sou · H2B320 · 2014-04-01 00:00:00 — Skälen för utredningens förslag: Den personuppgiftsansvarige ska se till att de i 9 § personuppgiftslagen (PUL) angivna grundläg- gande kraven på behandling av personuppgifter iakttas. Det kan i lag eller förordning bestämmas vem som är personuppgiftsansvarig. I många registerförfattningar har det från integritetssynpunkt ansetts lämpligt att på ett tydligt sätt reglera vem som är person- uppgiftsansvarig. Exempel på sådana författningar är lagen (2005:258) om läkemedelsförteckning, patientdatalagen (2008:355), lagen (1996:1156) om receptregister och apoteksdatalagen (2009:367). Det bör därför även av lagen om behandling av personuppgifter vid licenshantering framgå vem som är personuppgiftsansvarig för person- uppgiftsbehandlingen på och . Överväganden och förslag om hantering och prissättning av licensläkemedel Om det finns behov kan personuppgiftsansvaret preciseras ytter- ligare i förordning, se t.ex. 6 kap. 6 § patientdatalagen där det anges att regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om vem som ska ha personuppgiftsansvar för övergripande frågor om tekniska och organisatoriska säkerhets- åtgärder vid sammanhållen journalföring. och har utformat systemet på så sätt att är ansvarig för den s.k. kommunikationslösningen och den personuppgiftsbehandling som sker i samband med förmedling av ansökan, motivering, komplet- tering och kommunikation med , apoteken, för- skrivarna samt patienten. är dock inte uttryck- ligen mottagare av informationen. Av LVFS 2008:1 framgår att licensansökan ska sändas in elektroniskt till i det format och på det sätt som bestämmer, att ansökan ska åtföljas av en moti- vering från förskrivaren som styrker behovet av läkemedlet samt att motiveringen ska ha visst innehåll. Det är som fattar besluten i licensärendet. Av det samverkansavtal som finns mellan och framgår följande. När systemet (dvs. E- hälsomyndighetens elektroniska system för förmedling av licens- ansökningar, den s.k. kommunikationslösningen) är i bruk kom- mer att ansvara för den behandling av person- uppgifter som sker inom systemet och kommer efter mottagandet av personuppgifter från att ansvara för den personuppgiftsbehandling som sker under Läke- medelsverkets handläggning av licensansökningar. Ingen av parterna bedöms enligt avtalet bli personuppgiftsbiträde åt den andre. Av 6 § 2 punkten förordningen (2013:1031) med instruktion för framgår att på uppdrag av får ansvara för ett system för förmedling till av ansökningar om tillstånd till försäljning av läkemedel enligt 5 § tredje stycket läkemedelslagen (1992:859). Utredningen konstaterar att utifrån definitionen av begreppen per- sonuppgiftsansvarig och personuppgiftsbiträde i 3 § personuppgift- slagen kan en organisation som utför en viss angiven behandling av personuppgifter, t.ex. insamling av personuppgifter, ha rollen som antingen personuppgiftsansvarig eller personuppgiftsbiträde. Per- sonuppgiftsbiträde definieras som den som behandlar personupp- gifter för den personuppgiftsansvariges räkning, dvs. Överväganden och förslag om hantering och prissättning av licensläkemedel ger den personuppgiftsansvarige ett uppdrag till någon annan organisation att behandla personuppgifter för den personuppgifts- ansvariges räkning enligt den personuppgiftsansvariges instrukt- ioner, se 30 § personuppgiftslagen. Utredningen anser att det inte kan betraktas som självklart att inte ska betraktas som personuppgiftsbiträde åt . Emellertid ligger det inte inom denna utred- nings uppdrag att ifrågasätta det sätt på vilket och , på regeringens uppdrag, har valt att utforma kommunikationslösningen. Det kan därför inte heller vara denna utrednings uppdrag att avgöra om ska betraktas som personuppgiftsansvarig eller vara personuppgiftsbiträde. Det hindrar dock inte att en djupare analys av behandlingen av person- uppgifter inom ramen för ett licensregister ytterligare skulle kunna precisera behandling av personuppgifter med