgiftslagen............................ Den enskildes inställning till 8.2Utredningens bedömning av apoteksdatalagens 8.2.1Expediering av läkemedel och andra varor som förordnats samt åtgärder i anslutning till 8.2.2Registrering och redovisning av uppgifter till för fullgörande av skyldigheter enligt 2 kap. 6 § 3 lag om handel med läkemedel m.m. ......... Registrering och redovisning av uppgifter till fullgörande av skyldigheter enligt 2 kap. 6 § 4 lag om handel med läkemedel m.m. ......... Spårning av utlämnade läkemedel och andra varor som förordnats samt hantering av reklamationer ....... Administrering av delbetalning av läkemedel och Administrering av fullmaktsregister ............................ Registrering och redovisning till , och länsstyrelserna för deras Rapportering till förskrivare om utbyte av 8.2.10 Utlämnande av recept eller blanketter över förskrivna varor till den enskilde ................................. 8.2.11 Fullgörande av skyldighet som följer av annan 8.2.12 Systematisk och fortlöpande utveckling och säkring av apotekens kvalitet........................................ 8.2.13 Administration, planering, uppföljning och utvärdering av apotekens verksamhet samt framställning av intern statistik.................................... 8.2.14 Precisering av gränser för registeranvändningen......... Personuppgifter som får behandlas .............................. Sambearbetning med andra register ............................. Utlämnande av uppgifter på medium för Momentan uppgiftsskyldighet till Apotekens Tystnadsplikt och inre sekretess .................................. Bestämmelser om behörighetstilldelning och Gällande rätt m.m. ................................................................... Information till den registrerade................................... Rättelse och skadestånd.............................................. Konsekvenser av förslaget............................................ Bilaga 1 Kommittédirektiv.............................................................. Bilaga 2 Tilläggsdirektiv.................................................................. Utredningen ska enligt sitt tilläggsdirektiv, utöver vad som anges i de ursprungliga direktiven, analysera vilka effekter ur ett integri- tetsperspektiv som kan bli följden av att fler apoteksaktörer får till- gång till de register som hanteras av . Utredningen ska vidare lämna förslag som säkerställer att den personliga integriteten skyddas som en hög patientsäker- het upprätthålls. Utredningen ska också överväga hur apotekens interna hantering av personuppgifter ska regleras. Utredningens förslag och bedömningar Personal på apoteken behandlar känsliga personuppgifter om vilka läkemedel och andra varor som har förskrivits för enskilda och vem som har förskrivit dessa. Omregleringen av apoteksmarknaden innebära att dessa personuppgifter kommer att hanteras av ett okänt antal nya apoteksaktörer. Utredningen föreslår att apotekens hantering av personuppgifter ska regleras i en särskild lag, apoteks- datalagen. Förslaget ska säkerställa att säkerheten för personupp- gifter bibehålls även efter omregleringen av apoteksmarknaden. Här följer utredningen förslag och bedömningar i korthet. Apotekens möjlighet att behandla enskildas och förskrivares personuppgifter begränsas av de ändamål som anges i apoteksdata- lagen. Med apotek avses en inrättning för detaljhandel med läke- medel med personal med farmacevtisk kompetens närvarande under öppethållandet. Tillståndsinnehavare är den som enligt 2 kap. 1 § lag (xxxx:xx) om handel med läkemedel m.m. fått tillstånd att bedriva detaljhandel med läkemedel m.m. apoteksdatalagen är att personuppgifter ska behandlas så att enskildas och förskrivares integritet respekteras, samt att doku- menterade personuppgifter ska hanteras och förvaras så att obehöriga inte får tillgång till dem. En behandling av personupp- gifter som är tillåten enligt apoteksdatalagen får dock utföras även om den enskilde motsätter sig den. Personuppgiftslagens (1998:204) bestämmelser gäller för apotekens behandling av personuppgifter, om inte frågan regleras av apoteksdatalagen. Till- ståndsinnehavaren är personuppgiftsansvarig för den personupp- giftsbehandling som görs på apoteken. Personuppgifterna i apotekens register får behandlas om det behövs för (punkten 1) expediering av läkemedel och