sou · H2B320 · 2014-04-01 00:00:00 — Med behandling av personupp- gifter avses varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, vare sig det sker på automatisk väg eller inte, t.ex. insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, Överväganden och förslag om hantering och prissättning av licensläkemedel sammanställning eller samkörning, blockering, utplåning eller för- störing (3 § PUL). Grundläggande krav på behandling av personuppgifter finns i PUL. Av 1 § PUL framgår att det är förbjudet att behandla känsliga personuppgifter. Sådana uppgifter får dock behandlas om den regist- rerade har lämnat sitt uttryckliga samtycke till behandlingen (15 §). Känsliga personuppgifter får också under vissa förutsättningar behandlas, t.ex. om behandlingen är nödvändig för vård eller behand- ling eller för administration av hälso- och sjukvård (18 §). Räckvidden av de i 18 § redovisade undantagen är inte närmare preciserad i lagens förarbeten. Regeringen uttalade i prop. 2005/06:70 Ändringar i läkemedelslagstiftningen m.m. att det inte är rimligt att ge bestäm- melsen en alltför snäv räckvidd (s. 144). Enligt 18 § andra stycket PUL får den som är yrkesmässigt verksam inom hälso- och sjuk- vårdsområdet och har tystnadsplikt behandla känsliga person- uppgifter som omfattas av tystnadsplikten. PUL är generellt tillämplig på behandling av personuppgifter. Lagen är dock subsidiär i förhållande till andra författningar. Om det finns avvikande bestämmelser i en annan lag eller i en förord- ning ska enligt 2 § PUL de bestämmelserna gälla. Bestämmelserna i lagen (1996:1156) om receptregister, lagen (2005:258) om läkeme- delsförteckning, patientdatalagen (2008:355) samt apoteksdata- lagen (2009:367) är exempel på författningar som reglerar hur per- sonuppgifter inom hälso- och sjukvården och handeln med läke- medel får behandlas och som således har företräde framför PUL om inte annat anges. Det finns följaktligen många författningar vid sidan av PUL som reglerar behandling av personuppgifter på hälso- och sjukvårdens område. har uttalat att ett myndighetsregister med ett stort antal registrerade personer och med särskilt känsligt innehåll ska bli föremål för specialreglering, dvs. det är inte till- räckligt i de fallen att det rättsliga stödet endast finns i PUL (bet. 1997/98:KU18 s. 43). Genom en lagändring i 2 kap. 6 § regeringsformen stärktes skyddet för den personliga integriteten. Det infördes en ny bestämmelse som anger att var och en, utöver vad som i övrigt gäller enligt paragrafen, gentemot det allmänna är skyddad mot betyd- ande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes per- sonliga förhållanden. Skyddet mot ett sådant intrång kan numera enbart begränsas i den kvalificerade ordning som föreskrivs i 2 kap. Överväganden och förslag om hantering och prissättning av licensläkemedel 12 § RF. Det innebär att, med några få undantag, inskränkningar i integritetsskyddet bara kan ske i lag. Det ställs också krav på att begränsningarna av skyddet ska vara nödvändiga för att tillgodose ett ändamål som är godtagbart i ett demokratiskt samhälle. Genom övergångsbestämmelser får föreskrifter som inte uppfyller kravet på lagform fortsätta att gälla fram till och med , utan hinder av bestämmelsen om ett utvidgat integritets- skydd. Regeringen motiverade den nya regleringen med att det fanns ett behov av att förstärka skyddet för den personliga integriteten och att syftet med bestämmelsen är att begränsa statsmakternas norm- givningsbefogenheter inom ramen för rättighetsskyddet (prop. 2009/10:80 s. 176). Offentlighetsprincipen innebär att allmänheten och massmedierna ska ha insyn i statens och kommunernas verksamhet. När det mer allmänt talas om offentlighetsprincipen åsyftas i första hand rätten att ta del av allmänna handlingar. Denna princip infördes genom tryckfrihetsförordning och regleras numera tryckfrihetsförordning (TF). Vad som avses med allmän