prop · H503223 · 2018-04-10 00:00:00 — Huvudregeln enligt artikel 5.1 e i EU:s dataskyddsförordning är att per- sonuppgifter inte får lagras i en form som möjliggör identifiering av den registrerade än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas. Denna utgångspunkt får anses vara ett uttryck för resultatet av avvägningen mellan integritetsskydds- intresset och det informationsbehov som uppgifterna ska tillgodose. Personuppgifter ska således tas bort så snart de ändamål för vilka de bevaras har uppfyllts. Artikel 6.2 och 6.3 i EU:s dataskyddsförordning tillåter nationella bestämmelser om lagringstid när behandlingen grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning enligt artikel 6.1 c eller e i EU:s dataskyddsförordning. Bestämmelser om bevarandetid i andra lagar Bestämmelser om bevarandetider finns bl.a. i nuvarande lag om recept- register, lagen om läkemedelsförteckning, apoteksdatalagen och patient- datalagen. Enligt 19 § lagen om receptregister ska uppgifter som kan hänföras till en person tas bort ur registret under efter den under vilken de registrerades. Uppgifter som avser registrering av underlaget för tillämpningen av bestämmelserna om läkemedelsförmåner vid köp av läkemedel m.m. samt registrering av recept och blanketter för flera uttag, elektroniska recept och dosrecept ska tas bort först under den femtonde månaden efter den under vilken de registrerades. Avseende ändamålet att debitera för läkemedelskostnader ansåg regeringen att uppgifterna bör gallras när debiteringen har skett och en ändamålsenlig tid för detta angavs vara . Avseende användningen av den fri- villiga servicen om högkostnadsskydd ansåg regeringen att uppgifterna bör gallras när ettårsperioden med någon marginal har passerat och angav 15 månader som en sådan tid (se Läkemedelsförmåner och läke- medelsförsörjning m.m., prop. 1996/97:27 s. 93). När lagen om recept- register ändrades för att tillåta registrering av dosrecept bestämdes att gallringstiden för dessa uppgifter skulle vara densamma som för regi- strering av underlaget för tillämpningen av bestämmelserna om hög- kostnadsskydd, dvs. 15 månader (se Vissa hälso- och sjukvårdsfrågor, prop. 1999/2000:56 s. 22). Samma bevarandetid valdes även för uppgif- ter om recept för flera uttag samt för elektroniska recept för att möjlig- göra för öppenvårdsapoteken att elektroniskt spara recept under hela receptets giltighetstid (se Ökad patientsäkerhet på läkemedelsområdet, prop. 2004/05:70 s. 48 och prop. 2008/09:145 s. 312 f.). Bevarandetiden har tolkats som att receptuppgifterna ska tas bort 15 månader efter sista registrering kopplat till ett visst recept. I praktiken innebär det att recep- ten tas bort 15 månader efter den sista expediering som registreras i 2017/18:223 receptregistret, dvs. maximalt 27 månader efter det att receptet först regi- strerades i receptregistret. Det kan ifrågasättas om en sådan praxis är förenlig med ordalydelsen i lagen. Det skulle kunna hävdas att tidsfristen i stället ska börja löpa när receptet inkom i elektronisk form från för- skrivaren (se Pris, tillgång och service – fortsatt utveckling av läke- medels- och apoteksmarknaden, SOU 2012:75 s. 729 f.). Enligt 9 § lagen om läkemedelsförteckning ska uppgifter tas bort ur förteckningen under den femtonde månaden efter den månad de registre- rades. Regeringen motiverade gallringstidens längd med att förteckning- ens viktigaste funktion är att förmedla uppgifter om patientens aktuella läkemedelssituation och att någon mer fördjupad läkemedelshistorik inte är avsedd att belysas. Risk för över- och underförskrivning och för inter- aktioner angavs vara förknippade i huvudsak med patientens situation vid förskrivningstillfället och att en relativt kort lagringstid av uppgifter i förteckningen förhindrar att denna blir av alltför stort omfång. Recepten är tidsbegränsade till . Uthämtade läkemedel kan intas efter utgången av . En gallringsfrist räknat från registreringen liknande