andra varor som förordnats samt åtgärder i anslutning till expedieringen. Upp- gifter får även behandlas för (punkten 2) registrering och redovis- ning av samtliga recepttransaktioner till , samt (punkten 3) registrering och redovisning av försäljnings- statistik till . Andra ändamål enligt lagen är (punkten 4) spårning av utlämnade läkemedel och andra varor som förordnats samt hantering av reklamationer, (punkten 5) administrering av delbetalning av läkemedel och andra varor, samt (punkten 6) administrering av fullmaktsregister. Dessutom får uppgifterna behandlas för (punkten 7) registrering och redovisning av uppgifter till , och länsstyrel- serna för deras tillsyn, samt (punkten 8) rapportering till för- skrivare om utbyte av läkemedel. Vidare omfattas (punkten 9) hälsorelaterad kundservice på läkemedelsområdet, (punkten 10) utlämnande av recept eller blanketter över förskrivna varor till den enskilde och (punkten 11) fullgörande av skyldighet som följer av annan författning av ändamålen under paragrafen. Även (punkten 12) systematisk och fortlöpande utveckling och säkring av apotekens kvalitet, och (punkten 13) administration, planering, uppföljning, och utvärdering av apotekens verksamhet samt fram- ställning av intern statistik är ändamål enligt lagen. Behandling av personuppgifter för ändamålen administrering av fullmaktsregister och hälsorelaterad kundservice på läkemedelsområdet får inte omfatta annan än den som har lämnat sitt samtycke till behand- lingen. För ändamålen systematisk och fortlöpande utveckling och säkring av apotekens kvalitet, och administration, planering, upp- följning, och utvärdering av apotekens verksamhet samt framställ- ning av intern statistik får inga uppgifter redovisas som kan hänföras till en enskild person. Tillståndsinnehavaren får, när det gäller nämnda ändamål samt administrering av delbetalning av läkemedel och andra varor behandla personuppgifter för flera apotek som denne driver. Tillståndsinnehavare som även bedriver annan verksamhet ska hålla personuppgifter som härrör från apoteksverksamheten avskilda från personuppgifter som härrör från annan verksamhet. Personuppgifter får inte behandlas för andra ändamål än de som anges i apoteksdatalagen och endast sådana personuppgifter som behövs för dessa ändamål får behandlas. Personal på apoteken får söka på enskildas identitet endast för ändamålen expediering av läkemedel och andra varor som för- ordnats samt åtgärder i anslutning till expedieringen, spårning av utlämnade läkemedel och andra varor som förordnats samt hantering av reklamationer, administrering av delbetalning av läke- medel och andra varor, administrering av fullmaktsregister, hälso- relaterad kundservice på läkemedelsområdet, utlämnande av recept eller blanketter över förskrivna varor till den enskilde. Förskrivares identitet får användas som sökbegrepp endast för ändamålen registrering och redovisning av uppgifter till , Jord- bruksverket och länsstyrelserna för deras tillsyn och rapportering till förskrivare om utbyte av läkemedel. Kod för förskrivningsorsak får inte användas som sökbegrepp. Uppgifter ur apoteksregistret som lämnas ut i enlighet med de i apoteksdatalagen angivna ända- målen får lämnas på medium för automatiserad behandling. Apoteksdatalagen reglerar apotekens uppgiftsskyldighet till , uppgiftsskyldigheten till Social- styrelsen, och länsstyrelserna avseende uppgifter de behöver i sin tillsynsverksamhet samt en uppgiftsskyldighet till förskrivare om utbyte av läkemedel. För sådan apotekspersonal som tillverkar eller expedierar läke- medel eller lämnar råd eller upplysningar gäller tystnadsplikt enligt 2 kap. 8–10 §§ lagen (1998:531) om yrkesverksamhet på hälso- och sjukvårdens område. Denna tystnadsplikt gäller även för annan personal som arbetar eller har arbetat på apotek. Bestämmelsen om tystnadsplikt innebär ett förbud för ovan nämnda personer att obehörigen röja vad han eller hon i sin verksamhet har fått veta om en enskilds hälsotillstånd eller andra personliga förhållanden, vare sig det sker muntligen eller genom att handling lämnas ut. Den som arbetar på ett apotek får ta del av dokumenterade uppgifter om enskilda eller förskrivare endast om han eller hon behöver upp- gifterna för att kunna utföra sitt arbete på . Tillståndsinnehavaren ska ha bestämda villkor för tilldelning av behörighet för åtkomst till sådana