sou · H5B366 · 2017-08-31 00:00:00 — Bestämmelsen om förhållandet till annan lagstiftning bör utformas på det sätt som framgår av utredningens överväganden i avsnitt 9.6. 11.3.5Rätten att invända mot behandling av personuppgifter Utredningens bedömning: Bestämmelsen i 2 § andra stycket lagen om läkemedelsförteckning om den enskildes inställning till behandlingen av personuppgifter kan behållas. I 2 § andra stycket lagen om läkemedelsförteckning anges att en registrerad inte har rätt att motsätta sig sådan behandling av person- uppgifter som är tillåten enligt lagen utom i de fall som avses i 3 § andra stycket, dvs. när behandlingen förutsätter samtycke. Rätten att göra invändningar enligt artikel 21 i dataskyddsför- ordningen gäller endast behandling som grundar sig på artikel 6.1 e eller f (allmänt intresse, myndighetsutövning eller intresseavväg- ning) i dataskyddsförordningen. Utredningen har nedan i av- snitt 11.3.6 konstaterat att den behandling som sker enligt lagen om läkemedelsförteckning grundar sig på en rättslig förpliktelse enligt artikel 6.1 c i dataskyddsförordningen. Vid sådan behandling ger dataskyddsförordningen inte den registrerade någon rätt att invända. Utredningen bedömer att det är förenligt med skäl 8 till dataskyddsförordningen att behålla bestämmelsen, trots att det följer redan av dataskyddsförordningens reglering att den registrerade inte har någon rätt att invända mot behandlingen. Bestämmelsen bör behållas, eftersom den skapar tydlighet och igenkänning hos tillämparna, se avsnitt 6.2. Av 3 § andra stycket lagen om läkemedelsförteckning framgår att viss behandling endast får ske med stöd av den registrerades samtycke. Som angetts ovan undantas den behandlingen från 2 § andra stycket lagen om läkemedelsförteckning. Bestämmelsen i 2 § andra stycket lagen om läkemedelsförteckning är således förenlig med dataskyddsförordningen och kan därmed behållas. Författningar som reglerar ett register eller en informationssamling 11.3.6Ändamål och grund för behandling av personuppgifter Utredningens bedömning: Ändamålsbestämmelserna i 3 § lagen om läkemedelsförteckning uppfyller de krav som gäller enligt dataskyddsförordningen och kan och bör behållas. Även krav på samtycke och begränsningen av tillåtna ändamål kan behållas. Läkemedelsförteckningen innehåller uppgifter om uthämtade för- skrivna läkemedel och förs i syfte att öka patientsäkerheten. Av 3 § första stycket lagen om läkemedelsförteckning framgår att den som förskriver läkemedel får använda förteckningen för att bl.a. åstad- komma en säker framtida förskrivning av läkemedel för den regi- strerade. Förteckningen får också användas av farmaceut på apotek för att underlätta den kontroll som ska genomföras innan ett läke- medel lämnas ut till den registrerade. Vidare är förteckningen av- sedd att utgöra ett stöd för den enskilde som vill överblicka sin läkemedelssituation. Att det i 1 § lagen om läkemedelsförteckning anges att ska föra läkemedelsförteckning för de i 3 § angivna ändamålen innebär att ändamålen grundar sig på en rättslig förpliktelse enligt artikel 6.1 c i dataskyddsförordningen. Någon ytterligare analys av vilket stöd ändamålen har i data- skyddsförordningen krävs inte, som utredningen konstaterat i av- snitt 9.10.1. Bestämmelserna i lagen om läkemedelsförteckning upp- fyller, i enlighet med vad som anges i samma avsnitt, de krav på den rättsliga grunden som ställs i artikel 6.3 i dataskyddsförordningen. Behandlingen av personuppgifter för de i 3 § lagen om läkemedels- förteckning angivna ändamålen är därmed förenlig med dataskydds- förordningen. Av 3 § andra stycket lagen om läkemedelsförteckning framgår att förskrivare av läkemedel, legitimerad sjuksköterska och farmaceut endast får ges tillgång till vissa uppgifter i läkemedelsförteckningen med uttryckligt samtycke från den registrerade. Utlämnande är dock under vissa förutsättningar möjligt om den registrerade inte kan lämna sitt samtycke. Krav