sou · H9B3102 · 2022-01-01 00:00:00 — Det är därför viktigt att per- sonuppgiftsansvaret är tydligt, dels för att den registrerade ska veta vem den kan vända sig till för att utöva sina rättigheter enligt data- skyddsförordningen, dels för att den eller de aktörer som är person- uppgiftsansvariga ska kunna ta det ansvar som följer av förordningen. Vem som bestämmer ändamål och medlen för personuppgifts- behandlingen i informationsutbytet av e-recept över landsgränser är inte helt tydligt. Ändamålet att ”arbeta för att tillhandahålla hållbara ekonomiska och sociala nyttoeffekter genom europeiska system och tjänster som rör e-hälsa samt driftskompatibla tillämpningar i syfte att nå en hög tillförlitlighets- och säkerhetsnivå, förbättra kontinui- 2Datainspektionens beslut , dnr 686-2010. En ny lag om personuppgiftshantering teten i vården och säkerställa tillgång till säker hälso- och sjukvård av hög kvalitet” är uttryckt redan i patientrörlighetsdirektivet (arti- kel 14. 2 a)3 och har sedan bekräftats i e-hälsoavtalet. Det är dock valfritt att delta i samarbetet och varje medlemsland väljer därför själv om de vill behandla personuppgifter för detta ändamål eller inte och i vilken roll (land A, land B eller båda). Inom ramen för sam- arbetet kommer att behandla personuppgifterna genom att vidarebefordra dem mellan det svenska och den utländska kontaktpunkten för e-hälsa, i sin tur behandlar personuppgifterna för att kunna expediera läkemedlet och den ut- ländska kontaktpunkten för e-hälsa eller registerhållaren, behandlar uppgifterna genom att bl.a. tillhandahålla dem och uppdatera sitt register. Det skulle därför kunna hävdas att det inte är E-hälsomyn- digheten som bör vara personuppgiftsansvarig för den behandling som sker i det gränsöverskridande informationsutbytet, eftersom myndigheten inte har något egentligt eget behov av uppgifterna utan bara förmedlar dem mellan andra aktörer. I stället skulle E-hälso- myndigheten i så fall vara personuppgiftsbiträde. Frågan är dock vil- ken eller vilka aktörer som i så fall skulle ha personuppgiftsansvaret. Det skulle kunna vara den enskilda svenska apoteksaktören som använder uppgifterna för att expediera läkemedlet, eller den utländska kontaktpunkten eller registerhållaren, som behandlar uppgifterna genom att bl.a. tillhandahålla dem och uppdatera sitt register. Det skulle eventuellt även kunna vara som är representant i nätverket för e-hälsa och därmed är med och till viss del bestämmer ändamål och medlen för behandlingen. Personuppgiftsansvaret i lagen om nationell läkemedelslista Enligt lagen om nationell läkemedelslista är personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför i den nationella läkemedelslistan (3 kap. 1 §). Regeringen uttalade i förarbetena till lagen om den nationella läke- medelslistan att särskilda karaktär av infrastruk- turmyndighet bör nämnas och lyfte särskilt att myndigheten ansvarade för de register som anges i lagen om receptregister och lagen om läke- 3Se också EDPB-EDPS Joint Opinion 1/2019 on the processing of patients’ data and the role of Commission within the eHealth Infrastructure (eHDSI). En ny lag om personuppgiftshantering medelsförteckning enligt myndighetens instruktion. Denna ordning var en följd av att (tidigare ) inrättades för att den it-infrastruktur som är nödvändig för drift av apotek skulle förläggas hos en neutral aktör i samband med om- regleringen av apoteksmarknaden.4 Vidare uttalade regeringen att den inte delade Datainspektionens synsätt om att de ändamål för vilka får behandla personuppgifter enligt såväl lagen om receptregister som den nu föreslagna nya lagen (lagen om nationell läkemedelslista) inte är ändamål som behövs inom E-hälso- myndighetens egen verksamhet. Regeringen uttalade att skälet till att måste få behandla personuppgifter för de olika ändamål som anges i dessa lagar är behovet av att kunna erbjuda en konkurrensneutral samt ur integritetssynpunkt säker överföring av personuppgifter