sou · H9B345 · 2021-06-01 00:00:00 — Som nämnts ovan har regeringen i 9 § OSF och i punkt 33 i dess bilaga föreskrivit att sekretess under vissa förutsättningar gäller för uppgifter inom ramen för statliga myndigheters verksamhet som består i utredning, tillståndsgivning och tillsyn enligt bl.a. läkemedels- lagen. Sådan sekretess bör även omfatta verksamhet som består i utredning, tillståndsgivning och tillsyn enligt EU-förordningen om veterinärmedicinska läkemedel då denna förordning medför att stora delar av läkemedelslagen inte längre kommer att gälla veterinärmedi- cinska läkemedel eftersom dessa regleras direkt i EU-förordningen. EU-förordningen om veterinärmedicinska läkemedel bör därmed läggas till i punkten 33 i bilagan till offentlighets- och sekretessförordningen. Sekretessen enligt 9 § OSF gäller för uppgift om en enskilds affärs- eller driftförhållanden, uppfinningar eller forskningsresultat, om det kan antas att den enskilde lider skada om uppgifterna röjs (första stycket 1), och för uppgift om andra ekonomiska eller per- sonliga förhållanden för den som har trätt i affärsförbindelse eller liknande förbindelse med den som är föremål för myndighetens verksamhet (första stycket 2). Enligt punkten 33 i bilagan till OSF gäller sekretessen för uppgift om en enskilds affärs- eller driftförhållanden, uppfinningar eller forskningsresultat inte vid tillsyn över produktsäkerheten hos varor som är avsedda för konsumenter eller kan antas komma att användas av konsumenter, om intresset av allmän kännedom om förhållande som rör risk för skada på person har sådan vikt att uppgiften bör lämnas ut. Enligt utredningens bedömning kan det även finnas ett så starkt allmänt intresse av allmän kännedom om förhållanden som rör risker för skador på djur att sekretess inte ska gälla vid tillsyn över produktsäkerheten avseende veterinärmedicinska läkemedel (jfr punk- ten 82 i bilagan till OSF). Även detta bör därför framgå av punk- ten 33 i bilagan till OSF. Att vissa uppgifter omfattas av sekretess bör inte heller hindra att lämna ut uppgifter till i enlighet med vad som krävs i EU-förordningen om veterinärmedicinska läkemedel. Med den ändring av 7 kap. 3 § 2 läkemedelsförordningen som vi föreslår i avsnitt 17.2.3 kommer att kunna lämna ut sådana uppgifter med stöd av 7 kap. 4 § läkemedelsförordningen. EU:s dataskyddsförordning innehåller bestämmelser om skydd för fysiska personer med avseende på behandlingen av personuppgifter och om det fria flödet av personuppgifter (artikel 1.1). EU:s data- skyddsförordning ska som utgångspunkt tillämpas på sådan behand- ling av personuppgifter som helt eller delvis företas på automatisk väg samt på annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register och som utförs inom ramen för den verksamhet som bedrivs av en personuppgiftsansvarig eller ett personuppgiftsbiträde som är etablerad i unionen, oavsett om behandlingen utförs i unionen eller inte (artiklarna 2–3). I EU:s dataskyddsförordning definieras personuppgifter som varje upplysning som avser en identifierad eller identifierbar fysisk person, varvid en identifierbar fysisk person är en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller onlineidentifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet (artikel 4.1). Med be- handling avses en åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller ej, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, fram- tagning, läsning, användning, utlämning genom överföring, sprid- ning eller tillhandahållande på annat sätt, justering eller samman- förande, begränsning, radering eller förstöring (artikel 4.2). Med personuppgiftsansvarig avses enligt dataskyddsförordningen en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlems- staternas nationella rätt kan den personuppgiftsansvarige, eller de särskilda kriterierna för hur denna ska utses, föreskrivas i unions- rätten eller i medlemsstaternas nationella rätt (artikel 4.7). I EU:s dataskyddsförordning anges förutsättningarna för laglig behandling av personuppgifter (artikel 6). Åtminstone en av de rätts- liga grunder som anges i artikel 6 måste vara uppfylld för att behandlingen av personuppgifter ska anses laglig. En sådan rättslig grund är om behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige (artikel 6.1 c). En annan rättslig grund som gör behandlingen av personuppgifter laglig är när den är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighets- utövning (artikel 6.1 e). Behandlingen är också laglig om den registre- rade