sou · H9B3102 · 2022-01-01 00:00:00 — Utredningen finner inte skäl att göra en annan bedömning än vad regeringen gjorde i förarbetena till lagen om nationell läkemedelslista vad gäller bevarandetidens längd på uppgifterna i den nationella läkemedelslistan.32 Alternativet är att uppgifterna inte registreras och konsekven- serna av det är att det blir svårare att få kontakt med den som utfört expedieringen och svårare att genomföra felsökning och ha den spår- barhet som krävs. Det kan i sin tur medföra patientsäkerhetsrisker och informationssäkerhetsrisker, t.ex. om det inte går att följa upp expedieringen vid behov eller att felsöka. Utredningen ska enligt sitt direktiv föreslå en process som är lika effektiv och patientsäker som den nationella. Tillgången till nämnda uppgifter är enligt utredningens bedömning en sådan förutsättning för att uppnå en sådan process. Utredningens bedömning är sammanfattningsvis att behovet av att inkludera uppgifterna i den nationella läkemedelslistan överväger de integritetsrisker som behandlingen medför. 2017/18:223 s. 118 ff. Ändringar i lagen om nationell läkemedelslista således att förslaget är förenligt med dataskyddsförordningens be- stämmelser. Personuppgiftsbehandlingen är förenlig med regeringsformen Utredningen föreslår att uppgift om utländsk förskrivare och upp- gifter om expedierande personal och expedierande apotek från ett annat EES-land ska få registreras i den nationella läkemedelslistan. Uppgifterna avser namn och kontaktuppgifter och gör det möjligt att vid behov identifiera och kontakta personen i dess yrkesroll samt att kunna ha den spårbarhet som krävs för bl.a. patientsäkerhetsskäl. Uppgifterna utgör inte känsliga personuppgifter. Potentiellt kan det röra sig om uppgifter om ett stort antal människor. Registreringen kommer att ske utan samtycke. Enligt utredningens bedömning inne- bär behandlingen av personuppgifterna varken någon kartläggning eller övervakning eller ett sådant betydande integritetsintrång som avses i 2 kap. 6 § andra stycket RF. 8.4Inget behov av en ny sekretessbrytande bestämmelse Utredningens bedömning: Något behov av att ändra reglerna om offentlighet och sekretess finns inte med anledning av utred- ningens förslag att inkludera uppgift om utländsk förskrivare, expedierande personal och apotek eller motsvarande från ett annat EES-land i den nationella läkemedelslistan. I OSL finns bestämmelser om tystnadsplikt i det allmännas verk- samhet och förbud att lämna ut allmänna handlingar. Enligt 25 kap. 17 a § OSL gäller sekretess hos för uppgift om en enskilds hälsotillstånd eller andra personliga förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående lider men. Enligt 25 kap. 17 b § OSL gäller sekre- tess hos för uppgift om en enskilds affärs- eller driftsförhållanden, om det kan antas att den enskilde lider skada om uppgiften röjs. Ändringar i lagen om nationell läkemedelslista Enligt 8 kap. 1 § OSL får uppgift för vilken sekretess gäller enligt OSL inte röjas för enskilda eller för andra myndigheter, om inte annat anges i OSL eller i lag eller förordning som OSL hänvisar till. Det förekommer situationer när andra myndigheters eller enskildas intresse av att ta del av en sekretessbelagd uppgift väger tyngre än det intresse sekretessen ska skydda. Det finns därför bestämmelser i som innebär att sekretess under vissa förutsättningar inte hindrar att sekretessbelagda uppgifter lämnas till myndigheter eller enskilda. Sådana bestämmelser kallas för sekretessbrytande bestäm- melser. En sådan bestämmelse finns i 10 kap. 28 § OSL som gäller utlämnande till andra myndigheter och innebär att sekretess inte hindrar att uppgift lämnas till en annan myndighet om uppgiftsskyl- dighet följer av lag eller förordning. I lagen om nationell läkemedels- lista finns sådan uppgiftsskyldighet som avses i 10 kap. 28 § OSL för gentemot bl.a. regionerna, förskrivarna (ej pri- vata), , Inspektionen för vård