sou · H9B3102 · 2022-01-01 00:00:00 — Vad gäller övriga ändamål finner utredningen, i likhet med föra- rbetena till den nationella läkemedelslistan, att det inte är lämpligt med olika bevarandetider för de olika ändamålen. I den nationella läkemedelslistan finns motsvarande ändamål som i den föreslagna lagen, dvs. ändamål för framställande av statistik hos E-hälsomyn- digheten, ändamål för tillsyn och ändamål för epidemiologiska studier etc. Utredningen ser inget skäl att e-recept utfärdade i ett annat EES-land medför någon väsent- ligt annan bedömning om bevarandetidens längd än e-recept ut- färdade i . Utredningen finner således inte skäl att göra någon annan bedömning än vad som gjorts i den nationella läkemedelslistan vad gäller bevarandetidens längd. Mot denna bakgrund bör bevarande- tiden vara enligt utredningens bedömning. En ny lag om personuppgiftshantering 9.14Rätt att meddela föreskrifter Utredningens förslag: I lagen ska införas ett bemyndigande för regeringen att meddela föreskrifter om vilka uppgifter som ska lämnas till . I 8 kap. regeringsformen (RF) finns bestämmelser om lagar och andra föreskrifter. Vilka föreskrifter som meddelas genom lag följer av 8 kap. 2 § RF. Av 8 kap. 3 § RF framgår att kan bem- yndiga regeringen att meddela föreskrifter enligt 2 § första stycket 1 och 2. Vidare följer av 8 kap. 10 § RF att , efter ett bemyn- digande till regeringen att meddela föreskrifter i visst ämne, kan medge att regeringen bemyndigar en förvaltningsmyndighet att med- dela föreskrifter i ämnet. Regeringen kan även meddela föreskrifter om verkställighet av lag och föreskrifter som inte enligt grundlag ska meddelas av (8 kap. 7 § första stycket 1 och 2 RF). Utredningen föreslår i avsnitt 9.11.3 att ska på begäran av lämna de uppgifter som myndig- heten behöver för ändamålet i 6 § 4, dvs. för till- syn över tillhandahållandeskyldigheten enligt 2 kap. 6 § 16 lagen om handel med läkemedel och för tillsyn över upp- giftslämnande vid expediering av en förskrivning enligt 2 kap. 6 § 17 lagen om handel med läkemedel. Enligt utredningens bedömning bör vilka uppgifter som ska lämnas till inte regle- ras i lag utan på en lägre normgivningsnivå. Regeringen bör få ett bemyndigande för detta. Mer detaljerade föreskrifter bör meddelas i en ny förordning till lagen. Om t.ex. kraven från nätverket för e-hälsa ändras och det får betydelse för uppgiftsskyldigheten, är det en för- del att en förordning uppdateras enklare än en lag. Utredningen före- slår därför att regeringen ska bemyndigas att meddela föreskrifter om vilka uppgifter som ska lämnas till . 10Övriga aktörers personuppgiftsbehandling, ändringar i HOSP-förordningen och offentlighets- och sekretesslagen I föregående kapitel 7–9 analyseras personupp- giftsbehandling vid informationsutbyte av e-recept över landsgränser. Utredningen har också i uppdrag att analysera behovet av att reglera den personuppgiftsbehandling som öppenvårdsapoteken utför vid expedieringar i av e-recept från EES eller svenska e-recept som expedieras utomlands och vid behov lämna förslag på nödvändiga ändringar. Öppenvårdsapotekens behandling av personuppgifter regle- ras i apoteksdatalagen (2009:367) och omfattar personuppgifter som rör konsumenter och de som är behöriga att förordna läkemedel. Frågan om gränsöverskridande informationshantering för utlands- vård behandlas varken i apoteksdatalagen, i förarbetena till lagen eller vid genomförandet av patientrörlighetsdirektivet. Utredningen ska också analysera behovet av att reglera person- uppgiftsbehandling för andra berörda aktörer. I detta kapitel analy- seras även förskrivarnas personuppgiftsbehandling som främst regleras ipatientdatalagen (2008:355). och Socialstyrel- sens personuppgiftsbehandling analyseras avslutningsvis. Utredningen ska även redogöra för hur författningsförslagen förhåller sig till bl.a. relevant dataskyddsreglering, behovet av informationssäkerhet, rätts- säkerhet och skyddet för den personliga integriteten. Utredningen utreder även behovet av och föreslår ändringar i för- ordning (2006:196) om register över hälso- och sjukvårdspersonal, Övriga aktörers personuppgiftsbehandling ... den s.k. HOSP-förordningen och offentlighets- och sekretesslagen (2009:400) (OSL). 