sou · H9B3102 · 2022-01-01 00:00:00 — Därför bör vårdnadshavare åt äldre barn inte kunna hämta ut läkemedel för sina barn i EES, om inte barnets integritet kan säkerställas. Förutsätt- ningarna för att hämta ut läkemedel åt patienten ska också vara att ombudet ska kunna agera på motsvarande sätt som patienten.39 Det är svårt att säga när vårdnadshavaren kan göra det, med hänsyn till bestämmelserna till skydd för barnet. Det är något som främst E-hälso- myndigheten som personuppgiftsansvarig bör säkerställa. Bedöm- ningen behöver också göras utifrån hur den nya funktionaliteten i tjänsten som gör det möjligt att hämta ut läkemedel åt patienten ut- formas och vad det innebär för svensk del. Motsvarande överväganden behöver göras för yngre barn utifrån de förutsättningar som gäller för dem bl.a. utifrån ett integritets- och sekretessperspektiv, samt spärrar i den nationella läkemedelslistan. Om det ska vara möjligt att kunna hämta ut läkemedel för yngre barn bör främst göra en bedömning av. Pågående arbete inom nätverket för e-hälsa och nationellt bör beaktas. arbetar, med anledning av lagen om 39Se eHDSI Requirements Catalogue, 02.01 Uniquely Identify the Patient. Grundläggande förutsättningar för personuppgiftsbehandling m.m. SOU 2021:102 nationell läkemedelslista, för att hitta lösningar som möjliggör åtk- omst till uppgifterna för vårdnadshavare och barn som myndigheten beaktar bestämmelserna i till skydd för barns per- sonliga integritet.40 bör även överväga när barn kan samtycka till att hämta ut läkemedel på apotek inom ramen för samtyckestjänsten. bör beakta barnets stigande ålder och mognad samt att barnet har rätt att uttrycka sin åsikt och få den beaktad. 40JO beslut , dnr 3331-2019 och svar med anledning av detta. 8Ändringar i lagen om nationell läkemedelslista Utredningen har i föregående kapitel 7 föreslagit att den personupp- giftsbehandling som är nödvändig för att svenska e-recept ska kunna expedieras i ett annat EES-land ska regleras i lagen (2018:1212) om nationell läkemedelslista. I detta kapitel redogör utredningen för de ändringar som krävs i lagen om nationell läkemedelslista för att svenska e-recept ska kunna expedieras i ett annat EES-land. Utred- ningen redogör också för hur förslagen förhåller sig till dataskydds- regleringen. Dessutom analyseras även hur vissa relevanta bestäm- melser i lagen ska tillämpas på e-recept som ska expedieras i ett annat EES-land, t.ex. bestämmelserna om känsliga personuppgifter och personuppgiftsansvar. Dispositionen följer den struktur som finns i lagen om nationell läkemedelslista. Utredningen har även i uppdrag att analysera möjligheterna att inkludera uppgifter om förskrivare, farmaceuter och apotek från andra EES-länder i den nationella läkemedelslistan med anledning av det gränsöverskridande informationsutbytet. Om så, ska behovet av att ändra i reglerna om offentlighet och sekretess analyseras, liksom för- hållandet till bestämmelserna om skyddet mot betydande intrång i den personliga integriteten i 2 kap. 6 § andra stycket regeringsformen (RF). Eventuella inskränkningar i integritetsskyddet kopplade till sekretess och tystnadsplikt, ska följas av analyser av mindre integri- tetskränkande alternativ samt förslag på särskilda integritetsskyd- dande åtgärder. En analys av denna del i uppdraget avslutar kapitlet. Ändringar i lagen om nationell läkemedelslista 8.2Behov av ändringar i lagen om nationell läkemedelslista 8.2.1Behandling av känsliga personuppgifter Utredningens bedömning: personal omfattas av sådan tystnadsplikt som avses i artikel 9.3 i dataskyddsförord- ningen. En påminnelse om tystnadsplikt när känsliga person- uppgifter behandlas med stöd av artikel 9.2. h i dataskyddsförord- ningen finns i lagen om nationell läkemedelslista. Behandling av känsliga personuppgifter får enligt artikel 9.2 h i data- skyddsförordningen ske om den är nödvändig av skäl som hör sam- man med förebyggande hälso- och sjukvård och