sou · H2B320 · 2014-04-01 00:00:00 — Det är sammantaget fråga om ett stort antal personer som kommer att ha tillgång till de känsliga personuppgifterna. Det är samma uppgifter som kommer att hanteras av de båda myndigheterna. Syftet med hanteringen är också detsamma, dvs. underlätta licenshanteringen för , apoteken och förskrivarna samt skapa en säker hantering. Till skillnad från personuppgiftshanteringen hos E-hälsomyndig- heten kommer det dock inte vara några aktörer som har s.k. direkt- åtkomst till uppgifter hos . kommer inte heller att ha direktåtkomst till . diskuterade i SOU 2007:48 kring behovet av en särskild registerförfattning avseende verksam- het. Utredningen påpekade att ändamålen för personuppgiftsbehandling har fastställts i olika författningar såsom läkemedelslagen (1992:859) och läkemedelsförordningen (2006:272) och att ändamålen är formulerade som åligganden för verket att fullgöra vissa saker. Vidare uttalade utredningen att det i 4 kap. 4 § andra stycket läkemedelsförordningen har tagits in en bestämmelse om att är personuppgiftsansvarigt för behand- ling av personuppgifter som verket utför för att fullgöra sådan skyldighet som åligger verket enligt läkemedelslagen eller läke- medelsförordningen. Utredningen uttalade sedan att karaktären av den i vissa fall ytterst integritetskänsliga informationen som lagras i verkets databaser skulle kunna anses tala för en särskild registerför- fattning. Å andra sidan är den verksamhet som verket bedriver av relativt begränsat omfång när det gäller såväl personalstyrka som geografisk spridning. Det totala antal personer som över huvud taget har någon faktisk möjlighet till åtkomst till de känsliga person- uppgifter som behandlas inom myndigheten understiger vida vad som är fallet inom exempelvis en vårdgivare inom hälso- och sjukvården. Utredningen ansåg sammanfattningsvis inte att det var nödvändigt med några särskilda registerförfattningar (s. 202). Utredningen uttalade sig dock inte särskilt om just myndighetens licenshan- tering. Överväganden och förslag om hantering och prissättning av licensläkemedel Registerförfattningar som framför allt rör myndighetens interna ärendehantering finns på vissa områden, se t.ex. förordningen (2011:306) om behandling av personuppgifter i Tandvårds- och läkemedelsförmånsverkets verksamhet i fråga om det statliga tand- vårdsstödet. I den förordningen finns bestämmelser om TLV:s per- sonuppgiftshantering vid beslut om utformningen av det statliga tandvårdsstödet i fråga om ersättningsberättigande tandvårdsåtgärder, referenspriser för de ersättningsberättigande åtgärderna samt belopps- gränser och ersättningsgrader inom skyddet mot höga kostnader. Vidare finns det i lagen (2002:546) om behandling av personupp- gifter i den arbetsmarknadspolitiska verksamheten, bestämmelser om Arbetsförmedlingens personuppgiftshantering inom den arbetsmark- nadspolitiska verksamheten avseende bl.a. handläggning av ärenden. Utredningen anser att det är lämpligt att licenshantering regleras på samma sätt som hantering. Som framgår ovan bedöms kommunikationslösningen kunna föras med stöd av 18 § PUL. Vid diskussion kring behovet av registerförfattning hos (numera E-hälso- myndigheten) uttalade regeringen, i samband med omregleringen av apoteksmarknaden, att det är osäkert om den nämnda bestäm- melsen ger tillräckligt stöd för personuppgiftsbehandlingen hos (prop. 2008/09:145, s. 305). Bland annat av det skälet föreslog regeringen en särskild registerlag för apoteken, nämligen apoteksdatalagen (2009:367). Regeringens tidigare uttal- ande och bedömning i detta avseende bör tillmätas vikt vid bedöm- ningen av behovet av en särskild registerlag beträffande licenser. Avslutningsvis bör erinras om den lagändring som genomfördes i regeringsformen i syfte att stärka skyddet för den personliga integriteten, se avsnitt 7.6.2. Det ställs också numera krav på att begränsningarna ska vara nödvändiga för att till- godose ett ändamål som är