10.2Behov av ändringar i apoteksdatalagen Personuppgiftsbehandlingen vid en expediering av ett e-recept från EES påminner i stort om behandlingen när ett svenskt e-recept expe- dieras på ett öppenvårdsapotek. I båda fallen behöver öppenvårds- apoteken tillgång till ett antal uppgifter för att kunna utföra expedier- ingen. Vid informationsutbyte av e-recept över landsgränser kommer öppenvårdsapoteken få de uppgifter som behövs från den nationella kontaktpunkten för e-hälsa i land A, via som nationell kontaktpunkt för e-hälsa i . Utredningen redogör för hur informationsflödet i tjänsten e-recept över landsgränser ser ut i avsnitt 5.4. Syftet är att öppenvårdsapoteken ska kunna identi- fiera patienten och patientens e-recept för att sedan kunna expediera läkemedlet och slutligen återrapportera uttaget till E-hälsomyndig- heten för vidarebefordran av informationen till den utländska kon- taktpunkten för e-hälsa. De insamlade uppgifterna kommer i samband med expedieringen att behöva vidareförmedlas till som i sin tur samlar in, lagrar och lämnar ut uppgifterna till kontaktpunkten för e-hälsa i det andra landet och till andra aktörer samt använder upp- gifterna för statistikändamål. Uppgifterna kommer också att behöva sparas av öppenvårdsapoteken för att uppfylla den skyldighet som följer av receptföreskrifterna att vid expedieringen upprätta en verifika- tion som ska sparas för tillsyn (8 kap. 42 § och 10 kap. 1 §). De insamlade personuppgifterna kan även komma att behandlas i samband med reklamation och då för ändamålet reklamation (8 § 3 apoteksdatalagen), i samband med att uppgifter lämnas ut till Läke- medelsverket och Inspektionen för vård och omsorg () och då för ändamålet tillsyn (8 § 6) samt i samband med hälsorelaterad kund- service och då för ändamålet hälsorelaterad kundservice (8 § 8). Vidare kan de insamlade uppgifterna även komma att behandlas för öppen- vårdsapotekens kvalitetssäkring och uppföljning av verksamheten och då för ändamålet kvalitetssäkring och uppföljning av verksam- heten (8 § 10 och 11) samt i samband med att uppgifter lämnas till Övriga aktörers personuppgiftsbehandling ... för statistik över detaljhandeln (8 § 2). Om expedierande farmaceut i samråd med konsumenten skriver ut en sammanställning av de receptuppgifter på originalspråket som över- förts i PDF-format från kontaktpunkten för e-hälsa i det andra landet kommer personuppgifter att behandlas och då eventuellt för ända- målet utlämnande av recept till konsumenten (8 § 9). Syftet är främst att konsumenten ska kunna ta del av information från receptet på sitt språk. Det är en informationsåtgärd och innebär inte en överför- ing av e-receptet till ett annat receptformat. När det blir aktuellt för att hantera fullmakter i tjänsten behöver öppenvårdsapoteken kunna kontrollera att det finns en giltig fullmakt och behöver då kunna behandla personuppgifter för ändamålet administrering av fullmakter (8 § 5). 10.2.2De personuppgifter som behövs vid en expediering Personal på öppenvårdsapoteken behöver tillgång till alla uppgifter om en förskrivning för att expediera läkemedel och för att kunna vidta åtgärder i samband med expedieringen. Den som expedierar läkemedel behöver bl.a. kontrollera förordnandet, se till att rätt läke- medel expedieras till rätt person, samt ge den information och råd- givning som krävs för att säkerställa en korrekt och säker läkemedels- användning. I den kontroll som ska göras enligt receptföreskrifterna ligger bl.a. att försäkra sig om att receptet är fullständigt ifyllt av en behörig förskrivare och fortfarande giltigt. I kontrollen ingår också t.ex. att bedöma om dosen är rimlig med hänsyn till ändamålet och om det finns risk för interaktioner. I