och omsorg, TLV och . Någon motsvarande bestämmelse finns inte för aktörer som inte är eller jämställs med myndigheter. Det har därför införts sekretess- brytande bestämmelser i 25 kap. 17 c § OSL som innebär att sekre- tessen i 25 kap. 17 a och 17 b §§ inte hindrar att lämnar ut uppgifter enligt lagen om nationell läkemedelslista till hälso- och sjukvårdspersonal som har behörighet att förskriva läke- medel eller andra varor, en sjuksköterska utan sådan behörighet, en dietist, en farmaceut i hälso-och sjukvården eller till expedierande personal på öppenvårdsapotek. Som framgår ovan gör utredningen bedömningen att uppgift om expedierande farmaceut och apotek eller motsvarande i ett annat EES-land ska få registreras i den nationella läkemedelslistan för ända- målen i 3 kap. 3 och 4 §§, samt det nya ändamålet som utredningen föreslår för expediering av läkemedel på apotek eller motsvarande i ett annat EES-land i 3 kap. 3 a §. Vidare gör utredningen bedöm- ningen att uppgift om utländsk förskrivare ska få registreras för ända- målen i 3 kap. 5 § 3 och 5 som rör statistik och delar av uppdrag samt för nya ändamålet i 3 kap. 3 a §. Föremålet för sekretessen i 25 kap. 17 a § OSL är uppgifter om enskildas hälsotillstånd eller andra personliga förhållanden. Enligt lagkommentaren till 25 kap. 1 § som rör sekretess i hälso- och sjuk- vården för uppgifter om enskildas hälsotillstånd eller andra person- Ändringar i lagen om nationell läkemedelslista liga förhållanden omfattas inte hälso- och sjukvårdspersonal av bestämmelsen.33 Motiveringen till det är att hälso- och sjukvårds- personal i sin yrkesutövning knappast kan anses som enskilda i den mening som krävs för att sekretessbestämmelsen ska vara tillämplig. I propositionen Ny myndighet för hälso- och vårdinfrastruktur fann regeringen att en motsvarande sekretessbestämmelse som den i 25 kap. 1 § OSL även behövdes för den nya myndigheten (numera ). Enligt regeringen fanns det inte anledning att göra någon annan bedömning av behovet av att skydda känsliga upp- gifter av motsvarande slag hos den nya myndigheten. En ny sekre- tessbestämmelse till skydd för uppgifter om enskildas hälsotillstånd eller andra personliga förhållanden ansågs därför behöva införas i OSL.34 På motsvarande sätt som i sekretessbestämmelsen i 25 kap. 1§ OSL omfattas inte hälso- och sjukvårdspersonalen av sekretessens föremål enligt utredningens bedömning. Uppgift om förskrivare och expedierande personal omfattas så- ledes inte av sekretessbestämmelsen i 25 kap. 17 a § OSL eftersom hälso- och sjukvårdspersonal i sin yrkesutövning inte anses som en- skilda i den mening som krävs för att sekretessbestämmelsen ska vara tillämplig. Motsvarande bedömning gör utredningen i förhål- lande till utländsk förskrivare och expedierande personal i ett annat EES-land. Utredningen ser heller inget behov av att göra någon annan bedömning. Det har inte framkommit något skäl att behandla utländsk för- skrivare och expedierande personal på ett apotek eller motsvarande i ett annat EES-land ur ett sekretessperspektiv på något annat sätt än vad som gäller motsvarande uppgifter i . De sekretessbestäm- melser som eventuellt kan bli tillämpliga för vad gäller förskrivare och expedierande personal är t.ex. 21 kap. 3 § OSL som gäller sekretess för uppgift om en enskilds bostads- adress eller annan jämförbar uppgift som kan lämna upplysning om var den enskilde bor stadigvarande eller tillfälligt, den enskildes tele- fonnummer, e-postadress eller annan jämförbar uppgift som kan användas för att komma i kontakt med denne samt för motsvarande uppgifter om den enskildes anhöriga, om det av särskild anledning kan antas att den enskilde eller någon närstående till denne kan komma 33Eva Lenberg m.fl., Offentlighets- och sekretesslagen, kommentaren till 25 kap. 1 § offentlig- hets- och sekretesslagen, version 24. 