godtagbart i ett demokratiskt samhälle. Mot bakgrund av ovan bedömer utredningen sammantaget att licenshanteringen hos och hantering bör bli föremål för en särskild registerförfattning. Med hänsyn till karaktären av de känsliga uppgifterna, den stora mäng- den personer som kan komma att bli föremål för behandlingen samt en stor mängd olika aktörer som ska ha åtkomst till uppgift- erna bedömer utredningen att regleringen bör ske i lag. Regleringen bör kunna betraktas som ett så stort ingrepp i enskildas privatliv att den kan anses utgöra ett betydande intrång i den personliga Överväganden och förslag om hantering och prissättning av licensläkemedel integriteten i den mening som avses i 2 kap. 6 § andra stycket RF. Genom en lagstiftning upprättas ett starkt skydd för hanteringen av uppgifter, vilket är av stor betydelse för skyddet för den per- sonliga integriteten. Utredningen har noterat att uppgifter om för- skrivare, t.ex. den enskildes yrke och behörighet, datum för med- delande av legitimation och beslut om återkallelse av legitimation m.m., regleras på förordningsnivå (det s.k. ). Där- emot innehåller såväl apoteksdatalagen som lagen om receptregister bestämmelser som rör förskrivaren. Vissa av uppgifterna vid licenshanteringen omfattas av sekretess, vilket kräver författningsändringar och diskuteras nedan. Utredningen har diskuterat huruvida regleringen bör ske i en eller två lagar, dvs. om såväl som E-hälsomyndig- hetens personuppgiftsbehandling av licenser kan regleras i samma lag och om regleringen kan tas in i någon befintlig lag. En tänkbar lösning är att bestämmelserna tas in i lagen om receptregister. Den lagen gäller dock enbart för , och inte för . Vidare omfattar receptregistret ändamål som inte stämmer särskilt väl överens med ändamålen för licenshanteringen, se ovan angående varför lagen om receptregister i dess nuvarande lydelse inte är tillämplig på kommunikationslösningen. Det kom- mer därför att behöva ske tillägg avseende just licenshanteringen. Mot bakgrund härav och vikten av tydlighet kring regleringen bedömer utredningen att det är lämpligt att de båda myndig- heternas hantering regleras i samma lag och att det bör tas fram en särskild registerförfattning för det ändamålet. Utredningen förslår således att personuppgiftsbehandlingen rörande licenser ska bli föremål för specialreglering i en ny lag. Lagen bör benämnas lagen om behandling av personuppgifter vid licenshantering. Utredningen noterar att Utredningen om inrättande av en ny myndighet för hälso- och vårdinfrastruktur (S2013:03) i sin delrap- port 2 (S2013:03/2013/18), har uttalat sig om regleringen av Apotekens Service AB:s (numera ) verksamhet och påtalat att verksamheten i stora delar bestäms av lagen om recept- register och lagen om läkemedelsförteckning. Den utredningen före- slår att det bör övervägas att ersätta dessa två lagar med en mer generell ramlagstiftning för verksamhet (s. 4). Överväganden och förslag om hantering och prissättning av licensläkemedel ett sådant arbete kan det vara lämpligt att beröra frågan om behovet av en särskild lag för personuppgiftsbehandlingen av licenser hos E- hälsomyndigheten. Utredningen noterar att det också kan finnas skäl att justera lagen om receptregister utifrån verksamhet med kommunikationslösningen. använder uppgifter från receptregistret (t.ex. befolkningsregistret, det s.k. ) i kommunikationslösningen. Det kan vara nödvändigt att tydliggöra att det är ett tillåtet ändamål enligt lagen om receptregister. I samband med tillkomsten av apoteksdatalagen (2009:367) uttalade regeringen att regleringen kring personuppgiftshanteringen på apoteksmarknaden bör vara enhetlig och tydlig. Regeringen eftersträvade därför att apoteksdatalagen och lagen om recept- register utformades på liknande sätt (prop. 2008/09:145 s. 331). Den nya lagen bör utformas med dessa två lagar som förebilder. 