sou · H2B320 · 2014-04-01 00:00:00 — Allmänt om uppgiftsskyldighet och direktåtkomst Som framgår ovan omfattas personer som arbetar på Läkemedels- verket och inom av bestämmelser om sekretess (25 kap. 1 § respektive 25 kap. 17 a § OSL). Det innebär att de inte obehörigen får röja eller utnyttja vad de i sin verksamhet har fått veta om en enskilds hälsotillstånd eller andra personliga för- hållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men. Sekretess gäller som huvudregel även mellan myndigheter (8 kap. 1 § OSL). Det förekommer emellertid situationer när andra myndigheters eller enskildas intresse av att ta del av en sekretessbelagd uppgift väger tyngre än det intresse som sekretessen ska skydda. I OSL finns därför bestämmelser av innebörd att sekretess under vissa förutsättningar inte hindrar att sekretessbelagda uppgifter lämnas till myndigheter eller enskilda. Sådana bestämmelser kallas sekretess- brytande bestämmelser. Av 10 kap. 28 § OSL framgår att sekretess inte hindrar att uppgift lämnas till en annan myndighet, om upp- giftsskyldighet följer av lag eller förordning. Överväganden och förslag om hantering och prissättning av licensläkemedel bryter sekretess kan ges i annan lag än OSL eller i förordning under förutsättning att OSL hänvisar till lagen eller förordningen (8 kap. 1 § OSL). Regeringen kan besluta om dispens, dvs. för ett särskilt fall besluta om undantag från sekretess, om det är motiverat av synnerliga skäl (10 kap. 6 § OSL). För att kommunikationslösningen ska kunna fungera krävs att sekretessbelagd information kan förmedlas mellan aktörerna. Sek- retessbrytande bestämmelser om uppgiftsskyldighet för E-hälso- myndigheten finns i 13–18 §§ lagen (1996:1156) om receptregister, 4 § lagen (1996:1157) om läkemedelskommittéer samt 2 kap. 10 b § lagen (2009:366) om handel med läkemedel. De nämnda bestäm- melserna om uppgiftsskyldighet avser dock inte de frågor som dis- kuteras i detta betänkande, dvs. PUL reglerar inte på vilket sätt uppgifter får lämnas ut, t.ex. genom s.k. direktåtkomst. Sådana bestämmelser återfinns istället i registerförfattningarna. Begreppet direktåtkomst används i olika registerförfattningar utan att det finns någon enhetlig legaldefinition av begreppets innebörd. tillsatte regeringen en utred- ning som antagit namnet , Ju 2011:11, med uppdrag att bl.a. analysera om det finns skäl att i registerförfattningar upprätthålla en skillnad mellan direktåtkomst och andra former av elektroniskt utlämnande. Om utredaren anser att en åtskillnad även i fortsättningen bör upprätthållas, ska utred- aren lämna förslag på vilka begrepp som bör användas och hur dessa bör definieras. Utredningen beräknas avsluta sitt arbete . Direktåtkomst anses innebära att någon har direkt tillgång till någon annans register eller databaser och på egen hand kan söka efter information utan att kunna påverka innehållet (prop. 2007/08:160 s. 57). Mottagaren av direktåtkomst kan t.ex. kopiera informationen och därefter bearbeta den (prop. 2006/07:46 s. 79). Bestämmelser om direktåtkomst har i sig inte sekretessbrytande effekt utan måste kombineras med sekretessbrytande bestämmelser. För att kommunikationslösningen ska kunna fungera är det nödvändigt för vissa aktörer i vissa situationer att ha direktåtkomst till uppgifterna. Det finns inte några bestämmelser om direktåt- komst till uppgifterna i kommunikationslösningen. Utredningen kommer i det följande att diskutera kring behovet av reglering kring dels sekretess, dels uppgiftsskyldighet och direkt- åtkomst. Överväganden och förslag om hantering och prissättning av licensläkemedel Sekretessen hos till skydd för den enskilde i licensärenden regleras enligt bedömning i 25 kap. 1 § OSL. Skaderekvisitet är omvänt, vilket innebär att presum- tionen är att uppgifter inte får lämnas ut. För att kommunikationslösningen ska kunna fungera effektivt krävs det att kan lämna ut uppgifter till E-hälso- myndigheten. ska t.ex. lämna ut uppgifter