69 Prop. 2015/16:143
7.6 Ändamål med personuppgiftsbehandlingen
Regeringens förslag: Personuppgifter ska få behandlas om det är nödvändigt för att
1. Läkemedelsverket ska kunna fatta beslut i ärenden om ansökan om licens och bevara uppgifter i sådana beslut,
2. Läkemedelsverket ska kunna lämna ut uppgifter till E-hälso-myndigheten,
3. E-hälsomyndigheten ska kunna ta emot och bevara uppgifter i ärenden om ansökan om licens,
4. E-hälsomyndigheten ska kunna sammanföra handlingar i ärenden om ansökan om licens, och
5. E-hälsomyndigheten ska kunna lämna ut uppgifter till Läke-medelsverket, öppenvårdsapoteken och dem som är behöriga att för-ordna läkemedel.
Personuppgifter ska få behandlas för andra ändamål än dem för vilka de samlats in, under förutsättning att de nya ändamålen inte är oförenliga med de ändamål för vilka uppgifterna samlades in.
Utredningens förslag: Överensstämmer i huvudsak med regeringens förslag.
Remissinstanserna: Förvaltningsrätten i Uppsala ifrågasätter vad som avses med spara uppgifter och om inte det ingår i att handlägga licensärenden.
Skälen för regeringens förslag Ändamål med personuppgiftsbehandlingen
I 9 § första stycket c PUL anges att den personuppgiftsansvarige ska se till att personuppgifter bara samlas in för särskilda, uttryckligt angivna och berättigade ändamål. Det finns inget hinder mot att ange flera ända-mål vid insamlingen. Att bestämma för vilka ändaända-mål behandlingen av personuppgifter får ske är av central betydelse för skyddet för den personliga integriteten. Genom en uttrycklig reglering i den föreslagna nya lagen av för vilka ändamål personuppgifter får behandlas hos Läke-medelsverket och E-hälsomyndigheten, åstadkoms en tydlighet i regleringen (jfr prop. 2008/09:145 s. 343).
Det ligger i sakens natur att ändamålsbestämmelsen måste formuleras ganska generellt när det som i detta fall gäller en särskild lag som reglerar både Läkemedelsverkets och E-hälsomyndighetens behandling av personuppgifter i en komplex verksamhet med ett antal olika berörda parter. Men ändamålet måste samtidigt kunna uppfylla PUL:s krav på att vara särskilt för att på så sätt ge tillämparen ledning för bedömningen av vilka personuppgifter som är adekvata och relevanta i förhållande till ändamålen med behandlingen. Ändamålen ska utgöra precisering i för-hållande till bestämmelsen i 9 § första stycket c PUL och inte vara för allmänt hållna.
Det övergripande ändamålet med personuppgiftsbehandlingen enligt den föreslagna lagen är E-hälsomyndighetens och Läkemedelsverkets
Prop. 2015/16:143
70
hantering av ansökningar om licens. För att de olika deländamål som ingår i denna hantering ska vara tydliga föreslås att det i lagen tas in en bestämmelse som uttryckligen pekar ut dessa ändamål.
Läkemedelsverkets tillåtna personuppgiftsbehandling enligt lagen Till att börja med föreslås att Läkemedelsverket får behandla person-uppgifter om det är nödvändigt för att myndigheten ska kunna fatta beslut i ärenden om ansökan om licens samt bevara uppgifter i sådana beslut. Den hantering som åsyftas är den myndighetsutövning som följer av Läkemedelsverkets möjlighet att meddela tillstånd (licens) för för-säljning av ett läkemedel enligt 4 kap. 10 § andra stycket läkemedels-lagen (2015:315). I Läkemedelsverkets föreskrifter (LVFS 2008:1) om tillstånd till försäljning av icke godkänt läkemedel (licensföreskrifter), ändrade och omtryckta genom LVFS 2012:21, finns regler som preciserar det aktuella förfarandet. De uppgifter som Läkemedelsverket har behov av att behandla kommer att komma in till myndigheten då denna tar emot apotekens ansökningar, motiveringar samt i före-kommande fall bilagor från den som är behörig att förordna läkemedel.
Läkemedelsverket ska också vid behov kunna tillföra, redigera och komplettera uppgifter från såväl apoteken som dem som är behöriga att förordna läkemedel, dvs. i övrigt handlägga ärendet. Slutligen kommer Läkemedelsverket att kunna behandla personuppgifter i samband med beslutsfattandet och kunna spara beslutet. I avsnitt 7.11 föreslås att de aktuella uppgifterna ska gallras senast 36 månader efter tidpunkten för Läkemedelsverkets beslut.
I sitt förslag till ändamålsbestämmelse för Läkemedelsverkets person-uppgiftshantering har utredningen föreslagit att Läkemedelsverket ska få behandla personuppgifter för att kunna handlägga och fatta beslut i ärenden om licens samt spara uppgifter i sådana beslut. Regeringen bedömer att begreppet handlägga är överflödigt i bestämmelsen. Det föreslås därför att den aktuella punkten ska omformuleras och förtydligas på så sätt att personuppgifterna får behandlas om det är nödvändigt för att Läkemedelsverket ska kunna fatta beslut i ärenden om ansökan om licens samt bevara uppgifter i sådana beslut.
