Lag (2016:526) om behand­ling av per­son­upp­gif­ter i ären­den om licens för läke­me­del

Lagens tillämp­nings­om­råde

1 §   Denna lag gäl­ler vid behand­ling av per­son­upp­gif­ter för de ända­mål som avses i 8 eller 9 § hos Läke­me­dels­ver­ket och E-​hälsomyndigheten i ären­den angå­ende ansö­kan om licens för läke­me­del, om behand­lingen av per­son­upp­gif­terna är helt eller del­vis auto­ma­ti­se­rad eller om upp­gif­terna ingår i eller är avsedda att ingå i en struk­tu­re­rad sam­ling av per­son­upp­gif­ter som är till­gäng­liga för sök­ning eller sam­man­ställ­ning enligt sär­skilda kri­te­rier.

Defi­ni­tio­ner

2 §   Med licens avses i denna lag ett till­stånd enligt 4 kap. 10 § läke­me­delsla­gen (2015:315) för öppen­vårdsa­po­tek att sälja läke­me­del för att till­go­dose beho­vet av läke­me­del för en viss pati­ent, ett visst djur eller djurslag eller en viss djur­be­sätt­ning.

Med öppen­vårdsa­po­tek avses i denna lag en inrätt­ning för detalj­han­del med läke­me­del som bedrivs med till­stånd enligt 2 kap. 1 § lagen (2009:366) om han­del med läke­me­del.
Lag (2018:489).

För­hål­lan­det till annan regle­ring

3 §   I denna lag har de uttryck som också före­kom­mer i läke­me­delsla­gen (2015:315) samma bety­delse som i den lagen.

Vad som i denna lag före­skrivs i fråga om läke­me­del ska också gälla sådana varor och varugrup­per för vilka det med stöd av 18 kap. 2 § läke­me­delsla­gen har före­skri­vits att läke­me­delsla­gen helt eller del­vis ska gälla.

4 §   Denna lag inne­hål­ler bestäm­mel­ser som kom­plet­te­rar Euro­pa­par­la­men­tets och rådets för­ord­ning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska per­so­ner med avse­ende på behand­ling av per­son­upp­gif­ter och om det fria flö­det av sådana upp­gif­ter och om upp­hä­vande av direk­tiv 95/46/EG (all­män data­skydds­för­ord­ning), här benämnd EU:s data­skydds­för­ord­ning.

Vid behand­ling av per­son­upp­gif­ter enligt denna lag gäl­ler lagen (2018:218) med kom­plet­te­rande bestäm­mel­ser till EU:s data­skydds­för­ord­ning och före­skrif­ter som har med­de­lats i anslut­ning till den lagen, om inte annat föl­jer av denna lag eller före­skrif­ter som har med­de­lats i anslut­ning till lagen. Lag (2018:453).

Krav på behand­ling

5 §   Per­son­upp­gif­ter ska behand­las så att den regi­stre­ra­des per­son­liga integri­tet respek­te­ras.

Doku­men­te­rade per­son­upp­gif­ter ska han­te­ras och för­va­ras så att obe­hö­riga inte får till­gång till dem.

Den regi­stre­ra­des inställ­ning till per­son­upp­gifts­be­hand­lingen

6 §   Behand­ling av per­son­upp­gif­ter som är tillå­ten enligt denna lag får utfö­ras även om den regi­stre­rade mot­sät­ter sig behand­lingen.

Per­son­upp­gifts­an­svar

7 §   Läke­me­dels­ver­ket är per­son­upp­gifts­an­sva­rigt för myn­dig­he­tens per­son­upp­gifts­be­hand­ling i ären­den om ansö­kan om licens.

E-​hälsomyndigheten är per­son­upp­gifts­an­sva­rig för myn­dig­he­tens per­son­upp­gifts­be­hand­ling i ären­den om ansö­kan om licens.

Ända­mål med per­son­upp­gifts­be­hand­lingen

8 §   Per­son­upp­gif­ter får behand­las enligt denna lag om det är nöd­vän­digt för att
   1. Läke­me­dels­ver­ket ska kunna fatta beslut i ären­den om ansö­kan om licens och bevara upp­gif­ter i sådana beslut,
   2. Läke­me­dels­ver­ket enligt 12 § ska kunna lämna ut upp­gif­ter,
   3. E-​hälsomyndigheten ska kunna ta emot och bevara upp­gif­ter i ären­den om ansö­kan om licens,
   4. E-​hälsomyndigheten ska kunna sam­man­föra hand­lingar i ären­den om ansö­kan om licens, och
   5. E-​hälsomyndigheten enligt 13-15 §§ ska kunna lämna ut upp­gif­ter.

9 §   Per­son­upp­gif­ter som behand­las enligt 8 § får behand­las även för andra ända­mål, under för­ut­sätt­ning att upp­gif­terna inte behand­las på ett sätt som är ofören­ligt med det ända­mål för vil­ket upp­gif­terna sam­la­des in. Lag (2018:453).

Behand­ling av käns­liga per­son­upp­gif­ter

9 a §   Per­son­upp­gif­ter som avses i arti­kel 9.1 i EU:s data­skydds­för­ord­ning (käns­liga per­son­upp­gif­ter) får behand­las med stöd av arti­kel 9.2 h i för­ord­ningen under för­ut­sätt­ning att kra­vet på tyst­nads­plikt i arti­kel 9.3 i för­ord­ningen är upp­fyllt. Lag (2018:453).