mellan olika aktörer.5 Av instruktion följer att myndigheten ska ansvara för register och it-funktioner som öppenvårdsapoteken och vårdgivare behöver ha tillgång till för en patientsäker och kostnads- effektiv läkemedelshantering. Myndigheten ska vidare samordna reger- ingens satsningar på e-hälsa samt övergripande följa utvecklingen på e-hälsoområdet (1 §). Utredningen föreslår dessutom en ny bestäm- melse i instruktion om myndighetens uppdrag avseende det gränsöverskridande informationsutbytet av e-recept, se avsnitt 7.6. Skälet till att placera personuppgiftsansvaret på E-hälsomyndig- heten i lagen om nationell läkemedelslista, var myndighetens sär- skilda karaktär av infrastrukturmyndighet för att kunna erbjuda en konkurrensneutral samt ur integritetssynpunkt säker överföring av personuppgifter mellan olika aktörer. Utredningen anser att samma skäl bör beaktas även i detta sammanhang. Dataskyddsförordningen ger som tidigare nämnts utrymme för nationell reglering av personuppgiftsansvaret om ändamål och med- len för behandlingen fastställs i den nationella rätten (artikel 4.7). Det huvudsakliga syftet med behandling av 2017/18:223 s. 81. 2017/18:223 s. 81. En ny lag om personuppgiftshantering personuppgifter i den nya lagen är att fullgöra sitt uppdrag som nationell kontaktpunkt för e-hälsa. Det innebär bl.a. att vidareför- medla uppgifter mellan öppenvårdsapoteket och den utländska kontaktpunkten för e-hälsa, ställa krav på hur öppenvårdsapoteken ska rapportera in uppgifterna till samt att be- stämma närmare krav på vilka tekniska och organisatoriska säker- hetsåtgärder som krävs för att skydda personuppgifterna på ett ända- målsenligt sätt. För att undvika otydligheter avseende vem som är personuppgiftsansvarig i en situation då flera aktörer är inblandade anser utredningen att personuppgiftsansvaret bör tydliggöras i lag- stiftningen. Utredningen anser därför att det bör framgå i lagen att är personuppgiftsansvarig för den behandling som myndigheten utför för att e-recept från EES ska kunna expe- dieras i . Att ha en annan ordning med som personuppgiftsbiträde till öppenvårdsapoteken skulle enligt utredningens mening vara svårhanterligt med beaktande av att myn- digheten som personuppgiftsbiträde i så fall skulle behöva ta emot instruktioner från ett flertal aktörer gällande samma sak. Som utredningen nämnt har diskussioner förts om det eventuellt skulle föreligga ett gemensamt personuppgiftsansvar mellan län- derna i någon del av den behandling som utförs i informationsutbytet av e-recept över landsgränser. Enligt Europeiska dataskyddsstyrelsen är det upp till de personuppgiftsansvariga själva att bestämma om de gemensamt eller ensamt behandlar personuppgifter.6 Frågan är således fortfarande uppe för diskussion och utredningens förslag i denna del kan därför komma att påverkas av vad länderna kommer fram till. Tillståndshavaren är personuppgiftsansvarig för den behandling av personuppgifter som öppenvårdsapoteken utför i samband med att e-recept expedieras (7 § apoteksdatalagen), se vidare kapitel 10 om öppenvårdsapotekens personuppgiftsbehandling. 9.6Behovet av uppgifter om e-recept från EES Utredningens bedömning: , och har behov av uppgifter om e-recept utfärdade i ett annat EES-land. 6Brev från Europeiska dataskyddstyrelsen till eHMSEG , , (), ref: OUT2021-0115. En ny lag om personuppgiftshantering har ett flertal aktörer behov av uppgifter om svenska e-recept som expedieras på ett öppenvårdsapotek. Enligt lagen om nationell läkemedelslista ska lämna ut vissa uppgifter i den nationella läkemedelslistan till bl.a. , Inspektio- nen för vård och omsorg (), Tandvårds- och läkemedelsför- månsverket (TLV) och , samt till förskrivare, annan hälso- och sjukvårdspersonal, regioner, verksamhetschefer och läke- medelskommittéer under vissa förutsättningar. Uppgifterna behövs för bl.a. tillsyn, forskning, statistik och uppföljning av olika slag. Uppgifterna om e-recept från EES kommer enligt