handling framgår av 2 kap. TF. Enligt 2 kap. 2 § första stycket TF får rätten att ta del av allmänna handlingar bara begränsas om det är påkallat med hänsyn till vissa intressen, bl.a. skyddet för enskilds personliga eller ekonomiska förhållanden. En sådan begränsning ska anges noga i en bestämmelse i en särskild lag eller, om så i ett visst fall anses lämpligare, i en annan lag som den förstnämnda lagen hänvisar till. Efter bemyndigande i en sådan bestämmelse får regeringen genom förordning meddela närmare föreskrifter om bestämmelsens tillämplighet (2 kap. 2 § andra stycket TF). Den särskilda lag som åsyftas är offentlighets- och sekretesslagen (2009:400, OSL). OSL innehåller inte bara begränsningar av rätten att ta del av all- männa handlingar. Sekretess innebär ett förbud att röja en uppgift, vare sig det sker muntligen, genom utlämnande av allmän handling eller på något annat sätt (3 kap. 1 § OSL). Sekretess innebär således både handlingssekretess och tystnadsplikt. Till den del sekretess- bestämmelserna innebär tystnadsplikt medför de en begränsning av yttrandefriheten enligt regeringsformen och enligt den Europeiska konventionen angående skydd för de mänskliga rättigheterna och de grundläggande friheterna. Överväganden och förslag om hantering och prissättning av licensläkemedel I 25 kap. 1 § OSL regleras den s.k. hälso- och sjukvårdssekretes- sen. Den innebär att sekretess gäller inom hälso- och sjukvården för uppgift om en enskilds hälsotillstånd eller andra personliga för- hållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men. Enligt omfattas uppgifter om licenser av sekretessen i 25 kap. 1 § OSL. I samband med att övergick från bolagsform till myndighetsform förändrades regleringen kring tystnadsplikt för personalen. reglerades särskilt i lagen om receptregister att tystnadsplikt gällde för per- sonalen på . I och med övergången till myn- dighet regleras sekretessen i stället genom OSL. Bestämmelsen om tystnadsplikt i lagen om receptregister ersätts med två bestämmelser i , nämligen 25 kap. 17 a och b §§ OSL (prop. 2012/13:128 s. 49). I 25 kap. 17 a § OSL anges att sekretess gäller hos E-hälsomyndig- heten för uppgift om en enskilds hälsotillstånd eller andra per- sonliga förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men. Sekretessens styrka bestäms i regel med hjälp av s.k. skaderek- visit. Man skiljer i detta sammanhang mellan raka och omvända skaderekvisit. Vid raka skaderekvisit är utgångspunkten att upp- gifterna är offentliga och att sekretess bara gäller om det kan antas att en viss skada uppstår om uppgiften lämnas ut. Vid det omvända skaderekvisitet är utgångspunkten det motsatta, dvs. att uppgift- erna omfattas av sekretess. Vid ett omvänt skaderekvisit får upp- gifterna således bara lämnas ut om det står klart att uppgiften kan röjas utan att viss skada uppstår. Beträffande sekretessen hos såväl som E-hälso- myndigheten är det fråga om omvända skaderekvisit. Om uppgifterna omfattas av sekretess ska den myndighet som förvarar uppgifterna göra en sekretessprövning och bedöma om uppgifterna får lämnas ut. Bedömningen ska ske i varje enskilt fall. Det kan finnas s.k. sekretessbrytande bestämmelser som innebär att utlämnandet inte anses om obehörigt och således får ske. Regeringen har också vissa dispensmöjligheter som innebär att regeringen för ett särskilt fall får besluta om undantag från sekretess, om det är motiverat av syn- nerliga skäl (10 kap. 6 § OSL). Tystnadsplikt för personer inom den enskilda (privata) hälso- och sjukvården finns i patientsäkerhetslagen (2010:659, PSL). Exempelvis omfattas hälso- och sjukvårdspersonal på öppenvårdsapoteken av tystnadsplikt enligt patientsäkerhetslagen (2010:659, PSL). Överväganden och förslag om hantering och prissättning av licensläkemedel Licensuppgifter är personuppgifter och omfattas av sekretess och tystnadsplikt Kommunikationslösningen kommer att innehålla uppgifter