prop · H303143 · 2016-03-31 00:00:00 — Som framgår av inledningen till avsnitt 7 är kommunikationslösning för licensläkemedel, , den väg som erbjuds för de apotek som ska ansöka om licens. Av lagen om handel med läkemedel följer en skyldighet för öppenvårds- apoteken att ha ett elektroniskt system som gör det möjligt att få direkt- åtkomst till uppgifter hos . Av ordalydelsen framgår inte att apotekens skyldighet att vara anslutna till enbart skulle avse receptregistret eller annan personuppgiftshantering som sker med stöd av lagen om receptregister. I förarbetena diskuteras dock endast öppenvårdsapotekens tillgång (genom direktåtkomst) till uppgifter i receptregistret (se t.ex. prop. 2008/09:145 s. 120 f. och 318). Apoteken har emellertid även tillgång till uppgifter i läkemedelsförteck- ningen, se lagen (2005:258) om läkemedelsförteckning samt till bl.a. fullmaktsregistret, elektroniskt expertstöd och receptdepå djur. Det finns därför inget behov av att införa ytterligare reglering av apotekens skyldighet att ha direktåtkomst till uppgifter hos . I detta sammanhang kan det även noteras att apotek enligt 2 kap. 6 § lagen om handel med läkemedel ska tillhandahålla samtliga förordnade läke- medel, och samtliga förordnade varor som omfattas av lagen (2002:160) om läkemedelsförmåner m.m. I fråga om licensläkemedel kräver denna tillhandahållandeskyldighet att har tillgång till . uppgiftsskyldighet till den som är behörig att förordna läkemedel och direktåtkomst för denna I likhet med utredningen bedömer regeringen att den som är behörig att förordna läkemedel har behov av att få ta del av uppgifter som finns hos . En sådan ordning möjliggör exempelvis att denne kan besvara frågor från patienten gällande status för en gjord licens- ansökan hänförlig till patienten i fråga. Vidare innebär det även att den som är behörig att förordna läkemedel på ett enkelt sätt kan följa resultatet av sin motivering. Med anledning av detta och för att E-hälso- myndigheten ska slippa göra en sekretessprövning i varje enskilt fall innan uppgifter lämnas ut behöver en uppgiftsskyldighet för E-hälso- myndigheten till dem som är behöriga att förordna läkemedel införas i den nya lagen. Uppgiftsskyldigheten bör avse uppgifter i ärenden om ansökan om licens, vilket motsvarar de uppgifter som finns i . integritetsskyddsskäl bör uppgiftsskyldigheten begränsas till dem som behöver uppgifterna i sin yrkesverksamhet. Eftersom den som är behörig att förordna läkemedel även kan finnas i privat verksamhet behöver det, i likhet med vad som ovan anges beträffande öppenvårdsapoteken, göras en hänvisning till lagen om behandling av personuppgifter i ärenden om licens för läkemedel i 25 kap. 17 c § OSL. Bedömingen i denna del görs i avsnitt 8. I utredningens lagförslag anges att den som är behörig att förordna läkemedel får ha direktåtkomst till uppgifter i ansökan om licens hos E- Utredningen anför att syftet med förslaget varit att begränsa förskrivarnas möjlighet till direktåtkomst till uppgifter i ärenden om ansökan om licens där de själva skrivit motivereringen till varför licensläkemedel behövs. Någon sådan begränsning har dock inte kommit till uttryck i utredningens förslag. Ingen remissinstans har haft några synpunkter på denna del i utredningens förslag. utredningen bedömer regeringen att den som är behörig att förordna läke- medel ska kunna få direktåtkomst till personuppgifter i de ärenden där denne har skrivit motiveringen. Det kan i detta sammanhang påminnas om att kommunikationslösningen inte erbjuder elektronisk åter- koppling av beslut till dem som är behöriga att Avslag på ansökan om licens kommuniceras till den som motiverat ansökan genom vanlig post. Det anförda talar för införandet av en sådan direktåtkomst som utred- ningen syftat till med sitt förslag. Mot en sådan direktåtkomst talar vikten av att begränsa den krets som kan ta del av de uppgifter om enskilda som I fallet med dem som är behöriga att förordna läkemedel