30. júní 2023

Vegna úrskurðar Persónuverndar um öryggi persónuupplýsinga í lyfjaávísanagátt

Persónuvernd hefur, með ákvörðun sinni dags. 27. júní, lagt fyrir embætti landlæknis að grípa til ráðstafana til að varna óheimilum uppflettingum og tryggja að uppflettingar starfsmanna lyfjabúða í lyfjaávísanagátt verði rekjanlegar til einstakra starfsmanna fyrir 1. september.

Embættið tekur undir sjónarmið Persónuverndar að öryggi persónuupplýsinga sé betur tryggt með skýrari kröfu um aðgangsstýringar og aðgerðarskráningu og að persónuvernd einstaklinga sé betur tryggð með þeim ráðstöfunum sem stofnunin leggur til. Embættið hefur, allt frá undirbúningi við innleiðingu núverandi lyfjalaga, haldið því sjónarmiði á lofti að einstaklingum yrði tryggður réttur til upplýsinga um hvaða starfsmenn hafi nýtt sér aðgang að persónuupplýsingum þeirra, líkt og kveðið er á um í t.d. sjúkraskrárlögum. Til þess að tryggja þau réttindi er nauðsynlegt að kveða á um þau í lögum en slík ákvæði er ekki að finna nú.

Upphaf málsins má rekja til fundar sem embætti landlæknis boðaði til með Persónuvernd og Lyfjastofnun vegna eftirlits með upplýsingaöryggi og persónuvernd í lyfjabúðum. Ástæða fundarins var sú að lyfsöluleyfishafi leitaði til embættisins og óskaði eftir upplýsingum um uppflettingar starfsmanna sinna tengdar einstaka viðskiptavinum. Í kjölfarið bárust einnig beiðnir frá einstökum viðskiptavinum lyfjabúða um yfirlit yfir uppflettingar.

Embætti landlæknis hefur afhent viðskiptavinum lyfjabúða yfirlit yfir það hvenær og í hvaða lyfjabúð upplýsingum um viðkomandi einstaklinga var flett upp, en í kerfi landlæknis er ekki skráð hvaða starfsmaður stóð að baki þeirri uppflettingu. Því þurfa einstaklingar að leita til viðkomandi lyfjabúða til að fá frekari upplýsingar t.d. um ástæðu uppflettingar þegar þær leiða ekki til afgreiðslu. Ástæða þess er sú að starfsmenn fá aðgang að lyfjaávísanagátt í gegnum afgreiðslukerfi viðkomandi lyfjaverslunar og embætti landlæknis úthlutar ekki aðgangsheimildum að þeim kerfum.

Í ákvörðun Persónuverndar er sem fyrr segir lagt fyrir embættið að bæta úr þessu og tryggja að upplýsingar um hvaða starfsmenn fletta upp skili sér í lyfjaávísanagátt. Í því skyni mun embættið grípa til eftirfarandi aðgerða:

Embættið hefur þegar ítrekað ósk sína við heilbrigðisráðuneytið um að gerðar verði nauðsynlegar breytingar á reglugerð eða lögum til þess að kveða skýrar á um þessa skyldu lyfsöluleyfishafa, þar sem breytingar á kerfum þeirra munu hafa í för með sér aukinn kostnað fyrir þá.
Lyfjastofnun hefur, að beiðni embættis landlæknis, þegar sent öllum lyfjabúðum upplýsingar um ákvörðun Persónuverndar og hvatt aðila til að hefja undirbúning að breytingum á tölvukerfum og verklagi við afhendingu lyfja til að tryggja rekjanleika fyrir 1. september.
Lyfjaávísanagátt embættis landlæknis er þegar í stakk búin til að taka við ítarlegum upplýsingum um uppflettingar. Origo, þjónustuaðili embættisins fyrir lyfjaávísanagátt, mun setja sig í samband við þróunaraðila lyfjaafgreiðslukerfa lyfjabúða til að auðvelda þeim að gera nauðsynlegar breytingar á kerfum lyfsala.
Lyfjastofnun og embætti landlæknis munu í sameiningu uppfæra verklagsreglur varðandi lyfjaávísanir og kveða á um að aðgangur að afgreiðslukerfum lyfjabúða, sem veita aðgengi að lyfjaávísanagátt, skuli vera einstaklingsbundinn, aðgerðir notenda skráðar og þeim upplýsingum miðlað til embættis landlæknis.
Embætti landlæknis hyggst einnig veita einstaklingum aðgang að upplýsingum um uppflettingar í lyfjaávísanagátt á Mínum síðum á Heilsuvera.is, sem er áhrifarík leið til að tryggja gagnsæi um notkun kerfisins og auka þannig upplýsingaöryggi og persónuvernd.

Embætti landlæknis telur að nái þessar ráðstafanir fram að ganga verði kröfum Persónuverndar fullnægt, sem og réttmætum kröfum almennings um persónuvernd og upplýsingaöryggi í lyfjaávísanagátt.

Nánari upplýsingar veitir:
Kjartan Hreinn Njálsson, aðstoðarmaður landlæknis (kjartanh@landlaeknir.is).

Alma D. Möller landlæknir