Kapittel 1 Lovens formål, definisjoner og virkeområde

Til § 1 Lovens formål

For å kunne imøtekomme kravene som stilles til den, er det nødvendig for helseforvaltningen og helsetjenesten på alle nivåer å behandle helseopplysninger. Formålet med denne loven er å gi gode og relevante regler for behandling av helseopplysninger, slik at gode regler blir god virkelighet.

Formålsbestemmelsen angir viktige momenter ved tolkningen av de enkelte bestemmelsene i loven, og angir lovens ramme. Lovens formål er inndelt i to ledd. Første ledd henspeiler på helseforvaltningens og helsetjenestens formål. Annet ledd henspeiler på personvernformål. Personvernformålene er beskrevet på samme måte som i forslag til lov om behandling av personopplysninger.

Helseopplysninger er sensitive opplysninger. Dette tilsier en streng håndtering av rammeverket rundt opplysningene. I de tilfeller det er konflikt mellom hensynet til personvernet til den enkelte pasient eller registrert og forskningens interesser, skal hensynet til personvernet til den enkelte pasient eller registrert i utgangspunktet veie tyngst. Ved all behandling av helseopplysninger må, som i helseforvaltningen og helsetjenesten for øvrig, fokuset - «pasienten først» - ligge fast. Ved motstrid mellom personvernet til enkeltindividet og andre interesser, skal det tungtveiende argumenter til for at personvernet til enkeltindividet skal vike.

Første ledd

Første ledd første punktum fastslår at lovens formål er å bidra til å gi helseforvaltningen og helsetjenesten informasjon og kunnskap slik at helsehjelp kan gis på en forsvarlig og effektiv måte. For å gi forsvarlig og effektiv helsehjelp må alle nødvendige, relevante og formålstjenlige opplysninger være tilgjengelige for helsepersonell når opplysningene trengs. Helseopplysninger skal håndteres på en måte som sikrer diskresjon og fortrolighet mellom pasient og helsepersonell. Det er et viktig formål med loven å bygge opp kvalitativt gode pasientjournalsystemer, som kan gi det best mulige beslutningsgrunnlag for kvalitativ god helsehjelp til pasienter. Begrepet helsehjelp skal forstås slik som det er definert i helsepersonelloven § 3 tredje ledd og pasientrettighetsloven § 1-3 bokstav c. Helsehjelp er her definert som enhver handling som har forebyggende, diagnostisk, behandlende, helsebevarende eller rehabiliterende mål og som utføres av helsepersonell. Forsvarlig helsehjelp må også ses i sammenheng med den plikt helsepersonell har til å utøve sitt arbeid forsvarlig, jf. helsepersonelloven § 4, og den plikt helsetjenesten som sådan har til forsvarlig virksomhet, jf. spesialisthelsetjenesteloven § 2-3.

Med helseforvaltningen og helsetjenesten menes både den statlige helseforvaltning (ev. helsetjeneste), som har det overordnede ansvar for landets helseforvaltning, og den fylkeskommunale og kommunale helseforvaltning, hvis oppgaver fremgår av lov. Lovteksten bruker begrepene helseforvaltningen og helsetjenesten. Begrunnelsen for dette er at en vil unngå en utilsiktet innsnevring av formålet. Mange bruker begrepet helseforvaltning og helsetjeneste om hverandre, mens andre ofte skiller mellom helseplanleggere og helseadministratorer på den ene siden, og den utøvende helsetjeneste på den andre siden. Begrepene helseforvaltningen og helsetjenesten er ikke begrenset til å omfatte den offentlige helseforvaltning. Dette følger bl.a. av loven § 3 som presiserer at loven gjelder både for privat og offentlig virksomhet. Viktige lover som nærmere beskriver helseforvaltningens og helsetjenestens oppgaver og ansvar er lov om statlig tilsyn med helsetjenesten, kommunehelsetjenesteloven, spesialisthelsetjenesteloven, tannhelsetjenesteloven, helsepersonelloven og pasientrettighetsloven.

Første ledd annet punktum fastslår at loven herunder skal bidra til å gi informasjon og kunnskap om befolkningens helseforhold, årsaker til nedsatt helse og utvikling av sykdom. Videre til bruk for administrasjon, forskning, kvalitetssikring, planlegging, statistikk og styring. I denne forbindelse er det viktig å bygge opp kompetanse og legge til rette for økt bruk av anonyme data som beslutningsgrunnlag og i kunnskapsoppbygging. Videre er det viktig å sørge for at data om helseforhold har god kvalitet. Personidentifiserbare opplysninger skal bare anvendes til andre formål enn for helsehjelp til den enkelte pasient, ev. administrasjon av slik hjelp, når personidentifisering er nødvendig for å nå formålet. Arbeidet med å få ut relevante anonyme data nødvendiggjør behandling av helseopplysninger (personidentifiserbare opplysninger). For å stille de riktige spørsmålene og bestemme hvilke helseopplysninger det er nødvendig å behandle, trengs så vel helsefaglig kompetanse som forskningskompetanse. For å kunne behandle helseopplysninger med den nødvendige diskresjon og konfidensialitet, trengs kompetanse og kunnskap om personvern så vel som datateknisk kompetanse. Det er et viktig formål med loven her å bidra til å bygge opp slik kompetanse.

Annet ledd

Annet ledd fastslår at formålet med loven er å beskytte den enkelte mot at personvernet blir krenket gjennom behandling av helseopplysninger. Bestemmelsens ordlyd tilsvarer forslaget i lov om behandling av personopplysninger § 1 første ledd, bortsett fra at behandling av personopplysninger er erstattet med behandling av helseopplysninger. Annet ledd fastslår at lovens formål er å sikre et sterkt personvern ved at helseopplysninger blir behandlet i samsvar med grunnleggende personvernhensyn, herunder behovet for personlig integritet, privatlivets fred og tilstrekkelig kvalitet på helseopplysningene. Grunnleggende personvernhensyn må forstås på samme måte som i forslag til lov om behandling av personopplysninger.

Kravet om at behandling av helseopplysninger skal foregå i samsvar med grunnleggende personvernhensyn gjelder så vel ved behandling av helseopplysninger til bruk for administrasjon, styring, planlegging og kvalitetssikring av helsetjenesten, forskning og statistikk, som ved innføring og bruk av elektroniske pasientjournaler og andre behandlingsrettede helseregistre.

Til § 2 Definisjoner

Helseopplysninger

Helseopplysninger defineres som taushetsbelagte opplysninger i henhold til helsepersonelloven § 21 og andre opplysninger og vurderinger om helseforhold eller av betydning for helseforhold, som kan knyttes til en enkeltperson. Helseopplysninger er en gruppe personopplysninger.

Med uttrykket en «enkeltperson» menes en person som direkte eller indirekte kan identifiseres ved hjelp av navn, identifikasjonsnummer eller andre kjennetegn som er spesielle for personens fysiske, fysiologiske, psykiske, økonomiske, kulturelle eller sosiale identitet. Eksempler på personopplysninger kan være opplysninger som foreligger i form av bilde, personens stemme, fingeravtrykk eller genetiske kjennetegn. Hvilke lagringsmedia som benyttes, er uten betydning så lenge identifikasjon er mulig.

I vurderingen av om en person lar seg identifisere, skal det tas i betraktning alle hjelpemidler som det er rimelig å tro at noen kan komme til å anvende for identifiseringsformål, jf. direktiv 95/46 sin fortale punkt 26 og merknadene til definisjonen av personopplysninger i forslag til lov om behandling av personopplysninger.

Begrepene pseudonyme data og personentydige krypterte data betyr i praksis at personidentifikasjon, som oftest det 11-siffrete fødselsnummeret, er endret etter en bestemt nøkkel. Nøkkelen oppbevares ofte atskilt fra opplysningene for å sikre at uvedkommende ikke skal kunne identifisere enkeltpersoner. Det å gjøre helseopplysningene pseudonyme eller å kryptere personidentifikasjonen, kan være nødvendig for å sikre opplysningenes konfidensialitet. Det vil være personopplysninger selv om en må benytte en nøkkel - for eksempel i form av en tallkode - for å knytte forbindelsen mellom opplysningene og den bestemte personen. Pseudonyme og krypterte opplysninger vil være helseopplysninger dersom noen kan gjøre opplysningene lesbare og dermed identifisere personene som opplysningene vedrører. Det vil være personopplysninger selv om tilknytningen mellom personen og opplysningene bare er kjent av noen få personer.

En viktig egenskap ved direkte identifiserbare helseopplysninger, pseudonyme og krypterte helseopplysninger, er at de kan kobles entydig på person. Direkte personidentifiserbare opplysninger, pseudonyme opplysninger og krypterte opplysninger betegnes derfor ofte som personentydige data.

Ot.prp. nr. 13 (1998-99) om lov om helsepersonell bruker begrepet pasientopplysninger. Begrepet pasientopplysninger defineres ikke i proposisjonen til helsepersonelloven. Det synes likevel å fremgå av sammenhengen at pasientopplysninger er de opplysninger som er underlagt taushetsplikt etter loven. Taushetsbelagte helseopplysninger etter helsepersonelloven er opplysninger om folks legems- eller sykdomsforhold eller andre personlige forhold som helsepersonell får vite om i egenskap av å være helsepersonell. Alle pasientopplysninger, dvs. taushetsbelagte opplysninger i henhold til helsepersonelloven, omfattes av gruppen helseopplysninger. Langt de fleste helseopplysninger vil også være pasientopplysninger, men det kan likevel tenkes helseopplysninger som ikke kan sies å være pasientopplysninger, for eksempel fordi opplysningene ikke kan sies å være mottatt av helsepersonell i egenskap av å være helsepersonell.

Opplysninger om helseforhold skal forstås på samme måte som i forslag til lov om behandling av personopplysninger § 2 nr. 8 bokstav c. Det fremgår av merknadene til definisjonen i nevnte bestemmelse at uttrykket «helseforhold» omfatter opplysninger om en persons tidligere, nåværende og fremtidige fysiske eller psykiske tilstand, inkludert opplysninger om medisin og narkotikamisbruk. Videre uttales at også opplysninger om sosiale forhold kan falle inn under «helseforhold», dersom de sosiale forholdene påvirker helsen.

Det ligger innebygget i dette at også vurderinger om helseforhold omfattes av begrepet helseopplysninger, men for at dette skal være klart sies dette også direkte i lovteksten.

Avidentifiserte helseopplysninger

Avidentifiserte helseopplysninger er i loven definert som helseopplysninger der navn, fødselsnummer og andre personentydige kjennetegn er fjernet, slik at opplysningene ikke lenger kan knyttes til en enkeltperson, og hvor identitet bare kan tilbakeføres ved sammenstilling med de samme opplysninger som tidligere ble fjernet. Det karakteristiske for avidentifiserte helseopplysninger etter loven, er at all personidentifikasjonen er fjernet (både den direkte og den indirekte), og at personidentfikasjonen er erstattet med en nøkkel eller et pseudonym. Når en utleverer avidentifiserte helseopplysninger, vil opplysningene fremstå som anonyme for mottakeren, fordi mottakeren ikke har tilgang til denne nøkkelen eller pseudonymet.

Helseopplysninger der navn og fødselsnummer eller den direkte personidentifikasjonen er fjernet, men hvor det er mulig å finne frem til person ad indirekte vei (pga. andre opplysninger enn de direkte personidentifiserbare), er ikke avidentifiserte opplysninger etter loven. Slike opplysninger kommer inn under lovens betegnelse helseopplysninger.

Avidentifiserte opplysninger er på mottakers hånd anonyme, forutsatt at mottakeren ikke har tilgang til den nøkkel som kan knytte opplysningene til den direkte personidentifikasjonen, som i sin tid ble fjernet.

Avidentifiserte helseopplysninger om et enkeltindivid, kan ved sammenstilling av andre avidentifiserte helseopplysninger om samme enkeltindivid - forutsatt at opplysningene er avidentifisert etter samme nøkkel/pseudonym - generere personidentifiserbare opplysninger. Dette fordi en gjennom sammenstilling av flere enkeltopplysninger kan få så mange opplysninger om en person at det bare er én person opplysningene kan knyttes til. Det vises for øvrig til punkt 7.2.1.3 foran.

Anonyme opplysninger

Anonyme opplysninger defineres som opplysninger der navn, fødselsnummer og andre personentydige kjennetegn er fjernet, slik at opplysningene ikke lenger kan knyttes til en enkeltperson. Dersom opplysningene kan knyttes til ett av to individer, er dette i prinsippet en anonym opplysning. For å være på den sikre siden, bruker en ofte likevel i praksis å sette en grense på fire eller fem, dvs. dersom opplysningene kan knyttes til en av fire eller fem individer, føler en seg trygg på at opplysningene er anonymisert. Det vises til punkt 7.2.1.3 foran.

Behandling av helseopplysninger

Begrepet behandling av helseopplysninger brukes og defineres i loven på samme måte som i forslag til lov om behandling av personopplysninger. Begrepet behandling av helseopplysninger er meget vidt, og defineres som enhver formålsbestemt bruk av helseopplysninger, som f.eks. innsamling, registrering, sammenstilling, lagring og utlevering eller en kombinasjon av slike bruksmåter. Så å si all håndtering av helseopplysninger inngår i begrepet behandling av helseopplysninger.

Begrepet behandling av helseopplysninger er et relativt nytt begrep i personvernsammenheng. Mens en tidligere har hatt regler om helseregistre, gis det nå regler om behandling av helseopplysninger.

Det er ikke alle former for behandling av helseopplysninger som omfattes av loven. Loven § 3 knytter behandlingsbegrepet til elektronisk behandling av helseopplysninger og til annen (manuell) behandling av helseopplysninger når opplysningene inngår eller skal inngå i et helseregister. Loven regulerer ikke annen (manuell) behandling av helseopplysninger når helseopplysningene ikke inngår eller skal inngå i et helseregister.

Én behandling av helseopplysninger kan bestå av en operasjon, f.eks. innsamling og nedtegning av opplysninger, eller omfatte en rekke operasjoner, som f.eks. innsamling av opplysninger fra helsepersonell til Medisinsk fødselsregister for registrering, utlevering av opplysningene (fra Medisinsk fødselsregister til Statistisk sentralbyrå) for sammenstilling med andre helseopplysninger og overføring av sammenstilte opplysninger til Norsk samfunnsvitenskapelige datatjeneste for avidentifisering eller anonymisering, til bruk for et nærmere bestemt formål. Formålsbeskrivelsen, herunder en angivelse av kilden til og adressaten for opplysningene samt hvilke prosedyrer som skal foretas, er avgjørende for om flere operasjoner skal anses å være en behandling av helseopplysninger eller flere behandlinger av helseopplysninger. Det vises til de generelle motivene til loven.

Loven er bygget opp slik at noen bestemmelser gjelder for alle former for behandling av helseopplysninger, mens andre bestemmelser bare gjelder for enkelte typer behandlingsformer eller håndteringer. Typisk for behandlingsformer som er særskilt regulert i loven, er operasjoner eller håndteringer som krever særlig årvåkenhet i forhold til personvernet og til sikkerheten rundt opplysningene. Som et eksempel kan nevnes bestemmelsene om sammenstilling av helseopplysninger i § 12 og utlevering av helseopplysninger etter § 14.

De bestemmelser som gjelder for alle typer behandling av helseopplysninger, kan betraktes som prinsippregler eller grunnregler. Et eksempel er bestemmelsen i loven § 11 om at enhver behandling av helseopplysninger skal ha et uttrykkelig angitt formål som er saklig begrunnet i den databehandlingsansvarliges virksomhet.

Helseregister

Helseregister defineres som registre, fortegnelser m.m. der helseopplysninger lagres systematisk slik at opplysninger om den enkelte kan finnes igjen. Et helseregister er ikke en «passiv» samling opplysninger. Et helseregister er en samling opplysninger som stadig er i endring, ved at opplysningene korrigeres, suppleres, bearbeides etc., og hvor man etter bearbeidelsesprosessen har fremskaffet noe mer enn hva summen av de enkelte opplysningene skulle tilsi.

Registerbegrepet i loven er et logisk begrep. Registerbegrepet er ikke en datateknisk definisjon. Et helseregister kan gjerne bestå av flere datafiler, og kan fysisk føres flere steder. På den annen side er det slik at en samling opplysninger som er lagret på en datafil, ikke nødvendigvis utgjør et helseregister. Avgjørende for om en samling opplysninger kan sies å være et helseregister, er om det er en logisk sammenheng mellom opplysningene, grunnlaget for å registrere opplysningene og formålet med behandlingen av dem. Et eksempel er den elektroniske pasientjournalen. Helseopplysninger i enkelte pasientadministrative systemer er pasientjournalopplysninger fordi opplysningene er nedtegnet (registrert) på basis av helsepersonells pasientkontakt. Formålet med registreringen av opplysningene er først og fremst å skaffe informasjon og kunnskap for å kunne tilby den enkelte pasient adekvat helsehjelp. Det kan være røntgenlegen som registrerer pasientopplysninger elektronisk på røntgenavdelingens informasjonssystem, eller det kan være stråleterapipersonell eller laboratoriepersonell som nedtegner (registrerer) pasientopplysningene i disse avdelingers informasjonssystemer. Dokumentasjonsplikten følger i alle tilfelle av helsepersonelloven §§ 39 og 40. Helseopplysninger om en person A i et system som nevnt på røntgenavdelingen vil være opplysninger som tradisjonelt har utgjort en del av person A sin pasientjournal. Helseopplysninger om en person B i samme system på røntgenavdelingen vil være opplysninger som tradisjonelt har utgjort en del av person B sin pasientjournal. Helseopplysninger om en person C i systemet vil være opplysninger som tradisjonelt har utgjort en del av person C sin pasientjournal etc.

Kravet om systematisk lagring av helseopplysningene vil først og fremst ha betydning for helseopplysninger som bare behandles manuelt. I forhold til elektronisk behandling av helseopplysninger vil det avgjørende være om opplysningene kan finnes igjen, korrigeres, suppleres etc. Avgjørende for denne vurderingen vil bl.a. være den informasjonsteknologien som brukes.

Et manuelt register der helseopplysningene er nedtegnet på ulike kort (kortregister) eller et arkiv med hengemapper, vil være et helseregister hvis kortene eller mappene er ordnet etter navn og fødselsnummer. Er kortene eller arkivmappene ordnet etter sykdom, er registeret i utgangspunktet ikke et helseregister. Datatilsynet har lagt til grunn at et register, f.eks. sykdomsregister, som inneholder meget få opplysninger slik at en med letthet kan finne igjen den enkelte, er å anse som et helseregister. Kravet til systematikk som stilles ved de manuelle registrene, har imidlertid liten betydning i forhold til datamaskinbaserte systemer. Selv om helseopplysninger i slike systemer ikke er ordnet etter enkeltpersoner, er det etter dagens teknologi lett å endre dette, slik at enkeltpersoner kan brukes som søkeord. Avgjørende for om slike systemer er helseregistre i lovens forstand, er om det er mulig å finne igjen opplysninger om den enkelte.

Behandlingsrettet helseregister

Med behandlingsrettet helseregister menes pasientjournal eller annet helseregister som har til formål å gi grunnlag for handlinger som har forebyggende, diagnostisk, behandlende, helsebevarende eller rehabiliterende mål i forhold til den enkelte pasient og som utføres av helsepersonell, samt administrasjon av slike handlinger.

Det vises for øvrig til omtalen ovenfor av begrepet helseregister.

Databehandlingsansvarlig for opplysningene

Loven her bruker begrepet databehandlingsansvarlig i samme betydning som forslag til lov om behandling av personopplysninger bruker begrepet behandlingsansvarlig. Denne forskjellen skyldes den innarbeidete bruken av begrepet behandlingsansvarlig lege i betydning pasientansvarlig lege. Definisjonen av databehandlingsansvarlig er harmonisert med definisjonen av behandlingsansvarlig i personopplysningsloven.

Databehandlingsansvarlig for opplysningene defineres som den som bestemmer formålet med behandlingen av helseopplysningene og hvilke hjelpemidler som skal brukes, hvis ikke databehandlingsansvaret er særskilt angitt i loven eller i forskrift i medhold av loven. Databehandlingsansvarlig vil ikke alltid være alene om å definere formålet med en behandling av helseopplysninger. I mange tilfelle fremgår det av loven eller forskriften som blir gitt i medhold av loven hvem som er databehandlingsansvarlig, jf. loven §§ 7 og 8.

