sou · H2B320 · 2014-04-01 00:00:00 — , ska bestämma villkor för tilldelning av behörighet för elektronisk åtkomst till sådana uppgifter om patienter som förs helt eller delvis automatiserat. Sådan behörighet ska begränsas till vad som behövs för att den enskilde ska kunna fullgöra sina arbetsuppgifter inom hälso- och sjukvården. I 4 kap. 3 § PDL föreskrivs dessutom att vårdgivaren har en skyldighet att se till att åtkomsten till uppgifterna kan kontrolleras och att system- atiska och återkommande kontroller görs av om någon obehörigen har kommit åt uppgifterna. Regeringen nämnde även att ytterligare krav på vårdgivaren för en säker hantering av patientuppgifter återfinns i föreskrifter (SOSFS 2008:14) om informationshantering och journal- föring i hälso- och sjukvården. I föreskrifterna förtydligas bl.a. att alla åtgärder som vidtagits i ett informationssystem som är helt eller delvis automatiserat i efterhand måste gå att härleda till en identi- fierad användare. Vidare följer av föreskrifterna att vårdgivaren ska säkerställa att det i ledningssystemet för kvalitet och patientsäker- het finns en dokumenterad informationssäkerhetspolicy. Regeringen betonade också tillsynsmyndigheternas, dvs. Datainspektionen och (numera ) ansvar för att se till att landstingen hanterar personuppgifter i enlighet med gällande regelverk. Överväganden och förslag om smittskyddsläkemedel Regeringen föreslog även reglering i syfte att garantera ett starkt skydd för den personliga integriteten. Exempelvis föreslogs att tystnadsplikten för personalen på (numera ) även ska omfatta uppgifter som kan ge upp- lysning om krypteringsmetod som använts vid utlämnande från till aktuellt landsting. Regeringen konstate- rade att bestämmelser om skydd mot att uppgifter om bl.a. kryp- teringsmetoder hos röjs för utomstående redan finns i 18 kap. 8 och 9 §§ offentlighets- och sekretesslagen (2009:400) varför inga ytterligare bestämmelser i den delen föreslogs. Vidare föreslogs ett förbud mot att, utan den enskildes samtycke, behandla krypt- erade uppgifter hos i syfte att röja en patients identitet. Det föreslogs även att när sambearbetar personupp- gifter som dokumenterats inom hälso- och sjukvården med person- uppgifter från (numera E-hälsomyndig- heten), ska personuppgifter vara krypterade på ett sådant sätt att patienternas identitet skyddas. Regeringen ansåg därmed att de effektivitetsvinster, i form av bl.a. ökad patientsäkerhet, jämlikare vård och förbättrad kostnads- effektivitet som landstingen och det offentliga kan åstadkomma med förslaget, översteg det intrång i den personliga integriteten som förslaget innebär. Av smittskyddslagen (2004:168) följer att smittskyddsåtgärder ska vidtas med respekt för alla människors lika värde och enskildas integritet. Lagstiftaren har vidare valt att särskilt skydda personer som kan vara eller är smittade genom att kräva att personen i en anmälan om anmälningspliktig sjukdom m.m., ska omnämnas med en s.k. rikskod i stället för personens personnummer, se 4 § smitt- skyddsförordningen (2004:255). Några andra uppgifter om den smittades identitet får i dessa fall inte lämnas i anmälan. Av smittskyddslagen följer att en behandlande läkare som miss- tänker eller konstaterar fall av allmänfarlig sjukdom eller annan anmälningspliktig sjukdom, utan dröjsmål ska anmäla detta till smittskyddsläkaren i det landsting där den anmälande läkaren har sin yrkesverksamhet och till . Anmälan ska göras även i vissa andra angivna fall. En sådan anmälan ska bl.a. inne- hålla uppgifter om den smittades eller misstänkt smittades namn, personnummer eller samordningsnummer och adress samt andra uppgifter av betydelse för smittskyddet. Huvudregeln är således att anmälan av anmälningspliktig sjukdom som inte är samhällsfarlig, ska innehålla uppgift om den smittades identitet och de övriga upp- Överväganden och förslag om smittskyddsläkemedel gifter som behövs för att följa sjukdomens utbredning men, såsom redogjordes för i tidigare stycke, ska i