sou · H5B366 · 2017-08-31 00:00:00 — Behandlingen av personuppgifter i registret måste dock vara förenlig med dataskyddsförordningens Författningar som reglerar ett register eller en informationssamling Definitionen av begreppet landsting föranleder inte några överväganden i förhållande till dataskyddsförordningen. 11.1.3Förhållandet till annan dataskyddsreglering Utredningens förslag: I 3 § lagen om receptregister ska det finnas en upplysning om att lagen kompletterar dataskyddsförordningen. Det ska också upplysas om att dataskyddslagen gäller, om inte annat följer av lagen om receptregister eller föreskrifter som med- delats med stöd av den. Bestämmelsen om förhållandet till annan lagstiftning bör utformas på det sätt som framgår av utredningens överväganden i avsnitt 9.6. 11.1.4Den enskildes inställning till behandling av personuppgifter Utredningens bedömning: Bestämmelsen i 4 § lagen om recept- register om den enskildes inställning till behandlingen av person- uppgifter kan och bör behållas. Rätten att invända mot behandling av personuppgifter Behandling av personuppgifter som är tillåten enligt lagen om receptregister får enligt 4 § första stycket lagen om receptregister utföras även om den enskilde motsätter sig behandlingen. Bestämmelsen begränsar den registrerades rätt att göra invänd- ningar mot behandling av personuppgifter enligt artikel 21.1 i data- skyddsförordningen när det gäller behandling som grundar sig på artikel 6.1 e i dataskyddsförordningen (allmänt intresse och myn- dighetsutövning). En stor del av den behandling av personuppgifter som sker enligt lagen om receptregister stödjer sig, som anges nedan i avsnitt 11.1.6, på denna grund. För att bestämmelsen ska kunna behållas måste, enligt vad som angetts i avsnitt 9.15.2, be- gränsningen av den registrerades rätt att göra invändningar uppfylla de krav som anges i artikel 23 i dataskyddsförordningen. Författningar som reglerar ett register eller en informationssamling Ett av kraven innebär att begränsningen ska utgöra en åtgärd som syftar till att säkerställa något av de mål som anges i arti- kel 23.1 i dataskyddsförordningen. Målet i punkten e gäller andra av unionens eller en medlemsstats viktiga mål av generellt allmänt intresse, särskilt ett av unionens eller en medlemsstats viktiga eko- nomiska eller finansiella intressen, däribland penning-, budget- eller skattefrågor, folkhälsa och social trygghet. Som anges i avsnitt 9.15.2 reglerar registerförfattningar normalt behandling av personuppgif- ter som rör sådana viktiga mål av generellt allmänt intresse som avses i artikel 23.1 e i dataskyddsförordningen. I avsnitt 9.8.2 anges att bedrivande av sådan verksamhet som anges i internationella rättighetsstadgor utgör allmänna intressen. Den verksamhet som bedrivs av har samband med sådan verksam- het. Enligt utredningens bedömning är förandet av receptregistret ett sådant generellt allmänt intresse som avses i artikel 23.1 e i dataskyddsförordningen. Begränsningen får också anses utgöra en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa ett generellt mål av allmänt intresse. Begräns- ningen strider inte heller mot andemeningen i de grundläggande rättigheterna och friheterna. Det är alltså enligt utredningens bedömning möjligt att begränsa den registrerades rätt att göra invändningar mot behandlingen. Be- gränsningen måste dock uppfylla kraven i artikel 23.2 i dataskydds- förordningen som anger vilket innehåll lagstiftning som begränsar den registrerades rättigheter ska ha. Bestämmelser med detta inne- håll finns redan i lagen om receptregister, i den mån det är relevant. Samtycke som grund för behandlingen Behandling av personuppgifter som inte är tillåten enligt lagen om receptregister får, enligt 4 § andra stycket, ändå utföras, om den en- skilde har lämnat ett uttryckligt samtycke till behandlingen. I enlig- het med vad som anges i avsnitt 9.10.2 kan och bör den bestäm- melsen behållas. Författningar som reglerar ett register eller en informationssamling Utredningens bedömning: Bestämmelsen om personuppgifts- ansvar i 5 § lagen om receptregister kan och bör behållas. Som framgått av avsnitt 9.7 behöver bestämmelser om vem som är personuppgiftsansvarig inte ändras med anledning av dataskydds- förordningen. Bestämmelsen i 5 § lagen om receptregister kan och bör därför behållas. 