sou · H9B3102 · 2022-01-01 00:00:00 — Motsvarande bestämmelse för finns vad gäller svenska e-recept i lagen om nationell läkemedelslista (6 kap. 1 §). När ett e-recept från EES har expedierats på ett öppenvårdsapotek i ska uppgifter om uttaget återrapporteras till behörig kon- taktpunkt för e-hälsa enligt kraven i tjänsten e-recept över lands- gränser. kommer också att behöva lämna ut uppgifter som myndigheten vidarebefordrar från öppenvårdsapoteket till den utländska kontaktpunkten för e-hälsa som följer av den fråga- svarstjänst som beskrivs i avsnitt 5.4.1. Av samma skäl som redo- visats ovan föreslår utredningen även en bestämmelse om uppgifts- skyldighet för till berörd kontaktpunkt i ett annat EES-land. För att uppgiftsskyldigheten till expedierande personal på öppen- vårdsapotek och till utländsk kontaktpunkt ska kunna bryta sekre- tessen måste en hänvisning i OSL ske till den nya lagen (jfr 8 kap. 1 § OSL), se vidare avsnitt 10.6. Utredningens förslag: En bestämmelse om uppgiftsskyldighet för till ska införas. Utredningen har i tidigare avsnitt redogjort för behov av uppgifter och föreslår i avsnitt 9.7.6 att personuppgifter ska få behandlas för ändamål som avser redovisning av uppgifter till . får uppgifter om bl.a. för- skriven och expedierad vara, patientens namn, personnummer eller samordningsnummer, folkbokföringsort och postnumret i patien- tens bostadsadress, förskrivarens namn, yrke, specialitet, arbetsplats, arbetsplatskod och förskrivarkod, kostnad, samt andra uppgifter som krävs i samband med en förskrivning eller expediering (6 kap. 8 § lag om nationell läkemedelslista). Vid expediering av e-recept utfärdade i ett annat EES-land kom- mer uppgifterna om expedieringen skilja sig åt i vissa avseenden från uppgifterna som finns för svenska expedieringar. Främst kommer patienten inte ha ett svenskt person- eller samordningsnummer. Läke- medelsverket har till utredningen uppgett att myndigheten har behov En ny lag om personuppgiftshantering av liknande uppgifter som myndigheten får för de svenska e-recepten för sin tillsyn över öppenvårdsapotekens tillhandahållande- och uppgiftsskyldighet enligt lagen om handel med läkemedel. Myn- digheten behöver patientens namn, födelsedatum och expedierande apotek för att kunna identifiera receptet. Förskrivet och expedierat läkemedel behövs också. Utredningen anser därför att bör på begäran lämna uppgifter till om förskrivet läkemedel (mängd och dosering, aktiv substans, läkemedelsform, styrka, administrer- ingssätt, behandlingsändamål och datum för förskrivning), patien- tens namn, födelsedatum, land, uppgift om förskrivarens namn, yrke, expedierat läkemedel (mängd och dosering, aktiv substans, läkemedels- form, styrka, administreringssätt, behandlingsändamål, datum för expe- diering), expedierande apotek, expedierande farmaceut, kostnad, och andra uppgifter som krävs i samband med en förskrivning eller en expediering. Med begreppet expedierat läkemedel avser utredningen det specifika läkemedel som har expedierats. I den nationella läke- medelslistan används begreppet vara för både läkemedel och övriga varor i motsvarande bestämmelse. I förarbetena anges att med andra varor avses teknisk sprit, förbrukningsartiklar, livsmedel för sär- skilda näringsändamål och de varor som upptas i föreskrifter (LVFS 2011:15).23 I denna lag används begreppet läke- medel för att förtydliga att det inte avser andra varor utan läkemedel. Uppgifterna ska redovisas per öppenvårdsapotek. Mot bakgrund av att det rör sig om en skyldighet för E-hälso- myndigheten föreslog regeringen i förarbetena till den nationella läkemedelslistan att det i lagen införs en uttrycklig uppgiftsskyldig- het för gentemot , som mot- svarade dåvarande 18 a § lagen om receptregister. Skälet till att en bestämmelse om uppgiftsskyldighet infördes i receptregisterlagen var för att det inte skulle råda något tvivel om att uppgiftslämnandet inte är obehörigt, men också för att tydliggöra att det är fråga om ett åliggande för dåvarande Apotekens Service AB.24 Utredningen gör samma bedömning som gjordes i förarbetena till tidigare lagstiftningar och föreslår en bestämmelse om uppgifts- skyldighet för till . En sådan uppgiftsskyldighet i lag som utredningen föreslår innebär att sekretess 2017/18:233 s. 223 och 229. 