sou · H9B339 · 2022-01-01 00:00:00 — iHOSP-förordningen som möjliggör att uppgifterna i HOSP- registret behandlas även för att ge allmänheten upplysning om hälso- och sjukvårdspersonals behörighet. I detta avsnitt finns utred- ningens överväganden när det gäller övriga förslag där behov av ett nytt ändamål finns. Enligt artikel 5.1 i dataskyddsförordningen får personuppgifter bara behandlas utifrån vissa grundläggande principer. En närmare redogörelse för dem finns i avsnitt 4.5 i delbetänkandet. Enligt principen om ändamålsbegränsning (finalitetsprincipen) i artikel 5.1 b idataskyddsförordningen ska personuppgifter samlas in för sär- skilda, uttryckligt angivna och berättigade ändamål och de får inte Annan elektronisk tillgång till senare behandlas på ett sätt som är oförenligt med dessa ändamål. Ändamålsbegränsningen innebär alltså att den personuppgifts- ansvarige måste hålla sig till insamlingsändamålen och ändamål som inte är oförenliga med dessa. Denna bedömning bör göras i för- hållande till alla förslag om nya ändamål, även om det enligt artikel 23 i dataskyddsförordningen är tillåtet att under vissa förut- sättningar genom nationell rätt begränsa det som gäller enligt artikel 5.1 i dataskyddsförordningen. Innan redan insamlade personuppgifter ytterligare behandlas för ett annat syfte än det för vilket de insamlades, måste de registrerade enligt artikel 14.4 i dataskyddsförordningen informeras om bl.a. detta andra syfte. Undantag gäller, enligt artikel 14.5 b i dataskydds- förordningen, i den mån tillhandahållandet av sådan information skulle medföra en oproportionell ansträngning. Härtill kommer att det enligt artikel 23 i dataskyddsförordningen är tillåtet att under vissa förutsättningar genom nationell rätt begränsa de skyldigheter som finns enligt artikel 14 i dataskyddsförordningen. 8.7.2Socialstyrelsens behandling för statistikändamål är enligt lagen (2001:99) respektive förordningen (2001:100) om den officiella statistiken ansvarig för den officiella statistiken inom hälso- och sjukvård. Av bilagan till förordningen om den officiella statistiken framgår det att det är statistik om hälsa och sjukdomar, hälso- och sjukvård och dödsorsaker som omfattas av uppdrag som statistikmyndighet. Detta innefattar enligt utredningen även viss statistik om legitimerad hälso- och sjuk- vårdspersonal, då det är sådan personal som utför själva hälso- och sjukvården. Genom förordningen (2015:284) med instruktion för har myndigheten i uppdrag att följa, analysera och rapportera om bl.a. hälsa och hälso- och sjukvård genom statistik- framställning. ska dessutom på uppdrag av regeringen ta fram underlag och redovisa bedömningar av tillgång och efterfrågan på barnmorskor, läkare och sjuksköterskor samt tand- läkare och tandhygienister. Redovisningen presenteras genom rapporten planeringsstödet.20 Rapporten beskriver bl.a. 20Socialstyrelsens årliga rapport om tillgång och efterfrågan på personal i hälso- och sjukvården. Annan elektronisk tillgång till tillgången på legitimerad hälso- och sjukvårdspersonal nationellt och regionalt. Den visar också hur många som är på väg ut på arbetsmark- naden genom att redovisa antalet nya legitimationer som utfärdats. Statistiken efterfrågas av andra statliga myndigheter, regioner, kommuner, journalister, allmänheten och intresseorganisationer men också internt av för analys och planering. Den behövs framför allt för frågor som rör kompetensförsörjning, såsom fråge- ställningar kring planering av bemanning, utbildning och specia- lisering av hälso- och sjukvårdspersonal. Något ändamål som innebär att personuppgifterna i HOSP- registret får behandlas för att framställa statistik finns inte. För att ska kunna fullgöra sitt uppdrag som statistikansvarig myndighet och sitt uppdrag att följa, analysera och rapportera om bl.a. hälso- och sjukvård genom statistikframställning behöver där- för enligt utredningens mening ett nytt ändamål införas. Det bör uttryckligen anges