på samtycke utgör enligt den be- dömning utredningen har gjort i avsnitt 9.16.2 en form av skydds- Författningar som reglerar ett register eller en informationssamling Sådana bestämmelser är tillåtna för myndigheter. Eftersom behandlingen enligt lagen om läkemedelsförteckning sker på grund av en rättslig förpliktelse, får bestämmelsen, i enlighet med vad som anges i det avsnittet, anses tillåten även för enskildas behandling såsom preciseringar enligt artikel 6.2 och 6.3 i dataskyddsförord- ningen. Kravet på samtycke är därmed förenligt med dataskydds- förordningens reglering och kan behållas. Eftersom kravet på sam- tycke utgör en begränsning av dataskyddsförordningens reglering, finns det inte heller något hinder mot att behålla bestämmelsen som innehåller undantag från samtyckeskravet. Finalitetsprincipen är inte tillämplig I bestämmelsen anges att läkemedelsförteckningens dokumenta- tion endast får användas för vissa angivna ändamål. Det innebär att finalitetsprincipen inte gäller. Det är alltså inte tillåtet att behandla personuppgifter i läkemedelsförteckningen för andra ändamål än de som anges i bestämmelsen även om dessa andra ändamål inte är oförenliga med det ändamål för vilket uppgifterna har samlats in. Finalitetsprincipen finns uttryckt i artikel 5.1 b i dataskyddsför- ordningen. Där framgår bl.a. att personuppgifter inte får behandlas på ett sätt som är oförenligt med de ändamål för vilka de samlats in, vilket motsvarar vad som anges i artikel 6.1 b i dataskyddsdirektivet. Medlemsstaterna får, i enlighet med vad utredningen konstaterat i avsnitt 9.3, med stöd av artikel 6.2 och 6.3 i dataskyddsförord- ningen behålla eller införa mer specifika bestämmelser för att an- passa tillämpningen av bestämmelserna i dataskyddsförordningen. Det är också, som utredningen konstaterat i avsnitt 9.2, tillåtet att begränsa myndigheters möjligheter till behandling och utöka deras skyldigheter. Begränsningen av tillåtna ändamål är därmed förenlig med dataskyddsförordningen och kan behållas. Författningar som reglerar ett register eller en informationssamling 11.3.7Personuppgifter som får behandlas Utredningens förslag: Lagen om läkemedelsförteckning kom- pletteras med en bestämmelse som påminner om kravet enligt artikel 9.3 i dataskyddsförordningen på att känsliga personupp- gifter endast får behandlas av eller under ansvar av den som om- fattas av tystnadsplikt. Utredningens bedömning: Bestämmelsen i 4 § lagen om läke- medelsförteckning om registrets innehåll kan och bör behållas. Begränsning av vilka personuppgifter som får behandlas I 4 § lagen om läkemedelsförteckning anges vilka uppgifter läke- medelsförteckningen får innehålla. Att precisera de personuppgifter som får behandlas är i linje med principen om uppgiftsminimering enligt artikel 5.1 c i data- skyddsförordningen som anger att uppgifterna ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. Överväganden kring vilka uppgifter som behö- ver behandlas i förteckningen har gjorts vid tidigare lagstiftnings- arbeten och behöver inte göras på nytt. Medlemsstaterna tillåts som redan framgått att införa sådana preciseringar i den nationella lagstiftningen enligt artikel 6.2 och 6.3 i dataskyddsförordningen och därför att de begränsar en myndighets möjligheter till behand- ling av personuppgifter. Bestämmelsen kan och bör alltså behållas. Bestämmelsen i 4 § lagen om läkemedelsförteckning får anses om- fatta personuppgifter som rör hälsa, dvs. känsliga personuppgifter, eftersom det oftast är sjuka personer som ordineras och förvärvar förskrivna läkemedel. För att känsliga personuppgifter ska få behandlas i läkemedels- förteckningen krävs det att förandet av förteckningen omfattas av undantaget i artikel 9.2 h i dataskyddsförordningen eller något annat undantag. Vad som omfattas av undantaget från förbudet att behandla känsliga personuppgifter vid hälso- och sjukvård i arti- Författningar som reglerar ett register eller en