finns emellertid de känsligaste uppgifterna i ett licensärende i just motiveringar som de själva skriver. Uppgifter om huruvida en licens- ansökan gjorts eller om beslutat om bifall eller avslag på en sådan ansökan är enligt regeringens uppfattning av mindre känslig Mot bakgrund av det anförda bedömer regeringen att den ordning i fråga om direktåtkomst för dem som är behöriga att förordna läkemedel som utredningen haft som ambition att föreslå är lämplig. förutsättning för sådan direktåtkomst är att de sökbegränsningar som behandlas i avsnitt 7.7 iakttas, se även ovan om direktåtkomst för expedierande personal på apoteken. Sammanfattningsvis föreslås således att den som är behörig att för- ordna läkemedel får ha direktåtkomst till personuppgifter i sådana ärenden om ansökan om licens hos som innehåller personuppgifter som han eller hon själv har lämnat till myndigheten. För att den möjlighet till direktåtkomst för dem som är behöriga att för- ordna läkemedel som föreslås ska fungera i praktiken måste E-hälso- myndigheten säkerställa att obehöriga inte bereder sig direktåtkomst till Enbart i de fall en person kan verifiera att veder- börande är behörig att förordna läkemedel ska direktåtkomst kunna med- ges. för framtagandet av denna proposition saknas förut- sättningar för sådan säker inloggning. Först när denna möjlighet finns kommer den nu föreslagna möjligheten således att få en praktisk betyd- else. Det förutsätts att den tekniska åtkomsten utformas så att den mot- svarar den sekretessbrytande bestämmelsen, dvs. att den som är behörig att förordna läkemedel enbart får åtkomst till uppgifter i ärenden om ansökan om licens där denne själv lämnat uppgifter till E-hälsomyndig- heten. I 12 kap. 1 § OSL anges att sekretess till skydd för en enskild inte gäller i förhållande till den enskilde själv, om inte annat anges i OSL. Av 25 kap. 6 § OSL följer att sekretessen enligt 25 kap. 1–5 §§ gäller i förhållande till den vård- eller behandlingsbehövande själv för uppgift om hans eller hennes hälsotillstånd, om det med hänsyn till ändamålet med vården eller behandlingen är av synnerlig vikt att uppgiften inte lämnas till honom eller henne. Sekretessen för sådana uppgifter hos regleras i 25 kap. 17 § a OSL. Det innebär att sekretessen hos E-hälso- myndigheten inte gäller gentemot den enskilde själv. Någon särskild sekretessbrytande bestämmelse behövs därför inte för att lämna ut upp- gifter till den patient som uppgifterna rör. Av patientdatalagen följer att en vårdgivare får medge en enskild direktåtkomst till sådana uppgifter om den enskilde själv som får lämnas ut till honom eller henne och som behandlas för vissa i lagen angivna ändamål. Vidare anges i 11 § tredje stycket lagen om receptregister att patienter får ha direktåtkomst till uppgifter om sig själva i receptregistret. Med hänvisning till dessa bestämmelser har utredningen föreslagit att patienter får ha direktåtkomst till uppgifter om sig själva i . Vid remissbehandlingen av utredningens förslag har Myndigheten för vård- och omsorgsanalys och tillstyrkt förslaget. Förvaltningsrätten i har emellertid pekat på pro- blematiken i att den enskilde kommer att ha tillgång till uppgifter vilket medför en utökad bild av patienters hälsoprofil som kan utnyttjas av försäkringsbolag. Regeringen gör följande bedömning i denna del. Som framgått ovan finns legala möjligheter att medge enskilda individer direktåtkomst till uppgifter om deras hälsa. Vidare måste den risk som förvaltningsrätten pekar på vägas mot den enskildes rätt till insyn i fråga om de uppgifter om honom eller henne som finns registrerade i offentligt finansierad verksamhet. Vid denna avvägning bedömer regeringen att enskilda patienters rätt till insyn väger tyngre än den risk som Förvaltningsrätten i har pekat på i sitt remissvar. Regeringen bedömer således att det bör införas en möjlighet för patienter att få direktåtkomst till personuppgifter om sig själva i ärenden om ansökan om licens hos . Såsom i fallet ovan med dem som är behöriga att förordna läkemedel förutsätter den nu föreslagna möjligheten till direktåtkomst att obehöriga inte kan ta del av de uppgifter som finns i kommunikationslösningen. för detta lagstiftningsärende finns inte några tekniska förutsättningar som kan garantera detta. En möjlig framtida åtgärd för att 2015/16:143 förhindra obehörig direktåtkomst kan exempelvis vara att E-hälso- myndigheten ställer upp krav på legitimering genom så kallad e-legiti- mation för de individer som önskar elektronisk direktåtkomst till upp- gifter om sig själva. Det ankommer dock på som personuppgiftsansvarig att närmare bestämma vilka krav som ska vara uppfyllda för att patienten ska få direktåtkomst till uppgifter om sig själv. Bestämmelser om behörighetstilldelning och Regeringens förslag: Den personuppgiftsansvarige ska bestämma villkor för tilldelning av behörighet för åtkomst till personuppgifter som helt eller delvis behandlas automatiskt. begränsas till vad som behövs för att den som arbetar på Läkemedels- verket eller ska kunna fullgöra sina arbets- Den personuppgiftsansvarige ska se till att åtkomst till personupp- gifter som helt eller delvis behandlas automatiskt dokumenteras så att åtkomsten kan kontrolleras i efterhand. ska systematiskt och återkommande kontrollera om någon obehörigen kommer åt sådana uppgifter. Regeringen eller den myndighet regeringen bestämmer får meddela föreskrifter om tilldelning av behörighet för åtkomst till personupp- gifter som helt eller delvis behandlas automatiskt samt om dokumenta- tion och kontroll. Utredningens förslag: Överensstämmer i huvudsak med regeringens Remissinstanserna: Remissinstanserna har inga synpunkter eller till- Skälen för regeringens förslag: I samband med ärenden om ansökan om licens hanterar , och andra aktörer känslig information som omfattar många individer. största vikt att personuppgifterna skyddas hos dessa aktörer samt under överföringen mellan aktörerna. Säkerheten måste vara sådan att olaglig behandling, olovlig åtkomst och otillåten spridning inte förekommer. viktig övergripande princip är att säkerhetsåtgärder vidtas (se 31 § PUL), vilket är en betydelsefull del i ett fullgott integritetsskydd. skickades mycket av informationen via fax. Syftet med att ta fram ett elektroniskt system för ansökningar om licens var att skapa en säker överföring av information mellan dem som är behöriga att förordna läkemedel, öppenvårdsapoteken och . Det finns krav på behörighetstilldelning och åtkomstkontroll i lagen (1996:1156) om receptregister samt i apoteksdatalagen (2009:367). bestämmelserna följer att behörigheten ska begränsas till vad som behövs för att en användare ska kunna fullgöra sina arbetsuppgifter. punkten är att inte alla användare behöver åtkomst till alla personupp- Varje användare ska få en individuell behörighet vilket innebär att så kallad gruppinloggning inte får användas. heten ska bygga på att det har gjorts en behovs- och riskanalys av vilka uppgifter olika personalkategorier behöver ta del av och vilka risker det finns med det. Kretsen av personer som har tillgång till skyddade personuppgifter bör begränsas så mycket som möjligt. Det ska finnas rutiner för behörighetsstyrningen för att kunna göra löpande ändringar och ta bort inaktuella behörigheter. I enlighet med regleringen i lagen om receptregister och apoteks- datalagen bör det i den nu föreslagna lagen tas in bestämmelser om behörighetstilldelning och åtkomstkontroll. Det bör även tas in ett bemyndigande om att regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om behörighetstilldelning. I likhet med regleringen i lagen om receptregister och apoteksdatalagen ska det också regleras att åtkomst till uppgifterna ska dokumenteras och kunna kontrolleras. Det räcker emellertid inte att göra kontroller endast i de fall då särskild misstanke finns om obehörigt intrång. Loggkontroller bör i stället göras systematiskt och fortlöpande. Regeringen, eller