prop · GX03138 · 2010-03-15 00:00:00 — I ett nytt andra stycke åläggs att kryptera uppgifter om patienters identitet, såsom namn, personnummer etc., så att patientens identitet skyddas. Syftet med denna kryptering är att det ska finnas ett skydd för uppgifter om patientens identitet redan i samband med att uppgifterna kommer till . I det nedan angivna försla- get till en kompletterande bestämmelse i 4 kap. 6 § patientdatalagen (2008:355) föreslås ett förbud mot behandling av sådana krypterade uppgifter hos i syfte att röja en patients identitet. Den av genomförda krypteringen av identitets- uppgifter ska alltså bestå även efter det att uppgifterna kommit lands- tinget till handa. Apotekens Service Aktiebolags ansvar för att skydda patienternas identitet enligt den aktuella regeln omfattar endast att upp- gifterna utlämnas i krypterat skick till . Nämnda bestämmelse i patientdatalagen innebär att behandling i ett landsting av de krypterade uppgifterna, som sker i syfte att röja identiteten av en hos registrerad patient, endast får ske med patientens samtycke. Den aktuella krypteringen hos måste ske med den me- tod som ska användas även av för kryptering av uppgifter som dokumenterats om patienter inom hälso- och sjukvården. Detta med- för ett krav på samordning av krypteringsmetoden. Närmare bestämmel- ser om krypteringsmetoden bör regleras i verkställighetsföreskrifter. Det bör observeras att bestämmelsen om säkerhetsåtgärder vid be- handling av personuppgifter i 31 § personuppgiftslagen (1998:204) inne- bär ett krav på att de personuppgifter som till följd av den aktuella bestämmelsen lämnar ut till även ska skyddas från obehörig åtkomst under överföringen. Förslaget behandlas i avsnitt 6.3. Av paragrafens första stycke framgår att den som arbetar eller har arbetat inom inte obehörigen får röja eller ut- nyttja vad han eller hon i sin verksamhet har fått veta om en enskilds hälsotillstånd eller personliga förhållanden, eller enskilds affärs- eller driftsförhållanden. I paragrafens första stycke 3 införs ytterligare en tyst- nadsplikt. Av den nya punkten framgår att den som arbetar eller har ar- betat inom inte obehörigen får röja eller utnyttja vad han eller hon i sin verksamhet fått veta om sådan metod för kryptering som avses i 14 §. Tystnadsplikten omfattar uppgifter som kan ge upplysning om krypteringsmetod som använts vid utlämnande från till aktuellt landsting. Förbudet att röja uppgifter gäller varje form av röjande oavsett om det sker muntligt eller genom att en handling lämnas ut. Brott mot tystnadsplikten är ett brott som enligt 20 kap. 3 § kan föranleda böter eller fängelse i högst . Förslaget behandlas i avsnitt 6.6. 11.3Förslaget till lag om ändring i lagen (2005:258) om läkemedelsförteckning I paragrafen har ett tillägg gjorts som innebär att läkemedelsförteck- ningen även ska få innehålla uppgifter om förskrivarens namn, yrke, specialitet och arbetsplats. Sådana uppgifter kan hämtas framför allt från receptblanketterna. Uppgifterna bör dock kunna kompletteras genom över hälso- och sjukvårdspersonal, vilket inne- håller aktuella uppgifter om förskrivaren. Förslaget behandlas i avsnitt 7.3. 11.4Förslaget till lag om ändring i patientdatalagen (2008:355) 4 kap. 6 § Paragrafen är ny. Förslaget i andra stycket behandlas i avsnitt 6.3 och 6.5, förslaget i tredje stycket behandlas i avsnitt 6.4. I första stycket finns en upplysning om att Aktie- bolag enligt 14 § lagen (1996:1156) om receptregister, i fortsättningen benämnd receptregisterlagen, är skyldigt att lämna ut uppgifter om för- skrivning av läkemedel och andra varor till och att uppgifter om patientens identitet ska vara krypterade vid utlämnandet. Se kom- mentaren till ändringarna i 14 § receptregisterlagen. I andra stycket finns ett förbud mot viss behandling av sådana person- uppgifter hos ett landsting som lämnat ut till i krypterat skick. Behandling av sådana uppgifter i syfte att röja patientens identitet får enligt bestämmelsen