prop · H503223 · 2018-04-10 00:00:00 — Inspektionens tillsyn innebär bl.a. en granskning av att hälso- och sjukvårdsverksamhet upp- fyller krav och mål enligt lagar och andra föreskrifter samt beslut som har meddelats med stöd av sådana föreskrifter (7 kap. 3 § PSL). Det ankommer på Inspektionen att vidta de åtgärder som är lämpliga med anledning av information. Lagrådet förordar att bestämmelsen preciseras på så sätt att det fram- går när information ska lämnas. Regeringen anser att en sådan preci- sering inte behövs. Den föreslagna utformningen av bestämmelsen ger Prop. 2017/18:223 utrymme att anpassa hur och när information läm- nas till Inspektionen för vård och omsorg utifrån det som har kommit fram vid en kontroll. Kontroller som inte visar något att anmärka på kan t.ex. redovisas samlat och periodiskt medan information bör lämnas sär- skilt om det t.ex. kommer fram omständigheter av vikt för Inspektionens tillsyn i en kontroll. skyldighet i fråga om öppenvårdsapotek, dvs. att informera om det som kommit fram vid en kontroll av det elektroniska systemet för direktåtkomst och om en tillståndshavare inte lämnar vissa uppgifter bör även fortsättningsvis föreskrivas i lagen om handel med läkemedel. Även om det skulle bli mer lättöverskådligt om båda typer av uppgiftsskyldighet återfanns i samma lag anser reger- ingen att skyldighet att lämna uppgifter till Läke- medelsverket i stor utsträckning hänger ihop med apotekstillståndet, vilket gör det mindre lämpligt att lyfta ut dessa regler från lagen om han- del med läkemedel. Den föreslagna upplysningsbestämmelsen i lagen om nationell läkemedelslista underlättar överskådligheten av bestämmelserna från perspektiv. 7.21E-hälsomyndighetens skyldighet att informera den registrerade Regeringens förslag: Utöver det som framgår av EU:s dataskydds- förordning ska den som är personuppgiftsansvarig enligt lagen om nationell läkemedelslista lämna information till den registrerade om vilka uppgifter registret får innehålla, tystnadsplikts- och säkerhetsbestämmelser, rätten enligt EU:s dataskyddsförordning och lagen med komplette- rande bestämmelser till EU:s dataskyddsförordning till skadestånd vid behandling av personuppgifter i strid med lagen om nationell utlämnande av uppgifter på medium för automatiserad behandling, direktåtkomst, samtycke och spärrning, behandling av uppgifter om patienter som får dosdispenserade att registreringen inte är frivillig med de undantag som framgår av lagen om nationell läkemedelslista. Promemorians förslag: Promemorian föreslår ingen reglering av skyldighet att informera den registrerade. Remissinstanserna: Ett antal remissinstanser har lämnat synpunkter om information som ska lämnas till de registrerade. landsting och saknar uppgifter om vem som ansvarar för att informera patienten om registreringen och möjlig- heten att spärra uppgifter. ombudsmän () anser att det behövs en närmare analys av hur det ska säkerställas att den enskilde får tillräcklig information om vad uppgiftsbehandlingen avser för att kunna 2017/18:223 avge ett reellt, individuellt, särskilt och otvetydigt samtycke. Läkeme- delsverket menar att det sannolikt är nödvändigt med en större informa- tionsinsats mot patienter i samband med införandet av den nationella läkemedelslistan om att uppgifter kan spärras, samt fortlöpande tillgång till information via t.ex. vården och apoteken samt material och elek- tronisk information från etc. läns lands- ting och läns landsting ser det som viktigt att inte enbart E-hälso- myndigheten och dess hemsida är informationskanal kring spärrning. Motsvarande information och möjlighet behöver finnas via 1177/Vård- guiden som annars är den primära kontaktytan för vårdrelaterade ären- Skälen för regeringens förslag: I 20 § lagen om receptregister och 10 § lagen om läkemedelsförteckning finns bestämmelser om att E-hälso- myndigheten som personuppgiftsansvarig ska se till att den registrerade Dessa bestämmelser preciserar bestämmelserna