Databehandlingsansvarlig er den som bestemmer over opplysningene, hvilke behandlinger som skal utføres etc. Verken forslag til lov om behandling av personopplysninger eller loven her bruker uttrykket eier av data, men den databehandlingsansvarlige kan kanskje sies å være den som nærmest kan henføres til dette begrepet. «Eierrådigheten» vil imidlertid være sterkt begrenset, bl.a. i kraft av at den registrerte i stor grad har innflytelse på hvordan og til hvilke formål helseopplysninger om vedkommende kan behandles. Den registrerte skal for eksempel samtykke til bruken av opplysningene, den registrerte har innsynsrett i opplysninger om seg selv, rett til å få opplysninger som føles sterkt belastende slettet etc. Den databehandlingsansvarlige bestemmer formålet med behandlingen av opplysningene (innenfor rammer loven og ev. den registrerte setter), har ansvaret for sikkerheten rundt opplysningene, utreder kostnadene ved driften etc.

De rettigheter en registrert har overfor den databehandlingsansvarlige, må den registrerte kunne håndheve. Dette betyr at databehandlingsansvaret må være klart plassert. Det skal ikke være noen tvil om hvem som er databehandlingsansvarlig for behandlingen av opplysningene. Det betyr også at det bare er subjekter som har partsevne som kan være databehandlingsansvarlig for behandling av helseopplysninger. Med partsevne menes at den databehandlingsansvarlige må kunne være saksøkt i en prosess for domstolene. Det er først og fremst fysiske og juridiske personer som kan ha partsevne. Partsevne er imidlertid ikke noe entydig begrep. Det er for eksempel ikke en entydig regel at juridiske personer har partsevne, mens ikke-juridiske personer ikke har partsevne. Begrepet partsevne må ses i forhold til hva saken gjelder. For at en sammenslutning, for eksempel et legefellesskap, skal ha partsevne, må det foreligge en viss form for organisasjon, se bl.a. Rettergang i sivile saker (Hov) 1994.

Ofte vil den databehandlingsansvarlige være en juridisk person. Ansvaret for å gjennomføre den databehandlingsansvarliges oppgaver vil ligge hos virksomheten som sådan, representert ved virksomhetens ledelse. Ledelsen må sørge for at loven etterleves, og som ledd i dette må ledelsen foreta en intern arbeidsdeling slik at det er klart hvilken stilling det tilligger å sørge for at loven etterleves i praksis.

Databehandler

Begrepet databehandler blir brukt og definert i loven på samme måte som i forslag til lov om behandling av personopplysninger. Databehandler defineres som den som behandler helseopplysninger på vegne av den databehandlingsansvarlige. Det følger av loven § 18 at grunnlaget for databehandlers behandling av opplysningene må fremgå i en skriftlig avtale mellom den databehandlingsansvarlige og databehandleren.

Begrepet databehandler er meget vidt. Databehandler kan være en som bearbeider opplysninger for den databehandlingsansvarlige, eller det kan være en som kommer i kontakt med opplysningene på en mer passiv måte, som for eksempel ved oppbevaring av opplysninger når dette er nødvendig for å kunne utføre service på datasystemer etc. En reparatør av datamaskiner vil for eksempel kunne være databehandler, dersom det er nødvendig for vedkommende å behandle, for eksempel lagre, helseopplysninger. Det er ikke noe krav at vedkommende skal bearbeide data for å omfattes av begrepet databehandler.

Registrert

Begrepet registrert blir i loven brukt og definert på samme måte som i forslag til lov om behandling av personopplysninger. Den registrerte er definert som den som helseopplysninger kan knyttes til. «Den registrerte» brukes i loven også når det ikke foreligger noe personregister i tradisjonell forstand. Opplysningene om den enkelte vil like fullt være «registrert» i betydningen innsamlet og oppbevart.

Samtykke

Samtykke er definert som en frivillig, uttrykkelig og informert erklæring fra den registrerte om at han eller hun godtar at helseopplysninger om seg selv blir behandlet. Alle tre vilkår må være oppfylt for at det kan sies å foreligge et samtykke etter loven.

Kravet om frivillighet kan volde problemer i forhold til behandling av helseopplysninger, fordi den som blir spurt om å avgi den frivillige erklæringen ofte kan føle seg i en tvangssituasjon. Det er derfor meget viktig at den som ber om en slik erklæring virkelig poengterer at det faktisk er en frivillig erklæring det bes om, og i tillegg har en holdning som sier det samme.

Kravet til at samtykke må være uttrykkelig avgitt, innebærer at den som mottar erklæringen må føle seg sikker på at den registrerte har avgitt samtykke-erklæring. Er mottakeren i tvil om erklæringen kan anses som uttrykkelig avgitt, kan en gå ut fra at erklæringen ikke er uttrykkelig avgitt. Det stilles imidlertid ikke noen formkrav til samtykket, som enten kan gis muntlig eller skriftlig. Det er imidlertid den databehandlingsansvarlige for opplysningene som må sannsynliggjøre at det faktisk foreligger et samtykke. Dette kan lettest gjøres dersom det foreligger skriftlig.

Kravet om at samtykke skal være informert, innebærer at den registrerte skal forstå hva han eller hun samtykker i.

I de sentrale helseregistrene som opprettes ved forskrift, må det antas at noen viktige opplysningstyper skal meldes uten hensyn til taushetsplikt og uavhengig av den registrertes samtykke, mens det for andre helseopplysninger vil kreves samtykke. Det samme gjelder ved innsamling av helseopplysninger til regionale og lokale helseregistre. Nødvendig informasjon som grunnlag for et slikt samtykke vil bl.a. måtte omfatte:

• navn og adresse på den databehandlingsansvarlige og dennes eventuelle representant,

• formålet med behandlingen av helseopplysningene,

• om opplysningene vil bli utlevert, og eventuelt hvem som er mottaker,

• annet som gjør den registrerte i stand til å bruke sine rettigheter etter loven,

• opplysning om at samtykke skal være frivillig, dvs. at den registrerte ikke skal føle seg tvunget til å gi samtykke.

Det vises til lovforslaget § 23 om informasjonsplikt når det samles inn opplysninger fra den registrerte. Et godt utgangspunkt for informasjonen vil være den forskriften som er gitt for registeret, eventuelt den meldingen som sendes til Datatilsynet. Informasjonen kan gjerne gis skriftlig, men en bør også gi plass for muntlig informasjon for å kunne gi svar på eventuelle spørsmål som den registrerte måtte ha.

Til § 3 Virkeområde

Bestemmelsen angir lovens saklige virkeområde.

Første ledd

Første ledd nr. 1 fastslår at loven gjelder for behandling av helseopplysninger i helseforvaltningen og helsetjenesten som skjer helt eller delvis med elektroniske hjelpemidler for å ivareta formål som beskrevet i § 1. Loven gjelder for slik behandling enten denne utføres av privat eller offentlig helsevirksomhet, dette presiseres i annet ledd. Første ledd nr. 2 fastslår at loven også gjelder for annen behandling (for eksempel manuell behandling) av helseopplysninger i helseforvaltningen og helsetjenesten til slike formål, når helseopplysningene inngår eller skal inngå i et helseregister. Ofte vil behandling av helseopplysninger i helseregistre dels foregå manuelt (innsamling av opplysninger skrevet på papir), dels elektronisk (registrering av opplysningene og videre elektronisk behandling av teksten). I slike tilfelle vil loven også gjelde for opplysningene på papirdokumentet.

Det presiseres i lovteksten at loven gjelder for behandling av helseopplysninger i helseforvaltningen og helsetjenesten. Loven gjelder i utgangspunktet ikke når helseopplysninger behandles utenfor helseforvaltningen eller helsetjenesten, som for eksempel trygdeforvaltningen, sosialforvaltningen og barneverntjenesten, eller i virksomheter som behandler helseopplysninger etter arbeidsmiljøloven.

Dette betyr at det må settes en grense mellom helseforvaltningens og helsetjenestens behandling av helseopplysninger og andre virksomheters eller annen forvaltnings behandling av helseopplysninger.

Dette skal anskueliggjøres med et eksempel. Elektronisk behandling av pasientopplysninger i en pasientjournal reguleres av bestemmelsene i loven her. I medhold av loven her vil det gis regler om, og settes krav til den elektroniske pasientjournal. Dette omfatter for eksempel krav til elektronisk signatur og kommunikasjon ved utlevering av opplysninger til andre forvaltningsorganer eller virksomheter, som lovlig kan få utlevert pasientopplysningene. Når mottakere utenfor helseforvaltningen eller helsetjenesten mottar helseopplysninger fra helsetjenesten, vil personopplysningsloven gjelde for mottakere av opplysningene. Dette innebærer at mottakere må ha konsesjon til å behandle helseopplysningene (hvis ikke konsesjonsplikt er unntatt etter personopplysningsloven, jf. lovforslaget § 33 femte ledd), at informasjonsplikten i personopplysningsloven § 20 om informasjonsplikt til den registrerte gjelder etc.

Når det gjelder helseregistre som ikke opprettes ved forskrift, dvs. helseopplysninger som opprettes etter konsesjon fra Datatilsynet, vil det ha liten praktisk betydning om loven her gjelder eller ikke, fordi bestemmelsene i loven her og tilsvarende bestemmelser i forslag til lov om behandling av personopplysninger, stort sett er harmoniserte.

En viktig forskjell er at den helseopplysningene angår (den registrerte), i helseregistre som opprettes innen helseforvaltningen og helsetjenesten, har en mer omfattende innsynsrett enn hva som følger av de alminnelige bestemmelsene i forslag til lov om behandling av personopplysninger.

For det første gjelder loven for behandling av helseopplysninger som skjer med elektroniske hjelpemidler når formålet er å gi eller tilby helsehjelp til den enkelte pasient, dvs. at loven gjelder for den elektroniske pasientjournal. Det skal føres pasientjournal over hver enkelt pasient. Pasientjournalen er et av de viktigste «arbeidsredskap» helsepersonell har. Opplysningene i journalen skal gi helsepersonell kunnskap og informasjon som trengs for å kunne tilby pasienten faglig forsvarlig helsehjelp. Alle opplysninger som finnes i journalen må antas å være nedtegnet med pasientbehandling som formål.

Pasientjournaler kan føres manuelt, elektronisk eller delvis manuelt/delvis elektronisk. Dagens pasientjournaler på sykehus føres delvis manuelt og delvis elektronisk. En pasient vil ofte være innom flere avdelinger på et sykehus eller annen helseinstitusjon, f.eks. medisinsk avdeling, røntgenavdeling, laboratoriet, kirurgisk avdeling osv. Noen av disse avdelingene vil føre pasientopplysningene manuelt, andre avdelinger vil føre opplysningene elektronisk. F.eks. vil de fleste laboratorie-verdier, svar på blodprøver og røntgenundersøkelser føres elektronisk, mens operasjonsbeskrivelser, medikamentbruk og pasientens kliniske symptomer kanskje føres manuelt. En streng tolking av ordlyden vil da bety at noen opplysninger i pasientjournalen omfattes av loven, mens andre opplysninger ikke omfattes av loven. En slik tolkning er imidlertid lite praktisk. Det må være slik at alle opplysninger i en pasients pasientjournal er omfattet av de samme regler. Dette betyr at dersom noen helseopplysninger føres (pasientopplysninger) elektronisk, mens andre føres manuelt om samme pasient, så skal alle opplysningene om denne pasienten omfattes av reglene om elektronisk behandling av helseopplysninger (også de som bare føres manuelt).

Denne tolking vil også være i samsvar med utviklingen av pasientjournalen. Dagens lovgivning regulerer ikke klart hvorvidt den enkelte pasient skal ha en journal ved den enkelte avdeling eller en journal som er felles for hele institusjonen. Det fremgår av Ot.prp. nr. 10 (1998-99) Om lov om spesialisthelsetjenesten m.m. at det er ønskelig å legge til rette for at det kun skal finnes en journal for hver pasient, noe som vil bidra til at viktige opplysninger er tilgjengelig når det er behov for dem.

For det andre gjelder loven når formålet med behandlingen er administrasjon, styring, planlegging eller kvalitetssikring av helsetjenesten. Begrepene administrasjon, styring, planlegging eller kvalitetssikring av helsetjenesten er ment å omfatte alle de oppgaver eller gjøremål helseforvaltningen eller helsetjenesten må utføre for å oppfylle virksomhetens formål, og som ikke retter seg primært mot den enkelte person eller er pasientbehandling.

For det tredje gjelder loven for behandling av helseopplysninger som skjer med elektroniske hjelpemidler når formålet med behandlingen av helseopplysningene er forskning. Begrepet forskning omfatter medisinsk forskning, helsetjenesteforskning, epidemiologisk forskning, klinisk forskning etc. Begrepet forskning er valgt for ikke utilsiktet å begrense lovens virkeområde. Det kan i den forbindelse vises til helsepersonelloven § 29 første ledd, som sier at departementet kan bestemme at opplysninger kan eller skal gis til bruk i forskning, og at det kan skje uten hinder av taushetsplikt etter helsepersonelloven § 21. Helseopplysninger i helseregistre som er innsamlet uten hensyn til taushetsplikt, fordi det er gjort unntak etter helsepersonelloven § 29 første ledd, følger reglene i denne loven, noe som betyr at den registrerte i utgangspunktet har innsynsrett.

For det fjerde gjelder loven helseforvaltningens innsamling av data til statistikk. En viktig aktør i denne forbindelse er Statistisk sentralbyrå. Denne loven er ikke ment å gjøre noe inngrep i statistikkloven. SSB vil derfor med hjemmel i statistikkloven kunne kreve opplysninger fra helseregistre for å lage offisiell statistikk på samme måte som SSB kan kreve data fra andre offentlige registre for dette formål.

Annet ledd

Annet ledd fastslår at loven gjelder både offentlig og privat virksomhet.

Tredje ledd

Tredje ledd fastslår at Kongen i Statsråd i forskrift kan bestemme at en eller flere av lovens bestemmelser også skal gjelde når helseopplysninger behandles utenfor helseforvaltningen og helsetjenesten for å ivareta formål som beskrevet i loven § 1. Det tenkes her først og fremst på behandling av helseopplysninger innen sosialforvaltningen. Når det gjelder sosialforvaltningen er det nær sammenheng mellom de formål som sosialtjenesteloven skal sørge for og helseforvaltningens formål. Sosialtjenesten behandler i stor grad helseopplysninger, herunder pasientopplysninger, som kommer inn under helsepersonellovens regler om taushetsplikt. I den grad det er nødvendig å behandle helseopplysninger til formål som delvis kan beskrives som sosialtjenestens formål, delvis som helsetjenestens formål, må Kongen i Statsråd kunne bestemme at loven her skal gjelde. Det vil m.a.o. si at regler for hvordan helseopplysninger skal behandles for å kunne nå formål som er felles etter disse lover, bør kunne gis med hjemmel i loven her §§ 7 eller 8. En regulering i forskrift, istedenfor konsesjon fra Datatilsynet, kan både være begrunnet i ønske om å effektivisere formålet med behandlingen av helseopplysningene og av hensyn til personvernet. Dette vil særlig være aktuelt innen for pleie- og omsorgstjenestene, der tjenestene etter kommunehelsetjenesteloven og tjenester etter sosialtjenesteloven til sammen utgjør en helhet.

Det er også verdt å merke seg at personvernhensynene, herunder behovet for personlig integritet, privatlivets fred og tilstrekkelig kvalitet på helseopplysninger, jf. § 1 annet ledd, kan være en selvstendig grunn for å la lovens regler komme til anvendelse på behandling av helseopplysninger. Dette gjelder spesielt i forhold til helseopplysninger som er innsamlet i helseforvaltningen og helsetjenesten, men siden er utlevert til annen forvaltning for bruk til formål som har nær sammenheng med helseforvaltningens og helsetjenestens formål. Det tenkes her først og fremst på behandling av helseopplysninger innen trygdeforvaltningen og evt. på helseregistre som opprettes med bakgrunn i bl.a. arbeidsmiljøloven § 20. Også slike helseregistre kan det eventuelt være aktuelt å regulere i forskrift, istedenfor etter konsesjon fra Datatilsynet.

Fjerde ledd

Fjerde ledd fastslår at det som er bestemt for fylkeskommuner i denne lov, også gjelder for Oslo kommune. Bestemmelsen er tatt med fordi Oslo kommune både har oppgaver og ansvar etter spesialisthelsetjenesteloven, tannhelsetjenesteloven og kommunehelsetjenesteloven. Bestemmelsen har bl.a. praktisk betydning i forhold til loven § 7.

Til § 4 Første ledd

Første ledd første punktum fastslår at loven gjelder for behandling av helseopplysninger når den databehandlingsansvarlige er etablert i Norge. Enhver utenlandsk databehandlingsansvarlig som er etablert i Norge vil omfattes av denne loven. I praksis må det antas at all elektronisk behandling av helseopplysninger som skjer i riket til bruk for formål loven skal fremme, vil omfattes av loven. Tilsvarende gjelder for manuell behandling av helseopplysninger som inngår eller skal inngå i et helseregister.

Første ledd annet punktum fastslår at Kongen i forskrifter kan bestemme at loven helt eller delvis skal gjelde for Svalbard og Jan Mayen, og kan fastsette særlige regler om behandling av helseopplysninger for disse områdene.

Det følger av lov 17. juli 1925 nr. 11 om Svalbard § 2 og lov 27. februar 1930 nr. 2 om Jan Mayen § 2 at offentligrettslige lovbestemmelser ikke gjelder for Svalbard og Jan Mayen uten at det er særskilt fastsatt. Lovforslaget her kan sies å være av offentligrettslig karakter. Dette betyr at loven her ikke gjelder på Svalbard og Jan Mayen før Kongen fastslår dette i forskrift.

Annet ledd

Annet ledd fastslår at loven også gjelder for databehandlingsansvarlige som er etablert i stater utenfor EØS-området, dersom den databehandlingsansvarlige benytter hjelpemidler i Norge. Dette gjelder likevel ikke dersom hjelpemidlene bare brukes til å overføre helseopplysninger via Norge. Bestemmelsen tilsvarer forslag til lov om behandling av personopplysninger § 4 annet ledd. Med «hjelpemidler» menes alt slags utstyr som kan brukes til å behandle helseopplysninger. Både elektroniske og ikke-elektroniske hjelpemidler omfattes, som for eksempel datamaskiner og dataterminaler, telenett og intervjuskjemaer. Utvidelsen av lovens virkeområde etter annet ledd gjelder ikke dersom utstyret utelukkende benyttes til å overføre helseopplysninger via Norge, dvs. ren transitt i norske nett.

Behandling av helseopplysninger som ikke skjer i Norge og/eller der den databehandlingsansvarlige er etablert utenlands, men innen EØS-området, vil ikke omfattes av loven. Når en norsk pasient reiser til Sverige for å få behandling på et svensk sykehus eller til Danmark for behandling på et dansk sykehus, vil reglene om behandling av helseopplysninger i disse land gjelde. Dersom opplysningene oppbevares i Norge, men databehandlingsansvarlige er etablert utenfor Norge, men innenfor EØS-området, vil reglene i det landet den databehandlingsansvarlige er etablert, gjelde.

Tredje ledd

Tredje ledd fastslår at databehandlingsansvarlige som nevnt i annet ledd skal ha en representant som er etablert i Norge. Videre fastslås at bestemmelsene som gjelder for den databehandlingsansvarlige også gjelder for representanten. Bestemmelsen tilsvarer forslag til lov om behandling av personopplysninger § 4 tredje ledd. Dette innebærer bl.a. at representanten skal gi melding til Datatilsynet før en behandling av helseopplysninger tar til, og at representanten skal etterkomme den registrertes krav på innsyn etc. At det er utpekt en representant for den databehandlingsansvarlige, fritar ikke den databehandlingsansvarlige for ansvar.

Kapittel 2 Tillatelse til å behandle helseopplysninger, etablering av helseregistre, innsamling av opplysninger, meldingsplikt m.m.

Til § 5 Behandling av helseopplysninger, konsesjonsplikt m.m.

Første ledd

Første ledd fastslår at helseopplysninger bare kan behandles elektronisk når dette er tillatt etter personopplysningsloven §§ 9 og 33, eller følger av bestemmelser fastsatt i forskrift etter denne lov §§ 6 til 8 og behandlingen ikke er forbudt ved lov eller annet særskilt rettsgrunnlag. Det samme gjelder annen behandling av slike opplysninger dersom opplysningene inngår eller skal inngå i et helseregister. Med annen behandling av slike opplysninger tenkes først og fremst på manuell behandling av helseopplysninger.

