sou · H2B320 · 2014-04-01 00:00:00 — Regeringen, eller den myndighet regeringen bestämmer, föreslås få meddela föreskrifter om dokumentation och kontroll av åtkomst. Förslagen om att och ska ha bestämmelser om behörighetstilldelning och åtkomstkon- troll i sina respektive organisationer innebär att det är respektive personuppgiftsansvarig som har ansvaret för att regleringen följs. Den personuppgiftsansvarige måste därför sköta behörighetsad- ministrationen, t.ex. när det gäller tilldelning, borttagande och annan uppdatering så att säkerheten för uppgifterna inte åsidosätts. Motsvarande gäller för åtkomstkontrollen. Det är alltså den per- sonuppgiftsansvarige för den som bereder sig tillgång till registren eller databaserna som ansvarar för att systematiska och återkom- mande kontroller kan göras och görs. Myndigheterna bör ta fram riktlinjer om vad som är obehörig åtkomst som ett stöd för de anställda och de som ska utföra kontrollerna. Den personuppgifts- ansvarige ska också göra behovs- och riskanalyser. Som framgår ovan ska de som bereder sig direktåtkomst till uppgifterna vara personuppgiftsansvariga för de uppgifterna. 7.6.15 Bevarande av personuppgifter Utredningens förslag: Uppgifter som bevaras enligt lagen om behandling av personuppgifter vid licenshantering, ska tas bort hos 15 månader efter det att uppgiften kom in till och hos 36 månader efter det att uppgiften kom in till . De föreslagna bevarandetiderna bör dock bli föremål för ytter- ligare diskussion. Skälen för utredningens förslag: Hur länge personuppgifter ska bevaras är inte bara en praktisk och ekonomisk fråga. Det är också från integritetssynpunkt väsentligt att känsliga uppgifter om enskilda inte bevaras i onödan. Bestämmelser om bevarande kan sägas vara resultatet av en avvägning mellan å ena sidan integritets- skyddsintresset och å andra sidan det informationsbehov som upp- gifterna ska tillgodose. Utgångspunkten är att uppgifter som kan hänföras till enskilda personer inte ska bevaras än vad som är nödvändigt med hänsyn till ändamålen med behand- lingen, se 9 § första stycket i personuppgiftslagen (1998:204, PUL). Överväganden och förslag om hantering och prissättning av licensläkemedel I lagen (1996:1156) om receptregister finns angivet när uppgifter för olika ändamål ska tas bort (efter )7. I apoteksdatalagen (2009:367) anges däremot att personuppgifter ska tas bort när de inte längre behövs för behandling enligt ändamålen i 8 § apoteksdatalagen. I 3 kap. 17 § patientdatalagen (2008:355) anges att en journalhandling ska bevaras efter det att den sista uppgiften fördes in i handlingen. Regeringen eller den myndighet som regeringen bestämmer får också meddela före- skrifter om att vissa slags journalhandlingar ska bevaras . Bestämmelserna i om bevarande hindrar inte att en myn- dighet arkiverar och bevarar allmänna handlingar. Av arkivlagen (1990:782) följer att allmänna handlingar får gallras, dvs. Gallring får dock endast ske under förutsättning att allmänhetens rätt till insyn inte åsidosätts och handlingarna har bedömts sakna värde för rättsskipning, förvaltning och forskning. Av arkivlagen följer vidare att om det finns avvikande bestämmelser om gallring av vissa allmänna handlingar i annan lag eller i förordning gäller dessa bestämmelser istället för arkivlagen. Även PUL är subsidiär i förhållande till annan lagstiftning som har bestämmelser som avviker från PUL. Det innebär att det i en särskild lag eller förord- ning kan finnas särskilda bestämmelser om bevarande och gallring och som går före det som anges i PUL och arkivlagen. Personuppgifter kan tas bort antingen genom att de avidenti- fieras eller förstörs. Att avidentifiera personuppgifterna innebär att man avlägsnar alla identifieringsmöjligheter så att de uppgifter som fortsättningsvis behandlas inte längre går att koppla samman med en fysisk person, dvs. inte längre utgör personuppgifter enligt PUL. För att avgöra om en person är identifierbar ska man beakta alla hjälpmedel som, i syfte att identifiera vederbörande, kan komma att användas antingen av den personuppgiftsansvarige själv eller av någon annan person. Även sådana i sig anonyma uppgifter som gör det möjligt med bakvägsidentifikation av en fysisk person omfattas av begreppet personuppgift. Krypterade personuppgifter är således inte avidentifierade så länge någon kan göra uppgifterna läsbara och därmed identifiera personen. Att förstöra personupp- gifterna innebär att se till att de inte går att återskapa. 