vissa fall rikskod istället användas. Rikskoden består av de två första och de fyra sista siffrorna i den smittades personnummer jämte uppgift om hemortslän. Saknar den smittade personnummer, vilket t.ex. kan vara fallet med asylsökande, ska i stället en reservkod användas. I förarbetena till smittskyddslagen (prop. 2003/04:30 Ny smitt- skyddslag s. 93 f.) diskuterades behovet av fullständiga identitets- uppgifter i förhållande till användningen av rikskod. Regeringen konstaterade att ett anmälningsförfarande för smittsamma sjuk- domar har två syften. Det ena är att snabbt ge kunskaper om inträffade fall, för att direkta åtgärder ska kunna vidtas. Det andra är att ge mera långsiktiga kunskaper om utbredningen av sjuk- domarna för att bl.a. ge grund för utvärderingen av smittskyddet och utvecklandet av åtgärdsstrategier. Regeringen uttalade att inne- hållet i anmälan i princip borde motsvara vad som gällde enligt dåvarande smittskyddslag. Regeringen påpekade att uppgifter således skulle lämnas om den smittades identitet. Därefter betonade regeringen att enligt befintliga bestämmelser föreligger ett skydd för den smittades identitetsuppgifter samt smittkälla då det gäller sjukdomar som omfattas av 1.3 i bilagan till smittskyddslagen, dvs. gonorré, hivinfektion, klamydia, syfilis och ulcus molle. Regeringen uttalade att det kan ifrågasättas om detta skydd borde behållas. Avsaknad av identitetsuppgifter i anmälan kan medföra att åtgärder för att begränsa smittspridningen fördröjs. Vidare uttalade reger- ingen att utredningsarbetet underlättas om den smittades identitet är känd. Bristen på identitetsuppgifter kan dessutom innebära att smittskyddsläkarens arbete med att följa smittsamhet försvåras, bl.a. i sådana fall då en hivsmittad patient även har en annan smitt- sam sjukdom (t.ex. tuberkulos). Dessa svårigheter talade, enligt regeringen, för att undantaget för vissa sjukdomar borde upphävas. Därefter påpekade regeringen att den inledningsvis hade anfört att särreglering av hivinfektion i olika sammanhang borde undvikas. Vidare uttalade regeringen att vissa skäl dock kunde anföras mot att identitetsskyddet för de sexuellt överförbara sjukdomarna skulle behållas. Regeringen påpekade att det bl.a. hade framförts att upp- givandet av identitetsuppgifter vad gäller de ifrågavarande sjuk- domarna kan motverka möjligheten att minska smittspridningen, eftersom det kan befaras att en person som misstänker att han eller hon kan vara smittad av dylik sjukdom avhåller sig från att uppsöka sjukvården om hans eller hennes identitetsuppgifter sprids. Överväganden och förslag om smittskyddsläkemedel på att identitetsuppgifter ska lämnas kunde vidare, enligt regeringen, få till följd att behandlande läkare i enskilda fall helt underlät att fullgöra sin anmälningsskyldighet av hänsyn till patientens integri- tet. Vid en avvägning fann regeringen att övervägande skäl talade för att skyddet för identitetsuppgifter vid anmälan av fall av de sexuellt överförbara sjukdomar som då omfattades av anmälningsplikt skulle kvarstå. Regeringen bemyndigande därför att före- skriva om undantag för uppgift i anmälan för viss sjukdom. Det kan hända att patienten vill vara anonym i samband med behandling med smittskyddsläkemedel. Patienter kan t.ex. be för- skrivaren om att inte ange indikation och att det är fråga om för- skrivning enligt smittskyddslagen på receptet, för att uppgifterna om sjukdomen inte ska bli kända. Eftersom läkemedlet då inte för- skrivs enligt smittskyddslagen blir det inte kostnadsfritt för patienten. Det är däremot svårare att vara helt anonym vid expediering på apotek. Av 22 § läkemedelslagen (1992:859) framgår att den som lämnar ut läkemedel särskilt ska iaktta kraven på sakkunnig och omsorgsfull vård. Vid omregleringen av apoteksmarknaden påpek- ade regeringen att det av den bestämmelsen följer en skyldighet för den som lämnar ut ett läkemedel att säkerställa att läkemedlet lämnas ut till behörig person och att det är mycket angeläget