sou · H9B3102 · 2022-01-01 00:00:00 — Utredningen vill också lyfta fram att det fria flödet av person- uppgifter inom EU varken får begränsas eller förbjudas av skäl som rör skyddet för fysiska personer med avseende på behandlingen av personuppgifter (artikel 1.3 i dataskyddsförordningen). För uppgif- ter om bl.a. hälsa bör medlemsländerna få behålla eller införa ytter- ligare villkor, även begränsningar, men de bör inte hindra det fria flödet av sådana personuppgifter inom EU, när villkoren tillämpas på gränsöverskridande behandling av sådana uppgifter (skäl 53 till data- skyddsförordningen). Som utredningen konstaterat finns en risk för obehörigt röjande av personuppgifter. Denna risk kan enligt utredningens bedömning motverkas genom tydliga behörighetsregler för elektronisk åtkomst till uppgifterna och kravet på att åtkomsten till uppgifterna doku- menteras och kontrolleras. En sådan bestämmelse finns redan i lagen om nationell läkemedelslista och apoteksdatalagen. Utredningen före- slår en motsvarande bestämmelse i den nya lagen. Vidare är en förutsättning i tjänsten att behörig hälso- och sjuk- vårdspersonal kan identifieras på ett säkert sätt och att endast be- hörig hälso- och sjukvårdspersonal inklusive expedierande personal kan få tillgång till uppgifterna om patienten i land B. För svensk del innebär det bl.a. tvåfaktorsautentisering, vilket är ett krav i tjänsten. Vidare ska farmaceuten vid anrop bekräfta behandlingsrelationen till patienten, bl.a. genom att identifiera sig. Som framgår av avsnitt 5.4.2 har de anslutande länderna kommit överens om vilka personuppgifter som är nödvändiga att behandla i informationsutbytet och det är endast dessa uppgifter som ska be- handlas i tjänsten. Detta ligger i linje med principen om uppgifts- minimering (artikel 5.1 i dataskyddsförordningen). När ett svenskt e-recept expedieras i ett annat EES-land är det främst personupp- gifter som finns registrerade i lagen om nationell läkemedelslista som kommer att behandlas av . Dessa uppgifter har i tidigare lagstiftningsärenden bedömts nödvändiga för att kunna expe- diera recept. Uppgifter ur originalreceptet överförs som PDF-doku- ment utan att översättas till land B:s språk. Detta görs av patient- säkerhetsskäl. Vissa uppgifter om ett e-recept som inte kan expedieras i ett annat EES-land, bör enligt utredningens bedömning, få överföras av Avvägning mellan behov och integritetsrisker patientsäkerhetsskäl för att åstadkomma en lika patientsäker och effektiv process som den nationella. I ska farmaceuten vid expediering beakta t.ex. övriga förskrivningar enligt 8 kap. 11 § recept- föreskrifterna. Utredningens bedömning är att fördelarna för patient- säkerheten överväger integritetsriskerna med att vissa uppgifter förs över även om läkemedlet inte kan expedieras i det andra landet. Alter- nativet att endast lämna uppgifter om ett e-recept är enligt utredningen inte lika patientsäkert. Utöver de uppgifter som redan framgår av den nationella läke- medelslistan har utredningen föreslagit i avsnitt 8.2.4 och 8.3 att uppgifter om landskod, uppgift om förskrivare, expedierande farma- ceut och uppgift om expedierande apotek eller motsvarande från ett annat EES-land ska få registreras i den nationella läkemedelslistan. Ingen av dessa uppgifter är av känslig karaktär. Det går inte att utesluta att behandlingen av personuppgifter i tjänsten e-recept över landsgränser potentiellt kan innebära en kart- läggning av den enskilde, genom att det går att ta reda på i vilket land och på vilket apotek en patient befunnit sig. Utredningen bedömer risken för kartläggning av patientens personliga förhållanden som liten, särskilt mot bakgrund av att en sådan åtgärd är förbjuden enligt dataskyddsförordningen. Vidare har utredningen föreslagit att den behandling av personuppgifter som sker ska regleras i lag. Det ger i sig ett starkt integritetsskydd. Eftersom personuppgifter går över landsgränser och hanteras av fler aktörer finns en risk för att patienten