utredningens förslag inte att registreras i den nationella läkemedelslistan förutom vissa uppgifter om expedieringen. Som tjänsten e-recept över lands- gränser är utformad nu antar utredningen att dessa recept i regel är utfärdade åt patienter försäkrade i ett annat land än . Det antagandet baseras på att tjänsten utgår från användningsfallet att en patient i land A, får ett recept utfärdat i land A och får hämta ut det i land B, se vidare avsnitt 5.3.6. Utredningen har utgått från detta i sina förslag. E-recept från EES kommer att ligga till grund för en mindre del av de expedieringar som sker i . Utredningen anser att e-recept från EES i stort bör följa motsvarande regelverk som övriga recept för en effektiv och patientsäker process. ser utred- ningen inga skäl att ändra eller utvidga aktörernas ansvar för tillsyn, uppföljning m.m. avseende e-recept från EES jämfört med recept utfärdade i om inte t.ex. den gränsöverskridande aspekten skulle medföra någon annan bedömning. Nedan följer utredningens bedömning av vilka aktörer som behöver uppgifter om e-recept ut- färdade i ett annat EES-land. 9.6.2Förskrivare, verksamhetschefer och läkemedelskommittéer Förskrivare, verksamhetschefer och läkemedelskommittéer får uppgifter från den nationella läkemedelslistan för ändamålet medi- cinsk uppföljning, utvärdering och kvalitetssäkring i hälso- och sjuk- vården. Utredningens bedömning är att syftet med uppgifterna främst är att utvärdera den egna förskrivningen och kvalitetssäkra den egna En ny lag om personuppgiftshantering hälso- och sjukvården. Det syftet gör sig inte gällande när det är ett e-recept från EES. Som tjänsten är utformad är det fråga om uppgifter om en förskrivning utfärdad av en förskrivare behörig i ett annat EES-land, land A. Det utfärdade e-receptet sparas i land A:s register. Vid expe- diering i får uppgifter om receptet från det utländska registret och skickar tillbaka information om expedieringen för regi- strering i land A. Medicinsk uppföljning, utvärdering och kvalitets- säkring i hälso- och sjukvården av e-recept från EES kommer i huvudsak inte att ske i . Utredningen bedömer därför att för- skrivare, verksamhetschefer och läkemedelskommittéer inte har be- hov av uppgifter om e-recept från EES för ändamålet medicinsk upp- följning, utvärdering och kvalitetssäkring i hälso- och sjukvården. Den region som enligt 22 § lagen (2002:160) om läkemedelsför- måner m.m. ska ersätta kostnaderna för läkemedelsförmåner ska få uppgifter från om expedieringar av förskrivna läkemedel och andra varor som omfattas av den lagen för ändamålet debitering till regionerna. Vidare ska regionerna få uppgifter för ända- målen ekonomisk och medicinsk uppföljning samt för framställning av statistik. ska även lämna ut uppgifter om expe- dieringar av förskrivna läkemedel som är kostnadsfria enligt smitt- skyddslagen (2004:168), för samma ändamål till den region som enligt 7 kap. 4 § smittskyddslagen ska ersätta kostnader för läkemedel. Utredningen gör bedömningen i avsnitt 6.3.1 och 6.3.3 att e-recept från EES inte omfattas av lagen om läkemedelsförmåner m.m. eller av smittskyddslagen. Utredningen anser därför att regionerna inte har behov av uppgifter om e-recept från EES. får uppgifter från den nationella läkemedels- listan för ändamålet epidemiologiska undersökningar, forskning, fram- ställning av statistik, uppföljning, utvärdering och kvalitetssäkring inom hälso- och sjukvården. Uppgifterna som lämnas till Social- styrelsen omfattar uppgifter om datum för förskrivning och expe- En ny lag om personuppgiftshantering diering, förskriven och expedierad vara, mängd och dosering, kostnad och kostnadsreducering enligt lagen om läkemedelsförmåner m.m., ordinationsorsak, patientens personnummer eller samordningsnum- mer och folkbokföringsort, och förskrivarens yrke, specialitet och arbetsplatskod. Uppgifterna registreras i läkemedelsregistret som är personuppgiftsansvarig för enligt förordningen (2005:363) om läkemedelsregister hos . Registret syftar till att öka patientsäkerheten på läkemedelsområdet. Vid kontakt med Social- styrelsen har myndigheten uppgett att den behöver delvis motsva- rande uppgifter för samma ändamål om e-recept från EES som för svenska e-recept. Utredningen anser att har ett behov av uppgifter om e-recept utfärdade i ett annat EES-land för ändamålet epidemio- logiska undersökningar, forskning, framställning av statistik, uppfölj- ning, utvärdering och kvalitetssäkring inom hälso- och sjukvården. 