Yttrande Diarienr 2013-11-11 1689-2013 Ert diarienr 3.1-2013-052197 Läkemedelsverket registrator@mpa.se Remissen Läkemedelsverkets förslag till föreskrifter för Nationella medicinska informationssystem Datainspektionen har getts tillfälle att lämna synpunkter på det remitterade förslaget. Datainspektionen har granskat förslaget huvudsakligen utifrån sin uppgift att verka för att människor skyddas mot att deras personliga integritet kränks genom behandling av personuppgifter. Remissen berör angelägna frågor. De i konsekvensutredningen beskrivna nationella medicinska informationssystemen aktualiserar dock även andra frågeställningar än sådana som kan vara motiverade från de intressen Läkemedelsverket har att tillvarata. I Läkemedelsverkets fortsatta arbete med frågorna bör även integritetsskyddsfrågorna beaktas. Det bör ske genom samråd med Datainspektionen. Sammanfattning Datainspektionen avstyrker förslaget till föreskrifter om Nationella medicinska informationssystem. Skälen är följande. Läkemedelsverkets stöd för att meddela de föreslagna föreskrifterna kan ifrågasättas. Behovet av föreskrifterna kan ifrågasättas. Förslaget innehåller oklarheter på flera punkter och det är därför inte möjligt för Datainspektionen att bedöma förslagets konsekvenser för den personliga integriteten. Förslaget riskerar att skapa otydlighet kring tillsyn och ansvar för säkerhetsåtgärder. Postadress: Box 8114, 104 20 Stockholm E-post: datainspektionen@datainspektionen.se Besöksadress: Drottninggatan 29, plan 5 Telefon: 08-657 61 00 Webbplats: www.datainspektionen.se Telefax: 08-652 86 52
De föreslagna föreskrifternas rättsliga grund Motivet i konsekvensutredningen för att de exemplifierade nationella medicinska informationssystemen ska omfattas av Läkemedelsverkets föreskrifter tar sin utgångspunkt i att patientjournalsystem gör det. Det finns dock ingen juridisk definition av patientjournalsystem. Det är därför en långtgående slutsats i förhållande till de medicintekniska direktiven och den vägledning som EU-kommissionen ger på detta område. I dessa framgår att fristående programvara kan vara medicintekniska produkter under förutsättningarna att programvaran uppfyller kriterierna i direktiven och att den av tillverkaren är särskilt avsedd att användas just som en medicinteknisk produkt. Bemyndigandet i 2 förordningen om medicintekniska produkter (1993:876) följer av 4 lagen om medicintekniska produkter (1993:584). Som Datainspektionen förstår det avser skrivningen i 4 lagen om medicintekniska produkter om andra produkter som i fråga om användning står nära medicintekniska produkter sådana andra produkter som kan användas för att ersätta användningen av medicintekniska produkter. Exemplet som ges i förarbetena är när en vanlig termos används för förvaring av prover. Datainspektionen ifrågasätter därför, utifrån de exempel som omnämns i konsekvensutredningen (sid. 2), att programvarusystem enligt 3 de föreslagna föreskrifterna alltid är sådana som i fråga om sin användning står medicintekniska produkter nära (1 den föreslagna föreskriften). Det förefaller alltså som om Läkemedelsverket utgår ifrån en extensiv tolkning av lagen om medicintekniska produkter och dessutom gör en mycket långtgående tolkning av vad som i så fall skulle kunna anses vara produkter som på annat sätt i fråga om användning står nära medicintekniska produkter. Datainspektionen ifrågasätter således om Läkemedelsverket med stöd av bemyndigandet i 2 i förordningen om medicintekniska produkter kan meddela de föreslagna föreskrifterna. Tillsyn av nationella medicinska informationssystem Läkemedelsverket skriver i konsekvensutredningen att de exemplifierade nationella medicinska informationssystemen, på grund av att de inte omfattas av det medicintekniska regelverket, inte står under tillsyn av någon annan tillsynsmyndighet. Det är inte helt korrekt. Datainspektionen är tillsynsmyndighet enligt personuppgiftslagen (1998:204). Datainspektionen är Sida 2 av 7
också tillsynsmyndighet när personuppgifter behandlas enligt patientdatalagen (2008:355), apoteksdatalagen (2009:367) och receptregisterlagen (1996:1156). Personuppgiftsbehandlingen och kraven på säkerhetsåtgärder i de i konsekvensutredningen exemplifierade nationella medicinska informationssystemen står därmed under Datainspektionens tillsyn. Datainspektionen har till exempel granskat Nationell patientöversikt (NPÖ) som ett system för sammanhållen journalföring. Där behandlas personuppgifter med stöd av 6 kap. patientdatalagen. Personuppgiftsansvaret fördelas på de ingående vårdgivarna så till vida att de som tillgängliggör patientuppgifter är ansvariga för att det sker på ett lagligt sätt och de som bereder sig åtkomst till personuppgifter ansvarar för att det görs