sou · H5B366 · 2017-08-31 00:00:00 — Utredningens bedömning: Behandling av känsliga personupp- gifter och uppgifter om lagöverträdelser inom apoteksdatalagens tillämpningsområde kan alltjämt ske med stöd av ändamåls- bestämmelserna i apoteksdatalagen. Apoteksdatalagen innehåller inte några särskilda bestämmelser om behandling av känsliga personuppgifter eller uppgifter om lagöver- trädelser utan ändamålsbestämmelserna tillåter nödvändig behand- ling av alla slags personuppgifter för de angivna ändamålen. Behand- ling av känsliga personuppgifter eller uppgifter om lagöverträdelser sker således med stöd av ändamålsbestämmelserna i apoteksdata- lagen. I avsnitt 9.11.4 redogör utredningen för vad som omfattas av undantaget från förbudet att behandla känsliga personuppgifter vid hälso- och sjukvård i artikel 9.2 h i dataskyddsförordningen. Utred- ningen gör, särskilt mot bakgrund av den omfattande uppräkningen av vad som innefattas i förvaltning av hälso- och sjukvårdstjänster i skäl 53 till dataskyddsförordningen och det förhållandet att persona- len på apotek omfattas av samma tystnadsplikt som personalen vid vårdinrättningar, bedömningen att den verksamhet som apoteks- datalagen omfattar ryms inom undantaget för hälso- och sjukvård i artikel 9.2 h i dataskyddsförordningen. Apoteksdatalagens regler- ing är därmed förenlig med dataskyddsförordningen. Som anges i avsnitt 9.11.4 bör en bestämmelse som påminner om kravet på tystnadsplikt enligt artikel 9.3 i dataskyddsförord- ningen tas in i apoteksdatalagen. Apotekspersonal har redan tyst- nadsplikt enligt patientsäkerhetslagen (2010:659).22 22 6 kap. 12 § jämförd med 1 kap. 4 § patientsäkerhetslagen. Författningar som reglerar en verksamhet Eftersom känsliga personuppgifter får behandlas under samma för- utsättningar som andra personuppgifter, påverkar det inte apoteks- datalagens reglering att det, som anges i avsnitt 9.11.6, har till- kommit nya kategorier av känsliga personuppgifter. Ändamålsbestämmelserna i apoteksdatalagen tillåter enskilda att behandla uppgifter om lagöverträdelser. Bestämmelser som tillåter enskilda att behandla uppgifter om lagöverträdelser är, i enlighet med den bedömning som redovisas i avsnitt 9.12, lika tillåtna enligt dataskyddsförordningen som enligt dataskyddsdirektivet. Utredningens bedömning: Bestämmelserna i 10, 11, 12 och 13 §§ apoteksdatalagen om sökbegränsningar, utlämnande på medium för automatiserad behandling, behörighetstilldelning och åtkomstkontroll kan behållas. Apoteksdatalagen innehåller i 10, 11, 12 och 13 §§ bestämmelser om sökbegränsningar, utlämnande på medium för automatiserad behandling, behörighetstilldelning och åtkomstkontroll. Som anges i avsnitt 9.16.2 utgör sådana bestämmelser säkerhetsåtgärder enligt dataskyddsförordningen. Enligt den bedömning utredningen har gjort är bestämmelser om säkerhetsåtgärder sådana mer specifika, eller särskilda, bestämmelser som det enligt artikel 6.2 och 6.3 i dataskyddsförordningen är tillåtet att ha i nationell rätt för att reglera behandling som grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse enligt artikel 6.1 c och e i data- skyddsförordningen. Bestämmelserna i 10, 11, 12 och 13 §§ apoteks- datalagen behöver således, i enlighet med vad som anges i av- snitt 9.16.2, inte ändras med anledning av dataskyddsförordningen. Vissa av de nu berörda bestämmelserna innehåller bemyndigan- den för regeringen, eller den myndighet regeringen bestämmer, att meddela ytterligare föreskrifter. Dataskyddsförordningen hindrar inte att föreskrifter meddelas på dessa områden och inte heller att föreskriftsrätten delegeras. De bemyndiganden som ges i bestämm- elserna behöver därför inte ändras. Författningar som reglerar en verksamhet Utredningens bedömning: Bestämmelsen om bevarande i 14 § apoteksdatalagen kan behållas. Utredningen har i avsnitt 9.17.2 kommit till slutsatsen att bestäm- melser i registerförfattningar om gallring och bevarande inte behö- ver ändras under förutsättning att den ursprungliga behandlingen grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning enligt artikel 6.1 c eller e i dataskyddsförordningen. Bestämmelsen i 14 § apoteksdatalagen kan därmed behållas. 