har lämnat sitt samtycke till att dennes personuppgifter be- handlas för ett eller flera specifika ändamål (artikel 6.1 a). Den grund för behandlingen som anges i punkt 1 c och 1 e i arti- kel 6 ska fastställas i enlighet med antingen unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige om- fattas av. Syftet med behandlingen ska fastställas i den rättsliga grunden eller, i fråga om behandling enligt punkt 1 e, vara nödvändigt för att utföra en uppgift av allmänt intresse eller som ett led i den person- uppgiftsansvariges myndighetsutövning. Den rättsliga grunden kan innehålla särskilda bestämmelser för att anpassa tillämpningen av bestämmelserna i dataskyddsförordningen, bl.a. de allmänna villkor som ska gälla för den personuppgiftsansvariges behandling, vilken typ av uppgifter som ska behandlas, vilka registrerade som berörs, de enheter till vilka personuppgifterna får lämnas ut och för vilka ändamål, ändamålsbegränsningar, lagringstid samt typer av behand- ling och förfaranden för behandling. Unionsrätten eller medlems- staternas nationella rätt ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas (artikel 6.3). För att behandling av personuppgifter ska vara tillåten enligt dataskyddsförordningen är det inte tillräckligt att behandlingen faller in under en av grunderna i artikel 6.1. Utöver det grundläggande kravet att all behandling måste vara laglig måste varje behandling också uppfylla de principer som anges i artikel 5. Enligt den artikeln ska personuppgifter behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade. Vidare anges och utvecklas vissa principer som gäller vid behandling av personuppgifter, nämligen principerna om ändamålsbegränsning, uppgiftsminimering, korrekt- het, lagringsminimering samt integritet och konfidentialitet. digheterna i artikel 5 kan dock, under vissa förutsättningar, begränsas genom unionsrätten eller medlemsstaternas nationella rätt (artikel 23). När behandling sker med stöd av någon av grunderna i artikel 6.1 c eller 6.1 e ger dataskyddsförordningen utrymme för att i nationell rätt behålla eller införa bestämmelser för att anpassa tillämpningen av förordningen (artikel 6.2 och 6.3 andra stycket). Detta får ske genom att medlemsstaterna fastställer specifika krav för uppgifts- behandlingen eller andra åtgärder för att säkerställa en laglig och rättvis behandling. Behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning är som utgångspunkt enligt artikel 9 förbjuden. I artikeln anges ett antal undantag när sådan personuppgiftsbehand- ling kan anses vara tillåten. Ett sådant undantag avser, under vissa förutsättningar, när behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlems- staternas nationella rätt (artikel ). Ett annat undantag gäller, under vissa förutsättningar, när behandlingen är nödvändig bl.a. av skäl av allmänt intresse på folkhälsoområdet, såsom behovet av att säkerställa höga kvalitets- och säkerhetsnormer för vård och läke- medel eller medicintekniska produkter (artikel 9.2 i). Utrymmet för att ge offentlighetsprincipen företräde framför dataskyddsregleringen anges i artikel 86 i EU:s dataskyddsförord- ning. Av bestämmelsen följer att personuppgifter i allmänna hand- lingar får lämnas ut i enlighet med nationell rätt. Lagen med kompletterande bestämmelser till EU:s dataskyddsförordning Lagen (2018:218) med kompletterande bestämmelser till EU:s data- skyddsförordning innehåller bestämmelser som kompletterar EU:s dataskyddsförordning. Av lagen framgår att EU:s dataskyddsför- ordning och lagen inte ska tillämpas i den utsträckning det skulle strida mot TF eller yttrandefrihetsgrundlagen (YGL) (1 kap. 7 §). Lagen är subsidiär även i förhållande till annan lag och förordning. I lagen anges att personuppgifter får behandlas med stöd av arti- kel 6.1 c i EU:s dataskyddsförordning, om behandlingen är nödvän- dig för att den personuppgiftsansvarige ska kunna fullgöra en rättslig förpliktelse som följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning (2 kap. 1 §). Enligt 2 kap. 2 § samma lag får personupp- gifter behandlas med stöd av artikel 6.1 e i EU:s dataskyddsförord- ning, om behandlingen är nödvändig antingen för att utföra en uppgift av allmänt intresse som följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning, eller som ett led i den personuppgiftsansvariges myndighetsutövning enligt lag eller annan författning. Förutom lagen med kompletterande bestämmelser till EU:s data- skyddsförordning finns det även särskilda författningar om