att så verkligen sker (prop. 2008/2009:145 s. 378). Av 5 kap. 17 § LVFS 2009:13 följer att vid utlämnande av läkemedel och teknisk sprit ska apotekspersonalen se till att utlämnandet görs till rätt person. Vid utlämnande av s.k. särskilda läkemedel (dvs. framför allt nar- kotiska läkemedel) ställs högre krav på identitetskontroll än vad som gäller för övriga läkemedel, exempelvis utgör det expeditionshinder om patientens personnummer eller födelsedatum inte har angivits vid förskrivningen. Av vägledning till före- skriften framgår dock att det i dessa fall kan finnas tillfällen då fullständigt personnummer inte kan anges, exempelvis för personer med skyddad identitet, asylsökande, nyfödda och personer som vistas i tillfälligt. I dessa fall ska födelsedatum anges i stället. Användandet av rikskod kan ske när en behandlande läkare enligt smittskyddslagen ska anmäla sjukdom till smittskydds- läkaren och till . Det finns inte några mot- svarande regler om att t.ex. rikskod eller enbart födelsedata kan användas på receptet vid förskrivning av smittskyddsläkemedel utan då gäller de vanliga reglerna i LVFS 2009:13, dvs. bortsett från särskilda läkemedel utgör det inte expeditionshinder om inte person- numret har angetts. Om personnumret inte är angivet på receptet Överväganden och förslag om smittskyddsläkemedel kommer personnumret följaktligen inte att registreras i recept- registret och kan t.ex. då inte lämnas ut till landstingen. Sammanfattningsvis kan det anses som särskilt integritets- känsligt om uppgifter om smittskyddsläkemedel i sammanställ- ningar till landstingen kan hänförs till den enskilde. Det är ange- läget att utredningens förslag inte riskerar att medföra att patienter inte hämtar ut sina läkemedel av rädsla för att känsliga uppgifter ska spridas vidare. Utredningen har ovan redovisat vilka behov landstingen har av uppgifterna. Som framgår ovan får landstingen, beträffande läke- medel som ersätts genom läkemedelsförmånerna, tillgång till indi- viddata i form av anonymiserade och krypterade individnummer. Landstingen uppger att de har behov av sådana individdata även avseende smittskyddsläkemedel för att kunna använda informa- tionen för t.ex. lokal budgetering eller värdering av om förskriv- ningen är adekvat och ändamålsenlig. Landstingen menar att det ger en betydligt klarare bild om landstingen kan följa individer när det gäller antal individer, utköpsmönster och samtidig annan medi- cinering m.m. Utredningen anser att det är rimligt att landstingen får tillgång till information beträffande smittskyddsläkemedel på samma sätt som gäller för läkemedel som ersätts genom läke- medelsförmånerna. Förutom att landstingen har behov av individ- data skulle det krävas tekniska justeringar hos om den skulle få samla in individdata men inte lämna ut den till landstingen för vissa ändamål. Utredningen vill betona vårdgivarens personuppgiftsansvar för uppgifter som landstingen mottar från . Det är vårdgivarna som ansvarar för att reglerna i patientdatalagen och SOSFS 2008:14 men även PUL följs. har i anledning av förestående ändringar i SOSFS 2008:14 enligt 2 och 3 §§ pati- entdataförordningen samrått med Datainspektionen (Datainspek- tionens yttrande , dnr 404-2013). Inspektionen har därvid bl.a. uttalat att som ett underlag för den individuella behörig- hetstilldelningen, måste vårdgivaren genomföra och besluta en behovs- och riskanalys för patientuppgifterna i informations- systemet som sådant och t.ex. inte nöja sig med vilken legitimation en viss befattningshavare har och att alla med den legitimationen ska ha samma behörighetsprofil, till exempel oavsett patientgrupp man normalt vårdar eller behandlar. Datainspektionen har också uttalat behov av instruktioner eller riktlinjer för att den person- uppgiftsansvarige ska kunna bedöma om en elektronisk åtkomst är Överväganden och förslag om smittskyddsläkemedel obehörig eller inte. Vårdgivarna behöver riktlinjer för att kunna bedöma vad som utgör obehörig åtkomst till