prop · H303143 · 2016-03-31 00:00:00 — Som framgår av avsnitt 7.9 föreslås att får en skyldighet att lämna ut uppgifter till ett antal aktörer. Till att börja med föreslås att myndigheten ska lämna ut uppgifter i ärenden om ansökan om licens till . Därutöver föreslås att myndigheten ska lämna ut uppgifter i ärenden om ansökan om licens till expedierande personal på öppenvårdsapotek som i sin verksamhet har behov av sådana uppgifter. Avslutningsvis föreslås att myndigheten ska lämna ut uppgifter i ärenden om ansökan om licens till dem som är behöriga att förordna läkemedel och som i sin verksamhet har behov av sådana uppgifter. Även dessa ändamål med personuppgiftsbehand- ling bör framgå av lagens ändamålsbestämmelse. De i lagen angivna ändamålen kompletteras genom en hänvisning i 9 § till finalitetsprincipen i 9 § första stycket d och andra stycket PUL. Genom denna hänvisning möjliggörs behandling av personuppgifter i licensärenden även för andra ändamål än de som anges i 8 § den nya lagen. Finalitetsprincipen innebär att personuppgifter endast får samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte behandlas för något ändamål som är oförenligt med det ändamål för vilket de samlades in. En behandling för historiska, statistiska eller vetenskapliga ändamål ska dock inte anses som oförenlig med de ända- mål för vilka uppgifterna samlades in. Bestämmelserna i 9 § PUL inne- bär att vidarelämning av uppgifter måste föregås av en prövning av om mottagarens ändamål är förenligt med de ursprungliga ändamålen eller inte. Det övergripande syftet med insamlandet av personuppgifter i licens- ärenden är att patienter och djur ska få tillgång till behövliga läkemedel. Som anges i avsnitt 7.9 föreslår regeringen att patienter ska kunna få ha direktåtkomst till personuppgifter om sig själva i ärenden om ansökan om licens hos . Ett sådant utlämnande torde enligt regeringens bedömning inte anses oförenligt med de ändamål för vilka uppgifterna samlades in. Att i lagen ange ett särskilt ändamål för att tillåta sådan personuppgiftsbehandling behövs därför inte. 2015/16:143 Personuppgifter som får behandlas Från integritetssynpunkt är det väsentligt att inte andra personuppgifter behandlas än vad som är befogat utifrån verksamhetens behov och krav. I vissa registerlagar, t.ex. lagen (1996:1156) om receptregister, anges även vilka uppgifter som får finnas i registret. I andra registerlagar, t.ex. patientdatalagen (2008:355) och apoteksdatalagen (2009:367), finns inte några bestämmelser som specificerar vilka personuppgifter som får behandlas. Regeringen uttalade i förarbetena till patientdatalagen att det i stället är ändamålsbestämningen som ska styra över vilka personupp- gifter som får behandlas (prop. 2007/08:126 s. 63). Som anförts i inledningen till avsnitt 7 behandlas ett antal olika person- uppgifter i både kommunikationslösning och hos . Som framgår av avsnittet handlar det om personuppgifter som är hänförliga till patienter, dem som är behöriga att förordna läkemedel och farmaceuter. Regeringen bedömer att det inte är ändamålsenligt att i lagen ange alla personuppgifter som får behandlas. Styrande över vilka personuppgifter som får behandlas bör i stället vara de ovan föreslagna ändamålen med personuppgiftsbehandlingen. Regeringens förslag: Vid behandling av personuppgifter får förskriv- ningsorsak inte användas som sökbegrepp. Utredningens förslag: Överensstämmer delvis med regeringens för- Remissinstanserna: Förvaltningsrätten i ifrågasätter om inte har ett berättigat behov av att använda förskrivnings- orsak som sökbegrepp i handläggningen av licenser. anser att verket bör få använda förskrivningsorsak som sökbegrepp. Skälen för regeringens förslag: På vilket sätt personuppgifter kan sammanställas är en viktig fråga från integritetssynpunkt. möjligheter det finns att i olika konstellationer sammanställa uppgifter om enskilda personer, desto större blir riskerna för otillbörliga