Sök­be­gräns­ning

10 §   Vid behand­ling av per­son­upp­gif­ter får för­skriv­nings­or­sak inte använ­das som sök­be­grepp.

Utläm­nande på medium för auto­ma­ti­se­rad behand­ling

11 §   Får en per­son­upp­gift läm­nas ut, får det ske på medium för auto­ma­ti­se­rad behand­ling.

Skyl­dig­het att lämna ut upp­gif­ter

12 §   Läke­me­dels­ver­ket ska till E-​hälsomyndigheten lämna ut upp­gif­ter i ären­den om ansö­kan om licens.

13 §   E-​hälsomyndigheten ska till Läke­me­dels­ver­ket lämna ut upp­gif­ter i ären­den om ansö­kan om licens.

14 §   E-​hälsomyndigheten ska lämna ut upp­gif­ter i ären­den om ansö­kan om licens till expe­di­e­rande per­so­nal på öppen­vårdsa­po­tek som i sin verk­sam­het har behov av sådana upp­gif­ter.

15 §   E-​hälsomyndigheten ska lämna ut upp­gif­ter i ären­den om ansö­kan om licens till den som är behö­rig att för­ordna läke­me­del och som i sin verk­sam­het har behov av sådana upp­gif­ter.

Direktåt­komst

16 §   Expe­di­e­rande per­so­nal på ett öppen­vårdsa­po­tek får, med den sök­be­gräns­ning som föl­jer av 10 §, ha direktåt­komst till sådana per­son­upp­gif­ter i ären­den om ansö­kan om licens hos E-​hälsomyndigheten som per­so­na­len i sin verk­sam­het har behov av.

Den som är behö­rig att för­ordna läke­me­del får, med den sök­be­gräns­ning som föl­jer av 10 §, ha direktåt­komst till per­son­upp­gif­ter i sådana ären­den om ansö­kan om licens hos E-​hälsomyndigheten som inne­hål­ler per­son­upp­gif­ter som han eller hon själv har läm­nat till myn­dig­he­ten.

Pati­en­ten får ha direktåt­komst till per­son­upp­gif­ter om sig själv i ären­den om ansö­kan om licens hos E-​hälsomyndigheten.
Behö­rig­hets­till­del­ning

17 §   Den per­son­upp­gifts­an­sva­rige ska bestämma vill­kor för till­del­ning av behö­rig­het för åtkomst till per­son­upp­gif­ter som helt eller del­vis behand­las auto­ma­tiskt. Behö­rig­he­ten ska begrän­sas till vad som behövs för att den som arbe­tar på Läke­me­dels­ver­ket eller E-​hälsomyndigheten ska kunna full­göra sina arbets­upp­gif­ter.

Rege­ringen eller den myn­dig­het som rege­ringen bestäm­mer får med­dela före­skrif­ter om till­del­ning av behö­rig­het för åtkomst till per­son­upp­gif­ter som helt eller del­vis behand­las auto­ma­tiskt.

Åtkomst­kon­troll

18 §   Den per­son­upp­gifts­an­sva­rige ska se till att åtkomst till per­son­upp­gif­ter som helt eller del­vis behand­las auto­ma­tiskt doku­men­te­ras så att åtkoms­ten kan kon­trol­le­ras i efter­hand. Den per­son­upp­gifts­an­sva­rige ska sys­te­ma­tiskt och åter­kom­mande kon­trol­lera om någon obe­hö­ri­gen kom­mer åt sådana upp­gif­ter.

Rege­ringen eller den myn­dig­het som rege­ringen bestäm­mer får med­dela före­skrif­ter om doku­men­ta­tion och kon­troll.

Gall­ring

19 §   Per­son­upp­gif­ter som beva­ras ska gall­ras hos Läke­me­dels­ver­ket och E-​hälsomyndigheten senast 36 måna­der efter Läke­me­dels­ver­kets beslut i ären­det.

Per­son­upp­gif­ter som läm­nats till E-​hälsomyndigheten av någon som är behö­rig att för­ordna läke­me­del ska, om upp­gif­terna inte sam­man­förts med en ansö­kan om licens, gall­ras hos E-​hälsomyndigheten senast 12 måna­der efter det att upp­gif­terna har kom­mit in till myn­dig­he­ten.

20 §   Har upp­hävts genom lag (2018:453).

Infor­ma­tion

21 §   Utö­ver vad som fram­går av artik­larna 13 och 14 i EU:s data­skydds­för­ord­ning ska den som är per­son­upp­gifts­an­sva­rig enligt denna lag lämna infor­ma­tion till den regi­stre­rade om
   1. den upp­gifts­skyl­dig­het som kan följa av lag eller för­ord­ning,
   2. de sekretess-​ och säker­hets­be­stäm­mel­ser som gäl­ler för upp­gif­terna och behand­lingen,
   3. rät­ten enligt arti­kel 82 i EU:s data­skydds­för­ord­ning och 7 kap. 1 § lagen (2018:218) med kom­plet­te­rande bestäm­mel­ser till EU:s data­skydds­för­ord­ning till ska­de­stånd vid behand­ling av per­son­upp­gif­ter i strid med denna lag, och
   4. vad som gäl­ler i fråga om sök­be­gräns­ningar.
Lag (2018:453).