uppgifterna (se t.ex. Datainspektionens beslut inom ramen för tillsyn i ärende dnr 920-2012). Utredningen bedömer att vinsterna med förslaget överstiger det intrång i den personliga integriteten som förslaget innebär. Utred- ningen förutsätter att de nya personuppgifter som landstingen kommer att hantera med anledning av detta förslag, kommer att hanteras på ett ansvarsfullt och betryggande sätt inom landstingen enligt patientdatalagens bestämmelser, se till exempel 4 kap. 6 § patientdatalagen. Här kan också nämnas att regeringen konstaterar på s. 36 i prop. 2009/10:138 Ökad kvalitet vid läkemedelsför- skrivning att patientdatalagen och anslutande föreskrifter ställer stora krav på vårdgivaren att organisera informationshanteringen på ett säkert sätt. Utredningen vill betona att det alltid är den person- uppgiftsansvarige som är ansvarig för personuppgiftsbehandlingen. Det är också viktigt att tillsynen är väl fungerande på detta område. Datainspektionen har inlett en riksomfattande tillsyn av landsting- ens personuppgiftshantering rörande patientuppgifter2. Utredningens förslag kräver författningsändringar vilka kommer att diskuteras i det följande. Ändamålsbestämmelsen i 6 § lagen om receptregister Ovan beskrivs för vilka ändamål får behandla personuppgifter och att det inte finns några hinder för att i recept- registret behandla uppgifter om läkemedel som inte ersätts genom läkemedelsförmånerna. Att ska registrera uppgifter om huruvida ett läkemedel har förskrivits kostnadsfritt enligt smittskyddslagen bör enligt utredningens bedömning kunna rymmas inom nuvarande ändamålsbestämmelser, nämligen punkt- erna 3–5 i 6 §. Det behöver därför inte ske några författnings- ändringar i det avseendet. I 6 § andra och tredje styckena preciseras dock gränserna för registeranvändningen främst med avseende på den ur integritets- synpunkt avgörande frågan hur enskilda personers identitet får 2 /press/nyheter/2013/datainspektionen-granskar-samtliga- landsting/ Överväganden och förslag om smittskyddsläkemedel Det finns även begränsningar beträffande vilka upp- gifter som får registreras för olika ändamål. I de följande diskuteras kring eventuella författningsändringar beroende på vilket ändamål som är aktuellt. Av 6 § andra stycket lagen om receptregister framgår att för ändamålet debitering till landstingen får uppgifter som kan hän- föras till en enskild person inte omfatta annat än inköpsdag, kost- nad, kostnadsreducering och patientens personnummer, dvs. inte uttryckligen uppgifter om kostnadsfrihet enligt smittskyddslagen. Med kostnadsreducering torde framför allt avses kostnadsreducering enligt lagen om läkemedelsförmåner m.m., jfr motsvarande skriv- ning i 8, 16 och 18 §§ lagen om receptregister. Vad gäller smitt- skyddsläkemedel är det fråga om kostnadsfrihet enligt en annan lag, nämligen smittskyddslagen. När nuvarande bestämmelse i 6 § andra stycket lagen om recept- register infördes uttalade regeringen att det är viktigt att precisera gränserna för registeranvändningen för de olika ändamålen, främst med avseende på den ur integritetssynpunkt avgörande frågan huruvida enskilda personers identitet får registreras eller redovisas. Regeringen uttalade att en fullständig kontroll av de enskilda debiteringarna, som skulle förutsätta ett utlämnande av samman- kopplade eller sammankopplingsbara uppgifter om inköpt preparat och om patientens identitet inte möjliggjordes genom bestäm- melsen (prop. 1996/97:27 s. 125). Eftersom utredningen anser att det är lämpligt att landstingen får kontroll även över fakturor rörande smittskyddsläkemedel bör ett tillägg om kostnadsfrihet enligt smittskyddslagen ske i 6 §. Som framgår ovan gör utredningen bedömningen att det, trots intrånget i den personliga integriteten, är nödvändigt att lands- tingen får tillgång till denna uppgift, se diskussionen ovan. Beträffande de uppgifter som lämnas ut för landstingens eko- nomiska och medicinska uppföljning samt för framställning av statistik (punkten 5), finns det