inte ske utan dennes samtycke. Den föreslagna bestämmelsen medför alltså att krypteringen ska bestå hos landstingen. Den föreslagna bestämmelsen medger samti- digt att ett landsting med patientens samtycke genom s.k. bakvägsidenti- fiering kan söka efter uppgifter om denne och således även upprätta ett registerutdrag enligt 26 § personuppgiftslagen (1998:204). I tredje stycket anges att identitetsuppgifter i vårddokumentation hos ett landsting som ska sambearbetas med uppgifter som erhål- lit från enligt 14 § receptregisterlagen ska vara krypterade på ett sådant sätt att patientens identitet skyddas. Krypte- ringen måste i detta fall göras med samma metod som använts av Apote- kens vid utlämnandet. Hur samordning av krypte- ringsmetod ska gå till bör bestämmas i verkställighetsföreskrifter. Sammanfattning av betänkandet Patientdata och läkemedel m.m. (SOU 2007:48) I detta vårt andra och avslutande betänkande behandlas ett antal återstå- ende skilda frågor som omfattas av vårt uppdrag. En gemensam faktor för ett flertal av dessa frågor är att de avser behandling av personuppgif- ter som på ett eller annat sätt har anknytning till läkemedel. I dessa fall är de syften som ligger till grund för våra förslag bl.a. att förbättra förut- sättningarna för att patienterna i hälso- och sjukvården skall kunna er- hålla en god och likvärdig vård samt att vården skall bedrivas på ett sätt som innebär ett effektivt utnyttjande av tillgängliga resurser. I viss ut- sträckning syftar ävenden föreslagna regleringen till att anpassa gällande lagstiftning till personuppgiftslagen (1998:204). Våra förslag berör verk- samheten hos , landstingen, , sjukvårds- regionernas onkologiska centrum och . Våra förslag till ändringar av lagen (1996:1156) om receptregister (re- ceptregisterlagen) innebär i huvudsak endast att lagen anpassats till den struktur för reglering av integritetsskydd vid automatiserad behandling av personuppgifter som följer av personuppgiftslagen samt till den be- handling av personuppgifter som faktiskt sker inom . I korthet är våra förslag rörande receptregisterlagen följande. Tillämpningsområdet för receptregisterlagen skall utvidgas från att avse enbart sådana förskrivningar av läkemedel och andra varor som omfattas av lagen (2002:160) om läkemedelsförmåner m.m. (läkemedels- förmånslagen) till att även omfatta sådana som inte omfattas av nämnda lag. Sammanfattning SOU 2007:48. Av receptregisterlagen skall uttryckligen framgå att lagen gäller utöver personuppgiftslagen vid behandling av personuppgifter i receptregistret. Det skall vidare i receptregisterlagen uttryckligen anges att sådan be- handling av personuppgifter som är tillåten enligt lagen får utföras även om den enskilde motsätter sig behandlingen. Vidare förtydligas att även sådan personuppgiftsbehandling som går utöver vad receptregisterlagen tillåter får utföras, om den enskilde uttryckligensamtycker till det. Det skall av receptregisterlagen klart framgå att är per- sonuppgiftsansvarigt för receptregistret. I fråga om för vilka ändamål personuppgifterna i receptregistret får be- handlas skall expediering av läkemedel och andra varor som förskrivits införas som nytt ändamål i lagen. Vidare skall klargöras att möjligheten att elektroniskt spara recept för flera uttag även omfattar dels hjälpme- delskort och livsmedelsanvisningar, dels sådana recept som måste an- vändas för flera uttag även om det av receptet inte framgår att förskriv- ningen avser flera uttag. Vidare skall möjligheten att för tillsyn över hälso- och sjukvårdspersonalen enligt lagen (1998:531) om yrkesverksamhet på hälso- och sjukvårdens område behandla uppgifter om enskilda läkares och tandläkares förskrivningar utökas till att avse även andra läkemedel än narkotiska som av klassats som särskilda läkeme- del. Förslaget är kopplat till det arbete som pågår inom i syfte att lägga fram författningsförslag som innebär att det blir möjligt att dra in eller begränsa läkares och