sou · GWB34 · 2009-01-01 00:00:00 — Det kan också finnas behov av bestämmelser om gallring. När ansvaret för registren och databaserna förs över från till (nedan Servicebolaget) kommer det att uppstå uppgiftsflöden enligt följande. Uppgifter till Servicebolaget: -För att Servicebolaget ska kunna föra registren och databaserna (se avsnitt 14.4.1) ska apoteken i samband med receptexpediering- en (elektroniska recept och pappersrecept) föra över vissa upp- gifter, t.ex. inköpsdag, vara, mängd samt patientens namn och personnummer, se vidare 4 § receptregisterlagen, till servicebolaget. Apoteken ska också föra över försäljningsstatistik avseende läkemedel och vissa andra varor. -Partihandlare ska föra över statistik avseende försäljning av läke- medel, vacciner och serum. -Förskrivare ska kunna skicka elektroniska recept till Service- bolaget. -ska föra över information om förskrivare till Service- bolaget. Uppgifter från Servicebolaget: -Expedierande personal på apoteken ska kunna ha direktåtkomst till uppgifter för expediering av recept, underlaget för tillämpningen av bestämmelserna om högkostnadsskyddet, dosrecept, recept för flera uttag och elektroniska recept. Personalen ska också få till- gång till uppgifter om förskrivare. -Farmacevter och förskrivare ska, efter den enskildes samtycke, kunna ha direktåtkomst till dennes läkemedelsförteckning. En- skilda ska kunna ha direktåtkomst till sin egen läkemedelsför- teckning. -Landsting ska från Servicebolaget få uppgifter för debiteringen (inköpsdag, kostnad, kostnadsreducering och patientens person- nummer) samt uppgifter för ekonomisk uppföljning och fram- ställning av statistik (dock inga uppgifter som kan hänföras till en enskild person). -Förskrivare som gjort förskrivningen och dennes verksamhetschef samt läkemedelskommittéer ska få uppgifter för medicinsk uppfölj- ning, utvärdering och kvalitetssäkring i hälso- och sjukvården. (Inga uppgifter som kan hänföras till enskild patient, dock i vissa fall uppgifter om förskrivare) -ska få uppgifter för epidemiologiska undersök- ningar, forskning och framställning av statistik inom hälso- och sjukvårdsområdet samt uppgifter om förskrivningar för tillsyns- ändamål (inga uppgifter om patienter, dock vissa uppgifter om förskrivare). ska vidare få uppgifter för förandet av det (bl.a. information om vara, mängd, dosering kostnad och patientens personnummer). -Sjukvårdshuvudmännen och berörda myndigheter får viss in- formation enligt verksamhetsavtalet mellan staten och . Servicebolaget bör ta över detta ansvar. Detta innebär att t.ex. och ska få s.k. konsumentstatistik över försålda varor i hela landet och hur de fördelas över landsting. -Köpare ska, liksom , kunna köpa statistik (utan uppgifter om enskilda). Utredningen anser att det är av största vikt att personuppgifterna skyddas, hos , hos övriga aktörer och under överföringen. Säkerheten måste vara sådan att obehörigt ut- nyttjande av uppgifterna inte förekommer. I sammanhanget kan det påpekas att den ovan skissade överföringen av personuppgifter före- kommer . Den främsta skillnaden är att det kommer att finnas flera apoteksaktörer som hanterar informationen. Under utredningens arbete har det framkommit vissa brister i den hantering av personuppgifter som förekommer . Utredningen har, för att stärka skyddet för den personliga inte- griteten, föreslagit att det skall vidtas vissa ändringar i receptregister- lagen, se avsnitt 14.4.2. När det gäller personuppgiftshanteringen på enskilda apotek upp- kommer särskilda frågeställningar. hanterar enskilda apotek en mängd personuppgifter som skickas vidare till . kommer det att finnas flera aktörer på marknaden som för över motsvarande uppgifter till Servicebolaget. Även dessa apoteks- aktörer kommer att ha en intern hantering av personuppgifter. Det förhållandet att det kommer att finnas flera aktörer på marknaden aktualiserar frågan om personuppgiftslagens bestämmelser ger ett tillräckligt skydd för uppgifterna. Det bör därför övervägas om det ska