7.6.4Lagens tillämpningsområde och definitioner Utredningens förslag: Lagen om behandling av personuppgifter vid licenshantering ska tillämpas vid sådan personuppgifts- behandling vid och licenshantering som är helt eller delvis automatiserad, eller där uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter, som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Personuppgifter som rör patienter och de som är behöriga att förordna läkemedel ska få behandlas för vissa i lagen angivna ändamål. I lagen om behandling av personuppgifter vid licenshantering har termer och begrepp som också förekommer i läkemedels- lagen (1992:859) och föreskrifter som är meddelade med stöd av lagen samma betydelse som i den lagen eller föreskrifterna. Det som föreskrivs i fråga om läkemedel ska gälla även sådana varor och varugrupper som avses i 3 § läkemedelslagen. Med licens avses ett tillstånd enligt 5 § tredje stycket läke- medelslagen att sälja ett läkemedel som inte är godkänt för för- säljning i . Med tillståndshavare avses den som enligt 2 kap. 1 § lagen om handel med läkemedel har fått tillstånd att bedriva detaljhandel med läkemedel till konsument. Överväganden och förslag om hantering och prissättning av licensläkemedel Med vårdgivare avses statlig myndighet, landsting och kom- mun i fråga om sådan hälso- och sjukvård som myndigheten, eller kommunen har ansvar för (offentlig vårdgivare) samt annan juridisk person eller enskild näringsidkare som bedriver hälso- och sjukvård (privat vårdgivare). Med öppenvårdsapotek avses inrättning för detaljhandel med läkemedel som bedrivs med tillstånd enligt 2 kap. 1 § lagen om handel med läkemedel. Skälen för utredningens förslag: I vissa registerförfattningar anges uttryckligen att en myndighet får föra ett särskilt register, t.ex. anges det i lagen (1996:1156) om receptregister att E-hälsomyn- digheten med hjälp av automatiserad behandling får föra ett register över förskrivningar av läkemedel och andra varor för människor, dvs. Genom personuppgiftslagens införande har begreppet register dock kommit att spela en underordnad roll vid elektronisk behandling av personuppgifter. All elektronisk behand- ling av personuppgifter omfattas nämligen av personuppgiftslagen, oavsett om personuppgifterna ingår i ett register eller inte. Istället har det blivit av avgörande betydelse att personuppgifter samlas in för uttryckligt angivna ändamål och sedan inte används för något annat ändamål (prop. 2007/08:126 s. 51). I likhet med vad som gäller enligt apoteksdatalagen (2009:367) ska den nya lagen följaktligen reglera inte bara personuppgiftsbe- handling i register eller databaser utan, på samma sätt som person- uppgiftslagen, omfatta all helt eller delvis automatiserad behandling av personuppgifter hos och som rör licenshanteringen. Även behandling i register eller för registerföring ska omfattas. Ledning för bedömning av vilken hantering som omfattas kan sökas i förarbeten, doktrin och praxis rörande personuppgiftslagens bestämmelser, se t.ex. RÅ 2001 ref. 35. Utredningen finner det därför inte nödvändigt med sär- skilda bestämmelser om att och Läkemedels- verket får föra särskilda register. Regleringen i den nya lagen kommer inte att påverka övriga bestämmelser som rör personuppgiftshantering, såsom bestämmelsen i 9 § läkemedelslagen (1992:859) och 4 kap. läkemedelsförordningen (2006:272). Inte heller de registerförfatt- ningar som gäller för verksamhet, dvs. SOU 2014:20 Överväganden och förslag om hantering och prissättning av licensläkemedel (1996:1156) om receptregister och lagen (2005:258) om läke- medelsförteckning, kommer att påverkas. De personuppgifter som och E-hälsomyndig- heten kommer att hantera är hänförliga till både patienter och de som är behöriga att förordna läkemedel. Hur den enskilde ska benämnas skiljer sig åt mellan apoteksdatalagen och lagen om recept- register. I den första lagen är det fråga om konsumenter (detsamma i lagen om handel med läkemedel) medan det i lagen om recept- register anges patienter (detsamma i patientdatalagen (2008:355)). Nuvarande