får det svårare att utöva sina rättigheter enligt dataskyddsförordningen. En viktig del av integ- ritetsskyddet är att den enskilde kan ta tillvara sina rättigheter och ha kontroll över sina personuppgifter. Därför är det viktigt för den enskilde att veta vem som är personuppgiftsansvarig för behandlingen av den enskildes personuppgifter. föreslås vara personuppgiftsansvarig för den behandling som myndigheten utför då den överlämnar och tar emot personuppgifter från och till en nationell kontaktpunkt i ett annat EES-land i enlighet med lagen om nationell läkemedelslista och den nya lagen. Utredningen föreslår också att patienten måste samtycka till att personuppgifterna lämnas till ett annat EES-land då är land A. Det innebär att patienten själv kan välja om personuppgifter ska behandlas för informations- utbytet eller inte. I samband med att ett sådant samtycke lämnas ska informera om behandlingen och vad den inne- Avvägning mellan behov och integritetsrisker bär (se artikel 13 i dataskyddsförordningen och 7 kap. 3 § lagen om nationell läkemedelslista som reglerar den ytterligare informationen som ska ges). är också som personuppgifts- ansvarig enligt förslaget till ny lag skyldig att informera om hur per- sonuppgifterna kommer att behandlas (se artikel 14 i dataskyddsför- ordningen). Även öppenvårdsapoteken är personuppgiftsansvariga för den behandling som de utför vid expediering av e-recept från EES. Öppen- vårdsapoteken ska som personuppgiftsansvariga lämna ytterligare in- formation om hur personuppgifterna kommer att behandlas utöver den information som följer av artikel 13 och 14 i dataskyddsförord- ningen (16 § apoteksdatalagen). Det omfattar bl.a. information om de uppgiftsskyldigheter som följer av lag eller författning, sökbegräns- ningar etc. Den registrerade kommer på så sätt att få vetskap om vilken aktör som kan komma att ta del av personuppgifterna till följd av uppgiftsskyldigheten. Vidare kommer information om respektive lands personuppgifts- behandling att tillhandahållas och översättas till alla deltagande län- ders språk på en gemensam webbplats. Därutöver har patienten möj- lighet att lämna klagomål till tillsynsmyndigheten i landet där patienten har sin hemvist (artikel 77.1 i dataskyddsförordningen). Tillsynsmyn- digheten har då en skyldighet att utreda klagomålet i samarbete med berörda tillsynsmyndigheter i andra länder och informera patienten om resultatet (artikel 57.1 f och 77.2). Öppenvårdsapotekens hantering vid expediering av e-recept från ett annat EES-land innebär i vissa avseenden en annan hantering jämfört med expediering av svenska e-recept. Eftersom det inte rör sig om direktåtkomst till uppgifter om utländska e-recept kommer öppenvårdsapoteken att behöva kunna ta emot och lämna ut upp- gifter elektroniskt från och till på annat sätt än för svenska recept, inledningsvis via ett webbgränssnitt. Utredningen föreslår därför att det ska införas ett krav i 2 kap. 6 § lagen om handel med läkemedel på att öppenvårdsapoteken ska kunna ta emot och lämna ut uppgifter elektroniskt om en expediering av ett e-recept från EES. Som utredningen konstaterat i tidigare avsnitt innebär expedieringen av e-recept från EES en viss hantering som i sig kan innebära risk att felaktiga personuppgifter hanteras. Enligt utredningens bedömning borde denna risk vara som störst i början och sedan minska då expedieringen av utländska e-recept Avvägning mellan behov och integritetsrisker blir mer vanligt. Även om en hantering i sig alltid innebär en viss risk för att fel kan uppstå är utredningens bedömning att utbildning och information till expedierande personal borde minska risken för att personuppgifterna är felaktiga. Expedierande personal på öppenvårdsapoteken kommer att erbjudas utbildning i hur expe- dieringen av dessa e-recept ska gå till. Utredningen föreslår en uppgiftsskyldighet för E-hälsomyndig- heten i den nya lagen till öppenvårdsapoteken, utländsk kontakt- punkt för e-hälsa, och och en upp- giftsskyldighet