prop · H503223 · 2018-04-10 00:00:00 — Enligt regeringens bedömning är den behandling av personuppgifter som omfattas av den föreslagna lagen om nationell läkemedelslista nöd- vändig av skäl som hör samman med verksamheter som anges i artikel 9.2 h i dataskyddsförordningen, särskilt förebyggande hälso- och sjuk- vård och yrkesmedicin, tillhandahållande av hälso- och sjukvård eller behandling samt förvaltning av hälso- och sjukvårdstjänster och deras system. Detta framgår tydligt av de föreslagna ändamålen för behand- lingen av personuppgifter i registret (se avsnitt 7.6). Förutsättningen att verksamheten utförs på grundval av unionsrätten eller medlemsstaternas nationella rätt eller enligt avtal med yrkesverk- samma på hälsoområdet har regeringen berört i propositionen Ny data- skyddslag (prop. 2017/18:105 avsnitt 10.5). Regeringen bedömer där att förutsättningen är uppfylld så snart verksamheten bedrivs enligt verk- 2017/18:223 samhetslagstiftningen på de aktuella områdena. Behandlingen av person- uppgifter i den nationella läkemedelslistan kommer att regleras i den föreslagna lagen om nationell läkemedelslista och de verksamheter där personuppgifter behandlas regleras också av bl.a. hälso- och sjukvårds- lagen (2017:30), lagen (2009:366) om handel med läkemedel och även förordningen (2013:1031) med instruktion för . Regeringen bedömer därför att förutsättningen är uppfylld. Vad gäller den tredje förutsättningen för undantaget i artikel 9.2 h, kravet på tystnadsplikt, konstaterar regeringen att bestämmelser om tyst- nadsplikt för personer verksamma inom hälso- och sjukvården finns i bl.a. 25 kap. OSL och i PSL. En upplysningsbestämmelse som påminner om kravet på tystnadsplikt Regeringen har i propositionen Dataskydd inom verksamhetsområde – en anpassning till EU:s dataskyddsförordning, prop. 2017/18:171 (avsnitt 6.6.4) föreslagit att bestämmelser som på- minner om kravet på tystnadsplikt i artikel 9.3 i dataskyddsförordningen bör tas in i registerförfattningar på hälso- och sjukvårdsområdet samt inom område i de författningar som tillåter behandling av känsliga personuppgifter med stöd av undantaget i artikel 9.2 h i data- skyddsförordningen, bland dem lagen om receptregister och lagen om läkemedelsförteckning. Motiveringen för detta är att göra den nationella regleringen tydligare. Av samma skäl bör en motsvarande bestämmelse tas in i den nya lagen om nationell läkemedelslista. Regeringens förslag: ska vara personuppgifts- ansvarig för den behandling av personuppgifter som myndigheten utför i den nationella läkemedelslistan. Promemorians förslag: Överensstämmer i sak med regeringens för- slag, men promemorians lagförslag är annorlunda utformat. Remissinstanserna: Ett fåtal remissinstanser har kommenterat för- slaget. och Svenska Läkare- sällskapet tillstyrker förslaget. Datainspektionen ifrågasätter att E-hälso- myndigheten ges i uppdrag att som personuppgiftsansvarig behandla uppgifter som inte behövs inom myndighetens egen verksamhet, utan för andra verksamheters behov. Promemorians förslag skapar enligt inspek- tionen en gränsdragningsproblematik och oklarhet i fråga om både ansvar och roller mellan , vårdgivare och apotek, men ytterst också i förhållande till de registrerade. Inspektionen saknar en utveckling av vad personuppgiftsansvaret innebär för E-hälsomyndig- heten, med utgångspunkt i de skyldigheter som följer av EU:s data- skyddsförordning, och en analys av vilka förutsättningar E-hälsomyn- digheten har för att uppfylla dessa skyldigheter. anser att personuppgiftsansvaret bör uttryckas på ett annat sätt i lagen eftersom den lydelse som föreslås i promemorian ger intryck av att är ansvarig för all behandling. Skälen för regeringens förslag Personuppgiftsansvarig är den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personupp- gifter. När ändamålen och medlen för behandlingen bestäms av natio- nella lagar och andra författningar eller av