2 Gjeldende rett

2.1 Pasientjournalloven

Pasientjournalloven gjelder behandling av helseopplysninger som er nødvendige for å yte, administrere eller kvalitetssikre helsehjelp til enkeltpersoner. Av pasientjournalloven § 7 om krav til behandlingsrettede helseregistre (pasientjournaler mv.) følger det at behandlingsrettede helseregistre skal understøtte pasientforløp i klinisk praksis og være lett å bruke og å finne fram i. De skal også være utformet og organisert slik at krav fastsatt i eller i medhold av lov kan oppfylles. Etter siste ledd kan departementet gi forskrift om plikt til å ha elektroniske systemer, om godkjenning av programvare og sertifisering og om bruk av standarder, standardsystemer, kodeverk og klassifikasjonssystemer. Av § 8 om virksomheters plikt til å sørge for behandlingsrettede helseregistre, følger det at virksomheter som yter helsehjelp skal sørge for å ha behandlingsrettede helseregistre for gjennomføring av helsepersonells dokumentasjonsplikt, jf. helsepersonelloven § 39.

Videre følger det av pasientjournalloven § 10 anledning til å etablere nasjonale behandlingsrettede helseregistre ved forskrift. Slike helseregistre skal gjelde på bestemte områder og komme i stedet for virksomhetsinterne pasientjournaler. Dette sikter til løsninger som for eksempel legemiddelregister, bilderegister eller epikriseregister. Eventuelle forskrifter skal gi nærmere bestemmelser om drift, behandling og sikring av helseopplysningene, om dataansvar, om tilgangskontroll og om hvordan rettighetene til pasienten eller brukeren skal ivaretas. I forskrifter etter bestemmelsen kan det bestemmes at løsningene skal benyttes av alle aktører i helse- og omsorgstjenesten.

Pasientjournalloven er oppdatert 20. juli 2018 og i samsvar med ny personopplysningslov og EUs personvernforordning.

2.1.1 Pasientjournalloven § 12 og reseptformidlerforskriften

Pasientjournalloven § 12 gir hjemmel til å gi forskrift om behandling av helseopplysninger i nasjonal database for resepter (Reseptformidleren). Forskrift 21. desember 2007 nr. 1610 om behandling av helseopplysninger i nasjonal database for elektroniske resepter (Reseptformidlerforskriften) er videreført med hjemmel i denne bestemmelsen.

Av lovbestemmelsen følger det at opplysningene kan behandles uten samtykke fra pasienten.

Reseptformidlerforskriften regulerer Reseptformidleren. Forskriften gir regler for innsamling, behandling og utlevering av helseopplysninger i registeret, om formålet og om hvem som er dataansvarlig for opplysningene.

Formålet med Reseptformidleren er beskrevet i forskriften § 1-2. Formålet er å sørge for sikker og effektiv elektronisk formidling av resepter og reseptopplysninger mellom aktørene i helse- og omsorgstjenesten og statlig helseforvaltning, samt bandasjister, som har et legitimt og tjenstlig behov for slik informasjon, og for å bidra til at pasienten gis helsehjelp på en forsvarlig og effektiv måte. Dette omfatter også videreformidling av informasjon til den nasjonale kjernejournalen. Formidlingen skal ivareta hensynet til pasientens personvern og frie apotek- og bandasjistvalg.

Norsk helsenett SF er dataansvarlig for Reseptformidleren, jf. § 1-5.

Av § 1-4 følger det at opplysningene i Reseptformidleren ikke kan anvendes til andre formål enn de som er nevnt i § 1-2. Videre følger det at opplysninger ikke kan utleveres til arbeidsgivere, i forsikringsøyemed, til påtalemyndighet eller domstol, eller til forskning, selv om den registrerte samtykker.

I § 1-7 er det regulert hvilke typer opplysninger Reseptformidleren kan inneholde. Innholdet er knyttet til personer som har fått rekvirert legemidler, medisinsk forbruksmateriell eller næringsmidler ved resept og innholdet i reseptene. I tillegg registreres enkelte administrative opplysninger.

