...
- Lagen (2018:1212) om nationell läkemedelslista (NLL) reglerar behandling av personuppgifter i den nationella läkemedelslista som förs av E-hälsomyndigheten.
Tillgången till uppgifter i läkemedelslistan är hårt särreglerad, och ett grundläggande krav är att endast den som är"behörig"får ta del av uppgifter. Kravet på behörighetskontroll är därmed centralt för systemets rättsenlighet, både ur integritetssynpunkt (se PDL) och för att uppfylla de krav på informationssäkerhet som följer av EU:s dataskyddsförordning dataskyddsförordning (GDPR) och hälso- och sjukvårdens sekretessbestämmelser.
Av 8–12 §§ läkemedelslistelagen framgår NLL framgår att endast vissa aktörer får ha direktåtkomst till uppgifter i läkemedelslistan, och endast i den utsträckning det behövs för deras arbetsuppgifter.
8 § anger att E-hälsomyndigheten ska göra uppgifter i läkemedelslistan tillgängliga för bland annat den som förskriver läkemedel eller och den som expedierar läkemedel.
9 § preciserar att tillgången ska vara begränsad till vad som är nödvändigt för respektive ändamål.
10–11 §§ reglerar särskilda fall, t.ex. förskrivares tillgång till en patients uppgifter och den enskildes möjlighet att spärra uppgifter.
Dessa bestämmelser förutsätter att en behörighetskontroll kan säkerställa två saker:
Att användaren är identifierad (vem den är).
Att användaren har rätt att ta del av uppgifterna i den aktuella rollen och för det aktuella ändamålet (behörighet).
- Enligt 17 § ska E-hälsomyndigheten se till att obehörig åtkomst förhindras. Av förarbetena (prop. 2017/18:223 s. 183 f.) framgår att detta innebär krav på ett tekniskt och organisatoriskt system för behörighetskontroll. Myndigheten ska säkerställa att endast personer med korrekt vårdrelation, roll och ändamål får åtkomst. Behörighetskontrollen ska bygga på en säker identitetshantering och tilldelning av roller och åtkomsträttigheter som motsvarar den enskildes funktion i vården, vilket innebär att E-hälsomyndigheten inte själv beslutar vem som är behörig i vårdorganisationen, men myndigheten ska kunna kontrollera och verifiera att åtkomsten grundas på giltig behörighetsinformation från den vårdgivare eller apoteksaktör som ansvarar för användaren.
I 4 kap. 2 § föreskrivs att E-hälsomyndigheten ska föra loggar och vidta tekniska åtgärder för att säkerställa att åtkomst endast ges till behöriga. Förordningen preciserar att myndigheten ska kunna kontrollera vilken funktion eller yrkesroll som ligger till grund för åtkomsten. Detta konkretiseras i myndighetens föreskrifter (HSLF-FS 2020:24) om tekniska krav, där det krävs att vårdgivaren överför behörighetsattribut till E-hälsomyndigheten i samband med åtkomstbegäran (men inte att E-hälsomyndigheten momentant kontrollerar att behörighet föreligger).
...
| draw.io Diagram | ||||||||||||||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
|
Schematisk teknisk beskrivning av hur de två lösningsmönstren kan realiseras och hur ansvar kan fördelas mellan deltagande parter
...