om beslutet och begäran om komplettering. Det är inte rimligt att ska göra en sekretessprövning i varje enskilt fall, dvs. i cirka 70 000 fall . För att det inte heller ska råda något tvivel om att det ifrågavarande uppgiftslämnandet från Läkemedels- verket till inte är obehörigt, och eftersom det dessutom är fråga om ett åliggande för , föreslår utredningen att det i lagen om behandling av personuppgifter vid licenshantering införs en uttrycklig bestämmelse om uppgifts- skyldighet. En sekretessbrytande bestämmelse i kombination med 6 kap. 5 § OSL innebär att är skyldigt att lämna ut uppgiften till den myndighet som begär det. Som framgår av 10 kap. 28 § OSL hindrar sekretess inte att uppgift lämnas till en annan myndighet, om uppgiftsskyldighet följer av lag eller förord- ning, dvs. i detta fall kommer uppgiftsskyldigheten att följa av lagen om behandling av personuppgifter vid licenshantering. Eftersom det är som ska fatta beslut om licens behöver den myndigheten uppgifter från förskrivarna och apoteken för att kunna fatta beslutet. Det är som för- medlar uppgifterna till . Uppgifter som E-hälso- myndigheten ska lämna till är t.ex. förskrivarens motivering och licensansökan samt kompletteringar. I lik- het med bedömningen ovan bör en uppgiftsskyldighet för E-hälso- myndigheten till införas i lagen om behandling av personuppgifter vid licenshantering. Som framgår av 10 kap. 28 § OSL hindrar sekretess inte att uppgift lämnas till en annan myn- dighet, om uppgiftsskyldighet följer av lag eller förordning, dvs. i detta fall kommer uppgiftsskyldigheten att följa av lagen om behand- ling av personuppgifter vid licenshantering. Överväganden och förslag om hantering och prissättning av licensläkemedel har behov av uppgifter från E-hälsomyndig- heten först när har ansökt om licens och licensansökan således kopplas till en motivering från förskrivaren. Läkemedels- verket har inte behov av motiveringen så länge det inte finns någon licensansökan. Eftersom licensläkemedel, liksom övriga läkemedel, inte alltid hämtas ut kan en motivering således finnas kvar hos E- hälsomyndigheten och aldrig nå . Läkemedels- verket har således inte behov av direktåtkomst till uppgifter hos E- hälsomyndigheten. uppgiftsskyldighet till apoteken och direktåtkomst för apoteken Det är som kommer att skicka licensbeslutet till öppenvårdsapoteken samt kompletteringar från förskrivaren. I likhet med bedömningen ovan bör en uppgiftsskyldighet för E-hälso- myndigheten till öppenvårdsapoteken införas i lagen om behandling av personuppgifter vid licenshantering. Regleringen i 10 kap. 28 § OSL om att den sekretessbrytande bestämmelsen måste anges i lag eller förordning gäller endast i förhållande till myndigheter. För att uppgiftsskyldighet gentemot enskilda ska kunna bryta sekretess måste en hänvisning till OSL ske i aktuell författning (jfr 8 kap. 1 § OSL). Eftersom öppenvårdsapoteken är enskilda rättssubjekt behöver det således ske en hänvisning till lagen om behandling av personuppgifter vid licenshantering i OSL, lämpligen i 17 c § OSL. Uppgifterna ska lämnas ut till dem som behöver uppgifterna i sin yrkesverksamhet. Någon uppgiftsskyldighet bör alltså inte fin- nas gentemot personal på öppenvårdsapotek som inte tar befatt- ning med frågor om licenser, jfr formuleringen i 13 § lagen om recept- register. Det bör vara tydligt reglerat även i lagen om behandling av personuppgifter vid licenshantering. Expedierande personal på öppenvårdsapoteken har direktåt- komst till vissa uppgifter i receptregistret för att därigenom kunna sköta sina arbetsuppgifter på ett effektivt sätt och ge kunderna den service de har rätt att begära. Direktåtkomsten avser bl.a. uppgifter Överväganden och förslag om hantering och prissättning av licensläkemedel som behandlas för expediering av läkemedel och registrering av underlaget för högkostnadsskyddet. För att apoteken ska kunna söka bland licensbesluten m.m. krävs att de har direktåtkomst till