yrkesmedicin, bedöm- ningen av en arbetstagares arbetskapacitet, medicinska diagnoser, tillhandahållande av hälso- och sjukvård, behandling, social omsorg eller förvaltning av hälso- och sjukvårdstjänster och social omsorg och av deras system, på grundval av eller den nationella rätten eller enligt avtal med yrkesverksamma på hälsoområdet. En ytterligare förutsättning för att behandling enligt artikel 9.2 h ska vara tillåten är att kravet på tystnadsplikt enligt artikel 9.3 i data- skyddsförordningen är uppfyllt. Utredningen har i avsnitt 7.5 gjort bedömningen att behandlingen av känsliga personuppgifter vid det gränsöverskridande informations- utbytet är nödvändig av skäl som hör samman med de hälso- och sjuk- vårdsverksamheter som anges i artikel 9.2 h i dataskyddsförordningen. När det gäller kravet på stöd i eller nationell rätt i artikel 9.2 h ansåg regeringen i förarbetena till lagen om nationell läkemedelslista att verksamheten utförs på grundval av nationell rätt eftersom den sker enligt verksamhetslagstiftningen på de aktuella om- rådena, t.ex. lagen om nationell läkemedelslista, hälso- och sjukvårds- lagen (2017:30), lagen (2009:366) om handel med läkemedel och även förordningen (2013:1031) med instruktion för E-hälsomyndig- heten.1 Den behandling av personuppgifter som myndigheten kom- mer att utföra vid expediering av svenska e-recept på apotek eller mot- svarande i ett annat EES-land bör enligt utredningens bedömning ske med stöd av dataskyddsförordningen, lagen om nationell läke- medelslista och instruktion. 2017/18:223 s. 79. Ändringar i lagen om nationell läkemedelslista En ytterligare förutsättning för att behandlingen ska vara tillåten enligt artikel 9.2 h i dataskyddsförordningen är att kravet på tystnads- plikt i artikel 9.3 i dataskyddsförordningen är uppfyllt. E-hälsomyn- dighetens personal omfattas av tystnadsplikt enligt 25 kap. offentlig- hets- och sekretesslagen (2009:400)(OSL). För att göra den nationella regleringen tydligare har regeringen uttalat att en påminnelse om kravet på tystnadsplikt i artikel 9.3 i dataskyddsförordningen bör tas in i registerförfattningar på hälso- och sjukvårdens område.2 En sådan bestämmelse finns redan i 2 kap. 2 § lagen om nationell läkemedelslista. Den bestämmelsen omfattar enligt utredningens bedömning även behand- ling av känsliga personuppgifter när svenska e-recept expedieras på ett apotek eller motsvarande i ett annat EES-land. Någon ytterligare bestämmelse behövs därför inte. Utredningens bedömning: är personupp- giftsansvarig för den behandling som myndigheten utför i sam- band med att svenska e-recept expedieras i ett annat EES-land. Någon ytterligare bestämmelse härom behöver inte införas i lagen om nationell läkemedelslista. Den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter är personupp- giftsansvarig. Enligt artikel 4.7 i dataskyddsförordningen kan den personuppgiftsansvarige, eller kriterierna för att utse denne, anges i nationell rätt eller i om ändamålen och medlen bestäms av sådan lagstiftning. är personuppgiftsansva- rig för den behandling som myndigheten utför i den nationella läke- medelslistan (3 kap. 1 §). Skälen till att ansågs bör vara personuppgiftsansvarig enligt förarbetena till lagen om natio- nell läkemedelslista var bl.a. myndighetens särskilda karaktär av in- frastrukturmyndighet med ansvar för dåvarande register, recept- registret och läkemedelsförteckningen, som omfattas av lagen om nationell läkemedelslista (1 och 2 §§ i instruk- 2017/18:171 s. 106. Ändringar i lagen om nationell läkemedelslista Denna ordning var en följd av att (tidi- gare ) inrättades för att den it-infrastruktur som är nödvändig för drift av apotek skulle förläggas hos en neutral aktör i samband med omregleringen av apoteksmarknaden. Vidare uttalade regeringen att skälet till att måste få behandla personuppgifter för de olika ändamål som anges i lagen om receptregister och lagen om läkemedelsförteckning var behovet av