tandläkares behörighet att förskriva även andra särskilda läkemedel än narkotiska. I receptregisterlagen skall vidare genom en hänvisning till person upp- giftslagen klargöras att den s.k. finalitetsprincipen gäller även vid per- sonuppgiftsbehandling enligt receptregisterlagen. Den nuvarande begränsningen av de uppgifter som ingår i den redovis- ning som erhåller för sin tillsynsverksamhet skall tas bort, vilket innebär att styrelsen ges möjlighet att få uppgifter som kan hänföras till enskilda patienter. I den utsträckning det behövs för ändamålen för personuppgiftsbe- handlingen skall receptregistret få innehålla administrativa uppgifter. Vidare skall uppgifter om förskrivarkod få registreras i receptregistret, oavsett om förskrivningen avser narkotiska läkemedel eller ej. Receptregisterlagens särbestämmelse om sambearbetning skall tas bort. I Lagen skall uttryckliga bestämmelser om uppgiftsskyldighet för Den information som självmant skall lämna till den regi- strerade skall, utöver vad som gäller , innehålla upplysningar även om vem som är personuppgiftsansvarig, rätten att ta del av uppgifter enligt 26 § personuppgiftslagen, rätten enligt 28 § samma lag till rättelse av oriktiga eller missvisande uppgifter, rätten enligt 48 § samma lag till skadestånd samt att registreringen inte är frivillig med undantag för regi- streringen av underlaget för högkostnadsskyddet och registreringen av dosrecept och recept m.m.som används för flera uttag. Personuppgiftslagens bestämmelser om rättelse och skadestånd skall gälla vid personuppgiftsbehandling som strider mot receptregisterlagen. Landstingens uppföljning av förskrivning och användning av läkemedel De förslag till lagstiftning och annan författningsreglering som vi lämnat, innebär att en viss utökning skall ske när det gäller vilka uppgifter som genom automatiserad behandling skall överföra från re- ceptregistret till landstingen för uppföljning. Det är i detta fall fråga om att komplettera de överföringar av uppgifter som sker med stöd av nuva- rande reglering, med ytterligare uppgifter som finns registrerade i samma register. Förslagen syftar bl.a. till att ge förbättrade förutsättningar för lands- tingen att utöva det ansvar för en likvärdig och god hälso- och sjukvård som åläggs dem i hälso- och sjukvårdslagen (1982:763). Vi bedömer därutöver att landstingen ges betydligt förbättrade förutsättningar att utöva finansieringsansvaret för läkemedelsförmånssystemet. Landstingen skall således ges möjlighet att använda uppgifter om indi- viders uttag av förskrivna läkemedel hos i sin verksamhet för uppföljning av förskrivning och användning av läkemedel i respek- Möjligheten skall omfatta alla uttagna läkemedel, inklu- sive dem som förskrivits av privata vårdgivare.Apoteket skall således till respektive landsting från Sammanfattning SOU 2007:48 receptre- gistret lämna ut uppgifter om uttag av läkemedel som förskrivits till människa på recept, inklusive dosrecept. Alla uppgifter om patienters identitet, såsom namn, personnummer etc. skall emellertid vara krypterade redan när de lämnasut från , så att de registrerades identitet skyddas vid överföringen till landstingen. Några åtgärder för att genom automatiserad behandling återskapa identitetsuppgifterna i läsbar form eller på annat sätt fastställa identiteten för en registrerad får inte vidtas när uppgifterna överförts till landstingen, om inte den registrerade samtyckt till detta. Även uppgifter om patientens identitet som inhämtas från vården inom ett landsting för att sammanställas med uppgifterna om läkemedelsuttag skall vara krypterade när de används för uppföljning. Tystnadsplikt skall gälla för anställda hos för uppgifter som lämnar eller kan bidra till upplysning om innehållet i dokumentation av metod som används vid krypteringen. Vi lämnar inte några förslag till författningsreglering i fråga om ett re- gister hos personuppgifter om vaccinationer. Däremot redovisar vi i anledning av vårt uppdrag vissa