licensregistret. Apoteken ska t.ex. hos kunna söka fram en motivering inför licensansökan och söka fram ett licensbeslut inför expediering. Det bör i lagen om behandling av personuppgifter vid licenshantering anges att öppenvårdsapoteken har direktåtkomst till personupp- gifter hos om licenser. Systemet är uppbyggt så att apoteken endast har begränsad tillgång till uppgifterna. Exempelvis är endast delar av förskrivarens motivering tillgänglig för apoteken. Angående apotekens personuppgiftsansvar vid direktåtkomst, se nedan. Öppenvårdsapotekens personuppgiftshantering regleras i apo- teksdatalagen (2009:367). I den lagen finns bl.a. bestämmelser om behörighetstilldelning och åtkomstkontroll. Regeringen uttalade i samband med tillkomsten av apoteksdatalagen att öppenvårdsapo- tekens hantering av licensläkemedel bör falla in under ändamålet i 8 § 1 apoteksdatalagen, dvs. expediering av förordnade läkemedel samt åtgärder i anslutning till expedieringen. Regeringen uttalade även att rekvisitet i anslutning till expedieringen inte bör tolkas alltför snävt (prop. 2008/09:145 s. 346 och 435). Apotekens per- sonuppgiftshantering i samband med licensansökan och expedie- ring av licensläkemedel regleras således redan i apoteksdatalagen. Apoteken torde finna det fördelaktigt att vara anslutna till E- hälsomyndighetens kommunikationslösning, eftersom det kommer att underlätta apotekens hantering av licenser. Person- och pro- duktuppgifter kommer t.ex. redan vara ifyllda av förskrivaren och behöver inte registreras av . Även apoteksuppgifter fylls automatiskt in i ansökan. Värt att notera är att apoteken har en till- handahållandeskyldighet avseende läkemedel och alltså är skyldiga att expediera licensläkemedel. För att kunna expediera ett licens- läkemedel krävs en licens. har i sina föreskrifter, LVFS 2008:1, föreskrivit hur ansökningsförfarandet ska gå till, näm- ligen genom att ansökan ska sändas in elektroniskt till Läkemedels- verket i det format och på det sätt som bestäm- mer, att ansökan ska åtföljas av en motivering från förskrivaren som styrker behovet av läkemedlet samt att motiveringen ska lämnas på av fastställd blankett. När kommunika- tionslösningen lanseras kommer den att vara det anvisade sättet. Överväganden och förslag om hantering och prissättning av licensläkemedel Utredningen ser därför inte någon anledning att föreslå någon ytterligare reglering kring apotekens anslutning till kommunika- tionslösningen. Elektronisk hantering bör dock endast vara ett sätt för berörda intressenter att bl.a. få åtkomst till uppgifterna. För det fall t.ex. datatekniken skulle fallera måste intressenterna ändå kunna få tillgång till uppgifterna. Hanteringen får då ske på annat sätt som uppfyller kraven på säkerhet. Utredningen noterar att av lagen om handel med läkemedel föl- jer en skyldighet för öppenvårdsapoteken att ha ett elektroniskt system som gör det möjligt att få direktåtkomst till uppgifter hos . Av ordalydelsen framgår inte att apotekens skyldighet att vara anslutna till enbart skulle avse receptregistret eller annan personuppgiftshantering som sker med stöd av lagen om receptregister. I förarbetena diskuteras dock endast kring öppenvårdsapotekens tillgång (genom direktåtkomst) till uppgifter i receptregistret (se t.ex. prop. 2008/09:145 s. 120 f. och 318). Apoteken har emellertid även tillgång till uppgifter i läke- medelsförteckningen, se lagen (2005:258) om läkemedelsförteck- ning samt till bl.a. fullmaktsregistret6, elektroniskt expertstöd och receptdepå djur. Bestämmelsen i lagen om handel med läkemedel skulle kunna tolkas som att den även avser uppgifter hos som avser licenshantering. Utredningen om inrättande av en ny myndighet för hälso- och vårdinfrastruktur (S2013:03) har i sin del- rapport 2 (S2013:03/2013/18) uttalat sig om regleringen av Apotekens Service AB:s (numera ) verksam- het och påtalat att verksamheten i stora delar bestäms av lagen om receptregister och lagen om läkemedelsförteckning. Den utred- ningen föreslår att det bör övervägas att ersätta dessa två lagar med en mer generell ramlagstiftning för verksam- het (s. 4). I ett sådant arbete kan det vara lämpligt att se över vilka uppgifter som apoteken har eller bör ha tillgång till hos E-hälso- myndigheten. 