den myndig- het regeringen bestämmer, föreslås få meddela föreskrifter om dokumentation och kontroll av åtkomst. När det gäller bestämmelsen om åtkomstkontroll utformas denna i enlighet med Lagrådets förslag så att det tydligt framgår att åtkomst till personuppgifter ska dokumenteras så att åtkomsten ska kunna kon- trolleras i efterhand. Förslagen om att och ska ha bestämmelser om behörighetstilldelning och åtkomstkontroll i sina respektive organisationer innebär att det är respektive personuppgifts- ansvarig som har ansvaret för att regleringen följs. Den personuppgifts- ansvarige måste därför sköta behörighetsadministrationen, t.ex. när det gäller tilldelning, borttagande och annan uppdatering så att säkerheten för uppgifterna inte åsidosätts. Motsvarande gäller för åtkomstkontrollen. Det är alltså den personuppgiftsansvarige för den som bereder sig till- gång till registren eller databaserna som ansvarar för att systematiska och återkommande kontroller kan göras och görs. Myndigheterna bör ta fram riktlinjer om vad som är ”obehörig åtkomst” som ett stöd för de anställda och dem som ska utföra kontrollerna. Den personuppgiftsansvarige ska också göra behovs- och riskanalyser. Vad gäller säkerheten kring den personuppgiftsbehandling som sker vid direktåtkomst finns bestämmelser om den personuppgiftsansvariges ansvar i apoteksdatalagen och i patientdatalagen (2008:355). I utredningens förslag till bestämmelser om behörighetstilldelning och åtkomstkontroll räknas särskilt upp personuppgifter om patienter, farma- ceuter och dem som är behöriga att förordna läkemedel. Det kan dock inte uteslutas att även behandling av andra typer av personuppgifter kan falla under lagens tillämpningsområde och således måste omfattas av bestämmelserna om behörighetstilldelning och åtkomstkontroll. Rege- ringen anser därför att enbart begreppet personuppgifter ska användas. 2015/16:143 7.11 Regeringens förslag: Personuppgifter som bevaras ska gallras hos och senast 36 månader efter beslut i ärendet. Personuppgifter som lämnats till av någon som är behörig att förordna läkemedel ska, om uppgifterna inte samman- förts med en ansökan om licens, gallras hos månader efter det att uppgifterna har kommit in till myndig- heten. Utredningens förslag: Avviker från regeringens förslag bl.a. på så sätt att en annan gallringstidpunkt föreslås för . Remissinstanserna: Flera remissinstanser, bl.a. och Förvaltningsrätten i , anser att de föreslagna bevarandetiderna för personuppgifter bör förlängas. uppger att det kan ifrågasättas om det är ändamålsenligt att ha olika gallringstider hos respektive . Det kan ta tid innan en ansökan beviljas om omfattande kompletteringar krävs. Det kan därför inte uteslutas att 15 månader visar sig vara . Det bör därför övervägas att utsträcka gallringstiden även för E-hälsomyndig- heten till som längst 36 månader. har anfört att enligt förslaget ska olika gallringstider gälla hos respektive hos . Härigenom uppstår en diskrepans mellan bevarandetid för receptuppgifter respektive uppgifter om licenser, vilket t.ex. skulle kunna innebära att licensuppgifter gallras innan receptets giltighetstid har gått ut. Skälen för regeringens förslag Varje svensk medborgare har enligt 2 kap. 1 § tryckfrihetsförordningen en grundlagsfäst rätt att ta del av allmänna handlingar. En förutsättning för att denna handlingsoffentlighet ska kunna utnyttjas är att handlingar bevaras hos myndigheterna. Redan bestämmelserna i tryckfrihetsförord- ningen kan således sägas medföra en skyldighet för myndigheterna att bevara och ordna allmänna handlingar så att det går att hitta bland dem och att vårda dem så att de inte skingras och förstörs. Enligt 2 kap. 18 § tryckfrihetsförordningen ska bestämmelser om hur allmänna handlingar ska bevaras och om gallring av sådana handlingar meddelas i lag. Bestämmelser om myndigheternas skyldighet att bevara allmänna hand- lingar och på vilket sätt det ska ske finns i arkivlagen (1990:782), arkiv- förordningen (1991:446) och föreskrifter (RA-FS och ). I dessa bestämmelser anges bland annat hur en handling ska fram- ställas, förvaras och skyddas. Där finns också bestämmelser om gallring och avhändande av allmänna handlingar. Huvudprincipen enligt arkivlagstiftningen är att allmänna handlingar ska bevaras. Det kommer till uttryck i 3 § arkivlagen, enligt vilken myndigheternas arkiv som huvudregel ska bevaras, hållas ordnade och vårdas så att de tillgodoser rätten att ta del av allmänna handlingar, behovet av information för rättskipningen och förvaltningen samt forsk- ningens behov. Det följer dock av 10 § arkivlagen att allmänna hand- lingar under vissa förutsättningar får gallras. Med gallring avses att en handling förstörs på ett eller annat sätt. Vanliga pappershandlingar för- störs fysiskt. För elektroniska handlingar innebär gallring vanligtvis att viss information raderas från databäraren. Med gallring menas inte bara att rent faktiskt förstöra en allmän handling eller uppgifter i en sådan handling. Gallring innebär också att vidta åtgärder med en allmän hand- ling som medför förlust av betydelsebärande data, förlust av möjliga sammanställningar, förlust av sökmöjligheter eller förlust av möjligheter att bedöma handlingens autenticitet (RA-FS 1997:4 ändrad genom RA- FS 2008:4). Det kan till exempel innebära gallring att skriva ut en elek- tronisk handling i pappersform och därefter förstöra den elektroniska handlingen. Även om informationen finns kvar på papper kan möjlig- heten att få fram informationen ha försämrats. När det gäller gallring är arkivlagens bestämmelser subsidiära i för- hållande till annan lagstiftning. Om det finns avvikande bestämmelser om gallring av vissa allmänna handlingar i annan lag eller förordning, har de bestämmelserna företräde (10 § tredje stycket arkivlagen). Av 14 § arkivförordningen framgår att statliga myndigheter får gallra allmänna handlingar endast i enlighet med föreskrifter eller beslut av , om inte särskilda gallringsföreskrifter finns i lag eller för- ordning. Om det i författningar som rör myndigheters behandling av personuppgifter inte finns några särskilda regler om gallring, ska således arkivlagens bestämmelser om bevarande som huvudprincip tillämpas. Grundprincipen i arkivlagstiftningen är således att allmänna handlingar ska bevaras. Några särskilda hänsyn till vilken risk bevarandet kan med- föra ur integritetshänseende ska inte tas. Bestämmelser om gallring för- anleds i stället vanligtvis av kostnads- och utrymmesskäl. I PUL är utgångspunkten en annan. Enligt 9 § första stycket PUL får en personuppgift inte bevaras längre än nödvändigt med hänsyn till ända- målet för vilket personuppgifterna samlades in. Tryckfrihetsförord- ningens och arkivlagens bestämmelser har dock företräde framför . Det följer av 8 § första stycket PUL att bestämmelserna i lagen inte ska tillämpas i den utsträckning det skulle inskränka en myndighets skyldighet att lämna ut personuppgifter enligt 2 kap. tryck- frihetsförordningen. I paragrafens andra stycke anges att bestämmelserna i inte hindrar att en myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet. medför således inte att personuppgifter som är allmänna handlingar ska utplånas eller gallras. För personuppgifter som inte är allmänna handlingar gäller emellertid regeln i 9 § första stycket i PUL, vilket innebär att personuppgiften inte får bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Personuppgifter som inte är allmänna handlingar Som angetts ovan gäller för personuppgifter som inte är allmänna hand- lingar bestämmelserna i 9 § första stycket i och tredje stycket PUL. Av de bestämmelserna följer att personuppgifter som huvudregel inte får bevaras än vad som är nödvändigt med hänsyn till de ändamål för vilka uppgifterna behandlas. Det medför bland annat att personuppgifter i minnesanteckningar eller utkast till beslut eller skrivelse som behandlas av en tjänsteman i ett ordbehandlingspro- gram