bedömningar rörande sådana vaccinationsregister. Vi bedömer således att journalföring av vaccinationer som sker med hjälp av den programvara för journalföring som utvecklats av under namnet SVEVAC framgent bör ske i enlighet med de bestämmelser för journalföring i patientdatalagen som föreslagits i vårt huvudbetänkande, däribland även reglerna om sammanhållen jour- nalföring. Enligt vår uppfattning är det inte påkallat med någon särskild författ- ningsreglering av en verksamhet med användning av den s.k. analysdata- bas som berörs i våra direktiv och som är tilltänkt att bygga på en sam- tyckebaserad överföring av personuppgifter från journaler som upprättats med användning av SVEVAC. Vid en bedömning utifrån ett integritets- perspektiv framstår det emellertid som om övervägande skäl talar för att ett hälsodataregister bör inrättas hos med inriktning på kunskaps uppbyggnad med avseende på vissa typer av vaccinationer. Innan detta kan ske måste dock enligt vår uppfattning ramarna och inne- hållet i verksamheten utredas ytterligare. Ytterligare reglering av behandling av personuppgifter hos Vi föreslår att det i läkemedelslagen (1992:859) och läkemedels förord- ningen (2006:272) skall klargöras att system för säkerhetsövervakning skall få omfatta även läkemedel för vilka s.k. li- cens beviljats enligt 5 § tredje stycket läkemedelslagen. Uppgifter om tidigare förskrivare Vi föreslår att läkemedelsförteckningen hos skall få inne- hålla även uppgifter om tidigare förskrivare. Syftet är att stärka patient- säkerheten. För att aktuella uppgifter om förskrivarna skall kunna inhämtas föreslår vi att ändamålsbestämmelserna i förordningen (2006:196) om register över hälso- och sjukvårdspersonal skall ändras så att personuppgifterna i registret får behandlas även för att lämna uppgifter till läkemedelsför- teckningen. Våra förslag innebär att personuppgiftsbehandlingen i de regionala can- cerregister som förs av sjukvårdsregionernas onkologiska centrum skall särregleras i förhållande till vårt förslag till . Regleringen, som avser i huvudsak den verksamhet som äger rum, skall intas i förordning. Förordningen skall innehålla bestämmelser om vem som är personuppgiftsansvarigsamt i förhållande till patientdatalagen inskränkande bestämmelser om ändamål för personuppgiftsbehandlingen och vilka personuppgifter som får behandlas. Regeringen skall i patient- datalagen bemyndigas att meddela sådana föreskrifter. Vi föreslår att det i 6 § förordningen (2001:709) om cancerregister hos (cancerregisterförordningen) om vårdgivares uppgifts- skyldighet skall anges att uppgiftsskyldigheten som huvudregel skall fullgöras genom att den uppgiftsskyldige lämnar uppgifterna till ett regi- onalt cancerregister och att den som för det regionala cancerregistret skall vidarebefordra uppgifterna till . I den föreslagna förordningen om regionala cancerregister skall anges att den hälso- och sjukvårdsmyndighet i det landsting som ett onkolo- giskt centrum administrativt sett tillhör skall vara personuppgiftsansvarig för centrumets regionala cancerregister. I nämnda förordning skall regleras uttömmande för vilka ändamål per- sonuppgifter i de regionala cancerregistren får behandlas. Personuppgif- ter skall få samlas in och behandlas för det primära syftet att fullgöra vidarerapportering av personuppgifter enligt 6 § cancerregisterförord- ningen och att efterforska canceranmälningar som skulle ha gjorts. In- samlade personuppgifter skall därutöver även få behandlas för framställ- ning av cancerstatistik inom sjukvårdsregionen, kvalitetssäkring av hälso- och sjukvård inom cancerområdet, framställning och uppföljning av vårdprogram rörande cancersjukdomar, forskning inom hälso- och sjukvårdsområdet, utlämnande från ett onkologiskt centrum till den som skall använda uppgifterna för vård av den person som uppgiften rör eller för ärftlighetsutredningar av enskilda personer, utlämnande från ett on- kologiskt centrum till den som skall använda uppgifterna