2017/18:223 s. 171 och prop. 2008/09:145 s. 316. En ny lag om personuppgiftshantering inte hindrar att uppgift lämnas till annan myndighet enligt 10 kap. 28 § OSL. Det kan vara så att vissa av de uppräknade uppgifterna som Läke- medelsverket behöver för sin tillsyn inte finns hos E-hälsomyndig- heten, beroende på t.ex. vilka uppgifter har tagit emot från öppenvårdsapoteket och den nationella kontaktpunkten i land A. Utredningen anser därför att det bör framgå av bestämmel- sen att endast kan lämna de uppgifter som myn- digheten har till . Utredningen gör vidare bedömningen att de uppgifter E-hälso- myndigheten ska lämna till för myndighetens tillsyn över uppgifts- och tillhandahållandeskyldigheten bör anges i författning men inte regleras i lag, utan på en lägre normgivnings- nivå. Utredningen föreslår att regeringen bör få ett bemyndigande att meddela föreskrifter om vilka uppgifter som ska lämnas, vilket lämpligen placeras sist i lagen. Mer detaljerade föreskrifter bör med- delas i en ny förordning till denna lag. Utredningens förslag: En bestämmelse om uppgiftsskyldighet för till ska införas. Utredningen har i tidigare avsnitt redogjort för be- hov av uppgifter om e-recept som utfärdats i ett annat EES-land och föreslår i avsnitt 9.7.7 att personuppgifter ska få behandlas för ända- mål som avser redovisning av uppgifter till . får uppgifter om datum för förskrivning och expediering, förskriven och expedierad vara, mängd och dosering, kostnad och kostnadsreducering enligt lagen om läkemedelsför- måner m.m., ordinationsorsak, patientens personnummer eller sam- ordningsnummer och folkbokföringsort, och förskrivarens yrke, specialitet och arbetsplatskod (6 kap. 5 § lag om nationell läke- medelslista). Vid expediering av e-recept utfärdade i ett annat EES- land kommer uppgifterna om expedieringen skilja sig åt i vissa av- seenden från uppgifterna som finns för svenska expedieringar. Patienten kommer t.ex. inte ha ett svenskt person- eller samordnings- nummer. har till utredningen uppgett att myndig- En ny lag om personuppgiftshantering heten har behov av liknande uppgifter som myndigheten får för de svenska e-recepten. Utredningen instämmer i detta och anser att myndigheten ska få tillgång till liknande uppgifter även för e-recept från EES. Vilka uppgifter myndigheten får behandla för aktuellt ändamål framgår av 4 § förordning om läkemedelsregister hos Social- styrelsen. Utredningen anser därför att uppgiftsskyldigheten ska avse de uppgifter som är nödvändiga för ändamålet epidemiologiska under- sökningar, forskning, framställning av statistik, uppföljning, utvär- dering och kvalitetssäkring inom hälso- och sjukvårdsområdet. Ut- redningens bedömning är att det inte är nödvändigt att räkna upp uppgifterna i lagstiftningen. Mot bakgrund av att det rör sig om en skyldighet för E-hälso- myndigheten föreslog regeringen i förarbetena till den nationella läkemedelslistan att det i lagen införs en uttrycklig uppgiftsskyld- ighet för gentemot som mot- svarade tidigare reglering i 16 § lagen om receptregister.25 Bestäm- melsen om uppgiftsskyldighet i receptregisterlagen ansågs nödvändig för att det inte skulle råda något tvivel om att uppgiftslämnandet inte var obehörigt, men också för att tydliggöra att det var fråga om ett åliggande för dåvarande Apotekens Service AB.26 Utredningen gör samma bedömning som i förarbetena till tidigare lagstiftning och föreslår en uppgiftsskyldighet för till Social- styrelsen. En sådan uppgiftsskyldighet i lag som utredningen före- slår innebär att sekretess inte hindrar att uppgift lämnas till annan myndighet enligt 10 kap. 28 § OSL. 9.12Tilldelning av behörighet och kontroll av elektronisk åtkomst Utredningens förslag: En bestämmelse ska införas om att E-hälso- myndigheten ska bestämma villkor för tilldelning av behörighet till den som arbetar hos myndigheten för åtkomst till uppgifter som behandlas enligt lagen. Behörigheten ska begränsas till sådan information som den som arbetar hos be- höver för att kunna utföra sina arbetsuppgifter. 