10.5.10 Rättelse och skadestånd Utredningens förslag: Bestämmelsen i 15 § apoteksdatalagen som hänvisar till personuppgiftslagens bestämmelser om rättelse och skadestånd upphävs. Bestämmelsen i 15 § apoteksdatalagen som hänvisar till person- uppgiftslagens bestämmelser om rättelse och skadestånd bör, i en- lighet med vad utredningen kommit fram till i avsnitt 9.15.1 och 9.19.1, upphävas. 10.5.11 Information som ska lämnas självmant Utredningens förslag: Krav på information till registrerade i 16 § apoteksdatalagen som motsvarar krav som finns i dataskydds- förordningen tas bort. Krav som innebär att fler upplysningar ska lämnas än vad som följer av dataskyddsförordningen behålls. Hänvisningen till apoteksdatalagens bestämmelse om skade- stånd ersätts med en hänvisning till dataskyddsförordningen och dataskyddslagen. Bestämmelserna kompletteras med en upplys- ning om att information även ska lämnas enligt dataskydds- förordningen. Författningar som reglerar en verksamhet Enligt 16 § apoteksdatalagen ska den personuppgiftsansvarige se till att den registrerade får viss information om behandlingen av person- uppgifter. Bestämmelsen är en precisering av personuppgiftslagens informationsbestämmelser. I övrigt gäller alltså bestämmelserna om information i 23–27 §§ personuppgiftslagen. Utredningen har i avsnitt 9.15.1 redogjort för vilken informa- tion den personuppgiftsansvarige är skyldig att lämna till den regi- strerade enligt dataskyddsförordningen. Flera av de upplysningar som den personuppgiftsansvarige ska ta med i informationen enligt apoteksdatalagen motsvaras av informationsskyldigheten i data- skyddsförordningen. I apoteksdatalagen anges dock ett antal upp- lysningar som inte omfattas av dataskyddsförordningens reglering, nämligen upplysningar om den uppgiftsskyldighet som kan följa av lag eller förordning, de tystnadsplikts- och säkerhetsbestämmelser som gäller för uppgifterna och behandlingen, rätten till skadestånd samt vad som gäller i fråga om sökbegrepp. Informationsskyldig- heten enligt dataskyddsförordningen innebär å sin sida krav på att informationen ska innehålla vissa upplysningar som inte följer av apoteksdatalagens reglering. De bestämmelser i apoteksdatalagen som föreskriver att mer information ska lämnas än vad som krävs enligt dataskyddsförord- ningen kan, i enlighet med den bedömning utredningen har gjort i avsnitt 9.15.1, behållas med stöd av artikel 6.2 och 6.3 i data- skyddsförordningen. Att uppfylla de få tillkommande kraven på information till den registrerade som föreskrivs i dataskyddsför- ordningen kan inte anses medföra några särskilda olägenheter för den personuppgiftsansvarige. Det finns därför, som anges i av- snitt 9.15.2, inte anledning att överväga en begränsning av rätten att få denna information. Den personuppgiftsansvarige bör alltså vara skyldig att lämna såväl den information som följer av dataskyddsförordningen som den ytterligare information som ska lämnas enligt apoteksdata- lagen. Detta bör regleras genom att 16 § apoteksdatalagen kom- pletterar och hänvisar till dataskyddsförordningens reglering på det sätt som anges i avsnitt 9.15.1. Hänvisningen till apoteksdatalagens bestämmelse om skadestånd, som utredningen i avsnitt 10.5.10 föreslår ska upphävas, bör ersättas med en hänvisning till bestäm- melserna om skadestånd i dataskyddsförordningen och dataskydds- lagen. Hänvisningen till dataskyddsförordningen bör vara av dyna- Författningar som reglerar en verksamhet misk karaktär, dvs. avse vid var tid gällande lydelse av bestämmelsen, eftersom dataskyddsförordningen är direkt tillämplig. De krav i apoteksdatalagen som innebär att informationen ska innehålla sådana upplysningar som även följer av dataskyddsförordningens bestäm- melser om information bör tas bort. Även den generella regeln i 16 § första stycket apoteksdatalagen om att den som är personuppgiftsansvarig ska se till att den regi- strerade får information om behandlingen av personuppgifter kan tas bort, eftersom detta följer av dataskyddsförordningen och formu- leringen om att den personuppgiftsansvarige ska lämna viss angiven information utöver vad som framgår av dataskyddsförordningen. 