om in- formation i personuppgiftslagen (1998:204). Som redogjorts för i avsnitt 5.1 kommer EU:s dataskyddsförordning att börja tillämpas I dataskyddsförordningen, artiklarna 13 och 14, finns bestämmel- ser om information som den personuppgiftsansvarige ska lämna till den Bestämmelser om att den registrerade har rätt till tillgång till viss information på begäran finns i artikel 15 i dataskyddsförordningen. flera av de upplysningar som anges i 20 § lagen om receptregister res- pektive 10 § lagen om läkemedelsförteckning. om receptregister och lagen om läkemedelsförteckning innebär dock krav på att lämna vissa upplysningar som inte omfattas av skyldigheten i data- Regeringen har därför i propositionen Dataskydd inom verksamhetsområde – en anpassning till EU:s dataskyddsförordning (prop. 2017/18:171) föreslagit att 20 § lagen om receptregister och 10 § lagen om läkemedelsförteckning anpassas till dataskyddsförordningen genom att bestämmelserna kompletteras med upplysningar om att information även ska lämnas enligt dataskyddsför- ordningen, krav på information till registrerade som motsvarar krav som finns i dataskyddsförordningen tas bort och krav som innebär att fler upplysningar ska lämnas än vad som följer av dataskyddsförordningen Vad gäller 20 § lagen om receptregister föreslås också i proposi- tionen att hänvisningen till bestämmelsen om skadestånd ersätts med en hänvisning till dataskyddsförordningen och dataskyddslagen. När den nationella läkemedelslistan nu föreslås ersätta både recept- registret och läkemedelsförteckningen anser regeringen att de registrera- de ska ha samma tillgång till information som lämnas självmant från Bestämmelserna i 20 § lagen om receptregister och 10 § lagen om läkemedelsförteckning är i stora drag likalydande. föreslagna regleringen i lagen om nationell läkemedelslista är därför främst en sammanslagning av dessa bestämmelser med utgångspunkt i de bedömningar som regeringen gjort i propositionen Dataskydd inom verksamhetsområde – en anpassning till EU:s data- skyddsförordning (prop. 2017/18:171). Regler om samtycke och spärrning är centrala i lagen om nationell Flera remissinstanser har uppgett att det är svårt att för- stå de föreslagna reglerna om detta, se avsnitt 7.11, 7.13 Regeringen anser därför att det ska framgå direkt av bestämmelsen om Prop. 2017/18:223 skyldighet att informera den registrerade att myn- digheten ska informera om det som gäller avseende samtycke och spärrning. Eftersom den föreslagna regleringen av direktåtkomst (se avsnitt 7.17.1) innebär att viss direktåtkomst till uppgifter om patienter som får dosdispenserade läkemedel får ske utan samtycke anser regeringen att den information som ska lämnas självmant av sär- skilt ska avse det som gäller i fråga om behandling av uppgifter om patienter som får dosdispenserade läkemedel. Lagrådet anser att regleringen bör övervägas ytterligare mot bakgrund av att det inte framgår när eller hur information ska lämnas. Regeringen instämmer i denna synpunkt, men anser att frågan lämpligen löses i tillämpningen. Att reglera i lag hur och när information ska lämnas bedöms inte som lämpligt. Det kan också noteras att regeringen har föreslagit snarlika bestämmelser i flera andra lagar i propositionen Dataskydd inom verksamhetsområde – en anpass- ning till EU:s dataskyddsförordning (prop. 2017/18:171). Om det fram- över visar sig i tillämpningen att ytterligare reglering behövs, har reger- ingen möjlighet att återkomma i frågan. Vad gäller i läns synpunkter om vem som ansvarar för att informera patienten och JO:s synpunkt att det behövs en närmare analys av hur det ska säkerställas att den enskilde får tillräcklig information om vad uppgiftsbehandlingen avser, anser regeringen att det tydliggörs genom förslaget. Regeringen instämmer i läns landstings och läns landstings synpunkter om att E-hälsomyndig- hetens webbplats inte bör vara den enda kanalen för information om spärrning. Regeringens förslag: ska bestämma