gemenskapsrätten kan den personuppgiftsansvarige eller de särskilda kriterierna för att utse denne anges i nationell rätt eller i gemenskapsrätten (artikel 4.7 i EU:s data- skyddsförordning). Datainspektionen har anfört att de uppgifter som ska behandlas i den nationella läkemedelslistan inte behövs inom E-hälso- myndighetens egen verksamhet, utan för andra verksamheters behov. I fråga om egen verksamhet bör myndighetens sär- skilda karaktär av infrastrukturmyndighet nämnas. Myndigheten ansvarar för de register som anges i lagen om receptregister och lagen om läkemedelsförteckning (1 och 2 §§ förordningen [2013:1031] med in- struktion för ). Denna ordning är en följd av att (tidigare ) inrättades för att den it-infrastruktur som är nödvändig för drift av apotek skulle förläggas hos en neutral aktör i samband med omregleringen av apoteksmarknaden (se Omreglering av apoteksmarknaden, prop. 2008/09:145 s. 293 f.). Myndigheten fungerar som en nödvändig länk mellan öppen- vårdsapoteken och de aktörer som är i behov av uppgifter som hänför sig till den verksamhet som öppenvårdsapoteken bedriver. Enligt Datainspektionens ovan redovisade synsätt skulle de ändamål för vilka får behandla personuppgifter enligt såväl lagen om receptregister som den nu föreslagna nya lagen inte vara ända- mål som behövs inom egen verksamhet. Reger- ingen delar dock inte detta synsätt. Skälet till att måste få behandla personuppgifter för de olika ändamål som anges i dessa lagar är behovet av att kunna erbjuda en konkurrensneutral samt ur integritetssynpunkt säker överföring av personuppgifter mellan olika aktörer. Denna överföring är grundläggande för öppenvårdsapotekens funktion (jfr Läkemedel för särskilda behov, prop. 2015/16:143 s. 64 f.). De skäl som anförts till att ge i uppdrag att vara personuppgiftsansvarig enligt lagen om receptregister och lagen om läke- medelsförteckning anser regeringen gäller även för personuppgifts- ansvaret i den nationella läkemedelslistan. Promemorians förslag att utse till personuppgiftsansvarig är således ändamåls- enligt. I förhållande till promemorians lagförslag anser regeringen att ett förtydligande bör göras i lagtexten om att är person- uppgiftsansvarig endast för den behandling som myndigheten utför. Personuppgiftsansvar för öppenvårdsapotek och hälso- och sjukvård Datainspektion har anfört att promemorians förslag om personuppgifts- ansvar medför en gränsdragningsproblematik och oklarhet mellan , vårdgivare och apotek, men ytterst också i för- hållande till de registrerade. Regeringen anser att det ska vara tydligt vem som är personuppgiftsansvarig för den behandling av personupp- gifter som sker vid direktåtkomst till uppgifter hos . 2017/18:223 Bestämmelser om personuppgiftsbehandling för öppenvårdsapotek och hälso- och sjukvården finns i apoteksdatalagen (2009:367) respektive patientdatalagen (2008:355). Av 8 § första stycket 1 apoteksdatalagen följer att personuppgifter får behandlas om det är nödvändigt bl.a. för expediering av förordnade läkemedel samt för åtgärder i anslutning till expedieringen. I 7 § anges att tillståndshavaren är personuppgiftsansvarig för den personuppgiftsbehandling som utförs på ett öppenvårdsapotek. Så snart personuppgifter på något sätt hanteras är det fråga om en behand- ling. När apotekspersonal genom direktåtkomst tar del av uppgifter som finns hos sker således en personuppgiftsbehandling. Den personuppgiftsbehandling som sker vid direktåtkomst till uppgifter hos i den nationella läkemedelslistan omfattas enligt regeringens bedömning redan av apoteksdatalagen. Att därutöver reglera personuppgiftsansvaret i den nu föreslagna lagen är därför inte nödvän- digt. En sådan reglering riskerar även att leda till otydligheter. Samma överväganden måste göras i fråga om regleringen av personuppgifts- ansvaret vid den personuppgiftsbehandling som sker vid hälso- och sjuk- vårdens direktåtkomst. Av 2 kap. 4 § första stycket 2 