SOU 2021:102

E-recept inom EES

Till statsrådet och chefen för Socialdepartementet Lena Hallengren

Regeringen beslutade den 30 juli 2020 att tillsätta en särskild utredare med uppdrag att utreda vad som krävs för en patientsäker och effektiv process för elektroniska recept inom Europeiska ekonomiska samarbetsområdet (dir. 2020:80). Till särskild utredare förordnades tidigare generaldirektören Catarina Andersson Forsman från och med den 21 september 2020.

Som sakkunniga i utredningen förordnades från och med den 18 december 2020 ämnesrådet Henrik Moberg och kanslirådet Lisa Wiberg, båda vid Socialdepartementet.

Som experter förordnades från och med den 18 december 2020 juristen Pernilla Andersson, Integritetsskyddsmyndigheten, strategen Daniel Antonsson, Myndigheten för digital förvaltning, seniora farmaceutiska utredaren Annika Ohlson, E-hälsomyndigheten, medicinska utredaren Johanna Sjögren, Tandvårds- och läkemedelsförmånsverket, läkemedelsinspektören Gustav Sjöstrand, Läkemedelsverket och rättslige experten Johan Vadengren, Försäkringskassan. Den 25 maj 2021 entledigades Henrik Moberg som sakkunnig och Omid Mavadati, Socialdepartementet, förordnades som sakkunnig. Den 15 september 2021 entledigades Pernilla Andersson som expert.

Som sekreterare i utredningen anställdes den 1 november 2020 beredningschefen Evelina Kaarme och den 18 januari 2021 verksjuristen Sarah Svenblad.

Utredningen har antagit namnet Utredningen om e-recept inom

EES.

Härmed får utredningen överlämna delbetänkandet E-recept inom

EES (SOU 2021:102).

Utredningsarbetet fortsätter enligt direktiven (dir. 2021:91) med återstående utredningsfrågor.

Stockholm i december 2021

Catarina Andersson Forsman

/Evelina Kaarme Sarah Svenblad

Sammanfattning

Redan i dag är det möjligt att expediera pappersrecept från ett annat EES-land på svenska öppenvårdsapotek. Pappersrecept utfärdade i Sverige får expedieras i andra EES-länder. Medlemsländerna i EES samarbetar kring ett informationsutbyte om e-recept över landsgränser som gör det möjligt att även e-recept från ett EES-land får expedieras på ett apotek i ett annat EES-land. Samarbetet sker inom det frivilliga nätverket för e-hälsa som bildats med stöd av patientrörlighetsdirektivet. Detta nätverk samarbetar kring en infrastruktur och de förutsättningar som behövs för informationsutbytet. Informationsutbytet avser förskrivningar av godkända humanläkemedel utfärdade på e-recept, men med vissa undantag.

Jämfört med pappersrecept finns det fördelar med e-recept för patienter, expedierande personal på apotek och förskrivare. E-recept är i regel säkrare och bidrar till en mer fullständig bild av patientens läkemedelsbehandling bl.a. genom att expedierande apotek rapporterar till patientens hemland vilket läkemedel som har lämnats ut. Sverige deltar aktivt i samarbetet och avser att ansluta sig till informationsutbytet om e-recept över landsgränser.

E-hälsomyndigheten har i dag uppdraget dels att vara Sveriges kontaktpunkt för e-hälsa, dels att fortsätta etableringen och förvaltningen av den tekniska infrastruktur som krävs för att expediera utländska recept i Sverige och svenska recept i ett annat EES-land. All information som behövs för expediering går via de nationella kontaktpunkterna för e-hälsa som sedan vidareförmedlar informationen till expedierande apotek och övriga aktörer.

Utredningen har uppdraget att utreda vad som krävs för en patientsäker och effektiv process för e-recept inom EES och att föreslå de åtgärder som krävs för en sådan process.

Kartläggning av läkemedelsprocessen

Utredningen kartlägger informationsflöden och ansvarsfördelning i läkemedelsprocessen för e-recept inom EES. De grundläggande förutsättningarna för informationsutbytet vid e-recept över landsgränser beskrivs också. Denna kartläggning ligger till grund för utredningens fortsatta arbete.

Utredningen redogör även för ersättning vid gränsöverskridande vård i fråga om läkemedel och gör bedömningen att lag (2002:160) om läkemedelsförmåner m.m. inte är tillämplig med avseende på e-recept från EES som expedieras i Sverige.

Behovet av att reglera aktörernas personuppgiftsbehandling

E-hälsomyndighetens behandling av personuppgifter

E-hälsomyndigheten kommer att behandla känsliga personuppgifter på ett sätt som inte görs i dag i informationsutbytet för e-recept över landsgränser. Utredningen föreslår att den rättsliga grunden för E-hälsomyndighetens personuppgiftsbehandling vid informationsutbytet fastställs i förordningen (2013:1031) med instruktion för E-hälsomyndigheten, i lagen (2018:1212) om nationell läkemedelslista och i en ny lag om E-hälsomyndighetens hantering av e-recept från Europeiska ekonomiska samarbetsområdet (EES).

E-hälsomyndighetens uppdrag som kontaktpunkt för e-hälsa enligt patientrörlighetsdirektivet föreslås framgå av förordningen med instruktion för E-hälsomyndigheten. Det föreslås också att E-hälsomyndigheten får ett uppdrag att tillhandahålla tjänster och infrastruktur för informationsutbytet.

Utredningen föreslår ändringar i lagen om nationell läkemedelslista för E-hälsomyndighetens personuppgiftsbehandling när e-recept utfärdade i Sverige expedieras i ett annat EES-land. Utredningen föreslår bl.a. ett nytt ändamål som avser expediering i ett annat EES-land av e-recept som har utfärdats i Sverige. Utredningen föreslår också att patienten ska lämna ett integritetshöjande samtycke för att ett svenskt e-recept ska kunna expedieras i ett annat EES-land. Uppgifter om behörig förskrivare, expedierande farmaceut och apotek eller motsvarande i annat EES-land föreslås få registreras i den nationella läkemedelslistan eftersom det behövs för att stärka patientsäker-

heten. En uppgiftsskyldighet för E-hälsomyndigheten till en utländsk kontaktpunkt för e-hälsa föreslås också.

Utredningen föreslår en ny lag om E-hälsomyndighetens hantering av e-recept från Europeiska ekonomiska samarbetsområdet (EES) för myndighetens personuppgiftsbehandling. Lagen ska tillämpas när ett e-recept från ett annat EES-land expedieras på ett öppenvårdsapotek i Sverige. E-hälsomyndigheten föreslås vara personuppgiftsansvarig för den behandling som myndigheten utför enligt lagen. Utredningen föreslår vilka ändamål E-hälsomyndigheten får behandla personuppgifter för. Personuppgifter ska därutöver få behandlas för andra, icke oförenliga, ändamål. Vidare föreslår utredningen en uppgiftsskyldighet för E-hälsomyndigheten till öppenvårdsapotek, utländsk kontaktpunkt för e-hälsa, Läkemedelsverket och Socialstyrelsen. Utredningen föreslår också att personuppgifterna får bevaras i högst fem år efter det att läkemedlet expedierats på ett öppenvårdsapotek.

Överväganden om när patienten är ett barn, fullmakt och ombud, samt skyddade personuppgifter

Innan e-recept som avser läkemedel till barn ska kunna omfattas av informationsutbytet över landsgränser krävs det ytterligare utredning och överväganden enligt utredningens bedömning. Sådana överväganden avser frågor om integritet och sekretess, men även om de tekniska förutsättningarna för informationsöverföringen. Motsvarande överväganden bör göras när någon annan ska kunna hämta ut läkemedel åt patienten, med en fullmakt eller som någon annan slags ombud. Utredningen analyserar även förutsättningarna för e-recept inom EES för personer med skyddade personuppgifter.

Övriga aktörers personuppgiftsbehandling

Utredningen föreslår att det framgår av apoteksdatalagen (2009:367) att ett e-recept som har utfärdats av en förskrivare behörig i ett annat EES-land får behandlas. Utredningen föreslår vidare ett utökat ändamål i apoteksdatalagen som omfattar expediering av ett sådant e-recept som har utfärdats av en förskrivare behörig i ett annat EES-land och ett ändamål som rör redovisning av uppgifter om ett sådant e-recept från EES till E-hälsomyndigheten.

Utredningen gör också bedömningen att förskrivare behöriga i Sverige, Läkemedelsverket och Socialstyrelsen har stöd i dataskyddsförordningen för att behandla personuppgifter med anledning av informationsutbytet av e-recept över landsgränser.

Ändringar i HOSP-registret

E-hälsomyndigheten behöver kunna använda uppgifter om hälso- och sjukvårdspersonal för e-recept över landsgränser. Utredningen föreslår därför ett nytt ändamål som ersätter de ändamål i förordningen (2006:196) om register för hälso- och sjukvårdspersonal (HOSP-förordningen) som gäller behandling av personuppgifter för utlämnande av uppgifter till E-hälsomyndigheten. Ändamålet är detsamma som föreslagits i delbetänkandet Ombuds tillgång till vård-

och omsorgsuppgifter och förenklad behörighetskontroll inom vården i

SOU 2021:39. Det nya ändamålet innebär att E-hälsomyndigheten ska kunna få de uppgifter som behövs för myndighetens kontroll av hälso- och sjukvårdspersonals identitet och behörighet i enlighet med författning eller regeringsuppdrag.

Ändringar i offentlighets- och sekretesslagen

Utredningen föreslår vidare sekretessbrytande bestämmelser i offentlighets- och sekretesslagen (2009:400) så att uppgift enligt lagen om nationell läkemedelslista ska kunna lämnas ut till en utländsk kontaktpunkt för e-hälsa och att uppgifter som behandlas med stöd av den nya lagen om E-hälsomyndighetens hantering av e-recept från Europeiska ekonomiska samarbetsområdet (EES) ska kunna lämnas ut till de svenska öppenvårdsapoteken och till en utländsk kontaktpunkt för e-hälsa.

Behovet av andra åtgärder för en patientsäker och effektiv läkemedelsprocess

Krav på öppenvårdsapotek

Utredningen analyserar behovet av att ändra de krav som ställs på den som har tillstånd att bedriva detaljhandel med läkemedel till konsument i lagen (2009:366) om handel med läkemedel. Utredningen föreslår bl.a. en definition av e-recept utfärdade av en förskrivare behörig i ett annat EES-land (e-recept från EES), att tillståndshavaren för ett öppenvårdsapotek ska tillhandahålla läkemedel vid expediering av ett sådant e-recept så snart det kan ske. Tillståndshavaren ska också lämna uppgifter till E-hälsomyndigheten vid en sådan expediering. Vilka uppgifter som ska lämnas föreslås regeringen få meddela föreskrifter om. Utredningen föreslår även ett krav på att tillståndshavaren ska kunna ta emot och skicka uppgifter på elektronisk väg till E-hälsomyndigheten vid expediering av e-recept från EES. Myndigheten föreslås få meddela föreskrifter om kraven för en sådan överföring. E-hälsomyndigheten föreslås också informera Läkemedelsverket om öppenvårdsapoteken inte lämnar de uppgifter som de ska om e-recept från EES.

Läkemedelsverket föreslås få meddela föreskrifter som ska gälla vid expediering av e-recept från EES t.ex. om förutsättningarna för en expediering, identifiering av patienten och vilket läkemedel som får lämnas ut.

Övriga nödvändiga åtgärder

Utredningen föreslår att det ska framgå av läkemedelslagen (2015:315) att e-recept för godkända humanläkemedel får förmedlas för utlämnande i ett annat EES-land enligt nätverket för e-hälsas krav. Utredningen föreslår också att Läkemedelsverket får meddela föreskrifter om undantag för e-recept avseende vissa typer av läkemedel som inte får överföras för expediering i ett annat EES-land om ett sådant undantag är proportionerligt och nödvändigt av patientsäkerhetsskäl, t.ex. narkotiska läkemedel. Läkemedelsverket föreslås också få meddela föreskrifter som innebär att det för e-recept för vissa typer av läkemedel anges att endast det förskrivna läkemedlet får lämnas

ut vid expedieringen, om det kan antas vara olämpligt att utbyte sker med hänsyn till läkemedlets egenskaper.

När en patient från Sverige vill hämta ut ett läkemedel i ett annat EES-land föreslår utredningen att viss information även om ett e-recept som inte får expedieras utomlands överförs. Sådan information ger ytterligare förutsättningar för en patientsäker expediering enligt utredningen.

Digitala vårdtjänster och pågående arbete i nätverket för e-hälsa

Utredningen analyserar vad användningen av digitala vårdtjänster kan innebära för e-recept över landsgränser i EES, men föreslår inga ytterligare åtgärder i detta avseende.

Nätverket för e-hälsa samverkar även om informationsutbyte av s.k. patientöversikter. En patientöversikt är en sammanställning av viktig journalinformation som delas i vårdsammanhang för att kunna erbjuda patienten en god och säker vård. Utredningen återkommer till patientöversikter i slutbetänkandet.

Ikraftträdande

Föreslagna författningsändringar bör enligt utredningen börja gälla den 1 maj 2023. Under det första året är det dock frivilligt för öppenvårdsapoteken att expediera e-recept från EES och de nya kraven i lagen om handel med läkemedel gäller under denna period bara om tillståndshavaren väljer att erbjuda tjänsten. Från och med den 1 maj 2024 gäller kraven för alla tillståndshavare. Inga övergångsbestämmelser behövs.

Konsekvenser

Utredningens förslag innebär förbättringar för patienterna, den expedierande personalen och förskrivarna. Förslagen medför kostnader för E-hälsomyndigheten för uppdraget att ta fram förutsättningar för informationsutbytet och som nationell kontaktpunkt för e-hälsa. Utredningen föreslår att det finansieras genom myndighetens anslag. För öppenvårdsapoteken kommer förslagen att innebära vissa

kostnader, främst för en anpassning till de nya förutsättningarna som krävs för att kunna expediera e-recept från EES. Exempelvis kommer expedierande personal få uppgifterna om ett sådant e-recept på ett annat sätt än i dag. Uppgifterna om e-recept från EES avses hämtas genom ett webbgränssnitt som E-hälsomyndigheten tar fram, så att ingen teknisk anpassning bör behövas. Information och utbildning för expedierande personal kan behövas.

Fördelarna med förslagen överväger de integritetsrisker som finns.

1. Författningsförslag

1.1. Förslag till lag (0000:000) om E-hälsomyndighetens hantering av e-recept från Europeiska ekonomiska samarbetsområdet (EES)

Härigenom föreskrivs följande.

Tillämpningsområde m.m.

1 § Denna lag tillämpas vid automatiserad behandling av personuppgifter vid E-hälsomyndighetens hantering av sådana e-recept som har utfärdats av en förskrivare behörig i ett annat EES-land och som expedieras på öppenvårdsapotek i enlighet med de krav som har fastställts av nätverket för e-hälsa som bildats med stöd av artikel 14 i

Europaparlamentets och rådets direktiv 2011/24/EU av den 9 mars 2011 om tillämpningen av patienträttigheter vid gränsöverskridande hälso- och sjukvård (patientrörlighetsdirektivet).

Vid E-hälsomyndighetens hantering av e-recept som har utfärdats av en förskrivare behörig i Sverige och som expedieras på apotek eller motsvarande i ett annat EES-land gäller lagen (2018:1212) om nationell läkemedelslista.

2 § Med e-recept från EES avses i denna lag e-recept som har utfärdats av en förskrivare behörig i ett annat EES-land och som expedieras på öppenvårdsapotek i enlighet med de krav som har fastställts av nätverket för e-hälsa som bildats med stöd av artikel 14 i patientrörlighetsdirektivet.

3 § Med utländsk kontaktpunkt för e-hälsa avses i denna lag en sådan nationell kontaktpunkt för gränsöverskridande hälso- och sjukvård som har utsetts i enlighet med artikel 6 i patientrörlighetsdirektivet.

Förhållandet till annan reglering

4 § Denna lag innehåller bestämmelser som kompletterar Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), här kallad EU:s dataskyddsförordning.

Vid behandling av personuppgifter enligt denna lag gäller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag.

Personuppgiftsansvarig

5 § E-hälsomyndigheten är personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför med stöd av denna lag.

Ändamål med behandling av personuppgifter

6 § E-hälsomyndigheten får behandla personuppgifter om det är nödvändigt för

1. expediering på öppenvårdsapotek av sådana e-recept från EES som anges i 2 §,

2. redovisning till utländsk kontaktpunkt för e-hälsa av sådan expediering som avses enligt punkt 1,

3. framställning av statistik hos E-hälsomyndigheten,

4. redovisning av uppgifter för Läkemedelsverkets tillsyn över tillhandahållandeskyldigheten enligt 2 kap. 6 § 16 lagen (2009:366) om handel med läkemedel och för Läkemedelsverkets tillsyn över uppgiftslämnande vid expediering av en förskrivning enligt 2 kap. 6 § 17 lagen om handel med läkemedel, och

5. redovisning till Socialstyrelsen av uppgifter för epidemiologiska undersökningar, forskning, framställning av statistik, uppföljning, utvärdering och kvalitetssäkring inom hälso- och sjukvårdsområdet.

Personuppgiftsbehandling för andra ändamål

7 § Personuppgifter som behandlas enligt 6 § får behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in.

Personuppgifter som får behandlas

8 § E-hälsomyndigheten får med stöd av denna lag behandla endast sådana personuppgifter som behövs för de ändamål som anges i 6 §.

Behandling av känsliga personuppgifter

9 § Personuppgifter som avses i artikel 9.1 i EU:s dataskyddsförordning (känsliga personuppgifter) får behandlas med stöd av artikel 9.2 h i förordningen under förutsättning att kravet på tystnadsplikt i artikel 9.3 i förordningen är uppfyllt.

Uppgiftsskyldighet till öppenvårdsapotek

10 § E-hälsomyndigheten ska till expedierande personal på öppenvårdsapotek lämna ut de uppgifter som är nödvändiga för det ändamål som anges i 6 § 1.

Uppgiftsskyldighet till utländsk kontaktpunkt för e-hälsa

11 § E-hälsomyndigheten ska till en utländsk kontaktpunkt för e-hälsa lämna ut de uppgifter som är nödvändiga för de ändamål som anges i 6 § 1 och 2.

Uppgiftsskyldighet till Läkemedelsverket

12 § E-hälsomyndigheten ska till Läkemedelsverket lämna ut de uppgifter som är nödvändiga för det ändamål som anges i 6 § 4.

Uppgiftsskyldighet till Socialstyrelsen

13 § E-hälsomyndigheten ska till Socialstyrelsen lämna ut de uppgifter som är nödvändiga för det ändamål som anges i 6 § 5.

Behörighetstilldelning

14 § E-hälsomyndigheten ska bestämma villkor för tilldelning av behörighet till den som arbetar hos myndigheten för åtkomst till uppgifter som behandlas enligt denna lag. Behörigheten ska begränsas till det som behövs för att den som arbetar hos E-hälsomyndigheten ska kunna fullgöra sina arbetsuppgifter där.

Åtkomstkontroll

15 § E-hälsomyndigheten ska se till att åtkomst till uppgifterna som behandlas enligt denna lag dokumenteras så att åtkomsten kan kontrolleras. Myndigheten ska systematiskt och återkommande kontrollera om någon obehörigen tar del av uppgifterna.

Bevarandetid

16 § Personuppgifter ska tas bort senast fem år efter det att läke-

medlen expedierades på ett öppenvårdsapotek.

Bemyndigande

17 § Regeringen får meddela föreskrifter om vilka uppgifter som ska lämnas ut till Läkemedelsverket enligt 12 §.

Denna lag träder i kraft den 1 maj 2023.

1.2. Förslag till lag om ändring i lagen (2009:366) om handel med läkemedel

Härmed föreskrivs i fråga om lagen (2009:366) om handel med läkemedel,

dels att 1 kap. 4 §, 2 kap. 6, 10 b och 11 §§ och 8 kap. 2 a § ska ha

följande lydelse,

dels att det ska införas två nya paragrafer, 2 kap. 6 d och 11 b §§,

av följande lydelse,

dels att det närmast före 2 kap. 6 d § ska införas en ny rubrik av

följande lydelse.

Nuvarande lydelse

1 kap.

4 §1

I denna lag används följande beteckningar med nedan angiven betydelse.

Apoteksombud Näringsidkare som vid ett visst försäljningsställe utför sådana uppgifter som anges i 2 a kap.4 § på uppdrag av den som har tillstånd enligt 2 kap. 1 §. Detaljhandel Försäljning av läkemedel till konsument, sjukvårdshuvudman, sjukhus eller annan sjukvårdsinrättning eller till den som är behörig att förordna läkemedel. Dosdispensering Färdigställande av läkemedel för enskilds behov under viss tid genom uttag ur tillverkarens originalförpackning. Farmaceut Den som är behörig att utöva yrke som apotekare eller receptarie enligt 4 kap. 4 § patientsäkerhetslagen (2010:659).

1 Senaste lydelse 2018:1107.

Förmedling Verksamhet som är knuten till försäljning eller köp av humanläkemedel och som inte är att anse som partihandel och som sker utan fysisk hantering genom självständig förhandling åt en juridisk eller fysisk person. Kurant läkemedel Läkemedel vars hållbarhet inte har gått ut, vars godkännande för försäljning inte har upphört och som inte har återkallats från marknaden, som har lagrats och hanterats i enlighet med de särskilda lagringskrav som gäller för läkemedlet enligt produktresumén och som ligger i en oöppnad och oskadad sekundärförpackning. Partihandel Verksamhet som innefattar anskaffning, innehav, export, leverans eller sådan försäljning av läkemedel som inte är att anse som detaljhandel. Sjukhusapotek Den funktion eller de aktiviteter som tillgodoser läkemedelsförsörjningen till eller inom sjukhus. Vårdgivare Fysisk eller juridisk person som yrkesmässigt bedriver hälso- och sjukvård. Öppenvårdsapotek Inrättning för detaljhandel med läkemedel som bedrivs med tillstånd enligt 2 kap. 1 §.

Föreslagen lydelse

1 kap.

4 §2

I denna lag används följande beteckningar med nedan angiven betydelse.

Apoteksombud Näringsidkare som vid ett visst försäljningsställe utför sådana uppgifter som anges i 2 a kap. 4 § på uppdrag av den som har tillstånd enligt 2 kap. 1 §. Detaljhandel Försäljning av läkemedel till konsument, sjukvårdshuvudman, sjukhus eller annan sjukvårdsinrättning eller till den som är behörig att förordna läkemedel. Dosdispensering Färdigställande av läkemedel för enskilds behov under viss tid genom uttag ur tillverkarens originalförpackning.

E-recept från EES E-recept som har utfärdats av en förskrivare behörig i ett annat land i Europeiska ekonomiska samarbetsområdet (EES) som kan överföras till Sverige och expedieras på öppenvårdsapotek i enlighet med de krav som har fastställts av nätverket för e-hälsa som bildats med stöd av artikel 14 i Europaparlamentets och rådets direktiv 2011/ 24/EU av den 9 mars 2011 om tillämpningen av patienträttigheter vid gränsöverskridande hälso- och sjukvård.

Farmaceut Den som är behörig att utöva yrke som apotekare eller receptarie enligt 4 kap. 4 § patientsäkerhetslagen (2010:659).

2 Senaste lydelse 2018:1107.

Förmedling Verksamhet som är knuten till försäljning eller köp av humanläkemedel och som inte är att anse som partihandel och som sker utan fysisk hantering genom självständig förhandling åt en juridisk eller fysisk person. Kurant läkemedel Läkemedel vars hållbarhet inte har gått ut, vars godkännande för försäljning inte har upphört och som inte har återkallats från marknaden, som har lagrats och hanterats i enlighet med de särskilda lagringskrav som gäller för läkemedlet enligt produktresumén och som ligger i en oöppnad och oskadad sekundärförpackning. Partihandel Verksamhet som innefattar anskaffning, innehav, export, leverans eller sådan försäljning av läkemedel som inte är att anse som detaljhandel. Sjukhusapotek Den funktion eller de aktiviteter som tillgodoser läkemedelsförsörjningen till eller inom sjukhus. Vårdgivare Fysisk eller juridisk person som yrkesmässigt bedriver hälso- och sjukvård. Öppenvårdsapotek Inrättning för detaljhandel med läkemedel som bedrivs med tillstånd enligt 2 kap. 1 §.

Lydelse enligt SFS 2021:1126 Föreslagen lydelse

2 kap.

6 §3

Den som har tillstånd enligt 1 § att bedriva detaljhandel med läkemedel till konsument ska

1. ha lokalen bemannad med en eller flera farmaceuter under öppethållandet,

2. bedriva verksamheten i lokaler som är lämpliga för sitt ändamål och säkerställa att de delar av lokalerna där information och rådgivning om läkemedel, utbyte av läkemedel, läkemedelsanvändning och egenvård lämnas är utformade så att konsumentens integritet skyddas,

3. tillhandahålla samtliga förordnade läkemedel, och samtliga förordnade varor som omfattas av lagen (2002:160) om läkemedelsförmåner m.m. så snart det kan ske,

4. ha en läkemedelsansvarig för apoteket som ska ha det inflytande över verksamheten som krävs för att han eller hon ska kunna fullgöra sina uppgifter,

5. vid expediering av en förskrivning lämna de uppgifter som anges i 3 kap. 8 § lagen (2018:1212) om nationell läkemedelslista till E-hälsomyndigheten,

6. ha ett elektroniskt system som gör det möjligt att få direktåtkomst till uppgifter hos E-hälsomyndigheten,

7. till E-hälsomyndigheten lämna de uppgifter som är nödvändiga för att myndigheten ska kunna föra statistik över detaljhandeln,

8. utöva särskild kontroll (egenkontroll) över detaljhandeln och hanteringen i övrigt och se till att det finns ett för verksamheten lämpligt egenkontrollprogram,

9. på begäran utfärda intyg enligt 3 a § lagen (1992:860) om kontroll av narkotika,

10. på begäran erbjuda konsumenter delbetalning av läkemedel och varor som omfattas av lagen om läkemedelsförmåner m.m.,

11. tillhandahålla individuell och producentoberoende information och rådgivning om läkemedel, utbyte av läkemedel, läkemedelsanvändning och egenvård till konsumenter samt se till att informationen och rådgivningen endast lämnas av personal med tillräcklig kompetens för uppgiften,

3 Senaste lydelse 2021:1126.

12. ha ett för Läkemedelsverket registrerat varumärke för öppenvårdsapotek väl synligt på apoteket,

13. i de fall tillståndshavaren inte direkt kan tillhandahålla ett läkemedel eller en vara som avses i 3, informera konsumenten om på vilket eller vilka öppenvårdsapotek läkemedlet eller varan finns för försäljning,

13. i de fall tillståndshavaren inte direkt kan tillhandahålla ett läkemedel eller en vara som avses i 3, eller ett läkemedel som avses i

16, informera konsumenten om

på vilket eller vilka öppenvårdsapotek läkemedlet eller varan finns för försäljning,

14. uppfylla de krav avseende säkerhetsdetaljer som följer av kommissionens delegerade förordning (EU) 2016/161, och

14. uppfylla de krav avseende säkerhetsdetaljer som följer av kommissionens delegerade förordning (EU) 2016/161,

15. vid expediering av en förskrivning av läkemedel för behandling av djur lämna uppgifter till E-hälsomyndigheten, och

15. vid expediering av en förskrivning av läkemedel för behandling av djur lämna uppgifter till E-hälsomyndigheten,

16. vid expediering av e-recept från EES tillhandahålla det förskrivna läkemedlet eller ett läkemedel som motsvarar det förskrivna läkemedlet så snart det kan ske,

17. vid expediering av e-recept från EES lämna uppgifter till E-hälsomyndigheten, och

18. vid expediering av e-recept från EES, utöver det som anges i 6, på elektronisk väg kunna ta emot och lämna de uppgifter till E-hälsomyndigheten som krävs för en sådan expediering.

Nuvarande lydelse Föreslagen lydelse

Bestämmelser som inte gäller vid expediering av e-recept från EES

6 d §

Vid expediering av e-recept från EES gäller inte bestämmelserna i 2 kap. 6 § 3 och 5 för den som har tillstånd enligt 1 § att bedriva detaljhandel med läkemedel till konsument.

Lydelse enligt SFS 2021:1126 Föreslagen lydelse

10 b§4

E-hälsomyndigheten ska informera Läkemedelsverket om det som framkommit vid en kontroll av det elektroniska system för direktåtkomst till uppgifter hos myndigheten som en tillståndshavare ska ha enligt 6 § 6. Myndigheten ska vidare informera Läkemedelsverket om en tillståndshavare inte lämnar de uppgifter till myndigheten som föreskrivs i 6 § 5, 7

eller 15.

E-hälsomyndigheten ska informera Läkemedelsverket om det som framkommit vid en kontroll av det elektroniska system för direktåtkomst till uppgifter hos myndigheten som en tillståndshavare ska ha enligt 6 § 6. Myndigheten ska vidare informera Läkemedelsverket om en tillståndshavare inte lämnar de uppgifter till myndigheten som föreskrivs i 6 § 5,

7, 15 eller 17.

E-hälsomyndigheten ska, för Läkemedelsverkets tillsyn över kravet i 6 § 7, till Läkemedelsverket lämna sådana uppgifter som avses i 6 § 7.

4 Senaste lydelse 2021:1126.

Nuvarande lydelse Föreslagen lydelse

11 §5

Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om

1. utformning av sådana lokaler som avses i 6 § 2,

2. inom vilken tid tillhandahållandet enligt 6 § 3 ska ske,

2. inom vilken tid tillhandahållandet enligt 6 § 3 och 16 ska

ske,

3. vilken kompetens och erfarenhet en läkemedelsansvarig enligt 6 § 4 ska ha,

4. egenkontroll enligt 6 § 8,

5. information, rådgivning och personalens kompetens enligt 6 § 11,

6. användning av det varumärke som avses i 6 § 12,

7. expediering av förskrivningar och undantag från kravet på farmaceutisk kompetens enligt 9 a §,

och

7. expediering av förskrivningar och undantag från kravet på farmaceutisk kompetens enligt 9 a §,

8. utformning och kontroll av den EU-logotyp som avses i 10 a § 2,

8. utformning och kontroll av den EU-logotyp som avses i 10 a § 2, och

9. de krav som ska ställas på tillståndshavaren att på elektronisk väg kunna ta emot och lämna uppgifter till E-hälsomyndigheten enligt 6 § 18.

11 b §

Regeringen får meddela föreskrifter om vilka uppgifter som ska lämnas till E-hälsomyndigheten enligt 6 § 17.

5 Senaste lydelse 2018:1108.

8 kap.

2 a §6

E-hälsomyndigheten får ta ut en avgift för att

1. utfärda ett intyg som visar att den som ansöker om tillstånd att bedriva detaljhandel med läkemedel till konsument har förutsättningar att uppfylla de krav som föreskrivs i 2 kap. 6 § 5–7,

och

1. utfärda ett intyg som visar att den som ansöker om tillstånd att bedriva detaljhandel med läkemedel till konsument har förutsättningar att uppfylla de krav som föreskrivs i 2 kap. 6 § 5–7,

17, och

2. kontrollera det elektroniska system för direktåtkomst till uppgifter hos myndigheten som en tillståndshavare ska ha enligt 2 kap. 6 § 6.

En avgift enligt första stycket 1 får tas ut av den som ansöker om tillståndet. En avgift enligt första stycket 2 får tas ut av tillståndshavaren.

Regeringen får meddela ytterligare föreskrifter om avgifterna.

1. Denna lag träder i kraft den 1 maj 2023.

2. Bestämmelserna i 2 kap. 6 § 16–18 och 6 d § ska tillämpas från och med den dag en tillståndshavare som avses i 2 kap. 1 § uppfyller kraven i 2 kap. 6 § 18, dock senast den 1 maj 2024 då bestämmelserna ska tillämpas på samtliga tillståndshavare.

6 Senaste lydelse 2013:1025.

1.3. Förslag till lag om ändring i apoteksdatalagen (2009:367)

Härmed föreskrivs i fråga om apoteksdatalagen (2009:367) att 1, 8, 10, 12 och 13 §§, ska ha följande lydelse.

Nuvarande lydelse Föreslagen lydelse

1 §

Denna lag tillämpas vid sådan personuppgiftsbehandling vid öppenvårdsapotekens detaljhandel med läkemedel m.m. som är helt eller delvis automatiserad, eller där uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter, som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier.

Personuppgifter som rör konsumenter och de som är behöriga att förordna läkemedel får behandlas för de ändamål som anges i 8 §.

Personuppgifter som rör konsumenter och förskrivare behörig i ett annat land inom Europeiska ekonomiska samarbetsområdet (EES) får behandlas för de ändamål som anges i 8 §, vid expediering av ett sådant e-recept från EES som anges i 1 kap. 4 § lagen ( 2009:366 ) om handel med läkemedel.

Lydelse enligt SFS 2021:1127 Föreslagen lydelse

8 §1

Personuppgifter får behandlas om det är nödvändigt för

1. expediering av förordnade läkemedel, och sådana förordnade varor som omfattas av lagen (2002:160) om läkemedelsförmåner m.m. samt för åtgärder i anslutning till expedieringen,

1. expediering av förordnade läkemedel, sådana förordnade varor som omfattas av lagen (2002:160) om läkemedelsförmåner m.m. och sådana e-recept

från EES som anges i 1 kap. 4 § lagen ( 2009:366 ) om handel med

1 Senaste lydelse 2021:1127.

läkemedel, samt för åtgärder i an-

slutning till expedieringen,

2. redovisning av uppgifter till E-hälsomyndigheten enligt 2 kap. 6 § 5, 7 eller 15 lagen (2009:366) om handel med läkemedel,

2. redovisning av uppgifter till E-hälsomyndigheten enligt 2 kap. 6 § 5, 7, 15 eller 17 lagen om handel med läkemedel,

3. hantering av reklamationer och indragningar,

4. administrering av delbetalning av läkemedel och varor som omfattas av lagen om läkemedelsförmåner m.m.,

5. administrering av fullmakter att hämta ut läkemedel,

6. redovisning av uppgifter till Inspektionen för vård och omsorg och Läkemedelsverket för deras tillsyn,

7. rapportering till förskrivare om utbyte av läkemedel enligt 21 § femte stycket, 21 a § fjärde stycket och 21 b § tredje stycket lagen om läkemedelsförmåner m.m.,

8. hälsorelaterad kundservice,

9. att kunna lämna ut recept eller blankett till konsumenten, 10. systematisk och fortlöpande utveckling och säkerställande av öppenvårdsapotekens kvalitet, samt

11. administration, planering, uppföljning och utvärdering av öppenvårdsapotekens verksamhet samt framställning av statistik.

Sådan personuppgiftsbehandling som avses i första stycket 5 och 8 får inte omfatta någon annan än den som har lämnat sitt samtycke till behandlingen.

För ändamål som avses i första stycket 10 och 11 får inga uppgifter redovisas som kan hänföras till en enskild person.

Nuvarande lydelse Föreslagen lydelse

10 §

Identitet får användas som sökbegrepp endast i fråga om

1. konsument, för de ändamål som anges i 8 § första stycket 1, 3–5, 8 och 9, och

1. konsument, för de ändamål som anges i 8 § första stycket 1, 3–5, 8 och 9,

2. den som är behörig att förordna läkemedel, för de ändamål som anges i 8 § första stycket 6 och 7.

2. den som är behörig att förordna läkemedel, för de ändamål som anges i 8 § första stycket 6 och 7, och

3. den som är behörig att utfärda ett sådant e-recept från EES som anges i 1 kap. 4 § lagen ( 2009:366 ) om handel med läkemedel, för de ändamål som anges i 8 § första stycket 6.

Förskrivningsorsak får inte användas som sökbegrepp.

12 §

Tillståndshavaren ska bestämma villkor för tilldelning av behörighet för åtkomst till helt eller delvis automatiskt behandlade uppgifter om konsumenter

och de som är behöriga att förordna läkemedel. Behörigheten

ska begränsas till vad som behövs för att den som arbetar på ett öppenvårdsapotek ska kunna fullgöra sina arbetsuppgifter där.

Tillståndshavaren ska bestämma villkor för tilldelning av behörighet för åtkomst till helt eller delvis automatiskt behandlade uppgifter som behandlas en-

ligt denna lag. Behörigheten ska

begränsas till vad som behövs för att den som arbetar på ett öppenvårdsapotek ska kunna fullgöra sina arbetsuppgifter där.

Regeringen, eller den myndighet som regeringen bestämmer, får meddela föreskrifter om tilldelning av behörighet för åtkomst till helt eller delvis automatiskt behandlade uppgifter.

13 §

Tillståndshavaren ska se till att åtkomst till helt eller delvis automatiskt behandlade uppgifter om konsumenter och de som är

behöriga att förordna läkemedel,

dokumenteras så att de kan kontrolleras. Tillståndshavaren ska systematiskt och återkommande kontrollera om någon obehörigen kommer åt sådana uppgifter.

Tillståndshavaren ska se till att åtkomst till helt eller delvis automatiskt behandlade uppgifter som behandlas enligt denna

lag, dokumenteras så att de kan

kontrolleras. Tillståndshavaren ska systematiskt och återkommande kontrollera om någon obehörigen kommer åt sådana uppgifter.

Regeringen, eller den myndighet som regeringen bestämmer, får meddela föreskrifter om dokumentation och kontroll.

Denna lag träder i kraft den 1 maj 2023.

1.4. Förslag till lag om ändring i offentlighets- och sekretesslagen (2009:400)

Härigenom föreskrivs att 25 kap. 17 c § i offentlighets- och sekretesslagen (2009:400) ska ha följande lydelse.

Lydelse enligt SFS 2021:1128 Föreslagen lydelse

25 kap.

17 c §1

Sekretessen enligt 17 a och 17 b §§ hindrar inte att

1. uppgift i den nationella läkemedelslistan lämnas enligt lagen (2018:1212) om nationell läkemedelslista till hälso- och sjukvårdspersonal som har behörighet att förskriva läkemedel eller andra varor, en sjuksköterska utan behörighet att förskriva läkemedel eller andra varor, en dietist, en farmaceut i hälso- och sjukvården eller till expedierande personal på öppenvårdsapotek,

1. uppgift i den nationella läkemedelslistan lämnas enligt lagen (2018:1212) om nationell läkemedelslista till hälso- och sjukvårdspersonal som har behörighet att förskriva läkemedel eller andra varor, en sjuksköterska utan behörighet att förskriva läkemedel eller andra varor, en dietist, en farmaceut i hälso- och sjukvården, till expedierande personal på öppenvårdsapotek, eller

till en utländsk kontaktpunkt för e-hälsa som utsetts enligt artikel 6 i Europaparlamentets och rådets direktiv 2011/24/EU av den 9 mars 2011 om tillämpningen av patienträttigheter vid gränsöverskridande hälso- och sjukvård,

2. uppgift lämnas enligt lagen (2016:526) om behandling av personuppgifter i ärenden om licens för läkemedel till öppenvårdsapotek eller den som är behörig att förordna läkemedel, eller

2. uppgift lämnas enligt lagen (2016:526) om behandling av personuppgifter i ärenden om licens för läkemedel till öppenvårdsapotek eller den som är behörig att förordna läkemedel,

3. uppgift om förordnande och expediering av läkemedel för be-

3. uppgift om förordnande och expediering av läkemedel för be-

1 Senaste lydelse 2021:1128.

handling av djur lämnas till expedierande personal på öppenvårdsapotek.

handling av djur lämnas till expedierande personal på öppenvårdsapotek, eller

4. uppgift som behandlas med stöd av lagen ( 0000:000 ) om E-hälsomyndighetens hantering av e-recept från Europeiska ekonomiska samarbetsområdet (EES) lämnas till expedierande personal på öppenvårdsapotek eller till en utländsk kontaktpunkt för e-hälsa som avses i 3 § nämnda lag.

Denna lag träder i kraft den 1 maj 2023.

1.5. Förslag till lag om ändring i läkemedelslagen (2015:315)

Härmed föreskrivs i fråga om läkemedelslagen (2015:315) att det ska införas två nya paragrafer, 13 kap. 5 § och 18 kap. 9 a §, av följande lydelse.

Nuvarande lydelse Föreslagen lydelse

13 kap.

5 §

E-recept som avser ett godkänt humanläkemedel och som har utfärdats av en förskrivare behörig i Sverige får överföras för utlämnande av läkemedel i ett annat EES-land i enlighet med de krav som har fastställts av nätverket för e-hälsa som bildats med stöd av artikel 14 i Europaparlamentets och rådets direktiv 2011/24/EU av den 9 mars 2011 om tillämpningen av patienträttigheter vid gränsöverskridande hälso- och sjukvård.

18 kap.

9 a §

Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om

1. att e-recept för vissa typer av läkemedel ska undantas från sådan överföring som avses i 13 kap. 5 § om det är proportionerligt och nödvändigt av patientsäkerhetsskäl, och

2. att det, för e-recept som avser vissa typer av läkemedel, får anges vid överföring enligt 13 kap.

5 § att endast det läkemedel som förskrivits får lämnas ut, när det med hänsyn till läkemedlets egenskaper kan antas att utlämnande av ett annat läkemedel är olämpligt.

Denna lag träder i kraft den 1 maj 2023.

1.6. Förslag till lag om ändring i lagen (2018:1212) om nationell läkemedelslista

Härigenom föreskrivs i fråga om lagen (2018:1212) om nationell läkemedelslista

dels att 3 kap. 2, 8 och 9 §§ och 4 kap. 1 § ska ha följande lydelse,

dels att det ska införas två nya paragrafer, 3 kap. 3 a § och 6 kap.

9 §, av följande lydelse,

dels att det närmast före 6 kap. 9 § ska införas en ny rubrik av

följande lydelse.

Nuvarande lydelse Föreslagen lydelse

3 kap.

2 §

Personuppgifterna får behandlas om det är nödvändigt för ändamål som rör registrering av uppgifter:

1. om förskrivna läkemedel och andra varor som ska expedieras på öppenvårdsapotek,

1. om förskrivna läkemedel och andra varor som ska expedieras på öppenvårdsapotek, eller

om förskrivna läkemedel som ska expedieras på apotek eller motsvarande i ett annat land inom Europeiska ekonomiska samarbetsområdet (EES),

2. för tillämpning av bestämmelserna om läkemedelsförmåner vid köp av läkemedel m.m., eller

3. om en fullmakt.

3 a §

Personuppgifterna får behandlas om det är nödvändigt för ändamål som rör expediering av läkemedel på apotek eller motsvarande i ett annat EES-land i enlighet med de krav som har fastställts av nätverket för e-hälsa som bildats med stöd av artikel 14 i Europaparlamentets och rådets direktiv

2011/24/EU av den 9 mars 2011 om tillämpningen av patienträttigheter vid gränsöverskridande hälso- och sjukvård (patientrörlighetsdirektivet).

8 §

I den utsträckning det behövs för ändamålen enligt 2–5 §§ får den nationella läkemedelslistan innehålla följande uppgifter:

1. förskriven vara, mängd och dosering, aktiv substans, läkemedelsform, styrka, administreringssätt, läkemedelsbehandlingens längd, behandlingsändamål och datum för förskrivning,

2. patientens namn, personnummer eller samordningsnummer, folkbokföringsort och postnumret i patientens bostadsadress,

3. förskrivarens namn, yrke, specialitet, arbetsplats, arbetsplatskod och förskrivarkod,

3. förskrivarens namn, yrke, specialitet, arbetsplats, arbetsplatskod och förskrivarkod, eller namn

och yrke för förskrivare behörig i ett annat EES-land,

4. ordinationsorsak,

5. senaste datum för när läkemedelsbehandlingen ska följas upp eller avslutas,

6. expedierad vara, mängd och dosering, datum för expediering, expedierande apotek, expedierande farmaceut och uppgift om att farmaceuten har motsatt sig utbyte av ett förskrivet läkemedel och skälen för det,

7. kostnad, kostnadsreducering enligt lagen (2002:160) om läkemedelsförmåner m.m. och kostnadsfrihet enligt smittskyddslagen (2004:168),

8. andra uppgifter som krävs i samband med en förskrivning eller en expediering,

9. uppgift om samtycke och om spärrade uppgifter, och 10. uppgift om fullmakt.

Med expedierande apotek i 6 likställs ett expedierande apotek eller motsvarande i ett annat EESland.

Med expedierande farmaceut i 6 likställs den som är behörig att

expediera läkemedel i ett annat EES-land.

9 §

Patientens identitet får användas som sökbegrepp endast för de ändamål som anges i 2–4 §§. Ombudets identitet får användas som sökbegrepp endast för de ändamål som anges i 2 § 3 och 3 §. Förskrivarens identitet får användas som sökbegrepp endast för de ändamål som anges i 5 § 4 och 6.

Patientens identitet får användas som sökbegrepp endast för de ändamål som anges i 2–4 §§. Ombudets identitet får användas som sökbegrepp endast för de ändamål som anges i 2 § 3, 3 och

3 a §. Förskrivarens identitet får

användas som sökbegrepp endast för de ändamål som anges i 5 § 4 och 6.

Ordinationsorsak får inte användas som sökbegrepp.

4 kap.

1 §

Behandling av personuppgifter som är tillåten enligt denna lag får utföras även om den registrerade inte har lämnat sitt samtycke till behandlingen.

Den registrerades samtycke krävs för behandling av uppgifter om fullmakter för ändamålet i 3 kap. 2 § 3. Patientens samtycke krävs för behandling av uppgifter om en patient som får dosdispenserade läkemedel för ändamålet i 3 kap. 2 § 1. Patientens samtycke krävs även i de fall som avses i 5 §, 3 kap. 7 § andra stycket, 5 kap. 1 § andra stycket, 5 kap. 2 § och 5 kap. 3 § första stycket.

Den registrerades samtycke krävs för behandling av uppgifter om fullmakter för ändamålet i 3 kap. 2 § 3. Patientens samtycke krävs för behandling av uppgifter om en patient som får dosdispenserade läkemedel för ändamålet i 3 kap. 2 § 1. Patientens samtycke krävs också för

behandling av uppgifter om patienten för ändamålet i 3 kap. 3 a §. Därtill krävs patientens samtycke

i de fall som avses i 5 §, 3 kap. 7 § andra stycket, 5 kap. 1 § andra stycket, 5 kap. 2 § och 5 kap. 3 § första stycket.

6 kap.

Utländsk kontaktpunkt för e-hälsa

9 §

E-hälsomyndigheten ska lämna ut de uppgifter som är nödvändiga för det ändamål som anges i 3 kap. 3 a § till en utländsk kontaktpunkt för e-hälsa som utsetts enligt artikel 6 i patientrörlighetsdirektivet.

Denna lag träder i kraft den 1 maj 2023.

1.7. Förslag till förordning (0000:000) om E-hälsomyndighetens hantering av e-recept från Europeiska ekonomiska samarbetsområdet (EES)

Härigenom föreskrivs följande.

Inledande bestämmelse

1 § I denna förordning finns föreskrifter som ansluter till lagen (0000:000) om E-hälsomyndighetens hantering av e-recept från Europeiska ekonomiska samarbetsområdet (EES).

Uppgiftslämnande

2 § De uppgifter som på begäran av Läkemedelsverket ska lämnas ut enligt 12 § lagen om E-hälsomyndighetens hantering av e-recept från Europeiska ekonomiska samarbetsområdet (EES) är de uppgifter som finns hos myndigheten om

1. förskrivet läkemedel, mängd och dosering, aktiv substans, läkemedelsform, styrka, administreringssätt, behandlingsändamål och datum för förskrivning,

2. patientens namn, födelsedatum och land,

3. uppgift om förskrivarens namn och yrke,

4. expedierat läkemedel, mängd och dosering, aktiv substans, läkemedelsform, styrka, administreringssätt, behandlingsändamål, datum för expediering, expedierande apotek och expedierande farmaceut,

5. kostnad, och

6. andra uppgifter som krävs i samband med en förskrivning eller en expediering.

Uppgifterna enligt första stycket ska redovisas per öppenvårdsapotek.

Denna förordning träder i kraft den 1 maj 2023.

1.8. Förslag till förordning om ändring av förordningen (2006:196) om register om hälso- och sjukvårdspersonal

Härigenom föreskrivs i fråga om förordningen (2006:196) om register om hälso- och sjukvårdspersonal att 5 § ska ha följande lydelse.

Nuvarande lydelse Föreslagen lydelse

5 §1

Personuppgifterna i registret får, utöver det som anges i 4 §, behandlas endast för att

1. utöva tillsyn över hälso- och sjukvården och dess personal,

2. lämna uppgifter till den

nationella läkemedelslistan enligt lagen ( 2018:1212 ) om nationell läkemedelslista,

2. lämna uppgifter som behövs

för E-hälsomyndighetens kontroll av hälso- och sjukvårdspersonals identitet och behörighet i enlighet med författning eller regeringsuppdrag,

3. lämna uppgifter till myndigheter och enskilda i enlighet med det som föreskrivs i annan författning eller avtal,

4. i samband med E-hälsomyndighetens behandling av personuppgifter enligt lagen om nationell läkemedelslista lämna uppgifter till den myndigheten för kontroll av identitet och behörighet i fråga om förskrivare, legitimerade sjuksköterskor utan behörighet att förskriva läkemedel, apotekare, receptarier och dietister,

5. lämna uppgifter till E-hälsomyndigheten för kontroll av förskrivares identitet och behörighet vid expediering på öppenvårdsapotek av läkemedel och andra varor som förskrivits,

1 Senaste lydelse 2021:69.

6. kontrollera hälso- och sjuk-

vårdspersonals identitet och behörighet i samband med tjänstetillsättning och under anställning eller uppdrag, och

4. kontrollera hälso- och sjuk-

vårdspersonals identitet och behörighet i samband med tjänstetillsättning och under anställning eller uppdrag, och

7. kontrollera hälso- och sjuk-

vårdspersonals identitet och behörighet att utfärda intyg.

5. kontrollera hälso- och sjuk-

vårdspersonals identitet och behörighet att utfärda intyg.

Denna förordning träder i kraft den 1 maj 2023.

1.9. Förslag till förordning om ändring i apoteksdataförordningen (2009:624)

Härigenom föreskrivs i fråga om apoteksdataförordningen (2009:624) att 2 § ska ha följande lydelse.

Nuvarande lydelse Föreslagen lydelse

2 §1

Integritetsskyddsmyndigheten får meddela ytterligare föreskrifter om

1. tilldelning av behörighet för åtkomst till uppgifter om

konsumenter och dem som är behöriga att förordna läkemedel, om

uppgifterna helt eller delvis behandlas automatiskt enligt apoteksdatalagen (2009:367),

1. tilldelning av behörighet för åtkomst till uppgifter som helt eller delvis behandlas automatiskt enligt apoteksdatalagen (2009:367),

2. dokumentation och kontroll av åtkomst till sådana uppgifter som avses i 1, om uppgifterna helt eller delvis behandlas automatiskt enligt apoteksdatalagen.

Denna förordning träder i kraft den 1 maj 2023.

1 Senaste lydelse 2020:1127.

1.10. Förslag till förordning om ändring i förordningen (2009:659) om handel med läkemedel

Härmed föreskrivs i fråga om förordningen (2009:659) om handel med läkemedel,

dels att 9 § ska ha följande lydelse,

dels att det ska införas två nya paragrafer, 10 c och 14 a §§, av

följande lydelse.

Nuvarande lydelse Föreslagen lydelse

9 §1

Den som har tillstånd att bedriva detaljhandel med läkemedel enligt 2 kap. 1 § lagen (2009:366) om handel med läkemedel ska tillhandahålla läkemedel och varor enligt 2 kap. 6 § 3 samma lag.

Den som har tillstånd att bedriva detaljhandel med läkemedel enligt 2 kap. 1 § lagen (2009:366) om handel med läkemedel ska tillhandahålla läkemedel och varor enligt 2 kap. 6 § 3 och läkemedel enligt 16 samma

lag.

Om ett sådant läkemedel som avses i första stycket har efterfrågats av en enskild konsument och det inte finns på öppenvårdsapoteket, ska apoteket beställa läkemedlet utan dröjsmål, dock senast klockan 16.00 om läkemedlet har efterfrågats samma dag före klockan 16.00.

10 c §

Vid expediering av ett e-recept från EES ska den som har tillstånd att bedriva detaljhandel med läkemedel enligt 2 kap. 1 § lagen ( 2009:366 ) om handel med läkemedel till E-hälsomyndigheten lämna uppgifter om

1. förskrivet läkemedel, mängd och dosering, aktiv substans, läkemedelsform, styrka, administrer-

1 Senaste lydelse 2018:1109.

ingssätt, behandlingsändamål och datum för förskrivning,

2. konsumentens namn, födelse-

datum, kön, den uppgift som används för konsumentens identifiering i det land där e-receptet är utfärdat, kontaktuppgifter till konsumenten och land,

3. uppgift för att identifiera receptet,

4. förskrivarens namn, yrke och land,

5. expedierat läkemedel, mängd och dosering, aktiv substans, läkemedelsform, styrka, administreringssätt, behandlingsändamål, datum för expediering, expedierande apotek och expedierande farmaceut,

6. kostnad,

7. andra uppgifter som krävs i samband med en förskrivning eller en expediering,

8. fullmakt eller ombud, och

9. när det är aktuellt, en uppgift om att ett annat läkemedel än det förskrivna läkemedlet har lämnats ut.

14 a §

E-hälsomyndigheten får meddela föreskrifter om krav på hur tillståndshavaren på elektronisk väg ska kunna ta emot och lämna uppgifter till myndigheten enligt 2 kap. 6 § 18 lagen ( 2009:366 ) om handel med läkemedel.

Denna förordning träder i kraft den 1 maj 2023.

1.11. Förslag till förordning om ändring i förordningen (2013:1031) med instruktion för E-hälsomyndigheten

Härigenom föreskrivs i fråga om förordningen (2013:1031) med instruktion för E-hälsomyndigheten att det ska införas en ny paragraf, 3 a §, av följande lydelse.

Nuvarande lydelse Föreslagen lydelse

3 a §

Myndigheten ska vara nationell kontaktpunkt för e-hälsa enligt artikel 6 i Europaparlamentets och rådets direktiv 2011/24/EU av den 9 mars 2011 om tillämpningen av patienträttigheter vid gränsöverskridande hälso- och sjukvård.

Myndigheten ska, inom ramen för samarbetet enligt artikel 14 i nämnda direktiv, tillhandahålla tjänster och infrastruktur för gränsöverskridande informationsutbyte av e-recept i enlighet med lagen ( 2018:1212 ) om nationell läkemedelslista samt lagen ( 0000:000 ) om E-hälsomyndighetens hantering av e-recept från Europeiska ekonomiska samarbetsområdet (EES).

Denna förordning träder i kraft den 1 maj 2023.

1.12. Förslag till förordning om ändring i läkemedelsförordningen (2015:458)

Härigenom föreskrivs i fråga om läkemedelsförordningen (2015:458) att det i förordningen ska införas en ny paragraf, 9 kap. 10 a §, av följande lydelse.

Nuvarande lydelse Föreslagen lydelse

9 kap.

10 a §

Läkemedelsverket får meddela föreskrifter om

1. att e-recept för vissa typer av läkemedel ska undantas från sådan överföring som avses i 13 kap. 5 § läkemedelslagen (2015:315) om det är proportionerligt och nödvändigt av patientsäkerhetsskäl, och

2. att det, för e-recept som avser vissa typer av läkemedel, får anges vid överföring enligt 13 kap. 5 § läkemedelslagen att endast det läkemedel som förskrivits får lämnas ut, när det med hänsyn till läkemedlets egenskaper kan antas att utlämnande av ett annat läkemedel är olämpligt.

Denna förordning träder i kraft den 1 maj 2023.

2. Utredningens uppdrag och arbete

2.1. Utredningens uppdrag och arbete

Utredningens direktiv (2020:80) finns intagna som bilaga till detta delbetänkande.1 Av direktiven framgår att utredningen ska avlämna ett delbetänkande och att utgångspunkten är att få till en heltäckande reglering från förskrivning till expediering och uppföljning för såväl i Sverige utfärdade e-recept som expedieras i andra EES-länder som e-recept som utfärdas i andra EES-länder och expedieras i Sverige. Regleringen ska syfta till att säkerställa att den gränsöverskridande processen kan vara lika patientsäker och effektiv som den nationella processen. De specifika frågeställningar som utredningen ska se över är bl.a. att

  • kartlägga de olika delarna i läkemedelsprocessen samt beskriva vilket ansvar som berörda aktörer har när e-recept utfärdade i andra EES-länder ska expedieras i Sverige och e-recept utfärdade i Sverige ska expedieras i andra EES-länder,
  • analysera behovet av att reglera personuppgiftsbehandlingen för öppenvårdsapoteken och andra berörda aktörer, t.ex. vårdgivare eller myndigheter, vid expedieringar i Sverige av e-recept utfärdade i annat EES-land eller svenska e-recept som expedieras i andra EES-länder,
  • vid behov lämna förslag på de författningsändringar och andra åtgärder som bedöms nödvändiga,

1 Utredningen har sedermera fått tilläggsdirektiv som avser förlängd tid för utredningen (2021:54) och tilläggsdirektiv med ytterligare utredningsfrågor som ska redovisas i utredningens slutbetänkande (2021:91).

  • se över behovet av andra åtgärder för att säkerställa en patientsäker och effektiv läkemedelsprocess såsom att analysera möjligheterna att inkludera uppgifter om förskrivare, farmaceuter och öppenvårdsapotek från andra EES-länder i den nationella läkemedelslistan och krav på öppenvårdsapotek t.ex. behov av ändringar i lagen (2009:366) om handel med läkemedel och Läkemedelsverkets föreskrifter,
  • analysera huruvida förekomsten av digitala vårdtjänster och arbetet inom nätverket för e-hälsa motiverar behov av ytterligare insatser för att säkerställa en patientsäker expediering av ett svenskt e-recept i andra EES-länder,
  • vid behov lämna förslag på nationell reglering eller andra åtgärder i syfte att säkerställa en patientsäker och effektiv läkemedelsprocess vid ett sådant informationsutbyte, och
  • i relevanta delar, beakta dataskyddsförordningen, offentlighets- och sekretessperspektivet, samt att särskilt redogöra för hur eventuella författningsförslag förhåller sig till skyddet om betydande intrång i den personliga integriteten i 2 kap. 6 § andra stycket regeringsformen.

Utredningsarbetet har bedrivits på sedvanligt sätt med regelbundna möten med sakkunniga och experter. Utredningen har sammanträtt vid ett flertal tillfällen. På grund av utbrottet av covid-19 har alla sammanträden hållits i digital form. Utredningen har också haft två möten med en referensgrupp med företrädare för olika intressenter. Underhandskontakter har tagits med bl.a. företrädare för kommuner, regioner, Sveriges Kommuner och Regioner, apoteksaktörer, privat vårdgivare, patient- och professionsorganisationer, andra intressenter, samt berörda myndigheter.

Utredningen har haft samråd med Utredningen om betrodda tjän-

ster (I 2020:01) och Utredningen om genomförandet av tillgänglighetsdirektivet (S 2020:05).

Dessa kontakter har skett genom telefonkontakter, e-post eller digitala möten.

2.2. Avgränsningar och utgångspunkter

Möjligheten att erkänna e-recept baseras på patientrörlighetsdirektivet och det frivilliga samarbete inom nätverket för e-hälsa som bildats med stöd av direktivet. Utredningens förslag och bedömningar utgår från den tjänst för informationsutbyte om e-recept över landsgränser som nätverket för e-hälsa tagit fram och hur den är utformad i skrivande stund, hösten 2021. Eventuellt kommande ändrade krav och förutsättningar har utredningen inte kunnat beakta. Utredningen har arbetat med att ta fram de förslag som utredningen bedömer är nödvändiga för att informationsutbytet om e-recept inom EES ska bli möjligt. Utredningen har även försökt att anpassa förslagen efter befintliga regelverk. Utredningen utreder endast frågan om hur e-recept inom EES ska hanteras och utreder inte hur pappersrecept som kan erkännas inom EES hanteras.

Samarbetet inom nätverket för e-hälsa pågår med informationsutbyte om e-recept och s.k. patientöversikter. En patientöversikt är en sammanställning av viktig journalinformation som delas i vårdsammanhang för att kunna erbjuda patienten en god och säker vård. Samarbete har också inletts med ytterligare informationsutbyte. Detta delbetänkande avser endast e-recept och utredningen återkommer till patientöversikter i slutbetänkandet.

Patientrörlighetsdirektivet gäller enbart hälso- och sjukvård avsedd för människa och träffar inte veterinärmedicinska läkemedel. De senare omfattas inte heller av utredningens uppdrag. Arbete pågår med att anpassa svensk lagstiftning till EU-förordningen som gäller läkemedel för djur som börjar tillämpas den 28 januari 2022.2När det varit möjligt har utredningen beaktat detta arbete. Utredningen har utgått från Läkemedelsverkets föreskrifter (2021:75) om förordnande och utlämnande av läkemedel och teknisk sprit (receptföreskrifterna) som träder i kraft den 28 januari 2022. Utredningen har i sina lagförslag också utgått från de ändringar i SFS 2021:1126– 1128 som träder i kraft den 1 januari 2022.

Samarbetet kring informationsutbytet för e-recept är frivilligt. De flesta av EU:s medlemsländer deltar. Norge deltar som observatör. Utredningens direktiv är begränsade till e-recept inom EES. Nätverket för e-hälsas arbetsordning medger att länder i EES, Efta, och kandi-

2 Europaparlamentets och rådets förordning (EU) 2019/6 av den 11 december 2018 om veterinärmedicinska läkemedel och om upphävande av direktiv 2001/82/EG.

datländer kan delta som observatörer (artikel 9). E-hälsoavtalet som krävs för deltagande i informationsutbytet är öppet för deltagare även från Efta. Schweiz är medlem i Efta, men inte i EES. Enligt beslut 153/2014 av den 9 juli 2014 från den gemensamma EES-kommittén ska patientrörlighetdirektivet tillämpas för EES. Motsvarande beslut finns inte för Schweiz. Utredningen utreder informationsutbyte avseende medlemmarna i EU och EES, inte Schweiz och Storbritannien. Dessa länder deltar inte längre i nätverket för e-hälsa.

Enligt artikel 11.6 i patientrörlighetsdirektivet ska bestämmelsen om erkännande av recept inte tillämpas på läkemedel som endast lämnas ut på ett speciellt läkarrecept. Recept utfärdade i andra EES-länder avseende narkotikaklassade och andra särskilda läkemedel får inte expedieras enligt gällande svenska bestämmelser (se t.ex. 8 kap. 36 § 5 receptföreskrifterna). Utredningen gör tolkningen att någon ändring gällande utlämnande av narkotikaklassade och andra särskilda läkemedel mot recept från EES inte är avsedda att utredas i detta sammanhang. Detta förstärks av att det är en grupp läkemedel som kräver särskilda överväganden. Med särskilda läkemedel avses sådana narkotiska läkemedel, anabola steroider, tillväxthormoner och andra läkemedel som anges i bilaga 11 till receptföreskrifterna.

De avgränsningar utredningen har gjort i dessa och andra avseenden framgår också under respektive kapitel.

2.3. Delbetänkandets disposition

Delbetänkandet inleds med författningsförslag i kapitel 1. Därefter följer en redogörelse för bakgrunden till uppdraget i kapitlen 3–5, med gällande rätt, bakgrund och en kartläggning av läkemedelsprocessen. Därefter redogör utredningen för sina överväganden vad gäller ersättning för läkemedel vid gränsöverskridande vård i kapitel 6. I kapitlen 7–10 redogör utredningen för överväganden och förslag avseende de olika aktörernas personuppgiftsbehandling. I kapitel 10 föreslås också ändringar i offentlighets- och sekretesslagen (2009:400) och förordningen (2006:196) om register över hälso- och sjukvårdspersonal (HOSP-förordningen). Utredningen redogör i kapitel 11 för vilka konsekvenser förslagen har för den personliga integriteten. Därefter följer utredningens överväganden och förslag avseende behovet av andra åtgärder för att säkerställa en patientsäker och effektiv läke-

medelsprocess inklusive åtgärder avseende krav på öppenvårdsapotek och övriga åtgärder i kapitel 12, samt överväganden avseende digitala vårdtjänster, ytterligare förutsättningar för deltagande i samarbetet om e-recept och pågående arbete inom nätverket för e-hälsa i kapitel 13. De avslutande avsnitten finns i kapitel 14–16. I kapitel 14 behandlar utredningen ikraftträdande för författningsändringarna. Kapitel 15 innehåller en beskrivning av konsekvenserna av förslagen. En författningskommentar som innehåller hänvisningar till de avsnitt där respektive lagförslag behandlas finns i kapitel 16.

Som bilagor till delbetänkandet har fogats utredningens ursprungliga direktiv (2020:80) och tilläggsdirektiv om ytterligare tid (2021:54), patientrörlighetsdirektivet och genomförandedirektivet 2012/52/EU.

3. Gällande rätt

3.1. Inledning

I detta kapitel redogör utredningen för delar av den gällande rätt som är relevant för delbetänkandet. Inledningsvis beskrivs regleringen av skyddet för personuppgifter. Därefter redogörs det för vissa av de EU-rättsakter som bl.a. beaktas i kartläggningen av läkemedelsprocessen i kapitel 5. Slutligen redogör utredningen kort för vissa svenska författningar som rör förordnande och expediering av läkemedel. Viss gällande rätt beskrivs även i andra kapitel. I kapitel 4 redogörs för patientrörlighetsdirektivets bestämmelser om erkännande av recept och i kapitel 6 i bestämmelser om ersättning vid gränsöverskridande vård. I kapitel 6 beskrivs även förordningen 883/2004 och annan reglering avseende ersättning vid utlandsvård, samt lag (2002:160) om läkemedelsförmåner m.m.

3.2. Bestämmelser om skyddet för personuppgifter

3.2.1. FN:s förklaring om de mänskliga rättigheterna

Förenta nationerna antog 1948 den allmänna förklaringen om de mänskliga rättigheterna. Förklaringen är inte formellt bindande för medlemsländerna, men ses som ett uttryck för sedvanerättsliga regler. Skyddet för den personliga integriteten behandlas i artikel 12 som anger att ingen får utsättas för godtyckligt ingripande i fråga om privatliv, familj, hem eller korrespondens och inte heller för angrepp på sin heder eller sitt anseende, samt att var och en har rätt till lagens skydd mot sådana ingripanden och angrepp. I artikel 29 anges att en person endast får underkastas sådana inskränkningar som har fastställts i lag och enbart i syfte att trygga tillbörlig hänsyn till och respekt för andras rättigheter och friheter samt för att tillgodose ett

demokratiskt samhälles berättigade krav på moral, allmän ordning och allmän välfärd.

3.2.2. Europakonventionen

Den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna (Europakonventionen) skyddar rätten till privat- och familjeliv och är sedan den 1 januari 1995 inkorporerad i svensk rätt och gäller som lag. Av 2 kap. 19 § regeringsformen framgår att lag eller annan föreskrift inte får meddelas i strid med Sveriges åtaganden p.g.a. konventionen.

Artikel 8 i Europakonventionen beskriver var och ens rätt till respekt för privat- och familjeliv, familj och korrespondens. Vidare anges att en offentlig myndighet inte får inskränka åtnjutande av denna rättighet annat än med stöd av lag och om det i ett demokratiskt samhälle är nödvändigt med hänsyn till landets säkerhet, den allmänna säkerheten, landets ekonomiska välstånd eller till förebyggande av oordning eller brott eller till skydd för hälsa eller moral eller för andra personers fri- och rättigheter.

Artikel 8 har i Europadomstolens praxis ansetts tillämplig också vid behandling av personuppgifter. Bestämmelsen omfattar dock inte all slags behandling av personuppgifter, det måste gälla privatliv, familjeliv, hem eller korrespondens. Europakonventionen tar i första hand sikte på åtgärder som vidtas av det allmänna.

3.2.3. Dataskyddskonventionen

Europarådets ministerkommitté antog 1980 en konvention (nr 108) till skydd för enskilda vid automatisk databehandling av personuppgifter (dataskyddskonventionen). Sverige anslöt sig till dataskyddskonventionen före EU-medlemskapet. Övriga EU-medlemsländer är anslutna. Konventionens syfte är att säkerställa respekten för grundläggande fri-och rättigheter, särskilt den enskildes rätt till personlig integritet i samband med automatiserad behandling av personuppgifter. Dess innehåll kan ses som en precisering av skyddet för den personliga integriteten som följer av artikel 8 i Europakonventionen. Konventionen tillämpas på behandling av personuppgifter i automatiserade personregister och automatiserad personuppgiftsbehand-

ling i allmän och enskild verksamhet, men inte för enskilds rent privata verksamhet. Europarådets utrikesministermöte antog i maj 2018 ändringsprotokoll 108 som syftar till att modernisera och uppdatera konventionens integritetsskydd. Dataskyddskonventionen innehåller principer för dataskydd som de konventionsanslutna länderna måste iaktta i sin nationella lagstiftning.

3.2.4. EU-stadgan om de grundläggande rättigheterna

Den Europeiska unionens stadga om de grundläggande rättigheterna (EU-stadgan) skyddar bl.a. individers rätt till personlig integritet. Som en följd av Lissabonfördraget, som trädde i kraft år 2009, är stadgan rättsligt bindande för EU-institutionerna och medlemsländerna när dessa tillämpar EU-rätten. I EU-stadgan anges att var och en har rätt till respekt för sitt privatliv och familjeliv, sin bostad och sina kommunikationer (artikel 7). Av artikel 8 framgår vidare att var och en har rätt till skydd av de personuppgifter som rör honom eller henne. Dessa uppgifter ska behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund. Var och en har rätt att få tillgång till insamlade uppgifter som rör honom eller henne och att få rättelse av dem (artikel 7 och 8).

3.2.5. Dataskyddsförordningen

Den 27 april 2016 antogs dataskyddsförordningen. Ett av syftena med dataskyddsförordningen är att skydda enskildas grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter. Det huvudsakliga syftet med dataskyddsförordningen är att ytterligare harmonisera och effektivisera skyddet för personuppgifter för att förbättra den inre marknadens funktion och öka enskildas kontroll över sina personuppgifter.

Dataskyddsförordningen är direkt tillämplig i alla medlemsländer och ersatte från och med den 25 maj 2018 Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet). Även om dataskyddsförordningen är direkt tillämplig både möjliggör och

förutsätter förordningen kompletterande nationella bestämmelser av olika slag. Dataskyddsförordningen baseras till stor del på dataskyddsdirektivets struktur och innehåll men det har även tillkommit några nyheter såsom en utökad informationsskyldighet, administrativa sanktionsavgifter och inrättandet av Europeiska dataskyddsstyrelsen.

Dataskyddsförordningen är tillämplig på all helt eller delvis automatiserad behandling av personuppgifter och på manuell behandling av personuppgifter, om uppgifterna ingår i eller kommer att ingå i ett register. Vissa behandlingar av personuppgifter är uttryckligen undantagna från tillämpningsområdet. Dataskyddsförordningen ska inte tillämpas på behandlingar som utförs av en fysisk person och som är av rent privat natur. Detsamma gäller behandlingar som sker inom verksamhet som inte omfattas av EU-rätten, behandling som sker inom EU:s gemensamma utrikes- och säkerhetspolitik och behandling som sker inom brottsbekämpande verksamhet (artikel 2).

För dataskyddsförordningen ska vara tillämplig krävs att de personuppgiftsansvariga är etablerade inom EES, att de behandlar personuppgifter i samband med att de erbjuder varor och tjänster till personer i det området eller behandlar personuppgifter i samband med övervakning av människors beteende inom EES (artikel 3).

Dataskyddsförordningen förutsätter att det finns en personuppgiftsansvarig för all personuppgiftsbehandling som sker (artikel 4.7). Den som behandlar personuppgifter är antingen personuppgiftsansvarig eller personuppgiftsbiträde. Ett personuppgiftsbiträde är en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som behandlar personuppgifter för den personuppgiftsansvariges räkning (artikel 4.8). Ett personuppgiftsbiträde har inte inflytande över bestämmandet av ändamålet med behandlingen och medel. Det är de faktiska omständigheterna i det enskilda fallet som är avgörande för om en aktör är personuppgiftsansvarig eller biträde, dvs. vem eller vilka som faktiskt har bestämt över behandlingen av personuppgifterna. Mellan den personuppgiftsansvarige och biträdet måste ett personuppgiftsbiträdesavtal upprättas. Ett sådant avtal ska innehålla bl.a. tydliga instruktioner om hur biträdet får behandla personuppgifterna (artikel 28).

Två eller flera kan vara gemensamt personuppgiftsansvariga (artikel 4.7 d). Om två eller fler personuppgiftsansvariga gemensamt fastställer ändamålen med och medlen för behandlingen ska de vara

gemensamt personuppgiftsansvariga (artikel 26). Ett samarbete mellan flera personuppgiftsansvariga medför inte automatiskt ett gemensamt ansvar för behandlingen av personuppgifter. Det avgörande är om de deltagande parterna i någon mån tillsammans bestämmer ändamålen med och medlen för behandlingen.

Av artikel 5 i dataskyddsförordningen följer ett antal grundläggande principer som gäller vid all behandling av personuppgifter. Dessa principer utgör ett ramverk för hur personuppgifter får behandlas. För det första ska uppgifterna behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den enskilde (artikel 5.1 a). Uppgifterna ska vidare samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål (artikel 5.1 b). Uppgifterna ska också vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (artikel 5.1 c). Uppgifterna ska dessutom vara riktiga och om nödvändigt uppdaterade. Alla rimliga åtgärder måste vidtas för att säkerställa att personuppgifter som är felaktiga i förhållande till de ändamål för vilka de behandlas raderas eller rättas utan dröjsmål (artikel 5.1 d). Personuppgifter får inte förvaras i en form som möjliggör identifiering av den registrerade under en längre tid än vad som är nödvändigt för de ändamål för vilka uppgifterna behandlas (artikel 5.1 e). Slutligen ska uppgifterna behandlas på ett sätt som säkerställer lämplig säkerhet för personuppgifterna, inbegripet skydd mot obehörig eller otillåten behandling och mot förlust, förstöring eller skada genom olyckshändelse, med användning av lämpliga tekniska eller organisatoriska åtgärder (artikel 5.1 f).

Av artikel 5.2 följer att det är den personuppgiftsansvarige som ansvarar för och ska kunna visa att de grundläggande principerna efterlevs (ansvarsskyldighet). Som ett led i den personuppgiftsansvariges ansvarsskyldighet ska denna bl.a. genomföra en konsekvensbedömning avseende dataskydd (artikel 35). Det är en skyldighet för den personuppgiftsansvarige att göra en konsekvensbedömning före en behandling av personuppgifter som sannolikt leder till en hög risk för fysiska personers rättigheter och friheter. Konsekvensbedömning avseende dataskydd är ett verktyg för att säkerställa att den personuppgiftsansvarige följer dataskyddsförordningen.

För att det ska vara tillåtet att behandla personuppgifter krävs det att behandlingen stödjer sig på någon av de rättsliga grunderna i artikel 6 i dataskyddsförordningen. Bestämmelsen är uttömmande och

om inte någon av de uppräknade rättsliga grunderna är tillämpliga är det inte tillåtet att behandla personuppgifter. Ett sådant villkor är att den enskilde har lämnat sitt samtycke till att personuppgifterna behandlas (artikel 6.1 a). Behandling kan också ske om den är nödvändig för att fullgöra ett avtal (artikel 6.1 b) eller nödvändig för att fullgöra en rättslig förpliktelse (artikel 6.1 c), för att skydda intressen som är av grundläggande betydelse för en fysiskperson (artikel 6.1 d), för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning (artikel 6.1 e). Personuppgifter kan slutligen behandlas med stöd av en intresseavvägning (artikel 6.1 f).

Av artikel 6.3 i dataskyddsförordningen följer att grunden för den personuppgiftsbehandling som är nödvändig för att den personuppgiftsansvarige ska kunna uppfylla en rättslig förpliktelse (artikel 6.1 c) eller en uppgift för allmänt intresse eller som ett led i myndighetsutövning (artikel 6.1 e) måste fastställas i nationell rätt eller EU-rätt. Det innebär att det inte är möjligt att endast stödja sig på den generella regleringen i dataskyddsförordningen vid sådan behandling. Vidare framgår av artikel 6.3 andra stycket att syftet med behandlingen, då denna grundar sig på en rättslig förpliktelse, ska fastställas i den rättsliga grunden och i fråga om behandling vara nödvändigt för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (artikel 6.1 e).

Det finns också möjlighet att i nationell rätt mer detaljerat reglera olika krav på sådan behandling av personuppgifter som är nödvändig för att den personuppgiftsansvarige ska kunna uppfylla en rättslig skyldighet eller utföra en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning (artikel 6.2). I artikel 6.3 anges dessutom att den rättsliga grunden kan innehålla särskilda bestämmelser för att anpassa tillämpningen av dataskyddsförordningen, bl.a. de allmänna villkor som ska gälla för den personuppgiftsansvariges behandling, vilken typ av uppgifter som ska behandlas, vilka registrerade som berörs, de enheter till vilka personuppgifterna får lämnas ut och för vilka ändamål, ändamålsbegränsningar, lagringstid samt typer av behandling och förfaranden för behandling, inbegripet åtgärder för att tillförsäkra en laglig och rättvis behandling.

Den författning eller det beslut som utgör den rättsliga grunden för behandling av personuppgifter enligt förordningen måste uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas (artikel 6.3 andra stycket sista meningen).

Behandling av känsliga personuppgifter (i dataskyddsförordningen benämnda särskilda kategorier av personuppgifter, se artikel 9) är som huvudregel förbjuden. Huvudregeln kompletteras med ett antal undantag i artikel 9.2 i dataskyddsförordningen som anger när behandling av känsliga personuppgifter är tillåten. Ett av undantagen är om den registrerade har uttryckligen samtyckt till behandlingen (artikel 9.2 a). Ett annat undantag avser behandling av känsliga personuppgifter som är nödvändig för skäl som hör samman med förebyggande hälso- och sjukvård, yrkesmedicin och social omsorg, på grundval av EU-rätten eller medlemsländernas nationella rätt, under förutsättning att uppgifterna behandlas av eller under ansvar av en yrkesutövare som omfattas av tystnadsplikt (artikel 9.2 h).

Dataskyddsförordningen innehåller även ett antal rättigheter för de enskilda vars personuppgifter behandlas (de registrerade). Av artikel 12–14 framgår t.ex. att den registrerade har rätt att få omfattande information från den personuppgiftsansvarige. Om personuppgifterna har samlats in från någon annan än den registrerade, behöver information inte lämnas om det skulle visa sig vara omöjligt eller innebära en ansträngning som inte står i proportion till nyttan, om erhållande eller utlämnande av personuppgifter är rättsligt reglerat eller om personuppgifterna måste förbli konfidentiella till följd av tystnadsplikt. Den registrerade kan också begära registerutdrag med information om bl.a. vilka uppgifter som behandlas om honom eller henne (artikel 15) och begära att få sådana uppgifter rättade eller raderade eller att behandlingen ska begränsas (artikel 16–18). Vidare har den registrerade rätt att göra invändningar mot personuppgiftsbehandling avseende honom eller henne som utförs på vissa rättsliga grunder (artikel 21.1). Dessa rättigheter kan begränsas under vissa förutsättningar (artikel 23.1).

3.2.6. Regeringsformen

Grundläggande bestämmelser om skydd för den personliga integriteten finns i regeringsformen. Av målsättningsstadgandet i 1 kap. 2 § regeringsformen (RF) framgår bl.a. att den offentliga makten ska utövas med respekt för den enskilda människans frihet och att det allmänna ska värna den enskildes privatliv och familjeliv.

För att stärka skyddet för den personliga integriteten infördes år 2011 ett nytt andra stycke i 2 kap. 6 § RF. I bestämmelsen anges att var och en gentemot det allmänna är skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Enligt 2 kap. 20 § RF får skyddet begränsas genom lag under de förutsättningar som anges i 2 kap. 21 § RF. Enligt förarbetena avses med begreppet den enskildes personliga förhållanden bl.a. namn och andra personliga identifikationsuppgifter, adress, familjeförhållanden, hälsa, fotografisk bild, uppgift om anställning och en persons ekonomi.1 Uttrycket avses ha samma innebörd som i tryckfrihetsförordningen och offentlighets- och sekretesslagen (2009:400).

Vid bedömningen om en åtgärd ska anses innebära övervakning eller kartläggning är det inte åtgärdens huvudsakliga syfte utan vilken effekt åtgärden har som är avgörande. I förarbetena anges som exempel att en åtgärd från det allmännas sida som vidtas primärt i syfte att ge myndigheterna underlag för beslutsfattande i enskilda ärenden i många fall anses innebära kartläggning av enskildas förhållanden, även om kartläggning inte är avsikten. Ett annat exempel är de myndighetsspecifika verksamhetsregister och databaser med information som är knuten till en myndighets ärendehantering som förekommer i stort sett all statlig och kommunal förvaltning. Enligt förarbetena får uppgifterna i flertalet fall anses tillgängliga för myndigheterna på sådant sätt att lagringen och behandlingen av uppgifterna kan sägas innebära att enskilda kartläggs, även om det huvudsakliga ändamålet med behandlingen är ett helt annat.2 Som exempel på kartläggning angav Integritetskommittén i sitt betänkande Han-

tering av uppgifter om den enskildes hälsa i patientjournaler och hälsodataregister eller inom ramen för forskning i det allmännas regi.3

Behandling av personuppgifter med stöd av samtycke är undantaget i 2 kap. 6 § andra stycket RF. I förarbetena anges att regleringen tar sikte på sådana åtgärder som den enskilde inte själv kan få kännedom om eller påverka genom krav på frivilligt godkännande. Om åtgärderna förutsätter den enskildes godkännande anses intrånget normalt inte vara så allvarligt att det omfattas av det särskilda grundlagsskyddet. Detta bör gälla oberoende av vilka slags uppgifter

1Prop. 2009/10:80 s. 177. 2Prop. 2009/10:80 s. 180. 3SOU 2008:3 s. 271.

åtgärden eller behandlingen avser. Vidare hänvisas i förarbetena till den då gällande personuppgiftslagen (1998:204) och att den regleringen kan tjäna som vägledning vid bedömningen av vad som krävs för att en åtgärd ska falla utanför grundlagsskyddet redan p.g.a. att den vidtas med den enskildes samtycke. De krav som nämns i förarbetena är att de berörda personerna tillfrågats om samtycke och att de därvid fick all den information som kunde tänkas påverka deras beslut att tillåta behandlingen.4

Det särskilda grundlagsskyddet omfattar endast betydande integritetsintrång. Det är således bara vissa kvalificerade intrång i den personliga integriteten som omfattas. Vid bedömningen av hur ingripande intrånget i den personliga integriteten kan anses vara i samband med insamling, lagring och bearbetning eller utlämnande av uppgifter om enskildas personliga förhållanden är det enligt förarbetena naturligt att stor vikt läggs vid uppgifternas karaktär. Ju känsligare uppgifterna är, desto mer ingripande måste det allmännas hantering av uppgifterna normalt anses vara. Även hantering av ett litet fåtal uppgifter kan med andra ord innebära ett betydande intrång i den personliga integriteten om uppgifterna är av mycket känslig karaktär. Vid bedömningen av intrångets karaktär är det också naturligt att stor vikt läggs vid ändamålet med behandlingen. Därutöver kan givetvis mängden uppgifter vara en betydelsefull faktor i sammanhanget. Vidare hänvisas i förarbetena till att konstitutionsutskottet i flera lagstiftningsärenden som rört myndigheters personuppgiftsbehandling framhållit att målsättningen bör vara att myndighetsregister med ett stort antal registrerade och ett särskilt känsligt innehåll ska regleras särskilt i lag. Regeringen har flera gånger instämt i denna bedömning.5

Enligt förarbetena bör flera omständigheter vägas in vid bedömningen av vad som kan anses utgöra ett betydande intrång. Uppgifternas karaktär och omfattning utgör endast två faktorer att beakta. Även sådana omständigheter som t.ex. ändamålet med behandlingen av uppgifterna och omfattningen av utlämnandet av uppgifter till andra som sker utan omedelbart stöd av offentlighetsprincipen kan vara av betydelse vid bedömningen.6

4Prop. 2009/10:80 s. 178 f. 5Prop. 2009/10:80 s. 183. I propositionen hänvisas till bet. 1990/91:KU11 s. 11, 1997/98:KU18 s. 43, prop. 1997/98:44 s. 41 och prop. 1999/2000:39 s. 78. 6Prop. 2009/10:80 s. 184.