11.1.6Ändamål och grund för behandling av personuppgifter Utredningens förslag: Hänvisningen till personuppgiftslagens bestämmelse om finalitetsprincipen i 7 § lagen om receptregister tas bort. I stället hänvisas till artikel 5.1 b i dataskyddsförord- ningen som ger uttryck för finalitetsprincipen. Utredningens bedömning: Ändamålsbestämmelserna i 6 § lagen om receptregister uppfyller de krav som gäller enligt dataskydds- förordningen och kan och bör behållas. Även krav på samtycke och begränsningar i vissa fall av vilka personuppgifter som får behandlas kan behållas. Personuppgifter får behandlas när det är nödvändigt för de ändamål som anges i 6 § lagen om receptregister. huvudsak- liga ändamål är registrering och expediering av e-recept, expediering av pappersrecept samt registrering av underlag för tillämpningen av bestämmelserna om läkemedelsförmåner. Registret används vidare för att hantera recept som avser flera uttag. Flera av ändamålen är även kopplade till sådana uppgiftsskyldigheter som regleras i 12–18 a § lagen om receptregister. Ändamålen i lagen om recept- register grundar sig på artikel 6.1 c och e i dataskyddsförordningen (rättslig förpliktelse och arbetsuppgift av allmänt intresse). Någon ytterligare analys av vilket stöd ändamålen har i data- skyddsförordningen krävs inte i enlighet med vad som anges i av- snitt 9.10.1. De krav på den rättsliga grunden för behandlingen som tillkommit i artikel 6.3 i dataskyddsförordningen får i enlighet med vad utredningen konstaterat i samma avsnitt anses uppfyllda utan Författningar som reglerar ett register eller en informationssamling vidare analys när det gäller ändamål som är reglerade . Behandling för de ändamål som anges i 6 §1 lagen om receptregister är alltså laglig enligt dataskyddsförordningen och de befintliga ända- målen kan och bör därmed behållas. Krav på samtycke och begränsningar av vilka personuppgifter som får behandlas Vid behandling för några av de i 6 § lagen om receptregister angivna ändamålen krävs den registrerades samtycke. En sådan begränsning är tillåten för myndigheter. Eftersom ändamålen grundar sig på arti- kel 6.1 c eller e i dataskyddsförordningen (rättslig förpliktelse och arbetsuppgift av allmänt intresse), får bestämmelserna, i enlighet med vad som anges i avsnitt 9.10.2, anses tillåtna även för enskilda såsom preciseringar enligt artikel 6.2 och 6.3 i dataskyddsförord- ningen. Bestämmelserna om krav på samtycke är därmed förenliga med dataskyddsförordningens reglering och kan behållas. I 6 § andra och tredje styckena lagen om receptregister finns det en bestämmelse som begränsar vilka uppgifter som får behandlas för vissa av de angivna ändamålen. Att på detta sätt begränsa vilka personuppgifter som får behandlas är förenligt med principen om uppgiftsminimering enligt artikel 5.1 c i dataskyddsförordningen som anger att uppgifterna ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. Över- väganden kring vilka uppgifter som behöver behandlas av E-hälso- myndigheten har gjorts vid tidigare lagstiftningsarbeten och utred- ningen har att utgå från att de angivna uppgifterna behövs för de ändamål för vilka uppgifterna behandlas. Medlemsstaterna tillåts som framgått ovan att införa preciseringar i den nationella lagstift- ningen enligt artikel 6.2 och 6.3 i dataskyddsförordningen eller då begränsningarna bara avser en myndighets möjligheter till behand- ling av personuppgifter. Bestämmelserna om vilka uppgifter som får behandlas för vilka ändamål behöver därmed inte ändras. 