till utländsk kontaktpunkt för e-hälsa enligt lagen om nationell läkemedelslista. Vidare föreslår utredningen att E-hälso- myndigheten ska informera om en tillståndshavare inte lämnar de uppgifter till myndigheten som föreskrivs i 2 kap. 10 b § lagen om handel med läkemedel. Utredningen föreslår även sekretessbrytande bestämmelser till expedierande personal på öppen- vårdsapotek och till utländsk nationell kontaktpunkt för e-hälsa för att uppgifterna ska få lämnas ut. Det skulle potentiellt kunna inne- bära ett intrång i den personliga integriteten för den enskilde och en risk för att skyddsvärda uppgifter sprids. Vad gäller de sekretess- brytande bestämmelserna har expedierande personal behov av att få tillgång till uppgifterna för att kunna expediera läkemedel. Även utländsk kontaktpunkt för e-hälsa har behov av uppgifterna för att kunna uppdatera registret med rätt uppgifter och att kunna vidare- förmedla uppgifter till ett apotek eller motsvarande i ett annat EES- land. Risken för intrång bör kunna begränsas genom utredningens förslag att bara får lämna ut uppgifter som be- hövs för expediering av läkemedel och återrapportering. Risken för intrång begränsas också genom att samtycke krävs då är land A för att uppgifterna ska få överföras och då är land B är patienten medveten om att uppgifterna kommer att överlämnas för att expedieringen ska kunna ske. Uppgifterna omfattas även av tystnadsplikt hos öppenvårdsapoteken enligt patientsäkerhetslagen (2010:659). Vidare föreslår utredningen att öppenvårdsapoteken ska lämna uppgifter till i samband med en expediering av ett e-recept från EES, i likhet med nuvarande uppgiftsskyldighet för svenska e-recept. Öppenvårdsapoteken har ett behov av att lämna uppgifter utan att det bör anses som ett obehörigt röjande för att kunna utföra expedieringen och åtgärder i anslutning till den. Avvägning mellan behov och integritetsrisker har ett behov av uppgifterna från öppenvårds- apoteken för myndighetens roll som nationell kontaktpunkt och uppdrag avseende statistik, samt för att lämna uppgifter till Läke- medelsverket och för respektive myndighets behov. Vad gäller förslaget om uppgiftsskyldighet till och innebär det att myndigheterna får behandla per- sonuppgifterna utan samtycke från patienten. ut- övar tillsyn över öppenvårdsapoteken. I denna tillsyn ingår att kon- trollera att öppenvårdsapoteken lämnar korrekta uppgifter och att läkemedelshanteringen i fråga om recepthanteringen är säker och i enlighet med gällande lagar och andra föreskrifter. För att kunna kontrollera att korrekta uppgifter lämnas behöver tillgång till dels de uppgifter som öppenvårdsapoteken lämnar i den verifikation som de ska upprätta vid en förskrivning, dels till de upp- gifter som lämnas till för att kunna göra en jämförelse. Utan tillgången till uppgifterna som lämnas till E-hälso- myndigheten saknar möjlighet att få kännedom om och kunna ingripa mot ett apotek som handlat felaktigt i denna del. Uppgifterna hos omfattas av stark sekretess i enlighet med 25 kap. 1 § offentlighets- och sekretesslagen (2009:400) (OSL). Utredningens bedömning är att det intrång i den personliga integriteten som förslaget innebär är proportionerligt i förhållande till syftet med förslaget. som är personuppgiftsansvarig för ger underlag för den officiella statistiken i . Syftet med registret är att öka patientsäkerheten på läkemedelsområdet. Upp- gifterna i läkemedelsregistret kommer från . Uppgifterna i läkemedelsregistret omfattas av statistiksekretessen i 24 kap. 8 § OSL vilket innebär att sekretessen är absolut och upp- gifterna enligt huvudregeln inte får lämnas ut. Undantag från sekre- tessen finns när det gäller uppgifter som behövs för forskning och statistikändamål och uppgifter som inte genom namn, annan iden- titetsbeteckning eller liknande förhållande är direkt hänförlig till den enskilde. I dessa fall kan uppgifter lämnas ut om det står klart att de kan röjas utan att den enskilda individ som uppgifterna