intrång i den personliga integriteten. Med sökbegrepp avses begrepp som används som urvalskriterier för att söka fram handlingar som innehåller det aktuella begreppet eller för att med begreppet som utgångspunkt göra sammanställningar av olika slag. Exempelvis avses bokstäver, koder eller siffror med vars hjälp man kan ta fram ett önskat urval av lagrade person- uppgifter om en eller flera personer ur en samlad informationsmängd 2007/08:126 s. 68 och 231). medfört i det närmaste obegränsade sökmöjligheter när det gäller elek- troniskt lagrad information. Det är därför av största vikt att reglera sök- begränsningar så att otillbörliga integritetsintrång kan förhindras (jfr regeringens uttalande i prop. 2008/09:145 s. 353 f.). Sökbegrepp som tar sikte på känsliga personuppgifter är typiskt sett förknippade med särskilda risker i integritetshänseende. personuppgifter avses exempelvis uppgifter som rör hälsa eller sexualliv (jfr 13 § PUL). I många registerlagar är det därför förbjudet att använda sådana integritetskänsliga sökbegrepp. Skälet till detta är att det inte kan Prop. 2015/16:143 uteslutas att sammanställningar över känsliga personuppgifter kan komma att missbrukas med risk för allvarliga intrång i enskildas person- liga integritet. I sitt lagförslag har utredningen angett att förskrivningsorsak inte får användas som sökbegrepp. Det innebär att varken förskrivningsorsak eller kod för förskrivningsorsak får användas som sökbegrepp. I sitt remissvar har anfört att sådan sökning bör vara tillåten för verket. Myndigheten motiverar detta med att en sådan sökmöjlighet skulle vara ett stöd i myndighetens handläggning. Regeringen gör följande bedömning i denna del. Ett införande av förskrivningsorsak som tillåtet sökbegrepp skulle innebära en möjlighet till relativt sett breda sökningar i myndighetens ärendehanteringssystem. Om en sådan möjlig- het infördes skulle , i sin ärendehandläggning, kunna göra jämförelser mellan bedömningar i ärenden där bakomliggande för- skrivningsorsak är densamma. Såsom har anfört skulle detta kunna leda till snabbare tillgång till läkemedel för patienterna. En nackdel, sett från den enskilde patientens perspektiv, är emellertid risken för att flera handläggare genom en sådan sökmöjlighet skulle kunna ta del av uppgifter om den enskilde. I det förslag till lag som remitterats har begränsningen i fråga om att söka på förskrivningsorsak motiverats med att liknande begränsningar även finns i lagen (1996:1156) om receptregister och i apoteksdatalagen (2009:367). Utredningen har dock inte närmare analyserat vilket sök- behov har vid handläggning av ärenden om ansökan om licens. Någon möjlighet för regeringen att efter remissbehandlingen av utredningens betänkande ta fram och remittera ett förslag med inne- börden att får söka på förskrivningsorsak har inte funnits. Följaktligen har remissynpunkter kring för- och nackdelar med en möjlighet att söka på förskrivningsorsak inte kunnat inhämtas. Regeringen bedömer därför att det, inom ramen för detta lagstiftnings- ärende, inte kan föreslås att ska få använda förskriv- ningsorsak som sökbegrepp. I utredningens lagförslag anges även att identitet hos patienter och den som är behörig att förordna läkemedel får användas som sökbegrepp. Ur integritetssynpunkt är det sökbegränsningar som är viktigast att reglera. Regeringen anser därför att det räcker att i lagen reglera att förskriv- ningsorsak inte får användas som sökbegrepp. 