och som inte har tagits om hand för arkivering ska tas bort ut systemet eller avidentifieras när de inte längre behövs för sitt ändamål. Gallring av uppgifter i ärenden om ansökan om licens Utredningen har föreslagit att olika gallringsfrister ska gälla för person- uppgifter hos respektive . För E- hälsomyndighetens del har utredningen föreslagit att gallring ska ske 15 månader efter det att uppgiften kom in till myndigheten. I fallet med har utredningen föreslagit att uppgifter ska gallras senast 36 månader efter att de kom in till myndigheten. Utredningen har i fråga om motiverat sitt val av tid med att det är rim- ligt att uppgifter om licenser bör kunna sparas hos myndigheten efter det att licensen har upphört att gälla. I fråga om den valda gall- ringsfristen för har utredningen inte anfört några närmare skäl. I båda fallen har utredningen framhållit att man inte har haft tid att analysera frågan om bevarandetid i tillräcklig grad. Vid förslagets remissbehandling har både och ifrågasatt om det är ändamålsenligt att ha olika gallringstider hos respektive . Regeringen delar denna invändning. Redan den omständigheten att ytter- ligare en myndighet utöver den som har till uppgift att handlägga ärenden om licensansökningar behandlar den enskildes personuppgifter kan te sig förvirrande för den registrerade. En konstruktion med olika gallringstider torde, enligt regeringens bedömning, bidra till att försvåra för den regi- strerade som vill bilda sig en uppfattning om aktuell bevarandetid. Där- utöver bedömer regeringen att en enhetlig gallringsfrist kan bidra till samarbete mellan och i fråga om utarbetande av rutiner för gallring. Sammanfattningsvis bedömer rege- ringen att den frist som och ska iaktta bör utformas på ett enhetligt sätt. Frågan om gallringsfristens längd hör samman med dess startpunkt. De bevarandetider som utredningen föreslagit är kopplade till när uppgifter kommer in till och . Regeringen bedömer att denna lösning är mindre lämplig. Som framgår i inledningen till avsnitt 7 inkommer motivering, ansökan och beslut vid olika tidpunk- ter till . Till inkommer motivering och ansökan . Vid sin handläggning av licens- ärendena kan myndigheten emellertid finna att den som är behörig att förordna läkemedel bör komplettera sin motivering. I sådana fall kommer kompletteringen in till myndigheten än motivering och ansökan. Enligt regeringens bedömning bör en och samma tidpunkt utgöra startpunkt för gallringsfristen enligt lagen. En sådan ordning torde underlätta de inblandade myndigheternas arbete med gallring. Rege- ringen bedömer att en lämplig tidpunkt är datumet för Läkemedels- verkets beslut i licensärenden. Som anförts i inledningen till avsnitt 7 förekommer att motiveringar inte resulterar i att apotek ansöker om I dessa fall bör startpunkten i stället vara det datum då motiveringen kom in till . När det gäller lämplig tid inom vilken personuppgifterna ska gallras har anfört att tiden bör vara . Förvaltningsrätten i har anfört att har ett behov av att behandla personuppgifter i ärenden om licenser i registret under betydligt än 36 månader för att få en rättssäker hantering och medicinsk kvalitet i besluten om licens. Enligt Kommuner och Landsting bör av rättssäkerhetsskäl alltid bevara underlaget till licensbesluten efter det att uppgiften kom in. En bevarandetid kan, enligt förbundet, motiveras av patient- säkerhet och medicinsk kvalitet i besluten om licens. Dessutom under- lättas patientens möjlighet att föra talan mot staten då preskriptionstiden för skadestånd är . Regeringen gör följande bedömning i fråga om lämplig tidsrymd för gallringsfrist i den nu föreslagna lagen. Den tid under vilken person- uppgifter bevaras bör, enligt regeringens mening, inte vara längre än vad som behövs för att de ändamål som den aktuella personuppgiftsbehand- lingen syftar till ska kunna uppnås. Ändmålen med den personuppgifts- behandling som regleras genom nu föreslagen lag framgår av förslagets 8 §.