Som framgår av inledningen till avsnitt 7 måste Läkemedelsverket kunna lämna ut begäran om kompletteringar samt uppgifter om myndig-hetens beslut i licensärenden till E-hälsomyndigheten. I avsnitt 7.9 före-slås att detta utlämnande ska regleras genom att en uppgiftsskyldighet för Läkemedelsverket införs. Ändamålet med detta utlämnande, dvs. att E-hälsomyndigheten ska få de uppgifter som apoteken behöver ta del av för att komplettera ansökan samt kunna expediera licensläkemedel, är ett annat än ovan angivet ändamål som rör Läkemedelsverkets ärendehand-läggning. Det föreslås därför en särskild bestämmelse om att person-uppgifter får behandlas om det är nödvändigt för att Läkemedelsverket i enlighet med den uppgiftsskyldighet som föreslås i avsnitt 7.9 ska kunna lämna ut uppgifter i ärenden om ansökan om licens till E-hälsomyndig-heten.
71 Prop. 2015/16:143 E-hälsomyndighetens tillåtna personuppgiftsbehandling enligt lagen
E-hälsomyndigheten fungerar som ett nav mellan öppenvårdsapoteken och Läkemedelsverket i ärenden om ansökan om licens. Utredningen har föreslagit att E-hälsomyndigheten bl.a. ska kunna få behandla person-uppgifter om det är nödvändigt för att myndigheten ska kunna ta emot och spara uppgifter i ansökan om licens, samt för att myndigheten ska kunna sammanföra handlingar i ansökan om licens. Regeringen anser dock att detta ändamål är för snävt beskrivet då myndigheten inte bara hanterar personuppgifter som finns i apotekens ansökan. E-hälsomyndig-heten tar emot motivering från den som är behörig att förordna läke-medel, sammanfogar denna med ansökan och översänder handlingarna till Läkemedelsverket. Myndigheten förmedlar också begäran om komplettering och kompletteringar mellan Läkemedelsverket och apoteken. För att täcka in dessa åtgärder anser regeringen att E-hälso-myndigheten ska kunna ta emot och bevara uppgifter i ärenden om ansökan om licens samt kunna sammanföra handlingar i ärenden om ansökan om licens.
Som framgår av avsnitt 7.9 föreslås att E-hälsomyndigheten får en skyldighet att lämna ut uppgifter till ett antal aktörer. Till att börja med föreslås att myndigheten ska lämna ut uppgifter i ärenden om ansökan om licens till Läkemedelsverket. Därutöver föreslås att myndigheten ska lämna ut uppgifter i ärenden om ansökan om licens till expedierande personal på öppenvårdsapotek som i sin verksamhet har behov av sådana uppgifter. Avslutningsvis föreslås att myndigheten ska lämna ut uppgifter i ärenden om ansökan om licens till dem som är behöriga att förordna läkemedel och som i sin verksamhet har behov av sådana uppgifter.
Även dessa ändamål med E-hälsomyndighetens personuppgiftsbehand-ling bör framgå av lagens ändamålsbestämmelse.
De i lagen angivna ändamålen kompletteras genom en hänvisning i 9 § till finalitetsprincipen i 9 § första stycket d och andra stycket PUL.
Genom denna hänvisning möjliggörs behandling av personuppgifter i licensärenden även för andra ändamål än de som anges i 8 § den nya lagen. Finalitetsprincipen innebär att personuppgifter endast får samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte behandlas för något ändamål som är oförenligt med det ändamål för vilket de samlades in. En behandling för historiska, statistiska eller vetenskapliga ändamål ska dock inte anses som oförenlig med de ända-mål för vilka uppgifterna samlades in. Bestämmelserna i 9 § PUL inne-bär att vidarelämning av uppgifter måste föregås av en prövning av om mottagarens ändamål är förenligt med de ursprungliga ändamålen eller inte.
Det övergripande syftet med insamlandet av personuppgifter i licens-ärenden är att patienter och djur ska få tillgång till behövliga läkemedel.
Som anges i avsnitt 7.9 föreslår regeringen att patienter ska kunna få ha direktåtkomst till personuppgifter om sig själva i ärenden om ansökan om licens hos E-hälsomyndigheten. Ett sådant utlämnande torde enligt regeringens bedömning inte anses oförenligt med de ändamål för vilka uppgifterna samlades in. Att i lagen ange ett särskilt ändamål för att tillåta sådan personuppgiftsbehandling behövs därför inte.
Prop. 2015/16:143
72
Personuppgifter som får behandlas
Från integritetssynpunkt är det väsentligt att inte andra personuppgifter behandlas än vad som är befogat utifrån verksamhetens behov och krav. I vissa registerlagar, t.ex. lagen (1996:1156) om receptregister, anges även vilka uppgifter som får finnas i registret. I andra registerlagar, t.ex.
patientdatalagen (2008:355) och apoteksdatalagen (2009:367), finns inte några bestämmelser som specificerar vilka personuppgifter som får behandlas. Regeringen uttalade i förarbetena till patientdatalagen att det i stället är ändamålsbestämningen som ska styra över vilka personupp-gifter som får behandlas (prop. 2007/08:126 s. 63).
Som anförts i inledningen till avsnitt 7 behandlas ett antal olika person-uppgifter i både E-hälsomyndighetens kommunikationslösning KLAS och hos Läkemedelsverket. Som framgår av avsnittet handlar det om personuppgifter som är hänförliga till patienter, dem som är behöriga att förordna läkemedel och farmaceuter. Regeringen bedömer att det inte är ändamålsenligt att i lagen ange alla personuppgifter som får behandlas.
Styrande över vilka personuppgifter som får behandlas bör i stället vara de ovan föreslagna ändamålen med personuppgiftsbehandlingen.