den som finns i receptregisterlagen skulle kunna vara lämplig (se prop. 2004/05:70 s. 35 f.). Enligt 3 kap. 17 § patientdatalagen ska en journalhandling bevaras efter det att den sista uppgiften fördes in i handlingen. I patientjournallagen (1985:562), som upphävdes , gällde som huvudregel för journalhandlingar en bevarandetid efter det att den sista uppgiften fördes in i handlingen. I apoteksdatalagen finns ingen bestämd bevarandetid angiven. Person- uppgifter ska tas bort när de inte längre behövs för behandling enligt de ändamål som anges i lagen (14 § apoteksdatalagen). Personuppgifter får enligt apoteksdatalagen behandlas för bl.a. redovisning av uppgifter till Inspektionen för vård och omsorg och för deras tillsyn samt rapportering till förskrivare om utbyte av läkemedel enligt 21 § fjärde stycket lagen om läkemedelsförmåner m.m. (8 § första stycket 6 och 7 apoteksdatalagen). I 10 kap. 1 § föreskrifter (HSLF-FS 2016:34) om förordnande och utlämnande av läkemedel och teknisk sprit och i 17 § förordningen (2002:687) om läkemedelsförmåner finns bestämmelser som förpliktigar öppenvårdsapoteken att under vissa där angivna tider spara verifikationer av utlämnande av läkemedel. Det ankommer således på öppenvårdsapoteken att regelmässigt ta ställning till om de registrerade uppgifterna behöver sparas för något ändamål. Bevarandetid för uppgifter i den nationella läkemedelslistan Regeringen föreslår att det i lagen om nationell läkemedelslista ska in- föras bestämmelser om vilken bevarandetid som ska gälla för uppgifterna i registret. Bevarandetidens längd ska motiveras utifrån de ändamål som den nationella läkemedelslistan avser att tillgodose och med beaktande av integritetsskyddsintresset. Den tid under vilken personuppgifter beva- ras bör inte vara längre än vad som behövs för att de ändamål som den aktuella personuppgiftsbehandlingen syftar till ska kunna uppnås. Myndigheten för vård- och omsorgsanalys har lyft möjligheten att ha olika bevarandetider. Regeringen delar promemorians bedömning om att en konstruktion med olika bevarandetider skulle försvåra den personupp- giftsansvariges hantering av uppgifterna och även för den registrerade att bilda sig en uppfattning om vad den verkliga bevarandetiden är. En sådan lösning är därför utifrån ett integritetshänseende inte ändamålsenlig. Regeringen gör följande bedömning i fråga om lämplig bevarandetid för uppgifter i den nationella läkemedelslistan. Ändamålen med den personuppgiftsbehandling som regleras genom nu föreslagen lag framgår av förslagets 3 kap. 2–5 §§. Ändamålen för den nationella läkemedels- listan avser huvudsakligen hantering som är nödvändig för att en patient ska kunna få en säker ordination och expediering av ett förskrivet läke- medel samt redovisning av uppgifter till olika myndigheter som behöver uppgifterna i sin tillsyn eller övriga verksamhet. Vid bedömning av vilken bevarandetid som är lämplig bör syftet med dessa ändamål vara vägledande. För att en patient ska kunna få en säker ordination och expe- diering av ett förskrivet läkemedel behöver den nationella läkemedels- listan kunna förmedla uppgifter om en patients aktuella läkemedels- situation men också en viss läkemedelshistorik. Uppgifterna behövs för att bl.a. kunna identifiera biverkningar, förhindra ordination och expe- diering av läkemedel som tidigare orsakat biverkningar, begränsa onödig antibiotikaanvändning och bevaka den kumulativa dosen av ett läke- medel. Med hänsyn till att den nationella läkemedelslistan kommer att innehålla en nationell samling av känsliga personuppgifter är det av sär- skild vikt att bevarandetiden inte sträcker sig längre än vad som är nödvändigt för att tillgodose de aktuella ändamålen. Regeringen bedömer att den tid som promemorian föreslagit är välavvägd för att ändamålen med personuppgiftsbehandlingen i den nationella läkemedels- listan ska kunna uppnås. Frågan om bevarandetidens längd hör samman med dess startpunkt. En och samma