utgångspunkt från det förslag som lämnas. Eventuellt skulle 6 kap. 6 § patientdatalagen kunna utgöra en förebild för det fall att personuppgiftsansvar till exempel syftar till att ta om hand övergripande frågor om tekniska och organisatoriska säkerhetsåtgärder beträffande licensregistret. Utredningen har också i avsnitt 7.6.3. ansett att det kan vara lämpligt att frågan om behovet av en särskild lag för personuppgiftsbehandlingen av licenser hos E- hälsomyndigheten tas upp inom ramen för tidigare förslag som berört frågan om viss mer generell ramlagstiftning för E-hälso- myndighetens verksamhet. Som framgår av beskrivningen av kommunikationslösningen ska öppenvårdsapoteken ha s.k. direktåtkomst till registret (för en beskrivning av direktåtkomst se nedan). Denna utredning har i tidigare betänkande lyft frågan om personuppgiftsansvaret vid direktåtkomst till receptregistret. Det är som är personuppgiftsansvarig för receptregistret men bl.a. personal vid öppenvårdsapoteken får ha direktåtkomst till det registret. I 2 kap. 6 § patientdatalagen (2008:355) finns en bestämmelse om att per- sonuppgiftsansvaret även omfattar personuppgiftsbehandling som utförs när vårdgivaren, eller den myndighet i ett landsting eller en kommun som är personuppgiftsansvarig genom direktåtkomst bereder sig tillgång till bl.a. en annan vårdgivares uppgifter (jfr prop. 2007/08:126 s. 61 ff.). Det kan nämnas att utredningen till information i vård och omsorg har föreslagit en reglering om att den som bereder sig direktåtkomst till uppgifter i det s.k. HOSP- registret är personuppgiftsansvarig för sin egen behandling av per- Överväganden och förslag om hantering och prissättning av licensläkemedel sonuppgifterna (SOU 2012:42 s. 81). Denna utredning uttalade att någon motsvarande reglering inte finns beträffande öppenvårds- apotekens direktåtkomst till receptregistret och har inte heller diskuterats i förarbeten till lagen. Denna utredning ansåg att det, i annat sammanhang, borde övervägas om en liknande reglering som den som finns i patientdatalagen borde införas i lagen om recept- register (SOU 2012:75 s. 719). Utredningen anser att det , när det föreslås en ny register- författning, bör finnas en tydlig reglering kring personuppgifts- ansvaret vid direktåtkomst. Se även Högsta förvaltningsdomstolens dom (mål nr 4453-10) angående diskussion kring personuppgiftsansvarets omfattning. Det är viktigt att det är tyd- ligt vem som är personuppgiftsansvarig för personuppgiftsbehand- ligen. Av apoteksdatalagen följer att det är tillståndshavaren för öppenvårdsapoteket som är personuppgiftsansvarig för personuppgiftsbehandling. Av patientdatalagen följer att det är vård- givaren som är personuppgiftsansvarig för hälso- och sjukvårdens personuppgiftsbehandling. Det bör därför vara tillståndshavaren respektive vårdgivaren som är personuppgiftsansvarig vid direkt- åtkomst till uppgifter om licenser hos . Utredningens förslag: Personuppgifter får behandlas enligt lagen om behandling av personuppgifter vid licenshantering om det är nödvändigt för att 1.Läkemedelsverket ska kunna handlägga och fatta beslut om licens samt spara uppgifter i ärenden om sådana beslut, 2.Läkemedelsverket ska kunna lämna ut uppgifter, 3.E-hälsomyndigheten ska kunna ta emot och spara uppgifter i ansökan om licens, 4.E-hälsomyndigheten ska kunna sammanföra handlingar i ansökan om licens, och 5.E-hälsomyndigheten ska kunna lämna ut uppgifter. Överväganden och förslag om hantering och prissättning av licensläkemedel Skälen för utredningens förslag I 9 § första stycket personuppgiftslagen (1998:204, PUL) anges att den personuppgiftsansvarige ska se till att personuppgifter bara samlas in för särskilda, uttryckligt angivna och berättigade ändamål (punkten c). Härav följer att det är viktigt att alla de ändamål för vilka man kan tänkas behöva använda de uppgifter man samlat in, finns angivna redan vid insamlandet. Det finns inget hinder mot att ange flera ändamål vid insamlingen. Att