Läkemedelsverkets rätt att hantera uppgifter om kontrollgruppindivider enligt

Av läkemedelslagen framgår att Läkemedelsverket ska ansvara för ett system av säkerhetsövervakning som bland annat har till syfte att vetenskapligt utvärdera uppgifter om biverkningar.¹⁴⁸

143 Se, 4 kap 4 § läkemedelsförordningen.

144 Se, 10 § personuppgiftslagen.

145 SOU 1999:109 s 156.

146 SOU 2001:32 s 95 och SOU 2001:100 s 90.

147 Se, 4 kap 4 § läkemedelsförordningen.

49

Som behandlats ovan i avsnitt 4.2 medför stadgandet i läkemedelslagen, enligt propositionen och direktivet som lagen bygger på, enbart en rätt att hantera person-uppgifter om enskilda som upplevt läkemedelsbiverkningar.¹⁴⁹

Kontrollgruppindivider kan enligt min mening inte räknas in under Läkemedelsverkets rätt att behandla uppgifter om biverkningar enligt stadgandet i läkemedelslagen. Dels för att Europadomstolen har angett att en avvikelse från rätten till respekt för enskildas privatliv ska anges tydligt i lag,¹⁵⁰ och dels för att det finns ett krav på att det ska framgå under vilka omständigheter och vilka kategorier av individer som riskerar att övervakas.¹⁵¹ Det framgår inte av läkemedelslagen annat än att Läkemedelsverket har rätt att samla in uppgifter för att utvärdera uppgifter om biverkningar. Det anges inte under vilka omständigheter och vilka kategorier av individer som Läkemedelsverket har rätt att hantera uppgifter om.¹⁵² Implicit kan det förstås att Läkemedelsverket har rätt att behandla uppgifter om individer som upplevt läkemedelsbiverkningar, men det framgår inte, varken implicit eller tydligt, att Läkemedelsverket ska ha rätt att behandla uppgifter om kontrollgruppindivider. Därmed kommer läkemedelsförordningens bestämmelser att analyseras för att se om det av dessa framgår att Läkemedelsverket har rätt att hantera uppgifter om kontrollgruppindivider.

6.2.3 Läkemedelsverkets rätt att hantera uppgifter om kontrollgruppindivider enligt läkemedelsförordningen?

Läkemedelsförordningen och de direktiv förordningen bygger på

Läkemedelsförordningen bygger på ett flertal direktiv från Europaparlamentet och rådet och saknar förarbeten.¹⁵³ I läkemedelsförordningen anges att Läkemedelsverket får utföra de behandlingar av personuppgifter som rör hälsa och som är nödvändiga för att

148 Se, 9 § läkemedelslagen.

149 Se, artikel 101 och 102 i läkemedelsdirektivet och prop. 2005/06:70 avsnitt 6.12.

150 Jmf, Case of Kruslin v. France, Judgment of 24 April 1990, para. 27, 35 och 36, Huvig v. France, Judgement of 24 April 1990, para. 26, 34 och 35.

151 Ehrenkrona, 2007, s. 38-49.

152 Det är möjligt att Europadomstolen inte skulle anse att det av läkemedelslagen och

läkemedelsförordning framgår att enskilda som upplevt läkemedelsbiverkningar ska anses omfattas av läkemedelsverkets rätt att behandla uppgifter om biverkningar, eftersom stadgandet i

läkemedelsförordningen och läkemedelslagen är otydligt och inte anger under vilka omständigheter och vilka kategorier av individer som övervakas. Jag lämnar denna fundering öppen för den intresserade att fundera vidare över.

153 [www] Regeringskansliets rättsdatabaser: register till läkemedelsförordningen.

50

fullgöra de skyldigheter som föreskrivs i läkemedelslagen eller i förordningen.¹⁵⁴ För att personuppgiftsbehandlingen enligt förordningen ska vara möjlig att genomföra får Läkemedelsverket föra hälsodataregister enligt hälsodataregisterlagen. Behandlingen av personuppgifter ska ske för att tillgodose behovet av uppgiftshantering för de ändamål som anges i läkemedelslagen samt för framställning av statistik och för forskning.¹⁵⁵

Att Läkemedelsverket får behandla personuppgifter för att tillgodose behovet av uppgiftshantering vid forskning skulle kunna tolkas så att Läkemedelsverket obehindrat får hantera känsliga personuppgifter som berör hela befolkningen vid forskning.