Forslag til lov om behandling av personopplysninger § 9 regner opp åtte tilfeller (bokstaven a til h) der det er tillatt å behandle helseopplysninger. Det følger av forslag til lov om behandling av personopplysninger § 33 at det trengs konsesjon fra Datatilsynet for å behandle helseopplysninger, og at det kan gis unntak i forskrift.

Bestemmelsen om at behandlingen av opplysningene ikke skal være forbudt ved lov eller annet særskilt rettsgrunnlag, synliggjør at annen lov eller annet rettsgrunnlag kan sette særlige skranker for behandling av helseopplysninger. Bestemmelser som forbyr behandling av helseopplysninger finnes for eksempel i lov om medisinsk bruk av bioteknologi § 6-4 annet ledd og 6-7. Det kan også tenkes at det i fremtiden vil komme andre lovfestede forbud mot behandling av helseopplysninger. Med annet rettsgrunnlag tenkes bl.a. på legalitetsprinsippet og internasjonale avtaler Norge er bundet av. Bestemmelsen henspeiler også på at de fleste helseopplysninger, herunder alle pasientopplysninger, er taushetsbelagte opplysninger. Reglene om taushetsplikt setter derfor selvstendige skranker for å behandle helseopplysninger.

§ 5 vil bl.a. komme til anvendelse ved sammenstilling av helseopplysninger fra ulike lokale, regionale og sentrale helseregistre som er opprettet med hjemmel i forskrift, med forskerens egne opplysninger. Kravet om konsesjon i slike tilfelle kan også følge av § 12 tredje ledd.

Annet ledd

Annet ledd fastslår at konsesjonsplikt etter personopplysningsloven § 33 ikke gjelder for behandling av helseopplysninger med hjemmel i forskrift etter §§ 6 til 8. Forskriftsformen vil da komme istedenfor konsesjonsbehandlingen.

Tredje ledd

En forutsetning for å behandle helseopplysninger er at den databehandlingsansvarlige har tilgang til de opplysninger han eller hun ønsker å behandle. Dersom den databehandlingsansvarlige ikke selv sitter inne med opplysningene, må han eller hun samle inn opplysningene, enten fra den registrerte selv eller fra en annen databehandlingsansvarlig som sitter inne med opplysningene. De fleste helseopplysninger er underlagt lovbestemt taushetsbelagte. Dette gjelder f.eks. alle helseopplysninger som har sitt utspring i pasientjournalen eller et annet behandlingsrettet helseregister. En forutsetning for å kunne behandle slike opplysninger, er at det finnes en bestemmelse som gir den databehandlingsansvarlige tilgang til opplysningene han eller hun søker tillatelse til å behandle.

Tredje ledd fastslår derfor at før helseopplysninger innhentes (ev. før det gis tilgang til slike opplysninger) for behandling etter første ledd, skal samtykke fra den registrerte foreligge hvis ikke annet er bestemt i eller i medhold av lov. Med den registrerte menes her den opplysningene kan knyttes til, forutsatt at vedkommende samtykker i registreringen.

Som eksempel på relevante lovhjemlede unntak kan vises til helsepersonelloven § 29 første ledd og forvaltningsloven § 13d. Disse bestemmelser gir departementet adgang til å treffe beslutning om at helseopplysninger skal behandles til forskning uten hensyn til taushetsplikt.

Fjerde ledd

Fjerde ledd første punktum fastslår at pasientrettighetsloven §§ 4-3 til 4-8 gjelder tilsvarende for samtykke etter denne lov. Pasientrettighetsloven § 4-3 bestemmer hvem som har samtykkekompetanse. Myndige personer har som hovedregel samtykkekompetanse. Det samme har mindreårige personer etter at de har fylt 16 år, med mindre noe annet følger av tiltakets art.

Når det gjelder barn under 16 år, vil henvisningen til pasientrettighetsloven § 4-4 medføre at foreldre mv. kan få kjennskap til opplysninger som de ikke har tilgang til etter pasientrettighetsloven § 3-4 annet ledd. Dette skyldes at foreldrene vanskelig kan vurdere samtykkespørsmålet uten å vite hva opplysningene dreier seg om. For å ivareta hensynet i pasientrettighetsloven § 3-4, fastslås det i første ledd annet punktum at barn mellom 12 og 16 år selv kan treffe beslutning om samtykke, dersom pasienten av grunner som bør respekteres, ikke ønsker at opplysningene gjøres kjent for foreldrene eller andre med foreldreansvar.

Til § 6 Behandlingsrettet helseregister

Første ledd

Første ledd første punktum fastslår at behandlingsrettet helseregister kan føres elektronisk. Det følger av dette at pasientjournaler kan føres elektronisk, jf. definisjonen i loven § 2 nr. 6. Pasientjournalen er den journal den som yter helsehjelp plikter å føre etter helsepersonelloven § 39.

Første ledd annet punktum omhandler hva pasientjournalen skal inneholde. Bestemmelsen fastslår at helsepersonell som yter helsehjelp, skal nedtegne helseopplysningene i samsvar med dokumentasjonsplikt etter helsepersonelloven §§ 39 og 40. Kravene til pasientjournalens innhold skal være de samme uten hensyn til om opplysningene føres elektronisk eller manuelt. Helsepersonelloven § 40 første ledd fastslår at journalen skal føres i samsvar med god yrkesskikk og skal inneholde korrekte og fullstendige opplysninger om pasienten og helsehjelpen, samt de opplysninger som er nødvendige for å oppfylle meldeplikt eller opplysningsplikt fastsatt i lov eller i medhold av lov. Videre fastslås at journalen skal være lett å forstå for annet kvalifisert helsepersonell.

Første ledd tredje punktum presiserer bestemmelsen i helsepersonelloven § 40 annet ledd og fastslår at det skal fremgå av pasientjournalen hvem som har registrert opplysningene. Hva som kreves for at det kan sies å fremgå av pasientjournalen hvem som har registrert opplysningene, utdypes i fjerde punktum, som sier at dette kan gjøres ved hjelp av elektronisk signatur eller tilsvarende sikker dokumentasjon.

Kravet om elektronisk signatur eller tilsvarende sikker dokumentasjon er en følge av at nedtegningen (registreringen) av opplysningene ikke kan underskrives eller signeres på tradisjonell måte. Innholdet i kravet er at det tydelig skal fremgå av den elektroniske journalen hvem det er som har gitt eller er ansvarlig for helsehjelpen til pasienten. Opplysningene må kunne knyttes til den personen som er ansvarlig for den medisinske behandlingen, pleien eller omsorgen som er gitt. Et eksempel på elektronisk signatur som kan oppfylle kravet er digital signatur. Digital signatur er «nøkler» eller kombinasjon av bokstaver og tall, som knytter det som nedskrives til den som nedskriver.

Kravet om at det skal fremgå hvem som har nedtegnet opplysningene innebærer ikke at vedkommende helsepersonell selv må skrive opplysningene ned, men vedkommende helsepersonell må sette sin signatur på opplysningene, eller gå god for at en annen gjør det. Vedkommende helsepersonell bør i ettertid kunne bevise at han eller hun har oppfylt dokumentasjonsplikten.

Annet ledd

Annet ledd fastslår at når fylkeskommune, kommune og annen offentlig eller privat virksomhet tar i bruk behandlingsrettet helseregister, er disse virksomhetene også databehandlingsansvarlige for opplysningene. Etter annet ledd annet punktum kan fylkeskommunen og kommunen delegere databehandlingsansvaret. Fylkeskommunen og kommunene forutsettes å delegere dette ansvaret til den utøvende helsetjeneste.

At databehandlingsansvaret for opplysningene legges til virksomhetens eier, fratar ikke helsepersonell noe ansvar. Helsepersonells dokumentasjonsplikt, taushetsplikt etc. gjelder fortsatt. Helsepersonell må for eksempel kunne dokumentere at de har oppfylt dokumentasjonsplikten, jf. annet ledd. Videre fremgår det av helsepersonelloven § 39 annet ledd at det skal utpekes en person som skal ha det overordnede ansvaret for den enkelte journal, og herunder ta stilling til hvilke opplysninger som skal stå i pasientjournalen. Hensikten er at pasientjournaler skal fungere som et godt og hensiktsmessig verktøy i det daglige arbeid. Det vil derfor være nødvendig med en koordinering av dokumentasjonen.

Tredje ledd

Tredje ledd fastslår at Kongen i forskrift kan gi nærmere bestemmelser om behandling av helseopplysninger i behandlingsrettede helseregistre, herunder om forhold som nevnt i § 16 fjerde ledd, jf. også helsepersonelloven § 46 og spesialisthelsetjenesteloven § 3-2. Paragraf 16 fjerde ledd gir hjemmel for å sette krav til elektronisk signatur, kommunikasjon og langtidslagring, om godkjenning (autorisasjon) av programvare og om bruk av standarder etc., før en tillater innføring og bruk av elektroniske pasientjournaler i stor skala. En forutsetning for at elektroniske pasientjournaler skal kunne erstatte papirbaserte pasientjournaler, er at den elektroniske pasientjournalen kan oppfylle de samme formål som en papirbasert pasientjournal. Det vises til kapittel 8 foran.

Til § 7 Regionale og lokale helseregistre

Første ledd

Første ledd fastslår at Kongen i Statsråd i forskrift kan gi nærmere bestemmelser om behandling av helseopplysninger, herunder om bruk av navn, fødselsnummer og andre personidentifiserende kjennetegn i regionale helseregistre for ivaretakelse av oppgaver etter smittevernloven, spesialisthelsetjenesteloven, og tannhelsetjenesteloven. Med regionale helseregistre menes fylkeskommunens helseregistre eller behandling av helseopplysninger fylkeskommunen bedriver for å ivareta lovpålagte oppgaver. Det omfatter epidemiologiske registre, sykdomsregistre, helsetjenesteregistre og kvalitetsregistre, som ikke har pasientbehandling av enkeltindivider som sitt primære formål. Det presiseres i lovteksten at bestemmelsene skal gis ved forskrift. Herved kommer saksbehandlingsreglene i forvaltningsloven til anvendelse. Passusen herunder om bruk av navn, fødselsnummer og andre personidentifiserende kjennetegn er tatt med for å synliggjøre at forskriften kan sette krav til at navn og fødselsnummer skal fjernes eller at helseopplysningene skal avidentifiseres. Det skal alltid angis en begrunnelse for nødvendigheten av å benytte personidentifiserbare opplysninger. Dette følger av første ledd tredje punktum.

Første ledd annet punktum fastslår at forskriften skal angi formålet med behandlingen av helseopplysningene, og hvilke opplysninger som kan behandles. Formålsangivelsen vil være meget viktig, og er avgjørende for hvilke typer helseopplysninger som skal kunne samles inn til registeret. Det kan stilles spørsmål om hvor presis formålsangivelsene i forskriften må være. Det er det vanskelig å si noe generelt om. Uttrykk som kvalitetssikring, forskning, planlegging etc. kan for eksempel ikke antas å oppfylle kravene til uttrykkelig formålsangivelse. Det må sies noe mer om hva som skal kvalitetssikres, hva en ønsker å studere nærmere, hva en skal planlegge etc. Først etter at forskriften har angitt formålet, kan en bestemme hvilke helseopplysninger som det er nødvendig å innhente for å nå formålet. Dette forhold vil også sette krav til formålsangivelsen. Blir formålsangivelsen for upresis, kan det lett bli vanskelig å finne frem til hvilke opplysninger som skal samles inn.

Forskriften vil også inneholde bestemmelser om hvilke opplysninger som skal innsamles, og om og eventuelt hvordan opplysningene kan sammenstilles med opplysninger i andre helseregistre. Bestemmelsene i loven her gir, sammen med personopplysningsloven og reglene om taushetsplikt, rammer for de bestemmelser som kan fastsettes i forskriftene. Dersom opplysningene skal samles inn uten hensyn til at opplysningene er underlagt lovbestemt taushetsplikt, vil dette måtte fremgå av forskriften.

Første ledd fjerde punktum fastslår at fylkeskommunen er databehandlingsansvarlig for opplysninger i regionale registre, med mindre noe annet er bestemt i forskriften. Første ledd femte punktum fastslår at behandlingsansvaret kan delegeres. Som oftest vil en delegasjon skje til underordnet nivå, men dette er ingen betingelse.

Opprettelse av regionale helseregistre eller behandling av helseopplysninger etter denne bestemmelsen forutsetter således at Kongen i Statsråd først gir en forskrift som hjemler en slik behandling av helseopplysninger. Dersom det ikke gis slike forskrifter, eller dersom fylkeskommunen ønsker å opprette helseregistre som en eventuell forskrift ikke hjemler, må fylkeskommunen søke Datatilsynet om konsesjon. Dette følger av loven § 5 første ledd.

Det følger av loven § 5 annet ledd at fylkeskommunen ikke trenger å søke Datatilsynet om konsesjon for å behandle helseopplysningene i tråd med forskriften. Den databehandlingsansvarlige skal gi Datatilsynet melding om behandling av helseopplysninger etter forskriften. Datatilsynet vil vurdere meldingen for å kontrollere at den er i samsvar med forskriften og loven.

Annet ledd

Bestemmelsen fastslår at Kongen i Statsråd i forskrift kan gi nærmere bestemmelser om behandling av helseopplysninger, herunder om bruk av navn, fødselsnummer og andre personidentifiserbare kjennetegn i lokale helseregistre for ivaretakelse av oppgaver etter kommunehelsetjenestesloven og smittevernloven. Dersom det er nødvendig å behandle personidentifiserbare opplysninger, følger det av tredje punktum at det alltid skal gis en begrunnelse for dette.

Begrepet «lokale helseregistre» henspeiler på helseregistre og behandling av helseopplysninger som kommunen bedriver for å ivareta egne oppgaver innen helseforvaltningen og helsetjenesten.

Annet ledd annet punktum fastslår at forskriften også skal angi formålet med behandlingen av helseopplysningene, og hvilke opplysninger som kan behandles. Det vises til merknadene til første ledd ovenfor.

Annet ledd fjerde punktum fastslår at kommunen er databehandlingsansvarlig for helseopplysningene, med mindre noe annet er bestemt i forskriften. Av samme grunn som for fylkeskommunen, fastslås at kommunen kan delegere databehandlingsansvaret.

Som for fylkeskommunene følger det av loven § 5 annet ledd at kommunen ikke trenger søke konsesjon fra Datatilsynet for å behandle helseopplysninger i tråd med forskriften. Kommunen må imidlertid på samme måte som fylkeskommunen gi melding til Datatilsynet om behandling av helseopplysninger i medhold av forskriften. Det vises til merknadene til første ledd, og loven §§ 29 og 30.

Til § 8 Sentrale helseregistre

Første punktum fastslår at Kongen i Statsråd i forskrift kan gi nærmere bestemmelser om behandling av helseopplysninger, herunder om bruk av navn, fødselsnummer og andre personidentifiserbare kjennetegn i sentrale helseregistre, til bruk for administrasjon, kvalitetssikring, styring og planlegging av helseforvaltningen og helsetjenesten, forskning og statistikk. Passusen herunder om bruk av navn, fødselsnummer og andre personidentifiserbare kjennetegn betyr at forskriften for eksempel kan bestemme at navn og fødselsnummer skal fjernes fra opplysningene, ev. at helseopplysningene i registeret skal avidentifiseres. Helseopplysninger kan bare anvendes til andre formål enn helsehjelp til det enkelte individ eller administrasjon av slik hjelp når personidentifisering er nødvendig for å fremme formålene. Det følger av § 11 annet ledd første punktum at personidentifiserbare opplysninger bare kan innsamles til sentrale helseregistre, dersom det er nødvendig for å fremme formålet med registeret. Dersom det er nødvendig å benytte personidentifiserbare opplysninger, skal det alltid angis en begrunnelse for dette. Dette følger av tredje punktum i denne paragrafen.

Annet punktum fastslår at forskriften skal angi formålet med behandlingen av helseopplysningene, hvilke opplysninger registeret skal behandle og hvem som er databehandlingsansvarlig. Forskriften vil også kunne inneholde bestemmelser om sammenstilling av opplysninger fra flere registre, jf. loven § 12 annet ledd og langtidslagring av opplysningene, jf. loven § 27 annet ledd. Dersom opplysningene skal innsamles til registeret uten samtykke fra den opplysningene angår, skal dette fremgå av forskriften.

Departementet vil påpeke at det er viktig å se sentrale og regionale helseregistre i sammenheng, slik at det ikke oppstår unødige interessekonflikter mellom ulike databehandlingsansvarlige. Dette er særlig viktig dersom formålene med registrene er nær sammenfallende, og der det samles inn samme opplysninger.

Myndigheten til å etablere sentrale helseregistre er lagt til Kongen i Statsråd. Dette innebærer at myndigheten ikke kan delegeres til departementet. Bestemmelsene skal videre gis ved forskrift. Dette betyr at saksbehandlingsreglene i forvaltningsloven, som bl.a. setter krav til utredning av saken, krever forhåndsvarsling og gir berørte parter rett til å uttale seg om saken, kommer til anvendelse.

Departementet legger til grunn at store landsomfattende sentrale helseregistre bør reguleres i forskrift. Karakteristiske trekk ved slike helseregistre er at de behandler sensitive opplysninger om mange personer, og har hele landet som virkefelt. Videre forutsetter formålet med slike helseregistre at opplysningene skal lagres over lang tid.

Departementet antar at registre som Kreftregisteret og Medisinsk fødselsregister krever forskrift. Det samme gjelder Meldesystemet for infeksjonssykdommer. Ikke alle helseregistre den sentrale helseforvaltning oppretter, vil kreve forskrift. Helseregistre med få og ikke spesielt sensitive helseopplysninger vil også kunne opprettes etter konsesjon fra Datatilsynet. Det samme gjelder helseregistre som ikke tar sikte på å eksistere i lang tid. En forutsetning for at helseopplysninger skal kunne innsamles til slike tidsbegrensede helseregistre er at den registrerte samtykker, med mindre det er gjort eller gjøres unntak for taushetsplikten i medhold av lov om helsepersonell § 29.

Fjerde punktum fastslår at forskriften også bør fastsette bestemmelser om den databehandlingsansvarliges plikt til å gjøre data tilgjengelige for at formålene kan nås. Det tenkes her først og fremst på plikt til å tilgjengeliggjøre avidentifiserte og anonyme data til bruk for forskning og planlegging av helsetjenesten på kort og lang sikt, plikt til å utarbeide årsrapporter etc. Videre tenkes det på at den databehandlingsansvarlige skal kunne dokumentere data slik at sammenstilling, avidentifisering og anonymisering av data kan foretas på en kvalitativ god og effektiv måte.

Til § 9 Særlig om innsamling av helseopplysninger til sentrale, regionale og lokale helseregistre

Første ledd

Helseopplysninger i sentrale, regionale og lokale helseregistre kan komme fra pasientjournaler og andre behandlingsrettede helseregistre, andre lokale, regionale eller sentrale helseregistre, eller ved at opplysningene samles inn fra den registrerte selv.

Første ledd første punktum angir hovedregelen for hvordan innsamlingen av helseopplysninger til helseregistre skal foregå. Bestemmelsen fastslår at før helseopplysninger innhentes for behandling i sentrale, regionale og lokale helseregistre, skal samtykke fra den registrerte foreligge. Med samtykke menes her en frivillig, uttrykkelig og informert erklæring fra den registrerte om at han eller hun sier ja til behandling av helseopplysninger om seg selv. Samtykket omfatter slik behandling av opplysningene vedkommende er informert om, forut for samtykke. Det vises til den nærmere omtale av definisjonen av samtykke under § 2.

Første ledd annet punktum gjør unntak fra hovedregel i første punktum. Bestemmelsen fastslår at Kongen i Statsråd i forskriften etter §§ 7 og 8, kan bestemme at helseopplysninger skal innsamles selv om den registrerte ikke har samtykket, og selv om opplysningene er underlagt lovbestemt taushetsplikt. Dersom helseopplysningene skal kunne innsamles uten hensyn til at opplysningene er underlagt lovbestemt taushetsplikt, skal dette klart gå frem av forskriften. Spørsmål om den registrerte skal samtykke eller ikke, skal vurderes konkret i forhold til hvert enkelt register og hvilke opplysninger som innsamles.