10.6Apoteksdataförordningen (2009:624) Utredningens bedömning: Delegationsbestämmelserna i apoteks- dataförordningen kan behållas. I apoteksdataförordningen finns det bestämmelser som innebär att Datainspektionen får meddela vissa föreskrifter kopplade till apoteks- datalagen. Utredningen har i föregående avsnitt gjort bedömningen att de bestämmelser i apoteksdatalagen som föreskriftsrätten hänför sig till är förenliga med dataskyddsförordningen. Dataskyddsförord- ningen hindrar inte att föreskrifter meddelas inom dessa områden eller att föreskriftsrätten delegeras. Bestämmelserna kan därmed behållas. 10.7Lagen (2016:526) om behandling av personuppgifter i ärenden om licens för läkemedel Utredningens bedömning: Dataskyddsförordningen föranleder inte någon ändring av bestämmelsen om tillämpningsområdet i 1 § lagen om behandling av personuppgifter i ärenden om licens för läkemedel. Även bestämmelserna i 2 och 3 §§ kan behållas. Författningar som reglerar en verksamhet I avsnitt 9.5 har utredningen konstaterat att bestämmelser om tillämpningsområdet för registerförfattningarna inte påverkas av dataskyddsförordningen. I 1 § lagen om behandling av personupp- gifter i ärenden om licens för läkemedel finns det en bestämmelse om på vilken verksamhet och behandling av personuppgifter lagen ska tillämpas. I 223 och 3 §§ anges vissa definitioner som kompletterar bestämmelsen om lagens tillämpningsområde. Dessa bestämmelser kan alltså behållas. 10.7.2Förhållandet till annan dataskyddsreglering Utredningens förslag: Bestämmelsen i 4 § lagen om behandling av personuppgifter i ärenden om licens för läkemedel ska inne- hålla en upplysning om att lagen kompletterar dataskyddsförord- ningen. Det ska också upplysas om att dataskyddslagen gäller, om inte annat följer av lagen om behandling av personuppgifter i ärenden om licens för läkemedel eller föreskrifter som med- delats med stöd av den. Bestämmelsen om förhållandet till annan lagstiftning bör utformas på det sätt som framgår av utredningens överväganden i avsnitt 9.6. Utredningens bedömning: Bestämmelsen om krav på behand- ling i 5 § lagen om behandling av personuppgifter i ärenden om licens för läkemedel påverkas inte av dataskyddsförordningen. I 5 § lagen om behandling av personuppgifter i ärenden om licens för läkemedel anges att personuppgifter ska behandlas så att den enskildes personliga integritet respekteras och att personuppgifter ska hanteras och förvaras så att obehöriga inte får tillgång till dem. Bestämmelsen är ett uttryck för ett slags övergripande mål med 23 I Ds 2017:14 föreslås en ändring av 2 § lagen om behandling av personuppgifter i ärenden om licens för läkemedel träda i kraft . Författningar som reglerar en verksamhet regleringen och är därför i det närmaste att likna vid en bestäm- melse om lagstiftningens syfte. Bestämmelsen påminner om den bestämmelse som anger syftet i 1 kap. 2 § andra och tredje styckena patientdatalagen (2008:355). Som framgått i avsnitt 9.4 påverkas inte sådana bestämmelser av dataskyddsförordningen. 