bestämma för vilka ända- mål behandlingen av personuppgifter får ske är av central betydelse för skyddet för den personliga integriteten. Genom en uttrycklig reglering i lagen om behandling av personuppgifter vid licenshan- tering, av för vilka ändamål personuppgifter får behandlas hos och , åstadkoms en tydlig- het i regleringen (jfr prop. 2008/09:145 s. 343). Det ligger i sakens natur att ändamålsbestämmelsen måste for- muleras ganska generellt när det som i detta fall gäller en särlag som reglerar både och behand- ling av licensuppgifter i en komplex verksamhet med ett antal olika berörda parter. Men ändamålet måste kunna uppfylla personuppgiftslagens krav på att vara särskilt för att på så sätt ge tillämparen ledning för bedömningen av vilka personuppgifter som är adekvata och relevanta i förhållande till ändamålen med behand- lingen. Ändamålen ska utgöra precisering i förhållande till bestäm- melsen i 9 § första stycket c PUL och inte vara för allmänt hållna. och kommer att behöva bestämma mer konkreta och preciserade ändamål för olika delar av sin respektive personuppgiftshantering. Det förekommer att ändamålen med personuppgiftshantering i registerförfattningar delas in i primära och sekundära ändamål. De primära ändamålen avser myndighetens eget behov av att behandla uppgifterna. De kan t.ex. avse att handlägga de ärenden som ankommer på myndigheten. De sekundära ändamålen avser myn- dighetens utlämnande av personuppgifter för att tillgodose andras behov, t.ex. myndigheter och organ som behöver uppgifterna i sina respektive verksamheter. Det övergripande ändamålet med personuppgiftsbehandlingen är och hantering av licenser. Utredningen har nedan försökt att precisera ändamålen. Överväganden och förslag om hantering och prissättning av licensläkemedel beredningen av detta betänkande bör det övervägas om ändamålen kan preciseras ytterligare. ska handlägga och fatta beslut om licens samt spara uppgifter i ärenden om sådana beslut (punkten 1) Det är alltjämt som ska besluta om huruvida till- stånd till försäljning av ett icke godkänt läkemedel (dvs. licens) ska beviljas. Förutom att fatta själva beslutet ska från motta ansökan och motivering samt i före- kommande fall motta bilagor från förskrivaren. ska också vid behov kunna tillföra, redigera och komplettera uppgifter från såväl apoteken som förskrivarna, dvs. i övrigt handlägga ärendet. kommer att spara uppgifterna , se nedan. ska lämna ut uppgifter (punkten 2) kommer att skicka beslutet om licens till E-hälso- myndigheten som sedan förmedlar det till bl.a. apoteken. (/2014) pågår diskussioner kring huruvida ska informera förskrivaren och patienten om beslutet. Denna uppgiftshantering kräver att det i lagen införs en särskild ändamålsbestämmelse som rör utlämnandet av uppgifterna. ska ta emot och spara uppgifter i ansökan om licens (punkten 3) kommer bl.a. att ta emot motivering från för- skrivare och licensansökan från apoteken samt spara uppgifterna . Hanteringen innebär att en behandlig av personuppgifter görs, varför det ska anges som ett särskilt ändamål. ska sammanföra olika handlingar i ansökan om licens (punkten 4) kopplar ihop förskrivarens motivering och licensansökan. För att ska kunna vidta dessa åtgärder behöver myndigheten behandla personupp- gifter. ska lämna ut uppgifter (punkten 5) ska lämna ut uppgifter till , öppenvårdsapoteken och hälso- och sjukvården. Överväganden och förslag om hantering och prissättning av licensläkemedel Personuppgifter som får behandlas Från integritetssynpunkt är det väsentligt att inte andra person- uppgifter behandlas än vad som är befogat utifrån verksamhetens behov och krav. I vissa registerlagar, t.ex. lagen (1996:1156) om receptregister, anges även vilka uppgifter som får finnas i registret. Patientdatalagen (2008:355) och apoteksdatalagen (2009:367) inne- håller dock inte några bestämmelser som specificerar vilka person- uppgifter som får behandlas. Regeringen uttalade i förarbetena till patientdatalagen