7.8Utlämnande på medium för automatiserad behandling Regeringens förslag: Om en personuppgift får lämnas ut, får det ske på medium för automatiserad behandling. Utredningens förslag: Överensstämmer med regeringens förslag. Remissinstanserna: Remissinstanserna har inga synpunkter eller till- 2015/16:143 Skälen för regeringens förslag: För annat elektroniskt utlämnande än genom direktåtkomst brukar begreppet ”utlämnande på medium för auto- matiserad behandling” användas i personuppgiftssammanhang. Sådant utlämnande kan exempelvis innebära att elektronisk information överförs via e-post, genom utlämnande av uppgifter på ett flyttbart lagrings- medium – t.ex. flashminne (s.k. usb-minne) – eller genom direkt över- föring från ett datorsystem till ett annat. Enligt förslaget i avsnitt 7.9 ska och Läkemedels- verket lämna ut uppgifter till varandra. ska även lämna ut uppgifter till öppenvårdsapoteken och dem som är behöriga att förordna läkemedel. Varken PUL eller det bakomliggande dataskydds- direktivet innehåller några särskilda bestämmelser som begränsar möjligheterna till utlämnande på medium för automatiserad behandling. Utlämnade av personuppgifter på medium för automatiserad behand- ling är en form av behandling av personuppgifter enligt 3 § PUL. Ett sådant utlämnande är tillåtet förutsatt att det sker i enlighet med de ända- mål som är bestämda för personuppgiftsbehandlingen och att kraven på en god informationssäkerhet upprätthålls (prop. 2007/08:126 s. 77). För tydlighetens skull bör det dock i den föreslagna lagen tas in en bestämmelse om att personuppgifter får lämnas ut på medium för automatiserad behandling om utlämnandet som sådant är en tillåten personuppgiftsbehandling. Regeringens förslag: och ska lämna ut uppgifter i ärenden om ansökan om licens till varandra. hälsomyndigheten ska lämna ut uppgifter i ärenden om ansökan om licens till expedierande personal på öppenvårdsapotek samt till den som är behörig att förordna läkemedel under förutsättning att dessa i sin verksamhet har behov av sådana uppgifter. Expedierande personal på ett öppenvårdsapotek får ha direktåtkomst till sådana personuppgifter i ärenden om ansökan om licens hos E- hälsomyndigheten som personalen i sin verksamhet har behov av. som är behörig att förordna läkemedel får ha direktåtkomst till person- uppgifter i sådana ärenden om ansökan om licens hos E-hälsomyndig- heten som innehåller personuppgifter som han eller hon själv har lämnat till myndigheten. Lagens bestämmelse om sökbegränsning ska gälla vid den personuppgiftsbehandling som sker i samband med dessa aktörers direktåtkomst. Patienten får ha direktåtkomst till personuppgifter om sig själv i ärenden om ansökan om licens hos . Utredningens förslag: Överensstämmer i huvudsak med regeringens Remissinstanserna: Myndigheten för vård- och omsorgsanalys och betonar vikten av att patienten får ha direktåtkomst till uppgifter om licenser som rör denne själv. Farmaceuter har synpunkter på förslagets ordalydelse. rätten i anser att direktåtkomsten för patienter kan vara proble- Prop. 2015/16:143 matisk. Datainspektionen anför att det kan behöva klarläggas att den aktör som tillhandahåller kommunikationslösningen måste säkerställa att möjligheten att få tillgång till personuppgifterna i systemet är tekniskt begränsad till att enbart avse de övriga i lagen angivna personuppgifts- ansvariga. Skälen för regeringens förslag Allmänt om uppgiftsskyldighet och direktåtkomst Personer som arbetar på och inom E-hälsomyndig- heten är bundna av bestämmelser om sekretess (företrädelsevis 25 kap. 1 § respektive 25 kap. 17 a § offentlighets- och sekretesslagen [2009:400], förkortad OSL). Det innebär bl.a. att de inte obehörigen får röja eller utnyttja vad de i sin verksamhet har fått veta om en enskilds hälsotillstånd eller andra personliga förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men. Av 8 kap. 1 § OSL följer att en uppgift som är sekre- tessbelagd inte får röjas för enskilda eller för andra myndigheter, om inte annat anges i OSL eller i lag eller förordning som OSL hänvisar till. förekommer situationer när andra myndigheters eller enskildas intresse av att ta del av en sekretessbelagd uppgift väger tyngre än det intresse som sekretessen ska skydda. I OSL finns därför bestämmelser som inne- bär att sekretess under vissa förutsättningar inte hindrar att sekretess- belagda uppgifter lämnas till myndigheter eller