Skyddet för den personliga integriteten enligt 2 kap. 6 § andra stycket RF är inte absolut och kan under vissa förutsättningar begränsas med hänsyn till andra motstående intressen. Av 2 kap. 20 § RF följer att en sådan begränsning endast får ske genom lag. Enligt 2 kap. 21 § RF följer att begränsningen får endast göras för att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle. Begränsningen får aldrig gå utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett den och inte heller sträcka sig så långt att den utgör ett hot mot den fria åsiktsbildningen såsom en av folkstyrelsens grundvalar. Begränsningen får inte göras enbart p.g.a. politisk, religiös, kulturell eller annan sådan åskådning.

I förarbetena framfördes att en följd av denna reglering är bl.a. att lagstiftaren tvingas att tydligt redovisa vilka avvägningar som gjorts vid proportionalitetsbedömningen. Detta kan förväntas öka förutsättningarna för att avvägningarna i fråga om integritetsintrånget blir mer ingående belysta och att de presenteras på ett sådant sätt att kvaliteten i lagstiftningen höjs ytterligare.7 Vid en proportionalitetsbedömning ska det intrång som sker i den enskildes personliga integritet vägas mot de fördelar som intrånget innebär. Det intrång som sker i den enskildes personliga integritet måste vara befogat och stå i rimlig proportion till de fördelar som intrånget bidrar med till det motstående intresset. Ett ytterligare krav är att det inte finns några mindre integritetskänsliga alternativ.

Det är bara genom svensk lag som skyddet enligt 2 kap. 6 § andra stycket RF kan inskränkas. Den rätt att behandla personuppgifter som följer av dataskyddsförordningen gör alltså inte att myndigheter får behandla personuppgifter i strid med 2 kap. 6 § andra stycket RF.

3.2.7. Lagen om nationell läkemedelslista

Den 1 maj 2021 trädde lagen (2018:1212) om nationell läkemedelslista i kraft. Lagen ersätter lagen (1996:1156) om receptregister och lagen (2005:258) om läkemedelsförteckning. Det övergripande målet med den nationella läkemedelslistan är att skapa en samlad källa av en patients förskrivna läkemedel och andra varor samtidigt som patientens behov av integritetsskydd tillgodoses.

7Prop. 2009/10:80 s. 177.

E-hälsomyndigheten ska med automatiserad behandling föra ett register över vissa uppgifter om förskrivna och expedierade läkemedel och andra varor för människor (1 kap. 1 §). E-hälsomyndigheten är personuppgiftsansvarig för den personuppgiftsbehandling myndigheten utför (3 kap. 1 §). I lagen finns kompletterande bestämmelser till dataskyddsförordningen. Känsliga personuppgifter får behandlas med stöd av artikel 9.2 h i dataskyddsförordningen under förutsättning att kravet på tystnadsplikt i artikel 9.3 i dataskyddsförordningen är uppfyllt. I 3 kap. 2–5 §§ anges de ändamål för vilka personuppgifterna får behandlas. Uppgifterna får bl.a. behandlas om det är nödvändigt för ändamål som rör registrering av uppgifter om förskrivna läkemedel och för ändamål som rör öppenvårdsapotek, bl.a. expediering av läkemedel och andra varor som förskrivits. Enligt 4 kap. 1 § första stycket får behandling som är tillåten enligt lagen utföras även om den registrerade inte har lämnat sitt samtycke. Personuppgifterna som behandlas för något av de angivna ändamålen får dessutom, enligt 3 kap. 7 §, behandlas för andra ändamål under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. Av samma bestämmelse följer att behandling som inte annars är tillåten enligt lagen får utföras om den registrerade har lämnat uttryckligt samtycke. Vilka uppgifter som får behandlas i registret framgår av 3 kap. 8 §. Registret får också innehålla andra uppgifter som krävs i samband med en förskrivning eller en expediering och uppgifter om samtycke, spärr och fullmakt.

Expedierande personal på öppenvårdsapotek, viss hälso- och sjukvårdspersonal samt patienten själv och dennes ombud får ges direktåtkomst till registret, under vissa förutsättningar och för vissa ändamål. Enligt 5 kap. 1 § får direktåtkomst ges till expedierande personal på öppenvårdsapotek för bl.a. ändamålet expediering av läkemedel och andra varor. Det krävs inte samtycke för sådan direktåtkomst, förutom när det gäller uppgift om ordinationsorsak. Av 6 kap. följer att E-hälsomyndigheten har en skyldighet att lämna ut uppgifter från registret till bl.a. expedierande personal på öppenvårdsapoteken, viss hälso- och sjukvårdspersonal, regioner, och till vissa myndigheter.

Lagen innehåller också vissa skyddsåtgärder som t.ex. s.k. integritetshöjande samtycke för vissa ändamål och viss behandling, spärrning (4 kap. 3–4 § §), sökbegränsningar (3 kap. 9 §), bevarandetid

(3 kap. 10 §) och villkor för tilldelning av behörighet och åtkomstkontroll (8 kap. 1 §).

3.2.8. Apoteksdatalagen

Apoteksdatalagen tillkom år 2009 i och med omregleringen av apoteksmarknaden. I förarbetena till lagen uttalade regeringen att det var angeläget med en tydlig reglering av hanteringen av personuppgifter i öppenvårdsapotekens verksamhet för att även på en omreglerad marknad skydda integriteten hos konsumenter och den som är behörig att förordna läkemedel.8

Apoteksdatalagen reglerar öppenvårdsapotekens behandling av personuppgifter och är en registerförfattning som innehåller kompletterande nationella bestämmelser till dataskyddskyddsförordningen. Med öppenvårdsapotek avses en inrättning för detaljhandel med läkemedel som bedrivs med tillstånd enligt 2 kap. 1 § lagen (2009:366) om handel med läkemedel (3 §). Apotekens kärnverksamhet utgörs av expediering av läkemedel och andra varor som förordnats. Det innebär en behandling av personuppgifter hänförliga till såväl konsumenter som till den som är behörig att förordna läkemedel. Den behandling av personuppgifter som hänför sig till de interna och administrativa åtgärder som kan förekomma i öppenvårdsapotekens verksamhet, dvs. sådant som inte rör handel med läkemedel med mera omfattas inte av lagens tillämpningsområde. Behandling av personuppgifter i verksamhet som faller utanför apoteksdatalagen regleras av dataskyddsförordningen, dataskyddslagen och eller annan registerförfattning.

Apoteksdatalagen tillämpas på all helt eller delvis automatiserad behandling av personuppgifter samt manuell behandling av personuppgifter som ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier (1 §). Öppenvårdsapoteken ska behandla personuppgifter så att den enskildes integritet respekteras, samt att dokumenterade personuppgifter ska hanteras och förvaras så att obehöriga inte får tillgång till dem (4 §).

De ändamål för vilka personuppgifter får behandlas på öppenvårdsapoteket anges i 8 §. Personuppgiftsbehandling får ske för expedier-

8Prop. 2008/09:145 s. 330.

ing av förordnade läkemedel och sådana förordnade varor som omfattas av lagen (2002:160) om läkemedelsförmåner m.m. samt för åtgärder i anslutning till expedieringen (p. 1), redovisning av uppgifter till E-hälsomyndigheten enligt 2 kap. 6 § 5 eller 7 lagen om handel med läkemedel (p. 2), hantering av reklamationer och indragningar (p. 3), administrering av delbetalning av läkemedel och varor som omfattas av lagen om läkemedelsförmåner m.m., (p. 4) administrering av fullmakter att hämta ut läkemedel (p. 5) redovisning av uppgifter till Inspektionen för vård och omsorg och Läkemedelsverket för deras tillsyn (p. 6), rapportering till förskrivare om utbyte av läkemedel enligt 21 § femte stycket, 21 a § fjärde stycket och 21 b § tredje stycket lagen om läkemedelsförmåner m.m. (p. 7), hälsorelaterad kundservice (p. 8), att kunna lämna ut recept eller blankett till konsumenten (p. 9), systematisk och fortlöpande utveckling och säkerställande av öppenvårdsapotekens kvalitet (p. 10), samt administration, planering, uppföljning och utvärdering av öppenvårdsapotekens verksamhet samt framställning av statistik (p. 11).

Av 6 § första stycket apoteksdatalagen följer att behandling av personuppgifter som är tillåten enligt lagen får utföras även om den enskilde motsätter sig den. I de fall det enligt apoteksdatalagen krävs samtycke, är personuppgiftsbehandlingen givetvis inte tillåten om inte samtycke ges. Personuppgiftsbehandling för ändamålen administrering av fullmaktsregister och hälsorelaterad kundservice är sådana ändamål för vilka samtycke krävs (8 § 2 apoteksdatalagen). Vidare framgår av 6 § andra stycket apoteksdatalagen att behandling av personuppgifter som inte är tillåten enligt apoteksdatalagen ändå får ske, om den enskilde lämnat ett uttryckligt samtycke till behandlingen.

I 9 § kommer den s.k. finalitetsprincipen till uttryck.9 Av bestämmelsen följer att personuppgifter som behandlas enligt 8 § får behandlas även för andra ändamål under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in.

Den som innehar ett tillstånd att bedriva detaljhandel med läkemedel är personuppgiftsansvarig för den behandlingen av personuppgifter som utförs på ett öppenvårdsapotek (7 §). Personuppgiftsansvaret omfattar även den behandling av personuppgifter som sker

9 Artikel 5.1 b i dataskyddsförordningen.

när expedierande personal genom direktåtkomst tar del av uppgifter som finns hos E-hälsomyndigheten i den nationella läkemedelslistan.10

Det finns en bestämmelse om sökbegrepp i apoteksdatalagen (10 §) som innebär att identiteten för en konsumenten och för den som är behörig att förordna läkemedel får användas som sökbegrepp endast för vissa av de ändamål som anges i 8 § första stycket. Det finns även bestämmelser om tilldelning av behörighet för åtkomst till personuppgifter, och att behörigheten ska vara begränsad till vad som behövs för att den som arbetar på ett öppenvårdsapotek ska kunna fullgöra sina arbetsuppgifter (12 §). Åtkomsten ska dokumenteras och kontrolleras (13 §). Den personuppgiftsansvarige ska också se till att den registrerade får viss information om behandlingen av personuppgifter. Förutom den information som ska lämnas enligt artiklarna 13 och 14 i dataskyddsförordningen, ska den personuppgiftsansvarige lämna information om den uppgiftsskyldighet som kan följa av lag eller förordning, de tystnadsplikts- och säkerhetsbestämmelser som gäller för uppgifterna och behandlingen, rätten till skadestånd samt vad som gäller i fråga om sökbegrepp (16 §).

När en personuppgift inte längre behövs för behandling enligt ändamålen i lagen ska uppgiften tas bort (14 §). Vid expediering av recept finns krav på att öppenvårdsapoteken ska upprätta en verifikation över utlämnandet. En verifikation ska innehålla uppgifter om vad som har förskrivits och vad som har lämnats ut. Av 17 § förordningen (2002:687) om läkemedelsförmåner m.m. framgår att de handlingar som enligt förordningen utgör apotekets verifikationer ska förvaras i tre år. Enligt 10 kap. 1 § 1 receptföreskrifterna ska verifikationer sparas i fem år för Läkemedelsverkets tillsyn.

3.2.9. Patientdatalagen

Patientdatalagen (2008:355) reglerar vårdgivares behandling av personuppgifter inom hälso- och sjukvården, oavsett om vården bedrivs i offentlig eller privat regi. Patientdatalagen är en ramlagstiftning, som anger vilka grundläggande principer som ska gälla för informationshanteringen avseende uppgifter om patienter inom all hälso- och sjukvård. Syftet med lagen är att informationshanteringen inom hälso- och sjukvården ska vara organiserad så att den tillgodoser

10Prop. 2017/18:223 s. 82.

patientsäkerhet och god kvalitet samt främjar kostnadseffektivitet. Personuppgifter ska utformas och i övrigt behandlas så att patienters och övriga registrerades integritet respekteras. Dokumenterade personuppgifter ska hanteras och förvaras så att obehöriga inte får tillgång till dem (1 kap. 2 §).

Patientdatalagen tillämpas på all helt eller delvis automatiserad behandling av personuppgifter samt manuell behandling av personuppgifter som ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier (1 kap. 4 §). Lagen omfattar behandling av personuppgifter i all individinriktad patientverksamhet som innefattar vård, undersökning eller behandling. Det är vårdgivaren som är personuppgiftsansvarig för den behandling av personuppgifter som vårdgivaren utför (2 kap. 6 §). De ändamål för vilka personuppgifter får behandlas inom hälso- och sjukvården framgår av 2 kap. 4 §.

Patientdatalagen innehåller även grundläggande bestämmelser om inre sekretess och elektronisk åtkomst i en vårdgivares verksamhet (4 kap.). Därtill finns bestämmelser om skyldighet att föra patientjournal (3 kap.), om nationella och regionala kvalitetsregister (7 kap.), om sammanhållen journalföring över vårdgränserna (6 kap), om rättigheter för den enskilde (8 kap) och om bevarande samt gallring i t.ex. 3 kap. 17 § och 6 kap. 8 §.

3.3. Annan EU-reglering

3.3.1. Webbtillgänglighetsdirektivet

Webbtillgänglighetsdirektivet syftar till att offentliga sektorns webbplatser och mobila applikationer ska bli mer tillgängliga för användare och då särskilt för personer med funktionsnedsättning, samt bidra till en ökad harmonisering av standarder (artikel 1). Det innebär att digital service (offentliga tjänster och information via en webbplats eller mobil applikation) ska vara tillgänglig, dvs. möjlig att uppfatta, hanterbar, begriplig och robust (artikel 4). Webbplatser och mobila applikationer kan leva upp till kraven genom att följa en viss europeisk standard (artikel 6). Offentliga aktörer ska tillhandahålla en tillgänglighetsredogörelse som beskriver hur webbplatsen eller applikationen uppfyller kraven (artikel 7). Det ska också finnas en mekanism så att användare kan lämna återkoppling om tillgäng-

lighetsproblem. Direktivet har genomförts i Sverige bl.a. genom lagen (2018:1937) och förordningen (2018:1938) om tillgänglighet till digital offentlig service, samt Myndigheten för digital förvaltnings (DIGG) föreskrifter. DIGG är tillsynsmyndighet.

3.3.2 eIDAS-förordningen

eIDAS-förordningen och genomförandeförordningarna ger ett rättsligt ramverk, tekniska standarder och specifikationer för elektronisk identifiering och betrodda tjänster. Syftet är att säkerställa en väl fungerande inre marknad och uppnå en lämplig säkerhetsnivå för medel för elektronisk identifiering och betrodda tjänster (artikel 1). Utredningen går inte in på frågor om betrodda tjänster och redogör därför enbart för vad som gäller för elektronisk identifiering. Tjänsten e-recept över landsgränser innebär inte i sig att gränsöverskridande identifiering görs, utan eIDAS-förordningen kan få betydelse främst beroende på vad nätverket för e-hälsa ställer för krav, se avsnitt 13.4.1.

Förordningen syftar till att undanröja hinder för gränsöverskridande användning av e-legitimationer i medlemsländerna för autentisering för åtminstone offentliga tjänster (skäl 12). Förordningen bör inte tolkas som att den ställer krav på e-legitimationer som endast används nationellt, utan kraven aktualiseras först när de ska användas över landsgränserna.11 I skäl 10 görs en hänvisning till 14 c i patientrörlighetsdirektivet om att stödja gemensamma åtgärder för identifiering och autentisering för att underlätta överförbara uppgifter i en gränsöverskridande hälso- och sjukvård. Ett sådant ömsesidigt erkännande av elektronisk identifiering och autentisering anges vara en förutsättning för att gränsöverskridande sjukvård ska bli verklighet.

Medel för elektronisk identifiering definieras som en materiell eller immateriell enhet som innehåller personidentifieringsuppgifter och som används för autentisering för nättjänster (artikel 3.2). E-legitimationer är ett medel för elektronisk identifiering. För e-legitimationer i Sverige är det normalt en persons personnummer som är personidentifieringsuppgiften.12 En e-legitimation som uppfyller kraven

11SOU 2021:62 s. 57. 12Prop. 2020/21:81 s. 8.

enligt eIDAS-förordningen och som utfärdats i ett annat medlemsland ska kunna användas för autentisering för nättjänster som tillhandahålls av offentliga organ i Sverige. Nättjänst definieras inte i förordningen, men tjänster som i Sverige kallas e-tjänster anses omfattas enligt Utredningen om betrodda tjänster.13 Förordningen fastställer tillitsnivåerna låg, väsentlig och hög för e-legitimationer.

Förordningen gäller e-legitimationssystem som har anmälts av ett medlemsland (artikel 2). En e-legitimation ska under vissa förutsättningar omfattas av ömsesidigt erkännande (artikel 6). Sverige gjorde sin första föranmälan i december 2020.

För att identifiera sig för åtkomst till en digital tjänst i ett annat medlemsland än det där individens e-legitimation har utfärdats kan det system för gränsöverskridande identifiering som upprättas genom eIDAS-förordningen användas. Identifieringen går då mellan förbindelsepunkter, kallade noder, i avsändande och mottagande medlemsland för verifiering. I Sverige är DIGG en sådan nod.

3.3.3. SDG-förordningen

SDG-förordningen träder gradvis i kraft fram till och med 2023. Förordningen syftar till att göra det enklare för privatpersoner och medborgare att agera över gränserna främst genom tillförlitlig information samt hjälp- och problemlösningstjänster för den som t.ex. ska arbeta i eller flytta till ett annat land.

Det ska underlättas genom en gemensam digital ingång på EU-nivå (även kallad single digital gateway, SDG). För detta används webbplatsen Ditt Europa/Your Europe, www.youreurope.eu. Från den kan användarna ta sig vidare till nationell information. Där ska det bl.a. finnas uppgifter om lagar, rättigheter och skyldigheter, digitala tjänster för att utföra ett ärende, samt hjälp och support för stöd i kontakter med offentliga aktörer. Detta gäller för ett antal utvalda områden som beskrivs i en bilaga till SDG-förordningen, t.ex. hälso- och sjukvård. Under området hälso- och sjukvård anges bl.a. att det omfattar att köpa receptbelagda läkemedel i ett annat medlemsland än där receptet utfärdades, online eller personligen.

SDG-förordningen ställer även krav på ett tekniskt system för bevisutbyte som grundar sig på engångsprincipen. Engångsprincipen

13SOU 2021:62 s. 58.

innebär att användare endast ska behöva lämna samma uppgift en gång och att uppgifter i stället ska delas mellan olika myndigheter och organ i EU på användarens initiativ.

För närvarande pågår arbete både på europeisk och på nationell nivå kopplat till SDG-förordningen i enlighet med kommissionens tillkännagivande Riktlinjer för genomförandet av förordningen om in-

rättande av en gemensam digital ingång (2021/C 71/02).

DIGG är nationell samordnare i Sverige och arbetar, bistådda av Kommerskollegium, med den nationella samordningen tillsammans med de behöriga aktörerna. Sedan december 2020 ska de myndigheter som berörs av SDG-förordningen tillhandahålla information samt hjälp- och problemlösningstjänster via Ditt Europa. Motsvarande gäller från december 2022 för kommuner och regioner. I december 2023 ska myndigheter som berörs av SDG-förordningen, samt kommuner och regioner, tillhandahålla digitala tjänster helt online och en uppgift ska bara behöva lämnas en gång.

3.3.4. Tillgänglighetsdirektivet

Europaparlamentets och rådets direktiv (EU) 2019/882 av den 17 april 2019 om tillgänglighetskrav för produkter och tjänster (tillgänglighetsdirektivet) innehåller krav som ska gälla produkter och tjänster efter den 28 juni 2025, med vissa undantag. Syftet är att harmonisera reglerna för tillgänglighetskrav för vissa produkter och tjänster, samt att hjälpa medlemsländerna uppfylla nationella och internationella åtaganden som gäller tillgänglighet. Det ska även främja ett fullt och effektivt deltagande på lika villkor genom att förbättra tillgången till konventionella produkter och tjänster som genom sin ursprungliga utformning eller senare anpassning tillgodoser behoven hos personer med funktionsnedsättning. Utredningen om genomförande av till-

gänglighetsdirektivet (S 2020:05) har i maj 2021 lämnat sitt betänkande

SOU 2021:44Tillgänglighetsdirektivet med förslag hur direktivet ska genomföras i svensk rätt.

3.4. Författningar som rör förskrivning och expediering

3.4.1. Lagen om handel med läkemedel

Lagen (2009:366) om handel med läkemedel innehåller bl.a. bestämmelser om detaljhandel med läkemedel till konsument. När det gäller information, marknadsföring, förordnande och utlämnande av läkemedel hänvisas till läkemedelslagen. Reglerna om detaljhandel är huvudsakligen nationella bestämmelser eftersom detaljhandel med humanläkemedel endast i liten utsträckning varit föremål för harmonisering genom EU-rätten.

För att få bedriva detaljhandel med läkemedel till konsument krävs Läkemedelsverkets tillstånd. Undantag finns för vissa typer av receptfria läkemedel. En inrättning som har beviljats ett sådant tillstånd kallas öppenvårdsapotek. Sökanden måste bl.a. uppfylla lämplighetskrav och visa att den har förutsättningar att uppfylla de krav som ställs på verksamheten. I öppenvårdsapotekens grunduppdrag ingår att verka för en god och säker läkemedelsanvändning genom att säkerställa att konsumenten så snart det kan ske får tillgång till förordnade läkemedel och varor, ge sakkunnig och individuellt anpassad information och rådgivning, samt att genomföra och upplysa om utbyte av läkemedel.

Det finns detaljerade krav för öppenvårdsapotek i lagen om handel med läkemedel och anslutande regleringar. Flera av kraven på tillståndshavaren framgår i 2 kap. 6 § lagen om handel med läkemedel, t.ex. ska tillståndshavaren tillhandahålla läkemedel så snart det kan ske (2 kap. 6 § 3) och vid expediering av en förskrivning lämna de uppgifter som anges i 3 kap. 8 § lagen om nationell läkemedelslista till E-hälsomyndigheten (2 kap. 6 § 5). Tillståndshavaren ska också ha ett elektroniskt system som gör det möjligt att få direktåtkomst till uppgifter hos E-hälsomyndigheten (2 kap. 6 § 6).

Läkemedelsverket har tillsyn över lagen om handel med läkemedel, kommissionens delegerade förordning (EU) 2016/16114 och de föreskrifter som har meddelats i anslutning till lagen.

I förordningen (2009:659) om handel med läkemedel finns bestämmelser som ansluter till lagen om handel med läkemedel.

14 Kommissionens delegerade förordning (EU) 2016/161 av den 2 oktober 2015 om komplettering av Europaparlamentet och rådets direktiv 2001/83/EG genom fastställande av närmare bestämmelser om de säkerhetsdetaljer som anges på förpackningar för humanläkemedel.

3.4.2. Läkemedelslagen

Läkemedelslagen (2015:315) innehåller de grundläggande svenska bestämmelserna om läkemedel. Syftet med lagen är främst att skydda människors och djurs liv, hälsa och välbefinnande samt att värna om folkhälsan och skydda miljön utan att detta i högre grad än vad som är nödvändigt hindrar utvecklingen av läkemedel eller handeln med läkemedel i Sverige och inom EES (1 kap. 1 §). I lagen finns bl.a. bestämmelser om krav på läkemedel, godkännande, registrering och tillstånd till försäljning av läkemedel (4 kap.), krav för försäljning av läkemedel (5 kap.), förordnande och utlämnande av läkemedel och teknisk sprit (13 kap.), tillsyn (14 kap.) och bemyndiganden (18 kap). Läkemedelsverket har tillsyn enligt läkemedelslagen. I läkemedelsförordningen (2015:458) finns kompletterande bestämmelser till läkemedelslagen.

3.4.3. Läkemedelsverkets föreskrifter

Läkemedelsverkets föreskrifter (HSLF-FS 2021:75) om förordnande och utlämnande av läkemedel och teknisk sprit (receptföreskrifterna) reglerar förordande av förskrivare, hur expediering av recept och rekvisition ska hanteras vid öppenvårdsapotek samt hur receptfria läkemedel som inte har förordnats ska säljas på öppenvårdsapotek. I föreskrifterna regleras bl.a. pappersrecept som utfärdas avsedda att användas i EES och vad som gäller vid expediering av pappersrecept från EES. I föreskrifterna finns även krav på dokumentation och hur lång tid den ska bevaras för tillsyn. Föreskrifterna träder i kraft den 28 januari 2022 och ersätter då Läkemedelsverkets föreskrifter (HSLF-FS 2019:32) om förordnande och utlämnande av läkemedel och teknisk sprit. Utredningen har i möjligaste mån försökt beakta de nya föreskrifterna även om de inte trätt i kraft i skrivande stund.

4. Bakgrund

4.1. Inledning

I detta kapitel beskrivs bakgrunden till utredningens uppdrag att utreda vad som krävs för en patientsäker och effektiv process för e-recept över landsgränser inom EES. Vissa grundläggande begrepp och förutsättningar för e-recept för humanläkemedel förklaras också. Slutligen beskrivs patientrörlighetsdirektivets bestämmelser om erkännande av recept inom EES, hur bestämmelserna har genomförts i Sverige och en kort internationell utblick.

4.2. Bakgrund till utredningens uppdrag

Redan i dag är det möjligt att expediera pappersrecept från ett annat EES-land på öppenvårdsapotek i Sverige och pappersrecept utfärdade i Sverige får expedieras i andra EES-länder. Det finns fördelar med en övergång till e-recept. Det ger en mer samlad bild för patienten och hälso- och sjukvårdspersonal över patientens aktuella recept och utlämnade läkemedel, vilket är en förutsättning för en patientsäker läkemedelshantering. Det kan också innebära fördelar för personer som bor i Sverige och arbetar i ett annat land eller delvis bor i annat land. Även om den gränsöverskridande vården omfattar relativt små patientflöden är den ett viktigt komplement till den nationella vården. I Sverige utfärdas nästan uteslutande e-recept för humanläkemedel. Regeringen avser att även e-recepthantering ska vara möjligt vid gränsöverskridande vård och beslutade mot denna bakgrund om utredningens uppdrag att föreslå en helhetslösning. I uppdraget ingår bl.a. att analysera frågor i E-hälsomyndighetens rapport Reglering av

personuppgiftsbehandling (S2018/04035/FS) och i remissvaren, samt

komplettera kartläggningen i rapporten.

4.2.1. E-hälsomyndighetens rapport

E-hälsomyndigheten fick 2018 i uppdrag att göra en rättslig analys av den personuppgiftsbehandling som myndigheten avsåg att genomföra inom ramen för patientrörlighetsdirektivet. I rapporten Regler-

ing av personuppgiftsbehandling beskriver E-hälsomyndigheten hur

processen är tänkt att se ut när svenska e-recept ska expedieras i utlandet och utländska e-recept ska expedieras i Sverige. Utifrån denna beskrivning konstaterar E-hälsomyndigheten att ett informationsutbyte över landsgränser av e-recept innebär att det kommer att vara nödvändigt att behandla känsliga personuppgifter på ett sätt som myndigheten inte gör i dag. För att denna personuppgiftsbehandling ska vara tillåten behövs författningsändringar och myndigheten lämnade ett antal förslag.

E-hälsomyndighetens uppdrag var avgränsat till myndighetens personuppgiftsbehandling, men det lyftes att ytterligare utredningsarbete var nödvändigt för att ett gränsöverskridande informationsutbyte skulle kunna genomföras. I rapporten framhöll E-hälsomyndigheten vidare att de tekniska förutsättningarna för e-recept över landsgränser i stort finns på plats i Sverige, men att ett författningsstöd behövs innan ett sådant informationsutbyte inleds.

4.2.2. En översiktlig beskrivning av läkemedel

Som en bakgrund till uppdraget beskrivs i detta avsnitt översiktligt grundläggande förutsättningar för läkemedel och kort om några olika typer av läkemedel. Ett läkemedel innehåller en eller flera medicinskt aktiva substanser som är avsedda att förebygga, påvisa, lindra eller bota sjukdom. Aktiv substans är en beståndsdel i läkemedel vars syfte är att ge terapeutisk effekt eller möjlighet att ställa diagnos.1 Läkemedel kan delas in i olika grupper enligt ett system efter indikationsområde som heter Anatomical Therapeutic Chemical Classification. Det kallas även ATC-koder. Med indikation avses symptom, sjukdomstillstånd eller liknande.

Läkemedelslagstiftningen är i stort harmoniserad i EU. Humanläkemedel godkänns enligt de gemensamma kraven främst i human-

1 Socialstyrelsens termbank. Se även 2 kap. 1 § läkemedelslagen (2015:315) där bl.a. läkemedel, aktiv substans och humanläkemedel definieras.

direktivet och förordningen 726/2004.2 Det finns olika godkännandeprocedurer för läkemedel, vilket bl.a. innebär att ett läkemedel kan vara godkänt för försäljning i alla länder i EU, i vissa länder eller i endast ett land. Ett visst läkemedel kan säljas i olika länder under olika namn. Förpackningsstorlekar kan också variera mellan olika länder.

För ett nytt läkemedel som ett läkemedelsföretag har forskat fram kan företaget få ensamrätt att sälja originalläkemedlet under ett antal år. När ensamrätten går ut får s.k. generiska läkemedel tillverkas. Ett generiskt läkemedel har samma kvalitativa och kvantitativa sammansättning i fråga om aktiva substanser och samma läkemedelsform som ett originalläkemedel. Det generiska läkemedlet ska dessutom ha visats vara likvärdigt.3 Parallellimporterade läkemedel är läkemedel som importeras till Sverige från ett annat EES-land vid sidan av läkemedelsföretagets avtalade import- eller försäljningskanaler. De anses i regel som medicinskt likvärdiga. Läkemedel som godkänns av kommissionen för hela EU kallas centralt godkända läkemedel. De kan importeras och säljas i Sverige av någon annan än den som har det ursprungliga godkännandet. Ett sådant läkemedel är identiskt oavsett i vilket land det säljs. Ett biologiskt läkemedel definieras i punkt 3.2.1.1 b i bilaga I, del I, till humandirektivet. Förenklat är det en produkt vars aktiva substans utgörs av en biologisk substans.

Gängse benämning är det internationella generiska namnet på en aktiv substans som rekommenderas av Världshälsoorganisationen eller, om sådant inte finns, den vanligtvis använda benämningen. Det innebär i praktiken läkemedlets generiska namn, dvs. namn på den eller de aktiva substanserna i läkemedlet. Det skiljer sig alltså från läkemedelsnamnet som är det namn läkemedelsföretaget valt att kalla läkemedlet. Synonymer till läkemedelsnamnet är handelsnamn, varumärkesnamn eller läkemedlets namn. Läkemedelsnamnet kan t.ex. vara ett varumärke eller det generiska namnet på den aktiva substansen tillsammans med läkemedelsföretagets namn.

2 Europaparlamentets och rådets förordning (EG) nr 726/2004 av den 31 mars 2004 om inrättande av gemenskapsförfaranden för godkännande av och tillsyn över humanläkemedel och veterinärmedicinska läkemedel samt om inrättande av en europeisk läkemedelsmyndighet. 3 Det görs oftast genom studier som ska påvisa s.k. bioekvivalens.

4.2.3. Expediering av e-recept

Detaljhandel med läkemedel till konsument regleras endast till viss del av EU-rätten. Ett recept för humanläkemedel kan utfärdas elektroniskt, på en receptblankett i pappersform eller per telefon. Behörigheten att ordinera och förskriva läkemedel styrs i grunden av den s.k. förskrivningsrätten, som bl.a. innefattar rätten att utfärda recept som avser läkemedel.

När en förskrivare utfärdar ett e-recept i Sverige ska uppgifterna föras över till och registreras i den nationella läkemedelslistan. Expedierande personal på det öppenvårdsapotek där patienten hämtar ut sina läkemedel får sedan åtkomst till uppgifterna för att kunna genomföra expedieringen. E-recept från EES registreras i huvudsak i ett annat lands register, men vid expedieringen i Sverige är avsikten att vissa uppgifter om expedieringen ska kunna registreras i den nationella läkemedelslistan.

I Sverige expedieras recept på öppenvårdsapotek. Expediering är, enligt receptföreskrifterna, en process som börjar med att ett läkemedel efterfrågas utifrån ett förordnande och avslutas med att ett läkemedel lämnas ut. Processen omfattar alla de uppgifter, inklusive kontroller och bedömningar, som ska utföras på ett öppenvårdsapotek i syfte att rätt läkemedel ska kunna lämnas ut till rätt person. En verifikation ska upprättas på öppenvårdsapoteket över varje mot recept utlämnat läkemedel enligt 8 kap. 42 § receptföreskrifterna. Verifikationen ska innehålla vissa uppgifter. En verifikation kan bl.a. innehålla uppgifter om patientens namn, personnummer, vad som har förskrivits, förskrivaren, farmaceuten och om kontroller som utförts.

4.3. Patientrörlighetsdirektivet

Patientrörlighetsdirektivet innehåller bestämmelser för att göra det lättare för patienter att få tillgång till en säker och högkvalitativ gränsöverskridande hälso- och sjukvård, och uppmuntrar till samarbete mellan medlemsländer, samtidigt som fullständig hänsyn ska tas till nationell kompetens i fråga om organisation och tillhandahållande av hälso- och sjukvård (artikel 1.1). Direktivet är genomfört i svensk rätt bl.a. genom lagen (2013:513) om ersättning för kostnader till följd av vård i ett annat land inom Europeiska ekonomiska samarbetsområdet, se vidare avsnitt 6.2.3 och 6.2.5.

Den rättsliga grunden för direktivet är artikel 114 i EUF-fördraget eftersom de flesta bestämmelserna syftar till att främja den fria rörligheten (skäl 2). Det finns även en hänvisning till artikel 168.1 i EUF-fördraget som anger att en hög hälsoskyddsnivå för människor måste säkerställas vid utformning och genomförande av all EU-politik och alla EU-åtgärder (skäl 1).

I patientrörlighetsdirektivet pekas ett antal områden ut där en fördjupad samverkan eftersträvas för att uppnå direktivets syften (skäl 51 och kapitel IV). Ett av dessa områden rör e-hälsa (artikel 14). Samarbetet ska göras inom ramen för det frivilliga nätverket för e-hälsa och syftar till att göra utbyte av patientrelaterad information möjlig.

4.3.1. Erkännande av recept inom EES

I grunden baseras medlemsländernas ömsesidiga erkännande av recept på artikel 56 i EUF-fördraget.4 Medlemsländernas skyldighet att ömsesidigt erkänna recept från andra länder beskrivs i artikel 11 i patientrörlighetsdirektivet. Direktivet anses vara genomfört.5 Direktivet är inte begränsat till pappersrecept, utan avser även e-recept. Informationsöverföringen av e-recept mellan medlemsländerna baseras dock på frivillighet. En anledning till det kan vara att gränsöverskridande hälso- och sjukvård måste ske med hjälp av ett informations- och kommunikationssystem (IKT-system) och införandet av ett sådant system omfattas av nationell behörighet (skäl 56). Det gör också organisering och utförande av hälso- och sjukvård. Avsikten i patientrörlighetsdirektivet är att nå kompatibilitet mellan lösningar för e-hälsa, samtidigt som hänsyn tas till nationell lagstiftning om hälso- och sjukvårdstjänster som syftar till att skydda patienterna (skäl 57). Kommissionen ska bistå med att ta fram riktlinjer när medlemsländerna utvecklar e-receptens kompatibilitet (artikel 11.2 b).6

Artikel 11 innebär i korthet att ett recept utfärdat av en behörig förskrivare avsett för en patient ska erkännas i ett annat medlemsland om läkemedlet är godkänt. Patientrörlighetsdirektivet omfattar medicinska hjälpmedel. Nätverket för e-hälsas samarbete om e-recept omfattar inga andra produkter än humanläkemedel. Enligt artikel 11.6

4 Skäl 9 till genomförandedirektivet 2012/52/EU. 5 Europeiska Revisionsrätten, Särskild rapportEU:s åtgärder för gränsöverskridande hälso- och

sjukvård: ambitionerna är höga, men förvaltningen måste bli bättre, 2019, s. 18.

6 eHealthNetwork, ePrescription guidelines, version 1, 2014, och version 2, 2016.

omfattas inte läkemedel som endast lämnas ut på särskilt läkarrecept, vilket i Sverige motsvaras av särskilda läkemedel som anges i bilaga 11 till receptföreskrifterna t.ex. narkotiska läkemedel. Ett recept ska erkännas utan begränsningar enligt artikel 11, om begränsningar inte är nödvändiga, proportionerliga för att skydda hälsa och inte diskriminerande. Begränsningar kan också vara tillåtna om det finns tvivel om receptets äkthet, innehåll eller begriplighet. Nationella regleringar om förskrivning och utlämnande, inklusive utbyte av läkemedel på apotek, eller kostnadsersättning för läkemedel ska inte påverkas (artikel 11.1).

För att ett recept ska erkännas i ett annat land ska det innehålla minst de uppgifter som räknas upp i bilagan till genomförandedirektivet 2012/52/EU som avser förskrivare, patient och produkt, t.ex. patientens namn och födelsedata, utfärdandedatum samt förskrivarens namn, kvalifikationer, kontaktuppgifter, adress och signatur (elektronisk eller skriftlig). Läkemedel ska anges med den gängse benämningen som huvudregel. Läkemedelsnamnet ska anges om det är ett biologiskt läkemedel eller när förskrivaren anser det medicinskt nödvändigt att patienten får just det förskrivna läkemedlet. I det senare fallet ska det motiveras av förskrivaren. I dessa fall ska endast det förskrivna läkemedlet lämnas ut. Läkemedelsform, kvantitet och styrka, samt dosering bör framgå av receptet.

Medlemsländerna kan tillämpa principen om ömsesidigt erkännande, även på recept som inte innehåller alla uppgifter i bilagan i genomförandedirektivet 2012/52/EU (skäl 9). Medlemsländerna får också lägga till uppgifter på recept om det är förenligt med EU-rätten.

I skäl 53 till patientrörlighetsdirektivet anges att det skulle kunna krävas ett medgivande från patientens läkare eller farmaceut i varje enskilt fall av erkännande, om det är motiverat för att skydda folkhälsan, nödvändigt och proportionellt. Utredningen känner inte till att något sådant krav har genomförts.

Ett erkännande av recept bör inte påverka någon yrkesmässig eller etisk skyldighet som skulle kräva att farmaceuten vägrade att lämna ut läkemedlet (skäl 53). Det har inte ansetts finnas etiska begränsningar för utlämnanden av recept i Sverige.7

7Prop. 2012/13:150 s. 102.

4.3.2. Svensk reglering av erkännande av recept inom EES

I svensk rätt har delar av artikel 11 och genomförandedirektivet 2012/52/EU ansetts genomförda genom receptföreskrifterna.8 På ett recept för läkemedel till människa avsett att hämtas ut i ett annat EES-land är huvudregeln att läkemedlets gängse benämning anges enligt 4 kap. 10 § receptföreskrifterna. Det är en skillnad jämfört med recept avsedda för expediering i Sverige eftersom de utfärdas med läkemedelsnamn. Läkemedelsnamnet ska anges på recept avsedda för EES om det är ett biologiskt läkemedel eller ett läkemedel som inte får bytas ut vid expedieringen enligt genomförandedirektivet 2012/ 52/EU. I genomförandedirektivet framgår det inte vad som händer om ett läkemedelsnamn har angetts på receptet utan en motivering varför byte inte får ske. I vägledningen till receptföreskrifterna anges att farmaceuten bör utgå från att förskrivaren då avsett att det förskrivna läkemedlet ska lämnas ut, men att det kan bli aktuellt för farmaceuten att kontakta förskrivaren vid behov så att förskrivaren kan förtydliga receptet.9 I receptföreskrifterna finns också särskilda förutsättningar för utlämnande av läkemedel mot ett recept från EES t.ex. vilka uppgifter det ska innehålla, vilket läkemedel som ska lämnas ut och krav på verifikation. Ett sådant recept ska innehålla minimiuppgifterna i genomförandedirektivet 2012/52/EU som framgår av bilaga 12 till receptföreskrifterna. Det utgör dock inget expedieringshinder om en sådan uppgift saknas på ett recept från EES om farmaceuten gör bedömningen att läkemedlet ändå kan expedieras.

Svenska pappersrecept som expedieras på utländskt apotek registreras inte i E-hälsomyndighetens register. Uppgifter i pappersrecept från EES som expedieras i Sverige registreras i huvudsak inte heller i E-hälsomyndighetens register. Vissa uppgifter om uttaget förs dock i ett register över försäljningstransaktioner för statistikändamål som kan anses vara en del av den nationella läkemedelslistan.

8Prop. 2012/13:150 s. 100 ff. 9 Läkemedelsverket, Vägledning till Läkemedelsverkets föreskrifter (HSLF-FS 2021:75) om för-

ordnande och utlämnande av läkemedel och teknisk sprit, version 1, december 2021, s. 68.

4.4. Patientrörlighet och vård utomlands

De mest heltäckande data om patientrörlighet som publicerats av kommissionen rör situationen 2016. Dessa data visar att drygt 200 000 patienter per år nyttjade de system som införts för att få vård utomlands inom EES och Schweiz. Frankrike var det land som hade flest utresande patienter (drygt 140 000) och Spanien var det land med flest inresande patienter (drygt 45 000). Varje år rapporterar kommissionen om hur patientrörligheten utvecklas. Antalet ärenden ser ut att ha ökat sedan 2016. År 2019 uppgick antalet ärenden för ansökan om ersättning för patientrörlighet till cirka 290 900, vilket var en viss uppgång från 2018 då antalet uppgick till cirka 232 100 för ersättning för vård som givits i ett annat medlemsland. Det anges i rapporten från 2019 att patientrörligheten anses vara på en stabil nivå.10

I Sverige är det Försäkringskassan som hanterar ersättning för utlandsvård. År 2016 var det något färre än 2 500 svenska medborgare som sökt ersättning för utlandsvård. Vården utfördes i 26 olika EU-länder och Schweiz med en stark koncentration till Danmark och Finland.11 Ärenden om ansökan om ersättning som enbart avser recept expedierade i ett annat EES-land uppgick under 2019 till något hundratal enligt uppgift från Försäkringskassan. Antal recept som expedierades från andra EES-länder i Sverige 2019 uppgick till cirka 21 000 enligt E-hälsomyndigheten.

4.5. Internationell utblick

I skrivande stund deltar fyra medlemsländer i informationsutbytet av e-recept, fram till och med 2023 planerar ytterligare 19 länder att delta. Informationen nedan är främst hämtad från den webbplats där alla länder ska beskriva förutsättningarna för informationsutbytet avseende e-recept över landsgränser i respektive land.

10 European Commission, Health Connect Partners member state data on cross-border patient

healthcare following Directive 2011/24/EU Year 2019, 2020, s. 7.

11 Försäkringskassan, Korta analyser 2017:4.

Finland

I Finland utfärdas ett recept med läkemedlets generiska namn eller läkemedelsnamnet. Det finns en gemensam definition av pappers- och e-recept över landsgränser i Social- och hälsovårdsministeriets förordning om förskrivning av läkemedel. Där anges att ett europeiskt recept är ”ett sådant recept som en person som har rätt att förskriva läkemedel skriftligen eller elektroniskt utfärdat i ett land som hör till EU eller EES eller i Schweiz och mot vilket ett apotek i något annat land som hör till EU eller EES kan expediera läkemedlet till patienten.”

När det gäller e-recept utfärdade i ett annat land anges i lagen om elektroniska recept (61/2007) i 23 a § att ett sådant e-recept får expedieras i Finland om det ”uppfyller de krav som godkänts i EU eller mellan EU och EES-medlemsstater och att receptet förmedlas till ett finländskt apotek genom en utländsk och en finländsk nationell kontaktpunkt som certifierar receptets riktighet”. Det anges vidare att ett e-recept utfärdat i Finland med patientens samtycke kan förmedlas för expediering i ett annat land om det sker via de nationella kontaktpunkterna för e-hälsa.

Recept utfärdat i ett annat EES-land kan inte expedieras i Finland om det gäller narkotiska, psykotropa läkemedel eller icke-godkända läkemedel. Att hämta ut läkemedel åt någon annan är inte möjligt ännu. För finska e-recept verkar endast vuxna kunna hämta ut recept i annat EES-land för närvarande och patientens samtycke krävs. Möjligheten att hämta ut e-recept i annat land verkar för närvarande vara begränsat till finska medborgare. Finska patienter ska i ett annat EES-land identifieras med sitt personnummer och pass eller ett finskt id-kort. Den finska nationella kontaktpunkten för e-hälsa, Kela, ska säkerställa att endast förskrivningar som får expedieras i ett annat land överförs dit. En patient kan begära ersättning för läkemedel i efterhand i sitt hemland eller från Kela.12

Estland

För att en estniskt patient ska kunna hämta ut ett recept i ett annat land ska patientens identitet bekräftas med pass eller estniskt id-kort med ett estniskt personnummer. Patienten ska vara medborgare eller

12 www.kanta.fi/en/buying-medicines-with-an-overseas-prescription (hämtad 21-12-10).

ha uppehållstillstånd i Estland. Patientens samtycke krävs inte för att läkemedlet ska kunna hämtas ut i ett annat land i EES, men patienten kan motsätta sig utbyte av läkemedel. Läkemedlets generiska namn används i regel på receptet och användande av läkemedelsnamnet måste motiveras. Narkotiska läkemedel kan inte expedieras mot ett e-recept från EES i Estland.

Kroatien

Patientens samtycke krävs för utlandsexpediering. Det krävs också samtycke för att kunna hämta ut läkemedel åt någon annan. Patienter över 16 år anses kunna lämna samtycke. En patient från Kroatien identifieras med en fotolegitimation och ett hälsoförsäkringskort. För den patient som vill hämta ut läkemedel i Kroatien anges att de läkemedel som finns upptagna på en lista, Croatian Health Insurance Fund Basic Medicines List, kan lämnas ut. Utbyte av läkemedel får göras på kroatiska apotek. På ett apotek i Kroatien expedieras endast det förskrivna läkemedlet om receptet avser biologiska läkemedel, läkemedel med ett snävt terapeutiskt intervall eller läkemedel som administreras med medicintekniska produkter.

Portugal

Patientens samtycke krävs för expedieringar i ett annat land. Portugisiskt id-kort eller pass fungerar för identifiering för en patient från Portugal i ett annat EES-land. Patienten ska ange sitt hälsoförsäkringsnummer när patienten hämtar ut ett recept, samt ett särskilt recept-id som finns på receptet. Förskrivningen utfärdas i regel med det generiska namnet.

5. Kartläggning av läkemedelsprocessen

5.1. Inledning

Utredningen ska enligt sitt uppdrag komplettera beskrivningen i E-hälsomyndighetens rapport Reglering av personuppgiftsbehandling (S2018/04035/FS) av hur läkemedelsprocessen är tänkt att se ut när i Sverige förskrivna e-recept expedieras i andra EES-länder och när e-recept som förskrivs i andra EES-länder expedieras i Sverige med en analys och kartläggning som även inkluderar andra berörda aktörer, t.ex. öppenvårdsapotek, vårdgivare och myndigheter.

Det frivilliga samarbetet i nätverket för e-hälsa baseras på patientrörlighetsdirektivet. Samarbetet är också grunden för informationsutbytet som gör att e-recept som har utfärdats i ett EES-land kan expedieras i ett annat EES-land. I nätverket för e-hälsa används ofta begreppet ”tjänsten e-recept över landsgränser” för de förutsättningar och krav som gör informationsutbytet om e-recept möjligt. Utredningen använder också detta begrepp eftersom denna tjänst är utgångspunkten för den läkemedelsprocess som delbetänkandet avser.

Kartläggningen av läkemedelsprocessen inleds med en beskrivning av aktörerna och deras ansvar. Därefter redogör utredningen för tjänsten e-recept över landsgränser och hur informationen är tänkt att flöda i tjänsten. Utredningen utgår från hur tjänsten är utformad i dag utifrån nätverket för e-hälsas krav och E-hälsomyndighetens rapport. Utredningen beaktar även relevanta EU-rättsakter i kartläggningen.

5.2. Läkemedelsprocessen

5.2.1. En beskrivning av läkemedelsprocessen

Med läkemedelsprocessen menar utredningen det förfarandet att ett e-recept utfärdat i ett annat EES-land expedieras i Sverige och ett e-recept utfärdat i Sverige expedieras i ett annat EES-land genom tjänsten e-recept över landsgränser. Läkemedelsprocessen kan delas in i olika delprocesser 1) ordination, 2) läkemedelshantering, och 3) uppföljning.1 Ordination är ett beslut av behörig hälso- och sjukvårdspersonal avsett att påverka en patients hälsotillstånd genom en hälso- och sjukvårdsåtgärd.2 Kartläggningen avser endast ordinationer som leder till utfärdande av ett e-recept för godkända humanläkemedel som hämtas ut på ett apotek i ett annat EES-land än där det utfärdades. Endast sådana e-recept ingår i tjänsten e-recept över landsgränser i dag.3 Expediering av läkemedel på apotek är en central del i den andra delprocessen. Den tredje delprocessen avser uppföljning i ett brett perspektiv, inklusive uppföljning av expediering. Läkemedelsprocessen omfattar även det informationsutbyte som krävs för e-recept över landsgränser.

För att beskriva läkemedelsprocessen över landsgränser använder utredningen begreppet ”land A” för patientens försäkringsland där e-receptet utfärdas. Begreppet ”land B” är landet där patienten får hälso- och sjukvård, dvs. får sitt läkemedel utlämnat mot ett e-recept från land A.4

5.2.2. Den nationella läkemedelslistans roll

För läkemedelsprocessen kommer den nationella läkemedelslistan vara viktig. Den regleras av lagen (2018:1212) om nationell läkemedelslista som ska innehålla uppgifter om såväl förskrivna som expedierade läkemedel. E-recept utfärdade i Sverige registreras där. Det framgår dock inte uttryckligen att förskrivningen eller expedieringen ska ske i Sverige. När expediering av ett svenskt e-recept kom-

1 Läkemedelsprocessen beskrivs på liknande sätt i prop. 2017/18:223 och i SOU 2015:32, utan den gränsöverskridande aspekten. 2 Socialstyrelsens termbank. 3 Det finns även ytterligare begränsningar i tjänsten, t.ex. vilka läkemedel som omfattas och hur tjänsten kan användas som utredningen beskriver i följande avsnitt. 4 Försäkringsmedlemsland och behandlande medlemsland definieras i artikel 3 c och d i patientrörlighetsdirektivet.

mer att ske i ett annat EES-land avses uppgift om utlämnandet av läkemedlet registreras i den nationella läkemedelslistan. När en expediering kommer att ske i Sverige av ett e-recept från EES är inte förskrivningen, e-receptet, registrerad i den nationella läkemedelslistan, utan i ett annat EES-land. Det utländska registret avses användas för information vid expediering i Sverige och ska också uppdateras med uppgifter om utlämnandet av läkemedlet. Av lagen om nationell läkemedelslista framgår det inte att uppgifter om expedierade läkemedel måste vara kopplade till en förskrivning som finns registrerad i den nationella läkemedelslistan sedan tidigare. Det kan finnas ett behov av att registrera uppgifter om en expediering av ett recept i Sverige, även om receptet inte finns registrerat i den nationella läkemedelslistan från början, t.ex. e-recept från EES.5

5.2.3. Aktörerna i läkemedelsprocessen

Patienten 6

Läkemedelsprocessen kan sägas vara till för patienten. I Sverige kan patienten ordineras läkemedel på olika ställen, t.ex. vid besök på vårdcentraler, sjukhus eller hos tandläkare och inom kommunal hälso- och sjukvård. De flesta recept är e-recept, men läkemedel kan också förskrivas på receptblankett eller undantagsvis per telefon. Förskrivningen kan ske när förskrivaren och patienten möts fysiskt, men kan också ske via telemedicin eller ett digitalt möte.7 Ett recept kan förnyas utan möte med en förskrivare. I dag kan pappersrecept avsedda att hämtas ut i ett annat EES-land utfärdas i Sverige och pappersrecept utfärdade i EES expedieras här.

Patienten ansvarar bl.a. för att identifiera sig hos förskrivare och på apotek. Dessutom kan patienten sägas ansvara för att, med stöd av hälso- och sjukvården, förstå varför läkemedlen har blivit ordinerade, hur läkemedelsbehandlingen ska genomföras och att följa ordinationen.8 Vid resa inom EES behöver patienten känna till vad som gäller för läkemedelsbehandling, t.ex. genom att vända sig till de natio-

5 E-hälsomyndigheten, Reglering av personuppgiftsbehandling (S2018/04035/FS), s. 18 f. 6 Utredningen har valt att i huvudsak använda begreppet patient, men eftersom begreppet konsument också används, t.ex. i apoteksdatalagen (2009:367) och lagen (2009:366) om handel med läkemedel gör utredningen också det i de avsnitt den lagstiftningen analyseras. 7 Med telemedicin avses hälso- och sjukvård som bedrivs på distans med hjälp av informations- och kommunikationsteknik. När tekniken är digital kan begreppet digitala vårdtjänster användas. 8 Se vidare t.ex. prop. 2017/18:223 avsnitt 4.1 och 10.1, samt SOU 2015:32 s. 71 f.

nella kontaktpunkterna för information om utlandsvård eller e-hälsa, eller söka information via den gemensamma digitala ingången. I tjänsten e-recept över landsgränser kommer en patient från Sverige även att behöva ta ställning till om han eller hon vill lämna samtycke till personuppgiftshanteringen som krävs för att kunna hämta ut ett läkemedel i ett annat land. Särskilda överväganden när patienten är ett barn finns i avsnitt 7.7.3.

Hälso- och sjukvårdspersonal i Sverige

Hälso- och sjukvårdspersonalen ansvarar för att utföra sitt arbete i överensstämmelse med vetenskap och beprövad erfarenhet, enligt 6 kap. 1 § patientsäkerhetslagen (2010:659) (PSL). Behörighet och ansvar för sådan personal framgår främst i speciallagstiftning. Hälso- och sjukvårdspersonal har i regel tystnadsplikt, med vissa undantag definierade i lag. Bestämmelser om tystnadsplikt i det allmännas verksamhet finns främst i 25 kap. offentlighets- och sekretesslagen (2009:400) (OSL) och inom den privata hälso- och sjukvården, inklusive öppenvårdsapotek, i 6 kap. PSL. Förskrivare som varit, men inte längre är anställda av det allmänna, regleras inte uttryckligen i OSL. Tillsyn över behöriga förskrivare och expedierande personal ligger främst hos Inspektionen för vård och omsorg (IVO) enligt 7 kap. 1 § PSL. Fler myndigheter utövar tillsyn över olika delar i vården och Integritetsskyddsmyndigheten över personuppgiftsbehandlingen.

Hälso- och sjukvårdspersonal inom EES

Hälso- och sjukvårdspersonal definieras i patientrörlighetsdirektivet som läkare, sjuksköterska, tandläkare, barnmorska eller farmaceut i den mening som avses i direktiv 2005/36/EG om erkännande av yrkeskvalifikationer (yrkeskvalifikationsdirektivet),9 eller annan hälsooch sjukvårdspersonal som är begränsad till ett reglerat yrke enligt yrkeskvalifikationsdirektivet eller den som anses som hälso- och sjukvårdspersonal enligt lagstiftningen i land B (artikel 3 f).

I läkemedelsprocessen är behöriga förskrivare och expedierande personal viktiga aktörer. Endast behörig hälso- och sjukvårdsperso-

9 Europaparlamentets och rådets direktiv 2005/36/EG av den 7 september 2005 om erkännande av yrkeskvalifikationer.

nal i land B ska få tillgång till uppgifter om patienten i tjänsten e-recept över landsgränser. I Reglering av personuppgiftsbehandling anges bl.a. att det kan antas att hälso- och sjukvårdspersonal i EES har en tystnadsplikt, men att det inte kunnat utredas.10 I en säkerhetsspecifikation för tjänsten anges det att hälso- och sjukvårdspersonal ska ha tystnadsplikt enligt lag, myndighetsföreskrifter eller liknande.11

Behörig förskrivare i Sverige

Behörigheten att ordinera och förskriva läkemedel i Sverige styrs av förskrivningsrätten som omfattar rätten att utfärda recept. Förskrivningsrätten regleras främst i receptföreskrifterna. Läkare, tandläkare, tandhygienist, barnmorska och sjuksköterska får förskriva läkemedel för människor enligt vissa förutsättningar. Läkare har en generell rätt att förskriva läkemedel. Övriga yrkesgrupper har en begränsad förskrivningsrätt.

Den som har rätt att förordna läkemedel har också rätt att ordinera läkemedel enligt 5 kap. 1 § Socialstyrelsens föreskrifter och allmänna råd (HSLF-FS 2017:37) om ordination och hantering av läkemedel i hälso- och sjukvården. Den som ordinerar ett läkemedel ska säkerställa att ordinationen är lämplig med utgångspunkt i patientens behov, och bl.a. ta hänsyn till patientens läkemedelsanvändning. Ordinatörens tillgång till läkemedelsinformation om en patient är betydelsefull.12 Förskrivare, och i vissa fall annan hälso- och sjukvårdspersonal, kan under olika förutsättningar få tillgång till uppgifter om patientens läkemedel i den nationella läkemedelslistan.

Förskrivningen regleras bl.a. i receptföreskrifterna och lagen (2002:160) om läkemedelsförmåner m.m. Förskrivare ska ange och registrera den information som krävs för förskrivning och journalföring enligt t.ex. patientdatalagen (2008:355) (PDL) och Socialstyrelsens föreskrifter och allmänna råd (HSLF-FS 2016:40) om journalföring och behandling av personuppgifter i hälso- och sjukvården.

10 E-hälsomyndigheten, Reglering av personuppgiftsbehandling (S2018/04035/FS), s. 48. 11 DG SANTE, Patient Summary and ePrescription eHDSI Security Services Specification, s. 14. https://ec.europa.eu/cefdigital/wiki/download/attachments/37752830/eHDSI_Security_Ser vices_Specification_v5.0.0_RC.doc?version=2&modificationDate=1602827374970&api=v2 (hämtad 2021-09-20). 12SOU 2015:32 s. 278 och prop. 2017/18:223 s. 156.

Definitioner av vårdgivare, behörig förskrivare och recept i EES

Med vårdgivare avses i patientrörlighetsdirektivet den som lagligen bedriver hälso- och sjukvård i ett medlemsland (artikel 3 g). Recept definieras som en ordination av ett läkemedel som utfärdas av någon med ett reglerat vårdyrke enligt yrkeskvalifikationsdirektivet eller som är behörig enligt nationell rätt (artikel 3.1 k). E-recept definieras av nätverket för e-hälsa som en elektronisk förskrivning av läkemedel utfärdad av behörig förskrivare.13

Vårdgivare i Sverige

Hälso- och sjukvård definieras som åtgärder för att medicinskt förebygga, utreda och behandla sjukdomar och skador, sjuktransporter och omhändertagande av avlidna, enligt 2 kap. 1 § hälso- och sjukvårdslagen (2017:30)(HSL). Vårdgivare kan vara en statlig myndighet, region, kommun, annan juridisk person eller enskild näringsidkare som bedriver hälso- och sjukvårdsverksamhet i både privat- och offentligt finansierad verksamhet (1 kap. 3 § PSL). Med hälso- och sjukvård avses även verksamhet inom detaljhandel med läkemedel (1 kap. 2 § PSL). Vårdgivare som är leverantörer av en samhällsviktig tjänst är skyldiga att anmäla och identifiera sig till IVO enligt det regelverk som genomför NIS-direktivet. Sådana leverantörer ska bl.a. rapportera incidenter i nätverk och informationssystem.

Staten ansvarar för den övergripande hälso- och sjukvårdspolitiken. Regioner och kommuner kan vara vårdgivare, men kan också avtala med andra aktörer att utföra hälso- och sjukvård. Det finns också privata vårdgivare utan sådana avtal. Hälso- och sjukvårdslagen är en ramlag som bl.a. anger att det ska finnas en ansvarig för hälso- och sjukvårdsverksamheten (4 kap. 2 §).

Hur personuppgifter behandlas i hälso- och sjukvården regleras förutom i dataskyddsförordningen bl.a. i PDL. Personuppgifter får som huvudregel behandlas om det behövs för administration som rör patienter och som syftar till att ge vård i enskilda fall eller som annars föranleds av vård i enskilda fall (2 kap. 4 § PDL). Den personuppgiftsbehandling som sker vid hälso- och sjukvårdens direktåt-

13 eHealth Network, Guideline on the electronic exchange of health data under Cross border

directive 2011/24/EU ePrescriptions and eDispensations, version 2, 2016, s. 7.

komst till den nationella läkemedelslistan anses falla under PDL.14Vårdgivaren är personuppgiftsansvarig för den behandling av personuppgifter som denne utför (2 kap. 6 § PDL).

Regioner och kommuner

Regionerna ansvarar för att genomföra hälso- och sjukvård inom sitt område, t.ex. vård som kräver insats av en läkare (12 kap. 3 § HSL). Vidare ska regionerna erbjuda en god hälso- och sjukvård åt personer som är bosatta inom regionen, och åt dem som utan att vara bosatta där har rätt till vårdförmåner i Sverige vid sjukdom och moderskap enligt vad som följer av förordningen 883/2004 (8 kap. 1 och 2 §§ HSL). Som hemregion kan en region vara ansvarig för kostnaden för vård utomlands, se vidare kapitel 6.

Kommunerna ansvarar bl.a. för att erbjuda en god hälso- och sjukvård för vissa områden, såsom hemsjukvård, rehabilitering och hjälpmedel för personer i vård- och omsorgsboenden. I kommunal hälso- och sjukvård finns det förskrivare.

Öppenvårdsapotek i Sverige

Detaljhandel med läkemedel avser försäljning till konsument. Endast den som har tillstånd från Läkemedelsverket får bedriva detaljhandel med receptbelagda läkemedel till konsument. En sådan inrättning kallas öppenvårdsapotek. I öppenvårdsapotekens grunduppdrag ingår att verka för en god och säker läkemedelsanvändning genom att säkerställa att konsumenten så snart det kan ske får tillgång till förordnade läkemedel och varor, ge sakkunnig och individuellt anpassad information och rådgivning, och genomföra och upplysa om utbyte av läkemedel. Den som bedriver apoteksverksamhet är vårdgivare enligt definitionen i PSL.

Öppenvårdsapotekens personuppgiftsbehandling regleras förutom i dataskyddsförordningen, i apoteksdatalagen (2009:367). Den personuppgiftsbehandling som sker vid direktåtkomst till uppgifter i den nationella läkemedelslistan anses omfattas av apoteksdatalagen.15

14Prop. 2017/18:223 s. 82. 15Prop. 2017/18:223 s. 82.

För personuppgiftsbehandling som utförs på öppenvårdsapoteken är tillståndshavaren personuppgiftsansvarig (7 § apoteksdatalagen).

Expedierande personal och apotek eller motsvarande i EES

Detaljhandel med läkemedel till patient är i mycket liten utsträckning harmoniserad i EU och kan därför se olika ut. Utredningen har valt att använda begreppet ”apotek eller motsvarande i EES” eftersom det kan finnas andra institutioner än apotek som får expediera recept i övriga länder i EES.16 När det gäller tystnadsplikt vid behandling av känsliga uppgifter vid en expediering, så kan de deltagande länderna antas ha en reglering som förutsätter tystnadsplikt. Ett tiotal länder i nätverket för e-hälsa har beskrivit hur tystnadsplikten regleras för expedierande personal i respektive land.17 Endast behörig hälso- och sjukvårdspersonal ska få tillgång till uppgifter om patienternas hälsa när e-recept från ett annat land expedieras, enligt nätverkets krav.18

Expedierande farmaceut på öppenvårdsapotek i Sverige

Farmaceut är enligt lagen (2009:366) om handel med läkemedel den som är behörig att utöva yrke som apotekare eller receptarie enligt 4 kap. 4 § PSL. När Sverige deltar i tjänsten e-recept över landsgränser kommer farmaceuten på ett öppenvårdsapotek ansvara bl.a. för att hämta uppgifter från ett annat EES-land via den nationella kontaktpunkten för e-hälsa, identifiera patienten, expediera och lämna ut läkemedel mot ett e-recept. I Sverige kan e-recept från EES inte expedieras i dag, utan endast utländska pappersrecept kan expedieras.

Vid expediering ska farmaceuten så långt det är möjligt förvissa sig om att patienten kan använda läkemedlet på rätt sätt genom individuellt anpassad information och rådgivning. Farmaceuten ska även ge sakkunnig och omsorgsfull vård, upplysa och samråda med patienten (13 kap. 1 § läkemedelslagen [2015:315]). Farmaceuten ska innan ett läkemedel lämnas ut göra en helhetskontroll som bl.a. innebär att säkerställa att det läkemedel som ska lämnas ut motsvarar det

16 Begreppet används även i 4 kap. 1 § 2 receptföreskrifterna. 17 E-hälsomyndigheten har för utredningen låtit göra en enkät, Suvery – Binding Secrecy, inom nätverket för e-hälsa, e-post E-hälsomyndigheten, 2021-07-12. 18 Det framgår bl.a. av kapitel II, avsnitt II.1.1.3 i e-hälsoavtalet.

som förordnats, att alla övriga uppgifter som ska ingå i en expediering har utförts på rätt sätt, att receptet är korrekt utfärdat och att bedöma om expedieringen är lämplig med hänsyn till patienten för att t.ex. upptäcka interaktioner mellan läkemedel. För helhetskontrollen krävs bl.a. information om patientens recept och vilka läkemedel patienten tidigare har fått utlämnade (8 kap. 7, 11 och 31 §§ receptföreskrifterna).

En farmaceut har behörighet att expediera recept. Vissa delar av expedieringen, t.ex. helhetskontrollen, får endast utföras av en farmaceut. Om det inte särskilt anges i lag eller i receptföreskrifterna att en farmaceut ska utföra en viss uppgift får annan apotekspersonal med tillräcklig kompetens och erfarenhet utföra uppgifter. Studenter under verksamhetsförlagd utbildning får också utföra uppgifter vid expediering, men inte självständigt genomföra helhetskontrollen. Apotekspersonal som expedierar läkemedel eller som lämnar råd och upplysningar är hälso- och sjukvårdspersonal (1 kap. 4 § 4 PSL), liksom även den som har legitimation för ett yrke inom hälso- och sjukvården som apotekare och receptarie (1 kap. 4 § 1 och 4 kap. 4 § PSL). För dem gäller tystnadsplikt enligt 6 kap. PSL.

E-hälsomyndigheten

Enligt 1 § förordningen (2013:1031) med instruktion för E-hälsomyndigheten ska myndigheten bl.a. ansvara för de register och itfunktioner som öppenvårdsapotek och vårdgivare behöver ha tillgång till. Det avser bl.a. den nationella läkemedelslistan, ett produkt- och artikelregister för läkemedel och vissa andra produkter (VARA), samt legitimationsregistret som innehåller uppgifter om behörig hälso- och sjukvårdspersonal, inklusive legitimerade farmaceuter i Sverige (FORS). FORS används för validering av recept och kontroll av behörighet och förskrivningsrätt vid expediering, behörighetskontroll, samt för statistikändamål. Uppgifterna i FORS hämtas från Socialstyrelsens register över legitimerad hälso- och sjukvårdspersonal (HOSP-registret).

E-hälsomyndigheten är nationell kontaktpunkt för e-hälsa och har regeringens uppdrag att fortsätta etableringen och förvaltningen av den tekniska infrastruktur som krävs för att expediera e-recept från

ett annat EES-land i Sverige och svenska e-recept i annat EU-land.19Myndigheten har under flera år aktivt medverkat för att e-recept över landsgränser ska bli möjligt. I samverkan med flera apoteksaktörer tar myndigheten fram ett webbgränssnitt för öppenvårdsapotekens expediering av e-recept från ett annat EES-land. E-hälsomyndigheten ansvarar även för informationen i den gemensamma digitala ingången inom det område som kallas ”köpa receptbelagda läkemedel i ett annat medlemsland än där receptet utfärdades”.20

Läkemedelsverket

Läkemedelsverket ska bl.a. verka för säkra och effektiva läkemedel av god kvalitet och för god läkemedelsanvändning, samt att godkänna läkemedel för försäljning i Sverige. Läkemedelsverket tar fram föreskrifter inom myndighetens verksamhetsområde, om bl.a. förskrivning, expediering och utlämnande av läkemedel, samt förskrivningsrätt. Myndigheten utövar tillsyn över bl.a. öppenvårdsapotek, medicinteknik och medicinska informationssystem.

Tandvårds- och läkemedelsförmånsverket (TLV)

TLV ska bl.a. följa och analysera utvecklingen på läkemedels-, apoteks- och tandvårdsområdena, samt det medicintekniska området. TLV beslutar även om vilka läkemedel och förbrukningsartiklar som ska ingå i läkemedelsförmånerna samt vilka inköps- och försäljningspriser som öppenvårdsapoteken ska tillämpa för dessa. Vidare tar myndigheten fram föreskrifter om t.ex. prissättning av läkemedel och andra varor som ingår i läkemedelsförmånerna samt om utbyte av läkemedel på öppenvårdsapotek. TLV utövar tillsyn över efterlevnaden av lagen om läkemedelsförmåner m.m. och de föreskrifter och villkor som har meddelats i anslutning till lagen, bl.a. följsamheten till utbytesregelverket och till de av TLV fastställda priserna på läkemedel inom läkemedelsförmånerna.

19 Regleringsbrev för budgetåret 2021 avseende E-hälsomyndigheten (S2021/06820). 20 www.ehalsomyndigheten.se/other-languages/english/eu/ (hämtad 21-10-24).

Socialstyrelsen

Socialstyrelsen är nationell kontaktpunkt för medborgare från EES som vill söka vård i Sverige enligt patientrörlighetsdirektivet och genomförandedirektivet 2012/52/EU. Socialstyrelsens uppdrag omfattar även bl.a. epidemiologiska undersökningar, forskning, statistik, uppföljning, utvärdering och kvalitetssäkring inom hälso- och sjukvårdsområdet. Myndigheten ansvarar också för bl.a. HOSP-registret och läkemedelsregistret.

Inspektionen för vård och omsorg (IVO)

IVO utövar tillsyn över hälso- och sjukvård samt hälso- och sjukvårdspersonal enligt PSL. Som en del av tillsynen prövar IVO klagomål mot hälso- och sjukvården och dess personal. Myndigheten utövar även tillsyn över hälso- och sjukvårdens informationssystem enligt NIS-direktivet.

Försäkringskassan

Försäkringskassan har ett omfattande ansvar för ärendehantering, beslut och information i fråga om utlandsvård, t.ex. för patientrörlighetsdirektivet och förordningen 883/2004. Myndigheten utfärdar också föreskrifter och allmänna råd. Försäkringskassan är även kontaktpunkt enligt patientrörlighetsdirektivet för personer bosatta i Sverige som vill söka vård i övriga EES-länder och för genomförandedirektivet 2012/52/EU, se även avsnitt 6.2.5 för Försäkringskassans roll.

Myndigheten för digital förvaltning (DIGG)

DIGG samordnar och stöder den förvaltningsgemensamma digitaliseringen i syfte att göra den offentliga förvaltningen mer effektiv och ändamålsenlig. DIGG stöder också offentliga organs anslutning till eIDAS-infrastrukturen och samordnar arbetet med den gemensamma digitala ingången. Vidare ansvarar DIGG för de svenska förbindelsepunkterna (noderna) för gränsöverskridande e-identifiering i enlighet med eIDAS-förordningen. DIGG är också nationell samordnare för webbtillgänglighetsdirektivet.

Integritetsskyddsmyndigheten (IMY)

IMY är Sveriges nationella tillsynsmyndighet för behandling av personuppgifter och granskar att reglerna på dataskyddsområdet följs, framför allt genom tillsyn. IMY ger också vägledning och stöd till andra myndigheter, företag och allmänheten och bidrar till en enhetlig tillämpning av dataskyddsreglerna inom EU.

5.3. Tjänsten e-recept över landsgränser

Det finns flera situationer där en patient behöver läkemedel i ett annat EES-land, t.ex. vid arbete eller resa. Det är möjligt att hämta ut ett läkemedel förskrivet på ett e-recept genom tjänsten e-recept över landsgränser. Sådana recept kan vara utfärdade vid ett vårdtillfälle i patientens hemland eller t.ex. via en digital vårdtjänst där patienten befinner sig utomlands och förskrivaren i patientens hemland, land A. Beskrivningen av tjänsten i detta kapitel baseras främst på rapporten Reglering av personuppgiftsbehandling, styrande dokument och krav som tagits fram inom nätverket för e-hälsa utifrån aktuella användningsfall för tjänsten e-recept över landsgränser.21

Patientrörlighetsdirektivet är grunden för erkännande av e-recept inom EES. Direktivets förutsättningar bör gälla som för annan gränsöverskridande vård.22 Läkemedel expedieras i regel enligt det regelverk som gäller i land B, där apoteket finns.23 Det kan noteras att den svenska läkemedelsförsäkringen endast gäller vid expedieringar i Sverige.

Det frivilliga samarbetet om e-recept innebär att bestämmelserna i artikel 11 i patientrörlighetsdirektivet och genomförandedirektivet 2012/52/EU har anpassats för tjänsten e-recept över landsgränser, t.ex. omfattas inte medicinska hjälpmedel av tjänsten som de gör i patientrörlighetsdirektivet. Vidare innebär principen om ömsesidigt erkännande av recept även att medlemsländerna har möjlighet att komma överens om att recept kan erkännas utan att innehålla de upp-

21 Styrande dokument, krav, specifikationer och andra beskrivningar av tjänsten finns samlade på en ny webbplats som lanserades hösten 2021 My Health @ EU – eHealth Digital Service

Infrastructure (eHDSI) Home, under en folder som heter eHDSI Operations Home. Det krävs

en EU-inloggning för webbplatsen som alla kan skaffa. https:/ /webgate.ec.europa.eu/fpfis/ wikis/display/EHDSI/OPERATIONS+Home (hämtad 2012-12-08). 22 För överväganden vid genomförandet av patientrörlighetsdirektivet, se prop. 2012/13:150 och prop. 2015/16:139. 23 Artikel 11.1 b andra stycket i patientrörlighetsdirektivet.

gifter som anges i genomförandedirektivet 2012/52/EU (skäl 9). Medlemsländerna kan även ingå avtal sinsemellan (artikel 10.3 i patientrörlighetsdirektivet) och e-hälsoavtalet kan ses som ett sådant avtal.24

Eftersom samarbetet baseras på frivillighet är det enligt utredningens bedömning ibland oklart hur bestämmelserna i patientrörlighetsdirektivet och genomförandedirektivet är avsedda att tillämpas i tjänsten. Klart är dock att medlemsländerna kommer överens om gemensamma krav inom nätverket för e-hälsa. Medlemsländerna åtar sig att följa dessa krav för att ansluta sig till tjänsten. Kraven finns inte i någon sammanhållen rättsakt, utan är resultatet av ett pågående arbete. Nationella förutsättningar kan också få betydelse för ländernas deltagande i tjänsten, t.ex. vilka recept som kan förskrivas elektroniskt i ett medlemsland.

5.3.1. Nätverket för e-hälsa

EU ska stödja och främja samarbete och utbyte av information inom ramen för det frivilliga nätverket för e-hälsa som baseras på artikel 14 i patientrörlighetsdirektivet och Kommissionens genomförandebeslut 2019/1765 av den 22 oktober 2019 om regler för inrättande, förvaltning och drift av ett nätverk av nationella myndigheter med ansvar för e-hälsa och om upphävande av genomförandebeslut 2011/890/EU (nedan genomförandebeslutet). Nätverket för e-hälsa arbetar för gränsöverskridande informationstjänster som utbyte av e-recept och patientöversikter.25

Syftet med samarbetet är främst att skapa en infrastruktur för informationsutbyte som gör att hälsouppgifter kan förmedlas över landsgränser. Medlemsländerna kan välja att delta i samarbetet om e-recept och/eller patientöversikter, antingen som land A, land B eller båda. Samarbetet i nätverket för e-hälsa bygger på tillit mellan länderna och för att uppnå det behövs en teknisk, semantisk, organisatorisk och juridisk interoperabilitet mellan länderna och de nationella system som ska användas. Kommissionen stöder arbetet och agerar som medordförande på nätverkets möten. Medlemsländerna i EU

24 eHealth Network, 9th eHealth Network meeting Cover note by Secretariat, den 25 maj 2016, s. 1 och Summary minutes9th Meeting of the eHealth Network, den 7 juni 2016, s. 3. 25 En patientöversikt är en sammanställning av viktig journalinformation som delas i vårdsammanhang för att kunna erbjuda patienten en god och säker vård.

deltar och Norge deltar som observatör. Länder från EES, Efta och kandidatländer kan vara observatörer.26

Nätverket för e-hälsa har beslutat om ett antal expert- och arbetsgrupper. De nationella kontaktpunkterna för e-hälsa finns representerade i medlemsländernas expertgrupp för e-hälsa, eHealth Member State Expert Group (eHMSEG) som definierar och beslutar om genomförandet av e-hälsotjänsterna. eHealth Operational Management Board övervakar tillhandahållandet av tjänster samt fattar taktiska och operativa beslut om den gemensamma digitala infrastrukturen. Socialdepartementet deltar i nätverket för e-hälsa för Sveriges del och E-hälsomyndigheten deltar i egenskap av nationell kontaktpunkt för e-hälsa och expertmyndighet. eHMSEG Legal Work Group (LWG) består av jurister från deltagande länder. E-hälsomyndigheten och andra myndigheter deltar i flera av arbets- och expertgrupperna.

5.3.2. Nationell kontaktpunkt för e-hälsa

Varje medlemsland ska utse endast en nationell kontaktpunkt för e-hälsa som ska ansvara för de organisatoriska och tekniska förutsättningarna för tillhandahållande av gränsöverskridande informationstjänster för e-hälsa under medlemslandets ansvar. Dessa kontaktpunkter ska anslutas till varandra och all information som utbyts av medlemsländerna ska gå genom dem. Varje kontaktpunkt för e-hälsa ska vara ansluten till apotek, förskrivare och registerhållare i det egna landet. E-hälsomyndigheten är Sveriges kontaktpunkt för e-hälsa.27 Utländska apotek ska inte vara direkt anslutna till E-hälsomyndigheten, utan informationen förmedlas till dessa apotek eller motsvarande via den utländska kontaktpunkten för e-hälsa.

5.3.3. Informationsutbytet om e-recept över landsgränser

Informationsutbytet om e-recept över landsgränser inleds med att en patient får ett e-recept förskrivet i land A. Där registreras e-receptet. När patienten från land A vill hämta ut sitt läkemedel land B,

26 Artikel 5.9 i genomförandebeslutet och artikel 9 i eHealth Network Rules of Procedure. Utredningen utgår från EES, se avsnitt 2.2. 27 Regleringsbrev för budgetåret 2021 avseende E-hälsomyndigheten (S2021/06820).

måste information skickas från land A av den nationella kontaktpunkten för e-hälsa i land A, via den nationella kontaktpunkten i land B, till ett apotek eller motsvarande i land B där patienten är. Detta informationsutbyte kommer att ske genom att ett antal frågor och svar utväxlas succesivt mellan apoteket i land B och kontaktpunkten för e-hälsa i land A, via kontaktpunkten för e-hälsa i land B.

Två situationer är aktuella, dels att Sverige kommer att vara land A när svenska e-recept expedieras inom EES, dels att Sverige kommer att vara land B när e-recept från EES expedieras på svenska öppenvårdsapotek. Det krävs en nationell infrastruktur för att E-hälsomyndigheten som kontaktpunkt för e-hälsa ska kunna förmedla information mellan den utländska kontaktpunkten för e-hälsa, förskrivarna, det nationella registret och apoteken. Informationen mellan de nationella kontaktpunkterna för e-hälsa förmedlas genom en infrastruktur, Trans European Services for Telematics between Administrations (TESTA), som kommissionen ansvarar för, se vidare nästa avsnitt.

Figur 5.1 E-recept från Sverige expedieras i ett annat EES-land

Utländskt apotek

Utländsk kontaktpunkt

Svensk kontaktpunkt E-hälsomyndigheten

Land B Sverige som land A

TESTA

Svensk patient

Svensk förskrivare

Figur 5.2 E-recept från ett annat EES-land expedieras i Sverige

Infrastrukturen för e-hälsotjänster

E-hälsotjänsterna kallas inom samarbetet eHealth Digital Services och infrastrukturen för dessa gränsöverskridande e-hälsotjänster, eHDSI. Infrastrukturen baseras på ett pilotprojekt som kallades Smart Open Services for European Patients, epSOS, som pågick mellan åren 2008–2014 för utbyte av information om patientöversikter och e-recept. Projektet syftade till att utveckla och utvärdera en infrastruktur för gränsöverskridande interoperabilitet mellan system för elektronisk patientinformation.

Kommissionen tar tillsammans med medlemsländerna fram eHDSI som består av sådana kärntjänster och bastjänster som avses i förordningen 283/2014 om riktlinjer för transeuropeiska nät på området för telekommunikationsinfrastruktur.28 Förenklat ska kommissionen ansvara för kärntjänsten, det säkra nätverket TESTA. De nationella kontaktpunkterna för e-hälsa ansvarar för bastjänsterna som kopplar samman den nationella infrastrukturen.29

28 Europaparlamentets och rådets förordning 283/2014 av den 11 mars 2014 om riktlinjer för transeuropeiska nät på området för telekommunikationsinfrastruktur och om upphävande av beslut nr 1336/97/EG. Förordningen har upphävts genom Europaparlamentets och rådets förordning (EU) 2021/1153 av den 7 juli 2021 om inrättande av Fonden för ett sammanlänkat Europa och om upphävande av förordningarna (EU) nr 1316/2013 och (EU) nr 283/2014. 29 Skäl 7 och artikel 6.1 d i genomförandebeslutet.