7 Denna utredning har i SOU 2012:75 föreslagit förändringar i den bestämmelsen. Överväganden och förslag om hantering och prissättning av licensläkemedel En licens är giltig för beslutet om inte anger (2 kap. 7 § LVFS 2008:1). Frågan är hur länge respektive E-hälsomyndig- heten behöver spara personuppgifter vid licenshantering. Utred- ningen har diskuterat kring denna fråga men då tiden varit knapp bedömer utredningen att frågan om bevarande bör blir föremål för ytterligare diskussion. Utredningen har stannat för att föreslå att bevarandetiden för bör vara 15 månader medan hos bör vara 36 månader. Huruvida dessa tidsfrister är lämpliga bör dock bli föremål för ytterligare diskussion. Utredningen redovisar i det följande sina överväganden. Uppgifter om licensärendet, bl.a. licensbeslutet inklusive motiveringen samt eventuella bilagor och kompletteringar, sparas hos efter det att ärendet skapades, dvs. från det att motiveringen kom till . Anledningen till att uppgifterna behöver sparas är bl.a. att det ibland, om det har blivit något fel i samband med hanteringen av ett licensärende, kan vara nödvändigt att E-hälso- myndigheten centralt söker information i kommunikationslös- ningen. har en supportverksamhet riktad mot apotek och vård. Att sparar uppgifterna underlättar således incidentutredningar. Vidare sparas upp- gifterna för att möjliggöra referering till tidigare ärende vid för- nyelse av licensen. Det är därför rimligt att uppgifter om licenser bör kunna sparas hos efter det att licensen har upphört att gälla. Det kan noteras att licensbeslutet inte förutsätter ett recept, dvs. förskrivaren kan välja att skriva ett recept först när licens- beslutet är beviljat. Det kan också hända att det går från att förskrivaren skriver en motivering till dess att patienten uppsöker med receptet och då ansöker om licens. I dessa fall kommer det således endast att finnas en motivering i kommu- nikationslösningen, utan en koppling till en licensansökan. E-hälso- myndigheten behöver därför spara motiveringarna i väntan på att en licensansökan kommer in. Även ett recept gäller från det utfärdas om inte förskrivaren anger kortare giltig- hetstid (3 kap. 26 § LVFS 2009:13). Enligt praxis är giltighetstiden för en motivering 12 månader. Denna praxis är satt utifrån att både licensbeslut och recept är giltiga i högst och att det anses rimligt att en motivering ska ha samma giltighetstid. Överväganden och förslag om hantering och prissättning av licensläkemedel tar bort en licensmotivering som inte har utmynnat i inskickad licensansökan 12 månader efter att licens- motiveringen skickades in. Licensärendet (dvs. motivering och ansökan) ska, enligt Apotekens Service AB:s rutiner, raderas8 12 månader efter att ansökan skickats in. Om licensärendet skickats in till kommunikationslösningen och varken licensbeslut eller begäran om komplettering inkommit från ska ärendet dock inte raderas. Om det har begärts en komplettering men ingen komplettering har skickats in ska ärendet raderas 12 månader räk- nat från det datum då beslut om begäran om komplettering togs. Denna utredning har i tidigare betänkande, SOU 2012:75, före- slagit att bevarandetiderna för recept bör ändras. Om de förslagen genomförs kan det få betydelse för frågan om bevarandetid för licensuppgifter. I det betänkandet diskuteras även kring frågan om från vilken tidpunkt bevarandetiden ska börja löpa. Är det t.ex. från när receptet inkom till i elektronisk form från förskrivaren