att personuppgifterna i också får behandlas för att framställa statistik om hälso- och sjukvård enligt lagen om den officiella statistiken. Det huvudsakliga och ursprungliga ändamålet för behandlingen av personuppgifterna i är att föra en aktuell för- teckning över legitimerad hälso- och sjukvårdspersonal (4 § HOSP- förordningen). Steget från det ändamålet till att framställa statistik om tillgången på legitimerad hälso- och sjukvårdspersonal är inte särskilt långt, då frågor som hör samman med kompetensförsörjning får sägas ha ett nära samband med en sådan förteckning. Detta bör också de registrerade ha insett. Det ska här sägas att samlade upp- gifter om hälso- och sjukvårdspersonals behörighet enbart finns tillgängliga i . Enligt artikel 5.1 i dataskyddsförordningen gäller, utöver det som framgår av inledningen ovan, som huvudregel att ytterligare behand- ling av personuppgifter som sker för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller, som i detta fall, statistiska ändamål i enlighet med artikel 89.1 i data- skyddsförordningen, inte anses vara oförenlig med de ursprungliga ändamålen. Behandlingen måste dock omfattas av lämpliga skydds- åtgärder i enlighet med dataskyddsförordningen för den registrerades rättigheter och friheter. Det gör den enligt utredningens bedömning. Det föreslagna nya ändamålet bedöms alltså vara förenligt med de ändamål som fanns angivna i HOSP-förordningen när respektive Annan elektronisk tillgång till personuppgift samlades in till . Dessutom avser det nya ändamålet ett statistiskt ändamål som inte berörs av finalitets- principen. I inledningen (avsnitt 8.7.1) redogör utredningen för vad som gäller i fråga om information till de registrerade enligt artikel 14.4. och 14.5 i dataskyddsförordningen. Utredningen gör bedömningen att det skulle medföra en oproportionell ansträngning att informera de registrerade i detta fall, då innehåller uppgifter om hundratusentals personer och dessa uppgifter inte har samlats in från de registrerade. Dataskyddsregleringen utgår från att varje behandling av person- uppgifter måste vila på en rättslig grund. I dataskyddsförordningen räknas dessa rättsliga grunder uttömmande upp i artikel 6.1. Be- handlingen är rättsligt grundad om den t.ex. är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgifts- ansvarige eller för att utföra en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning (artikel 6.1 c och e i dataskydds- förordningen). Av skäl 45 till dataskyddsförordningen framgår att hälso- och sjukvårdsändamål, såsom folkhälsa och socialt skydd och förvaltning av hälso- och sjukvårdstjänster, inbegrips i allmänintresset. I delbetänkandet, avsnitt 4.6, redogör utredningen mer utförligt för vad som kan utgöra rättslig grund enligt dataskyddsförordningen. har genom sin instruktion, samt genom lagen och förordningen om den officiella statistiken, i uppdrag att framställa statistik om hälso- och sjukvård. Detta innefattar även viss statistik om legitimerad hälso- och sjukvårdspersonal och tillgången till sådan personal. Behandling av personuppgifterna i för statistikframställning bedöms därmed i första hand nödvändig för att fullgöra en rättslig förpliktelse som åvilar , som också är personuppgiftsansvarig (3 a §). Den rättsliga förpliktelsen är reglerad i lagen respektive förord- ningen om den officiella statistiken samt i förordningen med instruk- tion för . Den föreslagna behandlingen är enligt utredningen förenlig med artikel 6 i dataskyddsförordningen. Annan elektronisk tillgång till Avvägning mellan behov och integritetsrisker Att uppgifterna i också får användas för statistik- ändamål innebär ett intrång i de registrerades personliga integritet eftersom det ökar tillgängligheten till uppgifterna inom Social- styrelsen. behov av att behandla personuppgifter för statistikändamål behöver därför vägas mot de integritetsrisker som är förknippade med behandlingen. Enligt utredningens bedömning är integritetsriskerna