prop · H603106 · 2019-04-09 00:00:00 — Där är det nödvändigt att först analysera vilka personuppgifter som behandlas för att i nästa led kunna säkerställa att uppgifterna behandlas korrekt. Skälen för regeringens bedömning Förordningens bestämmelser om databassystemet Kommissionen var vid antagandet av de närmare bestämmelserna om säkerhetsdetaljer genom delegerade akter skyldig att ta vederbörlig hänsyn till bl.a. skyddet av personuppgifter i enlighet med unionslagstiftningen, legitima intressen av att skydda information som är att betrakta som affärshemligheter och äganderätten av, och sekretess avseende, de upp- gifter som uppkommer på grund av användningen av säkerhetsdetaljer (artikel 54a.3 i direktiv /83/EG och skäl 37 i förordning [EU] 2016/161). Enligt artikel 54a.2e i direktivet ska kommissionen genom delegerade akter föreskriva bestämmelser om inrättande, hantering och tillgång till det databassystem där uppgifter om säkerhetsdetaljer som möjliggör kontroll av äktheten hos läkemedel och identifiering av dessa i enlighet med artikel 54 o i samma direktiv ska förvaras. Bestämmelser om inrättande och hantering av samt tillgång till databassystemet finns i artiklarna 31–39 i EU-förordningen. Skäl 37 i EU-förordningen får förstås så att nödvändigheten att ta sådan vederbörlig hänsyn som angetts ovan kommit till uttryck så att tillverkare, innehavare av godkännande för försäljning, partihandlare och personer som har tillstånd eller är behöriga att lämna ut läkemedel till allmänheten endast ska ha rätt och tillgång till uppgifter som de genererar när de interagerar med databassystemet. Beträffande hänsynen till skyddet av personuppgifter anges i samma skäl att även om det i föreliggande genomförandeförordning inte ställs krav på att personuppgifter ska lagras i databassystemet bör skyddet av personuppgifter säkerställas i de fall databasernas användare använder databassystemet för syften som inte omfattas av förordningen. Det som framgår av skäl 37 i EU-förordningen avspeglas inte minst i artiklarna 38 och 35.1 h samma förordning. I artikel 38.1 framgår att till- verkare, innehavare av godkännande för försäljning, partihandlare och personer som har tillstånd eller är behöriga att lämna ut läkemedel till allmänheten ska ansvara för alla uppgifter som genereras när de interagerar med databassystemet och som lagras i loggen. Loggen är ett fullständigt register över alla operationer avseende en unik identitetsbeteckning som ska skapas när den unika identitetsbeteckningen laddas upp i databasen och ska sparas (artikel ). De aktörer som avses i artikel 38.1 ska ha rätt och tillgång till endast dessa uppgifter, med undantag för den information som avses i artikel 33.2 och informationen om den unika identitetsbeteckningens status. Vidare anges i artikel 38.2 att den juridiska person som hanterar den databas där loggen är lagrad inte får ha tillgång till loggen och de uppgifter som finns där utan skriftligt medgivande från 2018/19:106 dem som har legitim rätt till uppgifterna, utom för att undersöka potentiella förfalskningar som flaggats i systemet i enlighet med artikel 36 b. Av artikel 35.1 h i EU-förordningen framgår att i enlighet med artikel 38 ska varje databas i databassystemet ha en struktur som garanterar skydd för personuppgifter och uppgifter som rör affärshemligheter samt rätt till och sekretess avseende de uppgifter som genereras när tillverkare, inne- havare av godkännande för försäljning, partihandlare och personer som har tillstånd eller är behöriga att lämna ut läkemedel till allmänheten inter- agerar med databasen. Av artikel 37 b i EU-förordningen framgår att alla juridiska personer som inrättar och hanterar en databas som ingår i databassystemet är skyldiga att införa säkerhetsrutiner som garanterar att endast användare vars identitet, roll och legitimitet har kontrollerats kan få tillgång till data- basen eller ladda upp den information som