9.6.5Inspektionen för vård och omsorg får uppgifter från den nationella läkemedelslistan om en läkares eller tandläkares förskrivning av narkotiska läkemedel eller annat särskilt läkemedel för sin tillsyn över hälso- och sjukvårds- personalen enligt patientsäkerhetslagen (2010:659). Utredningens bedömning är att inte har behov av uppgifter om e-recept från EES eftersom myndigheten inte har tillsynsansvar över utländska förskrivare. Utredningens bedömning är också att tjänsten inte kommer att omfatta narkotiska läkemedel eller andra särskilda läkemedel. får TLV uppgifter från den nationella läkemedelslistan för sin tillsyn över utbyte av läkemedel enligt 21 § lagen om läkemedelsför- måner m.m., och för prövning och tillsyn enligt samma lag av läke- medel som får säljas enligt 4 kap. 10 § och 5 kap. 1 § andra stycket läkemedelslagen (2015:315). E-recept från EES innehåller inte någon uppgift om förskrivarens arbetsplatskod och omfattas därmed inte av läkemedelsförmånerna En ny lag om personuppgiftshantering (6 § lagen om läkemedelsförmåner m.m.) enligt den bedömning utr- edningen gjort i kapitel 6. Därigenom bör dessa e-recept inte heller omfattas av TLV:s tillsyn (25 § samma lag) enligt utredningens bedömning. TLV uppger också att myndighetens tillsyn inte om- fattar e-recept från EES mot bakgrund av att recepten inte omfattas av lagen om läkemedelsförmåner m.m. TLV kan framöver komma att behöva uppgifter för sin tillsyn t.ex. om förslaget i SOU 2017:76 Enhetliga priser på receptbelagda läkemedel förverkligas om att fast- ställda priser ska gälla utanför lagen om läkemedelsförmåner m.m. Enligt uppgift bereds förslaget inom . får uppgifter från den nationella läkemedels- listan för sin tillsyn över tillhandahållandeskyldigheten och uppgifts- lämnande vid expediering av en förskrivning enligt lagen (2009:366) om handel med läkemedel. Uppgifterna omfattar bl.a. förskriven och expedierad vara, patientens namn, personnummer eller samordnings- nummer, folkbokföringsort och postnumret i patientens bostads- adress, förskrivarens namn, yrke, specialitet, arbetsplats, arbetsplats- kod och förskrivarkod, kostnad, samt andra uppgifter som krävs i samband med en förskrivning eller expediering. har uppgett att myndigheten har ett behov av motsvarande uppgifter för e-recept från EES som för de svenska recepten, dvs. för tillsynen över tillhandahållandeskyldigheten och uppgiftslämnande vid expediering. För att ska kunna utöva en effektiv tillsyn över öppenvårdsapoteken avseende e-recept från EES behöver myndigheten på samma sätt som för svenska recept uppgifter om det utländska e-receptet enligt utredningens bedömning. ansvarar för den nationella läkemedelsstatisti- ken enligt instruktion. Myndigheten kommer också att behöva vidarebefordra uppgifter till andra aktörer. Utred- ningen anser att det finns ett tydligt behov för att få uppgifter om e-recept från EES. En ny lag om personuppgiftshantering Utredningens förslag: Personuppgifter ska få behandlas om det är nödvändigt för 1.expediering på öppenvårdsapotek av sådana e-recept från EES som avses i 2 §, 2.redovisning till utländsk kontaktpunkt för e-hälsa av sådan expediering som avses enligt punkt 1, 3.framställning av statistik hos , 4.redovisning av uppgifter för tillsyn över tillhandahållandeskyldigheten och uppgiftslämnande enligt lagen (2009:366) om handel med läkemedel, och 5.redovisning till av uppgifter för epidemiologiska undersökningar, forskning, framställning av statistik, uppfölj- ning, utvärdering och kvalitetssäkring inom hälso- och sjuk- vårdsområdet. En av de grundläggande principerna i dataskyddsförordningen är att personuppgifter ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål (artikel 5. 