villkor för tilldelning av behörighet till den som arbetar hos myndigheten för åtkomst till den nationella läkemedelslistan. Behörigheten ska begrän- sas till det som behövs för att den som arbetar hos E-hälsomyndig- heten ska kunna fullgöra sina arbetsuppgifter där. ska se till att åtkomst till uppgifter i den natio- nella läkemedelslistan dokumenteras så att åtkomsten kan kontrolle- ras. Myndigheten ska systematiskt och återkommande kontrollera om någon obehörigen tar del av uppgifter i registret. Direktåtkomst till uppgifter i den nationella läkemedelslistan får ges först sedan försäkrat sig om att behörighets- och säkerhetsfrågorna är lösta på ett sätt som är tillfredsställande ur integritetssynpunkt samt behörigheten hos den som ska få direkt- åtkomst är begränsad till att endast gälla sådana uppgifter som denne har rätt att få ut enligt denna lag. Promemorians förslag: Överensstämmer i huvudsak med regeringens förslag men bl.a. är promemorians lagförslag delvis annorlunda utformat. 2017/18:223 Remissinstanserna: Flera remissinstanser, bl.a. , Myndigheten för vård- och omsorgsanalys, , Kommuner och Landsting, och , anser att det behövs ett förtydligande kring ansvarsför- hållandena rörande behörighet, åtkomstkontroll och tillsyn. Myndigheten för vård- och omsorgsanalys framför att hälso- och sjuk- vårdens svårigheter med att leva upp till den aktuella lagstiftningen om behörighetsstyrning och åtkomstkontroll måste lösas för att den natio- nella läkemedelslistan ska kunna bli verklighet. framför att myndigheten behöver få tillräckliga personella och ekono- miska resurser för att kunna efterleva de krav på behörighet och åtkomst- kontroll som ställs i lagen. Myndigheten efterfrågar klargöranden kring vad som menas med ”skyndsamma kontroller när åtkomst ges till spärra- de uppgifter”, hur myndigheten ska kunna stänga av system och aktörer som inte uppfyller de uppsatta kraven samt vem som ska ansvara för att hämta in den registrerades samtycke och vilka formkrav som gäller för denna hantering. anser att det inte är godtagbart att förslaget saknar ett koncept för att hantera personer med skyddade personuppgif- ter. Myndigheten för samhällsskydd och beredskap framför att den stora mängd skyddsvärd information som den nationella läkemedelslistan kommer att innehålla kräver ett starkt skydd grundat på ett systematiskt informationssäkerhetsarbete. Myndigheten anser att förslagen i prome- inte bör genomföras utan att föregås av en analys av vilka infor- mations- och cybersäkerhetskrav som måste ställas. anser att det förefaller oklart hur olika direktåtkomster för olika uppgifter med och utan samtycke i de berörda organisationerna ska hanteras och loggas, vilket komplicerar tillsynen. Hur man t.ex. ska kunna avgöra när en direktåtkomst skett utan samtycke för att kontrollera eventuell förskrivning av narkotiska substanser, i förhållande till direktåtkomst för andra ändamål som kräver samtycke. Skälen för regeringens förslag: En förutsättning för att integritets- känsliga personuppgifter ska kunna behandlas i den nationella läkeme- delslistan är att det finns ett godtagbart skydd mot obehörigt utnyttjande av uppgifterna. Det är viktigt att den registrerade kan känna trygghet i att det endast förekommer laglig behandling av uppgifterna i registret och att skyddet för den personliga integriteten därmed upprätthålls. föreslås bli personuppgiftsansvarig för ett nytt personregister som bl.a. innefattar känsliga uppgifter om personers hälsa. Det ankommer på myndigheten att ha kunskap om och tillämpa gällande bestämmelser om personuppgiftsbehandling. Med anledning av EU:s dataskyddsförordning måste myndigheten se till att dess organisation anpassas till de nya kraven som gäller . Den personuppgiftsansvarige ska bl.a. vidta lämpliga tekniska och orga- nisatoriska åtgärder för att skydda de personuppgifter som behandlas i registret och säkerställa att endast personuppgifter som är nödvändiga för varje specifikt ändamål