att kunna erbjuda en konkurrensneutral samt ur integritetssynpunkt säker överföring av personuppgifter mellan olika aktörer.3 Av instruktion följer att myndigheten ska ansvara för register och it-funktioner som öppenvårdsapoteken och vårdgivare behöver ha tillgång till för en patientsäker och kostnads- effektiv läkemedelshantering. Myndigheten ska vidare samordna reger- ingens satsningar på e-hälsa och övergripande följa utvecklingen på e-hälsoområdet (1 §). Utredningen föreslår i föregående kapitel att det i instruktion ska framgå att E-hälsomyn- digheten dels ska vara nationell kontaktpunkt för e-hälsa, dels ska till- handahålla tjänster och infrastruktur för det gränsöverskridande infor- mationsutbytet av e-recept. Vidare föreslår utredningen ett nytt ändamål i lagen om nationell läkemedelslista för att behandla personuppgifter för expediering av svenska e-recept på ett apotek eller motsvarande i ett annat EES-land, se avsnitt 8.2.3. Dataskyddsförordningen ger som tidigare nämnts utrymme för nationell reglering av personuppgiftsansvaret om ändamål och medel fastställs i den nationella rätten (artikel 4.7 i dataskyddsförordningen). Det huvudsakliga syftet med behandling av personuppgifter vad gäller ändamålet expediering av svenska e-recept på ett apotek eller motsvarande i ett annat EES-land är att fullgöra sitt uppdrag som nationell kontaktpunkt som utredningen föreslår ska framgå av instruktion. Det innebär bl.a. att vidareförmedla uppgifter mellan den nationella läkemedelslistan och kontaktpunkten i ett annat EES-land. Utredningen finner mot denna bakgrund att bör vara personuppgiftsansvarig för myndighetens behandling av personuppgifter vid expediering av svenska e-recept på apotek eller motsvarande i ett annat EES-land och att myndighetens personupp- giftsansvar bör vara fastställt i nationell rätt. Utredningen gör be- dömningen att den reglering av personuppgiftsansvaret som framgår 2017/18:223 s. 81. Ändringar i lagen om nationell läkemedelslista av 3 kap. 1 § lagen om nationell läkemedelslista även kommer att omfatta behandling av personuppgifter för expediering i ett annat EES-land. Enligt utredningens bedömning behövs därför inte någon ytterligare bestämmelse om personuppgiftsansvaret vad avser över- föring av personuppgifter till ett annat EES-land för expediering av svenska e-recept. Utredningens förslag: Personuppgifter ska få behandlas för ända- målet expediering av läkemedel på ett apotek eller motsvarande i ett annat EES-land. Vidare ska det tydliggöras att uppgifter om förskrivna läkemedel får registreras för expediering på ett apotek eller motsvarande i ett annat EES-land. Utredningens bedömning: Det är förenligt med dataskyddsför- ordningen att införa bestämmelser om behandling av personupp- gifter i enlighet med utredningens förslag. De ändamål för vilka personuppgifterna i lagen om nationell läke- medelslista får behandlas anges i 3 kap. 2–5 §§. Av lagen följer bl.a. att personuppgifter får behandlas om det är nödvändigt för ändamål som rör registrering av uppgifter, bl.a. om förskrivna läkemedel och andra varor som ska expedieras på öppenvårdsapotek, och ändamål som rör expediering på öppenvårdsapotek av läkemedel och andra varor som förskrivits. Enligt 3 kap. 7 § första stycket lagen om natio- nell läkemedelslista får personuppgifter som behandlas enligt 3 kap. 2–5 §§ även behandlas för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilka uppgifterna samlades in. Paragrafen ger uttryck för den s.k. finalitetsprincipen i artikel 5.1 b i dataskyddsförordningen. Ändamålsbegränsningen innebär att den personuppgiftsansvarige måste hålla sig till insamlingsändamålen och ändamål som inte är oförenliga med dessa. Denna bedömning bör göras i förhållande till alla förslag om nya ändamål. Innan redan insamlade personuppgifter Ändringar i lagen om nationell läkemedelslista behandlas för ett annat ändamål än för vilket de samlades in måste de registrerade informeras