att det istället är ändamålsbestämningen som ska styra över vilka personuppgifter som får behandlas (prop. 2007/08:126 s. 63). Utredningen som föregick propositionen till apoteksdatalagen, dvs. , ansåg att det skulle te sig som mindre lämpligt att närmare specificera vilka personuppgifter som fick behandlas i verksamheten. föreslog därför inte någon bestämmelse som konkret anger vilka personuppgifter som får eller inte får behandlas enligt apoteksdata- lagen. Istället föreslog , på samma sätt som regeringen föreslog beträffande patientdatalagen, att ända- målsbestämningen skulle styra över vilka personuppgifter som får samlas in och behandlas. Regeringen ansåg att Apoteksmarknads- utredningens förslag, dvs. att låta ändamålen styra över vilka person- uppgifter som får behandlas, var godtagbar från integritetssynpunkt, inte minst mot bakgrund av bestämmelserna om tystnadsplikt och de förslag som lämnades beträffande behörighetskontroll och åtkomstkontroll (prop. 2008/09:145 s. 343 f.). Utredningen instämmer i den bedömning som ligger bakom patientdatalagen och apoteksdatalagen och anser att ändamålsbe- stämningen ska styra över vilka personuppgifter som får samlas in och behandlas. Det föreslås därför inte någon särskild bestämmelse som anger vilka personuppgifter som får behandlas. Det ska noteras att personuppgiftslagens grundläggande krav på att personuppgifterna ska vara adekvata och relevanta i förhållande till ändamålen med behandlingen, att inte fler personuppgifter behandlas än vad som är nödvändigt med hänsyn till ändamålen med behandlingen samt att personuppgifter som behandlas ska vara riktiga och, om nödvändigt, aktuella gäller även vid behandling enligt lagen om behandling av personuppgifter vid licenshantering (se 9 § e–g personuppgiftslagen). Ovidkommande eller onödigt många personuppgifter i förhållande till ändamålen får alltså inte behandlas. Dessa krav innebär en såväl kvalitativ som kvantitativ Överväganden och förslag om hantering och prissättning av licensläkemedel begränsning i fråga om vilka personuppgifter som får behandlas. Prövningen av om en personuppgift behövs eller inte måste göras kontinuerligt och inte bara då den samlas in och registreras (jfr prop. 2008/09:145 s. 344). Även de föreslagna bestämmelserna om behörig- hetskontroll och åtkomstkontroll nedan stärker skyddet för den personliga integriteten. Enligt PUL är ett samtycke varje slag av frivillig, särskild och otvetydig viljeyttring genom vilken den registrerade, efter att ha fått information, godtar behandling av personuppgifter som rör honom eller henne. Kravet på att samtycket ska vara särskilt inne- bär att ett generellt samtycke till behandling av personuppgifter inte kan godtas. Samtycket ska gälla behandling för ett eller flera preciserade ändamål. och har byggt upp systemet utifrån att samtycke inte behöver inhämtas. Frågan om samtycke måste tas upp redan hos förskrivaren. En fråga man behöver ställa sig är vad samtycket ska avse. Ska sam- tycket avse all hantering av licenser eller ska det vara möjligt att sam- tycka till vissa delar, t.ex. personuppgiftshantering hos en aktör? Enligt lagen om receptregister förutsätter registrering av dosrecept samtycke. I det fallet motiveras kravet på samtycke med att det är fråga om en service som apoteken tillhandahåller och som inte i och för sig är nödvändig för läkemedelshanteringen (prop. 2008/09:145 s. 313). Utredningen ifrågasätter om det kan förekomma valmöjlighet för patienten huruvida personuppgifter vid licenshantering får behandlas eller inte. Ett krav på samtycke skulle därför inte stärka skyddet för den enskildes integritet på så sätt som är syftet med PUL. Utredningen anser således att den nödvändiga behandlingen av personuppgifter ska få ske utan samtycke. 