1 §  Denna lag gäller vid behandling av personuppgifter för de ändamål som avses i 8 eller 9 § hos Läkemedelsverket och E-hälsomyndigheten i ärenden angående ansökan om licens för läkemedel, om behandlingen av personuppgifterna är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier.

2 §  Med licens avses i denna lag ett tillstånd enligt 4 kap. 10 § andra stycket läkemedelslagen (2015:315) för öppenvårdsapotek att sälja läkemedel för att tillgodose behovet av läkemedel för en viss patient, ett visst djur eller djurslag eller en viss djurbesättning.

Med öppenvårdsapotek avses i denna lag en inrättning för detaljhandel med läkemedel som bedrivs med tillstånd enligt 2 kap. 1 § lagen (2009:366) om handel med läkemedel.

3 §  I denna lag har de uttryck som också förekommer i läkemedelslagen (2015:315) samma betydelse som i den lagen.

Vad som i denna lag föreskrivs i fråga om läkemedel ska också gälla sådana varor och varugrupper för vilka det med stöd av 18 kap. 2 § läkemedelslagen har föreskrivits att läkemedelslagen helt eller delvis ska gälla.

4 §  Personuppgiftslagen (1998:204) gäller för Läkemedelsverkets och E-hälsomyndighetens behandling av personuppgifter i verksamhet som rör ärenden om ansökan om licens för läkemedel, om inte annat följer av denna lag eller föreskrifter som meddelas i anslutning till denna lag.

5 §  Personuppgifter ska behandlas så att den registrerades personliga integritet respekteras.

Dokumenterade personuppgifter ska hanteras och förvaras så att obehöriga inte får tillgång till dem.

6 §  Behandling av personuppgifter som är tillåten enligt denna lag får utföras även om den registrerade motsätter sig behandlingen.

7 §  Läkemedelsverket är personuppgiftsansvarigt för myndighetens personuppgiftsbehandling i ärenden om ansökan om licens.

E-hälsomyndigheten är personuppgiftsansvarig för myndighetens personuppgiftsbehandling i ärenden om ansökan om licens.

8 §  Personuppgifter får behandlas enligt denna lag om det är nödvändigt för att

1. Läkemedelsverket ska kunna fatta beslut i ärenden om ansökan om licens och bevara uppgifter i sådana beslut,
2. Läkemedelsverket enligt 12 § ska kunna lämna ut uppgifter,
3. E-hälsomyndigheten ska kunna ta emot och bevara uppgifter i ärenden om ansökan om licens,
4. E-hälsomyndigheten ska kunna sammanföra handlingar i ärenden om ansökan om licens, och
5. E-hälsomyndigheten enligt 13–15 §§ ska kunna lämna ut uppgifter.

9 §  I fråga om behandling av personuppgifter för annat ändamål än vad som anges i 8 § gäller 9 § första stycket d och andra stycket personuppgiftslagen (1998:204).

10 §  Vid behandling av personuppgifter får förskrivningsorsak inte användas som sökbegrepp.

11 §  Får en personuppgift lämnas ut, får det ske på medium för automatiserad behandling.

12 §  Läkemedelsverket ska till E-hälsomyndigheten lämna ut uppgifter i ärenden om ansökan om licens.

13 §  E-hälsomyndigheten ska till Läkemedelsverket lämna ut uppgifter i ärenden om ansökan om licens.

14 §  E-hälsomyndigheten ska lämna ut uppgifter i ärenden om ansökan om licens till expedierande personal på öppenvårdsapotek som i sin verksamhet har behov av sådana uppgifter.

15 §  E-hälsomyndigheten ska lämna ut uppgifter i ärenden om ansökan om licens till den som är behörig att förordna läkemedel och som i sin verksamhet har behov av sådana uppgifter.

16 §  Expedierande personal på ett öppenvårdsapotek får, med den sökbegränsning som följer av 10 §, ha direktåtkomst till sådana personuppgifter i ärenden om ansökan om licens hos E-hälsomyndigheten som personalen i sin verksamhet har behov av.

Den som är behörig att förordna läkemedel får, med den sökbegränsning som följer av 10 §, ha direktåtkomst till personuppgifter i sådana ärenden om ansökan om licens hos E-hälsomyndigheten som innehåller personuppgifter som han eller hon själv har lämnat till myndigheten.

Patienten får ha direktåtkomst till personuppgifter om sig själv i ärenden om ansökan om licens hos E-hälsomyndigheten. Behörighetstilldelning

17 §  Den personuppgiftsansvarige ska bestämma villkor för tilldelning av behörighet för åtkomst till personuppgifter som helt eller delvis behandlas automatiskt. Behörigheten ska begränsas till vad som behövs för att den som arbetar på Läkemedelsverket eller E-hälsomyndigheten ska kunna fullgöra sina arbetsuppgifter.

Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om tilldelning av behörighet för åtkomst till personuppgifter som helt eller delvis behandlas automatiskt.

18 §  Den personuppgiftsansvarige ska se till att åtkomst till personuppgifter som helt eller delvis behandlas automatiskt dokumenteras så att åtkomsten kan kontrolleras i efterhand. Den personuppgiftsansvarige ska systematiskt och återkommande kontrollera om någon obehörigen kommer åt sådana uppgifter.

Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om dokumentation och kontroll.

19 §  Personuppgifter som bevaras ska gallras hos Läkemedelsverket och E-hälsomyndigheten senast 36 månader efter Läkemedelsverkets beslut i ärendet.

Personuppgifter som lämnats till E-hälsomyndigheten av någon som är behörig att förordna läkemedel ska, om uppgifterna inte sammanförts med en ansökan om licens, gallras hos E-hälsomyndigheten senast 12 månader efter det att uppgifterna har kommit in till myndigheten.

20 §  Bestämmelserna i personuppgiftslagen (1998:204) om rättelse och skadestånd gäller vid behandling av personuppgifter enligt denna lag.

21 §  Den personuppgiftsansvarige ska se till att den registrerade får information om personuppgiftsbehandlingen.

Informationen ska innehålla upplysningar om

1. vem som är personuppgiftsansvarig,
2. ändamålen med behandlingen,
3. den uppgiftsskyldighet som kan följa av lag eller förordning,
4. de sekretess- och säkerhetsbestämmelser som gäller för uppgifterna och behandlingen,
5. rätten att ta del av uppgifterna enligt 26 § personuppgiftslagen (1998:204),
6. rätten enligt 20 § till rättelse av oriktiga eller missvisande uppgifter och till skadestånd vid behandling av personuppgifter i strid med denna lag,
7. vad som gäller i fråga om sökbegränsningar, och
8. vad som gäller i fråga om gallring.