med behandlingen behandlas (artikel 24 och 25 EU:s dataskyddsförordning). Datainspektionen har utfärdat allmänna råd om säkerhet för personuppgifter. I sammanhanget kan även Datainspek- tionens samrådsskrivelse om läkemedelsförteckningen (dnr 719–2005) nämnas. För att personuppgifterna i den nationella läkemedelslistan ska skyddas krävs att bestämmer villkor för tilldelning av behö- righet för åtkomst till uppgifterna. bör ta fram ruti- ner för behörighetstilldelning för de personalkategorier inom myndig- heten som kommer ifråga för åtkomst till uppgifter i registret. E-hälso- myndigheten bör i detta arbete samråda med Datainspektionen. Åtkoms- ten till uppgifterna i registret ska vara begränsad till det som behövs för att den som arbetar på myndigheten ska kunna fullgöra sina arbetsuppgif- ter. ska se till att endast den på myndigheten som tilldelats en dokumenterad behörighet får ges direktåtkomst till registret. Lagrådet ifrågasätter att bestämmelserna om behörighet och kontroll enligt de föreslagna bestämmelserna i 8 kap. 1 § behöver finnas i lagform och anser att åliggandena följer av att är personupp- giftsansvarig för den behandling som myndigheten utför. Regeringen för- står den synpunkten, men som regeringen inledningsvis angett kommer det nya registret att innefatta en stor mängd känsliga uppgifter om perso- ners hälsa. Mot denna bakgrund anser regeringen det lämpligt att ha bestämmelserna i lag. Bestämmelser av liknande slag finns också i dagens lagstiftning. Regeringen föreslår också att ska se till att åt- komsten till uppgifterna i nationella läkemedelslistan ska dokumenteras samt systematiskt och återkommande kontrolleras. Det ankommer på myndigheten att ta fram en säkerhetslösning som skyddar uppgifterna i registret mot otillåten behandling. Myndigheten bör identifiera vilka ris- ker för obehörig användning som finns och vilka åtgärder som ska vidtas för att dessa risker ska minimeras eller om möjligt upphöra. Det ska exempelvis finnas en säker autentisering av den aktör som vill få åtkomst till registret. För att åtkomsten ska kunna kontrolleras bör det sparas loggar som visar så detaljerad information som behövs för att kunna utre- da eventuell obehörig åtkomst eller annan behandling av uppgifterna i registret. Lagrådet har förordat att bestämmelsen om kontroll utformas så att den träffar situationen då någon obehörigen tar del av personuppgifter i stället för att som i lagrådsremissens förslag träffa situationen då någon kommer åt uppgifter obehörigen. Utifrån att myndigheten som person- uppgiftsansvarig redan har ansvar för att åtkomst till uppgifter inte sker i strid med befintlig dataskyddsreglering, dvs. att åtkomst ska vara behö- rig, anser regeringen att det finns skäl att i denna del följa Lagrådets för- slag. ska således systematiskt och återkommande kontrollera om någon obehörigen tar del av uppgifter i registret. Utöver personal får även vissa i lagen angivna personalkategorier inom hälso- och sjukvården samt på öppenvårdsapo- tek ges åtkomst till uppgifter i den nationella läkemedelslistan. Bestäm- melser om behörighetstilldelning och åtkomstkontroll inom hälso- och sjukvården finns i 4 kap. 2 och 3 §§ och 6 kap. 7 § patientdatalagen (2008:355) samt 4 kap. föreskrifter och allmänna råd (HSLF-FS 2016:40) om journalföring och behandling av personuppgifter i hälso- och sjukvården. Motsvarande bestämmelser för öppenvårdsapo- teken finns i 12 a och 12 b §§ apoteksdatalagen (2009:367). Det är den personuppgiftsansvarige för den som bereder sig tillgång till den natio- nella läkemedelslista som ansvarar för behörighetstilldelning och syste- matiska och återkommande kontroller. 