1 b i dataskyddsförordningen). Av samma artikel följer att uppgifterna inte senare får behandlas på ett sätt som är oförenligt med dessa ändamål, den s.k. finalitetsprin- cipen. Bestämmelsen innebär bl.a. att den personuppgiftsansvarige redan vid insamlingen av uppgifterna måste bestämma för vilket eller vilka ändamål insamlingen sker. Den innebär också att vidarebefordran av uppgifter måste föregås av en prövning av om mottagarens ända- mål är förenligt med de ursprungliga ändamålen eller inte. Det är den personuppgiftsansvarige som bestämmer ändamålen med personuppgiftsbehandlingen. Ändamålen kan också bestämmas av medlemsländernas nationella rätt (jfr artikel 4.7 i dataskyddsför- ordningen). Ändamålsbestämmelser kan sägas anpassa tillämpningen av dataskyddsförordningen och säkerställa en laglig och rättvis be- handling. Sådana bestämmelser är enligt artikel 6.2 och 6.3 i förord- ningen tillåtna i nationell rätt. Enligt skäl 39 till dataskyddsförord- En ny lag om personuppgiftshantering ningen bör de specifika ändamål som personuppgifterna behandlas för vara tydliga och legitima och ha bestämts då personuppgifterna samlades in. I förarbetena till dataskyddslagen anförde regeringen att data- skyddsförordningen inte ställer något krav på att de särskilda ända- målen ska vara fastställda i författning, men att det inte heller finns någonting som hindrar att detta görs, förutsatt att bestämmelserna uppfyller ett mål av allmänt intresse och är proportionella mot det legitima mål som eftersträvas (artikel 6.3 andra stycket sista meningen). Oavsett om ändamålen fastställts i författning eller inte poängterar regeringen dock att det alltid är den personuppgiftsansvarige som ansvarar för, och ska kunna visa, att principerna i artikel 5 följs (artikel 5.2 i dataskyddsförordningen).7 Uttryckliga ändamålsbestämmelser ger möjlighet att på ett över- gripande plan balansera intresset av personuppgiftsbehandlingen mot det intrång i den personliga integriteten som denna behandling kan innebära. Ändamålsbestämmelser har också den fördelen att de utgör en precisering av den rättsliga grunden (jfr artikel 6.3). Bestäm- melser i lagen som anger ändamålen med behandlingen innebär så- ledes i sig en skyddsåtgärd. Enligt utredningens bedömning bör där- för lagen innehålla ändamålsbestämmelser. Att bestämma ändamålen för behandlingen av personuppgifter är av central betydelse för hur den personuppgiftsansvarige får behandla personuppgifter eftersom ändamålsbestämmelserna sätter ramarna för hur personuppgifterna får behandlas. Enligt artikel 5.1 c i data- skyddsförordningen ska personuppgifter vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de be- handlas. Det är med andra ord ändamålen som styr vilka personupp- gifter som får behandlas. Ändamålsbestämmelserna begränsar således den personuppgiftsansvariges handlingsfrihet som de skapar tydlighet för tillämparen. Ändamålet är därför av central betydelse för skyddet av den enskildes personliga integritet. Ändamålsbestämmelser kan utformas på olika sätt. Ett sätt är att uttömmande ange de ändamål för vilken behandling får ske. 2017/18:105 s. 48. En ny lag om personuppgiftshantering sätt är att de i lagen angivna ändamålen kompletteras med en möj- lighet att behandla uppgifter även för ändamål som inte är oförenliga med det för vilka uppgifterna samlades in, i enlighet med den s.k. finalitetsprincipen. I sådana fall är det finalitetsprincipen som ytterst sätter gränsen för vad som kan anses vara en tillåten behandling, dvs. den som är personuppgiftsansvarig måste göra en kontroll av huru- vida en senare behandling är oförenlig med de ändamål för vilka upp- gifterna först samlades in. Nedan följer en närmare beskrivning av de ändamål för vilka per- sonuppgifter enligt utredningens mening bör få behandlas i den nya lagen. 