Svenskt

öppenvårdsapotek

Svensk kontaktpunkt E-hälsomyndigheten

Utländsk

kontaktpunkt e-hälsa

Sverige som land B Land A

TESTA

Utländsk

patient

Utländsk

förskrivare

Ansvaret för personuppgifter inom nätverket för e-hälsa

Enligt genomförandebeslutet ska medlemsländerna och deras utsedda företrädare betraktas som personuppgiftsansvariga för de personuppgifter som de behandlar genom eHDSI och ska fördela ansvarsområdena mellan sig på ett tydligt och transparent sätt (artikel 7.1). De bör tillsammans fastställa syftet med och metoderna för behandling av personuppgifter genom eHDSI, därför är de personuppgiftsansvariga. De personuppgiftsansvarigas respektive ansvarsområde bör definieras separat (skäl 20). Kommissionen kan betraktas som personuppgiftsbiträde (artikel 7.2). Personuppgiftsbiträdesavtalet finns i bilagan till genomförandebeslutet och innebär bl.a. att kommissionen ska förvalta kärntjänsterna i eHDSI och fullgöra sina skyldigheter som personuppgiftsbiträde. Kommissionen ska inte ha tillgång till personuppgifter om patienter som behandlas genom infrastrukturen i e-hälsotjänsterna, utan ska behandla krypterade personuppgifter för medlemsländernas räkning mellan de nationella kontaktpunkterna för e-hälsa.

Fråga om gemensamt personuppgiftsansvar

Om och i vilken omfattning det finns ett gemensamt personuppgiftsansvar för de personuppgifter som behandlas genom eHDSI hos deltagande medlemsländer är under diskussion. LWG har även frågat Europeiska dataskyddsstyrelsen om detta och beskrev då att de deltagande länderna har konsulterat respektive lands tillsynsmyndighet som inte hittat någon gemensam hållning. Europeiska dataskyddsstyrelsen svarade att det är för de aktörer som behandlar personuppgifter att bestämma om det är ett gemensamt eller ensamt personuppgiftsansvar för behandlingen, enligt ansvarsprincipen i artikel 5.2 i dataskyddsförordningen.30 Europeiska dataskyddsstyrelsen uttalade sig alltså inte om hur frågan om personuppgiftsansvaret ska bedömas. Utredningen utgår därför från att varje medlemsland anses ensamt personuppgiftsansvarig för respektive del av behandlingen.

30 Brev från Europeiska dataskyddstyrelsen till eHMSEG Legal Work Group, Bryssel, (2021-06-30), ref: OUT2021-0115.

Informationssäkerhet i tjänsten e-recept över landsgränser

För överföring i TESTA krävs att E-hälsomyndigheten är ansluten till Swedish Government Secure Intranet (SGSI) för säker och krypterad kommunikation mellan myndigheter i Sverige och i Europa. Myndigheten för samhällsskydd och beredskap är systemägare för SGSI. För att skapa tillit i tjänsten har man inom nätverket för e-hälsa kommit överens om bl.a. följande

  • ett e-hälsoavtal som anger krav på bl.a. kontaktpunkterna för e-hälsa och kriterier för deltagande i informationsutbytet,
  • att e-hälsoavtalet ställer krav på en säkerhetsnivå i fråga om inbyggt dataskydd och dataskydd som standard, sekretess, integritet, autenticitet, tillgänglighet, oförnekbarhet, kryptering och andra åtgärder för datasäkerhet och kontrollmekanismer i enlighet med dataskyddsförordningen och eIDAS-förordningen,
  • att e-hälsoavtalet kräver identifiering och autentisering av hälso- och sjukvårdspersonal och att endast sådan behörig personal i land B kan få del av uppgifter om patientens hälsa,
  • att informationen ska gå i de säkra nätverken SGSI/TESTA,
  • gemensamma tester,
  • en kvalitetsgranskning ledd av kommissionen som involverar stora delar av de nationella kontaktpunkterna för e-hälsas processer och kvalitetsarbete, och
  • att nätverket för e-hälsa godkänner anslutning till tjänsten för de medlemsländer som vill delta.

Det finns även andra regelverk som skulle kunna bedömas tillämpliga för den nationella infrastrukturen i tjänsten t.ex. reglerna för ett nationellt medicinskt informationssystem i Läkemedelsverkets föreskrift (LVFS 2014:7) om tillämpning av lagen om medicintekniska produkter på nationella medicinska informationssystem eller EU:s regelverk för medicintekniska produkter.

5.3.4. Information till patient samt hälso- och sjukvårdspersonal

För en effektiv och patientsäker process behövs tillgänglig information om förutsättningarna för tjänsten, t.ex. genom de nationella kontaktpunkterna och de relevanta nationella myndigheterna. På kommissionens webbplats finns information riktad både till invånare och hälso- och sjukvårdspersonal.31 Varje medlemsland ska också publicera landets förutsättningar för tjänsten, hur personuppgifter behandlas och vem som är personuppgiftsansvarig. På så sätt ska den registrerade få möjlighet att få en samlad information på sitt eget språk om behandlingen hos de olika aktörer som är inblandade i expedieringen av e-recept.

Ditt Europa/Your Europe är en del av den gemensamma digitala ingången och innehåller information om att hämta ut läkemedel i andra länder. Aktuella myndigheter och andra aktörer ansvarar för att informationen uppfyller webbtillgänglighetsdirektivet och SDGförordningens krav.

Inom nätverket för e-hälsa har man tagit fram en mall för den s.k. Patient Information Notice (PIN) som syftar till att uppfylla kraven på information om behandling av personuppgifter som ska lämnas till patienten enligt artikel 13 och 14 i dataskyddsförordningen. PIN ska lämnas senast i samband med personuppgiftsbehandlingen. Motsvarande mall för information till hälso- och sjukvårdspersonal har nätverket för e-hälsa också tagit fram, s.k. Healthcare Professional Information Notice (HPIN). Informationen i mallen får anpassas efter respektive lands lagstiftning.

5.3.5. Nätverket för e-hälsas krav för att delta i tjänsten

För att stödja arbete i nätverket för e-hälsa har tre gemensamma åtgärder s.k. joint actions, genomförts: eHealth Government Initiative, Joint Action to support the eHealth Network och eHealth Action. Åtgärderna är EU-övergripande projekt. Nätverket för e-hälsa har antagit ett stort antal vägledande dokument för ett säkert informationsutbyte, ofta baserat på de gemensamma åtgärderna. Dessa förutsättningar och krav syftar till att informationsutbytet om e-recept

31 ”MyHealth@EU” – Flyer addressed to patients and health professionals | Folkhälsa (europa.eu) (h ämtad 21-12-09).

över landsgränser ska vara möjligt. Nätverkets styrande dokument har hittills inte funnits publicerade samlat, vilket påverkar förutsättningarna att få en överblick av det omfattande arbetet som utvecklas efter hand. Dessutom pågår arbete med informationshanteringen och dokument flyttas. I delbetänkandet finns det därför i regel inte länkar till specifika dokument. På eHDSI nya webbplats MyHealth@EU –

eHealth Digital Service Infrastructure (eHDSI) Home32 finns om-

fattande information om e-hälsotjänsterna. Webbplatsen kräver en EU-inloggning som alla kan skaffa. På den webbplatsen under

OPERATIONS Home/eHDSI SERVICE OFFERING beskrivs

användningsfallen under rubriken eP/eD use case, omfattningen av tjänsten under eHDSI Scope and Business Goals och detaljerade krav beskrivs under rubriken eHDSI Requirements Catalogue. De mest centrala dokumenten finns även publicerade av kommissionen.33

Krav på kvalitetsgranskning

De deltagande länderna måste först genomgå en kvalitetsgranskning, en s.k. initial compliance check, som kommissionen leder med stöd av medlemsländerna. Granskningen ska säkerställa att kontaktpunkten för e-hälsa uppfyller aktuella krav på processer och dokumentation på en rad områden såsom organisation, rättsliga förutsättningar, interoperabilitet, semantik och teknik. Därefter beslutar nätverket för e-hälsa om deltagande land uppfyller kraven och får driftsätta tjänsten via den nationella kontaktpunkten för e-hälsa.34 Innan nätverket fattar ett sådant beslut krävs ett undertecknande av e-hälsoavtalet, se avsnittet nedan.

32 https://webgate.ec.europa.eu/fpfis/wikis/display/EHDSI/OPERATIONS+Home (hämtad 21-12-10). 33 https://ec.europa.eu/health/ehealth/electronic_crossborder_healthservices_sv (hämtad 2021-12-03). 34 Artikel 5 i genomförandebeslutet.

Krav som följer av e-hälsoavtalet

E-hälsoavtalet35 ska undertecknas för att en kontaktpunkt för e-hälsa ska bli godkänd av nätverket för e-hälsa och landet ska kunna delta i e-hälsotjänsterna. Det ska även fastställas att kontaktpunkten följer avtalet och de relevanta processerna samt kriterierna i tillhörande dokument i bilagan till avtalet.36 Därigenom avses avtalsparterna följa kriterierna i avtalet.37 Syftet med e-hälsoavtalet är att skapa rättslig stabilitet och interoperabilitet. Vidare har det angivits finnas ett behov av ett avtal eftersom samarbetet baseras på frivillighet och inte tvingande EU-rätt.38 E-hälsoavtalet ska undertecknas enligt nationell rätt och vad det kan innebära i Sverige analyseras i avsnitt 13.3.1.

E-hälsoavtalet har en bilaga som hänvisar till ett antal dokument som ytterligare beskriver kraven, vilka hänvisar till andra dokument och processer. Dokumenten i bilagan är bindande och har varierande karaktär, t.ex. diskussionsunderlag, riktlinjer och detaljerade specifikationer. Dessa dokument och hänvisningarna i dem är föråldrade i vissa delar, men i skrivande stund pågår arbete med en uppdatering. E-hälsoavtalet och kraven i bilagan kan ändras.39

E-hälsoavtalet ställer inte i sig krav på ändringar i nationell rätt utan parterna kan välja hur de ska uppfylla kraven i enlighet med nationell rätt och EU-rätten.40 Det ställer dock krav på bl.a. organisation, semantisk behandling, teknik, spårbarhet och säkerhet, samt hur informationen ska överföras och tas emot. Parterna åtar sig att identifiera och autentisera patient och hälso- och sjukvårdspersonal på ett otvetydigt sätt.41 Nätverket för e-hälsa har angett att identifiering av hälso- och sjukvårdspersonal i land B ska ske med tvåfaktorsautentisering. Det finns också bestämmelser om avtalsparternas civilrättsliga ansvar och skadeståndsansvar.42

E-hälsoavtalet innehåller även bestämmelser om personuppgiftsbehandlingen. De nationella kontaktpunkterna för e-hälsa ska uppnå

35 Agreement between National Authorities or National Organisations responsible for National

Contact Points for eHealth on the Criteria required for the participation in Cross-Border eHealth Information Services.

36 Kapitel III, avsnitt III 1.2.1 i e-hälsoavtalet. 37 Kapitel I, avsnitt I.3(3) i e-hälsoavtalet. 38 9th eHealth Network meeting, Cover note by Secretariat, den 25 maj 2016, s. 1 och Summary

minutes 9th Meeting of the eHealth Network, den 7 juni 2016, s. 3.

39 Kapitel III, avsnitt III.2 i e-hälsoavtalet. 40 Kapitel I, avsnitt I.3 i e-hälsoavtalet. 41 Kapitel II, avsnitt II.1.1.2 i e-hälsoavtalet. 42 Kapitel II, avsnitt II.1.2 i e-hälsoavtalet.

en säkerhetsnivå i enlighet med dataskyddsförordningen och eIDASförordningen i fråga om inbyggt dataskydd och dataskydd som standard, sekretess, integritet, autenticitet, tillgänglighet, oförnekbarhet, kryptering och andra åtgärder för datasäkerhet och kontrollmekanismer, med beaktande av processerna och kriterierna i avtalet.43 Det finns också krav på spårbarhet m.m.44 Enbart behörig hälso- och sjukvårdspersonal i land B ska kunna ta del av uppgifter om patientens hälsa.45

E-hälsoavtalet innehåller åtgärder som avser att stärka skyddet för integriteten vid informationsutbytet, men innehåller inte den rättsliga grunden för personuppgiftsbehandlingen. Det innebär bl.a. att E-hälsomyndigheten inte kan undgå sitt ansvar och sina skyldigheter som personuppgiftsansvarig med hänvisning till avtalet. Myndigheten måste därför bedöma om tillämpningen av de beslut som nätverket tar är förenliga med dataskyddsförordningen.46

Artikel 29-gruppen var en oberoende europeisk arbetsgrupp som behandlade frågor om integritetsskydd och skydd av personuppgifter fram till införandet av dataskyddsförordningen och som nu ersatts av Europeiska dataskyddsstyrelsen. Artikel 29-gruppen lämnade ett yttrande om e-hälsoavtalet, men hade inga avgörande invändningar. I yttrandet anges bl.a. att enbart patientrörlighetsdirektivet och e-hälsoavtalet inte i sig synes uppfylla kraven på rättslig grund i dataskyddsförordningen.47

Kontroll av behörig förskrivare och expedierande farmaceut

Ett krav i nätverket för e-hälsa är att parterna ska autentisera och identifiera hälso- och sjukvårdspersonal. En kontroll av expedierande farmaceuts behörighet ska göras för att farmaceuten ska kunna fråga efter och ta emot information om ett e-recept från ett annat EES-land. I tjänsten förväntas farmaceuten bekräfta vid varje anrop att det finns en behandlingsrelation till patienten genom en bekräftelse som kallas Treatment Relationship Confirmation, (TRC-assertion). Land A avses kontrollera att e-receptet är giltigt och utfärdat

43 Kapitel II, avsnitt II.4.1 i e-hälsoavtalet. 44 Kapitel II, avsnitt II 4.2 i e-hälsoavtalet. 45 Kapitel II, avsnitt II.1.1.3 i e-hälsoavtalet. 46 E-hälsomyndigheten, Reglering av personuppgiftshantering (S2018/04035/FS), s. 21. 47 Artikel 29-gruppens brev till Nätverket för e-hälsa, den 11 april 2018, Ref. Ares(2018) 2356058 03/05/2018.

av en behörig förskrivare.48 Om det är oklarheter kring en förskrivares behörighet bör expedierande farmaceut bl.a. kunna kontakta de nationella kontaktpunkterna för hjälp.

Kodverk och standarder för e-recept

Informationen i ett e-recept ska översättas till land B:s språk. Det finns överenskomna informationsmängder inom nätverket för e-hälsa med en miniminivå för vilken information som ska förmedlas. Det finns även krav på att vissa kodverk används för översättningen. Som kodverk för aktiv substans används ATC-kod, i kombination med en beskrivning i fritext av läkemedlets aktiva substans när ATCkoden inte ger en fullständig beskrivning av ingående substanser. För läkemedelsform används standarder från European Directorate for the Quality of Medicines and Health Care. För styrka används ett system för måttenheter kallat Unified Code for Units of Measure.

Informationen om ett läkemedel kan i dag variera i viss mån mellan olika länder beroende på t.ex. hur läkemedlet har godkänts. Tjänsten påverkas av dess tekniska utformning, de nationella förutsättningarna för läkemedelsinformation, förutsättningarna för de aktuella kodverken och övriga tekniska villkor. Tjänsten anpassas efter rådande förutsättningar. Det pågår ett arbete med att i EU genomföra en mer detaljerad standard för identifiering av läkemedel som kallas Identification of Medicinal Products (IDMP), som kommer att underlätta identifieringen av läkemedel framöver.

5.3.6. Vad tjänsten omfattar

Tjänsten är utformad av medlemsländerna inom ramen för nätverket för e-hälsa, baserat på patientrörlighetsdirektivet och nätverkets krav. Tjänsten utgår i dag från de användningsfall medlemsländerna kommit överens om, men kan utvecklas över tid med nya användningsfall eller funktionaliteter.49 Tjänsten e-recept över landsgränser omfattar för närvarande bl.a. följande50

48 Se t.ex. eHealthNetwork, Guidelines for information exchange E-prescription and eDispensa-

tion, version 2, 2016, artiklarna 5.2 och 3.

49 Att en utveckling av tjänster m.m. är förutsedd anges bl.a. i definitionerna till e-hälsoavtalet. 50 Se vidare eHDSI Scope and Business Goals.

  • e-recept för godkända humanläkemedel som tillverkats enligt en industriell process,51
  • e-recept som utfärdas i land A till en patient i land A och där e-receptet sedan expedieras när patienten är på plats på ett fysiskt apotek i land B,52 och
  • att utbyte av läkemedel på apotek eller motsvarande är möjligt, dock endast till läkemedel som har ett annat läkemedelsnamn och/eller förpackningsstorlek och som har samma aktiva substans, läkemedelsform och styrka som det förskrivna läkemedlet.53

Tjänsten omfattar för närvarande inte bl.a. följande54

  • att en patient från land A får ett e-recept utfärdat av en förskrivare behörig i ett annat EES-land,55
  • narkotiska läkemedel,56 och
  • icke-godkända läkemedel inklusive läkemedel som bereds på apotek för en enskild patient t.ex. extemporeläkemedel.

Ovanstående begränsningar gäller för medlemsländerna. Vissa åtgärder är dock frivilliga, t.ex. att låta ett ombud hämta ut läkemedel åt patienten. Det krävs i dag att patienten är på plats på apoteket för att kunna identifiera sig med fotolegitimation. Det utesluter för närvarande e-handel av receptbelagda läkemedel där sådan identifiering inte är möjlig, enligt utredningens bedömning.

51eHDSI Scope and Business Goals. 52 Se t.ex. eHDSI Requirements Catalogue, 02.01. Uniquely identify the Patient som anger att fotolegitimation ska kontrolleras. 52eHDSI Requirements Catalogue, eP/eD Use Case. E-identifiering av patient på apotek har diskuterats, men såvitt utredningen känner till finns ännu inget förslag för detta i tjänsten. 53eHDSI Scope and Business Goals och eHDSI Requirements Catalogue, 07. Handle Dispensa-

tion of medicine and Substitution. En förutsättning är att utbyte är tillåtet i land B.

54eHDSI Scope and Business Goals. 55eHDSI Requirements Catalogue, eP/eD Use Case. 56eHDSI Scope and Business Goals.

5.4. Informationsflödet i tjänsten

5.4.1. Informationsflödet

Informationsflödet i tjänsten e-recept över landsgränser inleds med att patienten från land A identifierar sig hos ett apotek eller motsvarande i land B och ber att få hämta ut läkemedlet som förskrivits på ett e-recept i land A. Om land A kräver det ska patienten ha lämnat samtycke till att personuppgifterna överförs till land B för expediering. Land B kan också kräva patientens samtycke till att personuppgifterna hämtas från land A för att användas vid expediering på apoteket i land B. Information om patienten, e-recepten samt hälso- och sjukvårdspersonalen ska utväxlas stegvis mellan apoteket i land B via kontaktpunkten för e-hälsa i land B till land A:s kontaktpunkt genom ett antal frågor och svar som kan delas in i följande fyra flöden

1. identifiera patient,

2. hämta receptlista,

3. hämta e-recept, och

4. rapportera uttaget av läkemedlet.

För varje meddelande skickas därutöver viss information och metadata om vem som gör förfrågan, t.ex. namn och roll för den som gör anropet samt signatur för anropande nationell kontaktpunkt, inklusive landskod. Sådan information skickas för vart och ett av de fyra meddelandetyperna och avses loggas av mottagaren för spårbarhet i informationsflödet.

Frågor och svar följer fastställda format och bygger på nätverket för e-hälsas krav på information, med obligatoriska och valfria informationsmängder. Anrop loggas för kvalitetssäkring, felsökning och spårbarhet. Felmeddelanden kan förkomma i alla fyra flödena.

Figur 5.3 Översikt informationsflödet i tjänsten

5.4.2. Kraven på överenskomna informationsmängder

I tjänsten behandlas de personuppgifter om patienten, förskrivaren och expedierande personal som behövs vid ordination, expediering och uppföljning. Informationsflödet utgår från de informationsmängder för e-recept som nätverket för e-hälsa kommit överens om.57Informationen översätts via kodverk när den överförs från land A till land B.

Uppgifter om patienten behövs för att identifiera patienten och för expedieringen av läkemedlet. Uppgifter om patientens läkemedelsbehandling är i regel känsliga personuppgifter, främst eftersom de är indirekta uppgifter om patientens hälsa.58 Personuppgifter om förskrivare och expedierande personal ska bl.a. göra det möjligt att identifiera behörig hälso- och sjukvårdspersonal, samt kunna kontakta dem vid behov. Loggning av frågor och svar används bl.a. för kvalitetssäkring, felsökning och spårbarhet. Vissa personuppgifter behandlas för uppföljning, inklusive tillsyn.

57 Informationsmängderna utgår bl.a. från patientrörlighetsdirektivet, genomförandedirektivet 2012/52/EU som har utvecklats inom nätverket för e-hälsa, nätverkets krav och riktlinjer, samt användningen av olika standarder och överenskomna kodverk. 58 Uppgifter om läkemedel och andra varor som förskrivs en enskild har ansetts röra dennes hälsa enligt personuppgiftslagen, prop. 2008/09:145 s. 305. Jfr Justitiekanslerns beslut 2008-06-23, dnr 7692-06-42.

Patient

Farmaceut

Kontaktpunkt land B Kontaktpunkt land A

Förmedla patient-id

Demografiska data om patienten

Patient-id

Receptinformation i receptlista

Detaljerad receptinformation

Patient-id och recept-id för valt recept

Metadata/detaljerad information om expedierat läkemedel

Bekräftelse

1. Identifiera patient

Hämta valt recept Visa receptlista Identifiera patient

2. Hämta receptlista

3. Hämta recept

4. Rapportera uttag

Visa receptuppgifter Hämta receptlista

Rapportera uttag

Bekräftelse av mottagen information

Felmeddelanden kan förekomma i samtliga flöden

Uppgifter om expedierat läkemedel Patient-id och farmaceut-id

Nedan redogörs för de överenskomna informationsmängder som är avsedda att överföras i tjänsten e-recept över landsgränser.59 Vissa uppgifter är obligatoriska och ska anges (nedan i fetstil). Det finns även ”utökade informationsmängder”, dvs. uppgifter som är frivilliga att ange vid behov. Det är dock svårt att göra en helt rättvisande och uttömmande uppräkning av flera skäl, t.ex. eftersom vissa uppgifter kan anges på olika sätt och detaljeringsnivå. Utredningen har översatt begreppen från engelska och i vissa fall inte funnit svenska motsvarigheter. Informationsutbytet är ett pågående arbete och informationsmängderna kan komma att ändras. Utöver de uppgifter som räknas upp nedan ska uppgifter om registerhållaren och viss annan metadata också skickas.

Personuppgifter som avser patienten är

  • namn, födelsedatum, unik personlig identifierare (en uppgift för att identifiera patienten, t.ex. personnummer, socialförsäkringsnummer, nationellt eller regionalt id-kortsnummer, passnummer, eller hälsokortsnummer),
  • övriga demografiska uppgifter om patienten (de uppgifter varje land A bestämmer ska anges för identifiering av patienten utifrån nationell reglering eller vilka uppgifter som finns tillgängliga, t.ex. födelsedatum, kön, namn, nationell eller regional identifierare, socialförsäkringsnummer, adress, land),
  • patientens språk, vårdnadshavare, förmyndare eller ombud,60
  • recept-id (en unik identifierare som för varje enskilt recept i receptlistan anges med en kod och används både nationellt och vid gränsöverskridande identifiering av e-recept),
  • läkemedlets gängse benämning eller läkemedlets läkemedels-namn,61aktiv substans och/eller ATC-kod,62 läkemedelsföretagets namn,

59 Redogörelsen i detta avsnitt baseras främst på E-hälsomyndighetens sammanställning av informationsmängderna enligt eHDSI:s specifikation. 60 Det förutsätter att både land A och land B tillåter möjligheten med ombud, se avsnitt 7.7.2. 61 Läkemedelsnamn är obligatoriskt att ange endast om utbyte av läkemedel inte får ske. 62 Det är obligatoriskt att ange ATC-kod eller substansnamn.

  • läkemedelsform, mängd (antal förpackningar), styrka, behandlingstid, dosering/instruktion för användning till patienten och till farmaceuten,63
  • skälen för förskrivningen/behandlingsändamål,
  • förskrivningstidpunkt, och sista giltighetsdag för förskriv-

ningen,

  • hantering av utbyte av läkemedel på apotek (som förmedlas genom en ”flagga” om det är tillåtet eller inte),
  • uppgift från land A om e-receptet är expedierbart i land B, och
  • eventuellt övriga uppgifter som hänför sig till patienten eller förskrivningen t.ex. i det PDF-dokument som skickas med uppgifter ur ”originalreceptet”.

Personuppgifter som avser förskrivaren är

  • namn, yrke, identifiering av förskrivaren, kontaktuppgifter,

land, krav på autentisering av förskrivaren, förskrivningssystem,

identifiering av arbetsplats, arbetsplats och arbetsadress.

Personuppgifter som avser farmaceuten är

  • namn, unik identifierare av farmaceuten, legitimation/id, apotek/

arbetsplats, kontaktuppgifter till apoteket eller motsvarande,

adress till arbetsplatsen, identifierare för apoteket eller mot-

svarande och land.

Vad som återrapporteras vid expediering är

  • recept-id, patientens unika identifierare, födelsedatum, namn,

land, adress, kön, språk, socialförsäkringsnummer, kontaktupp-

gifter,

63 Dosering är ett exempel på att det är svårt att klassificera vissa uppgifter som obligatoriska eftersom det är ett krav att skicka en sådan uppgift, men valfritt att skicka uppgiften på ett strukturerat sätt. Uppgiften kan i stället skickas i fritext.

  • antal expedierade förpackningar, förpackningsstorlek, pro-

duktnamn, läkemedelsform, ATC-kod, styrka, aktiv substans,

produktnummer (i Sverige kan det vara s.k. NPL pack-id), artikelbenämning,

  • uppgift som visar om ett annat läkemedel än det förskrivna har

lämnats ut när det är aktuellt,

  • farmaceutens legitimation/id och yrke, namn, expedierings-

tidpunkt, arbetsplats, kontaktuppgifter,

  • expedierande apotek, kontaktuppgifter, adress, land, och
  • identifiering av registerhållaren, adress och kontaktuppgifter.

Dessa uppgifter motsvarar i stort de som anges på en förskrivning i Sverige enligt 4 kap. 8 § receptföreskrifterna, med de informationsmängder som E-hälsomyndigheten hämtar från t.ex. VARA och FORS, se för bedömningen att de svenska e-recepten redan i dag följer nätverket för e-hälsas krav i avsnitt 12.4.2.

5.4.3. Behandlingen av personuppgifter

Medlemsländerna ansvarar för att behandlingen av personuppgifter följer dataskyddsförordningen. De aktörer som kommer att behandla personuppgifter i informationsutbytet om e-recept över landsgränser är bl.a. förskrivare i land A, registerhållare, de nationella kontaktpunkterna för e-hälsa i land A och land B, apotek eller motsvarande och expedierande personal i land B, kommissionen som är personuppgiftsbiträde, hälso- och sjukvårdspersonal i land A som vid vårdtillfället har behov av uppgift om expedierat läkemedel, samt andra relevanta aktörer, t.ex. tillsynsmyndigheter i land A och land B.

Personuppgifterna i läkemedelsprocessen kommer att behandlas främst genom insamlande, sammanställning, överföring, översättning och bevarande. Förskrivaren kommer att samla in uppgifter vid förskrivningen och överföra uppgifterna till ett register. Kontaktpunkterna för e-hälsa kommer att överföra uppgifter till och från apoteken och mellan sig, bevara vissa uppgifter, samt föra logg m.m. Kommissionen kommer bara att överföra krypterade uppgifter. Hälso- och sjukvårdspersonal i land A som har behov av uppgifter om expedierat läkemedel kommer att behandla uppgifter genom att ta del av dem.

Hanteringen skiljer sig åt om Sverige är land A eller land B. När Sverige är land A handlar det främst om att E-hälsomyndigheten tillgängliggör uppgifter från den nationella läkemedelslistan. Redan insamlade personuppgifter behandlas genom att de sammanställs, översätts och lämnas ut till en utländsk kontaktpunkt för e-hälsa för vidarebefordran till apotek i ett annat EES-land. Personuppgifterna kommer också att behandlas när uttaget återrapporteras till E-hälsomyndigheten som översätter och registrerar uppgifterna i den nationella läkemedelslistan.

När Sverige är land B kommer uppgifter att lämnas från kontaktpunkten i land A till E-hälsomyndigheten som vidarebefordrar informationen till öppenvårdsapoteken. E-hälsomyndigheten kommer också att vidareförmedla uppgifter om uttaget till den utländska kontaktpunkten för e-hälsa och till övriga aktörer som bedöms ha behov av dem. För öppenvårdsapoteken tillkommer egentligen ingen ny behandling av personuppgifter avseende e-recept från EES jämfört med nuvarande hantering av e-recept. Öppenvårdsapoteken kommer att samla in uppgifterna via E-hälsomyndigheten, redovisa uttaget och spara uppgifterna i verifikationer över utlämnande läkemedel som bevaras i fem år. Vissa uppgifter kommer att registreras i den nationella läkemedelslistan vid expedieringen.

Av säkerhetsskäl och för att kunna genomföra en patientsäker expediering av ett e-recept krävs spårbarhet. E-hälsomyndigheten och övriga kontaktpunkter för e-hälsa ska föra logg över de anrop som sker och den behandling som genomförs. Loggningen ska sparas hos E-hälsomyndigheten och syftar till att säkerställa krav på spårbarhet, kvalitet och säkerhet för att möjliggöra tillsyn, uppföljning och felsökning vid behov. Syftet är också att kontrollera efterlevnad av åtkomst.

5.4.4. Integritetshöjande samtycke

Frågan om patienten bör lämna samtycke i land A och i land B till att personuppgifterna behandlas för expediering i ett annat EES-land har diskuterats i samarbetet om tjänsten. Tidigare övervägdes ett tvåstegssamtycke, alltså att patienten ska lämnas samtycke både i land A och land B. Sedan dess har det tydliggjorts att samtycke inte är en lämplig rättslig grund för offentliga myndigheter. Det finns dock

inga hinder för att införa ett krav på ett s.k. integritetshöjande samtycke, även om behandlingen baseras på en annan rättslig grund. Samtycke ska utformas så att det omfattar den personuppgiftsbehandling som avses i respektive situation. Samtycke är i huvudsak en fråga för varje deltagande land.

E-hälsomyndigheten föreslog i rapporten Reglering av personupp-

giftsbehandling att patientens integritetshöjande samtycke skulle

inhämtas både när svenska e-recept expedieras i ett annat EES-land och när e-recept från ett EES-land expedieras i Sverige.64 Ett sådant samtycke avsågs inte utgöra den rättsliga grunden, utan en integritetshöjande skyddsåtgärd. Utredningen föreslår att en patient från Sverige ska lämna ett integritetshöjande samtycke till expediering i ett annat EES-land, men inte att en patient från land B ska lämna samtycke vid expediering i Sverige, se avsnitt 8.2.6 och 9.10.

5.4.5. Översikt av tjänsten e-recept över landsgränser

Nedan görs en översikt över processen för tjänsten e-recept över landsgränser utifrån nätverket för e-hälsas krav.

Ordination och förskrivning

Processen inleds med att patienten identifierar sig och lämnar uppgifter om sin hälsa till en behörig förskrivare i land A. Förskrivaren ordinerar ett läkemedel och utfärdar ett e-recept. Förskrivaren behandlar känsliga personuppgifter om patienten samt personuppgifter om sig själv. E-receptet registreras i land A:s register. Land A ansvarar även för en kontroll av receptet. Patienten och förskrivaren kan få information om tjänsten på olika sätt, se avsnitt 5.3.4.

Expediering i land B

Expedieringen börjar med att patienten går in på ett apotek i land B för att hämta läkemedel som förskrivits på ett e-recept i land A. Land A kan kräva att patienten ska lämna samtycke för att personuppgifterna ska få överföras från land A till land B för en expedier-

64 E-hälsomyndigheten, Reglering av Personuppgiftsbehandling (S2018/04035/FS), s. 27 f.

ing. Även land B kan kräva att patienten ska lämna sitt samtycke till att uppgifterna hämtas från land A för att expedieringen ska få ske. Patienten ska få information från den personuppgiftsansvarige om hur personuppgifterna kommer att behandlas enligt artikel 13 och 14 i dataskyddsförordningen. Det finns en gemensamt framtagen mall för sådan information till patienter (PIN), se avsnitt 5.3.4.

Identifiera farmaceuten och behandlingsrelationen

Informationsutbytet inleds med att expedierande farmaceut i land B identifieras. Det sker genom att information om farmaceutens namn, farmaceutens unika identifierare,65 yrke, arbetsplats och uppgifter om apoteket eller motsvarande skickas till kontaktpunkten för e-hälsa i land A. För att intyga att det finns en behandlingsrelation innehåller varje anrop även en så kallad TRC-assertion som innebär att land B skickar uppgifter om bl.a. patientens identifierare tillsammans med farmaceutens identifierare, namn yrkeskod och uppgifter om apoteket.

Identifiera patienten

Patienten ska identifieras i tjänsten e-recept över landsgränser för att kunna hämta ut sitt läkemedel.66 Land A ska ange en unik personlig identifierare för patienten som syftar till att kunna identifiera och koppla patienten till ett e-recept i det nationella registret, t.ex. ett nationellt eller regionalt id-kortsnummer, passnummer eller socialförsäkringsnummer. Land A ska också skicka patientens namn, födelsedatum och uppgift om land. Land A ska även ange vilka identitetshandlingar som patienten ska använda. Identitetshandlingen innehåller patientens unika identifierare. Land A kan även kräva andra demografiska uppgifter om patienten, t.ex. kön och adress.

Vid expedieringen ansvarar land A och land B gemensamt för att identifiera patienten. Expedierande personal i land B ska kontrollera patientens identitet genom den giltiga id-handlingen med foto och den unika identifieraren som land A kräver, samt övrig demografiska uppgifter om det krävs. Expedierande personal skickar patientens

65 Uppgiften kan t.ex. vara en legitimationskod.

66

eHDSI Functional requirements, 02.01. Uniquely identify the Patient och 02.01.01. Identification and authentication of a patient with demographic data.

unika identifierare till kontaktpunkten för e-hälsa i land A som kontrollerar patientens identitet och om eventuellt samtycke finns, om det krävs. Kontaktpunkten i land A svarar med demografiska uppgifter om patienten, t.ex. namn, unik identifierare och födelsedatum, så att farmaceuten kan jämföra uppgifterna med uppvisad fotolegitimation. Saknas uppgifter om patienten får land B ett felmeddelande, liksom om samtycke saknas när det är ett krav.

Olika typer av ombud, eller ”next of kin” som de även kallas i tjänsten, t.ex. ställföreträdare eller vårdnadshavare får hämta ut läkemedel för patientens räkning om både land A och land B tillåter det och övriga villkor är uppfyllda. Nationell rätt i land A avgör vem som kan vara ombud. Ombudet kan t.ex. vara en vårdnadshavare eller nära anhörig. Ombudet ska inte visa någon pappersdokumentation, utan land A ska kunna säkerställa kopplingen mellan ombudet och patienten digitalt, se avsnitt 7.7.2.

Hämta information om patientens receptlista eller om ett recept

Patienten, eller ombudet i de fall det är aktuellt, frågar efter sitt e-recept och avses därigenom bekräfta sin vilja att hämta ut e-receptet på apoteket. När land B har säkerställt patientens identitet, eventuellt samtycke (om det krävs), frågar expedierande personal i land B efter receptet eller receptlistan genom, att på samma sätt som i tidigare anrop, skicka uppgifter för att identifiera patient m.m. Som svar kan land A lämna ut antingen en lista med uppgifter om de e-recept som patienten har eller endast de e-recept som kan expedieras i annat land. Land A får lämna vissa uppgifter om ett e-recept som inte kan expedieras utomlands, men det måste då framgå att de är ”icke-expedierbara” e-recept. Land A kan också lämna ut information om ett e-recept.

För varje recept i receptlistan ska det finnas ett recept-id och information som identifierar förskrivet läkemedel, t.ex. läkemedelsnamnet eller det generiska namnet, ordinationstidpunkt, uppgift om receptet är expedierbart i land B och ATC-kod.

Hämta information om patientens e-recept

När farmaceuten i land B, i samråd med patienten, avgjort vilket av e-recepten i receptlistan patienten vill ha expedierat, begär farmaceuten mer information om det valda e-receptet. Land A svarar med att skicka de detaljerade uppgifter om e-receptet med de informationsmängder nätverket för e-hälsa kommit överens om. Uppgifterna kodas med hjälp av de överenskomna kodverken och översätts automatiskt från land A:s språk till engelska och sedan från engelska till land B:s språk. Farmaceuten får därmed uppgifterna på sitt eget språk. Syftet är att farmaceuten ska få tillräckliga uppgifter för en expediering. Uppgifterna avser patienten, läkemedlet (t.ex. aktiv substans, mängd, styrka och läkemedelsform), förskrivningen och förskrivaren. Uppgifter om t.ex. behandlingsändamål kan ingå. Det kommer även att skickas ett PDF-dokument från land A med uppgifter ur ”originalreceptet” på patientens språk.

Expediering av läkemedel

Farmaceuten ska granska e-receptet för att kunna expediera läkemedlet i enlighet med nationell reglering och lämna ut det om förutsättningarna är uppfyllda. Farmaceuten ska återrapportera uttaget till kontaktpunkten för e-hälsa i land B som rapporterar det vidare till kontaktpunkten i land A, för att bl.a. avräkning för uttaget ska kunna ske och expedierat läkemedel ska kunna registreras. Återrapporteringen avser uppgifter om patienten, expedierat läkemedel, om något annat än det förskrivna läkemedlet har lämnats ut, samt uppgifter om expedierande personal och apotek. Vid expediering av pappersrecept inom EES, finns det inte någon möjlighet att återrapportera en expediering till land A. Det blir alltså en väsentlig skillnad med e-recept över landsgränser. Land A ska även bekräfta att informationen har tagits emot. Patienten betalar för läkemedlet och kan, beroende på om förutsättningarna är uppfyllda, ta del av land B:s läkemedelsförmån eller begära ersättning i efterhand.67

67 Ersättning för läkemedel i gränsöverskridande vård behandlas i kapitel 6.

Uppföljning av enskild förskrivning av läkemedel

Det expedierande apoteket ska följa det nationella regelverket vad gäller t.ex. att bevara eller lämna ut uppgifter för tillsyn, uppföljning eller statistik till relevanta aktörer. Kontaktpunkterna i land A och B kan behöva vidarebefordra uppgifterna om expedierat läkemedel till andra relevanta aktörer för liknande ändamål. Uppgifterna om expedieringen ska behandlas enligt respektive lands regelverk och får inte bevaras längre än nödvändigt.

5.4.6. Sammanfattning

Det svenska regelverket är ännu inte anpassat för e-recept över landsgränser. Utredningen kommer att gå igenom vad som krävs för en sådan anpassning i följande kapitel baserat på denna kartläggning. Informationsutbytet i tjänsten innebär bl.a. att det blir nödvändigt för E-hälsomyndigheten att behandla känsliga personuppgifter på ett sätt som inte görs i dag. Patienten bör kunna få tydlig och tillgänglig information om vad tjänsten e-recept över landsgränser kan innebära för dem.

Öppenvårdsapotekens hantering vid expediering av e-recept från EES kan antas komma att skilja sig åt från nuvarande hantering i vissa avseenden, t.ex. kommer uppgifterna inte från den nationella läkemedelslistan, utan från land A via de nationella kontaktpunkterna för e-hälsa. Informationen om e-recepten från EES följer av nätverket för e-hälsas krav för överenskomna informationsmängder. Informationen fås via en fråga-svarstjänst som går i fyra olika informationsflöden. Land B ska återrapportera expedieringen till land A, vilket inte görs i dag vad gäller pappersrecept inom EES.

Förutsättningarna för ersättning vid gränsöverskridande vård behandlas i nästa kapitel. Personuppgiftsbehandlingen analyseras i följande kapitel 7–11. Ytterligare åtgärder för att främja en patientsäker och effektiv process utreds i kapitel 12 och 13. SDG-förordningen och webbtillgänglighetsdirektivet kommer inte att tillämpas direkt på informationsöverföringen av e-recept över landsgränser, men kan vara viktiga för information t.ex. för patienter som vill använda tjänsten e-recept över landsgränser.

6. Ersättning och förmån vid e-recept över landsgränser

6.1. Inledning

I detta avsnitt redogör utredningen för gällande lagstiftning och utredningens överväganden och bedömningar i frågor kopplade till ersättning och förmån för läkemedel vid utlandsvård med anledning av tjänsten e-recept över landsgränser. Sådana frågor lyftes även i E-hälsomyndighetens rapport Reglering av personuppgiftshantering (S2018/04035/FS).

6.2. Förutsättningar för ersättning och förmån

6.2.1. Förordningen om samordning av de sociala trygghetssystemen

Rätten till sjukförsäkringsförmåner för personer som rör sig inom EES och Schweiz regleras i förordningen 883/2004. Syftet med förordningen är att samordna olika socialförsäkringsförmåner och att ange vilket lands lag som är tillämplig, men inte att harmonisera medlemsländernas socialförsäkringssystem.1 Försäkringsmedlemslandet får ha krav på förhandstillstånd för ersättning av kostnader för gränsöverskridande hälso- och sjukvård, begränsat till vissa typer av planerad vård, om det är motiverat och proportionellt.

I artikel 19 och 20 regleras rätten till vårdförmåner av nödvändig och planerad karaktär. En person som är försäkrad för vårdförmåner i Sverige enligt förordningen 883/2004 kan få nödvändig eller viss planerad vård i ett annat EES-land eller i Schweiz till samma patientavgift som invånarna i det landet. Motsvarande situation gäller för

1Prop. 2015/16:139 s. 13.

personer som är försäkrade i ett annat EES-land eller Schweiz. Ett förhandstillstånd ska beviljas om den aktuella behandlingen finns bland de förmåner som tillhandahålls enligt lagstiftningen där patienten är bosatt och behandlingen inte kan ges inom en tid som är medicinskt försvarbar (artikel 20.2).

En EU-förordning har allmän giltighet och den är till alla delar bindande och direkt tillämplig i varje medlemsland (artikel 288 i EUF-fördraget). En förordning ska inte genomföras i svensk rätt för att bli giltig i Sverige.

Det behöriga medlemslandet ansvarar i regel för kostnaderna för nödvändig vård, t.ex. när patienten visar det gemensamma europeiska sjukförsäkringskortet som även kallas EU-kortet. Ofta är det landet där patienten bor. Ersättningen hanteras genom socialförsäkringssystemen utan att patienten ska behöva betala i förväg, förutom patientavgiften eller motsvarande. Kostnaden regleras i regel i efterhand mellan landet som givit patienten vård, som kallas land B i delbetänkandet, och det behöriga medlemsland som patienten är försäkrad i för vårdförmåner, som kallas land A.

6.2.2. Patientrörlighetsdirektivet och ersättning för läkemedel

Patientrörlighetsdirektivet syftar till att göra det lättare för invånare i EES att få tillgång till gränsöverskridande hälso- och sjukvård och att förtydliga förhållandet till förordningen 883/2004 vid tillämpning av patienträttigheter (artikel 1.1). Medlemsländernas ansvar för socialförsäkringsförmåner, särskilt förmåner vid sjukdom, ska respekteras fullt ut (artikel 1.1). Bakgrunden till direktivet är ett antal domar i EU-domstolen som slog fast att sjukvård omfattas av EUF-fördragets regler om fri rörlighet för tjänster, oavsett hur den är finansierad och organiserad.2

Direktivet ska alltså tillämpas oavsett hur hälso- och sjukvården organiseras, tillhandahålls och finansieras (artikel 1.2). Rutinmässiga omvårdnadstjänster, tillgång till och fördelning av organ för transplantation och allmänna vaccinationer är undantagna (artikel 1.3). Patientrörlighetsdirektivet definierar vad som avses med hälso- och sjukvård och att vård anses som gränsöverskridande när den ges i ett annat medlemsland (artikel 3 a och 3 e).

2 Se prop. 2012/13:150 s. 17 inklusive hänvisningarna till rättsfall i not 1.

Patientrörlighetsdirektivet pekar ut behörigt land, land A, genom att hänvisa till det land som är ansvarigt för personens vårdförmåner enligt förordningen 883/2004. Behandlande medlemsland är land B, där vården utförs. En försäkrad person definieras i artikel 3 b och kan ha rätt till ersättning för kostnader för hälso- och sjukvård i ett annat EES-land upp till försäkringsmedlemslandets, land A:s, kostnadsnivå (artikel 7.2). Grundtanken i patientrörlighetsdirektivet är att en patient som får gränsöverskridande vård ska sättas i samma situation, så långt det är möjligt, som om patienten hade fått vård i sitt hemland.3 Beräkningen ska vara transparent (artikel 7.3). Land A ska även fastställa vilken hälso- och sjukvård som en försäkrad person kan få ersättning för, samt kostnader och nivå, oberoende av var vården tillhandahålls (artikel 7.3).

Patientrörlighetsdirektivet genomfördes i Sverige bl.a. genom lagen (2013:513) om ersättning för kostnader till följd av vård i ett annat land inom Europeiska ekonomiska samarbetsområdet (ersättningslagen). En ny lag (2013:514) om regionernas och kommunernas kostnadsansvar för viss vård i utlandet beslutades också då.4 Förutsättningarna för erkännande av recept enligt artikel 11 i patientrörlighetsdirektivet anses genomförda i receptföreskrifterna, se avsnitt 4.3.2. Ytterligare kompletteringar i svensk rätt p.g.a. patientrörlighetsdirektivet gjordes 2016.5

6.2.3. Ersättningslagen

I ersättningslagen anges villkor för rätt till ersättning för kostnader till följd av gränsöverskridande vård i ett annat EES-land och hur ersättningens storlek ska bestämmas. Lagen omfattar även ersättning för humanläkemedel. Ersättningslagen gäller inte om förordningen 883/2004 är tillämplig.

En patient har rätt till ersättning för kostnader för vård i ett annat EES-land om han eller hon omfattas av den personkrets som Sverige är behörigt att meddela ett sådant tillstånd till, vilket avser vård utanför bosättningsmedlemslandet som avses i artikel 20 i förordningen

3Prop. 2012/13:150 s. 60. 4 Se vidare om genomförandet i prop. 2012/13:150. Vissa ändringar gjordes även som rör kostnadsberäkning och ersättning i bl.a. hälso- och sjukvårdslagen (2017:30), lagen (2002:160) om läkemedelsförmåner m.m. samt i lagen (2008:145) om statligt tandvårdsstöd. 5Prop. 2015/16:139.

883/2004 när kostnaden uppkom. Det gäller bl.a. under förutsättning att han eller hon skulle ha haft rätt att få vården bekostad av det allmänna om den givits i Sverige (5 § ersättningslagen). Ersättningen kan som högst avse de faktiska kostnader patienten haft för vården (6 §) och ska motsvara den vårdkostnad som skulle ha uppkommit om patienten fått vård i Sverige (7 § första stycket). Avdrag ska göras motsvarande de avgifter för vården som patienten skulle ha betalat i Sverige. Detsamma gäller för läkemedel som en patient får vid vårdtillfället (7 § andra stycket).

För läkemedel som en patient har fått vid en annan tid än vårdtillfället, och för vilka det finns en åtminstone likvärdig produkt inom läkemedelsförmånerna enligt lagen (2002:160) om läkemedelsförmåner m.m., bestäms ersättningen till ett belopp som motsvarar den kostnadsreducering som patienten skulle haft rätt till om produkten hade ingått i läkemedelsförmånerna (9 § första stycket). Motsvarande bestämmelse gäller även vid tandvård (10 §).

I ersättningslagen beskrivs även hur patienten kan ansöka om förhandsbesked för planerad vård i ett annat EES-land (11 §). Ett sådant besked är som regel bindande när patienten senare ansöker om ersättning. Försäkringskassan hämtar som regel ett yttrande från den region som enligt hälso- och sjukvårdslagen (2017:30) har ansvar för patientens vård i Sverige (12 §).

Försäkringskassan prövar, efter ansökan från en patient, frågor om ersättning och ska särskilt beakta sjukdomens eller skadans karaktär och förväntade utveckling, patientens individuella omständigheter i övrigt, och om det finns skäl att prioritera hanteringen av ansökan. Beslutade ersättningar betalas ut av Försäkringskassan (14 §). Ett beslut om ersättning eller förhandsbesked kan överklagas (15 §).

Sammanfattningsvis kan alltså en patient som är försäkrad för vårdförmåner i Sverige få ersättning för vård i ett annat EES-land, om villkoren är uppfyllda, antingen enligt förordningen 883/2004 eller ersättningslagen (patientrörlighetsdirektivet). Avsikten är att en patient som fått gränsöverskridande vård, så långt det är möjligt, ska kunna välja att få kostnader för vården ersatta på det sätt som är förmånligast.6

6Prop. 2012/13:150 s. 112.

6.2.4. Lagen om regionernas och kommunernas kostnadsansvar för viss vård i utlandet

Lagen om regionernas och kommunernas kostnadsansvar för viss vård i utlandet innebär bl.a. att en region har, om inget annat sägs i lag, kostnadsansvar för ersättningar för viss hälso- och sjukvård och tandvård samt för vissa produkter, t.ex. läkemedel, som patienter får vid vård i ett annat EES-land enligt ersättningslagen eller förordningen 883/2004.

Medlemsländerna kan komma överens om att avstå från all återbetalning enligt artikel 35 i förordningen 883/2004. Sverige har ingått vissa sådana s.k. betalningsavståenden som innebär att land B står för kostnaden för patienten från land A.7

Regionernas kostnadsansvar gäller ersättningar som betalats ut till patienter som var bosatta, kvarskrivna eller stadigvarande vistades i regionen när vården som ersättningen avser gavs (2 §). En region ska ersätta Försäkringskassan för sådana utbetalda ersättningar till en patient (3 §). När Försäkringskassan fakturerar regionerna för ersättningsanspråk som patienten ansökt om i efterhand finns ofta redan ett ärende hos regionen, när Försäkringskassan har hört sig för om kostnadsanspråket. När det gäller ett sådant krav som Försäkringskassan betalar i efterhand, får regionen en faktura när Försäkringskassan beslutar om ersättning.8 Av en sådan faktura ska regionens diarienummer framgå, om ett sådant finns, patientens personnummer, vårdtillfällestidpunkt, vilket regelverk som tillämpats samt vad som avser sjukvård, sjuktransporter, läkemedel, hjälpmedel och tandvård.

När det gäller ersättning som Försäkringskassan betalar till andra institutioner inom EU/EES eller Schweiz med stöd av artikel 19 i förordningen 883/2004 faktureras regionen i regel genom en samlingsfaktura halvårsvis.9 Till fakturan finns ett underlag som innehåller patientens personnummer, kostnad och tidpunkt för vården.

När någon från EES får vård i Sverige med stöd av förordningen 883/2004 regleras resterande kostnader mellan länderna via ländernas förbindelseorgan. I dessa fall kan regioner ha rätt till ersättning för kostnader som uppstått i samband med vård av personer som inte

7 Försäkringskassan, Vård i gränsöverskridande situationer Vägledning 2021:1, version 1, s. 12. 8 Det gäller en sådan faktura som avses i 13 § förordningen (2013:711) om ersättningar för vissa vårdkostnader i internationella förhållanden, enligt 3 § Försäkringskassans föreskrifter (FKFS 2013:7) om ersättningar för vissa vårdkostnader i internationella förhållanden. 9 Se vidare 4 § Försäkringskassans föreskrifter (FKFS 2013:7) om ersättningar för vissa vårdkostnader i internationella förhållanden.

är bosatta inom dess område. Dessa kostnader regleras enligt förordning (2013:711) om ersättningar för vissa vårdkostnader i internationella förhållanden. På motsvarande sätt regleras kostnaderna när någon från Sverige fått vård i annat land i EES med stöd av förordningen 883/2004. Som angetts tidigare kan regionen där patienten är folkbokförd vara ansvarig för kostnaden om villkoren är uppfyllda.

6.2.5. Försäkringskassans roll

Försäkringskassan spelar en central roll i frågor om ersättning vid gränsöverskridande vård och är Sveriges förbindelseorgan inom ramen för förordningen 883/2004. Försäkringskassan lämnar t.ex. information om vård i andra EES-länder, villkoren för ersättning och kontaktuppgifter till kontaktpunkter i andra EES-länder.10 Försäkringskassan beslutar och betalar ut ersättningar baserat på förordningen 883/2004, EUF-fördraget, patientrörlighetsdirektivet och för annan gränsöverskridande hälso- och sjukvård. Regelsystemen är delvis parallella, så inte minst av rättssäkerhetsskäl har det ansetts vara viktigt att rättsfrågor som är aktuella i både patientrörlighetsdirektivet och förordningen 883/2004 bedöms likartat. Det var bl.a. mot den bakgrunden som regeringen föreslog att beslutsansvaret för den gränsöverskridande vården skulle vara samlat hos Försäkringskassan.11Det ansågs inte lämpligt att flytta beslutsansvaret till regionerna i frågan om patientrörlighetsdirektivet, bl.a. för att det skulle leda till att regionerna hade beslutsansvaret i vissa fall och i andra fall Försäkringskassan.12

6.2.6. Lagen om läkemedelsförmåner m.m.

Med läkemedelsförmåner avses enligt 5 § lagen om läkemedelsförmåner m.m., ett skydd för enskilda konsumenter mot höga kostnader för förmånsberättigade läkemedel och andra varor. Lagen innehåller också bestämmelser om prisreglering av läkemedel och andra varor samt om utbyte av läkemedel på öppenvårdsapotek. Förmånerna

10 Det är Socialstyrelsen som ska informera en person från ett annat EES-land om vilka rättigheter som personen har vid vård i Sverige enligt patientrörlighetsdirektivet. E-hälsomyndigheten är kontaktpunkt för e-hälsa enligt patientrörlighetsdirektivet. 11Prop. 2012/13:150 s. 66 f. 12Prop. 2012/13:150 s. 66 f.

innebär att det offentliga ersätter delar av kostnaderna för läkemedel och andra varor som omfattas av läkemedelsförmånerna och därmed reducerar den enskildes kostnader genom ett högkostnadsskydd. Kostnader för läkemedel och andra varor som omfattas av läkemedelsförmånerna reduceras som regel stegvis och kostnaderna för den enskilde kan under en tolvmånadersperiod som mest uppgå till 2 350 kronor under år 2021. Detta belopp kan ändras och för år 2022 uppgår det till 2 400 kronor.

Enligt 5 a § ska vid beräkning av kostnadsreducering enligt 5 §, sådana belopp som enligt 9 § andra stycket ersättningslagen har lagts till grund för bestämmandet av en beslutad ersättning medräknas, men inte för livsmedel. Dessa bestämmelser infördes när patientrörlighetsdirektivet genomfördes.13

Den så kallade 90-dagarsregeln innebär i korthet att läkemedelsförmånerna inte får avse större mängd läkemedel eller andra varor än som motsvarar det beräknade behovet för 90 dagar eller närmast större förpackning om lämplig förpackning saknas. Det innebär också att en ny förskrivning inte får göras så länge förskrivningen fortfarande är giltig, om syftet enbart är att få läkemedlet eller varan utlämnat på förmånligare villkor. Om det finns särskilda skäl får läkemedelsförmånen avse en större mängd (2 § förordningen [2002:687]om läkemedelsförmåner m.m.).

För att läkemedel ska omfattas av läkemedelsförmånerna får förskrivningen expedieras på nytt först då minst två tredjedelar av den tid förflutit som den tidigare expedierade mängden läkemedel är avsedd att täcka. Detta kallas även 2/3-regeln. Expediering kan få göras tidigare om det finns särskilda skäl (19 § förordningen om läkemedelsförmåner m.m.).

Rätt till läkemedelsförmånerna har den som är bosatt i Sverige, den som, utan att vara bosatt här, har rätt till vårdförmåner i Sverige vid sjukdom eller moderskap enligt förordningen 883/2004, samt den som avses i 5 kap. 7 § första stycket socialförsäkringsbalken och som omfattas av förordningen. Den som är anställd i Sverige, utan att vara bosatt här, har också rätt till vissa förmåner enligt 4 § lagen om läkemedelsförmåner m.m.

13 Ändringen beskrivs närmare i prop. 2012/13:150 s. 85 ff.

Det är i regel läkemedelsföretaget som kan ansöka om att läkemedlet ska ingå i läkemedelsförmånerna.14 Tandvårds- och läkemedelsförmånsverket (TLV) beslutar om läkemedlet ska ingå i läkemedelsförmånerna och fastställer de inköps- och försäljningspriser som öppenvårdsapoteken ska använda. TLV ska bl.a. ta ställning till om kostnaderna för användning av läkemedlet, med hänsyn till målen för hälso- och sjukvården i Sverige, framstår som rimliga från medicinska, humanitära och samhällsekonomiska synpunkter, och det inte finns andra tillgängliga läkemedel eller behandlingsmetoder som enligt en sådan avvägning mellan avsedd effekt och skadeverkningar är att bedöma som väsentligt mer ändamålsenliga (15 § lagen om läkemedelsförmåner m.m.). Ett läkemedel kan även ingå i läkemedelsförmånerna endast för ett visst användningsområde eller en viss patientgrupp, det kallas förmånsbegränsning (11 § lagen om läkemedelsförmåner m.m.).

Receptbelagda läkemedel som inte ingår i läkemedelsförmånerna har ingen prisreglering, utan öppenvårdsapoteken kan själva bestämma prismarginalen.15 Inköpspriset sätts av läkemedelsföretagen. Läkemedlet bekostas då i regel av patienten. Det finns ett förslag att av TLV fastställda priser ska gälla i samtliga fall när läkemedel har förskrivits på recept och expedieras på öppenvårdsapotek.16 Förslaget bereds för närvarande inom Regeringskansliet och har ännu inte lett till något lagförslag.

För kostnadsreducering krävs även att läkemedlet förskrivits av läkare, tandläkare, sjuksköterska, barnmorska eller legitimerad tandhygienist i syfte att förebygga, påvisa, lindra eller bota sjukdom eller symtom på sjukdom eller i likartat syfte. Det ska också finnas en arbetsplatskod på receptet som identifierar förskrivarens arbetsplats (6 § lagen om läkemedelsförmåner m.m.). Av 4 § förordningen om läkemedelsförmåner m.m. följer att en behörig förskrivare som har en arbetsplats inom en regions område kan få en arbetsplatskod och att regionen i övrigt får besluta om utformning och fördelning av

14 Det gäller inte licensläkemedel och extemporeberedningar (som dock inte ingår i tjänsten e-recept över landsgränser). Se 8 § första stycket lagen om läkemedelsförmåner m.m., 8 § andra stycket jämfört med 4 c § förmånsförordningen och 4 och 15 §§ Tandvårds och läkemedelsförmånsverkets föreskrifter (HSLF-FS 2017:29) om licensläkemedel, extemporeläkemedel, lagerberedningar och tillfällig subvention. 15SOU 2017:15 s. 101. Det kan dock observeras att enligt 7 § lagen om läkemedelsförmåner m.m. ska de fastställda priserna som gäller inom förmånerna tillämpas även när samma läkemedel expedieras kostnadsfritt för patienten med stöd av 7 kap. 1 § smittskyddslagen (2004:168). 16SOU 2017:76 s. 143.

arbetsplatskod inom sitt område. Om regionen finner att den sökande inte har rätt till arbetsplatskod ska ärendet överlämnas till Socialstyrelsen för prövning.

Regionen ersätter kostnader för läkemedelsförmånerna för de ersättningsberättigade personer som bor inom regionen (22 § lagen om läkemedelsförmåner m.m.). Om den berättigade inte är bosatt inom någon regions område, ansvarar den region för kostnader för förmåner där den berättigade arbetar eller är registrerad som arbetssökande. För den som är berättigad till förmåner som familjemedlem till anställd eller egenföretagare enligt förordningen 883/2004 gäller motsvarande förutsättningar. I andra fall ersätts kostnaderna av den region där den som förskrivit en förmånsberättigad vara har sin verksamhetsort (22 §). Rätten till förmåner prövas av den region som enligt lagen ansvarar för kostnaden för förmånerna (23 § lagen om läkemedelsförmåner m.m.).

6.2.7. Utbyte av läkemedel på apotek

Syftet med att det förskrivna läkemedlet kan bytas till ett annat på öppenvårdsapotek under vissa omständigheter är att varken patient eller samhälle ska behöva betala mer än nödvändigt för läkemedel. I Sverige beslutar Läkemedelsverket vilka läkemedel som är medicinskt likvärdiga och därigenom utbytbara enligt 4 kap 22 § läkemedelslagen (2015:315). De tas då upp på Läkemedelsverkets utbytbarhetslista. Sådana beslut fattar Läkemedelsverket för t.ex. s.k. generiska läkemedel, men även för parallellimporterade läkemedel. För centralt godkända läkemedel görs ingen sådan bedömning, men de tas upp på utbytbarhetslistan.17

Varje månad informerar TLV om vilket generiskt utbytbart läkemedel som är tillgängligt, har lägst försäljningspris, och därför blir periodens vara inom respektive förpackningsstorleksgrupp. Öppenvårdsapoteken ska upplysa patienten om utbytet och erbjuda periodens vara vid expedieringen. När det bara finns utbytbarhet mellan direktimporterade och parallellimporterade läkemedel blir periodens vara-systemet inte tillämpligt. Utbytet bygger i det fallet i stället på prisskillnaden mellan det förskrivna läkemedlet och det utbytbara läkemedlet som finns i lager på det enskilda öppenvårdsapoteket.

17 Se vidare beskrivningen i avsnitt 4.2.2 av olika typer av läkemedel.

Förskrivare och farmaceut har möjligheter att motsätta sig att patientens läkemedel ska bytas ut på apotek enligt 21–21 b §§ lagen om läkemedelsförmåner m.m. och 8 kap. 16–18 §§ receptföreskrifterna. Förskrivare kan motsätta sig utbyte av medicinska skäl. Patienten kan också motsätta sig utbyte eller välja att få ett annat utbytbart läkemedel expedierat, men får då betala mellanskillnaden respektive hela kostnaden själv, utanför högkostnadsskyddet. Ett öppenvårdsapotek ska upplysa patienten om att utbyte kommer i fråga och om patientens rätt att mot betalning få det förskrivna läkemedlet eller något annat utbytbart läkemedel inom läkemedelsförmånerna.

Utbyte av läkemedel på öppenvårdsapotek gäller som huvudregel för de allra flesta läkemedel som har förskrivits inom läkemedelsförmånerna. Det innebär att ett öppenvårdsapotek ska byta ut ett sådant läkemedel mot periodens vara. Inom läkemedelsförmånerna ska utbyte också ske om det bara finns utbytbarhet mellan direktimporterade och parallellimporterade läkemedel med samma ursprung. Då ska det förskrivna läkemedlet bytas ut mot ett tillgängligt parallellimporterat läkemedel med lägre pris. Sedan 2020 ska ett öppenvårdsapotek under vissa förutsättningar även byta ut ett läkemedel som har förskrivits utanför läkemedelsförmånerna. Det innebär i praktiken utbyte av ett läkemedel som inte omfattas av läkemedelsförmånerna eller saknar TLV:s beslut om inköpspris, till ett läkemedel som omfattas av läkemedelsförmånerna. Det kan ske bl.a. när patienten är förmånsberättigad och receptet är utfärdat med arbetsplatskod, samt det även finns utbytbara läkemedel utan förmånsbegränsning inom läkemedelsförmånerna. Utbytet kan endast ske till sådana läkemedel.

I receptföreskrifterna framgår det att förskrivaren ska ange dels om patienten är förmånsberättigad, dels om förutsättningarna för förmån enligt ett läkemedels förmånsbegränsning är uppfyllda eller inte, när ett läkemedel med förmånsbegränsning förskrivs (4 kap. 10 § 2 och 5 receptföreskrifterna.).

6.2.8. Personer som kan ha Sverige som försäkringsland

En patient kan ha Sverige som försäkringsland om patienten tillhör den personkrets, för vilken Sverige är behörigt att meddela ett sådant tillstånd för vård utanför bosättningsmedlemslandet som avses i

artikel 20 i förordningen 883/2004 när kostnaderna uppkom (5 § ersättningslagen).Vilket land som är behörigt för vårdförmåner regleras i huvudsak i artiklarna 11–16 i förordningen 883/2004, med vissa undantag.18 Artikel 2 anger i punkt 1 att ”förordningen ska tillämpas på alla som är medborgare i en medlemsstat, statslösa och flyktingar som är bosatta i en medlemsstat och som omfattas eller har omfattats av lagstiftningen i en eller flera medlemsstater, samt deras familjemedlemmar och efterlevande” och i punkt 2 att förordningen ”dessutom tillämpas på efterlevande till personer som har omfattats av lagstiftningen i en eller flera medlemsstater, oavsett dessa personers medborgarskap, om deras efterlevande är medborgare i en medlemsstat eller är statslösa eller flyktingar som är bosatta i en medlemsstat”.

Enligt förarbetena till ersättningslagen är Sverige försäkringsmedlemsland för personer som är folkbokförda i Sverige eller som enligt 16 § folkbokföringslagen (1991:481) har skyddad folkbokföring och stadigvarande vistas inom en region.19 Av förarbetena framgår vidare att Sverige kan vara försäkringsmedlemsland för personer som inte är folkbokförda, t.ex. för pensionärer som bor i ett annat EES-land men har sin pension från Sverige.20 Sådana personer kan i regel antas ha svenskt personnummer.

Även personer som är anställda, egenföretagare eller sjömän i Sverige, men bosatta i ett annat medlemsland, kan ha rätt till ersättning från Sverige.21 Sverige kan vara försäkringsmedlemsland i egenskap av arbetsland enligt artikel 11 i förordningen 883/2004. En person som arbetar i Sverige, men är skriven i sitt hemland kan få ett samordningsnummer, t.ex. för att betala skatt. Om en i Sverige försäkrad person har personnummer eller samordningsnummer kan få betydelse för om en patient kan identifieras i tjänsten e-recept över landsgränser, se vidare avsnitt 13.3.2.

18 Sådana undantag finns främst för pensionärer som regleras i avdelning III, kapitel 1 i förordningen 883/2004. 19Prop. 2012/13:150 s. 49. 20Prop. 2012/13:150 s. 49. Det gäller även för personer som är utsända från Sverige för att arbeta i ett EES-land. 21Prop. 2012/13:150 s. 49.

6.2.9. Läkemedelsförmånen vid ersättning för vård inom EES

Den svenska läkemedelsförmånen är klassificerad som en förmån vid sjukdom och en vårdförmån22 inom ramen för tillämpningen av förordningen 883/2004. Det framgår av den svenska s.k. artikel 9-deklarationen.23 Det innebär bl.a. att bestämmelserna om förmåner i artikel 19 och 20 i förordningen 883/2004 kan avse personer som vistas i Sverige om det av medicinska skäl blir nödvändigt under vistelsen med beaktande av förmånernas karaktär och vistelsens förväntade längd.

Med nödvändig vård avses vård som inte kan vänta tills patienten kommer tillbaka till sitt hemland.24 Det är läkare eller annan vårdpersonal som bedömer om vården är nödvändig.25 Bedömningen beror bl.a. på sjukdomen och hur länge patienten ska stanna i landet.26Förordningen 883/2004 kan ge en person rätt att ta del av vissa vårdförmåner i vistelselandet på samma villkor som personer som är försäkrade i det aktuella landet. Om förutsättningarna är uppfyllda kan den som är berättigad få del av den svenska läkemedelsförmånen för nödvändig vård eller viss planerad vård.

En patient kan även hämta ut läkemedel i ett vistelseland och sedan återvända till land A och ansöka om ersättning enligt patientrörlighetsdirektivet. Förenklat kan man säga att patientrörlighetsdirektivet kan ge patienten rätt att ta med sig den nationella förmånen när hon eller han får vård i ett annat land, dvs. rätt till ersättning enligt land A:s regler och inte enligt reglerna i land B. Som ett exempel på hur både patientrörlighetsdirektivet och förordningen 883/2004 kan bli tillämpliga i samma situation kan man ta en EU-medborgare som tillfälligt vistas i Sverige och förordningen 883/2004 pekar ut Frankrike som försäkringsland, land A. Personen från Frankrike kan då få rätt till medicinskt nödvändiga vårdförmåner mot uppvisande av sitt EUkort eller ett tillfälligt intyg (artikel 19 i förordningen 883/2004).

22 Så kallad sickness benefit in kind, se vidare artikel 1 a i förordningen 883/2004. 23 Förklaring från Konungariket Sverige i enlighet med artikel 9 i Europaparlamentets och rådets förordning (EG) nr 883/2004 av den 29 april 2004 om samordning av de sociala trygghetssystemen. Bilaga till regeringsbeslut 2020-06-17 nr II:3. 24 Artikel 25.3 i Europaparlamentets och rådets förordning (EG) 987/2009 av den 16 september 2009 om tillämpningsbestämmelser till förordning (EG) nr 883/2004 om samordning av de sociala trygghetssystemen. 25 I Sveriges kommuner och regioners handbok Vård av personer från andra länder, sjunde omarbetade upplagan, anges i avsnitt 3.2 och 3.5.4 att det är behandlande läkare eller motsvarande som i det enskilda fallet avgör vad som ska anses vara nödvändig vård. 26 Försäkringskassan , www.forsakringskassan.se/sjukvard/patient-som-inte-ar-folkbokfordi-sverige (h ämtad 2021-04-26).

Vården ges då på samma villkor som för en person som är försäkrad för dessa förmåner i Sverige. Om personen från Frankrike inte haft med sig sitt EU-kort vid vårdtillfället kan ersättning sökas i efterhand från den behöriga institutionen i Frankrike. Ersättningen kan då följa antingen av svenska regler genom artikel 19 i förordningen 883/2004 och artikel 25 i tillämpningsförordning 987/200927 eller utifrån franska regler genom patientrörlighetsdirektivet.

Sveriges regioner och kommuner (SKR) beskriver i sin handbok om vård för personer i utlandet att det för gränsarbetare och deras familjemedlemmar gäller att läkemedel utges till ett subventionerat pris endast i det land vari ordinationen har ägt rum.28 I frågor och svar från kommissionen anges bl.a. att det skulle anses gälla t.ex. förskrivningar i vistelselandet om patienten blivit hastigt sjuk där eller har kroniska sjukdomar.29

6.2.10. Ersättning vid e-recept över landsgränser

Förhållandet mellan förordningen 883/2004 och patientrörlighetsdirektivet är komplext vad gäller ersättning och förmån för gränsöverskridande e-recept inom EES. Förutsättningarna kan variera beroende på aktuell situation. Rättsakterna överlappar varandra delvis. Det kan t.ex. vara otydligt vem som kan avgöra vad som är nödvändig vård om det inte framgår av e-receptet. Medlemsländerna kan också ha olika förutsättningar för att administrera vårdförmånerna.

Tillgänglig information om gränsöverskridande vård ger uttryck för detta. Exempelvis anges det i kommissionens information att en patient som hämtar ut ett recept utfärdat i ett annat land antingen ”med största sannolikhet” eller ”alltid” behöver betala för sitt läkemedel vid expedieringen, men kan ansöka om ersättning i efterhand i land A enligt patientrörlighetsdirektivet.30 Det anges även att förordningen 883/2004 kan beaktas31 eller att förordningen beskrivs

27 Europaparlamentets och rådets förordning (EG) 987/2009 av den 16 september 2009 om tillämpningsbestämmelser till förordning (EG) nr 883/2004 om samordning av de sociala trygghetssystemen. 28 SKR:s handbok Vård av personer från andra länder, sjunde omarbetade upplagan, s. 13. 29 European Commission, Frequently asked Questions provision on cross-border healthcare, 2019_ncptoolbox_faq_outgoingpatients_en.pdf (europa.eu), s. 23 (hämtad 2021-05-16). 30 https://europa.eu/youreurope/citizens/health/prescription-medicine-abroad/expenses-reimbursements/index_en.htm (h ämtad 21-04-26). 31 https://europa.eu/youreurope/citizens/health/prescription-medicine-abroad/expenses-reimbursements/index_en.htm (h ämtad 21-04-26).

som huvudregel vid expediering.32 Patienter från andra länder som vill hämta sina e-recept i Finland får veta att han eller hon ”i vart fall inte för närvarande” kan få subvention vid expedieringen, utan får ansöka om ersättning.33

Det är inte enkelt att redogöra för hur patientrörlighetsdirektivet och förordningen 883/2004 ska tillämpas generellt. De kan även vara alternativt tillämpliga i vissa fall. Därför kan det vara bra för patienter, hälso- och sjukvårdspersonal och andra aktörer att ta reda på förutsättningarna i det aktuella fallet.

6.3. Utredningens överväganden och bedömningar

6.3.1. Tillämpningen av lagen om läkemedelsförmåner m.m.

Utredningens bedömning: Ett e-recept från ett EES-land om-

fattas inte av lagen om läkemedelsförmåner m.m. Det medför bl.a. att ett sådant recept inte heller omfattas av utbyte enligt samma lag.

En fråga som lyfts i rapporten Reglering av personuppgiftsbehandling (S2018/04035/FS) är om e-recept från EES-länder omfattas av läkemedelsförmånerna och att den frågan bör analyseras vidare.

Utredningen gör bedömningen att e-recept från ett annat EESland inte kommer att omfattas av lagen om läkemedelsförmåner m.m. Som angetts ovan innebär 6 § lagen om läkemedelsförmåner m.m. ett krav på bl.a. att receptet ska innehålla en arbetsplatskod. Någon sådan finns inte på ett e-recept utfärdat i ett annat land. Det framgår inte heller av ett sådant e-recept vilka överväganden förskrivaren har gjort vid förskrivningen när det gäller bedömningen av om det är fråga om en förmånsberättigad person och om villkoren är uppfyllda vid en eventuell förmånsbegränsning Därigenom bör e-recept från annat land inte kunna expedieras inom läkemedelsförmånerna enligt utredningens bedömning.

Systemet för läkemedelsförmåner i Sverige kräver t.ex. att en förskrivare behörig i Sverige ska beakta om förutsättningarna enligt 4 § lagen om läkemedelsförmåner m.m. är uppfyllda när det gäller vem

32 https://ec.europa.eu/health/sites/health/files/ehealth/docs/qa_reimbursement_en.pdf (hämtad 21-04-26). 33 www.kanta.fi/en/professionals/dispensing-of-european-e-prescriptions (hämtad 2021-04-26).

som är förmånsberättigad och om förutsättningarna för förmån är uppfyllda eller inte när ett läkemedel med förmånsbegränsning förskrivs i enlighet med 11 § samma lag. Ett läkemedel kan vara förmånsberättigat endast för en viss patientgrupp eller en viss användning. Dessa bedömningar ska göras vid förskrivningen och framgå av receptet enligt 4 kap. 8 § 2 och 5 receptföreskrifterna.

Enligt utredningens bedömning har förskrivare i andra länder inte förutsättningar att ta ställning till de överväganden beträffande läkemedelsförmåner som en förskrivare i Sverige ska göra vid varje förskrivning. Genom att reglerna för förmåner och subvention är olika inom EES så kan en eventuell förskrivarmarkering på e-receptet om subvention sannolikt inte jämföras med de svenska kraven på uppgifter om förmånsberättigad person, respektive förmånsbegränsning.

Sådana överväganden görs inte på öppenvårdsapoteket i Sverige, t.ex. om förmån eller förmånsbegränsning är aktuell, utan farmaceuten ska normalt kunna utgå från vad som angetts på receptet. Om den expedierande farmaceuten upptäcker fel eller oklarheter behöver förskrivaren i de flesta fall kontaktas för eventuell ändring av receptet enligt 8 kap. 13–15 §§ receptföreskrifterna.

Utredningens bedömning får även visst stöd av överväganden som gjordes när patientrörlighetsdirektivet genomfördes i svensk rätt där det i förarbetena beskrivs bl.a. att recept med arbetsplatskod inte finns i utlandet och att ”[l]äkemedel som en patient själv införskaffar med stöd av en förskrivning från ett annat EES-land ingår således inte i förmånen.”34 Samtidigt avser det uttalandet situationen där en svensk patient fått ett recept i ett annat EES-land. Liknande överväganden framgår i propositionen 2008/09:145 där anges att det ”[a]v 6 § lagen om läkemedelsförmåner m.m. följer att arbetsplatskoden måste anges på receptblanketten för att ett läkemedel förskrivet för människa ska omfattas av läkemedelsförmånerna. Härav följer att recept utfärdade i utlandet inte kan expedieras med förmån”.35

Enligt lagen om läkemedelsförmåner m.m. förefaller det inte finnas någon region som är ansvarig för kostnaderna för läkemedelsförmånerna om det är en patient med ett utländskt recept som endast tillfälligt befinner sig inom en viss regions område.36 Det slutliga kost-

34Prop. 2012/13:150 s. 53. 35Prop. 2008/09:145 s. 290. 36 Jfr 22 och 23 §§ lagen om läkemedelsförmåner m.m.

nadsansvaret bör dock i en sådan situation i regel ligga på patientens försäkringsland, land A, om t.ex. inget betalningsavstående gjorts.

Utredningen anser att bedömningen inte endast avser frågan om arbetsplatskod i sig, utan även hur bedömningarna enligt lagen om läkemedelsförmåner m.m. ska göras och vad som ska framgå av förskrivningen. De bedömningar som krävs enligt lagen om läkemedelsförmåner m.m. görs i regel inte på öppenvårdsapoteket. Det kan vidare inte uteslutas att ändringar i detta avseende skulle kunna ändra förutsättningarna för läkemedelsförmånerna som de är utformade i dag, t.ex. när det gäller hur förskrivaren annars ska göra bedömning av patienten, främst om patienten är en förmånsberättigad person eller inte och om eventuella villkor i en förmånsbegränsning är uppfyllda.

Vidare är det inte klart under vilka förutsättningar bedömningen av nödvändig vård annars skulle hanteras på apoteket eller hur systemet med arbetsplatskoder bör tillämpas. Om e-recept från EES skulle undantas från kraven i lagen om läkemedelsförmåner m.m. eller bedömningarna inte skulle göras vid förskrivningen, skulle det medföra en annan ordning än den som finns i dag. Det skulle kunna medföra en principiell ändring som skulle kunna få effekter även på förmånssystemet i stort, och som sannolikt inte bör övervägas enbart med avseende på e-recept från EES, enligt utredningens bedömning. Eventuella kostnadskonsekvenser av ändringar i regelverket och administrationen av en ändrad tillämning av läkemedelsförmånerna är dessutom svåra att överblicka. Utredningens bedömning är således att e-recept utfärdade i andra EES-länder inte kan anses omfattas av läkemedelsförmånerna.

6.3.2. Överväganden avseende kraven i lagen om läkemedelsförmåner m.m.

Utredningens bedömning: Kravet på arbetsplatskod och övriga

villkor i lagen om läkemedelsförmåner m.m. framstår som ickediskriminerande åtgärder, som kan bedömas vara proportionerliga och grundade på ett allmänintresse.

E-recept som saknar arbetsplatskod bedöms inte omfattas av lagen om läkemedelsförmåner m.m. oavsett om det är utfärdat i Sverige eller i annat EES-land som beskrivits ovan. Svenska recept omfattas

inte av lagen om läkemedelsförmåner m.m., bl.a. om förskrivaren inte har en arbetsplatskod, patienten inte är förmånsberättigad eller om villkoren i en förmånsbegränsning inte är uppfyllda.

Mot denna bakgrund kan det finnas skäl att överväga om det skulle kunna ses som ett indirekt hinder att endast recept utfärdade i Sverige, dock inte alla, kan omfattas av lagen om läkemedelsförmåner m.m. eller om det kan vara godtagbart med en sådan skillnad. Det s.k. EU-rättsliga testet kan ge vägledning.37 Förenklat följer det av ett avgörande i EU-domstolen, det s.k. Gebhart-målet där EU-domstolen slog fast att nationella åtgärder som kan hindra eller göra det mindre attraktivt att utöva de grundläggande friheterna som garanteras av fördraget ska uppfylla fyra förutsättningar.

  • Sådana åtgärder ska vara tillämpliga på ett icke-diskriminerande sätt,
  • framstå som motiverade med hänsyn till ett trängande allmänintresse,
  • vara ägnade att säkerställa förverkligandet av den målsättning som eftersträvas genom dem, och
  • inte gå utöver vad som är nödvändigt för att uppnå denna målsättning.

Kraven vid förskrivningen tillämpas på motsvarande sätt. Läkemedelsförmånerna är utformade för att uppfylla ett antal syften. Arbetsplatskoden och de överväganden som krävs enligt lagen om läkemedelsförmåner m.m. är en del i förmånssystemet som det är utformat i Sverige, som bl.a. syftar till att klargöra vilka överväganden som är nödvändiga för att bedöma om en patient är förmånsberättigad och när det är aktuellt med förmånsbegränsning. Arbetsplatskoden syftar bl.a. till att ge förutsättningar för uppföljning.

Det övergripande syftet med läkemedelsförmånerna kan sägas vara att använda befintliga resurser till så mycket vård som möjligt. Patientens skydd mot höga läkemedelskostnader är ett annat syfte, liksom det allmännas ansvar för läkemedelskostnader och att inte heller det allmänna ska betala mer för läkemedel än vad som är nödvändigt. Arbetsplatskoden och övriga överväganden som krävs enligt

37 Här redogörs för det EU-rättsliga testet som det beskrivs i Jörgen Hettne och Ida Otken Eriksson (redaktörer), EU-rättslig metod, Norstedts juridik, 2011, s. 103.

lagen om läkemedelsförmåner m.m. är en del i förmånssystemet som det är utformat i Sverige i dag.

För att uppnå det övergripande syftet ska läkemedelsförmånerna endast gälla när kostnaderna för användningen av ett läkemedel framstår som rimliga. För att uppnå dessa syften bör förskrivaren kunna göra en bedömning och öppenvårdsapoteken få nödvändig information för expediering och eventuellt utbyte av läkemedel på öppenvårdsapoteket. Genom förskrivarens bedömning och angivande av arbetsplatskod kan läkemedelsförmånernas syfte antas få genomslag. Därigenom kan man säga att åtgärderna är ägnade att säkerställa förverkligandet av den målsättning som eftersträvas genom dem.

Enligt utredningens bedömning bör åtgärderna kunna ses som ett trängande allmänintresse som bl.a. avser att uppfylla målen om en god och jämlik hälso- och sjukvård. Det ska t.ex. vara möjligt med förmånsbegränsning till ett visst användningsområde om det finns särskilda skäl för det och kostnaden för användning av läkemedlet därigenom blir rimlig.

Åtgärden måste vara proportionerlig i förhållande till det syfte som avses skyddas och inte gå utöver vad som är nödvändigt för att uppnå denna målsättning. Utredningen anser att det är svårt att se mindre ingripande åtgärder eller alternativ tillämpning som skulle kunna uppnå målsättningen, bl.a. eftersom systemet avser att förskrivaren ska göra vissa bedömningar, och att det kan finnas läkemedel med eller utan förmån, men även med förmånsbegränsning. Det är svårt att se hur dessa bedömningar kan göras vid expedieringen när det inte framgår av receptet.

Utredningen anser sammantaget att åtgärderna verkar för målen med regelverket. Det har utvecklats efter överväganden av konsekvenser för regelverket som helhet inklusive kostnaderna för olika åtgärder, t.ex. på senare tid genom att smittskyddsläkemedel numera kan bytas ut på öppenvårdsapotek och följas upp enklare.38 Även om det är svårt att göra en fullständig bedömning här, utifrån utredningens utgångspunkter med ett ramverk för e-recept över landsgränser, framstår villkoren för läkemedelsförmånerna som proportionerliga åtgärder för att säkerställa målsättningen. Det kan också vara en fördel om denna fråga skulle kunna belysas i ett större sammanhang.