2012/13:128 s. 50. Ändringar i lagen om nationell läkemedelslista att utsättas för hot eller våld eller lida annat allvarligt men om upp- giften röjs. Med formuleringen ”annan jämförbar uppgift kan använ- das för att komma i kontakt med den enskilde” avses t.ex. uppgift om faxnummer eller uppgift om vem som är den enskildes arbets- givare och telefonnumret till arbetsplatsen. Bestämmelsen är även tillämplig på uppgifter om utländsk hälso- och sjukvårdspersonal. Sekretess gäller också enligt 25 kap. 17 b § OSL hos E-hälsomyn- digheten för uppgift om en enskilds affärs- eller driftsförhållanden, om det kan antas att den enskilde lider skada om uppgiften röjs. Sekre- tessen gäller med ett rakt skaderekvisit vilket innebär en presumtion för offentlighet. Bestämmelsen tar sikte på uppgifter i E-hälsomyn- dighetens verksamhet som avser enskildas, t.ex. apotekens affärs- eller driftsförhållanden. Av förarbetena framgår att det exempelvis kan röra sig om uppgifter om försäljning av läkemedel och uppgifter som framkommer i samband med kontroll av en apoteksaktörs elek- troniska system för direktåtkomst till uppgifter hos myndigheten. Vidare kan myndigheten komma att behöva inhämta underlag från privata aktörer inom apoteks- eller vårdsektorn för att fullgöra upp- drag som ålagts av regeringen.35 Utredningen har svårt att se att denna bestämmelse skulle kunna bli tillämplig på de uppgifter om utländska apotek som E-hälsomyn- digheten ska få genom tjänsten e-recept över landsgränser eftersom de inte omfattar några sådana uppgifter om enskildas affärs- eller drifts- förhållanden som avses i 25 kap. 17 b § OSL. För det fall att denna bestämmelse skulle bli tillämplig finns en sekretessbrytande bestäm- melse i 25 kap. 17 c § OSL som innebär att sekretessen i 25 kap. 17 a och 17 b§§ inte hindrar att lämnar ut uppgifter enligt lagen om nationell läkemedelslista till bl.a. hälso- och sjuk- vårdspersonal som har behörighet att förskriva läkemedel eller andra varor, eller till expedierande personal på öppenvårdsapotek. Den sekretessbrytande bestämmelsen kommer även att omfatta uppgifter om expedierande apotek eller motsvarande från ett annat EES-land enligt utredningens förslag. Utredningens slutsats är att det ur sekretesshänseende inte visat sig finnas några skäl att behandla uppgift om utländsk förskrivare och uppgift om expedierande personal och apotek eller motsvarande från ett annat EES-land på något annat sätt än vad gäller motsvarande 2012/13:128 s. 50. Ändringar i lagen om nationell läkemedelslista Utredningen finner därför inte behov av att ändra i reglerna om offentlighet och sekretess med anledning av utred- ningens förslag. När det gäller övriga överväganden kring OSL, se avsnitt 10.6. 9En ny lag om personuppgiftshantering Utredningen anser att den rättsliga grunden för E-hälsomyndig- hetens behandling av personuppgifter vid hantering av e-recept från EES ska fastställas dels i instruktion (förord- ning [2013:1031] med instruktion för ), dels i en ny lag, se avsnitt 7.6. Den rättsliga grunden kan innehålla särskilda bestämmelser för att anpassa tillämpningen av dataskyddsförordningen. Som exempel anges allmänna villkor som ska gälla för den person- uppgiftsansvariges behandling, vilken typ av uppgifter som ska be- handlas, vilka registrerade som berörs, de enheter till vilka personupp- gifterna får lämnas ut och för vilka ändamål, ändamålsbegränsningar, lagringstid samt typer av behandling och förfaranden för behandling (artikel 6.3). eller den nationella rätten ska även uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas (artikel 6.3 andra stycket sista meningen). Natio- nell rätt kan även innehålla förtydliganden och begränsningar av bestämmelserna i dataskyddsförordningen, i den utsträckning det är nödvändigt för samstämmigheten och för att göra dem begripliga för personer som de ska tillämpas på (skäl 8 till dataskyddsförordningen). Utredningen anser mot denna bakgrund och med hänsyn till behovet av särskilda skyddsåtgärder att det