Därmed skulle bestämmelsen kunna användas som stöd för att Läkemedelsverket skulle ha rätt att även behandla uppgifter om kontrollgruppindivider för att kunna genomföra forskning om läkemedelsbiverkningar. Paragrafen ger dock enligt mig uttryck för den tidigare nämnda finalitetsprincipen., som är en av de mest grundläggande principerna i personuppgiftslagen och innebär att uppgifter som en gång har samlats in för ett visst syfte enbart får användas för att uppfylla detta syfte.¹⁵⁶ I läkemedelsförordningen finns ett bemyndigande för Läkemedelsverket att hantera känsliga personuppgifter på fyra sätt; att uppfylla ändamålen i läkemedelslagen, läkemedelsförordningen och för framställning av statistik och för forskning.¹⁵⁷ Paragrafen ger inte verket ett ytterligare bemyndigande att forska med känsliga personuppgifter på det sätt verket själv behagar, utan forskningen ska fortfarande hålla sig inom ramen för de uppgifter som verket har fått in med stöd av läkemedelsförordningen¹⁵⁸.

Kan stadgandet i läkemedelsförordningen om att Läkemedelsverket får utföra de behandlingar av personuppgifter som är nödvändiga för att fullgöra de skyldigheter som föreskrivs i läkemedelslagen¹⁵⁹ ge Läkemedelsverket rätt att samla in och föra ett register med information om kontrollgruppindividers hälsa? Själva stadgandet i läkemedelslagen om att Läkemedelsverket vetenskapligt ska utvärdera uppgifter om biverkningar innebär, som tidigare anförts, att verket enbart har till uppgift att samla in och utvärdera uppgifter om biverkningar. Det finns inget, varken i läkemedelslagen eller

154 Se, 4 kap 4 § läkemedelsförordningen.

155 Se, 4 kap 5 § läkemedelsförordningen.

156 Se, 9 § d personuppgiftslagen, Öman och Lindblom, 2011, s 203 och [www] Datainspektionen: ”Vad är straffbart enligt personuppgiftslagen – En vägledning från Datainspektionen för polis och åklagare”, s 28.

157 Se, 4 kap 5 § läkemedelsförordningen.

158 Se, 4 kap 4 § läkemedelsförordningen.

159 Se, 4 kap 4 § läkemedelsförordningen.

51

i propositionen till denna, som tyder på att Läkemedelsverket har rätt att frångå integritetsskyddet som uppställs i, bland annat, personuppgiftslagen för att kunna hantera personuppgifter om kontrollgruppindivider. Men om inte läkemedelslagen ger rätt att behandla uppgifterna, kan då begreppet nödvändigt i läkemedelsförordningen medföra ett vidare bemyndigande att hantera känsliga personuppgifter än stadgandet i läkemedelslagen medför?

Ska läkemedelsförordningen tolkas så att begreppet nödvändigt innebär att det är nödvändigt att hantera uppgifter om kontrollgruppindivider för att vetenskapligt kunna utvärdera uppgifter om biverkningar? Behandlingen av kontrollgruppindividernas uppgifter skulle kunna argumenteras vara nödvändig för att kunna fullfölja de skyldig-heter som föreskrivs i läkemedelslagen, det vill säga för att vetenskapligt kunna utvärdera biverkningar. Det skulle kunna argumenteras att det är omöjligt att med godtagbara vetenskapliga standard utvärdera uppgifter om biverkningar om inte de som utsatts för biverkningar jämförs med kontrollgruppindivider. Därmed skulle det med stöd av läkemedelsförordningen vara tillåtet att behandla kontrollgruppindividernas personuppgifter.

Tidigare reglering av Läkemedelsverkets biverkningsregister

Tidigare har förordningarna om biverkningsregister angående läkemedel stadgat att Läkemedelsverket får utföra automatiserad behandling av personuppgifter i ett särskilt register över läkemedelsbiverkningar.¹⁶⁰ Uppgifterna i registret har enbart fått användas för forskning och för framställning av statistik.¹⁶¹ Av förordningarna har det framgått att registret får innehålla uppgifter om personer som utsatts för läkemedelsbiverkningar och har endast fått innehålla uppgifter som tillförs registret eller lämnas av annan med uttryckligt samtycke till registrering från den som uppgiften avser.¹⁶² I förordningen har det stadgats att det i förordning (1993:1057) om viss uppgiftsskyldighet inom hälso- och

160 Se, 1 § förordning (1994:1521) om biverkningsregister angående läkemedel och 1 § förordning (1997:143) om biverkningsregister angående läkemedel.