enskilda. bestämmelser kallas sekretessbrytande bestämmelser. tess mellan myndigheter anges i 10 kap. 28 § OSL att sekretess inte hindrar att uppgift lämnas till en annan myndighet, om uppgiftsskyldig- het följer av lag eller förordning. I den kommunikationslösning som togs i bruk för- medlas sekretessbelagd information mellan aktörerna. uppgiftsskyldigheter för finns i 13–18 §§ lagen (1996:1156) om receptregister, 4 § lagen (1996:1157) om läkemedels- kommittéer samt 2 kap. 10 b § lagen (2009:366) om handel med läke- Dessa sekretessbrytande uppgiftsskyldigheter reglerar emellertid inte den förmedling av information som sker i kommunika- Elektroniskt utlämnande av personuppgifter från en myndighet kan ske i form av direktåtkomst eller utlämnande på medium för automatiserad Med direktåtkomst avses vanligtvis att någon har direkt till- gång till någon annans register eller databas och på egen hand kan söka efter information, dock utan att kunna påverka innehållet i registret eller databasen (se prop. 2009/10:85 s. 168). I begreppet ligger också att den som är personuppgiftsansvarig för registret eller databasen inte har någon kontroll över vilka uppgifter som mottagaren vid ett visst söktillfälle tar del av (se prop. 2011/12:45 s. 133). Prövningen av om ett utlämnande är förenligt med OSL måste vid direktåtkomst ske redan då uppgifterna görs tillgängliga för mottagaren. Den myndighet som lämnar ut uppgifter genom direktåtkomst fattar således inte något beslut om utlämnande av de uppgifter som den som har direktåtkomst tar del av i varje enskilt fall. En bestämmelse om direktåtkomst har i sig inte sekretessbrytande effekt utan måste kombineras med sekretessbrytande bestämmelser. har i ett avgörande som avsåg utlämnande av uppgifter i form av upptagning mellan myndigheter ansett att gränsdragningen mellan vad som är direktåtkomst och annat ut- lämnande på medium för automatiserad behandling beror på om den aktuella uppgiften kan anses förvarad hos den mottagande myndigheten enligt 2 kap. 3 § andra stycket tryckfrihetsförordningen. Avgörande är således om uppgiften är tillgänglig för myndigheten med tekniskt hjälp- medel som myndigheten själv utnyttjar för överföring i sådan form att den kan läsas, avlyssnas eller på annat sätt uppfattas (Högsta förvalt- ningsdomstolens dom i mål nr 1356-14). PUL reglerar inte på vilket sätt uppgifter får lämnas ut, t.ex. genom direktåtkomst. Sådana bestämmelser finns i stället vanligen i de särskilda registerförfattningarna. Sekretessen till skydd för enskild i licensärenden hos omfattas av regleringen i 25 kap. 1 § OSL. Skaderekvisitet är omvänt, vilket innebär att presumtionen är att uppgifter inte får lämnas ut. För att kommunikationslösningen ska kunna fungera effektivt krävs det att kan ge uppgifter till . Läke- medelsverket ska t.ex. ge uppgifter i beslutet och i begäran om komplettering. Även om bedömer att den aktuella sekretessen inte utgör ett hinder mot ett utlämnade i enskilda fall talar volymen ärenden, ca 60 000 , för att en sekretessbrytande upp- giftsskyldighet bör införas. Vidare bör det inte råda något tvivel om huruvida det aktuella uppgiftslämnandet från till E- hälsomyndigheten är behörigt. Mot bakgrund av detta samt att det rör sig om en skyldighet för , föreslår regeringen att det i lagen om behandling av personuppgifter i ärenden om licens för läke- medel införs en uttrycklig bestämmelse om uppgiftsskyldighet för Läke- medelsverket gentemot . Det framgår av 10 kap. 28 § OSL att resultatet av en sådan uppgiftsskyldighet i lag är att sekre- tess inte hindrar att uppgift lämnas till en annan myndighet. För att kunna fatta beslut om licens behöver uppgifter från dem som är behöriga att förordna läkemedel och apotek. Dessa upp- gifter förmedlas till myndigheten genom den kommunikationslösning som tillhandahåller. Uppgifter som E-hälsomyndig- heten ska lämna till är t.ex. motivering och licensansökan samt kompletteringar. Av 25 