tidpunkt bör utgöra startpunkt för bevarandetiden för samt- liga uppgifter i den nationella läkemedelslistan. Regeringen föreslog i lagrådsremissen att bevarandetiden ska räknas från det att en giltig förskrivning kommer in i registret. Som Lagrådet har påpekat är det dock tydligare att ange att bevarandetiden ska räknas från det att en giltig förskrivning registrerades i den nationella läkemedelslistan. Samt- liga de uppgifter om ordinationer, förskrivningar och expedieringar som hör till en förskrivning ska följa förskrivningens bevarandetid. Detta får till följd att vissa uppgifter i registret, t.ex. ändringar som görs i en befintlig förskrivning, eller del- och helexpedieringar, dvs. uppgifter som hör till en förskrivning men som registrerats i registret i ett senare skede kommer att bevaras än . När har gått från det att en giltig förskrivning registrerats i registret ska samtliga uppgifter tillhörande förskrivningen tas bort. Vad gäller uppgifter om fullmakter har framfört att bevarandetiden om maximalt är . har önskat ett förtydligande i hur privatpersoner ska aviseras om att en fullmakts giltighetstid går ut samt anfört patientsäkerhetsskäl med en så kort giltighetstid för fullmakter. I fråga om bevarandetid ser inte reger- ingen skäl att särbehandla uppgifter om fullmakter. En bevarandetid ska således gälla även för uppgifter om fullmakter samt andra personuppgifter som inte kan hänföras till en förskrivning. Startpunkten för bevarandetiden för sådana uppgifter ska vara från det att uppgiften registrerats i den nationella läkemedelslistan. Vad gäller en fullmakts gil- 2017/18:223 tighetstid anser regeringen att det inte är en fråga som lämpar sig för reglering i lagen om nationell läkemedelslista. Regeringen frångår så- ledes promemorians förslag i denna del. För att inte riskera att uppgift om spärr tas bort tidigare än den uppgift som spärren avser föreslår regeringen att uppgifter om spärrning ska tas bort när de är nödvändiga för ändamålen som anges i 3 kap. 2–5 §§. Det är vidare inte ändamålsenligt om en uppgift om samtycke skulle behöva tas bort om den är nödvändig för behandling av uppgifter i registret. Uppgift om samtycke som avser patienter med dosdispenserade läkemedel behöver exempelvis bevaras så länge som patienten fortsätter att få sina läkemedel förskrivna med dosdispensering. Om uppgift om samtycke togs bort , skulle det fordra att patienten ånyo behövde lämna ett samtycke för samma tjänst som patienten redan tidigare lämnat samtycke till och som patienten fort- farande använder. En sådan ordning skulle inte vara ändamålsenlig. 7.11Den registrerades inställning till personuppgiftsbehandlingen Regeringens förslag: Behandling av personuppgifter som är tillåten enligt lagen om nationell läkemedelslista ska få utföras även om den registrerade inte lämnat sitt samtycke till behandlingen. Den registrerades samtycke ska krävas för behandling av uppgifter om fullmakter för ändamålet registrering av uppgifter om en fullmakt. Patientens samtycke ska krävas för behandling av uppgifter om en patient som får dosdispenserade läkemedel för ändamålet registrering av uppgifter om förskrivna läkemedel och andra varor som ska expe- dieras på öppenvårdsapotek. Den registrerades samtycke ska krävas för att behandling av person- uppgifter som inte är tillåten enligt lagen ändå ska få utföras. Patientens samtycke ska krävas för att spärr av uppgifter som spärrats på patientens begäran ska kunna hävas. Patientens samtycke ska i vissa fall krävas för direktåtkomst till uppgifter i registret. Promemorians förslag: Överensstämmer i stora delar med reger- ingens förslag, men promemorians lagförslag är annorlunda utformade. I promemorian föreslås inte att behandling av personuppgifter som inte är tillåten enligt lagen ändå ska få utföras om den registrerades samtycker till det. Remissinstanserna: Ett stort antal remissinstanser har lämnat syn- punkter på denna del av förslaget. Flera