inte någon begränsning avseende vilka uppgifter som får lämnas ut. Det behövs därför inte någon författningsändring för att kunna genomföra förslaget. får landstingen tillgång till enskilda individers uttag av läkemedel i samband med leverans av upp- gifter för detta ändamål. Angående diskussion kring avvägningen mot skyddet mot intrång i den personliga integriteten, se ovan. Som framgår tidigare finns det ett behov av förbättra statistiken över smittskyddsläkemedel. I och med att uppgifter om kostnads- Överväganden och förslag om smittskyddsläkemedel frihet kommer att registreras i receptregistret kommer E-hälso- myndigheten att få hantera uppgifterna för ekonomisk uppföljning och framställning av statistik. För detta ändamål får dock enligt nuvarande reglering inga uppgifter redovisas som kan hänföras till en enskild person. Inga författningsändringar föreslås. Myndig- heter och andra aktörer kommer således att kunna hämta ut upp- gifter om smittskyddsläkemedel ur bl.a. Concise. Av 6 § fjärde stycket lagen om receptregister följer att förskriv- ningsorsak får redovisas enligt ändamålet i 6 § 5 (dvs. uppföljning m.m.) men inte enligt 6 § 3 (debitering) och 6 § 4 (statistik). Begräns- ningen torde ha till syfte att skydda den personliga integriteten (jfr prop. 1996/97:27 s. 125). Utredningen gör bedömningen att upp- gift om kostnadsfrihet enligt smittskyddslagen framför allt är en ekonomisk uppgift och inte en sådan medicinsk orsak som torde avses med bestämmelsen. Förbudet mot redovisning av förskriv- ningsorsak beträffande debitering hindrar därför inte att uppgifter om kostnadsfrihet enligt smittskyddslagen lämnas ut enligt det ändamålet. 8 § lagen om receptregister och förordningen om handel med läkemedel Till skillnad från t.ex. apoteksdatalagen (2009:367) och patient- datalagen (2008:355) innehåller lagen om receptregister bestäm- melser som specificerar vilka uppgifter som får finnas i registret och som kan hänföras till enskilda personer. Det anges inte uttryck- ligen att receptregistret får innehålla uppgifter om att läkemedlet har förskrivits kostnadsfritt enligt smittskyddslagen. Det anges visser- ligen att receptregistret får innehålla administrativa uppgifter. Med administrativa uppgifter avses uppgifter som huruvida för- skrivningen är med eller utan förmån och, om utbyte enligt lagen (2002:160) om läkemedelsförmåner m.m. skett, vilket läkemedel som bytts ut och mot vilket läkemedel bytet har skett. I begreppet administrativa uppgifter ingår även sådana uppgifter som måste registreras för att recept och blanketter som används för flera uttag ska kunna sparas elektroniskt. Det rör sig således om samtliga upp- gifter som enligt receptföreskrifterna behövs för att en giltig för- skrivning ska föreligga. Begreppet omfattar också sådana uppgifter som behövs för administrationen av högkostnadsskyddet (prop. 2008/09:145 s. 314). Lagen (1996:1156) om receptregister innehåller bestämmelser som specificerar vilka uppgifter som kan hänföras till Överväganden och förslag om smittskyddsläkemedel enskilda personer och som får finnas i registret och som därmed får lämnas ut till t.ex. TLV. Uppgift om kostnadsfrihet enligt smittskyddslagen skulle kanske kunna anses ingå i administrativa uppgifter. Emellertid framgår det uttryckligen att receptregistret får innehålla uppgift om kostnadsreducering enligt lagen om läkemedelsförmåner m.m. För att det inte ska råda något tvivel om att receptregistret även får innehålla uppgift om kostnadsfrihet enligt smittskyddslagen bör det ske ett tillägg. Utredningens uppdrag avser smittskyddsläkemedel. Som fram- går finns det även andra läkemedelsgrupper som hanteras parallellt med det system som gäller för läkemedel som ersätts genom läke- medelsförmånerna. En mer allmän skrivning i lagen om recept- register som skulle täcka även andra läkemedelsgrupper är att receptregistret t.ex. får innehålla uppgifter om kostnadsreducering enligt lag eller beslut av landsting. Den frågan bör bli föremål för