kap. 17 a § OSL framgår att sekretess gäller hos för uppgift om en enskilds hälsotillstånd eller andra personliga förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men. Enligt 25 kap. 17 b § OSL gäller sekretess hos E-hälso- myndigheten för uppgift om en enskilds affärs- eller driftsförhållanden, om det kan antas att den enskilde lider skada om uppgiften röjs. Även i detta fall förutsätter ett utlämnande av uppgifter från E-hälsomyndig- heten till att individuella sekretessprövningar sker. Som anförts ovan talar volymen av ärenden för att en mer ändamålsenlig lösning är att i lag införa en uppgiftsskyldighet för gentemot . Utredningen har bedömt att inte har behov av direktåtkomst till uppgifter hos . Regeringen in- stämmer i detta. uppgiftsskyldighet till öppenvårdsapoteken och direktåtkomst för expedierande personal på öppenvårdsapoteken Sekretess gäller hos för uppgift om en enskilds hälsotillstånd eller andra personliga förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men. Sekretess gäller också för uppgift om en enskilds affärs- eller driftsförhållanden, om det kan antas att den enskilde lider skada om uppgiften röjs. Regleringen i 10 kap. 28 § OSL om att sekretessbrytande bestämmelser måste anges i lag eller förordning gäller endast i för- hållande till myndigheter. För att uppgiftsskyldighet gentemot enskilda ska kunna bryta sekretess måste en hänvisning i OSL ske till aktuell för- fattning (jfr 8 kap. 1 § OSL). Som anges i avsnitt 6 föreslås att konsumenter ska kunna hämta ut licensläkemedel på valfritt öppenvårds- apotek. Öppenvårdsapoteken har således ett behov av tillgång till Läke- medelsverkets samtliga aktuella beslut om licens för att kunna uppfylla sin skyldighet att tillhandahålla licensläkemedel. För att E-hälsomyndig- heten ska slippa göra en sekretessprövning varje gång innan uppgifter lämnas ut behöver en uppgiftsskyldighet för till öppenvårdsapoteken införas. Uppgiftsskyldigheten bör avse uppgifter i ärenden om ansökan om licens, vilket motsvarar de uppgifter som finns i elektroniska system för licensärenden (). Av integritetsskyddsskäl bör uppgiftsskyldigheten begränsas till dem som behöver uppgifterna i sin yrkesverksamhet. Någon uppgiftsskyldighet ska alltså inte finnas gentemot personal på öppenvårdsapotek som inte tar befattning med frågor om licenser. Regeringen anser att detta ska vara tydligt reglerat i lagen om behandling av personuppgifter i ärenden om licens för läkemedel. Eftersom öppenvårdsapoteken är enskilda rättssubjekt föreslås att 25 kap. 17 c § OSL ändras på så sätt att det framgår att den sekretess som gäller hos inte hindrar att uppgift lämnas till öppen- vårdsapotek enligt vad som föreskrivs i nu föreslagen lag, se avsnitt 8. Vad gäller hanteringen av licensläkemedel är det apoteken som ansöker om licens hos . Ett licensläkemedel får bara expedieras om har tillgång till licensbeslutet. För att apoteks- personalen t.ex. ska kunna söka fram en motivering inför licensansökan eller söka fram ett licensbeslut inför expediering krävs att de enkelt kan få tillgång till uppgifter i ärenden om ansökan om licens hos E-hälso- myndigheten. Apoteken har således behov av att kunna ta del av upp- gifterna i en digital miljö. , då kommunikationslösningen togs i bruk, har apoteken säker inloggning till sådana uppgifter hos E-hälsomyndig- heten via sina befintliga receptexpeditionssystem. 