om fyra olika typer av licenser som regleras i LVFS 2008:1, dvs. enskild licens, veterinär licens, generell licens och beredskapslicens. I kom- munikationslösningen kommer det att finnas uppgifter från bl.a. licensansökan, licensmotiveringar samt licensbeslut. I licensmotiv- eringen, som upprättas av förskrivaren, finns uppgifter om pati- entens namn och hälsotillstånd, t.ex. behandlingsindikation. Enligt den blankett som är avsedd för licensmotiveringen och som har tagit fram, ska blanketten innehålla moti- vering till varför godkänt läkemedel inte kan användas, val av pre- parat samt uppgift om tidigare terapi och resultat. Exempelvis kan motiveringen innehålla information om att patienten får biverk- ningar av att använda ett visst godkänt läkemedel och därför har behov av ett icke godkänt läkemedel. Till motiveringen kan för- skrivaren skicka med bilagor, t.ex. rörande produkten men även rörande patienten och dennes hälsotillstånd t.ex. i form av provsvar och andra uppgifter från patientjournalen. Det är således uppgifter som rör den enskildes hälsa (känsliga personuppgifter) samt namn och personnummer. Licensmotiveringen innehåller även uppgifter om förskrivaren t.ex. namn, arbetsplats, telefonnummer samt eventuell specialistkompetens, dvs. det är fråga om personuppgifter. Inne- hållet i en licensmotivering kan likställas med en patientjournal beträffande graden av känsliga uppgifter. Personuppgifts- hanteringen av patientjournalen regleras framför allt i patientdata- lagen. I föreskrifter om informationshantering och journalföring i hälso- och sjukvården (SOSFS 2008:14), finns bestämmelser om vårdgivares behandling av personuppgifter i bl.a. verksamhet som omfattas av hälso- och sjukvårdslagen. I licensansökan, som upprättas av , finns bl.a. uppgifter om läkemedlet och patienten och som en bilaga till ansökan finns motiveringen. Uppgifterna i licensansökan kan jämställas med ett recept beträffande graden av känsliga uppgifter. För behandling av uppgifter i recept finns en särskild registerlag, lagen om recept- register (1996:1156). Men uppgifterna i licensansökan kan också betraktas som än mer integritetskänsliga än innehållet i ett recept eftersom licensansökan innehåller fler uppgifter om den enskildes hälsa. Slutligen är det som upprättar licens- Överväganden och förslag om hantering och prissättning av licensläkemedel SOU 2014:20 Även licensbeslutet innehåller känsliga uppgifter och omfattas av sekretess. Sammanfattningsvis, vid en tillämpning av bestämmelserna i , innehåller kommunikationslösningen och hantering personuppgifter, såväl känsliga som icke känsliga. Vidare är personuppgifterna hänförliga såväl till patienter som till den som är behörig att förordna läkemedel. Uppgifterna om licensläkemedel kommer bl.a. att samlas in, organiseras, sparas och lämnas ut av såväl som till olika aktörer. Han- teringen i kommunikationslösningen och hos utgör följaktligen en sådan behandling av personuppgifter som avses i 3 § PUL, vilket innebär att om bl.a. krav på behandlingen är tillämpliga. Enligt omfattas uppgifter om licens av sekretess enligt 25 kap. 1 § OSL. Eftersom det är samma uppgifter hos E-hälso- myndigheten bör även uppgifter hos dem omfattas av sekretess. Uppgifter om förskrivare omfattas enligt praxis från kammarrätten inte av sekretess hos utom i de fall då ett röjande av förskrivarens identitet kan antas underlätta röjande av patientens identitet. Uppgifter hos och E-hälsomyndig- heten från licensmotiveringar, licensansökningar och licensbeslut rör således enskilds hälsotillstånd eller andra personliga förhållande på ett sådant sätt att de omfattas av sekretess enligt 25 kap. 1 § och 17 a § OSL. Kommunikationslösningen kommer även att innehålla uppgifter om veterinära licenser. Uppgifter om djur är inte en personuppgift enligt PUL. Hanteringen av uppgifter om djur behöver därför inte regleras utifrån ett personuppgiftsperspektiv. Däremot