1 I SOU 2017:15 och Ds 2017:14 föreslås vissa ändringar av 6 § lagen om receptregister träda i kraft . Författningar som reglerar ett register eller en informationssamling Enligt 7 § lagen om receptregister gäller den s.k. finalitetsprincipen i 9 § första stycket d och andra stycket personuppgiftslagen vid be- handling som sker enligt lagen om receptregister. Det innebär att personuppgifter inte får behandlas för något ändamål som är oför- enligt med det för vilket uppgifterna samlades in samt att behand- ling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål inte ska anses som oförenlig med de ändamål för vilka upp- gifterna samlades in. Som anges i avsnitt 9.10.3 kan registerförfattningar i förtydli- gande syfte även fortsättningsvis innehålla bestämmelser som inne- bär att behandling av personuppgifter för andra ändamål som inte strider mot finalitetsprincipen är tillåten. Bestämmelsen bör på grund av personuppgiftslagens upphörande utformas i enlighet med vad som anges i det avsnittet. 11.1.7Personuppgifter som får behandlas Utredningens bedömning: Bestämmelsen i 8 § lagen om recept- register om vilka personuppgifter receptregistret får innehålla kan och bör behållas. Begränsning av vilka personuppgifter som får behandlas I 8 § lagen om receptregister anges vilka personuppgifter recept- registret får innehålla. En specificering av vilka personuppgifter som får behandlas är i linje med principen om uppgiftsminimering enligt artikel 5.1 c i data- skyddsförordningen som anger att uppgifterna ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. Utredningen utgår från de överväganden kring vilka uppgifter som behöver behandlas som har gjorts vid tidigare lagstiftningsarbeten. Medlemsstaterna tillåts som redan nämnts att införa sådana preciseringar i den nationella lagstiftningen enligt artikel 6.2 och 6.3 i dataskyddsförordningen och därför att de bara begränsar en myndighets möjligheter till behandling av person- uppgifter. Bestämmelsen bör därmed inte ändras. Författningar som reglerar ett register eller en informationssamling De personuppgifter som får behandla enligt 8 § lagen om receptregister omfattar uppgifter som rör hälsa, dvs. För att känsliga personuppgifter ska få behandlas i receptregistret måste behandlingen rymmas inom något av undantagen i artikel 9.2 i dataskyddsförordningen. Utredningen har i avsnitt 9.11.4 redo- gjort för vad som omfattas av undantaget från förbudet att behandla känsliga personuppgifter vid hälso- och sjukvård i artikel 9.2 h i dataskyddsförordningen. Som framgår av det ovan nämnda av- snittet har det i förarbetena ansetts osäkert om hälso- och sjuk- vårdsundantaget i 18 § personuppgiftslagen ger tillräckligt stöd för den behandling som avses i lagen om receptregister.2 Förandet av receptregistret får enligt utredningens bedömning i vart fall anses nödvändigt av hänsyn till ett viktigt allmänt intresse. Behandling av känsliga personuppgifter är därmed tillåten med stöd av undantaget i artikel i dataskyddsförordningen i enlighet med vad som anges i avsnitt 9.11.3. Regleringen bedöms således vara förenlig med dataskyddsförordningen och bör behållas. Som anges i avsnitt 9.11.6 har några nya kategorier av känsliga personuppgifter tillkommit i dataskyddsförordningen, nämligen gene- tiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person och uppgifter om sexuell läggning. Eftersom känsliga personuppgifter får behandlas i receptregistret under samma förut- sättningar som andra personuppgifter, påverkar det inte regleringen att nya kategorier av personuppgifter kommer att vara att bedöma som känsliga enligt dataskyddsförordningen. 