rör eller någon närstående lider skada eller men. Uppgifterna hos omfattas således av ett starkt sekretesskydd. Samtliga hälsodataregister är av stort värde för svensk medicinsk forskning. De bygger på en intresseavvägning mellan å ena sidan att skapa samhällsnyttig kun- Avvägning mellan behov och integritetsrisker skap genom forskning och å andra sidan det intrång i den personliga integriteten som personuppgiftsbehandlingen innebär. Enligt utred- ningens bedömning är det intrång i den personliga integriteten som för- slaget innebär proportionerligt i förhållande till syftet med förslaget. Alternativ till utredningens förslag Utredningens förslag innebär att det kommer att finnas rättsligt stöd för den personuppgiftsbehandling som utförs när ett svenskt e-recept expedieras i ett annat EES-land och när ett e-recept från EES expe- dieras i . De alternativ som finns till utredningens förslag är antingen att underlåta att införa någon ny reglering av personupp- giftsbehandlingen eller att reglera frågorna på ett annat sätt, t.ex. genom en ny särskild lag som omfattar all personuppgiftsbehandling som sker inom ramen för informationsutbytet. Om någon ny regler- ing inte införs är valet antingen att avstå från att delta i tjänsten e-recept över landsgränser eller att förlita sig på att befintlig lagstift- ning är tillräcklig och att den behandling av personuppgifter som ut- förs kan ske med stöd av samtycke från den registrerade. Om någon ny reglering inte införs av den personuppgiftsbehand- ling som sker riskerar och öppenvårdsapoteken att behandla personuppgifter i strid med dataskyddsförordningen, lagen om nationell läkemedelslista och apoteksdatalagen. Som fram- går av avsnitt 7.2 gör utredningen bedömningen att personuppgif- terna inte bör behandlas med stöd av samtycke som rättslig grund. Det är också stor risk för att personuppgifterna i så fall skulle lämnas ut i strid med lagen om nationell läkemedelslista, apoteksdatalagen och OSL. Behandlingen av personuppgifter skulle då kunna leda till stora risker för patienternas integritet och och öppenvårdsapoteken skulle också riskera sanktionsavgifter och skade- ståndsskyldighet enligt dataskyddsförordningen. Utredningens för- slag innebär en uppdelning av den personuppgiftsbehandling som sker vid det gränsöverskridande samarbetet i olika författningar, se vidare kapitel 7. Anledningen till den uppdelningen är främst att e-recepten är registrerade på olika ställen, i det ena fallet i den nationella läke- medelslistan och i det andra i ett annat land och att behandlingen av dem därför skiljer sig åt. Avvägning mellan behov och integritetsrisker Enligt utredningens sammantagna bedömning saknas det alternativ för att uppnå det avsedda ändamålet att möjliggöra informations- utbyte genom tjänsten e-recept över landsgränser. Behandling av personuppgifter med anledning av utredningens för- slag är nödvändig för att utföra en uppgift av allmänt intresse och för att fullgöra en rättslig förpliktelse. uppdrag, dels att vara nationell kontaktpunkt för e-hälsa, dels att tillhandahålla tjänster och infrastruktur för gränsöverskridande informationsutbyte av e-recept, föreslås framgå av förordningen (2013:1031) med instruk- tion för . Utredningen föreslår att särskilda be- stämmelser för att anpassa tillämpningen av dataskyddsförordningen tas in i lagen om nationell läkemedelslista, apoteksdatalagen och i en ny lag om hantering av e-recept från Europeiska ekonomiska samarbetsområdet (EES). Av artikel 6.3 i dataskyddsförordningen framgår att den nationella regleringen av grunden för behandlingen som kompletterar förord- ningen ”ska uppfylla ett mål av allmänt intresse och vara proportio- nell mot det legitima mål som eftersträvas”. Som utredningen konstaterat tidigare får syftet med utredningens förslag att möjliggöra för enskilda inom EES att hämta ut läkemedel i ett annat EES-land, anses utgöra ett legitimt mål som uppfyller ett mål av allmänt intresse. Något alternativ till utredningens