är lämpligt att i lag fast- ställa närmare bestämmelser för hur behandling av personuppgifter vid expediering i av e-recept från EES ska gå till. De närmare bestämmelserna avser bl.a. ändamål med behand- lingen, personuppgiftsansvar och uppgiftsskyldighet. En ny lag om personuppgiftshantering Utredningens förslag: Lagen ska tillämpas vid automatiserad be- handling av personuppgifter vid hantering av sådana e-recept som har utfärdats av förskrivare behörig i ett annat EES-land som expedieras på öppenvårdsapotek i i enlighet med de krav som fastställts av nätverket för e-hälsa. Lagen ska inte gälla för behandling av personuppgifter vid hantering av svenska e-recept som expedieras i ett annat EES-land. Lagen om nationell läkemedelslista ska gälla för den behandlingen. När ett e-recept utfärdat i ett annat EES-land ska expedieras i kommer uppgifter om e-receptet hämtas från ett register i det landet. kommer då som nationell kontaktpunkt för e-hälsa att förmedla uppgifter om e-receptet mellan den nationella kontaktpunkten i ett annat EES-land och öppenvårdsapoteken i . Det innebär att myndigheten behandlar personuppgifter. Den nya lag som utredningen föreslår ska endast reglera E-hälso- myndighetens personuppgiftsbehandling i en viss del av myndighetens verksamhet, nämligen den som gäller hanteringen av e-recept som utfärdats av en förskrivare behörig i ett annat EES-land som ska expe- dieras i . Vad gäller den omvända situationen, när ett svenskt e-recept expedieras i ett annat EES-land, är utredningens förslag att den ska regleras i lag (2018:1212) om nationell läkemedelslista, se avsnitt 7.6. För att begränsa tillämpningsområdet för lagen föreslår utred- ningen att en hänvisning görs till de krav som fastställts av nätverket för e-hälsa. Genom en sådan hänvisning avgränsas personuppgifts- behandlingen på flera sätt. Nätverket för e-hälsas krav ställer villkor för deltagande i informationsutbytet t.ex. att endast medlemsländer i EU och EES deltar i informationsutbytet och att de nationella kontaktpunkterna för e-hälsa ska vara granskade och godkända.1 Ett annat krav är att informationen mellan medlemsländerna kanaliseras till de nationella kontaktpunkterna för e-hälsa. Dessa krav avgränsar t.ex. mellan vilka länder som informationsutbytet kan bli aktuellt, men även andra förutsättningar för e-recept över landsgränser. 1Medlemsländer i Efta kan delta som observatörer och i e-hälsoavtalet. Efta omfattas inte av utredningen, se avsnitt 2.2. En ny lag om personuppgiftshantering Vidare ska lagen endast gälla automatiserad behandling av per- sonuppgifter eftersom tjänsten e-recept över landsgränser endast gäller automatiserade uppgifter. Utredningens förslag: Lagen ska innehålla definitioner av e-recept från EES och utländsk kontaktpunkt för e-hälsa. Den föreslagna lagen kommer att innehålla begrepp som är centrala för tillämpningen av lagen. De begrepp som avses är e-recept från EES och utländsk kontaktpunkt för e-hälsa. Utredningen föreslår därför att begreppen förs in i lagen. Syftet med definitionerna är att undvika upprepningar och förenkla författningstexten. Med definitionen e-recept från EES avses e-recept utfärdade av en förskrivare behörig i ett annat EES-land som expedieras på öppen- vårdsapotek i enlighet med de krav som har fastställts av nätverket för e-hälsa som bildats med stöd av artikel 14 i patientrörlighets- direktivet. Hänvisningen till nätverket för e-hälsas krav innebär en av- gränsning bl.a. genom att e-recepten endast avser godkända human- läkemedel och att informationen om dessa e-recept förmedlas inom EES genom medlemsländernas nationella kontaktpunkter för e-hälsa. Vidare ska kontaktpunkten granskas och godkännas av kommissio- nen och medlemsländerna i nätverket för e-hälsa innan medlems- landet får delta i informationsutbytet. Med begreppet utländsk kontaktpunkt för e-hälsa avses en sådan nationell kontaktpunkt för gränsöverskridande