2017/18:223 s. 169. 2017/18:223 s. 169 och prop. 2008/09:145 s. 316. En ny lag om personuppgiftshantering En bestämmelse ska vidare införas som anger att E-hälsomyn- digheten ska se till att åtkomst till personuppgifter som behandlas enligt lagen dokumenteras och kan kontrolleras. E-hälsomyndig- heten ska systematiskt och återkommande kontrollera om någon obehörigen tar del av uppgifterna. Enligt artikel 5.1 c i dataskyddsförordningen ska personuppgifter vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (principen om uppgiftsminimering). En annan grundläggande princip är att den personuppgiftsansvarige ska vidta åtgärder som säkerställer lämplig säkerhet för personupp- gifterna, inbegripet bl.a. skydd mot obehörig eller otillåten behand- ling, med användning av lämpliga tekniska eller organisatoriska åt- gärder (principen om integritet och konfidentialitet i artikel 5.1 f). Det är den personuppgiftsansvarige som ansvarar för säkerheten och som, enligt artikel 24 i dataskyddsförordningen, med beaktande av behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska perso- ners rättigheter och friheter, ska genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behand- lingen utförs i enlighet med dataskyddsförordningen. Dessa åtgärder ska ses över och uppdateras vid behov. De tekniska och organisa- toriska åtgärderna ska vara utformade för ett effektivt genomförande av dataskyddsprinciperna, t.ex. principen om uppgiftsminimering i artikel 5 och för integrering av de nödvändiga skyddsåtgärderna i behandlingen (artikel 25). Åtgärder ska vidtas både vid fastställandet av vilka medel behandlingen utförs med och vid själva behandlingen och genomföras med beaktande av den senaste utvecklingen, genom- förandekostnader och behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter. Den personuppgifts- ansvarige ska vidta åtgärder för att säkerställa att endast personupp- gifter som är nödvändiga för varje specifikt ändamål med behand- lingen behandlas. Vidare ska personuppgifterna som huvudregel inte utan den registrerades medverkan göras tillgängliga för ett obegrän- sat antal fysiska personer. En ny lag om personuppgiftshantering Iartikel 32 i dataskyddsförordningen preciseras de säkerhets- åtgärder som bör vidtas enligt artikel 25. De åtgärder som ska vidtas ska, när det är lämpligt, inbegripa pseudonymisering och kryptering av personuppgifter, förmågan att fortlöpande säkerställa konfiden- tialitet, integritet, tillgänglighet och motståndskraft hos behandlings- systemen och tjänsterna, förmågan att återställa tillgängligheten och tillgången till personuppgifter i rimlig tid vid en fysisk eller teknisk incident, ett förfarande för att regelbundet testa, undersöka och ut- värdera effektiviteten hos de tekniska och organisatoriska åtgärder som ska säkerställa behandlingens säkerhet. Vid bedömningen av lämp- lig säkerhetsnivå ska särskild hänsyn tas till de risker som behand- lingen medför, i synnerhet från oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åt- komst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats. Åtgärder ska vidare vidtas för att säkerställa att varje fysisk person som utför arbete under den personuppgiftsansvariges eller personuppgiftsbiträdets överinseende, och som får tillgång till personuppgifter, endast behandlar dessa på instruktion från den per- sonuppgiftsansvarige, om inte eller medlemsländernas nationella rätt ålägger honom eller henne