införas en särskild registerlag avseende den interna hanteringen av personuppgifter på apotek. I en sådan lag bör det finnas tydliga regler om vilka uppgifter som får hanteras och för vilka ändamål de får hanteras. Det kan också finnas behov av bestämmelser om gall- När det gäller vilka uppgifter som får hanteras bör det vara fråga om de som anges i 4 § receptregisterlagen. Dessutom anger för- skrivare en mängd uppgifter på receptet, t.ex. huruvida läkemedlet får bytas ut eller ej, utfärdandedatum och giltighetstid samt patientens adress. Apotekspersonal påför också receptet vissa uppgifter. Det är t.ex. fråga om eventuell ändring, och datum för detta, signering av ändring, utlämnande apotek och färdigställande . Bestäm- melser om förskrivares uppgifter på receptet och uppgifter som apo- tekspersonal påför receptet finns i föreskrifter om förordnande och utlämnande av läkemedel m.m. (receptföreskrifter; LVFS 1997:10). När det gäller ändamål för behandlingen bör i vart fall expediering av läkemedel och andra varor som förskrivits komma i fråga. Registrering och redovisning till bör vara ett annat ändamål. Eftersom ett recept är giltigt bör gallring inte ske . Mot bakgrund av den korta tid utredningen haft till sitt förfogande har det inte funnits möjlighet att ytterligare överväga en sådan registerlag. Regeringen skulle dock kunna uppdra åt lämplig myndighet att utreda frågan vidare. I den utsträckning lagen (2005:258) om läkemedelsförteckning eller lagen (1996:1156) om receptregister inte innehåller bestämmel- ser som reglerar säkerheten vid behandling av personuppgifter, är bestämmelserna i personuppgiftslagen (1998:204) tillämpliga. Bestäm- melserna i personuppgiftslagen är också tillämpliga i de fall särregle- rande lagar inte finns. Detta innebär bl.a. att enligt 31 § ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifterna och därmed åstadkomma en säkerhetsnivå som är lämplig med beaktande av hur känsliga upp- gifterna är, vilka tekniska möjligheter som finns, de särskilda risker som finns med behandlingen av uppgifterna samt vad det skulle kosta att genomföra åtgärderna. Enligt 32 § får Datainspektionen, som är tillsynsmyndighet, i enskilda fall besluta om vilka säkerhets- åtgärder som den personuppgiftsansvarige ska vidta enligt 31 §. Sådana beslut kan förenas med vite. Det bör också nämnas att Datainspektionen har utfärdat allmänna råd om säkerhet för personuppgifter. Dessa innebär bl.a. följande. Det ska finnas behörighetskontroll för att förhindra obehörig åtkomst genom att användare identifieras genom t.ex. lösenord. Systemet bör kunna kontrollera användningen så att endast de som behöver uppgifterna för sitt arbete får tillgång till personuppgifterna. För att förhindra att personuppgifterna förstörs, ändras eller förvanskas vid överföring via nät och för att skydda mot obehörig åtkomst bör personuppgifterna skyddas, t.ex. genom kryptering. När utrustningen ansluts till Internet bör anslutningen skyddas för att förhindra obe- hörig trafik. I samma syfte bör åtkomst förhindras från nätet till annan utrustning eller lokala nät hos bolaget. Mottagarens identitet kan säkerställas genom t.ex. kryptering eller engångslösenord. För att åtkomsten ska kunna kontrolleras i efterhand bör det beroende på hur känsliga uppgifterna är finnas en behandlingshistorik (logg) genom vilken exempelvis läsning, ändring, utplåning eller kopiering av personuppgifter framgår. Loggen sparas och för att den ska ha en förebyggande funktion bör alla som kan komma i kon- takt med systemen informeras om att den förs och kontrolleras. Utredningen föreslår att såväl som den som driver apotek ska ha bestämda villkor för personalens till- delning av behörighet för åtkomst till uppgifterna. Regeringen, eller den myndighet regeringen bestämmer meddelar närmare föreskrifter om tilldelning av behörighet. Utredningen anser att det bör göras individuella behörighetstilldelningar utifrån en bedömning av vilken information olika personalkategorier behöver. När det gäller