patientdatalagen följer att personuppgifter får behandlas inom hälso- och sjukvården om det behövs för administration som rör patienter och som syftar till att ge vård i enskilda fall eller som annars föranleds av vård i enskilda fall. Med administration avses såväl patientrelaterad ekonomiadministration som annan administration som behövs för eller föranleds av vård i enskil- da fall (se m.m., prop. 2007/08:126 s. 228). Enligt 2 kap. 6 § första stycket patientdatalagen är en vårdgivare personuppgifts- ansvarig för den behandling av personuppgifter som vårdgivaren utför. Den personuppgiftsbehandling som sker vid hälso- och sjukvårdens direktåtkomst till den nationella läkemedelslistan måste anses falla under patientdatalagen. Det saknas därför anledning att i den nya lagen särskilt reglera hälso- och sjukvårdens respektive öppenvårdsapotekens person- uppgiftsansvar för den personuppgiftsbehandling som sker vid direktåt- komst till den nationella läkemedelslistan (jfr prop. 2015/16:143 s. 67 f.). Den nationella läkemedelslistan ska, i likhet med dagens receptregister och läkemedelsförteckning, kunna användas för ett flertal ändamål hän- förliga till ett flertal aktörer. I avsnittet nedan redogörs först på övergri- pande nivå för möjligheter som kommer att finnas för behandling av personuppgifter i den nationella läkemedelslistan och även vilka begräns- ningar som ska gälla. Därefter följer en detaljerad genomgång av ända- målen i fyra underavsnitt: ändamål som rör registrering, ändamål som rör öppenvårdsapotek, ändamål som rör hälso- och sjukvård och övriga ändamål. Regeringens förslag: Personuppgifter ska få behandlas i den natio- nella läkemedelslistan om det är nödvändigt för de i lagen angivna ändamålen i fyra övergripande kategorier: ändamål som rör registre- ring av uppgifter i den nationella läkemedelslistan, ändamål som rör öppenvårdsapotek, ändamål som rör hälso- och sjukvården eller övriga Personuppgifter som behandlas i den nationella läkemedelslistan ska få behandlas även för andra ändamål, under förutsättning att uppgifter- na inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in (den s.k. finalitetsprincipen). Behandling av personuppgifter som inte är tillåten enligt lagen ska också få utföras, om den registrerade har lämnat ett uttryckligt sam- tycke till behandlingen. Promemorians förslag: Överensstämmer delvis med regeringens för- I promemorian föreslås en uttrycklig begränsning som innebär att personuppgifter i den nationella läkemedelslistan endast får behandlas för de angivna ändamålen. Remissinstanserna: Flera remissinstanser, däribland Kom- muner och Landsting (SKL) och , anser att finalitets- principen inte bör tas bort. Borttagande av finalitetsprincipen skulle enligt Kommuner och Landsting innebära en alltför rigid reglering i en föränderlig och komplex miljö. att myndigheten har ett behov av att få behandla personuppgifter för ändamål som inte ansetts vara oförenliga med de ursprungliga ända- målen och befarar att den uttömmande reglering som föreslagits i prome- kan komplicera en sådan personuppgiftsbehandling. vissa av stödregister som omfattas av lagen om receptregister behöver enligt myndigheten även kunna användas till- sammans med register som regleras av bestämmelser i dagens person- uppgiftslag, med stöd av finalitetsprincipen. kan tillämpas ser myndigheten att det får omfattande konsekvenser för dessa stödregister, som då behöver finnas i två versioner: ett register som hanterar behov i den nationella läkemedelslistan och ett annat som stöder En annan fråga som tar upp avser myndighetens förutsättningar för att förvalta sina register. I förvaltningen ingår felsök- ning, kvalitetssäkring och validering av uppgifter. inte specifikt angivna som ändamål i den föreslagna lagen, men myndig- heten utgår från att denna behandling av personuppgifter är tillåten. att förtydliga att så är fallet föreslår att ändamåls- bestämmelsen utökas