bestämmelser om licens återfinns framför allt i Läke- medelsverkets föreskrifter. Där används ordet patient. Utredningen stannar för att det är det begreppet som bör användas i den nya lagen. Med patient avses även i detta fall djurägaren. Djurägaren kan vara en fysisk eller juridisk person. Läkemedel kan både förskrivas och rekvireras. Med förordnade läkemedel avses dels ordinerade läkemedel, vilket innebär att läke- medel har förskrivits på recept till den enskilde, dels rekvirerade läkemedel, som innebär att sjukvården har beställt läkemedel från apotek. Vilka som är behöriga att förordna läkemedel regleras i föreskrifter (LVFS 2009:13) om förordnande och utlämnande av läkemedel och teknisk sprit. Av LVFS 2001:1 följer att läkemedel får expedieras i enlighet med generell licens endast mot rekvisition eller motsvarande för sjukvårdens läkemedels- försörjning. Uttrycket förordna bör användas framför förskriva (jfr prop. 2008/09:145 s. 118 f.). Med licens avses ett tillstånd att sälja ett läkemedel som inte är godkänt för försäljning i . Definitionen överensstämmer med definitionen i LVFS 2008:1. Med tillståndshavare avses den som enligt 2 kap. 1 § lagen om handel med läkemedel har fått tillstånd att bedriva detaljhandel med läkemedel. Med vårdgivare avses statlig myndighet, landsting och kommun i fråga om sådan hälso- och sjukvård som myndigheten, eller kommunen har ansvar för (offentlig vårdgivare) samt annan juridisk person eller enskild näringsidkare som bedriver hälso- och sjukvård (privat vårdgivare). Definitionen överensstämmer med definitionen i patientdatalagen. Med öppenvårdsapotek avses en sådan inrättning för detaljhandel med läkemedel som bedrivs med tillstånd enligt 2 kap. 1 § lagen (2009:366) om handel med läkemedel. Överväganden och förslag om hantering och prissättning av licensläkemedel Flera av de beteckningar som föreslås gälla i den nya lagen finns redan definierade i läkemedelslagen (1992:859) eller föreskrifter med- delade med stöd av lagen. Exempelvis innehåller läkemedelslagen en definition av läkemedel och föreskrifter inne- håller definitioner av förordna. För att det inte ska råda något tvivel om begreppens betydelse föreslås att det i lagen anges att de termer och uttryck som används där har samma betydelse som i läkemedelslagen och de föreskrifter som har meddelats med stöd av lagen. Vad som anges om läkemedel föreslås gälla även för varor och varugrupper som avses i 3 § läkemedelslagen. Enligt denna bestäm- melse får regeringen eller, efter regeringens bemyndigande Läke- medelsverket, om det är påkallat från hälso- och sjukvårdssyn- punkt, föreskriva att läkemedelslagen helt eller delvis ska tillämpas på en vara eller varugrupp som inte är läkemedel men i fråga om egen- skaper eller användning står nära läkemedel. Av föreskrifter (LVFS 2011:15) om tillämpning av läkemedelslagen på vissa varor, framgår att härmed avses bl.a. vissa medel avsedda att motverka övervikt och dialysvätskor. Bestämmelsen i lagen om behandling av personuppgifter vid licenshantering är utarbetad efter förebild i lagen om handel med läkemedel och apoteksdata- lagen. 7.6.5Krav på behandling, hantering och förvaring Utredningens förslag: Personuppgifter ska behandlas så att den enskildes integritet respekteras. Dokumenterade personupp- gifter ska hanteras och förvaras så att obehöriga inte får tillgång till dem. Skälen för utredningens förslag: Efter förebild från lagen (1996:1156) om receptregister, patientdatalagen (2008:355) och apoteksdatalagen (2009:367), föreslås att det ska införas en särskild bestämmelse om att och ska behandla personuppgifter så att den enskildes integritet respekteras, samt att dokumenterade personuppgifter ska hanteras och förvaras så att obehöriga inte får tillgång till dem. Bestäm- melsen understryker vikten av respekt för de enskildas integritet. Överväganden och förslag om hantering och prissättning av licensläkemedel Med hantering och förvaring avses alla slags åtgärder