eller från det att den sista registreringen kopplad till ett visst recept ägde rum? Vid beredningen av frågor kring bevar- ande bör utredningens förslag och resonemang i SOU 2012:75 således beaktas. Vid diskussion med har de framfört att upp- gifterna bör få bevaras utan begränsning och framfört följande. styrs bevarande av handlingar i licens- ärenden av arkivlagen (1990:782). Detta innebär att handlingarna får sparas utan begränsning och att det för gallring av hand- lingarna krävs gallringsbeslut. Av regeringsuppdraget avseende anpassning av verkets interna ärendehanteringssystem framgår inte att någon ändring av detta varit åsyftad från regeringens sida. har inte heller under utförande av uppdraget identifierat något behov av att tidsbegränsa bevarandetiden för de handlingar som ingår i licensärenden och som utgör allmänna hand- lingar. Som tidigare nämnts är utgångspunkten den att uppgifter som kan hänföras till enskilda personer inte ska bevaras längre än nödvändigt. Utredningen har i förslaget till den nya lagen om behand- ling av personuppgifter vid licenshantering angett att register- uppgifter som bevaras hos ska tas bort senast 36 månader efter det att uppgiften kom in. 8 Radera innebär att data finns kvar i databasen men inte kan ses av användarna. Anled- ningen till att informationen raderas är att , med anledning av över- gången till myndighet, behöver se över när myndigheten får radera information. Överväganden och förslag om hantering och prissättning av licensläkemedel för de ändamål som gäller för personuppgiftsbehandlingen hos kan diskuteras. Det föreligger dock inga hinder för att arkivera underlaget att licensbeslutet. Som tidigare nämnts är utgångspunkten den att uppgifter som kan hänföras till enskilda personer inte ska bevaras längre än nödvändigt. Utredningen anger i förslaget till den nya lagen om behandling av personuppgifter vid licenshantering att register- uppgifter som bevaras hos ska tas bort senast 36 månader efter det att uppgiften kom in. Om är tillräcklig för de ändamål som gäller för personuppgiftsbehandlingen hos kan diskuteras. Det föreligger dock inga hinder för att arkivera underlaget till licensbeslutet. Utredningens förslag: Bestämmelserna i personuppgiftslagen (1998:204) om rättelse och skadestånd ska gälla vid behandling av personuppgifter enligt lagen om behandling av personupp- gifter vid licenshantering. Skälen för utredningens förslag: I personuppgiftslagen (1998:204, PUL) finns bestämmelser om den personuppgiftsansvariges skyldig- heter att på begäran av den registrerade vidta rättelse av person- uppgifter som inte har behandlats i enlighet med personuppgifts- lagen eller föreskrifter som har utfärdats med stöd av den lagen (28 §) samt att ersätta den registrerade för skada och kränkning av den personliga integriteten som en personuppgiftsbehandling i strid mot den lagen har orsakat (48 §). Dessa bestämmelser gäller emellertid bara vid behandling av personuppgifter i strid med bestäm- melserna i personuppgiftslagen eller, i fråga om rättelse, föreskrifter som har utfärdats med stöd av den lagen. De är alltså inte tillämp- liga vid behandling av personuppgifter i strid med andra författ- ningar, såsom t.ex. den här föreslagna lagen om behandling av personuppgifter vid licenshantering. Den enskilde bör ha samma möjligheter att få personuppgifter rättade och att erhålla skadestånd vid behandling av personupp- gifter i strid mot lagen om behandling av personuppgifter vid licenshantering som vid behandling i strid mot personuppgift- slagen. Utredningen föreslår därför att det i lagen om behandling Överväganden och förslag om hantering och prissättning av licensläkemedel av personuppgifter vid licenshantering ska göras en hänvisning till personuppgiftslagens bestämmelser om rättelse och skadestånd. Den av utredningen valda utformningen av bestämmelsen överens- stämmer med ordalydelsen i en rad registerförfattningar, t.ex. lagen (1996:1156) om receptregister, lagen (2005:258) om läkemedels- förteckning och apoteksdatalagen (2009:367). innehåller PUL en bestämmelse (52 §) om överklagande av myndigheters beslut om information enligt 26 § den lagen, om rättelse och underrättelse till tredje man enligt 28 §, om information enligt 29 § andra stycket och om upplys- ningar enligt 42 § samma lag. Lagen om behandling av personupp- gifter vid licenshantering innehåller enbart de särbestämmelser och förtydliganden som det bedömts föreligga behov av. I övrigt ska PUL tillämpas, exempelvis bestämmelserna om överklagande. Utredningen noterar dock att det i patientdatalagen (2008:355), av tydlighetsskäl, har tagits in en upplysning om överklagandebestäm- melserna i PUL (prop. 2007/08:126 s. 218) men ser inte behov av att ta in en sådan bestämmelsen i lagen om behandling av person- uppgifter vid licenshantering. 7.6.17Information till den enskilde Utredningens förslag: Den personuppgiftsansvarige ska se till att den enskilde får information om personuppgiftsbehand- lingen. Informationen ska innehålla upplysningar om 1.vem som är personuppgiftsansvarig, 2.ändamålen med behandlingen, 3.den uppgiftsskyldighet som kan följa av lag eller förordning, 4.de sekretess- och säkerhetsbestämmelser som gäller för upp- gifterna och behandlingen, 5.rätten att ta del av uppgifterna enligt personuppgiftslagen, 6.rätten till rättelse av oriktiga eller missvisande uppgifter, 7.rätten till skadestånd, 8.vad som gäller i fråga om sökbegrepp, 9.vad som gäller i fråga om bevarande, samt 10.huruvida personuppgiftsbehandlingen är frivillig eller inte. Överväganden och förslag om hantering och prissättning av licensläkemedel Skälen för utredningens förslag: En viktig integritetsfråga för ett fullgott integritetsskydd är att den registrerade får fullständig och korrekt information inför en personuppgiftsbehandling, t.ex. vad avser upplysningar om ändamål och om de begränsningar i fråga om sökbegrepp och bevarande av uppgifter som gäller för person- uppgiftsbehandlingen. Informationen behövs för att den regi- strerade ska kunna ta till vara sina rättigheter i samband med per- sonuppgiftsbehandlingen. Information är även viktig för att skapa en nödvändig grund för allmänhetens förtroende för behandlingen av personuppgifterna. Personuppgiftslagen (1998:204, PUL) innehåller särskilda bestäm- melser om den personuppgiftsansvariges skyldighet att lämna information om behandling av personuppgifter till den registrerade (23–27 §§). Regleringen gäller dels den personuppgiftsansvariges skyldighet att självmant lämna information till den registrerade i samband med att personuppgifterna samlas in (23–25 §§), dels den personuppgiftsansvariges skyldighet att lämna information på den registrerades begäran (26 §). Informationsskyldigheten i PUL har preciserats i lagen (1996:1156) om receptregister vad gäller skyldigheten för E-hälso- myndigheten att informera den registrerade medan motsvarande skyldighet för öppenvårdsapoteken regleras i apoteksdatalagen (2009:367). Regeringen motiverade bestämmelserna med att en sådan precisering innebär att det blir tydligare för såväl den person- uppgiftsansvarige som den enskilde vilken information som ska lämnas (prop. 2008/09:145 s. 363). Vårdgivarens ansvar att informera den registrerade regleras i patientdatalagen (2008:355) och PUL. Utredningen anser att en skyldighet för och att informera om personuppgiftshanteringen i samband med kommunikationslösningen m.m. bör införas i lagen om behandling av personuppgifter vid licenshantering. Bestäm- melsen är utarbetad efter förebild i apoteksdatalagen och lagen om receptregister. Utredningens förslag: Det behövs inte några särskilda över- gångsbestämmelser i lagen om behandling av personuppgifter vid licenshantering. Överväganden och förslag om hantering och prissättning av licensläkemedel Skälen för utredningens förslag: Det kommer inte att ske någon migrering av uppgifter när kommunikationslösningen träder i kraft, Fram till dess att utredningens