att göra det. Informationsutbytet av e-recept över landsgränser kommer att om- fatta en stor mängd känsliga personuppgifter. Som framgår av tidigare avsnitt är tjänsten valfri. Om personuppgifterna inte hanteras på ett säkert sätt som skyddar mot obehörigt utnyttjande av uppgifterna, kan det finnas risk att patienter väljer att inte använda den möjlighet som informationsutbytet medför. Därför är det viktigt att det tydligt framgår att som personuppgiftsansvarig har an- svaret för att den elektroniska åtkomsten till personuppgifter hos myndigheten inte är mer omfattande än vad som krävs för att den som arbetar hos myndigheten ska kunna utföra sina arbetsuppgifter. Ilagen om nationell läkemedelslista ställs krav på att E-hälso- myndigheten ska bestämma villkor för tilldelning av behörighet för åtkomst till personuppgifter och på dokumentation (8 kap. 1 §). I förarbetena till lagen uttalade regeringen att bör ta fram rutiner för behörighetstilldelning för de personalkate- En ny lag om personuppgiftshantering gorier inom myndigheten som kommer ifråga för åtkomst till uppgifter i registret. Åtkomsten till uppgifterna i registret föreslogs vara begränsad till det som behövs för att den som arbetar på myn- digheten ska kunna fullgöra sina arbetsuppgifter.27 Utredningen anser att en bestämmelse i lagen om krav på behörighetstilldelning bör införas, i likhet med den nationella läkemedelslistan. Behörigheten för åtkomst till personuppgifter ska vara anpassad efter den anställ- des behov av personuppgifter för att kunna utföra sitt arbete. Ut- gångspunkten för tilldelning av behörighet för personuppgifterna ska begränsas till det som behövs för att den som arbetar på myn- digheten ska kunna fullgöra sina arbetsuppgifter. Av detta följer att behörigheter ska följas upp och ändras efter hand som ändringar i befattningshavarens arbetsuppgifter ger anledning till det. I lagen om nationell läkemedelslista ställs vidare krav på att ska se till att åtkomst till personuppgifter i den nationella läkemedelslistan dokumenteras och kontrolleras. Myndig- heten ska systematiskt och återkommande kontrollera om någon obehörigen tar del av uppgifter i registret (8 kap. 1 §). I förarbetena till lagen uttalade regeringen att det ankommer på myndigheten att ta fram en säkerhetslösning som skyddar uppgifterna i registret mot otillåten behandling. Myndigheten bör identifiera vilka risker för obehörig användning som finns och vilka åtgärder som ska vidtas för att dessa risker ska minimeras eller om möjligt upphöra. Det ska exempelvis finnas en säker autentisering av den aktör som vill få åt- komst till registret. För att åtkomsten ska kunna kontrolleras bör det sparas loggar som visar så detaljerad information som behövs för att kunna utreda eventuell obehörig åtkomst eller annan behandling av uppgifterna i registret.28 För att kunna säkerställa skyddet mot obehörig åtkomst anser utredningen att en bestämmelse som motsvarar den som finns i lagen om nationell läkemedelslista med krav på loggning och kontroll av elektronisk åtkomst bör införas i lagen. Utredningen anser att det ska framgå av lagen att ska se till att åtkomsten till personuppgifterna dokumenteras och kan kontrolleras. Vidare ska det framgå att bör göra systematiska och åter- kommande kontroller av om någon obehörigen kommer åt person- uppgifterna. Det är upp till som personupp- 2017/18:223 s. 177. 