10.7.4Rätten att invända mot behandling av personuppgifter Utredningens bedömning: Bestämmelsen i 6 § lagen om be- handling av personuppgifter i ärenden om licens för läkemedel, som innebär att behandling av personuppgifter får utföras även om den registrerade motsätter sig det, kan och bör behållas. Behandling av personuppgifter som är tillåten enligt lagen om be- handling av personuppgifter i ärenden om licens för läkemedel får enligt 6 § utföras även om den enskilde motsätter sig behandlingen. Bestämmelsen begränsar den registrerades rätt att göra invänd- ningar mot behandling av personuppgifter enligt artikel 21.1 i data- skyddsförordningen när det gäller behandling som grundar sig på artikel 6.1 e (allmänt intresse och myndighetsutövning). Utred- ningen gör nedan i avsnitt 10.7.6 bedömningen att stora delar av den behandling av personuppgifter som sker enligt lagen stödjer sig på dessa grunder. Som anges i avsnitt 9.15.2 måste därför en be- dömning göras av om begränsningen av rätten att göra invänd- ningar uppfyller de krav som anges i artikel 23 i dataskyddsförord- ningen. Ett av kraven är att begränsningen måste utgöra en åtgärd i syfte att säkerställa något av de mål som anges i artikel 23.1 i dataskydds- förordningen. Målet i punkten e gäller andra av unionens eller en medlemsstats viktiga mål av generellt allmänt intresse, särskilt ett av unionens eller en medlemsstats viktiga ekonomiska eller finansi- ella intressen, däribland penning-, budget- eller skattefrågor, folk- hälsa och social trygghet. Som anges i avsnitt 9.15.2 reglerar register- författningar normalt behandling av personuppgifter som rör sådana viktiga mål av generellt allmänt intresse som avses i artikel 23.1 e i dataskyddsförordningen. I avsnitt 9.8.2 har utredningen konstate- rat att bedrivande av verksamhet inom bl.a. hälso- och sjukvård inklusive den administration dessa verksamheter kräver, är ett så- Författningar som reglerar en verksamhet dant allmänt intresse som avses i artikel 23.1 e i dataskyddsförord- ningen. Detsamma får anses gälla för den verksamhet som bedrivs med stöd av lagen om behandling av personuppgifter i ärenden om licens för läkemedel. Syftet med införandet av den kommunikations- lösning där sådana uppgifter som lagen ska tillämpas på behandlas var att hanteringen av personuppgifter vid ansökan om licens skulle hanteras på ett säkrare sätt än vad som gällde tidigare.24 För att till- godose en säker hantering av personuppgifterna krävs det alltså att de hanteras elektroniskt. Enligt utredningens bedömning får mot denna bakgrund begränsningen av den registrerades rätt att invända mot behandling av personuppgifter som utförs enligt lagen om be- handling av personuppgifter i ärenden om licens för läkemedel anses utgöra en nödvändig och proportionell åtgärd i ett demokra- tiskt samhälle i syfte att säkerställa ett viktigt mål av generellt all- mänt intresse. Begränsningen strider inte heller mot andemeningen i de grundläggande rättigheterna och friheterna. En begränsning av rätten att göra invändningar måste uppfylla kraven i artikel 23.2 i dataskyddsförordningen på bestämmelser som den lagstiftning som begränsar den registrerades rättigheter ska innehålla. Utredningen bedömer att bestämmelser med det innehåll som krävs, i den mån det är relevant, redan finns i lagen om behandling av personuppgifter i ärenden om licens för läke- medel. Det är sammantaget enligt utredningens bedömning möjligt att begränsa möjligheten att göra invändningar mot behandling av per- sonuppgifter på det sätt som regleras i 6 § lagen om behandling av personuppgifter i ärenden om licens för läkemedel. Utredningens bedömning: Bestämmelsen om personuppgifts- ansvar i 7 § lagen om behandling av personuppgifter i ärenden om licens för läkemedel kan och bör behållas. 2015/16:143 s. 58. Författningar som reglerar en verksamhet Som framgått av avsnitt 9.7 behöver bestämmelser om vem som är personuppgiftsansvarig inte ändras med anledning av dataskydds- förordningen. Bestämmelsen i 7 § lagen om behandling av person- uppgifter i ärenden om licens för läkemedel kan och bör därför behållas. 