på ett lagligt sätt. Vårdgivarna står under Datainspektionens tillsyn. Enligt uppgift från CeHis är tanken att såväl Pascal som Nationell Ordinationsdatabas (NOD), när de driftssatts fullt ut, ska utgöra system för sammanhållen journalföring. Idag förefaller dock Pascal omfattas av receptregisterlagen och har i så fall Apotekens Service AB som personuppgiftsansvarig. Apotekens Service AB står under Datainspektionens tillsyn. När det gäller system för sammanhållen journalföring kan i sammanhanget nämnas att det finns en säkerhetsventil enligt vilken regeringen eller den myndighet regeringen bestämmer får meddela föreskrifter om vem som ska ha personuppgiftsansvar för övergripande frågor om tekniska och organisatoriska säkerhetsåtgärder vid sammanhållen journalföring (6 kap. 6 patientdatalagen). Detta för att på ett tydligt sätt kunna reglera eventuella oklarheter rörande ansvar vid gränsöverskridande personuppgiftsbehandling (prop. 2007/08:126 Patientdatalag m.m., sid. 255). Regeringen har inte meddelat några sådana föreskrifter och har heller inte bemyndigat någon myndighet att göra det. Öppenvårdsapotekens system för receptexpediering (RES) regleras av apoteksdatalagen. I den föreskrivs att tillståndshavaren är personuppgiftsansvarig för den personuppgiftsbehandling som utförs på ett öppenvårdsapotek. Utformningen av RES påverkas även av receptregisterlagen. Öppenvårdapoteken står under Datainspektionens tillsyn. När det gäller Svensk Informationsdatabas för Läkemedel (SIL) och SFINX (Swedish Finnish Interaction X-referencing) kan det dock finnas fog för vad Läkemedelsverket säger i konsekvensutredningen då det i systemen Sida 3 av 7
uppskattningsvis inte behandlas några personuppgifter och de därför skulle falla utanför Datainspektionens tillsynsområde. Datainspektionens roll och verksamhetsområde i förhållande till nationella medicinska informationssystem. Som tidigare nämnts är Datainspektionen tillsynsmyndighet enligt personuppgiftslagen och när personuppgifter behandlas enligt patientdatalagen, apoteksdatalagen och receptregisterlagen. Personuppgifter är all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet (3 personuppgiftslagen). Patientuppgifter är personuppgifter om patienter (1 kap. 2 Socialstyrelsens föreskrifter Informationshantering och journalföring inom hälso- och sjukvården, SOSFS 2008:14). Patientdatalagen tillämpas vid behandling av personuppgifter inom hälsooch sjukvården och gäller i tillämpliga delar även uppgifter om avlidna (1 kap. 1 patientdatalagen). Personuppgiftslagen gäller inom hälso- och sjukvården om inte annat följer av patientdatalagen (1 kap. 4 patientdatalagen). Personuppgiftslagen gäller för öppenvårdsapotekens behandling av personuppgifter, om inte annat följer av apoteksdatalagen eller föreskrifter meddelade i anslutning till den (5 apoteksdatalagen). Av de grundläggande kraven i personuppgiftslagen följer bland annat att personuppgifter alltid ska vara riktiga och behandlas korrekt och i enlighet med god sed (9 personuppgiftslagen). God sed kan här avse bland annat iakttagande av på ett verksamhetsområde etablerade standarder eller upprättade branschregler. Säkerhetskraven i 31 personuppgiftslagen föreskriver att den personuppgiftsansvarige ska vidta tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Paragrafen är avsedd att ha samma innebörd som artikel 17.1 och 17.2 i dataskyddsdirektivet (95/46/EG) och ska skydda även mot varje annat slag av otillåten behandling. De organisatoriska åtgärder som ska vidtas omfattar alltså även sådana åtgärder som syftar till att säkerställa att personuppgifterna är riktiga och behandlas korrekt. De omfattar också åtgärder som behöver vidtas innan personuppgifter börjar behandlas, inklusive planering, tester och verifieringar. Sida 4 av 7
Ansvaret för lagligheten vid behandling av personuppgifter faller på den personuppgiftsansvarige oavsett var, hur eller med vilka medel personuppgifterna behandlas. Föreskrifter från Läkemedelsverket kan inte åsidosätta det ansvar som de personuppgiftsansvariga öppenvårdsapoteken, Apotekens Service AB eller vårdgivarna har enligt dataskyddslagstiftningen. Att som Läkemedelsverket påstå att kontroller och valideringar som behöver göras på säkerhetskritiska system under utvecklingsprocessen inte styrs av vårdgivaren är alltså inte korrekt, då det är just de som har detta ansvar. Kraven på riktighet och korrekt behandling av personuppgifter enligt dataskyddslagstiftningen syftar till att skydda de registrerades personliga integritet, vilket alltså omfattas av Datainspektionens tillsyn. Övriga krav på riktighet och tillgänglighet, utifrån ett patientsäkerhetsperspektiv, torde fångas upp av Socialstyrelsens regelverk respektive Inspektionen för vård