för forskning inom hälso- och sjukvårdsområdet samt fullgörande av annan uppgifts- skyldighet som följer av lag eller förordning än den enligt 15 kap. 5 § sekretesslagen (1980:100). I cancerregisterförordningens bestämmelse om ändamål för behandling av personuppgifter (3 §) skall kvalitetssäkring av insatser för att före- bygga cancersjuklighet läggas till som tillåtet ändamål. gränsningen av forskning och epidemiologiska undersökningar inom cancerområdet ändras till inom hälso- och sjukvårdsområdet. Endast sådana personuppgifter som anges i 4 § cancerregisterförord- ningen och uppgifter om en tumörs löpnummer skall få behandlas i ett regionalt cancerregister. Även uppgifter om dödsorsak och dödsdatum får behandlas. Vår tidigare föreslagna utvidgning av undantagen från den absoluta statistiksekretessen i 9 kap. 4 § sekretesslagen avseende uppgift om av- lidna och som rör dödsorsak eller dödsdatum (se SOU 2006:82) skall gälla även i fråga om utlämnande av uppgifter som behövs i ett regionalt cancerregister. Sådana uppgifter skall alltså få lämnas ut till ett sådant regionalt cancerregister som förs av sjukvårdsregionernas onkologiska centrum, om det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till den enskilde lider skada eller men. Den författningsreglering vi föreslår rörande donations- register avser den faktiska verksamhet som sker . Personuppgiftsbehandlingen i donationsregistret skall enligt våra för- slag särregleras i förhållande till personuppgiftslagen i en ny förordning. Personuppgiftslagen skall dock gälla för behandling av personuppgifter i donationsregistret, om inte annat anges. I lagen (1995:831) om transplantation m.m. (transplantationslagen) skall införas en informationsregel om att för ett dona- tionsregister. skall även fortsättningsvis vara personuppgiftsansvarig för donationsregistret. Uppgifter i donationsregistret om levande eller avlidna enskilda skall endast få behandlas för att tillhandahålla sådana sjukhus och andra en- heter där ingrepp enligt transplantationslagen får utföras information om enskilda personers inställning till donation efter döden. skall endast få innehålla uppgifter om enskilda som själva anmält sig till registret eller som anmälts av vårdnadshavare. Upp- gifterna i registret får endast avse den enskildes namn, adress, person- nummer, datum för registrering, anmäld inställning till donation, villkor som kan ha anmälts samt anmälans löpnummer. skall även fortsättningsvis få medge vårdgivare som bedriver transplantationsverksamhet och direktåt- komst till uppgifter i donationsregistret. Direktåtkomsten skall vara för- behållen de personer som på grund av sina arbetsuppgifter behöver ha tillgång till uppgifterna. Direktåtkomst skall endast få användas för att söka efter uppgifter om en avliden person. Som sökbegrepp får endast den registrerades personnummer användas. Personuppgiftslagens bestämmelser om rättelse och skadestånd skall gälla vid personuppgiftsbehandling som strider mot förordningen. Uppgifter i donationsregistret om en registrerad skall gallras på begä- ran av den registrerade, då den registrerade anmäler ändrade uppgifter, eller senast efter det att den registrerade har avlidit eller avregistrerats från folkbokföringen som obefintlig enligt 21 § folkbok- föringslagen (1991:481). De ändringar av sekretesslagen, läkemedelslagen, transplantations lagen, receptregisterlagen, lagen (2005:258) om läkemedelsförteckning, vårt förslag till , förordningen om register över hälso- och sjuk- vårdspersonal och läkemedelsförordningen som vi föreslår samt den föreslagna förordningen om donationsregister hos skall träda i kraft . De föreslagna ändringarna av cancerre- gisterförordningen samt den föreslagna förordningen om regionala can- cerregister skall träda i kraft . Författningsförslag i betänkandet Patientdata och läkemedel m.m. (SOU 2007:48) lag om ändring i lagen (1996:1156) om receptregister Härigenom föreskrivs i fråga om lagen (1996:1156) om