receptföreskrifterna framgår vilka uppgifter som ett recept ut- färdat av behörig förskrivare i ska innehålla (4 kap. 8 §).1 Det är dels uppgifter om patienten, patientens läkemedel och behandling, dels uppgifter om förskrivaren, t.ex. förskrivarens namn, förskrivar- kod, yrke, samt adress och telefon till arbetsplats. Vid expediering av e-recept från EES kommer öppenvårdsapoteken att behandla mot- svarande personuppgifter som när det gäller ett svenskt e-recept. De personuppgifter som behandlas har utredningen redogjort för i tidi- gare avsnitt 5.4.2. Uppgifterna är sådana som medlemsländerna be- 1Motsvarande uppgifter för pappersrecept från avsedda för EES finns i 4 kap. 10 § i receptföreskrifterna. Övriga aktörers personuppgiftsbehandling ... dömt vara nödvändiga för att e-recept ska kunna expedieras i ett annat EES-land. I informationsutbytet översätts och överförs endast de uppgifter som följer av nätverket för e-hälsas krav. Även i nät- verket för e-hälsas krav är vissa uppgifter ”utökade” och kan anges vid behov. 10.2.3Rättslig grund för behandlingen Utredningens bedömning: Behandling av personuppgifter för expediering av e-recept från EES kan stödjas på de rättsliga grun- derna rättslig förpliktelse och uppgift av allmänt intresse i enlig- het med artikel 6.1 c och 6.1 e i dataskyddsförordningen. De rätts- liga grunderna är fastställda i nationell rätt genom utredningens förslag. För att behandla personuppgifter krävs att det finns en rättslig grund som är tillämplig i enlighet med artikel 6 i dataskyddsförordningen. Behandlingen stödjer sig på en rättslig grund om den t.ex. är nöd- vändig för att fullgöra en rättslig förpliktelse som åvilar den person- uppgiftsansvarige eller för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning (artikel 6.1 c och 6.1 e i dataskyddsförordningen). Om en behandling grundar sig på någon av de nämnda rättsliga grunderna krävs att grunden är fastställd i eller i nationell rätt (artikel 6.3 andra stycket). Det finns i dessa fall också utrymme för att anpassa tillämpningen av förord- ningen genom bestämmelser i nationell rätt (artikel 6.2 och 6.3 andra stycket). Uppgiften att expediera recept framgår bl.a. av läkemedelslagen (2015:315) och lagen om handel med läkemedel (2009:366) samt före- skrifter meddelade med stöd av denna lagstiftning. Av receptföre- skrifterna framgår mer konkret öppenvårdsapotekens skyldighet att expediera ett giltigt recept. Av föreskrifterna följer bl.a. vem som kan anses som behörig förskrivare och behörig att expediera recept, samt vilka krav och kontroller som gäller vid expediering och ut- lämnande av läkemedel, t.ex. vad som gäller recept som utfärdats av en behörig förskrivare i ett annat EES-land. Behandling av personuppgifter för expediering av e-recept från EES får enligt utredningens bedömning anses vara nödvändig för att Övriga aktörers personuppgiftsbehandling ... fullgöra en rättslig förpliktelse i enlighet med artikel 6.1 c i data- skyddsförordningen.2 Enligt utredningens bedömning kan expedier- ing av e-recept också ses som en uppgift av allmänt intresse i enlighet med artikel 6.1 e i dataskyddsförordningen. Den rättsliga förpliktelsen eller uppgiften av allmänt intresse att expediera giltiga recept är i enligt med artikel 6.3 första stycket i dataskyddsförordningen fastställd i den nationella rätten genom bl.a. läkemedelslagen, lagen om handel med läkemedel, receptföreskrif- terna, samt utredningens förslag till ändringar i lagen om handel med läkemedel och receptföreskrifterna. 