informationssamling kel 9.2 h i dataskyddsförordningen framgår av avsnitt 9.11.4. Som anges i det avsnittet har det i förarbetena till lagen (1996:1156) om receptregister ansetts osäkert om 18 § personuppgiftslagen ger till- räckligt stöd för den behandling som avses i den lagen.4 Behandling med stöd av lagen om receptregister sker dock bl.a. för ändamålet att utgöra underlag för tillämpningen av bestämmelserna om läke- medelsförmåner. Behandling för det ändamålet har inte lika stark koppling till bedrivandet av hälso- och sjukvård som behandling som sker med stöd av annan lagstiftning på läkemedelsområdet. Den omständigheten tillsammans med den, i förhållande till data- skyddsdirektivet, utökade uppräkningen av vad som innefattas i förvaltning av hälso- och sjukvårdstjänster i skäl 53 till dataskydds- förordningen, gör att utredningen bedömer att förandet av läke- medelsförteckningen ryms inom undantaget för hälso- och sjukvård i artikel 9.2 h i dataskyddsförordningen. Regleringen är således för- enlig med dataskyddsförordningen. Eftersom känsliga personuppgifter får behandlas inom tillämp- ningsområdet för lagen om läkemedelsförteckning under samma förutsättningar som andra personuppgifter, påverkar det inte regler- ingen i lagen att det, som anges i avsnitt 9.11.6, har tillkommit nya kategorier av känsliga personuppgifter. Som anges i avsnitt 9.11.4 bör en bestämmelse som påminner om kravet på tystnadsplikt enligt artikel 9.3 i dataskyddsförord- ningen tas in i lagen om läkemedelsförteckning. Personalen vid omfattas av bestämmelser om tystnadsplikt i bl.a. 25 kap. 17 a § offentlighets- och sekretesslagen (2009:400). 2008/09:145 s. 305. Författningar som reglerar ett register eller en informationssamling Utredningens bedömning: Bestämmelserna om sökbegrepp, be- hörighetstilldelning och åtkomstkontroll i 5, 6, 7, 12 a och 12 b §§ lagen om läkemedelsförteckning kan behållas. I 5, 6, 7, 12 a och 12 b §§ lagen om läkemedelsförteckning finns det bestämmelser om sökbegränsningar, utlämnande på medium för automatiserad behandling, utlämnande genom direktåtkomst, behörighetstilldelning och åtkomstkontroll. Sådana bestämmelser utgör, som framgår av avsnitt 9.16.2, säkerhetsåtgärder enligt data- skyddsförordningen. Krav på säkerhetsåtgärder för myndigheter behöver inte, i enlighet med vad utredningen konstaterat i av- snitt 9.16.2, ändras med anledning av dataskyddsförordningen. Be- stämmelserna får också anses vara sådana mer specifika, eller sär- skilda, bestämmelser som det enligt artikel 6.2 och 6.3 i dataskydds- förordningen är tillåtet att ha i nationell rätt för att reglera be- handling som grundar sig på en rättslig förpliktelse eller arbetsupp- gift av allmänt intresse eller som ett led i myndighetsutövning enligt artikel 6.1 c och e i dataskyddsförordningen. Bestämmelserna i 5, 6, 7, 12 a och 12 b §§ lagen om läkemedelsförteckning kan därmed be- hållas. Vissa av de nu berörda bestämmelserna innehåller bemyndigan- den för regeringen eller den myndighet som regeringen bestämmer att meddela föreskrifter. Dataskyddsförordningen hindrar inte att föreskrifter meddelas på detta område och inte heller att föreskrifts- rätten delegeras. Bestämmelsen kan därmed behållas. Utredningens förslag: Bestämmelsen om återkallelse av samtycke i 8 § lagen om läkemedelsförteckning ska upphävas. Den registrerade har enligt 8 § lagen om läkemedelsförteckning rätt att när som helst återkalla ett lämnat samtycke. Bestämmelsen överensstämmer med vad som anges i 12 § första stycket person- uppgiftslagen. Skälet till att detta anges uttryckligen i lagen om läke- medelsförteckning är att personuppgiftslagens bestämmelse till sin Författningar som reglerar ett register eller en informationssamling ordalydelse endast gäller behandling av personuppgifter enligt den lagen. För att bestämmelsen ska vara tillämplig även för person- uppgifter som behandlats enligt lagen om läkemedelsförteckning, krävs därför att det anges i den