avses i artikel 33.2. EU-förordningens bestämmelser i detta avseende, som syftar till att skydda affärshemligheter, vilar således på dels olika systemkrav som till- sammans med de angivna säkerhetsrutinerna ska skapa åtkomstkontroller så att endast behöriga användare får tillgång till systemet och att de autenti- seras på ett säkert sätt, dels att användare endast får del av och ansvarar för sådana uppgifter som genereras när de interagerar med databas- systemet. Vilka uppgifter kommer att finnas i databassystemet? Vilka uppgifter som kommer att finnas i databaserna framgår huvudsak- ligen av artikel 33.2 i EU-förordningen. Där anges att databaserna kommer att innehålla uppgifter om dataelementen i den unika identitetsbeteck- ningen i enlighet med artikel 4 b, produkttypens kodningsschema, läke- medlets namn och gängse benämning, läkemedelsform, styrka, förpack- ningstyp och förpackningsstorlek, i enlighet med den terminologi som avses i artikel 25.1 b och e–g i kommissionens genomförandeförordning (EU) nr 520/2012, den eller de medlemsstater där läkemedlet är avsett att släppas ut på marknaden, i förekommande fall den kod som identifierar posten för det läkemedel som är märkt med den unika identitetsbeteck- ningen i den databas som avses i artikel 57.1 l i förordning (EG) nr 726/2004, namn på och adress till den tillverkare som placerar säkerhets- detaljerna på läkemedelsförpackningen, namn på och adress till inne- havaren av godkännandet för försäljning samt en förteckning över parti- handlare som genom skriftligt avtal har utsetts av innehavaren av god- kännandet för försäljning att för dennes räkning lagra och distribuera de produkter som omfattas av godkännandet för försäljning. Databassystemet kommer, utöver de uppgifter som följer av artikel 33.2 iEU-förordningen, att innehålla varningsuppgift om potentiell förfalsk- ning, uppgifter som anger om ett läkemedel har återkallats, dragits in, stulits, exporterats, begärts som prov av behöriga nationella myndigheter, angetts som gratisprov av innehavaren av godkännandet för försäljning, uppgift om ett läkemedel är avsett för destruktion och uppgift om att den unika identitetsbeteckningen har avaktiverats (artikel 36 b, l och m). Vilka kommer ha tillgång till uppgifterna i databassystemet? Tillverkare, innehavare av godkännande för försäljning, partihandlare och personer som har tillstånd eller är behöriga att lämna ut läkemedel till allmänheten ska endast ha rätt till och tillgång till de uppgifter som genereras när de interagerar med databassystemet och som lagras i loggen, med undantag för den information som avses i artikel 33.2 i EU-förord- ningen och informationen om den unika identitetsbeteckningens status (skäl 37 och artikel 38.1 i EU-förordningen). Den juridiska person som hanterar den databas där loggen är lagrad, e-VIS, får enligt artikel 38.2 i EU-förordningen inte ha tillgång till loggen och de uppgifter som finns där utan skriftligt medgivande från dem som har legitim rätt till uppgifterna, utom för att undersöka potentiella för- falskningar som flaggats i systemet i enlighet med artikel 36 b. Det kan konstateras att artikel 39 i förordning (EU) 2016/161 innehåller krav som innebär att en juridisk person som har inrättat och hanterar en databas som används för äkthetskontroll eller avaktivering av de unika identitetsbeteckningarna på läkemedel som släppts ut på marknaden i en medlemsstat ska ge de behöriga myndigheterna i den medlemsstaten till- gång till databasen och den information som finns i den för olika ändamål, bl.a. för tillsyn över databasernas drift och undersökning av potentiella förfalskningar. e-VIS ska således ge tillgång till data- basen och den information som finns i den för olika ändamål, bl.a. för till- syn över databasernas drift och undersökning av potentiella förfalskningar. Enligt vad som anges i artikel 43 i EU-förordningen, ska de nationella behöriga myndigheterna