38Prop. 2017/18:233 s. 290.

6.3.3. Överväganden avseende smittskyddsläkemedel

Utredningens bedömning: Någon bedömning av om ett smitt-

skyddsläkemedel har förskrivits enligt smittskyddslagen (2004:168) framgår inte på ett e-recept från EES. Kostnadsfrihet enligt smittskyddslagen bör därför inte vara aktuell för e-recept utfärdade i ett annat EES-land.

Enligt 7 kap. 1 § smittskyddslagen kan läkemedel som har förskrivits mot en allmänfarlig sjukdom och som förskrivaren bedömer minska risken för smittspridning vara kostnadsfria för patienten. Detsamma gäller läkemedel som de förskrivna läkemedlen har bytts ut mot enligt 21 b § lagen om läkemedelsförmåner m.m. Om läkemedlet ska lämnas ut kostnadsfritt till patienten enligt smittskyddslagen ska det framgå av receptet enligt 4 kap. 8 § 6 receptföreskrifterna. Smittskyddslagen finns inte med i artikel-9 deklarationen som klassificerar vad som avses med förmåner vid sjukdom i Sverige med anledning av förordningen 883/2004.39

Förskrivaren ska ta ställning till om ett läkemedel syftar till att minska risken för spridning av en allmänfarlig sjukdom och det ska framgå av receptet för kostnadsfrihet. Utredningen anser att motsvarande bedömning inte kan anses framgå av ett e-recept från EES. En utländsk förskrivare har sannolikt inte möjlighet att göra en motsvarande bedömning som krävs enligt smittskyddslagen och ange den på e-receptet. En sådan bedömning om läkemedlet ska förskrivas som ett smittskyddsläkemedel enligt smittskyddslagen görs vid förskrivningen och expedierande farmaceut beaktar vad som anges på receptet. För dessa förskrivningar ställs krav på arbetsplatskod främst vad gäller hur kostnaden ska regleras.40

39 Förklaring från Konungariket Sverige i enlighet med artikel 9 i Europaparlamentets och rådets förordning (EG) nr 883/2004 av den 29 april 2004 om samordning av de sociala trygghetssystemen. Bilaga till regeringsbeslut 2020-06-17 nr II:3. 409 a § smittskyddsförordningen (2004:255).

6.3.4. Överväganden avseende hanteringen på öppenvårdsapotek

Utredningens bedömning: Farmaceutens bedömning av 90-dagars-

regeln och 2/3-regeln kan påverkas av att uppgift om förmån som patienten har beviljats vid ett utlämnande av läkemedel i ett annat EES-land inte alltid kan kopplas till ett visst uttag.

Genom tjänsten e-recept över landsgränser ska uppgifter om expedieringen återrapporteras till land A. Uppgift om pris eller subvention återrapporteras inte. E-hälsomyndigheten avses registrera uppgiften om expediering av ett svenskt e-recept i ett annat EES-land i den nationella läkemedelslistan.

Som angetts ovan kan en patient försäkrad i Sverige få ersättning enligt patientrörlighetsdirektivet eller förordningen 883/2004 när villkoren är uppfyllda. Patienten kan ansöka om ersättning för läkemedelskostnader i annat EES-land i efterhand till Försäkringskassan, om patienten inte tagit del av land B:s förmån enligt förordningen 883/2004.

E-hälsomyndigheten ansvarar för att registrera och lagra uppgifter som behövs för högkostnadsdatabasen. Denna databas är ett stöd för att hålla reda på en individs kostnader för läkemedel och andra varor som omfattas av läkemedelsförmånerna och vilken nivå som uppnåtts i högkostnadsskyddet. Om patienten söker och beviljas ersättning inom läkemedelsförmånerna för ett läkemedel som lämnats ut i ett annat EES-land får uppgiften om ersättning föras in i högkostnadsdatabasen av E-hälsomyndigheten. Patientens samtycke krävs.41 Vid beräkning av kostnadsreducering enligt 5 § lagen om läkemedelsförmåner m.m. ska sådana belopp som enligt 9 § andra stycket ersättningslagen har lagts till grund för bestämmandet av en beslutad ersättning räknas med enligt 5 a § lagen om läkemedelsförmåner m.m. Detta bör gälla oavsett om det är frågan om läkemedel som förskrivits på ett e-recept eller ett pappersrecept.

Hanteringen på öppenvårdsapoteken kan påverkas i viss mån. I dag kan expedierande farmaceut inte se om ett uttag är expedierat i ett annat EES-land om inte patienten tar med sig pappersreceptet till apoteket. För de e-recept som expedierats utomlands kommer

41Prop. 2012/13:150 s. 86.

det expedierade läkemedlet registreras i den nationella läkemedelslistan. Uttaget av läkemedel blir alltså synligt.

Däremot kan expedierande farmaceut inte alltid göra någon bedömning av uttaget i förhållande till 90-dagarsregeln eller 2/3-reglerna för e-recept från EES. Om patienten har fått ersättning enligt beslut från Försäkringskassan kan uppgiften om ersättning föras in i högkostnadsdatabasen med patientens samtycke. En sådan uppgift är kopplad till ett visst expedieringsdatum men om flera recept har expedierats finns ingen koppling till det enskilda receptet enligt uppgift från E-hälsomyndigheten. Det innebär att om ett recept har expedierats utomlands kan farmaceuten se att patienten fått ersättning för läkemedlet på det receptet, men om flera recept har expedierats vid samma tillfälle kan inte farmaceuten se vilket recept uppgiften i högkostnadsdatabasen är kopplad till. Enligt utredningens bedömning skulle det kunna leda till frågor om skillnaderna jämfört med expediering i Sverige. Det bör i första hand kunna avhjälpas om det finns förklarande information tillgänglig för patient och expedierande farmaceut. Såvitt utredningen känner till är ingen ändring avsedd kring denna process.

6.3.5. Överväganden om hantering av ersättning och regionernas uppföljning

Utredningens bedömning: Hantering av ersättning för e-recept

över landsgränser följer gällande regelverk och det saknas skäl för närvarande att föreslå ändringar.

Att patienter hämtar ut läkemedel eller får annan vård utomlands kan påverka förutsättningarna för regionernas uppföljning som planering, budgetering samt medicinsk och ekonomisk uppföljning. Det kan antas påverka regionerna olika, t.ex. om det är frågan om en gränsregion eller inte. Som beskrivits ovan ersätter regionen i regel utlandsvård för patienter inom deras område om villkoren är uppfyllda.

Inom ramen för tjänsten e-recept över landsgränser ska utlämnandet återrapporteras och uppgiften om expedierat läkemedel tas in i den nationella läkemedelistan, men inte uppgift om pris eller subvention. Förskrivare kan då få del av en uppgift om expedierat läkemedel på liknande sätt som i dag vid en expediering i Sverige. När en

patient ansökt om ersättning i efterhand får regionen i regel kännedom om utlandsvård när Försäkringskassan utreder en ansökan enligt ersättningslagen. Om en region är ansvarig för kostnaden faktureras den av Försäkringskassan, se avsnitt 6.2.4 ovan.

I propositionen om genomförandet av patientrörlighetsdirektivet kom regeringen fram till att regionerna inte bör ha ansvaret för att utreda ersättningsfrågor under patientrörlighetsdirektivet bl.a. eftersom det är uppgifter som liknar de Försäkringskassan har och skulle påverka regionerna olika.42 Sedan tidigare ligger ansvaret för ärenden om ersättning enligt bl.a. patientrörlighetsdirektivet och förordningen 883/2004 på Försäkringskassan. E-recept är en del av utlandsvård och följer det gemensamma regelverket för ersättning m.m.

Det har lyfts till utredningen att det finns ett behov från regionerna av att kunna följa upp expedieringar av e-recept i ett annat EES-land, både medicinskt och ekonomiskt, t.ex. för att kunna följa upp oegentlig förskrivning. En anledning som angetts för detta är att antalet e-recept som expedieras utomlands kan antas öka, vilket gör uppföljning mer angeläget och att det t.ex. kan finnas ett behov av samverkan kring uppföljning av e-recept över landsgränser mellan regioner och berörda myndigheter.

Uppgifter om pris och subvention överförs inte i tjänsten, utan frågor om ersättning m.m. hanteras enligt befintligt regelverk som beskrivits ovan. Utredningen föreslår ingen ändring i detta avseende och tar inte ställning till någon ytterligare samverkan i detta delbetänkande. Det kan i sammanhanget noteras att E-hälsomyndigheten som kontaktpunkt för e-hälsa kommer att följa upp antal e-recept från EES som expedieras i Sverige och antal e-recept utfärdade i Sverige som expedieras i annat EES-land.

42Prop. 2012/13:150 s. 74 ff.

7. Grundläggande förutsättningar för E -hälsomyndighetens personuppgiftsbehandling m.m.

7.1. Inledning

Utredningen ska enligt sitt uppdrag analysera behovet av att reglera den personuppgiftsbehandling som sker vid hanteringen av e-recept över landsgränser. En stor mängd personuppgifter, även känsliga personuppgifter, kommer att behandlas av olika aktörer i informationsutbytet av sådana e-recept visar kartläggningen i kapitel 5. All information om e-recepten kommer att förmedlas via den nationella kontaktpunkten för e-hälsa. Som Sveriges kontaktpunkt för e-hälsa kommer E-hälsomyndigheten att behandla personuppgifter i detta informationsutbyte på ett sätt som inte görs i dag.

I detta kapitel utreds de grundläggande förutsättningarna för E-hälsomyndighetens behandling av personuppgifter i informationsutbytet om e-recept över landsgränser. Avslutningsvis gör utredningen särskilda överväganden kring tjänsten e-recept över landsgränser när det gäller patienter med skyddade personuppgifter, fullmakter och ombud, samt när patienten är ett barn.

7.2. Rättslig grund för behandlingen

Utredningens bedömning: Den personuppgiftsbehandling som

E-hälsomyndigheten avser att genomföra vid informationsutbyte av e-recept över landsgränser är nödvändig för att fullgöra en rättslig förpliktelse som åvilar myndigheten (artikel 6.1 c i dataskyddsförordningen) och för att utföra en uppgift av allmänt intresse (artikel 6.1 e i dataskyddsförordningen). En nationell reglering behövs för att den rättsliga grunden ska kunna användas.

7.2.1. Regleringen i dataskyddsförordningen

En förutsättning för att införa bestämmelser som ger möjlighet för E-hälsomyndigheten att behandla personuppgifter vid gränsöverskridande informationsutbyte är att dessa är förenliga med dataskyddsförordningen. För att få behandla personuppgifter, oavsett om de är känsliga eller inte, krävs enligt artikel 6 i dataskyddsförordningen att det finns en rättslig grund för behandlingen. De rättsliga grunderna räknas uttömmande upp i avsnitt 3.2.5. När offentliga myndigheter fullgör sina arbetsuppgifter får detta inte ske med stöd av en s.k. intresseavvägning enligt artikel 6.1 andra stycket i dataskyddsförordningen. E-hälsomyndigheten har alltså inte möjlighet att behandla personuppgifter med stöd av intresseavvägning som rättslig grund.

Möjligheterna för myndigheter att behandla personuppgifter med stöd av samtycke är mycket begränsade. Ett samtycke ska enligt artikel 4.11 i dataskyddsförordningen lämnas frivilligt, vara specifikt, informerat och utgöra en otvetydig viljeyttring, genom vilken den registrerade, antingen genom ett uttalande eller genom en entydig bekräftande handling, godtar behandlingen av personuppgifter som rör honom eller henne. För att ett samtycke ska betraktas som frivilligt krävs att den registrerade har en genuin och fri valmöjlighet och utan problem kan vägra eller ta tillbaka sitt samtycke. Vidare följer att samtycke inte bör utgöra giltig grund för behandling av personuppgifter om betydande ojämlikhet råder mellan den registrerade och den personuppgiftsansvarige. Detta gäller särskilt om den personuppgiftsansvarige är en offentlig myndighet och det därför är osannolikt att samtycket har lämnats frivilligt när det gäller alla förhållanden som en sådan särskild situation omfattar (skäl 42 och 43

till dataskyddsförordningen). Enligt utredningens mening är samtycke därför inte en lämplig rättslig grund för den personuppgiftsbehandling som blir aktuell vid informationsutbyte av e-recept över landsgränser. Däremot anser utredningen att det finns anledning att föreslå ett integritetshöjande samtycke, se avsnitt 8.2.6.

De rättsliga grunder som i första hand blir aktuella vid informationsutbyte av e-recept över landsgränser är enligt utredningens bedömning att behandlingen är nödvändig för att fullgöra en rättslig förpliktelse (artikel 6.1 c) eller för att utföra en uppgift av allmänt intresse (artikel 6.1 e).

Uppgift av allmänt intresse

Enligt artikel 6.1 e i dataskyddsförordningen får behandling av personuppgifter ske om den är nödvändig för att utföra en uppgift av allmänt intresse. Vad som menas med allmänt intresse definieras inte i dataskyddsförordningen eller i det tidigare gällande dataskyddsdirektivet. Innebörden har inte heller utvecklats av EU-domstolen. Av skäl 45 till dataskyddsförordningen följer att i vart fall hälso- och sjukvårdsändamål, såsom folkhälsa och socialt skydd samt förvaltning av hälso- och sjukvårdstjänster, anses ingå i allmänintresset.

I förarbetena till lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen) anges att begreppet uppgift av allmänt intresse rent språkligt kan antas avse något som är av intresse för eller berör många människor på ett bredare plan, i motsats till ett särintresse eller ett enskilt intresse.1 Vidare konstateras i förarbetena att begreppet förekommer i motsvarande bestämmelser i dataskyddsdirektivet (artikel 7 e) och personuppgiftslagen (10 § d) och ledning kan hämtas från hur begreppet tolkats enligt dessa bestämmelser. För att myndigheternas verksamhet ska kunna fungera även i fortsättningen anger regeringen att begreppet uppgift av allmänt intresse måste ges en vid betydelse. Alla uppgifter som riksdag eller regering gett i uppdrag åt statliga myndigheter att utföra är enligt regeringens mening av allmänt intresse. Om uppgifterna inte vore av allmänt intresse skulle myndigheterna inte ha ålagts att utföra dem. Regeringen uttalar även att detta måste gälla även

1Prop. 2017/18:105 s. 55.

i dataskyddsförordningens mening, eftersom det är upp till varje medlemsland att fastställa de uppgifter som är av allmänt intresse.2

Begreppet uppgift av allmänt intresse omfattar dock inte bara sådant som utförs som en följd av ett offentligrättsligt och uttryckligt åliggande eller uppdrag. Den personuppgiftsansvarige behöver således inte vara skyldig att utföra uppgiften för att artikel 6.1 e i dataskyddsförordningen ska vara tillämplig. Den verksamhet som en statlig myndighet bedriver, inom ramen för sin befogenhet, är således av allmänt intresse. Det är därmed den rättsliga grunden i artikel 6.1 e i dataskyddsförordningen som vanligen bör tillämpas av myndigheter, även utanför området för myndighetsutövning. Detta utesluter dock inte att också andra rättsliga grunder samtidigt kan vara tillämpliga i vissa situationer.3

E-hälsomyndigheten har under ett antal år haft i uppdrag enligt myndighetens regleringsbrev dels att vara nationell kontaktpunkt för e-hälsa, dels att upprätthålla funktioner för e-recept över landsgränser. Som framgår ovan har regeringen i förarbetena till dataskyddslagen gjort bedömningen att alla uppgifter som riksdag eller regeringen gett i uppdrag åt statliga myndigheter att utföra är av allmänt intresse. Att informationen i ett e-recept kan utbytas över landsgränser för att möjliggöra expediering i ett annat EES-land än där e-receptet är utfärdat är dessutom viktigt för både EU och Sverige. Sådant informationsutbyte är viktigt för den fria rörligheten på den inre marknaden men även för EU:s innovationsmöjligheter. Det framgår bl.a. av patientrörlighetsdirektivet och det arbete som har genomförts inom EU och nationellt för att förverkliga informationsutbytet. Utredningen anser därför att uppgiften att möjliggöra expediering av e-recept i ett annat EES-land är en sådan uppgift av allmänt intresse som avses i artikel 6.1 e i dataskyddsförordningen.

Rättslig förpliktelse

Behandling av personuppgifter får enligt artikel 6.1 c i dataskyddsförordningen ske om det är nödvändigt för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige. Med begreppet rättslig förpliktelse borde i första hand offentligrättslig förpliktelse

2Prop. 2017/18:105 s. 55 ff. 3Prop. 2017/18:105 s. 57.

omfattas, enligt förarbetena till dataskyddslagen.4 I dessa förarbeten uttalas vidare följande. Det finns även i civilrättsliga författningar bestämmelser som i sig utgör eller kan medföra rättsliga skyldigheter. Rent språkligt omfattar begreppet rättslig förpliktelse även sådana skyldigheter som har lagts fast i ett avtal. Förpliktelser som följer av avtal där den registrerade själv är part utgör emellertid en separat rättslig grund för personuppgiftsbehandling enligt både artikel 7 b i dataskyddsdirektivet och artikel 6.1 b i dataskyddsförordningen. Detta talar för att de rättsliga förpliktelser som avses i led c är av ett annat slag, även om förpliktelser som följer av vissa lagreglerade avtal, t.ex. försäkringsavtal av betydelse för andra än parterna eller gynnande tredjemansavtal, skulle kunna omfattas av bestämmelsen. Vidare konstateras i förarbetena att myndigheters uppdrag i första hand utgör en uppgift av allmänt intresse och att behandling av personuppgifter som föranleds av uppdraget därför i första hand sker med stöd av artikel 6.1 e i dataskyddsförordningen. Det kan dock även förekomma författningsreglerade förpliktelser som i sig kräver personuppgiftsbehandling, t.ex. personaladministration. Vidare kan en myndighets uppdrag enligt instruktionen till myndigheten eller ett regleringsbrev i vissa fall utgöra en i enlighet med nationell rätt fastställd rättslig förpliktelse i dataskyddsförordningens mening, t.ex. om myndigheten ges i uppdrag att föra ett visst register.5

Till skillnad från vad som gäller för den rättsliga grunden uppgift av allmänt intresse behöver den personuppgiftsansvarige vara skyldig att utföra arbetsuppgiften för att den rättsliga grunden rättslig förpliktelse ska vara tillämplig.

E-hälsomyndigheten har redan i dag ett uppdrag i sitt regleringsbrev för 2021 att fortsätta etableringen och förvaltningen av den tekniska infrastruktur som krävs för att expediera utländska recept i Sverige och svenska recept i annat EU-land. Utredningen föreslår i avsnitt 7.6 en ny bestämmelse i E-hälsomyndighetens instruktion (förordningen [2013:1031] med instruktion för E-hälsomyndigheten) som fastställer att myndigheten ska tillhandahålla tjänster och infrastruktur för gränsöverskridande informationsutbyte av e-recept. Vidare föreslår utredningen en uppgiftsskyldighet i lagen (2018:1212) om nationell läkemedelslista och i den nya lagen om E-hälsomyndighetens hantering av e-recept från Europeiska ekonomiska samarbetsområdet

4Prop. 2017/18:105 s. 53. 5Prop. 2017/18:105 s. 53 f.

(EES), se avsnitt 8.2.8 och 9.11. Enligt utredningens bedömning är även den rättsliga grunden rättslig förpliktelse enligt artikel 6.1 c i dataskyddsförordningen tillämplig vid informationsutbyte av e-recept över landsgränser.

7.2.2. Det behövs nationell reglering för att den rättsliga grunden ska vara fastställd

Av artikel 6.3 i dataskyddsförordningen följer att grunden för den personuppgiftsbehandling som är nödvändig för att den personuppgiftsansvarige ska kunna uppfylla en rättslig förpliktelse (artikel 6.1 c) eller en uppgift av allmänt intresse eller som ett led i myndighetsutövning (artikel 6.1 e) måste fastställas i nationell rätt eller EU-rätt.

I skäl 45 till dataskyddsförordningen anges att förordningen inte medför något krav på en särskild lag för varje enskild behandling, utan att det kan räcka med en lag som grund för flera behandlingar som bygger på en rättslig förpliktelse som åvilar den personuppgiftsansvarige eller om behandlingen krävs för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning. Av ordalydelsen i artikel 6.3 första stycket framgår att det som ska fastställas i EU-rätten eller i nationell rätt är den grund för behandlingen som avses i artikel 6.1 c och e. Det krävs således inte en reglering i EUrätten eller i nationell rätt av den personuppgiftsbehandling som ska ske med stöd av dessa rättsliga grunder. Det som måste ha stöd i rättsordningen är i stället den rättsliga förpliktelsen respektive uppgiften av allmänt intresse eller rätten att utöva myndighet.6 I förarbetena till dataskyddslagen betonas att dataskyddsförordningens krav på att grunden för behandlingen ska vara fastställd inte utgör någon nyhet när det gäller svenska myndigheters behandling av personuppgifter utan att det är i linje med legalitetsprincipen. Myndigheternas maktutövning, även i den mån denna förutsätter behandling av personuppgifter, måste ha stöd i någon av de källor som tillsammans bildar rättsordningen.7

Vidare framgår av skäl 41 till dataskyddsförordningen att den rättsliga grunden bör vara tydlig och precis och dess tillämpning förutsägbar för dem som omfattas av den, i enlighet med rättspraxis vid EU-domstolen och Europeiska domstolen för de mänskliga rättig-

6Prop. 2017/18:105 s. 49. 7Prop. 2017/18:105 s. 49 f.

heterna. Även detta är, enligt förarbetena till dataskyddslagen, ett uttryck för legalitetsprincipen och utgör således inte någon nyhet inom den svenska offentliga förvaltningen.8 Vilken grad av tydlighet och precision som krävs i fråga om den rättsliga grunden för att en viss behandling av personuppgifter ska anses vara nödvändig måste enligt regeringens mening bedömas från fall till fall, utifrån behandlingens karaktär. En behandling av personuppgifter som inte utgör någon egentlig kränkning av den personliga integriteten bör kunna ske med stöd av en rättslig grund som är allmänt hållen. Ett mer kännbart intrång, t.ex. behandling av känsliga personuppgifter inom hälso- och sjukvården, kräver att den rättsliga grunden är mer preciserad och därmed gör intrånget förutsebart. Om intrånget är betydande och innebär övervakning eller kartläggning av den enskildes personliga förhållanden, krävs dessutom särskilt lagstöd enligt 2 kap. 6 och 20 §§regeringsformen (RF).9

Grunden för behandlingen ska enligt artikel 6.3 första stycket i dataskyddsförordningen fastställas i enlighet med EU-rätten eller ett medlemslands nationella rätt som den personuppgiftsansvarige omfattas av. Med detta avses inte att den rättsliga grunden nödvändigtvis måste fastställas i eller i enlighet med en av riksdagen beslutad lag. Däremot måste grunden vara fastställd i laga ordning, på ett konstitutionellt korrekt sätt. Sammanfattningsvis konstaterar regeringen i förarbetena till dataskyddslagen att en rättslig grund är fastställd i enlighet med svensk rätt om den följer av författning eller beslut som meddelats i enlighet med RF.10 I en upplysningsbestämmelse i 2 kap. 1 och 2 §§ lagen dataskyddslagen framgår att den rättsliga förpliktelsen eller det allmänna intresset kan följa av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning.

Den behandling av personuppgifter som är nödvändig vid informationsutbyte av e-recept har sin grund i patientrörlighetsdirektivet. EU ska stödja och främja samarbete om och utbyte av information mellan medlemsländerna (artikel 14 i patientrörlighetsdirektivet). Eftersom hälso- och sjukvårdsfrågor ligger inom medlemsländernas nationella kompetens innebär regleringen ingen skyldighet för medlemsländerna att delta i sådant samarbete eller informationsutbyte.

8Prop. 2017/18:105 s. 51. 9Prop. 2017/18:105 s. 51. 10Prop. 2017/18:105 s. 51 f.

Någon rättslig förpliktelse med stöd i patientrörlighetsdirektivet eller EU-rätten finns således inte enligt utredningens bedömning.

Samarbetet och informationsutbytet kan med hänsyn till bestämmelsen i patientrörlighetsdirektivet utgöra ett allmänt intresse. Enligt utredningens mening uppfyller det dock inte kravet på att den rättsliga grunden ska vara tillräckligt tydlig, precis och förutsägbar för att direktivet ska kunna utgöra en fastställd rättslig grund enligt dataskyddsförordningens mening (skäl 41 till dataskyddsförordningen). Sammanfattningsvis anser utredningen att det inte finns något stöd i EU-rätten som kan läggas till grund för E-hälsomyndighetens behandling av personuppgifter vid informationsutbytet av e-recept.

Informationsutbytet av e-recept över landsgränser regleras inte i svensk rätt i dag. E-hälsomyndigheten har visserligen en skyldighet att upprätthålla funktioner för det enligt myndighetens regleringsbrev. Ett regleringsbrev är dock begränsat till ett år i taget. Även om uppdraget har funnits under ett antal år anser utredningen att uppdraget inte är en tillräcklig tydlig skyldighet för att utgöra en rättslig grund för behandlingen enligt dataskyddsförordningens krav. Det finns inte heller någon annan författning som skulle kunna utgöra rättslig grund i nationell rätt.

Sammanfattningsvis saknas det i dagsläget, enligt utredningens bedömning, en fastställd rättslig grund för informationsutbytet av e-recept över landsgränser som uppfyller dataskyddsförordningens krav.

7.3. Förutsättningar enligt regeringsformen

Utredningens bedömning: Den rättsliga grunden för informa-

tionsutbytet av e-recept över landsgränser bör fastställas i lag.

7.3.1. Regleringen enligt regeringsformen

För att behandlingen av personuppgifter för informationsutbyte av e-recept över landsgränser ska kunna stödjas på de rättsliga grunderna i artikel 6.1 c (rättslig förpliktelse) och artikel 6.1 e (allmänt intresse) i dataskyddsförordningen krävs alltså att det finns stöd i nationell rätt. För att vara fastställd i nationell rätt krävs enligt 2 kap. 1 och 2 §§ dataskyddslagen att den rättsliga grunden för behandlingen i de

ovan nämnda fallen ska följa av lag eller annan författning, beslut som har meddelats med stöd av lag eller annan författning eller av kollektivavtal.

Valet mellan lag och annan författning avgörs av bestämmelserna i RF. Grundlagens regler om hur normgivningsmakten är fördelad mellan riksdagen och regeringen finns i huvudsak i 8 kap. RF. Föreskrifter meddelas av riksdagen genom lag och av regeringen genom förordning. Föreskrifter ska meddelas genom lag bl.a. om de avser skyldigheter för enskilda eller ingrepp i enskildas personliga eller ekonomiska förhållanden (8 kap. 2 § första stycket 2), s.k. betungande offentligrättsliga föreskrifter. Kravet på att sådana föreskrifter ska ha lagform är dock inte obligatoriskt. Riksdagen kan med vissa undantag som inte är aktuella här bemyndiga regeringen att meddela föreskrifterna (8 kap. 3 §). Regeringen får i övrigt meddela bl.a. sådana föreskrifter som inte enligt grundlag ska meddelas av riksdagen (8 kap. 7 §). Denna föreskriftsrätt brukar kallas för regeringens restkompetens.

Att det allmänna behandlar personuppgifter om enskilda anses inte innebära någon skyldighet för den enskilde eller något ingrepp i enskildas personliga förhållanden i den mening som avses i 8 kap. 2 § första stycket 2 RF. Bestämmelser om personuppgiftsbehandling som utförs av statliga myndigheter under regeringen har därmed i princip ansetts kunna beslutas av regeringen med stöd av dess restkompetens enligt 8 kap. 7 § första stycket 2 RF.11 Det har emellertid varit både riksdagens och regeringens målsättning att myndighetsregister som innehåller ett stort antal registrerade och har ett särskilt känsligt innehåll bör regleras i lag, även om lagform inte krävs enligt RF.12

Vid behandling av personuppgifter aktualiseras även det särskilda grundlagsskyddet för den personliga integriteten enligt 2 kap. 6 § andra stycket RF. Där anges att var och en gentemot det allmänna är skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Enligt 2 kap. 20 § RF får skyddet begränsas genom lag under de förutsättningar som anges i 2 kap. 21 § RF. Skyddet får således inte begränsas genom förordning. I av-

11Prop. 2017/18:105 s. 26. 12 Bet. 1990/91:KU11 s. 11, 1997/98:KU18 s. 48, prop. 1990/91:60 s. 58 och prop. 1997/98:44 s. 41.

snitt 3.2.6 redogör utredningen för rekvisiten i 2 kap. 6 § andra stycket RF.

7.3.2. Den rättsliga grunden bör fastställas i lag

Informationen i ett e-recept innehåller känsliga personuppgifter om patienten, bl.a. uppgifter om patientens läkemedel och därmed indirekt uppgift om hans eller hennes hälsa. Antalet expedieringar av e-recept som utfärdats i ett annat EES-land kan troligtvis komma att öka i takt med att tjänsten e-recept över landsgränser tas i bruk och fler länder ansluter sig. Informationsutbytet kan således komma att omfatta personuppgifter om ett stort antal människor. Uppgifter om bl.a. vad som expedierats och namn på expedierande personal och expedierande apotek i ett annat EES-land kommer att återrapporteras till E-hälsomyndigheten. Uppgifterna innebär att det potentiellt går att ta reda på att en patient varit utomlands och på vilket apotek som patienten har hämtat ut sitt läkemedel. Vad gäller e-recept som utfärdats i ett annat EES-land kommer också uppgift om vad som expedierats och namn på expedierande apotek och personal att sparas hos E-hälsomyndigheten.

Vid bedömningen av om en åtgärd innebär kartläggning eller övervakning ska åtgärdens effekter snarare än det huvudsakliga syftet med åtgärden beaktas. Enligt utredningens bedömning går det inte att utesluta att den behandling som sker vid det gränsöverskridande informationsutbytet skulle kunna anses som en sådan övervakning eller kartläggning som avses i 2 kap. 6 § andra stycket RF. Mot bakgrund av att behandlingen rör känsliga personuppgifter som potentiellt kan omfatta en större mängd registrerade skulle behandlingen kunna utgöra ett betydande intrång i den personliga integriteten.

E-hälsomyndighetens behandling av personuppgifter när ett e-recept från ett annat EES-land ska expedieras i Sverige kommer, enligt utredningens förslag, att ske utan att patientens samtycke inhämtas, se avsnitt 9.10. I förarbetena till bestämmelsen i 2 kap. 6 § andra stycket RF anförs att integritetsskyddet bör ta sikte på sådana åtgärder som den enskilde själv inte kan få kännedom om eller påverka genom ett krav på frivilligt godkännande. Om åtgärden däremot förutsätter den enskildes godkännande, kan det intrång som åtgärden innebär normalt inte anses vara av så allvarlig beskaffenhet att den

bör omfattas av ett stärkt grundlagsskydd.13 En patient som kommer in på ett öppenvårdsapotek för att hämta ut sitt läkemedel innebär enligt utredningens mening en form av medvetet ställningstagande till att patientens personuppgifter ska få överföras för expedieringen. Patienten kan också påverka om personuppgifterna ska behandlas genom att avstå från att hämta ut läkemedlet. Enligt utredningens bedömning är det därför inte troligt att behandlingen utgör ett betydande integritetsintrång för den enskilde patienten i den mening som avses i 2 kap. 6 § andra stycket RF.

Vad gäller svenska e-recept föreslår utredningen att ett integritetshöjande samtycke av patienten ska lämnas för att patientens personuppgifter ska få lämnas ut till ett apotek eller motsvarande i ett annat EES-land, se avsnitt 8.2.6. Det är således patienten själv som väljer om personuppgifter om honom eller henne ska behandlas. Enligt utredningens bedömning utgör inte heller den behandling som sker när ett svenskt e-recept ska expedieras i ett annat EES-land ett betydande integritetsintrång för den enskilde patienten i den mening som avses i 2 kap. 6 § andra stycket RF.

Som framgår ovan och i avsnitt 3.2.6 är riksdagen och regeringen överens om att myndighetsregister med ett stort antal registrerade och ett särskilt känsligt innehåll bör regleras i lag även om det inte krävs enligt regeringsformens bestämmelser. Mot bakgrund av att uppgifter i ett e-recept innehåller känsliga personuppgifter och att det gränsöverskridande informationsutbytet potentiellt kan komma att omfatta ett stort antal registrerade är utredningens bedömning att bestämmelser om personuppgiftshantering vid expediering av svenska e-recept i ett annat EES-land och expediering i Sverige av e-recept utfärdade av behörig föreskrivare i ett annat EES-land bör ha stöd i lag.

7.4. Förutsättningar för nationell reglering enligt dataskyddsförordningen

Utredningens förslag: Särskilda bestämmelser för att anpassa

tillämpningen av dataskyddsförordningen ska införas i de författningar som ska reglera personuppgiftsbehandlingen vid informationsutbytet av e-recept över landsgränser.

13Prop. 2009/10:80 s. 178 f.

Medlemsländerna får behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i dataskyddsförordningen när det gäller behandling som är nödvändig för att fullgöra en rättslig förpliktelse (artikel 6.1 c) eller för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (artikel 6.1 e) enligt artikel 6.2 i dataskyddsförordningen. Den rättsliga grunden som i dessa fall ska vara fastställd i den nationella rätten i enlighet med artikel 6.3 i dataskyddsförordningen får innehålla särskilda bestämmelser för att anpassa tillämpningen av dataskyddsförordningen. Den kan bl.a. ange de allmänna villkor som ska gälla för den personuppgiftsansvariges behandling, vilken typ av uppgifter som ska behandlas, vilka registrerade som berörs, de enheter till vilka uppgifter får lämnas ut och för vilka ändamål, ändamålsbegränsningar, lagringstid samt typer av behandling och förfaranden för behandling.

Vidare ska syftet med behandlingen fastställas i den rättsliga grunden, eller vara nödvändigt för att utföra en uppgift av allmänt intresse. Stödet i rättsordningen ska dessutom uppfylla ett mål av allmänt intresse och vara proportionellt mot det legitima mål som eftersträvas (artikel 6.3 andra stycket i dataskyddsförordningen). Det gränsöverskridande informationsutbytet är enligt utredningens bedömning en rättslig förpliktelse och en uppgift av allmänt intresse enligt artikel 6.1 c och 6.1 e i dataskyddsförordningen. Det är därför tillåtet att införa mer specifika bestämmelser för att anpassa tillämpningen av dataskyddsförordningen. Utredningen föreslår därför att särskilda bestämmelser för att anpassa tillämpningen av förordningen ska införas i de författningar som ska reglera personuppgiftsbehandlingen vid informationsutbytet av e-recept över landsgränser. Det beskrivs närmare i de följande kapitlen.

7.5. Behandling av känsliga personuppgifter

Utredningens bedömning: Behandling av känsliga personupp-

gifter i informationsutbytet av e-recept över landsgränser är nödvändig av skäl som hör samman med de hälso- och sjukvårdsverksamheter som anges i artikel 9.2 h i dataskyddsförordningen.

7.5.1. Känsliga personuppgifter

För att behandla känsliga personuppgifter krävs det förutom att det finns en rättslig grund för behandlingen enligt artikel 6 i dataskyddsförordningen även att något av undantagen i artikel 9 i förordningen är tillämpliga. Av artikel 9.1 i dataskyddsförordningen framgår att behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa14 eller uppgifter om en fysisk persons sexualliv eller sexuella läggning ska vara förbjuden. De angivna kategorierna av personuppgifter benämns i artikeln som särskilda kategorier av uppgifter, men kallas i detta delbetänkande för känsliga personuppgifter.

Förbudet mot att behandla känsliga personuppgifter kompletteras med ett antal undantag i artikel 9.2 i dataskyddsförordningen som anger när behandling av känsliga personuppgifter är tillåten. Några av undantagen är direkt tillämpliga medan andra kräver viss reglering i den nationella lagstiftningen för att behandling av känsliga personuppgifter ska få ske. Enligt utredningens bedömning är det framför allt undantaget i artikel 9.2 h i dataskyddsförordningen som är av intresse vid informationsutbytet över landsgränser.

Undantag för hälso- och sjukvård och social omsorg

Känsliga personuppgifter får enligt artikel 9.2 h i dataskyddsförordningen behandlas om det är nödvändigt av skäl som hör samman med förebyggande hälso- och sjukvård och yrkesmedicin, bedömningen av en arbetstagares arbetskapacitet, medicinska diagnoser, tillhandahållande av hälso- och sjukvård, behandling, social omsorg eller förvaltning av hälso- och sjukvårdstjänster och social omsorg och av deras system, på grundval av EU-rätten eller den nationella rätten eller enligt avtal med yrkesverksamma på hälsoområdet. En ytterligare förutsättning för att behandling av känsliga personuppgifter på hälso- och sjukvårdsområdet samt inom social omsorg ska vara tillåten är att uppgifterna enligt artikel 9.3 i dataskyddsförordningen

14 Uppgifter om läkemedel och andra varor som förskrivs en enskild har ansetts röra dennes hälsa enligt personuppgiftslagen, prop. 2008/09:145 s. 305. Jfr Justitiekanslerns beslut 2008-06-23, dnr 7692-06-42.

behandlas av eller under ansvar av en yrkesutövare eller annan person som omfattas av tystnadsplikt. I 3 kap. 5 § dataskyddslagen finns, i syfte att tydliggöra regleringen, motsvarande undantag. Regeringen uttalade i förarbetena till dataskyddslagen, att även om dessa krav visserligen följer direkt av dataskyddsförordningen, var det av stor vikt för verksamheten inom de områden som omfattas av bestämmelsen att förutsättningarna för att behandla känsliga personuppgifter framgår tydligt.15

I skäl 53 till dataskyddsförordningen klargörs att förvaltning av tjänster för hälso- och sjukvård och social omsorg omfattar behandling som utförs av förvaltningen och centrala nationella hälsovårdsmyndigheter av sådana uppgifter för syften som hör samman med kvalitetskontroll, information om förvaltningen samt allmän nationell och lokal tillsyn över hälso- och sjukvårdssystemet och systemet för social omsorg och säkerställande av kontinuitet inom hälso- och sjukvård och social omsorg samt gränsöverskridande hälso- och sjukvård eller hälsosäkerhet, syften som hör samman med övervakning samt varningssyften eller för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål som baseras på EU-rätten eller på medlemsländernas nationella rätt, vilka måste ha ett syfte av allmänt intresse, samt studier som genomförs av allmänt intresse på folkhälsoområdet. Uppräkningen av syften i skäl 53 till dataskyddsförordningen lär i praktiken täcka nästan all behandling av känsliga personuppgifter som förekommer inom hälso- och sjukvårdsområdet.16

I förarbetena till lagen om nationell läkemedelslista gör regeringen bedömningen att den behandling av personuppgifter som omfattas av den föreslagna lagen om nationell läkemedelslista är nödvändig av skäl som hör samman med verksamheter som anges i artikel 9.2 h i dataskyddsförordningen, särskilt förebyggande hälso- och sjukvård och yrkesmedicin, tillhandahållande av hälso- och sjukvård eller behandling samt förvaltning av hälso- och sjukvårdstjänster och deras system.17

15Prop. 2017/18:105 s. 94. 16 Sören Öman, Dataskyddsförordningen (GDPR) m.m. – En kommentar, kommentaren till artikel 9, JUNO version: 1A. 17Prop. 2017/18:223 s. 79.

7.5.2. Utredningens bedömning av känsliga personuppgifter

Den behandling av personuppgifter som är nödvändig vid informationsutbytet av e-recept över landsgränser för att möjliggöra expediering i ett annat EES-land har i princip samma syfte som en del av den personuppgiftsbehandling som sker inom ramen för den nationella läkemedelslistan, nämligen expediering av recept. Enligt utredningens bedömning är därför behandlingen även vid informationsutbytet inom EES nödvändig av skäl som hör samman med de hälso- och sjukvårdsverksamheter som anges i artikel 9.2 h i dataskyddsförordningen, särskilt förebyggande hälso- och sjukvård eller behandling samt förvaltning av hälso- och sjukvårdstjänster och deras system. Detta undantag kräver emellertid att den aktuella verksamheten utförs med stöd av EU-rätten, medlemsländernas nationella rätt eller enligt avtal med yrkesverksamma på hälsoområdet. Kravet på tystnadsplikt i artikel 9.3 i dataskyddsförordningen måste också vara uppfyllt. Utredningens närmare bedömning av förutsättningarna för att behandla känsliga personuppgifter görs i respektive avsnitt 8.2.1 och 9.9.

7.6. Var regleringen av personuppgiftsbehandlingen ska placeras

Utredningens förslag: E-hälsomyndighetens personuppgiftsbe-

handling ska regleras på följande sätt.

  • E-hälsomyndighetens uppdrag att vara nationell kontaktpunkt för e-hälsa och att tillhandahålla tjänster och infrastruktur för det gränsöverskridande informationsutbytet om e-recept ska regleras i myndighetens instruktion.
  • E-hälsomyndighetens personuppgiftsbehandling när e-recept utfärdade i Sverige expedieras i annat EES-land ska regleras i lagen om nationell läkemedelslista.
  • E-hälsomyndighetens personuppgiftsbehandling när e-recept utfärdade i annat EES-land expedieras i Sverige ska regleras i en egen lag.

E-hälsomyndigheten har sedan en tid haft regeringens uppdrag att vara den nationella kontaktpunkten för e-hälsa och haft en skyldighet att upprätthålla funktioner för ett gränsöverskridande informationsutbyte av e-recept. Utredningen har i tidigare avsnitt gjort bedömningen att uppdraget i regleringsbrevet inte bör utgöra en rättslig grund för E-hälsomyndighetens personuppgiftsbehandling vid ett sådant informationsutbyte. Utredningen föreslår att E-hälsomyndighetens uppdrag som nationell kontaktpunkt för e-hälsa och som tillhandahållare av tjänster och infrastruktur för det gränsöverskridande informationsutbytet bör regleras i myndighetens instruktion för en långsiktig stabil rättslig grund för uppdragen och för den personuppgiftsbehandling som är nödvändig.

Förutom E-hälsomyndighetens instruktion bör den rättsliga grunden liksom de närmare reglerna om E-hälsomyndighetens personuppgiftsbehandling vid det gränsöverskridande informationsutbytet av e-recept regleras i lag. Frågan är då hur denna reglering ska utformas. Antingen kan regleringen ske samlat och omfatta både svenska e-recept och e-recept utfärdat i ett annat EES-land eller så kan regleringen ske var för sig i olika författningar.

När personuppgifter ska behandlas för nya ändamål är det ofta lämpligt att en ny författning reglerar all den behandling som kan komma att ske. En sådan sammanhållen reglering ger en samlad överblick över personuppgiftsbehandlingen vilket ofta medför bättre förutsättningar att bedöma vilken påverkan behandlingen som helhet har för de registrerades integritet. Vidare är fördelen att det är lättare för tillämparen men även för den registrerade att få en överblick av bestämmelserna om allt är samlat.

Vid gränsöverskridande informationsutbyte av e-recept är förutsättningarna emellertid olika beroende på om e-receptet är utfärdat i Sverige eller i ett annat EES-land. I den förra situationen finns e-recepten registrerade i den nationella läkemedelslistan medan i den senare situationen finns e-recepten i ett utländskt register som inte omfattas av svensk rätt. Lagen om nationell läkemedelslista reglerar i dag E-hälsomyndighetens rätt att behandla personuppgifter om det är nödvändigt för bl.a. ändamål som rör expediering av läkemedel på öppenvårdsapotek. Lagen innehåller detaljerade regler om hur personuppgifterna får behandlas. Syftet med den nationella läkemedelslistan är bl.a. att ge hälso- och sjukvården, apoteken och patienten själv samma bild av patientens förskrivna och uthämtade läkemedel.

Enligt utredningens uppfattning fungerar den nationella läkemedelslistan som ett nationellt register för e-recept utfärdade i Sverige. När det gäller e-recept utfärdade i ett annat EES-land är e-recepten registrerade i det landet. E-hälsomyndighetens behandling kommer skilja sig åt beroende på vilken situation det är. Om det är ett svenskt e-recept som ska expedieras i EES handlar det främst om att tillgängliggöra uppgifter i den nationella läkemedelslistan. Om det är ett e-recept från EES handlar det i stället främst om att vidarebefordra information ur det utländska e-receptet som finns registrerat i ett annat EES-land. Tjänsten e-recept över landsgränser ska möjliggöra detta informationsutbyte, men avser inte att skapa parallella register. En utökning av den nationella läkemedelslistan med uppgifter om i Sverige förskrivna och i EES expedierade recept skulle göra registret fullständigt även för patienter som rör sig över gränserna och hämtar ut sina läkemedel i andra länder, uttalade regeringen i förarbetena till lagen om nationell läkemedelslista.18 Den omvända situationen diskuterades inte då.

Mot denna bakgrund är utredningens bedömning att det är lämpligt att regleringen bör ske i separata författningar. Utan att föregripa utredningens fortsatta arbete med patientöversikter (dir 2021:91), kan det inte uteslutas att annat informationsutbyte inom ramen för nätverket för e-hälsa skulle kunna regleras på motsvarande sätt.19Regleringen av E-hälsomyndighetens behandling av personuppgifter avseende svenska e-recept som ska expedieras i ett annat EES-land bör göras i lagen om nationell läkemedelslista som reglerar hur svenska e-recept får behandlas och för vilka ändamål. Utgångspunkten måste därför vara att när personuppgifterna i den nationella läkemedelslistan ska behandlas för nya ändamål eller på nya sätt ska behandlingen omfattas av och regleras i den befintliga författningen. I den omvända situationen, dvs. när E-hälsomyndigheten behandlar personuppgifter om e-recept från EES som ska expedieras i Sverige är utredningens bedömning att det inte finns någon befintlig lagstiftning som passar dessa e-recept. Utredningen har i tidigare avsnitt gjort bedömningen att E-hälsomyndighetens behov av att behandla personuppgifter om e-recept från EES bör regleras i lag. Utredningen föreslår alltså en ny lag för sådana e-recept.

18Prop. 2017/18:223 s. 217. 19 E-hälsomyndigheten föreslår en sådan reglering i sin rapport, Informationshantering vid

utlandsvård (S2019/01519/FS).

7.7. Särskilda överväganden avseende skyddade personuppgifter, fullmakter och barn

Utredningen har i analysen av tjänsten e-recept över landsgränser även identifierat frågor om integritet och sekretess gällande patienter med skyddade personuppgifter, samt barn och vårdnadshavare. När det gäller situationen när någon annan hämtar ut läkemedel åt patienten, t.ex. genom en fullmakt finns även civilrättsliga frågor att beakta. Utredningen tar upp dessa frågor i följande avsnitt.

7.7.1. Skyddade personuppgifter

Utredningens bedömning: Förutsättningar att hantera personer

med skyddade personuppgifter i tjänsten e-recept över landsgränser föreligger inte för närvarande.

Skyddade personuppgifter är ett samlingsbegrepp inom folkbokföringen för de olika skyddsåtgärderna som finns. Beroende på arten av hot finns det tre grader av skydd av personuppgifter; sekretessmarkering, skyddad folkbokföring och fingerade personuppgifter. Därutöver finns också bestämmelser om sekretess som kan aktualiseras för hotade och förföljda personer.20

Det finns en särskild generell sekretessbestämmelse i 21 kap. 3 § första stycket offentlighets- och sekretesslagen (2009:400)(OSL) som gäller vissa uppgifter om det av särskild anledning kan antas att den enskilde eller någon närstående till denne kan komma att utsättas för hot eller våld eller lida annat allvarligt men om uppgiften röjs. Sekretessen gäller förenklat uppgifter som kan visa var någon bor, telefonnummer och andra typer av kontaktuppgifter. Sekretessen gäller också personens anhöriga. Bestämmelsen gäller oavsett i vilket sammanhang uppgiften förekommer.

I förarbetena till den nationella läkemedelslistan uttalade regeringen att det är av särskild vikt att patienter med skyddade personuppgifter ska kunna hanteras i det nya registret.21 Det ansågs vidare vara av stor vikt att sådana uppgifter hanteras på rätt sätt eftersom ett röjande kan få mycket allvarliga konsekvenser. Regeringen ansåg

20Prop. 2017/18:145 s. 29. 21Prop. 2017/18:223 s. 178.

även att E-hälsomyndigheten och de aktörer som bereds direktåtkomst till registret, dvs. hälso- och sjukvården samt öppenvårdsapoteken, behöver ha en godtagbar säkerhetshantering av skyddade personuppgifter.22

E-hälsomyndigheten begärde förhandssamråd med Integritetsskyddsmyndigheten (tidigare Datainspektionen), med anledning av personuppgiftsbehandlingen i den nationella läkemedelslistan enligt artikel 36 i dataskyddsförordningen. I begäran uppgav E-hälsomyndigheten bl.a. att det finns kvarvarande risker avseende hanteringen av skyddade personuppgifter. E-hälsomyndigheten menade dock att ytterligare åtgärder, t.ex. att inte alls registrera individer med skyddade personuppgifter, skulle minska läkemedelslistans användbarhet och innebära risker för patientsäkerheten.

I yttrandet Förhandssamråd enligt dataskyddsförordningen om be-

handling av personuppgifter i den nationella läkemedelslistan uppgav

Integritetsskyddsmyndigheten (IMY) bl.a. att det ställer särskilda krav på den personuppgiftsansvarige att behandla personuppgifter om personer med skyddade personuppgifter, t.ex. att spridandet av generellt sett harmlösa uppgifter som personens namn kan innebära ett allvarligt hot mot den enskilde. Eftersom hotbilden mot den enskilde varierar ansåg IMY att den personuppgiftsansvarige alltid måste analysera den behandling av personuppgifter som blir aktuell i ett enskilt fall och anpassa behandlingen efter den specifika situationen. IMY lyfte även att skyddet för dessa personer måste utformas med stor omsorg och noggrannhet, eftersom en obefogad spridning kan få mycket allvarliga konsekvenser för någon med skyddade personuppgifter, vilka ska kunna känna sig trygga med hur deras personuppgifter kommer att behandlas.23

Vad gäller tjänsten e-recept över landsgränser har E-hälsomyndigheten uppgett att myndigheten ännu inte har utrett frågan hur personer med skyddade personuppgifter ska hanteras i tjänsten och att tjänsten därför till en början inte kommer att kunna omfatta personer med skyddade personuppgifter.

Behandlingen av skyddade personuppgifter ställer särskilda krav på den personuppgiftsansvarige. Vid gränsöverskridande hantering av personuppgifter kompliceras bilden av att personuppgifterna över-

22Prop. 2017/18:223 s. 178. 23 IMY, Förhandssamråd enligt dataskyddsförordningen om behandling av personuppgifter i den

nationella läkemedelslistan, diarienummer: DI-2021-264, datum: 2021-04-30, s. 14.

förs till ett annat land. Innan tjänsten e-recept över landsgränser eventuellt kan omfatta även personer med skyddade personuppgifter behöver E-hälsomyndigheten som personuppgiftsansvarig utreda och analysera förutsättningarna för att kunna skydda dessa personer på ett säkert sätt. Sådana förutsättningar föreligger inte för närvarande enligt utredningens bedömning.

7.7.2. Fullmakter och ombud

Utredningens bedömning: Det bör finnas möjlighet att använda

elektronisk fullmakt i tjänsten e-recept över landsgränser när förutsättningar för det finns på plats.

I tjänsten finns en relativt ny, frivillig möjlighet för deltagande länder att tillåta användning av fullmakter och andra typer av legala ombud (t.ex. vårdnadshavare eller annan som har rätt att företräda patienten) som kan få hämta ut läkemedel åt patienten. Funktionen i tjänsten medger att information om två personer kan förmedlas i tjänsten e-recept över landsgränser, patienten och den som har laglig rätt att hämta ut läkemedel åt patienten. Följande förutsättningar anges gälla.24

  • Både land A och land B ska tillåta att ombud eller annan legal företrädare får hämta ut läkemedel för patientens räkning.
  • Informationen från land B till land A ska avse både ombud och patient.
  • Fullmakt eller liknande rättslig grund för ombudet ska finnas tillgänglig elektroniskt i land A som kan verifiera en sådan grund.
  • Ombudet ska kunna agera på motsvarande sätt som patienten.

Vem som kan vara ombud avgörs enligt lagstiftningen i land A. Land B ska skicka uppgifter om både ombud och patient till land A som kontrollerar uppgifterna. Land A ska då kunna kontrollera kopplingen mellan patienten och patientens företrädare elektroniskt när

24 Beskrivningen av förutsättningarna i tjänsten bygger på redogörelsen av detta i eHDSI

Requirements Catalogue, 02.01. Uniquely identify the Patient.

patienten identifieras. Ombudet ska kunna identifieras på samma sätt som patienten. Vårdnadshavare analyseras i avsnitt 7.7.3.

I förarbetena till den nationella läkemedelslistan uttalade regeringen att kravet på att en fullmakt ska registreras i den nationella läkemedelslistan bara avser fullmakter som ger direktåtkomst till uppgifter i den nationella läkemedelslistan. Regeringen ansåg dock att det inte hindrar att även andra fullmakter t.ex. för att kunna hämta ut förskrivna läkemedel registreras i den nationella läkemedelslistan. Regeringen ansåg även att den civilrättsliga frågan om när en fullmakt är återkallad måste beaktas.25

Funktionen som gör det möjligt med fullmakter, andra typer av ombud (eller ”next of kin” som det ofta kallas i nätverket) och vårdnadshavare är ny i tjänsten e-recept över landsgränser och E-hälsomyndigheten har ännu inte tagit fram systemstöd för den. Funktionen verkar inte användas av något deltagande land ännu. Det ankommer på land A och land B att säkerställa rättslig grund för personuppgiftsbehandlingen.

Utredningen gör bedömningen att det bör finnas möjlighet att använda elektronisk fullmakt i tjänsten e-recept över landsgränser när de tekniska förutsättningarna finns på plats och när övriga förutsättningar för en säker hantering är uppfyllda. Det torde innebära en hantering som liknar den som redan gäller vid expediering i Sverige när fullmakt används.

I skrivande stund är funktionen för att hantera fullmakter och ombud i Sverige ännu inte på plats och vissa överväganden kvarstår. Trots detta föreslår utredningen de lagändringar som behövs för att elektroniska fullmakter ska kunna hanteras i tjänsten, när förutsättningarna för detta finns på plats. I korthet innebär det att fullmakter bör omfattas av uppgiftsskyldigheten för öppenvårdsapoteken till E-hälsomyndigheten när Sverige är land B, se avsnitt 12.2.4. Utredningen föreslår också att det ska gå att söka på ombud i den nationella läkemedelslistan, se avsnitt 8.2.5. När det gäller andra typer av ställföreträdare kan ytterligare överväganden behövas. Vårdnadshavare analyseras i avsnittet nedan.

25Prop. 2017/18:223 s. 90 f.

7.7.3. När patienten är ett barn

Utredningens bedömning: Barn bör kunna omfattas av tjänsten

e-recept över landsgränser först när det är tydligt att barnets integritet kan säkerställas av E-hälsomyndigheten som personuppgiftsansvarig.

Justitieombudsmannen (JO) efterfrågade en belysning av barnperspektivet i sitt remissvar till E-hälsomyndighetens rapport Reglering

av personuppgiftsbehandling (S2018/04035/FS). Andra intressenter

har också lyft frågan till utredningen. I detta avsnitt görs överväganden om patienten är ett barn. Med barn avses personer under 18 år.

Frågor om barn, vårdnadshavare och tillgång till uppgifter om barns hälsa är föremål för pågående arbete t.ex. inom ramen för arbetet med den nationella läkemedelslistan.26 Frågor om barn i hälso- och sjukvården tas också upp av Utredningen om sammanhållen informa-

tion inom vård och omsorg.27 Förutsättningarna för att hämta ut läke-

medel åt barn diskuteras också inom nätverket för e-hälsa.

Utredningen beskriver i avsnittet 7.7.2 ovan de nya förutsättningarna i tjänsten för informationsöverföring när någon annan än patienten t.ex. en vårdnadshavare, hämtar ut läkemedel åt patienten. Tjänsten skulle kunna göra det möjligt för vårdnadshavare att hämta ut läkemedel åt sina barn. Vidare kan det även vara möjligt för äldre barn att hämta ut sina egna läkemedel beroende på förutsättningarna i barnets försäkringsland, land A, och i land B där läkemedlet avses hämtas ut. Det beror främst på om det finns krav på samtycke för personuppgiftshanteringen och möjligheten för barn att lämna samtycke, samt om det finns andra begränsningar för barn t.ex. åldersgräns för att hämta ut läkemedel och att barn kan identifieras i tjänsten e-recept över landsgränser.

Utgångspunkter i svensk rätt när patienten är ett barn

Barnets rättsliga ställning inom hälso- och sjukvården är inte helt entydig. När ett barn söker hälso- och sjukvård möter principen om vårdnadshavarnas ansvar för sina barn det regelverk som gäller för

26 Se t.ex. vad som anförs i JO:s beslut 2019-3331. 27SOU 2021:4 och SOU 2021:39.

vården i Sverige.28 En utgångspunkt är att hälso- och sjukvård ska bedrivas med respekt för patientens självbestämmande och integritet. När patienten är ett barn är utgångspunkten att vårdnadshavarna ska samtycka till vården, men i takt med barnets stigande ålder och utveckling ska allt större hänsyn tas till barnets synpunkter och önskemål enligt 6 kap. 11 § föräldrabalken. Barnets inställning ska tillmätas betydelse i förhållande till barnets ålder och mognad enligt 4 kap. 3 § patientlagen (2014:821). Barnets bästa och att barnet har rätt att uttrycka sin åsikt och få den beaktad anges i artikel 12 i barnkonventionen som genomförts i svensk rätt genom lagen (2018:1197) om Förenta nationernas konvention om barnets rättigheter. Barn anses som särskilt skyddsvärda enligt dataskyddsförordningen, eftersom de kan ha svårare att förutse riskerna med att lämna ifrån sig uppgifter och att förstå vilken rätt till skydd för sina uppgifter som de har (skäl 38 till dataskyddsförordningen).

Förutsättningar för e-recept för barn i nätverket för e-hälsa

Nätverket för e-hälsa anger att barn ska identifieras på motsvarande sätt som vuxna, med en unik nationell identifierare och identitetshandling.29 Barn från Sverige skulle då under förutsättning att de har t.ex. ett nationellt id-kort eller pass kunna hämta ut ett läkemedel30i ett annat land om övriga villkor är uppfyllda, t.ex. att ett integritetshöjande samtycke har lämnats av barnet och att land B tillåter att barn kan hämta ut läkemedel. E-hälsomyndigheten bör bl.a. som personuppgiftsansvarig bedöma om barnet kan lämna ett integritetshöjande samtycke.

Utredningen känner inte till förutsättningarna för hur de länder som kan delta i samarbetet kommer att hantera e-recept för barn. Utredningen känner inte heller till om andra länder kommer att tillämpa åldersgränser och/eller kräva att barnet eller vårdnadshavaren lämnar samtycke för informationsutbytet av e-recept över landsgränser. Det är även frågor som skulle vinna på att diskuteras vidare inom det europeiska samarbetet.

28 Socialstyrelsen, Meddelandeblad Nr 8/2020. 29eHDSI Requirements Catalogue, 02.01. Uniquely identify the Patient. 30 Se vidare om identitetshandlingar i avsnitt 13.3.2.

När vårdnadshavare hämtar ut läkemedel åt barn i Sverige

E-hälsomyndigheten är personuppgiftsansvarig för myndighetens behandling av personuppgifter i den nationella läkemedelslistan (3 kap. 1 § lagen om nationell läkemedelslista). Patienten kan få direktåtkomst till uppgifter om sig själv i den nationella läkemedelslistan. Direktåtkomst får även ges till en annan fysisk person som patienten utsett genom en fullmakt som finns registrerad i den nationella läkemedelslistan enligt 5 kap. 1 § lag om nationell läkemedelslista.

Barn kan själva med ökad ålder få uppgifter om sig själva spärrade i den nationella läkemedelslistan, men vårdnadshavare kan inte få uppgifter spärrade om sina barn, enligt 4 kap. 3 § samma lag. Det finns inga särskilda bestämmelser beträffande barnets mognadsgrad att själv få uppgifter spärrade. Regeringen ansåg i förarbetena att det inte var möjligt att i lag närmare precisera vilken ålder som vore passande för samtliga barn, eller ändamålsenligt att föreslå en särreglering för den nationella läkemedelslistan. Regeringen ansåg att barn och tonåringar bör hanteras på motsvarande sätt som i den övriga verksamheten inom hälso- och sjukvården, som innebär att allt större hänsyn ska tas till barnets önskemål och vilja i takt med den underåriges stigande ålder och utveckling.31

Enligt 4 kap. 4 § tredje stycket lagen om nationell läkemedelslista kan hälso- och sjukvårdspersonal som har behörighet att förskriva läkemedel och som efter en prövning enligt 12 kap. 3 § OSL eller 6 kap. 12 § patientsäkerhetslagen (2010:659) finner att uppgift om en underårig i den nationella läkemedelslistan inte får lämnas ut till dennes vårdnadshavare hos E-hälsomyndigheten begära att få uppgiften spärrad i den nationella läkemedelslistan för direktåtkomst av vårdnadshavaren.

Enligt 25 kap. 17 a § OSL gäller sekretess hos E-hälsomyndigheten för uppgift om en enskilds hälsotillstånd eller andra personliga förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men. Sekretessen gäller inte i förhållande till den enskilde själv. Sekretess till skydd för en enskild gäller även i förhållande till dennes vårdnadshavare enligt 12 kap. 3 § OSL. Sekretessen gäller dock inte i förhållande till vårdnadshavaren i den utsträckning denne enligt 6 kap. 11 § föräldrabalken har rätt och skyldighet att bestämma i frågor som rör den

31Prop. 2017/18:223 s. 139.

underåriges personliga angelägenheter om inte det kan antas att den underårige lider betydande men om uppgifter röjs för vårdnadshavaren, eller om det annars följer av OSL. Det krävs att det men som kan befaras vid utlämnande ska vara betydande.32

Om sekretess inte gäller i förhållande till vårdnadshavaren, förfogar denne ensam eller, beroende på barnets ålder och mognad, tillsammans med barnet över sekretessen till skydd för barnet enligt 12 kap. 3 § OSL. Som utgångspunkt har vårdnadshavarna rätt att ta del av sekretessbelagda uppgifter som rör barnet. I takt med barnets stigande ålder och mognad ska allt större hänsyn tas till barnets integritet, egna synpunkter och önskemål. När ett barn har nått en viss mognad och utveckling kan vårdnadshavarna inte längre göra anspråk på att få veta vad barnet har berättat för t.ex. en läkare.33 Någon fast åldersgräns finns inte fastslagen i svensk rätt som ledning för denna bedömning. Det kan även förekomma fall där det av hänsyn till barnets bästa kan vara befogat att inte lämna ut vissa uppgifter till vårdnadshavarna även om det är fråga om ganska små barn.34

Utredningen om sammanhållen information inom vård och omsorg

redogör för svensk rätt och anger bl.a. att det inte finns någon generell åldersgräns för när ett barn har rätt att självt disponera sina uppgifter, men att vissa utgångspunkter skapats i rättspraxis t.ex. att en 12-årings vilja i regel ska ges avgörande betydelse.35 Situationen anses få bedömas från fall till fall utifrån barnets ålder och mognad..Den utredningen påtalar också att det kan finnas gränsdragningsproblem och praktiska bekymmer med att vårdnadshavaren inte får tillgång till barnets uppgifter, samt att det kan vara vanskligt att bedöma när ett barn har uppnått sådan ålder och mognad att det självt ska få disponera över sina uppgifter, särskilt för barn i yngre tonåren.

Utredningen om sammanhållen information inom vård och omsorg

föreslår därför ett utredningsuppslag att införa en sekretessbrytande bestämmelse som innebär att vårdnadshavare utan hinder av hälso- och sjukvårdssekretess får ta del av sina barns uppgifter till dess barnet fyller 18 år, samt en rätt för barnet att motsätta sig att vårdnadshavare tar del av barnets uppgifter.36

32 Eva Lenberg m.fl., Offentlighets- och sekretesslagen – en kommentar, kommentaren till OSL 12 kap. 3 §, JUNO version 24. 33Prop. 1981/82:186 s. 36. 34Prop. 1981/82:186 s. 36. 35 Beskrivningen av gällande rätt baseras i stora delar på SOU 2021:39 s. 341 ff. 36SOU 2021:39 s. 341 ff.

Frågeställningen har ställts på sin spets i den digitala lösning för direktåtkomst till barns uppgifter som tillhandahålls via den digitala tjänsten Läkemedelskollen, eftersom en sekretessprövning inför ett utlämnande är svår i en sådan lösning. E-hälsomyndigheten beslutade att ta bort vårdnadshavares direktåtkomst till tonåringars receptinformation i Läkemedelskollen37 från april 2019. E-hälsomyndigheten motiverade detta bl.a. med att direktåtkomsten innebar att information om aktuella e-recept blev tillgänglig för vårdnadshavare när de loggat in och det ansågs inte förenligt med OSL. Efter en anmälan av detta beslut uttalade JO att det inte fanns skäl att rikta kritik mot detta förfarande. JO delade bedömningen att uppgifter som omfattas av sekretess till skydd för en underårig som uppnått en viss ålder och mognad bör lämnas ut till vårdnadshavare först efter en prövning i varje enskilt fall.38

I praktiken innebär detta för närvarande bl.a. att vårdnadshavare i Sverige till barn som är cirka 13–17 år inte automatiskt kan se och beställa en tonårings läkemedel via e-handel utan kontakt med en farmaceut. Däremot kan en vårdnadshavare hämta ut läkemedel för sina tonårsbarn om en farmaceut gör en bedömning av vilken information som kan lämnas ut med hänsyn till tonåringens integritet och om sekretess anses gälla i förhållande till vårdnadshavaren. På apoteket kan det göras t.ex. genom att farmaceuten som en integritetsskyddande åtgärd ställer frågor om vilka läkemedel tonåringen behöver.

Sammanfattande överväganden

Utredningen ser en risk för att vårdnadshavaren kan få del av uppgifter om barnets e-recept, utan att någon bedömning av sekretess har gjorts i det enskilda fallet, om vårdnadshavare kan hämta ut recept åt äldre barn i annat land. Det är en situation som sannolikt inte hade inträffat i Sverige med hänsyn till regleringen i bl.a. OSL. Enligt 4 kap. 3 och 4 §§ lag om nationell läkemedelslista kan uppgifter spärras för direktåtkomst för vårdnadshavare. Vårdnadshavare får inte någon egentlig direktåtkomst till en uppgift i den nationella

37 Läkemedelskollen är en tjänst från E-hälsomyndigheten som innebär att patienten under vissa förutsättningar kan logga in och se t.ex. e-recept och information om utlämnade läkemedel. 38 JO beslut 2021-02-03, dnr 3331-2019.

läkemedelslistan via tjänsten e-recept över landsgränser. När farmaceuten hämtar listan över befintliga e-recept utfärdade åt ett barn vid en expediering i ett annat EES-land via den fråga-svarstjänst som beskrivs i avsnitt 5.4.1 och i samband därmed samråder med vårdnadshavaren om vilket e-recept som är aktuellt, skulle vårdnadshavaren i en sådan situation kunna få del av en uppgift om barnets läkemedelsbehandling på ett sätt som inte skulle ske i Sverige. Vårdnadshavaren skulle eventuellt kunna få del av uppgift om ett e-recept som är spärrat gentemot vårdnadshavaren eller omfattas av sekretess. Motsvarande situation blir även aktuell när farmaceuten hämtar uppgifter om det aktuella e-receptet. Om så sker beror bl.a. på hur tjänsten utformas i detta avseende. Även om vårdnadshavaren inte får direktåtkomst till uppgifterna finns en risk att konsekvensen i stort kan bli densamma, t.ex. att vårdnadshavaren får kännedom om uppgifter om barnets läkemedelsbehandling som vårdnadshavaren inte hade fått vid en expediering i Sverige. Till detta kommer att uppgifter ur originalreceptet skickas över i ett PDF-dokument.

Utredningen anser sammantaget att förutsättningarna för att hämta ut läkemedel åt barn i ett annat EES-land för närvarande inte kan antas vara en lika patientsäker hantering som i Sverige med hänsyn till barnets integritet och ur ett sekretessperspektiv. Därför bör vårdnadshavare åt äldre barn inte kunna hämta ut läkemedel för sina barn i EES, om inte barnets integritet kan säkerställas. Förutsättningarna för att hämta ut läkemedel åt patienten ska också vara att ombudet ska kunna agera på motsvarande sätt som patienten.39 Det är svårt att säga när vårdnadshavaren kan göra det, med hänsyn till bestämmelserna till skydd för barnet. Det är något som främst E-hälsomyndigheten som personuppgiftsansvarig bör säkerställa. Bedömningen behöver också göras utifrån hur den nya funktionaliteten i tjänsten som gör det möjligt att hämta ut läkemedel åt patienten utformas och vad det innebär för svensk del.

Motsvarande överväganden behöver göras för yngre barn utifrån de förutsättningar som gäller för dem bl.a. utifrån ett integritets- och sekretessperspektiv, samt spärrar i den nationella läkemedelslistan. Om det ska vara möjligt att kunna hämta ut läkemedel för yngre barn bör främst E-hälsomyndigheten göra en bedömning av.

Pågående arbete inom nätverket för e-hälsa och nationellt bör beaktas. E-hälsomyndigheten arbetar, med anledning av lagen om

39 Se eHDSI Requirements Catalogue, 02.01 Uniquely Identify the Patient.

nationell läkemedelslista, för att hitta lösningar som möjliggör åtkomst till uppgifterna för vårdnadshavare och barn samtidigt som myndigheten beaktar bestämmelserna i OSL till skydd för barns personliga integritet.40 E-hälsomyndigheten bör även överväga när barn kan samtycka till att hämta ut läkemedel på apotek inom ramen för samtyckestjänsten. bör beakta barnets stigande ålder och mognad samt att barnet har rätt att uttrycka sin åsikt och få den beaktad.

40 JO beslut 2021-02-03, dnr 3331-2019 och E-hälsomyndighetens svar med anledning av detta.

8. Ändringar i lagen om nationell läkemedelslista

8.1. Inledning

Utredningen har i föregående kapitel 7 föreslagit att den personuppgiftsbehandling som är nödvändig för att svenska e-recept ska kunna expedieras i ett annat EES-land ska regleras i lagen (2018:1212) om nationell läkemedelslista. I detta kapitel redogör utredningen för de ändringar som krävs i lagen om nationell läkemedelslista för att svenska e-recept ska kunna expedieras i ett annat EES-land. Utredningen redogör också för hur förslagen förhåller sig till dataskyddsregleringen. Dessutom analyseras även hur vissa relevanta bestämmelser i lagen ska tillämpas på e-recept som ska expedieras i ett annat EES-land, t.ex. bestämmelserna om känsliga personuppgifter och personuppgiftsansvar. Dispositionen följer den struktur som finns i lagen om nationell läkemedelslista.

Utredningen har även i uppdrag att analysera möjligheterna att inkludera uppgifter om förskrivare, farmaceuter och apotek från andra EES-länder i den nationella läkemedelslistan med anledning av det gränsöverskridande informationsutbytet. Om så, ska behovet av att ändra i reglerna om offentlighet och sekretess analyseras, liksom förhållandet till bestämmelserna om skyddet mot betydande intrång i den personliga integriteten i 2 kap. 6 § andra stycket regeringsformen (RF). Eventuella inskränkningar i integritetsskyddet kopplade till sekretess och tystnadsplikt, ska följas av analyser av mindre integritetskränkande alternativ samt förslag på särskilda integritetsskyddande åtgärder. En analys av denna del i uppdraget avslutar kapitlet.

8.2. Behov av ändringar i lagen om nationell läkemedelslista

8.2.1. Behandling av känsliga personuppgifter

Utredningens bedömning: E-hälsomyndighetens personal omfattas

av sådan tystnadsplikt som avses i artikel 9.3 i dataskyddsförordningen. En påminnelse om tystnadsplikt när känsliga personuppgifter behandlas med stöd av artikel 9.2. h i dataskyddsförordningen finns i lagen om nationell läkemedelslista.

Behandling av känsliga personuppgifter får enligt artikel 9.2 h i dataskyddsförordningen ske om den är nödvändig av skäl som hör samman med förebyggande hälso- och sjukvård och yrkesmedicin, bedömningen av en arbetstagares arbetskapacitet, medicinska diagnoser, tillhandahållande av hälso- och sjukvård, behandling, social omsorg eller förvaltning av hälso- och sjukvårdstjänster och social omsorg och av deras system, på grundval av EU-rätten eller den nationella rätten eller enligt avtal med yrkesverksamma på hälsoområdet. En ytterligare förutsättning för att behandling enligt artikel 9.2 h ska vara tillåten är att kravet på tystnadsplikt enligt artikel 9.3 i dataskyddsförordningen är uppfyllt.

Utredningen har i avsnitt 7.5 gjort bedömningen att behandlingen av känsliga personuppgifter vid det gränsöverskridande informationsutbytet är nödvändig av skäl som hör samman med de hälso- och sjukvårdsverksamheter som anges i artikel 9.2 h i dataskyddsförordningen.

När det gäller kravet på stöd i EU-rätten eller nationell rätt i artikel 9.2 h ansåg regeringen i förarbetena till lagen om nationell läkemedelslista att verksamheten utförs på grundval av nationell rätt eftersom den sker enligt verksamhetslagstiftningen på de aktuella områdena, t.ex. lagen om nationell läkemedelslista, hälso- och sjukvårdslagen (2017:30), lagen (2009:366) om handel med läkemedel och även förordningen (2013:1031) med instruktion för E-hälsomyndigheten.1 Den behandling av personuppgifter som myndigheten kommer att utföra vid expediering av svenska e-recept på apotek eller motsvarande i ett annat EES-land bör enligt utredningens bedömning ske med stöd av dataskyddsförordningen, lagen om nationell läkemedelslista och E-hälsomyndighetens instruktion.

1Prop. 2017/18:223 s. 79.

En ytterligare förutsättning för att behandlingen ska vara tillåten enligt artikel 9.2 h i dataskyddsförordningen är att kravet på tystnadsplikt i artikel 9.3 i dataskyddsförordningen är uppfyllt. E-hälsomyndighetens personal omfattas av tystnadsplikt enligt 25 kap. offentlighets- och sekretesslagen (2009:400)(OSL).

För att göra den nationella regleringen tydligare har regeringen uttalat att en påminnelse om kravet på tystnadsplikt i artikel 9.3 i dataskyddsförordningen bör tas in i registerförfattningar på hälso- och sjukvårdens område.2 En sådan bestämmelse finns redan i 2 kap. 2 § lagen om nationell läkemedelslista. Den bestämmelsen omfattar enligt utredningens bedömning även E-hälsomyndighetens behandling av känsliga personuppgifter när svenska e-recept expedieras på ett apotek eller motsvarande i ett annat EES-land. Någon ytterligare bestämmelse behövs därför inte.

8.2.2. Personuppgiftsansvar

Utredningens bedömning: E-hälsomyndigheten är personupp-

giftsansvarig för den behandling som myndigheten utför i samband med att svenska e-recept expedieras i ett annat EES-land. Någon ytterligare bestämmelse härom behöver inte införas i lagen om nationell läkemedelslista.

Den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter är personuppgiftsansvarig. Enligt artikel 4.7 i dataskyddsförordningen kan den personuppgiftsansvarige, eller kriterierna för att utse denne, anges i nationell rätt eller i EU-rätten om ändamålen och medlen bestäms av sådan lagstiftning. E-hälsomyndigheten är personuppgiftsansvarig för den behandling som myndigheten utför i den nationella läkemedelslistan (3 kap. 1 §). Skälen till att E-hälsomyndigheten ansågs bör vara personuppgiftsansvarig enligt förarbetena till lagen om nationell läkemedelslista var bl.a. myndighetens särskilda karaktär av infrastrukturmyndighet med ansvar för dåvarande register, receptregistret och läkemedelsförteckningen, som nu omfattas av lagen om nationell läkemedelslista (1 och 2 §§ i E-hälsomyndighetens instruk-

2Prop. 2017/18:171 s. 106.

tion). Denna ordning var en följd av att E-hälsomyndigheten (tidigare Apotekens Service AB) inrättades för att den it-infrastruktur som är nödvändig för drift av apotek skulle förläggas hos en neutral aktör i samband med omregleringen av apoteksmarknaden. Vidare uttalade regeringen att skälet till att E-hälsomyndigheten måste få behandla personuppgifter för de olika ändamål som anges i lagen om receptregister och lagen om läkemedelsförteckning var behovet av att kunna erbjuda en konkurrensneutral samt ur integritetssynpunkt säker överföring av personuppgifter mellan olika aktörer.3

Av E-hälsomyndighetens instruktion följer att myndigheten ska ansvara för register och it-funktioner som öppenvårdsapoteken och vårdgivare behöver ha tillgång till för en patientsäker och kostnadseffektiv läkemedelshantering. Myndigheten ska vidare samordna regeringens satsningar på e-hälsa och övergripande följa utvecklingen på e-hälsoområdet (1 §). Utredningen föreslår i föregående kapitel att det i E-hälsomyndighetens instruktion ska framgå att E-hälsomyndigheten dels ska vara nationell kontaktpunkt för e-hälsa, dels ska tillhandahålla tjänster och infrastruktur för det gränsöverskridande informationsutbytet av e-recept. Vidare föreslår utredningen ett nytt ändamål i lagen om nationell läkemedelslista för E-hälsomyndigheten att behandla personuppgifter för expediering av svenska e-recept på ett apotek eller motsvarande i ett annat EES-land, se avsnitt 8.2.3.

Dataskyddsförordningen ger som tidigare nämnts utrymme för nationell reglering av personuppgiftsansvaret om ändamål och medel fastställs i den nationella rätten (artikel 4.7 i dataskyddsförordningen). Det huvudsakliga syftet med E-hälsomyndighetens behandling av personuppgifter vad gäller ändamålet expediering av svenska e-recept på ett apotek eller motsvarande i ett annat EES-land är att fullgöra sitt uppdrag som nationell kontaktpunkt som utredningen föreslår ska framgå av E-hälsomyndighetens instruktion. Det innebär bl.a. att vidareförmedla uppgifter mellan den nationella läkemedelslistan och kontaktpunkten i ett annat EES-land.

Utredningen finner mot denna bakgrund att E-hälsomyndigheten bör vara personuppgiftsansvarig för myndighetens behandling av personuppgifter vid expediering av svenska e-recept på apotek eller motsvarande i ett annat EES-land och att myndighetens personuppgiftsansvar bör vara fastställt i nationell rätt. Utredningen gör bedömningen att den reglering av personuppgiftsansvaret som framgår

3Prop. 2017/18:223 s. 81.

av 3 kap. 1 § lagen om nationell läkemedelslista även kommer att omfatta behandling av personuppgifter för expediering i ett annat EES-land. Enligt utredningens bedömning behövs därför inte någon ytterligare bestämmelse om personuppgiftsansvaret vad avser överföring av personuppgifter till ett annat EES-land för expediering av svenska e-recept.

8.2.3. Ändamål med personuppgiftsbehandlingen

Utredningens förslag: Personuppgifter ska få behandlas för ända-

målet expediering av läkemedel på ett apotek eller motsvarande i ett annat EES-land. Vidare ska det tydliggöras att uppgifter om förskrivna läkemedel får registreras för expediering på ett apotek eller motsvarande i ett annat EES-land.

Utredningens bedömning: Det är förenligt med dataskyddsför-

ordningen att införa bestämmelser om behandling av personuppgifter i enlighet med utredningens förslag.

Inledning

De ändamål för vilka personuppgifterna i lagen om nationell läkemedelslista får behandlas anges i 3 kap. 2–5 §§. Av lagen följer bl.a. att personuppgifter får behandlas om det är nödvändigt för ändamål som rör registrering av uppgifter, bl.a. om förskrivna läkemedel och andra varor som ska expedieras på öppenvårdsapotek, och ändamål som rör expediering på öppenvårdsapotek av läkemedel och andra varor som förskrivits. Enligt 3 kap. 7 § första stycket lagen om nationell läkemedelslista får personuppgifter som behandlas enligt 3 kap. 2–5 §§ även behandlas för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilka uppgifterna samlades in. Paragrafen ger uttryck för den s.k. finalitetsprincipen i artikel 5.1 b i dataskyddsförordningen. Ändamålsbegränsningen innebär att den personuppgiftsansvarige måste hålla sig till insamlingsändamålen och ändamål som inte är oförenliga med dessa. Denna bedömning bör göras i förhållande till alla förslag om nya ändamål. Innan redan insamlade personuppgifter

behandlas för ett annat ändamål än för vilket de samlades in måste de registrerade informeras om den ytterligare behandlingen men med vissa undantag (artikel 14.4 och 14.5 i dataskyddsförordningen).

Av 3 kap. 7 § andra stycket lagen om nationell läkemedelslista framgår att behandling av personuppgifter som inte är tillåten enligt lagen ändå får utföras om den registrerade har lämnat ett uttryckligt samtycke till behandlingen.

Registrering och expediering av läkemedel på öppenvårdsapotek

Den nationella läkemedelslistan innehåller uppgifter om förskrivna läkemedel och andra varor som ska expedieras på öppenvårdsapotek (3 kap. 2 § 1). Av förarbetena till den nationella läkemedelslistan framgår att registrering av uppgifter om förskrivna läkemedel och andra varor är en grundförutsättning för att registret ska kunna användas och syftar till att möjliggöra personuppgiftsbehandling enligt de övriga ändamål som ska gälla för registret.4 Som framgår av avsnitt 12.4.2 gör utredningen bedömningen att svenska e-recept uppfyller de krav som ställs på e-recept för att kunna användas i tjänsten e-recept över landsgränser och att samma e-recept kan användas antingen i Sverige eller i ett annat EES-land. För att tydliggöra att e-recept även kan komma att expedieras på ett apotek eller motsvarande i ett annat EES-land bör ett tillägg göras i 3 kap. 2 § 1.

Vidare följer av 3 kap. 3 § lagen om nationell läkemedelslista att personuppgifter får behandlas om det är nödvändigt för ändamål som rör öppenvårdsapotek, bl.a. expediering av läkemedel och andra varor som förskrivits. Begreppet öppenvårdsapotek definieras inte i lagen om nationell läkemedelslista utan i lagen (2009:366) om handel med läkemedel. Med öppenvårdsapotek avses en inrättning för detaljhandel med läkemedel som bedrivs med tillstånd av Läkemedelsverket (1 kap. 4 § lagen om handel med läkemedel). Den som bedriver apoteksverksamhet eller liknande i ett annat EES-land omfattas därmed inte av definitionen öppenvårdsapotek. Eftersom den nuvarande regleringen i lagen om nationell läkemedelslista är begränsad till behandling som rör öppenvårdsapotek är expediering på ett apotek eller motsvarande i ett annat EES-land inte ett uttryckligen tillåtet ändamål enligt nuvarande reglering.

4Prop. 2017/18:223 s. 89.