161 Se, enligt 2 § förordning (1994:1521) om biverkningsregister angående läkemedel och 2 § förordning (1997:143) om biverkningsregister angående läkemedel.

162 Se, 4 § förordning (1994:1521) om biverkningsregister angående läkemedel och 4 § förordning (1997:143) om biverkningsregister angående läkemedel.

52

sjukvård finns bestämmelser som föreskriver en skyldighet för landsting och kommuner att lämna uppgifter till biverkningsregistret.¹⁶³

Enligt en ytterligare tidigare förordning om biverkningsregister fick Läkemedelsverket föra ett hälsodataregister, i form av ett biverkningsregister, enligt hälsodataregister-lagen.¹⁶⁴ Enligt förordningen fick personuppgifter i registret behandlas för framställning av statistik och för forskning.¹⁶⁵ Enbart personuppgifter som rör patienter som utsatts för läkemedelsbiverkning fick behandlas om uppgifterna lämnats av den registrerade eller av annan med uttryckligt samtycke till registrering från den som uppgiften avser.¹⁶⁶ Även denna förordning har således enbart tillåtit behandling av personuppgifter om individer som har utsatts för läkemedelsbiverkningar.

Den tidigare regleringen av Läkemedelsverkets biverkningsregister har enbart tillåtit insamling av uppgifter om biverkningar och framställning av statistik samt forskning om dessa biverkningar. Det har inte varit möjligt att med stöd av dessa förordningar genomföra forskning om biverkningar med stöd av kontrollgruppindivider.¹⁶⁷ Det är anmärkningsvärt att det av den tidigare regleringen om biverkningsregister tydligt har framgått vilka kategorier av individer har riskerat att övervakas under vilka omständigheter,¹⁶⁸ medan den nuvarande läkemedelsförordningen och läkemedelslagen är otydliga i sina formuleringar. Av den nuvarande läkemedelsförordningen framgår det inte lika tydligt vilka kategorier av individer Läkemedelsverket får behandla uppgifter om.

Något som talar för att det är tillåtet att behandla uppgifter om kontrollgruppindivider är, som tidigare anförts, att det kan argumenteras vara nödvändigt för att vetenskapligt kunna utvärdera uppgifter om biverkningar. Enligt den tidigare regleringen har det dock inte ansetts nödvändigt att hantera uppgifter om kontrollgruppindivider för att kunna genomföra forskning om biverkningar, vilket skulle tala emot att det är nödvändigt för

163 Se, 9 § förordning (1994:1521) om biverkningsregister angående läkemedel och 9 § förordning (1997:143) om biverkningsregister angående läkemedel.

164 Se, 1 § förordning (2001:710) om biverkningsregister.

165 Se, 3 § förordning (2001:710) om biverkningsregister

166 Se, 4 § förordning (2001:710) om biverkningsregister.

167 Se, 4 § förordning (1994:1521) om biverkningsregister angående läkemedel, 4 § förordning och (1997:143) om biverkningsregister angående läkemedel och 4 § förordning (2001:710) om biverkningsregister.

168 Jfr, Ehrenkrona, 2007, s. 38-49.

53

läkemedelsverket att behandla uppgifter om kontrollgruppindivider för att kunna genomföra forskning om biverkningar. Om verket inte tidigare har behövt behandla uppgifter om kontrollgruppindivider, varför har det nu blivit nödvändigt att göra detta och varför framgår detta inte av föreskriften eller av förarbeten till föreskriften? Det kan inte anses vara ett EU-rättsligt krav, eftersom ett sådant krav inte framgår av de direktiv och förordningar som läkemedelslagen och -förordningen bygger på. Möjligen skulle en insamling av kontrollgruppindividernas personuppgifter kunna anses vara av betydelse för övervakningen och skulle således få samlas in med stöd av artikel 102 i läkemedelsdirektivet, men som framgår av direktivet ska säkerhetsövervakningen användas särskilt i fråga om biverkningar hos människor, samt för att vetenskapligt utvärdera denna information, det vill säga information om biverkningar.

Integritetsskyddet i regeringsformen

Ur rättssäkerhetssynpunkt kan det även argumenteras att en uppgiftsbehandling som inte har uttryckligt stöd i lag inte kan anses omfattas av övergångsbestämmelserna till regeringsformen. Det som talar emot en sådan tolkning är at det i övergångs-bestämmelserna till regeringsformen anges att de föreskrifter som innebär betydande intrång i den personliga integriteten ska stå kvar utan hinder av integritetsskyddet.¹⁶⁹ Som redogjorts för i avsnitt 2 innebär en behandling av kontrollgruppindividernas personuppgifter ett betydande intrång i den personliga integriteten och en sådan reglering ska således stå kvar utan hinder av integritetsskyddet i regeringsformen.