med ett särskilt ändamål för tillsyn, kontroll, uppföljning och planering. betonar också att myndigheten behandlar personuppgifter med stöd av den registrerades samtycke för andra ända- mål än de som nämns i lagen om receptregister. detta dock inte längre vara tillåtet när lagen om nationell läkemedelslista har trätt i kraft. Även () och Dietister- nas riksförbund är negativt inställda till borttagandet av möjligheten för 2017/18:223 patienten att genom ett uttryckligt samtycke tillåta behandling av person- uppgifter för andra ändamål än de som anges i lagen. Dietisternas riks- förbund hänvisar bl.a. till dataskyddsförordningens krav på dataportabi- litet, dvs. rätten att få sina uppgifter utlämnade till annan part. Skälen för regeringens föreslag Allmänt om ändamål med personuppgiftsbehandlingen Behandling av personuppgifter i den nationella läkemedelslistan ska kunna ske för ett flertal ändamål i syfte att tillgodose det informations- behov som ett flertal utpekade aktörer har. beskrivs i avsnitt 4.1 och mer utförligt i behovsanalysen i departements- Den registrerades inställning till personuppgiftsbehand- lingen i registret redovisas i avsnitt 7.11. Vilka aktörer som kan få direkt- åtkomst till det nya registret redogörs för i avsnitt 7.15–7.18. Behandling av personuppgifter måste uppfylla de grundläggande prin- ciper som anges i artikel 5 i dataskyddsförordningen. bland annat att personuppgifter bara får samlas in för berättigade ända- mål som inte är alltför allmänt hållna samt att mängden uppgifter ska begränsas till vad som är nödvändigt för ändamålen. tetshänseende är det önskvärt att registerändamål uttrycks på ett så tyd- ligt sätt som möjligt inklusive de eventuella begränsningar som gäller. Detta är också utgångspunkten för den nationella läkemedelslistan. Regeringen föreslår därför att de utförliga ändamål som finns i lagen om receptregister och lagen om läkemedelsförteckning med vissa språkliga förtydliganden flyttas över till den nya lagen samt att endast ett ytter- ligare ändamål, som avser fullmakter, läggs till (se avsnitt 7.6.2). Behandling av personuppgifter enligt den så kallade finalitetsprincipen gäller olika ordningar för receptregistret och läkemedelsförteck- Enligt lagen om receptregister 6 och 7 §§ får personuppgifter i registret behandlas för vissa i lagen angivna ändamål, men behandling får även ske för andra ändamål enligt den så kallade finalitetsprincipen, som finns reglerad i 9 § personuppgiftslagen (1998:204), (jfr artikel 5.1 b Finalitetsprincipen innebär att personuppgifter, som endast får samlas in för särskilda, uttryckligt angivna och berätti- gade ändamål även får behandlas för ändamål som inte är oförenliga med det ursprungliga ändamål för vilket uppgifterna samlades in. medelsförteckningen gäller att personuppgifter i förteckningen endast får behandlas för de ändamål som anges i lagen (3 § lagen om I promemorian föreslogs att den nationella läkemedelslistan skulle få samma ordning för sina ändamål som läkemedelsförteckningen. mentationen byggde på den långa tid som receptregistret och läke- medelsförteckningen funnits, vilket innebär att det får anses finnas en etablerad kännedom om vilka ändamål som uppgifter behöver behandlas för i det nya registret. Ett antal remissinstanser anför dock att finalitets- principen inte ska tas bort när registren nu slås ihop. och Landsting menar t.ex. att en uttömmande lista vore en alltför rigid reglering i en föränderlig och komplex miljö. liknande resonemang och framhåller att borttagandet av finalitetsprin- cipen skulle komplicera myndighetens användning av vissa stödregister. Anledningen till att använder sig av stödregister är att de innehåller apoteks-, förskrivar- och produkt- och artikelinfor- mation som behövs för att kvalitetssäkra och komplettera information i dagens receptregister. Ett liknande behov kommer att finnas när recept- registret och läkemedelsförteckningen slås