10.2.4Begreppet behörig att förordna läkemedel Utredningens bedömning: Begreppet behörig att förordna läke- medel i apoteksdatalagen omfattar inte förskrivare behöriga i ett annat land. Begreppet behörig att förordna läkemedel är ett centralt begrepp i svensk lagstiftning inom hälso- och sjukvårdsområdet. Begreppet förordna definieras som att utfärda recept eller rekvisition avseende läkemedel och teknisk sprit i 1 kap. 7 § receptföreskrifterna. Med rekvisition avses beställning av läkemedel eller teknisk sprit från öppenvårdsapotek, vilket inte är aktuellt i detta sammanhang (1 kap. 7 § receptföreskrifterna). Begreppet förskrivare definieras i ovannämnda bestämmelse som den som är behörig att förordna läkemedel eller teknisk sprit, med undantag för den som får rekvirera läkemedel enligt 6 kap. 7 §. Vilka som har behörighet att förordna läkemedel och teknisk sprit för behandling av människa framgår av 2 kap. i receptföreskrifterna. Det är bl.a. läkare, tandläkare, tandhygienister, barnmorskor, optiker och sjuksköterskor som i olika utsträckning har rätt att förordna läke- medel. Dessa yrkestitlar får användas endast av den som har legitima- tion för yrket eller genomgår föreskriven praktisk tjänstgöring enligt 4 kap. 5 § patientsäkerhetslagen (2010:659). Läkare, barnmorskor och tandläkare kan också ha ett särskilt förordnande att utöva yrket (4 kap. 4 § patientsäkerhetslagen). Det är som prövar 2SOU 2017:66 s. 376. Övriga aktörers personuppgiftsbehandling ... frågan om legitimation och särskilt förordnande (4 kap. 10 § patient- säkerhetslagen). Som begreppet förskrivare är definierat ovan verkar det förutsätta legitimation eller liknande krav enligt det svenska regelverket. I för- arbetena till den nationella läkemedelslistan framgår också att de svenska legaldefinitionerna av begreppen ”förskrivare”, ”öppenvårds- apotek” och ”farmaceut” endast avser förskrivare och farmaceuter med en svensk legitimation respektive apotek med en svensk licens.3 Vidare framgår av proposition Patientrörlighet i EU-förslag till ny lag- stiftning att artikel 11.1 i patientrörlighetsdirektivet om erkännande av recept som har utfärdats i ett annat medlemsland skulle genomföras i föreskrifter om förordnande av läkemedel och teknisk sprit m.m.4 I föreskrifterna görs en skillnad mellan förskri- vare och förskrivare behörig i ett annat EES-land, se t.ex. 8 kap. 36 §. Enligt utredningens bedömning verkar det svenska regelverket utgå från att begreppet förskrivare används som ett begrepp för för- skrivare behöriga i och som i regel inte omfattar förskrivare behöriga i andra länder. Ett exempel på detta är 8 kap. 8 § i recept- föreskrifterna som anger att ett förordnande får expedieras från öppenvårdsapotek endast om det utfärdats av en i behörig förskrivare, och att därutöver får bl.a. recept som utfärdats skrift- ligen av en förskrivare behörig i ett annat EES-land expedieras. Med stöd bl.a. i förarbetena till den nationella läkemedelslistan och hur begreppet verkar ha använts i annan lagstiftning väljer utredningen därför att tolka begreppet förskrivare som en svensk legaldefinition. Mot denna bakgrund är utredningens bedömning att begreppet be- hörig att förordna läkemedel i regel avser en förskrivare behörig i och att i de fall även behöriga förskrivare från annat EES- land avses bör det framgå i författningstexten. Det kan även antas bidra till en tydlighet i regleringen, främst eftersom förutsättningarna för en förskrivning i och i ett annat land kan skilja sig åt. 2017/18:223 s. 217 f. 2012/13:150 s. 101 f. Övriga aktörers personuppgiftsbehandling ... Utredningens förslag: Ett nytt stycke bör införas som gör det möjligt för öppenvårdsapoteken att också behandla personupp- gifter som rör behörig förskrivare från ett annat EES-land. För att avgränsa tillämpningsområdet när det rör e-recept från EES bör en hänvisning göras till definitionen av e-recept från EES i lagen om handel med läkemedel. Apoteksdatalagen reglerar öppenvårdsapotekens behandling av per- sonuppgifter hänförliga till konsumenter och de som är behöriga att förordna läkemedel. Av 1 § apoteksdatalagen följer att personupp- gifter hänförliga till konsumenter och de som är behöriga att förordna läkemedel får behandlas för de ändamål som anges i 8 §. Vid infor- mationsutbytet av e-recept över landsgränser kommer öppenvårds- apoteken att behandla e-recept som utfärdats av behörig förskrivare i ett annat EES-land. Vilka