De viktigste hensyn som kan tilsi at en gjør unntak fra samtykkekravet, er at opplysningene som innsamles ivaretar hensynet til registerets fullstendighet og kvalitet. De opplysningene det ut fra formålet forutsettes skal finnes i registeret, bør faktisk finnes der. Det bør ikke kreves samtykke hvis dette vil hindre sentrale helsemyndigheter, eventuelt fylkeskommunale eller lokale helsemyndigheter å behandle helseopplysninger og opprette helseregistre som er nødvendige, for at helseforvaltningen eller helsetjenesten skal kunne utføre sine oppgaver. Dette gjelder ikke minst innhenting av nødvendig informasjons- og kunnskapsgrunnlag for kvalitetsutvikling i helsetjenesten, som er en viktig del av helseforvaltningens alminnelige ansvar, og som befolkningen etterspør og krever.

Det bør for eksempel kunne gjøres unntak fra samtykkekravet for fylkeskommunens innsamling av nødvendige opplysninger om pasienter som har mottatt helsehjelp i en annen fylkeskommune enn den fylkeskommunen som skal utrede kostnadene ved hjelpen. Den fylkeskommunen som skal utrede kostnadene må kunne kreve de opplysninger som er nødvendige for å dokumentere kravet.

Når det gjelder etablerte helseregistre, som for eksempel Kreftregisteret og Medisinsk fødselsregister, antar departementet at det ikke vil være aktuelt å innføre et krav om samtykke når det gjelder innsamling av helseopplysninger som i dag innsamles uten samtykke fra den registrerte. Dette fordi sentrale helseregistre som Kreftregisteret og Medisinsk fødselsregister vil tape mye av sin verdi hvis registreringen skulle bli frivillig. Erfaring viser at svært mange unnlater å følge opp anmodning om frivillig deltakelse, og det er ille hvis dette skal hindre helseforvaltningen og helsetjenesten å behandle opplysninger som er nødvendige for å ivareta lovpålagte oppgaver.

Dersom det opprettes nye helseregistre med meget følsomme helseopplysninger, kan et krav om samtykke også være aktuelt, selv om det skulle gå ut over registerets kompletthet og kvalitet. I slike tilfeller må det vurderes i hvilken grad en eventuell reduksjon i registeres kvalitet fører til tapt kunnskap, i forhold til kunnskap en ville ha ervervet med et komplett helseregister. En må også vurdere om en kan oppnå målet ved å bruke avidentifiserte eller anonyme data.

Det er viktig at tilliten til helsetjenesten er stor i befolkningen. Dette innebærer at det ikke gjøres unntak fra samtykkekravet uten at det positivt er nødvendig, og at denne positive nytten også blir informert ut til befolkningen. Samtidig er det viktig å ha for øye at kvaliteten på helsetjenestetilbudene er umåtelig viktig for pasientene, og at helsetjenesten har et sterkt behov for å bygge på kvalitativt gode data der hensynet til fullstendighet vil stå sentralt.

Annet ledd

Annet ledd gir Kongen myndighet til å gi forskrift om hvordan innsamlingen av opplysningene til lokale, regionale og sentrale helseregistre skal foregå. Herunder kan Kongen gi bestemmelser om hvem som skal gi og motta opplysningene, og om frister, formkrav og meldingsskjemaer. Bruken av begrepet meldingsskjema betyr ikke at meldingen må gis på et papirdokument, også elektroniske meldingsskjemaer kan være meldingsskjema etter loven. Tredje ledd i bestemmelsen fastslår hvem som kan pålegges meldeplikt, se nedenfor. Forskrifter etter annet ledd vil konkretisere denne plikten og si noe om hvem som skal melde etc. i de enkelte tilfellene.

Det kan også bli aktuelt å gi meldingspliktige pålegg om bruk av bestemte standarder, klassifikasjonssystemer, kodeverk etc. Pålegg som nevnt og andre sikkerhetskrav kan Kongen fastsette etter loven § 16 fjerde ledd. Pålegg om bruk av bestemte standarder, kodeverk og klassifikasjoner er typiske faglig spørsmål, som først må vurderes i samråd med ulike fagmiljøer. Kompetansen til å gi bindende pålegg om disse forhold er derfor lagt til Kongen, som kan delegere denne myndigheten til departementet.

Annet ledd annet punktum fastslår at den som mottar opplysningene skal varsle avsenderen av opplysningene dersom opplysningene er mangelfulle. Det følger av § 26 første ledd at dersom avsenderen oppdager mangelfulle opplysninger, skal eventuelle mottakere av opplysningene varsles. Bestemmelsene sett i sammenheng skal sikre at helseopplysninger som behandles er korrekte.

Tredje ledd

Tredje ledd pålegger virksomheter og helsepersonell som tilbyr eller yter tjenester i henhold til apotekloven, kommunehelsetjenesteloven, smittevernloven, spesialisthelsetjenesteloven og tannhelsetjenesteloven plikt til å utlevere eller overføre opplysninger som bestemt i forskrifter etter §§ 7 og 8, samt etter paragrafen her. Psykiatriloven er ikke nevnt i lovteksten fordi psykisk helsevern er en del av spesialisthelsetjenesten, og derfor er omfattet av spesialisthelsetjenesteloven.

Både virksomhetene og helsepersonellet kan pålegges meldeplikt etter loven. Som oftest kan det være mest hensiktsmessig at virksomheten er pliktsubjektet for meldeplikten. Dette gjelder for eksempel ved mange overføringer av opplysninger på elektroniske midler. Andre ganger kan en være best tjent med at helsepersonell pålegges en slik plikt. Forskriften som gis etter §§ 7 og 8, samt paragrafen her, vil nærmere konkretisere pliktsubjektet for meldeplikten.

Til § 10 Særlig om plikt til å innrapportere data til statistikk

Første punktum fastslår at departementet i forskrift eller ved enkeltvedtak kan pålegge fylkeskommuner og kommuner å innrapportere avidentifiserte eller anonyme data til statistikk, herunder nærmere regler om bruk av bestemte standarder, klassifikasjonssystemer og kodeverk. Hovedrapporteringen av informasjonsutvekslingen mellom kommune-stat skal skje i KOSTRA-sammenheng. Det er derfor bare i særskilte tilfeller denne bestemmelsen bør brukes. Eksempler er ad hoc rapporteringer i planleggingsfasen av nye tiltak, som eventuelt på lengre sikt kan tenkes innlemmet i KOSTRA, og ad hoc rapporteringer i beredskapsøyemed, som for eksempel i forbindelse med år 2000-problematikken.

Avidentifiserte og anonyme data er definert i § 2.

Kapittel 3 Alminnelige bestemmelser om behandling av helseopplysninger

Til § 11 Krav til formålsbestemthet, saklighet, relevans mv.

Første ledd

Bestemmelsen lovfester tre viktige grunnregler for behandling av helseopplysninger etter loven. Det er at

• enhver behandling av helseopplysninger skal ha et uttrykkelig angitt formål,

• formålet skal være saklig begrunnet i den databehandlingsansvarliges virksomhet,

• den databehandlingsansvarlige skal sørge for at helseopplysningene som behandles er tilstrekkelige og relevante for formålet.

Den første grunnregelen er at enhver behandling av helseopplysninger skal være formålsbestemt. Når det gjelder behandling av helseopplysninger i sentrale helseregistre, vil rammen for formålet/formålene fremgå av forskriften som gis med hjemmel i loven § 8. Lovens formålsangivelse vil sette yttergrensen for hvilke formål forskriften kan ivareta. For regionale og lokale helseregistre vil rammen for formålet/formålene fremgå av forskriften etter § 7. Virksomhetenes oppgaver og ansvar innen helseforvaltningen og helsetjenesten vil sette de ytre rammer for forskriften. Dette følger naturlig av at formålet med behandlingen av opplysningene skal være saklig begrunnet i den virksomheten den databehandlingsansvarlige driver.

Det konkrete formål for den enkelte behandlingen av helseopplysningene bestemmes av den databehandlingsansvarlige for opplysningene. Den databehandlingsansvarlige står ikke fritt når formålet skal bestemmes, men må holde seg innenfor forskriftens rammer.

Det vil således være tre nivåer (og rammer) av formålsbeskrivelser for en behandling av helseopplysninger. Det er

• det overordnede formål i loven,

• det generelle målet i forskriften (hvorfor en finner behov for å samle inn de aktuelle typer opplysninger til et nærmere bestemt register), og

• det konkrete formålet for en nærmere bestemt behandling av opplysningene, som den databehandlingsansvarlige uttrykkelig må angi.

Kravet om uttrykkelig angivelse av formålet skal skape åpenhet og klarhet om hva behandlingen av opplysningene skal tjene til. Dette krever at den databehandlingsansvarlige tilstreber gode og presise formålsangivelser. I kravet om at helseopplysningene må være tilstrekkelig, ligger at opplysningene må være så fullstendige som dette formålet krever. Uttrykket at opplysningene må være relevante gir en grense for hvilke opplysninger som kan trekkes med i behandlingen. Det er ikke tillatt å behandle opplysninger som det ikke er nødvendig å behandle for å nå formålet.

Annet ledd

Annet ledd første punktum fastslår at helseopplysninger, dvs. personidentifiserbare opplysninger, bare kan anvendes til andre formål enn helsehjelp til den enkelte pasient eller administrasjon av slik hjelp, når personidentifisering er nødvendig for å fremme disse formålene. Dette innebærer at når en databehandlingsansvarlig skal behandle opplysninger til et formål som ikke retter seg til en enkelt pasient, skal han eller hun alltid først vurdere hvor langt en kan nå formålet uten å behandle personidentifiserbare opplysninger, dvs. om en kan nå formålet med å behandle avidentifiserte eller anonyme opplysninger. Dersom en kommer til at det er nødvendig å behandle personidentifiserbare opplysninger, skal det alltid angis en begrunnelse for dette. Dette følger av annet punktum. Bestemmelsen gjelder for ethvert trinn i behandlingsprosessen ved behandling av helseopplysninger. Dette innebærer i praksis at så raskt formålet gjør det forsvarlig, skal identifiserende kjennetegn, som navn og fødselsnummer, fjernes og erstattes med et pseudonym.

Annet ledd tredje punktum fastslår at tilsynsmyndigheten i medhold av § 31 kan kreve at den databehandlingsansvarlige legger frem begrunnelsen. Begrepet legger frem betyr ikke her at den databehandlingsansvarlige konkret må legge frem et papirdokument, men at tilsynsmyndighetene gis tilgang til begrunnelsen.

Tredje ledd

Tredje ledd fastslår at helseopplysninger ikke kan anvendes til formål som er uforenlige med det opprinnelige formålet med innsamlingen av opplysningene, uten at den registrerte samtykker. Bestemmelsen tilsvarer forslag til lov om behandling av personopplysninger § 11 første ledd bokstav c. Bestemmelsen begrenser adgangen til å samkjøre helseopplysninger i ulike helseregistre. Spørsmålet om en eventuell behandling av helseopplysninger er uforenlig med det opprinnelige formål må avgjøres konkret. Viktige momenter i denne sammenheng er om behandlingen av opplysningene innebærer ulemper for den registrerte, om bruken skiller seg sterkt fra formålet som lå til grunn for innsamlingen, eller om behandlingen av opplysningene til det nye formålet stiller strengere krav til datakvaliteten, f.eks. at opplysningene ikke er av god nok kvalitet til at formålet med den nye behandlingen av opplysningene kan ivaretas på en tilfredsstillende måte.

Dersom en kommer til at det nye formålet er uforenlig med det opprinnelige formålet med innsamlingen av opplysningene, må opplysningene innsamles på nytt, eller den registrerte må samtykke i den nye behandlingen av opplysningene. At helseopplysningene allerede er samlet inn, er ikke noe selvstendig argument for å tillate behandling av opplysningene til det nye formålet.

Til § 12 Sammenstilling av helseopplysninger

Første ledd

Første ledd gjelder sammenstilling av opplysninger om samme pasient fra to eller flere behandlingsrettede helseregistre, (pasientjournaler) i det øyemed å gi eller tilby helsehjelp til pasienten. Det kan være sammenstilling av opplysninger fra to eller flere pasientjournaler om samme pasient innen en helseinstitusjon eller mellom helseinstitusjoner. Det kan være av stor betydning at helsepersonell som skal behandle en pasient har kjennskap til pasientens tidligere sykehistorie. Som eksempel kan nevnes at pasienten tidligere har reagert allergisk på et medikament, og derfor ikke bør få dette medikamentet på nytt. En forutsetning for sammenstilling av helseopplysninger som nevnt, er at vedkommende helsepersonell har tilgang til pasientopplysningene. Helsepersonells tilgang til slike pasientopplysninger reguleres i helsepersonelloven §§ 25 og 45. Helsepersonelloven § 25 første punktum fastslår at med mindre pasienten motsetter seg det, kan taushetsbelagte opplysninger gis til samarbeidende personell, når dette er nødvendig for å kunne gi forsvarlig helsehjelp. Etter helsepersonelloven § 45 skal, med mindre pasienten motsetter seg det, helsepersonell gi journalen eller opplysninger i journalen til andre som yter helsehjelp etter loven, når dette er nødvendig for å kunne gi helsehjelp på forsvarlig måte. Det fremgår av merknadene til nevnte bestemmelser at det også kan tenkes tilfeller der helsepersonell, ut fra kravet til forsvarlig helsehjelp, kan utlevere opplysningene selv om pasienten motsetter seg det.

Poenget med første ledd er å gi helsepersonell som mottar utleverte helseopplysninger adgang til å sammenstille disse opplysningene med de helseopplysninger helsepersonellet selv har samlet inn om pasienten, og som er nødvendig for å tilby pasienten helsehjelp.

Første ledd første punktum viser, i tillegg til helsepersonelloven §§ 25 og 26, til helsepersonelloven § 45. Dette fordi første ledd etter ordlyden også gir adgang til å sammenstille helseopplysninger i pasientjournalen med helseopplysninger i andre behandlingsrettede helseregistre om samme pasient - for å gi eller tilby helsehjelp til pasient i behandlingsøyemed. Henvisningen til helsepersonelloven § 26 er inntatt for å poengtere at pasientadministrative systemer ikke kan få tilført flere helseopplysninger til dette systemet enn helsepersonelloven § 26 tillater. Opplysninger helsepersonelloven § 26 regner opp, er foruten pasientens personnummer opplysninger om diagnose, eventuelle hjelpebehov, tjenestetilbud, innskrivings- og utskrivningsdata, samt relevante administrative data.

Første ledd annet punktum fastslår at helseopplysninger som nevnt også kan sammenstilles med folkeregisteropplysninger om den registrerte. Hvordan en praktisk skal få tilgang på folkeregisteropplysninger må nærmere vurderes i arbeidet med forskriften om den elektroniske pasientjournalen, hvor nødvendige sikkerhetstiltak etc. vil bli vurdert.

Annet ledd

Bestemmelsen fastslår at helseopplysninger innsamlet etter § 9 kan sammenstilles etter nærmere bestemmelser fastsatt i forskrift etter §§ 7 og 8. En forutsetning for å sammenstille helseopplysninger etter annet ledd, er at det er beskrevet i forskriften for nevnte helseregistre at helseopplysningene kan sammenstilles for dette formål. Formålet med sammenstillingen må ligge innenfor formålene som nevnt i disse bestemmelsene. Videre følger det av § 11 at formålet ikke må være uforenlig med det opprinnelige formålet med innsamlingen av helseopplysningene. Sammenstilling av opplysninger bør heller ikke skje hvis det genererer omfattende helseprofiler.

Tredje ledd

Tredje ledd fastslår at ut over det som følger av første og annet ledd, kan helseopplysninger bare sammenstilles når dette er tillatt etter personopplysningsloven §§ 9 og 33. Det følger av § 11 at formålet ikke må være uforenlig med det opprinnelige formålet med innsamlingen av helseopplysningene. Den sammenstillingen av helseopplysninger en da vil stå ovenfor, kan i prinsippet betraktes som et nytt helseregister.

Til § 13 Tilgang til helseopplysninger i den databehandlingsansvarliges og databehandlers institusjon

Bestemmelsen fastslår at det bare er den databehandlingsansvarlige, databehandlere og den som arbeider under den databehandlingsansvarliges eller databehandlers instruksjonsmyndighet, som kan gis tilgang til helseopplysninger som behandles etter loven. Bestemmelsen setter rammer for hvem som kan gis tilgang til helseopplysninger. Bestemmelsen sier også noe om kravet til konfidensialitet. Dersom en eller flere andre personer enn dem det refereres til har tilgang til helseopplysninger, har ikke databehandlingsansvarlige for opplysningene eller databehandler oppfylt sine plikter etter loven § 16 om sikring av helseopplysningenes konfidensialitet.

Annet punktum i bestemmelsen presiserer nærmere hvilke opplysninger det gis tilgang til. Tilgang til helseopplysninger kan bare gis i den grad det er nødvendig for vedkommendes arbeid og i samsvar med gjeldende bestemmelser om taushetsplikt. Bestemmelsen setter strengere rammer for tilgang til helseopplysninger enn fysiske og tekniske tilgangssperrer alene, dvs. begrenser tilgangen til helseopplysninger ut over fysiske og tekniske tilgangssperrer. Nødvendige tiltak fra den databehandlingsansvarliges side for at denne bestemmelse kan etterleves, er informasjon og oppbygging av kompetanse og holdninger, eventuelt også tiltak av organisatorisk art.

Til § 14 Utlevering av helseopplysninger

Første ledd

Første ledd første punktum fastslår at helseopplysninger kan utleveres eller overføres for sammenstilling som er tillatt etter § 12. Når det gjelder utlevering av opplysninger fra pasientjournalen, følger dette også av helsepersonelloven §§ 25, 26 og 45 som loven § 12 viser til. Bestemmelsen får derfor først og fremst praktisk betydning for behandling av helseopplysninger som skjer etter forskrift med hjemmel i loven §§ 7 og 8.

Annet punktum har også først og fremst praktisk betydning for behandling av helseopplysninger som skjer etter §§ 7 og 8. Bestemmelsen fastslår at sammenstilte helseopplysninger etter at navn og fødselsnummer er fjernet, kan utleveres eller overføres til en virksomhet bestemt av departementet, når formålet er å avidentifisere eller anonymisere opplysningene. Hensikten med bestemmelsen er å gi et sikkert hjemmelsgrunnlag for å kunne utlevere sammenstilte helseopplysninger til en virksomhet departementet bestemmer, slik at denne virksomheten kan avidentifisere eller anonymisere opplysningene, for deretter å utlevere disse til forskere, helseplanleggere etc. Dersom en forsker får utlevert anonyme data, trenger forskeren ikke konsesjon. Dersom forskeren får utlevert avidentifiserte data, må forskeren søke Datatilsynet om konsesjon for å behandle opplysningene, dersom det ikke er gjort unntak fra konsesjonsplikten etter personopplysningsloven § 33 femte ledd.

Loven bestemmer at navn og fødselsnummer skal være fjernet på sammenstilte helseopplysninger som overføres eller utleveres etter denne bestemmelsen, ev. erstattet med et pseudonym. Ofte vil opplysningene også være avidentifiserte, dvs. anonyme på mottakerens hånd, men ikke alltid. Grunnen til at opplysningene ikke alltid vil være anonyme på mottakerens hånd, er at det kan være mulig å identifisere enkeltpersoner indirekte, dvs. gjennom andre opplysninger enn navn og fødselsnummer (som forutsettes pseudonymisert).

Utgangspunktet er at opplysninger som utleveres til forskere, helseplanleggere etc. skal være anonyme. Det er ingen restriksjoner på utlevering av anonyme opplysninger. Tvert i mot er det et viktig formål med loven å fremme utlevering av god og oppdatert statistikk til bruk for styring, planlegging av helsetjenesten etc.

Eksempel på en prosess forut for utlevering av anonyme opplysninger til forskere, helseplanleggere etc.

Helseopplysninger kan sammenstilles med grunnlag i forskrift etter §§ 7 eller 8, eller ved at Datatilsynet gir konsesjon til å sammenstille helseopplysninger for et nærmere angitt formål.

Helseopplysninger overføres til Statistisk Sentralbyrå (SSB) med hjemmel i loven § 14 første ledd. SSB erstatter navn og fødselsnummer med et pseudonym og sammenstiller opplysningene. SSB overfører de sammenstilte helseopplysningene til en virksomhet departementet bestemmer, som for eksempel Norsk samfunnsvitenskapelige datatjeneste (NSD). NSD vil i slike tilfeller ikke ha kjennskap til navn og fødselsnummer på individet opplysningene kan knyttes til.

Norsk samfunnsvitenskapelige datatjeneste (NSD) anonymiserer opplysningene før disse utleveres til forskere eller helseplanleggere.