Av §§ 2-1 og 2-2 følger det at rekvirenter ved rekvirering av legemidler, medisinsk forbruksmateriell eller næringsmidler, og ansatte i apotek og bandasjist skal melde resepten eller opplysninger om behandling av denne til reseptformidleren. Det samme gjelder notifisering eller søknad om unntak fra kravet om markedsføringstillatelse. Melding skjer uten hinder av taushetsplikt. Meldeplikten gjelder ikke dersom rekvirenten, ved rekvirering, ikke har tilgang til et datasystem som gir rekvirenten mulighet til å sende elektroniske resepter. Meldeplikten gjelder heller ikke dersom pasienten ønsker å få utlevert legemidler i utlandet. Også Statens legemiddelverk har meldeplikt til reseptformidleren, jf. § 2-3.

Melding av opplysninger som nevnt i §§ 2-1 til 2-3 skal skje elektronisk på et meldingsformat fastsatt av den dataansvarlige. Dette følger av § 2-4. Alle meldinger skal være elektronisk signert. Resepter skal være signert av autorisert helsepersonell med rekvireringsrett.

Virksomheter hvor det rekvireres legemidler, medisinsk forbruksmateriell eller næringsmidler på resept, samt apotek, bandasjist og Statens legemiddelverk har ansvar for at pliktene som nevnt i § 2-1 til § 2-3 oppfylles, og skal sørge for at det finnes rutiner som sikrer dette, jf. § 2-5.

Den dataansvarlige skal sikre at opplysningene som blir meldt inn og behandlet i Reseptformidleren er relevante og nødvendige for bruk til formidlerens formål, jf. § 2-6. Dersom de innsendte opplysningene ikke er meldt i henhold til kravene, skal ikke opplysningene tas inn i Reseptformidleren. Dersom Reseptformidleren ved kontroll av resepter ikke kan konstatere om avsender er autorisert helsepersonell med rekvireringsrett, skal opplysningene ikke tas inn i Reseptformidleren. Reseptformidleren skal sende varsel til avsender om dette.

2.1.2 Pasientjournalloven § 13 og kjernejournalforskriften

Pasientjournalloven § 13 gir hjemmel til forskrift om behandling av helseopplysninger i nasjonal kjernejournal. Nasjonal kjernejournal er et sentralt virksomhetsovergripende behandlingsrettet helseregister. Journalen skal inneholde et begrenset sett relevante helseopplysninger som er nødvendig for å yte forsvarlig helsehjelp.

Opplysninger kan registreres og på annen måte behandles uten samtykke fra pasienten. Den registrerte har imidlertid rett til å motsette seg at helseopplysninger behandles i registeret. Kjernejournal vil da ikke bli etablert for vedkommende.

Det er gitt forskrift om nasjonal kjernejournal (kjernejournalforskriften). Etter § 1 er formålet med kjernejournalen å øke pasientsikkerheten ved å bidra til rask og sikker tilgang til strukturert informasjon om pasienten.

Norsk helsenett SF er dataansvarlig for den nasjonale kjernejournalen, jf. § 2.

Av § 3 følger det at nasjonal kjernejournal kan opprettes for alle personer som omfattes av pasient- og brukerettighetsloven § 1-2 og som har fødselsnummer eller d-nummer. Den registrerte har rett til å reservere seg mot behandling av helseopplysninger.

Videre følger det av § 4 hva en nasjonal kjernejournal kan inneholde av opplysninger. Dette omfatter blant annet alvorlige allergiske reaksjoner, implantater, andre kritiske opplysninger, kontakt med helsetjenesten og oversikt over legemidler og annet rekvirert på resept.

Melding av opplysninger til kjernejournalen kan skje uten hinder av taushetsplikt, jf. § 5.

Den registrerte har rett til innsyn i egne opplysninger i kjernejournalen, og i opplysninger om hvem som har gjort oppslag i denne, jf. § 6. Den registrerte skal videre informeres om oppslag i kjernejournalen. Krav om retting eller sletting av opplysninger skal framsettes overfor primærkilden for opplysningene, med mindre feilen oppstod ved registreringen i kjernejournalen. Den registrerte kan kreve at tilgangen til opplysningene i kjernejournalen blir sperret.

Helsepersonell med tjenstlig behov ved ytelse av helsehjelp kan etter samtykke fra den registrerte gis tilgang til nødvendige og relevante helseopplysninger fra nasjonal kjernejournal. Kravet om samtykke gjelder ikke i akuttsituasjoner der det er alvorlig fare for pasientens liv, når det ikke er tid til å innhente pasientens samtykke eller dersom pasienten på grunn av sin fysiske eller psykiske tilstand ikke er i stand til å samtykke, jf. forskriften § 7 første ledd. Det skal registreres i kjernejournalen hvorfor samtykke ikke er innhentet. Videre er det fastsatt unntak fra samtykkekravet i § 7 andre ledd. Når det er nødvendig for å yte forsvarlig helsehjelp til pasienten, kan fastlegen, helsepersonell med legemiddelansvar i sykehjem og i hjemmesykepleien og lege og sykepleier i spesialisthelsetjenesten og den akuttmedisinske kjeden gis tilgang til helseopplysninger i den nasjonale kjernejournalen uten pasientens samtykke.