förskrivare som är behöriga bestäms av varje lands nationella rätt. Som framgår av den bedömning som utredningen gjort i avsnitt ovan, omfattas begreppet behörig att förordna läkemedel inte av behöriga förskrivare i ett annat EES-land. Öppenvårdsapoteken har också, i likhet med vad gäller svenska e-recept, behov av att behandla uppgifter om förskrivare från andra länder för att uppfylla de skyldig- heter som följer av svensk lagstiftning, t.ex. upprättande av verifika- tioner (8 kap. 42 § receptföreskrifterna). För att öppenvårdsapoteken ska kunna behandla uppgifter om behörig förskrivare i ett annat EES-land är utredningens bedömning att ett nytt stycke bör införas i 1 § apoteksdatalagen som innebär att öppenvårdsapoteken får behandla personuppgifter om behörig för- skrivare i ett annat EES-land. Vad gäller begreppet konsument finns det ingen legaldefinition som pekar ut svenska konsumenter. Begreppet konsument i apoteks- datalagen omfattar därför även konsumenter från andra länder. En- ligt utredningens bedömning krävs därför ingen ändring för att även konsumenter från andra länder ska omfattas av apoteksdatalagen. Trots detta föreslår utredningen att begreppet konsument upprepas i bestämmelsen om e-recept från EES för att det inte ska råda några oklarheter om att konsument omfattas av den nya bestämmelsen. Övriga aktörers personuppgiftsbehandling ... För att avgränsa expedieringen av läkemedel till endast de länder inom EES som omfattas av tjänsten e-recept över landsgränser bör en hänvisning till definitionen om e-recept från EES i lagen om handel med läkemedel göras. Det innebär bl.a. en begränsning till de krav som har fastställts av nätverket för e-hälsa, se vidare kapitel 5. Kraven innebär bl.a. att det bara är de länder inom EES som är an- slutna till e-hälsoavtalet som kan använda tjänsten e-recept över lands- gränser, att informationsutbytet måste ske via varje lands nationella kontaktpunkt för e-hälsa samt att dessa kontaktpunkter måste vara godkända av nätverket för e-hälsa för att få driftsätta tjänsten e-recept över landsgränser. Utredningen har inte analyserat förslagen i förhållande till pappers- recept från EES. Utredningens förslag: Personuppgifter får behandlas även för expediering av e-recept från EES och för redovisning av uppgifter till . Utredningens bedömning: Det är förenligt med dataskyddsför- ordningen att införa bestämmelser i svensk rätt om behandling av personuppgifter i enlighet med utredningens förslag. De ändamål för vilka personuppgifter får behandlas enligt apoteks- datalagen anges i 8 § och framgår av avsnitt 3.2.8. Ändamålsbestäm- melserna i 8 § är emellertid inte en helt uttömmande beskrivning av för vilka ändamål öppenvårdsapoteken får behandla personuppgif- ter. Utöver dessa ändamål får öppenvårdsapoteken också behandla personuppgifter med stöd av finalitetsprincipen (9 §) eller samtycke (6 § 2). Övriga aktörers personuppgiftsbehandling ... Ändamålet expediering på öppenvårdsapotek Öppenvårdsapotekens kärnverksamhet utgörs av expediering av läke- medel och andra varor som har förordnats. Utredningens bedöm- ning är att begreppet förordna är en svensk legaldefinition som endast avser förordnanden av förskrivare som är behöriga i , se avsnitt 10.2.4. Eftersom behandling för ändamålet expediering av förordnade läkemedel, och sådana förordnade varor som omfattas av lagen (2002:160) om läkemedelsförmåner m.m. samt för åtgärder i anslutning till expedieringen är begränsad till expediering av recept som utfärdats av en förskrivare behörig i , är expediering av recept som utfärdats av en förskrivare behörig i ett annat land inte ett uttryckligen tillåtet ändamål enligt apoteksdatalagen. Personuppgifterna kan inte behandlas med stöd av samtycke Enligt 6 § andra stycket apoteksdatalagen får behandling av person- uppgifter som inte är tillåten enligt lagen ändå utföras om den regi- strerade har lämnat ett uttryckligt samtycke till behandlingen. I för- arbetena till bestämmelsen