Et eksempel på en prosess forut for utlevering av avidentifiserte opplysninger til forskere

Som ovenfor. I tillegg må forskeren ha konsesjon fra Datatilsynet for å behandle opplysningene, hvis ikke unntak er hjemlet i personopplysningsloven § 33.

Annet ledd

Annet ledd fastslår at helseopplysninger dessuten kan utleveres eller overføres når utlevering eller overføring har hjemmel i eller i medhold av lov, og den som mottar opplysningene har adgang til å behandle dem etter personopplysningsloven.

Bestemmelsen gjelder for de tilfeller hvor en vil behandle helseopplysninger ut over det forskrift i medhold av helseregisterloven gir adgang til. Et eksempel vil anskueliggjøre dette. En forsker ønsker å få utlevert personidentifiserbare opplysninger til bruk i et bestemt forskningsprosjekt. Opplysningene finnes for eksempel i Kreftregisteret. Forskeren må da søke Statens helsetilsyn om tillatelse til å bruke opplysningene, dersom opplysningene skal behandles uten hinder av taushetsplikt. Videre må forskeren søke tillatelse fra Datatilsynet. Når forskeren har mottatt nevnte tillatelser, kan Kreftregisteret utlevere opplysningene til forskeren.

Eksempel på aktuelle lovhjemler er foruten første ledd i paragrafen her, forvaltningsloven § 13 d og helsepersonelloven § 29. Begrepet helseopplysninger omfatter i utgangspunktet også avidentifierte helseopplysninger, som vil være taushetsbelagte i den grad taushetsplikt følger av helsepersonelloven § 23 første ledd nr. 3.

I denne sammenheng kan en også merke seg at loven § 10 gir hjemmel for at departementet i forskrift eller enkeltvedtak kan pålegge fylkeskommuner og kommuner å innrapportere avidentifiserte data til statistikk.

Til § 15 Taushetsplikt

Første ledd

Første ledd fastslår at enhver som behandler helseopplysninger etter loven her, har taushetsplikt etter forvaltningsloven §§ 13 til 13e.

Bestemmelsen har tatt mønster av tilsvarende bestemmelser i sosialtjenesteloven og spesialisthelsetjenesteloven. Helsepersonell som behandler helseopplysninger, vil i de fleste tilfeller også være bundet av taushetsplikt etter helsepersonelloven, som vil gjelde i tillegg til denne bestemmelsen. Taushetsplikt etter profesjonslovene vil gå foran den forvaltningsmessige taushetsplikten. Når det gjelder taushetspliktens innhold, vil bestemmelsen derfor neppe få betydning for utøvende helsepersonell.

Annet ledd

Annet ledd utvider taushetspliktens anvendelsesområde i forhold til forvaltningsloven § 13 annet ledd. Bestemmelsen fastslår at også pasientens fødested, fødselsdata, personnummer, statsborgerforhold, sivilstand, yrke, bopel og arbeidssted omfattes av taushetsplikten. Dette er opplysninger som i utgangspunktet ikke er taushetsbelagt etter forvaltningsloven. Bestemmelsen skjerper taushetsplikten for personell i helseforvaltningen, for eksempel personell i Kreftregisteret, Medisinsk fødselsregister, Helsetilsynet etc., når disse organer behandler helseopplysninger etter loven.

Tredje ledd

Tredje ledd begrenser unntakene i taushetsplikten, som ellers ville følge av forvaltningsloven § 13 b nr. 5 og 6. Herværende bestemmelse stiller opp to alternative tilleggskrav for å kunne gjøre unntak fra taushetsplikten. Opplysninger til andre forvaltningsorganer etter forvaltningsloven § 13 b nr. 5 og nr. 6 kan bare gis når det er nødvendig for å bidra til løsning av oppgaver etter denne loven, eller det er nødvendig for å forebygge vesentlig fare for liv eller alvorlig skade for noens helse. Med denne lov menes herværende lov. Det er lignende bestemmelser i bl.a. spesialisthelsetjenesteloven § 7-1 og sosialtjenesteloven § 8-8. Bestemmelsen utvider dagens taushetsplikt i forhold til helseopplysninger som finnes registrert i lokale, regionale og sentrale helseregistre.

Tredje ledd kan for eksempel få betydning for ansatte ved helseinstitusjoner som ikke omfattes av spesialisthelsetjenesteloven, som for eksempel Kreftregisteret og Medisinsk fødselsregister.

Til § 16 Sikring av konfidensialitet, integritet, kvalitet og tilgjengelighet

Første ledd

Første ledd fastslår at den databehandlingsansvarlige og databehandleren gjennom planlagte og systematiske tiltak skal sørge for tilfredsstillende informasjonssikkerhet med hensyn til konfidensialitet, integritet, kvalitet og tilgjengelighet ved behandling av helseopplysninger.

Bestemmelsen svarer til forslag til lov om behandling av personopplysninger § 13 første ledd, bortsett fra at begrepet sikker behandling av helseopplysninger også omfatter opplysningenes kvalitet, dvs. at det faktisk er riktig det som nedskrives.

Krav om tilstrekkelig konfidensialitet innebærer at bestemmelsene om taushetsplikt og de alminnelige bestemmelsene om tilgang til og utlevering eller overføring av helseopplysninger overholdes. Videre innebærer det at den behandling av helseopplysninger som er tillatt, foregår med nødvendig diskresjon. Pseudonyme og krypterte helseopplysninger kan bidra til å sikre konfidensialiteten, men det vil ikke hindre at informasjonen som sådan (i pseudonym eller kryptert form) havner hos uvedkommende. Videre vil gradert tilgang til helseopplysninger ved bruk av autorisasjonsordninger bidra til å sikre konfidensialiteten.

Krav om integritet betyr at informasjonen ikke skal endres under lagring eller transport - opplysningene skal være uendret i forhold til originalinnføringen. En skal ikke «uautorisert» kunne gå inn og endre opplysningene. For eksempel vil digital signatur kunne sikre mot uoppdaget endring av opplysningene.

Med kvalitet menes at opplysningene er korrekte, oppdaterte, og kan dokumenteres. God kvalitet innebærer også at en har relevante og tilstrekkelige opplysninger tilgjengelig som grunnlag for beslutninger.

Kravet om tilgjengelighet innebærer at opplysningene faktisk er tilgjengelige når brukeren trenger dem.

Annet ledd

Annet ledd fastslår at for å oppnå tilfredsstillende informasjonssikkerhet, skal den databehandlingsansvarlige og databehandleren dokumentere informasjonssystemet og sikkerhetstiltakene. Dokumentasjonen skal være tilgjengelig for medarbeiderne hos den databehandlingsansvarlige og hos databehandleren. Videre fastslås at dokumentasjonen skal være tilgjengelig for tilsynsmyndighetene. Tilsynsmyndighetene er Datatilsynet og Statens helsetilsyn. Videre må Personvernnemnda likestilles med tilsynsmyndighetene i denne sammenheng. Bestemmelsen svarer til forslag til lov om behandling av personopplysninger § 13 annet ledd.

Tredje ledd

Tredje ledd fastslår at en databehandlingsansvarlig som lar andre få tilgang til helseopplysninger, som for eksempel en databehandler eller andre som utfører oppdrag i tilknytning til informasjonssystemet, skal påse at disse oppfyller sikkerhetskravene i første til tredje ledd. Bestemmelsen svarer til forslag til lov om behandling av personopplysninger § 13 tredje ledd.

Fjerde ledd

Fjerde ledd fastslår at Kongen i forskrift kan sette nærmere krav til sikkerhet ved behandling av helseopplysninger etter loven her, jf. lov om behandling av personopplysninger § 13 fjerde ledd. Den forskriften som gis i henhold til personopplysningsloven § 13 fjerde ledd, vil i utgangspunktet også gjelde for behandling av helseopplysninger etter loven her. Det kan imidlertid ikke utelukkes at det kan være aktuelt å gi særlige krav for sikring av helseopplysninger i forhold til personopplysningslovens generelle sikkerhetsregler, herunder kvalitetskrav. Etter fjerde ledd annet punktum kan Kongen derfor sette nærmere krav til elektronisk signatur, kommunikasjon og langtidslagring, om godkjenning (autorisasjon) av programvare og om bruk av standarder, klassifikasjonssystemer og kodeverk, samt hvilke nasjonale eller internasjonale standardsystemer som skal følges.

Som faginstans har Datatilsynet som hovedoppgave å formulere de overordnede sikkerhetsbehov i form av konkrete krav til konfidensialitet, integritet og tilgjengelighet. Fastsetting av eventuelle særlige krav for behandling av helseopplysninger må derfor gjøres i tett samarbeid med Datatilsynet, og være mest mulig i harmoni med sikkerhetskravene som stilles etter personopplysningsloven. Viktig å merke seg er at virksomheter som er underlagt Datatilsynets krav ikke vil kunne kommunisere med etater som har et lavere sikkerhetsnivå enn det Datatilsynet pålegger i sine konsesjoner. Helseopplysninger kan imidlertid være meget sensitive opplysninger, og en kan ikke utelukke at det kan bli nødvendig å utarbeide særlige strenge sikkerhetskrav for nærmere bestemte behandlinger av helseopplysninger, eller for nærmere bestemte opplysninger. Videre vil det kunne bli nødvendig for helseforvaltningen og helsetjenesten å utarbeide særlige kvalitetskrav for opplysningene.

Til § 17 Internkontroll

Første ledd

Første ledd fastslår at den databehandlingsansvarlige skal etablere og holde vedlike planlagte og systematiske tiltak som er nødvendige for å oppfylle kravene i eller i medhold av denne loven, herunder sikre helseopplysningenes kvalitet. Bestemmelsen svarer til forslag til lov om behandling av personopplysninger § 14 første ledd.

Det er i lovteksten ikke fastsatt nærmere krav til metode for hvordan internkontrollplikten skal gjennomføres. Slike krav forutsettes ev. fastsatt i forskrift etter tredje ledd i bestemmelsen.

Annet ledd

Annet ledd fastslår at den databehandlingsansvarlige skal dokumentere tiltakene, og at dokumentasjonen skal gjøres tilgjengelig for medarbeiderne hos den databehandlingsansvarlige og hos databehandleren. Videre fastslås at dokumentasjonen også skal være tilgjengelig for tilsynsmyndighetene. Tilsynsmyndighetene er Datatilsynet og Statens helsetilsyn. Bestemmelsen svarer til forslag til lov om behandling av personopplysninger § 14 annet ledd. Personvernnemnda må likestilles med tilsynsmyndighetene i forhold til denne bestemmelsen.

Tredje ledd

Tredje ledd fastslår at Kongen i forskrift kan gi nærmere regler om internkontroll. Det er ingen grunn til å tro at reglene om internkontroll i lov om behandling av personopplysninger, med tilhørende forskrifter, ikke vil tilfredsstille behovet for internkontroll i helseforvaltningen. Innholdet i disse vil derfor i utgangspunktet også gjelde for helsetjenesten.

En kan imidlertid ikke se bort fra at reglene om internkontroll i forhold til kvalitetskrav og i forhold til elektroniske pasientjournaler, også må harmoniseres med øvrige bestemmelser om internkontroll i helseforvaltningen, og av den grunn bør ha en hjemmel i loven her.

Til § 18 Databehandlers rådighet over helseopplysninger

Bestemmelsen fastslår at en databehandler ikke kan behandle helseopplysninger på annen måte enn det som er skriftlig avtalt med den databehandlingsansvarlige. Hvem som kan regnes som databehandler fremgår av definisjonen i § 2 nr. 8. Dette innebærer at helseopplysningene heller ikke uten slik avtale kan overlates til noen andre for lagring eller bearbeidelse. I avtalen mellom databehandler og den databehandlingsansvarlige skal det dessuten fremgå at databehandleren plikter å gjennomføre slike sikringstiltak som følger av § 16.

Bestemmelsen tilsvarer forslag til lov om behandling av personopplysninger § 15.

Bestemmelsen vil bl.a. få betydning når databehandlingsansvarlig skal inngå avtaler med databehandlere i oppfølgingen av NOU 1997: 26.

Til § 19 Frist å svare på henvendelser mv.

Første ledd

Første ledd fastslår at den databehandlingsansvarlige skal svare på henvendelser om innsyn eller andre rettigheter etter §§ 21, 22, 26 og 28 uten ugrunnet opphold og senest innen 30 dager fra den dagen henvendelsen kom inn. Bestemmelsen tilsvarer forslag til lov om behandling av personopplysninger § 16 første ledd.

Bestemmelsen forutsetter at den databehandlingsansvarlige bygger opp rutiner slik at fristen overholdes. Dersom det over tid viser seg vanskelig å gjennomføre innsynsretten innen 30 dager, må rutinene endres. Dette følger av plikten den databehandlingsansvarlige har til å innføre internkontroll.

Annet ledd

Annet ledd fastslår at dersom særlige grunner gjør det umulig å svare på henvendelsen innen 30 dager, kan gjennomføringen utsettes inntil det er mulig å gi svar. Den databehandlingsansvarlige skal i så fall gi et foreløpig svar med opplysninger om grunnen til forsinkelsen og sannsynlig tidspunkt for når svar kan gis. Bestemmelsen tilsvarer forslag til lov om behandling av personopplysninger § 16 annet ledd.

Hva som ligger i særlig grunn må avgjøres konkret. Det kan være kapasitetsproblemer, stor pågang av registrerte som vil ha innsyn, dårlige rutiner etc. Mindre forsinkelser i avgrensede perioder kan aksepteres. Vedvarende forsinkelser kan på den annen side ikke aksepteres.

Kapittel 4 Databehandlingsansvarliges informasjonsplikt og den registrertes innsynsrett

Til § 20 Informasjon til allmennheten om behandling av helseopplysninger etter loven §§ 7 og 8

Bestemmelsen fastslår at når helseopplysninger behandles etter forskrift fastsatt i medhold av §§ 7 og 8, skal den databehandlingsansvarlige av eget tiltak informere allmennheten om hva slags behandling av helseopplysninger som foretas. Bestemmelsene gjelder ikke for databehandlingsansvarlige som behandler helseopplysninger etter loven §§ 5 eller 6.

Bestemmelsen styrker allmennhetens rett til informasjon og kunnskap om sentrale, regionale og lokale helseregistre og behandling av helseopplysninger. Innholdet i informasjonsplikten etter § 20 er det samme som innholdet i informasjonsplikten etter § 21, men mens informasjonsplikten etter § 21 først oppstår når noen ber om det, skal informasjonen etter § 20 gis av eget tiltak. Informasjonen etter § 20 skal være generell og kortfattet. Se merknadene til § 21 nedenfor.

Formålet med bestemmelsen er todelt. For det første er det viktig at befolkningen får informasjon og kunnskap om nytten av helseregistre, og får forståelse av at det er nødvendig for helseforvaltningen å behandle helseopplysninger for å bygge opp kunnskap. Økt kunnskap om behandling av helseopplysninger kan også bidra til å dempe unødig frykt i befolkningen. For det andre er informasjon og kunnskap om behandling av helseopplysninger en nødvendig forutsetning for å kunne be om innsyn i registeret. Rent praktisk kan en gjennomføring av informasjonsplikten skje ved utarbeidelse av brosjyrer som distribueres til helseinstitusjoner, legekontorer, helsesentere etc. Videre kan informasjonen gis gjennom media, aviser, tv, Internett etc.

Til § 21 Rett til generell informasjon om helseregistre og behandling av helseopplysninger

Første ledd

Den første passusen i første ledd fastslår at enhver som ber om det skal få vite hva slags behandling av helseopplysninger en databehandlingsansvarlig foretar. Til forskjell fra § 20 plikter den databehandlingsansvarlige å gi informasjonen direkte til den som ber om det. Videre gjelder informasjonsplikten etter § 21 også for databehandlingsansvarlige som behandler helseopplysninger etter §§ 5 og 6 i loven (i tillegg til §§ 7 og 8).

Den andre passusen i første ledd presiserer innholdet i informasjonsplikten. Bestemmelsen fastslår at den som ber om det kan kreve å få følgende informasjon om en bestemt behandling av helseopplysninger:

1. navn og adresse på den databehandlingsansvarlige og dennes eventuelle representant,

2. hvem som har det daglige ansvaret for å oppfylle den databehandlingsansvarliges plikter,

3. formålet med behandlingen av helseopplysningene,

4. beskrivelser av hvilke typer helseopplysninger som behandles,

5. hvor opplysningene er hentet fra, og

6. om helseopplysningene vil bli utlevert, og eventuelt hvem som er mottaker.

Bestemmelsen tilsvarer forslag til lov om behandling av personopplysninger § 18 første ledd. Informasjonen som skal gis er i hovedsak den samme som skal meldes til Datatilsynet. Informasjon som nevnt kan også kreves fra Datatilsynet. Dette følger av forslag til lov om behandling av personopplysninger § 42 tredje ledd.

Informasjonen den databehandlingsansvarlige gir skal være generell, kortfattet og standardisert. De samme opplysningene skal kunne gis til alle som ber om informasjon om den bestemte behandlingen av helseopplysningene. Etter nr. 5, som gir rett til informasjon om kilden for opplysningene, vil det for eksempel være tilstrekkelig å angi at opplysningene er utlevert eller hentet ut fra pasientjournalen. Etter nr. 6 er det tilstrekkelig å angi kategorier av mottakere. Det er ikke nødvendig å identifisere den enkelte mottaker. Dersom opplysningene skal transporteres ut av landet, må det særskilt opplyses om dette.

Annet ledd

Annet ledd fastslår at informasjonen kan kreves hos den databehandlingsansvarlige eller hos dennes representant som nevnt i § 18. Det er ingen formkrav til henvendelsen. En anmodning over telefon vil for eksempel være tilstrekkelig.

Til § 22 Rett til innsyn

Bestemmelsen gir den registrerte innsynsrett i konkrete opplysninger og behandlinger av helseopplysninger om seg selv. Dette til forskjell fra §§ 20 og 21 som gir en generell rett til informasjon om behandling av helseopplysninger.

Til forskjell fra forslag til lov om behandling av personopplysninger, behandler loven her bestemmelsene om rett til generell informasjon om behandling av helseopplysninger og innsynsrett i helseopplysninger om en selv i to forskjellige paragrafer.

Begrunnelsen er følgende: Etter forslag til lov om behandling av personopplysninger § 18 annet ledd, skal den registrerte som ber om generell informasjon også gis innsyn i opplysninger om seg selv når henvendelsen besvares, dersom han eller hun er registert i registeret. Slik er det ikke etter dette lovforslaget. Etter § 21 er det kun generell informasjon som skal gis. Dette fordi at den databehandlingsansvarlige skal kunne besvare en henvendelse etter § 21 som ren rutine, uten å vite om den som ber om informasjon er registrert. Det betyr ikke at en som ønsker innsyn må be om det i to begjæringer. Ofte vil vedkommende vite om han eller hun er registrert, for eksempel etter informasjon etter loven § 24, eller vedkommende kan be om innsyn under forutsetning av at han eller hun er registrert.

Første ledd

Første ledd omhandler innsynsrett i behandlingsrettet helseregister som reguleres i forskrift med hjemmel i § 6. Bestemmelsen fastslår at den som ber om det, har rett til innsyn i behandlingsrettet helseregister i den grad dette følger av pasientrettighetsloven § 5-1 og helsepersonelloven § 41. Etter pasientrettighetsloven § 5-1 første ledd første punktum, har pasienten rett til innsyn i journalen sin med bilag, og har etter særskilt forespørsel rett til kopi. Når departementet med hjemmel i pasientrettighetsloven § 5-1 sjette ledd gir nærmere regler om innsyn i pasientjournal, vil departementet også se på hvordan innsynsretten i elektroniske pasientjournaler nærmere bør praktiseres, herunder om en kan kreve å få oversendt journalen elektronisk eller på diskett, ev. betaling for dette etc.

Annet ledd

Annet ledd regulerer innsynsretten i behandling av helseopplysninger som skjer etter §§ 5, 7 og 8. Bestemmelsen fastslår at når helseopplysninger behandles etter §§ 5, 7 og 8, har den registrerte på forespørsel i tillegg til opplysninger som nevnt i § 21 første ledd, rett til å få opplyst

1. hvilke helseopplysninger om den registrerte som behandles, og

2. sikkerhetstiltakene ved behandlingen av helseopplysningene så langt innsyn ikke svekker sikkerheten.