med att får behandla uppgifterna i för statistik- framställning relativt små. De integritetsrisker som finns kan enligt utredningen på ett godtagbart sätt motverkas, eller minskas kraftigt, genom integritetsstärkande utformning av regleringen. Utredningen föreslår en sådan utformning. För att minska risken för att ett nytt ändamål för statistik ska leda till en alltför vid möjlighet att använda uppgifterna i registret för statistikändamål föreslår utredningen, i enlighet med framställan, en begränsning av ända- målet. Genom att begränsa ändamålet till framställande av statistik om hälso- och sjukvård enligt lagen om officiell statistik tillåts bara sådan behandling som är nödvändig för verksamhet. Det ska i detta sammanhang också nämnas att de hälsodata- och socialtjänstregister som förs av omfattas av statistik- sekretess enligt 24 kap. 8 § offentlighets- och sekretesslagen, då dessa behandlas inom den särskilda statistikverksamheten vid myndigheten. Som framgår i avsnitt 5.3.1 omfattas uppgifterna i inte av denna sekretess utan av folkbokföringssekretessen enligt 6 § offentlighets- och sekretessförordningen. Sekretesskyddet är där- med svagt och det finns en presumtion för att uppgifterna är offentliga. Genom utredningens förslag kommer de uppgifter från HOSP- registret som används för statistikändamål att i praktiken omfattas av statistiksekretess enligt 24 kap. 8 § offentlighets- och sekretess- lagen. Enligt den bestämmelsen, gäller sekretess i sådan särskild verksamhet hos en myndighet som avser framställning av statistik21 för uppgift som avser en enskilds personliga eller ekonomiska för- hållanden och som kan hänföras till den enskilde. Enligt huvudregeln är sekretessen absolut, dvs. inte försedd med något skaderekvisit. 21Med särskild verksamhet som avser framställning av statistik menas en allmänt utredande verksamhet, utan anknytning till särskilda ärenden, som organisatoriskt är avgränsad från annan verksamhet hos myndigheten, jfr prop. 1979/80:2 med förslag till sekretesslag m. m, del A, s. 263 och prop. 2013/14:162 Ändringar av statistiksekretessen, s. 9. Annan elektronisk tillgång till Att sekretessen är absolut har bl.a. att göra med att integritets- intresset är påtagligt i statistikverksamhet. Det finns dock fyra undantag från huvudregeln om absolut sekretess då det i stället ska tillämpas sekretess med ett omvänt skaderekvisit. Uppgifterna kan då komma att lämnas ut i enlighet med de undantagsbestämmelser som framgår av 24 kap 8 § offentlighets- och sekretesslagen, exem- pelvis för forskningsändamål22. Uppgifter får i dessa fall lämnas ut om det står klart att det kan ske utan att den enskilde eller någon närstående till denne lider skada eller men. Sammantaget innebär förslaget att uppgifterna vid statistikframställning kommer att om- fattas av ett starkare sekretesskydd vilket stärker integritetsskyddet. Det är utredningens sammanfattande slutsats att behoven av och fördelarna med att uppgifterna i får behandlas för statistikändamål enligt lagen om den officiella statistiken överväger integritetsriskerna. 8.7.3E-hälsomyndighetens behandling för ytterligare ändamål I HOSP-förordningen regleras tre särskilda ändamål som berör verksamhet enligt följande •att lämna uppgifter till den nationella läkemedelslistan enligt lagen om nationell läkemedelslista (5 § 2), •att i samband med behandling av personupp- gifter enligt lagen om nationell läkemedelslista lämna uppgifter till den myndigheten för kontroll av identitet och behörighet i fråga om förskrivare, legitimerade sjuksköterskor utan behörighet att förskriva läkemedel, apotekare, receptarier och dietister (5 § 4), och •att lämna uppgifter till för kontroll av för- skrivares identitet och behörighet vid expediering på öppenvårds- apotek av läkemedel och andra varor som förskrivits (5 § 5). 