7.6.10Personuppgiftsbehandling för annat ändamål Utredningens förslag: Personuppgifter ska få behandlas för andra ändamål än dem för vilka de har samlats in, under förut- sättning att de nya ändamålen inte är oförenliga med de ändamål för vilka uppgifterna samlades in. Skälen för utredningens förslag: I 9 § första stycket d och andra stycket personuppgiftslagen ((1998:204, PUL) regleras den s.k. Överväganden och förslag om hantering och prissättning av licensläkemedel Principen innebär att personuppgifter endast får samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte behandlas för något ändamål som är oförenligt med det ändamål för vilket de samlades in. En behandling för historiska, statistiska eller vetenskapliga ändamål ska dock inte anses som oförenlig med de ändamål för vilka uppgifterna samlades in. Varken lagen (1996:1156) om receptregister eller apoteksdata- lagen (2009:367) innehåller något förbud att behandla personupp- gifter för andra ändamål än de som anges i lagen. I t.ex. lagen (2006:496) om blodsäkerhet finns begränsningar för vilka ändamål registret får användas, genom att det anges att registret endast får ha till ändamål att göra det möjligt att spåra blod och blodkom- ponenter och att förhindra att smittat blod och blodkomponenter överförs till människor. Detsamma gäller beträffande vilka upp- gifter som registret får innehålla då det anges att registret endast får innehålla vissa angivna uppgifter. Regeringen har i samband med diskussion kring behovet av ett sådant förbud uttalat att det inte är möjligt att uttömmande ange de ändamål för vilka personuppgifterna i registren får behandlas. Det är inte heller, enligt regeringen, möjligt att överblicka vilka konsekvenser en sådan reglering skulle få. För att tydligt markera att finalitetsprincipen gäller även vid personuppgiftsbehandling enligt receptregisterlagen och apoteksdatalagen tydliggjordes i samband med omregleringen av apoteksmarknaden, att ändamålsregleringarna i de två lagarna inte är uttömmande. Det togs därför i såväl lagen om receptregister som apoteksdatalagen in en hänvisning till finalitets- principen. Se även lagen (2003:763) om behandling av person- uppgifter inom socialförsäkringens administration, för liknande lagstiftningsteknik. Eftersom lagen om behandling av person- uppgifter vid licenshantering bör utarbetas efter förebild av lagen om receptregister och apoteksdatalagen, bör en motsvarande bestämmelse tas in även i denna lag. Utredningens förslag: Identitet hos patienten och den som är behörig att förordna läkemedel får användas som sökbegrepp för personuppgiftsbehandling enligt lagen. Förskrivningsorsak ska inte få användas som sökbegrepp. Överväganden och förslag om hantering och prissättning av licensläkemedel Skälen för utredningens förslag: På vilket sätt personuppgifter kan sammanställas är ur integritetssynpunkt en viktig fråga att ta ställning till. Ju större möjligheter det finns att i olika konstel- lationer sammanställa uppgifter om enskilda personer, desto större blir riskerna för otillbörliga intrång i den personliga integriteten. Med sökbegrepp avses begrepp som används som urvalskriterier för att söka fram handlingar som innehåller det aktuella begreppet eller för att med begreppet som utgångspunkt göra sammanställ- ningar av olika slag. Exempelvis avses bokstäver, koder eller siffror med vars hjälp man kan ta fram ett önskat urval av lagrade person- uppgifter om en eller flera personer ur en samlad informations- mängd (prop. 2007/08:126 s. 68 och 231). Informationsteknikens utveckling har medfört i det närmaste obegränsade sökmöjligheter när det gäller elektroniskt lagrad information. Det är därför av största vikt att reglera sökbegränsningar så att otillbörliga integritetsintrång kan förhindras (jfr regeringens uttalande i prop. 2008/09:145 s. 353 f.). Med identitet avses t.ex. namn och personnummer men även andra uppgifter som kan hänföras till en enskild person (prop. 2008/09:145 s. 437). I 22 § personuppgiftslagen (1998:204) anges att uppgifter om personnummer eller samordningsnummer bara får behandlas utan samtycke när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering, eller