Innsynsretten gjelder både i manuelle helseregistre og i helseopplysninger som behandles elektronisk. Bestemmelsen gir den registrerte en mulighet for å avdekke uriktige eller ufullstendige opplysninger om en selv, som så kan kreves rettet. Det er bare opplysninger om «seg selv» den registrerte har innsyn i. Opplysninger om andre personer har en ikke innsyn i. Den registrerte kan også kreve at den databehandlingsansvarlige utdyper informasjonen som nevnt i § 21 første ledd i den grad dette er nødvendig for at den registrerte skal kunne vareta egne interesser. Den registrerte kan for eksempel be om konkret informasjon om hvor opplysningene er hentet fra. For den databehandlingsansvarlige er det da ikke nok å vise til pasientjournalen, det må også gis informasjon om hvilken pasientjournal. Informasjonen må være så konkret at pasienten kan finne tilbake til det bestemte «registeret» opplysningene er hentet fra.

I tillegg til rett til innsyn i opplysninger om en selv, har den registrerte også krav på å få opplysninger om sikkerhetstiltak, hvis ikke innsyn svekker sikkerheten. En kan her skille mellom ulike sikkerhetstiltak. Tiltak som bygger opp kompetanse og holdninger vil ofte omfattes av innsynsretten, mens tiltak som skal sikre at ikke uvedkommende skal kunne få fysisk eller teknisk tilgang til helseopplysningene, lett vil kunne omfattes av unntak fra innsynsretten. Bestemmelsen tilsvarer forslag til lov om behandling av personopplysninger § 18 annet ledd bokstav b.

Tredje ledd

Tredje ledd første punktum fastslår at informasjon etter første og annet ledd kan kreves skriftlig hos den databehandlingsansvarlige eller hos denne representant som nevnt i § 18. Innsynsbegjæringen kan fremsettes både overfor den databehandlingsansvarlige og databehandleren. Hvorvidt databehandlere selv skal effektuere innsynsbegjæringer eller om denne oppgaven skal ligge hos den databehandlingsansvarlige, vil fremgå av hva som er avtalt mellom den databehandlingsansvarlige og databehandler. Dersom databehandleren skal kunne effektuere henvendelser om innsyn etter loven § 24, må det fremgå i avtalen mellom den databehandlingsansvarlige og databehandleren at databehandleren skal ha en slik oppgave.

Den registrerte kan kreve at informasjonen gis skriftlig. Skriftlighetskravet innebærer at det må brukes skrifttegn når informasjonen gis, men det er ikke til hinder for at dette gjøres ved bruk av elektroniske hjelpemidler.

Databehandlingsansvarlige som blir bedt om å gi innsyn, kan kreve at den som ber om innsyn (den registrerte) leverer en skriftlig og undertegnet begjæring. Kravet om skriftlig og undertegnet begjæring skal sikre at den som ber om innsyn er den han eller hun gir seg ut for. Den databehandlingsansvarlige bør kunne bevise at opplysningene ikke er utlevert til utenforstående. Begjæringen kan sendes elektronisk. Det må i så fall kreves at den registrerte identifiserer seg på en tilstrekkelig sikker måte, for eksempel ved bruk av elektronisk signatur eller annen sikker dokumentasjon.

Fjerde ledd

Fjerde ledd fastslår at Kongen i forskrift kan gi nærmere bestemmelser om retten til innsyn i behandling av helseopplysninger etter annet og tredje ledd. Videre fastslås at dersom særlige grunner gjør det nødvendig, kan Kongen gi forskrift om at den registrerte skal betale et vederlag til den databehandlingansvarlige. Utgangspunktet er at det ikke skal kreves vederlag for informasjon og innsyn etter loven her, med mindre særlige grunner tilsier det. Særlige grunner kan for eksempel være behov for å begrense gjentatte og formålsløse forespørsler om innsyn og der hvor kostnadene ved å gi innsyn viser seg å bli meget høye. I slike tilfeller synes det naturlig at de som ber om innsyn betaler et vederlag for dette. Dette er også utgangspunktet etter forslag til lov om behandling av personopplysninger, jf. § 17. Fjerde ledd siste punktum fastslår at et eventuelt vederlag ikke kan overstige kostnadene ved å gi innsyn. Informasjon etter loven §§ 20 og 21 og §§ 23 og 24 skal gis uten vederlag.

Til § 23 Informasjonsplikt når det samles inn opplysninger fra den registrerte

Første ledd

Første ledd pålegger den databehandlingsansvarlige å informere den registrerte når det samles inn opplysninger fra den registrerte selv. Informasjonen skal gis av eget tiltak. Den databehandlingsansvarlige skal informere den registrerte om

1. navn og adresse på den databehandlingsansvarlige og dennes eventuelle representant

2. formålet med behandlingen av helseopplysningene,

3. opplysningene vil bli utlevert, og eventuelt hvem som er mottaker,

4. det er frivillig å gi fra seg helseopplysningene, og

5. annet som gjør den registrerte i stand til å bruke sine rettigheter etter loven her på best mulig måte, som for eksempel informasjon om retten til å få kreve innsyn, jf. § 22 og retten til å kreve retting og sletting, jf. §§ 26 og 28.

Bestemmelsen tilsvarer forslag til lov om behandling av personopplysninger § 19 første ledd.

Uttrykket «samler inn opplysninger fra den registrerte» omfatter både muntlige og skriftlige henvendelser. Langt de fleste helseopplysninger blir samlet inn av helsepersonell i tilknytning til at personer (pasienter) henvender seg til helsetjenesten for undersøkelse, behandling, etc. Etter nr. 2 skal den databehandlingsansvarlige i slike situasjoner opplyse hva som er formålet med å samle inn opplysningene om pasienten. Formålet med innsamlingen av helseopplysninger i slike situasjoner kan bl.a. utledes av helsepersonelloven §§ 1 og 40. Etter helsepersonelloven § 1 skal loven bidra til sikkerhet for pasienter og kvalitet i helsetjenesten, samt tillit til helsepersonell og helsetjeneste. Helsepersonelloven § 40 setter krav til pasientjournalen innhold, slik at målene kan nås.

Helseopplysninger kan også samles inn ved at helseforvaltningen eller helsetjenesten gjennomfører ulike screeningundersøkelser, helseundersøkelser, spørreundersøkelser etc. I slike tilfelle må den databehandlingsansvarlige både informere om formålet med undersøkelsene og den etterfølgende behandlingen av opplysningene undersøkelsene gir opphav til.

Etter nr. 3 skal den databehandlingsansvarlige opplyse om helseopplysningene blir utlevert, og eventuelt hvem som er mottaker. Dersom helsepersonell innsamler helseopplysninger som omfattes av meldeplikten etter loven § 9, skal pasienten gis informasjon om dette. Helsepersonells informasjonsplikt i slike tilfeller vil også følge av pasientrettighetsloven § 3-6, som pålegger helsepersonell å informere den opplysningene gjelder, dersom de utleverer opplysninger som er undergitt lovbestemt opplysningsplikt.

Etter nr. 4 skal den databehandlingsansvarlige informere om det er frivillig å gi fra seg opplysningene. Dersom helseopplysningene dels skal brukes på en måte som krever samtykke fra den registrerte og dels på en måte som ikke krever samtykke, er det viktig at den registrerte får informasjon om dette. I de tilfeller det kreves samtykke fra den registrerte, er det også viktig å poengtere at det er et frivillige samtykke det bes om, og at den registrerte ikke på noen måte må føle seg presset til å samtykke. Videre er det viktig å presisere at samtykke ikke omfatter mer enn det den registrerte faktisk blir informert om.

Etter nr. 5 skal den databehandlingsansvarlige også informere om annet som gjør den registrerte i stand til å bruke sine rettigheter etter loven på best mulig måte.

Annet ledd

Annet ledd fastslår at dersom det må antas at den registrerte allerede kjenner til det som det skal informeres om, gjelder ikke informasjonsplikten. Det vil som regel være tilstrekkelig å gi den registrerte informasjon en gang.

I primærhelsetjenesten for eksempel, må det være tilstrekkelig at fastlegen informerer pasienten ved første gangs henvendelse. Er legen, eventuelt annet helsepersonell som innhenter helseopplysninger, i tvil om personen (pasienten) har fått informasjon, må han eller hun spørre pasienten. Ved innleggelse i sykehus kan det være praktisk at den databehandlingsansvarlige nedfeller rutiner eller prosedyrer skriftlig for hvordan informasjonsplikten skal gjennomføres, for eksempel ved mottakelse av pasienten. Øvrig helsepersonell, som samler inn helseopplysninger fra pasienten under oppholdet, kan da gå ut ifra at pasienten er informert i henhold til de skrevne rutiner. Dersom det imidlertid viser seg at dette ikke er tilfelle, må pasienten informeres på nytt.

Bestemmelsen tilsvarer forslag til lov om behandling av personopplysninger § 19 annet ledd.

Til § 24 Informasjonsplikt når det samles inn opplysninger fra andre enn den registrerte

Første ledd

Første ledd fastslår at en databehandlingsansvarlig som samler inn helseopplysninger fra andre enn den registrerte selv, av eget tiltak skal informere den registrerte om hvilke opplysninger som samles inn og gi informasjon som nevnt i § 23 første ledd så snart opplysningene er innhentet. Som hovedregel skal det varsles straks opplysningene er innhentet. Kravet om informasjon straks er modifisert i annet punktum, som gir databehandlingsansvarlige en adgang til å utsette varslingsplikten. Dersom formålet med innsamlingen av opplysningene er å gi dem videre til andre, kan den databehandlingsansvarlige vente med å varsle den registrerte til utleveringen skjer.

Bestemmelsen tilsvarer forslag til lov om behandling av personopplysninger § 20 første ledd.

Annet ledd

Den databehandlingsansvarliges informasjonsplikt etter første ledd er ikke uten unntak. Annet ledd lovfester de samme unntakene fra informasjonsplikten som forslag til lov om behandling av personopplysninger § 20 annet ledd. Den registrerte har ikke krav på varsel dersom:

1. innsamlingen av opplysningene er fastsatt i lov,

2. varsling er umulig eller uforholdsmessig vanskelig, eller

3. det er på det rene at den registrerte allerede kjenner til informasjonen som varslet skal inneholde.

Nr. 1 gjør unntak fra varslingsplikten når innsamlingen av opplysningene er fastsatt i lov. Bestemmelsen følger også av direktiv 95/46 EF. Det fremgår ikke av forarbeidene hva som menes med lov i denne forbindelse, eller hvor strengt kravet til lov er. Begrunnelsen for unntaket er at varsel er unødvendig fordi loven vil gi nødvendig informasjon til den registrerte. Innsamlingen av helseopplysninger til sentrale, regionale og lokale helseregistre vil klart gå frem av loven her §§ 7 til 9 og forskrifter gitt i medhold av disse bestemmelsene. Departementet antar at forskriftene etter §§ 7 og 8 vil være like kjent for befolkningen som loven. I praksis vil det være forskriften de databehandlingsansvarlige vil forholde seg til i det daglige arbeid, i tillegg til loven. Departementet antar at lovskravet i nr. 1 er oppfylt i denne sammenheng.

Nr. 2 gjør unntak for varslingsplikten når varsling er umulig eller uforholdsmessig vanskelig. Om varsling er «uforholdsmessig vanskelig», må avgjøres etter en konkret avveining av om den registrerte har nytte av å bli varslet, vurdert opp mot de ressursene dette vil kreve. Et unntak vil for eksempel kunne tenkes i forhold til forskningsprosjekter som kan gjennomføres uten hensyn til taushetsplikten etter helsepersonelloven § 29 og forvaltningsloven § 13d.

Utgangspunktet også for slike prosjekter vil imidlertid være at den registrerte skal informeres dersom opplysninger om vedkommende skal behandles i forbindelse med prosjektet. For hvert enkelt forskningsprosjekt må det foretas en konkret vurdering av om varsling vil være så omfattende at den vil medføre et uforholdsmessig stort arbeid for den databehandlingsansvarlige, veiet opp mot de konsekvenser gjenbruken vil få for de registrerte.

Når dispensasjonsmyndigheten tar stilling til om det skal gjøres unntak fra taushetsplikten i ulike forskningsprosjekter, bør dispensasjonsmyndigheten også uttale seg i spørsmålet om den registrerte bør varsles eller ikke. Forut for en slik uttalelse bør dispensasjonsmyndigheten innhente råd fra den nasjonale forskningsetiske komite.

Nr. 3 gjør unntak for varslingsplikten når det er på det rene at den registrerte allerede kjenner til informasjonen som varslet skal inneholde. Kravet om når det er på det rene vil for eksempel være oppfylt i forhold til meldepliktige helseopplysninger. I slike tilfelle følger at av § 23 nr. 3 at den registrerte er kjent med at opplysningene videregis.

Til § 25 Unntak fra retten til informasjon og innsyn

Første ledd

Første ledd gjelder for elektroniske pasientjournaler og andre behandlingsrettede helseregistre, og viser til pasientrettighetsloven § 5-1 annet ledd. Bestemmelsen fastslår at det kan nektes innsyn i behandlingsrettet helseregister etter reglene i pasientrettighetsloven § 5-1.

Pasientrettighetsloven § 5-1 angir to alternative grunner som må foreligge for at pasienten kan nektes innsyn i opplysninger i sin elektroniske pasientjournal eller annet behandlingsrettet helseregister. For det første kan innsyn nektes hvis det er påtrengende nødvendig for å hindre fare for liv eller alvorlig helseskade for pasienten selv. For det andre kan innsyn nektes hvis det klart er utilrådelig av hensyn til personer som står pasienten nær.

Annet ledd

Annet ledd oppstiller felles unntak for den databehandlingsansvarliges plikt til å informere den registrerte etter §§ 20, 23 og 24 og plikt til å gi den registrerte innsyn i behandling av helseopplysninger etter §§ 21 og 22. Mønster for bestemmelsen er forslag til lov om behandling av personopplysninger § 23. Annet ledd er likelydende med personopplysningsloven § 23 bokstav a til f.

Annet ledd nr. 1 gjør unntak for opplysninger som om de ble kjent, ville kunne skade rikets sikkerhet, landets forsvar, eller forholdet til fremmede makter eller internasjonale organisasjoner. Departementet kan vanskelig se at bestemmelsen kan få praktisk betydning under fredelige forhold. Departementet har tatt inn bestemmelsen for sikkerhets skyld.

Annet ledd nr. 2 gjør unntak for opplysninger som det er påkrevd å hemmeligholde av hensyn til forebygging, etterforskning, avsløring og rettslig forfølging av straffbare handlinger. Det følger av bestemmelsens art at en nekting av innsyn etter nr. 2 er tidsbegrenset.

Annet ledd nr. 3 gjør unntak for opplysninger som det må anses utilrådelig at den registrerte får kjennskap til, av hensyn til vedkommendes helse eller forholdet til personer som står vedkommende nær. Passusen «må anses utilrådelig» er hentet fra forslag til lov om behandling av personopplysninger § 23 bokstav c. Unntaket kan tenkes å omfatte flere tilfeller enn unntaket i pasientrettighetsloven § 5-1 annet ledd, som uttaler at pasienten kan nektes innsyn i opplysninger i journalen dersom dette er påtrengende nødvendig for å hindre fare for liv eller alvorlig helseskade for pasienten selv, eller innsyn er klart utilrådelig av hensyn til personer som står pasienten nær.

Annet ledd nr. 4 henviser til lovbestemmelser om taushetsplikt, og gjør det klart at taushetsplikten går foran bestemmelser om informasjonsplikt og innsynsrett. Bestemmelsen tilsvarer forslag til lov om behandling av personopplysninger § 23 bokstav d. Det må antas at bestemmelsen får liten praktisk betydning da taushetsplikten i utgangspunktet ikke gjelder ovenfor den opplysningene angår.

Annet ledd nr. 5 gjør unntak for opplysninger som utelukkende finnes i tekst som er utarbeidet for den interne saksforberedelse og som heller ikke er utlevert til andre. Bestemmelsen svarer til forslag til lov om behandling av personopplysninger § 23 bokstav e.

Annet ledd nr. 6 gjør unntak for opplysninger det vil være i strid med åpenbare og grunnleggende private eller offentlige interesser å informere om, herunder hensynet til den registrerte selv. Bestemmelsen svarer til forslag til lov om behandling av personopplysninger § 23 bokstav f. Det fremgår av ordlyden i bestemmelsen at det skal mye til for å gjøre unntak fra denne bestemmelsen.

Tredje ledd

Tredje ledd fastslår at opplysninger som den registrerte nektes innsyn i etter første ledd nr. 3, på anmodning likevel kan gjøres kjent for en representant for den registrerte med mindre representanten anses uskikket for dette. Videre fastslås at en lege eller advokat ikke kan nektes innsyn, med mindre særlige grunner taler for dette. Bestemmelsen i tredje ledd omfatter bare opplysninger den registrerte nektes innsyn i etter § 22. Denne bestemmelsen gir for eksempel ikke en representant for den registrerte en rett til informasjon etter § 24.

Fjerde ledd

Fjerde ledd fastslår at den som nekter å gi innsyn i medhold av første eller annet ledd, må begrunne dette skriftlig med presis henvisning til unntakshjemmelen. Bestemmelsen tilsvarer forslag til lov om behandling av personopplysninger § 23 tredje ledd. Bestemmelsen er meget viktig. Bestemmelsen må antas å ville bidra til å bevisstgjøre de databehandlingsansvarlige, og bidra til økt kvalitet på behandling av helseopplysninger. Bestemmelsen vil også gi den registrerte dokumentasjon, som den registrerte kan ta med ved en eventuell henvendelse til Datatilsynet for å anmode om bistand til å vurdere om informasjonsplikten er overholdt.

Kapittel 5 Særlige bestemmelser om retting og sletting av helseopplysninger

Til § 26 Plikt til å rette og slette mangelfulle helseopplysninger

Bestemmelsen pålegger den databehandlingsansvarlige å rette eller slette ulike former for mangelfulle opplysninger. De fire første leddene i bestemmelsen gjelder behandling av helseopplysninger i sentrale, regionale og lokale helseregistre, jf. loven §§ 7 og 8, og helseregistre som opprettes etter loven § 5. Femte ledd gjelder elektroniske pasientjournaler og andre behandlingsrettede helseregistre.

Første ledd

Den første passusen i første ledd første punktum pålegger den databehandlingsansvarlige å rette helseopplysninger som er uriktige eller ufullstendige. Retting skal skje av eget tiltak. Det er ikke nødvendig at den registrerte ber om retting. Muntlig eller skriftlig begjæring fra den registrerte kan likevel ha betydning rent faktisk, fordi den databehandlingsansvarlige på denne måten kan få kunnskap om at opplysningene er mangelfulle.

Den andre passusen i første ledd første punktum pålegger den databehandlingsansvarlige å rette helseopplysninger som det ikke er adgang til å behandle. Et eksempel er at det overføres taushetsbelagte helseopplysninger til sentrale helseregistre uten at den registrerte har samtykket. I slike tilfelle må den databehandlingsansvarlige enten slette opplysningene eller skaffe seg den nødvendige hjemmel (samtykke).

Første ledd første punktum tilsvarer forslag til lov om behandling av personopplysninger § 27 første punktum.

Første ledd annet og tredje punktum fastslår at den databehandlingsansvarlige om mulig skal sørge for at feilen ikke får betydning for den registrerte, og pålegger den databehandlingsansvarlige å varsle mottakere av utleverte opplysninger, dersom de mangelfulle opplysningene er utlevert. Varslingsplikten gjelder også dersom mottakere ved en feil har fått overført opplysninger de ikke skal ha. I sist nevnte tilfelle må mottakeren slette opplysningene. Den som blir varslet vil i sin tur ha plikt til å varsle eventuelle neste ledd opplysningene er utlevert til.

Første ledd annet og tredje punktum svarer til forslag til lov om behandling av personopplysninger § 27 første ledd annet punktum, bortsett fra at varslingsplikten til mottakere av utleverte opplysninger gjelder uten unntak.

Annet ledd

I utgangspunktet er det den databehandlingsansvarlige selv som bestemmer hvordan retting skal skje. Det vil som oftest være mest hensiktsmessig at retting av mangelfulle opplysninger skjer ved at de mangelfulle opplysningene suppleres med korrekte og fullstendige opplysninger, dvs. at en får to sett av opplysninger. Annet ledd oppstiller særregler for hvordan retting av uriktige eller ufullstendige helseopplysninger skal foretas dersom opplysningene kan ha betydning som dokumentasjon. Retting av mangelfulle opplysninger i slike tilfeller skal skje ved at opplysningene tydelig markeres og suppleres med korrekte opplysninger. Dette fordi det i ettertid kan være behov for å kunne dokumentere at det er behandlet uriktige eller ufullstendige helseopplysninger. Bestemmelsen svarer til forslag til lov om behandling av personopplysninger § 27 annet ledd.

