4 Hjemler for testing og utvikling i annet regelverk
De senere årene er det innført flere hjemler for at opplysninger som et offentlig organ behandler i sin lovregulerte virksomhet, også skal kunne brukes til testing og utvikling av informasjonssystemer. Et eksempel er skatteforvaltningsloven § 5-12, som lyder:
§ 5-12 Bruk av personopplysninger ved utvikling og testing av IT-systemer
(1) Skattemyndighetene kan behandle innhentede personopplysninger for å utvikle og teste IT-systemer dersom det vil være umulig eller uforholdsmessig vanskelig å oppnå formålet ved å bruke anonyme eller fiktive opplysninger.
(2) Departementet kan i forskrift gi nærmere regler om behandling etter første ledd.
Lignende bestemmelser finnes blant annet i vareførselsloven § 7-17, skattebetalingsloven § 3-6, folkeregisterloven § 9-5, lov om Statens pensjonskasse § 45 b, husbankloven § 12 og a-opplysningsloven § 6 a.
Begrunnelsen for at det er gitt egne hjemler for bruk av innhentede opplysninger for testing og utvikling på disse områdene, er ifølge Prop. 1 LS (2018–2019) Skatter, avgifter og toll 2019 kapittel 18 at testing og utvikling som regel vil være et annet formål enn opplysningene ble innhentet for. Om bruken er forenlig med innhentingsformålet vil ifølge proposisjonen avhenge av en konkret vurdering, og det kan være uklart hvor langt adgangen strekker seg. Egne hjemler for testing og utvikling gir en klar rettslig adgang for slik bruk, og skaper bedre forutsigbarhet for de registrerte.
Også innenfor helselovgivningen er det gitt hjemler for bruk av opplysninger til testing og utvikling. For eksempel angir pasientjournalloven § 11 annet ledd at «[d]irekte identifiserbare helseopplysninger kan behandles i lukkede testmiljøer for å utvikle og teste behandlingsrettede helseregistre dersom det er umulig eller uforholdsmessig vanskelig å oppnå formålet ved å bruke pseudonyme, anonyme eller fiktive opplysninger». I Prop. 91 L (2021–2022) Endringer i pasientjournalloven mv. (nasjonal digital samhandling) punkt 7.4 er det lagt til grunn at fiktive opplysninger ikke alltid kan gi tilstrekkelig kompleksitet i testsituasjoner som er nødvendig for å kvalitetssikre systemer før produksjonssetting i helsetjenesten. I proposisjonen slås det fast at utvikling og testing av journalsystemer eller andre behandlingsrettede helseregistre ikke vil være uforenlig med det opprinnelige formålet.
Helsepersonelloven § 29 første ledd bokstav a åpner for at departementet etter søknad kan bestemme at opplysninger fra pasientjournaler og andre behandlingsrettede helseregistre skal tilgjengeliggjøres uten hinder av taushetsplikt når opplysningene skal brukes til et uttrykkelig angitt formål knyttet til utvikling og bruk av klinisk beslutningsstøtteverktøy. Ifølge merknadene til bestemmelsen i Prop. 112 L (2020–2021) Endringer i helsepersonelloven og pasientjournalloven (bruk av helseopplysninger for å lette samarbeid, læring og bruk av kunstig intelligens i helse- og omsorgstjenesten mv.) punkt 11.1, er begrepet «beslutningsstøtteverktøy» vidt og omfatter i utgangspunktet alle typer kunnskapsbaserte hjelpemidler eller støttesystemer som kan gi råd og støtte og veilede helsepersonell ved ytelse av helsehjelp. Det omfatter utvikling og bruk av systemer som bygger på kunstig intelligens og systemer som bygger på maskinlæring. Ved lov 20. juni 2025 nr. 71 om endringer i helseforskningsloven mv. (vilkår for medisinsk og helsefaglig forskning og for bruk av helseopplysninger i forskning) ble helsepersonelloven § 29 første ledd bokstav a endret slik at det ikke lenger er krav om at beslutningsstøtteverktøy må være «klinisk». Det ble samtidig foretatt endringer i helseregisterloven § 19 e for å gjøre det klart at det kan tilgjengeliggjøres opplysninger og gis dispensasjon fra taushetsplikten til utvikling og bruk av beslutningsstøtteverktøy i helse- og omsorgstjenesten. Endringene har foreløpig ikke trådt i kraft.
Helsepersonelloven § 29 og helseregisterloven § 19 e inneholder en rekke ytterligere vilkår for tilgjengeliggjøring. Blant annet skal det ikke tilgjengeliggjøres flere opplysninger enn det som er nødvendig for formålet, og opplysningene skal tilgjengeliggjøres uten navn, fødselsnummer eller andre direkte personentydige kjennetegn, med mindre slike opplysninger av særlige grunner er nødvendige. Opplysningene kan bare tilgjengeliggjøres dersom det er ubetenkelig ut fra etiske, medisinske og helsefaglige hensyn.