2017/18:223 s. 177. En ny lag om personuppgiftshantering giftsansvarig att se till att det finns bra loggningssystem och att uppföljande kontroller görs för att lagen ska kunna följas. Även om skyldigheten för den personuppgiftsansvarige att på olika sätt begränsa tillgången till personuppgifter kan sägas följa direkt av dataskyddsförordningens krav (se bl.a. artikel 24 och 25) anser utredningen i likhet med den bedömning som regeringen gjorde i förarbetena till den nationella läkemedelslistan att det bör regleras tydligt i lagen eftersom det rör känsliga uppgifter om personers hälsa.29 Bestämmelser om vilka säkerhetsåtgärder som ska vidtas i en viss verksamhet utgör vidare ett sådant specifikt krav på personupp- giftsbehandling som enligt artikel 6.2 och 6.3 i dataskyddsförord- ningen får fastställas i nationell rätt. Utredningens förslag: Personuppgifter ska tas bort senast efter att läkemedlet har expedierats på ett öppenvårdsapotek. Lagring av personuppgifter är en form av behandling av person- uppgifter enligt dataskyddsförordningen. Huvudregeln i artikel 5.1 e i dataskyddsförordningen är att personuppgifter inte får förvaras i en form som möjliggör identifiering av den registrerade än vad som är nödvändigt för de ändamål för vilka personupp- gifterna behandlas. Denna utgångspunkt får anses vara ett uttryck för resultatet av avvägningen mellan integritetsskyddsintresset och det informationsbehov som uppgifterna ska tillgodose. När en per- sonuppgift inte längre behöver behandlas för de ursprungliga ända- målen ska uppgiften raderas eller avidentifieras. Med avidentifiering menas att alla möjligheter att identifiera en person tas bort. Särskilda regler gäller enligt dataskyddsförordningen om personuppgifter be- handlas för arkivändamål av allmänt intresse, vetenskapliga eller histo- riska forskningsändamål eller statistiska ändamål. Om personupp- gifter behandlas enbart för dessa ändamål, får de bl.a. lagras under förutsättning att lämpliga tekniska och orga- nisatoriska åtgärder vidtas i enlighet med kraven i artikel 89.1 i data- skyddsförordningen. 2017/18:223 s. 177. En ny lag om personuppgiftshantering Regleringen i dataskyddsförordningen gäller inte i den utsträck- ning att det skulle hindra en myndighet att arkivera och bevara allmänna handlingar. Handlingsoffentligheten har företräde framför dataskyddsförordningen, vilket innebär att personuppgifter i allmänna handlingar inte ska gallras enligt bestämmelser i dataskyddsförord- ningen. Av 3 § arkivlagen (1990:782) framgår att en myndighets arkiv, som bl.a. består av de allmänna handlingarna från myndighetens verk- samhet, ska bevaras. Huvudprincipen enligt arkivlagstiftningen är således att allmänna handlingar ska bevaras. Enligt bestämmelsen ska myndigheternas arkiv bevaras, hållas ordnade och vårdas så att de tillgodoser rätten att ta del av allmänna handlingar, behovet av infor- mation för rättskipningen och förvaltningen samt forskningens behov. Det följer dock av 10 § arkivlagen att allmänna handlingar under vissa förutsättningar får gallras. När det gäller gallring är arkivlagens be- stämmelser subsidiära i förhållande till annan lagstiftning. Om det finns avvikande bestämmelser om gallring av vissa allmänna hand- lingar i annan lag eller förordning, har de bestämmelserna företräde (10 § tredje stycket arkivlagen). Av 14 § arkivförordningen framgår att statliga myndigheter får gallra allmänna handlingar endast i enlig- het med föreskrifter eller beslut av , om inte särskilda gallringsföreskrifter finns i lag eller förordning. En bestämmelse om gallring innebär alltså inte bara att uppgiften inte längre får behandlas i dataskyddsförordningens mening, utan även att arkivrättslig gallring ska ske. Om det i författningar som rör myndigheters behandling av personuppgifter inte finns några särskilda regler om gallring, ska således arkivlagens bestämmelser om bevarande som huvudprincip tillämpas. Regeringen har bedömt att bestämmelser i registerförfattningar, som innebär att personuppgifter ska eller får bevaras alternativt gallras eller när de är nöd- vändiga för de ändamål för vilka de behandlas, är sådana nationella bestämmelser om lagringstid som är tillåtna enligt artikel 6.2 och 6.3 i dataskyddsförordningen när behandlingen grundar sig på en rätts- lig förpliktelse, en uppgift av allmänt intresse eller som ett led i myn- dighetsutövning.30 Den rättsliga grunden för informationsutbytet av e-recept över landsgränser är rättslig förpliktelse och uppgift av allmänt intresse enligt artikel 6.1 c och 6.1 e i dataskyddsförordningen. 