6 Se SOU 2012:75 där denna utredning föreslår att fullmaktregistret regleras i lagen (1996:1156) om receptregister. Överväganden och förslag om hantering och prissättning av licensläkemedel uppgiftsskyldighet till förskrivaren och direktåtkomst för förskrivaren Förskrivare har direktåtkomst till rörande vissa uppgifter i receptregistret. Däremot har inte förskriv- arna direktåtkomst till uppgifterna i kommunikationslösningen. Enligt nuvarande utformning av kommunikationslösningen är det som skickar beslutet till förskrivarna med post. Det kommer således inte att gå via . E-hälso- myndigheten kommer inte heller med nuvarande utformning av kommunikationslösningen att lämna ut några uppgifter till för- skrivarna. Anledningen till att förskrivarna inte har direktåtkomst till uppgifter i kommunikationslösningen är att det har ansetts att det inte finns tillräckligt säker inloggning. Det skulle givetvis underlätta för såväl förskrivarna som för om förskrivarna kunde erhålla informationen via direktåtkomst. Det förutsätter dock en säker hantering. Utredningen föreslår en bestäm- melse om uppgiftsskyldighet och direktåtkomst men det måste under beredningen av detta betänkande säkerställas att förskrivarna har en säker inloggning innan förslaget träder i kraft. Landstingen bedriver ett arbete för att införa säker autentisering för samtlig hälso- och sjuk- vårdspersonal. Många förskrivare använder också säker autentisering vid inloggning i journalsystem. Veterinärerna har dock inte kommit lika långt i detta arbete. Av LVFS 2008:1 följer att en licensansökan ska åtföljas av en motivering från förskrivaren. Med förskrivare avses enligt före- skriften den som i är behörig att utöva läkar-, tandläkar- eller veterinäryrket. Det är lämpligt att gruppen avgränsas på samma sätt. Däremot bör i lagtexten det vidare begreppet den som är behörig att förordna användas för att även täcka det fallet när läkemedlet har rekvirerats. Eftersom förskrivare även finns hos privata vårdgivare behöver det, i likhet med vad som ovan anges beträffande öppenvårdsapo- teken, ske en hänvisning till lagen om behandling av personupp- gifter vid licenshantering i 17 c § OSL. Endast de förskrivare som hanterar licensansökningar bör få uppgifter om licenser och uppgifterna bör endast avse licenser som de själva motiverat. En sådan begränsning bör, i likhet med vad som anges för hälso- och sjukvårdspersonalens befattning med upp- gifter om dosrecept i lagen om receptregister, framgå av lagen. Överväganden och förslag om hantering och prissättning av licensläkemedel SOU 2014:20 Av patientdatalagen (2008:355) följer att en vårdgivare får medge en enskild direktåtkomst till sådana uppgifter om den enskilde själv som får lämnas ut till honom eller henne och som behandlas för vissa i lagen angivna ändamål. Vidare har patienter direktåtkomst till receptregistret för att bl.a. kunna handla läkemedel på distans (prop. 2008/09:145 s. 318). Patienten kommer dock inte att ha direktåtkomst till kommunikationslösningen med dess nuvarande utformning. Utredningen noterar i detta sammanhang att E-hälsomyndig- heten har, på uppdrag av , påbörjat ett arbete med att ta fram en teknisk grund för en nationell tjänst som ska ge den enskilde möjligheten att digitalt lagra sin egen hälso- och vård- information. Tjänsten kommer att kallas HälsaFörMig. Utgångs- punkten i arbetet är att enskilda personer via HälsaFörMig ska ges möjlighet att, i den mån uppgifterna får lämnas ut, hämta inform- ation både från vårdgivare som han eller hon har besökt eller behandlats hos och från myndigheter, som har uppgifter som berör den egna hälsan av värde för den enskilde. Planerad