förslag om en ny registerförfattning kan komma att träda i kraft kommer kommunikationslösningen att regleras med stöd av PUL. Utredningen ser inte något behov av övergångsbestämmelser. Det innebär att bestämmelserna i den nya registerförfattningen kommer att börja tillämpas på pågående per- sonuppgiftshantering hos de båda myndigheterna. och bör före ikraftträdande se över vilka eventuella åtgärder som kan behöva vidtas med anledning av den nya registerförfattningen, t.ex. i fråga om bevarande av upp- gifter och vilken information som ska lämnas till den enskilde om personuppgiftshanteringen. 7.6.19Förordning (2006:196) om register över hälso- och sjukvårdspersonal Utredningens förslag: ska få lämna uppgifter till för myndighetens licenshantering enligt lagen om behandling av personuppgifter vid licenshantering. Skälen för utredningens förslag: för ett register över hälso- och sjukvårdspersonal, det s.k. förskrivarregistret. Registret regleras i förordningen (2006:196) om register över hälso- och sjukvårdspersonal. Av förordningen följer att person- uppgifterna i registret får behandlas för att bl.a. lämna uppgifter till receptregistret enligt lagen (1996:1156) om receptregister, lämna uppgifter till myndigheter och enskilda i enlighet med det som före- skrivs i annan författning eller avtal, lämna uppgifter till E-hälso- myndigheten i samband med myndighetens behandling av person- uppgifter enligt lagen (2005:258) om läkemedelsförteckning samt lämna uppgifter till för kontroll av förskriv- ares identitet och behörighet vid expedition på öppenvårdsapotek. rapporterar in uppgifter från förskrivar- registret till förskrivarregister . För- skrivaren loggar in i kommunikationslösningen med sin förskrivar- kod. Med hjälp av förskrivarkoden hämtas uppgift från om förskrivarens namn och behörighet. Dessa uppgifter läggs in på den Överväganden och förslag om hantering och prissättning av licensläkemedel elektroniska blanketten för licensmotivering för att underlätta förskrivarens inregistrering. behöver således hämta uppgifter från för- skrivarregistret för myndighetens hantering av licenser. Eftersom det inte uttryckligen framgår av förordningen om register över hälso- och sjukvårdspersonal att det är ett tillåtet ändamål, bör ett tillägg ske i förordningen så att denna personuppgiftshantering blir tillåten. innehåller inte uppgifter om veterinärer. Beträffande veterinärer hämtar därför uppgifter från Statens jordbruksverks veterinärregister. Regeringen uttalade i prop. 2008/09:94 att för att kunna bedriva en effektiv tillsyn måste tillsynsmyndigheten ha vetskap om vilka de ska utöva tillsyn över samt var dessa personer är verksamma. Regeringen föreslog att det i lagen (2009:302) om verksamhet inom djurens hälso- och sjukvård, införs en möjlighet för regeringen eller den myndighet som regeringen bestämmer att meddela föreskrifter om skyldighet för den som tillhör djurhälsopersonalen att lämna sådana uppgifter till tillsynsmyndigheten (s. 89). Av 5 kap. 3 § för- ordningen (2009:1386) om verksamhet inom djurens hälso- och sjukvård, framgår att får meddela föreskrifter om bl.a. skyldighet för djurhälsopersonalen att lämna kontaktuppgifter till tillsynsmyndigheten. Av Statens jordbruksverks föreskrifter (SJVFS 2009:85) om operativa ingrepp samt skyldigheter för djur- hållare och för personal inom djurens hälso- och sjukvård, framgår att djurhälsopersonal ska via brev, e-post eller fax lämna uppgift om namn, adress, telefonnummer och arbetsplats till och därefter när dessa uppgifter ändras. Av Statens jordbruksverks föreskrifter och allmänna råd (SJVFS 2010:62) om offentlig kon- troll av djurhälsopersonal, under rubriken över djurhälso- personal framgår att kontrollmyndigheten ska, utöver det register som tillhandahåller enligt SJVFS 2009:85, ha en förteckning över de uppgifter som kontrollmyndigheten bedömer vara relevanta för genomförandet och utvärderingen av kontrollen. Det finns inte några särskilda bestämmelser om till