om den ytterligare behandlingen men med vissa undantag (artikel 14.4 och 14.5 i dataskyddsförordningen). Av 3 kap. 7 § andra stycket lagen om nationell läkemedelslista framgår att behandling av personuppgifter som inte är tillåten enligt lagen ändå får utföras om den registrerade har lämnat ett uttryckligt samtycke till behandlingen. Registrering och expediering av läkemedel på öppenvårdsapotek Den nationella läkemedelslistan innehåller uppgifter om förskrivna läkemedel och andra varor som ska expedieras på öppenvårdsapotek (3 kap. 2 § 1). Av förarbetena till den nationella läkemedelslistan fram- går att registrering av uppgifter om förskrivna läkemedel och andra varor är en grundförutsättning för att registret ska kunna användas och syftar till att möjliggöra personuppgiftsbehandling enligt de övriga ändamål som ska gälla för registret.4 Som framgår av avsnitt 12.4.2 gör utredningen bedömningen att svenska e-recept uppfyller de krav som ställs på e-recept för att kunna användas i tjänsten e-recept över landsgränser och att samma e-recept kan användas antingen i eller i ett annat EES-land. För att tydliggöra att e-recept även kan komma att expedieras på ett apotek eller motsvarande i ett annat EES-land bör ett tillägg göras i 3 kap. 2 § 1. Vidare följer av 3 kap. 3 § lagen om nationell läkemedelslista att personuppgifter får behandlas om det är nödvändigt för ändamål som rör öppenvårdsapotek, bl.a. expediering av läkemedel och andra varor som förskrivits. Begreppet öppenvårdsapotek definieras inte i lagen om nationell läkemedelslista utan i lagen (2009:366) om handel med läkemedel. Med öppenvårdsapotek avses en inrättning för detalj- handel med läkemedel som bedrivs med tillstånd av Läkemedels- verket (1 kap. 4 § lagen om handel med läkemedel). Den som bedriver apoteksverksamhet eller liknande i ett annat EES-land omfattas där- med inte av definitionen öppenvårdsapotek. Eftersom den nuvarande regleringen i lagen om nationell läkemedelslista är begränsad till be- handling som rör öppenvårdsapotek är expediering på ett apotek eller motsvarande i ett annat EES-land inte ett uttryckligen tillåtet ändamål enligt nuvarande reglering. 2017/18:223 s. 89. Ändringar i lagen om nationell läkemedelslista Vid bedömningen om finalitetsprincipen är tillämplig på redan in- samlade personuppgifter bör en bedömning göras i förhållande till artikel 6.4 i dataskyddsförordningen. Av artikeln framgår hur en be- dömning ska göras av om en återanvändning av personuppgifter för ett nytt ändamål är förenligt med insamlingsändamålet. Om det nya ändamålet anses förenligt med de ursprungliga ändamålen krävs inte någon annan separat rättslig grund än den med stöd av vilken insam- lingen av personuppgifter medgavs (skäl 50 till dataskyddsförord- ningen). Vid bedömningen om en återanvändning av personuppgifter är förenlig med insamlingsändamålet ska den personuppgiftsansvarige ta hänsyn till bl.a. kopplingarna mellan de ändamål för vilka person- uppgifterna samlades in och ändamålen med den avsedda ytterligare behandlingen. Viktigt att beakta är också det sammanhang inom vilket personuppgifterna har samlats in, personuppgifternas art, even- tuella konsekvenser för den registrerade och förekomsten av lämpliga skyddsåtgärder (artikel 6.4 i dataskyddsförordningen). Enligt skäl 50 till dataskyddsförordningen ska särskilt de registrerades rimliga för- väntningar till följd av förhållandet till den personuppgiftsansvarige beaktas. Det finns en nära koppling mellan ändamålet i lagen om nationell läkemedelslista som avser öppenvårdsapotek och expediering av läke- medel och andra varor som förskrivits samt den behandling av per- sonuppgifter som sker när ett svenskt e-recept ska expedieras på ett apotek eller motsvarande i ett annat EES-land. Det egentliga syftet att möjliggöra uthämtning av läkemedel är detsamma. Även person- uppgifternas art är detsamma. Det sammanhang som behandlingen sker i är delvis nytt och det är