10.7.6Ändamål och grund för behandling av personuppgifter Utredningens förslag: Hänvisningen till personuppgiftslagens bestämmelse om finalitetsprincipen i 9 § lagen om behandling av personuppgifter i ärenden om licens för läkemedel tas bort. I stället hänvisas till artikel 5.1 b i dataskyddsförordningen som ger uttryck för finalitetsprincipen. Utredningens bedömning: Ändamålsbestämmelserna i 8 § lagen om behandling av personuppgifter i ärenden om licens för läke- medel uppfyller de krav som gäller enligt dataskyddsförordningen och kan och bör därmed behållas. I 8 § lagen om behandling av personuppgifter i ärenden om licens för läkemedel anges för vilka ändamål personuppgifter får behand- las inom lagens tillämpningsområde. Personuppgifter får behandlas om det är nödvändigt för att ska kunna fatta be- slut i ärenden om ansökan om licens och bevara uppgifter i sådana beslut. Personuppgifter får även behandlas om det är nödvändigt för hantering av uppgifter i ärenden om ansökan av licens när myndigheten förmedlar uppgifter mellan olika aktörer. Dessa ändamål, som framgår av punkterna 1, 3 och 4, grundar sig på utförandet av en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning enligt artikel 6.1 e i data- skyddsförordningen. Personuppgifter får utöver detta enligt punkt- erna 2 och 5 behandlas om det är nödvändigt för att Läkemedels- verket och ska kunna lämna ut de uppgifter som anges i 12–15 §§. De nämnda paragraferna reglerar skyldig- heter att lämna uppgifter och ändamålen grundar sig därmed på rättsliga förpliktelser enligt artikel 6.1 c i dataskyddsförordningen. Någon ytterligare analys av vilket stöd ändamålen har i data- skyddsförordningen krävs inte, som framgår av avsnitt 9.10.1. Författningar som reglerar en verksamhet krav på den rättsliga grunden för behandlingen som tillkommit i artikel 6.3 i dataskyddsförordningen får i enlighet med vad utred- ningen konstaterat i samma avsnitt anses uppfyllda utan vidare analys när det gäller ändamål som är reglerade . Behandling för de ändamål som anges i 8 § lagen om behandling av personuppgif- ter i ärenden om licens för läkemedel är alltså laglig enligt data- skyddsförordningen och de befintliga ändamålen kan och bör där- med behållas. I 9 § lagen om behandling av personuppgifter i ärenden om licens för läkemedel finns det en hänvisning till den s.k. finalitetsprinci- pen i 9 § första stycket d och andra stycket personuppgiftslagen. Det innebär att personuppgifter inte får behandlas för något ända- mål som är oförenligt med det för vilket uppgifterna samlades in samt att behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål inte ska anses som oförenlig med de ändamål för vilka uppgifterna samlades in. Som anges i avsnitt 9.10.3 kan registerförfattningar i förtydli- gande syfte även fortsättningsvis innehålla bestämmelser med inne- börden att behandling av personuppgifter för andra ändamål som inte strider mot finalitetsprincipen är tillåten. Bestämmelsen bör på grund av personuppgiftslagens upphörande utformas i enlighet med vad som anges i det avsnittet. Utredningens förslag: Lagen om behandling av personuppgifter i ärenden om licens för läkemedel kompletteras med en bestäm- melse som påminner om kravet enligt artikel 9.3 i dataskydds- förordningen på att känsliga personuppgifter endast får behand- las av eller under ansvar av den som omfattas av tystnadsplikt. Författningar som reglerar en verksamhet Utredningens bedömning: Behandling av känsliga personupp- gifter kan alltjämt ske med stöd av ändamålsbestämmelserna i lagen om behandling av personuppgifter i ärenden om licens för läkemedel. Lagen om behandling av personuppgifter i ärenden om licens för läkemedel innehåller inte bestämmelser som särskilt tar sikte på behandling av känsliga personuppgifter utan ändamålsbestämmel- serna tillåter nödvändig behandling av alla slags personuppgifter för de angivna ändamålen. Eftersom känsliga personuppgifter får be- handlas under samma förutsättningar som andra personuppgifter, påverkas inte regleringen av att det har tillkommit nya kategorier av känsliga personuppgifter. I avsnitt 9.11.4 redogör utredningen för vad som omfattas av undantaget från förbudet att behandla känsliga personuppgifter vid hälso- och sjukvård i artikel 9.2 h i