2008/09:145 s. 305. Författningar som reglerar ett register eller en informationssamling Utredningens bedömning: Bestämmelserna i 9–11 §§, 14 § tredje stycket, 22 och 23 §§ lagen om receptregister om sökbegräns- ningar, utlämnande på medium för automatiserad behandling, direktåtkomst, krav på kryptering, behörighetstilldelning och åtkomstkontroll kan behållas. I 9–11 §§, 14 § tredje stycket, 22 och 23 §§ lagen om receptregister finns det bestämmelser om sökbegränsningar, utlämnande på medium för automatiserad behandling, direktåtkomst, krav på kryptering, behörighetstilldelning och åtkomstkontroll. Som framgått av av- snitt 9.16.2 utgör detta säkerhetsåtgärder enligt dataskyddsförord- ningen. Krav på säkerhetsåtgärder för myndigheter behöver inte, i enlighet med vad utredningen konstaterat i avsnitt 9.16.2, ändras med anledning av att dataskyddsförordningen börjar tillämpas. Be- stämmelserna får också anses vara sådana preciseringar som tillåts enligt artikel 6.2 och 6.3 i dataskyddsförordningen när det gäller reglering av behandling som grundar sig på en rättslig förpliktelse eller arbetsuppgift av allmänt intresse eller som ett led i myndighets- utövning enligt artikel 6.1 c och e i dataskyddsförordningen. Bestäm- melserna i 9–11 §§, 14 § tredje stycket, 22 och 23 §§ lagen om recept- register kan därför behållas. Vissa av de nu berörda bestämmelserna ger regeringen eller den myndighet som regeringen bestämmer rätt att meddela föreskrifter. Dataskyddsförordningen hindrar inte att föreskrifter meddelas inom dessa områden eller att föreskriftsrätten delegeras. Någon ändring behöver därför inte göras när det gäller dessa bemyndiganden. Utredningens bedömning: Bestämmelserna som reglerar upp- giftsskyldighet i 12–18 a §§ lagen om receptregister kan behållas. Författningar som reglerar ett register eller en informationssamling I 12–18 a §§3 lagen om receptregister finns det bestämmelser om skyldighet för att lämna uppgifter till andra aktörer. Som anges i avsnitt 9.21 är det utredningens bedömning att bestämmelser om uppgiftsskyldighet är lika tillåtna enligt data- skyddsförordningen som enligt dataskyddsdirektivet. Bestämmel- serna om uppgiftsskyldighet påverkas således inte av dataskydds- förordningen. Vid fullgörandet av uppgiftsskyldigheten måste dock den personuppgiftsansvarige iaktta den reglering om dataskydd som finns i bl.a. dataskyddsförordningen. Utredningens bedömning: Bestämmelsen om gallring i 19 § lagen om receptregister kan behållas. I avsnitt 9.17.2 har utredningen gjort bedömningen att bestämmel- ser i registerförfattningar om gallring och bevarande inte behöver ändras om den ursprungliga behandlingen grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning enligt artikel 6.1 c och e i dataskydds- förordningen. Bestämmelsen om gallring i 19 § lagen om recept- register kan därmed behållas. 11.1.11 Information som ska lämnas självmant Utredningens förslag: Krav på information till registrerade i 20 § lagen om receptregister som motsvarar krav som finns i dataskyddsförordningen tas bort. Krav som innebär att fler upp- lysningar ska lämnas än vad som följer av dataskyddsförordningen behålls. Hänvisningen till bestämmelsen om skadestånd i lagen om receptregister ersätts med en hänvisning till dataskydds- förordningen och dataskyddslagen. Bestämmelserna kompletteras med en upplysning om att information även ska lämnas enligt dataskyddsförordningen. 3 I SOU 2017:15 föreslås vissa ändringar av 18 och 18 a §§ lagen om receptregister träda i kraft . Författningar som reglerar ett register eller en informationssamling I 20 § lagen om receptregister finns det en bestämmelse som anger vilken information den personuppgiftsansvarige ska lämna till den registrerade. Bestämmelsen utgör en precisering av personuppgifts- lagens bestämmelser om information. I övrigt gäller alltså person- uppgiftslagens bestämmelser i 23–27 §§ vid behandling av person- uppgifter som sker enligt lagen om receptregister. Hur dataskyddsförordningens reglering av den personuppgifts- ansvariges skyldighet att lämna information till den registrerade ser ut framgår av avsnitt 9.15.1. Informationsskyldigheten i dataskydds- förordningen omfattar flera av de upplysningar som informationen enligt lagen om receptregister ska innehålla. I 