på begäran ge innehavare av godkännande för försäljning, tillverkare, partihandlare och personer som har tillstånd eller är behöriga att lämna ut läkemedel till allmänheten tillgång till information om följande: a) läkemedel som släppts ut på marknaden på deras terri- torium och som ska vara märkta med säkerhetsdetaljer i enlighet med artikel 54 o i direktiv /83/EG och denna förordning, b) receptbelagda läkemedel eller läkemedel som omfattas av kostnadsersättning och för vilka tillämpningsområdet för den unika identitetsbeteckningen har ut- ökats med avseende på kostnadsersättning eller säkerhetsövervakning av läkemedel, i enlighet med artikel 54a.5 i direktiv /83/EG, och c) läke- medel för vilka tillämpningsområdet för säkerhetsförseglingen har utökats med tanke på patientsäkerheten, i enlighet med artikel 54a.5 i direktiv /83/EG. Enligt artikel 44.4 i EU-förordningen ska den nationella behöriga myndigheten översända rapporter om tillsynen till Europeiska läkemedelsmyndigheten, som i sin tur ska göra dem tillgängliga för de andra nationella behöriga myndigheterna och kommissionen. Av det ovan anförda följer ur svenskt perspektiv bl.a. att samtliga an- vändare, med undantag för , endast kommer att ha till- gång till uppgifter om ett läkemedels status som aktiverat eller avaktiverat och uppgifter om vilka kontrakt partihandlare har med innehavare av godkännanden för försäljning av läkemedel samt uppgifter som de redan har tillgång till eftersom uppgifterna finns på läkemedelsförpackningarna. Det finns inte något behov av att införa bestämmelser som reglerar personuppgiftsbehandling Av förordning (EU) 2016/161 framgår att uppgifterna i databassystemet ska kunna användas av dem som ska aktivera och avaktivera de unika iden- titetsbeteckningarna och av behöriga nationella myndigheter för vissa ändamål, bl.a. för tillsynsändamål. EU-förordningen bedöms inte ställa krav på att personuppgifter ska lagras i databassystemet. Enligt uppgift från e-VIS arbetar föreningen för att säkerställa att den nationella data- basen utformas så att den inte ska innehålla personuppgifter (S2018/03520/FS). Mot denna bakgrund finns inte skäl att anta att bestäm- melserna om säkerhetsdetaljer i direktiv /83/EG och i EU- förordningen kommer att medföra behandling av personuppgifter i den nationella databasen som e-VIS ansvarar för. Det kan dock inte uteslutas att vissa användare av den nationella data- basen, exempelvis personal vid öppenvårdsapotek på sina respektive arbetsplatser behöver ges särskild behörighet till de system på arbets- platsen som är kopplade till databasen (artikel 37 b i EU-förordningen). Sådan behörighetstilldelning bedöms medföra personuppgiftsbehandling genom att uppgifter om den person som tilldelar behörigheter och upp- gifter om vilka personer som getts behörighet kommer att behandlas. Vid underrättelser om misstänkta förfalskningar (se artiklarna 18, 24, 30 och 37 d i EU-förordningen) kan det inte helt uteslutas att vissa uppgifter kan knytas till en person, exempelvis genom att namnet på den som lämnat underrättelsen anges. Även kan således behöva behandla personuppgifter i samband med underrättelser om misstänkta förfalskade läkemedel. Datainspektionen har i sitt remissvar ifrågasatt promemorians avsaknad av förslag på nya bestämmelser om personuppgiftsbehandling. Myndig- heten har i detta sammanhang påmint om att ett nytt regelverk för person- uppgiftsbehandling gäller då dataskydds- förordningen började tillämpas. Regeringen konstaterar att den personuppgiftsbehandling som kan behöva ske med anledning av underrättelser om misstänkta förfalskningar av läkemedel och av aktörer som behöver ge sina anställda behörighet att använda ett informationssystem, måste vara förenlig med dataskydds- förordningen. Till den förordningen finns kompletterande bestämmelser i lagen (2018:218) med kompletterande bestämmelser till EU:s dataskydds- förordning. Behandling av