vidare diskussion t.ex. i samband med översynen av lagen om recept- register och framtida uppdrag samt i de diskus- sioner som pågår inom ramen för den nationella läkemedels- strategin. Av 2 kap. 6 § lagen (2009:366) om handel med läkemedel fram- går att öppenvårdsapoteken vid expediering av en förskrivning ska lämna de uppgifter som anges i 8 § lagen (1996:1156) om recept- register till . Därigenom kan E-hälsomyndig- heten hantera uppgiften i receptregistret. Av lagen om handel med läkemedel följer också att öppenvårds- apoteken till ska lämna de uppgifter som är nödvändiga för att myndigheten ska kunna föra statistik över detalj- handeln. Apoteken bör lämna uppgift om kostnadsfrihet enligt smittskyddslagen till . Vilka uppgifter som apoteken ska lämna till har preciserats i för- ordningen (2009:659) om handel med läkemedel. I den förord- ningen anges inte att apoteken ska lämna uppgift om kostnads- frihet enligt smittskyddslagen. Utredningen har övervägt om det behöver anges att även de uppgifterna ska lämnas. Av 11 § femte stycket förordningen om handel med läkemedel framgår att skyl- digheten att lämna uppgifter för statistiken inte gäller för sådana uppgifter som redan lämnats till i enlighet med lagen (1996:1156) om receptregister. Utredningen föreslår att det i 8 § lagen om receptregister sker ett tillägg om kostnadsfrihet enligt smittskyddslagen. Därmed följer av lagen om handel med Överväganden och förslag om smittskyddsläkemedel läkemedel att apoteken ska lämna de uppgifterna till E-hälsomyn- digheten. Det kan då hävdas att det inte är nödvändigt med ett til- lägg i förordningen om handel med läkemedel men utredningen föreslår ändå ett sådant tillägg i förtydligande syfte. 14 § lagen om receptregister Av 7 kap. 1 § smittskyddslagen framgår att läkemedel som har för- skrivits av läkare mot en allmänfarlig sjukdom och som läkaren bedömer minskar risken för smittspridning är kostnadsfria för pati- enten. Vidare framgår av 7 kap. 4 § smittskyddslagen att svarar för kostnader för sådana läkemedel. Däremot framgår inte, till skillnad från vad som t.ex. anges i lagen om läkemedelsförmåner m.m. och HSL, uttryckligen vilket landsting som ska ansvara för kostnaderna. I 1 kap. 8 § smittskyddslagen står det att Varje land- sting ansvarar för att behövliga smittskyddsåtgärder vidtas inom landstingsområdet. Vad som enligt den bestämmelsen är ett lands- tingsområde har inte utvecklats i förarbeten (jfr prop. 2003/04:30 s. 198 ff). I den tidigare lagen, smittskyddslagen (1988:1472) stod det i 64 § att landstingskommunen ansvarar för de läkemedels- kostnader som förordnats inom den egna verksamheten, se prop. 1988/89:5 s. 103 och 151. Enligt förarbetena till nuvarande 7 kap. 4 § smittskyddslagen motsvarar bestämmelsen 63 § tredje stycket dåvarande smittskyddslag och ändringen uppges enbart vara av redaktionell art (prop. 2003/04:30 s. 239). Det bör i 14 § lagen om receptregister anges att E-hälsomyndig- heten även ska lämna ut uppgifter om kostnadsfrihet enligt smitt- skyddslagen och till det landsting som enligt smittskyddslagen ska svara för kostnaderna. Det kan finnas behov av att förtydliga vilket landsting som ansvarar för kostnaderna för smittskyddsläkemedel men den frågan kan inte anses ligga inom ramen för uppdraget för denna utredning. För del blir det enklast att bygga en lös- ning om betalningsansvarigt landsting, som är identisk med den som gäller för ersättning genom läkemedelsförmånerna, dvs. i första hand avgörs landsting genom patientens bostadsort, i andra hand genom arbetsplatsens belägenhet och slutligen finns det en s.k. riksslask som är baserad på andelen av rikets befolkning och som avser de fall transaktionen inte kan hänföras till något lands- ting. Det är tänkbart att det kan finnas andra aktörer som har behov av uppgifter om smittskyddsläkemedel och där det inte anses till- Överväganden och förslag om smittskyddsläkemedel räckligt med den information som kan hämtas ur t.ex. Concise. Tänkbara aktörer är och .