Mot detta kan anföras att eftersom det i övergångsbestämmelserna till förändringarna i regeringsformen anges att de föreskrifter som innebär betydande intrång i den personliga integriteten ska stå kvar utan att integritetsskyddet i regeringsformen hindrar dessa föreskrifter, så krävs det att det betydande intrånget tydligt framgår av föreskriften i fråga. Om inte integritetsintrånget är tydligt, vilket är fallet för läkemedels-förordningen, kan övergångsbestämmelsen inte rimligen förlänga en integritets-kränkande bestämmelse. Det skulle innebära att integritetsskyddet i regeringsformen skyddar kontrollgruppindividerna och en avvikelse från skyddet kräver enligt legalitetsprincipen stöd i lag som stiftats av riksdagen.¹⁷⁰ Det intrång som kontroll-gruppindividerna utsätts för har inte behandlats i enlighet med

169 Se, 2 p övergångsbestämmelserna till lag om ändring i regeringsformen.

170 Se, 2 kap 21 § regeringsformen.

54

bedömningen och det har inte gjorts några avvägningar mellan kontrollgrupp-individernas intresse för ett fullgott skydd för deras personliga integritet och Läkemedelsverkets intresse av att behandla kontrollgruppindividernas uppgifter för att kunna utvärdera kvalitén på de läkemedel som finns på marknaden. Därmed kan det intrång i integritetsskyddet som en behandling av kontrollgruppindividernas personuppgifter medför inte anses ha laglig grund med stöd av regeringsformen.

Integritetsskyddet i europakonventionen

Ett ytterligare argument mot att det är tillåtet att behandla uppgifter om kontrollgrupp-individer är att det enligt Europakonventionen ställs vissa krav på den behandlingen som sker med känsliga personuppgifter.

För att legalitetsprincipen ska anses vara uppfylld krävs det att den föreskrift som inskränker enskildas rätt till respekt för privatlivet klargör myndigheternas befogenheter inom ett visst område,¹⁷¹är klar och detaljerad, vilket innebär att föreskriften är av god kvalitet och förutsebar för alla¹⁷², samt att det av föreskriften framgår under vilka omständigheter och vilka kategorier av personer som riskerar att övervakas av staten¹⁷³. Det är mycket möjligt att Europadomstolen inte skulle anse att de bestämmelser som reglerar Läkemedelsverkets säkerhetsövervakning, och som möjligen inbegriper en rätt att behandla uppgifter om kontrollgruppindivider, är fullt förutsebara för enskilda.¹⁷⁴ Främst på grund av att stadgandet är oklart och otydligt,¹⁷⁵ då det inte med stöd av läkemedelsförordningen går att utläsa vilka uppgifter Läkemedelsverket får behandla vid forskning. Det finns heller inte klargöranden i läkemedelsförordningen eller i förarbetena till denna om vad som har ansetts ingå Läkemedelsverkets rätt att hantera de uppgifter som är nödvändiga för att vetenskapligt utvärdera uppgifter om biverkningar.

Detta gör att enskilda inte kan förutse det integritetsintrång som sker. Det sagda innebär

171 Case of Malone v. the United Kingdom, Judgment of 2 August 1984, para. 66 och 79.

172 Case of Kruslin v. France, Judgment of 24 April 1990, para. 27, 35 och 36, Huvig v. France, Judgement of 24 April 1990, para. 26, 34 och 35.

173 Ehrenkrona, 2007, s 38-49.

174 Case of Kruslin v. France, Judgment of 24 April 1990, para. 27, 35 och 36, Huvig v. France, Judgement of 24 April 1990, para. 26, 34 och 35.

175 Jfr, Case of Kruslin v. France, Judgment of 24 April 1990, para. 27, 35 och 36 och med Case of Huvig v. France, Judgment of 24 April 1990, para. 26, 34 och 35.

55

att integritetsinskränkningen inte tydligt klargör myndigheternas befogenheter inom ett visst område,¹⁷⁶ vilket är ett krav enligt Europadomstolen.

Sammanfattning

Det synes saknas rättsligt stöd i läkemedelsförordningen för Läkemedelsverket att behandla uppgifter om kontrollgruppindivider. Kan en behandling av kontrollgrupp-individernas uppgifter vara godtagbar enligt personuppgiftslagens bestämmelser som reglerar undantag från förbudet att hantera känsliga personuppgifter?