personuppgifter är laglig enligt dataskyddsförordningen endast om och i den mån åtminstone ett av villkoren i artikel 6.1 i data- skyddsförordningen är uppfyllt: a) den registrerade har lämnat sitt sam- tycke till att dennes personuppgifter behandlas för ett eller flera specifika ändamål, b) behandling är nödvändig för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den regi- strerade innan ett sådant avtal ingås, c) behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige, d) behandlingen är nödvändig för att skydda intressen som är av grund- läggande betydelse för den registrerade eller för en annan fysisk person, e) behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning och f)behandlingen är nödvändig för ändamål som rör den personuppgifts- ansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter eller friheter väger tyngre och kräver skydd av personuppgifter, särskilt när den registrerade är ett barn. Den grund för behandling av personuppgifter som avses i artikel 6.1 c (rättslig förpliktelse) och e (allmänt intresse eller myndighets- utövning) i dataskyddsförordningen ska enligt artikel 6.3 i dataskyddsför- ordningen fastställas i enlighet med unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av. De personuppgifter som kan aktualiseras med anledning av förordning (EU) 2016/161 är sådana som kan behöva behandlas vid tilldelning av behörigheter (artikel 37 b i EU-förordningen) och vid underrättelser om misstänkta förfalskningar som utpekade aktörer är skyldiga att göra enligt artiklarna 18, 24, 30 och 37 d i EU-förordningen. Sådana uppgifter hör inte till den särskilda kategori personuppgifter som avses i artikel 9 data- skyddsförordningen (känsliga personuppgifter). I den mån behörighets- tilldelningar behöver utföras, är dessa nödvändiga för att anställda ska kunna fullgöra sådana skyldigheter att kontrollera och avidentifiera säkerhetsdetaljer som enligt EU-förordningen åligger olika aktörer. De skyldigheter för vissa aktörer att underrätta den behöriga myndigheten om misstänkta förfalskningar som föreskrivs i EU-förord- ningen måste också anses innefatta motsvarande skyldighet för den be- höriga myndigheten att ta emot sådana underrättelser. Den rättsliga grunden för den personuppgiftsbehandling som kan komma i fråga är en rättslig förpliktelse (artikel 6.1 c i dataskyddsförord- ningen) som framgår av förordning (EU) 2016/161 och som därmed är fastställd i enlighet med unionsrätten. Sammantaget bedöms det i och med de skyldigheter som anges i EU- förordningen om säkerhetsdetaljer finnas grund för den personuppgifts- behandling som kan komma att ske i samband med att de åtgärder som anges i denna förordning utförs. Därmed bedöms det inte heller finnas behov av att i detta avseende anpassa svensk rätt med anledning av bestäm- melserna i direktiv /83/EG eller i EU-förordningen. Det finns inte något behov av att införa bestämmelser om sekretess för uppgifter hos De rapporter och uppgifter i olika underrättelser som inkommer till Läke- medelsverket kommer att utgöra allmänna handlingar hos verket. Frågan är därför om det i med stöd av offentlighetsprincipen vore möjligt för exempelvis företag att få tillgång till sådana uppgifter från databasen som de mot bakgrund av artiklarna 35.1 h, 37 b och 38 i EU-förordningen uppenbarligen inte avses ha tillgång till. Man kan befara att tillgång till uppgifter om t.ex. den unika identitetsbeteckningen skulle kunna under- lätta för personer som önskar föra ut förfalskade läkemedel i den lagliga försörjningskedjan. En sådan ordning skulle motverka syftet med de nu aktuella EU-rättsakterna. I OSL finns dock bestämmelser som bedöms säkerställa att uppgifterna i databassystemet inte används på ett sätt som underminerar bestämmelserna i . Enligt 30 kap. 23 § OSL gäller sekretess, i den utsträckning regeringen meddelar föreskrifter om det, i en statlig myndighets verksamhet som 2018/19:106 består i