förslag för att uppnå ändamålet finns inte. Den behandling som kommer att utföras med anledning av förslagen är ändamålsbegränsad och de författningsförslag som lämnas ger tillräckliga skyddsåtgärder för att behandlingen ska anses vara proportionell mot det legitima mål som eftersträvas. Genom utredningens förslag kommer E-hälsomyndig- heten och öppenvårdsapoteken att ha rättsligt stöd i nationell rätt på det sätt som krävs enligt dataskyddsförordningen. Det är utredningens sammanfattande bedömning att behoven av, och fördelarna med utredningens förslag överväger de integritets- risker som behandlingen medför. Behandlingen uppfyller ett mål av allmänt intresse och är proportionell mot det legitima mål som efter- strävas. Avvägning mellan behov och integritetsrisker Enligt dataskyddsförordningen ska den personuppgiftsansvarige i vissa fall göra en bedömning av den planerade personuppgiftsbehand- lingens konsekvenser för skyddet av personuppgifter (artikel 35). En konsekvensbedömning ska göras om en typ av behandling, särskilt med användning av ny teknik och med beaktande av dess art, om- fattning, sammanhang och ändamål, sannolikt leder till en hög risk för fysiska personers rättigheter och friheter. Att genomföra en kon- sekvensbedömning är ett sätt för den personuppgiftsansvarige att säkerställa och visa att den personuppgiftsansvarige följer dataskydds- förordningen (artikel 5.2). En konsekvensbedömning är en process för att kunna identifiera risker med behandlingen av personuppgifter och ta fram rutiner och åtgärder för att hantera riskerna, och därmed bedöma om det intrång som behandlingen utgör är proportionerlig. Enligt artikel 35.10 i dataskyddsförordningen finns det en möjlighet att genomföra en konsekvensbedömning redan i lagstiftningsarbetet. Om en behandling enligt artikel 6.1 c eller 6.1 e i dataskyddsförord- ningen har en rättslig grund i eller svensk lag, om denna lagstiftning reglerar den specifika behandlingsåtgärden och om en konsekvensbedömning avseende dataskydd har genomförts som en del av en allmän konsekvensbedömning i samband med antagandet av denna rättsliga grund, gäller inte artikel 35.1–7 i dataskyddsför- ordningen. I sådana fall behöver inte var och en av de som behandlar personuppgifter enligt lagstiftningen göra en egen konsekvensbedöm- ning avseende dataskydd. Det kan underlätta om lagstiftaren så långt det är möjligt genomför en konsekvensbedömning, trots att lagstif- taren inte har exempelvis de tekniska förutsättningarna och därmed inte behovet av konkreta säkerhets- och skyddsåtgärder helt klart för sig. Dessa frågor behöver den personuppgiftsansvarige, som har kunskap om det specifika systemet, själv ta ställning till för att kunna minimera eventuella höga risker. Som utredningen redogjort för är utredningens bedömning att det gränsöverskridande informationsutbytet är en rättslig förpliktelse och en uppgift av allmänt intresse i enlighet med artikel 6.1 c och 6.1e i dataskyddsförordningen. Informationsutbytet innebär att käns- liga personuppgifter om potentiellt sett ett stort antal registrerade kommer att överföras mellan anslutna medlemsländer. Enligt utred- ningens bedömning kan behandlingen sannolikt leda till en hög risk Avvägning mellan behov och integritetsrisker för de registrerades rättigheter och friheter på det sätt som avses i artikel 35.1 i dataskyddsförordningen. Den personuppgiftsansvarige skulle därför i enlighet med artikeln behöva göra en konsekvens- bedömning avseende dataskydd innan behandlingen utförs. Infor- mationsutbytet kommer att ha stöd i den nationella rätten genom bl.a. lagen om nationell läkemedelslista, utredningens förslag till ny lag och instruktion. Den riskanalys och pro- portionalitetsbedömning som gjorts här utgör enligt utredningens bedömning en sådan konsekvensbedömning avseende dataskydd som avses i artikel 35.10 i dataskyddsförordningen. De inblandade per- sonuppgiftsansvariga behöver dock komplettera den med en konse- kvensbedömning avseende de mer praktiska, tekniska och organisa- toriska förutsättningarna för behandlingen. 