läke- medelsförteckningen och samtyckesregistret är det t.ex. endast farma- cevter som kan få åtkomst till informationen. I detta sammanhang bör det också göras riskanalyser. Alla anställda ska informeras om behörighetsreglerna. Utredningen föreslår också att personalens elektroniska åtkomst ska dokumenteras och kontrolleras samt att det ska genomföras systematiska och återkommande kontroller av om obehörig åtkomst till sådana uppgifter förekommer. Regeringen, eller den myndighet regeringen bestämmer meddelar närmare föreskrifter om dokumen- tation och kontroll av åtkomst. Sådan dokumentation kan ske genom loggning, se Datainspektionens allmänna råd, ovan. Härigenom är det möjligt att göra kontroller i efterhand. Det räcker emellertid inte att göra kontroller endast i de fall då särskild misstanke finns om obehörigt intrång. Uppgiftskontroller bör i stället göras systematiskt och fortlöpande. Utredningen anser att då föreskrifter meddelas bör samråd ske med Datainspektionen. Den som genomför en otillåten sökning riskerar att dömas för dataintrång enligt bestämmelserna i 4 kap. 9 c § . För Servicebolagets del tas bestämmelser om behörighetstilldelning och åtkomstkontroll in i receptregister- lagen och i lagen om läkemedelsförteckning. Motsvarande bestäm- melser såvitt gäller apoteken tas in i den föreslagna lagen om handel med läkemedel m.m. Förslagen att den som driver apotek respektive Servicebolaget ska ha bestämmelser om behörighetstilldelning och åtkomstkontroll i sina respektive organisationer innebär att det är respektive huvud- man som har ansvaret för att personalens åtkomst till registren inte är olovlig. Huvudmannen måste därför sköta behörighetsadmini- strationen, t.ex. när det gäller tilldelning, borttagande och annan upp- datering så att säkerheten för uppgifterna inte åsidosätts. Motsvaran- de gäller för åtkomstkontrollen. Det är alltså huvudmannen för den som bereder sig tillgång till registren eller databaserna som ansvarar för att systematiska och återkommande kontroller kan göras och görs. Förskrivare ska skicka elektroniska recept till Servicebolaget och, efter den enskildes samtycke, kunna få tillgång till uppgifterna i läke- medelsförteckningen. Även sådan informationsöverföring måste vara säker. Utredningen erfar att och kommuner och landsting tillsammans arbetar för att hitta en säker överföring av uppgifter mellan och förskrivaren. Försöksverk- samhet pågår i flera delar av landet med tekniska lösningar som ska trygga säkerheten i överföringen. Ett system som bygger på e- legitimation för förskrivarna planeras införas i hela landet . Utredningen förutsätter att detta arbete fortsätter även efter det att tagit över personuppgiftsansvaret. Utredningens förslag: Den som arbetar eller har arbetat inom ska omfattas av tystnadsplikt som motsvarar den som gäller för personal på . Bestämmelsen ska anges i 16 kap. 1 § sekretesslagen (1980:100). I 12 § lagen (2005:258) om läkemedelsförteckning ska det även erinras om den tystnadsplikt som gäller för personal på . Den apotekspersonal som expedierar recept är enligt 1 kap. 4 § 4 lagen (1998:531) om yrkesverksamhet på hälso- och sjukvårdens område (LYHS) hälso- och sjukvårdspersonal. Detta innebär att bl.a. tystnadspliktsbestämmelsen i 2 kap. 8 § LYHS gäller för sådan personal. Enligt den bestämmelsen får inte personalen obehörigen röja uppgifter om enskildas hälsotillstånd eller andra personliga för- hållanden. Som obehörigt röjande anses inte att någon fullgör upp- giftsskyldighet som följer av lag eller förordning. När IT-infrastrukturen friläggs från och placeras i ett särskilt bolag är det tveksamt om det kan göras gällande att sådan personal som arbetar med registren och som inte har legitimation för yrke inom hälso- och sjukvården (1 kap. 4 § 1 LYHS) kan anses vara hälso- och sjukvårdspersonal enligt LYHS. Utredningen har övervägt att förslå att sådan personal ska omfattas av den nämnda bestämmelsen, men kommit fram till att detta inte är lämpligt. Mot bakgrund av att