oklart om expediering på ett apotek eller motsvarande i ett annat EES land var något som den registre- rade räknade med när personuppgifterna samlades in. Det finns även vissa skillnader när det gäller konsekvenserna av behandlingen för den registrerade och de skyddsåtgärder som tillämpas. kom- mer inte personuppgifterna att behandlas för expediering i ett annat land om inte den registrerade samtycker till det. Utredningens be- dömning är därför att behandling av personuppgifter för expediering av svenska e-recept på ett apotek eller motsvarande i ett annat EES- land inte är oförenligt med de ändamål för vilka uppgifterna sam- Ändringar i lagen om nationell läkemedelslista lades in men att behandlingen inte enbart bör ske med stöd av finali- tetsprincipen. Personuppgifterna kan inte behandlas med stöd av samtycke Enligt 3 kap. 7 § andra stycket lagen om nationell läkemedelslista får behandling av personuppgifter som inte är tillåten enligt lagen ändå utföras om den registrerade har lämnat ett uttryckligt samtycke till behandlingen. Möjligheterna för myndigheter att behandla person- uppgifter med stöd av samtycke är mycket begränsad. Det är dock inte helt uteslutet för myndigheter att använda samtycke som rätts- lig grund under förutsättning att den registrerade har en fri valmöj- lighet eller utan problem kan vägra eller ta tillbaka sitt samtycke.5 Som exempel på situationer när bestämmelsen om samtycke skulle kunna tillämpas har i förarbetena nämnts behandling av personupp- gifter för mindre avgörande ändamål för patienten, t.ex. aviserings- och påminnelsetjänster, eller behandling av uppgifter om förskrivare, som inte torde ha samma ojämlika förhållande till den personuppgifts- ansvarige som patienter.6 Den behandling som sker när ett svenskt e-recept ska expedieras på ett apotek eller motsvarande i ett annat EES-land är inte sådan. Uppgifter om förskrivare och farmaceuter kommer också att behöva behandlas och från dessa avses inte något samtycke inhämtas. Utredningens bedömning är därför att behand- ling av personuppgifter för expediering på apotek eller motsvarande i ett annat EES-land inte kan ske med stöd av samtycke från den registrerade. Ett nytt ändamål bör införas för expediering av e-recept i ett annat EES-land Utredningen har ovan kommit fram till att expediering av svenska e-recept i ett annat EES-land inte omfattas av de uppräknade ända- målen för vilka personuppgifter får behandlas enligt lagen om natio- nell läkemedelslista och att det inte är lämpligt att behandla person- uppgifterna med stöd av endast finalitetsprincipen eller med stöd av samtycke. För att ska kunna behandla person- 2017/18:171 s. 87 och slutet av skäl 42 till dataskyddsförordningen. 2017/18:171 s. 87. Ändringar i lagen om nationell läkemedelslista uppgifter för expediering av svenska e-recept på ett apotek eller motsvarande i ett annat EES-land behöver enligt utredningens bedöm- ning ett nytt ändamål som motsvarar det som gäller för svenska öppenvårdsapotek i fråga om expediering av läkemedel införas i lagen om nationell läkemedelslista. Med expediering avses den process som börjar med att läkemedel efterfrågas utifrån en förskrivning och avslutas med att ett läkemedel lämnas ut på ett apotek eller mot- svarande i ett annat EES-land. Ändamålet omfattar den behandling som är nödvändig för en expediering bl.a. de kontroller som krävs t.ex. avseende behörig förskrivare och vilka läkemedel som får expe- dieras. Som utredningen kommer fram till i avsnitt 12.4.5 kan detta även omfatta vissa uppgifter om e-recept som inte kan expedieras i ett annat EES-land, eftersom det bidrar till en patientsäker expedier- ing. Det kan jämföras med 8 kap. 11 § receptföreskrifterna. För att avgränsa vilka apotek eller motsvarande inrättningar för detaljhandel med läkemedel som omfattas är det enligt utredningens bedömning lämpligt att begränsa expedieringen till de apotek eller motsvarande i de länder som omfattas av