22Med forskningsändamål menas någonting annat än att uppgifterna behövs för uppföljning, utvärdering och kvalitetssäkring, jfr RÅ 2004 ref. 9. Forskning förutsätter alltså att det finns ett vetenskapligt syfte. Annan elektronisk tillgång till har i en skrivelse till regeringen begärt att dessa ändamål ska ersättas av ändamålet att lämna uppgifter till E-hälso- myndigheten för kvalitetssäkring, behörighets- och åtkomstkontroll, komplettering av uppgifter samt statistikändamål.23 E-hälsomyndig- heten har som skäl för detta anfört att när myndigheten får nya upp- drag ökar behovet av tillgång till uppgifter i för dessa ändamål. En fortsatt detaljreglering av ändamålen i HOSP- förordningen riskerar enligt att medföra pro- blem i de fall sådana behov uppstår som avser uppgifter, ändamål eller yrkeskategorier som inte räknas upp i ändamålen. Det vore enligt mer ändamålsenligt med en mer flexibel lösning, som i stället avgränsas till ovan nämnda ändamål, eftersom det skulle möjliggöra utlämnande av sådana uppgifter som myndig- heten har behov av, oavsett vilket register eller vilka yrkeskategorier som vid var tid är aktuella. HOSP-förordningens ändamålsreglering behöver spegla det behov som har av tillgång till uppgifter från . Utredningen kommer därför i följande avsnitt att redogöra för myndighetens behov av sådana uppgifter. behov av uppgifter i uppdrag framgår av förordningen (2013:1031) med instruktion för . ska enligt instruktionen ansvara för register och it-funktioner som öppenvårdsapotek och vårdgivare behöver ha tillgång till för en patientsäker och kostnadseffektiv läkemedelshantering. Myndig- heten ska vidare samordna regeringens satsningar på e-hälsa samt övergripande följa utvecklingen på e-hälsoområdet (1 §). Myndig- heten ska även särskilt ansvara för det register som anges i lagen om nationell läkemedelslista (2 § 1) och tillhandahålla ett system för förmedling av ansökningar om tillstånd till försäljning av läkemedel enligt 4 kap. 10 § läkemedelslagen (2015:315) (2 § 12), kvalitets- säkra, förvalta, framställa och tillhandahålla nationell läkemedels- statistik samt tillhandahålla ett system för analys av läkemedels- statistik (2 § 5 och 6). ska även utveckla och tillhandahålla digitala tjänster för att redovisa uppgifter i myndig- 23E-hälsomyndigheten, dnr. 2019/05878, . Annan elektronisk tillgång till hetens register i syfte att underlätta för den enskilde utifrån myndig- hetens verksamhetsområde (3 §). När ett receptförskrivet läkemedel lämnas ut från ett öppenvårds- apotek till en patient är det alltid en farmaceut som ansvarar för utlämnandet av det förskrivna läkemedlet.24 Ett förordnande får expedieras från öppenvårdsapotek endast om det utfärdats av en i behörig förskrivare (8 kap. 8 § föreskrifter [HSLF-FS 2019:32] om förordnande och utlämnande av läkemedel och teknisk sprit). Eftersom ansvarar för register och it-funktioner som öppenvårdsapotek och vårdgivare behöver ha tillgång till för en patientsäker och kostnadseffektiv läkemedels- hantering, behöver myndigheten ha tillgång till uppgifter i HOSP- registret. Uppgifterna behövs dels för att tillhandahålla dem till expedierande personal på öppenvårdsapotek så att de kan kontrollera att förskrivaren är behörig, dels för att ska kunna kontrollera att den person som ansvarar för utlämnandet är legitimerad farmaceut (dvs. apotekare eller receptarie). Enligt 6 kap. 2 § lagen om nationell läkemedelslista ska E-hälso- myndigheten lämna ut vissa uppgifter till hälso- och sjukvårds- personal som har behörighet att förskriva läkemedel eller andra varor, sjuksköterska utan sådan behörighet, till dietist och till farmaceut i hälso- och sjukvården. behöver därför ha till- gång till uppgifter i om förskrivares, sjuksköterskors, dietisters och farmaceuters (dvs. apotekares och receptariers) identitet och behörighet för att kunna kontrollera behörigheten innan upp- gifter lämnas ut till dem. Lagen om nationell läkemedelslista innehåller även bestämmelser om att hälso- och sjukvårdspersonal som har behörighet att förskriva läkemedel i vissa fall ska begära hos att få vissa uppgifter spärrade för direktåtkomst i den nationella läkemedelslistan och i vissa fall begära att en sådan spärr hävs (4 kap. 4 och 6 §§). Lagen innehåller även bestämmelser om direktåtkomst för hälso- och sjuk- vårdspersonal som har viss behörighet (5 kap. 3–5 §§). E-hälso- myndigheten behöver även på grund av dessa bestämmelser tillgång till uppgifter i för att kunna kontrollera att den som begär en sådan spärr, upphävande av spärr eller direktåtkomst till uppgifter är behörig att göra detta. 