lagen. Rätten att återkalla ett lämnat samtycke följer av artikel 7.3 i dataskyddsförordningen. Eftersom den bestämmelsen är direkt tillämplig, behöver bestämmelsen inte längre återges i lagen om läkemedelsförteckning för att den ska gälla inom lagens tillämp- ningsområde. Detta gäller enligt utredningens bedömning även fast behandlingen grundar sig på en rättslig förpliktelse och kravet på samtycke bara är en nationellt föreskriven förutsättning för att uppgifter ska få lämnas ut. Det är enligt utredningens mening inte heller av tydlighetsskäl motiverat att ha kvar bestämmelsen eller att hänvisa till dataskyddsförordningens bestämmelse om återkallelse av samtycke. Att endast hänvisa till någon enstaka bestämmelse i dataskyddsförordningen skulle nämligen kunna bli missvisande för tillämparen, eftersom även övriga bestämmelser i förordningen gäller. Bestämmelsen i 8 § lagen om läkemedelsförteckning bör därför upp- hävas och inte ersättas av en hänvisning till dataskyddsförordningen. 11.3.10 Bevarande och gallring Utredningens bedömning: Bestämmelsen om gallring och be- varande i 9 § lagen om läkemedelsförteckning kan behållas. Bestämmelser om gallring och bevarande kan, enligt utredningens bedömning i avsnitt 9.17.2, behållas om den ursprungliga behand- lingen grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning enligt artikel 6.1 c och e i dataskyddsförordningen. Det innebär att även bestämmelsen i 9 § lagen om läkemedelsförteckning kan vara kvar. Författningar som reglerar ett register eller en informationssamling SOU 2017:66 11.3.11 Information som ska lämnas självmant Utredningens förslag: Krav på information till registrerade i 10 § lagen om läkemedelsförteckning som motsvarar krav som finns i dataskyddsförordningen tas bort. Krav som innebär att fler upplysningar ska lämnas än vad som följer av dataskydds- förordningen behålls. Bestämmelserna kompletteras med en upp- lysning om att information även ska lämnas enligt dataskydds- förordningen. I 10 § lagen om läkemedelsförteckning finns det en bestämmelse som anger vilken information den personuppgiftsansvarige ska lämna till den registrerade. Bestämmelsen preciserar bestämmel- serna om information i personuppgiftslagen. I övrigt gäller alltså personuppgiftslagens bestämmelser i 23–27 §§ även vid behandling av personuppgifter i läkemedelsförteckningen. Dataskyddsförordningens bestämmelser om den personupp- giftsansvariges skyldighet att lämna information till den registre- rade har utredningen redogjort för i avsnitt 9.15.1. Informations- skyldigheten enligt dataskyddsförordningen innefattar flera av de upplysningar som anges i 10 § lagen om läkemedelsregister. Bestäm- melsen i lagen om läkemedelsförteckning innebär dock krav på att lämna vissa upplysningar som inte omfattas av skyldigheten i data- skyddsförordningen. Det rör sig om upplysning om de tystnads- plikts- och säkerhetsbestämmelser som gäller för förteckningen, rätten att ta del av uppgifter enligt 11 §, rätten till skadestånd samt vad som gäller i fråga om sökbegrepp, direktåtkomst och utläm- nande av uppgifter på medium för automatiserad behandling. Det finns också vissa upplysningar som bara omfattas av antingen arti- kel 13, som gäller när uppgifterna har samlats in från den registrerade, eller artikel 14 i dataskyddsförordningen, som gäller när uppgif- terna har samlats in från någon annan än den registrerade, nämligen vilken typ av uppgifter som ingår i förteckningen och att registrer- ingen inte är frivillig. Enligt dataskyddsförordningens reglering ska den personuppgiftsansvarige även lämna viss information som inte anges i lagen om läkemedelsförteckning. De bestämmelser i lagen om läkemedelsförteckning som innebär att den personuppgiftsansvarige ska lämna ytterligare information än vad som anges i dataskyddsförordningen kan, i enlighet med Författningar som reglerar ett register eller en informationssamling utredningens bedömning i avsnitt 9.15.1, behållas. Att