2017/18:105 s. 142. En ny lag om personuppgiftshantering ningens bedömning är därför att en särskild bestämmelse om lagrings- tid är förenlig med dataskyddsförordningen och kan införas i lagen. Principen att gallring ska ske motiveras i första hand av integ- ritetsskäl.31 Behovet av gallringsbestämmelser måste således avgöras genom en avvägning mellan å ena sidan intresset av skydd för den per- sonliga integriteten och å andra sidan intresset av offentlighet och insyn i myndigheternas verksamhet. Vid informationsutbytet av e-recept över landsgränser kommer känsliga personuppgifter att behandlas om patienters hälsa. Behandlingen kan komma att omfatta en stor mängd patienter. Utredningens bedömning är därför att en bestäm- melse om vilken bevarandetid som ska gälla för uppgifterna som be- handlas enligt lagen ska införas. Bevarandetidens längd ska motiveras utifrån de ändamål som lagen avser att tillgodose och med beaktande av integritetsskyddsintresset. Frågan om olika bevarandetider lyftes i förarbetena till den natio- nella läkemedelslistan. Regeringen uppgav då att en konstruktion med olika bevarandetider skulle försvåra den personuppgiftsansva- riges hantering av uppgifterna och även för den registrerade att bilda sig en uppfattning om vad den verkliga bevarandetiden är. En sådan lösning är därför utifrån ett integritetshänseende inte ändamålsenlig. Regeringen gjorde därför bedömningen att den tid som föreslagits i departementspromemorian var välavvägd för att ända- målen med personuppgiftsbehandlingen i den nationella läkemedels- listan skulle uppnås. Regeringen uttalade vidare i förarbetena bl.a. att ändamålen avsåg huvudsakligen ”hantering som är nödvändig för att en patient ska kunna få en säker ordination och expediering av ett förskrivet läkemedel samt redovisning av uppgifter till olika myndig- heter som behöver uppgifterna i sin tillsyn eller övriga verksamhet”. Vid bedömningen av vilken bevarandetid som var lämplig ansågs syftet med dessa ändamål vara vägledande. Regeringen bedömde då att var välavvägd för ändamålen med personuppgiftsbehand- lingen i den nationella läkemedelslistan.32 Vad gäller de i lagen föreslagna ändamålen kan det precis som i förarbetena till den nationella läkemedelslistan diskuteras om det är lämpligt med olika bevarandetider för de olika ändamålen. Syftet med lagen är i vissa avseenden liknande som den nationella läkemedels- listan bl.a. åstadkommande av en säker expediering. 1989/90:72 s. 50. 2017/18:223 s. 120 f. En ny lag om personuppgiftshantering lagen till att möjliggöra för en patient som är t.ex. på resande fot att hämta ut sitt läkemedel i ett annat EES-land på ett säkert sätt och att uppgifter om expedieringen ska kunna återrapporteras till patientens hemland. Öppenvårdsapoteken har i samband med expedieringen en skyldighet i enlighet med lagen om handel med läkemedel att lämna vissa uppgifter om expedieringen till . Dessa uppgifter hanteras och lämnas sedan ut av till för verkets tillsyn och till för upp- följning. Syftet är inte att skapa ett register med fullständig informa- tion om patienten. Vad gäller t.ex. ändamålet tillsyn har verket behov av uppgifter om expediering av läkemedel för sin tillsyn. Av 10 kap. 1 § receptföreskrifterna följer att viss dokumentation ska bevaras och hållas tillgänglig för tillsyn , t.ex. verifikationer för utlämnande av läkemedel. Eftersom använder sig av verifikationen som underlag för bedömningen av om öppenvårds- apoteken uppfyller sin uppgiftsskyldighet som följer av lagen om han- del med läkemedel är det enligt utredningens bedömning lämpligt att ska gälla för ändamålet i 6 § 4 i den föreslagna lagen, dvs. för tillsyn över tillhandahållandeskyldigheten och uppgiftsskyldigheten i 2 kap. 6 § 16 och 2 kap. 6 § 17 lagen om han- del med läkemedel.