20 § lagen om recept- register anges dock även vissa upplysningar som inte ingår i informationsskyldigheten enligt dataskyddsförordningen, nämligen upplysning om de tystnadsplikt- och säkerhetsbestämmelser som gäller för registret, rätten till skadestånd samt de begränsningar som gäller i fråga om sökbegrepp. Det finns också vissa upplysningar som omfattas endast av antingen artikel 13, som gäller när upp- gifterna har samlats in från den registrerade, eller artikel 14 i data- skyddsförordningen, som gäller när uppgifterna har samlats in från någon annan än den registrerade, nämligen vilka uppgifter registret får innehålla och att registreringen, med undantag för vissa ända- mål, inte är frivillig. Enligt dataskyddsförordningen ska informa- tionen dessutom omfatta vissa upplysningar som inte framgår av lagen om receptregister. Bestämmelserna i lagen om receptregister som innebär att mer information än vad som krävs enligt dataskyddsförordningens reglering ska lämnas kan, i enlighet med den bedömning utred- ningen har gjort i avsnitt 9.15.1, behållas med stöd av artikel 6.2 och 6.3 i dataskyddsförordningen. Det kan inte anses innebära några särskilda svårigheter för den personuppgiftsansvarige att uppfylla de få nya kraven på information till den registrerade som föreskrivs i dataskyddsförordningen. Det finns därför, enligt den bedömningen utredningen gjort i avsnitt 9.15.2, inte skäl att överväga en begräns- ning av den registrerades rätt till information. Den personuppgiftsansvarige bör alltså lämna såväl den infor- mation som följer av dataskyddsförordningen som den information som ska lämnas enligt lagen om receptregister. Bestämmelsen i 20 § lagen om receptregister bör därför, på det sätt som anges i av- snitt 9.15.1, komplettera och hänvisa till reglerna om information i Författningar som reglerar ett register eller en informationssamling Hänvisningen till bestämmelsen om skade- stånd i lagen om receptregister, som utredningen i avsnitt 11.1.13 föreslår ska upphävas, bör ersättas med en hänvisning till bestäm- melserna om skadestånd i dataskyddsförordningen och dataskydds- lagen. Hänvisningen till dataskyddsförordningen bör vara av dynamisk karaktär, dvs. avse vid var tid gällande lydelse av bestämmelsen, eftersom dataskyddsförordningen är direkt tillämplig. De krav som innebär att informationen ska innehålla sådana upplysningar som även följer av dataskyddsförordningens bestämmelser om informa- tion bör tas bort. Även det som anges i 20 § första stycket om att den som är personuppgiftsansvarig ska se till att den registrerade får information om behandlingen av personuppgifter kan tas bort, eftersom detta följer av dataskyddsförordningen och den föreslagna formuleringen om att den personuppgiftsansvarige ska lämna viss ytterligare information utöver vad som framgår av dataskydds- förordningen. Utredningens bedömning: Bestämmelsen i 21 § lagen om recept- register som upplyser om bestämmelser i offentlighets- och sekretesslagen (2009:400) påverkas inte av dataskyddsförord- ningen. Bestämmelsen i 21 § lagen om receptregister innehåller en upplys- ning om att det finns bestämmelser om begränsningar i rätten att lämna ut uppgifter i offentlighets- och sekretesslagen (2009:400). Eftersom bestämmelsen endast upplyser om annan lagstiftning, behöver någon bedömning mot dataskyddsförordningens bestäm- melser inte göras. Författningar som reglerar ett register eller en informationssamling 11.1.13 Rättelse och skadestånd Utredningens förslag: Bestämmelsen i 24 § lagen om recept- register som hänvisar till personuppgiftslagens bestämmelser om rättelse och skadestånd upphävs. Bestämmelsen i 24 § lagen om receptregister hänvisar till person- uppgiftslagens bestämmelser om rättelse och skadestånd. Den be- stämmelsen bör, i enlighet med vad utredningen kommit fram till i avsnitt 9.15.1 och 9.19.1, upphävas. Utredningens bedömning: Bestämmelsen om avgifter i 25 § lagen om receptregister