bl.a. utredning, tillståndsgivning eller tillsyn med avseende på produktion, handel eller näringslivet i övrigt för uppgift om en enskilds affärs- eller driftförhållanden, om det kan antas att den enskilde lider skada om uppgiften röjs. Detsamma gäller för uppgift om andra ekonomiska eller personliga förhållanden för den som har trätt i affärsförbindelse eller liknande förbindelse med den som är föremål för myndighetens verk- Sistnämnda sekretesskydd är dock starkare i och med avsaknaden I det fallet råder absolut sekretess. Att sekretess även kan gälla för den som trätt i affärsförbindelse eller liknande förbindelse har ansetts behövas eftersom verksamhet av det slag som avses i paragrafen kan ge en myndighet kännedom också om andra förhållanden hos tredje man än sådana som kan betecknas som affärs- eller driftförhållanden m.m. Som nämnts gäller sekretessen enligt 30 kap. 23 § OSL endast i den ut- sträckning som regeringen föreskrivit om det. Regeringen har i 9 § offentlighets- och sekretessförordningen (2009:641), förkortad OSF, och punkt 33 i dess bilaga föreskrivit att uppgifter inom ramen för verksamhet som består i utredning, tillståndsgivning och tillsyn enligt läkemedelslagen kan bli föremål för sekretess. Enligt punkt 33 gäller dock inte sekretess för enskilds affärs- eller driftförhållanden, uppfinningar eller forsknings- resultat vid tillsyn över produktsäkerheten hos varor som är avsedda för konsumenter eller kan antas komma att användas av konsumenter, om intresset av allmän kännedom om förhållande som rör risk för skada på person har sådan vikt att uppgiften bör lämnas ut. Det torde finnas stöd för att neka ett utlämnande av uppgifter om säkerhets- detaljer med hänvisning till 30 kap. 23 § OSL. En förutsättning är emeller- tid att bedömer att ett enskilt företag kan komma till skada samt att intresset av allmän kännedom om förhållande som rör risk för skada på person inte har sådan vikt att uppgiften bör lämnas ut. Uppgifter som får från databassystemet torde även kunna omfattas av sekretess på andra grunder än de ovan redovisade. 15 kap. 1 § OSL följer bl.a. att sekretess gäller för uppgift som rör förbindelser med en annan stat eller i övrigt rör en annan stat, mellan- folklig organisation, myndighet, medborgare eller juridisk person i annan stat eller statslös, om det kan antas att det stör mellanfolkliga förbindelser eller på annat sätt skadar landet om uppgiften röjs. primär sekretessbestämmelse vars räckvidd inte är begränsad. melsen kan således tillämpas av bl.a. . Vidare följer av 15 kap. 1 a § första stycket OSL att sekretess gäller för uppgift som en myndighet har fått från ett utländskt organ på grund av en bindande EU-rättsakt eller ett av EU ingånget eller av godkänt avtal med en annan stat eller med en mellanfolklig organisation, om det kan antas att möjlighet att delta i det internationella samarbetet som avses i rättsakten eller avtalet försämras om uppgiften röjs. stycket samma paragraf följer att motsvarande sekretess gäller för uppgift som en myndighet har inhämtat i syfte att överlämna den till ett utländskt organ i enlighet med en sådan rättsakt eller ett sådant avtal som avses i Av förarbetena till 15 kap. 1 a § OSL framgår att med uttrycket "bin- dande EU-rättsakt" avses bl.a. förordningar, direktiv och beslut. delegerade akter och genomförandeakter kan ha en bindande verkan (se 2012/13:192 s. 31). Förordning (EU) 2016/161 har sådan verkan. samma förarbeten framgår vidare att tillämpning av 15 kap. 1 a § OSL normalt inte kommer att aktualiseras i sådana situationer då ett avtal eller en EU-rättsakt inte innehåller någon tydlig sekretessbestämmelse, även om en sådan tillämpning inte utesluts av dess ordalydelse. I sådana fall torde det främst vara uppgiftens art och anknytning till det internationella samarbetet som medför att skaderekvisitet anses uppfyllt, vilket torde innebära att det ligger närmare till hands att tillämpa