innehållet i registren har samma skyddsvärde oavsett vilket företag det är som för dem föreslår utredningen att det bör införas en regel i lag om tystnadsplikt för anställda vid . Utredningen anser att innehållet i registren bör skyddas på mot- svarande sätt som . Den förslagna bestämmelsen innebär därför att den som arbetar eller har arbetat inom Apotekens servicebolag inte obehörigen får röja vad han eller hon i sin verksamhet har fått veta om en enskilds hälsotillstånd eller andra personliga förhållan- den. Som obehörigt röjande anses inte att någon fullgör sådan upp- giftsskyldighet som följer av lag eller förordning. De i avsnitt 14.4.7 föreslagna bestämmelserna i receptregisterlagen om uppgiftsskyldig- het för medför alltså att tystnadsplikten inte gäller i den utsträckning som uppgiftsskyldigheten gäller. När det gäller läkemedelsförteckningen erinras i den lagen om tyst- nadspliktsbestämmelserna i och i sekretesslagen (1980:100). Utredningen föreslår att det i lagen (205:258) om läkemedelsförteck- ning även erinras om den nu föreslagna bestämmelsen om tystnads- plikt för personalen vid . Av 16 kap. 1 § sekretesslagen framgår de fall där tystnadsplikt gäller och yttrandefriheten är begränsad. Den nu föreslagna bestäm- melsen bör därför anges där. 14.4.10 Prissättning av tjänsterna Utredningens förslag: ska bestäm- ma prissättningen av bolagets tjänster. Av verksamhetsavtalet, avsnitt 2 J, framgår att inom ramen för den ersättning som erhålls genom den s.k. handelsmargi- nalen ska tillhandahålla grundläggande information, uppgifter och statistik till sjukvårdshuvudmännen och berörda myndigheter. Forsk- nings- och utvecklingsarbete som anknyter härtill ska också finansi- eras av handelsmarginalen. Omfattande bearbetningar eller fri tillgång till system, datorprogram eller rutiner för statistikbearbetningar om- fattas dock inte. Det är som beslutar om handelsmarginalen och det är alltså denna som betalar för uppdrag . På en omreglerad marknad kommer apoteken att få en fastställd ersättning för sina tjänster. Denna ersättning föreslås vara bestämd på så sätt att apoteken i sin tur kan betala för de registertjänster som här är i fråga. Alternativet att låta aktörer- na på marknaden själv bygga upp ett nytt, fungerande IT-system framstår inte som kostnadseffektivt i jämförelse med möjligheten att köpa tjänster från ett fungerande system. Enligt utredningens uppfattning bör de tjänster som erbjuder prissättas på så sätt att täckning uppnås för bolagets kostnader samt att bolaget får utrymme för förnyelse och utveckling av systemen. Prissättningen bör dessutom möjliggöra för både större och mindre aktörer att effektivt utnyttja tjänsterna. En fördelning av kostnaderna bör därför bestå av en mindre fast administrativ avgift, samt en rörlig transaktionskostnad kopplad till mängden receptrader som respektive marknadsaktör hanterar. Apo- teket AB har bedömt den rörliga transaktionskostnaden till – per registrerad recepttransaktion. Den rörliga transaktions- kostnaden skulle kunna faktureras marknadsaktörerna regelbundet. Bolaget bör dessutom ha möjlighet sälja statistiktjänster på den kommersiella marknaden. säljer statistik, främst till landstingen. Som framgått ovan är det personuppgiftslagen och särreglerande lagar som avgör hur personuppgifterna får hanteras hos bolaget. kommer dessutom att ha en bolagsordning och sannolikt också ett avtal med staten som ytterli- gare reglerar bolagets möjligheter att verka på den kommersiella mark- naden. I ett avtal med staten kan, på samma sätt som , dessutom bolagets ansvar för statistik till landsting och myndigheter regleras. Detta ansvar ska enligt utredningens uppfattning motsvara det ansvar har . Utredningen föreslår att närmare bestämmer prissättningen av bolagets tjänster. Nämnden föreslås också bestämma ersättningen till apoteken för deras tjänster. Utred- ningens förslag i denna del återfinns i avsnitt 15.11. Läkemedels- förmånsnämndens uppgifter regleras i förordning (2002:719) med instruktion för .