2017/18:223 Som ett särskilt skydd mot obehörigt utnyttjande av uppgifterna vid direktåtkomst föreslår regeringen att innan direktåtkomst till uppgifter i den nationella läkemedelslistan ges ska ha försäkrat sig om att behörighets- och säkerhetsfrågorna är lösta på ett sätt som är tillfredsställande ur integritetssynpunkt samt behörigheten hos den som ska få direktåtkomst är begränsad till att endast gälla sådana uppgifter som denne har rätt att få ut enligt lagen om nationell läkemedelslista. bör ta fram rutiner för vilka krav som ska ställas på de aktörer som kommer i fråga för direktåtkomst för att myndigheten ska anse att den är försäkrad om att behörighet är begränsad på ett godtagbart sätt. Det ankommer på myndigheten att säkerställa att risken för obehörig åtkomst och obefogad spridning minimeras. bör till- sammans med de aktörer som kommer ifråga för direktåtkomst utarbeta rutiner för dokumentation om direktåtkomst skett med eller utan pa- tientens samtycke, om den registrerade saknat förmåga att samtycka eller om det varit fråga om direktåtkomst i nödfall. Dokumentationen kan bestå i skälen till att samtycke inte kunnat inhämtas samt om lämpligt på vilket sätt patientens inställning till en sådan behandling så långt som möjligt klarlagts. Vidare bör rutiner utarbetas för hantering av samtycke och återkallelse av samtycke samt spärrning av uppgifter och återkallelse av sådan spärrning. En förutsättning för att uppgifterna i den nationella läkemedelslistan ska kunna ha ett godtagbart integritetsskydd är att be- rörda aktörer uppfyller de krav på behörighetstilldelning och åtkomst- kontroll som ställs i redan befintlig lagstiftning samt i den nya lagen. Även i fråga om patienters och ombuds direktåtkomst till uppgifter i den nationella läkemedelslistan ska ha försäkrat sig om att säkerhetsfrågorna är lösta på ett sätt som är tillfredsställande ur integritetssynpunkt samt behörigheten hos den som ska få direktåtkomst är begränsad till att endast gälla sådana uppgifter som denne har rätt att få ut enligt denna lag. En möjlig åtgärd för att förhindra obehörig direkt- åtkomst kan exempelvis vara att ställer upp krav på legitimering genom så kallad e-legitimation för de individer som önskar elektronisk direktåtkomst till uppgifter om sig själva. Det ankommer dock på som personuppgiftsansvarig att närmare bestämma vilka krav som ska vara uppfyllda för att patienten ska få direktåtkomst till uppgifter om sig själv. Det är av särskild vikt att patienter med skyddade personuppgifter ska kunna hanteras i det nya registret. Skyddade personuppgifter är en sam- lingsrubrik som använder för de olika skyddsåtgärderna sekretessmarkering, kvarskrivning och fingerade personuppgifter. hade 14 503 personer sekretessmarkering eller kvar- skrivning. Motsvarande siffra för var 13 109, och för var siffran 12 153 (se Hur står det till med den personliga integriteten? – En kartläggning av , SOU 2016:41, s. 298). Det är av stor vikt att dessa uppgifter hanteras på rätt sätt eftersom ett röjande kan få mycket allvarliga konsekvenser för dessa personer. Således måste samt de aktörer som bereds direktåtkomst till registret, dvs. hälso- och sjukvården samt öppenvårdsapoteken, ha en godtagbar säkerhetshantering av skyddade personuppgifter. 7.23Krav på hälso- och sjukvården och öppenvårdsapotek Regeringens förslag: Den som bedriver verksamhet inom hälso- och sjukvården som innefattar ordination och förskrivning av läkemedel eller andra varor ska 1.ha ett elektroniskt system som gör det möjligt att få direktåtkomst till uppgifter i den nationella läkemedelslistan och 2.vid en elektronisk förskrivning lämna de uppgifter till den natio- nella läkemedelslistan som anges i 3 kap. 8 §. Det ska också införas en upplysningsbestämmelse i lagen om natio- nell läkemedelslista som påminner om de krav som ställs i lagen om handel med läkemedel på att den som har tillstånd att bedriva öppen- vårdsapotek ska ha ett elektroniskt system som gör det möjligt att få direktåtkomst till uppgifter hos och vid expedie- ring av en förskrivning lämna vissa uppgifter till . Promemorians förslag: Överensstämmer delvis med regeringens för- slag. I promemorian föreslås att samtliga hälso- och sjukvårdsverk- samheter ska ha en anslutning till den nationella