lansering är . Utredningen anser att det i diskussionen kring HälsaFörMig även bör föras en diskussion kring patientens direktåtkomst till uppgifter om licenser hos . Utredningen noterar vidare att Utredningen om inrättande av en ny myndighet för hälso- och vårdinfrastruktur (S2013:03) i sin delrapport 2 (S2013:03/2013/18) föreslår att vissa legala frågor i samband med HälsaFörMig bör bli föremål för ytterligare utredning (s. 13 f.). Av 12 kap. 1 § OSL följer att sekretess till skydd för en enskild inte gäller i förhållande till den enskilde själv, om inte annat anges i lagen. Av 25 kap. 6 § OSL följer att sekretessen enligt 25 kap. 1– 5 §§ gäller i förhållande till den vård- eller behandlingsbehövande själv för uppgift om hans eller hennes hälsotillstånd, om det med hänsyn till ändamålet med vården eller behandlingen är av synnerlig vikt att uppgiften inte lämnas till honom eller henne. Sekretess för uppgifter hos regleras i 25 kap. 1 § OSL medan sekretessen för uppgifter hos regleras i 25 kap. 17 § a OSL. Det innebär att sekretessen hos E-hälsomyn- digheten inte gäller gentemot den enskilde själv. Frågan om sekretessen hos även skulle gälla gentemot den enskilde själv diskuterades inte i förarbetena när Överväganden och förslag om hantering och prissättning av licensläkemedel övergick till att bli myndighet. I samband med omregleringen av apoteksmarknaden uttalade regeringen där- emot att med hänsyn till karaktären av den information som (numera ) hanterar har det inte ansetts nödvändigt att föreslå att tystnadsplikten ska gälla i förhållande till den enskilde själv (prop. 2008/09:145 s. 319). Sek- retessen hos utgör inte något hinder mot att låta den enskilde ha direktåtkomst till uppgifter om sig själv. Där- emot bör det av lagen om behandling av personuppgifter vid licens- hantering uttryckligen framgå att den enskilde får ha direktåtkomst till uppgifter hos . Personuppgiftsansvarig för uppgifter via direktåtkomst I begreppet direktåtkomst ingår att den som är personuppgifts- ansvarig för registret inte har någon kontroll över vilka uppgifter som mottagaren vid ett visst tillfälle tar del av. Däremot kan en faktisk begränsning av direktåtkomsten åstadkommas med hjälp av tekniska lösningar. Utredningen har i avsnitt 7.6.8 föreslagit en bestämmelse om att det är den som bereder sig tillgång till person- uppgifterna genom direktåtkomst som är personuppgiftsansvarig för den egna behandlingen av dessa personuppgifter. Öppenvårds- apotekens personuppgiftshantering regleras i apoteksdatalagen och hälso- och sjukvårdens personuppgiftshantering i patientdatalagen. 7.6.13Utlämnande på medium för automatiserad behandling Utredningens förslag: Får en personuppgift lämnas ut, får det ske på medium för automatiserad behandling. Skälen för utredningens förslag: och ska lämna ut uppgifter till olika externa mottagare, t.ex. till varandra och till apoteken. Personuppgiftslagen (1998:204, PUL) och det bakomliggande dataskyddsdirektivet (Europa- parlamentets och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och det fria flödet av sådana uppgifter), saknar bestämmelser som reglerar om eller under vilka förutsättningar uppgifter får lämnas ut i elektronisk form. Överväganden och förslag om hantering och prissättning av licensläkemedel Utlämnade av personuppgifter på medium för automatiserad behandling är en form av behandling av personuppgifter enligt 3 § personuppgiftslagen. Ett sådant utlämnande är tillåtet förutsatt att det sker i enlighet med de ändamål som är bestämda för person- uppgiftsbehandlingen och att kraven på en god informationssäker- het upprätthålls (prop. 2007:08/126 s. 77). Bestämmelser om utlämnande på medium för automatiserad behandling har inte heller i sig sekretessbrytande effekt utan måste kombineras med sekretessbrytande bestämmelser alternativt att man efter en men- prövning kommer fram till att uppgifterna får lämnas ut. I flera andra författningar som reglerar personuppgiftsbehand- ling har det för tydlighetens skull tagits in bestämmelser om att personuppgifter får lämnas ut på medium för automatiserad behand- ling om utlämnandet som sådant är en tillåten personuppgiftsbehand- ling, se t.ex. lagen (1996:1156) om receptregister, lagen (2005:258) om läkemedelsförteckning, patientdatalagen (2008:355) samt apoteksdatalagen (2009:367). En sådan bestämmelse bör därför tas in även i lagen om behandling av personuppgifter vid licens- hantering. 