register- föring och behandling av personuppgifter som gäller för många myndigheter och andra aktörer. Sådana så kallade registerförfatt- ningar kompletterar också EU:s dataskyddsförordning. Sådana sär- skilda författningsregleringar av personuppgifter har skett utifrån ställningstagandet att personregister med ett stort antal registrerade personer och med ett integritetskänsligt innehåll bör vara reglerade i lag.6 Exempel på registerförfattningar som reglerar hanteringen av uppgifter om en patients läkemedelsanvändning är patientdatalagen (2008:355) och apoteksdatalagen (2009:367). På djurområdet kan lagen (2009:619) om djurskyddskontrollregister nämnas. Som vi har redogjort för i kapitel 16 anges i 6 kap. 1 § första stycket läkemedelslagen att den som har fått ett läkemedel godkänt för försäljning ska ha ett system för säkerhetsövervakning och följa ut- vecklingen på läkemedelsområdet och inom ramen för godkänn- andet ändra läkemedlet om det behövs. Den som har fått ett läke- medel godkänt ska också, som ett led i säkerhetsövervakningen av läkemedlet, registrera, lagra, utvärdera och rapportera information om misstänkta biverkningar av läkemedlet i enlighet med föreskrif- ter som regeringen, eller den myndighet som regeringen bestämmer, kan meddela med stöd av 8 kap. 7 § regeringsformen. Av andra stycket i samma bestämmelse framgår att innehavaren av godkänn- 6Se t.ex. prop. 1990/91:60 s. 56 ff. och prop. 2008/009:143 s. 18 f. andet är personuppgiftsansvarig för sådana behandlingar av person- uppgifter som kan komma att utföras enligt första stycket. Enligt våra förslag i kapitel 16 ska 6 kap. 2 § läkemedelslagen enbart gälla för humanläkemedel. Av 3 kap. 13 § första stycket läkemedelsförordningen framgår att och innehavare av ett godkännande eller en registrering för försäljning får utföra de behandlingar av person- uppgifter som rör hälsa och som är nödvändiga för att fullgöra de skyldigheter som föreskrivs i läkemedelslagen eller i läkemedelsför- ordningen. Av 3 kap. 13 § andra stycket framgår att annan än Läke- medelsverket som behandlar personuppgifter inte, utöver vad som framgår av första stycket, får behandla personuppgifterna för några andra ändamål än arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål. Person- uppgifterna får dock behandlas med stöd av ett uttryckligt samtycke från den registrerade. För behandling av personuppgifter som Läke- medelsverket utför för att fullgöra en sådan skyldighet är Läkemedels- verket personuppgiftsansvarig. 17.6.2Behandling av personuppgifter och personuppgiftsansvar för skyldigheter enligt EU-förordningen om veterinärmedicinska läkemedel Utredningens förslag: Bestämmelsen i 3 kap. 13 § läkemedels- förordningen om att och innehavare av ett godkännande eller en registrering för försäljning får utföra be- handlingar av personuppgifter som rör hälsa ska även gälla när personuppgiftsbehandlingen är nödvändig för att fullgöra skyldig- heter enligt EU-förordningen om veterinärmedicinska läkemedel. Utredningens bedömning: EU:s dataskyddsförordning, lagen med kompletterande bestämmelser till EU:s dataskyddsförord- ning och förordningen med kompletterande bestämmelser till EU:s dataskyddsförordning utgör i övrigt en tillräcklig reglering för den personuppgiftsbehandling som kan komma att ske för att fullgöra de förpliktelser som regleras i EU-förordningen om vete- rinärmedicinska läkemedel avseende databaser. som motsvarar 6 kap. 2 § andra stycket läkemedelslagen behövs inte när det gäller veterinärmedicinska läkemedel. Skälen för förslaget och bedömningen De förslag vi lämnar i detta kapitel och i kapitel 8 innebär att Läke- medelsverket för att fullgöra sina uppgifter när det gäller produkt- databasen, databasen för farmakovigilans och databasen över till- verkning och partihandel kommer att behandla personuppgifter i den mening som avses i EU:s dataskyddsförordning. Enligt de be- stämmelser som finns i EU-förordningen om veterinärmedicinska läkemedel kommer även innehavare av godkännande för försäljning att behandla sådana uppgifter. Innehavarna av godkännande för för- säljning ska i databasen för farmakovigilans registrera uppgifter om sakkunniga personer med ansvar för farmakovigilans. Dessa person- uppgifter kommer även att finnas i produktdatabasen eftersom dessa databaser ska kopplas samman. Även i databasen över tillverkning och partihandel kommer det att finnas uppgifter om sakkunniga per- soner eller ansvariga personer. I databasen för farmakovigilans ska vidare såväl de behöriga