läkemedelslistan. Remissinstanserna: En majoritet av de ungefär 20 remissinstanser som yttrar sig om anpassningar som hälso- och sjukvården och öppen- vårdsapotek kommer att behöva göra i sina system tillstyrker förslaget. anser att det är avgörande att få ett mandat som gör det möjligt att ställa krav på i vilket format informationen i läkemedels- listan ska anges samt vilka källor och kodverk som ska användas. Myn- digheten föreslår också att det ska vara ett lagstadgat krav att det god- kända elektroniska systemet ska användas samt att uppgifterna lämnas momentant. () menar att kravet på vårdgivare om obligato- risk anslutning till systemet är självklart. Kravet stämmer enligt societe- ten överens med krav på hanteringen på öppenvårdsapotek. läns landsting, läns landsting, och flera andra landsting ställer sig bakom målet att så stor del av all förskrivning som möjligt ska ske elektroniskt. Landstingen betonar dock att rätten att förskriva ett läkemedel ska kopplas till den enskildes legitimation, inte till tillgången till elektroniska system. och kommun är exempel på kommuner som anser att det är bra att användning av den nationella läkemedelslistan blir obligatorisk. kommun påpekar däremot att olika vårdgivare har olika förutsättningar och olika nytta av listan, vilket bör tas i beaktande vid en eventuell anslutning. SPF Seniorerna tillstyrker förslaget och menar att samtliga aktörer som kan komma åt information i den natio- nella läkemedelslistan ska kunna lita på att de uppgifter som nämns i lagen om nationell läkemedelslista är fullständiga. Även () tillstyrker att det inte är upp till enskild ordinatör att besluta vilken information som görs tillgänglig via den nationella läkemedelslistan samt att den som bedriver verksamhet inom hälso- och sjukvården ska ha system för tillgång till registret. ställer sig bakom de krav som framförs 2017/18:223 avseende tillgång till ett elektroniskt system och att hälso- och sjukvår- dens aktörer lämnar de uppgifter som anges i lag till E-hälsomyndig- heten. () menar att det är positivt att den nationella läkemedelslistan ska vara obligatorisk, men påpekar att kommer att krävas ökad kapacitet och effektivisering hos E-hälsomyn- digheten för att inte skapa ett trångt segment vid godkännande av anslut- ningar till registret. har inte några synpunkter i sak, men kommenterar kopplingen till anmälningsförfarandet enligt det s.k. tjänstedirektivet (2006/123/EG). konstaterar att det i promemorian finns förslag på krav på hälso- och sjukvården och öppenvårdsapotek, vilka i och för sig skulle kunna betraktas som krav på tjänsteutövning. Enligt kollegiet ska detta dock vägas mot artikel 2.2 (f) i tjänstedirek- tivet, som undantar hälso- och sjukvårdstjänster från dess tillämpnings- område. Krav som ställs på apoteksverksamheten avseende läkemedels- frågor omfattas enligt kollegiets bedömning av hälso- och sjukvårds- undantaget, men räckvidden för detta undantag är enligt kollegiet inte helt klar. Ett flertal remissinstanser kommenterar specifikt vikten av att det nya registret integreras med vårdens system. anser att det bör förtydligas att elektroniska system som beskrivs i promemorians bestäm- melse om krav på hälso- och sjukvården bör gälla journalsystem som journalför ordinations- och förskrivningsinformation. Inera menar också att man vid en realisering av den nationella läkemedelslistan behöver återanvända befintliga tekniska lösningar såsom den nationella tjänste- plattformen och tjänstekontrakt för att skapa en så kostnadseffektiv lösning som möjligt. och () anför att det är en grundförutsättning att den nationella läkemedelslistan fullt ut blir integrerad med journalsystemen så att dokumentationen endast behöver göras en gång och överföringen av uppgifterna till registret sker automatiskt. Privattandläkarna konstaterar att förslaget innebär att journalsystemen inom tandvården måste förändras och anpassas, vilket kräver en tydlig dialog med journalsystemsleverantörerna.