uppfylla data- skyddsförordningens nya krav på information som ska lämnas kan inte anses särskilt betungande för den personuppgiftsansvarige. Det finns därför, enligt den bedömning utredningen gjort i avsnitt 9.15.2, inte skäl att överväga en begränsning av den registrerades rätt till information. Den personuppgiftsansvarige bör därför lämna både den infor- mation som följer av dataskyddsförordningen och lagen om läke- medelsförteckning. Bestämmelsen i 10 § lagen om läkemedelsför- teckning bör därför, på det sätt som anges i avsnitt 9.15.1, kom- plettera och hänvisa till reglerna om information i dataskyddsför- ordningen. De krav som innebär att informationen ska innehålla sådana upplysningar som även följer av dataskyddsförordningens bestämmelser om information bör tas bort. Även det som anges i 10 § om att den personuppgiftsansvarige ska se till att den registre- rade får information om läkemedelsförteckningen kan tas bort eftersom detta följer av dataskyddsförordningen och den föreslagna formuleringen om att den personuppgiftsansvarige ska lämna viss ytterligare information utöver vad som framgår dataskyddsförord- ningen. 11.3.12 Information som ska lämnas på begäran Utredningens förslag: Hänvisningen till personuppgiftslagens bestämmelse om information som ska lämnas på begäran av den registrerade i 11 § lagen om läkemedelsförteckning ska ersättas av en hänvisning till motsvarande bestämmelse i dataskyddsför- ordningen. Den registrerade har enligt 11 § lagen om läkemedelsförteckning rätt att när som helst och så fort som möjligt få sådan information som avses i 26 § personuppgiftslagen. Bestämmelsen har införts mot bakgrund av att det inte ansågs lämpligt att den registrerade endast skulle ha rätt att få ett registerutdrag per kalenderår som anges i personuppgiftslagen.5 2004/05:70 s. 36–37. Författningar som reglerar ett register eller en informationssamling Dataskyddsförordningen innehåller inte någon bestämmelse om att registerutdrag endast ska lämnas en gång . Däremot anges i skäl 63 till dataskyddsförordningen att den registrerade ska ha rätt till tillgång till personuppgifter som har samlats in om denne med rimliga intervall. Frågan är om dataskyddsförordningens reglering är tillräcklig för att tillgodose det behov av tillgång till uppgifter som den registrerade bedömts ha. Det är i och för sig rimligt att anta att bedömningen av vad som är ett rimligt intervall enligt lagen om läkemedelsförteckning, mot bakgrund av uttalandena i för- arbetena, skulle resultera i att registerutdrag lämnas ut oftare än enligt andra författningar. För att inte riskera att den registrerades rätt till tillgång försämras gör dock utredningen den bedömningen att bestämmelsen i 11 § bör vara kvar. Bestämmelsen i 11 § innebär alltså en utvidgning av den registre- rades rätt till tillgång enligt dataskyddsförordningen. Medlems- staterna tillåts som redan nämnts att utöka myndigheters skyldig- heter i förhållande till vad som gäller enligt dataskyddsförordningen. Bestämmelsen kan därför inte anses strida mot dataskyddsförord- ningen. Bestämmelsen behöver dock omarbetas, eftersom personupp- giftslagen kommer att upphöra att gälla. Med undantag för hur ofta registerutdrag ska lämnas bör dataskyddsförordningens reglering av tillgång till information i artikel 15 gälla vid tillämpningen av lagen om läkemedelsförteckning. Detta eftersom det inte heller när det gäller dessa bestämmelser har framkommit några särskilda svårig- heter för den personuppgiftsansvarige att uppfylla de nya kraven som anges där. I stället för att hänvisa till personuppgiftslagens bestämmelse om registerutdrag bör 11 § lagen om läkemedels- förteckning därför hänvisa till artikel 15 i dataskyddsförordningen. Hänvisningen bör vara dynamisk, dvs. avse vid var tid gällande lydelse av bestämmelsen, eftersom artikel 15 är direkt tillämplig. Utredningens bedömning: Bestämmelsen i 12 § lagen om läke- medelsförteckning som upplyser om bestämmelser i offentlig- hets- och sekretesslagen (2009:400) påverkas inte av dataskydds- förordningen. Författningar som reglerar ett register eller en informationssamling Bestämmelsen i 12 § lagen om läkemedelsförteckning innehåller en upplysning om att det finns bestämmelser om begränsningar i rätten att lämna ut uppgifter i offentlighets- och sekretesslagen (2009:400). Eftersom bestämmelsen endast upplyser om annan lag- stiftning, behöver någon bedömning mot dataskyddsförordningen inte göras. 