myn- digheterna som innehavarna av godkännande för försäljning registrera alla misstänka biverkningar. Personuppgifter som avser rapportören (t.ex. djurägare eller veterinär) samt personer som berörs av händel- sen behandlas vid mottagandet av sådana rapporter, sammanställning och lagring av uppgifterna. I detta sammanhang bör noteras att även människor kan drabbas av misstänkta biverkningar vid handhavan- det av läkemedel till djur och personuppgifter för dem kan behandlas i samband med att biverkningsrapporteringen hanteras. Enligt de uppgifter som har framkommit under utredningen kommer det att röra sig om direktidentifierande personuppgifter i den nationella databasen, men pseudonymiserade personuppgifter för rapportörer och indirekta personuppgifter för personer som berörs av händelsen vid registrering i EU-databasen. Innehavarna av godkännandena för försäljning blir personupp- giftsansvariga för behandling av personuppgifterna eftersom det av EU-förordningen om veterinärmedicinska läkemedel framgår att de har ett ansvar för att samla in och behandla uppgifterna. Vad som avses med personuppgiftsansvarig framgår av EU:s dataskyddsför- Eftersom det regleras i EU-förordningen om veterinär- medicinska läkemedel att innehavarna av godkännande eller registrering för försäljning ska samla in och behandla uppgifterna och därmed blir personuppgiftsansvariga enligt EU:s dataskyddsförordning behövs inte en motsvarande bestämmelse som 6 kap. 2 § andra stycket läke- medelslagen för att reglera personuppgiftsansvaret för innehavare av godkännanden eller registreringar för försäljning av veterinärmedi- cinska läkemedel. Även blir personuppgiftsansvarigt. Syftet med behandling av personuppgifter är att fullgöra det ansvar som vi föreslår att myndigheten ska ha som behörig myn- dighet och för att fullgöra de uppgifter som vi i detta kapitel föreslår att ska utföra. Syftet med den personuppgifts- behandling som innehavarna av godkännande för försäljning utför är att fullgöra de krav som åligger dem enligt EU-förordningen. De skyldigheter som åligger och även innehav- arna av godkännande för försäljning när det gäller databaserna inne- bär enligt vår bedömning inte stora skillnader i behandlingen av personuppgifter i förhållande till vad som sker . Skyldigheterna för dessa aktörer framgår direkt av bestämmelserna i ningen om veterinärmedicinska läkemedel och enligt våra förslag kommer även ha en författningsreglerad skyldig- het att utföra uppgifter som åligger medlemsstaterna när det gäller databaserna. Behandlingen av personuppgifterna kan alltså anses vara nödvändig för att fullgöra en rättslig förpliktelse och är därmed tillåten enligt artikel 6.1 c i EU:s dataskyddsförordning och 2 kap. 1 § lagen med kompletterande bestämmelser till EU:s dataskydds- förordning. Behandlingen för kan också ses som nödvändig för att fullgöra en uppgift av allmänt intresse eller som ett led i myndighetsutövning. bör därför även med stöd av artikel 6.1 e i EU:s dataskyddsförordning och 2 kap. 2 § lagen med kompletterande bestämmelser till EU:s dataskyddsförordning kunna utföra den personuppgiftsbehandling som det är frågan om här. Den rättsliga grunden för personuppgiftsbehandlingen i syfte att fullgöra skyldigheterna när det gäller databaserna är fastställd i EU-förordningen om veterinärmedicinska läkemedel på det sätt som avses i artikel 6.3 i EU:s dataskyddsförordning. Även i nationell rätt fastställs den rättsliga grunden för behandlingen när det gäller t.ex. regleringen om det nationella systemet för farmakovigilans. Behandlingen bedöms kunna innefatta sådana känsliga person- uppgifter som avses i artikel 9 i EU:s dataskyddsförordning. Som exempel kan anges att det kan röra sig om personuppgifter för människor som drabbats av misstänkta biverkningar vid exponering för ett veterinärmedicinskt läkemedel. I 3 kap. 13 § läkemedelsför- ordningen finns ett undantag från förbudet att behandla sådana upp- gifter. Paragrafen infördes genom läkemedelsförordning och som grund angavs att behandlingen behövdes med hänsyn till ett viktigt allmänt intresse.7 Paragrafen sågs över i samband med att personuppgiftsbehandling inom områden sågs över till följd av EU:s dataskyddsförordning.8 Då gjorde man bedöm- ningen att undantaget kunde fortsätta att gälla, men att det krävdes att det fanns reglering om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. När det gällde ansåg man att befintliga sekretess- bestämmelser och bestämmelser om tystnadsplikt utgjorde lämpliga