2017/18:223 s. 28. Annan elektronisk tillgång till är enligt lagen (2016:526) om behandling av personuppgifter i ärenden om licens för läkemedel personuppgifts- ansvarig för myndighetens personuppgiftsbehandling i ärenden om ansökan om licens och får behandla personuppgifter enligt den lagen om det är nödvändigt för att ska kunna ta emot och bevara uppgifter samt sammanföra handlingar i ärenden om ansökan om licens (7 och 8 §§). ska enligt den nämnda lagen lämna ut uppgifter i ärenden om ansökan om licens till den som är behörig att förordna läkemedel och som i sin verksamhet har behov av sådana uppgifter (15 §). Det finns i lagen även särskilda bestämmelser om gallring av personuppgifter som lämnats till E- hälsomyndigheten av någon som är behörig att förordna läkemedel (19 §). behöver därför ha tillgång till uppgifter i för kontroll av förskrivares och farmaceuters behörighet dels vid skapande av motivering och ansökan, dels vid åtkomst till uppgifter i ärenden om licens. har vid kontakter med utredningen gett följande konkreta situationer som exempel på att myndigheten har behov av att kunna behandla uppgifterna i för kvali- tetssäkring, validering och komplettering av uppgifter. Sådant behov kan finnas för att i samband med expedition av recept komplettera systemets händelselogg med farmaceutens HOSP-id, även kallat legitimationskod,25 om denna inte anges i anropet till tjänsten. Behov av kompletterande uppgifter om den person som har åtkomst finns även för att i samband med åtkomst till den nationella läkemedels- listan få nödvändiga uppgifter för att kunna genomföra en effektiv loggning och kontroll av åtkomsten. Sådant behov finns även rörande inrapportering av dispenser från begränsningar av förordnande och utlämnande av vissa läkemedel (se avsnitt 8.5.3). rapporterar in beviljade dispenser till E‑hälso- myndighetens register RIF (Register över individuella förskrivar- behörigheter) så att myndigheten kan tillgängliggöra dem för apoteken. behöver då kunna kontrollera att angiven förskrivarkod finns i och vilken behörig- het innehavaren av förskrivarkoden har. Även i den kommande möjligheten till e-recept över landsgränser finns det behov av att få uppgifter från . Vid apotekens inloggning i tjänsten via en webbapplikation anges inte farmaceutens namn utan i stället 25HOSP-id behandlas i med stöd av 6 § 11 i HOSP-förordningen. Annan elektronisk tillgång till någon annan form av ID (tex. HOSP-id/legitimationskod eller personnummer). behöver kunna skicka far- maceutens namn till den utländska kontaktpunkten och har därför behov av att kunna få ut uppgift om vilket namn som är knutet till en viss HOSP-id/legitimationskod. har även anfört att myndigheten har ett behov av att använda uppgifter från vid behandling som inte är reglerad i författning, utan som följer av t.ex. regerings- uppdrag.26 Det finns enligt myndigheten även ett behov av att behandla uppgifter i för uppdrag som initialt ges till myndigheten genom regleringsbrev men som senare ska författ- ningsregleras, som exempelvis e-recept över landsgränser. har utöver detta uttryckt behov av att få behandla uppgifter från för statistikframställning och tillhandahållande av statistik enligt 2 § 5 och 6 förordningen med instruktion för . Myndighetens behov av uppgif- ter från för statistik berörs nedan i ett särskilt avsnitt. Ett nytt ändamål för kontroll av hälso- och sjukvårdspersonals identitet och behörighet i enlighet med författning