1 §  E-hälsomyndigheten ska för de ändamål som anges i 3 § utföra automatiserad behandling av personuppgifter i ett särskilt register över köp av förskrivna läkemedel (läkemedelsförteckning). Med köp avses i denna lag även förvärv av läkemedel med fullständig kostnadsreducering.

E-hälsomyndigheten är personuppgiftsansvarig för den behandling som avses i första stycket. Lag (2013:1023).

2 §  Denna lag innehåller bestämmelser som kompletterar Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskyddsförordning.

Vid behandling av personuppgifter enligt denna lag gäller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen.

En registrerad har inte, utom i de fall som avses i 3 § andra stycket, rätt att motsätta sig sådan behandling av personuppgifter som är tillåten enligt denna lag. Lag (2018:442).

3 §  Läkemedelsförteckningens dokumentation av köp av förskrivna läkemedel får endast användas för att

1. åstadkomma en säker framtida förskrivning av läkemedel för den registrerade,
2. bereda den registrerade vård eller behandling,
3. komplettera den registrerades patientjournal,
4. underlätta den kontroll som ska genomföras innan ett läkemedel lämnas ut till den registrerade från apotek, samt
5. underlätta den registrerades läkemedelsanvändning.

Tillgång till uppgifterna i läkemedelsförteckningen får endast med uttryckligt samtycke från den registrerade ges till

1. förskrivare av läkemedel för ändamål som anges i första stycket 1–3,
2. legitimerad sjuksköterska utan behörighet att förskriva läkemedel för ändamål som anges i första stycket 2 och 3, om det är nödvändigt för att den registrerade ska kunna få den vård eller behandling som han eller hon oundgängligen behöver, och
3. farmaceut på apotek för ändamål som anges i första stycket 4 vid färdigställande av läkemedel som ska lämnas ut till den registrerade.

Om den registrerade inte kan lämna sitt samtycke, får uppgifterna i förteckningen lämnas ut till förskrivare och till legitimerad sjuksköterska utan behörighet att förskriva läkemedel om det är nödvändigt för att den registrerade ska kunna få den vård eller behandling som han eller hon oundgängligen behöver. Lag (2009:393).

4 §  Läkemedelsförteckningen får endast innehålla följande uppgifter:

1. inköpsdag, vara, mängd, dosering,
2. den registrerades namn och personnummer, samt
3. förskrivarens namn, yrke, specialitet och arbetsplats. Lag (2010:412).

4 a §  Personuppgifter som avses i artikel 9.1 i EU:s dataskyddsförordning (känsliga personuppgifter) får behandlas med stöd av artikel 9.2 h i förordningen under förutsättning att kravet på tystnadsplikt i artikel 9.3 i förordningen är uppfyllt. Lag (2018:442).

5 §  Som sökbegrepp får endast den registrerades namn eller personnummer användas.

6 §  När uppgifter i läkemedelsförteckningen under de förutsättningar som anges i 3 § andra och tredje styckena lämnas ut till förskrivare eller farmaceut får detta ske på medium för automatiserad behandling. Uppgifter får även lämnas till den registrerade på medium för automatiserad behandling.

7 §  Förskrivare, legitimerad sjuksköterska utan behörighet att förskriva läkemedel och farmaceut får under de förutsättningar som anges i 3 § andra och tredje styckena ha direktåtkomst till uppgifter i läkemedelsförteckningen. Den registrerade får ha direktåtkomst till uppgifter om sig själv. Lag (2009:393).

9 §  Uppgifter skall tas bort ur förteckningen under den femtonde månaden efter den månad de registrerades.

10 §  Utöver vad som framgår av artiklarna 13 och 14 i EU:s dataskyddsförordning ska den som är personuppgiftsansvarig enligt denna lag lämna information till den registrerade om

1. vilken typ av uppgifter som ingår i förteckningen,
2. de tystnadsplikts- och säkerhetsbestämmelser som gäller för förteckningen,
3. rätten att ta del av uppgifter enligt 11 §,
4. rätten enligt artikel 82 i EU:s dataskyddsförordning och 7 kap. 1 § lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning till skadestånd vid behandling av personuppgifter i strid med denna lag,
5. vad som gäller i fråga om sökbegrepp, direktåtkomst och utlämnande av uppgifter på medium för automatiserad behandling, och
6. att registreringen inte är frivillig. Lag (2018:442).

11 §  Den registrerade har rätt att när som helst och så fort som möjligt få sådan information som avses i artikel 15 i EU:s dataskyddsförordning. Lag (2018:442).

12 §  I offentlighets- och sekretesslagen (2009:400) finns bestämmelser om begränsningar i rätten att lämna ut uppgifter. Lag (2013:621).

12 a §  E-hälsomyndigheten ska bestämma villkor för tilldelning av behörighet för åtkomst till helt eller delvis automatiskt behandlade uppgifter om kunder. Behörigheten ska begränsas till vad som behövs för att den som arbetar hos myndigheten ska kunna fullgöra sina arbetsuppgifter där.

Regeringen, eller den myndighet som regeringen bestämmer, får meddela föreskrifter om tilldelning av behörighet för åtkomst till helt eller delvis automatiskt behandlade uppgifter. Lag (2013:1023).

12 b §  E-hälsomyndigheten ska se till att åtkomst till helt eller delvis automatiskt behandlade uppgifter om kunder, dokumenteras så att de kan kontrolleras. Myndigheten ska systematiskt och återkommande kontrollera om någon obehörigen kommer åt sådana uppgifter.

Regeringen, eller den myndighet som regeringen bestämmer, får meddela föreskrifter om dokumentation och kontroll. Lag (2013:1023).

14 §  E-hälsomyndigheten får ta ut avgifter av öppenvårdsapoteken för att täcka kostnaderna för att föra läkemedelsförteckningen.

Regeringen, eller den myndighet som regeringen bestämmer, får meddela ytterligare föreskrifter om avgifterna. Lag (2013:1023).