ihop till den nationella läke- medelslistan. Vissa stödregister ingår i receptregistret och regleras därför av lagen om receptregister. Ett exempel på ett sådant register är , som är en kopia av för hälso- och sjuk- vårdspersonal (HoSp). Registret omfattar all hälso- och sjukvårdsperso- nal som har svensk legitimation och de uppgifter som lagras i registret ligger till stöd för och möjliggör receptexpediering på samtliga öppen- vårdsapotek i . Kontroll mot detta register behövs för att apoteken på ett säkert sätt ska kunna expediera de läkemedel som patienter har fått förskrivna, t.ex. genom att kontrollera om en förskrivarkod på ett recept finns i . För andra register gäller att de inte ingår i receptregistret. Så är fallet med register för sortiments- och leveransinforma- tion avseende dosdispenserade läkemedel (SOL), som myndigheten ska ansvara för enligt 2 § 10 i förordningen med instruktion för E-hälso- myndigheten. Bakgrunden till att myndigheten behöver föra ett sådant register som komplement till det är att recept- formatet för förskrivning av läkemedel till s.k. dospatienter till skillnad från tidigare inte innehåller leveransinformation, t.ex. uppgifter om dos- apotekens stopptider eller leveransadresser. När en patient lämnar sam- tycke till att få dosdispenserade läkemedel (se även avsnitt 7.11) läggs information upp både i receptdepån och i SOL. För att vården på ett korrekt sätt ska kunna göra beställningar och för att leveransen av dos- dispenserade läkemedel ska bli riktig behöver kunna validera uppgifterna mellan dessa två register. Om finalitetsprincipen inte kan tillämpas, ser att det får omfattande konsekvenser för dessa stödregister, som då behöver finnas i två versioner: ett register som hanterar behov i den nationella läkemedelslistan och ett annat som stöder vissa andra register. Detta skapar en ökad komplexitet i förvaltningen samt en sårbarhet i kvalitets- säkringen. Register som behöver finnas i två versioner genererar också merkostnader. Regeringen konstaterar att förutsättningarna för att uttömmande ange de ändamål för vilka personuppgifterna kommer att få behandlas i den nationella läkemedelslistan är desamma som förutsättningarna var för att uttömmande ange ändamål för receptregistret när lagen om receptregister ändrades i samband med omregleringen av apoteksmarknaden. I propo- sitionen Omreglering av apoteksmarknaden resonerade regeringen då att det inte var möjligt att överblicka vilka konsekvenser en sådan reglering skulle få (prop. 2008/09:145 s. 314). Regeringen föreslår därför att finali- tetsprincipen ska gälla vid personuppgiftsbehandling enligt lagen om nationell läkemedelslista. Eftersom de angivna ändamålen för behandling av personuppgifter i den nationella läkemedelslistan är sådana som avses i artikel 6.1 c eller e i EU:s dataskyddsförordning får en sådan bestäm- melse anses tillåten såsom en precisering enligt artikel 6.2 och 6.3 i för- 2017/18:223 ordningen (se propositionen Dataskydd inom verksamhetsområde – en anpassning till EU:s dataskyddsförordning, prop. 2017/18:171, avsnitt 6.5.2 och 6.5.3). Regeringen bedömer också att en sådan personuppgiftsbehandling som möjliggör felsökning samt validering och komplettering av uppgifter i den nationella läkemedelslistan, och som kräver tekniska kopplingar mellan den nationella läkemedelslistan och de stödregister som E-hälso- myndigheten förvaltar, inte är oförenlig med de ändamål för vilket upp- gifterna samlades in. Denna personuppgiftsbehandling ska dock endast vara tillåten om den bidrar till att annan personuppgiftsbehandling som är nödvändig för de särskilda och uttryckliga ändamål som är angivna i lagen kan ske på ett mer korrekt och patientsäkert sätt. Behandling av personuppgifter med stöd av den registrerades samtycke I promemorian föreslås att en personuppgiftsbehandling som inte är tillå- ten enligt lagen om nationell läkemedelslista inte får utföras även om den