Finalitetsprincipen

Vid bedömningen om finalitetsprincipen är tillämplig på redan insamlade personuppgifter bör en bedömning göras i förhållande till artikel 6.4 i dataskyddsförordningen. Av artikeln framgår hur en bedömning ska göras av om en återanvändning av personuppgifter för ett nytt ändamål är förenligt med insamlingsändamålet. Om det nya ändamålet anses förenligt med de ursprungliga ändamålen krävs inte någon annan separat rättslig grund än den med stöd av vilken insamlingen av personuppgifter medgavs (skäl 50 till dataskyddsförordningen). Vid bedömningen om en återanvändning av personuppgifter är förenlig med insamlingsändamålet ska den personuppgiftsansvarige ta hänsyn till bl.a. kopplingarna mellan de ändamål för vilka personuppgifterna samlades in och ändamålen med den avsedda ytterligare behandlingen. Viktigt att beakta är också det sammanhang inom vilket personuppgifterna har samlats in, personuppgifternas art, eventuella konsekvenser för den registrerade och förekomsten av lämpliga skyddsåtgärder (artikel 6.4 i dataskyddsförordningen). Enligt skäl 50 till dataskyddsförordningen ska särskilt de registrerades rimliga förväntningar till följd av förhållandet till den personuppgiftsansvarige beaktas.

Det finns en nära koppling mellan ändamålet i lagen om nationell läkemedelslista som avser öppenvårdsapotek och expediering av läkemedel och andra varor som förskrivits samt den behandling av personuppgifter som sker när ett svenskt e-recept ska expedieras på ett apotek eller motsvarande i ett annat EES-land. Det egentliga syftet att möjliggöra uthämtning av läkemedel är detsamma. Även personuppgifternas art är detsamma. Det sammanhang som behandlingen sker i är delvis nytt och det är oklart om expediering på ett apotek eller motsvarande i ett annat EES land var något som den registrerade räknade med när personuppgifterna samlades in. Det finns även vissa skillnader när det gäller konsekvenserna av behandlingen för den registrerade och de skyddsåtgärder som tillämpas. Samtidigt kommer inte personuppgifterna att behandlas för expediering i ett annat land om inte den registrerade samtycker till det. Utredningens bedömning är därför att behandling av personuppgifter för expediering av svenska e-recept på ett apotek eller motsvarande i ett annat EESland inte är oförenligt med de ändamål för vilka uppgifterna sam-

lades in men att behandlingen inte enbart bör ske med stöd av finalitetsprincipen.

Personuppgifterna kan inte behandlas med stöd av samtycke

Enligt 3 kap. 7 § andra stycket lagen om nationell läkemedelslista får behandling av personuppgifter som inte är tillåten enligt lagen ändå utföras om den registrerade har lämnat ett uttryckligt samtycke till behandlingen. Möjligheterna för myndigheter att behandla personuppgifter med stöd av samtycke är mycket begränsad. Det är dock inte helt uteslutet för myndigheter att använda samtycke som rättslig grund under förutsättning att den registrerade har en fri valmöjlighet eller utan problem kan vägra eller ta tillbaka sitt samtycke.5Som exempel på situationer när bestämmelsen om samtycke skulle kunna tillämpas har i förarbetena nämnts behandling av personuppgifter för mindre avgörande ändamål för patienten, t.ex. aviserings- och påminnelsetjänster, eller behandling av uppgifter om förskrivare, som inte torde ha samma ojämlika förhållande till den personuppgiftsansvarige som patienter.6 Den behandling som sker när ett svenskt e-recept ska expedieras på ett apotek eller motsvarande i ett annat EES-land är inte sådan. Uppgifter om förskrivare och farmaceuter kommer också att behöva behandlas och från dessa avses inte något samtycke inhämtas. Utredningens bedömning är därför att behandling av personuppgifter för expediering på apotek eller motsvarande i ett annat EES-land inte kan ske med stöd av samtycke från den registrerade.

Ett nytt ändamål bör införas för expediering av e-recept i ett annat EES-land

Utredningen har ovan kommit fram till att expediering av svenska e-recept i ett annat EES-land inte omfattas av de uppräknade ändamålen för vilka personuppgifter får behandlas enligt lagen om nationell läkemedelslista och att det inte är lämpligt att behandla personuppgifterna med stöd av endast finalitetsprincipen eller med stöd av samtycke. För att E-hälsomyndigheten ska kunna behandla person-

5Prop. 2017/18:171 s. 87 och slutet av skäl 42 till dataskyddsförordningen. 6Prop. 2017/18:171 s. 87.

uppgifter för expediering av svenska e-recept på ett apotek eller motsvarande i ett annat EES-land behöver enligt utredningens bedömning ett nytt ändamål som motsvarar det som gäller för svenska öppenvårdsapotek i fråga om expediering av läkemedel införas i lagen om nationell läkemedelslista. Med expediering avses den process som börjar med att läkemedel efterfrågas utifrån en förskrivning och avslutas med att ett läkemedel lämnas ut på ett apotek eller motsvarande i ett annat EES-land. Ändamålet omfattar den behandling som är nödvändig för en expediering bl.a. de kontroller som krävs t.ex. avseende behörig förskrivare och vilka läkemedel som får expedieras. Som utredningen kommer fram till i avsnitt 12.4.5 kan detta även omfatta vissa uppgifter om e-recept som inte kan expedieras i ett annat EES-land, eftersom det bidrar till en patientsäker expediering. Det kan jämföras med 8 kap. 11 § receptföreskrifterna.

För att avgränsa vilka apotek eller motsvarande inrättningar för detaljhandel med läkemedel som omfattas är det enligt utredningens bedömning lämpligt att begränsa expedieringen till de apotek eller motsvarande i de länder som omfattas av samarbetet. Avgränsningen sker genom hänvisning till de krav som har fastställts av nätverket för e-hälsa. Reglerna innebär bl.a. att det bara är apotek eller motsvarande inom EU och EES7 som kan delta, att informationsutbytet måste ske via varje lands nationella kontaktpunkt för e-hälsa samt att dessa kontaktpunkter måste ha godkännande från nätverket för e-hälsa för att få delta i tjänsten e-recept över landsgränser.

Den rättsliga grunden för behandlingen

Enligt dataskyddsförordningen måste varje behandling av personuppgifter stödja sig på en rättslig grund. I avsnitt 3.2.5 har utredningen räknat upp de rättsliga grunderna. Behandlingen stödjer sig på en rättslig grund om den t.ex. är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige eller för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning (artikel 6.1 c och 6.1 e i dataskyddsförordningen). Av skäl 45 till dataskyddsförordningen framgår att hälso- och sjukvårds-

7 Länder som är medlemmar i Efta kan enligt nätverket delta som observatör och i e-hälsoavtalet, men utredningens förslag gäller endast EES-länder, se avsnitt 2.2.

ändamål, såsom folkhälsa och socialt skydd och förvaltning av hälso- och sjukvårdstjänster ingår i allmänintresset.

I kapitel 7 har utredningen gjort bedömningen att gränsöverskridande informationsutbyte av e-recept är en rättslig förpliktelse och en uppgift av allmänt intresse (artikel 6.1 c och 6.1 e i dataskyddsförordningen) och att uppgiften att möjliggöra att ett svenskt e-recept kan expedieras i ett annat EES-land ska fastställas i lagen om nationell läkemedelslista och i E-hälsomyndighetens instruktion (jfr artikel 6.3 första stycket dataskyddsförordningen). För de redan befintliga personuppgifterna i den nationella läkemedelslistan gör utredningen ovan bedömningen att ytterligare behandling av dessa i förhållande till det nya ändamålet är förenlig med de ändamål för vilka personuppgifterna samlades in. Någon ny rättslig grund för den tillkommande behandlingen behövs inte (skäl 50 till dataskyddsförordningen).

Utredningen föreslår ett nytt ändamål som innebär att E-hälsomyndigheten får behandla personuppgifter för expediering av läkemedel på apotek eller motsvarande i ett annat EES-land. Behandling av personuppgifter för detta ändamål bedöms nödvändigt för att uppfylla en rättslig förpliktelse och en uppgift av allmänt intresse. Syftet med behandlingen, att möjliggöra expediering av e-recept i ett annat EES-land, är enligt utredningens bedömning nödvändigt för att utföra en uppgift av allmänt intresse och framgår också av den rättsliga förpliktelsen (jfr artikel 6.3 i dataskyddsförordningen).

Den författning eller det beslut som utgör den rättsliga grunden för behandling av personuppgifter enligt artikel 6.1 c och 6.1 e i dataskyddsförordningen måste enligt artikel 6.3 andra stycket sista meningen i dataskyddsförordningen också uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. I kapitel 11 gör utredningen bedömningen att förslagen uppfyller ett mål av allmänt intresse och är proportionella mot det legitima mål som eftersträvas. Utredningen gör därmed bedömningen att det föreslagna ändamålet är förenligt med artikel 6 i dataskyddsförordningen. Konsekvenserna för den personliga integriteten berörs i kapitel 11.

8.2.4. Registerinnehåll

Utredningens bedömning: Uppgift om landskod är en sådan upp-

gift som får registreras i den nationella läkemedelslistan. Någon uttrycklig bestämmelse härom behövs inte.

Av artikel 5.1 c i dataskyddsförordningen följer att uppgifterna ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. Bestämmelsen om uppgiftsminimering innebär att bara de personuppgifter som är nödvändiga att behandla för ändamålet får behandlas. I 3 kap. 8 § lagen om nationell läkemedelslista kommer detta till uttryck i en uttömmande uppräkning av de uppgifter som registret får innehålla.

När en patient med ett svenskt e-recept hämtar ut ett läkemedel i ett annat EES-land via tjänsten e-recept över landsgränser kommer uppgift om landskod att behöva behandlas av E-hälsomyndigheten. Med personuppgifter avses varje upplysning som avser en identifierad eller identifierbar fysisk person (artikel 4.1 i dataskyddsförordningen). Uppgift om landskod är en sådan uppgift som tillsammans med övriga uppgifter som E-hälsomyndigheten behandlar kan knytas till en fysisk person. Uppgift om landskod är av vikt för spårbarhet, tex. om något går fel är det av vikt att kunna se i vilket land patientens recept expedierats. Enligt den uppräkning av registerinnehåll som framgår av 3 kap. 8 § lagen om nationell läkemedelslista framgår inte uppgift om landskod uttryckligen. Enligt punkten 8 i den bestämmelsen får registret också innehålla andra uppgifter som krävs i samband med en förskrivning eller en expediering. Enligt förarbetena till den nationella läkemedelslistan ingår i första hand uppgifter som enligt Läkemedelsverkets föreskrifter behövs för att förskrivningen ska kunna betraktas som giltig och som inte uttryckligen omnämns i lagen. Vidare ska parametrar av teknisk karaktär få finnas i registret. Av förarbetena framgår också att ökade krav på spårbarhet, t.ex. i europeiska regelverk, är ytterligare ett skäl till att uppgifter som inte är personuppgifter ska kunna lagras i registret.8 Enligt utredningens bedömning är uppgiften om landskod en sådan teknisk uppgift som behövs för spårbarhet som omfattas av 3 kap. 8 § 8 lagen om natio-

8Prop. 2017/18:223 s. 115.

nell läkemedelslista. Uppgiften om landskod behöver därför inte uttryckligen framgå av lagen.

Vad gäller frågan om uppgift om utländsk förskrivare, expedierande farmaceut eller apotek eller motsvarande från ett annat EES-land ska registreras i den nationella läkemedelslistan, se avsnitt 8.3.

8.2.5. Sökbegränsningar

Utredningens förslag: Ombudets och patientens identitet ska få

användas som sökbegrepp för det nya ändamålet expediering av läkemedel på apotek eller motsvarande i ett annat EES-land.

Utredningens bedömning: Den föreslagna justeringen av bestäm-

melsen om sökbegränsningar är en sådan precisering som är tilllåten enligt artikel 6.2 och 6.3 i dataskyddsförordningen.

På vilket sätt personuppgifter kan sammanställas är en viktig fråga ur integritetssynpunkt. Ju större möjligheter det finns att i olika konstellationer sammanställa uppgifter om enskilda personer, desto större blir riskerna för otillbörliga intrång i den personliga integriteten. Med sökbegrepp avses begrepp som används som urvalskriterier för att söka fram handlingar som innehåller det aktuella begreppet eller för att med begreppet som utgångspunkt göra sammanställningar av olika slag. Informationsteknikens utveckling har medfört i det närmaste obegränsade sökmöjligheter när det gäller elektroniskt lagrad information. Det är därför av största vikt att reglera sökbegränsningar så att otillbörliga integritetsintrång kan förhindras.9

I förarbetena till den nationella läkemedelslistan ansåg regeringen att det för det nya registret, som en integritetshöjande åtgärd, dvs. en slags skyddsåtgärd, skulle finnas begränsningar för när vissa personuppgifter får användas som sökbegrepp. För ändamålet som rör bl.a. expediering av läkemedel och andra varor som förskrivits är det nödvändigt att kunna använda patientens och ombudets identitet för att kunna utföra personuppgiftsbehandlingen. Regeringen ansåg därför att patientens och ombudets identitet ska få användas som sökbegrepp för nämnda ändamål.10

9Prop. 2008/09:145 s. 353 f. 10Prop. 2017/18:223 s. 117.

Utredningens bedömning är i likhet med förarbetena till den nationella läkemedelslistan att patientens identitet ska få användas som sökbegrepp för det nya ändamålet expediering av svenska e-recept på ett apotek eller motsvarande i ett annat EES-land.

Som utredningen har redogjort för i avsnitt 7.7.2 finns en relativt ny möjlighet i tjänsten för deltagande länder att tillåta användning av fullmakter om båda länders regelverk tillåter att en bemyndigad person hämtar ut läkemedel åt en annan. Tanken är att endast fullmakter som registreras elektroniskt i land A kan användas, eftersom land A behöver verifiera att fullmakt finns. För det fall att fullmakter kommer att tas i bruk bör, i likhet med vad som gäller för svenska e-recept som expedieras i Sverige, ombudets identitet få användas som sökbegrepp vad gäller utredningens förslag till nytt ändamål för expediering av svenska e-recept i ett annat EES-land.

Förenligheten med dataskyddsförordningen

Om behandlingen är nödvändig för att fullgöra en rättslig förpliktelse eller för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning i enlighet med artikel 6.1 c och 6.1 e i dataskyddsförordningen ger dataskyddsförordningen medlemsländerna visst utrymme att i nationell lagstiftning behålla eller införa bestämmelser för att anpassa tillämpningen av förordningen (artikel 6.2 och 6.3 andra stycket).

Som framgår av tidigare avsnitt grundar sig E-hälsomyndighetens behandling av personuppgifter vid det gränsöverskridande informationsutbytet på rättslig förpliktelse och uppgift av allmänt intresse. Sökbegränsningar är en form av skyddsåtgärd som det enligt artikel 6.2 och 6.3 i dataskyddsförordningen är tillåtet att ha i nationell rätt för att reglera behandling som grundar sig på en rättslig förpliktelse eller en uppgift av allmänt intresse enligt artikel 6.1 c och 6.1 e i dataskyddsförordningen. Enligt utredningens bedömning är det därför förenligt med dataskyddsförordningen att införa nämnda justeringar i 3 kap. 9 § lagen om nationell läkemedelslista.

8.2.6. Den registrerades inställning till personuppgiftsbehandlingen

Utredningens förslag: Patientens samtycke ska krävas för be-

handling av personuppgifter för ändamålet expediering av e-recept i ett annat EES-land.

Utredningens bedömning: Ett integritetshöjande samtycke av

den registrerade utgör en sådan precisering som är tillåten enligt artikel 6.2 och 6.3 i dataskyddsförordningen.

Den behandling som E-hälsomyndigheten utför för ändamålet expediering av e-recept på ett apotek eller motsvarande i ett annat EES-land är nödvändig för att fullgöra en rättslig förpliktelse och för att utföra en uppgift av allmänt intresse. I vissa registerförfattningar förekommer bestämmelser om att den registrerades samtycke krävs för en viss behandling, även om en annan rättslig grund än samtycke tilllämpas för den behandlingen som författningen reglerar, t.ex. rättslig förpliktelse eller uppgift av allmänt intresse eller som ett led i myndighetsutövning (artikel 6.1 c och 6.1 e i dataskyddsförordningen). Om behandlingen stödjer sig på någon av de nyss nämnda rättsliga grunderna i artikel 6.1 c och 6.1 e i dataskyddsförordningen får sådana bestämmelser om samtycke anses tillåtna såsom preciseringar enligt artikel 6.2 och 6.3 i dataskyddsförordningen. Samtycket är i dessa fall en integritetshöjande åtgärd, dvs. en slags skyddsåtgärd.

I förarbetena till lagen om nationell läkemedelslista ansåg regeringen att den reglering av samtycke som finns i dataskyddsförordningen även ska gälla för de samtycken i den nationella läkemedelslistan som utgör integritetshöjande åtgärder.11 Enligt artikel 4.11 i dataskyddsförordningen ska ett samtycke vara frivilligt, specifikt, informerat och utgöra en otvetydig viljeyttring, genom vilken den registrerade, antingen genom ett uttalande eller genom en entydig bekräftande handling, godtar den aktuella behandlingen av personuppgifter som rör honom eller henne. Av artikel 7.1 i dataskyddsförordningen framgår att det är den personuppgiftsansvarige som ska kunna visa att den registrerade har samtyckt till behandlingen av sina personuppgifter. I artikel 7.3 i dataskyddsförordningen anges bl.a.

11Prop. 2017/18:223 s. 127.

att den registrerade ska ha rätt att när som helst kunna återkalla sitt samtycke och att det ska vara lika lätt för den registrerade att återkalla som att ge sitt samtycke.

Den behandling av patientens personuppgifter som kan aktualiseras när ett svenskt e-recept ska expedieras i ett annat EES-land är bara nödvändig om patienten själv vill kunna hämta ut sitt läkemedel i ett annat land. E-hälsomyndigheten har inte något behov av att behandla personuppgifterna för ändamålet expediering i några andra situationer. Det rör sig också om känsliga personuppgifter. Om ett krav på samtycke införs får patienten därmed själv möjlighet att ta ställning till om hans eller hennes personuppgifter ska lämnas till ett apotek eller motsvarande i ett annat EES-land, via den utländska nationella kontaktpunkten för e-hälsa. Samtycket är tänkt att lämnas av patienten till E-hälsomyndigheten på det sätt myndigheten anger. Patienten kommer också att kunna återta sitt samtycke till att uppgifterna överförs till ett annat EES-land.

Det kan dock diskuteras om patientens lämnade samtycke uppfyller de krav som ställs på ett samtycke enligt dataskyddsförordningen, speciellt kravet på frivillighet och att det rör sig om ett förhållande mellan en myndighet och en enskild.12 Tjänsten e-recept över landsgränser skapar en möjlighet för patienten att hämta ut sina läkemedel i ett annat land, t.ex. om patienten har glömt läkemedlet hemma eller har tappat bort läkemedlet på resan. Om patienten inte vill att hans eller hennes personuppgifter ska behandlas av E-hälsomyndigheten för expediering av e-recept i ett annat EES-land kan patienten uppsöka vård i det landet och få ett recept utskrivet där för att sedan hämta ut läkemedlet i det landet. I vissa fall kan patienten, om den vet att det kan bli aktuellt, be att få ett pappersrecept från sin förskrivare att hämta ut i annat land. Regeringen har i propositionen

Dataskydd inom Socialdepartementets verksamhetsområde uttalat att

även i de fall det är en myndighet så torde det finnas utrymme för samtycke som rättslig grund t.ex. om den registrerade har fri valmöjlighet eller utan problem kan vägra eller ta tillbaka sitt samtycke.13Enligt utredningens mening har den enskilde en sådan fri valmöjlighet i denna situation som avses i artikel 4.11 i dataskyddsförordningen.

Utredningens bedömning är därför att ett integritetshöjande samtycke från patienten bör införas för det nya ändamålet expediering

12 Se Integritetsskyddsmyndighetens yttrande, DI-2021-264. 13Prop. 2017/18:171 s. 87. Där regeringen också gör en jämförelse med slutet av skäl 42.

av läkemedel i ett annat EES-land. Att införa ett integritetshöjande samtycke ligger även i linje med principen om uppgiftsminimering i artikel 5 i dataskyddsförordningen som innebär att fler personuppgifter inte får behandlas än de som behövs och uppgifterna ska ha en tydlig koppling till ändamålet med behandlingen. Som framgår ovan är ett integritetshöjande samtycke en tillåten precisering enligt artikel 6.2 och 6.3 i dataskyddsförordningen.

8.2.7. Direktåtkomst till den nationella läkemedelslistan

Utredningens bedömning: Den utländska kontaktpunkten och

expedierande personal på ett apotek eller motsvarande i ett annat EES-land har inte direktåtkomst till uppgifterna i den nationella läkemedelslistan.

Elektroniska former för att lämna ut personuppgifter

Personuppgifter kan elektroniskt lämnas ut på olika sätt, t.ex. genom e-post, filöverföring från ett datorsystem till ett annat eller genom att någon har direkt tillgång till uppgifterna. Oavsett form för att lämna ut personuppgifter utgör det en behandling av personuppgifter enligt dataskyddsförordningens mening. Det innebär att skyddet för fysiska personer ska vara detsamma, oberoende av vilken teknik som används och den personuppgiftsansvarige har att vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa detta.

Elektroniskt utlämnande av personuppgifter från en myndighet kan ske i form av direktåtkomst eller utlämnande på medium för automatiserad behandling. Det är i dagsläget inte helt klarlagt vad som skiljer de olika formerna för utlämnande åt och det saknas legaldefinition för begreppen. Anledningen till att reglera formen för att lämna ut personuppgifter är att den elektroniska formen kan medföra risker för otillbörliga integritetsintrång.

Direktåtkomst

En allmän uppfattning är att direktåtkomst föreligger om den som använder registret på egen hand kan söka i det och få svar på frågor, dock utan att själv kunna bearbeta eller på annat sätt påverka innehållet och att uppgifterna i registret lämnas ut utan att den ansvarige myndigheten i det enskilda fallet har kontroll över vilka uppgifter som lämnas ut.14 I förarbetena till lagen om nationell läkemedelslista anges att med direktåtkomst avses att någon själv kan söka och hämta hem uppgifter utan att kunna påverka innehållet.15

Vid direktåtkomst anses de uppgifter som omfattas av åtkomsten och som finns potentiellt tillgängliga för andra vara utlämnade i tryckfrihetsförordningens mening redan när tillgång medges till uppgifterna.16 Någon sekretessprövning i det enskilda fallet görs således inte innan uppgifterna lämnas ut. Bestämmelser om direktåtkomst har inte i sig en sekretessbrytande effekt, utan måste kombineras med särskilda sekretessbrytande bestämmelser för det fall att uppgifterna omfattas av sekretess.

Utlämnande på medium för automatiserad behandling

Ett elektroniskt utlämnande som inte sker genom direktåtkomst anses i princip göras genom medium för automatiserad behandling. Med begreppet utlämnande på medium för automatiserad behandling avses vanligen ett överlämnande av elektroniskt lagrade uppgifter via något slags medium för lagring eller överföring t.ex. mellan två myndigheters datasystem. Sådant utlämnande innebär att den utlämnande myndigheten i varje enskilt fall tar ställning till om och vilka uppgifter som kan lämnas ut. En eventuell sekretessprövning kan därmed ske i samband med utlämnandet i det enskilda fallet.17Den tekniska utvecklingen har lett till att skillnaderna mellan direktåtkomst och annat uppgiftslämnande på automatiserad väg blivit så små att det kan vara svårt att dra en gräns.

Denna gränsdragning har belysts av Högsta förvaltningsdomstolen i det s.k. LEFI Online-målet (HFD 2015 ref. 61). Försäkringskassan hade gett handläggare hos socialnämnder tillgång till uppgifter ur

14 Se t.ex. prop. 2002/03:135 s. 88, prop. 2011/12:45 s. 133 och prop. 2014/15:63 s. 95. 15Prop. 2017/18:223 s. 234. 16Prop. 2007/08:126 s. 120 ff. 17Prop. 2011/12:45 s. 132.

Försäkringskassans databas LEFI Online. Informationsutbytet skedde genom en fråga-svarsfunktion. Frågan i målet var om socialnämndernas åtkomst till uppgifterna var att anse som direktåtkomst i socialförsäkringsbalkens mening, vilket i sådana fall ställde krav på vissa begränsningar när det gällde vilka uppgifter handläggarna fick ta del av, eller om det i stället var fråga om utlämnande på medium för automatiserad behandling. Högsta förvaltningsdomstolen tog utgångspunkt i tryckfrihetsförordningens (TF) bestämmelser om allmänna handlingar. Av den tidigare lydelsen av 2 kap. 3 § andra stycket TF (nu 2 kap. 6 § första stycket TF) framgår att en upptagning anses förvarad hos myndighet, om upptagningen är tillgänglig för myndigheten med tekniskt hjälpmedel som myndigheten själv utnyttjar för överföring i sådan form att den kan läsas, avlyssnas eller uppfattas på annat sätt. De allmänna handlingar hos en myndighet som en annan myndighet får tillgång till genom direktåtkomst utgör allmänna handlingar även hos denna myndighet.18 Domstolen ansåg att den avgränsning som på detta sätt görs av begreppet direktåtkomst även kunde användas för att bestämma innehållet i begreppet direktåtkomst enligt socialförsäkringsbalkens mening. Domstolen ansåg alltså att avgörande var om upptagningen kunde anses förvarad hos socialnämnderna i TF:s mening. Högsta förvaltningsdomstolen ansåg att socialnämnderna inte på egen hand kunde söka information i databasen utan ett utlämnande genom LEFI Online förutsatte att Försäkringskassan reagerade på en begäran om att de efterfrågade uppgifterna skulle lämnas ut. Försäkringskassan ansågs därmed enligt domstolen förfoga över frågan om och i så fall vilka uppgifter som skulle lämnas ut. Någon sådan teknisk tillgång till upptagningar som avses i 2 kap. 3 § andra stycket TF kan socialnämnderna inte anses ha, vilket medförde att förfarandet inte var att betrakta som direktåtkomst.

Vägledning från eSam

Med utgångspunkt i Informationshanteringsutredningens slutbetänkande Myndighetsdatalag, SOU 2015:39, och Högsta förvaltningsdomstolens dom i LEFI Online-målet har eSamverkansprogrammet (eSam) tagit fram en vägledning för elektroniskt informationsutbyte.19

18Prop. 2002/03:135 s. 90. 19 eSam, Elektroniskt informationsutbyte-en vägledning för utlämnande i elektronisk form, maj 2016.

I vägledningen ställer eSam upp vissa byggstenar som bör ingå i en tjänst för automatiserat informationsutbyte för att det ska anses utgöra utlämnande på medium för automatiserad behandling, och inte direktåtkomst. Enligt eSam kan de led som aktualiseras i en tjänst för automatiserat informationsutbyte som inte avses utgöra direktåtkomst beskrivas så att det behöver finnas

  • en legitimeringsdel där den utlämnande myndigheten gör en autentisering och behörighetskontroll,
  • en hanteringsdel där kontroller görs av att begäran är utformad på ett korrekt sätt och där uppgifterna samlas in, samt
  • en prövningsdel där myndigheten avgör om de begärda uppgifterna kan lämnas ut.

För eSams modell krävs följande grundförutsättningar. Systemet måste vara en fråga-svarstjänst som myndigheten själv förfogar över och till vilken en myndighet kan skicka en begäran elektroniskt. Det ska på förhand vara bestämt vilka frågor som ska kunna ställas till tjänsten och vilka uppgifter som ska kunna lämnas ut till följd av en viss begäran. Uppgifterna ska dessutom ha avgränsats så att det går att genomföra en automatiserad prövning. Den utlämnande myndighetens förfoganderätt omfattar dels beslut om att ta tjänsten i drift och eventuella beslut om att ändra i tjänsten, dels de kontroller och prövningar som automatiserat ska göras av varje enskild begäran om uppgifter och som mottagande myndighet inte ska kunna styra eller kringgå.

Enligt eSam framgår det inte av LEFI Online-målet hur de olika byggstenarna ska utformas rent tekniskt. Det anges endast att ett utlämnande genom tjänsten förutsätter att myndigheten reagerar på en begäran om de efterfrågade uppgifterna innan något lämnas ut, och att myndigheten därigenom får anses förfoga över frågan om och i så fall vilka uppgifter som ska lämnas ut.

Utredningens bedömning

Som E-hälsomyndigheten skriver i sin rapport20 avser Högsta förvaltningsdomstolens dom förhållandet att både utlämnande och mottagande part är svenska myndigheter. Betydelsen av mottagarens

20 E-hälsomyndighetens rapport, Reglering av personuppgiftsbehandling (S2018/04035/FS).

organisationsform och därmed tillämpligheten av bestämmelserna i TF har inte diskuterats i förarbetena till den nationella läkemedelslistan. Regeringen uttalade i förarbetena till den nationella läkemedelslistan att Högsta förvaltningsdomstolens dom kan tolkas så att den tekniska utformningen av en myndighets system för utlämnande av uppgifter kan bli avgörande för om utlämnandet ska anses som direktåtkomst eller annat utlämnande på medium för automatiserad behandling.21 Vidare ansåg regeringen att den föreslagna lagen om nationell läkemedelslista bör vara så teknikneutral och så flexibel som möjligt så att den inte behöver förändras i takt med den tekniska utvecklingen eller till följd av förändringar av myndighetens behov av att behandla personuppgifter. Regeringen ansåg därför att lagen om nationell läkemedelslista bör innehålla bestämmelser om direktåtkomst för det fall att den tekniska lösningen för den nationella läkemedelslistan skulle komma att utformas på ett sådant sätt att det är att ses som direktåtkomst.22

I likhet med förarbetsuttalandena till lagen om nationell läkemedelslista är det enligt utredningens bedömning rimligt att tolka begreppet direktåtkomst utifrån den tekniska lösningen, oberoende av mottagarens organisationsform eller nationalitet. Som E-hälsomyndigheten skriver i sin rapport kan det inte uteslutas att det haft betydelse för utgången i målet att mottagarna var svenska myndigheter. Datainspektionen (numera Integritetsskyddsmyndigheten) har påpekat att Högsta förvaltningsdomstolen endast tagit ställning till frågan om direktåtkomst utifrån de speciella förutsättningar som förelåg i det aktuella målet.23

Utredningen anser att begreppet direktåtkomst bör tolkas utifrån den tekniska lösningen och därmed att en jämförelse med Högsta förvaltningsdomstolens uttalanden i domen bör kunna göras i förhållandet till tjänsten e-recept över landsgränser.

21Prop. 2017/18:223 s. 143. 22Prop. 2017/18:223 s. 144. 23 Datainspektionens yttrande 2017-03-17 i dnr 253-2017.

Figur 8.1 Översikt av informationsöverföringen

Tjänsten e-recept över landsgränser och eSams krav

I kapitel 5 redogör utredningen för hur informationsöverföringen i tjänsten e-recept över landsgränser kommer att fungera. Informationsöverföringen är uppbyggd som en fråga-svarstjänst där överföringen av information endast sker mellan de nationella kontaktpunkterna för e-hälsa. De frågor och svar som skickas i tjänsten är fördefinierade och är gemensamma för samtliga nationella kontaktpunkter för e-hälsa som är anslutna till systemet. Frågorna kan endast ställas i en särskild ordning och om inte frågan ställs på rätt sätt kommer ett felmeddelande att returneras till den begärande nationella kontaktpunkten. Varje enskild fråga som ställs till den nationella kontaktpunkten hanteras och prövas separat och beaktar inte tidigare ställda frågor eller kontrollerade behörigheter. Varje fråga betraktas som en unik begäran.

Vilken information som lämnas ut är avgränsad till specifika uppgifter i enlighet med det regelverk som framtagits av nätverket för e-hälsa. Den utländska kontaktpunkten för e-hälsa kan inte få ytterligare uppgifter utöver de som fastställts av nätverket. En automatiserad prövning i varje enskilt fall görs innan uppgifterna lämnas ut. E-hälsomyndigheten har som nationell kontaktpunkt för e-hälsa kontroll över vilken information som tillgängliggörs för den utländska nationella kontaktpunkten för e-hälsa och när informationen blir känd för den.

Sverige Land B

Lag om nationell läkemedelslista

Utländskt

apotek

expeditionsstöd

Utländsk kontaktpunkt

för e-hälsa

Nationell kontaktpunkt E-hälsomyndigheten

Farmaceut på

utländskt

apotek

Nationell läkemedelslista

Vad gäller det apotek i ett annat EES-land som ska expediera det svenska e-receptet loggar farmaceuten in i systemet mot den utländska kontaktpunkten för e-hälsa genom s.k. tvåfaktorsautentisering. Sedan kontaktar den utländska nationella kontaktpunkten E-hälsomyndigheten som i sin tur hämtar och översätter de efterfrågade uppgifterna från den nationella läkemedelslistan. Den utländska kontaktpunkten för e-hälsa får inte tillgång till något annat än den efterfrågade informationen för vidarebefordran till det aktuella apoteket i utlandet. Apoteket får i sin tur bara tillgång till den efterfrågade informationen och har ingen möjlighet att själv kunna söka fritt i den nationella läkemedelslistan eller att direkt logga in mot E-hälsomyndigheten.

Även om skillnaderna mellan direktåtkomst och utlämnande på medium för automatiserad behandling är små och gränsdragningen svår anser utredningen att åtkomsten till den nationella läkemedelslistan bör kunna betraktas som ett utlämnande på medium för automatiserad behandling. E-hälsomyndigheten har vid en jämförelse med de kriterier som eSam ställer upp, kommit fram till att tjänsten tekniskt sett uppfyller de byggstenar som krävs för att utlämnandet ska kunna betraktas som ett sådant utlämnande. E-hälsomyndighetens jämförelse utgick från ett verksamhetsmässigt perspektiv, och inte ett juridiskt perspektiv. I den slutliga rapporten anförde dock E-hälsomyndigheten att oavsett hur utländsk apotekspersonals åtkomst ska betraktas var myndighetens uppfattning att en bestämmelse om direktåtkomst bör införas. Skälet för detta var bl.a. att expedierande personal på utländskt apotek har samma behov av information som sådan personal på svenska öppenvårdsapotek och att regleringen därför bör vara densamma.24

Slutsats

Enligt utredningens bedömning får expedierande personal på ett apotek eller motsvarande i ett annat EES-land tillgång till i stort samma uppgifter som personal på öppenvårdsapotek i Sverige även om tillgången till informationen inte sker genom direktåtkomst. Den information som överförs mellan de nationella kontaktpunkterna för e-hälsa har av nätverket för e-hälsa bedömts tillräcklig för att åstad-

24 E-hälsomyndigheten, Reglering av personuppgiftsbehandling (S2018/04035/ FS), s. 60 f.

komma en patientsäker expediering. Utredningen är därför av den uppfattningen att expedierande personals behov av information tillgodoses lika bra utan möjligheten till direktåtkomst.

Utredningen finner det heller inte motiverat att ta höjd för direktåtkomst för utländsk expedierande personal till den nationella läkemedelslistan på samma sätt som regeringen gjort vad gäller expedierande personal i Sverige. Utredningen finner inte att det på samma sätt som för den nationella läkemedelslistan finns skäl att ha en reglering av utländsk expedierande personals direktåtkomst för att lagen ska vara teknikneutral och flexibel så att en teknisk lösning som innebär direktåtkomst ska kunna användas. Främsta skälet härtill är dels att tjänsten som den är utformad i dag enligt utredningens bedömning inte uppfyller förutsättningarna för direktåtkomst, dels att det inte heller är önskvärt att ha en sådan lösning. En sådan utveckling framstår heller inte som sannolik. Sverige deltar aktivt i arbetet med att utforma tjänsten och kan bevaka utvecklingen. Till skillnad från när en svensk farmaceut får tillgång till den nationella läkemedelslistan kommer informationsöverföringen att gå via de nationella kontaktpunkterna för e-hälsa som väljer vilka uppgifter som ska skickas och översätter dem till engelska, mottagande kontaktpunkt översätter till sitt språk. Den utländska farmaceuten har inte någon tillgång till den nationella läkemedelslistan. Utlämnandet bör i stället anses göras till de nationella kontaktpunkterna för e-hälsa.

Sammanfattningsvis anser utredningen att mycket talar för att varken åtkomsten för expedierande personal på utländskt apotek eller den utländska kontaktpunkten för e-hälsa är att betrakta som direktåtkomst. Utredningen anser därför att det inte bör införas någon bestämmelse om direktåtkomst för expedierande personal på utländskt apotek eller för utländsk kontaktpunkt för e-hälsa i den nationella läkemedelslistan.

8.2.8. Uppgiftsskyldighet till utländsk kontaktpunkt

Utredningens förslag: En bestämmelse om uppgiftsskyldighet

för E-hälsomyndigheten till utländsk kontaktpunkt för e-hälsa ska införas.

Utredningens bedömning: Det är förenligt med dataskyddsför-

ordningen att införa bestämmelser i svensk rätt om behandling av personuppgifter i enlighet med utredningens förslag.

För att ett svenskt e-recept ska kunna expedieras på ett apotek eller motsvarande i ett annat EES-land krävs att apoteket får tillgång till de uppgifter som behövs för att kunna genomföra expedieringen.

I OSL finns bestämmelser om tystnadsplikt i det allmännas verksamhet och förbud att lämna ut allmänna handlingar. Enligt 25 kap. 17 a § OSL gäller sekretess hos E-hälsomyndigheten för uppgift om en enskilds hälsotillstånd eller andra personliga förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående lider men. Enligt 8 kap. 1 § OSL får uppgift för vilken sekretess gäller enligt OSL inte röjas för enskilda eller för andra myndigheter, om inte annat anges i OSL eller i lag eller förordning som OSL hänvisar till. Det förekommer situationer när andra myndigheters eller enskildas intresse av att ta del av en sekretessbelagd uppgift väger tyngre än det intresse sekretessen ska skydda. Det finns därför bestämmelser i OSL som innebär att sekretess under vissa förutsättningar inte hindrar att sekretessbelagda uppgifter lämnas till myndigheter eller enskilda. Sådana bestämmelser kallas för sekretessbrytande bestämmelser. En sådan sekretessbrytande bestämmelse finns i 25 kap. 17 c § OSL som innebär att sekretessen i 25 kap. 17 a och 17 b §§ inte hindrar att E-hälsomyndigheten lämnar ut uppgifter enligt lagen om nationell läkemedelslista till hälso- och sjukvårdspersonal som har behörighet att förskriva läkemedel eller andra varor, en sjuksköterska utan sådan behörighet, en dietist, en farmaceut i hälso- och sjukvården eller till expedierande personal på öppenvårdsapotek. För att E-hälsomyndigheten ska kunna lämna ut uppgifter från den nationella läkemedelslistan för expediering av e-recept i ett annat EES-land behöver en sekretessbrytande bestämmelse införas.

För att E-hälsomyndigheten inte ska behöva göra en sekretessprövning i varje enskilt fall behöver dessutom en bestämmelse om

uppgiftsskyldighet införas i lagen om nationell läkemedelslista. I förarbetena till lagen om nationell läkemedelslista har regeringen funnit att bestämmelser om uppgiftsskyldighet bör införas i lagen.25 Motsvarande bestämmelser i lagen om receptregister motiverades med att det inte skulle råda något tvivel om att uppgiftslämnandet inte är obehörigt men också för att tydliggöra att det är fråga om ett åliggande för dåvarande Apotekens Service AB (numera E-hälsomyndigheten).26 Utredningen delar den bedömningen som gjorts i tidigare lagstiftningsärenden att en bestämmelse bör införas om uppgiftsskyldighet för att tydliggöra att utlämnandet av uppgifterna till en utländsk nationell kontaktpunkt för e-hälsa är ett åliggande för E-hälsomyndigheten och att det är behörigt.

För att uppgiftsskyldigheten till utländsk kontaktpunkt för e-hälsa ska kunna bryta sekretessen måste ett tillägg göras i den sekretessbrytande bestämmelsen i 25 kap. 17 c § OSL som även omfattar utlämnande till utländsk nationell kontaktpunkt för e-hälsa, se vidare avsnitt 10. 6.

De uppgifter som skyldigheten omfattar avser bl.a. patienten, patientens läkemedelsbehandling och förskrivet läkemedel, se vidare avsnitt 5.4.2.

Den rättsliga grunden för behandlingen

Den uppgiftsskyldighet som utredningen föreslår innebär att E-hälsomyndigheten har en skyldighet att lämna ut uppgifter till den utländska nationella kontaktpunkten för e-hälsa. En uppgiftsskyldighet innebär i sig en sådan rättslig förpliktelse som avses i artikel 6.1 c i dataskyddsförordningen. Den rättsliga förpliktelsen är enligt förslaget fastställd i lagen om nationell läkemedelslista. Syftet med uppgiftsskyldigheten är att möjliggöra expediering av e-recept i ett annat EES-land, vilket också kommer att framgå av lagen om nationell läkemedelslista (jfr artikel 6.3 i dataskyddsförordningen).

Den författning eller det beslut som utgör den rättsliga grunden för behandling av personuppgifter enligt artikel 6.1 c måste enligt artikel 6.3 andra stycket sista meningen i dataskyddsförordningen också uppfylla ett mål av allmänt intresse och vara proportionell mot

25Prop. 2017/18:223 s. 168. 26Prop. 2008/09:145 s. 316.

det legitima mål som eftersträvas. I kapitel 11 gör utredningen bedömningen att förslagen uppfyller ett mål av allmänt intresse och är proportionella mot det legitima mål som eftersträvas. Konsekvenserna för den personliga integriteten berörs närmare i kapitel 11.

8.3. Behov av nya uppgifter i lagen om nationell läkemedelslista

Lagen om nationell läkemedelslista är en sammanslagning av lagen (1996:1156) om receptregister och lagen (2005:258) om läkemedelsförteckning. I förarbetena har regeringen uttalat att det nya registret i allt väsentligt ska innehålla samma uppgifter som finns i receptregistret och läkemedelsförteckningen. Det innebär att uppgifter som fram till den 1 maj 2021 fick registreras enligt lagen om receptregister och lagen om läkemedelsförteckning, och som behövs för att förskrivning och expediering av läkemedel och andra varor kan ske på ett patientsäkert sätt, även får registreras i den nationella läkemedelslistan.27

Lagen om nationell läkemedelslista får, i den utsträckning det behövs för ändamålen enligt 3 kap 2–5 §§, innehålla uppgifter om bl.a. förskrivarens namn, yrke, arbetsplats etc. (3 kap. 8 § 3) och expedierande apotek och expedierande farmaceut (3 kap. 8 § 6). Lagstiftaren har därmed bedömt i tidigare lagstiftningsärenden att uppgifter om förskrivare, expedierande farmaceut och expedierande apotek behövs för de ändamål för vilka uppgifterna behandlas. Av förarbetena till den nationella läkemedelslistan framgår att med begreppen ”förskrivare”, ”öppenvårdsapotek” och ”farmaceut” avses endast förskrivare och farmaceut med svensk legitimation och öppenvårdsapotek med svenskt tillstånd.28 Uppgifter om utländska apotek, farmaceuter och förskrivare behöriga i annat EES-land omfattas således inte uttryckligen av de uppgifter som får registreras i den nationella läkemedelslistan i dag, enligt utredningens bedömning.

När ett svenskt e-recept expedieras i ett annat EES-land ska uttaget rapporteras tillbaka till E-hälsomyndigheten som nationell kontaktpunkt för e-hälsa i enlighet med nätverket för e-hälsas krav. Det som ska återrapporteras framgår av nätverkets krav, vilket är

27Prop. 2017/18:223 s. 106. 28Prop. 2017/18:223 s. 217 f.

bl.a. uppgifter om patientens namn och födelsedatum, farmaceutens namn, identifiering och yrke samt identifiering av apoteket samt kontaktuppgifter till expedierande apotek. Vidare återrapporteras bl.a. recept-id, namn och beskrivning av expedierat läkemedel, expedierad mängd samt om utbyte av läkemedel har gjorts. Syftet med återrapporteringen är bl.a. att den nationella läkemedelslistan ska kunna uppdateras med uppgifterna om uttaget, t.ex. vilket läkemedel som expedierats och vilken mängd. Det behövs bl.a. för avräkning från antalet möjliga uttag och för att kunna veta vilket läkemedel som faktiskt expedierats.

Utredningen föreslår att ett nytt ändamål förs in i lagen om nationell läkemedelslista som gör det möjligt för E-hälsomyndigheten att behandla personuppgifter för expediering av läkemedel på ett apotek eller motsvarande i ett annat EES-land, se avsnitt 8.2.3. Det innefattar också att ta emot de uppgifter som vid expedieringen ska återrapporteras från expedierande personal via kontaktpunkten i det andra EES-landet. Utredningen anser att mycket talar för att samma personuppgifter som behöver registreras för de e-recept som expedieras i Sverige också bör få registreras när ett sådant recept expedieras i ett annat EES-land för att säkerställa att processen är lika effektiv och patientsäker som om receptet hade expedierats i Sverige.

Med uppgift om utländsk förskrivare avses uppgift om förskrivarens namn och yrke. Med uppgifter om expedierande personal och apotek avses uppgift om farmaceutens namn, identifiering och yrke, samt identifiering av apoteket, kontaktuppgifter till expedierande apotek samt apotekets namn.

8.3.1. Uppgift om expedierande personal, apotek och förskrivare från ett annat EES-land

Utredningens förslag: Uppgift om expedierande personal och

apotek eller motsvarande i ett annat EES-land och uppgift om behörig förskrivare i ett annat EES-land ska få registreras i lagen om nationell läkemedelslista.

Utredningens bedömning: Det finns ett behov av dessa upp-

gifter för att processen ska vara lika effektiv och patientsäker som den nationella processen.

Behov av uppgift om expedierande personal och apotek eller motsvarande i ett annat EES-land

Förskrivarnas och öppenvårdsapotekens behov av uppgifter

I dag har expedierande personal på öppenvårdsapoteken rätt att ta del av alla uppgifter i den nationella läkemedelslistan utan patientens samtycke, förutom ordinationsorsak, för ändamålet expediering av läkemedel och andra varor (5 kap. 1 §). Med patientens samtycke får expedierande personal ta del av alla uppgifter i registret, förutom ordinationsorsak, för ändamålet underlättande av en patients läkemedelsanvändning (5 kap. 2 §). Även hälso- och sjukvårdspersonalen får med patientens samtycke ta del av uppgifter i registret. Hälso- och sjukvårdspersonal som har behörighet att förskriva läkemedel eller andra varor får ges direktåtkomst till uppgifter i registret för ändamålen som räknas upp i 3 kap. 4 § lagen om nationell läkemedelslista, dvs. för åstadkommande av en säker ordination av läkemedel och andra varor för en patient, beredande av vård eller behandling av en patient eller komplettering av en patientjournal. Sjuksköterska utan behörighet att förskriva läkemedel eller andra varor, dietist och farmaceut i hälso- och sjukvården får ges direktåtkomst till uppgifter för ändamålen som räknas upp i 3 kap. 4 § 2 och 3, dvs. beredande av vård eller behandling av en patient eller komplettering av en patientjournal. Vidare får hälso- och sjukvårdspersonal ges direktåtkomst till uppgifter i den nationella läkemedelslistan om det är nödvändigt för att en patient ska kunna få den vård eller behandling som han eller hon oundgängligen behöver och patienten inte kan lämna sitt samtycke (5 kap. 5 §).

Uppgift om expedierande farmaceut och expedierande apotek är således uppgifter som förskrivare och öppenvårdsapotek kan få tillgång till i dag under olika förutsättningar och som lagstiftaren bedömt vara nödvändiga uppgifter att ha med i den nationella läkemedelslistan. Enligt utredningens bedömning bör sådana uppgifter ytterst syfta till att stärka patientsäkerheten. Utredningen anser att sådana uppgifter kan behövas för att både hälso- och sjukvårdspersonal och expedierande personal ska kunna kontakta apoteket vid frågetecken om en tidigare expediering. I detta sammanhang kan nämnas att det följer av 8 kap. 11 § receptföreskrifterna att en farmaceut ska göra en bedömning av om expedieringen är lämplig med hänsyn till den som receptet avser och dennes behov. Vid expedier-

ing av ett recept avseende läkemedel och teknisk sprit för behandling av människa ska vid bedömningen enligt första stycket även patientens samtliga recept i elektronisk form samt information om expedierade läkemedel beaktas. Då kan behov av uppgift om var expedieringen har gjorts inte uteslutas, enligt utredningens bedömning.

Utredningens bedömning är att motsvarande skäl gör sig gällande när ett svenskt e-recept expedieras i ett annat EES-land, dvs. att det finns ett behov av patientsäkerhetsskäl att ha tillgång till uppgift om expedierande personal och apotek, även om dessa finns i ett annat land. I utredningens kommittédirektiv understryks också särskilt vikten av att hälso- och sjukvården och öppenvårdsapoteken behöver ha en så komplett bild som möjligt av förskrivna och expedierade läkemedel för att kunna ge en patientsäker och ändamålsenlig vård. Att få med e-recept som expedieras i andra EES-länder i den nationella läkemedelslistan ger förskrivare och expedierande personal ett mer fullständigt beslutsunderlag i mötet med patienten. Uppgifter om apotek och farmaceut i annat EES-land ger farmaceuten på ett svenskt apotek information bl.a. om att det är en utlandsexpediering.

Utredningen kan inte utesluta att det kan finnas ett behov även för att uppfylla ovannämnda kontroll i 8 kap. 11 § receptföreskrifterna samt ett behov för expedierande personal på svenska öppenvårdsapotek att komma i kontakt med expedierande personal på apotek eller motsvarande i ett annat EES-land. Detta talar också för att det finns behov av uppgift om expedierande farmaceut och apotek eller motsvarande i ett annat EES-land i den nationella läkemedelslistan.

Övriga aktörers behov

Vad gäller övriga aktörer är utredningens bedömning, efter en genomgång av vilka uppgifter som aktörerna får från den nationella läkemedelslistan, att de som i dag inte får uppgift om expedierande farmaceut och apotek vad gäller svenska e-recept som expedieras i Sverige inte heller har behov av dessa uppgifter vad gäller svenska e-recept som expedieras i ett annat EES-land. Något annat behov av dessa uppgifter har heller inte framkommit. Vad gäller de aktörer som i dag får uppgift om expedierande farmaceut och apotek avseende de svenska e-recepten som expedieras i Sverige, som t.ex. Läke-

medelsverket och Tandvårds- och läkemedelsförmånsverket (TLV) är utredningen av den bedömningen att något motsvarande behov inte finns vad gäller svenska e-recept som expedieras i ett annat EESland. Läkemedelsverket har varken tillsyn över tillhandahållandeskyldigheten på ett utländskt apotek eller motsvarande eller över vilka uppgifter som en utländsk farmaceut lämnar vid expediering av en förskrivning (jfr 3 kap. 5 § 8 och 6 kap. 8 § lagen om nationell läkemedelslista). TLV:s tillsyn enligt lagen (2002:160) om läkemedelsförmåner m.m. gäller bara expediering av svenska e-recept på öppenvårdsapotek i Sverige. Något annat behov av dessa uppgifter har heller inte framkommit.

E-hälsomyndigheten har behov av uppgift om expedierande farmaceut och apotek eller motsvarande i ett annat EES-land för det nya föreslagna ändamålet i lagen om nationell läkemedelslista. Uppgifterna behövs för spårbarhet och möjligheten att göra felsökningar.

Behov av uppgift om förskrivare behörig i ett annat EES-land

E-hälsomyndighetens behov

Lagen om nationell läkemedelslista ska innehålla uppgifter om förskrivna och expedierade läkemedel och andra varor för människor (1 kap. 1 §). Det framgår inte uttryckligen att förskrivningen eller expedieringen ska ske i Sverige, men en rimlig tolkning är att registret omfattar dels de e-recept som förskrivs i Sverige, dels alla expedieringar som sker på svenska öppenvårdsapotek. Vad gäller expedierade läkemedel framgår det inte att uppgifter om expedierade läkemedel måste vara kopplade till en förskrivning som finns registrerad i den nationella läkemedelslistan sedan tidigare. Det kan finnas ett behov av att registrera uppgifter om en expediering av ett recept i Sverige, även om själva receptet inte finns i den nationella läkemedelslistan från början, t.ex. för statistikändamål. Det sker i dag för bl.a. vissa pappersrecept, både svenska och utländska. För att dokumentera expedieringen kommer expedierande personal att behöva registrera uppgifter om själva expedieringen i expeditionssystemet bl.a. uppgiften om utländsk förskrivare. Uppgiften kommer att lagras i den nationella läkemedelslistan på ett sätt som motsvarar andra expedieringar där själva receptet inte finns i den nationella läkemedelslistan. E-hälsomyndigheten har därför behov av att uppgift om ut-

ländsk förskrivare registreras i den nationella läkemedelslistan för statistikändamål och av spårbarhets- och uppföljningsskäl samt av patientsäkerhetsskäl för både E-hälsomyndigheten och mottagare av informationen.

Övriga aktörers behov

Läkemedelsverket och Socialstyrelsen har uppgett till utredningen att myndigheterna har behov av uppgift om förskrivare behörig i ett annat EES-land. Läkemedelsverket får i dag uppgift om förskrivare från lagen om nationell läkemedelslista för ändamålet tillsyn över tillhandahållandeskyldigheten och uppgiftslämnande vid en expediering av en förskrivning (3 kap. 5 § 8). Läkemedelsverket ska bl.a. kunna verifiera att uppgifterna som lämnas från enskilda apotek överensstämmer med de som har rapporterats till E-hälsomyndigheten.29 I förarbetena har det bl.a. ansetts finnas ett sådant behov, t.ex. i samband med tillsyn av ett visst öppenvårdsapotek när Läkemedelsverket misstänker att apoteket har förfalskat recept.30 Vidare har det ansetts finnas ett behov av att E-hälsomyndigheten lämnar uppgifter till Läkemedelsverket för tillsyn av öppenvårdsapotekens tillhandahållandeskyldighet.31 Detta behov kan tillgodoses främst genom utredningens förslag till ny lag om E-hälsomyndighetens hantering av e-recept inom EES, se avsnitt 9.7 och 9.11.3. Även Socialstyrelsen får i dag uppgift om förskrivare för ändamålet epidemiologiska undersökningar, forskning, framställning av statistik etc. (3 kap. 5 § 5). Utredningens bedömning är att Socialstyrelsen kan antas ha ett motsvarande behov av uppgifter om utländska förskrivare när ett utländskt e-recept expedieras i Sverige.

Sammanfattande bedömning av behovet av uppgifter

Utredningens slutsats är att det finns behov av att inkludera uppgift om farmaceut och apotek eller motsvarande i ett annat EES-land i den nationella läkemedelslistan för öppenvårdsapotekens, hälso- och sjukvårdspersonalens och E-hälsomyndighetens behov. Uppgifterna

29Prop. 2017/18:157 s. 166. 30Prop. 2017/18:223 s. 171 f. 31 Se vidare t.ex. prop. 2008/09:145 s. 314 och prop. 2013/14:93 s. 120.

är nödvändiga för ändamålen som rör öppenvårdsapoteken i 3 kap. 3 §, ändamålen som rör hälso- och sjukvårdspersonal i 3 kap. 4 § och det nya ändamålet som rör expediering på apotek eller motsvarande i ett annat EES-land i 3 kap. 3 a § lagen om nationell läkemedelslista. Det finns också behov av att inkludera uppgift om utländsk förskrivare för E-hälsomyndighetens och Socialstyrelsens behov. Uppgiften är nödvändig för ändamålet framställning av statistik hos E-hälsomyndigheten i 3 kap. 5 § 3 och för ändamålet epidemiologiska undersökningar, forskning, framställning av statistik etc. i 3 kap. 5 § 5.

8.3.2. Förutsättningar enligt dataskyddsförordningen

Behandling av personuppgifter får enligt artikel 5.1 b i dataskyddsförordningen endast ske för särskilda, uttryckligt angivna och berättigade ändamål. Ändamålen ska vara specifika, konkreta, och tydligt formulerade. Utredningen har i tidigare kapitel redogjort för att det krävs en laglig grund för att personuppgifter ska få behandlas enligt dataskyddsförordningen. I lagen om nationell läkemedelslista har E-hälsomyndigheten stöd för att behandla personuppgifter för ändamålen i 3 kap. 3 och 4 §§ som rör öppenvårdsapotekens behandling av personuppgifter för expediering och underlättande av en patients läkemedelsanvändning och som rör hälso- och sjukvården samt ändamålen i 3 kap. 5 § 3 och 5 som rör E-hälsomyndighetens statistik och Socialstyrelsens epidemiologiska undersökningar etc. Utredningen föreslår vidare ett nytt ändamål i lagen om nationell läkemedelslista som rör expediering av läkemedel på apotek eller motsvarande i ett annat EES-land (3 kap. 3 a §). De ovan uppräknade befintliga ändamålen och utredningens förslag till nytt ändamål har sin rättsliga grund i artikel 6.1 c och e i dataskyddsförordningen, dvs. rättslig förpliktelse och uppgift av allmänt intresse.

Att uppgifterna får registreras i den nationella läkemedelslistan innebär i sig ett intrång i den personliga integriteten. Uppgifterna kommer därmed att bli tillgängliga för en större krets än tidigare. Behovet av att registrera uppgifterna behöver därför vägas mot de risker för den personliga integriteten som registreringen av uppgifterna medför. Uppgift om utländsk förskrivare och uppgifter om expedierande personal och expedierande apotek från ett annat EESland är inte känsliga personuppgifter. De uppgifter det rör sig om är

uppgift om förskrivarens namn, yrke, farmaceutens namn, identifiering av farmaceuten och yrke, identifiering för apoteket och kontaktuppgifter till expedierande apotek samt apotekets namn. Uppgifterna behövs bl.a. för att göra det möjligt att vid behov identifiera och kontakta personen i dess yrkesroll och för att kunna ha den spårbarhet som krävs. Det finns därför av patientsäkerhetsskäl ett behov av att registrera uppgifterna i den nationella läkemedelslistan. Motsvarande uppgifter om förskrivare behörig i Sverige, svensk expedierande personal och expedierande apotek får redan registreras i den nationella läkemedelslistan. Enligt utredningens bedömning anses uppgifterna vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas, jfr artikel 5.1 c i dataskyddsförordningen.

Uppgifterna kommer att omfattas av de säkerhetsåtgärder som följer av lagen om nationell läkemedelslista vad gäller bl.a. behörighets- och åtkomstkontroller. Vidare innehåller lagen även bestämmelser om bevarandetid för de uppgifter som behandlas i registret (3 kap. 10 §). Av bestämmelsen följer att uppgifterna ska tas bort från den nationella läkemedelslistan senast fem år efter det att den förskrivning som uppgifterna hör till registrerades. Personuppgifter som inte kan hänföras till en förskrivning ska tas bort senast fem år efter det att uppgifterna registrerades. Utredningen finner inte skäl att göra en annan bedömning än vad regeringen gjorde i förarbetena till lagen om nationell läkemedelslista vad gäller bevarandetidens längd på uppgifterna i den nationella läkemedelslistan.32

Alternativet är att uppgifterna inte registreras och konsekvenserna av det är att det blir svårare att få kontakt med den som utfört expedieringen och svårare att genomföra felsökning och ha den spårbarhet som krävs. Det kan i sin tur medföra patientsäkerhetsrisker och informationssäkerhetsrisker, t.ex. om det inte går att följa upp expedieringen vid behov eller att felsöka. Utredningen ska enligt sitt direktiv föreslå en process som är lika effektiv och patientsäker som den nationella. Tillgången till nämnda uppgifter är enligt utredningens bedömning en sådan förutsättning för att uppnå en sådan process.

Utredningens bedömning är sammanfattningsvis att behovet av att inkludera uppgifterna i den nationella läkemedelslistan överväger de integritetsrisker som behandlingen medför. Utredningen anser

32Prop. 2017/18:223 s. 118 ff.

således att förslaget är förenligt med dataskyddsförordningens bestämmelser.

Personuppgiftsbehandlingen är förenlig med regeringsformen

Utredningen föreslår att uppgift om utländsk förskrivare och uppgifter om expedierande personal och expedierande apotek från ett annat EES-land ska få registreras i den nationella läkemedelslistan. Uppgifterna avser namn och kontaktuppgifter och gör det möjligt att vid behov identifiera och kontakta personen i dess yrkesroll samt att kunna ha den spårbarhet som krävs för bl.a. patientsäkerhetsskäl. Uppgifterna utgör inte känsliga personuppgifter. Potentiellt kan det röra sig om uppgifter om ett stort antal människor. Registreringen kommer att ske utan samtycke. Enligt utredningens bedömning innebär behandlingen av personuppgifterna varken någon kartläggning eller övervakning eller ett sådant betydande integritetsintrång som avses i 2 kap. 6 § andra stycket RF.

8.4. Inget behov av en ny sekretessbrytande bestämmelse

Utredningens bedömning: Något behov av att ändra reglerna

om offentlighet och sekretess finns inte med anledning av utredningens förslag att inkludera uppgift om utländsk förskrivare, expedierande personal och apotek eller motsvarande från ett annat EES-land i den nationella läkemedelslistan.

I OSL finns bestämmelser om tystnadsplikt i det allmännas verksamhet och förbud att lämna ut allmänna handlingar. Enligt 25 kap. 17 a § OSL gäller sekretess hos E-hälsomyndigheten för uppgift om en enskilds hälsotillstånd eller andra personliga förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående lider men. Enligt 25 kap. 17 b § OSL gäller sekretess hos E-hälsomyndigheten för uppgift om en enskilds affärs- eller driftsförhållanden, om det kan antas att den enskilde lider skada om uppgiften röjs.

Enligt 8 kap. 1 § OSL får uppgift för vilken sekretess gäller enligt OSL inte röjas för enskilda eller för andra myndigheter, om inte annat anges i OSL eller i lag eller förordning som OSL hänvisar till. Det förekommer situationer när andra myndigheters eller enskildas intresse av att ta del av en sekretessbelagd uppgift väger tyngre än det intresse sekretessen ska skydda. Det finns därför bestämmelser i OSL som innebär att sekretess under vissa förutsättningar inte hindrar att sekretessbelagda uppgifter lämnas till myndigheter eller enskilda. Sådana bestämmelser kallas för sekretessbrytande bestämmelser. En sådan bestämmelse finns i 10 kap. 28 § OSL som gäller utlämnande till andra myndigheter och innebär att sekretess inte hindrar att uppgift lämnas till en annan myndighet om uppgiftsskyldighet följer av lag eller förordning. I lagen om nationell läkemedelslista finns sådan uppgiftsskyldighet som avses i 10 kap. 28 § OSL för E-hälsomyndigheten gentemot bl.a. regionerna, förskrivarna (ej privata), Socialstyrelsen, Inspektionen för vård och omsorg, TLV och Läkemedelsverket.

Någon motsvarande bestämmelse finns inte för aktörer som inte är eller jämställs med myndigheter. Det har därför införts sekretessbrytande bestämmelser i 25 kap. 17 c § OSL som innebär att sekretessen i 25 kap. 17 a och 17 b §§ inte hindrar att E-hälsomyndigheten lämnar ut uppgifter enligt lagen om nationell läkemedelslista till hälso- och sjukvårdspersonal som har behörighet att förskriva läkemedel eller andra varor, en sjuksköterska utan sådan behörighet, en dietist, en farmaceut i hälso-och sjukvården eller till expedierande personal på öppenvårdsapotek.

Som framgår ovan gör utredningen bedömningen att uppgift om expedierande farmaceut och apotek eller motsvarande i ett annat EES-land ska få registreras i den nationella läkemedelslistan för ändamålen i 3 kap. 3 och 4 §§, samt det nya ändamålet som utredningen föreslår för expediering av läkemedel på apotek eller motsvarande i ett annat EES-land i 3 kap. 3 a §. Vidare gör utredningen bedömningen att uppgift om utländsk förskrivare ska få registreras för ändamålen i 3 kap. 5 § 3 och 5 som rör E-hälsomyndighetens statistik och delar av Socialstyrelsens uppdrag samt för nya ändamålet i 3 kap. 3 a §.

Föremålet för sekretessen i 25 kap. 17 a § OSL är uppgifter om enskildas hälsotillstånd eller andra personliga förhållanden. Enligt lagkommentaren till 25 kap. 1 § som rör sekretess i hälso- och sjukvården för uppgifter om enskildas hälsotillstånd eller andra person-

liga förhållanden omfattas inte hälso- och sjukvårdspersonal av bestämmelsen.33 Motiveringen till det är att hälso- och sjukvårdspersonal i sin yrkesutövning knappast kan anses som enskilda i den mening som krävs för att sekretessbestämmelsen ska vara tillämplig. I propositionen Ny myndighet för hälso- och vårdinfrastruktur fann regeringen att en motsvarande sekretessbestämmelse som den i 25 kap. 1 § OSL även behövdes för den nya myndigheten (numera E-hälsomyndigheten). Enligt regeringen fanns det inte anledning att göra någon annan bedömning av behovet av att skydda känsliga uppgifter av motsvarande slag hos den nya myndigheten. En ny sekretessbestämmelse till skydd för uppgifter om enskildas hälsotillstånd eller andra personliga förhållanden ansågs därför behöva införas i OSL.34 På motsvarande sätt som i sekretessbestämmelsen i 25 kap. 1 § OSL omfattas inte hälso- och sjukvårdspersonalen av sekretessens föremål enligt utredningens bedömning.

Uppgift om förskrivare och expedierande personal omfattas således inte av sekretessbestämmelsen i 25 kap. 17 a § OSL eftersom hälso- och sjukvårdspersonal i sin yrkesutövning inte anses som enskilda i den mening som krävs för att sekretessbestämmelsen ska vara tillämplig. Motsvarande bedömning gör utredningen i förhållande till utländsk förskrivare och expedierande personal i ett annat EES-land. Utredningen ser heller inget behov av att göra någon annan bedömning.

Det har inte framkommit något skäl att behandla utländsk förskrivare och expedierande personal på ett apotek eller motsvarande i ett annat EES-land ur ett sekretessperspektiv på något annat sätt än vad som gäller motsvarande uppgifter i Sverige. De sekretessbestämmelser som eventuellt kan bli tillämpliga för E-hälsomyndigheten vad gäller förskrivare och expedierande personal är t.ex. 21 kap. 3 § OSL som gäller sekretess för uppgift om en enskilds bostadsadress eller annan jämförbar uppgift som kan lämna upplysning om var den enskilde bor stadigvarande eller tillfälligt, den enskildes telefonnummer, e-postadress eller annan jämförbar uppgift som kan användas för att komma i kontakt med denne samt för motsvarande uppgifter om den enskildes anhöriga, om det av särskild anledning kan antas att den enskilde eller någon närstående till denne kan komma

33 Eva Lenberg m.fl., Offentlighets- och sekretesslagen, kommentaren till 25 kap. 1 § offentlighets- och sekretesslagen, JUNO version 24. 34Prop. 2012/13:128 s. 50.

att utsättas för hot eller våld eller lida annat allvarligt men om uppgiften röjs. Med formuleringen ”annan jämförbar uppgift kan användas för att komma i kontakt med den enskilde” avses t.ex. uppgift om faxnummer eller uppgift om vem som är den enskildes arbetsgivare och telefonnumret till arbetsplatsen. Bestämmelsen är även tillämplig på E-hälsomyndighetens uppgifter om utländsk hälso- och sjukvårdspersonal.

Sekretess gäller också enligt 25 kap. 17 b § OSL hos E-hälsomyndigheten för uppgift om en enskilds affärs- eller driftsförhållanden, om det kan antas att den enskilde lider skada om uppgiften röjs. Sekretessen gäller med ett rakt skaderekvisit vilket innebär en presumtion för offentlighet. Bestämmelsen tar sikte på uppgifter i E-hälsomyndighetens verksamhet som avser enskildas, t.ex. apotekens affärs- eller driftsförhållanden. Av förarbetena framgår att det exempelvis kan röra sig om uppgifter om försäljning av läkemedel och uppgifter som framkommer i samband med kontroll av en apoteksaktörs elektroniska system för direktåtkomst till uppgifter hos myndigheten. Vidare kan myndigheten komma att behöva inhämta underlag från privata aktörer inom apoteks- eller vårdsektorn för att fullgöra uppdrag som ålagts av regeringen.35

Utredningen har svårt att se att denna bestämmelse skulle kunna bli tillämplig på de uppgifter om utländska apotek som E-hälsomyndigheten ska få genom tjänsten e-recept över landsgränser eftersom de inte omfattar några sådana uppgifter om enskildas affärs- eller driftsförhållanden som avses i 25 kap. 17 b § OSL. För det fall att denna bestämmelse skulle bli tillämplig finns en sekretessbrytande bestämmelse i 25 kap. 17 c § OSL som innebär att sekretessen i 25 kap. 17 a och 17 b§§ inte hindrar att E-hälsomyndigheten lämnar ut uppgifter enligt lagen om nationell läkemedelslista till bl.a. hälso- och sjukvårdspersonal som har behörighet att förskriva läkemedel eller andra varor, eller till expedierande personal på öppenvårdsapotek. Den sekretessbrytande bestämmelsen kommer även att omfatta uppgifter om expedierande apotek eller motsvarande från ett annat EES-land enligt utredningens förslag.

Utredningens slutsats är att det ur sekretesshänseende inte visat sig finnas några skäl att behandla uppgift om utländsk förskrivare och uppgift om expedierande personal och apotek eller motsvarande från ett annat EES-land på något annat sätt än vad gäller motsvarande

35Prop. 2012/13:128 s. 50.

uppgifter i Sverige. Utredningen finner därför inte behov av att ändra i reglerna om offentlighet och sekretess med anledning av utredningens förslag.

När det gäller övriga överväganden kring OSL, se avsnitt 10.6.

9. En ny lag om E-hälsomyndighetens personuppgiftshantering

9.1. Inledning

Utredningen anser att den rättsliga grunden för E-hälsomyndighetens behandling av personuppgifter vid hantering av e-recept från EES ska fastställas dels i E-hälsomyndighetens instruktion (förordning [2013:1031] med instruktion för E-hälsomyndigheten), dels i en ny lag, se avsnitt 7.6. Den rättsliga grunden kan innehålla särskilda bestämmelser för att anpassa tillämpningen av dataskyddsförordningen. Som exempel anges allmänna villkor som ska gälla för den personuppgiftsansvariges behandling, vilken typ av uppgifter som ska behandlas, vilka registrerade som berörs, de enheter till vilka personuppgifterna får lämnas ut och för vilka ändamål, ändamålsbegränsningar, lagringstid samt typer av behandling och förfaranden för behandling (artikel 6.3). EU-rätten eller den nationella rätten ska även uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas (artikel 6.3 andra stycket sista meningen). Nationell rätt kan även innehålla förtydliganden och begränsningar av bestämmelserna i dataskyddsförordningen, i den utsträckning det är nödvändigt för samstämmigheten och för att göra dem begripliga för personer som de ska tillämpas på (skäl 8 till dataskyddsförordningen).

Utredningen anser mot denna bakgrund och med hänsyn till behovet av särskilda skyddsåtgärder att det är lämpligt att i lag fastställa närmare bestämmelser för hur E-hälsomyndighetens behandling av personuppgifter vid expediering i Sverige av e-recept från EES ska gå till. De närmare bestämmelserna avser bl.a. ändamål med behandlingen, personuppgiftsansvar och uppgiftsskyldighet.

9.2. Lagens tillämpningsområde

Utredningens förslag: Lagen ska tillämpas vid automatiserad be-

handling av personuppgifter vid E-hälsomyndighetens hantering av sådana e-recept som har utfärdats av förskrivare behörig i ett annat EES-land som expedieras på öppenvårdsapotek i Sverige i enlighet med de krav som fastställts av nätverket för e-hälsa.

Lagen ska inte gälla för E-hälsomyndighetens behandling av personuppgifter vid hantering av svenska e-recept som expedieras i ett annat EES-land. Lagen om nationell läkemedelslista ska gälla för den behandlingen.

När ett e-recept utfärdat i ett annat EES-land ska expedieras i Sverige kommer uppgifter om e-receptet hämtas från ett register i det landet. E-hälsomyndigheten kommer då som nationell kontaktpunkt för e-hälsa att förmedla uppgifter om e-receptet mellan den nationella kontaktpunkten i ett annat EES-land och öppenvårdsapoteken i Sverige. Det innebär att myndigheten behandlar personuppgifter. Den nya lag som utredningen föreslår ska endast reglera E-hälsomyndighetens personuppgiftsbehandling i en viss del av myndighetens verksamhet, nämligen den som gäller hanteringen av e-recept som utfärdats av en förskrivare behörig i ett annat EES-land som ska expedieras i Sverige. Vad gäller den omvända situationen, när ett svenskt e-recept expedieras i ett annat EES-land, är utredningens förslag att den ska regleras i lag (2018:1212) om nationell läkemedelslista, se avsnitt 7.6.

För att begränsa tillämpningsområdet för lagen föreslår utredningen att en hänvisning görs till de krav som fastställts av nätverket för e-hälsa. Genom en sådan hänvisning avgränsas personuppgiftsbehandlingen på flera sätt. Nätverket för e-hälsas krav ställer villkor för deltagande i informationsutbytet t.ex. att endast medlemsländer i EU och EES deltar i informationsutbytet och att de nationella kontaktpunkterna för e-hälsa ska vara granskade och godkända.1 Ett annat krav är att informationen mellan medlemsländerna kanaliseras till de nationella kontaktpunkterna för e-hälsa. Dessa krav avgränsar t.ex. mellan vilka länder som informationsutbytet kan bli aktuellt, men även andra förutsättningar för e-recept över landsgränser.

1 Medlemsländer i Efta kan delta som observatörer och i e-hälsoavtalet. Efta omfattas inte av utredningen, se avsnitt 2.2.

Vidare ska lagen endast gälla automatiserad behandling av personuppgifter eftersom tjänsten e-recept över landsgränser endast gäller automatiserade uppgifter.

9.3. Definitioner

Utredningens förslag: Lagen ska innehålla definitioner av e-recept

från EES och utländsk kontaktpunkt för e-hälsa.

Den föreslagna lagen kommer att innehålla begrepp som är centrala för tillämpningen av lagen. De begrepp som avses är e-recept från EES och utländsk kontaktpunkt för e-hälsa. Utredningen föreslår därför att begreppen förs in i lagen. Syftet med definitionerna är att undvika upprepningar och förenkla författningstexten.

Med definitionen e-recept från EES avses e-recept utfärdade av en förskrivare behörig i ett annat EES-land som expedieras på öppenvårdsapotek i enlighet med de krav som har fastställts av nätverket för e-hälsa som bildats med stöd av artikel 14 i patientrörlighetsdirektivet. Hänvisningen till nätverket för e-hälsas krav innebär en avgränsning bl.a. genom att e-recepten endast avser godkända humanläkemedel och att informationen om dessa e-recept förmedlas inom EES genom medlemsländernas nationella kontaktpunkter för e-hälsa. Vidare ska kontaktpunkten granskas och godkännas av kommissionen och medlemsländerna i nätverket för e-hälsa innan medlemslandet får delta i informationsutbytet.

Med begreppet utländsk kontaktpunkt för e-hälsa avses en sådan nationell kontaktpunkt för gränsöverskridande hälso- och sjukvård som har utsetts i enlighet med artikel 6 i patientrörlighetsdirektivet. Enligt nätverkets krav ska endast en sådan kontaktpunkt för e-hälsa utses av respektive land för informationsöverföring avseende e-recept över landsgränser.

9.4. Förhållandet till dataskyddsförordningen och dataskyddslagen

Utredningens förslag: Den nya lagen ska innehålla en upplysning

om att den kompletterar dataskyddsförordningen.

Om inte annat följer av den nya lagen eller föreskrifter som har meddelats i anslutning till den lagen ska även lagen med kompletterande bestämmelser till dataskyddsförordningen och föreskrifter som har meddelats i anslutning till den lagen gälla.

9.4.1. Dataskyddsförordningen

Dataskyddsförordningen är direkt tillämplig och har företräde framför nationell lagstiftning. Dataskyddsförordningen har dock i viss mån en direktivliknande karaktär genom att flera artiklar förutsätter eller medger nationella bestämmelser som kompletterar eller föreskriver undantag från förordningens bestämmelser. Det är också möjligt att införliva delar av förordningen i nationell rätt, enligt skäl 8, i de fall förordningen föreskriver förtydliganden eller begränsningar och det är nödvändigt för samstämmigheten samt för att göra de nationella bestämmelserna begripliga för de personer som de tillämpas på. Enligt skäl 10 utesluter inte dataskyddsförordningen att det i medlemsländernas nationella rätt fastställs närmare omständigheter för specifika situationer där personuppgifter behandlas, inbegripet mer exakta villkor för laglig behandling av personuppgifter.

Den föreslagna lagen kommer därför endast att innehålla bestämmelser som kompletterar eller tar över bestämmelserna i dataskyddsförordningen, när det är tillåtet. För att tillämparen ska få en tydligare uppfattning av vilken reglering som gäller föreslår utredningen att en bestämmelse tas in i den nya lagen med en upplysning om att dataskyddsförordningen gäller.

Den nya lagen innehåller hänvisningar till artiklar i dataskyddsförordningen. Hänvisningar till EU-rättsakter kan antingen göras statiska eller dynamiska. En statisk hänvisning innebär att hänvisningen avser EU-rättsakten i en viss angiven lydelse. En följd av denna hänvisningsteknik är att den nationella författningen vanligtvis behöver ändras varje gång EU-bestämmelsen ändras. En dynamisk hänvisning innebär att hänvisningen avser EU-rättsakten i den vid varje

tidpunkt gällande lydelsen. Enligt utredningens bedömning är det mest lämpligt att en dynamisk hänvisning görs till dataskyddsförordningen i den nya lagen. Förordningen är direkt tillämplig och syftet med hänvisningen är endast att upplysa om att dataskyddsförordningen gäller.

9.4.2. Dataskyddslagen

Lag (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen) innehåller nationella kompletterande bestämmelser till dataskyddsförordningen. Av 1 kap. 6 § dataskyddslagen framgår att om en annan lag eller förordning innehåller någon bestämmelse som rör behandling av personuppgifter och som avviker från dataskyddslagen ska den bestämmelsen tillämpas. Dataskyddslagen är således subsidiär i förhållande till annan lagstiftning som reglerar behandling av personuppgifter.

Det är således inte nödvändigt att föra in en materiell bestämmelse som hänvisar till dataskyddslagen i den nya lagen. Av tydlighetsskäl innehåller ofta flertalet registerförfattningar en bestämmelse om förhållandet till den generella regleringen i dataskyddslagen. Av samma tydlighetsskäl föreslår därför utredningen att det bör införas en sådan bestämmelse i den nya lagen. Bestämmelsen ska ange att dataskyddslagen och föreskrifter som har meddelats i anslutning till den gäller vid behandling av personuppgifter enligt den nya lagen, om inte annat följer av den nya lagen eller föreskrifter som har meddelats med stöd av den. När dataskyddslagen är tillämplig är också bestämmelser som regeringen meddelat i anslutning till dataskyddslagen tillämpliga. Det innebär att eventuella förordningsbestämmelser om undantag från dataskyddslagens tillämplighet gäller.

9.5. Personuppgiftsansvar

Utredningens förslag: E-hälsomyndigheten ska vara personupp-

giftsansvarig för den behandling av personuppgifter som myndigheten utför med stöd av lagen.

9.5.1. Allmänt om personuppgiftsansvar

Dataskyddsförordningen förutsätter att det finns en personuppgiftsansvarig för all personuppgiftsbehandling som sker. Med personuppgiftsansvaret följer en rad skyldigheter, t.ex. att se till att det finns en laglig grund för behandlingen, ett ansvar för att se till att behandlingen inte sker i strid med de grundläggande principerna som gäller för behandling av personuppgifter och att behandlingen inte sker i större utsträckning än vad som är nödvändigt med hänsyn till det lagliga stöd som gäller för behandlingen samt att de registrerades rättigheter uppfylls. Vidare har den personuppgiftsansvarige ett övergripande ansvar att vidta tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen av personuppgifter sker i enlighet med dataskyddsförordningen. Det åligger den personuppgiftsansvarige att bl.a. genomföra konsekvensbedömningar och anmäla personuppgiftsincidenter till tillsynsmyndigheten samt informera berörda om incidenter som inträffat. Den personuppgiftsansvarige har vidare ett skadeståndssanktionerat ansvar för att behandlingen av personuppgifter sker i enlighet med bestämmelserna i dataskyddsförordningen och de eventuella kompletterande svenska dataskyddsbestämmelser som kan gälla (7 kap. 1 § dataskyddslagen).

Enligt artikel 4.7 i dataskyddsförordningen är personuppgiftsansvarig en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter.

Det avgörande rekvisitet är den som bestämmer ändamålen och medlen för behandlingen. En personuppgiftsansvarig har per definition alltid bestämmanderätt över ändamål och medel. Med rätten att bestämma över ändamål och medel avses rätten att bestämma över varför, respektive hur en behandling ska utföras. För bedömningen av vem som bestämmer över ändamålen med behandlingen är det enligt Integritetsskyddsmyndigheten (IMY) avgörande bl.a. varför behandlingen utförs och vem som är initiativtagare till behandlingen. Att bestämma över medlen för behandlingen innebär enligt IMY främst att bestämma över de tekniska och organisatoriska medlen för behandlingen, dvs. ”hur” behandlingen ska gå till, t.ex. vilka personupp-

gifter som ska behandlas, vilka tredje män som ska få tillgång till de behandlade personuppgifterna och när uppgifter ska raderas.2

9.5.2. Bedömningen av personuppgiftsansvaret

Av definitionen av personuppgiftsansvarig i artikel 4.7 i dataskyddsförordningen framgår att om ändamålen och medlen för behandlingen bestäms av EU-rätten eller medlemsländernas nationella rätt, kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i sådan rätt. Det är alltså tillåtet enligt dataskyddsförordningen att i nationell rätt ange vem som är personuppgiftsansvarig för en viss behandling av personuppgifter (jfr artikel 6.2 och 6.3 samt skäl 45 till dataskyddsförordningen).

Flera aktörer inblandade

Informationsutbyte av e-recept över landsgränser innebär att flera aktörer behöver behandla personuppgifter för att en expediering ska kunna genomföras. Det är alltifrån en förskrivare som utfärdar ett e-recept till ett apotek som expedierar e-receptet och däremellan de nationella kontaktpunkterna för e-hälsa som behandlar personuppgifterna genom att vidarebefordra dem mellan inblandade medlemsländers aktörer. När flera aktörer är inblandade finns en risk att personuppgiftsansvaret blir otydligt och att patienten har svårt att veta vem som är ansvarig för behandlingen av patientens personuppgifter. Som framgår ovan följer en rad skyldigheter för den personuppgiftsansvarige enligt dataskyddsförordningen. Det är därför viktigt att personuppgiftsansvaret är tydligt, dels för att den registrerade ska veta vem den kan vända sig till för att utöva sina rättigheter enligt dataskyddsförordningen, dels för att den eller de aktörer som är personuppgiftsansvariga ska kunna ta det ansvar som följer av förordningen.