9.7.3Ändamålet expediering av läkemedel ska bl.a. ansvara för register och it-funktioner som öppenvårdsapotek och vårdgivare behöver ha tillgång till för en patientsäker samt kostnadseffektiv läkemedelshantering enligt myn- dighetens instruktion. Utredningen föreslår ett tillägg i E-hälsomyn- dighetens instruktion om att myndigheten ska vara nationell kon- taktpunkt för e-hälsa och tillhandahålla tjänster och infrastruktur för e-recept över landsgränser, se avsnitt 7.6. De nationella kontakt- punkterna för e-hälsa ska anslutas till varandra och förmedla all in- formation om e-recept mellan länderna. Det primära ändamålet för behandling av personuppgifter enligt lagen är att förmedla e-recept från EES i syfte att e-recepten ska kunna expedieras på ett svenskt öppenvårdsapotek. Med expediering avses den process som börjar med att läkemedel efterfrågas utifrån ett förordnande och avslutas med att ett läkemedel blir utlämnat. En förutsättning för att en expediering ska kunna genomföras på ett öppenvårdsapotek är att expedierande personal får tillgång till de uppgifter som behövs för att möjliggöra en patient- säker expediering. Som framgår av förarbetena till den nationella läkemedelslistan behöver expedierande personal kunna ta del av upp- gifter om den förskrivning som är i fråga för expediering för att upp- fylla de krav som ställs i regelverk. De krav som ställs avser bl.a. att det ska gå att bedöma om ett recept är korrekt utfärdat och att samtliga uppgifter som krävs för en giltig förskriv- En ny lag om personuppgiftshantering ning finns med.8 Motsvarande krav gäller även för e-recept från EES. För en patientsäker expediering bör detta enligt utrednings bedöm- ning även omfatta sådana uppgifter om e-recept som inte kan expe- dieras i ett annat EES-land, se vidare avsnitt 12.4.5. Det kan jämföras med 8 kap. 11 § receptföreskrifterna. För att kunna förmedla e-recept som utfärdats i ett annat EES-land och uppfylla sitt åtagande som nationell kontaktpunkt behöver behandla personuppgifter. Behandling av person- uppgifter bör således få ske för ändamålet expediering på öppenvårds- apotek av e-recept från EES enligt definitionen i 2 § av sådana e-recept. Den nationella kontaktpunkten för e-hälsa i land B ska återrappor- tera vad som har expedierats till den nationella kontaktpunkten i land A. Registret i land A behöver uppdateras med information om att ett uttag har skett, dels för att visa vilket läkemedel som har läm- nats ut på det svenska öppenvårdsapoteket, dels för att det ska kunna avräknas från den förskrivna mängden. För att kunna återrapportera uppgifter om bl.a. expedierat läke- medel behöver behandla personuppgifter. Be- handling av personuppgifter bör således få ske för ändamålet redovis- ning till utländsk kontaktpunkt för e-hälsa av expediering av läkemedel. Av instruktion följer att myndigheten ska för- valta, framställa och tillhandahålla nationell läkemedelsstatistik (2 § 5). Den statistik som framställer avser bl.a. försälj- ningsuppgifter för läkemedelsgrupp och indikatorer som beräknas utifrån antal förskrivare och läkemedelskostnader, vilket får anses utgöra nationell läkemedelsstatistik. ansvarar också bl.a. för att samla in och tillhandahålla uppgifter om läkemedels- försäljning från apoteksaktörer, detaljhandel och partihandel som sker på svensk marknad. Den nationella läkemedelsstatistiken är viktig för uppföljning, utvärdering, kvalitetssäkring och forskning.9 2017/18:223 s. 92. 2008/09:145 s. 122. En ny lag om personuppgiftshantering För att ska kunna uppfylla sin skyldighet att förvalta, framställa och tillhandahålla nationell läkemedelsstatistik är utredningens bedömning att ett ändamål bör införas i den nya lagen som möjliggör för att behandla personupp- gifter för framställning av statistik. Uppgifter som kan hänföras till en enskild person får dock inte redovisas.