uppgifter om enskilda och för- skrivare som förs helt eller delvis automatiserat. Tillståndsinne- havaren ska vidare genomföra åtgärder som innebär att åtkomst till sådana uppgifter om enskilda och förskrivare som förs helt eller delvis automatiserat dokumenteras och kan kontrolleras. Det ska även genomföras systematiska och återkommande kontroller av om obehörig åtkomst till sådana uppgifter förekommer. Särskilda gallringsbestämmelser föreslås i apoteksdatalagen. Den registrerade ska enligt apoteksdatalagen få information bland annat om vem som är personuppgiftsansvarig, ändamålen med registret, vilka uppgifter registret får innehålla, de tystnads-, sekretess- och säkerhetsbestämmelser som gäller för registret, rätten till rättelse av oriktiga eller missvisande uppgifter, rätten till skadestånd vid behandling av personuppgifter i strid mot denna lag och vad som gäller i fråga om sökbegrepp. Bestämmelserna i personuppgifts- lagen (1998:204) om rättelse och skadestånd föreslås gälla vid behandling av personuppgifter enligt denna lag. Utredningen bedömer att förslaget om införande av apoteks- datalagen i sig inte medför några förändringar av betydelse när det gäller omfattningen eller arten av behandlingar av personuppgifter mot vad som äger rum på apoteken. Utredningens bedömning är således att förslaget inte medför någon ökad kostnad. Genom förslaget om införande av apoteksdatalagen säkerställs emellertid att den personliga integriteten skyddas som en hög säker- het upprätthålls för den enskilde. Lagstiftningen föreslås träda i kraft . Inledande bestämmelse och definitioner 1 § Apotek får behandla enskildas och förskrivares personuppgifter för de ändamål som anges i 6 §. Med apotek avses i denna lag en inrättning för detaljhandel med läkemedel med personal med farmacevtisk kompetens närvarande under öppethållandet. Med tillståndsinnehavare avses i denna lag den som enligt 2 kap. 1 § lag (xxxx:xx) om handel med läkemedel m.m. fått tillstånd att bedriva detaljhandel med läkemedel m.m. Respekt för enskildas och förskrivares integritet 2 § Personuppgifter ska behandlas så att enskildas och förskrivares integritet respekteras. Dokumenterade personuppgifter ska hanteras och förvaras så att obehöriga inte får tillgång till dem. 3 § Personuppgiftslagen (1998:204) gäller för apotekens behandling av personuppgifter, om inget annat följer av denna lag. Den enskildes inställning till personuppgiftsbehandlingen 4 § Sådan behandling av personuppgifter som är tillåten enligt denna lag får utföras även om den enskilde motsätter sig den. 5 § Tillståndsinnehavaren är personuppgiftsansvarig för den personuppgiftsbehandling som görs på . 6 § Personuppgifterna i apotekens register får behandlas om det behövs för 1.expediering av läkemedel och andra varor som förordnats samt åtgärder i anslutning till expedieringen, 2.registrering och redovisning av uppgifter till för fullgörande av skyldigheter enligt 2 kap. 6 § 3 lag (xxxx:xx) om handel med läkemedel m.m., 3.registrering och redovisning av uppgifter till för fullgörande av skyldigheter enligt 2 kap. 6 § 4 lag (xxxx:xx) om handel med läkemedel m.m., 4.spårning av utlämnade läkemedel och andra varor som för- ordnats samt hantering av reklamationer, 5.administrering av delbetalning av läkemedel och andra varor, 6.administrering av fullmaktsregister, 7.registrering och redovisning av uppgifter till , och länsstyrelserna för deras tillsyn, 8. rapportering till förskrivare om utbyte av läkemedel (21 § 3 stycket lag (2002:160) om läkemedelsförmåner m.m.), 9.hälsorelaterad kundservice på läkemedelsområdet, 10.utlämnande av recept eller blanketter över förskrivna varor till den enskilde, 11.fullgörande av skyldighet som följer av annan författning, 12.systematisk och fortlöpande utveckling och säkring av apotekens kvalitet, och 13.administration, planering, uppföljning, och utvärdering av apotekens verksamhet samt framställning av intern statistik. Sådan personuppgiftsbehandling som avses i första stycket 6 och 9 får inte omfatta annan än den som har lämnat sitt samtycke till registrering. För ändamål som avses i första stycket 12 och 13 får inga upp- gifter redovisas som kan hänföras till en enskild person. Tillståndsinnehavaren får för de ändamål som anges i första stycket 5, 12 och 13 behandla personuppgifter för flera apotek som denne driver. Tillståndsinnehavare som även bedriver annan verksamhet ska hålla personuppgifter som härrör från apoteksverksamheten avskilda från personuppgifter som härrör från annan verksamhet. Personuppgifter får inte behandlas för andra ändamål än de som anges i första stycket. Personuppgifter som får behandlas 7 § Endast sådana personuppgifter som behövs för ändamål som anges i 6 § får behandlas. 