sekretessbestäm- melsen i 15 kap. 1 § OSL (se prop. 2012/13:192 s. 35). I de fall flera sekretessbestämmelser är tillämpliga får bedömningen om vilken bestämmelse som har företräde göras enligt sekretessrättsliga regler. Frågan om vilken eller vilka sekretessbestämmelser som är tillämp- liga i de olika sammanhangen är sak att bedöma. De bestämmelser som redogjorts för ovan bedöms garantera ett skydd för sekretess avseende de uppgifter som uppkommer på grund av använd- ningen av säkerhetsdetaljer enligt EU-förordningen. Något behov av att införa bestämmelser om sekretess för sådana uppgifter bedöms därmed inte finnas. Det finns inte något behov av att införa bestämmelser om skydd av uppgifter hos e-VIS Av artikel 35.1 h i EU-förordningen framgår att i enlighet med artikel 38 ska varje databas i databassystemet ha en struktur som garanterar skydd för personuppgifter och uppgifter som rör affärshemligheter samt rätt till och sekretess avseende de uppgifter som genereras när tillverkare, inne- havare av godkännande för försäljning, partihandlare och personer som har tillstånd eller är behöriga att lämna ut läkemedel till allmänheten inter- agerar med databasen. Av artikel 37 b i EU-förordningen framgår att alla juridiska personer som inrättar och hanterar en databas som ingår i databassystemet är skyl- diga att införa säkerhetsrutiner som garanterar att endast användare vars identitet, roll och legitimitet har kontrollerats kan få tillgång till databasen eller ladda upp den information som avses i artikel 33.2. Försvarsmakten har anfört att det inte är tydligt vilka uppgifter som berör Försvarsmakten som faktiskt kommer att finnas i databaserna och att det därför är svårt att uttala sig om frågor kopplat bl.a. till sekretess. Regeringen konstaterar att de uppgifter som kommer att finnas i data- bassystemet huvudsakligen framgår av artiklarna 33.2, 36 b, 36 l och 36 m Enligt uppgift från e-VIS kommer uppgifter om slutköpare eller konsument inte att förekomma i databassystemet. Uppgifter om Försvarsmakten som slutköpare av ett läkemedel kommer således inte att förekomma i databassystemet. Försvarsmakten köper läkemedel både från öppenvårdsapotek och från partihandlare. När Försvarsmakten köper läkemedel från öppenvårdsapotek är det öppen- vårdsapoteket som avaktiverar den unika identitetsbeteckningen för läke- medlet i samband med utlämnandet (artikel 25 i EU-förordningen). När Försvarsmakten köper läkemedel av försvars- och beredskapsskäl från partihandeln är det säljande partihandlare som ska avaktivera läkemedlet i samband med försäljningen. Detta framgår av 11 a § föreskrifter (LVFS 2014:8) om partihandel med läkemedel. Eftersom Försvarsmakten enligt regelverket inte i någon av dessa situationer 2018/19:106 kommer att avaktivera säkerhetsdetaljer kommer någon uppgift om detta inte heller finnas i databassystemet. Det finns ingenting som tyder på att andra uppgifter som kan kopplas till Försvarsmakten kommer att finnas i databassystemet. Regeringen bedömer därför att det i databassystemet inte kommer att finnas sådana uppgifter som kan omfattas av försvars- sekretessen enligt 15 kap. 2 § OSL. Skyddet av information som är att betrakta som affärshemligheter och äganderätten av, och sekretess avseende, de uppgifter som uppkommer på grund av användningen av säkerhetsdetaljer säkerställs i svensk rätt även genom bl.a. olika straffbestämmelser i och i lagen (2018:558) om företagshemligheter. Av 4 kap. 9 c § följer att den som olovligen bereder sig tillgång till en uppgift som är avsedd för automatiserad behandling eller olovligen ändrar, utplånar, blockerar eller i register för in en sådan uppgift döms för dataintrång till böter eller fängelse i högst . Detsamma gäller den som olovligen genom någon annan liknande åtgärd allvarligt stör eller hindrar användningen av en sådan uppgift. Är brottet grovt, döms för grovt dataintrång till fängelse i lägst och högst .