Vem som bestämmer ändamål och medlen för personuppgiftsbehandlingen i informationsutbytet av e-recept över landsgränser är inte helt tydligt. Ändamålet att ”arbeta för att tillhandahålla hållbara ekonomiska och sociala nyttoeffekter genom europeiska system och tjänster som rör e-hälsa samt driftskompatibla tillämpningar i syfte att nå en hög tillförlitlighets- och säkerhetsnivå, förbättra kontinui-

2 Datainspektionens beslut 2010-07-02, dnr 686-2010.

teten i vården och säkerställa tillgång till säker hälso- och sjukvård av hög kvalitet” är uttryckt redan i patientrörlighetsdirektivet (artikel 14. 2 a)3 och har sedan bekräftats i e-hälsoavtalet. Det är dock valfritt att delta i samarbetet och varje medlemsland väljer därför själv om de vill behandla personuppgifter för detta ändamål eller inte och i vilken roll (land A, land B eller båda). Inom ramen för samarbetet kommer E-hälsomyndigheten att behandla personuppgifterna genom att vidarebefordra dem mellan det svenska apoteket och den utländska kontaktpunkten för e-hälsa, apoteket i sin tur behandlar personuppgifterna för att kunna expediera läkemedlet och den utländska kontaktpunkten för e-hälsa eller registerhållaren, behandlar uppgifterna genom att bl.a. tillhandahålla dem och uppdatera sitt register. Det skulle därför kunna hävdas att det inte är E-hälsomyndigheten som bör vara personuppgiftsansvarig för den behandling som sker i det gränsöverskridande informationsutbytet, eftersom myndigheten inte har något egentligt eget behov av uppgifterna utan bara förmedlar dem mellan andra aktörer. I stället skulle E-hälsomyndigheten i så fall vara personuppgiftsbiträde. Frågan är dock vilken eller vilka aktörer som i så fall skulle ha personuppgiftsansvaret. Det skulle kunna vara den enskilda svenska apoteksaktören som använder uppgifterna för att expediera läkemedlet, eller den utländska kontaktpunkten eller registerhållaren, som behandlar uppgifterna genom att bl.a. tillhandahålla dem och uppdatera sitt register. Det skulle eventuellt även kunna vara Socialdepartementet som är Sveriges representant i nätverket för e-hälsa och därmed är med och till viss del bestämmer ändamål och medlen för behandlingen.

Personuppgiftsansvaret i lagen om nationell läkemedelslista

Enligt lagen om nationell läkemedelslista är E-hälsomyndigheten personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför i den nationella läkemedelslistan (3 kap. 1 §). Regeringen uttalade i förarbetena till lagen om den nationella läkemedelslistan att E-hälsomyndighetens särskilda karaktär av infrastrukturmyndighet bör nämnas och lyfte särskilt att myndigheten ansvarade för de register som anges i lagen om receptregister och lagen om läke-

3 Se också EDPB-EDPS Joint Opinion 1/2019 on the processing of patients’ data and the role of

the European Commission within the eHealth Digital Service Infrastructure (eHDSI).

medelsförteckning enligt myndighetens instruktion. Denna ordning var en följd av att E-hälsomyndigheten (tidigare Apotekens Service AB) inrättades för att den it-infrastruktur som är nödvändig för drift av apotek skulle förläggas hos en neutral aktör i samband med omregleringen av apoteksmarknaden.4 Vidare uttalade regeringen att den inte delade Datainspektionens synsätt om att de ändamål för vilka E-hälsomyndigheten får behandla personuppgifter enligt såväl lagen om receptregister som den nu föreslagna nya lagen (lagen om nationell läkemedelslista) inte är ändamål som behövs inom E-hälsomyndighetens egen verksamhet. Regeringen uttalade att skälet till att E-hälsomyndigheten måste få behandla personuppgifter för de olika ändamål som anges i dessa lagar är behovet av att kunna erbjuda en konkurrensneutral samt ur integritetssynpunkt säker överföring av personuppgifter mellan olika aktörer.5

Slutsats

Av E-hälsomyndighetens instruktion följer att myndigheten ska ansvara för register och it-funktioner som öppenvårdsapoteken och vårdgivare behöver ha tillgång till för en patientsäker och kostnadseffektiv läkemedelshantering. Myndigheten ska vidare samordna regeringens satsningar på e-hälsa samt övergripande följa utvecklingen på e-hälsoområdet (1 §). Utredningen föreslår dessutom en ny bestämmelse i E-hälsomyndighetens instruktion om myndighetens uppdrag avseende det gränsöverskridande informationsutbytet av e-recept, se avsnitt 7.6.

Skälet till att placera personuppgiftsansvaret på E-hälsomyndigheten i lagen om nationell läkemedelslista, var myndighetens särskilda karaktär av infrastrukturmyndighet för att kunna erbjuda en konkurrensneutral samt ur integritetssynpunkt säker överföring av personuppgifter mellan olika aktörer. Utredningen anser att samma skäl bör beaktas även i detta sammanhang.

Dataskyddsförordningen ger som tidigare nämnts utrymme för nationell reglering av personuppgiftsansvaret om ändamål och medlen för behandlingen fastställs i den nationella rätten (artikel 4.7). Det huvudsakliga syftet med E-hälsomyndighetens behandling av

4Prop. 2017/18:223 s. 81. 5Prop. 2017/18:223 s. 81.

personuppgifter i den nya lagen är att fullgöra sitt uppdrag som nationell kontaktpunkt för e-hälsa. Det innebär bl.a. att vidareförmedla uppgifter mellan öppenvårdsapoteket och den utländska kontaktpunkten för e-hälsa, ställa krav på hur öppenvårdsapoteken ska rapportera in uppgifterna till E-hälsomyndigheten samt att bestämma närmare krav på vilka tekniska och organisatoriska säkerhetsåtgärder som krävs för att skydda personuppgifterna på ett ändamålsenligt sätt. För att undvika otydligheter avseende vem som är personuppgiftsansvarig i en situation då flera aktörer är inblandade anser utredningen att personuppgiftsansvaret bör tydliggöras i lagstiftningen. Utredningen anser därför att det bör framgå i lagen att E-hälsomyndigheten är personuppgiftsansvarig för den behandling som myndigheten utför för att e-recept från EES ska kunna expedieras i Sverige. Att ha en annan ordning med E-hälsomyndigheten som personuppgiftsbiträde till öppenvårdsapoteken skulle enligt utredningens mening vara svårhanterligt med beaktande av att myndigheten som personuppgiftsbiträde i så fall skulle behöva ta emot instruktioner från ett flertal aktörer gällande samma sak.

Som utredningen nämnt har diskussioner förts om det eventuellt skulle föreligga ett gemensamt personuppgiftsansvar mellan länderna i någon del av den behandling som utförs i informationsutbytet av e-recept över landsgränser. Enligt Europeiska dataskyddsstyrelsen är det upp till de personuppgiftsansvariga själva att bestämma om de gemensamt eller ensamt behandlar personuppgifter.6 Frågan är således fortfarande uppe för diskussion och utredningens förslag i denna del kan därför komma att påverkas av vad länderna kommer fram till.

Tillståndshavaren är personuppgiftsansvarig för den behandling av personuppgifter som öppenvårdsapoteken utför i samband med att e-recept expedieras (7 § apoteksdatalagen), se vidare kapitel 10 om öppenvårdsapotekens personuppgiftsbehandling.

9.6. Behovet av uppgifter om e-recept från EES

Utredningens bedömning: E-hälsomyndigheten, Läkemedelsverket

och Socialstyrelsen har behov av uppgifter om e-recept utfärdade i ett annat EES-land.

6 Brev från Europeiska dataskyddstyrelsen till eHMSEG Legal Work Group, Bryssel, (2021-06-30), ref: OUT2021-0115.

9.6.1. Inledning

I dag har ett flertal aktörer behov av uppgifter om svenska e-recept som expedieras på ett öppenvårdsapotek. Enligt lagen om nationell läkemedelslista ska E-hälsomyndigheten lämna ut vissa uppgifter i den nationella läkemedelslistan till bl.a. Socialstyrelsen, Inspektionen för vård och omsorg (IVO), Tandvårds- och läkemedelsförmånsverket (TLV) och Läkemedelsverket, samt till förskrivare, annan hälso- och sjukvårdspersonal, regioner, verksamhetschefer och läkemedelskommittéer under vissa förutsättningar. Uppgifterna behövs för bl.a. tillsyn, forskning, statistik och uppföljning av olika slag.

Uppgifterna om e-recept från EES kommer enligt utredningens förslag inte att registreras i den nationella läkemedelslistan förutom vissa uppgifter om expedieringen. Som tjänsten e-recept över landsgränser är utformad nu antar utredningen att dessa recept i regel är utfärdade åt patienter försäkrade i ett annat land än Sverige. Det antagandet baseras på att tjänsten utgår från användningsfallet att en patient i land A, får ett recept utfärdat i land A och får hämta ut det i land B, se vidare avsnitt 5.3.6. Utredningen har utgått från detta i sina förslag.

E-recept från EES kommer att ligga till grund för en mindre del av de expedieringar som sker i Sverige. Utredningen anser att e-recept från EES i stort bör följa motsvarande regelverk som övriga recept för en effektiv och patientsäker process. För närvarande ser utredningen inga skäl att ändra eller utvidga aktörernas ansvar för tillsyn, uppföljning m.m. avseende e-recept från EES jämfört med recept utfärdade i Sverige om inte t.ex. den gränsöverskridande aspekten skulle medföra någon annan bedömning. Nedan följer utredningens bedömning av vilka aktörer som behöver uppgifter om e-recept utfärdade i ett annat EES-land.

9.6.2. Förskrivare, verksamhetschefer och läkemedelskommittéer

Förskrivare, verksamhetschefer och läkemedelskommittéer får i dag uppgifter från den nationella läkemedelslistan för ändamålet medicinsk uppföljning, utvärdering och kvalitetssäkring i hälso- och sjukvården. Utredningens bedömning är att syftet med uppgifterna främst är att utvärdera den egna förskrivningen och kvalitetssäkra den egna

hälso- och sjukvården. Det syftet gör sig inte gällande när det är ett e-recept från EES.

Som tjänsten är utformad i dag är det fråga om uppgifter om en förskrivning utfärdad av en förskrivare behörig i ett annat EES-land, land A. Det utfärdade e-receptet sparas i land A:s register. Vid expediering i Sverige får apoteket uppgifter om receptet från det utländska registret och skickar tillbaka information om expedieringen för registrering i land A. Medicinsk uppföljning, utvärdering och kvalitetssäkring i hälso- och sjukvården av e-recept från EES kommer i huvudsak inte att ske i Sverige. Utredningen bedömer därför att förskrivare, verksamhetschefer och läkemedelskommittéer inte har behov av uppgifter om e-recept från EES för ändamålet medicinsk uppföljning, utvärdering och kvalitetssäkring i hälso- och sjukvården.

9.6.3. Regionerna

Den region som enligt 22 § lagen (2002:160) om läkemedelsförmåner m.m. ska ersätta kostnaderna för läkemedelsförmåner ska få uppgifter från E-hälsomyndigheten om expedieringar av förskrivna läkemedel och andra varor som omfattas av den lagen för ändamålet debitering till regionerna. Vidare ska regionerna få uppgifter för ändamålen ekonomisk och medicinsk uppföljning samt för framställning av statistik. E-hälsomyndigheten ska även lämna ut uppgifter om expedieringar av förskrivna läkemedel som är kostnadsfria enligt smittskyddslagen (2004:168), för samma ändamål till den region som enligt 7 kap. 4 § smittskyddslagen ska ersätta kostnader för läkemedel.

Utredningen gör bedömningen i avsnitt 6.3.1 och 6.3.3 att e-recept från EES inte omfattas av lagen om läkemedelsförmåner m.m. eller av smittskyddslagen. Utredningen anser därför att regionerna inte har behov av uppgifter om e-recept från EES.

9.6.4. Socialstyrelsen

Socialstyrelsen får i dag uppgifter från den nationella läkemedelslistan för ändamålet epidemiologiska undersökningar, forskning, framställning av statistik, uppföljning, utvärdering och kvalitetssäkring inom hälso- och sjukvården. Uppgifterna som lämnas till Socialstyrelsen omfattar uppgifter om datum för förskrivning och expe-

diering, förskriven och expedierad vara, mängd och dosering, kostnad och kostnadsreducering enligt lagen om läkemedelsförmåner m.m., ordinationsorsak, patientens personnummer eller samordningsnummer och folkbokföringsort, och förskrivarens yrke, specialitet och arbetsplatskod.

Uppgifterna registreras i läkemedelsregistret som Socialstyrelsen är personuppgiftsansvarig för enligt förordningen (2005:363) om läkemedelsregister hos Socialstyrelsen. Registret syftar till att öka patientsäkerheten på läkemedelsområdet. Vid kontakt med Socialstyrelsen har myndigheten uppgett att den behöver delvis motsvarande uppgifter för samma ändamål om e-recept från EES som för svenska e-recept.

Utredningen anser att Socialstyrelsen har ett behov av uppgifter om e-recept utfärdade i ett annat EES-land för ändamålet epidemiologiska undersökningar, forskning, framställning av statistik, uppföljning, utvärdering och kvalitetssäkring inom hälso- och sjukvården.

9.6.5. Inspektionen för vård och omsorg

IVO får i dag uppgifter från den nationella läkemedelslistan om en läkares eller tandläkares förskrivning av narkotiska läkemedel eller annat särskilt läkemedel för sin tillsyn över hälso- och sjukvårdspersonalen enligt patientsäkerhetslagen (2010:659).

Utredningens bedömning är att IVO inte har behov av uppgifter om e-recept från EES eftersom myndigheten inte har tillsynsansvar över utländska förskrivare. Utredningens bedömning är också att tjänsten i nuläget inte kommer att omfatta narkotiska läkemedel eller andra särskilda läkemedel.

9.6.6. Tandvårds- och läkemedelsförmånsverket

I dag får TLV uppgifter från den nationella läkemedelslistan för sin tillsyn över utbyte av läkemedel enligt 21 § lagen om läkemedelsförmåner m.m., och för prövning och tillsyn enligt samma lag av läkemedel som får säljas enligt 4 kap. 10 § och 5 kap. 1 § andra stycketläkemedelslagen (2015:315).

E-recept från EES innehåller inte någon uppgift om förskrivarens arbetsplatskod och omfattas därmed inte av läkemedelsförmånerna

(6 § lagen om läkemedelsförmåner m.m.) enligt den bedömning utredningen gjort i kapitel 6. Därigenom bör dessa e-recept inte heller omfattas av TLV:s tillsyn (25 § samma lag) enligt utredningens bedömning. TLV uppger också att myndighetens tillsyn inte omfattar e-recept från EES mot bakgrund av att recepten inte omfattas av lagen om läkemedelsförmåner m.m. TLV kan framöver komma att behöva uppgifter för sin tillsyn t.ex. om förslaget i SOU 2017:76

Enhetliga priser på receptbelagda läkemedel förverkligas om att fast-

ställda priser ska gälla utanför lagen om läkemedelsförmåner m.m. Enligt uppgift bereds förslaget inom Regeringskansliet.

9.6.7. Läkemedelsverket

Läkemedelsverket får i dag uppgifter från den nationella läkemedelslistan för sin tillsyn över tillhandahållandeskyldigheten och uppgiftslämnande vid expediering av en förskrivning enligt lagen (2009:366) om handel med läkemedel. Uppgifterna omfattar bl.a. förskriven och expedierad vara, patientens namn, personnummer eller samordningsnummer, folkbokföringsort och postnumret i patientens bostadsadress, förskrivarens namn, yrke, specialitet, arbetsplats, arbetsplatskod och förskrivarkod, kostnad, samt andra uppgifter som krävs i samband med en förskrivning eller expediering.

Läkemedelsverket har uppgett att myndigheten har ett behov av motsvarande uppgifter för e-recept från EES som för de svenska recepten, dvs. för tillsynen över tillhandahållandeskyldigheten och uppgiftslämnande vid expediering. För att Läkemedelsverket ska kunna utöva en effektiv tillsyn över öppenvårdsapoteken avseende e-recept från EES behöver myndigheten på samma sätt som för svenska recept uppgifter om det utländska e-receptet enligt utredningens bedömning.

9.6.8. E-hälsomyndigheten

E-hälsomyndigheten ansvarar för den nationella läkemedelsstatistiken enligt E-hälsomyndighetens instruktion. Myndigheten kommer också att behöva vidarebefordra uppgifter till andra aktörer. Utredningen anser att det finns ett tydligt behov för E-hälsomyndigheten att få uppgifter om e-recept från EES.

9.7. Ändamål med behandlingen

Utredningens förslag: Personuppgifter ska få behandlas om det

är nödvändigt för

1. expediering på öppenvårdsapotek av sådana e-recept från EES

som avses i 2 §,

2. redovisning till utländsk kontaktpunkt för e-hälsa av sådan

expediering som avses enligt punkt 1,

3. framställning av statistik hos E-hälsomyndigheten,

4. redovisning av uppgifter för Läkemedelsverkets tillsyn över

tillhandahållandeskyldigheten och uppgiftslämnande enligt lagen (2009:366) om handel med läkemedel, och

5. redovisning till Socialstyrelsen av uppgifter för epidemiologiska

undersökningar, forskning, framställning av statistik, uppföljning, utvärdering och kvalitetssäkring inom hälso- och sjukvårdsområdet.

9.7.1. Dataskyddsförordningen

En av de grundläggande principerna i dataskyddsförordningen är att personuppgifter ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål (artikel 5. 1 b i dataskyddsförordningen). Av samma artikel följer att uppgifterna inte senare får behandlas på ett sätt som är oförenligt med dessa ändamål, den s.k. finalitetsprincipen. Bestämmelsen innebär bl.a. att den personuppgiftsansvarige redan vid insamlingen av uppgifterna måste bestämma för vilket eller vilka ändamål insamlingen sker. Den innebär också att vidarebefordran av uppgifter måste föregås av en prövning av om mottagarens ändamål är förenligt med de ursprungliga ändamålen eller inte.

Det är den personuppgiftsansvarige som bestämmer ändamålen med personuppgiftsbehandlingen. Ändamålen kan också bestämmas av medlemsländernas nationella rätt (jfr artikel 4.7 i dataskyddsförordningen). Ändamålsbestämmelser kan sägas anpassa tillämpningen av dataskyddsförordningen och säkerställa en laglig och rättvis behandling. Sådana bestämmelser är enligt artikel 6.2 och 6.3 i förordningen tillåtna i nationell rätt. Enligt skäl 39 till dataskyddsförord-

ningen bör de specifika ändamål som personuppgifterna behandlas för vara tydliga och legitima och ha bestämts vid den tidpunkt då personuppgifterna samlades in.

I förarbetena till dataskyddslagen anförde regeringen att dataskyddsförordningen inte ställer något krav på att de särskilda ändamålen ska vara fastställda i författning, men att det inte heller finns någonting som hindrar att detta görs, förutsatt att bestämmelserna uppfyller ett mål av allmänt intresse och är proportionella mot det legitima mål som eftersträvas (artikel 6.3 andra stycket sista meningen). Oavsett om ändamålen fastställts i författning eller inte poängterar regeringen dock att det alltid är den personuppgiftsansvarige som ansvarar för, och ska kunna visa, att principerna i artikel 5 följs (artikel 5.2 i dataskyddsförordningen).7

Uttryckliga ändamålsbestämmelser ger möjlighet att på ett övergripande plan balansera intresset av personuppgiftsbehandlingen mot det intrång i den personliga integriteten som denna behandling kan innebära. Ändamålsbestämmelser har också den fördelen att de utgör en precisering av den rättsliga grunden (jfr artikel 6.3). Bestämmelser i lagen som anger ändamålen med behandlingen innebär således i sig en skyddsåtgärd. Enligt utredningens bedömning bör därför lagen innehålla ändamålsbestämmelser.

9.7.2. Ändamålsbestämmelsernas utformning

Att bestämma ändamålen för behandlingen av personuppgifter är av central betydelse för hur den personuppgiftsansvarige får behandla personuppgifter eftersom ändamålsbestämmelserna sätter ramarna för hur personuppgifterna får behandlas. Enligt artikel 5.1 c i dataskyddsförordningen ska personuppgifter vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. Det är med andra ord ändamålen som styr vilka personuppgifter som får behandlas. Ändamålsbestämmelserna begränsar således den personuppgiftsansvariges handlingsfrihet samtidigt som de skapar tydlighet för tillämparen. Ändamålet är därför av central betydelse för skyddet av den enskildes personliga integritet.

Ändamålsbestämmelser kan utformas på olika sätt. Ett sätt är att uttömmande ange de ändamål för vilken behandling får ske. Ett annat

7Prop. 2017/18:105 s. 48.

sätt är att de i lagen angivna ändamålen kompletteras med en möjlighet att behandla uppgifter även för ändamål som inte är oförenliga med det för vilka uppgifterna samlades in, i enlighet med den s.k. finalitetsprincipen. I sådana fall är det finalitetsprincipen som ytterst sätter gränsen för vad som kan anses vara en tillåten behandling, dvs. den som är personuppgiftsansvarig måste göra en kontroll av huruvida en senare behandling är oförenlig med de ändamål för vilka uppgifterna först samlades in.

Nedan följer en närmare beskrivning av de ändamål för vilka personuppgifter enligt utredningens mening bör få behandlas i den nya lagen.

9.7.3. Ändamålet expediering av läkemedel

E-hälsomyndigheten ska bl.a. ansvara för register och it-funktioner som öppenvårdsapotek och vårdgivare behöver ha tillgång till för en patientsäker samt kostnadseffektiv läkemedelshantering enligt myndighetens instruktion. Utredningen föreslår ett tillägg i E-hälsomyndighetens instruktion om att myndigheten ska vara nationell kontaktpunkt för e-hälsa och tillhandahålla tjänster och infrastruktur för e-recept över landsgränser, se avsnitt 7.6. De nationella kontaktpunkterna för e-hälsa ska anslutas till varandra och förmedla all information om e-recept mellan länderna.

Det primära ändamålet för E-hälsomyndighetens behandling av personuppgifter enligt lagen är att förmedla e-recept från EES i syfte att e-recepten ska kunna expedieras på ett svenskt öppenvårdsapotek. Med expediering avses den process som börjar med att läkemedel efterfrågas utifrån ett förordnande och avslutas med att ett läkemedel blir utlämnat. En förutsättning för att en expediering ska kunna genomföras på ett öppenvårdsapotek är att expedierande personal får tillgång till de uppgifter som behövs för att möjliggöra en patientsäker expediering. Som framgår av förarbetena till den nationella läkemedelslistan behöver expedierande personal kunna ta del av uppgifter om den förskrivning som är i fråga för expediering för att uppfylla de krav som ställs i Läkemedelsverkets regelverk. De krav som ställs avser bl.a. att det ska gå att bedöma om ett recept är korrekt utfärdat och att samtliga uppgifter som krävs för en giltig förskriv-

ning finns med.8 Motsvarande krav gäller även för e-recept från EES. För en patientsäker expediering bör detta enligt utrednings bedömning även omfatta sådana uppgifter om e-recept som inte kan expedieras i ett annat EES-land, se vidare avsnitt 12.4.5. Det kan jämföras med 8 kap. 11 § receptföreskrifterna.

För att kunna förmedla e-recept som utfärdats i ett annat EES-land och uppfylla sitt åtagande som nationell kontaktpunkt behöver E-hälsomyndigheten behandla personuppgifter. Behandling av personuppgifter bör således få ske för ändamålet expediering på öppenvårdsapotek av e-recept från EES enligt definitionen i 2 § av sådana e-recept.

9.7.4. Ändamålet återrapportering

Den nationella kontaktpunkten för e-hälsa i land B ska återrapportera vad som har expedierats till den nationella kontaktpunkten i land A. Registret i land A behöver uppdateras med information om att ett uttag har skett, dels för att visa vilket läkemedel som har lämnats ut på det svenska öppenvårdsapoteket, dels för att det ska kunna avräknas från den förskrivna mängden.

För att kunna återrapportera uppgifter om bl.a. expedierat läkemedel behöver E-hälsomyndigheten behandla personuppgifter. Behandling av personuppgifter bör således få ske för ändamålet redovisning till utländsk kontaktpunkt för e-hälsa av expediering av läkemedel.

9.7.5. Ändamålet statistik

Av E-hälsomyndighetens instruktion följer att myndigheten ska förvalta, framställa och tillhandahålla nationell läkemedelsstatistik (2 § 5). Den statistik som E-hälsomyndigheten framställer avser bl.a. försäljningsuppgifter för läkemedelsgrupp och indikatorer som beräknas utifrån antal förskrivare och läkemedelskostnader, vilket får anses utgöra nationell läkemedelsstatistik. E-hälsomyndigheten ansvarar också bl.a. för att samla in och tillhandahålla uppgifter om läkemedelsförsäljning från apoteksaktörer, detaljhandel och partihandel som sker på svensk marknad. Den nationella läkemedelsstatistiken är viktig för uppföljning, utvärdering, kvalitetssäkring och forskning.9

8Prop. 2017/18:223 s. 92. 9Prop. 2008/09:145 s. 122.

För att E-hälsomyndigheten ska kunna uppfylla sin skyldighet att förvalta, framställa och tillhandahålla nationell läkemedelsstatistik är utredningens bedömning att ett ändamål bör införas i den nya lagen som möjliggör för E-hälsomyndigheten att behandla personuppgifter för framställning av statistik. Uppgifter som kan hänföras till en enskild person får dock inte redovisas.

9.7.6. Ändamålet Läkemedelsverkets tillsyn

Alla öppenvårdsapotek ska ha tillstånd från Läkemedelsverket för att bedriva detaljhandel med läkemedel till konsument (2 kap. 1 § lagen om handel med läkemedel). Efter att ett tillstånd beviljas ingår det i Läkemedelsverkets tillsyn att granska att de krav som gäller för att få bedriva öppenvårdsapotek följs (7 kap. 1 § lagen om handel med läkemedel). Enligt 7 kap. 2 § samma lag har Läkemedelsverket rätt att på begäran få de upplysningar och handlingar som behövs för tillsynen. Enligt 2 kap. 6 § 5 lagen om handel med läkemedel ska den som har ett sådant tillstånd vid expediering av en förskrivning lämna de uppgifter som anges i 3 kap. 8 § lagen om nationell läkemedelslista till E-hälsomyndigheten. Det är uppgifter om bl.a. förskrivaren, patienten och expedierande personal samt uppgifter om förskriven och expedierad vara.

För att Läkemedelsverket ska kunna utöva en effektiv tillsyn över öppenvårdsapotekens uppgiftsskyldighet enligt 2 kap. 6 § 5 lagen om handel med läkemedel har regeringen ansett att Läkemedelsverket behöver få tillgång till dessa uppgifter för att kunna göra en jämförelse med de uppgifter som öppenvårdsapoteken lämnar.10 Regeringen föreslog därför att E-hälsomyndigheten skulle få möjlighet att behandla personuppgifter för detta ändamål i lagen om receptregister som kompletterades med att personuppgifterna i receptregistret fick behandlas om det är nödvändigt för registrering och redovisning av uppgifter för Läkemedelsverkets tillsyn över öppenvårdsapotekens uppgiftslämnande enligt 2 kap. 6 § 5 lagen om handel med läkemedel.11Motsvarande bestämmelse finns nu i 3 kap. 5 § 8 lagen om nationell läkemedelslista.

10Prop. 2017/18:157 s. 166 f. 11Prop. 2017/18:157 s. 166 f.

För att garantera att konsumenterna får tillgång till sina förskrivna läkemedel i tillräcklig omfattning och att landets läkemedelsförsörjning säkerställs till patienter som har fått läkemedel förskrivna infördes en bestämmelse om tillhandhållandeskyldighet för öppenvårdsapoteken av samtliga förordnade läkemedel och varor.12 Bestämmelsen återfinns i 2 kap. 6 § 3 lagen om handel med läkemedel. För att Läkemedelsverket ska få tillgång till de uppgifter myndigheten behöver för sin tillsyn över tillhandahållandeskyldigheten får E-hälsomyndigheten enligt 3 kap. 5 § 8 lagen om nationell läkemedelslista behandla personuppgifter om det är nödvändigt för registrering och redovisning av uppgifter för Läkemedelsverkets tillsyn över tillhandahållandeskyldigheten.

För att Läkemedelsverket också ska kunna utöva en effektiv tillsyn över öppenvårdsapotekens hantering av e-recept från EES behöver myndigheten på motsvarande sätt som för svenska e-recept uppgifter om e-recept från EES. Utredningen föreslår därför en ny bestämmelse i 2 kap. 6 § 17 lagen om handel med läkemedel som innebär en skyldighet för öppenvårdsapoteken att vid en expediering av ett e-recept från EES lämna vissa uppgifter till E-hälsomyndigheten, se avsnitt 12.2.4

Utredningen har även i avsnitt 12.2.3 redogjort för att öppenvårdsapotekens tillhandahållandeskyldighet bör gälla på liknande sätt för e-recept från EES. Utredningen föreslår därför en ny bestämmelse i 2 kap. 6 § 16 lagen om handel med läkemedel som avser öppenvårdsapotekens tillhandahållandeskyldighet av läkemedel för e-recept från EES. Tillhandahållandeskyldigheten i utredningens förslag skiljer sig dock åt från den nuvarande bestämmelsen i 2 kap. 6 § 3 främst genom att andra varor än läkemedel inte omfattas och att lagen om läkemedelsförmåner m.m. inte bedöms tillämplig. Därför ska utbyte av läkemedel inte ske enligt lagen om läkemedelsförmåner m.m. för e-recept från EES. Det läkemedel som förskrivits eller ett läkemedel som motsvarar detta ska i stället lämnas ut, vilket föreslås regleras närmare i receptföreskrifterna, se avsnitt 12.3.2.

Utredningen anser därför att en för ändamålet motsvarande bestämmelse som finns i 3 kap. 5 § 8 lagen om nationell läkemedelslista

12Prop. 2008/09:145 s. 117 f.

ska införas i lagen.13 Bestämmelsen innebär att E-hälsomyndigheten får behandla personuppgifter för redovisning av uppgifter för Läkemedelsverkets tillsyn över öppenvårdsapotekens tillhandahållandeskyldighet och för öppenvårdsapotekens uppgiftslämnande enligt 2 kap. 6 § 16 och 17 lagen om handel med läkemedel. Till skillnad från skrivningarna i lagen om nationell läkemedelslista väljer utredningen att inte använda sig av begreppet registrering eftersom lagen inte är ett traditionellt register som den nationella läkemedelslistan.

I avsnitt 10.4 gör utredningen bedömningen att Läkemedelsverket har stöd enligt dataskyddsförordningen att behandla de uppgifter myndigheten tar emot.

9.7.7. Ändamålet för Socialstyrelsens uppdrag

Socialstyrelsen är personuppgiftsansvarig för läkemedelsregistret som ger underlag för den officiella statistiken över läkemedel i Sverige. Syftet med registret är att öka patientsäkerheten på läkemedelsområdet. Som framgår ovan anser utredningen att Socialstyrelsen har behov av uppgifter om e-recept från EES för motsvarande ändamål som för svenska e-recept.

Utredningen föreslår därför att en motsvarande bestämmelse som finns i 3 kap. 5 § 5 lagen om nationell läkemedelslista ska införas i lagen.14 Bestämmelsen innebär att E-hälsomyndigheten får behandla personuppgifter för redovisning till Socialstyrelsen av uppgifter för epidemiologiska undersökningar, forskning, framställning av statistik, uppföljning, utvärdering och kvalitetssäkring inom hälso- och sjukvårdsområdet. Till skillnad från skrivningarna i lagen om nationell läkemedelslista väljer utredningen att inte använda sig av begreppet registrering eftersom lagen inte är ett traditionellt register som den nationella läkemedelslistan.

I avsnitt 10.4 gör utredningen bedömningen att Socialstyrelsen har stöd enligt dataskyddsförordningen att behandla de uppgifter myndigheten tar emot.

13 Jfr dock HFD 2021 ref. 10 där frågan var om ett uppgiftslämnande mellan myndigheter enligt 6 kap. 5 § OSL är förenligt med den s.k. finalitetsprincipen enligt dataskyddsförordningen och om vilken prövning som ska göras då en myndighet begär att få ta del av personuppgifter med stöd av bestämmelsen. Rättsfallet kan eventuellt tolkas som att särskilda ändamålsbestämmelser inte behövs om det finns en särskild uppgiftsskyldighet mellan myndigheter. 14 Se not ovan.

9.7.8. Finalitetsprincipen

Utredningens förslag: Personuppgifter ska få behandlas för andra

ändamål än dem för vilka de har samlats in, under förutsättning att de nya ändamålen inte är oförenliga med de ändamål för vilka uppgifterna samlades in.

Finalitetsprincipen är direkt tillämplig och innebär att personuppgifter som endast får samlas in för särskilda, uttryckligt angivna och berättigade ändamål även får behandlas för ändamål som inte är oförenliga med det ursprungliga ändamål för vilket uppgifterna samlades in (jfr artikel 5.1 b i dataskyddsförordningen). Av skäl 50 till dataskyddsförordningen framgår att det vid sådan vidarebehandling som inte hindras av finalitetsprincipen inte krävs någon annan separat rättslig grund än den med stöd av vilken insamlingen av personuppgifter medgavs. I artikel 6.4 i förordningen beskrivs vad den personuppgiftsansvarige bör beakta för att fastställa om behandling för andra ändamål är förenlig med det ändamål för vilket personuppgifterna ursprungligen samlades in.

I förarbetena till den nationella läkemedelslistan uttalade regeringen att även en sådan personuppgiftsbehandling som möjliggör felsökning samt validering och komplettering av uppgifter i den nationella läkemedelslistan, och som kräver tekniska kopplingar mellan den nationella läkemedelslistan och de stödregister som E-hälsomyndigheten förvaltar, inte är oförenlig med de ändamål för vilket uppgifterna samlades in.15 Denna personuppgiftsbehandling ska dock endast vara tillåten om den bidrar till att annan personuppgiftsbehandling som är nödvändig för de särskilda och uttryckliga ändamål som är angivna i lagen kan ske på ett mer korrekt och patientsäkert sätt.16

Utredningen gör bedömningen att samma skäl som har anförts i förarbetena till den nationella läkemedelslistan gör sig gällande här. Enligt utredningens bedömning bör därför finalitetsprincipen utgöra den yttersta ram inom vilken personuppgifter får behandlas enligt lagen. Det bör därför av tydlighetsskäl införas en bestämmelse i lagen som anger att det är tillåtet att behandla personuppgifter för andra ändamål än de som uttryckligen anges i lagen, så länge behandlingen inte är oförenlig med insamlingsändamålen.

15Prop. 2017/18:223 s. 86. 16Prop. 2017/18:223 s. 86.

9.8. Personuppgifter som får behandlas

Utredningens förslag: Endast sådana personuppgifter som be-

hövs för de ändamål som är tillåtna enligt lagen får behandlas.

Dataskyddsförordningen ställer krav på att personuppgifterna ska vara adekvata, relevanta och inte för omfattande i förhållande till ändamålen med behandlingen (artikel 5.1 c). Detta innebär en såväl kvalitativ som kvantitativ begränsning i fråga om vilka personuppgifter som får behandlas. All personuppgiftsbehandling som är nödvändig för ett visst ändamål får dock utföras. Med hänsyn till detta är ett alternativ att låta ändamålsbestämmelserna helt styra vilka personuppgifter som får behandlas av E-hälsomyndigheten. En sådan ordning innebär att bedömningen av vilka personuppgifter som får behandlas ankommer på den personuppgiftsansvariga myndigheten, dvs. E-hälsomyndigheten. Ett annat alternativ är att reglera vilka personuppgifter som får behandlas. Oavsett en uppräkning av vilka personuppgifter som E-hälsomyndigheten får behandla eller inte ställer dataskyddsförordningen krav på att ovidkommande eller onödigt många personuppgifter i förhållande till ändamålen inte får behandlas (artikel 5.1 c).

Från integritetssynpunkt är det väsentligt att inte andra personuppgifter behandlas av E-hälsomyndigheten än vad som behövs för att myndigheten ska kunna utföra sina uppgifter enligt lagen. De personuppgifter som E-hälsomyndigheten kommer att behandla enligt lagen är hänförliga till patienten, förskrivaren och expedierande personal på öppenvårdsapoteket. Som framgår av avsnitt 5.4.2 har medlemsländerna inom nätverket för e-hälsa kommit överens om vilka uppgifter som behövs i informationsutbytet för expediering av e-recept i ett annat land. Den överenskomna informationsmängden baseras bl.a. på genomförandedirektivet 2012/52/EU som innehåller de uppgifter som ett recept minst ska innehålla om det ska expedieras i ett annat medlemsland. Det är främst uppgifter för identifiering av patienten, förskrivaren och det förskrivna läkemedlet, samt uppgifter för att kontrollera receptets giltighet. Nätverket för e-hälsa har kommit överens om vilka ytterligare uppgifter som behöver ingå i informationsutbytet och de är i stort sett desamma som för svenska e-recept.

Ur ett integritetsskyddsperspektiv kan det naturligtvis finnas fördelar med en reglering som tydligt specificerar de personuppgifter

som får behandlas. Det gäller särskilt när det rör sig om personuppgiftsbehandling i register i traditionell mening, dvs. att uppgifter förs in i en uppgiftssamling på ett systematiskt sätt enligt särskilda kriterier och att de är sökbara med särskilda sökord eller liknande.17 Den behandling som E-hälsomyndigheten utför inom ramen för lagen är till skillnad från t.ex. den nationella läkemedelslistan inte ett register i traditionell mening. E-hälsomyndigheten behandlar personuppgifterna genom att vidareförmedla dem mellan öppenvårdsapoteket och den utländska kontaktpunkten för e-hälsa och kommer att spara uppgifterna för bl.a. felsökning och redovisning till olika aktörer. Uppgifterna som överförs ingår i de informationsmängder nätverket för e-hälsa har kommit överens om. Även om det vore möjligt att beskriva vilka uppgifter som vidareförmedlas i lagstiftningen anser utredningen att det framstår som mindre lämpligt i detta fall. Det skulle bli en alltför detaljerad redogörelse av uppgifter.

Utredningen föreslår därför inga närmare bestämmelser som konkret anger vilka personuppgifter som får behandlas enligt lagen. I stället är det ändamålsbestämmelserna i lagen som styr över vilka personuppgifter som får samlas in och behandlas av E-hälsomyndigheten. Alla personuppgifter som behövs för det ändamål för vilket en behandling utförs får därmed behandlas. Enligt utredningen framstår denna lösning ur ett integritetsperspektiv som godtagbar med beaktande av att ändamålsbestämmelserna är relativt specificerade i lagen, och mot bakgrund av att det är relativt reglerat vilka personuppgifter som kommer att behandlas av E-hälsomyndigheten i tjänsten e-recept över landsgränser. Som angetts finns ett överenskommet format med vissa informationsmängder, så enbart vissa personuppgifter kommer att behandlas i tjänsten. Risken för att en onödig mängd uppgifter kommer att behandlas är därför liten. Enligt utredningens bedömning framstår det inte heller som sannolikt att de uppgifter som nätverket för e-hälsa kommit fram till ska ingå i informationsutbytet av e-recept över landsgränser kommer att ändras i någon större omfattning eftersom de grundläggande uppgifterna som behöver finnas på ett recept är sådana som inte borde ändras så mycket över tid. Samtidigt kan vissa uppgifter eller hur de ska anges komma att ändras, t.ex. som en följd av utvecklingen av tjänsten.

17Prop. 2015/16:65 s. 78 f.

Vidare kommer uppgifterna kringgärdas av sekretess, behörighetstilldelning- och åtkomstkontroll, vilka ska förhindra obehörig insyn och spridning.

9.9. Känsliga personuppgifter

Utredningens förslag: Känsliga personuppgifter får behandlas med

stöd av artikel 9.2 h i dataskyddsförordningen under förutsättning att kravet på tystnadsplikt i artikel 9.3 i dataskyddsförordningen är uppfyllt.

Utredningens bedömning: Kravet på tystnadsplikt enligt arti-

kel 9.3 i dataskyddsförordningen är uppfyllt för E-hälsomyndighetens behandling av känsliga personuppgifter enligt lagen. En påminnelse om tystnadsplikt bör införas i lagen.

Utredningen har i avsnitt 7.5 funnit att det undantag som främst aktualiseras vid informationsutbytet av e-recept över landsgränser är artikel 9.2 h i dataskyddsförordningen. För att undantaget ska vara tillämpligt krävs, förutom att behandlingen ska vara nödvändig av skäl som hör samman med någon av de angivna verksamheterna, även att den aktuella verksamheten utförs på grundval av EU-rätten eller medlemsländernas nationella rätt och att kravet på tystnadsplikt enligt artikel 9.3 i dataskyddsförordningen är tillämpligt.

När det gäller kravet på stöd i EU-rätten eller nationell rätt har regeringen i förarbetena till dataskyddslagen bedömt att förutsättningarna är uppfyllda så snart verksamheten bedrivs enligt verksamhetslagstiftningen på de aktuella områdena.18 När det gäller behandlingen av personuppgifter enligt den nya lagen kan det konstateras att behandlingen av personuppgifter kommer, utöver dataskyddsförordningen, att ske med stöd av den föreslagna lagen och E-hälsomyndighetens instruktion.

Kravet på tystnadsplikt i artikel 9.3 i dataskyddsförordningen ska också vara uppfyllt. I artikeln anges att personuppgifter bara får behandlas av eller under ansvar av en yrkesutövare, eller av en annan person, som omfattas av tystnadsplikt enligt EU-rätten eller medlems-

18Prop. 2017/18:105 avsnitt 10:5.

ländernas nationella rätt eller bestämmelser som fastställs av nationella behöriga organ. Personalen hos E-hälsomyndigheten omfattas av tystnadsplikt enligt offentlighets- och sekretesslagen (2009:400) (OSL). Enligt utredningens bedömning är kravet på tystnadsplikt enligt artikel 9.3 i dataskyddsförordningen därmed uppfyllt.

Regeringen har ansett att det är lämpligt att det tas in bestämmelser i registerförfattningar på hälso- och sjukvårdsområdet som påminner om tystnadsplikten i artikel 9.3 i dataskyddsförordningen i syfte att göra den nationella regleringen tydligare.19 Utredningen anser därför att det är lämpligt att i lagen ta in en bestämmelse som påminner om kravet på tystnadsplikt.

9.10. Den registrerades inställning till personuppgiftsbehandlingen

Utredningens bedömning: Patientens samtycke krävs inte för

att personuppgifter om patienten ska få behandlas vid expediering i Sverige av ett e-recept utfärdat i ett annat EES-land.

Den behandling av personuppgifter som sker då ett e-recept från EES överförs för expediering på ett svenskt öppenvårdsapotek i enlighet med lagen utgör enligt utredningens bedömning en rättslig förpliktelse och en uppgift av allmänt intresse i enlighet med artikel 6.1 c och 6.1 e i dataskyddsförordningen, se avsnitt 7.2.

I vissa registerförfattningar förekommer bestämmelser om att den registrerades samtycke krävs för viss behandling, även om en annan rättslig grund än samtycke tillämpas för den behandling som författningen reglerar, t.ex. en rättlig förpliktelse eller en uppgift av allmänt intresse. Om behandlingen stödjer sig på någon av dessa rättsliga grunder får sådana samtyckesbestämmelser anses tillåtna såsom preciseringar enligt artikel 6.2 och 6.3 i dataskyddsförordningen.20 Samtycket är i dessa fall inte den rättsliga grunden för behandlingen, utan en skyddsåtgärd genom vilken den enskildes inställning utgör ett skydd mot ett alltför ingripande integritetsintrång.

Utredningen har i avsnitt 8.2.6 föreslagit att en bestämmelse om att patientens samtycke krävs för att patientens personuppgifter ska

19Prop. 2017/18:171 s. 106 och prop. 2017/18:223 s. 80. 20Prop. 2017/18:171 s. 88.

få behandlas för ändamålet expediering av e-recept i ett annat EESland ska införas i lagen om nationell läkemedelslista. Anledningen härför är att det rör sig om känsliga personuppgifter som ska föras över till ett annat land och som E-hälsomyndigheten som personuppgiftsansvarig inte har något behov av att behandla om inte patienten själv vill det. Genom kravet på samtycke minskar också risken att uppgifterna överförs av misstag eller på felaktiga grunder.

Motsvarande resonemang skulle även kunna föras när det gäller E-hälsomyndighetens behandling av e-recept från EES som expedieras i Sverige, dvs. att det inte finns någon anledning för E-hälsomyndigheten att behandla personuppgifterna om patienten inte själv vill det. Till skillnad från vad som gäller då ett svenskt e-recept expedieras i ett annat EES-land är det lagstiftningen i berört land, land A, som avgör med vilket rättsligt stöd personuppgifterna i ett e-recept förs över till Sverige. Det är också för land A att avgöra om det krävs någon form av samtycke av patienten för att patientens personuppgifter ska få föras över till expedierande land, land B.

Syftet med ett integritetshöjande samtycke är att utgöra ett skydd mot ett alltför ingripande integritetsintrång. Enligt utredningens bedömning fyller inte ett integritetshöjande samtycke någon funktion i den situationen då en patient kommer in på ett öppenvårdsapotek för att hämta ut sitt e-recept som utfärdats i patientens hemland. Det förhållandet att patienten kommer in på ett öppenvårdsapotek och begär att få ut sitt läkemedel innefattar enligt utredningens bedömning en form av medvetet ställningstagande till att uppgifterna ska få överföras för expedieringen. I samband med att E-hälsomyndigheten behandlar patientens personuppgifter har myndigheten även en skyldighet i enlighet med artikel 14 i dataskyddsförordningen att informera om den personuppgiftsbehandling som myndigheten kommer att utföra i samband med expedieringen. Informationen ska lämnas senast i samband med att behandlingen kommer att ske (enligt artikel 12–14 i dataskyddsförordningen). Om patienten i samband med att patienten erhåller informationen inte vill att personuppgifterna behandlas av myndigheten har patienten möjlighet att gå därifrån och uppsöka en vårdgivare i Sverige för sin läkemedelsbehandling. Utredningens bedömning är därför att patientens samtycke inte ska krävas för att personuppgifter om patienten ska få behandlas vid expediering i Sverige av ett e-recept från EES.

9.11. E-hälsomyndighetens uppgiftsskyldighet

9.11.1. Inledning

I OSL finns bestämmelser om tystnadsplikt i det allmännas verksamhet och förbud att lämna ut allmänna handlingar. Enligt 25 kap. 17 a § OSL gäller sekretess hos E-hälsomyndigheten för uppgift om en enskilds hälsotillstånd eller andra personliga förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående lider men. Enligt 25 kap. 17 b § OSL gäller sekretess hos E-hälsomyndigheten för uppgift om en enskilds affärs- eller driftsförhållanden, om det kan antas att den enskilde lider skada om uppgiften röjs.

Enligt 8 kap. 1 § OSL får uppgift för vilken sekretess gäller enligt OSL inte röjas för enskilda eller för andra myndigheter, om inte annat anges i OSL eller i lag eller förordning som OSL hänvisar till. Det förekommer situationer när andra myndigheters eller enskildas intresse av att ta del av en sekretessbelagd uppgift väger tyngre än det intresse sekretessen ska skydda. Det finns därför bestämmelser i OSL som innebär att sekretess under vissa förutsättningar inte hindrar att sekretessbelagda uppgifter lämnas till myndigheter eller enskilda. Sådana bestämmelser kallas för sekretessbrytande bestämmelser. En sådan bestämmelse finns i 10 kap. 28 § OSL som gäller utlämnande till andra myndigheter och innebär att sekretess inte hindrar att uppgift lämnas till en annan myndighet om uppgiftsskyldighet följer av lag eller förordning.

Någon bestämmelse som motsvarar 10 kap. 28 § första stycket OSL finns inte beträffande uppgiftsutlämnande till enskilda. Sekretessbrytande bestämmelser som gäller i förhållande till enskilda rättssubjekt som t.ex. apotek kan föras in i andra lagar än OSL eller i en förordning men då måste en hänvisning till den lagen eller förordningen alltid föras in i OSL (8 kap. 1 § OSL).

Vad gäller frågan om behovet av en uppgiftsskyldighet när det finns en ändamålsbestämmelse som reglerar uppgiftsutlämnande framfördes i förarbetena till receptregisterlagen uppfattningen att en lagreglering med registerändamål som uttryckligen beskriver ifrågavarande uppgiftslämnande rimligen måste utesluta att ett uppgiftslämnande i enlighet med registerändamålen anses obehörigt. Regeringens uppfattning var emellertid att regleringen i receptregisterlagen inte var tillräckligt tydlig härvidlag. För att det inte skulle råda något

tvivel om att det ifrågavarande uppgiftslämnandet inte var obehörigt, men också för att tydliggöra att det är ett åliggande för dåvarande Apotekens Service AB, föreslog regeringen att det i receptregisterlagen införs uttryckliga bestämmelser om uppgiftsskyldighet.21 Motsvarande bestämmelser om uppgiftsskyldighet fördes över till den nationella läkemedelslistan.

9.11.2. Uppgiftsskyldighet till öppenvårdsapotek och utländsk kontaktpunkt för e-hälsa

Utredningens förslag: E-hälsomyndigheten ska till expedierande

personal på öppenvårdsapotek lämna ut de uppgifter som är nödvändiga för expediering av läkemedel. E-hälsomyndigheten ska också till nationell kontaktpunkt i ett annat EES-land lämna ut de uppgifter som är nödvändiga för den återrapportering av expedierade läkemedel som följer av tjänsten e-recept över landsgränser och de uppgifter som är nödvändiga för expedieringen av läkemedel.

För att E-hälsomyndigheten som nationell kontaktpunkt för e-hälsa ska kunna utföra sitt åtagande enligt e-hälsoavtalet att förmedla uppgifter om ett e-recept utfärdat i ett annat EES-land för expediering på ett öppenvårdsapotek i Sverige behöver myndigheten lämna ut uppgifter som omfattas av sekretess hos myndigheten i enlighet med 25 kap. 17 a § OSL till dels expedierande personal på öppenvårdsapotek, dels till en nationell kontaktpunkt för e-hälsa i ett annat EES-land.

För att E-hälsomyndigheten ska slippa att göra en sekretessprövning varje gång innan uppgifter lämnas ut till expedierande personal på öppenvårdsapotek och till en nationell kontaktpunkt för e-hälsa i ett annat EES-land behöver en uppgiftsskyldighet för E-hälsomyndigheten införas. Genom en sådan bestämmelse tydliggörs att utlämnande av uppgifterna är en uppgift för E-hälsomyndigheten och att det är behörigt.22

Utredningen föreslår därför att en bestämmelse om uppgiftsskyldighet införs för E-hälsomyndigheten till expedierande personal på

21Prop. 2008/09:145 s. 316. 22Prop. 2008/09:145 s. 316.

öppenvårdsapotek när det gäller uppgifter om e-recept från EES. Motsvarande bestämmelse för E-hälsomyndigheten finns vad gäller svenska e-recept i lagen om nationell läkemedelslista (6 kap. 1 §).

När ett e-recept från EES har expedierats på ett öppenvårdsapotek i Sverige ska uppgifter om uttaget återrapporteras till behörig kontaktpunkt för e-hälsa enligt kraven i tjänsten e-recept över landsgränser. E-hälsomyndigheten kommer också att behöva lämna ut uppgifter som myndigheten vidarebefordrar från öppenvårdsapoteket till den utländska kontaktpunkten för e-hälsa som följer av den frågasvarstjänst som beskrivs i avsnitt 5.4.1. Av samma skäl som redovisats ovan föreslår utredningen även en bestämmelse om uppgiftsskyldighet för E-hälsomyndigheten till berörd kontaktpunkt i ett annat EES-land.

För att uppgiftsskyldigheten till expedierande personal på öppenvårdsapotek och till utländsk kontaktpunkt ska kunna bryta sekretessen måste en hänvisning i OSL ske till den nya lagen (jfr 8 kap. 1 § OSL), se vidare avsnitt 10.6.

9.11.3. Uppgiftsskyldighet till Läkemedelsverket

Utredningens förslag: En bestämmelse om uppgiftsskyldighet

för E-hälsomyndigheten till Läkemedelsverket ska införas.

Utredningen har i tidigare avsnitt redogjort för Läkemedelsverkets behov av uppgifter och föreslår i avsnitt 9.7.6 att personuppgifter ska få behandlas för ändamål som avser redovisning av uppgifter till Läkemedelsverket. I dag får Läkemedelsverket uppgifter om bl.a. förskriven och expedierad vara, patientens namn, personnummer eller samordningsnummer, folkbokföringsort och postnumret i patientens bostadsadress, förskrivarens namn, yrke, specialitet, arbetsplats, arbetsplatskod och förskrivarkod, kostnad, samt andra uppgifter som krävs i samband med en förskrivning eller expediering (6 kap. 8 § lag om nationell läkemedelslista).

Vid expediering av e-recept utfärdade i ett annat EES-land kommer uppgifterna om expedieringen skilja sig åt i vissa avseenden från uppgifterna som finns för svenska expedieringar. Främst kommer patienten inte ha ett svenskt person- eller samordningsnummer. Läkemedelsverket har till utredningen uppgett att myndigheten har behov

av liknande uppgifter som myndigheten får i dag för de svenska e-recepten för sin tillsyn över öppenvårdsapotekens tillhandahållande- och uppgiftsskyldighet enligt lagen om handel med läkemedel. Myndigheten behöver patientens namn, födelsedatum och expedierande apotek för att kunna identifiera receptet. Förskrivet och expedierat läkemedel behövs också.

Utredningen anser därför att E-hälsomyndigheten bör på begäran lämna uppgifter till Läkemedelsverket om förskrivet läkemedel (mängd och dosering, aktiv substans, läkemedelsform, styrka, administreringssätt, behandlingsändamål och datum för förskrivning), patientens namn, födelsedatum, land, uppgift om förskrivarens namn, yrke, expedierat läkemedel (mängd och dosering, aktiv substans, läkemedelsform, styrka, administreringssätt, behandlingsändamål, datum för expediering), expedierande apotek, expedierande farmaceut, kostnad, och andra uppgifter som krävs i samband med en förskrivning eller en expediering. Med begreppet expedierat läkemedel avser utredningen det specifika läkemedel som har expedierats. I den nationella läkemedelslistan används begreppet vara för både läkemedel och övriga varor i motsvarande bestämmelse. I förarbetena anges att med andra varor avses teknisk sprit, förbrukningsartiklar, livsmedel för särskilda näringsändamål och de varor som upptas i Läkemedelsverkets föreskrifter (LVFS 2011:15).23 I denna lag används begreppet läkemedel för att förtydliga att det inte avser andra varor utan läkemedel. Uppgifterna ska redovisas per öppenvårdsapotek.

Mot bakgrund av att det rör sig om en skyldighet för E-hälsomyndigheten föreslog regeringen i förarbetena till den nationella läkemedelslistan att det i lagen införs en uttrycklig uppgiftsskyldighet för E-hälsomyndigheten gentemot Läkemedelsverket, som motsvarade dåvarande 18 a § lagen om receptregister. Skälet till att en bestämmelse om uppgiftsskyldighet infördes i receptregisterlagen var för att det inte skulle råda något tvivel om att uppgiftslämnandet inte är obehörigt, men också för att tydliggöra att det är fråga om ett åliggande för dåvarande Apotekens Service AB.24

Utredningen gör samma bedömning som gjordes i förarbetena till tidigare lagstiftningar och föreslår en bestämmelse om uppgiftsskyldighet för E-hälsomyndigheten till Läkemedelsverket. En sådan uppgiftsskyldighet i lag som utredningen föreslår innebär att sekretess

23Prop. 2017/18:233 s. 223 och 229. 24Prop. 2017/18:223 s. 171 och prop. 2008/09:145 s. 316.

inte hindrar att uppgift lämnas till annan myndighet enligt 10 kap. 28 § OSL.

Det kan vara så att vissa av de uppräknade uppgifterna som Läkemedelsverket behöver för sin tillsyn inte finns hos E-hälsomyndigheten, beroende på t.ex. vilka uppgifter E-hälsomyndigheten har tagit emot från öppenvårdsapoteket och den nationella kontaktpunkten i land A. Utredningen anser därför att det bör framgå av bestämmelsen att E-hälsomyndigheten endast kan lämna de uppgifter som myndigheten har till Läkemedelsverket.

Utredningen gör vidare bedömningen att de uppgifter E-hälsomyndigheten ska lämna till Läkemedelsverket för myndighetens tillsyn över uppgifts- och tillhandahållandeskyldigheten bör anges i författning men inte regleras i lag, utan på en lägre normgivningsnivå. Utredningen föreslår att regeringen bör få ett bemyndigande att meddela föreskrifter om vilka uppgifter som ska lämnas, vilket lämpligen placeras sist i lagen. Mer detaljerade föreskrifter bör meddelas i en ny förordning till denna lag.

9.11.4. Uppgiftsskyldighet till Socialstyrelsen

Utredningens förslag: En bestämmelse om uppgiftsskyldighet

för E-hälsomyndigheten till Socialstyrelsen ska införas.

Utredningen har i tidigare avsnitt redogjort för Socialstyrelsens behov av uppgifter om e-recept som utfärdats i ett annat EES-land och föreslår i avsnitt 9.7.7 att personuppgifter ska få behandlas för ändamål som avser redovisning av uppgifter till Socialstyrelsen.

I dag får Socialstyrelsen uppgifter om datum för förskrivning och expediering, förskriven och expedierad vara, mängd och dosering, kostnad och kostnadsreducering enligt lagen om läkemedelsförmåner m.m., ordinationsorsak, patientens personnummer eller samordningsnummer och folkbokföringsort, och förskrivarens yrke, specialitet och arbetsplatskod (6 kap. 5 § lag om nationell läkemedelslista). Vid expediering av e-recept utfärdade i ett annat EESland kommer uppgifterna om expedieringen skilja sig åt i vissa avseenden från uppgifterna som finns för svenska expedieringar. Patienten kommer t.ex. inte ha ett svenskt person- eller samordningsnummer. Socialstyrelsen har till utredningen uppgett att myndig-

heten har behov av liknande uppgifter som myndigheten får i dag för de svenska e-recepten. Utredningen instämmer i detta och anser att myndigheten ska få tillgång till liknande uppgifter även för e-recept från EES. Vilka uppgifter myndigheten får behandla för aktuellt ändamål framgår av 4 § förordning om läkemedelsregister hos Socialstyrelsen. Utredningen anser därför att uppgiftsskyldigheten ska avse de uppgifter som är nödvändiga för ändamålet epidemiologiska undersökningar, forskning, framställning av statistik, uppföljning, utvärdering och kvalitetssäkring inom hälso- och sjukvårdsområdet. Utredningens bedömning är att det inte är nödvändigt att räkna upp uppgifterna i lagstiftningen.

Mot bakgrund av att det rör sig om en skyldighet för E-hälsomyndigheten föreslog regeringen i förarbetena till den nationella läkemedelslistan att det i lagen införs en uttrycklig uppgiftsskyldighet för E-hälsomyndigheten gentemot Socialstyrelsen som motsvarade tidigare reglering i 16 § lagen om receptregister.25 Bestämmelsen om uppgiftsskyldighet i receptregisterlagen ansågs nödvändig för att det inte skulle råda något tvivel om att uppgiftslämnandet inte var obehörigt, men också för att tydliggöra att det var fråga om ett åliggande för dåvarande Apotekens Service AB.26 Utredningen gör samma bedömning som i förarbetena till tidigare lagstiftning och föreslår en uppgiftsskyldighet för E-hälsomyndigheten till Socialstyrelsen. En sådan uppgiftsskyldighet i lag som utredningen föreslår innebär att sekretess inte hindrar att uppgift lämnas till annan myndighet enligt 10 kap. 28 § OSL.

9.12. Tilldelning av behörighet och kontroll av elektronisk åtkomst

Utredningens förslag: En bestämmelse ska införas om att E-hälso-

myndigheten ska bestämma villkor för tilldelning av behörighet till den som arbetar hos myndigheten för åtkomst till uppgifter som behandlas enligt lagen. Behörigheten ska begränsas till sådan information som den som arbetar hos E-hälsomyndigheten behöver för att kunna utföra sina arbetsuppgifter.

25Prop. 2017/18:223 s. 169. 26Prop. 2017/18:223 s. 169 och prop. 2008/09:145 s. 316.

En bestämmelse ska vidare införas som anger att E-hälsomyndigheten ska se till att åtkomst till personuppgifter som behandlas enligt lagen dokumenteras och kan kontrolleras. E-hälsomyndigheten ska systematiskt och återkommande kontrollera om någon obehörigen tar del av uppgifterna.

9.12.1. Dataskyddsförordningen

Enligt artikel 5.1 c i dataskyddsförordningen ska personuppgifter vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (principen om uppgiftsminimering). En annan grundläggande princip är att den personuppgiftsansvarige ska vidta åtgärder som säkerställer lämplig säkerhet för personuppgifterna, inbegripet bl.a. skydd mot obehörig eller otillåten behandling, med användning av lämpliga tekniska eller organisatoriska åtgärder (principen om integritet och konfidentialitet i artikel 5.1 f).

Det är den personuppgiftsansvarige som ansvarar för säkerheten och som, enligt artikel 24 i dataskyddsförordningen, med beaktande av behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter, ska genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen utförs i enlighet med dataskyddsförordningen. Dessa åtgärder ska ses över och uppdateras vid behov. De tekniska och organisatoriska åtgärderna ska vara utformade för ett effektivt genomförande av dataskyddsprinciperna, t.ex. principen om uppgiftsminimering i artikel 5 och för integrering av de nödvändiga skyddsåtgärderna i behandlingen (artikel 25). Åtgärder ska vidtas både vid fastställandet av vilka medel behandlingen utförs med och vid själva behandlingen och genomföras med beaktande av den senaste utvecklingen, genomförandekostnader och behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter. Den personuppgiftsansvarige ska vidta åtgärder för att säkerställa att endast personuppgifter som är nödvändiga för varje specifikt ändamål med behandlingen behandlas. Vidare ska personuppgifterna som huvudregel inte utan den registrerades medverkan göras tillgängliga för ett obegränsat antal fysiska personer.

I artikel 32 i dataskyddsförordningen preciseras de säkerhetsåtgärder som bör vidtas enligt artikel 25. De åtgärder som ska vidtas ska, när det är lämpligt, inbegripa pseudonymisering och kryptering av personuppgifter, förmågan att fortlöpande säkerställa konfidentialitet, integritet, tillgänglighet och motståndskraft hos behandlingssystemen och tjänsterna, förmågan att återställa tillgängligheten och tillgången till personuppgifter i rimlig tid vid en fysisk eller teknisk incident, ett förfarande för att regelbundet testa, undersöka och utvärdera effektiviteten hos de tekniska och organisatoriska åtgärder som ska säkerställa behandlingens säkerhet. Vid bedömningen av lämplig säkerhetsnivå ska särskild hänsyn tas till de risker som behandlingen medför, i synnerhet från oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats. Åtgärder ska vidare vidtas för att säkerställa att varje fysisk person som utför arbete under den personuppgiftsansvariges eller personuppgiftsbiträdets överinseende, och som får tillgång till personuppgifter, endast behandlar dessa på instruktion från den personuppgiftsansvarige, om inte EU-rätten eller medlemsländernas nationella rätt ålägger honom eller henne att göra det.

9.12.2. Behörighetstilldelning och åtkomstkontroll

Informationsutbytet av e-recept över landsgränser kommer att omfatta en stor mängd känsliga personuppgifter. Som framgår av tidigare avsnitt är tjänsten valfri. Om personuppgifterna inte hanteras på ett säkert sätt som skyddar mot obehörigt utnyttjande av uppgifterna, kan det finnas risk att patienter väljer att inte använda den möjlighet som informationsutbytet medför. Därför är det viktigt att det tydligt framgår att E-hälsomyndigheten som personuppgiftsansvarig har ansvaret för att den elektroniska åtkomsten till personuppgifter hos myndigheten inte är mer omfattande än vad som krävs för att den som arbetar hos myndigheten ska kunna utföra sina arbetsuppgifter.

I lagen om nationell läkemedelslista ställs krav på att E-hälsomyndigheten ska bestämma villkor för tilldelning av behörighet för åtkomst till personuppgifter och på dokumentation (8 kap. 1 §). I förarbetena till lagen uttalade regeringen att E-hälsomyndigheten bör ta fram rutiner för behörighetstilldelning för de personalkate-

gorier inom myndigheten som kommer ifråga för åtkomst till uppgifter i registret. Åtkomsten till uppgifterna i registret föreslogs vara begränsad till det som behövs för att den som arbetar på myndigheten ska kunna fullgöra sina arbetsuppgifter.27 Utredningen anser att en bestämmelse i lagen om krav på behörighetstilldelning bör införas, i likhet med den nationella läkemedelslistan. Behörigheten för åtkomst till personuppgifter ska vara anpassad efter den anställdes behov av personuppgifter för att kunna utföra sitt arbete. Utgångspunkten för tilldelning av behörighet för personuppgifterna ska begränsas till det som behövs för att den som arbetar på myndigheten ska kunna fullgöra sina arbetsuppgifter. Av detta följer att behörigheter ska följas upp och ändras efter hand som ändringar i befattningshavarens arbetsuppgifter ger anledning till det.

I lagen om nationell läkemedelslista ställs vidare krav på att E-hälsomyndigheten ska se till att åtkomst till personuppgifter i den nationella läkemedelslistan dokumenteras och kontrolleras. Myndigheten ska systematiskt och återkommande kontrollera om någon obehörigen tar del av uppgifter i registret (8 kap. 1 §). I förarbetena till lagen uttalade regeringen att det ankommer på myndigheten att ta fram en säkerhetslösning som skyddar uppgifterna i registret mot otillåten behandling. Myndigheten bör identifiera vilka risker för obehörig användning som finns och vilka åtgärder som ska vidtas för att dessa risker ska minimeras eller om möjligt upphöra. Det ska exempelvis finnas en säker autentisering av den aktör som vill få åtkomst till registret. För att åtkomsten ska kunna kontrolleras bör det sparas loggar som visar så detaljerad information som behövs för att kunna utreda eventuell obehörig åtkomst eller annan behandling av uppgifterna i registret.28

För att kunna säkerställa skyddet mot obehörig åtkomst anser utredningen att en bestämmelse som motsvarar den som finns i lagen om nationell läkemedelslista med krav på loggning och kontroll av elektronisk åtkomst bör införas i lagen. Utredningen anser att det ska framgå av lagen att E-hälsomyndigheten ska se till att åtkomsten till personuppgifterna dokumenteras och kan kontrolleras. Vidare ska det framgå att E-hälsomyndigheten bör göra systematiska och återkommande kontroller av om någon obehörigen kommer åt personuppgifterna. Det är upp till E-hälsomyndigheten som personupp-

27Prop. 2017/18:223 s. 177. 28Prop. 2017/18:223 s. 177.

giftsansvarig att se till att det finns bra loggningssystem och att uppföljande kontroller görs för att lagen ska kunna följas.

Även om skyldigheten för den personuppgiftsansvarige att på olika sätt begränsa tillgången till personuppgifter kan sägas följa direkt av dataskyddsförordningens krav (se bl.a. artikel 24 och 25) anser utredningen i likhet med den bedömning som regeringen gjorde i förarbetena till den nationella läkemedelslistan att det bör regleras tydligt i lagen eftersom det rör känsliga uppgifter om personers hälsa.29 Bestämmelser om vilka säkerhetsåtgärder som ska vidtas i en viss verksamhet utgör vidare ett sådant specifikt krav på personuppgiftsbehandling som enligt artikel 6.2 och 6.3 i dataskyddsförordningen får fastställas i nationell rätt.

9.13. Bevarandetid

Utredningens förslag: Personuppgifter ska tas bort senast fem

år efter att läkemedlet har expedierats på ett öppenvårdsapotek.

Lagring av personuppgifter är en form av behandling av personuppgifter enligt dataskyddsförordningen. Huvudregeln i artikel 5.1 e i dataskyddsförordningen är att personuppgifter inte får förvaras i en form som möjliggör identifiering av den registrerade under längre tid än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas. Denna utgångspunkt får anses vara ett uttryck för resultatet av avvägningen mellan integritetsskyddsintresset och det informationsbehov som uppgifterna ska tillgodose. När en personuppgift inte längre behöver behandlas för de ursprungliga ändamålen ska uppgiften raderas eller avidentifieras. Med avidentifiering menas att alla möjligheter att identifiera en person tas bort. Särskilda regler gäller enligt dataskyddsförordningen om personuppgifter behandlas för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål. Om personuppgifter behandlas enbart för dessa ändamål, får de bl.a. lagras under längre perioder under förutsättning att lämpliga tekniska och organisatoriska åtgärder vidtas i enlighet med kraven i artikel 89.1 i dataskyddsförordningen.

29Prop. 2017/18:223 s. 177.

Regleringen i dataskyddsförordningen gäller inte i den utsträckning att det skulle hindra en myndighet att arkivera och bevara allmänna handlingar. Handlingsoffentligheten har företräde framför dataskyddsförordningen, vilket innebär att personuppgifter i allmänna handlingar inte ska gallras enligt bestämmelser i dataskyddsförordningen. Av 3 § arkivlagen (1990:782) framgår att en myndighets arkiv, som bl.a. består av de allmänna handlingarna från myndighetens verksamhet, ska bevaras. Huvudprincipen enligt arkivlagstiftningen är således att allmänna handlingar ska bevaras. Enligt bestämmelsen ska myndigheternas arkiv bevaras, hållas ordnade och vårdas så att de tillgodoser rätten att ta del av allmänna handlingar, behovet av information för rättskipningen och förvaltningen samt forskningens behov. Det följer dock av 10 § arkivlagen att allmänna handlingar under vissa förutsättningar får gallras. När det gäller gallring är arkivlagens bestämmelser subsidiära i förhållande till annan lagstiftning. Om det finns avvikande bestämmelser om gallring av vissa allmänna handlingar i annan lag eller förordning, har de bestämmelserna företräde (10 § tredje stycket arkivlagen). Av 14 § arkivförordningen framgår att statliga myndigheter får gallra allmänna handlingar endast i enlighet med föreskrifter eller beslut av Riksarkivet, om inte särskilda gallringsföreskrifter finns i lag eller förordning.

En bestämmelse om gallring innebär alltså inte bara att uppgiften inte längre får behandlas i dataskyddsförordningens mening, utan även att arkivrättslig gallring ska ske. Om det i författningar som rör myndigheters behandling av personuppgifter inte finns några särskilda regler om gallring, ska således arkivlagens bestämmelser om bevarande som huvudprincip tillämpas.

Regeringen har bedömt att bestämmelser i registerförfattningar, som innebär att personuppgifter ska eller får bevaras under viss tid alternativt gallras efter en viss tid eller när de inte längre är nödvändiga för de ändamål för vilka de behandlas, är sådana nationella bestämmelser om lagringstid som är tillåtna enligt artikel 6.2 och 6.3 i dataskyddsförordningen när behandlingen grundar sig på en rättslig förpliktelse, en uppgift av allmänt intresse eller som ett led i myndighetsutövning.30 Den rättsliga grunden för informationsutbytet av e-recept över landsgränser är rättslig förpliktelse och uppgift av allmänt intresse enligt artikel 6.1 c och 6.1 e i dataskyddsförordningen. Utred-

30Prop. 2017/18:105 s. 142.

ningens bedömning är därför att en särskild bestämmelse om lagringstid är förenlig med dataskyddsförordningen och kan införas i lagen.

Principen att gallring ska ske motiveras i första hand av integritetsskäl.31 Behovet av gallringsbestämmelser måste således avgöras genom en avvägning mellan å ena sidan intresset av skydd för den personliga integriteten och å andra sidan intresset av offentlighet och insyn i myndigheternas verksamhet. Vid informationsutbytet av e-recept över landsgränser kommer känsliga personuppgifter att behandlas om patienters hälsa. Behandlingen kan komma att omfatta en stor mängd patienter. Utredningens bedömning är därför att en bestämmelse om vilken bevarandetid som ska gälla för uppgifterna som behandlas enligt lagen ska införas. Bevarandetidens längd ska motiveras utifrån de ändamål som lagen avser att tillgodose och med beaktande av integritetsskyddsintresset.

Frågan om olika bevarandetider lyftes i förarbetena till den nationella läkemedelslistan. Regeringen uppgav då att en konstruktion med olika bevarandetider skulle försvåra den personuppgiftsansvariges hantering av uppgifterna och även för den registrerade att bilda sig en uppfattning om vad den verkliga bevarandetiden är. En sådan lösning är därför utifrån ett integritetshänseende inte ändamålsenlig. Regeringen gjorde därför bedömningen att den tid om fem år som föreslagits i departementspromemorian var välavvägd för att ändamålen med personuppgiftsbehandlingen i den nationella läkemedelslistan skulle uppnås. Regeringen uttalade vidare i förarbetena bl.a. att ändamålen avsåg huvudsakligen ”hantering som är nödvändig för att en patient ska kunna få en säker ordination och expediering av ett förskrivet läkemedel samt redovisning av uppgifter till olika myndigheter som behöver uppgifterna i sin tillsyn eller övriga verksamhet”. Vid bedömningen av vilken bevarandetid som var lämplig ansågs syftet med dessa ändamål vara vägledande. Regeringen bedömde då att fem år var välavvägd för ändamålen med personuppgiftsbehandlingen i den nationella läkemedelslistan.32

Vad gäller de i lagen föreslagna ändamålen kan det precis som i förarbetena till den nationella läkemedelslistan diskuteras om det är lämpligt med olika bevarandetider för de olika ändamålen. Syftet med lagen är i vissa avseenden liknande som den nationella läkemedelslistan bl.a. åstadkommande av en säker expediering. Främst syftar

31Prop. 1989/90:72 s. 50. 32Prop. 2017/18:223 s. 120 f.

lagen till att möjliggöra för en patient som är t.ex. på resande fot att hämta ut sitt läkemedel i ett annat EES-land på ett säkert sätt och att uppgifter om expedieringen ska kunna återrapporteras till patientens hemland. Öppenvårdsapoteken har i samband med expedieringen en skyldighet i enlighet med lagen om handel med läkemedel att lämna vissa uppgifter om expedieringen till E-hälsomyndigheten. Dessa uppgifter hanteras och lämnas sedan ut av E-hälsomyndigheten till Läkemedelsverket för verkets tillsyn och till Socialstyrelsen för uppföljning. Syftet är inte att skapa ett register med fullständig information om patienten.

Vad gäller t.ex. ändamålet Läkemedelsverkets tillsyn har verket behov av uppgifter om expediering av läkemedel för sin tillsyn. Av 10 kap. 1 § receptföreskrifterna följer att viss dokumentation ska bevaras och hållas tillgänglig för tillsyn i fem år, t.ex. verifikationer för utlämnande av läkemedel. Eftersom Läkemedelverket använder sig av verifikationen som underlag för bedömningen av om öppenvårdsapoteken uppfyller sin uppgiftsskyldighet som följer av lagen om handel med läkemedel är det enligt utredningens bedömning lämpligt att samma tid ska gälla för ändamålet i 6 § 4 i den föreslagna lagen, dvs. för Läkemedelsverkets tillsyn över tillhandahållandeskyldigheten och uppgiftsskyldigheten i 2 kap. 6 § 16 och 2 kap. 6 § 17 lagen om handel med läkemedel.

Vad gäller övriga ändamål finner utredningen, i likhet med förarbetena till den nationella läkemedelslistan, att det inte är lämpligt med olika bevarandetider för de olika ändamålen. I den nationella läkemedelslistan finns motsvarande ändamål som i den föreslagna lagen, dvs. ändamål för framställande av statistik hos E-hälsomyndigheten, ändamål för Läkemedelsverkets tillsyn och ändamål för Socialstyrelsens epidemiologiska studier etc. Utredningen ser inget skäl att e-recept utfärdade i ett annat EES-land medför någon väsentligt annan bedömning om bevarandetidens längd än e-recept utfärdade i Sverige. Utredningen finner således inte skäl att göra någon annan bedömning än vad som gjorts i den nationella läkemedelslistan vad gäller bevarandetidens längd. Mot denna bakgrund bör bevarandetiden vara fem år enligt utredningens bedömning.

9.14. Rätt att meddela föreskrifter

Utredningens förslag: I lagen ska införas ett bemyndigande för

regeringen att meddela föreskrifter om vilka uppgifter som ska lämnas till Läkemedelsverket.

I 8 kap. regeringsformen (RF) finns bestämmelser om lagar och andra föreskrifter. Vilka föreskrifter som meddelas genom lag följer av 8 kap. 2 § RF. Av 8 kap. 3 § RF framgår att riksdagen kan bemyndiga regeringen att meddela föreskrifter enligt 2 § första stycket 1 och 2. Vidare följer av 8 kap. 10 § RF att riksdagen, efter ett bemyndigande till regeringen att meddela föreskrifter i visst ämne, kan medge att regeringen bemyndigar en förvaltningsmyndighet att meddela föreskrifter i ämnet. Regeringen kan även meddela föreskrifter om verkställighet av lag och föreskrifter som inte enligt grundlag ska meddelas av riksdagen (8 kap. 7 § första stycket 1 och 2 RF).

Utredningen föreslår i avsnitt 9.11.3 att E-hälsomyndigheten ska på begäran av Läkemedelsverket lämna de uppgifter som myndigheten behöver för ändamålet i 6 § 4, dvs. för Läkemedelsverkets tillsyn över tillhandahållandeskyldigheten enligt 2 kap. 6 § 16 lagen om handel med läkemedel och för Läkemedelsverkets tillsyn över uppgiftslämnande vid expediering av en förskrivning enligt 2 kap. 6 § 17 lagen om handel med läkemedel. Enligt utredningens bedömning bör vilka uppgifter som ska lämnas till Läkemedelsverket inte regleras i lag utan på en lägre normgivningsnivå. Regeringen bör få ett bemyndigande för detta. Mer detaljerade föreskrifter bör meddelas i en ny förordning till lagen. Om t.ex. kraven från nätverket för e-hälsa ändras och det får betydelse för uppgiftsskyldigheten, är det en fördel att en förordning uppdateras enklare än en lag. Utredningen föreslår därför att regeringen ska bemyndigas att meddela föreskrifter om vilka uppgifter som ska lämnas till Läkemedelsverket.

10. Övriga aktörers personuppgiftsbehandling, ändringar i HOSP-förordningen och offentlighets- och sekretesslagen

10.1. Inledning

I föregående kapitel 7–9 analyseras E-hälsomyndighetens personuppgiftsbehandling vid informationsutbyte av e-recept över landsgränser. Utredningen har också i uppdrag att analysera behovet av att reglera den personuppgiftsbehandling som öppenvårdsapoteken utför vid expedieringar i Sverige av e-recept från EES eller svenska e-recept som expedieras utomlands och vid behov lämna förslag på nödvändiga ändringar. Öppenvårdsapotekens behandling av personuppgifter regleras i apoteksdatalagen (2009:367) och omfattar personuppgifter som rör konsumenter och de som är behöriga att förordna läkemedel. Frågan om gränsöverskridande informationshantering för utlandsvård behandlas varken i apoteksdatalagen, i förarbetena till lagen eller vid genomförandet av patientrörlighetsdirektivet.

Utredningen ska också analysera behovet av att reglera personuppgiftsbehandling för andra berörda aktörer. I detta kapitel analyseras även förskrivarnas personuppgiftsbehandling som främst regleras i patientdatalagen (2008:355). Läkemedelsverkets och Socialstyrelsens personuppgiftsbehandling analyseras avslutningsvis. Utredningen ska även redogöra för hur författningsförslagen förhåller sig till bl.a. relevant dataskyddsreglering, behovet av informationssäkerhet, rättssäkerhet och skyddet för den personliga integriteten.

Utredningen utreder även behovet av och föreslår ändringar i förordning (2006:196) om register över hälso- och sjukvårdspersonal,

den s.k. HOSP-förordningen och offentlighets- och sekretesslagen (2009:400) (OSL).

10.2. Behov av ändringar i apoteksdatalagen

10.2.1. Öppenvårdsapotekens personuppgiftsbehandling

Personuppgiftsbehandlingen vid en expediering av ett e-recept från EES påminner i stort om behandlingen när ett svenskt e-recept expedieras på ett öppenvårdsapotek. I båda fallen behöver öppenvårdsapoteken tillgång till ett antal uppgifter för att kunna utföra expedieringen. Vid informationsutbyte av e-recept över landsgränser kommer öppenvårdsapoteken få de uppgifter som behövs från den nationella kontaktpunkten för e-hälsa i land A, via E-hälsomyndigheten som nationell kontaktpunkt för e-hälsa i Sverige. Utredningen redogör för hur informationsflödet i tjänsten e-recept över landsgränser ser ut i avsnitt 5.4. Syftet är att öppenvårdsapoteken ska kunna identifiera patienten och patientens e-recept för att sedan kunna expediera läkemedlet och slutligen återrapportera uttaget till E-hälsomyndigheten för vidarebefordran av informationen till den utländska kontaktpunkten för e-hälsa.

De insamlade uppgifterna kommer i samband med expedieringen att behöva vidareförmedlas till E-hälsomyndigheten som i sin tur samlar in, lagrar och lämnar ut uppgifterna till kontaktpunkten för e-hälsa i det andra landet och till andra aktörer samt använder uppgifterna för statistikändamål. Uppgifterna kommer också att behöva sparas av öppenvårdsapoteken för att uppfylla den skyldighet som följer av receptföreskrifterna att vid expedieringen upprätta en verifikation som ska sparas för tillsyn i fem år (8 kap. 42 § och 10 kap. 1 §).

De insamlade personuppgifterna kan även komma att behandlas i samband med reklamation och då för ändamålet reklamation (8 § 3 apoteksdatalagen), i samband med att uppgifter lämnas ut till Läkemedelsverket och Inspektionen för vård och omsorg (IVO) och då för ändamålet tillsyn (8 § 6) samt i samband med hälsorelaterad kundservice och då för ändamålet hälsorelaterad kundservice (8 § 8). Vidare kan de insamlade uppgifterna även komma att behandlas för öppenvårdsapotekens kvalitetssäkring och uppföljning av verksamheten och då för ändamålet kvalitetssäkring och uppföljning av verksamheten (8 § 10 och 11) samt i samband med att uppgifter lämnas till

E-hälsomyndigheten för statistik över detaljhandeln (8 § 2). Om expedierande farmaceut i samråd med konsumenten skriver ut en sammanställning av de receptuppgifter på originalspråket som överförts i PDF-format från kontaktpunkten för e-hälsa i det andra landet kommer personuppgifter att behandlas och då eventuellt för ändamålet utlämnande av recept till konsumenten (8 § 9). Syftet är främst att konsumenten ska kunna ta del av information från receptet på sitt språk. Det är en informationsåtgärd och innebär inte en överföring av e-receptet till ett annat receptformat. När det blir aktuellt för Sverige att hantera fullmakter i tjänsten behöver öppenvårdsapoteken kunna kontrollera att det finns en giltig fullmakt och behöver då kunna behandla personuppgifter för ändamålet administrering av fullmakter (8 § 5).

10.2.2. De personuppgifter som behövs vid en expediering

Personal på öppenvårdsapoteken behöver tillgång till alla uppgifter om en förskrivning för att expediera läkemedel och för att kunna vidta åtgärder i samband med expedieringen. Den som expedierar läkemedel behöver bl.a. kontrollera förordnandet, se till att rätt läkemedel expedieras till rätt person, samt ge den information och rådgivning som krävs för att säkerställa en korrekt och säker läkemedelsanvändning. I den kontroll som ska göras enligt receptföreskrifterna ligger bl.a. att försäkra sig om att receptet är fullständigt ifyllt av en behörig förskrivare och fortfarande giltigt. I kontrollen ingår också t.ex. att bedöma om dosen är rimlig med hänsyn till ändamålet och om det finns risk för interaktioner.