2015/16:143 som redogjorts för ovan (Högsta förvalt- ningsdomstolens dom i mål nr 1356-14) kan tolkas så att den tekniska utformningen av en myndighets system för utlämnan- de av uppgifter kan bli avgörande för om utlämnandet ska anses som direktåtkomst eller som annat utlämnande på medium för automatiserad I det aktuella fallet handlade det om att socialnämnderna inte på egen hand kunde söka information i socialförsäkringsdatabasen, utan ett utlämnande förutsatte att reagerade på en begäran om att de efterfrågade uppgifterna skulle lämnas ut. fick därigenom anses förfoga över frågan om och i så fall vilka uppgifter som skulle lämnas ut. Domstolen ansåg därför att socialnämnderna inte kunde anses ha någon sådan teknisk tillgång till upptagningar som avses i 2 kap. 3 § andra stycket tryckfrihetsförordningen. Detta innebar att för- farandet inte var att betrakta som direktåtkomst. Tanken med den föreslagna lagen är att den ska vara så teknikneutral och flexibel som möjligt så den inte behöver förändras i takt med den tekniska utvecklingen eller till följd av förändringar av myndigheternas behov av att behandla personuppgifter. Trots att Högsta förvaltnings- domstolens avgörande begränsar vilka tekniska lösningar som fortsätt- ningsvis kommer att bedömas som direktåtkomst, finns det mot den bak- grunden ett behov av regler om direktåtkomst till uppgifter i den nya lagen. Regeringen bedömer att det inte finns något behov av att mot bakgrund av denna dom frångå utredningens för- slag om direktåtkomst eller de anknytande reglerna om uppgifts- Regeringen föreslår därför att det i lagen om behandling av personuppgifter i ärenden om licens för läkemedel regleras att ut- lämnande av uppgifter ska kunna ske till expedierande personal på öppenvårdsapotek genom direktåtkomst. Beträffande vilken kategori apotekspersonal som ska få ha direkt- åtkomst har Farmaceuter anfört att ordalydelsen ”expedierande personal på ett öppenvårdsapotek” är felaktig. I stället föreslår förbundet att uttrycket legitimerad personal används. med att den av utredningen föreslagna lydelsen även inkluderar apoteks- Regeringen gör följande bedömning i denna del. medelsverkets föreskrifter (LVFS 2009:13) om förordnande och utlämnande av läkemedel och teknisk sprit framgår vilka moment vid expediering av läkemedel som får göras av vilka personalkategorier. 5 kap. 15 § i dessa föreskrifter anges att farmaceut ska färdigställa för- ordnade läkemedel för utlämnande. till dessa föreskrifter framgår att färdigställandet ska innehålla en författ- ningsmässig, en farmakologisk och en teknisk kontroll. ska alltså utföras av farmaceut. Gällande regelverk utesluter således inte att apotekstekniker är behjälpliga vid exempelvis den registrering av receptet som sker i samband med expedieringen. därför att även andra personalkategorier än farmaceuter bör kunna ha direktåtkomst till uppgifter i ärenden om ansökan om licens hos E-hälso- Av integritetsskäl bör dock direktåtkomsten vara för- behållen sådan expedierande personal som i sin verksamhet har behov av Lagen om behandling av personuppgifter i ärenden om licens för läke- medel reglerar enligt 1 § den personuppgiftsbehandling som sker hos och i ärenden om ansökan om licens. I 10 § finns en bestämmelse om sökbegränsning. Vid direktåt- komst för öppenvårdsapoteken och dem som är behöriga att förordna läkemedel bör sökmöjligheter till uppgifter hos av integritetsskäl vara begränsade. Visserligen finns liknande bestämmelser om sökbegränsningar i apoteksdatalagen (2009:367) och i patientdata- lagen (2008:355). Samma sökbegränsning bör dock gälla som för Läke- medelsverket och . En förutsättning för direktåt- komsten ska därför vara att bestämmelsen i 10 § om sökbegränsning följs, se även avsnitt 7.7. Som anförts i avsnitt 5.4 regleras öppenvårdsapotekens personuppgifts- hantering i apoteksdatalagen. I den lagen finns bl.a. bestämmelser om behörighetstilldelning och åtkomstkontroll. Regeringen uttalade i sam- band med tillkomsten av apoteksdatalagen att öppenvårdsapotekens han- tering av licensläkemedel bör falla in under ändamålet i 8 § 1 apoteks- datalagen, dvs. expediering av förordnade läkemedel samt åtgärder i anslutning till expedieringen. Regeringen uttalade även att rekvisitet ”i anslutning till expedieringen” inte bör tolkas alltför snävt (prop. 2008/09:145 s. 346 och 435). Apotekens personuppgiftshantering i sam- band med licensansökan och expediering av licensläkemedel regleras således redan i apoteksdatalagen.