och tillräckliga skyddsåtgärder. När det gällde innehavare av god- kännande eller registrering för försäljning gjordes dock bedömningen att den behandling av känsliga personuppgifter som innehavare av godkännande eller registrering för försäljning får utföra måste be- gränsas på det sätt som anges i andra stycket i 3 kap. 13 § läke- medelsförordningen.9 Under den här utredningen har det framkommit att vissa per- sonuppgifter som behandlas av myndigheterna inte kommer att föras över till unionsdatabaserna. Med hänsyn till detta och med beaktande av det skydd för enskildas integritet som befintliga och föreslagna sekretessbestämmelser, bl.a. utformningen av 3 kap. 13 § andra stycket läkemedelsförordningen gör utredningen bedömningen att det integritetsintrång som behandlingen innebär måste anses vara proportionerligt i förhållande till syftet, nämligen att kunna fullgöra skyldigheterna i EU-förordningen om veterinärmedicinska läke- medel när det gäller databaserna. Det krävs dock en ändring i 3 kap. 13§ läkemedelsförordningen så att den bestämmelsen även gäller när personuppgiftsbehandlingen är nödvändig för att utföra skyldigheter enligt EU-förordningen om veterinärmedicinska läkemedel. 2005/06:70 s. 144–145. 8Se SOU 2017:66 och prop. 2017/18:171. 9SOU 2017:66 s. 585 ff. 18Inrapportering av uppgifter om antimikrobiella läkemedel som används till djur EU-förordningen om veterinärmedicinska läkemedel innehåller be- stämmelser om att medlemsstaterna ska samla in och rapportera uppgifter om försäljningsvolym och användning av antimikrobiella läkemedel till djur till (artikel 57). Bestämmelsen gäller även i tillämpliga delar för foder som innehåller läkemedel och mellanpro- dukter (artikel 4.4 i EU-förordningen om foder som innehåller läkemedel). Regleringen har inte någon motsvarighet i tidigare EU- lagstiftning. startade dock ett projekt, Esvac, där medlemsländerna samarbetar i ett frivilligt nätverk. är samord- nare och antalet rapporterande länder har sedan starten ökat från nio till 31. Esvac samlar in försäljningsdata avseende antimikrobiella läkemedel som används för behandling av djur. rapporterar och sådan försäljningsdata till Esvac efter att ha inhämtat och bearbetat uppgifter från . En bakgrund om vilka register, vilken rapportering som görs och om de databaser som finns finns i avsnitt 3.16. I vårt uppdrag ingår att överväga vilka praktiska och rättsliga möjligheter berörda myndigheter har att få tillgång till uppgifter om försäljningsvolym och användning av antimikrobiella läkemedel till djur och om det behövs författningsändringar eller andra åtgärder för att säkerställa myndigheternas tillgång till nödvändiga uppgifter för att rapporteringsskyldigheten enligt artikel 57 i EU-förord- ningen om veterinärmedicinska läkemedel och artikel 4.4 i EU-för- ordningen om foder som innehåller läkemedel ska kunna fullgöras. Enligt våra direktiv ska EU:s dataskyddsförordning utgöra utgångs- Inrapportering av uppgifter om antimikrobiella läkemedel som används till djur punkten i den analys som ska göras. Även behovet av reglering och utformning av författningsförslag från dataskydds- och offentlig- hets- och sekretessynpunkt ska analyseras. Utredningen ska vidare beakta de förslag som lämnats i betänkandet Läkemedel för djur, maskinell dos och sällsynta tillstånd (SOU 2014:87), E-hälsomyndig- hetens rapport enligt Uppdrag om tillgång till upp- gifter om expediering av läkemedel för djur1, rap- port Uppdrag om tillgång till uppgifter om expediering av läkemedel för djur2 och för förbättrad in- rapportering av djursjukdata3. har skickat de förslag som lämnas i , med som bilaga, på remiss med svarstid . Tillsammans med dessa rapporter har även en kompletterande promemoria till om sekretess och tystnadsplikt remitterats. och rapporter innehåller delvis motsvarande förslag som de som vi lämnar i detta kapitel. Rapporterna har dock en vidare ansats än att endast möjliggöra upp- giftsinsamling och överföring av uppgifter för att uppfylla kraven i EU-förordningarna då de även innehåller överväganden och förslag av betydelse för tillsyn, annan statistik och uppföljning. Vi återkom- mer till rapporterna sist i detta kapitel i den del som vi inte lämnar motsvarande förslag som framgår av rapporterna. I detta kapitel behandlas rapporteringsskyldigheten enligt arti- kel 57 i EU-förordningen om veterinärmedicinska läkemedel. Det redogörs vidare för och nuvarande respek- tive uppdrag med relevans för frågor om antibiotika och antibio- tikaresistens.