recept register dels att 5 § skall upphöra att gälla, dels att rubriken närmast före 5 § skall utgå, dels att nuvarande 3, 4, 6, 7, 8, 9 och 10 §§ skall betecknas 6, 8, 9, 10, 17, 18 och 20 §§, dels att de nya 6, 8, 9, 10, 18 och 20 §§ och rubriken närmast före de nya 6, 10 och 20 §§ skall ha följande lydelse, dels att 1 § skall ha följande lydelse, dels att det i lagen närmast före rubriken ändamål skall in- föras nya paragrafer, 35 §§, närmast före rubriken en ny paragraf, 7 §, närmast före , 11 16 §§, närmast före rubriken ny paragraf, 19 §, och sist i lagen en ny paragraf, 21 §, samt närmast före 5, 11, 16 och 19 §§ nya rubriker av följande lydelse. För de ändamål som anges i 3 § får med hjälp av automatisk databehandling föra ett register över förskrivningar av läkemedel och andra varor, som omfattas av lagen (2002:160) om läkemedelsförmåner m.m. (recept- register). För de ändamål som anges i 6 § får med hjälp av automatiserad behandling föra ett register över förskrivningar för människor av läkemedel och andra varor (receptregister). Personuppgiftslagen (1998:204) gäller för behandling av person- uppgifter i receptregistret, om inte annat följer av denna lag. Sådan behandling av person- uppgifter som är tillåten enligt denna lag får utföras även om den enskilde motsätter sig den. En behandling av personupp- gifter som inte är tillåten enligt denna lag får ändå utföras, om den enskilde lämnat ett uttryckligt samtycke till behandlingen. 1. registrering av underlaget för tillämpningen av bestämmelserna om läkemedelsförmåner vid köp av läkemedel m.m., 2. debiteringen till landstingen, 3. ekonomisk uppföljning och framställning av statistik hos , 4. registrering och redovisning till landstingen av uppgifter för ekonomisk uppföljning och fram- ställning av statistik, 5. registrering och redovisning till förskrivare, till verksamhets- chefer enligt hälso- och sjuk- vårdslagen (1982:763) och till läkemedelskommittéer enligt lagen (1996:1157) om läkemedelskom- mittéer av uppgifter för medicinsk uppföljning, utvärdering och kva- litetssäkring i hälso- och sjukvår- den, 6. registrering och redovisning till av uppgifter för epidemiologiska undersökningar, forskning och framställning av statistik inom hälso och sjukvårds- området, 7. registrering av dosrecept och recept för flera uttag, samt 8. registrering och redovisning till av uppgifter om är person- uppgiftsansvarigt för receptre- gistret. Ändamål för personuppgifts- behandlingen 6 § Personuppgifterna i receptre- gistret får behandlas för 1. expediering av läkemedel och andra varor som förskrivits, 2. registrering av underlaget för tillämpningen av bestämmelserna om läkemedelsförmåner vid köp av läkemedel m.m., 3. debiteringen till landstingen, 4. ekonomisk uppföljning och framställning av statistik hos , 5. registrering och redovisning till landstingen av uppgifter för ekonomisk och medicinsk uppfölj- ning samt för framställning av statistik, 6. registrering och redovisning till förskrivare, till verksamhets- chefer enligt hälso- och sjukvårds- lagen (1982:763) och till läkeme- delskommittéer enligt lagen (1996:1157) om läkemedelskom- mittéer av uppgifter för medicinsk uppföljning, utvärdering och kvali- tetssäkring i hälso- och sjukvår- den, 7. registrering och redovisning till av uppgifter för epidemiologiska undersökningar, forskning och framställning av statistik inom hälso- och sjuk- vårdsområdet, 8. registrering av dosrecept samt recept, hjälpmedelskort eller livs- medelsanvisningar som används för flera uttag, samt 9. registrering och redovisning till av uppgifter om enskild läkares eller tandläkares förskrivning av narkotiskt läkeme- del, för styrelsens tillsyn över hälso- och sjukvårdspersonal en- ligt lagen (1998:531) om yrkes- verksamhet på hälso- och sjukvår- dens område. Användning av receptregistret för sådan registrering som avses i första stycket 1 och 7 får inte om- fatta annan än den som har lämnat sitt samtycke till registreringen.