som vidtas beträffande personuppgifterna (jfr prop. 2008/09:145 s. 336). Utredningens förslag: Personuppgiftslagen ska gälla för E-hälso- myndighetens och behandling av person- uppgifter, om inte annat följer av lagen om behandling av personuppgifter vid licenshantering eller av föreskrifter som har meddelats i anslutning till lagen. Skälen för utredningens förslag: Personuppgiftslagen ((1998:204, PUL) är generellt tillämplig på behandling av personuppgifter. Lagen är dock subsidiär i förhållande till andra författningar. Om det finns avvikande bestämmelser i en annan lag eller i en förord- ning ska enligt 2 § PUL de bestämmelserna gälla. Sådana avvikande bestämmelser föreslår utredningen ska finnas i lagen om behand- ling av personuppgifter vid licenshantering. Det föreslås att den lagens förhållande till personuppgiftslagen uttryckligen framgår. 7.6.7Den enskildes inställning till personuppgiftsbehandlingen Utredningens förslag: Behandling av personuppgifter som är tillåten enligt lagen om behandling av personuppgifter vid licenshantering ska få utföras även om den enskilde motsätter sig behandlingen. Behandling av personuppgifter som inte är tillåten enligt lagen om behandling av personuppgifter vid licenshantering ska ändå få utföras, om den enskilde har lämnat ett uttryckligt samtycke till behandlingen. Skälen för utredningens förslag I lagen (1996:1156) om recept- register, patientdatalagen (2008:355) och apoteksdatalagen (2009:367) finns bestämmelser som rör den enskildes inställning till personuppgiftsbehandlingen. Utredningen kommer i det föl- jande att diskutera behovet av sådana bestämmelser även i lagen om behandling av personuppgifter vid licenshantering. Överväganden och förslag om hantering och prissättning av licensläkemedel Den enskilde motsätter sig personuppgiftsbehandlingen Enligt och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och det fria flödet av sådana upp- gifter (dataskyddsdirektivet, EGT L 281, 23.11.1995, s. 31, Celex 31995L0046) ska den registrerade i vissa fall, bl.a. då behandlingen av personuppgifter är nödvändig för att utföra en arbetsuppgift av allmänt intresse eller som är ett led i myndighetsutövning som utförs av den registeransvarige eller tredje man till vilken upp- gifterna har lämnats ut, ha rätt att motsätta sig behandling av upp- gifter som rör honom eller henne, utom när den nationella lagstift- ningen föreskriver någonting annat. I 12 § andra stycket person- uppgiftslagen (1998:204, PUL) föreskrivs med anledning härav att en registrerad inte, utöver vad som följer av 11 § och 12 § första stycket, har rätt att motsätta sig sådan behandling av personupp- gifter som är tillåten enligt personuppgiftslagen. PUL gäller, om inte frågan regleras på annat sätt. Det skulle innebära att bestämmelsen i 12 § andra stycket PUL, om att den enskilde inte har rätt att motsätta sig en personuppgiftsbehandling som är tillåten enligt PUL, också gäller vid personuppgiftsbehand- ling enligt lagen om behandling av personuppgifter vid licenshan- tering. Som Lagrådet har påpekat (prop. 2000/01:33 s. 346) medför emellertid utformningen av 12 § andra stycket att det är svårt att i en särskild registerförfattning hänvisa till den bestäm- melsen som grund för rätten att behandla personuppgifter i vissa fall när den enskilde motsätter sig det. Efter förebild från lagen om receptregister, patientdatalagen och apoteksdatalagen bör det i lagen om behandling av personuppgifter vid licenshantering tas in bestämmelser om att behandling av per- sonuppgifter som är tillåten enligt lagen får utföras även om den enskilde motsätter sig behandlingen. Den enskilde samtycker till personuppgiftsbehandlingen Av dataskyddsdirektivet, liksom av 15 § PUL, följer att det generella förbudet mot att behandla känsliga personuppgifter inte gäller om den registrerade uttryckligen samtycker till personupp- giftsbehandlingen. övervägde att ta in även en sådan bestämmelse i apoteksdatalagen, men gjorde av