remissinstanser, bl.a. Läke- medelsverket och ombudsmän (), anser att den föreslagna regleringen i fråga om den registrerades inställning till personuppgifts- behandlingen är krångligt utformad och behöver förenklas. Några remiss- instanser, bl.a. Kommuner och Landsting (SKL), , och , anser att det finns en osäkerhet om hur de föreslagna reglerna om samtycke och spärrning ska tillämpas i förhållande till patientdatalagen. medicinsk-etiska råd (Smer) och Handikappförbunden är positivt inställ- da till promemorians förslag om integritetshöjande åtgärder. läns landsting, , och flera andra landsting konstaterar att en fullmaktsgivare kan lämna in en lista med flera fullmaktstagare. Med det nya för- slaget försvåras det avsevärt då även fullmaktstagaren ska ge samtycke. Vidare konstaterar läns landsting att det kan hända att en patient oväntat inser behovet av en fullmakt, t.ex. precis före en operation. Datainspektionen välkomnar förslaget att det, som en integritetshöjan- de åtgärd, ska krävas den registrerades samtycke för direktåtkomst till uppgifter, men ifrågasätter om det är lämpligt att den integritetshöjande åtgärden benämns samtycke. Inspektionen föreslår ”medgivande”. har svårt att förstå syftet med den föreslagna upp- delningen mellan dosdispenserade läkemedel och helförpackningar till dospatienter. Även motsätter sig den föreslagna särregleringen. är tveksamt till att patienten själv ska kunna lämna sitt samtycke om dosdispensering till . anser att inte ska få ta emot dossam- tycken. är detta ansvar begränsat till läkare med personlig förskri- varkod. Om medarbetare på får ta emot samtycket kan det enligt uppstå otydligheter kring ansvar både för kostnader och det medicinska och administrativa ansvaret. anför att lagtextens utformning medger olika tolk- ningar rörande om samtycke, krävs eller inte och behöver förtydligas. är positiv till att registrering blir obligatorisk även i högkostnadsdatabasen, men kan inte utläsa hur uppgifter om personer som inte vill vara registrerade och som inte lämnar samtycke ska hanteras. JO anser att det behövs en närmare analys av hur det ska säkerställas att den enskilde får tillräcklig information om vad person- uppgiftsbehandlingen avser för att kunna avge ett samtycke samt hur det i praktiken ska gå till när samtycket ska lämnas respektive återkallas. Även och anser att det råder osäkerhet om var samtycke ska inhämtas. anför att det kommer att krävas en mycket utvecklad/anpassad elektro- nisk funktion i anslutning till registret om hälso- och sjukvårdspersonal ska dokumentera samtycke samt meddela om att samtycke erhållits. anför att ansvaret för att samla in samtycke bör åligga den personuppgiftsansvarige, dvs. Om man ändå finner att det är de enskilda vårdgivarna som ska samla in samtycket bör detta förfarande regleras. frågar om man i lagtexten bör ange att det är fråga om ett ”uttryckligt” sam- tycke i likhet med vad som anges i lagen om läkemedelsförteckning. anser att det av promemorian är svårt att utläsa hur spärrhanteringen hos myndigheten praktiskt ska gå till, om myndig- heten ska fatta ett formellt beslut, om det i så fall kan överklagas etc. Myndigheten anser även att det finns ett behov av att förtydliga vad patienten får spärra. anser att det i själva lagtexten bör tydliggöras både hur uppgifter ska spärras och hur spärrar ska återkallas. konstaterar att det framgår av lagförslaget att en patient när som helst hos kan få en spärr hävd, men att den praktiska hanteringen inte framgår av lagförslaget. 