framgår att den innebär ett klargörande och kan sägas vara ett uttryck för att en enskilds uttryckliga sam- tycke till en viss personuppgiftsbehandling ska respekteras. Det inne- bär således att personuppgifter kan samlas in och behandlas för ett ändamål som inte anges i apoteksdatalagens ändamålsbestämmelse om den enskilde har lämnat ett uttryckligt samtycke till detta.5 Ett samtycke enligt dataskyddsförordningen är varje slag av fri- villig, specifik, informerad, och otvetydig viljeyttring, genom vilken den registrerade, antingen genom ett uttalande eller genom en en- tydig bekräftande handling, godtar behandling av personuppgifter som rör honom eller henne (artikel 4.1 i dataskyddsförordningen). För att ett samtycke ska betraktas som frivilligt krävs enligt skäl 42 till dataskyddsförordningen att den registrerade har en genuin och fri valmöjlighet och utan problem kan vägra eller ta tillbaka sitt sam- tycke. Samtycke bör därför inte utgöra giltig rättslig grund för be- handling av personuppgifter om det råder betydande ojämlikhet mellan den registrerade och den personuppgiftsansvarige, särskilt om den personuppgiftsansvarige är en myndighet (skäl 43 till dataskydds- förordningen). Även om ett öppenvårdsapotek inte är en myndighet 2008/09:145 s. 339. Övriga aktörers personuppgiftsbehandling ... anser utredningen att samma synsätt gör sig gällande mellan en kon- sument och ett öppenvårdsapotek vad gäller maktobalansen mellan parterna. Det är dock inte helt uteslutet för myndigheter att tillämpa samtycke som rättslig grund. Regeringen har ansett att det torde finnas utrymme för samtycke som rättslig grund även för myndig- heter, bl.a. om den registrerade har fri valmöjlighet eller utan pro- blem kan vägra eller ta tillbaka sitt samtycke.6 I förarbetena till lagen om nationell läkemedelslista angav reger- ingen som exempel på när samtycke som rättslig grund kan an- vändas, t.ex. behandling av personuppgifter för mindre avgörande ändamål för patienten såsom aviserings- och påminnelsetjänster eller behandling av uppgifter om förskrivare som inte torde ha samma ojämlika förhållande till den personuppgiftsansvarige som patienter.7 Den behandling som utförs vid expediering av ett e-recept utfärdat i ett annat EES-land är inte en sådan situation. Enligt utredningens mening är det därför olämpligt att behandla personuppgifterna med stöd av samtycke. Ett utökat ändamål för expediering behövs Utredningen har ovan gjort bedömningen att expediering av e-recept utfärdade i ett annat EES-land inte tydligt omfattas av de uppräk- nade ändamålen i apoteksdatalagen och att det inte heller är lämpligt att behandla personuppgifterna med stöd av samtycke. För att öppen- vårdsapoteken ska kunna behandla personuppgifter för expediering av läkemedel som omfattas av tjänsten e-recept över landsgränser är utredningens bedömning att det befintliga ändamålet i 8 § 1 apoteks- datalagen bör utvidgas till att även omfatta e-recept från EES. För att avgränsa bestämmelsen till endast de länder inom EES som är an- slutna till tjänsten e-recept över landsgränser bör, enligt utredningens mening, en hänvisning göras till definitionen av e-recept från EES i lagen om handel med läkemedel, se avsnitt 12.2.2. 2017/18:171 s. 87. 2017/18:171 s. 87. Övriga aktörers personuppgiftsbehandling ... Den rättsliga grunden för behandlingen Öppenvårdsapotekens behandling av personuppgifter för att expe- diera e-recept från EES är nödvändig för att fullgöra en rättslig för- pliktelse och för att utföra en uppgift av allmänt intresse i enlighet med artikel 6.1 c och 6.1 e i dataskyddsförordningen, se avsnitt 10.2.3. Den rättsliga förpliktelsen och uppgiften av allmänt intresse att expe- diera giltiga recept från andra EES-länder är i enlighet med artikel 6.3 första stycket i dataskyddsförordningen fastställd i den nationella rätten genom bl.a. läkemededelslagen, lagen om handel med läke- medel, och receptföreskrifterna, med de tillägg som utredningen före- slår.