och omsorgs tillsyn. I sammanhanget kan nämnas att Socialstyrelsen för närvarande reviderar SOSFS 2008:14, bland annat med fokus på just driftsoch utvecklingsfrågor för vårdens informationssystem. Datainspektionen ifrågasätter därför behovet av de föreslagna föreskrifterna. Beskrivna konsekvenser av förslaget Förslaget till föreskrifter innebär enligt konsekvensutredningen att de nationella medicinska informationssystem som omfattas av förslaget ska omfattas av Läkemedelsverkets föreskrifter om medicintekniska produkter (LVFS 2003:11). Det framstår som oklart vilka av dessa föreskrifter som skulle kunna tillämpas på system för automatiserad behandling av personuppgifter. Härtill kommer att de verkar vara författade med andra produkter i åtanke. Datainspektionen kan därför inte bedöma konsekvenserna för den personliga integriteten om LVFS 2003:11 görs tillämpliga på nationella medicinska informationssystem. Enligt förslaget ska de nationella medicinska informationssystem som omfattas av förslaget i tillämpliga delar omfattas av lagen om medicintekniska produkter (2 den föreslagna föreskriften). Även här finns oklarheter men enligt konsekvensutredningen innebär förslaget att de nationella medicinska informationssystemen skulle komma att stå under Läkemedelsverkets tillsyn. Enligt Datainspektionens mening ger skrivningen i tillämpliga delar inte tillräcklig vägledning för de som ska efterleva föreskrifterna. Sida 5 av 7
Samråd I konsekvensutredningen anges att arbetet med framtagandet av föreskrifterna har skett i samråd med Datainspektionen. Så har dock inte skett. Läkemedelsverket och Datainspektionen har haft ett möte men innehållet begränsades till en beskrivning av regeringsuppdraget och en information från Datainspektionen om tillämplig lagstiftning och aktuell tillsyn på området. I konsekvensutredningen anges också att det i samband med samråd har framförts att föreskrifterna kommer att ge klarare spelregler och leda till att det blir enklare att identifiera olika parters ansvarsområden. Datainspektionen är av motsatt uppfattning och anser att de föreslagna föreskrifterna snarare riskerar att bidra till otydligheter i fråga om ansvaret för informationssäkerheten kring de nationella medicinska informationssystemen. Datainspektionen ser gärna att Läkemedelsverket samråder i det fortsatta arbetet med dessa frågor. Möjliga konsekvenser av förslaget Det är oklart om Läkemedelsverket anser att 6 lagen om medicintekniska produkter skulle bli tillämplig i och med de föreslagna föreskrifterna. Läkemedelsverket skulle i så fall, som behörig myndighet, ha ett bemyndigande att meddela föreskrifter om väsentliga krav på sådana här system, det vill säga kunna meddela grundläggande föreskrifter om säkerhetskrav i olika hänseenden (prop. 1992/93:175 Om medicintekniska produkter m.m., s. 48). I sammanhanget kan nämnas att när andra myndigheter, av regeringen, bemyndigas att meddela närmare föreskrifter inom Datainspektionens tillsynsområde får de vanligtvis meddelas först efter samråd med Datainspektionen, se till exempel 2, 3 Patientdataförordningen (2008:360). Det primära syftet med NPÖ, Pascal och NOD är hantering av vårddokumentation och receptinformation, det vill säga behandling av personuppgifter. Datainspektionen anser att sådana väsentliga grundläggande säkerhetskrav som avses i lagen om medicintekniska produkter inte är avsedda att tillämpas på system för automatiserad behandling av personuppgifter. De informationssäkerhetsåtgärder som behöver vidtas kring systemen är andra än sådana åtgärder som behöver vidtas för att säkerställa att Sida 6 av 7
patienter eller personal inte lider skada vid användning av medicintekniska produkter, till exempel röntgenutrustning. Tydlighet i gällande regelverk är en förutsättning för att inblandade aktörer ska kunna leva upp till sitt ansvar och sina respektive skyldigheter. Givet de övriga oklarheter som beskrivs i detta yttrande befarar Datainspektionen att ytterligare oklarheter kring ansvar och tillämpliga regelverk kan uppstå om föreskrifterna träder ikraft. Beroende på hur eventuellt kommande föreskrifter från Läkemedelsverket (i så fall meddelade med stöd av 6 lagen om medicintekniska produkter) utformas riskerar det dessutom uppstå direkta konflikter med reglerna på dataskyddsområdet. Ytterligare oklarheter kring ansvar och tillämpliga regler värnar inte integritetsskyddet. Datainspektionen kan därför inte tillstyrka förslaget. Detta yttrande har beslutats av generaldirektören Kristina Svahn Starrsjö i närvaro av chefsjuristen Hans-Olof Lindblom, t.f. enhetschefen Anna Hörnlund, avdelningsdirektören Suzanne Isberg och IT-säkerhetsspecialisten Magnus Bergström, föredragande. Kristina Svahn Starrsjö Magnus Bergström Sida 7 av 7