utgör t.ex. uppgifter om veterinären och djurägaren (dvs. patienten/kon- sumenten) personuppgifter. Sammanfattningsvis omfattas vissa av uppgifterna i kommuni- kationslösningen och hos av sekretess hos och . hantering av uppgifter rörande licenser hanterar inte uppgifter om ansökningar och beslut om licensläkemedel utan det är först när den s.k. kom- munikationslösningen tas i bruk som en sådan personuppgifts- hantering kommer att uppstå, vilket enligt uppgift blir Överväganden och förslag om hantering och prissättning av licensläkemedel har däremot , dvs. innan kommunikationslösningen togs fram, i enlighet med sitt uppdrag och vad som anges i läkemedelsförordningen, behandlat uppgifter från ärenden rörande licenser. I likhet med övriga läke- medel som expedieras från apotek behandlar dock uppgifter om expedierade licensläkemedel. Den hanteringen avser dock inte ansökningsförfarandet. På område finns viss registerförfattning. Av 9 § läkemedelslagen (1992:859) följer att ska ansvara för ett system för säkerhetsövervakning, som har till syfte att samla in, registrera, lagra och vetenskapligt utvärdera uppgifter om misstänkta biverkningar av läkemedel som godkänts för för- säljning. Av 4 kap. 5 § läkemedelsförordningen (2006:272) framgår att får föra hälsodataregister enligt 1 § lagen (1998:543) om hälsodataregister för att tillgodose behovet av upp- gifter för de ändamål som anges i 9 § läkemedelslagen samt för fram- ställning av statistik och för forskning. I 4 kap. 4 § läkemedelsförord- ningen anges också att får, trots bestämmelserna i 13 § andra stycket personuppgiftslagen (1998:204), utföra de behandlingar av personuppgifter som rör hälsa och som är nöd- vändiga för att fullgöra de skyldigheter som föreskrivs i läkemedels- lagen eller i den förordningen. Av 4 kap. 4 § läkemedelsförordningen framgår i vilka fall är personuppgiftsansvarig. Med stöd av denna reglering för ett biverknings- register, i form av ett hälsodataregister. Bestämmelsen avser endast godkända läkemedel. I SOU 2007:48 föreslogs att bestämmelsen inte skulle vara begränsad till godkända läkemedel. Förslaget i SOU 2007:48 syftade till att låta system för säker- hetsövervakning även omfatta läkemedel för vilka det beviljats s.k. licens enligt 5 § tredje stycket (s. 204). Förslaget har inte genom- förts. I övrigt finns det inte några särskilda registerförfattningar på område, utan den personuppgiftshantering som sker, sker med stöd av PUL. Nuvarande reglering av kommunikationslösningen m.m. Som framgår ovan finns det inte några särskilda registerförfatt- ningar som blir tillämpliga vid personuppgifts- hantering i samband med kommunikationslösningen och licens- Överväganden och förslag om hantering och prissättning av licensläkemedel Enligt bedömning sker person- uppgiftsbehandlingen med stöd av PUL. För personuppgiftshantering finns sär- skilda registerförfattningar i form av lagen (1996:1156) om recept- register och lagen (2005:258) om läkemedelsförteckning. Recept- registret, som regleras genom lagen om receptregister, används bl.a. vid apotekens expediering av läkemedel och hantering av högkost- nadsskyddet. Enligt bedömning omfattas inte hantering av uppgifter vid ansökningsför- farandet kring licensläkemedel av lagen om receptregister. Exempelvis torde inte förmedling av licenser kunna inrymmas under nuvarande ändamålsreglering i 6 § lagen om receptregister. Inte heller kan uppgifter om licenser anses ingå i den uppräkning av uppgifter som registret får innehålla, se 8 §. Det finns inte heller några bestäm- melser om uppgiftsskyldighet och direktåtkomst som passar in på hantering av licenser, se 11–18 §§ lagen om receptregister. Enligt bedömning sker person- uppgiftsbehandlingen i kommunikationslösningen med stöd av PUL. och bedömer således att den personuppgiftsbehandling som är nödvändig för att kunna hantera licenser sker med stöd av PUL. Huruvida denna bedömning är