något annat beaktansvärt skäl. kommer att behöva söka bland informa- tionen i kommunikationslösningen i olika situationer. Exempelvis ska koppla samman en motivering med rätt licensansökan. Vidare ska hänföra komplet- teringar till rätt licensärende. Detta sker med hjälp av ett referens- nummer som är kopplat till den enskilde patienten och licens- ärendet. kan också behöva använda patientens personnummer och födelsedata samt förskrivarens identitet som sökbegrepp. Vid generell eller veterinär licens är det ofta svårt att endast via produkt, adressuppgifter och referens/diarenummer hitta licenser. För att säkerställa att apotek kan hitta alla befintliga licenser är det nödvändigt att kunna söka på förskrivaren. Inför en licensansökan behöver söka fram en motivering. Det är inte alltid som patienten känner till referens- numret varför apoteken kan behöva söka på personnumret och i de fall personnumret saknas, söka på födelsedata. När patienten, , ska hämta ut licensläkemedlet behöver apoteken Överväganden och förslag om hantering och prissättning av licensläkemedel använda samma sökbegrepp för att få fram licensbeslutet. Det kan också vara nödvändigt för apoteken att söka på förskrivarens identitet. Exempelvis kan det vid enskild licens vara ett sätt att avgränsa en sökning till en specifik licens istället för att visa alla licenser som avser en patient. En patient kan ha flera licenser från olika förskrivare. Utredningen konstaterar således att det är nödvändigt för E-hälso- myndigheten och apoteken att använda patientens identitet och identiteten hos den som är behörig att förordna läkemedel, för att kunna utföra den personuppgiftsbehandling som krävs för licens- hanteringen. kan även ha behov av att söka på identiteten vid incidentutredning och ärendehantering. Det kan t.ex. anmälas felaktigheter från förskrivare eller apotek och E-hälso- myndigheten kan då behöva utreda var ett fel uppstått. Däremot kommer inte att behöva söka bland uppgifter hos . Enligt nuvarande utformning av kommunikationslösningen () har varken patienten eller förskrivaren direktåtkomst till kommunikationslösningen men utredningen föreslår att så ska bli fallet. Även förskrivaren ska vid direktåtkomst kunna söka på identiteten. Patienten ska dock bara få ha direktåtkomst till upp- gifter om sig själv. I lagen (1996:1156) om receptregister och apoteksdatalagen (2009:367) anges att förskrivningsorsak inte får användas som sök- begrepp. Det innebär att varken förskrivningsorsak eller kod för förskrivningsorsak får användas som sökbegrepp. Utredningen finner det lämpligt att samma begränsning gäller vid licenshan- teringen. Förskrivningsorsak ska således inte få användas som sök- begrepp. Av den blankett som ska användas för förskrivarens motivering framgår att förskrivaren ska ange behandlingsindikation. Vid licens- hantering innebär det som anges som behandlingsindikation tillsam- mans med övrig information i motiveringen, att förskrivnings- orsaken framgår. Förskrivningsorsak framgår inte av ansökan eller beslut. Överväganden och förslag om hantering och prissättning av licensläkemedel Utredningens förslag: ska till E-hälsomyn- digheten lämna ut uppgifter i ärenden om licenser för den myn- dighetens hantering av licenser. ska till lämna ut uppgifter i ansökan om licenser för den myndighetens hantering av licenser. ska till öppenvårdsapoteken och de som är behöriga att förordna läkemedel lämna ut uppgifter i ansökan om licenser för deras hantering av licenser. Utlämnandet ska bara ske till dem på öppenvårdsapoteken och dem som är behöriga att förordna läkemedel som har behov av sådana uppgifter. Expedierande personal på ett öppenvårdsapotek och den som är behörig att förordna läkemedel ska få ha direktåtkomst till uppgifter om licenser hos . Patienten ska få ha direktåt- komst till uppgifter om licenser hos och som rör patienten. Vissa av förslagen kräver ändring i offentlig- hets- och sekretesslagen. Skälen för utredningens förslag