7.6.14Bestämmelser om behörighetstilldelning och åtkomstkontroll Utredningens förslag: Den personuppgiftsansvarige ska bestämma villkor för tilldelning av behörighet för åtkomst till helt eller delvis automatiskt behandlade uppgifter om patienter och om de som är behöriga att förordna läkemedel. Sådan behörighet ska begränsas till vad som behövs för att den som arbetar på respektive ska kunna fullgöra sina arbetsuppgifter. Den personuppgiftsansvarige ska se till att åtkomst till helt eller delvis automatiskt behandlade uppgifter om patienter och om de som är behöriga att förordna läkemedel dokumenteras så att de kan kontrolleras. Tillståndshavaren ska systematiskt och återkommande kontrollera om någon obehörigen kommer åt sådana uppgifter. Regeringen, eller den myndighet regeringen bestämmer, ska få meddela föreskrifter om tilldelning av behörighet för åtkomst SOU 2014:20 Överväganden och förslag om hantering och prissättning av licensläkemedel till helt eller delvis automatiskt behandlade uppgifter samt dokumentation och kontroll. Skälen för utredningens förslag: I och med kommunikationslös- ningen m.m. kommer , och andra aktörer att hantera känslig information som omfattar en stor del av befolkningen. Det är av största vikt att personuppgifterna skyddas hos dessa aktörer samt under överföringen mellan aktörerna. Säkerheten måste vara sådan att olaglig behandling, olovlig åtkomst och otillåten spridning inte förekommer. En viktig övergripande princip är den att säkerhetsåtgärder vidtas (se 31 § PUL), vilket är en betydelsefull del i ett fullgott integritetsskydd. Syftet med att ta fram kommunikationslösningen var just att skapa en säker över- föring av information mellan förskrivarna, apoteken och Läke- medelsverket. skickades mycket av informationen via fax. Det finns krav på behörighetstilldelning och åtkomstkontroll i 22 och 23 §§ lagen (1996:1156) om receptregister samt 12 och 13 §§ apoteksdatalagen (2009:367). Av bestämmelserna följer att behörigheten ska begränsas till vad som behövs för att en använ- dare ska kunna fullgöra sina arbetsuppgifter. Utgångspunkten är att alla användare inte behöver åtkomst till alla personuppgifter. Varje användare ska få en individuell behörighet vilket innebär att så kallad gruppinloggning inte får användas. Tilldelningen av behörig- heten ska bygga på att det har gjorts en behovs- och riskanalys av vilka uppgifter olika personalkategorier behöver ta del av och vilka risker det finns med det. Kretsen av personer som har tillgång till skyddade personuppgifter bör begränsas så mycket som möjligt. Det ska finnas rutiner för behörighetsstyrningen för att kunna göra löpande ändringar och ta bort inaktuella behörigheter. I enlighet med regleringen i lagen om receptregister och apo- teksdatalagen bör det i lagen om behandling av personuppgifter vid licenshantering tas in bestämmelser om behörighetstilldelning och åtkomstkontroll. Det bör även tas in ett bemyndigande om att regeringen eller den myndighet som regeringen bestämmer, får meddela föreskrifter om behörighetstilldelning. I likhet med regleringen i lagen om receptregister och apoteksdatalagen ska det också regleras att åtkomst till uppgifterna ska dokumenteras och kunna kontrolleras. Det räcker emellertid inte att göra kontroller endast i de fall då särskild misstanke finns om obehörigt intrång. Loggkontroller bör i stället göras systematiskt och fortlöpande. Överväganden och förslag om hantering och prissättning av licensläkemedel