registrerade lämnat samtycke till behandlingen. Ett antal remissinstanser, däribland och (), ifrågasätter lämpligheten av denna åtstramning jämfört med dagens reglering i receptregisterlagen. Av 4 § andra stycket lagen om recept- register framgår att behandling av personuppgifter som inte är tillåten enligt den lagen ändå får utföras om den enskilde har lämnat ett uttryck- ligt samtycke till behandlingen. I den ovan nämnda propositionen Omreglering av apoteksmarknaden konstaterade regeringen att en sådan bestämmelse finns i patientdatalagen och att resonemanget bakom den även är tillämpligt när det gäller behandlingen av personuppgifter i receptregisterlagen (prop. 2008/09:145 s. 308 f.). Regeringen menade att skrivningen innebär ett klargörande och kan sägas vara ett uttryck för att en enskilds uttryckliga samtycke till en viss personuppgiftsbehandling ska respekteras (jfr prop. 2007/08:126 s. 227). Samtycke kan vara en rättslig grund för behandling av personuppgifter enligt dataskyddsförordningen, förutsatt bl.a. att samtycket är frivilligt (se avsnitt 7.3). när en ny bedömning behöver göras av frågan om behandling av personuppgifter som inte är tillåten enligt den föreslagna lagen om nationell läkemedelslista ändå ska få utföras om den enskilde har lämnat ett uttryckligt samtycke till behandlingen, konstaterar reger- ingen att den registrerades samtycke till ett eller flera specifika ändamål kan utgöra grund för att behandlingen ska kunna betraktas som laglig enligt artiklarna 6.1 a och 9.2 a i dataskyddsförordningen. För behandling av känsliga personuppgifter med stöd av samtycke krävs att den registre- rade uttryckligen har lämnat sitt samtycke till behandlingen av dessa personuppgifter för ett eller flera specifika ändamål, utom då unions- rätten eller medlemsstaternas nationella rätt föreskriver att förbudet mot behandling av känsliga personuppgifter inte kan upphävas av den regi- strerade. Av skäl 8 i dataskyddsförordningen framgår att i den utsträck- ning det är nödvändigt för samstämmighet och för att göra de nationella bestämmelserna begripliga för de personer som de tillämpas på, kan delar av dataskyddsförordningen införlivas i nationell rätt. Som nämnts i det tidigare avsnittet om rättslig grund (7.3) bör person- uppgiftsansvariga kunna visa att den registrerade har lämnat sitt sam- tycke till behandlingen och att den registrerade åtminstone bör känna till Prop. 2017/18:223 den personuppgiftsansvariges identitet och syftet med den behandling för vilken personuppgifterna är avsedda. Ett samtycke bör inte betraktas som frivilligt om den registrerade inte har någon genuin eller fri valmöjlighet eller inte utan problem kan vägra eller ta tillbaka sitt samtycke. Den personuppgiftsansvarige bör därför göra en noggrann kontroll för att se om samtycket faktiskt är tillräckligt frivilligt, dvs. i varje specifikt fall bör en bedömning göras av om det råder betydande ojämlikhet mellan den registrerade och den personuppgiftsansvarige, särskilt om den personuppgiftsansvarige är en offentlig myndighet och det därför är osannolikt att samtycket har lämnats frivilligt när det gäller alla förhål- landen som den särskilda situationen omfattar. Det kan dock även i dessa fall finnas situationer när den registrerade har en fri valmöjlighet eller utan problem kan vägra eller ta tillbaka sitt samtycke (jfr avsnitt 6.5.2 i propositionen Dataskydd inom verksamhetsom- råde, prop. 2017/18:171, samt slutet av skäl 42 i dataskyddsförord- ningen). De ändamål som kan tänkas behandlas med stöd av bestäm- melsen kan t.ex. vara behandling av personuppgifter för mindre avgöran- de ändamål för patienten, som t.ex. aviserings- och påminnelsetjänster, eller behandling av uppgifter om förskrivare, som inte torde ha samma ojämlika förhållande till den personuppgiftsansvarige som patienter. Regeringen gör bedömningen att regleringen är förenlig med dataskydds- förordningens bestämmelser.