dataskyddsförordningen. Utred- ningen gör, särskilt mot bakgrund av den omfattande uppräkningen av vad som innefattas i förvaltning av hälso- och sjukvårdstjänster i skäl 53 till dataskyddsförordningen, bedömningen att den verksam- het som omfattas av lagen om behandling av personuppgifter i ären- den om licens för läkemedel ryms inom undantaget för hälso- och sjukvård i artikel 9.2 h i dataskyddsförordningen. Regleringen är så- ledes förenlig med dataskyddsförordningen. Som anges i avsnitt 9.11.4 bör en bestämmelse som påminner om kravet på tystnadsplikt enligt artikel 9.3 i dataskyddsförord- ningen tas in i lagen om behandling av personuppgifter i ärenden om licens för läkemedel. Personalen vid och omfattas av bestämmelser om tystnadsplikt enligt bl.a. 25 kap. 1 § respektive 25 kap. 17 a § offentlighets- och sekretesslagen (2009:400). Författningar som reglerar en verksamhet Utredningens bedömning: Bestämmelserna i 10, 11, 16, 17 och 18 §§ lagen om behandling av personuppgifter i ärenden om licens för läkemedel om sökbegränsningar, direktåtkomst, behörighets- tilldelning och åtkomstkontroll kan behållas. I 10, 11, 16, 17 och 18 §§ lagen om behandling av personuppgifter i ärenden om licens för läkemedel finns det bestämmelser om sök- begränsningar, utlämnande på medium för automatiserad behand- ling, direktåtkomst, behörighetstilldelning och åtkomstkontroll. Som framgår av avsnitt 9.16.2 utgör detta olika former av säkerhets- åtgärder enligt dataskyddsförordningen. Krav på säkerhetsåtgärder för myndigheter behöver inte, i enlighet med vad utredningen konstaterat i avsnitt 9.16.2, ändras med anledning av att data- skyddsförordningen börjar tillämpas. Bestämmelserna får också anses vara sådana mer specifika, eller särskilda, bestämmelser som är tillåtna enligt artikel 6.2 och 6.3 i dataskyddsförordningen när det gäller reglering av behandling som grundar sig på en rättslig för- pliktelse eller arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning enligt artikel 6.1 c och e i dataskyddsförord- ningen. Bestämmelserna i 10, 11, 16, 17 och 18 §§ lagen om be- handling av personuppgifter i ärenden om licens för läkemedel kan därför behållas. Några av de nu berörda bestämmelserna innehåller en rätt för regeringen eller den myndighet som regeringen bestämmer att med- dela föreskrifter. Dataskyddsförordningen hindrar inte att före- skrifter meddelas inom dessa områden eller att föreskriftsrätten delegeras. Bemyndigandena i de nu berörda bestämmelserna kan därmed behållas. Utredningens bedömning: Bestämmelserna som reglerar upp- giftsskyldigheter i 12–15 §§ lagen om behandling av personupp- gifter i ärenden om licens för läkemedel kan behållas. Författningar som reglerar en verksamhet I 12–15 §§ lagen om behandling av personuppgifter i ärenden om licens för läkemedel finns det bestämmelser om skyldighet för och att lämna ut vissa upp- gifter till varandra, apotekspersonal och den som är behörig att för- ordna läkemedel. Som anges i avsnitt 9.21 är det utredningens be- dömning att bestämmelser om uppgiftsskyldighet är lika tillåtna enligt dataskyddsförordningen som enligt dataskyddsdirektivet. Bestämmelserna om uppgiftsskyldighet påverkas således inte av data- skyddsförordningen. Vid fullgörandet av uppgiftsskyldigheten måste dock den personuppgiftsansvarige iaktta den reglering om data- skydd som finns i bl.a. dataskyddsförordningen. Utredningens bedömning: Bestämmelsen om gallring i 19 § lagen om behandling av personuppgifter i ärenden om licens för läkemedel kan behållas. I avsnitt 9.17.2 har utredningen gjort bedömningen att bestämmel- ser i registerförfattningar om gallring och bevarande inte behöver ändras om den ursprungliga behandlingen grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning enligt artikel 6.1 c och e i dataskyddsförord- ningen. Bestämmelsen om gallring i 19 § lagen om behandling av personuppgifter i ärenden om licens för läkemedel kan därmed be- hållas. 10.7.11 Rättelse och skadestånd