korrekt ligger inte inom denna utrednings uppdrag att avgöra. Utredningen kommer i det följande att redovisa på vilket sätt kom- munikationslösningen hos såväl som E-hälso- myndigheten regleras genom PUL. Redovisningen bygger framför allt på uppgifter från och och utredningen tar som sagt inte ställning till huruvida och bedömningar är korrekta. Utredningen har inte heller tittat på frågan om regler om ärendehantering m.m. avseende verksamhet med kommunikationslösningen. och personuppgiftshantering m.m. i kommunikationslösningen Behandlingen av uppgifter om licensläkemedel förutsätter inte samtycke från den enskilde (dvs. patienten eller förskrivaren). I 10 § PUL anges under vilka förutsättningar personuppgifter får behandlas i de fall det inte föreligger samtycke, bl.a. om det är nöd- Överväganden och förslag om hantering och prissättning av licensläkemedel vändigt för att en arbetsuppgift av allmänt intresse ska kunna utföras, den personuppgiftsansvarige eller en tredje man till vilken personuppgifter lämnas ut ska kunna utföra en arbetsuppgift i sam- band med myndighetsutövning, eller ett ändamål som rör ett berät- tigat intresse hos den personuppgiftsansvarige eller hos en sådan tredje man till vilken personuppgifterna lämnas ut ska kunna till- godoses om detta intresse väger tyngre än den registrerades intresse av skydd mot kränkning av den personliga integriteten. och har gjort bedöm- ningen att behandlingen hos båda myndigheterna bör kunna inord- nas under rekvisitet för att en arbetsuppgift av allmänt intresse ska kunna utföras i 10 § punkten d PUL. I förarbetena till lagen om läkemedelsförteckning har anförts att förandet av läkemedelsför- teckningen utgör en sådan uppgift (prop. 2004/05:70, s. 21). Bestäm- melsen i 10 § avser dock inte s.k. känsliga uppgifter, dvs. uppgifter om hälsotillstånd, utan det regleras i 18 §. I 18 § första stycket punkten d PUL anges att känsliga person- uppgifter får behandlas för hälso- och sjukvårdsändamål, om behand- lingen är nödvändig för administration av hälso- och sjukvård, och av 18 § andra stycket PUL följer att den som är yrkesmässigt verksam inom hälso- och sjukvårdsområdet och har tystnadsplikt får behandla känsliga personuppgifter som omfattas av tystnadsplikten. och har anfört att denna bestämmelse utgör stöd för behandling av känsliga uppgifter hos båda myndigheterna. Beträffande behandlingen av personnummer framgår av 22 § PUL att uppgifter om personnummer eller samordningsnummer får behandlas utan samtycke bl.a. när det är klart motiverat med hänsyn till ändamålet med behandlingen (punkten a) eller vikten av en säker identifiering (punkten b). och E-hälso- myndigheten har gjort bedömningen att en behandling av person- nummer är klart motiverad med hänsyn till ändamålet med behand- lingen och vikten av en säker identifiering. Övriga frågor om personuppgiftshantering och sekretess Utöver det som nämns ovan finns det ytterligare frågor som är centrala i samband med personuppgiftshanteringen. En fråga är vem som är personuppgiftsansvarig. anses vara personuppgiftsansvarig för kommunikationslösningen medan är personuppgiftsansvarig för den personupp- Överväganden och förslag om hantering och prissättning av licensläkemedel giftshantering som sker i interna ärendehan- teringssystem. I 9 § PUL anges grundläggande krav på personuppgiftsbehand- lingen som den personuppgiftsansvarige ansvarar för efterlevnaden av, t.ex. frågor om behörighetskontroll och åtkomstkontroll. Av intruktioner framgår t.ex. att alla sökningar ska loggas och att alla användare måste vara identifierade. Åtkomsten till systemet på kommer att vara begränsad till de som handlägger ärendena och till de experter som anlitas i ärendena. har säkerhetsdokument som beskriver bl.a. behörighetskontroll men dessa avser inte just licenshantering. och omfattas av offent- lighetsprincipen och uppgifter om bl.a. en enskilds hälsotillstånd hos myndigheterna är skyddade av sekretess enligt 25 kap. 1 § respektive 25 kap. 17 § a OSL. I och med kommunikationslös- ningen kommer att lämna ut sekretesskyddade uppgifter till och kommer att lämna ut sekretesskyddade uppgifter till bl.a. och apoteken. Uppgifterna är skyddade av samma starka sekretess hos båda myndigheterna och syftet med utlämnandet är att under- lätta hanteringen av licenser hos såväl som E- hälsomyndigheten. Utlämnandet förutsätter sekretessprövning hos de båda myndigheterna. 