hälso- och sjukvård som har utsetts i enlighet med artikel 6 i patientrörlighetsdirektivet. Enligt nätverkets krav ska endast en sådan kontaktpunkt för e-hälsa utses av respektive land för informationsöverföring avseende e-recept över landsgränser. En ny lag om personuppgiftshantering 9.4Förhållandet till dataskyddsförordningen och dataskyddslagen Utredningens förslag: Den nya lagen ska innehålla en upplysning om att den kompletterar dataskyddsförordningen. Om inte annat följer av den nya lagen eller föreskrifter som har meddelats i anslutning till den lagen ska även lagen med kom- pletterande bestämmelser till dataskyddsförordningen och före- skrifter som har meddelats i anslutning till den lagen gälla. Dataskyddsförordningen är direkt tillämplig och har företräde fram- för nationell lagstiftning. Dataskyddsförordningen har dock i viss mån en direktivliknande karaktär genom att flera artiklar förutsätter eller medger nationella bestämmelser som kompletterar eller före- skriver undantag från förordningens bestämmelser. Det är också möj- ligt att införliva delar av förordningen i nationell rätt, enligt skäl 8, i de fall förordningen föreskriver förtydliganden eller begränsningar och det är nödvändigt för samstämmigheten samt för att göra de natio- nella bestämmelserna begripliga för de personer som de tillämpas på. Enligt skäl 10 utesluter inte dataskyddsförordningen att det i med- lemsländernas nationella rätt fastställs närmare omständigheter för specifika situationer där personuppgifter behandlas, inbegripet mer exakta villkor för laglig behandling av personuppgifter. Den föreslagna lagen kommer därför endast att innehålla bestäm- melser som kompletterar eller tar över bestämmelserna i dataskydds- förordningen, när det är tillåtet. För att tillämparen ska få en tyd- ligare uppfattning av vilken reglering som gäller föreslår utredningen att en bestämmelse tas in i den nya lagen med en upplysning om att dataskyddsförordningen gäller. Den nya lagen innehåller hänvisningar till artiklar i dataskydds- förordningen. Hänvisningar till EU-rättsakter kan antingen göras sta- tiska eller dynamiska. En statisk hänvisning innebär att hänvisningen avser EU-rättsakten i en viss angiven lydelse. En följd av denna hän- visningsteknik är att den nationella författningen vanligtvis behöver ändras varje gång EU-bestämmelsen ändras. En dynamisk hänvis- ning innebär att hänvisningen avser EU-rättsakten i den vid varje En ny lag om personuppgiftshantering tidpunkt gällande lydelsen. Enligt utredningens bedömning är det mest lämpligt att en dynamisk hänvisning görs till dataskyddsför- ordningen i den nya lagen. Förordningen är direkt tillämplig och syftet med hänvisningen är endast att upplysa om att dataskyddsför- ordningen gäller. Lag (2018:218) med kompletterande bestämmelser till EU:s data- skyddsförordning (dataskyddslagen) innehåller nationella komplet- terande bestämmelser till dataskyddsförordningen. Av 1 kap. 6 § data- skyddslagen framgår att om en annan lag eller förordning innehåller någon bestämmelse som rör behandling av personuppgifter och som avviker från dataskyddslagen ska den bestämmelsen tillämpas. Data- skyddslagen är således subsidiär i förhållande till annan lagstiftning som reglerar behandling av personuppgifter. Det är således inte nödvändigt att föra in en materiell bestäm- melse som hänvisar till dataskyddslagen i den nya lagen. Av tydlig- hetsskäl innehåller ofta flertalet registerförfattningar en bestämmelse om förhållandet till den generella regleringen i dataskyddslagen. Av samma tydlighetsskäl föreslår därför utredningen att det bör införas en sådan bestämmelse i den nya lagen. Bestämmelsen ska ange att dataskyddslagen och föreskrifter som har meddelats i anslutning till den gäller vid behandling av personuppgifter enligt den nya lagen, om inte annat följer av den nya lagen eller föreskrifter som har med- delats med stöd av den. När dataskyddslagen är