kan och bör behållas. får enligt 25 § lagen om receptregister ta ut avgifter av öppenvårdsapoteken för att täcka kostnaderna för att föra receptregistret. Regeringen, eller den myndighet som reger- ingen bestämmer, får meddela ytterligare föreskrifter om avgift- erna. Dataskyddsförordningen reglerar inte frågan om avgifter för registerföring. Sådana bestämmelser utgör inte dataskyddsbestäm- melser och påverkas därför inte av dataskyddsförordningen. Data- skyddsförordningen hindrar inte att föreskrifter meddelas på detta område och inte heller att föreskriftsrätten delegeras. Det bemyn- digande som ges i 25 § lagen om receptregister behöver därför inte ändras. Utredningens bedömning: Bestämmelsen om föreskriftsrätt för regeringen eller den myndighet regeringen bestämmer i 26 § lagen om receptregister kan och bör behållas. Författningar som reglerar ett register eller en informationssamling Regeringen, eller den myndighet som regeringen bestämmer, får enligt 26 § lagen om receptregister meddela föreskrifter om koder för förskrivningsorsak enligt 8 §. Dataskyddsförordningen hindrar inte att föreskrifter meddelas på detta område och inte heller att föreskriftsrätten delegeras. Bestämmelsen kan därmed behållas. 11.2Förordningen (2009:625) om receptregister Utredningens bedömning: Delegationsbestämmelserna i förord- ningen om receptregister kan behållas. I förordningen om receptregister finns det bestämmelser som ger Datainspektionen, och viss före- skriftsrätt. De bestämmelser i lagen om receptregister som före- skriftsrätten utgår från har bedömts vara förenliga med dataskydds- förordningen. Dataskyddsförordningen hindrar inte att föreskrifts- rätten delegeras. Bestämmelserna i förordningen om receptregister kan därmed behållas. 11.3Lagen (2005:258) om läkemedelsförteckning I Ds 2016:44 föreslås en ny lag om nationell läkemedelslista som ska ersätta lagen (1996:1156) om receptregister och lagen (2005:258) om läkemedelsförteckning. Förslaget syftar till att skapa en samlad bild av en patients läkemedelsbehandling. Lagen föreslås träda i kraft . Tills vidare gäller dock lagen om läkemedelsförteckning. Utredningen gör därför en analys av lagens bestämmelser i detta avsnitt. Författningar som reglerar ett register eller en informationssamling 11.3.2Skyldighet att föra register Utredningens bedömning: Dataskyddsförordningen föranleder inte någon ändring av bestämmelsen om förande av läkemedels- förteckning i 1 § första stycket lagen om läkemedelsförteckning. I 1 § första stycket lagen om läkemedelsförteckning finns det en bestämmelse som anger att ska föra ett auto- matiserat register över köp av förskrivna läkemedel (läkemedels- förteckning) Bestämmelsen föreskriver en rättslig förpliktelse. Den innehåller också en förklaring av vad som avses med begreppet köp. Dataskyddsförordningen påverkar inte möjligheten att ålägga någon att föra visst register. Behandlingen av personuppgifter i registret måste dock vara förenlig med dataskyddsförordningens bestämmelser. Definitionen av begreppet köp föranleder inte några överväganden i förhållande till dataskyddsförordningen. Utredningens bedömning: Dataskyddsförordningen föranleder inte någon ändring av bestämmelsen om personuppgiftsansvar i 1 § andra stycket lagen om läkemedelsförteckning. Som framgått av avsnitt 9.7 behöver bestämmelser om personupp- giftsansvar inte ändras med anledning av dataskyddsförordningen. Bestämmelsen i 1 § andra stycket lagen om läkemedelsförteckning kan och bör därför behållas. 11.3.4Förhållandet till annan dataskyddsreglering Utredningens förslag: Bestämmelsen i 2 § lagen om läkemedels- förteckning ska innehålla en upplysning om att lagen komplette- rar dataskyddsförordningen. Det ska också upplysas om att dataskyddslagen gäller, om inte annat följer av lagen om läkemedelsförteckning eller före- skrifter som meddelats med stöd av den. Författningar som reglerar ett register eller en informationssamling