samarbetet. Avgränsningen sker genom hänvisning till de krav som har fastställts av nätverket för e-hälsa. Reglerna innebär bl.a. att det bara är apotek eller mot- svarande inom EU och EES7 som kan delta, att informationsutbytet måste ske via varje lands nationella kontaktpunkt för e-hälsa samt att dessa kontaktpunkter måste ha godkännande från nätverket för e-hälsa för att få delta i tjänsten e-recept över landsgränser. Den rättsliga grunden för behandlingen Enligt dataskyddsförordningen måste varje behandling av person- uppgifter stödja sig på en rättslig grund. I avsnitt 3.2.5 har utred- ningen räknat upp de rättsliga grunderna. Behandlingen stödjer sig på en rättslig grund om den t.ex. är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige eller för att utföra en uppgift av allmänt intresse eller som ett led i myndig- hetsutövning (artikel 6.1 c och 6.1 e i dataskyddsförordningen). Av skäl 45 till dataskyddsförordningen framgår att hälso- och sjukvårds- 7Länder som är medlemmar i kan enligt nätverket delta som observatör och i e-hälso- avtalet, men utredningens förslag gäller endast EES-länder, se avsnitt 2.2. Ändringar i lagen om nationell läkemedelslista ändamål, såsom folkhälsa och socialt skydd och förvaltning av hälso- och sjukvårdstjänster ingår i allmänintresset. I kapitel 7 har utredningen gjort bedömningen att gränsöver- skridande informationsutbyte av e-recept är en rättslig förpliktelse och en uppgift av allmänt intresse (artikel 6.1 c och 6.1 e i dataskydds- förordningen) och att uppgiften att möjliggöra att ett svenskt e-recept kan expedieras i ett annat EES-land ska fastställas i lagen om natio- nell läkemedelslista och i instruktion (jfr arti- kel 6.3 första stycket dataskyddsförordningen). För de redan befintliga personuppgifterna i den nationella läkemedelslistan gör utredningen ovan bedömningen att ytterligare behandling av dessa i förhållande till det nya ändamålet är förenlig med de ändamål för vilka person- uppgifterna samlades in. Någon ny rättslig grund för den tillkom- mande behandlingen behövs inte (skäl 50 till dataskyddsförordningen). Utredningen föreslår ett nytt ändamål som innebär att E-hälso- myndigheten får behandla personuppgifter för expediering av läke- medel på apotek eller motsvarande i ett annat EES-land. Behandling av personuppgifter för detta ändamål bedöms nödvändigt för att uppfylla en rättslig förpliktelse och en uppgift av allmänt intresse. Syftet med behandlingen, att möjliggöra expediering av e-recept i ett annat EES-land, är enligt utredningens bedömning nödvändigt för att utföra en uppgift av allmänt intresse och framgår också av den rättsliga förpliktelsen (jfr artikel 6.3 i dataskyddsförordningen). Den författning eller det beslut som utgör den rättsliga grunden för behandling av personuppgifter enligt artikel 6.1 c och 6.1 e i dataskyddsförordningen måste enligt artikel 6.3 andra stycket sista meningen i dataskyddsförordningen också uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. I kapitel 11 gör utredningen bedömningen att förslagen uppfyller ett mål av allmänt intresse och är proportionella mot det legitima mål som eftersträvas. Utredningen gör därmed bedömningen att det före- slagna ändamålet är förenligt med artikel 6 i dataskyddsförordningen. Konsekvenserna för den personliga integriteten berörs i kapitel 11. Ändringar i lagen om nationell läkemedelslista Utredningens bedömning: Uppgift om landskod är en sådan upp- gift som får registreras i den nationella läkemedelslistan. Någon uttrycklig bestämmelse härom behövs inte. Av artikel 5.1 c i dataskyddsförordningen följer att uppgifterna ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. Bestämmelsen om uppgiftsminimer- ing innebär att bara de personuppgifter som är nödvändiga att be- handla för ändamålet får behandlas. I 3 kap. 8 § lagen om nationell läkemedelslista kommer detta till uttryck i en uttömmande uppräk- ning av de uppgifter som registret får innehålla.