2017/18:223 förbunden vill betona att det måste vara enkelt och smidigt att få sina uppgifter spärrade och att få en spärr hävd. kommun, läns landsting och läns landsting anser att en ny lag om nationell läkemedelslista skapar en otydlighet i det totala regelverket, eftersom två olika lagrum med olika regler för åt- komst, samtyckeshantering och spärrning ska gälla för i princip samma information vid samma tillfälle. Farmaceuter anser att skriv- ningarna om patientens samtycke till att dela informationen med förskri- vare inte är konsekventa och kopplingen till patientdatalagen inte är helt tydlig. anser att begreppet ”samtycke” måste definie- ras tydligare och överensstämma bättre med patientdatalagen. Liknande synpunkt anförs av som anser att de föreslagna reglerna om samtycke och spärr ska överensstämma med reglerna om samtycke och spärr i patientdatalagen. läns landsting och Läkare- sällskap anför att det kommer att bli svårt för en patient att avgöra skillnaden mellan spärr i journalen och spärr i läkemedelsförteckningen. Enligt Handikappförbunden vore det önskvärt att inte behöva spärra samma uppgifter både i journalen och i läkemedelslistan. Kommuner och Landsting påpekar att termen ”spärrning” används på olika sätt i promemorians lagförslag respektive i patientdatalagen, vilket försvårar för patienten att förstå konsekvenserna av att spärra information enligt den ena eller andra lagen och därmed ha kontroll över sin infor- mation och över vem som har åtkomst till den. Det finns en stor risk att en uppgift som spärras enligt den ena lagen, inte skulle vara spärrad enligt den andra. Det är svårt att se integritetsvinsterna med de dubbla Skälen för regeringens förslag Behandling av personuppgifter som är tillåten utan den registrerades Behandling av personuppgifter som är tillåten enligt lagen om nationell läkemedelslista ska få utföras även om den registrerade inte lämnat sitt samtycke till behandlingen. I de fall det enligt lagen om nationell läke- medelslista krävs samtycke, är personuppgiftsbehandlingen givetvis inte tillåten om inte samtycke ges. Den rättsliga grunden för behandling av personuppgifter i den nationella läkemedelslistan, med undantag för registrering av fullmakter och underlättande av en patients läkemedels- behandling, är att behandlingen är nödvändig för att fullgöra den rättsliga förpliktelse som har i fråga om att föra och ansvara för register som öppenvårdsapotek och vårdgivare behöver ha tillgång till för en patientsäker och kostnadseffektiv läkemedelshantering och att särskilt ansvara för de register som anges i myndighetens instruktion, se Eftersom dataskyddsförordningen inte ger den registrerade rätt att invända mot behandling som sker med stöd av grunden rättslig förpliktelse, utgör förslaget enligt regeringens bedömning inte någon begränsning av den registrerades rätt att göra invändningar i förhållande till sådan behandling. Sådan behandling av personuppgifter som är tillåten utan den registre- rades samtycke avser bl.a. registrering av uppgifter i registret, med un- dantag för uppgifter om fullmakter. Till skillnad från det som gäller för receptregistret (se 6 § andra stycket lagen om receptregister) anser således regeringen att uppgifter i den nationella läkemedelslistan, med undantag för uppgifter om fullmakter, ska få registreras i registret utan den registrerades samtycke. En sådan lösning överensstämmer med det som gäller för läkemedelsförteckningen (se 2 § andra stycket lagen om läkemedelsförteckning). Det förekommer att öppenvårdsapotek på begäran av en patient omvandlar ett elektroniskt recept till ett pappersrecept och därmed tar bort uppgifterna om det elektroniska recep- tet från nuvarande receptregister. Registrering av elektroniska recept en- ligt lagen om receptregister får ske utan patientens samtycke (6 § första stycket 8 och andra stycket lagen om receptregister). Det finns emellertid förarbetsuttalanden där det görs skillnad mellan att registrera och spara elektroniska recept i receptregistret och att just sparandet skulle fordra patientens samtycke (se Omreglering av apoteksmarknaden, prop. 2008/09:145 s. 441). Uppfattningen om att en patient har rätt att motsätta sig sparandet av elektroniska recept, och därmed en rätt att kräva att sådana uppgifter tas bort från receptregistret, återspeglas även i Läke- medelsverkets föreskrifter där öppenvårdsapoteken åläggs ett krav att på patientens begäran