7.6.3Behov av författningsändringar? Utredningens bedömning: Personuppgiftsbehandlingen vid hantering av licenser bör bli föremål för en särskild registerlag. Skälen för utredningens bedömning Behov av reglering i lag Som framgår ovan föreslår utredningen att en licens ska gälla på samtliga apotek. En sådan ordning får betydelse för hur kommuni- kationslösningen bör vara reglerad. Utredningen kommer i det följande att diskutera behovet av reglering av personuppgiftshan- teringen hos såväl som , men även hos öppenvårdsapoteken. Eftersom vissa av uppgifterna Överväganden och förslag om hantering och prissättning av licensläkemedel vid licenshanteringen omfattas av sekretess krävs även särskilda överväganden beträffande sekretessregleringen och en diskussion kring offentlighets- och sekretesslagens tillämpning. Ovan har konstaterats att flera av uppgifterna i kommuni- kationslösningen rör patientens hälsa och således är att definiera som känsliga uppgifter i personuppgiftslagens mening. Behandling av känsliga uppgifter är omgärdade av särskilda bestämmelser. Vissa delar i en licensansökan anses vara mer känsliga än de uppgifter som finns i ett recept. Det kan noteras att det för behandling av upp- gifter i recept finns en särskild registerförfattning, lagen (1996:1156) om receptregister. Det är ungefär 47 000 enskilda licenser som beviljas till cirka 44 000 patienter . Uppgifterna i kommunikationslösningen kan dock, i likhet med receptregistret, komma att omfatta upp- gifter om hela befolkning. hade t.ex. cirka 7,8 miljoner personer samtyckt till att spara sina recept elektroniskt (SOU 2012:75 s. 727). Förutom personuppgifter om den enskilde patienten kommer behandlingen avse personuppgifter om förskriv- are, såväl läkare som veterinärer. Det finns drygt 40 000 läkare, drygt 7 000 tandläkare samt cirka 4 000 veterinärer5. Alla dessa har möj- lighet att förskriva licensläkemedel. Det beviljas cirka 14 000 veteri- nära licenser . En registrering av licensuppgifter avser således ett stort antal personer, såväl om patienter som förskrivare. Licens ska dock endast förskrivas i undantagsfall när det inte finns något godkänt alternativ. Avsikten med kommunikationslösningen är att det ska vara ett förmedlingssystem hos där uppgifter kommer in från , förskrivarna och apoteken och sedan skickas ut till , apoteken, förskrivarna och pati- enterna. /2012 arbetade cirka 8 000 personer på öppenvårdsapotek varav cirka 2 000 är apotekstekniker. Flertalet av farmaceuterna och apoteksteknikerna är involverade i receptexpe- dition (jfr SOU 2012:75 s. 719). Apotekstekniker kan t.ex. förbe- reda licensansökan och förbereda expedition av läkemedel på licens. Enligt nuvarande utformning av kommunikationslösningen har de som har behörighet till expeditionssystemet också behörighet till kommunikationslösningen. 5 , Läkarfakta 2012, statistik över medlemmar i , , Tandläkarsiffror 2013 samt uppgift från . Överväganden och förslag om hantering och prissättning av licensläkemedel På arbetar ungefär 130 personer. Det är emellertid endast ett fåtal, viss administrativ personal, som på E-hälso- myndigheten kommer att ha tillgång till data från licensansök- ningssystemet. Detta sker enbart i samband med incident- eller ärendeutredning. På arbetar cirka 800 personer, men det är endast cirka 50 personer som kommer att ha tillgång till systemet i olika utsträckning, styrt av behörigheter och inloggning.