Överväganden och förslag om hantering och prissättning av licensläkemedel försiktighetsskäl den bedömningen att det inte borde ske. Utred- ningen konstaterade att apoteksdatalagen därmed blev mer restrik- tiv än PUL och det bakomliggande dataskyddsdirektivet. En annan konsekvens av ställningstagandet var att lagens ändamålsbestäm- melser blev uttömmande. Utredningen gjorde vidare den bedöm- ningen att apoteksdatalagen i detta avseende borde ses efter omregleringen för att då se om tiden var mogen för en anpassning till PUL. I betänkande fanns förslag till och förslag till anpassning av lagen om receptregister till PUL (SOU 2006:82 och SOU 2007:48). Båda förslagen innehöll bestämmelser om att behandling av personupp- gifter som inte är tillåten enligt lagen, ändå ska få ske om den enskilde har lämnat ett uttryckligt samtycke. Patientdatautred- ningen hänvisade i sitt huvudbetänkande (SOU 2006:82 s. 208) till regeringens uttalanden i förarbetena till PUL (prop. 1997/98:44 s. 69) där regeringen framförde att det, när någon har lämnat ett frivilligt samtycke till en viss personuppgiftsbehandling, inte finns något integritetsskyddsintresse som gör det befogat att förbjuda den behandling som den registrerade och den personuppgifts- ansvarige är överens om. menade att detta resonemang gjorde sig gällande även i hälso- och sjukvården. Utred- ningen beaktade att det som skäl mot förslaget skulle kunna anföras att en enskild patient ofta befinner sig i ett utsatt läge eller annars i en svag position i sina kontakter med hälso- och sjukvården. Han eller hon skulle därför kunna komma att samtycka till en person- uppgiftsbehandling utan att vara helt på det klara med konsekvens- erna. bedömde att det inte förelåg någon grund för antagandet att möjligheten att inhämta patienters uttryckliga samtycke till särskilda personuppgiftsbehandlingar skulle missbrukas av vårdgivare och föreslog därför en bestämmelse som anger att en behandling av personuppgifter som inte är tillåten enligt lagen ändå får utföras om den enskilde har lämnat ett uttryckligt samtycke till behandlingen. Bestämmelsen återfinns i patientdatalagen (2008:355) som trädde i kraft . Regeringen menade, vid omregleringen av apoteksmarknaden, att resonemanget bakom bestämmelsen i patientdatalagen kunde appliceras även när det gäller öppenvårdsapotekens och Apotekens Service AB:s (numera ) behandling av person- uppgifter. Regeringen föreslog därför att en behandling av personupp- gifter som inte är tillåten enligt apoteksdatalagen eller lagen om receptregister, ändå ska få utföras om den enskilde har lämnat ett Överväganden och förslag om hantering och prissättning av licensläkemedel uttryckligt samtycke till behandlingen. Regeringen påpekade att det innebär ett klargörande och kan sägas vara ett uttryck för att en enskilds uttryckliga samtycke till en viss personuppgiftsbehandling ska respekteras (prop. 2008/09:145 s. 339). Det innebär således att personuppgifter kan samlas in och behandlas för ett ändamål som inte anges i apoteksdatalagens eller lagen om receptregisters ända- målsbestämmelse, om den enskilde har lämnat ett uttryckligt sam- tycke till detta. Efter förebild från lagen om receptregister, patientdatalagen och apoteksdatalagen bör det i lagen om behandling av personuppgifter vid licenshantering tas in en bestämmelse om att behandling av personuppgifter som inte är tillåten enligt lagen, ändå ska få utföras om den enskilde har lämnat ett uttryckligt samtycke till behand- lingen. Utredningens förslag: är personuppgifts- ansvarig för myndighetens personuppgiftsbehandling i ärenden om ansökan om licenser. är personupp- giftsansvarig för myndighetens personuppgiftsbehandling vid förmedling av uppgifter om licenser. Tillståndshavaren för ett öppenvårdsapotek är personuppgiftsansvarig för behandlingen av personuppgifter som sker genom direktåtkomst. Vårdgivaren är personuppgiftsansvarig för behandlingen av personuppgifter som sker genom direktåtkomst.