Trekker den registrerte tilbake sitt samtykke til registrering av opplysninger, skal opplysningene slettes, jf. § 8.

Av § 9 følger det at tilgang til kjernejournalen skal skje gjennom autorisasjons- og autentiseringsløsningen i egen virksomhet. Hver virksomhet skal etablere nødvendige organisatoriske og tekniske tiltak for tildeling, administrasjon og kontroll av autorisasjoner for tilgang til helseopplysninger i nasjonal kjernejournal. En autorisasjon skal knyttes til en entydig identifisert person i en bestemt rolle og være tidsbegrenset. Den som gis elektronisk tilgang til helseopplysninger i nasjonal kjernejournal skal autentiseres på et høyt sikkerhetsnivå.

Opplysninger i kjernejournalen skal slettes når de ikke lenger er nødvendige for formålet med behandlingen av dem, jf. § 10.

2.2 Helseregisterloven

Helseregisterloven gjelder for behandling av helseopplysninger til statistikk, helseanalyser, forskning, kvalitetsforbedring, planlegging, styring og beredskap i helse- og omsorgsforvaltningen og helse- og omsorgstjenesten. Lovens formål er å legge til rette for innsamling og annen behandling av helseopplysninger, for å fremme helse, forebygge sykdom og skade og gi bedre helse- og omsorgstjenester. Loven skal sikre at behandlingen foretas på en etisk forsvarlig måte, ivaretar den enkeltes personvern og brukes til individets og samfunnets beste.

Etter helseregisterloven § 6 tredje ledd kan departementet gi forskrift om godkjenning av programvare, sertifisering og om bruk av standarder, klassifikasjonssystemer og kodeverk, samt hvilke nasjonale eller internasjonale standardsystemer som skal følges ved behandling av helseopplysninger etter denne loven.

Helseregisterloven er oppdatert 20. juli 2018 og i samsvar med ny personopplysningslov og EUs personvernforordning.

2.3 Helse- og omsorgstjenesteloven

Kommunen og virksomhet som har avtale med kommunen om å yte helse- og omsorgstjenester, skal sørge for at journal- og informasjonssystemene i virksomheten er forsvarlige. Dette følger av § 5-10. Videre er det presisert at de skal ta hensyn til behovet for effektiv elektronisk samhandling ved anskaffelse og videreutvikling av sine journal- og informasjonssystemer. I Prop. 91 L (2010–2011) er det i merknadene til bestemmelsen presisert at kravet forutsetter at virksomheter som samarbeider med hverandre har dialog og effektivt samarbeid om journal- og informasjonssystemenes utvikling. Tilsvarende forpliktelse følger for spesialisthelsetjenesten av spesialisthelsetjenesteloven § 3-2, se punkt 2.4.

2.4 Spesialisthelsetjenesteloven

Helseinstitusjon som omfattes av spesialisthelsetjenesteloven skal sørge for at journal- og informasjonssystemene ved institusjonen er forsvarlige. Den skal ta hensyn til behovet for effektiv elektronisk samhandling ved anskaffelse og videreutvikling av sine journal- og informasjonssystemer. Dette følger av § 3-2. I Prop. 91 L (2010–2011) er det i merknadene til bestemmelsen presisert at kravet forutsetter at virksomheter som samarbeider med hverandre har dialog og effektivt samarbeid om journal- og informasjonssystemenes utvikling. Videre følger det at virksomhetene derfor bør søke kunnskap om samarbeidende virksomheters journal- og informasjonssystemer. Kravet innebærer blant annet at man tar i bruk nasjonale standarder og funksjonskrav der disse er omforent eller fastsatt av myndighetene. Dette innebærer at funksjonskrav og krav til standardisering bør inngå allerede i planleggingsfasen av og i anskaffelsesgrunnlaget for en nyanskaffelse eller videreutvikling. Videre følger det at departementet kan gi forskrift om drift, innhold og opprettelse av journal- og informasjonssystemer.