tillämplig är också bestämmelser som regeringen meddelat i anslutning till dataskydds- lagen tillämpliga. Det innebär att eventuella förordningsbestämmel- ser om undantag från dataskyddslagens tillämplighet gäller. Utredningens förslag: ska vara personupp- giftsansvarig för den behandling av personuppgifter som myndig- heten utför med stöd av lagen. En ny lag om personuppgiftshantering Dataskyddsförordningen förutsätter att det finns en personuppgifts- ansvarig för all personuppgiftsbehandling som sker. Med person- uppgiftsansvaret följer en rad skyldigheter, t.ex. att se till att det finns en laglig grund för behandlingen, ett ansvar för att se till att behandlingen inte sker i strid med de grundläggande principerna som gäller för behandling av personuppgifter och att behandlingen inte sker i större utsträckning än vad som är nödvändigt med hänsyn till det lagliga stöd som gäller för behandlingen samt att de registre- rades rättigheter uppfylls. Vidare har den personuppgiftsansvarige ett övergripande ansvar att vidta tekniska och organisatoriska åt- gärder för att säkerställa och kunna visa att behandlingen av person- uppgifter sker i enlighet med dataskyddsförordningen. Det åligger den personuppgiftsansvarige att bl.a. genomföra konsekvensbedöm- ningar och anmäla personuppgiftsincidenter till tillsynsmyndigheten samt informera berörda om incidenter som inträffat. Den person- uppgiftsansvarige har vidare ett skadeståndssanktionerat ansvar för att behandlingen av personuppgifter sker i enlighet med bestämmel- serna i dataskyddsförordningen och de eventuella kompletterande svenska dataskyddsbestämmelser som kan gälla (7 kap. 1 § dataskydds- lagen). Enligt artikel 4.7 i dataskyddsförordningen är personuppgiftsansva- rig en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestäm- mer ändamålen och medlen för behandlingen av personuppgifter. Det avgörande rekvisitet är den som bestämmer ändamålen och medlen för behandlingen. En personuppgiftsansvarig har per defini- tion alltid bestämmanderätt över ändamål och medel. Med rätten att bestämma över ändamål och medel avses rätten att bestämma över varför, respektive hur en behandling ska utföras. För bedömningen av vem som bestämmer över ändamålen med behandlingen är det enligt () avgörande bl.a. varför behand- lingen utförs och vem som är initiativtagare till behandlingen. Att bestämma över medlen för behandlingen innebär enligt främst att bestämma över de tekniska och organisatoriska medlen för be- handlingen, dvs. ”hur” behandlingen ska gå till, t.ex. vilka personupp- En ny lag om personuppgiftshantering gifter som ska behandlas, vilka tredje män som ska få tillgång till de behandlade personuppgifterna och när uppgifter ska raderas.2 Av definitionen av personuppgiftsansvarig i artikel 4.7 i dataskydds- förordningen framgår att om ändamålen och medlen för behand- lingen bestäms av eller medlemsländernas nationella rätt, kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i sådan rätt. Det är alltså tillåtet enligt dataskyddsförordningen att i nationell rätt ange vem som är person- uppgiftsansvarig för en viss behandling av personuppgifter (jfr arti- kel 6.2 och 6.3 samt skäl 45 till dataskyddsförordningen). Informationsutbyte av e-recept över landsgränser innebär att flera aktörer behöver behandla personuppgifter för att en expediering ska kunna genomföras. Det är alltifrån en förskrivare som utfärdar ett e-recept till ett apotek som expedierar e-receptet och däremellan de nationella kontaktpunkterna för e-hälsa som behandlar personupp- gifterna genom att vidarebefordra dem mellan inblandade medlems- länders aktörer. När flera aktörer är inblandade finns en risk att per- sonuppgiftsansvaret blir otydligt och att patienten har svårt att veta vem som är ansvarig för behandlingen av patientens personuppgifter. Som framgår ovan följer en rad skyldigheter för den personuppgifts- ansvarige enligt dataskyddsförordningen.