8 § Enskildas identitet får användas som sökbegrepp endast för det ändamål som anges i 6 § första stycket 1, 4–6, 9 och 10. Förskrivares identitet får användas som sökbegrepp endast för de ändamål som anges i 6 § första stycket 7 och 8. Kod för förskrivningsorsak får inte användas som sökbegrepp. Utlämnande av uppgifter på medium för automatiserad behandling 9 § Uppgifter ur apoteksregistret som lämnas ut i enlighet med ändamålen i 6 § får lämnas på medium för automatiserad behand- ling. 10 § Tillståndsinnehavaren ska till Apotekens Servicebolag bolag momentant och elektroniskt lämna sådan redovisning av uppgifter som avses i 6 § första stycket 2. 11 § Tillståndsinnehavaren ska till Apotekens Servicebolag bolag lämna sådan redovisning av uppgifter som avses i 6 § första stycket 3 samt till , och länsstyrel- serna lämna sådan redovisning av uppgifter som avses i 6 § första stycket 7 samt till den förskrivare som gjort förskrivningen lämna sådan redovisning av uppgifter som avses i 6 § första stycket 8. Tystnadsplikt och inre sekretess 12 § För sådan apotekspersonal som tillverkar eller expedierar läke- medel eller lämnar råd eller upplysningar gäller tystnadsplikt enligt 2 kap. 8–10 §§ lagen (1998:531) om yrkesverksamhet på hälso- och sjukvårdens område. Tystnadsplikten enligt första stycket gäller även för annan personal som arbetar eller har arbetat på apotek. Bestämmelsen om tystnadsplikt innebär ett förbud för personer som avses i första eller andra stycket att obehörigen röja vad han eller hon i sin verksamhet har fått veta om en enskilds hälso- tillstånd eller andra personliga förhållanden, vare sig det sker muntligen eller genom att handling lämnas ut. 13 § Den som arbetar på ett apotek får ta del av dokumenterade uppgifter om enskilda eller förskrivare endast om han eller hon behöver uppgifterna för att kunna utföra sitt arbete på . 14 § Tillståndsinnehavaren ska ha bestämda villkor för tilldelning av behörighet för åtkomst till sådana uppgifter om enskilda och förskrivare som förs helt eller delvis automatiserat. Tillståndsinnehavaren ska genomföra åtgärder som innebär att åtkomst till sådana uppgifter om enskilda och förskrivare som förs helt eller delvis automatiserat dokumenteras och kan kontrolleras. Det ska genomföras systematiska och återkommande kontroller av om obehörig åtkomst till sådana uppgifter förekommer. Regeringen eller den myndighet regeringen bestämmer får meddela ytterligare föreskrifter om tilldelning av behörighet för åtkomst till uppgifter samt om dokumentation och kontroll. 15 § Uppgifter som kan hänföras till enskilda personer och som bevarats för ändamålet enligt 6 § första stycket 4 ska avseende veri- fikationer 1.av narkotiska läkemedel tas bort ur registret under den sextionde månaden efter den under vilken de registrerades, 2.avseende försäljning och utlämnande av läkemedel eller teknisk sprit under den trettiosjätte månaden efter den under vilken de registrerades, och 3.för ansökning om licensförskrivning av inte godkända läke- medel under den femtonde månaden efter den under vilken de registrerades. Uppgifter som kan hänföras till enskilda personer och som bevarats för ändamålet enligt 6 § första stycket 1 avseende expedie- ring av veterinärmedicinska läkemedel ska tas bort ur registret under den sextionde månaden efter den under vilken de registrerades. Uppgifter som kan hänföras till enskilda personer och som bevarats för ändamålet enligt 6 § första stycket 3 – 5 och 7 – 10 ska tas bort ur registret under den femtonde månaden efter den under vilken de registrerades. Uppgifter som kan hänföras till enskilda personer och som bevarats för ändamålet enligt 6 § första stycket 11 ska tas bort ur registret när skyldigheten har fullgjorts. Uppgifter som kan hänföras till enskilda personer och som bevarats för ändamålet enligt 6 § första stycket 6 ska tas bort ur registret när fullmakten återkallas. Uppgifter som kan hänföras till enskilda personer ska i övrigt tas bort ur registret under efter den under vilken de registrerades. 