vilka eller under vilka förutsättningar får lämna uppgifter om veterinärer till . Det behövs därför inte någon författningsändring i den delen. Överväganden och förslag om hantering och prissättning av licensläkemedel Utredningens förslag: Receptbelagda licensläkemedel ska få ingå i läkemedelsförmånerna utan en prövning enligt bestäm- melserna i 15 § lagen om läkemedelsförmåner m.m. Regeringen eller den myndighet som regeringen bestämmer ska få meddela föreskrifter om förutsättningar för att dessa läkemedel ska få ingå i läkemedelsförmånerna. Tandvårds- och läkemedelsför- månsverket bör ha möjlighet att pröva om ett licensläkemedel fortsatt ska ingå i läkemedelsförmånerna och att bestämma priset. Bestämmelserna bör tas in i myndighetens föreskrifter. Det ska i lagen om läkemedelsförmåner m.m. anges att det i fråga om licensläkemedel inte behöver vara den som marknadsför ett läkemedel som ska ansöka om att det ska ingå i läkemedelsförmånerna utan att det kan vara annan sökande. Skälen för utredningens förslag I detta avsnitt diskuteras först vissa problem med det nuvarande systemet för subvention och prissättning av licensläkemedel. Där- efter resonerar utredningen kring möjliga lösningar. Avsnittet inleds med en kort beskrivning av relevant rättslig reglering. I 3 kap. 18 § läkemedelsförordningen (2006:272) anges att tillstånd till försäljning av läkemedel enligt 5 § tredje stycket läkemedels- lagen (1992:859) får meddelas för att tillgodose särskilda behov av läkemedel i hälso- och sjukvården eller i den veterinärmedicinska verksamheten. I LVFS 2008:1 anges att licens medges i form av enskild licens, generell licens, veterinär licens eller beredskapslicens om behovet av läkemedel inte kan tillgodoses genom ett i godkänt läkemedel. För att licens ska kunna meddelas krävs således, såvitt här är av intresse, att det finns ett särskilt behov av Överväganden och förslag om hantering och prissättning av licensläkemedel läkemedlet i hälso- och sjukvården och att behovet inte kan till- godoses genom ett godkänt läkemedel. Enligt tolkning ska denna reglering förstås som att licensen upphör om licensläkemedlet har övergått till att bli ett godkänt läkemedel. tar således inte hänsyn till om patienten behöver stå för hela läkemedelskostnaden TLV prövar subventionsfrågan för det godkända läke- medlet. upphäver dock inte beviljade licenser utan licensbeslutet löper normalt tiden ut, varefter licensen upphör när tiden som angivits i beslutet löpt ut. En licens gäller som längst . har inte upphävt ett gällande licensbeslut på grund av att läkemedlet har blivit godkänt. kan låta en licens gälla trots att det finns ett godkänt läkemedel. Eftersom ett läkemedel ofta blir godkänt långt innan det finns tillgängligt på den svenska marknaden har det hänt att har beviljat licens under den tiden för att patienterna inte ska stå utan behandling. Detta är inte reglerat utan följer av praxis. Denna praxis avser att säker- ställa att patienten får tillgång till behandling och motiveras av medicinska skäl, dvs. hänsyn tas inte till patientens ekonomiska situation. Läkemedelslagstiftningen är huvudsakligen ett harmoniserat område. Stöd för försäljning av icke godkända läkemedel återfinns i artikel 5.1 i direktiv /83/EG. Där anges att en medlemsstat får, i enlighet med gällande lagstiftning och för att tillgodose speciella behov, från bestämmelserna i direktivet undanta läkemedel som tillhandahålls mot en spontan och i god tro avgiven beställning i enlighet med föreskrifter som lämnats av en behörig person inom hälso- och sjukvården under denna persons direkta personliga ansvar för att användas av en enskild patient. Prissättning och subvention av läkemedel är ett område som i princip däremot inte är harmoniserat. Det innebär att medlems- staterna är fria att lagstifta på området, under förutsättning att de allmänna reglerna i Fördraget om Europeiska unionens funktions- sätt (EUF-fördraget) respekteras, t.ex. reglerna om de fyra frihet- erna.