eller regeringsuppdrag Utredningen anser att har ett berättigat behov av elektronisk tillgång till uppgifter i i samtliga de fall som beskrivs i avsnittet ovan, behovet av uppgifter för statistik berörs som nämnts i ett särskilt avsnitt. De ändamål som finns iHOSP-förordningen täcker inte in dessa behov utan det finns anledning att ersätta de nuvarande ändamålen avseende E-hälso- myndigheten med ett nytt ändamål. Det primära ändamålet med är att föra en aktuell förteckning över legitimerad hälso- och sjukvårdspersonal (se 4 §). Utredningen konstaterar att gemensamt för de fall då E-hälso- myndigheten behöver elektronisk tillgång till uppgifter i HOSP- registret är att myndigheten då har ett behov av att kontrollera hälso- och sjukvårdspersonals identitet och behörighet mot den aktuella förteckning över legitimerad hälso- och sjukvårdspersonal som finns Myndigheten behöver göra detta för att kunna utföra arbetsuppgifter till följd av åligganden för myndigheten som 26Exempelvis RIF – Uppdrag att automatisera och digitalisera kontrollen av individuella förskrivar- behörigheter, S2016/03790/FS. Annan elektronisk tillgång till finns reglerade i författning eller genom regeringsuppdrag. Syftet med kontrollen kan i vissa fall beskrivas som ett behov av att kvali- tetssäkra, validera eller komplettera uppgifter som E-hälsomyndig- heten får in genom sina system, men kvalitetssäkringen, valideringen eller kompletteringen har alltid att göra med kontroll av behörighet. Kontrollen av behörigheten sker då i enlighet med författning eller regeringsuppdrag, där det på olika sätt framgår att någon i ett visst sammanhang ska ha en viss behörighet. När det gäller E-hälso- myndighetens behov av uppgifter i med anledning av den kommande möjligheten till e-recept över landsgränser förut- sätter utredningen att även denna behandling av personuppgifter kommer att regleras genom författning eller regeringsuppdrag. Flera av ändamålen i HOSP-förordningen avser kontroll av hälso- och sjukvårdspersonals identitet och behörighet (se 5 § 4–7 HOSP-förordningen). Det kan enligt utredningens mening ifråga- sättas om ordet identitet bör finnas med i ändamålsbeskrivningarna. Med begreppet kontroll av identitet avses vanligen att kontrollera att en person har den identitet personen utger sig för att ha, dvs. att kontrollera att en person har det namn och personnummer som personen utger sig för att ha. I 6 § 1 HOSP-förordningen anges att registret får innehålla uppgift om namn, personnummer, samord- ningsnummer eller andra liknande identitetsbeteckningar och kön. Avsikten med innebörden av begreppet kontroll av identitet i bör därför enligt utredningens mening snarare vara att kontrollera en persons identitetsbeteckning än att kontrollera personens identitet. I 6 § 10 HOSP-förordningen anges att registret får innehålla uppgift om förskrivarkod. Ett behov av att kontrollera uppgifter om hälso- och sjukvårdspersonals identitet mot uppgifter i kan exempelvis finnas vid expediering av ett recept när man endast har en förskrivarkod och behöver kontrollera vilket namn och personnummer eller annan identitetsbeteckning som hör samman med denna förskrivarkod. Ett mer rättvisande sätt att beskriva ändamålen i HOSP-förordningen skulle enligt utredningens mening vara att endast ange att det är hälso- och sjukvårdspersonals behörighet som kontrolleras. Ordet identitet har emellertid angetts i förordningen tillkomst. Kontroll av identitetsbeteck- ningen får även anses rymmas inom det vidare begreppet ”kontroll av behörighet”. Begreppet används dessutom i 6 § 7 HOSP-förord- ningen, som anger att personuppgifterna i registret får behandlas för Annan elektronisk tillgång till att kontrollera hälso- och sjukvårdspersonals identitet och behörig- het att utfärda intyg. Detta ändamål möjliggör behandling av uppgifter i för utlämnande genom direktåtkomst till Transportstyrelsen (7 e §), vilket inte omfattas av utredningens uppdrag att se över.