16 § Den information som tillståndsinnehavaren ska lämna till de registrerade enligt 23 eller 24 §§ personuppgiftslagen (1998:204) ska innehålla upplysningar om 1.vem som är personuppgiftsansvarig, 2.ändamålen med registret, 3.vilka kategorier av uppgifter registret får innehålla, 4.den uppgiftsskyldighet som åligger tillståndsinnehavaren, 5.de tystnads-, sekretess- och säkerhetsbestämmelser som gäller för registret, 6.rätten att ta del av uppgifterna enligt 26 § personuppgifts- 7.rätten enligt 28 § personuppgiftslagen till rättelse av oriktiga eller missvisande uppgifter, 8.rätten enligt 48 § personuppgiftslagen till skadestånd vid behandling av personuppgifter i strid mot denna lag, 9.vad som gäller i fråga om sökbegrepp och utlämnande av uppgifter på medium för automatiserad behandling, 10.vad som gäller i fråga om bevarande och gallring, samt 11.att registreringen inte är frivillig med undantag för ända- målen enligt 6 § första stycket 6 och 9. 17 § Bestämmelserna i personuppgiftslagen (1998:204) om rättelse och skadestånd gäller vid behandling av personuppgifter enligt denna lag. Denna lag träder i kraft . I huvudbetänkandet (SOU 2008:4) lämnade utredningen förslag avseende den IT-infrastruktur som har . Utred- ningen ska enligt sina tilläggsdirektiv1 ytterligare analysera vilka effekter ur ett integritetsperspektiv som kan bli följden av att flera apoteksaktörer får tillgång till de register som hanteras av . Utredningen ska vidare lämna förslag som säkerställer att den personliga integriteten skyddas som en hög patientsäkerhet upprätthålls. Utredningen ska också överväga hur apotekens interna hantering av personuppgifter ska regleras. Se vidare bilaga 1och 2. Utredningen har inhämtat underlag för sitt arbete genom studier av lagstiftning, förarbeten, rättspraxis och litteratur. Dessutom har utredningen haft två sammanträden, samt kontakt med . har byggt upp en IT-infrastruktur som används för att utföra apoteksverksamheten. Apotekens terminalsystem (ATS) är det grundläggande inmatningssystemet. ATS utgör ett expeditionsstöd och ger information till de andra IT-systemen. 1 Dir. 2008:14. systemet omfattar olika databaser som bland annat har funktioner för beräkning av hur mycket en enskild ska betala för läkemedel (högkostnadsdatabasen), för registrering av en enskilds samtliga uttag av receptbelagda läkemedel (läkemedelsförteckningen) och funktioner för lagring och sortering av olika data för uppföljnings- verksamhet hos sjukvårdshuvudmän och andra myndigheter (receptregistret). har även ett system för elektronisk överföring och lagring av recept. Datasystemen genererar dessutom uppgifter som används för att ta fram statistik över läkemedelsför- säljning i landet. Samtliga system är samagerande och samman- flätade. När apoteken expedierar en förskrivning antecknas datum för utlämnade, utlämnande apotek, utlämnad vara, eventuella ändringar i förskrivningen på receptblanketten – i enlighet med kraven i föreskrifter om förordnande och utlämnande av läkemedel m.m. (receptföreskrifter LVFS 1997:10). Om förskriv- ningen avser läkemedel eller annan vara som omfattas av lagen (2002:160) om läkemedelsförmåner m.m. registrerar apoteken den enskildes namn och personnummer, uppgift om förskrivarens identitet, inköpsdag, vara, mängd och dosering i receptregistret. Även om varan inte omfattas av denna lag sker en registrering, men uppgifterna går inte in i receptregistret. Automatiskt kompletterar apotekens datasystem med prisuppgift, arbetsplats- och förskrivar- kod. De uppgifter apoteken registrerar går över via fil till . Hanteringen av personuppgifter på regleras i huvudsak av lag (1996:1156) om receptregister (receptregister- lagen) och personuppgiftslagen (1998:204). 1.4Huvudbetänkandet om omreglering av apoteksmarknaden vad avser IT-infrastruktur Utredningen har i huvudbetänkandet (SOU 2008:4) föreslagit att en nya aktör, , ska ta över personupp- giftsansvaret för receptregistret och läkemedelsförteckningen från . ska också ta över ansvaret för högkostnadsdatabasen, receptbrevlådan för elektroniska recept, receptregistret för elektroniskt sparade recept, dosdatabasen och samtycksregistret. Bolaget ska dessutom ta över det ansvar har för registret med arbetsplatskoder. ska vidare ha en kopia av SPAR för uppdatering av personuppgifter samt uppgifter om förskrivare.