I receptföreskrifterna framgår vilka uppgifter som ett recept utfärdat av behörig förskrivare i Sverige ska innehålla (4 kap. 8 §).1 Det är dels uppgifter om patienten, patientens läkemedel och behandling, dels uppgifter om förskrivaren, t.ex. förskrivarens namn, förskrivarkod, yrke, samt adress och telefon till arbetsplats. Vid expediering av e-recept från EES kommer öppenvårdsapoteken att behandla motsvarande personuppgifter som när det gäller ett svenskt e-recept. De personuppgifter som behandlas har utredningen redogjort för i tidigare avsnitt 5.4.2. Uppgifterna är sådana som medlemsländerna be-

1 Motsvarande uppgifter för pappersrecept från Sverige avsedda för EES finns i 4 kap. 10 § i receptföreskrifterna.

dömt vara nödvändiga för att e-recept ska kunna expedieras i ett annat EES-land. I informationsutbytet översätts och överförs endast de uppgifter som följer av nätverket för e-hälsas krav. Även i nätverket för e-hälsas krav är vissa uppgifter ”utökade” och kan anges vid behov.

10.2.3. Rättslig grund för behandlingen

Utredningens bedömning: Behandling av personuppgifter för

expediering av e-recept från EES kan stödjas på de rättsliga grunderna rättslig förpliktelse och uppgift av allmänt intresse i enlighet med artikel 6.1 c och 6.1 e i dataskyddsförordningen. De rättsliga grunderna är fastställda i nationell rätt genom utredningens förslag.

För att behandla personuppgifter krävs att det finns en rättslig grund som är tillämplig i enlighet med artikel 6 i dataskyddsförordningen. Behandlingen stödjer sig på en rättslig grund om den t.ex. är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige eller för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning (artikel 6.1 c och 6.1 e i dataskyddsförordningen). Om en behandling grundar sig på någon av de nämnda rättsliga grunderna krävs att grunden är fastställd i EU-rätten eller i nationell rätt (artikel 6.3 andra stycket). Det finns i dessa fall också utrymme för att anpassa tillämpningen av förordningen genom bestämmelser i nationell rätt (artikel 6.2 och 6.3 andra stycket).

Uppgiften att expediera recept framgår bl.a. av läkemedelslagen (2015:315) och lagen om handel med läkemedel (2009:366) samt föreskrifter meddelade med stöd av denna lagstiftning. Av receptföreskrifterna framgår mer konkret öppenvårdsapotekens skyldighet att expediera ett giltigt recept. Av föreskrifterna följer bl.a. vem som kan anses som behörig förskrivare och behörig att expediera recept, samt vilka krav och kontroller som gäller vid expediering och utlämnande av läkemedel, t.ex. vad som gäller recept som utfärdats av en behörig förskrivare i ett annat EES-land.

Behandling av personuppgifter för expediering av e-recept från EES får enligt utredningens bedömning anses vara nödvändig för att

fullgöra en rättslig förpliktelse i enlighet med artikel 6.1 c i dataskyddsförordningen.2 Enligt utredningens bedömning kan expediering av e-recept också ses som en uppgift av allmänt intresse i enlighet med artikel 6.1 e i dataskyddsförordningen.

Den rättsliga förpliktelsen eller uppgiften av allmänt intresse att expediera giltiga recept är i enligt med artikel 6.3 första stycket i dataskyddsförordningen fastställd i den nationella rätten genom bl.a. läkemedelslagen, lagen om handel med läkemedel, receptföreskrifterna, samt utredningens förslag till ändringar i lagen om handel med läkemedel och receptföreskrifterna.

10.2.4. Begreppet behörig att förordna läkemedel

Utredningens bedömning: Begreppet behörig att förordna läke-

medel i apoteksdatalagen omfattar inte förskrivare behöriga i ett annat land.

Begreppet behörig att förordna läkemedel är ett centralt begrepp i svensk lagstiftning inom hälso- och sjukvårdsområdet. Begreppet förordna definieras som att utfärda recept eller rekvisition avseende läkemedel och teknisk sprit i 1 kap. 7 § receptföreskrifterna. Med rekvisition avses beställning av läkemedel eller teknisk sprit från öppenvårdsapotek, vilket inte är aktuellt i detta sammanhang (1 kap. 7 § receptföreskrifterna).

Begreppet förskrivare definieras i ovannämnda bestämmelse som den som är behörig att förordna läkemedel eller teknisk sprit, med undantag för den som får rekvirera läkemedel enligt 6 kap. 7 §. Vilka som har behörighet att förordna läkemedel och teknisk sprit för behandling av människa framgår av 2 kap. i receptföreskrifterna. Det är bl.a. läkare, tandläkare, tandhygienister, barnmorskor, optiker och sjuksköterskor som i olika utsträckning har rätt att förordna läkemedel. Dessa yrkestitlar får användas endast av den som har legitimation för yrket eller genomgår föreskriven praktisk tjänstgöring enligt 4 kap. 5 § patientsäkerhetslagen (2010:659). Läkare, barnmorskor och tandläkare kan också ha ett särskilt förordnande att utöva yrket (4 kap. 4 § patientsäkerhetslagen). Det är Socialstyrelsen som prövar

2SOU 2017:66 s. 376.

frågan om legitimation och särskilt förordnande (4 kap. 10 § patientsäkerhetslagen).

Som begreppet förskrivare är definierat ovan verkar det förutsätta legitimation eller liknande krav enligt det svenska regelverket. I förarbetena till den nationella läkemedelslistan framgår också att de svenska legaldefinitionerna av begreppen ”förskrivare”, ”öppenvårdsapotek” och ”farmaceut” endast avser förskrivare och farmaceuter med en svensk legitimation respektive apotek med en svensk licens.3Vidare framgår av proposition Patientrörlighet i EU-förslag till ny lag-

stiftning att artikel 11.1 i patientrörlighetsdirektivet om erkännande av

recept som har utfärdats i ett annat medlemsland skulle genomföras i Läkemedelsverkets föreskrifter om förordnande av läkemedel och teknisk sprit m.m.4 I föreskrifterna görs en skillnad mellan förskrivare och förskrivare behörig i ett annat EES-land, se t.ex. 8 kap. 36 §.

Enligt utredningens bedömning verkar det svenska regelverket utgå från att begreppet förskrivare används som ett begrepp för förskrivare behöriga i Sverige och som i regel inte omfattar förskrivare behöriga i andra länder. Ett exempel på detta är 8 kap. 8 § i receptföreskrifterna som anger att ett förordnande får expedieras från öppenvårdsapotek endast om det utfärdats av en i Sverige behörig förskrivare, och att därutöver får bl.a. recept som utfärdats skriftligen av en förskrivare behörig i ett annat EES-land expedieras. Med stöd bl.a. i förarbetena till den nationella läkemedelslistan och hur begreppet verkar ha använts i annan lagstiftning väljer utredningen därför att tolka begreppet förskrivare som en svensk legaldefinition. Mot denna bakgrund är utredningens bedömning att begreppet behörig att förordna läkemedel i regel avser en förskrivare behörig i Sverige och att i de fall även behöriga förskrivare från annat EESland avses bör det framgå i författningstexten. Det kan även antas bidra till en tydlighet i regleringen, främst eftersom förutsättningarna för en förskrivning i Sverige och i ett annat land kan skilja sig åt.

3Prop. 2017/18:223 s. 217 f. 4Prop. 2012/13:150 s. 101 f.

10.2.5. Apoteksdatalagens tillämpningsområde

Utredningens förslag: Ett nytt stycke bör införas som gör det

möjligt för öppenvårdsapoteken att också behandla personuppgifter som rör behörig förskrivare från ett annat EES-land.

För att avgränsa tillämpningsområdet när det rör e-recept från EES bör en hänvisning göras till definitionen av e-recept från EES i lagen om handel med läkemedel.

Apoteksdatalagen reglerar öppenvårdsapotekens behandling av personuppgifter hänförliga till konsumenter och de som är behöriga att förordna läkemedel. Av 1 § apoteksdatalagen följer att personuppgifter hänförliga till konsumenter och de som är behöriga att förordna läkemedel får behandlas för de ändamål som anges i 8 §. Vid informationsutbytet av e-recept över landsgränser kommer öppenvårdsapoteken att behandla e-recept som utfärdats av behörig förskrivare i ett annat EES-land. Vilka förskrivare som är behöriga bestäms av varje lands nationella rätt.

Som framgår av den bedömning som utredningen gjort i avsnitt ovan, omfattas begreppet behörig att förordna läkemedel inte av behöriga förskrivare i ett annat EES-land. Öppenvårdsapoteken har också, i likhet med vad gäller svenska e-recept, behov av att behandla uppgifter om förskrivare från andra länder för att uppfylla de skyldigheter som följer av svensk lagstiftning, t.ex. upprättande av verifikationer (8 kap. 42 § receptföreskrifterna).

För att öppenvårdsapoteken ska kunna behandla uppgifter om behörig förskrivare i ett annat EES-land är utredningens bedömning att ett nytt stycke bör införas i 1 § apoteksdatalagen som innebär att öppenvårdsapoteken får behandla personuppgifter om behörig förskrivare i ett annat EES-land.

Vad gäller begreppet konsument finns det ingen legaldefinition som pekar ut svenska konsumenter. Begreppet konsument i apoteksdatalagen omfattar därför även konsumenter från andra länder. Enligt utredningens bedömning krävs därför ingen ändring för att även konsumenter från andra länder ska omfattas av apoteksdatalagen. Trots detta föreslår utredningen att begreppet konsument upprepas i bestämmelsen om e-recept från EES för att det inte ska råda några oklarheter om att konsument omfattas av den nya bestämmelsen.

För att avgränsa expedieringen av läkemedel till endast de länder inom EES som omfattas av tjänsten e-recept över landsgränser bör en hänvisning till definitionen om e-recept från EES i lagen om handel med läkemedel göras. Det innebär bl.a. en begränsning till de krav som har fastställts av nätverket för e-hälsa, se vidare kapitel 5. Kraven innebär bl.a. att det bara är de länder inom EES som är anslutna till e-hälsoavtalet som kan använda tjänsten e-recept över landsgränser, att informationsutbytet måste ske via varje lands nationella kontaktpunkt för e-hälsa samt att dessa kontaktpunkter måste vara godkända av nätverket för e-hälsa för att få driftsätta tjänsten e-recept över landsgränser.

Utredningen har inte analyserat förslagen i förhållande till pappersrecept från EES.

10.2.6. Ändamål med personuppgiftsbehandlingen

Utredningens förslag: Personuppgifter får behandlas även för

expediering av e-recept från EES och för redovisning av uppgifter till E-hälsomyndigheten.

Utredningens bedömning: Det är förenligt med dataskyddsför-

ordningen att införa bestämmelser i svensk rätt om behandling av personuppgifter i enlighet med utredningens förslag.

Inledning

De ändamål för vilka personuppgifter får behandlas enligt apoteksdatalagen anges i 8 § och framgår av avsnitt 3.2.8. Ändamålsbestämmelserna i 8 § är emellertid inte en helt uttömmande beskrivning av för vilka ändamål öppenvårdsapoteken får behandla personuppgifter. Utöver dessa ändamål får öppenvårdsapoteken också behandla personuppgifter med stöd av finalitetsprincipen (9 §) eller samtycke (6 § 2).

Ändamålet expediering på öppenvårdsapotek

Öppenvårdsapotekens kärnverksamhet utgörs av expediering av läkemedel och andra varor som har förordnats. Utredningens bedömning är att begreppet förordna är en svensk legaldefinition som endast avser förordnanden av förskrivare som är behöriga i Sverige, se avsnitt 10.2.4. Eftersom behandling för ändamålet expediering av förordnade läkemedel, och sådana förordnade varor som omfattas av lagen (2002:160) om läkemedelsförmåner m.m. samt för åtgärder i anslutning till expedieringen är begränsad till expediering av recept som utfärdats av en förskrivare behörig i Sverige, är expediering av recept som utfärdats av en förskrivare behörig i ett annat land inte ett uttryckligen tillåtet ändamål enligt apoteksdatalagen.

Personuppgifterna kan inte behandlas med stöd av samtycke

Enligt 6 § andra stycket apoteksdatalagen får behandling av personuppgifter som inte är tillåten enligt lagen ändå utföras om den registrerade har lämnat ett uttryckligt samtycke till behandlingen. I förarbetena till bestämmelsen framgår att den innebär ett klargörande och kan sägas vara ett uttryck för att en enskilds uttryckliga samtycke till en viss personuppgiftsbehandling ska respekteras. Det innebär således att personuppgifter kan samlas in och behandlas för ett ändamål som inte anges i apoteksdatalagens ändamålsbestämmelse om den enskilde har lämnat ett uttryckligt samtycke till detta.5

Ett samtycke enligt dataskyddsförordningen är varje slag av frivillig, specifik, informerad, och otvetydig viljeyttring, genom vilken den registrerade, antingen genom ett uttalande eller genom en entydig bekräftande handling, godtar behandling av personuppgifter som rör honom eller henne (artikel 4.1 i dataskyddsförordningen). För att ett samtycke ska betraktas som frivilligt krävs enligt skäl 42 till dataskyddsförordningen att den registrerade har en genuin och fri valmöjlighet och utan problem kan vägra eller ta tillbaka sitt samtycke. Samtycke bör därför inte utgöra giltig rättslig grund för behandling av personuppgifter om det råder betydande ojämlikhet mellan den registrerade och den personuppgiftsansvarige, särskilt om den personuppgiftsansvarige är en myndighet (skäl 43 till dataskyddsförordningen). Även om ett öppenvårdsapotek inte är en myndighet

5Prop. 2008/09:145 s. 339.

anser utredningen att samma synsätt gör sig gällande mellan en konsument och ett öppenvårdsapotek vad gäller maktobalansen mellan parterna. Det är dock inte helt uteslutet för myndigheter att tillämpa samtycke som rättslig grund. Regeringen har ansett att det torde finnas utrymme för samtycke som rättslig grund även för myndigheter, bl.a. om den registrerade har fri valmöjlighet eller utan problem kan vägra eller ta tillbaka sitt samtycke.6

I förarbetena till lagen om nationell läkemedelslista angav regeringen som exempel på när samtycke som rättslig grund kan användas, t.ex. behandling av personuppgifter för mindre avgörande ändamål för patienten såsom aviserings- och påminnelsetjänster eller behandling av uppgifter om förskrivare som inte torde ha samma ojämlika förhållande till den personuppgiftsansvarige som patienter.7Den behandling som utförs vid expediering av ett e-recept utfärdat i ett annat EES-land är inte en sådan situation. Enligt utredningens mening är det därför olämpligt att behandla personuppgifterna med stöd av samtycke.

Ett utökat ändamål för expediering behövs

Utredningen har ovan gjort bedömningen att expediering av e-recept utfärdade i ett annat EES-land inte tydligt omfattas av de uppräknade ändamålen i apoteksdatalagen och att det inte heller är lämpligt att behandla personuppgifterna med stöd av samtycke. För att öppenvårdsapoteken ska kunna behandla personuppgifter för expediering av läkemedel som omfattas av tjänsten e-recept över landsgränser är utredningens bedömning att det befintliga ändamålet i 8 § 1 apoteksdatalagen bör utvidgas till att även omfatta e-recept från EES. För att avgränsa bestämmelsen till endast de länder inom EES som är anslutna till tjänsten e-recept över landsgränser bör, enligt utredningens mening, en hänvisning göras till definitionen av e-recept från EES i lagen om handel med läkemedel, se avsnitt 12.2.2.

6Prop. 2017/18:171 s. 87. 7Prop. 2017/18:171 s. 87.

Den rättsliga grunden för behandlingen

Öppenvårdsapotekens behandling av personuppgifter för att expediera e-recept från EES är nödvändig för att fullgöra en rättslig förpliktelse och för att utföra en uppgift av allmänt intresse i enlighet med artikel 6.1 c och 6.1 e i dataskyddsförordningen, se avsnitt 10.2.3. Den rättsliga förpliktelsen och uppgiften av allmänt intresse att expediera giltiga recept från andra EES-länder är i enlighet med artikel 6.3 första stycket i dataskyddsförordningen fastställd i den nationella rätten genom bl.a. läkemededelslagen, lagen om handel med läkemedel, och receptföreskrifterna, med de tillägg som utredningen föreslår. Enligt samma artikel ska syftet med behandlingen vara fastställd i den rättsliga grunden eller vara nödvändigt för att utföra en uppgift av allmänt intresse. Syftet att expediera giltiga recept framgår av de bestämmelser som utgör den rättsliga grunden och är också nödvändigt för att utföra en uppgift av allmänt intresse.

I kapitel 11 gör utredningen bedömningen att förslagen uppfyller ett mål av allmänt intresse och är proportionella mot det legitima mål som eftersträvas (artikel 6.3 andra stycket sista meningen i dataskyddsförordningen). Utredningen gör därmed bedömningen att förslaget är förenligt med artikel 6 i dataskyddsförordningen. Konsekvenserna för den personliga integriteten berörs i kapitel 11.

Ett utökat ändamål avseende redovisning av uppgifter till E-hälsomyndigheten behövs

Av 8 § 2 apoteksdatalagen följer att personuppgifter får behandlas om det är nödvändigt för redovisning av uppgifter till E-hälsomyndigheten enligt 2 kap. 6 § 5 och 7 lagen (2009:366) om handel med läkemedel. Av 2 kap. 6 § 5 lagen om handel med läkemedel följer att öppenvårdsapoteken har en skyldighet att vid expediering av e-recept lämna vissa uppgifter till E-hälsomyndigheten. Myndigheten i sin tur registrerar, lagrar och lämnar ut uppgifterna till andra aktörer samt använder uppgifterna för statistikändamål i enlighet med lagen (2018:1212) om nationell läkemedelslista. Enligt 2 kap. 6 § 5 lagen om handel med läkemedel ska öppenvårdsapoteken redovisa de uppgifter som framgår av 3 kap. 8 § lagen om nationell läkemedelslista. Uppgifterna som ska lämnas är hänförliga till bl.a. förskrivaren, patien-

ten, förskriven och expedierad vara, expedierande apotek och expedierande farmaceut.

Utredningen föreslår i avsnitt 12.2.4 att en uppgiftsskyldighet för öppenvårdsapoteken till E-hälsomyndigheten ska införas i lagen om handel med läkemedel för e-recept från EES eftersom den nu gällande uppgiftsskyldigheten i 2 kap. 6 § 5 lagen om handel med läkemedel inte är tillämplig enligt utredningens bedömning. Förslaget har motsvarande syfte. Eftersom behandling för ändamålet i 8 § 2 apoteksdatalagen inte tydligt omfattar redovisning avseende e-recept från EES gör utredningen bedömningen att ändamålet bör utvidgas till att även omfatta detta.

Den rättsliga grunden för behandlingen

Utredningen föreslår som framgår ovan en uppgiftsskyldighet till E-hälsomyndigheten i lagen om handel med läkemedel för öppenvårdsapoteken i samband med expediering av e-recept från EES. En uppgiftsskyldighet innebär i sig en sådan rättslig förpliktelse som avses i artikel 6.1 c i dataskyddsförordningen. Behandling av personuppgifter för redovisning av uppgifter till E-hälsomyndigheten blir därmed nödvändig för att fullgöra en rättslig förpliktelse som åvilar öppenvårdsapoteken. Den rättsliga grunden är enligt förslaget fastställd i lagen om handel med läkemedel. Syftet med behandlingen, att redovisa vissa uppgifter till E-hälsomyndigheten, framgår uttryckligen av den rättsliga förpliktelsen (jfr artikel 6.3 i dataskyddsförordningen).

I kapitel 11 gör utredningen bedömningen att förslagen uppfyller ett mål av allmänt intresse och är proportionella mot det legitima mål som eftersträvas (artikel 6.3 andra stycket sista meningen i dataskyddsförordningen). Enligt utredningens bedömning är därmed förslaget förenligt med artikel 6 i dataskyddsförordningen. Konsekvenserna för den personliga integriteten berörs i kapitel 11.

10.2.7. Öppenvårdsapotekens övriga behandlingar

Utredningens bedömning: De övriga behandlingar som öppen-

vårdsapoteken kan behöva vidta med anledning av e-recept från EES ryms inom befintliga ändamål i apoteksdatalagen.

Apotekens kärnverksamhet är som utredningen nämnt tidigare expediering av läkemedel och andra varor som förordnats. Som en följd av expedieringen aktualiseras i likhet med för svenska recept även andra behandlingar för vilka öppenvårdsapoteken behöver behandla personuppgifter vad gäller e-recept från EES. Utredningen har i avsnitt 10.2.1 redogjort för vilka behandlingar som kan bli aktuella för e-recept från EES. Utredningens bedömning är att de uppräknade behandlingarna ryms inom de befintliga ändamålen i 8 § i apoteksdatalagen. Någon ändring krävs därför inte av nämnda bestämmelse.

10.2.8. Behandling av känsliga personuppgifter

Utredningens bedömning: En påminnelse om tystnadsplikt när

känsliga personuppgifter behandlas med stöd av artikel 9.2 h i dataskyddsförordningen finns i apoteksdatalagen. Någon ytterligare bestämmelse för öppenvårdsapotekens behandling av känsliga personuppgifter när e-recept från EES expedieras på öppenvårdsapotek behövs inte.

Vid expediering av e-recept från EES kommer öppenvårdsapoteken att behandla känsliga personuppgifter. Behandling av känsliga personuppgifter är enligt huvudregeln i artikel 9.1 i dataskyddsförordningen förbjuden. Huvudregeln kompletteras med ett antal undantag i artikel 9.2 i dataskyddsförordningen. Den verksamhet som apoteksdatalagen omfattar ryms under undantaget i artikel 9.2 h som rör hälso- och sjukvårdsändamål samt social omsorg. För att undantaget i artikeln ska vara tillämpligt krävs att den aktuella verksamheten utförs på grundval av EU-rätten eller medlemsländernas nationella rätt eller enligt avtal med yrkesverksamma på hälsoområdet. Ett ytterligare krav för att behandling enligt artikel 9.2 h ska vara tillåten är att kravet på tystnadsplikt enligt artikel 9.3 i dataskyddsförord-

ningen är uppfyllt. Apotekspersonal omfattas av tystnadsplikt enligt 6 kap. 12 § patientsäkerhetslagen.

För att göra den nationella regleringen tydligare har regeringen uttalat att en påminnelse om kravet på tystnadsplikt i artikel 9.3 i dataskyddsförordningen bör tas in i registerförfattningar på hälso- och sjukvårdens område.8 En sådan bestämmelse finns redan i 9 a § apoteksdatalagen. Den bestämmelsen omfattar även öppenvårdsapotekens behandling av känsliga personuppgifter när e-recept utfärdade i ett annat EES-land expedieras på öppenvårdsapotek. Någon ytterligare bestämmelse behövs därför inte enligt utredningens bedömning.

10.2.9. Sökbegrepp

Utredningens förslag: Konsumentens identitet ska få användas

som sökbegrepp för det utökade ändamålet i 8 § 1 apoteksdatalagen. Även identiteten på en förskrivare behörig i ett annat EESland ska få användas som sökbegrepp för ändamålet i 8 § 6 apoteksdatalagen.

Utredningens bedömning: Den föreslagna justeringen av be-

stämmelsen om sökbegränsningar är en sådan precisering som är tillåten enligt artikel 6.2 och 6.3 i dataskyddsförordningen.

På vilket sätt personuppgifter kan sammanställas är en viktig fråga ur integritetssynpunkt. Ju större möjligheter det finns att i olika konstellationer sammanställa uppgifter om enskilda personer, desto större blir riskerna för otillbörliga intrång i den personliga integriteten. Med sökbegrepp avses begrepp som används som urvalskriterier för att söka fram handlingar som innehåller det aktuella begreppet eller för att med begreppet som utgångspunkt göra sammanställningar av olika slag. Informationsteknikens utveckling har medfört i det närmaste obegränsade sökmöjligheter när det gäller elektroniskt lagrad information. Det är därför av största vikt att reglera sökbegränsningar så att otillbörliga integritetsintrång kan förhindras.9

8Prop. 2017/18:171 s. 106. 9Prop. 2008/09:145 s. 353 f.

I 10 § apoteksdatalagen regleras för vilka ändamål som konsumentens och den behöriga förskrivarens identitet får användas som sökbegrepp. I förarbetena till apoteksdatalagen konstaterade regeringen att det beträffande flera av de föreslagna ändamålen är nödvändigt att använda konsumentens identitet för att kunna utföra personuppgiftsbehandlingen. Det går inte att expediera läkemedel eller hantera reklamationer och indragningar utan att använda den enskildes identitet som sökbegrepp. Regeringen ansåg därför att det skulle vara tillåtet att använda konsumentens identitet i dessa fall. Vidare ansåg regeringen att användningen av konsumentens identitet som sökbegrepp, på samma sätt som i lagen (1996:1156) om receptregister (numera ersatt av lagen om nationell läkemedelslista), skulle gälla den frivilliga servicen, dvs. administrering av delbetalning av läkemedel och fullmaktsregister, hälsorelaterad kundservice samt utlämnande av recept eller blanketter till den enskilde. Regeringen ansåg också att förskrivares identitet endast skulle få användas som sökbegrepp för ändamålen om redovisning till Socialstyrelsen (numera IVO) och Läkemedelsverket för deras tillsyn samt för rapportering till förskrivare om utbyte av läkemedel.10

Som regeringen anfört i förarbetena till apoteksdatalagen är det nödvändigt för öppenvårdsapoteken att använda konsumentens identitet för att kunna expediera läkemedlet till konsumenten. Utredningen anser därför att det ska vara möjligt att söka på konsumentens identitet även i förhållande till e-recept från EES.

Öppenvårdsapoteken kan även i vissa fall behöva söka på förskrivarens identitet för ändamålet redovisning till IVO och Läkemedelsverket för myndigheternas tillsyn. Läkemedelsverket utövar tillsyn över öppenvårdsapoteken och IVO utövar tillsyn över hälso- och sjukvården och dess personal enligt patientsäkerhetslagen, vilket omfattar öppenvårdsapoteken och dess personal. För att kunna utöva tillsyn har myndigheterna rätt att få de handlingar och upplysningar som de behöver enligt bl.a. läkemedelslagen, lagen om handel med läkemedel och patientsäkerhetslagen. Varken Läkemedelsverket eller IVO har tillsyn över utländsk hälso- och sjukvårdspersonal men öppenvårdsapoteken behöver kunna behandla personuppgifter om förskrivare för att uppfylla sin skyldighet enligt gällande regelverk. Öppenvårdsapoteken är t.ex. skyldiga att spara uppgifter om förskrivare i de verifikationer som ska upprättas över en expediering i

10Prop. 2008/09:145 s. 354.

enlighet med receptföreskrifterna. Vid en eventuell avvikelse av något slag kan öppenvårdsapoteken behöva kunna söka på förskrivare för att kunna utreda avvikelsen. Det är även relevant för Läkemedelsverkets tillsyn. Även för IVO:s tillsyn kan öppenvårdsapoteken behöva söka på förskrivarens identitet. Myndigheten har uppgett att den vid tillsyn av hälso- och sjukvårdspersonal på apotek eller vid egeninitierad tillsyn av apoteket (vårdgivaren) kan behöva granska hur kontroll av att förskrivaren som utfärdat EES-receptet har säkerställts vara behörig. Även om land A också gör kontroller av behörigheten innan uppgifter om receptet kan skickas i tjänsten e-recept över landsgränser anser utredningen att det fortfarande finns en skyldighet för öppenvårdsapoteken att säkerställa behörig förskrivare på motsvarande sätt som i dag.

Enligt utredningens bedömning behöver därför öppenvårdsapoteken även kunna söka på förskrivarens identitet för e-recept som utfärdats i ett annat EES-land för ändamålet i 8 § 6 apoteksdatalagen. Eftersom 10 § 2 i apoteksdatalagen inte omfattar behörig förskrivare i ett annat EES-land behövs ett tillägg göras i nämnda bestämmelse.

Förenligheten med dataskyddsförordningen

Som framgår av tidigare avsnitt grundar sig öppenvårdsapotekens behandling av personuppgifter på rättslig förpliktelse och uppgift av allmänt intresse. Sökbegränsningar är en form av skyddsåtgärd som det enligt artikel 6.2 och 6.3 i dataskyddsförordningen är tillåtet att ha i nationell rätt för att reglera behandling som grundar sig på en rättslig förpliktelse eller en uppgift av allmänt intresse enligt artikel 6.1 c och 6.1 e i dataskyddsförordningen. Enligt utredningens bedömning är det därför förenligt med dataskyddsförordningen att införa nämnda justering av 10 § apoteksdatalagen.

10.2.10. Behörighetstilldelning och åtkomstkontroll

Utredningens förslag: Bestämmelserna om behörighetstilldel-

ning och åtkomstkontroll bör även gälla för e-recept från EES.

Utredningens bedömning: Den föreslagna justeringen av bestäm-

melserna om behörighetstilldelning och åtkomstkontroll är en sådan precisering som är tillåten enligt artikel 6.2 och 6.3 i dataskyddsförordningen.

Bestämmelserna i 12 och 13 §§apoteksdatalagen innebär att tillståndshavaren ska bestämma villkor för tilldelning av behörighet för åtkomst till helt eller delvis automatiskt behandlade uppgifter om konsumenter och de som är behöriga att förordna läkemedel och se till att åtkomsten dokumenteras och kontrolleras.

Tilldelning av behörighet och åtkomstkontroll är säkerhetsåtgärder enligt dataskyddsförordningen. Av artikel 5.1 f i dataskyddsförordningen framgår att personuppgifter ska behandlas på ett sätt som säkerställer ett lämpligt skydd för personuppgifterna, inbegripet bl.a. skydd mot obehörig eller otillåten behandling, med användning av lämpliga tekniska eller organisatoriska åtgärder (principen om integritet och konfidentialitet). Vidare följer av artikel 32 i dataskyddsförordningen att den personuppgiftsansvarige ska vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en lämplig säkerhetsnivå. Tilldelning av behörighet och åtkomstkontroll är sådana åtgärder som den personuppgiftsansvarige ska vidta på eget initiativ enligt dataskyddsförordningen.

Utredningen anser att det för e-recept från EES bör, i likhet med e-recept utfärdade av förskrivare behöriga i Sverige, finnas bestämmelser om behörighetstilldelning och åtkomstkontroll. Eftersom befintliga bestämmelser i 12 och 13 §§apoteksdatalagen omfattar förskrivare behöriga i Sverige är utredningens bedömning att ett tillägg bör göras i bestämmelserna om behörighetstilldelning och åtkomstkontroll för att bestämmelserna även ska omfatta förskrivare behöriga i ett annat EES-land.

Förenligheten med dataskyddsförordningen

Behörighetstilldelning och åtkomstkontroll är en form av skyddsåtgärd som det enligt artikel 6.2 och 6.3 i dataskyddsförordningen är tillåtet att ha i nationell rätt för att reglera behandling som grundar sig på en rättslig förpliktelse eller en uppgift av allmänt intresse enligt artikel 6.1 c och 6.1 e i dataskyddsförordningen. Enligt utredningens bedömning är det därför förenligt med dataskyddsförordningen att införa nämnda justering av bestämmelserna.

10.2.11. Bevarande

Utredningens bedömning: Bevarandetiden för uppgifter i e-recept

från EES bör vara densamma som för övriga recept.

Huvudregeln i artikel 5.1 e i dataskyddsförordningen är att personuppgifter inte får förvaras i en form som möjliggör identifiering under längre tid än vad som är nödvändigt för de ändamål för vilka uppgifterna behandlas. Personuppgifter ska således tas bort eller avidentifieras. Detta får anses vara ett uttryck för resultatet av avvägningen mellan integritetsskyddsintresset och det informationsbehov som uppgifterna ska tillgodose.

Av 14 § apoteksdatalagen följer att när en personuppgift inte längre behövs för behandling enligt ändamålen i 8 § ska uppgiften tas bort. Apoteksdatalagen innehåller således inte några specifika gallringsbestämmelser utan i stället är det den grundläggande principen i artikel 5.1 e i dataskyddsförordningen som gäller. Det ankommer således på öppenvårdsapoteken att regelmässigt ta ställning till om de registrerade uppgifterna behöver sparas för något ändamål. I förarbetena till bestämmelsen uttalade regeringen att det bör finnas tydliga incitament för öppenvårdsapoteken att regelmässigt gå igenom uppgifterna och pröva om de fortfarande behöver sparas för något ändamål.11 I apoteksmarknadsutredningen föreslogs en bestämmelse med särskilda gallringstider.12 Förslaget kritiserades av ett flertal remissinstanser, framför allt ansåg de att förslaget var otydligt. Vidare ifrågasattes de olika gallringstiderna när personuppgifter från en expedier-

11Prop. 2008/09:145 s. 360. 12SOU 2008:28 s. 81 f.

ing i praktiken ändå ska sparas i 36 respektive 60 månader eftersom det är fråga om verifikationer. Dessutom påtalades att de olika gallringstiderna ställer stora krav på datasystemen. Regeringen fann det därför inte lämpligt att gå vidare med förslaget om särskilda gallringstider. Regeringen ansåg att personuppgiftslagens grundläggande princip om att personuppgifter inte får bevaras under en längre tid än vad som är nödvändigt med hänsyn till ändamålen med behandlingen, skulle tas in i lagen. Vidare uttalades att ett eventuellt behov av mer precisa gallringsbestämmelser kommer att utredas vidare.13 Utredningen känner inte till om någon sådan utredning är planerad.

Som framgår av tidigare avsnitt är det i stort sett samma typ av behandlingar som öppenvårdsapoteken utför vid hanteringen av e-recept som utfärdats av förskrivare behöriga i Sverige som vid hanteringen av e-recept från EES och liknande uppgifter. Ändamålen är bl.a. expediering, redovisning till E-hälsomyndigheten och hantering av reklamationer och indragningar (8 § apoteksdatalagen).

Vid expediering av e-recept från EES bör öppenvårdsapoteken i likhet med svenska recept upprätta en verifikation över försäljningen (8 kap. 42 § receptföreskrifterna). En verifikation ska innehålla uppgifter om bl.a. patienten, förskrivaren, vad som förskrivits och vad som har lämnats ut (8 kap. 42 § receptföreskrifterna). Verifikationen ska bevaras och hållas tillgänglig för tillsyn i fem år (10 kap. 1 § 1 receptföreskrifterna).

Ur integritetssynpunkt är det viktigt att inte känsliga personuppgifter behandlas under längre tid än vad som behövs. Att införa specifika gallringsbestämmelser är en form av säkerhetsåtgärd så att uppgifterna inte behandlas längre än nödvändigt. Det kunde eventuellt tala för att man skulle införa gallringsbestämmelser för uppgifter i e-recept från EES. En sådan gallringsbestämmelse skulle kunna vara fem år, dvs. så länge som verifikationerna ska sparas.

Utöver detta finner utredningen att det inte finns tillräckliga skäl att frångå den bedömning som gjorts tidigare om bevarandetiden. Som framgår av tidigare avsnitt är det fråga om samma typ av behandlingar som öppenvårdsapoteken utför vid hantering av e-recept som utfärdats i Sverige som vid hantering av e-recept från EES. I båda fallen är det även fråga om samma typ av uppgifter som öppenvårdsapoteken behöver behandla. Den gränsöverskridande aspekten medför således ingen skillnad i detta avseende. Utredningens bedömning

13Prop. 2008/09:145 s. 360.

är därför att bevarandetiden bör vara densamma för uppgifter om e-recept från EES som för övriga recept.

10.2.12. Expediering av svenska e-recept i ett annat EES-land

Utredningens bedömning: Någon ändring i apoteksdatalagen

behövs inte för svenska e-recept som expedieras i ett annat EES-land.

Apoteksdatalagen reglerar öppenvårdsapotekens personuppgiftsbehandling. När ett svenskt e-recept expedieras på ett apotek eller motsvarande i ett annat EES-land är utredningens bedömning att öppenvårdsapoteken inte berörs i någon större utsträckning. Utredningens förslag om att uppgifter om bl.a. expedierande personal och apotek eller motsvarande från ett annat EES-land ska få registreras i den nationella läkemedelslistan kommer innebära att expedierande personal i Sverige kan få ta del av dessa uppgifter i samband med en expediering. Det är främst i den situationen som expedieringar i annat EESland berör öppenvårdsapoteken enligt utredningens bedömning. Såvitt utredningen förstår är detta inte särskilt reglerat vad gäller den motsvarande situationen för svenska e-recept, varför utredningen inte ser något skäl att reglera det på något annat sätt än i dag. Mot denna bakgrund är utredningens bedömning att någon ändring i apoteksdatalagen i förhållande till svenska e-recept som expedieras i ett annat EES-land inte behövs.

10.3. Förskrivarnas personuppgiftsbehandling

Utredningens bedömning: Den personuppgiftsbehandling som

förskrivaren utför när ett läkemedel ordineras och ett e-recept utfärdas har stöd i nationell rätt.

Patientdatalagen reglerar vårdgivares behandling av personuppgifter inom hälso- och sjukvården, oavsett om vården bedrivs i offentlig eller privat regi. Syftet med lagen är att informationshanteringen inom hälso- och sjukvården ska vara organiserad så att den tillgodoser patientsäkerhet och god kvalitet samt främjar kostnadseffekti-

vitet. Patientdatalagen omfattar behandling av personuppgifter i all individinriktad patientverksamhet som innefattar vård, undersökning eller behandling. I 2 kap. 4 § patientdatalagen anges för vilka ändamål som personuppgifter får behandlas inom hälso- och sjukvården. Enligt bestämmelsen får personuppgifter behandlas för att fullgöra de skyldigheter som anges i 3 kap. och upprätta annan dokumentation som behövs i och för vården av patienter (p. 1), administration som rör patienter och som syftar till att ge vård i enskilda fall eller som annars föranleds av vård i enskilda fall (p. 2), upprätta annan dokumentation som följer av lag, förordning eller annan författning (p. 3), systematiskt och fortlöpande utveckla och säkra kvaliteten i verksamheten (p. 4), administration, planering, uppföljning, utvärdering och tillsyn av verksamheten (p. 5), eller att framställa statistik om hälso- och sjukvården (p. 6).

De ändamål som anges i punkterna 1 och 2 kan beskrivas som vårddokumentation. Båda punkterna tar sikte på den individinriktade patientverksamheten. En viktig bas i denna informationshantering är patientjournalhanteringen och den administration som behövs av patientvården. Med administration i punkten 2 avses såväl patientrelaterad ekonomiadministration som annan administration som behövs för eller föranleds av vård i enskilda fall.14

Största delen av den behandling av personuppgifter som sker för de ovan angivna ändamålen har stöd i artikel 6.1 c i dataskyddsförordningen, dvs. är nödvändigt för att uppfylla en rättslig förpliktelse. Bedrivandet av en god hälso- och sjukvård är i vissa fall, särskilt för det allmänna, en rättslig förpliktelse som följer av bl.a. hälso- och sjukvårdslagen (2017:30), läkemedelslagen och patientlagen (2014:821). I 5 kap. 1 § hälso- och sjukvårdslagen finns det en generell rättslig förpliktelse för den som bedriver hälso- och sjukvård, dvs. de vårdgivare som omfattas av patientdatalagen, att bedriva denna så att den uppfyller kraven på en god vård. Detta får också anses vara det yttersta syftet med den behandling av personuppgifter som tillåts enligt patientdatalagen – att uppnå en god vård.15 Vidare innehåller receptföreskrifterna bestämmelser om vem som har behörighet att förskriva läkemedel och vad ett recept ska innehålla för uppgifter för att kunna expedieras, dvs. vad som krävs för en giltig förskrivning i Sverige. Som framgår av avsnitt 12.4.2 gör utredningen bedömningen

14Prop. 2007/08:126 s. 228. 15SOU 2017:66 s. 326 f.

att de svenska e-recepten uppfyller nätverket för e-hälsas krav på vad som ska ingå i ett e-recept för att kunna expedieras i ett annat EES-land. Vidare finns det bestämmelser i bl.a. Socialstyrelsens föreskrifter och allmänna råd om journalföring och behandling av personuppgifter i hälso- och sjukvården (HSLF-FS 2016:40) som reglerar ordination.

Att ordinera och utfärda recept är en del av den individinriktade vården och utgör en rättslig förpliktelse som bl.a. följer av hälso- och sjukvårdslagen, receptföreskrifterna, Socialstyrelsens föreskrifter (HSLFS-FS 2016:40) men även av läkemedelslagen och patientlagen. Den personuppgiftsbehandling som sker när en förskrivare ordinerar ett läkemedel och utfärdar ett recept har sådant stöd i nationell rätt som avses i dataskyddsförordningen. Det gör ingen skillnad om receptet sedan hämtas ut i Sverige eller i något annat EES-land. Något ytterligare stöd med anledning av informationsutbytet av e-recept över landsgränser behövs inte. Enligt utredningens bedömning behövs inget nytt ändamål i patientdatalagen utan stöd för behandlingen finns redan i 2 kap. 4 § patientdatalagen.

10.4. Personuppgiftsbehandling hos Läkemedelsverket och Socialstyrelsen med anledning av förslagen

Utredningens bedömning: Den ökade personuppgiftsbehand-

ling som förslagen om uppgiftsskyldighet medför för Läkemedelsverket och Socialstyrelsen är förenlig med dataskyddsregleringen.

10.4.1. Rättslig grund för behandlingen

Utredningens förslag i avsnitt 9.11.3 och 9.11.4 innebär att E-hälsomyndigheten kommer att lämna känsliga personuppgifter till Läkemedelsverket för myndighetens tillsyn och Socialstyrelsen för bl.a. epidemiologiska undersökningar, forskning och statistik. Myndigheterna kommer därmed att behandla personuppgifter i den mening som avses i dataskyddsförordningen. För att myndigheterna ska få behandla personuppgifterna krävs att det finns ett rättsligt stöd enligt artikel 6 i dataskyddsförordningen för behandlingen. Eftersom

det är känsliga personuppgifter krävs det också att något av undantagen i artikel 9 i dataskyddsförordningen är tillämpligt.

Den rättsliga grunden för behandlingen hos Socialstyrelsen är att den är nödvändig för att utföra en uppgift av allmänt intresse (artikel 6.1 e i dataskyddsförordningen). Behandling av personuppgifter för epidemiologiska undersökningar, forskning, framställning av statistik, uppföljning, utvärdering och kvalitetssäkring inom hälso- och sjukvårdsområdet är enligt utredningens bedömning en uppgift av allmänt intresse.16 I artikel 6.3 första stycket i dataskyddsförordningen anges att den grund för behandlingen som avses i artikel 6.1 e ska fastställas i enlighet med unionsrätten eller ett medlemslands nationella rätt. Det som måste ha stöd i rättsordningen är uppgiften av allmänt intresse. Den rättsliga grunden för behandlingen är på det sätt som krävs fastställd i den nationella rätten genom bl.a. lagen (2001:99) om den officiella statistiken och förordningen om den officiella statistiken (2001:100) samt lagen (1998:543) om hälsodataregister. Utredningens bedömning är också att syftet med behandlingen är nödvändigt för att utföra en uppgift av allmänt intresse (jfr artikel 6.3 andra stycket i dataskyddsförordningen).

Den rättsliga grunden för behandlingen hos Läkemedelsverket är att den är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i verkets myndighetsutövning på det sätt som anges i artikel 6.1 e i dataskyddsförordningen. Enligt lagen om handel med läkemedel har Läkemedelsverket tillsyn över att öppenvårdsapoteken uppfyller de krav som följer av lagen, däribland uppgiftsskyldigheten för öppenvårdsapoteken och tillhandahållandeskyldigheten och för den tillsynen har Läkemedelsverket rätt att på begäran få de upplysningar och handlingar som behövs för tillsynen (7 kap. 2 § lagen om handel med läkemedel). Den rättsliga grunden för behandlingen är på det sätt som krävs fastställd i den nationella rätten genom bestämmelserna i lagen om handel med läkemedel (jfr artikel 6.3 första stycket i dataskyddsförordningen). Utredningens bedömning är också att syftet med behandlingen är nödvändig för att utföra en uppgift av allmänt intresse (jfr artikel 6.3 andra stycket i dataskyddsförordningen).

Den nationella rätten ska dessutom enligt artikel 6.3 uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. Utredningen anser att förslagen uppfyller ett mål

16Prop. 1997/98:108 s. 48.

av allmänt intresse och är proportionella mot de legitima mål som eftersträvas samt att det intrång i den personliga integriteten som personuppgiftsbehandlingen i vissa fall medför står i rimlig proportion till den nytta som behandlingen innebär. En närmare avvägning mellan integritetsaspekterna och myndigheternas behov och nytta av uppgifterna finns i kapitel 11.

10.4.2. Behandling av känsliga personuppgifter

Personuppgifter i hälsodataregister får som utredningen tidigare nämnt behandlas för att följa upp, utvärdera och kvalitetssäkra hälso- och sjukvård men även för framställning av statistik samt för forskning och epidemiologiska undersökningar. Enligt utredningens bedömning kan både artikel 9.1 h och 9.2 j i dataskyddsförordningen bli tillämpliga på Socialstyrelsens behandling. Artikel 9.1 h avser undantag för hälso- och sjukvård och social omsorg och en förutsättning för att undantaget ska vara tillämpligt är att kravet på tystnadsplikt som följer av artikel 9.3 i dataskyddsförordningen är uppfyllt. Socialstyrelsens verksamhet med hälsodataregistren omfattas av sekretess enligt 24 kap. 8 § OSL. Artikel 9.2 j i dataskyddsförordningen avser undantag för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 i dataskyddsförordningen på grundval av EU-rätten eller medlemsländernas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Vad gäller kravet på proportionalitet och förenlighet med det väsentliga innehållet i rätten till dataskydd får det förutsättas att regeringen gjort en avvägning mellan behovet av ett hälsodataregister och intrånget i den personliga integriteten innan beslut fattades om att utfärda förordningen (2005:363) om läkemedelsregister hos Socialstyrelsen. Eftersom den föreslagna utökade behandlingen ska motsvara de uppgifter som det redan finns stöd för att behandla i förordningen om läkemedelsregister hos Socialstyrelsen, om än för fler registrerade, är det utredningens bedömning att behandlingen är proportionerlig till det eftersträvade syftet. Kravet på lämpliga och särskilda åtgärder får anses vara uppfyllt genom de olika

skyddsåtgärder som finns i lagen om hälsodataregister och förordningen om läkemedelsregister hos Socialstyrelsen, t.ex. begränsning av vilka personuppgifter som får behandlas, sökbegränsningar och regler om samkörning. Uppgifterna omfattas även av sekretess enligt OSL. Enligt utredningens bedömning är således även undantaget i artikel 9.1 j i dataskyddsförordningen tillämpligt för Socialstyrelsens behandling.

Även Läkemedelsverket får tillgång till känsliga personuppgifter i sin tillsyn över öppenvårdsapoteken. Av skäl 53 till dataskyddsförordningen framgår att begreppet förvaltning av hälso- och sjukvårdstjänster ska tolkas vitt och inbegriper bl.a. tillsyn över hälso- och sjukvård. Enligt utredningens bedömning får därför Läkemedelsverkets behandling av känsliga personuppgifter i sin tillsynsverksamhet över öppenvårdsapoteken anses falla under artikel 9.1 h i dataskyddsförordningen. Kravet på tystnadsplikt är uppfyllt genom att Läkemedelsverkets personal omfattas av sekretess enligt OSL.

10.5. Förslag till ändringar i HOSP-förordningen

10.5.1. Inledning

Socialstyrelsens register över legitimerad hälso- och sjukvårdspersonal (HOSP-registret) omfattar personer som har sökt och fått legitimation för yrken inom hälso- och sjukvårdens område. Personuppgifterna i registret får behandlas för att föra en aktuell förteckning över legitimerad hälso- och sjukvårdspersonal (4 § HOSP-förordningen). Registret är det enda stället där samlade uppgifter om hälso- och sjukvårdspersonalens behörighet finns tillgängliga. Uppgifterna i registret används av arbetsgivare, apotek och allmänhet, främst för upplysningar om sjukvårdspersonalens identitet och behörighet. Uppgifterna utgör även ett underlag för myndigheternas tillsyn och för statistik. Registret syftar dock ytterst till att bidra till att upprätthålla en hög patientsäkerhet.17

Socialstyrelsen är personuppgiftsansvarig för registret (3 a § HOSPförordningen). Vilka uppgifter som HOSP-registret får innehålla regleras uttömmande i förordningen (6 §), likaså för vilka ändamål som uppgifterna i registret får behandlas (4 och 5 §§). Huvuddelen

17SOU 2021:39 s. 69.

av uppgifterna i registret kommer från hälso- och sjukvårdspersonalens egna ansökningar om legitimation. Den registrerade får inte motsätta sig sådan behandling av personuppgifter som är tillåten enligt HOSP-förordningen (3 §).

10.5.2. Behov av ett nytt ändamål i HOSP-förordningen

Utredningens förslag: Personuppgifter i HOSP-registret får be-

handlas även för att lämna uppgifter som behövs för E-hälsomyndighetens kontroll av hälso- och sjukvårdspersonals identitet och behörighet i enlighet med författning eller regeringsuppdrag.

Utredningens bedömning: Det är förenligt med dataskyddsför-

ordningen att införa bestämmelser i nationell rätt i enlighet med utredningens förslag.

E-hälsomyndigheten ska ansvara för register och it-funktioner som öppenvårdsapoteken och vårdgivare behöver ha tillgång till för en patientsäker och kostnadseffektiv läkemedelshantering, samt samordna regeringens satsningar på e-hälsa samt övergripande följa utvecklingen på e-hälsoområdet (1 § förordning [2013:1031] med instruktion för E-hälsomyndigheten). E-hälsomyndigheten ska även särskilt ansvara för det register som anges i lagen om nationell läkemedelslista (2 § 1 samma förordning). Utredningen har föreslagit en ny bestämmelse i E-hälsomyndighetens instruktion som fastställer dels att myndigheten ska vara nationell kontaktpunkt för e-hälsa, dels att myndigheten ska tillhandahålla tjänster och infrastruktur för informationsutbyte av e-recept över landsgränser, se avsnitt 7.6.

Eftersom E-hälsomyndigheten ansvarar för register och it-funktioner som öppenvårdsapotek och vårdgivare behöver ha tillgång till för en patientsäker och kostnadseffektiv läkemedelshantering, behöver myndigheten ha tillgång till uppgifter i HOSP-registret. Uppgifterna behövs bl.a. för att E-hälsomyndigheten ska kunna kontrollera att den person som ansvarar för utlämnandet är legitimerad farmaceut (dvs. apotekare eller receptarie). E-hälsomyndigheten kommer att, i likhet med vad som gäller vid expediering av svenska e-recept på öppenvårdsapotek, behöva ha uppgifter från HOSP-registret för expediering av e-recept från EES. Vid apotekens inloggning i tjänsten, på

det sätt som E-hälsomyndigheten anvisar, anges inte farmaceutens namn utan i stället någon annan form av id (t.ex. HOSP-id, legitimationskod eller personnummer). Inom nätverket för e-hälsa framhåller nätverket betydelsen av att entydigt kunna identifiera hälso- och sjukvårdspersonal och enligt e-hälsoavtalet ställs det krav på att medlemsländerna ska kunna garantera att det endast är behörig hälso- och sjukvårdspersonal som tar del av uppgifter om patienters hälsa. E-hälsomyndigheten behöver därför kunna skicka farmaceutens namn till den utländska kontaktpunkten för e-hälsa och har därför behov av att kunna få ut uppgift om vilket namn som är knutet till en viss HOSP-id eller legitimationskod.

I HOSP-förordningen regleras tre särskilda ändamål som rör E-hälsomyndigheten. Dessa ändamål är att lämna uppgifter till den nationella läkemedelslistan enligt lagen om nationell läkemedelslista (5 § 2), att i samband med E-hälsomyndighetens behandling av personuppgifter enligt lagen om nationell läkemedelslista lämna uppgifter till den myndigheten för kontroll av identitet och behörighet i fråga om förskrivare, legitimerade sjuksköterskor utan behörighet att förskriva läkemedel, apotekare, receptarier och dietister (5 § 4), och att lämna uppgifter till E-hälsomyndigheten för kontroll av förskrivares identitet och behörighet vid expediering på öppenvårdsapotek av läkemedel och andra varor som förskrivits (5 § 5).

För att E-hälsomyndighetens behov av uppgifter ska kunna tillgodoses behöver ett nytt ändamål införas i HOSP-förordningen som innebär att uppgifterna i registret får behandlas för kontroll av identitet och behörighet i fråga om apotekare och receptarier för E-hälsomyndighetens behandling av personuppgifter enligt utredningens förslag till ny lag om E-hälsomyndighetens hantering av e-recept från Europeiska ekonomiska samarbetsområdet (EES).

I betänkandet Ombuds tillgång till vård- och omsorgsuppgifter och

förenklad behörighetskontroll inom vården (SOU 2021:39) framgår

att E-hälsomyndigheten i en skrivelse till regeringen har begärt att de nuvarande ändamålen i HOSP-förordningen ska ersättas av ändamålet att lämna uppgifter till E-hälsomyndigheten för kvalitetssäkring, behörighets- och åtkomstkontroll, komplettering av uppgifter samt statistikändamål. E-hälsomyndigheten har som skäl för detta anfört att när myndigheten får nya uppdrag ökar behovet av tillgång till uppgifter i HOSP-registret för dessa ändamål. En fortsatt detaljreglering av ändamålen i HOSP-förordningen riskerar enligt E-hälso-

myndigheten att medföra problem i de fall sådana behov uppstår som avser uppgifter, ändamål eller yrkeskategorier som inte räknas upp i ändamålen. Det vore enligt E-hälsomyndigheten mer ändamålsenligt med en mer flexibel lösning, som i stället avgränsas till ovan nämnda ändamål, eftersom det skulle möjliggöra utlämnande av sådana uppgifter som myndigheten har behov av, oavsett vilket register eller vilka yrkeskategorier som vid var tid är aktuella. Till följd härav föreslår Utredningen om sammanhållen information inom vård och omsorg i SOU 2021:39 en ny ändamålsbestämmelse i HOSP-förordningen för E-hälsomyndighetens behov av uppgifter från registret som ersätter alla de nuvarande ändamålen avseende E-hälsomyndigheten.18 Det föreslagna nya ändamålet är ”att lämna uppgifter som behövs för E-hälsomyndighetens kontroll av hälso- och sjukvårdspersonals identitet och behörighet i enlighet med författning eller regeringsuppdrag”. Förslaget bereds för närvarande inom Regeringskansliet.

Utredningen anser att det ändamål som föreslås i SOU 2021:39 är ändamålsenligt. Det skulle även komma att omfatta E-hälsomyndighetens behov av personuppgifter för informationsutbytet av e-recept över landsgränser. Utredningen anser därför att det nya ändamålet som föreslås i SOU 2021:39 är att föredra framför en mer specifik bestämmelse som innebär att personuppgifterna i HOSP-registret får behandlas även för ändamålet att i samband med E-hälsomyndighetens behandling av personuppgifter enligt förslaget till ny lag om E-hälsomyndighetens hantering av e-recept från Europeiska ekonomiska samarbetsområdet (EES) lämna uppgifter till E-hälsomyndigheten för kontroll av identitet och behörighet i fråga om apotekare och receptarier. Utredningen föreslår därför samma ändamålsbestämmelse som i SOU 2021:39.

När det gäller det nya ändamålets förenlighet med dataskyddsförordningen gör utredningen samma bedömning som i SOU 2021:39.

18SOU 2021:39, se avsnitt 8.7.3.

10.6. Förslag till ändringar i offentlighets- och sekretesslagen

Utredningens förslag: En ändring bör göras i 25 kap. 17 c § OSL

som innebär att E-hälsomyndigheten kan lämna ut sekretessbelagda uppgifter till utländsk kontaktpunkt enligt lagen om nationell läkemedelslista. Vidare bör en ny punkt införas som innebär att E-hälsomyndigheten kan lämna ut sekretessbelagda uppgifter till expedierande personal på öppenvårdsapotek och till utländsk kontaktpunkt enligt förslaget till ny lag om E-hälsomyndighetens hantering av e-recept från Europeiska ekonomiska samarbetsområdet.

I OSL finns bestämmelser om tystnadsplikt i det allmännas verksamhet och förbud att lämna ut allmänna handlingar. Enligt 25 kap. 17 a § OSL gäller sekretess hos E-hälsomyndigheten för uppgift om en enskilds hälsotillstånd eller andra personliga förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående lider men. Enligt 25 kap. 17 b § OSL gäller sekretess hos E-hälsomyndigheten för uppgift om en enskilds affärs- eller driftsförhållanden, om det kan antas att den enskilde lider skada om uppgiften röjs.

Enligt 8 kap. 1 § OSL får uppgift för vilken sekretess gäller enligt lagen inte röjas för enskilda eller för andra myndigheter, om inte annat anges i OSL eller i lag eller förordning som OSL hänvisar till. Det förekommer situationer när andra myndigheters eller enskildas intresse av att ta del av en sekretessbelagd uppgift väger tyngre än det intresse sekretessen ska skydda. Det finns därför bestämmelser i OSL som innebär att sekretess under vissa förutsättningar inte hindrar att sekretessbelagda uppgifter lämnas till myndigheter eller enskilda. Sådana bestämmelser kallas för sekretessbrytande bestämmelser. En sådan bestämmelse finns i 10 kap. 28 § OSL som gäller utlämnande till andra myndigheter och innebär att sekretess inte hindrar att uppgift lämnas till en annan myndighet om uppgiftsskyldighet följer av lag eller förordning. Utredningen föreslår en sådan uppgiftsskyldighet för E-hälsomyndigheten i förslaget till ny lag om E-hälsomyndighetens hantering av e-recept från Europeiska ekonomiska samarbetsområdet (EES) till Läkemedelsverket och Socialstyrelsen.

Någon motsvarande bestämmelse finns inte för aktörer som inte är myndigheter. För att sekretessbelagda uppgifter ska få lämnas till aktörer som inte är myndigheter krävs enligt 8 kap. 1 § OSL att den sekretessbrytande bestämmelsen finns direkt i OSL eller i lag eller förordning som OSL hänvisar till. Det räcker således inte att i lagen om nationell läkemedelslista eller i förslaget till ny lag föreslå en uppgiftsskyldighet för E-hälsomyndigheten till vissa aktörer.

Det har därför införts sekretessbrytande bestämmelser i 25 kap. 17 c § OSL som innebär att sekretessen i 25 kap. 17 a och 17 b §§ inte hindrar att E-hälsomyndigheten lämnar ut uppgifter enligt lagen om nationell läkemedelslista till hälso- och sjukvårdspersonal som har behörighet att förskriva läkemedel eller andra varor, en sjuksköterska utan sådan behörighet, en dietist, en farmaceut i hälso- och sjukvården eller till expedierande personal på öppenvårdsapotek. Utländska kontaktpunkter för e-hälsa framgår inte av den uppräkningen. För att E-hälsomyndigheten ska få lämna ut sekretessbelagda uppgifter till en utländsk kontaktpunkt i enlighet med lagen om nationell läkemedelslista krävs att ett tillägg görs i 25 kap. 17 c § OSL som innebär att uppgifter kan lämnas ut till utländsk kontaktpunkt för e-hälsa enligt lagen om nationell läkemedelslista.

Utredningen föreslår i den nya lagen en uppgiftsskyldighet för E-hälsomyndigheten till utländsk kontaktpunkt för e-hälsa och expedierande personal på öppenvårdsapotek. För att uppgiftsskyldigheten ska kunna bryta sekretessen måste i enlighet med vad som framgår ovan en hänvisning i OSL göras till den nya lagen. Utredningen föreslår därför att en ny punkt införs i 25 kap. 17 c § OSL som innebär att E-hälsomyndigheten får lämna ut uppgifter till expedierande personal på öppenvårdsapotek och utländsk kontaktpunkt för e-hälsa enligt förslaget till ny lag.

I detta sammanhang kan även noteras sekretessbestämmelsen i 8 kap. 3 § OSL som gäller sekretess mot utländska myndigheter och mellanfolkliga organisationer. Enligt bestämmelsen får en uppgift för vilken sekretess gäller enligt denna lag inte röjas för en utländsk myndighet eller en mellanfolklig organisation, om inte utlämnande sker i enlighet med särskild föreskrift i lag eller förordning (p. 1), eller uppgiften i motsvarande fall skulle få lämnas ut till en svensk myndighet och det enligt den utlämnande myndighetens prövning står klart att det är förenligt med svenska intressen att uppgiften lämnas till den utländska myndigheten eller den mellanfolkliga orga-

nisationen (p. 2). Om bestämmelsen är tillämplig krävs ingen särskild sekretessbrytande bestämmelse.

Utredningen föreslår i lagen om nationell läkemedelslista och i den nya lagen en uppgiftsskyldighet för E-hälsomyndigheten till den utländska kontaktpunkten för e-hälsa. De föreslagna uppgiftsskyldigheterna är enligt utredningens bedömning ett sådant utlämnande som sker i enlighet med särskild föreskrift i lag i enlighet med 8 kap. 3 § 1 OSL. För att bestämmelsen ska vara tillämplig krävs att utlämnandet sker till en utländsk myndighet eller mellanfolklig organisation. Av e-hälsoavtalet följer att en nationell myndighet eller organisation i EU eller Efta ska vara ansvarig för den nationella kontaktpunkten för e-hälsa. Följande framgår av e-hälsoavtalet ”National Contact Point for eHealth, acting as organisational and technical gateway for the provision of CBeHIS” (dvs. e-hälsotjänsterna). Det innebär att en nationell kontaktpunkt för e-hälsa är en organisatorisk och teknisk nod för e-hälsotjänsterna. Något krav på vem som kan vara nationell kontaktpunkt för e-hälsa följer således inte av e-hälsoavtalet, varför det enligt utredningens bedömning inte entydigt går att säga att ett utlämnande till en utländsk kontaktpunkt för e-hälsa sker till en utländsk myndighet eller mellanfolklig organisation. Bestämmelsen i 8 kap. 3 § OSL är därför inte tillämplig enligt utredningens mening.

11. Avvägning mellan behov och integritetsrisker

11.1. Inledning

Informationsutbytet av e-recept inom EES innebär att integritetskänsliga uppgifter om en individs hälsa överförs mellan länderna. I detta kapitel gör utredningen en avvägning mellan behovet av utredningens förslag och de integritetsrisker de kan innebära.

11.2. En avvägning mellan behov och integritetsrisker

Utredningens bedömning: Behovet av och fördelarna med utred-

ningens förslag överväger de integritetsrisker som behandlingen medför. Förslagen uppfyller ett mål av allmänt intresse och är proportionella mot det legitima mål som eftersträvas. Integritetsanalysen uppfyller kraven på en konsekvensbedömning avseende dataskydd i enlighet med artikel 35.10 i dataskyddsförordningen.

11.2.1. En sammanfattning av utredningens förslag

Utredningen har i kapitlen 8, 9 och 10 föreslagit en ny lag och ändringar i befintliga författningar för att möjliggöra att e-recept som utfärdas i Sverige ska kunna expedieras i ett annat EES-land och att e-recept från EES ska kunna expedieras i Sverige. För e-recept utfärdade i Sverige föreslår utredningen ändringar i lagen (2018:1212) om nationell läkemedelslista som innebär att ett nytt ändamål införs i lagen som möjliggör för E-hälsomyndigheten att behandla personuppgifter för expediering av läkemedel i ett annat EES-land. Syftet med ändamålet är att möjliggöra ett sådant informationsutbyte. För

att personuppgifterna ska få behandlas för detta ändamål föreslår utredningen att patienten ska lämna ett s.k. integritetshöjande samtycke. Utredningen föreslår också att en uppgiftsskyldighet införs för E-hälsomyndigheten till utländsk kontaktpunkt för e-hälsa. Förslaget är en förutsättning för att expedierande personal på ett apotek eller motsvarande i ett annat EES-land ska få tillgång till de uppgifter som behövs för att kunna expediera e-receptet. Utredningen gör vidare bedömningen att vissa uppgifter ska kunna överföras även avseende läkemedel som inte får expedieras i ett annat EES-land, för att skapa förutsättningar för en patientsäker expediering, se vidare avsnitt 12.4.5. Utredningen föreslår också att det ska vara möjligt att söka på förskrivarens och patientens identitet för ändamålet expediering av läkemedel i ett annat EES-land.

Ombud ska kunna hämta ut läkemedel enligt vissa villkor i tjänsten e-recept över landsgränser. Den möjligheten är ny och valfri för deltagande medlemsländer. Utredningen föreslår att det ska vara möjligt att, i likhet med vad som gäller för svenska e-recept, söka på ombudets identitet om det blir aktuellt att använda denna möjlighet i Sverige.

När e-recept från EES ska expedieras i Sverige föreslår utredningen en ny lag som reglerar den personuppgiftsbehandling som E-hälsomyndigheten utför. Utredningen föreslår att E-hälsomyndigheten ska få behandla personuppgifter för att lämna ut uppgifter till öppenvårdsapoteken för att möjliggöra expediering i Sverige och att därefter återrapportera vad som expedierats till den utländska kontaktpunkten för e-hälsa. För att Läkemedelsverket ska kunna utöva tillsyn över öppenvårdsapotekens uppgiftsskyldighet och tillhandahållandeskyldighet behöver myndigheten tillgång till de uppgifter som öppenvårdsapoteken har rapporterat till E-hälsomyndigheten i detta avseende. Utredningen föreslår därför att E-hälsomyndigheten ska få behandla personuppgifter för detta ändamål. Vidare föreslår utredningen att E-hälsomyndigheten ska få behandla personuppgifter för ändamålen redovisning till Socialstyrelsen för epidemiologiska undersökningar, forskning, framställning av statistik, uppföljning, utvärdering och kvalitetssäkring inom hälso- och sjukvårdsområdet och för E-hälsomyndighetens uppdrag avseende statistik. Utredningen föreslår också en uppgiftsskyldighet för E-hälsomyndigheten till öppenvårdsapoteken, Läkemedelsverket, Socialstyrelsen och den utländska kontaktpunkten för e-hälsa som omfattar de uppgifter som behövs för de angivna

ändamålen. Utredningen föreslår vidare att personuppgifter ska tas bort senast fem år efter det att läkemedlen expedierades på ett öppenvårdsapotek

Vad gäller öppenvårdsapotekens behandling av personuppgifter föreslår utredningen att tillämpningsområdet för apoteksdatalagen även bör omfatta e-recept utfärdade av förskrivare behörig i ett annat EES-land. Utredningen föreslår även ett utökat ändamål som gör det möjligt att expediera e-recept från EES. Utredningen har också, i likhet med vad som gäller för svenska e-recept, föreslagit en uppgiftsskyldighet för öppenvårdsapoteken till E-hälsomyndigheten för e-recept från EES som motsvarar den som följer av 2 kap. 6 § 5 lagen (2009:366) om handel med läkemedel, se avsnitt 12.2.4. För att öppenvårdsapoteken ska kunna behandla personuppgifter för att uppfylla denna uppgiftsskyldighet görs ett tillägg i 8 § 2 apoteksdatalagen. Utredningen föreslår också att det ska vara möjligt att söka på förskrivarens identitet för ändamålet i 8 § 6 apoteksdatalagen.

11.2.2. Aktörernas personuppgiftsbehandling

Utredningens förslag innebär en utökad personuppgiftsbehandling för E-hälsomyndigheten och öppenvårdsapoteken. Även för Läkemedelsverket och Socialstyrelsen innebär förslagen en utökad personuppgiftsbehandling.

E-hälsomyndighetens behandling av personuppgifter vid expediering av ett svenskt e-recept i ett annat EES-land

Vid expediering av ett e-recept utfärdat i Sverige på ett apotek eller motsvarande i ett annat EES-land kommer uppgifter om e-receptet att hämtas från den nationella läkemedelslistan och lämnas ut till en utländsk kontaktpunkt för e-hälsa. Uppgifter om expedieringen kommer sedan att återrapporteras till E-hälsomyndigheten som uppdaterar den nationella läkemedelslistan med uppgifter om uttaget. De personuppgifter som kommer att behandlas av E-hälsomyndigheten är identitetsuppgifter hänförliga till förskrivaren, patienten och expedierande personal och integritetskänsliga uppgifter om läkemedel som indirekt kan avslöja vilka sjukdomar en patient har.

Personuppgifterna samlas in i samband med att någon med förskrivningsrätt förskriver läkemedel till patienten på ett e-recept. Behandling som sker hos E-hälsomyndigheten vid registreringen av e-receptet och expedieringen på ett svenskt öppenvårdsapotek är reglerad sedan tidigare i lagen om nationell läkemedelslista. Den behandling som tillkommer med anledning av att e-receptet expedieras på ett apotek eller motsvarande i ett annat EES-land är att redan insamlade uppgifter i den nationella läkemedelslistan lämnas ut till en utländsk kontaktpunkt för vidareförmedling till ett apotek eller motsvarande i ett annat EES-land. Personuppgifter kommer även att behandlas när uttaget återrapporteras till E-hälsomyndigheten. Behandlingen vid den utländska kontaktpunkten för e-hälsa är av rent teknisk karaktär och är helt automatiserad. Personuppgifterna som behandlas av E-hälsomyndigheten kommer att sparas i den nationella läkemedelslistan, i likhet med svenska e-recept som expedieras i Sverige, och gallras enligt bestämmelserna i lagen om nationell läkemedelslista.

E-hälsomyndighetens behandling av personuppgifter vid expediering av ett e-recept från EES i Sverige

Vid expediering av ett e-recept från EES kommer uppgifter om e-receptet att hämtas från ett utländskt register via den utländska kontaktpunkten för e-hälsa och vidareförmedlas av E-hälsomyndigheten till det svenska öppenvårdsapoteket. De personuppgifter som kommer att behandlas är i stort sett desamma som när e-recept utfärdade av förskrivare behöriga i Sverige expedieras i ett annat EES-land.

Personuppgifterna samlas in i ett annat EES-land i samband med att en förskrivare behörig i det landet utfärdar ett e-recept som registreras i det landets register. Den behandling av personuppgifter som tillkommer med anledning av att e-recept från EES expedieras i Sverige är att uppgifterna lämnas ut till E-hälsomyndigheten som nationell kontaktpunkt för e-hälsa som i sin tur lämnar ut uppgifterna till det svenska öppenvårdsapoteket. Vidare kommer E-hälsomyndigheten att vidareförmedla uppgifter om uttaget till den utländska kontaktpunkten för e-hälsa samt lämna uppgifter till Läkemedelsverket för myndighetens tillsyn och till Socialstyrelsen för statistik, epidemiologiska undersökningar m.m.

Personuppgifterna som behandlas av E-hälsomyndigheten kommer i enlighet med utredningens förslag att sparas i fem år för bl.a. felsökning och Läkemedelsverkets tillsyn.

Öppenvårdsapotekens behandling av personuppgifter vid expediering av ett e-recept från EES

Vid expediering av ett e-recept från EES kommer öppenvårdsapoteken att samla in personuppgifterna från E-hälsomyndigheten. Insamlingen av uppgifter kommer inte att ske genom åtkomst till den nationella läkemedelslistan, utan genom att begära uppgifterna från E-hälsomyndigheten som i sin tur skickar begäran till kontaktpunkten i land A. I samband med expedieringen har öppenvårdsapoteken en skyldighet, i likhet med vad som gäller för svenska e-recept, att redovisa vissa uppgifter till E-hälsomyndigheten. Vissa uppgifter kommer att registreras i den nationella läkemedelslistan vid expedieringen. I övrigt tillkommer ingen ny behandling för dessa e-recept jämfört med vad som gäller för svenska e-recept, utan behandlingarna som utförs ryms inom befintliga ändamål i 8 § apoteksdatalagen. Personuppgifterna som behandlas kommer att sparas och gallras i enlighet med apoteksdatalagen.

Socialstyrelsens och Läkemedelsverkets behandling av personuppgifter avseende e-recept från EES

Vid expediering av ett e-recept från EES mottar Socialstyrelsen och Läkemedelsverket uppgifter om e-receptet från E-hälsomyndigheten. Uppgifterna används hos Socialstyrelsen för bl.a. epidemiologiska undersökningar, forskning, framställning av statistik och regleras i förordning (2005:363) om läkemedelsregister hos Socialstyrelsen. Hos Läkemedelsverket används uppgifterna för verkets tillsyn över öppenvårdsapotekens uppgiftsskyldighet och tillhandahållandeskyldighet enligt lagen (2009:366) om handel med läkemedel.

11.2.3. Behovet av behandlingen av personuppgifter

Det finns ett uttalat syfte inom EU att utöka den fria rörligheten av hälso- och sjukvårdstjänster som bl.a. kommer till uttryck i patientrörlighetsdirektivet. Av skälen till direktivet framgår att syftet är att förenkla tillgången till säker, högkvalitativ gränsöverskridande hälso- och sjukvård i EU och att garantera patienterna rörlighet i överensstämmelse med EU-domstolens principer och att främja vårdsamarbete (skäl 10). Sedan flera år tillbaka bedriver därför kommissionen i samverkan med medlemsländerna ett aktivt arbete för att understödja gränsöverskridande hälso- och sjukvård, särskilt i e-hälsofrågor, främst genom nätverket för e-hälsa. Syftet är bl.a. att främja den fria rörligheten och skapa innovationsmöjligheter inom EU. Sverige är sedan flera år en aktiv part i detta samarbete. Informationsutbyte av e-recept är även en prioriterad del av vision e-hälsa 2025.

E-recept har fördelar ur ett patientsäkerhetsperspektiv jämfört med pappersrecept, som hittills används vid expedieringar i ett annat land. E-recept ger t.ex. bättre förutsättningar för spårbarhet och uppföljning, samt en säkrare hantering då risken för missuppfattningar och förfalskningar minskar. Informationsutbytet innebär också att patienten inför en utlandsresa inte behöver ta med ett pappersrecept för att ta del av de rättigheter som patientrörlighetsdirektivet ger. Om patienten glömmer eller tappar bort sina läkemedel, eller om behovet uppstår oväntat när patienten befinner sig i ett annat land har patienten möjlighet att hämta ut sina e-recept via tjänsten utan att behöva uppsöka en förskrivare i det landet.

Utredningens förslag syftar till att säkerställa en patientsäker och effektiv läkemedelsprocess vid informationsutbytet av e-recept inom EES. En förutsättning är bl.a. att e-hälsoavtalet skrivs under och att E-hälsomyndigheten uppfyller nätverket för e-hälsas krav. Det finns inget alternativt sätt att uppnå ändamålet utanför e-hälsoavtalet.

Det övergripande ändamålet med utredningens förslag är således att ge enskilda inom EES möjlighet att hämta ut läkemedel i ett annat EES-land med ett e-recept. Det är ett legitimt mål som utgör en uppgift av allmänt intresse enligt utredningens bedömning. För att möjliggöra detta behöver den enskildes personuppgifter behandlas av de olika aktörer som ingår i samarbetet, i enlighet med e-hälsoavtalet och övriga krav som antagits av nätverket för e-hälsa. För att kunna delta i samarbetet och för att E-hälsomyndigheten och öppenvårds-

apoteken ska kunna utföra den behandling av personuppgifter som är nödvändig, behöver det finnas rättsligt stöd för behandlingen. Ett sådant stöd saknas i dag enligt utredningens bedömning.

11.2.4. Integritetsrisker

Svenskt e-recept som expedieras i ett annat EES-land

Vid expediering av svenska e-recept i andra EES-länder behandlas uppgifter om personer som finns registrerade i den nationella läkemedelslistan genom att uppgifterna lämnas ut av E-hälsomyndigheten till ett apotek eller motsvarande i ett annat EES-land via den nationella kontaktpunkten för e-hälsa i det landet. Enligt utredningens bedömning i tidigare avsnitt kommer ett sådant utlämnande inte att ske genom direktåtkomst, se avsnitt 8.2.7. När ett läkemedel har expedierats i ett annat land rapporteras uttaget till E-hälsomyndigheten med uppgifter om vad som expedierats och av vem, se vidare under avsnitt 5.4.2.

Utredningens förslag kommer att medföra att känsliga personuppgifter överförs till andra länder inom EES som är anslutna till tjänsten e-recept över landsgränser och därmed också bli åtkomliga för fler personer än i dag. Som framgår av utredningens bedömning i avsnitt 12.4.5, bör även uppgifter om ett läkemedel som inte kan expedieras i ett annat land överföras till land B. Svenska myndigheter kommer inte att ha samma insyn över behandlingen av personuppgifter i ett annat EES-land, på annat sätt än genom avtal och samarbete med myndigheterna i de andra EES-länderna. Det går således inte att från svensk sida kontrollera att personuppgifterna behandlas med tillräcklig säkerhet och endast av personal som omfattas av tystnadsplikt. Risken för obehörig åtkomst till känsliga personuppgifter kan komma att öka i och med att fler aktörer får tillgång till personuppgifterna. En ytterligare aspekt är att svenska myndigheter inte har någon tillsyn över att den behandling av personuppgifter som sker av myndigheter och apotek eller motsvarande i ett annat EESland sker på en tillräcklig hög säkerhetsnivå, utöver de gemensamma kraven som nätverket för e-hälsa antagit och åtgärder som genomförs. Exempel på åtgärder som genomförs är kvalitetsgranskning av kontaktpunkter för e-hälsa och beslut om vilka länder som får delta.

Uppgifter om expedierande apotek överförs i informationsutbytet. Det innebär en risk för att det går att ta reda på om en patient har befunnit sig utomlands och vid vilket specifikt apotek expedieringen har skett.

En viktig del i skyddet av den personliga integriteten är att den registrerade får information om hur personuppgifterna kommer att behandlas. Att lämna information bidrar till transparens så att de registrerade kan tillvarata sina rättigheter enligt dataskyddsförordningen. Den gränsöverskridande aspekten medför att det kan bli svårare för patienten att ha kontroll över hur hans eller hennes personuppgifter kommer att behandlas. Detta får som följd bl.a. att patienten får svårare att kunna utöva sina rättigheter enligt dataskyddsförordningen.

En annan risk är att det blir svårare att säkerställa att det endast är behörig hälso- och sjukvårdpersonal som får tillgång till tjänsten e-recept över landsgränser.

E-recept från EES som expedieras i Sverige

Uppgifter från ett utländskt register kommer att behandlas vid expediering i Sverige, genom att uppgifterna lämnas ut från den utländska kontaktpunkten för e-hälsa till E-hälsomyndigheten som vidareförmedlar dem till det svenska öppenvårdsapoteket. Utlämnandet sker inte genom direktåtkomst. E-hälsomyndigheten kommer inte att kräva patientens samtycke i denna situation. Vid en sådan expediering ser utredningen i stort sett samma risker som presenterats ovan. Utredningens förslag om uppgiftsskyldighet för E-hälsomyndigheten till Läkemedelsverket och Socialstyrelsen kan också innebära en ytterligare risk, eftersom det innebär att känsliga personuppgifter lämnas till dessa myndigheter utan samtycke från patienten.

E-hälsomyndighetens behandling av personuppgifter

Som nationell kontaktpunkt för e-hälsa och registeransvarig för den nationella läkemedelslistan får E-hälsomyndigheten tillgång till fler uppgifter om både patienter från Sverige som får e-recept expedierade i ett annat EES-land och patienter från ett annat EES-land som får e-recept expedierade i Sverige. Potentiellt kan det handla om en

mycket stor grupp av patienter, även om tjänsten till en början är begränsad till ett antal länder. Uppgifter om expediering av e-recept utfärdade i Sverige sparas i den nationella läkemedelslistan. För utländska patienter finns inget behov av ett motsvarande register, men personuppgifter om dessa patienter kommer att behöva behandlas och bevaras av E-hälsomyndigheten för felsökning, verifiering etc. samt för att lämnas ut till Läkemedelsverket och Socialstyrelsen. Det innebär en utvidgad behandling av personuppgifter jämfört med om patienten hämtat ut läkemedlet i det land e-receptet utfärdades och därmed också en större risk för obehörigt röjande av personuppgifter.

Öppenvårdsapotekens behandling av personuppgifter

Utredningens förslag innebär att öppenvårdsapoteken kommer att ta del av känsliga personuppgifter om konsumenter och uppgifter om behöriga förskrivare i andra EES-länder. Det innebär en utökad personuppgiftsbehandling eftersom sådana e-recept inte expedieras i dag. Det medför i sin tur en större risk för obehörigt röjande av personuppgifter. Uppgifterna kommer att behandlas av öppenvårdsapoteken på motsvarande sätt som svenska e-recept och för liknande ändamål, vilket innebär att känsliga uppgifter kommer att redovisas till E-hälsomyndigheten i enlighet med den uppgiftsskyldighet som följer av utredningens förslag. Personuppgifterna kan också komma att lämnas till aktörer som Läkemedelsverket och Inspektionen för vård och omsorg för deras tillsyn i enlighet med 8 § 6 i apoteksdatalagen. Det innebär att känsliga personuppgifter utan patientens samtycke lämnas ut till olika aktörer i enlighet med uppgiftsskyldigheter som följer av lag.

En grundläggande princip är att personuppgifterna ska vara korrekta (artikel 5.1 d i dataskyddsförordningen). Informationsutbytet innebär att öppenvårdsapoteken kommer att ta emot och skicka uppgifter elektroniskt från och till E-hälsomyndigheten, initialt via ett webbgränssnitt, men även genom befintliga expeditionssystem. Dessa olika delar kan senare komma att integreras i samma system. Expedieringen av utländska e-recept kommer att innebära en viss manuell hantering, vilket innebär en risk för att personuppgifterna kan bli fel vid inmatningen.

En annan risk som utredningen redogjort för ovan är att de registrerade kan ha svårare att tillvarata sina rättigheter.

11.2.5. Integritetsstärkande åtgärder

Vid avvägningen mellan behovet av utredningens förslag och de integritetsrisker som behandlingen kan innebära har det betydelse vilka integritetsstärkande åtgärder som kan vidtas för att minska riskerna med behandlingen.

En viktig del av skyddet för den personliga integriteten är den enskildes möjlighet att själv bestämma över tillgången till och behandlingen av sina personuppgifter. Utredningen föreslår därför att personuppgifter inte får behandlas för expediering av svenska e-recept i ett annat EES-land om inte den enskilde uttryckligen har samtyckt till detta. Den enskilde bestämmer således själv om den vill att personuppgifterna överförs till ett annat land. Enligt utredningens bedömning är ett sådant samtycke en effektiv integritetsstärkande åtgärd. Som framgår av avsnitt 9.10 föreslår utredningen inte ett liknande samtycke från den enskilde då personuppgifter hämtas från ett annat EES-land för expediering på ett svenskt öppenvårdsapotek. Ett sådant samtycke skulle inte tillföra så mycket när patienten redan befinner sig på öppenvårdsapoteket och ber att få ut sitt läkemedel.

En annan integritetsstärkande åtgärd är att förtydliga vem som har personuppgiftsansvaret för behandlingen av personuppgifterna vid informationsutbyte över landsgränser. Den registrerade har därmed lättare att veta vem den ska vända sig till för att utöva sina rättigheter enligt dataskyddsförordningen. Utredningen föreslår därför i förslaget till ny lag att det ska framgå att E-hälsomyndigheten är personuppgiftsansvarig för den behandling som myndigheten utför för att ett e-recept från EES ska kunna expedieras i Sverige. I lagen om nationell läkemedelslista framgår att E-hälsomyndigheten är personuppgiftsansvarig för den behandling som myndigheten utför enligt lagen. Av apoteksdatalagen följer att öppenvårdsapoteken är personuppgiftsansvariga för den behandling som de utför.