11.3.14 Rättelse och skadestånd Utredningens förslag: Bestämmelsen i 13 § lagen om läkemedels- förteckning som hänvisar till personuppgiftslagens bestämmelser om rättelse och skadestånd upphävs. I 13 § lagen om läkemedelsförteckning finns en hänvisning till per- sonuppgiftslagens bestämmelser om rättelse och skadestånd. Den bestämmelsen bör, i enlighet utredningens slutsatser i avsnitt 9.15.1 och 9.19.1, upphävas. Utredningens bedömning: Bestämmelsen om avgifter i 14 § lagen om läkemedelsförteckning kan behållas. får enligt 14 § lagen om läkemedelsförteck- ning ta ut avgifter av öppenvårdsapoteken för att täcka kostnaderna för att föra läkemedelsförteckningen. Regeringen, eller den myndig- het som regeringen bestämmer, får meddela ytterligare föreskrifter om avgifterna. Dataskyddsförordningen reglerar inte frågan om avgifter för registerföring. Sådana bestämmelser utgör inte data- skyddsbestämmelser och påverkas därför inte av dataskyddsförord- ningen. Dataskyddsförordningen hindrar inte att föreskrifter meddelas på detta område och inte heller att föreskriftsrätten delegeras. Det bemyndigande som ges i bestämmelsen behöver således inte ändras. Författningar som reglerar ett register eller en informationssamling 11.4Förordningen (2009:626) om läkemedelsförteckning Utredningens bedömning: Delegationsbestämmelserna i förord- ningen om läkemedelsförteckning kan behållas. I förordningen om läkemedelsförteckning finns det bestämmelser som ger Datainspektionen och rätt att med- dela föreskrifter i vissa fall. Utredningen har bedömt att de be- stämmelser i lagen om läkemedelsförteckning som föreskriftsrätten ansluter till är förenliga med dataskyddsförordningen. Dataskydds- förordningen hindrar inte att föreskriftsrätten delegeras. Bestämmel- serna i förordningen om läkemedelsförteckning kan därmed behållas. 11.5Förordningen (2006:196) om register över hälso- och sjukvårdspersonal 11.5.1Skyldighet att föra register Utredningens bedömning: Bestämmelsen om skyldighet att föra register i 1 § förordningen om register över hälso- och sjuk- vårdspersonal kan behållas. I 1 § förordningen om register över hälso- och sjukvårdspersonal anges att ska – med hjälp av automatiserad behand- ling – föra ett register över hälso- och sjukvårdspersonal för de ändamål som anges i förordningens 4 och 5 §§. Bestämmelsen inne- bär en rättslig förpliktelse. Dataskyddsförordningen hindrar inte att någon åläggs en skyldighet att föra ett visst register. Behand- lingen av personuppgifter i registret måste dock vara förenlig med dataskyddsförordningens bestämmelser. Författningar som reglerar ett register eller en informationssamling 11.5.2Förhållandet till annan dataskyddsreglering Utredningens förslag: Bestämmelsen i 2 § förordningen om regis- ter över hälso- och sjukvårdspersonal ska innehålla en upplys- ning om att förordningen kompletterar dataskyddsförordningen. Det ska också anges att dataskyddslagen gäller, om inte annat följer av förordningen om register över hälso- och sjukvårds- personal. Bestämmelsen i 2 § förordningen om register över hälso- och sjuk- vårdspersonal om förhållandet till annan lagstiftning bör utformas på det sätt som framgår av utredningens överväganden i avsnitt 9.6. 11.5.3Rätten att invända mot behandling av personuppgifter Utredningens bedömning: Bestämmelsen i 3 § förordningen om register över hälso- och sjukvårdspersonal är förenlig med dataskyddsförordningens bestämmelser och bör behållas.