12Åtgärder för en patientsäker och effektiv läkemedelsprocess Utredningen ska enligt sitt uppdrag se över behovet av andra åtgärder för att säkerställa en patientsäker och effektiv läkemedelsprocess, såsom behovet av att ändra de krav som ställs på öppenvårdsapote- ken i lagen (2009:366) om handel med läkemedel vid expediering av e-recept utfärdade i andra EES-länder. Förslagen analyseras även ut- ifrån ett sekretessperspektiv. Utredningen ska även se över frågan om expediering i andra EES-länder av svenska e-recept och expedier- ing i av e-recept från EES förutsätter ändringar i Läkemedels- verkets föreskrifter och då föreslå ändringar. Vidare ska utredningen ta ställning till de frågor som lyfts i av personuppgiftsbehandling (S2018/04035/FS) och i remiss- svaren till denna. En utgångspunkt är att den gränsöverskridande pro- cessen för e-recept ska vara lika patientsäker och effektiv som den nationella processen. I detta kapitel analyserar utredningen ovanstående delar av upp- draget. Kapitlet inleds med överväganden och förslag avseende kraven på öppenvårdsapoteken och behovet av ändringar i lagen om handel med läkemedel, förordningen (2009:659) om handel med läkemedel och receptföreskrifterna. Slutligen överväger utredningen ytterligare åtgärder för en patientsäker och effektiv process när är land A och svenska e-recept expedieras i ett annat EES-land. Utredningen överväger och föreslår ändringar i läkemedelslagen (2015:315) och läkemedelsförordningen (2015:458), samt att föreskrifter bör få med- delas av . Hanteringen av pappersrecept inom EES utreds inte. Åtgärder för en patientsäker och effektiv läkemedelsprocess 12.2Överväganden och förslag till ändringar i lagen om handel med läkemedel Utredningens bedömning: Pappersrecept inom EES utreds inte. Pappersrecept utfärdade av en förskrivare behörig i annat EES-land kan expedieras på öppenvårdsapotek i och pappersrecept utfärdade i kan expedieras i ett annat EES-land. Erkännande av sådana recept framgår av patientrörlighetsdirektivet som även är grunden för e-recept över landsgränser och nätverket för e-hälsas sam- arbete. Det finns dock skillnader mellan pappersrecept och e-recept som främst följer av det elektroniska informationsutbytet för e-recept och att utbytet baseras på ett frivilligt samarbete. För e-recept över landsgränser finns t.ex. ett krav på återrapportering av expedieringen från land B till land A, vilket inte är möjligt för pappersrecept från EES. Utredningen ska föreslå en helhetslösning för e-recept över landsgränser och utreder inte hanteringen av pappersrecept inom EES. Det finns fördelar med att utreda båda typerna av recept gemensamt. Utredningen har inte haft möjlighet att göra detta i del- betänkandet. 12.2.2En ny definition av e-recept från EES Utredningens förslag: En definition införs i lagen om handel med läkemedel för e-recept som har utfärdats av en förskrivare behörig i ett annat EES-land som får överföras enligt nätverket för e-hälsas krav för expediering i . Utredningen föreslår en ny definition – e-recept från EES – i lagen om handel med läkemedel. Definitionen avser e-recept som har ut- färdats av en förskrivare behörig i ett annat EES-land som kan över- föras till i enlighet med de krav som har fastställts av nätverket för e-hälsa som bildats med stöd av artikel 14 i patientrörlighets- Åtgärder för en patientsäker och effektiv läkemedelsprocess direktivet och kommissionens genomförandebeslut /1765.1 Syf- tet med definitionen är främst att undvika upprepningar i de bestäm- melser som utredningen föreslår ska gälla för denna typ av e-recept. Genom hänvisningen till de krav som har fastställts av nätverket för e-hälsa begränsas definitionen till vad nätverket har kommit överens om. Medlemsländerna ska utse endast en nationell kontaktpunkt för e-hälsa. Den ska granskas och godkännas för att medlemslandet ska få delta i tjänsten e-recept över landsgränser.