Tredje ledd

Tredje ledd første punktum fastslår at dersom tungtveiende personvernhensyn tilsier det, kan Datatilsynet uten hinder av annet ledd bestemme at retting skal skje ved at de mangelfulle helseopplysningene slettes eller sperres, dvs. at sletting kan foretas selv om opplysningene kan ha betydning som dokumentasjon. Bestemmelsen skyldes at de uriktige eller ufullstendige helseopplysningene kan gi et så uheldig eller stigmatiserende bilde av den registrerte at en markering av opplysningene og supplering med nye opplysninger ikke gir noen tilfredsstillende løsning for den registrerte. Videre fastslår annet og tredje punktum at hvis opplysningene ikke kan kasseres i medhold av arkivloven, skal Riksarkivaren høres før vedtak treffes. Vedtaket går foran reglene i arkivloven 4. desember 1992 nr. 126 §§ 9 og 18. Begrunnelsen er et grunnleggende personvernhensyn skal gå foran generelle arkivhensyn.

Bestemmelsen svarer til forslag til lov om behandling av personopplysninger § 27 tredje ledd.

Fjerde ledd

Fjerde ledd fastslår at sletting bør suppleres med registrering av korrekte og fullstendige opplysninger. Dersom dette ikke er mulig, og dokumentet som inneholdt de slettede opplysningene gir et åpenbart misvisende bilde, skal hele dokumentet slettes. Bestemmelsen tilsvarer forslag til lov om behandling av personopplysninger § 27 fjerde ledd.

Femte ledd

Femte ledd første punktum fastslår at for retting og sletting av mangelfulle opplysninger i behandlingsrettet helseregister, gjelder reglene i helsepersonelloven §§ 42 til 44. Behandlingsrettet helseregister er i loven § 2 nr. 6 definert som pasientjournal eller annet helseregister som har til formål å gi grunnlag for handlinger som har forebyggende, diagnostisk, behandlende, helsebevarende eller rehabiliterende mål i forhold til den enkelte pasient og som utføres av helsepersonell, samt administrasjon av slike handlinger.

Femte ledd annet punktum fastslår at første ledd annet og tredje punktum også gjelder for behandlingsrettede helseregistre, dvs. at dersom de mangelfulle helseopplysningene er utlevert fra pasientjournalen, skal mottakere av opplysningene varsles. Dette gjelder for eksempel dersom helsepersonell melder uriktige pasientopplysninger til samarbeidende personell. Det betyr også at dersom et sykehus´ kvalitetskontroll viser at det er meldt mangelfulle opplysninger til Kreftregisteret, skal sykehuset sende melding om dette. Bestemmelsen vil, sammen med § 9 annet ledd annet punktum, bidra til at helseopplysninger helseforvaltningen og helsetjenesten behandler, er korrekte.

Til § 27 Forbud mot å lagre unødvendige helseopplysninger

Første ledd

Første ledd fastslår at den databehandlingsansvarlige ikke skal lagre helseopplysninger lenger enn det som er nødvendig for å gjennomføre formålet med behandlingen av helseopplysningene. Hvis ikke helseopplysningene deretter skal oppbevares i henhold til arkivloven eller annen lovgivning, skal de slettes. Bestemmelsen tilsvarer forslag til lov om behandling av personopplysninger § 28 første ledd.

Annet ledd

Annet ledd fastslår at det i forskrift etter §§ 6 til 8 kan bestemmes at helseopplysninger kan lagres for historiske, statistiske eller vitenskapelige formål, dersom samfunnets interesse i at opplysningene lagres klart overstiger de ulempene den kan medføre for den enkelte. Oppbevaringen kan finne sted så lenge disse formålene gjør det nødvendig. Når det gjelder opplysninger i sentrale helseregistre er det som oftest forutsatt at helseopplysningene, bl.a. av forskningshensyn, skal oppbevares i lang tid, eventuelt permanent. Dette vil også mer eller mindre gjelde for helseopplysninger i enkelte regionale og lokale helseregistre.

Når det gjelder pasientjournaler har forskrift om leges og helseinstitusjons journal for pasient regler om oppbevaringsplikt i forskriften § 10. Det fremgår av forskriften § 10 første punktum at journaler i somatiske og psykiatriske sykehus og deres poliklinikker skal oppbevares i ubegrenset tid, hvis ikke annet fremgår av forskriften. Bestemmelsen gjelder også for elektroniske pasientjournaler.

Bestemmelsen gir ikke den databehandlingsansvarlige adgang til å oppbevare helseopplysninger av eget tiltak. Annet ledd annet punktum fastslår at den databehandlingsansvarlige skal sørge for at opplysningene ikke oppbevares på måter som gjør det mulig å identifisere den registrerte lenger enn nødvendig. Det betyr at dersom den databehandlingsansvarlige kan oppfylle formålet ved å behandle opplysninger som er pseudonymisert, avidentifisert eller anonymisert, plikter han eller hun å gjøre dette. Opplysninger som ikke lenger kan knyttes til en bestemt registrert er ikke lenger helseopplysninger i lovens forstand, og reguleres ikke i loven. Annet ledd annet punktum uttrykker et prinsipp som kommer til syne flere steder i loven, og har for så vidt ingen selvstendig betydning.

Til § 28 Sletting eller sperring av helseopplysninger som føles belastende for den registrerte

Første ledd

Første ledd første punktum fastslår at den registrerte kan kreve at helseopplysninger som behandles etter loven §§ 5, 7 og 8 skal slettes eller sperres, dersom behandling av opplysningene føles sterkt belastende for den registrerte og det ikke finnes sterke allmenne hensyn som tilsier at opplysningene behandles.

Bestemmelsen gjelder selv om helseopplysningene er korrekte. Bestemmelsen omfatter i prinsippet også mangelfulle helseopplysninger som blir rettet, men ikke slettet, etter § 26 annet ledd. Dersom den registrerte finner de rettede helseopplysningene sterkt belastende, kan han eller kun anmode om å få opplysningene slettet eller sperret etter bestemmelsen her.

Vilkåret «sterkt belastende» for den registrerte, er skjerpet i forhold til vilkåret «belastende» i høringsnotatet. Det skal noe til for at den registrerte kan kreve helseopplysninger om seg selv slettet. Dette må sees på bakgrunn av at helseforvaltningen først har funnet det nødvendig å behandle opplysningene for å ivareta viktige helsefaglige hensyn. (Det er bare nødvendige opplysninger det er tillatt å behandle.) Det at personen helseopplysningene angår gjerne skulle ha sett at opplysningene ikke fantes, er ikke god nok grunn til å få de slettet. Det må imidlertid legges vekt på den registrertes egen oppfatning av om behandling av opplysningene føles sterkt belastende eller ikke.

En ytterligere begrensning i den registrertes adgang til å kreve helseopplysninger slettet etter denne bestemmelsen, er at sletting ikke skal foretas dersom sterke allmenne hensyn er imot det. Allmenne hensyn omfatter her først og fremst hensyn som loven her skal fremme. Den databehandlingsansvarlige kan ikke slette helseopplysninger etter første ledd dersom det følger av arkivlovgivningen at opplysningene skal oppbevares. En beslutning om å slette opplysninger i sentrale, regionale og lokale helseregistre på tvers av arkivloven, kan bare Datatilsynet gjøre, jf. annet ledd.

Første ledd annet punktum fastslår at et krav om sletting eller sperring av helseopplysninger rettes til den databehandlingsansvarlige for opplysningene.

Annet ledd

Annet ledd fastslår at Datatilsynet kan, etter at Riksarkivaren er hørt, treffe vedtak om at retten etter første ledd går foran reglene i arkivloven 4. desember 1992 nr. 126 §§ 9 og 18. Hvis dokumentet som inneholdt de slettede opplysningene gir et åpenbart misvisende bilde etter slettingen, skal hele dokumentet slettes.

Dersom det gir en tilfredsstillende løsning for den registrerte, bør en som alternativ til sletting først vurdere sperring av opplysningene.

Annet ledd tilsvarer forslag til lov om behandling av personopplysninger § 28 fjerde ledd.

Tredje ledd

Tredje ledd gjelder sletting av opplysninger i elektroniske pasientjournaler og andre behandlingsrettede helseregistre. Bestemmelsen fastslår at for sletting av helseopplysninger i behandlingsrettede helseregistre gjelder helsepersonelloven § 43.

Kapittel 6 Tilsyn, kontroll og sanksjoner

Til § 29 Meldeplikt til Datatilsynet

Første ledd

Første ledd fastslår at den databehandlingsansvarlige skal gi melding til Datatilsynet før behandling av helseopplysninger med elektroniske hjelpemidler, og før opprettelse av manuelt helseregister. Bestemmelsen tilsvarer forslag til lov om behandling av personopplysninger § 31 første ledd. Det er den databehandlingsansvarlige selv som skal sørge for at melding blir sendt Datatilsynet. Det er ingen formkrav til meldingen. Meldingen kan sendes i brev, på faks, e-mail eller lignende.

Det er selve behandlingsmåten av opplysningene som skal meldes til Datatilsynet. Den databehandlingsansvarlige trenger ikke sende melding hver gang den samme behandlingsmåten gjentas på samme type helseopplysninger. Dette kan illustreres med et eksempel. Kreftregisteret sender melding til Datatilsynet om hvilke typer helseopplysninger som blir overført til Statistisk sentralbyrå. Formålet med behandlingen av opplysningene er å kvalitetssikre dem mot opplysninger i Dødsårsaksregisteret, og vise versa. Det vil ikke være nødvendig for Kreftregisteret å sende melding til Datatilsynet hver gang denne prosessen gjentas.

Dersom opplysningene skal utleveres til andre enn oppgitt i den opprinnelige meldingen, må imidlertid ny melding sendes.

Annet ledd

Annet ledd første punktum fastslår at meldingen skal gis senest 30 dager før den første behandlingen av opplysningene tar til. Bestemmelsen tilsvarer forslag til lov om behandling av personopplysninger § 31 annet ledd første punktum. Bestemmelsen innebærer at meldingen må være mottatt i Datatilsynet innen denne fristen. Avhengig av omfanget av behandlingen av helseopplysningene, kan den databehandlingsansvarlige være tjent med å sende melding til Datatilsynet enda lenger i forveien enn 30 dager, da det kan være ønskelig å etablere dialog og samarbeid med Datatilsynet allerede i planperioden.

Annet ledd annet punktum fastslår at Datatilsynet skal gi den databehandlingsansvarlige kvittering for at melding er mottatt. Bestemmelsen svarer til forslag til lov om behandling av personopplysninger § 31 annet ledd annet punktum. For den databehandlingsansvarlige vil kvitteringen kunne tjene som dokumentasjon på at meldeplikten er oppfylt. Kvitteringen vil imidlertid ikke være noen godkjennelse fra Datatilsynet om at behandlingen av helseopplysningene som meldingen omfatter, tilfredsstiller lovens krav. Datatilsynet vil for eksempel i etterkant kunne stoppe en behandling av helseopplysninger som er i strid med sikkerhetsbestemmelsene i § 16, selv om den databehandlingsansvarlige har fått kvittering for mottatt melding. Det må derfor anbefales at databehandlingsansvarlige for de mer omfattende behandlinger av helseopplysninger, i god tid på forhånd, oppretter dialog med Datatilsynet.

Tredje ledd

Tredje ledd tilsvarer forslag til lov om behandling av personopplysninger § 31 tredje ledd. Tredje ledd første punktum presiserer at ny melding må gis Datatilsynet før behandling av helseopplysninger, som går ut over den ramme for behandling av helseopplysninger som er angitt i medhold av § 30. Tidsfristen på 30 dager gjelder også for den nye meldingen. Ny melding vil bl.a. være aktuell dersom den databehandlingansvarlige ønsker å samle inn opplysningene fra andre kilder enn tidligere, eller hvis opplysningene skal brukes til et annet formål innenfor loven og forskriftens formål.

Tredje ledd annet punktum fastslår at selv om det ikke har skjedd endringer, skal det gis ny melding tre år etter at forrige melding ble gitt. Med denne bestemmelse sikres det at Datatilsynets opplysninger over meldepliktige behandlinger av helseopplysninger aldri er eldre enn tre år gamle.

Fjerde ledd

Fjerde ledd fastslår at Kongen kan gi forskrift om at visse typer behandling av helseopplysninger er unntatt meldeplikt eller er underlagt forenklet meldeplikt. Videre åpnes det for å forenkle eller frita for meldeplikten særskilte databehandlingsansvarlige eller grupper av databehandlingsansvarlige. Hjemmelen muliggjør utprøving av ulike forsøksordninger, som for eksempel forenklet samarbeid med databehandlingsansvarlige som utpeker særskilte dataansvarlige for å etterleve lovens bestemmelser.

Bestemmelsen svarer til forslag til lov om behandling av personopplysninger § 31 fjerde ledd, bortsett fra at passusen om at Kongen kan gi forskrift om at meldepliktige behandlinger av helseopplysninger istedenfor skal være underlagt konsesjonsplikt, ikke gjelder meldepliktige behandlinger av helseopplysninger etter loven her.

Det fremgår av merknadene til forslag til lov om behandling av personopplysninger fjerde ledd at unntakene fra meldeplikten i utgangspunktet bare bør gjøres der det er på det rene at behandlingen av helseopplysningene er helt ufarlig ut fra personvernhensyn. Videre uttales det at dersom meldesystemet vil være en essensiell informasjonsbærer for tilsynet, bør det ikke gjøres unntak begrunnet i ressurshensyn. Disse betraktninger vil særlig gjøre seg gjeldende i forhold til behandling av helseopplysninger.

Det vil være naturlig å delegere forskriftsmyndigheten etter denne bestemmelse til samme organ som får tildelt myndighet til å gi forskrifter etter forslag til lov om behandling av personopplysninger § 31 fjerde ledd.

Til § 30 Meldepliktens innhold

Første ledd

Bestemmelsen tilsvarer forslag til lov om behandling av personopplysninger § 32.

Første ledd angir hvilke opplysninger meldingen skal inneholde. Det fastslås at meldingen skal opplyse om

1. navn og adresse på den databehandlingsansvarlige og på dennes eventuelle representant og databehandler,

2. når behandlingen av helseopplysningene starter,

3. hvem som har det daglige ansvaret for å oppfylle pliktene som hviler på den databehandlingsansvarlige,

4. formålet med behandlingen av helseopplysningene,

5. oversikt over hvilke typer helseopplysninger som skal behandles,

6. hvor helseopplysningene hentes fra,

7. det rettslige grunnlaget for innsamlingen av helseopplysningene,

8. hvem helseopplysningene vil bli utlevert til, herunder eventuelle mottakere i andre stater, og

9. hvilke sikkerhetstiltak som er knyttet til behandlingen av helseopplysningene.

Det er foretatt mindre endringer i forhold til høringsnotatets forslag for å harmonisere med forslag til lov om behandling av personopplysninger. § 30 nr. 2 er ny, og bestemmer at meldingen skal opplyse om når behandlingen av helseopplysningene starter. Bestemmelsen gjør det mulig å kontrollere om 30-dagers fristen i § 29 annet ledd er overholdt. I nr. 7 presiseres det at det er det rettslige grunnlaget for innsamlingen av helseopplysningene som skal oppgis. Det vil til eksempel ikke være nok å vise til loven § 9, også forskriften som gis med hjemmel i loven og som pålegger innsamlingen av opplysningene, må angis.

Annet ledd

Annet ledd gir Kongen adgang til å gi nærmere forskrifter om bl.a. hvilke opplysninger meldingen skal inneholde. Meldingens innhold må følge opplegget til personopplysningsloven, jf. forslag til lov om behandling av personopplysninger § 32 annet ledd. Dette fordi Datatilsynet skal kunne behandle meldingene på samme måte. Noe annet ville være tungvint, og kanskje være til hinder for at meldingene skal kunne tjene de funksjoner de er tiltenkt. Det vil være derfor være naturlig å delegere forskriftsmyndigheten til samme organ som får tildelt myndighet til å gi forskrift etter forslag til lov om behandling av personopplysninger § 32 annet ledd.

Til § 31 Tilsynsmyndighetene

Første ledd

Første ledd fastslår at Datatilsynet fører tilsyn med at bestemmelsene i loven blir fulgt, og at feil eller mangler blir rettet, med mindre tilsynsoppgaven påligger Statens helsetilsyn eller fylkeslegen etter lov om statlig tilsyn med helsetjenesten.

Bestemmelsen gir både Datatilsynet og Statens helsetilsyn et ansvar når det gjelder tilsyn, råd og veiledning i forhold til elektronisk behandling av helseopplysninger, og i forhold til annen behandling av helseopplysninger, når opplysningene inngår eller skal inngå i et helseregister.

Området for Datatilsynets ansvar følger bl.a. av forslag til lov om behandling av personopplysninger § 42, som opplister Datatilsynets oppgaver i 8 punkter. En viktig oppgave for Datatilsynet i forhold til herværende lov vil bl.a. være å kontrollere at loven og forskriftene, især personvernreglene, blir fulgt, og at feil eller mangler blir rettet. Dette gjelder så vel i forhold til tilsyn, råd og veiledning som i forhold til sikring av helseopplysninger, jf. loven § 16, innsynsreglene og reglene om retting og sletting av helseopplysninger. En viktig kilde for Datatilsynets utøvelse av tilsynsmyndigheten vil være de meldingene som gis etter loven § 29. Datatilsynet vil sammenholde meldingene med loven og forskriftene, som setter rammene og gir nærmere regler for hvordan helseopplysningene skal behandles.

Andre viktige oppgaver for Datatilsynet i forhold til praktiseringen av loven her, fremgår av forslag til lov om behandling av personopplysninger § 42 nr. 5 og 7. Etter forslag til lov om behandling av personopplysninger § 42 nr. 5 skal Datatilsynet identifisere farer for personvernet, og gi råd om hvordan de kan unngås eller begrenses. Etter forslag til lov om behandling av personopplysninger § 42 nr. 7 skal Datatilsynet gi uttalelse i spørsmål om behandling av personopplysninger generelt. Dette innebærer at Datatilsynet må trekkes med i arbeidet med forskriftene som skal utarbeides med hjemmel i loven §§ 6 til 8.

Området for Helsetilsynets ansvar følger av lov om statlig tilsyn med helsetjenesten. Etter loven § 1 har Statens helsetilsyn det overordnede faglige tilsyn med helsetjenesten i landet og skal utøve myndighet i samsvar med det som er bestemt ved lov, forskrift eller pålegg fra departementet. Tilsynsansvaret til Statens helsetilsyn vil først og fremst omfatte behandling av helseopplysninger som skjer med hjemmel i loven § 6, dvs. elektroniske pasientjournaler og andre behandlingsrettede helseregistre. Et område hvor det kan anføres å være et kompletterende tilsynsansvar, er tilsyn, råd og veiledning i forhold til sikring av helseopplysninger i elektroniske pasientjournaler. Det er en del av Helsetilsynets oppgaver å føre tilsyn med at alle pasientjournalopplysninger er tilgjengelige og har den nødvendige kvalitet, konfidensialitet og integritet, når helsepersonell trenger opplysningene for sin behandling av pasienten. Etter lov om statlig tilsyn med helsetjenesten § 7 gir departementet nærmere bestemmelser til gjennomføring og utfylling av loven.

Annet ledd

Annet ledd fastslår at tilsynsmyndighetene kan kreve de opplysninger som trengs for at de kan gjennomføre sine oppgaver. Bestemmelsen tilsvarer forslag til lov om behandling av personopplysninger § 44 første ledd, bortsett fra at adgangen til å kreve opplysninger også gjelder for Statens helsetilsyn. Med tilsynsmyndighetene menes Datatilsynet og Statens helsetilsyn. Videre må Personvernnemnda anses å være tilsynsmyndighet i forhold til denne bestemmelse, fordi nemnda avgjør klager over Datatilsynets vedtak. Tilsynsmyndighetenes adgang til å kreve opplysninger omfatter bare opplysninger som er nødvendige for at de skal kunne utføre sine tilsynsoppgaver.

Tredje ledd

Bestemmelsen tilsvarer forslag til lov om behandling av personopplysninger § 44 tredje ledd med visse modifikasjoner.