föra över uppgifter från ett elektroniskt recept till en receptblankett (se 7 kap. 3 § föreskrifter [HSLF-FS 2016:34] om förordnande och utlämnande av läkemedel och teknisk sprit). Uppgifter i den nationella läkemedelslistan ska, med undantag för uppgifter om fullmakter, få ske utan den registrerades samtycke. Med registrering avses både att uppgifter får föras in i registret och att de får finnas i registret under den tillåtna bevarandetiden. Rätten att få uppgifter raderade gäller inte när behandlingen är nödvändig för att bl.a. uppfylla en rättslig förpliktelse som kräver behandling enligt nationell rätt eller utföra en uppgift av allmänt intresse, eller om behandlingen är nödvändig för skäl som rör ett viktigt allmänt intresse på folkhälsoområdet enligt artikel 9.2 h (artikel 17.3 i EU:s dataskyddsförordning). Elektroniska för- skrivningar i den nationella läkemedelslistan kommer därför inte att kunna omvandlas till pappersrecept i den bemärkelsen att uppgifterna om det elektroniska receptet tas bort från registret. I de fall det finns skäl för att skriva ut ett recept i pappersformat, t.ex. för en utlandsexpediering, får detta ske genom att den elektroniska förskrivningen makuleras för expediering, dock utan att några uppgifter i registret tas bort. Annan behandling av personuppgifter som är tillåten utan den registre- rades samtycke avser bl.a. tillgängliggörande av vissa uppgifter internt inom för vissa ändamål, utlämnande av vissa upp- gifter till landsting, förskrivare och myndigheter samt utlämnande av vissa uppgifter genom direktåtkomst till vissa aktörer för vissa ändamål. Den registrerades samtycke krävs för registrering av uppgifter om fullmakter Den registrerades samtycke ska krävas för behandling av uppgifter om fullmakter för ändamålet registrering av uppgifter om en fullmakt. Regeringen bedömer att den rättsliga grunden för sådan behandling är samtycke, se avsnitt 7.3. Flera remissinstanser har anfört att förslaget om att även ombudet ska behöva ge ett samtycke försvårar fullmaktshanteringen när en fullmakts- 2017/18:223 givare vill lämna in en lista med flera ombud eller när en patient oväntat inser att han eller hon har behov av en fullmakt. Regeringen konstaterar att både fullmaktsgivarens och ombudets personuppgifter ska få registreras i den nationella läkemedelslistan. Att registrera en fullmakt i den nationella läkemedelslistan förutsätter därför samtycke från både fullmaktsgivaren och ombudet. Det kan nämnas att bestämmelser om öppenvårdsapotekens behandling av uppgifter om fullmakter finns i apo- teksdatalagen (2009:367). Även enligt apoteksdatalagen krävs den regi- strerades samtycke till sådan behandling (se 8 §). Den personuppgiftsansvarige bör kunna visa att de registrerade har lämnat sitt samtycke till behandlingen och att de registrerade bör känna till åtminstone den personuppgiftsansvariges identitet och syftet med den behandling för vilken personuppgifterna är avsedda (skäl 42 i EU:s data- skyddsförordning). Samtycke definieras i artikel 4.11 i EU:s dataskydds- förordning som varje slag av frivillig, specifik, informerad och otvetydig viljeyttring, genom vilken den registrerade, antingen genom ett uttalande eller genom en entydig bekräftande handling, godtar behandling av personuppgifter som rör honom eller henne. Patienten och ombudet kan lämpligen informeras om ändamålen med registreringen och lämna ett samtycke genom en fullmaktsblankett. Den registrerade kan när som helst återkalla ett lämnat samtycke (artikel 7.3 i EU:s dataskyddsförord- ning). Den praktiska hanteringen av samtycket ankommer dock på den personuppgiftsansvarige att bestämma utifrån de krav som ställs i EU:s dataskyddsförordning. Den registrerades samtycke krävs för att behandling av personuppgifter som inte är tillåten enligt lagen ändå ska få utföras Regeringen föreslår att det ska vara tillåtet att behandla personuppgifter för andra ändamål än de som anges i den nya lagens 3 kap. 2–5 §§.