Utredningen föreslår även specifika ändamålsbestämmelser för behandlingen av personuppgifter för informationsutbytet av e-recept som i sig innebär en skyddsåtgärd.

En grundläggande princip i dataskyddsförordningen är att personuppgifter inte får lagras i en form som möjliggör identifiering av den registrerade under längre tid än vad som är nödvändigt för de ändamål för vilka personuppgifter behandlas (artikel 5.1 e i dataskyddsförordningen). Bestämmelser om gallring är en form av skyddsåtgärd för att personuppgifter inte ska sparas längre än vad som är nödvändigt. Utredningen föreslår därför i förslaget till ny lag att personuppgifterna ska tas bort senast fem år efter det att läkemedlet har expedierats på ett öppenvårdsapotek. Samma tid gäller enligt lagen om nationell läkemedelslista.

11.2.6. Avvägning mellan behov och risk för integritetsintrång

Utredningens förslag ska ge patienter inom EES möjlighet att hämta ut läkemedel i ett annat EES-land med ett e-recept. Behovet av förslagen har beskrivits i avsnitt 11.2.3 ovan. De fördelar som informationsutbytet av e-recept kan innebära måste vägas mot de integritetsrisker som det kan medföra.

Informationsutbytet innebär att känsliga personuppgifter om potentiellt sett ett stort antal individer kommer att behandlas och överföras över landsgränser. Uppgifterna kommer att finnas tillgängliga för en större krets än i dag. Svenska myndigheter kommer inte på samma sätt kunna kontrollera hur och med vilken säkerhet uppgifterna behandlas. Förutom att det rör sig om integritetskänsliga personuppgifter om läkemedel som indirekt kan avslöja vilka sjukdomar en patient har, finns en risk att uppgifterna visar var patienten befinner sig.

Alla länder som kommer att delta i tjänsten e-recept över landsgränser omfattas av dataskyddsförordningen som är direkt tillämplig på all behandling av personuppgifter. Syftet med förordningen är att skapa ett gemensamt och enhetligt dataskydd som gör det möjligt med ett fritt flöde av personuppgifter. Bestämmelserna i patientrörlighetsdirektivet påverkar inte tillämpningen av dataskyddsförordningen (artikel 2 c jämfört med artikel 94.2 i dataskyddsförordningen). För att få delta i tjänsten ska de nationella kontaktpunkterna för e-hälsa granskas och godkännas av nätverket för e-hälsa och kommissionen. Granskningen omfattar organisatoriska, legala, tekniska och semantiska aspekter och resultatet redovisas för nätverket för e-hälsa innan

beslut om godkännande fattas. Informationsutbytet kommer endast att ske mellan de godkända kontaktpunkterna för e-hälsa som i sin tur lämnar ut uppgifterna till det expedierande apoteket.

Av skäl 28 till dataskyddsförordningen framgår att ett sätt att minska riskerna för de registrerade som berörs är att använda sig av pseudonymisering. Kryptering är en annan integritetsstärkande åtgärd som kan användas för att upprätthålla säkerheten och förhindra behandling som bryter mot dataskyddsförordningen (jfr skäl 83). Både kryptering och pseudonymsering tillgodoser principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen och bidrar till att uppfylla principen om integritet och konfidentialitet i artikel 5.1. f i dataskyddsförordningen. Pseudonymisering och kryptering utgör också sådana säkerhetsåtgärder som nämns i artikel 32 i dataskyddsförordningen och som kan vidtas för att öka säkerheten vid behandling av personuppgifter. Informationsöverföringen mellan de nationella kontaktpunkterna för e-hälsa ska ske krypterat mellan de anslutande länderna via EU:s säkerhetsskyddade kommunikationsnät TESTA. Som framgår av tidigare avsnitt kräver detta att E-hälsomyndigheten är ansluten till SGSI (Swedish Government Secure Intranet), som är ett intranät, skiljt från internet, för säker och krypterad kommunikation mellan myndigheter i Sverige och i Europa.

En risk med överföringen av känsliga personuppgifter till ett annat EES-land är att det inte går att säkerställa att mottagande land har tystnadsplikt för uppgifterna på samma sätt som i Sverige. E-hälsoavtalet kräver inte någon anpassning av medlemsländernas nationella rätt, men ställer krav på att varje land ska säkerställa att det bara är hälso- och sjukvårdspersonal som är behörig enligt nationell rätt som får tillgång till uppgifterna.

När det gäller säkerheten ställer e-hälsoavtalet krav på att medlemsländerna ska uppfylla regler om sekretess i dataskyddsförordningen och eIDAS-förordningen. Eftersom dataskyddsförordningen ska tillämpas i alla länder som deltar i informationsutbytet måste behandlingen även i dessa länder stödjas på en rättslig grund och ett undantag från förbudet mot behandling av känsliga personuppgifter. När E-hälsomyndigheten lämnar ut uppgifter till en nationell kontaktpunkt i ett annat EES-land sker det till en annan personuppgiftsansvarig. Om mottagaren tillämpar artikel 9.2 h som undantag från förbudet att behandla känsliga personuppgifter ställs ett krav på tyst-

nadsplikt också i mottagarlandet. Om mottagarlandet tillämpar något annat undantag i artikel 9.2 ställs inte något sådant krav. Behandlingen kan ändå vara laglig i mottagarlandet. I en enkät som utredningen skickat med hjälp av E-hälsomyndigheten till medlemsländerna framgår att länderna som besvarat enkäten, dvs. Tjeckien, Kroatien, Estland, Frankrike, Grekland, Italien, Litauen, Malta, Polen, Slovenien och Spanien, har en reglering för tystnadsplikt för expedierande personal. Det kan även nämnas att de nationella kontaktpunkterna för e-hälsa granskas och kontrolleras av kommissionen bl.a. utifrån de legala aspekterna, däribland vissa frågor kring tystnadsplikt och sekretessaspekter hos kontaktpunkterna.

Enligt utredningens bedömning får det förutsättas att de deltagande länderna har någon form av tystnadsplikt eller på annat sätt uppfyller kraven i dataskyddsförordningen och övriga krav på deltagandet i informationsutbytet. Det innefattar att uppfylla de krav på säkerhet som ställs i dataskyddsförordningen, bl.a. den grundläggande principen i artikel 5.1 f som anger att personuppgifterna ska behandlas på ett sätt som säkerställer lämplig säkerhet för personuppgifterna, inbegripet bl.a. skydd mot obehörig eller otillåten behandling, med användning av lämpliga tekniska eller organisatoriska åtgärder. E-hälsomyndigheten gjorde en liknande bedömning i sin rapport.1 I sitt remissvar till rapporten tog Justitieombudsmannen (JO) upp frågan om inte e-hälsoavtalet skulle kunna ändras i detta avseende, med krav på tystnadsplikt. Enligt utredningens bedömning är det tveksamt om det skulle tillföra något ytterligare att göra en sådan ändring, utöver de åtaganden medlemsländerna redan har. Vidare skulle det även vara svårt att få till en sådan ändring nu av e-hälsoavtalet, utöver vad som redan framgår, bl.a. för att flera medlemsländer redan har skrivit på avtalet och att det inte skulle följa strukturen i avtalet som mer anger de generella förutsättningarna för deltagande.

Vad i övrigt gäller den kontroll och tillsyn över att behandlingen av personuppgifterna sker på en tillräcklig hög säkerhetsnivå när uppgifterna överförs till ett annat EES-land är utredningens bedömning att risken är begränsad av flera skäl. Dataskyddförordningen är tillämplig på de deltagande länderna. Alla aktörer ska iaktta bestämmelserna om säkerhet i samband med behandling enligt artikel 32 i dataskyddsförordningen och bestämmelserna om inbyggt dataskydd

1 E-hälsomyndighetens rapport, Reglering av personuppgiftsbehandling (S2018/04035/FS).

och dataskydd som standard enligt artikel 25 i förordningen. Vidare står alla aktörerna under tillsyn av tillsynsmyndigheter i varje land.

Utredningen vill också lyfta fram att det fria flödet av personuppgifter inom EU varken får begränsas eller förbjudas av skäl som rör skyddet för fysiska personer med avseende på behandlingen av personuppgifter (artikel 1.3 i dataskyddsförordningen). För uppgifter om bl.a. hälsa bör medlemsländerna få behålla eller införa ytterligare villkor, även begränsningar, men de bör inte hindra det fria flödet av sådana personuppgifter inom EU, när villkoren tillämpas på gränsöverskridande behandling av sådana uppgifter (skäl 53 till dataskyddsförordningen).

Som utredningen konstaterat finns en risk för obehörigt röjande av personuppgifter. Denna risk kan enligt utredningens bedömning motverkas genom tydliga behörighetsregler för elektronisk åtkomst till uppgifterna och kravet på att åtkomsten till uppgifterna dokumenteras och kontrolleras. En sådan bestämmelse finns redan i lagen om nationell läkemedelslista och apoteksdatalagen. Utredningen föreslår en motsvarande bestämmelse i den nya lagen.

Vidare är en förutsättning i tjänsten att behörig hälso- och sjukvårdspersonal kan identifieras på ett säkert sätt och att endast behörig hälso- och sjukvårdspersonal inklusive expedierande personal kan få tillgång till uppgifterna om patienten i land B. För svensk del innebär det bl.a. tvåfaktorsautentisering, vilket är ett krav i tjänsten. Vidare ska farmaceuten vid anrop bekräfta behandlingsrelationen till patienten, bl.a. genom att identifiera sig.

Som framgår av avsnitt 5.4.2 har de anslutande länderna kommit överens om vilka personuppgifter som är nödvändiga att behandla i informationsutbytet och det är endast dessa uppgifter som ska behandlas i tjänsten. Detta ligger i linje med principen om uppgiftsminimering (artikel 5.1 i dataskyddsförordningen). När ett svenskt e-recept expedieras i ett annat EES-land är det främst personuppgifter som finns registrerade i lagen om nationell läkemedelslista som kommer att behandlas av E-hälsomyndigheten. Dessa uppgifter har i tidigare lagstiftningsärenden bedömts nödvändiga för att kunna expediera recept. Uppgifter ur originalreceptet överförs som PDF-dokument utan att översättas till land B:s språk. Detta görs av patientsäkerhetsskäl.

Vissa uppgifter om ett e-recept som inte kan expedieras i ett annat EES-land, bör enligt utredningens bedömning, få överföras av

patientsäkerhetsskäl för att åstadkomma en lika patientsäker och effektiv process som den nationella. I Sverige ska farmaceuten vid expediering beakta t.ex. övriga förskrivningar enligt 8 kap. 11 § receptföreskrifterna. Utredningens bedömning är att fördelarna för patientsäkerheten överväger integritetsriskerna med att vissa uppgifter förs över även om läkemedlet inte kan expedieras i det andra landet. Alternativet att endast lämna uppgifter om ett e-recept är enligt utredningen inte lika patientsäkert.

Utöver de uppgifter som redan framgår av den nationella läkemedelslistan har utredningen föreslagit i avsnitt 8.2.4 och 8.3 att uppgifter om landskod, uppgift om förskrivare, expedierande farmaceut och uppgift om expedierande apotek eller motsvarande från ett annat EES-land ska få registreras i den nationella läkemedelslistan. Ingen av dessa uppgifter är av känslig karaktär.

Det går inte att utesluta att behandlingen av personuppgifter i tjänsten e-recept över landsgränser potentiellt kan innebära en kartläggning av den enskilde, genom att det går att ta reda på i vilket land och på vilket apotek en patient befunnit sig. Utredningen bedömer risken för kartläggning av patientens personliga förhållanden som liten, särskilt mot bakgrund av att en sådan åtgärd är förbjuden enligt dataskyddsförordningen. Vidare har utredningen föreslagit att den behandling av personuppgifter som sker ska regleras i lag. Det ger i sig ett starkt integritetsskydd.

Eftersom personuppgifter går över landsgränser och hanteras av fler aktörer finns en risk för att patienten får det svårare att utöva sina rättigheter enligt dataskyddsförordningen. En viktig del av integritetsskyddet är att den enskilde kan ta tillvara sina rättigheter och ha kontroll över sina personuppgifter. Därför är det viktigt för den enskilde att veta vem som är personuppgiftsansvarig för behandlingen av den enskildes personuppgifter. E-hälsomyndigheten föreslås vara personuppgiftsansvarig för den behandling som myndigheten utför då den överlämnar och tar emot personuppgifter från och till en nationell kontaktpunkt i ett annat EES-land i enlighet med lagen om nationell läkemedelslista och den nya lagen. Utredningen föreslår också att patienten måste samtycka till att personuppgifterna lämnas till ett annat EES-land då Sverige är land A. Det innebär att patienten själv kan välja om personuppgifter ska behandlas för informationsutbytet eller inte. I samband med att ett sådant samtycke lämnas ska E-hälsomyndigheten informera om behandlingen och vad den inne-

bär (se artikel 13 i dataskyddsförordningen och 7 kap. 3 § lagen om nationell läkemedelslista som reglerar den ytterligare informationen som ska ges). E-hälsomyndigheten är också som personuppgiftsansvarig enligt förslaget till ny lag skyldig att informera om hur personuppgifterna kommer att behandlas (se artikel 14 i dataskyddsförordningen).

Även öppenvårdsapoteken är personuppgiftsansvariga för den behandling som de utför vid expediering av e-recept från EES. Öppenvårdsapoteken ska som personuppgiftsansvariga lämna ytterligare information om hur personuppgifterna kommer att behandlas utöver den information som följer av artikel 13 och 14 i dataskyddsförordningen (16 § apoteksdatalagen). Det omfattar bl.a. information om de uppgiftsskyldigheter som följer av lag eller författning, sökbegränsningar etc. Den registrerade kommer på så sätt att få vetskap om vilken aktör som kan komma att ta del av personuppgifterna till följd av uppgiftsskyldigheten.

Vidare kommer information om respektive lands personuppgiftsbehandling att tillhandahållas och översättas till alla deltagande länders språk på en gemensam webbplats. Därutöver har patienten möjlighet att lämna klagomål till tillsynsmyndigheten i landet där patienten har sin hemvist (artikel 77.1 i dataskyddsförordningen). Tillsynsmyndigheten har då en skyldighet att utreda klagomålet i samarbete med berörda tillsynsmyndigheter i andra länder och informera patienten om resultatet (artikel 57.1 f och 77.2).

Öppenvårdsapotekens hantering vid expediering av e-recept från ett annat EES-land innebär i vissa avseenden en annan hantering jämfört med expediering av svenska e-recept. Eftersom det inte rör sig om direktåtkomst till uppgifter om utländska e-recept kommer öppenvårdsapoteken att behöva kunna ta emot och lämna ut uppgifter elektroniskt från och till E-hälsomyndigheten på annat sätt än för svenska recept, inledningsvis via ett webbgränssnitt. Utredningen föreslår därför att det ska införas ett krav i 2 kap. 6 § lagen om handel med läkemedel på att öppenvårdsapoteken ska kunna ta emot och lämna ut uppgifter elektroniskt om en expediering av ett e-recept från EES. Som utredningen konstaterat i tidigare avsnitt innebär expedieringen av e-recept från EES en viss manuell hantering som i sig kan innebära risk att felaktiga personuppgifter hanteras.

Enligt utredningens bedömning borde denna risk vara som störst i början och sedan minska då expedieringen av utländska e-recept

blir mer vanligt. Även om en manuell hantering i sig alltid innebär en viss risk för att fel kan uppstå är utredningens bedömning att utbildning och information till expedierande personal borde minska risken för att personuppgifterna är felaktiga. Expedierande personal på öppenvårdsapoteken kommer att erbjudas utbildning i hur expedieringen av dessa e-recept ska gå till.

Utredningen föreslår en uppgiftsskyldighet för E-hälsomyndigheten i den nya lagen till öppenvårdsapoteken, utländsk kontaktpunkt för e-hälsa, Läkemedelsverket och Socialstyrelsen och en uppgiftsskyldighet till utländsk kontaktpunkt för e-hälsa enligt lagen om nationell läkemedelslista. Vidare föreslår utredningen att E-hälsomyndigheten ska informera Läkemedelsverket om en tillståndshavare inte lämnar de uppgifter till myndigheten som föreskrivs i 2 kap. 10 b § lagen om handel med läkemedel. Utredningen föreslår även sekretessbrytande bestämmelser till expedierande personal på öppenvårdsapotek och till utländsk nationell kontaktpunkt för e-hälsa för att uppgifterna ska få lämnas ut. Det skulle potentiellt kunna innebära ett intrång i den personliga integriteten för den enskilde och en risk för att skyddsvärda uppgifter sprids. Vad gäller de sekretessbrytande bestämmelserna har expedierande personal behov av att få tillgång till uppgifterna för att kunna expediera läkemedel. Även utländsk kontaktpunkt för e-hälsa har behov av uppgifterna för att kunna uppdatera registret med rätt uppgifter och att kunna vidareförmedla uppgifter till ett apotek eller motsvarande i ett annat EESland. Risken för intrång bör kunna begränsas genom utredningens förslag att E-hälsomyndigheten bara får lämna ut uppgifter som behövs för expediering av läkemedel och återrapportering. Risken för intrång begränsas också genom att samtycke krävs då Sverige är land A för att uppgifterna ska få överföras och då Sverige är land B är patienten medveten om att uppgifterna kommer att överlämnas för att expedieringen ska kunna ske. Uppgifterna omfattas även av tystnadsplikt hos öppenvårdsapoteken enligt patientsäkerhetslagen (2010:659).

Vidare föreslår utredningen att öppenvårdsapoteken ska lämna uppgifter till E-hälsomyndigheten i samband med en expediering av ett e-recept från EES, i likhet med nuvarande uppgiftsskyldighet för svenska e-recept. Öppenvårdsapoteken har ett behov av att lämna uppgifter utan att det bör anses som ett obehörigt röjande för att kunna utföra expedieringen och åtgärder i anslutning till den. Vidare

har E-hälsomyndigheten ett behov av uppgifterna från öppenvårdsapoteken för myndighetens roll som nationell kontaktpunkt och uppdrag avseende statistik, samt för att lämna uppgifter till Läkemedelsverket och Socialstyrelsen för respektive myndighets behov.

Vad gäller förslaget om uppgiftsskyldighet till Läkemedelsverket och Socialstyrelsen innebär det att myndigheterna får behandla personuppgifterna utan samtycke från patienten. Läkemedelsverket utövar tillsyn över öppenvårdsapoteken. I denna tillsyn ingår att kontrollera att öppenvårdsapoteken lämnar korrekta uppgifter och att läkemedelshanteringen i fråga om recepthanteringen är säker och i enlighet med gällande lagar och andra föreskrifter. För att kunna kontrollera att korrekta uppgifter lämnas behöver Läkemedelsverket tillgång till dels de uppgifter som öppenvårdsapoteken lämnar i den verifikation som de ska upprätta vid en förskrivning, dels till de uppgifter som lämnas till E-hälsomyndigheten för att kunna göra en jämförelse. Utan tillgången till uppgifterna som lämnas till E-hälsomyndigheten saknar Läkemedelsverket möjlighet att få kännedom om och kunna ingripa mot ett apotek som handlat felaktigt i denna del. Uppgifterna hos Läkemedelsverket omfattas av stark sekretess i enlighet med 25 kap. 1 § offentlighets- och sekretesslagen (2009:400) (OSL). Utredningens bedömning är att det intrång i den personliga integriteten som förslaget innebär är proportionerligt i förhållande till syftet med förslaget.

Läkemedelsregistret som Socialstyrelsen är personuppgiftsansvarig för ger underlag för den officiella statistiken i Sverige. Syftet med registret är att öka patientsäkerheten på läkemedelsområdet. Uppgifterna i läkemedelsregistret kommer från E-hälsomyndigheten. Uppgifterna i läkemedelsregistret omfattas av statistiksekretessen i 24 kap. 8 § OSL vilket innebär att sekretessen är absolut och uppgifterna enligt huvudregeln inte får lämnas ut. Undantag från sekretessen finns när det gäller uppgifter som behövs för forskning och statistikändamål och uppgifter som inte genom namn, annan identitetsbeteckning eller liknande förhållande är direkt hänförlig till den enskilde. I dessa fall kan uppgifter lämnas ut om det står klart att de kan röjas utan att den enskilda individ som uppgifterna rör eller någon närstående lider skada eller men. Uppgifterna hos Socialstyrelsen omfattas således av ett starkt sekretesskydd. Samtliga hälsodataregister är av stort värde för svensk medicinsk forskning. De bygger på en intresseavvägning mellan å ena sidan att skapa samhällsnyttig kun-

skap genom forskning och å andra sidan det intrång i den personliga integriteten som personuppgiftsbehandlingen innebär. Enligt utredningens bedömning är det intrång i den personliga integriteten som förslaget innebär proportionerligt i förhållande till syftet med förslaget.

Alternativ till utredningens förslag

Utredningens förslag innebär att det kommer att finnas rättsligt stöd för den personuppgiftsbehandling som utförs när ett svenskt e-recept expedieras i ett annat EES-land och när ett e-recept från EES expedieras i Sverige. De alternativ som finns till utredningens förslag är antingen att underlåta att införa någon ny reglering av personuppgiftsbehandlingen eller att reglera frågorna på ett annat sätt, t.ex. genom en ny särskild lag som omfattar all personuppgiftsbehandling som sker inom ramen för informationsutbytet. Om någon ny reglering inte införs är valet antingen att avstå från att delta i tjänsten e-recept över landsgränser eller att förlita sig på att befintlig lagstiftning är tillräcklig och att den behandling av personuppgifter som utförs kan ske med stöd av samtycke från den registrerade.

Om någon ny reglering inte införs av den personuppgiftsbehandling som sker riskerar E-hälsomyndigheten och öppenvårdsapoteken att behandla personuppgifter i strid med dataskyddsförordningen, lagen om nationell läkemedelslista och apoteksdatalagen. Som framgår av avsnitt 7.2 gör utredningen bedömningen att personuppgifterna inte bör behandlas med stöd av samtycke som rättslig grund. Det är också stor risk för att personuppgifterna i så fall skulle lämnas ut i strid med lagen om nationell läkemedelslista, apoteksdatalagen och OSL. Behandlingen av personuppgifter skulle då kunna leda till stora risker för patienternas integritet och E-hälsomyndigheten och öppenvårdsapoteken skulle också riskera sanktionsavgifter och skadeståndsskyldighet enligt dataskyddsförordningen. Utredningens förslag innebär en uppdelning av den personuppgiftsbehandling som sker vid det gränsöverskridande samarbetet i olika författningar, se vidare kapitel 7. Anledningen till den uppdelningen är främst att e-recepten är registrerade på olika ställen, i det ena fallet i den nationella läkemedelslistan och i det andra i ett annat land och att behandlingen av dem därför skiljer sig åt.

Enligt utredningens sammantagna bedömning saknas det alternativ för att uppnå det avsedda ändamålet att möjliggöra informationsutbyte genom tjänsten e-recept över landsgränser.

11.2.7. Slutsats proportionalitetsbedömningen

Behandling av personuppgifter med anledning av utredningens förslag är nödvändig för att utföra en uppgift av allmänt intresse och för att fullgöra en rättslig förpliktelse. E-hälsomyndighetens uppdrag, dels att vara nationell kontaktpunkt för e-hälsa, dels att tillhandahålla tjänster och infrastruktur för gränsöverskridande informationsutbyte av e-recept, föreslås framgå av förordningen (2013:1031) med instruktion för E-hälsomyndigheten. Utredningen föreslår att särskilda bestämmelser för att anpassa tillämpningen av dataskyddsförordningen tas in i lagen om nationell läkemedelslista, apoteksdatalagen och i en ny lag om E-hälsomyndighetens hantering av e-recept från Europeiska ekonomiska samarbetsområdet (EES).

Av artikel 6.3 i dataskyddsförordningen framgår att den nationella regleringen av grunden för behandlingen som kompletterar förordningen ”ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas”.

Som utredningen konstaterat tidigare får syftet med utredningens förslag att möjliggöra för enskilda inom EES att hämta ut läkemedel i ett annat EES-land, anses utgöra ett legitimt mål som uppfyller ett mål av allmänt intresse. Något alternativ till utredningens förslag för att uppnå ändamålet finns inte. Den behandling som kommer att utföras med anledning av förslagen är ändamålsbegränsad och de författningsförslag som lämnas ger tillräckliga skyddsåtgärder för att behandlingen ska anses vara proportionell mot det legitima mål som eftersträvas. Genom utredningens förslag kommer E-hälsomyndigheten och öppenvårdsapoteken att ha rättsligt stöd i nationell rätt på det sätt som krävs enligt dataskyddsförordningen.

Det är utredningens sammanfattande bedömning att behoven av, och fördelarna med utredningens förslag överväger de integritetsrisker som behandlingen medför. Behandlingen uppfyller ett mål av allmänt intresse och är proportionell mot det legitima mål som eftersträvas.

11.2.8. Konsekvensbedömning avseende dataskydd

Enligt dataskyddsförordningen ska den personuppgiftsansvarige i vissa fall göra en bedömning av den planerade personuppgiftsbehandlingens konsekvenser för skyddet av personuppgifter (artikel 35). En konsekvensbedömning ska göras om en typ av behandling, särskilt med användning av ny teknik och med beaktande av dess art, omfattning, sammanhang och ändamål, sannolikt leder till en hög risk för fysiska personers rättigheter och friheter. Att genomföra en konsekvensbedömning är ett sätt för den personuppgiftsansvarige att säkerställa och visa att den personuppgiftsansvarige följer dataskyddsförordningen (artikel 5.2). En konsekvensbedömning är en process för att kunna identifiera risker med behandlingen av personuppgifter och ta fram rutiner och åtgärder för att hantera riskerna, och därmed bedöma om det intrång som behandlingen utgör är proportionerlig. Enligt artikel 35.10 i dataskyddsförordningen finns det en möjlighet att genomföra en konsekvensbedömning redan i lagstiftningsarbetet. Om en behandling enligt artikel 6.1 c eller 6.1 e i dataskyddsförordningen har en rättslig grund i EU-rätten eller svensk lag, om denna lagstiftning reglerar den specifika behandlingsåtgärden och om en konsekvensbedömning avseende dataskydd har genomförts som en del av en allmän konsekvensbedömning i samband med antagandet av denna rättsliga grund, gäller inte artikel 35.1–7 i dataskyddsförordningen. I sådana fall behöver inte var och en av de som behandlar personuppgifter enligt lagstiftningen göra en egen konsekvensbedömning avseende dataskydd. Det kan underlätta om lagstiftaren så långt det är möjligt genomför en konsekvensbedömning, trots att lagstiftaren inte har exempelvis de tekniska förutsättningarna och därmed inte behovet av konkreta säkerhets- och skyddsåtgärder helt klart för sig. Dessa frågor behöver den personuppgiftsansvarige, som har kunskap om det specifika systemet, själv ta ställning till för att kunna minimera eventuella höga risker.

Som utredningen redogjort för är utredningens bedömning att det gränsöverskridande informationsutbytet är en rättslig förpliktelse och en uppgift av allmänt intresse i enlighet med artikel 6.1 c och 6.1 e i dataskyddsförordningen. Informationsutbytet innebär att känsliga personuppgifter om potentiellt sett ett stort antal registrerade kommer att överföras mellan anslutna medlemsländer. Enligt utredningens bedömning kan behandlingen sannolikt leda till en hög risk

för de registrerades rättigheter och friheter på det sätt som avses i artikel 35.1 i dataskyddsförordningen. Den personuppgiftsansvarige skulle därför i enlighet med artikeln behöva göra en konsekvensbedömning avseende dataskydd innan behandlingen utförs. Informationsutbytet kommer att ha stöd i den nationella rätten genom bl.a. lagen om nationell läkemedelslista, utredningens förslag till ny lag och E-hälsomyndighetens instruktion. Den riskanalys och proportionalitetsbedömning som gjorts här utgör enligt utredningens bedömning en sådan konsekvensbedömning avseende dataskydd som avses i artikel 35.10 i dataskyddsförordningen. De inblandade personuppgiftsansvariga behöver dock komplettera den med en konsekvensbedömning avseende de mer praktiska, tekniska och organisatoriska förutsättningarna för behandlingen.

12. Åtgärder för en patientsäker och effektiv läkemedelsprocess

12.1. Inledning

Utredningen ska enligt sitt uppdrag se över behovet av andra åtgärder för att säkerställa en patientsäker och effektiv läkemedelsprocess, såsom behovet av att ändra de krav som ställs på öppenvårdsapoteken i lagen (2009:366) om handel med läkemedel vid expediering av e-recept utfärdade i andra EES-länder. Förslagen analyseras även utifrån ett sekretessperspektiv. Utredningen ska även se över frågan om expediering i andra EES-länder av svenska e-recept och expediering i Sverige av e-recept från EES förutsätter ändringar i Läkemedelsverkets föreskrifter och då föreslå ändringar. Vidare ska utredningen ta ställning till de frågor som lyfts i E-hälsomyndighetens rapport

Reglering av personuppgiftsbehandling (S2018/04035/FS) och i remiss-

svaren till denna. En utgångspunkt är att den gränsöverskridande processen för e-recept ska vara lika patientsäker och effektiv som den nationella processen.

I detta kapitel analyserar utredningen ovanstående delar av uppdraget. Kapitlet inleds med överväganden och förslag avseende kraven på öppenvårdsapoteken och behovet av ändringar i lagen om handel med läkemedel, förordningen (2009:659) om handel med läkemedel och receptföreskrifterna. Slutligen överväger utredningen ytterligare åtgärder för en patientsäker och effektiv process när Sverige är land A och svenska e-recept expedieras i ett annat EES-land. Utredningen överväger och föreslår ändringar i läkemedelslagen (2015:315) och läkemedelsförordningen (2015:458), samt att föreskrifter bör få meddelas av Läkemedelsverket. Hanteringen av pappersrecept inom EES utreds inte.

12.2. Överväganden och förslag till ändringar i lagen om handel med läkemedel

12.2.1. Pappersrecept inom EES

Utredningens bedömning: Pappersrecept inom EES utreds inte.

Pappersrecept utfärdade av en förskrivare behörig i annat EES-land kan expedieras på öppenvårdsapotek i Sverige och pappersrecept utfärdade i Sverige kan expedieras i ett annat EES-land. Erkännande av sådana recept framgår av patientrörlighetsdirektivet som även är grunden för e-recept över landsgränser och nätverket för e-hälsas samarbete. Det finns dock skillnader mellan pappersrecept och e-recept som främst följer av det elektroniska informationsutbytet för e-recept och att utbytet baseras på ett frivilligt samarbete. För e-recept över landsgränser finns t.ex. ett krav på återrapportering av expedieringen från land B till land A, vilket inte är möjligt för pappersrecept från EES. Utredningen ska föreslå en helhetslösning för e-recept över landsgränser och utreder inte hanteringen av pappersrecept inom EES. Det finns fördelar med att utreda båda typerna av recept gemensamt. Utredningen har inte haft möjlighet att göra detta i delbetänkandet.

12.2.2. En ny definition av e-recept från EES

Utredningens förslag: En definition införs i lagen om handel

med läkemedel för e-recept som har utfärdats av en förskrivare behörig i ett annat EES-land som får överföras enligt nätverket för e-hälsas krav för expediering i Sverige.

Utredningen föreslår en ny definition – e-recept från EES – i lagen om handel med läkemedel. Definitionen avser e-recept som har utfärdats av en förskrivare behörig i ett annat EES-land som kan överföras till Sverige i enlighet med de krav som har fastställts av nätverket för e-hälsa som bildats med stöd av artikel 14 i patientrörlighets-

direktivet och kommissionens genomförandebeslut 2019/1765.1 Syftet med definitionen är främst att undvika upprepningar i de bestämmelser som utredningen föreslår ska gälla för denna typ av e-recept. Genom hänvisningen till de krav som har fastställts av nätverket för e-hälsa begränsas definitionen till vad nätverket har kommit överens om. Medlemsländerna ska utse endast en nationell kontaktpunkt för e-hälsa. Den ska granskas och godkännas för att medlemslandet ska få delta i tjänsten e-recept över landsgränser. All information om dessa e-recept ska förmedlas inom EES2 genom den nationella kontaktpunkten för e-hälsa i varje land. Nätverkets krav innebär också bl.a. att endast e-recept för godkända humanläkemedel omfattas.3Därför föreslår utredningen en ny definition i 1 kap. 4 § lagen om handel med läkemedel.

12.2.3. Tillhandahållandeskyldighet

Utredningens förslag: Den som har tillstånd att bedriva detalj-

handel med läkemedel till konsument bör vid expediering av e-recept från EES tillhandahålla det förskrivna läkemedlet, eller ett läkemedel som motsvarar det förskrivna läkemedlet så snart det kan ske. Det bör närmare anges i receptföreskrifterna vilket läkemedel öppenvårdsapoteket får lämna ut. Om läkemedlet som en konsument har frågat efter inte finns på öppenvårdsapoteket, ska läkemedlet beställas inom den tid som anges i förordningen om handel med läkemedel.

Både Läkemedelsverket och E-hälsomyndigheten har med anledning av E-hälsomyndighetens rapport Reglering av personuppgiftsbehand-

ling ansett att det är oklart vad som gäller avseende tillhandahål-

landeskyldigheten för e-recept från EES.

1 Kommissionens genomförandebeslut (EU) 2019/1765 av den 22 oktober 2019 om regler för inrättande, förvaltning och drift av ett nätverk av nationella myndigheter med ansvar för e-hälsa och om upphävande av genomförandebeslut 2011/890/EU (ändrat genom beslut 2020/1023). 2 Länder som är medlemmar i Efta kan enligt nätverket delta som observatör och delta i e-hälsoavtalet. Utredningens beaktar endast EES-länder, se avsnitt 2.2. 3 I artikel 3 i patientrörlighetsdirektivet definieras läkemedel med en hänvisning till definitionen i humandirektivet.

Tillhandahållandeskyldigheten för den som har tillstånd att bedriva detaljhandel till konsument,4 dvs. bedriva ett öppenvårdsapotek, innebär i dag att tillståndshavaren ska tillhandahålla samtliga förordnade läkemedel och samtliga förordnade varor som omfattas av lagen (2002:160) om läkemedelsförmåner m.m. så snart det kan ske (2 kap. 6 § 3 lagen om handel med läkemedel). Vad som avses med ”så snart det kan ske” definieras i förordningen om handel med läkemedel. Det innebär att när konsumenten frågar efter ett läkemedel eller vara som inte finns i lager, ska öppenvårdsapoteket beställa produkten senast klockan 16.00 samma dag om det efterfrågades innan dess (9 §). En partihandlare ska leverera en sådan beställning till öppenvårdsapoteket senast nästa vardag före klockan 16.00. Leveransskyldigheten gäller inte läkemedel som normalt inte finns tillgängliga hos partihandlaren (10 § samma förordning). I förarbetena understryks det att tillhandahållandeskyldigheten är en viktig aspekt ur ett tillgänglighetsperspektiv och verkar för en god läkemedelsförsörjning.5

Nuvarande bestämmelse i 2 kap. 6 § 3 lagen om handel med läkemedel gäller både läkemedel och vissa varor som förordnas, alltså produkter som både kan förskrivas och rekvireras, dvs. beställas åt en vårdenhet eller liknande. E-recept från EES avser endast godkända humanläkemedel som förskrivits på e-recept åt en konsument för att hämtas ut på apotek. Rekvirerade läkemedel och varor som inte är läkemedel omfattas inte.6 Nuvarande bestämmelse kan därför anses ha ett vidare tillämpningsområde än för e-recept från EES.

Enligt förarbetena avser tillhandahållandeskyldigheten enligt 2 kap. 6 § 3 inte endast det läkemedel som står på receptet, utan även vad som ska lämnas ut enligt lagen om läkemedelsförmåner m.m. Öppenvårdsapoteket ska alltså tillhandahålla det förordnade läkemedlet eller det läkemedel som följer av bestämmelserna om utbyte av läkemedel enligt den lagen.7 För e-recept från EES bör inte utbyte av läkemedel i lagen om läkemedelsförmåner m.m. tillämpas enligt utredningens bedömning, se avsnitt 6.3.1. Nuvarande bestämmelse är alltså missvisande vid expediering av sådana e-recept. Utredningen känner inte

4 En sådan tillståndshavare kallas här omväxlande även för öppenvårdsapotek, eftersom begreppet öppenvårdsapotek är mer använt. 5Prop. 2008/09:145 s. 117 f., 190 och 421. 6 Se avsnitt 5.3.6 om vad tjänsten e-recept över landsgränser omfattar i dag. Jfr även t.ex. Mål C‑222/18 VIPA Kereskedelmi és Szolgáltató Kft. v Országos Gyógyszerészeti és Élelmezésegészségügyi Intézet där bestämmelser om att inte erkänna rekvisition enligt artikel 11 patientrörlighetsdirektivet ansågs förenligt med reglerna om fri rörlighet. 7Prop. 2008/09:145 s. 117 f., 190 och 421.

närmare till t.ex. om bestämmelsen tillämpas avseende pappersrecept som utfärdas i EES.8

Tillhandahållandeskyldigheten bör enligt utredningen även tydligt avse e-recept från EES som får expedieras i Sverige, eftersom det är viktigt ur ett tillgänglighetsperspektiv och för en god läkemedelsförsörjning. Utredningen föreslår därför en ny bestämmelse i 2 kap. 6 § 16 lagen om handel med läkemedel som innebär att det förskrivna läkemedlet ska lämnas ut vid expediering av ett e-recept från EES eller, i vissa fall, ett läkemedel som motsvarar det förskrivna läkemedlet så snart det kan ske. Syftet med den nya bestämmelsen är främst att förtydliga tillhandahållandeskyldigheten vid expediering av e-recept från EES.

Utredningen föreslår också att vad som får lämnas ut på öppenvårdsapotek bör regleras i receptföreskrifterna, i likhet med 8 kap. 36 § receptföreskrifterna som avser pappersrecept utfärdade i annat EES-land,9 se vidare avsnitt 12.3.2 nedan. I likhet med vad som gäller enligt 2 kap. 6 § 3 lagen om handel med läkemedel föreslår alltså utredningen att det anges närmare i annan reglering vilket läkemedel som tillhandahållandeskyldigheten avser.10 Enligt nätverket för e-hälsas krav får expediering av ett annat läkemedel än det förskrivna endast avse läkemedel med ett annat läkemedelsnamn och/eller förpackningsstorlek om utbyte är tillåtet.11 Läkemedlets aktiva substans, läkemedelsform och styrka ska vara densamma. Ett läkemedelsnamn får anges på ett e-recept även när utbyte av läkemedel på apotek är tillåtet, eftersom det anges med en särskild markering om utbyte får ske på e-recept från EES.12

Om det anges på ett e-recept från EES att byte av läkemedel inte får ske på apotek får alltså endast det förskrivna läkemedlet lämnas ut. Om det förskrivna läkemedlet är godkänt i Sverige med ett annat läkemedelsnamn får det lämnas ut även om det finns en markering

8 I prop. 2012/13:150 finns ingen bedömning av förhållandet till t.ex. lagen om handel med läkemedel i frågan om recept från EES. I prop. 2008/09:145 synes det inte heller finnas någon bedömning av recept från andra länder i förhållandet till tillhandahållandeskyldigheten. 9 Delar av patientrörlighetsdirektivets artikel 11 och genomförandedirektivet 2012/52/EU anses genomförda i svensk rätt genom receptföreskrifterna, se prop. 2012/13:150 s. 100 ff. 10 Jfr prop. 2008/09:145 s. 421. 11 Under eHDSI Scope and Business Goals framgår det att kraven i nätverket för e-hälsa medger den enklaste formen av utbyte, dvs. annan förpackningsstorlek och/eller läkemedelsnamn, se även avsnitt 5.3.6. Land B:s regelverk om utbyte avses gälla för e-recept från EES. 12 Detta är en utveckling av genomförandedirektivet 2012/52/EU som anger att läkemedelsnamn endast ska anges om utbyte inte får ske med en motivering om varför. Läkemedelsnamnet ska också anges för biologiska läkemedel som inte ska bytas, se skäl 4 och bilagan.

om att byte inte får ske, eftersom det är samma läkemedel. Om utbyte får ske föreslår utredningen att det läkemedel som anges på förskrivningen eller ett läkemedel som motsvarar det förskrivna får lämnas ut.

Det kan hända att det förskrivna läkemedlet med ett visst läkemedelsnamn eller en viss förpackningsstorlek inte finns godkänt för försäljning i Sverige eller tillgängligt. I dessa fall kan farmaceuten behöva identifiera ett läkemedel som motsvarar det förskrivna läkemedlet om utbyte är tillåtet. Detsamma gäller om läkemedlets gängse benämning angivits på ett e-recept från EES, eftersom någon specifik läkemedelsprodukt då inte har pekats ut. Med gängse benämning avses i regel namnet på läkemedlets aktiva substans eller substanser. Med motsvarande läkemedel avses ett läkemedel som innehåller samma aktiva substans, styrka och läkemedelsform, samt i övrigt är likvärdigt, se avsnitt 12.3.2.

Om ett sådant läkemedel inte kan identifieras eller inte finns tillgängligt bör ingen skyldighet att tillhandahålla läkemedlet anses föreligga. För tillståndshavaren ska tillhandahållandeskyldigheten vid expediering av e-recept från EES tillämpas enligt denna bestämmelse och inte enligt bestämmelsen i 2 kap. 6 § 3 lagen om handel med läkemedel. Utredningen föreslår att det ska framgå i en ny bestämmelse i 2 kap. 6 d § lagen om handel med läkemedel, se avsnitt 12.2.7 nedan.

Förutsättningarna för tillhandahållandeskyldigheten i den nya bestämmelsen i 2 kap. 6 § 16 lagen om handel med läkemedel bör i övrigt motsvara 2 kap. 6 § 3. Utredningen föreslår därför en hänvisning till den nya bestämmelsen om e-recept från EES i 9 § förordningen om handel med läkemedel. Enligt 2 kap. 11 § 2 lagen om handel med läkemedel får regeringen eller den myndighet som regeringen bestämmer meddela föreskrifter som avser inom vilken tid tillhandahållandet ska ske. Utredningen föreslår att detta bemyndigande också bör avse den nya bestämmelsen i 2 kap. 6 § 16 lagen om handel med läkemedel.

12.2.4. Uppgiftsskyldighet till E-hälsomyndigheten

Utredningens förslag: Den som har tillstånd att bedriva detalj-

handel med läkemedel till konsument ska vid expediering av ett e-recept från EES lämna uppgifter till E-hälsomyndigheten. Regeringen får meddela föreskrifter om vilka uppgifter som bör lämnas till E-hälsomyndigheten. Dessa uppgifter bör framgå av förordningen om handel med läkemedel.

Utredningens bedömning: De uppgifter som en tillståndshavare

bör lämna är bl.a. sådana uppgifter som E-hälsomyndigheten, Läkemedelsverket och Socialstyrelsen behöver för respektive myndighets uppdrag. Skyldigheten att lämna uppgifter avser även tillgodose tillståndshavarens behov vid en expediering av e-recept från EES av en bestämmelse som medför att utlämnande inte anses utgöra ett obehörigt röjande.

Den som har tillstånd att bedriva detaljhandel med läkemedel till konsument har i dag en skyldighet enligt 2 kap. 6 § 5 lagen om handel med läkemedel att vid expediering av en förskrivning till människa lämna uppgifter till E-hälsomyndigheten. De uppgifter som ska lämnas framgår genom en hänvisning till 3 kap. 8 § lagen (2018:1212) om nationell läkemedelslista. Uppgiftsskyldigheten har ansetts behövas bl.a. för att uppdatera E-hälsomyndighetens register och för att myndigheten ska kunna fullgöra sin uppgiftsskyldighet gentemot andra aktörer.13

Utredningen anser att 2 kap. 6 § 5 lagen om handel med läkemedel inte är tillämplig för tillståndshavaren vid expediering av e-recept från EES, eftersom den hänvisar till lagen om nationell läkemedelslista. E-recept från EES bör i huvudsak inte registreras i den nationella läkemedelslistan enligt utredningen. Däremot behöver vissa uppgifter registreras i den nationella läkemedelslistan vid expediering av ett e-recept från EES.

13 Se vidare t.ex. prop. 2008/09:145 s. 120 f., prop. 2013/14:93 s. 117 f., prop. 2017/18:157 s. 164 ff. och prop. 2017/18:223 s. 169 ff.

Uppgiftsskyldighet vid expediering av e-recept från EES

Utredningen bedömer att det bör införas en skyldighet för tillståndshavaren att lämna uppgifter vid expediering av e-recept från EES på ett liknande sätt som gäller enligt 2 kap. 6 § 5 lagen om handel med läkemedel. Därför bör en ny bestämmelse införas i 2 kap. 6 § 17 lagen om handel med läkemedel som innebär att tillståndshavaren ska lämna uppgifter till E-hälsomyndigheten vid expediering av e-recept från EES. Uppgiftsskyldigheten avses tillgodose behovet dels för E-hälsomyndigheten, Läkemedelsverket och Socialstyrelsen för respektive myndighets uppdrag, dels för att öppenvårdsapoteken ska kunna lämna nödvändiga uppgifter utan att det anses utgöra ett obehörigt röjande för tillståndshavaren. Nedan följer utredningens överväganden och bedömning.

Ansvariga myndigheter behöver tillgång till uppgifter

I dag har flera aktörer behov av uppgifter om recept till människa som expedieras på ett öppenvårdsapotek. E-hälsomyndigheten ska lämna vissa uppgifter till aktörer enligt lagen om nationell läkemedelslista, för bl.a. tillsyn, forskning, statistik och uppföljning. Utredningen har i avsnitt 9.11 föreslagit att öppenvårdsapoteken, utländsk kontaktpunkt för e-hälsa, Läkemedelsverket och Socialstyrelsen bör kunna få uppgifter avseende expediering av e-recept från EES från E-hälsomyndigheten.

Som nationell kontaktpunkt för e-hälsa behöver E-hälsomyndigheten uppgifter från öppenvårdsapoteken vid expediering av e-recept från EES. Som nationell kontaktpunkt ska myndigheten vidarebefordra uppgifter till den utländska kontaktpunkten i land A. E-hälsomyndigheten behöver också uppgifter från öppenvårdsapoteken för att tillhandahålla statistik och lämna uppgifter till Läkemedelsverket och Socialstyrelsen.

Läkemedelsverket kan i dag få uppgifter från den nationella läkemedelslistan för en effektiv tillsyn över tillhandahållandeskyldigheten och uppgiftslämnandet vid expediering enligt 2 kap. 6 § 3 och 5 lagen om handel med läkemedel.14 Myndigheten ska bl.a. kunna verifiera att uppgifterna som lämnas från enskilda öppenvårdsapotek överensstämmer med de som har rapporterats till E-hälsomyndig-

14 Se vidare t.ex. prop. 2008/09:145 s. 314 ff. och prop. 2013/14:93 s. 120.

heten.15 Enligt utredningen har Läkemedelsverket behov av uppgifter vid expediering av e-recept från EES för tillsyn och Socialstyrelsen behov av uppgifter för epidemiologiska undersökningar, forskning, statistik, uppföljning, utvärdering och kvalitetssäkring inom hälso- och sjukvården.

Öppenvårdsapoteken behöver uppgifter vid expediering

Öppenvårdsapoteken behöver tillgång till uppgifter ur e-receptet för att expediera ett e-recept från EES. För att få sådana uppgifter, behöver öppenvårdsapoteken också skicka uppgifter om konsumenten och e-receptet via den nationella kontaktpunkten för e-hälsa i den fråga-svarstjänst för informationsutbytet som beskrivs i avsnitt 5.4.1.

Personal på öppenvårdsapotek får inte obehörigen röja vad han eller hon i sin verksamhet har fått veta om en enskilds hälsotillstånd eller andra personliga förhållanden enligt 6 kap. 12 § patientsäkerhetslagen (2010:659). Som obehörigt röjande anses inte att någon fullgör en sådan uppgiftsskyldighet som följer av lag eller förordning. Uppgiftsskyldigheten i 2 kap. 6 § 5 lagen om handel med läkemedel är en sådan bestämmelse.16 Utredningen gör bedömningen att öppenvårdsapoteken har behov av en motsvarande bestämmelse om uppgiftsskyldighet även för e-recept från EES som bör framgå av 2 kap. 6 § 17 lagen om handel med läkemedel.

De uppgifter som bör lämnas till E-hälsomyndigheten

Enligt utredningen är det svårt att ange exakt vilka uppgifter tillståndshavaren ska lämna till E-hälsomyndigheten enligt den nya bestämmelsen i 2 kap. 6 § 17. Det är ett flertal uppgifter som ytterst beslutas inom nätverket för e-hälsa. Skyldigheten bör omfatta de uppgifter E-hälsomyndigheten behöver få och öppenvårdsapoteken behöver lämna. Därför bör uppgiftsskyldigheten omfatta alla de uppgifter som öppenvårdsapoteken kan komma att behöva lämna vid expediering i den fråga-svarstjänst som beskrivs i avsnitt 5.4.1. De uppgifter som behövs är alltså vad som krävs för att 1) identifiera

15Prop. 2017/18:157 s. 164 ff. 16Prop. 2020/21:220 s. 44.

konsumenten, 2) hämta receptlista, 3) hämta recept och 4) återrapportera expedierat läkemedel.

Nuvarande uppgiftsskyldighet i 2 kap. 6 § 5 hänvisar till 3 kap. 8 § lagen om nationell läkemedelslista som anger innehållet i registret. Den bestämmelsen innehåller en uppräkning av ett flertal uppgifter som får registreras i den nationella läkemedelslistan. Den befintliga bestämmelsen har varit en av utgångspunkterna när utredningen har analyserat vilka uppgifter öppenvårdsapoteken behöver lämna vid expediering av e-recept från EES. Utredningen utgår vidare från vilka uppgifter som ingår i informationsutbytet för e-recept inom EES som beskrivs i avsnitt 5.4.2. I det avsnittet beskrivs de informationsmängder som nätverket för e-hälsa kommit överens om utifrån bl.a. genomförandedirektivet 2012/52/EU som har anpassats och utvecklats.17 Vissa uppgifter är obligatoriska att ange, medan andra är frivilliga. De uppgifter som ingår i informationsutbytet utvecklas och kan ändras, även om de mest grundläggande uppgifterna sannolikt inte behöver ändras. Det händer att e-recepten från EES inte innehåller alla obligatoriska uppgifter, men redan i dag kan recept från EES ändå expedieras i vissa fall om farmaceuten bedömer det lämpligt (8 kap. 39 § receptföreskrifterna).

Utredningens förslag är att uppgiftsskyldigheten i den nya bestämmelsen i 2 kap. 6 § 17 lagen om handel med läkemedel bör avse de uppgifter som anges nedan i kursiv stil. Utredningens bedömning av varför de bör omfattas beskrivs under uppgifterna.

Uppgift om förskrivet läkemedel, mängd och dosering, aktiv substans, läkemedelsform, styrka, administreringssätt, behandlingsändamål och datum för förskrivning

Ovanstående uppgifter kan E-hälsomyndigheten få från den nationella kontaktpunkten i land A för att vidareförmedla till den expedierande farmaceuten. Mängd, aktiv substans, läkemedelsform, styrka och datum är uppgifter som ska anges på e-recept från EES enligt nätverket för e-hälsas krav. Dosering, administreringssätt och behandlingsändamål kan också anges. Enligt uppgift från E-hälsomyndigheten anges det sällan behandlingsändamål på e-recept från EES för

17 För ett svenskt recept som ska vidareförmedlas till annat EES-land kommer bestämmelserna om förskrivning att gälla, dock föreslår utredningen att e-recept för vissa typer av läkemedel inte får expedieras i annat EES-land, se avsnitten 12.4.3 och 12.4.4.

närvarande, även om det förekommer. Öppenvårdsapoteken kan i sin tur behöva skicka uppgifter om förskrivet läkemedel till E-hälsomyndigheten som kontaktpunkt för e-hälsa för vidarebefordran till land A, t.ex. för att kunna fråga efter ett av konsumentens e-recept som finns i receptlistan från land A. I dessa fall kan öppenvårdsapoteken behöva ange uppgifter om det förskrivna läkemedlet för att identifiera det aktuella e-receptet konsumenten vill få expedierat. Även Läkemedelsverket behöver uppgifter om det förskrivna läkemedlet för sin tillsyn av uppgiftsskyldigheten och tillhandahållandeskyldigheten för läkemedel förskrivna på e-recept från EES på ett liknande sätt som för den tillsyn myndigheten utför avseende 2 kap. 6 § 3 och 5.

Även om det är svårt att säga om öppenvårdsapoteken behöver lämna mer detaljerade uppgifter om det förskrivna läkemedlet, t.ex. dosering, administreringssätt eller behandlingsändamål, anser utredningen att även dessa uppgifter bör ingå i uppgiftsskyldigheten. Den främsta anledningen till detta är att det inte helt kan uteslutas att sådana uppgifter i vissa fall skulle kunna anses ingå i den samlade informationen om ett förskrivet läkemedel som öppenvårdsapoteket kan behöva lämna. I sådana fall bör det inte anses som ett obehörigt röjande för öppenvårdsapoteken att lämna ut de uppgifter som omfattas av uppgiftsskyldigheten.

Uppgift om konsumentens namn, födelsedatum, den uppgift som används för konsumentens identifiering i det land där e-receptet är utfärdat, kön, kontaktuppgifter till konsumenten och land

Land A anger hur konsumenten ska identifieras vid expediering i land B, bl.a. genom konsumentens unika identifierare som t.ex. kan vara ett utländskt personnummer eller socialförsäkringsnummer. Land A kan även kräva andra demografiska uppgifter för att identifiera konsumenten, t.ex. adress eller andra kontaktuppgifter och kön. Öppenvårdsapoteken behöver då kunna skicka dessa uppgifter i fråga-svarstjänsten för att konsumenten ska kunna identifieras. Uppgift om kön bör anges uttryckligen, särskilt eftersom konsumenter från andra EES-länder i regel inte har ett personnummer från vilket konsumentens kön kan utläsas. Uppgifter om konsumenter, t.ex. kontaktuppgifter, kan vara känsliga och kan omfattas av tystnadsplikt om de skulle kunna kopplas till en viss konsuments läke-

medelsbehandling. Uppgifterna bör omfattas av uppgiftsskyldigheten, så att ett utlämnande kan ske utan att det anses som ett obehörigt röjande om öppenvårdsapoteken behöver lämna sådana demografiska uppgifter om konsumenten.18

Födelsedatum och landskod är obligatoriska uppgifter enligt nätverket för e-hälsas krav. Läkemedelsverket och Socialstyrelsen har också behov av uppgifterna för tillsyn respektive uppdrag avseende epidemiologisk forskning, statistik m.m. Öppenvårdsapoteken kan även behöva ange födelsedatum och landskod när vissa uppgifter vid expedieringen av ett e-recept från EES registreras i den nationella läkemedelslistan.

Uppgift för att identifiera receptet

E-recept från EES ska kunna identifieras enligt nätverkets krav. Öppenvårdsapoteken behöver därför lämna uppgift om recept-id till den nationella kontaktpunkten för e-hälsa. Vissa länder, t.ex. Portugal, kan kräva att konsumenten lämnar en viss kod för varje e-recept. I andra fall kan det vara ett automatiskt genererat recept-id för varje e-recept som anges av den nationella kontaktpunkten för e-hälsa.

Uppgift om förskrivarens namn, yrke och land

Utredningen gör bedömningen att det finns behov av uppgift om förskrivarens namn, yrke och land för t.ex. tillsyn och uppföljning av expediering av e-recept från EES.

Uppgift om expedierat läkemedel, mängd och dosering, aktiv substans, läkemedelsform, styrka, administreringssätt, behandlingsändamål, datum för expediering, expedierande apotek och expedierande farmaceut

Öppenvårdsapoteket ska rapportera uppgifter om expedierat läkemedel och expedieringen till E-hälsomyndigheten som i sin tur ska återrapportera dessa uppgifter till den utländska kontaktpunkten för e-hälsa i land A. Öppenvårdsapoteken behöver sannolikt inte alltid lämna samtliga ovanstående uppgifter till E-hälsomyndigheten vid

18Prop. 1979/80:2 del A s. 84.

återrapporteringen, utan främst de obligatoriska uppgifterna enligt nätverket för e-hälsas krav, t.ex. expedierat läkemedel, antal förpackningar, mängd, expedierande farmaceut och uppgift om apoteket. Informationen om ett läkemedel kan emellertid anges samlat, t.ex. genom den identifiering av expedierat läkemedel som används i produktregistret VARA. Sådan samlad information skulle kunna anses omfatta flera uppgifter om läkemedlet, förutom t.ex. läkemedlets namn, aktiv substans, läkemedelsform, utan i vissa fall även anses beskriva administreringssätt. Utredningen vill undvika varje eventuell risk för att en viss uppgift i en sådan samlad information skulle anses omfattas av tystnadsplikt hos öppenvårdsapoteken om den behöver lämnas ut. Utredningen föreslår därför att uppgiftsskyldigheten bör omfatta ovanstående uppgifter. Det är en viss skillnad hur uppgifterna beskrivs här, jämfört med uppgiftsskyldigheten i 2 kap. 6 § 5 lagen om handel med läkemedel som hänvisar till 3 kap. 8 § lagen om nationell läkemedelslista. Utredningen avser dock ingen egentlig skillnad i sak, men med hänsyn till de krav som följer av informationsutbytet över landsgränser kan det ändå anses motiverat med en delvis annan utformning.

Uppgift om läkemedlets kostnad

Uppgift om kostnad bör lämnas av öppenvårdsapoteken, främst för uppföljning.

Andra uppgifter som krävs i samband med en förskrivning eller en expediering

Andra uppgifter som krävs i samband med en förskrivning eller en expediering kan också behöva lämnas av öppenvårdsapoteken. I lagen om den nationella läkemedelslistan avses med sådana uppgifter t.ex. administrativa uppgifter som uppgift om upprepade uttag. När det gäller e-recept från EES gör utredningen bedömningen att det är lämpligt att bestämmelsen kan omfatta sådana uppgifter som behövs för utfärdande och expediering av e-recept från EES som inte kan räknas upp under övriga punkter, t.ex. administrativa uppgifter.

Uppgift om fullmakt eller ombud

Det kan även finnas ett behov av att öppenvårdsapoteken lämnar uppgift om fullmakt eller ombud för E-hälsomyndighetens roll som nationell kontaktpunkt för e-hälsa, eftersom det kan vara en uppgift som behöver förmedlas till den utländska kontaktpunkten för e-hälsa. Denna funktion används ännu inte i tjänsten e-recept över landsgränser, utan detta blir aktuellt först om det finns förutsättningar på plats i tjänsten för någon annan att hämta ut läkemedel åt konsumenten. För att ombud eller vårdnadshavare ska kunna hämta ut läkemedel åt annan krävs ytterligare överväganden som utredningen tagit upp i avsnitten 7.7.2 och 7.7.3. Med ombud avses inom nätverket för e-hälsa en person som har en rättslig förutsättning att hämta ut läkemedel åt någon annan, t.ex. en vårdnadshavare eller någon som har en fullmakt.

Om det är aktuellt bör en uppgift lämnas om att ett annat läkemedel än det förskrivna har lämnats ut

Nätverket för e-hälsa ställer krav på att en särskild uppgift om ett annat läkemedel än det förskrivna har lämnats ut ska vidareförmedlas till land A vid expediering. Av den anledningen bör en sådan uppgift omfattas av uppgiftsskyldigheten, när det är aktuellt, alltså när ett motsvarande läkemedel som det förskrivna har lämnats ut.

Normgivningsnivå för att ange de uppgifter skyldigheten avser

Enligt utredningen finns ett behov av en uppgiftsskyldighet som bör omfatta de uppgifter som anges ovan. Utredningen har övervägt en lämplig reglering. Motsvarande uppgiftsskyldighet regleras för förskrivning till människa i 2 kap. 6 § 5 och förskrivning för djur i 2 kap. 6 § 15 lagen om handel med läkemedel. Vilka uppgifter som tillståndshavaren ska lämna anges för läkemedel till människa genom en hänvisning till 3 kap. 8 § lagen om nationell läkemedelslista och för förskrivningar för djur har regeringen utfärdat föreskrifter i 10 b § förordningen om handel med läkemedel.19

19 Bestämmelsen i 2 kap. 6 § 15 i lagen om handel med läkemedel träder i kraft den 1 januari 2022.

Förslaget till en ny bestämmelse i 2 kap. 6 § 17 lagen om handel med läkemedel att lämna uppgifter till E-hälsomyndigheten är ett krav på tillståndshavaren för tillståndet att bedriva öppenvårdsapotek. Det bör vara tydligt vad denna skyldighet innebär. Motsvarande skyldighet är föremål för Läkemedelsverkets tillsyn i dag. Myndigheten bör ha liknande förutsättningar även för tillsyn över expediering av e-recept från EES. Uppgiftsskyldigheten avser dessutom ett flertal känsliga personuppgifter.

Även om uppgifterna som används inom nätverket för e-hälsa utgår från genomförandedirektivet 2012/52/EU har de utvecklats och kan fortsatt utvecklas inom nätverket. Uppgifterna framgår inte uttryckligen i svensk författning i dag.20 De motsvarar dock i stort vad som anges vid expediering av e-recept utfärdade i Sverige. Samtidigt finns det vissa skillnader, t.ex. vilka uppgifter som identifierar konsumenten, t.ex. personlig identifierare.

Enligt utredningen är det svårt att i lag detaljerat ange de uppgifter som ska omfattas av uppgiftsskyldigheten, främst eftersom det finns ett behov att följa arbetet i nätverket för e-hälsa. Det kan således finnas fördelar med en reglering på lägre nivå än lag, såsom myndighetsföreskrift eller förordning. Myndighetsföreskrift innebär dock att kravet på tillståndshavaren inte är tydligt förrän en sådan föreskrift finns på plats. Det skulle också skilja sig åt från befintlig reglering i 2 kap. 6 § lagen om handel med läkemedel.

Utredningen har också övervägt om uppgifterna kan anges på en mer generell nivå t.ex. ”uppgift om identifiering av konsument”, för att undvika behovet av uppdateringar. Enligt utredningen riskerar en generell reglering att bli för otydlig vad uppgiftsskyldigheten för tillståndshavaren kommer att omfatta. Det talar också mot att föreslå en bestämmelse som anger att de uppgifter som behövs för ett visst ändamål ska lämnas ut.

Utredningen gör bedömningen att de uppgifter tillståndshavaren ska lämna till E-hälsomyndigheten bör anges i författning men inte regleras i lag, utan på en lägre normgivningsnivå. Om t.ex. kraven från nätverket för e-hälsa ändras kan en förordning uppdateras enklare än en lag. Socialdepartementet deltar i nätverket för e-hälsas samarbete och kan ha insyn i eventuella förändringar.

20 Vilka uppgifter som bör anges på ett recept från EES framgår i bilaga 12 till receptföreskrifterna och följer av genomförandedirektivet 2012/52/EG.

Utredningen föreslår att regeringen bör få ett bemyndigande att meddela föreskrifter om vilka uppgifter som ska lämnas, vilket lämpligen placeras i 2 kap. 11 b § lagen om handel med läkemedel. Mer detaljerade föreskrifter bör meddelas i förordningen om handel med läkemedel.

Utredningen föreslår en ny bestämmelse i 10 c § förordningen om handel med läkemedel som anger vilka uppgifter som ska lämnas till E-hälsomyndigheten vid expediering av e-recept från EES. E-hälsomyndigheten får anvisa öppenvårdsapoteken hur uppgifterna bör lämnas. Som utredningen beskrivit ovan kan e-recept sakna vissa uppgifter, vilket även påverkar vilka uppgifter som kan lämnas.

12.2.5. Hur öppenvårdsapoteken hämtar och lämnar uppgifter vid expediering av e-recept från EES

Utredningens förslag: Utöver det elektroniska system som gör

det möjligt att få direktåtkomst till uppgifter hos E-hälsomyndigheten, ska den som har tillstånd att bedriva detaljhandel med läkemedel till konsument, vid expediering av e-recept från EES på elektronisk väg ta emot och lämna de uppgifter som krävs för en sådan expediering till E-hälsomyndigheten.

Regeringen eller den myndighet som regeringen bestämmer får meddela ytterligare föreskrifter om de krav som får ställas på tillståndshavaren hur denne på elektronisk väg ska kunna ta emot och lämna de uppgifter som krävs för en sådan expediering. E-hälsomyndigheten bör få meddela sådana föreskrifter.

Läkemedelsverket lyfte i sitt remissvar till E-hälsomyndighetens rapport Reglering av personuppgiftshantering att kraven på anslutning till system hos E-hälsomyndigheten för öppenvårdsapotek i 2 kap. 6 § 6 lagen om handel med läkemedel bör analyseras med anledning av informationsutbytet för e-recept över landsgränser. Utredningen gör följande bedömning avseende detta.

Tillståndshavaren för ett öppenvårdsapotek ska enligt 2 kap. 6 § 6 lag om handel med läkemedel ha ett elektroniskt system som gör det möjligt att få direktåtkomst till uppgifter hos E-hälsomyndigheten. Med direktåtkomst avses förenklat att någon själv kan söka i och hämta hem uppgifter från ett register eller liknande utan att själv

kunna påverka innehållet.21 Kravet infördes vid omregleringen av apoteksmarknaden bl.a. utifrån att samtliga öppenvårdsapotek behövde ha tillgång till den it-infrastruktur som Apoteket AB hade byggt upp. Den infrastrukturen, registren och databaserna fördes över till ett särskilt bolag, Apotekens Service Aktiebolag22 och senare E-hälsomyndigheten.23 Öppenvårdsapoteken ansågs behöva direktåtkomst till uppgifter från receptregistret och för att föra över vissa uppgifter om expedieringar momentant till receptregistret med hänsyn till patientsäkerheten, samt behöva ett it-system för att hantera en sådan åtkomst.24 Expedierande personal har direktåtkomst till uppgifter i den nationella läkemedelslistan vid expediering enligt 5 kap. 1 § lagen om nationell läkemedelslista.

När det gäller e-recept från EES kommer öppenvårdsapoteken att få och lämna uppgifter genom den nationella kontaktpunkten för e-hälsa med den fråga-svarstjänst som beskrivs i avsnitt 5.4.1. Öppenvårdsapoteken har inte direktåtkomst till uppgifterna, se avsnitt 8.2.7 där det framgår att fråga-svarstjänsten inte anses innebära direktåtkomst. E-hälsomyndigheten tar fram ett webbgränssnitt som öppenvårdsapotek ska använda för att hämta och lämna uppgifter vid en expediering av e-recept från EES. Genom webbgränssnittet kan farmaceuterna också få information och stöd vid expedieringen. Funktionen för att hantera dessa uppgifter kan komma att integreras i öppenvårdsapotekens egna expeditionssystem.

Öppenvårdsapoteken behöver alltså inte direktåtkomst till uppgifter från E-hälsomyndigheten om ett e-recept från EES. De behöver dock använda det befintliga elektroniska systemet för direktåtkomst vid expediering av sådana e-recept. Kravet på tillgång till sådana system i 2 kap. 6 § 6 lagen om handel med läkemedel gäller därför även vid expediering av e-recept från EES. Utöver detta behöver alltså öppenvårdsapoteken också hantera uppgifter på annat sätt vid expediering av e-recept från EES.

Utredningen föreslår därför en ny bestämmelse i 2 kap. 6 § 18 lagen om handel med läkemedel som innebär att tillståndshavaren, utöver kravet på det elektroniska systemet för direktåtkomst i 2 kap. 6 § 6 samma lag, ska kunna ta emot uppgifter från och lämna uppgifter till E-hälsomyndigheten på elektronisk väg vid expediering av

21Prop. 2008/09:145 s. 421. 22Prop. 2008/09:145 s. 120. 23Prop. 2012/13:128. 24Prop. 2008/09:145 s. 120 f.

e-recept från EES. Initialt avses dessa uppgifter överföras genom E-hälsomyndighetens webbgränssnitt. Förslaget är dock avsett att vara teknikneutralt för att ta höjd för en eventuell utveckling.

Enligt utredningen kan det behövas vissa krav för hur öppenvårdsapoteken bör få tillgång till webbgränssnittet. Det är inte möjligt att i lag precisera sådana krav, utan det bör vid behov regleras på en lägre normgivningsnivå. Regeringen eller den myndighet regeringen bestämmer bör få meddela föreskrifter om detta. Ett bemyndigande placeras lämpligen i 2 kap. 11 § 9 lagen om handel med läkemedel. Utredningen föreslår vidare att E-hälsomyndigheten bemyndigas i 14 § a förordningen om handel med läkemedel att meddela sådana föreskrifter avseende de närmare krav som ska ställas på tillståndshavaren. I 8 kap. regeringsformen (RF) finns bestämmelser om lagar och andra föreskrifter. Vilka föreskrifter som meddelas genom lag följer av 8 kap. 2 § RF. Av 8 kap. 3 § RF framgår att riksdagen kan bemyndiga regeringen att meddela föreskrifter enligt 2 § första stycket 1 och 2. Vidare följer av 8 kap. 10 § RF att riksdagen, efter ett bemyndigande till regeringen att meddela föreskrifter i visst ämne, kan medge att regeringen bemyndigar en förvaltningsmyndighet att meddela föreskrifter i ämnet. Bemyndigandet avser att E-hälsomyndigheten kan ange vissa ytterligare krav på tillståndshavaren. Förslagen berör öppenvårdsapoteken som i myndighetsföreskrifter kan åläggas krav avseende förutsättningarna att få tillgång till uppgifter om e-recept från EES. Utredningen gör bedömningen att detta bemyndigande omfattas av det delegeringsbara området och att delegation bör framgå av lag.

Webbgränssnittet är inte helt färdigt ännu, vilket gör det svårt att närmare ange vad sådana föreskrifter skulle kunna omfatta. Det finns dock ändå en fördel, enligt utredningen, att E-hälsomyndigheten får möjligheten att meddela föreskrifter om det skulle behövas, t.ex. krav på att få tillgång till webbgränssnittet eller viss utbildning. E-hälsomyndigheten avser att ta fram underlag för utbildning om expediering av e-recept från EES för öppenvårdsapoteken. Om det behöver anges som ett krav i en föreskrift är dock för tidigt att säga.

12.2.6. Informationsplikt till konsument

Utredningens förslag: Skyldigheten för den som har tillstånd att

bedriva detaljhandel med läkemedel till konsument att informera en konsument om på vilket eller vilka öppenvårdsapotek läkemedlet finns tillgängligt, i de fall tillståndshavaren inte direkt kan tillhandahålla ett läkemedel, bör gälla vid expediering av e-recept från EES.

Kopplat till tillhandahållandeskyldigheten för tillståndshavaren som beskrivits i avsnitt 12.2.3 är kravet i 2 kap. 6 § 13 lagen om handel med läkemedel. Det innebär att tillståndshavaren ska informera konsumenten om att läkemedlet finns på ett annat öppenvårdsapotek, om tillståndshavaren inte kan tillhandahålla ett läkemedel eller en vara som omfattas av tillhandahållandeskyldigheten i punkten 3 samma bestämmelse.

Utredningen föreslår en ny bestämmelse om tillhandahållandeskyldighet vid expediering av e-recept från EES i 2 kap. 6 § 16 lagen om handel med läkemedel i stället för punkten 3. Om läkemedlet inte kan tillhandahållas föreslår utredningen att tillståndshavaren ska hänvisa konsumenten vidare till ett öppenvårdsapotek där läkemedlet finns, vid expediering av ett läkemedel som förskrivits på ett e-recept från EES. Utredningen föreslår därför att bestämmelsen i 2 kap. 6 § 13 kompletteras med en hänvisning till den nya bestämmelsen.

Tillämpningen kan skilja sig åt något, eftersom ett e-recept från EES inte avser andra varor än godkända humanläkemedel. Utredningen gör bedömningen att lagen om läkemedelsförmåner m.m. inte är tillämplig för dessa e-recept. Det får betydelse för vilket läkemedel som ska tillhandahållas, se avsnitt 6.3.1 och 12.2.3. Läkemedel förskrivs med läkemedelsnamn och en viss förpackningsstorlek i Sverige. Det förskrivna läkemedlet lämnas ut eller så byts det ut enligt lag om läkemedelsförmåner m.m. Inom EES kan ett läkemedel förskrivas med det generiska namnet eller läkemedelsnamnet. Hur mängd anges på recept från EES kan skilja sig åt mellan länderna. Samma läkemedel kan också ha olika läkemedelsnamn i olika länder.

Vid en expediering av ett e-recept från EES kan farmaceuten behöva identifiera vilken läkemedelsförpackning som motsvarar det förskrivna läkemedlet. Det kan dock finnas flera medicinskt likvär-

diga alternativ eller olika förpackningsstorlekar som motsvarar det förskrivna läkemedlet. Om konsumenten blir hänvisad vidare till ett annat öppenvårdsapotek, kan det inte helt uteslutas att farmaceuten där kan göra en något annan bedömning. Det bör dock uppvägas av att det ändå är en fördel för konsumenten att kunna bli hänvisad vidare om läkemedlet inte finns på det första öppenvårdsapoteket.

12.2.7. Vissa bestämmelser som inte gäller för tillståndshavaren vid expediering av e-recept från EES

Utredningens förslag: Bestämmelserna i 2 kap. 6 § 3 och 5 lagen

om handel med läkemedel gäller inte vid expediering av e-recept från EES för den som har tillstånd att bedriva detaljhandel med läkemedel till konsument.

I dag gäller bestämmelserna i 2 kap. 6 § 3 och 5 lagen om handel med läkemedel för öppenvårdsapotekens tillhandahållande- och uppgiftsskyldighet. Bestämmelsen i 2 kap. 6 § 15 gäller för läkemedel för djur från och med den 1 januari 2022. Utredningen har föreslagit nya bestämmelser för e-recept från EES i 2 kap. 6 § 16 och 17 som i stort avser att fylla liknande syfte som befintliga bestämmelser, men är anpassade efter förutsättningarna för sådana e-recept. För tillståndshavaren gäller alltså vid expediering av e-recept från EES dessa nya bestämmelser i stället för 2 kap. 6 § 3 och 5 lagen om handel med läkemedel. Utredningen föreslår att detta framgår av en ny bestämmelse i 2 kap. 6 d § samma lag.

Eftersom kraven på tjänsten e-recept över landsgränser för närvarande synes förutsätta ett fysiskt besök av konsumenten på öppenvårdsapoteket bl.a. för att kunna identifiera sig med den fotolegitimation som land A angivit, bör bestämmelserna i lagen om handel med läkemedel för e-recept från EES inte blir aktuella när konsumenten inte kan identifiera sig på detta sätt, t.ex. vid e-handel. Om nätverket för e-hälsa kommer överens om nya användningsfall eller förutsättningar kan denna situation komma att ändras. Utredningen har inte beaktat sådana eventuella förutsättningar.

12.2.8. Uppgiftsskyldighet för E-hälsomyndigheten

Utredningens förslag: E-hälsomyndigheten ska informera Läke-

medelsverket om den som har tillstånd att bedriva detaljhandel med läkemedel till konsument vid expediering av e-recept från EES inte lämnar uppgifter om detta till E-hälsomyndigheten.

E-hälsomyndigheten har en skyldighet att lämna ut uppgifter för Läkemedelsverkets tillsyn enligt lagen om handel med läkemedel. Av 2 kap. 10 b § lagen om handel med läkemedel framgår att E-hälsomyndigheten ska informera Läkemedelsverket om en tillståndshavare inte lämnar de uppgifter till myndigheten som föreskrivs i 2 kap 6 § 5, 7 och 15 samma lag. I 2 kap 6 § 5 anges att öppenvårdsapoteken ska lämna de uppgifter som anges i 3 kap. 8 § lagen om nationell läkemedelslista. Utredningen föreslår att en ny punkt, 2 kap. 6 § 17, med liknande syfte ska gälla i stället för 2 kap. 6 § 5 att öppenvårdsapoteken ska lämna uppgifter till E-hälsomyndigheten vid expediering av ett e-recept från EES. Kravet i 2 kap. 6 § 7 avser uppgifter som krävs för att E-hälsomyndigheten ska kunna föra statistik över detaljhandeln.

Bestämmelsen i 2 kap. 10 b § i lagen om handel med läkemedel har ansetts viktig för tillsynsändamål i frågan huruvida öppenvårdsapoteken uppfyller de krav som ställs för att ha ett tillstånd att bedriva öppenvårdsapotek.25 Läkemedelsverket bör ha motsvarande möjligheter att utöva tillsyn över att öppenvårdsapoteken uppfyller kravet på att rapportera uppgifter om expedieringar av e-recept från EES. De uppgifter som avses lämnas ut till Läkemedelsverket kommer att kunna röra uppgifter om tillståndshavarens affärs- eller driftsförhållanden och skulle kunna omfattas av sekretess.26 Bestämmelsen i 2 kap. 10 b § bör anses ha en sekretessbrytande verkan.27 En bestämmelse om uppgiftsskyldighet bör även av denna anledning införas i lagen.

En hänvisning till den nya bestämmelsen som föreslås i 2 kap. 6 § 17 om att en tillståndshavare vid expediering av ett e-recept från EES ska lämna uppgifter till E-hälsomyndigheten bör därför läggas till i 2 kap. 10 b § lagen om handel med läkemedel. Förslaget innebär att informationsplikten enligt denna paragraf omfattar utebliven rapportering vid uppgifter om expedieringar av e-recept från EES.

25Prop. 2020/21:220 s. 33. 26Prop. 2012/13:128 s. 61. 27Prop. 2020/21:220 s. 33.

Införandet av en författningsreglerad skyldighet innebär bl.a. att Läkemedelsverket, utan hinder av sekretessbestämmelser kan få tillgång till relevanta uppgifter om en tillståndshavare inte lämnat uppgifter enligt 10 b §. Behovet av en uppgiftsskyldighet har bedömts i propositionen 2012/13:128.

12.2.9. E-hälsomyndighetens avgifter

Utredningens förslag: E-hälsomyndighetens avgift för utfärdande

av intyg som visar att den som ansöker om tillstånd att bedriva detaljhandel med läkemedel till konsument har förutsättningar för det, bör även avse kravet på tillståndshavaren att lämna uppgifter till E-hälsomyndigheten vid expediering av e-recept från EES.

Enligt 8 kap. 2 a § lagen om handel med läkemedel får E-hälsomyndigheten ta ut avgifter för utfärdande av intyg som visar att den som ansöker om öppenvårdsapotekstillstånd har förutsättningar att uppfylla de krav för tillståndet som föreskrivs i 2 kap. 6 § 5–7. Bestämmelserna avser krav på uppgiftslämnande, på elektroniska system för direktåtkomst och på att lämna uppgifter om statistik. Utredningen föreslår att bestämmelsen även bör avse kravet på tillståndshavaren att lämna uppgifter till E-hälsomyndigheten vid expediering av e-recept från EES som utredningen föreslår som en ny bestämmelse i 2 kap. 6 § 17 lagen om handel med läkemedel. Regeringen kan meddela ytterligare föreskrifter om avgifterna.

12.2.10. Offentlighet och sekretess

Utredningens bedömning: Förslaget att tillståndshavaren ska

lämna uppgifter till E-hälsomyndigheten innebär att sådana uppgifter kan lämnas utan att det kan anses utgöra ett obehörigt röjande. Förslaget att E-hälsomyndigheten ska meddela Läkemedelsverket om en tillståndshavare inte lämnat uppgifter vid en expediering kan anses som en sekretessbrytande bestämmelse.

Utredningen ska enligt uppdraget särskilt beakta ändrade krav på öppenvårdsapoteken utifrån ett offentlighets- och sekretessperspektiv. Personal på öppenvårdsapoteket omfattas av tystnadsplikt i enlighet med patientsäkerhetslagen. Av 6 kap. 12 § följer att den som tillhör eller har tillhört hälso- och sjukvårdspersonalen inom den enskilda hälso- och sjukvården inte obehörigen får röja vad han eller hon i sin verksamhet har fått veta om en enskilds hälsotillstånd eller andra personliga förhållanden. Som obehörigt röjande anses inte att någon fullgör sådan uppgiftsskyldighet som följer av lag eller förordning. Utredningens förslag till en ny bestämmelse för tillståndshavarens uppgiftsskyldighet vid expediering av ett e-recept från EES kan anses vara en sådan uppgiftsskyldighet som följer av lag eller förordning som innebär att uppgiftslämnandet inte är obehörigt.

De uppgifter som lämnas av öppenvårdsapoteken till E-hälsomyndigheten kan omfattas av sekretess hos myndigheten för uppgift om en enskilds affärs- och driftsförhållanden, om det kan antas att viss skada uppkommer om uppgiften röjs enligt 25 kap. 17 b offentlighets- och sekretesslagen (2009:400) (OSL). Utredningens förslag till ändring i 2 kap. 10 b § lagen om handel med läkemedel har en sekretessbrytande verkan som gör det möjligt för E-hälsomyndigheten att lämna ut uppgift till Läkemedelsverket (jfr 10 kap. 28 § OSL).

Utredningen föreslår inga andra åtgärder för öppenvårdsapoteken som föranleder konsekvenser ur ett sekretessperspektiv.

12.3. Överväganden och förslag till ändringar i Läkemedelsverkets föreskrifter avseende e-recept från EES

12.3.1. Expediering i Sverige av e-recept från EES

Utredningens förslag: Det bör framgå av receptföreskrifterna

att e-recept från EES för godkända humanläkemedel ska expedieras på öppenvårdsapotek i enlighet med de krav som antagits av nätverket för e-hälsa, t.ex. vad gäller identifiering av patienten, de kontroller öppenvårdsapoteken behöver göra och övriga nödvändiga förutsättningar.

Det bör även framgå att särskilda läkemedel, teknisk sprit, veterinärmedicinska läkemedel samt icke godkända läkemedel, såsom licens- och extemporeläkemedel, inte får expedieras på öppenvårdsapotek mot ett e-recept från EES.

Vidare bör det framgå att läkemedel som enligt e-recept från EES ska dosdispenseras och e-recept från EES som omfattas av Läkemedelsverkets föreskrifter (HSLF-FS 2017:74) om begränsningar av förordnande och utlämnande av vissa läkemedel inte får expedieras på ett öppenvårdsapotek.

Enligt utredningen bör förutsättningarna för expediering av ett e-recept från EES på öppenvårdsapotek i Sverige framgå av receptföreskrifterna. Förutsättningarna bör vara i enlighet med de krav som antagits av nätverket för e-hälsa baserat på patientrörlighetsdirektivet och genomförandedirektivet 2012/52/EU. Nätverkets krav avser t.ex. vilka uppgifter som ska anges vid expediering av ett e-recept från EES, vilka läkemedel som omfattas av tjänsten e-recept över landsgränser, och kraven på informationsutbytet via de nationella kontaktpunkterna för e-hälsa. Vidare finns det krav på hur patienten ska kunna identifieras i land B med fotolegitimation och den personliga identifierare som land A ställer krav på.

I samarbetet inom nätverket för e-hälsa har förutsättningarna för tjänsten e-recept över landsgränser tagits fram och det finns krav för deltagande i tjänsten, se