Tredje ledd første punktum fastslår at tilsynsmyndighetene som ledd i sin kontroll med at lovens regler etterleves, kan kreve adgang til steder hvor det finnes helseregistre, helseopplysninger som behandles elektronisk og hjelpemidler for behandling av helseopplysninger som nevnt. For Helsetilsynet følger dette også av lov 19. november 1982 nr. 66 om helsetjenesten i kommunene § 6-3 annet ledd, lov 3. juni 1983 nr. 54 om tannhelsetjenesten § 6-2 annet ledd, lov 5. august 1994 nr. 55 om vern mot smittsomme sykdommer § 2-2 åttende ledd og lov 2. juli 1999 nr. 61 om spesialisthelsetjenesten m.m. § 7-2.

Tredje ledd annet punktum fastslår at tilsynsmyndighetene kan gjennomføre de prøver eller kontroller som det finner nødvendig, og kreve bistand fra personalet på stedet i den grad dette må til for å få utført prøvene eller kontrollene. Det er opp til tilsynsmyndighetene å vurdere om det er nødvendig å foreta stedlige kontroller eller om de vil utøve sin kontroll kun på basis av innsendte meldinger.

Fjerde ledd

Fjerde ledd første punktum fastslår at retten til å kreve opplysninger eller tilgang til lokaler og hjelpemidler i henhold til annet og tredje ledd gjelder uten hinder av taushetsplikt. Bestemmelsen svarer til forslag til lov om behandling av personopplysninger § 44 tredje ledd.

Femte ledd

Femte ledd først punktum fastslår at tilsynsmyndighetene og andre som utfører tjeneste for tilsynsmyndighetene, har taushetsplikt etter § 15. Bestemmelsen tilsvarer forslag til lov om behandling av personopplysninger § 45 første ledd første punktum med visse modifikasjoner. Det betyr at det er en noe strengere taushetsplikt for tilsynsmyndigheten etter loven her, enn hva som ellers ville fulgt av forslag til lov om behandling av personopplysninger. Der fastslås at taushetsplikten også omfatter opplysninger om sikkerhetstiltak. Dette er i samsvar med forslag til lov om behandling av personopplysninger § 45 første ledd annet punktum.

Personvernnemnda, som er klageorgan for Datatilsynets vedtak, er å anse som tilsynsmyndighet i forhold til denne bestemmelsen.

Sjette ledd

Sjette ledd første punktum fastslår at Kongen kan gi forskrift om unntak fra første til fjerde ledd av hensyn til rikets sikkerhet. Bestemmelsen tilsvarer forslag til lov om behandling av personopplysninger § 44 fjerde ledd første punktum. Departementet antar at bestemmelsen vil ha liten betydning i forhold til behandling av helseopplysninger, men finner å ville innta bestemmelsen for sikkerhets skyld.

Sjette ledd annet punktum fastslår at Kongen kan gi forskrift om dekning av utgiftene ved kontroll. Videre at skyldige bidrag til dekning av utgiftene er tvangsgrunnlag for utlegg. Bestemmelsen svarer til forslag til lov om behandling av personopplysninger § 44 fjerde ledd annet punktum.

Til § 32 Adgang til å gi pålegg

Første ledd

Første ledd første punktum gir Datatilsynet adgang til å utferdige pålegg om at behandling av helseopplysninger i strid med bestemmelser i eller i medhold av loven skal opphøre, eller i stedet fastsette vilkår, som må oppfylles for at behandlingen av helseopplysningene skal være i samsvar med loven. Bestemmelsen tilsvarer forslag til lov om behandling av personopplysninger § 46 første ledd.

Bestemmelsen gir ikke adgang for Datatilsynet til å gi pålegg om strengere regulering enn det loven eller forskriften gir adgang til. Datatilsynet kan bare sette vilkår som bringer behandlingen av helseopplysningene innenfor lovens ramme.

Første ledd annet punktum gir Statens helsetilsyn hjemmel for å gi pålegg som nevnt, dersom det kan antas at behandlingen av helseopplysningene kan ha skadelige følger for pasienten. Helsetilsynets påleggsmyndighet vil først og fremst gjelde i forhold til ulovlig behandling av helseopplysninger i elektroniske pasientjournaler og andre behandlingsrettede helseregistre.

Første ledd tredje og fjerde punktum fastslår at Statens helsetilsyn skal informeres når Datatilsynet har gitt et pålegg. Videre at Datatilsynet skal informeres når Statens helsetilsyn har gitt et pålegg.

Annet ledd

Annet ledd fastslår at pålegg etter første ledd skal inneholde en frist for å rette seg etter pålegget. Dette gjelder uansett om tilsynsmyndigheten vil la manglende etterlevelse av pålegget føre til at den databehandlingsansvarlige ilegges tvangsmulkt eller ikke. Det er ingen tilsvarende bestemmelse i forslag til lov om behandling av personopplysninger. Dersom manglende etterlevelse av et pålegg skal kunne føre til tvangsmulkt, følger det også av bestemmelsene om tvangsmulkt at frist for oppfyllelse av pålegget må angis i selve pålegget.

Tredje ledd

Tredje ledd fastslår at avgjørelser som Datatilsynet fatter i medhold av §§ 26, 28, 31, 32 og 33, kan påklages til Personvernnemnda. Bestemmelsen har tatt mønster etter forslag til lov om behandling av personopplysninger § 42 annet ledd. En del avgjørelser som det er vist til vil også være enkeltvedtak etter forvaltningsloven § 2 første ledd bokstav b og vil kunne påklages i medhold av forvaltningsloven kapittel VI. Det følger av forvaltningsloven at Sosial- og helsedepartementet er klageorgan for vedtak som treffes av Statens helsetilsyn.

Til § 33 Tvangsmulkt

Første ledd

Første ledd første punktum fastslår at ved pålegg etter § 32 kan Datatilsynet fastsette en tvangsmulkt som løper for hver dag som går etter utløpet av den fristen som er satt for oppfylling av pålegget, inntil pålegget er oppfylt. Bestemmelsen svarer til lov om behandling av personopplysninger § 47 første ledd med nødvendige modifikasjoner. Bestemmelsen er endret i forhold til forslaget i høringsutkastet, der også Helsetilsynet fikk adgang til å ilegge tvangsmulkt. Mulktens størrelse bestemmes av Datatilsynet, i lys av alminnelige forvaltningsrettslige prinsipper, herunder hensynet til rimelig forholdsmessighet mellom det målet som søkes oppnådd og de virkemidlene som brukes. Momenter som vil kunne ha betydning i denne forbindelse er bl.a. hvor viktig det er at pålegget gjennomføres, hvor betydelig overtredelsen er, hvilke ulemper overtredelsen medfører for den registrerte, hvilke fordeler overtredelsen innebærer for den som gjør seg skyldig i overtredelsen og for samfunnet for øvrig, og hvor sterk økonomi den som overtrer pålegget har. Departementet har ikke funnet det nødvendig å ta inn disse retningslinjene i selve lovteksten.

Tvangsmulkten kan fastsettes både i selve det vedtaket som inneholder pålegget, eller senere, dersom pålegget ikke etterleves. Overtredelse av loven eller bestemmelser fastsatt i medhold av loven vil ikke i seg selv gi adgang til å gi tvangsmulkt. Det er først når det er gitt pålegg om å endre eller stanse en ulovlig behandling av helse opplysninger, med en frist for å følge opp pålegget, at tvangsmulkt kan bli aktuelt.

I tillegg til forslag til lov om behandling av personopplysninger § 47, gir også forslag til lov om behandling av personopplysninger §§ 12, 27 og 28 tilsynsmyndigheten myndighet til å utferdige pålegg. I loven her ligger tilsvarende påleggshjemler innebygget i adgangen til å gi forskrifter etter loven §§ 6 til 8 og påleggshjemmelen i § 32, dersom forskriftene overtres.

Annet ledd

Annet ledd fastslår at tvangsmulkten ikke løper før klagefristen er ute. Videre fastslås at hvis vedtaket påklages, løper ikke tvangsmulkt før klageinstansen har bestemt det. Bestemmelsen svarer til forslag til lov om behandling av personopplysninger § 47 annet ledd.

Tredje ledd

Tredje ledd fastsetter at Datatilsynet kan frafalle påløpt tvangsmulkt. Vedtak om tvangsmulkt er tvangsgrunnlag for utlegg etter tvangfullbyrdelsesloven § 7-2 bokstav (d). Bestemmelsen svarer til forslag til lov om behandling av personopplysninger § 47 tredje ledd.

Til § 34 Straff

Bestemmelsen tilsvarer forslag til lov om behandling av personopplysninger § 48 med visse modifikasjoner.

Skyldkravet er i forhold til høringsnotatet skjerpet til forsett eller grov uaktsomhet. Dette er i samsvar med skyldkravet i forslag til lov om behandling av personopplysninger § 48.

Paragraf 34 nr. 1 straffesanksjonerer den som behandler helseopplysninger i strid med §§ 16 eller 18. § 16 skal sikre helseopplysningenes konfidensialitet, integritet, kvalitet og tilgjengelighet. § 18 regulerer databehandlerens rådighet over helseopplysningene. Overtredelse av bestemmelsene om informasjonssikkerhet og databehandlers rådighet over opplysningene, er også straffesanksjoner etter forslag til lov om behandling av personopplysninger, jf. loven § 48 første ledd bokstav e.

Paragraf § 34 nr. 2 straffesanksjonerer den som unnlater å gi opplysninger til den registrerte etter § 23 (informasjonsplikt når det samles inn opplysninger fra den registrerte) og § 24 (informasjonsplikt når det samles inn opplysninger fra andre enn den registrerte). Tilsvarende bestemmelser er også staffesanksjonert etter forslag til lov om behandling av personopplysninger, jf. § 48 første ledd bokstav f.

Paragraf 34 nr. 3 straffesanksjonerer den som unnlater å sende melding til Datatilsynet etter § 29. Tilsvarende bestemmelse er også staffesanksjonert etter forslag til lov om behandling av personopplysninger, jf. loven § 48 første ledd bokstav a.

Paragraf 34 nr. 4 straffesanksjonerer den som unnlater å gi opplysninger til tilsynsmyndigheten etter § 31. Tilsvarende bestemmelse er også straffesanksjonert etter forslag til lov om behandling av personopplysninger, jf. § 48 første ledd bokstav f.

Paragraf 34 nr. 5 straffesanksjonerer den som unnlater å etterkomme pålegg fra Datatilsynet og Statens helsetilsyn etter § 32. Tilsvarende bestemmelsen er også straffesanksjonert etter forslag til lov om behandling av personopplysninger, jf. § 48 første ledd bokstav d.

Annet ledd

Annet ledd fastslår at ved særdeles skjerpende omstendigheter kan fengsel inntil tre år idømmes. Videre fastslås at ved avgjørelsen av om det foreligger særdeles skjerpende omstendigheter skal det blant annet legges vekt på faren for stor skade eller ulempe for den registrerte, den tilsiktede vinningen ved overtredelsen, overtredelsens varighet og omfang, utvist skyld og om den databehandlingsansvarlige tidligere er straffet for å ha overtrådt tilsvarende bestemmelser. Bestemmelsen svarer til forslag til lov om behandling av personopplysninger § 48 annet ledd. Angivelsen av momenter som skal tas i betraktning er ikke uttømmende. I vurderingen av overtredelsens omfang og ulempen for den registrerte vil det bl.a. ha betydning hva slags opplysninger det dreier seg om og om disse er spredt eller gjort tilgjengelig for et stort antall personer.

Tredje ledd

Tredje ledd fastslår at medvirkning straffes på samme måte. Bestemmelsen tilsvarer forslag til lov om behandling av personopplysninger § 48 tredje ledd.

Fjerde ledd

Fjerde ledd fastslår at i forskrift som gis i medhold av loven, kan det fastsettes at den som forsettelig eller grovt uaktsomt overtrer forskriften, skal straffes med bøter eller fengsel inntil ett år eller begge deler. Bestemmelsen tilsvarer forslag til lov om behandling av personopplysninger § 48 fjerde ledd. Et eksempel hvor det vil være aktuelt å straffesanksjonere overtredelse av bestemmelser i forskrift, er overtredelse av meldeplikten til sentrale, regionale og lokale helseregistre, fastsatt i forskrift etter loven § 9.

Til § 35 Erstatning

Første ledd

Første ledd fastslår at den databehandlingsansvarlige skal erstatte skade som er oppstått som følge av at helseopplysninger er behandlet i strid med bestemmelser i eller i medhold av denne lov, med mindre det godtgjøres at skaden ikke skyldes feil eller forsømmelse fra databehandlingsansvarliges side. Regelen bygger på et skyldansvar med omvendt bevisbyrde. Det er med andre ord opp til den databehandlingsansvarlige å godtgjøre at vedkommende ikke har opptrådt uaktsomt. I henhold til alminnelige regler om kontraktsmedhjelperansvar hefter den databehandlingsansvarlige også for databehandlerens feil og forsømmelse. Bestemmelsen svarer til forslag til lov om behandling av personopplysninger § 49 første ledd.

Annet ledd

Annet ledd fastslår at erstatningsansvaret omfatter det økonomiske tapet som den skadelidte er påført som følge av den ulovlige behandlingen av helseopplysningene. Videre fastslås i annet ledd annet punktum at den databehandlingsansvarlige også kan pålegges å betale slik erstatning for skade av ikke-økonomisk art som synes rimelig.

Bestemmelsen svarer til forslag til lov om behandling av personopplysninger § 49 tredje ledd.

Pasienten og andre som har lidt tap på grunn av pasientskade kan også ha krav på erstatning etter pasientskadeloven når skaden skyldes feil eller svikt ved behandling av helseopplysninger.

Kapittel 7 Forholdet til andre lover. Ikraftsetting

Til § 36 Forholdet til lov om behandling av personopplysninger

Bestemmelsen fastslår at i den utstrekning ikke annet følger av denne lov, gjelder personopplysningsloven med forskrifter som utfyllende bestemmelser, jf. forslag til lov om behandling av personopplysninger § 5.

Til § 37 Ikraftsetting

Bestemmelsen fastslår at loven trer i kraft fra den tiden Kongen bestemmer, og at Kongen kan bestemme at de enkelte bestemmelsene i loven skal tre i kraft til ulik tid.

Til § 37 Merknader til endringer i andre lover

1 Lov 19. november 1982 nr. 66 om helsetjenesten i kommunene

Til endringer i kommunehelsetjenesten § 3-4 annet punktum.

Bestemmelsen er inntatt for bedre å synliggjøre at bestemmelse ikke gjør unntak fra taushetsplikten. Dersom helsepersonell skal meddele taushetsbelagte opplysninger til kommuneadministrasjonen må den opplysningene angår samtykke, hvis ikke det i lov eller i medhold av lov er bestemt at opplysningene kan utleveres uten hensyn til at opplysningene er underlagt taushetsplikt.

2 Lov 3. juni 1983 nr. 54 om tannhelsetjenesten

Til endringer i tannhelsetjenesten § 3-4 annet punktum.

Samme som ovenfor, dvs. at bestemmelsen er inntatt for bedre å synliggjøre at bestemmelse ikke gjør unntak fra taushetsplikten. Dersom helsepersonell skal meddele taushetsbelagte opplysninger til fylkesadministrasjonen må den opplysningene angår samtykke, hvis ikke det i lov eller i medhold av lov er bestemt at opplysningene kan utleveres uten hensyn til at opplysningene er underlagt taushetsplikt.

3 Lov 4. desember 1992 nr. 126 om arkiv

Til endringer i arkivloven

Det foreslås endringer i arkivloven slik reglene vil lyde dersom forslag til ny personopplysningslov blir vedtatt før en ny helseregisterlov. Dette er et unntak fra det vanlige hovedprinsipp om at man i utgangspunktet skal forholde seg til gjeldende lovtekst når man fremmer lovendringsforslag. Ut fra den nære sammenhengen mellom forslaget til ny helseregisterlov og til ny personopplysningslov, har departementet funnet det naturlig å basere seg på lovgivningen slik de vil lyde dersom personopplysningsloven blir vedtatt.

4 Lov 5. august 1994 nr. 55 om vern mot smittsomme sykdommer

Til endringer i smittevernloven §§ 2-3 og 3-8

Endringen er nødvendig for å harmonisere smittevernlovens regler om opprettelse av MSIS med helseregisterlovens bestemmelser. Departementet anser at hensynet til smittevernberedskapen, nærmere bestemt rettsgrunnlaget for å kunne gjennomføre hurtige endringer i meldeplikten etc, er ivaretatt gjennom smittevernloven § 2-3 fjerde ledd.

Nåværende § 2-3 annet ledd er tatt bort. Den som mottar opplysningene vil ha taushetsplikt etter helseregisterloven § 15.

Til endringer i smittevernloven § 7-11 annet ledd annet punktum

Bestemmelsen er unødvendig når lov om helsemessig og sosial beredskap, jf. Ot.prp. nr. 89 (1998-99) avløser lov 2. desember nr. 2 om helsemessig beredskap.

5 Lov 2. juli 1999 nr. 64 om helsepersonell

Til endringene i helsepersonelloven § 35 fjerde ledd

Endringene er nødvendig for å skape harmoni med bestemmelsene i loven her. Den forskriften som det henvises til i helsepersonelloven § 35 fjerde ledd, vil ha helseregisterloven §§ 8 og 9 som hjemmelslov.

Til endringene i helsepersonelloven § 37 første punktum

Kompetansen til å opprette og godkjenne helseregistre endres fra Kongen til Kongen i Statsråd. Endringen er gjort for å harmonisere med loven her. Det vises til merknadene til helsepersonelloven § 37 i Ot.prp.nr. (1998-99) om lov om helsepersonell og sosialkomiteens merknader i Inns. O nr. 58.

Til endringene i helsepersonelloven § 43 første ledd

På bakgrunn av bestemmelsen i lov 4. desember 1992 nr. 126 om arkiv, har det vært nødvendig å tilføye et vilkår i helsepersonelloven § 43 første ledd for de tilfellene der helsepersonell vurderer sletting i pasientjournal, enten etter eget tiltak eller etter krav fra den journalopplysningene gjelder.

Arkivloven § 9 første ledd bokstav c stiller opp et forbud mot å kassere offentlig arkivmateriale uten etter samtykke fra Riksarkivaren eller bestemmelser gitt i medhold av arkivloven § 12. Dette forbudet går foran bestemmelser i eller i medhold av andre lover om kassasjon bortsett fra bestemmelsene i personregisterloven. Slikt unntak som er gjort for personregisterloven, er ikke gjort for helsepersonelloven.

Etter arkivloven § 2 bokstav e er offentlig arkiv definert som statlige eller kommunale arkiv. Kommunale arkiv er definert som arkiv skapt av fylkeskommunalt eller kommunalt organ. Arkiv som befinner seg som journalarkiv på sykehus, kommunale legesentre, sykehjem osv. faller derfor inn under arkivlovens bestemmelser om offentlig arkiv.

Arkivloven § 18 stiller opp en tilsvarende forbudsregel for ødeleggelse, herunder retting og sletting, av privat arkiv. Et privat arkiv er i arkivloven § 2 bokstav f definert som et arkiv som ikke er statlige eller kommunale arkiv. Forbudet i arkivloven § 18 om sletting i private arkiv gjelder likevel bare i forhold til de private arkivene som Riksarkivaren har registrert som spesielt verneverdige. Private arkiv vil derfor bare unntaksvis være omfattet av forbudet i § 18.

Til endringer i helsepersonelloven § 43 tredje ledd

Riksarkivaren har det forvaltningsmessige ansvaret for arkivlovens bestemmelser. Når fylkeslegen mottar klage på avslag på krav om sletting etter første ledd, er det derfor nødvendig at Riksarkivaren har uttalerett i de tilfellene der fylkeslegen mener at de medisinskfaglige hensynene bør veie så tungt at sletting av journalopplysninger må kunne foretas til tross for at det vil være i strid med arkivloven §§ 9 eller 18. Fylkeslegen har endelig avgjørelsesmyndighet, det vil si at han kan fatte vedtak i strid med både Datatilsynets og Riksarkivarens uttalelser dersom han finner de medisinskfaglige begrunnelsene tungtveiende nok.

Fylkeslegen må i sin vurdering veie de medisinskfaglige hensynene opp mot de forholdene arkivlovens bestemmelser skal ivareta. Det faktum at Stortinget har gått inn for at det skal bli noe enklere å få rettet eller slettet opplysninger fra pasientjournaler, må det også tas hensyn til når fylkeslegen foretar sin vurdering.