Høringssvar fra Helsedirektoratet

Dato: 04.11.2019

Helsedirektoratet viser til Helse- og omsorgsdepartementets forslag til endringer i helseregisterloven, helsepersonelloven og helseforskningsloven og forslag til forskrift om et nytt legemiddelregister som ble sendt ut 4. juli 2019 med høringsfrist 4. november 2019.

Helsedirektoratets innspill kort sammenfattet:

  • Vi støtter etableringen av nasjonal løsning for tilgjengeliggjøring av helsedata
  • Vi støtter samlede og enhetlige vilkår for sammenstilling og tilgjengeliggjøring av helsedata, men mener at departementet i lovproposisjonen må angi hvilke forskriftsbestemmelser som oppheves ved lovendringen. Videre mener vi at departementet på en tydeligere måte må angi ansvars- og oppgavefordeling mellom Helsedataservice og registerforvalterne etter lovendringene.
  • Vi mener at ansvars- og myndighetsavklaringen ved lovendringene ikke er tilstrekkelig avklart
  • Forslaget innebærer at registerforvalterne må bidra med betydelige ressurser. Dette må på en bedre måte vurderes ressursmessig for å sikre at registerforvalterne skal kunne ivareta egne og viktige samfunnsoppdrag og primærformålene med helseregistrene.
  • Vi mener at forvaltningsansvaret for helseanalyseplattformen og Helsedataservice bør ligge i Direktoratet for e-helse
  • Vi støtter en utvidet bruk av demografiske og sosioøkonomiske data i registrene
  • Vi støtter etableringen av et personidentifiserbart legemiddelregister

Innspill til beskrivelse av hovedutfordringer (punkt 7.1)

Departementet viser til rapporten fra Helsedatautvalget og beskrivelsen av hovedutfordringer for de som søker om å få helsedata for forskning og annen sekundærbruk. Det er vist til at dagens organisering og forvaltning, samt den rettslige reguleringen av helsedata, medfører at det er mange aktører som må vurdere utlevering og behandling av dataene de har ansvar for. Dette medfører at det kan ta lang tid å få tilgang til data fra flere datakilder, særlig for prosjekter som trenger data fra flere dataansvarlige. Aktørbildet kan også bidra til å skape uklarhet, kompleksitet og uforutsigbarhet for den som søker tilgang til helsedata.

Helsedirektoratet, som dataansvarlig for Norsk pasientregister (NPR) og Kommunalt pasient- og brukerregister (KPR), har erfaring ved tilgjengeliggjøring av opplysninger fra registrene, som vi mener er viktig når konkrete tekniske, organisatoriske og juridiske tiltak knyttet til tilgjengeliggjøring av data fra helseregistre skal vurderes og besluttes. Mange brukere av helsedata synes det er krevende å forholde seg til regelverket som gjelder for behandling av helsedata. Noen brukere mener det er for komplisert og tidkrevende å få tilgang til helsedata for legitime formål. NordForsks rapport Nordic biobanks and registers - A basis for innovative research on health and welfare, trekker frem mangelfull kunnskap hos brukere av helsedata som en aktuell utfordring.

Helsedata i ulike kilder/registre er regulert ulikt. I en del tilfeller er dette begrunnet, og en konsekvens av vurderinger av hvordan og til hvilke formål opplysningene i de ulike kildene skal kunne brukes. I andre tilfeller kan situasjonen være at uensartede formuleringer i regelverket ikke er ment å innebære forskjeller i reglenes materielle innhold, og at regelverket derfor gir rom for unødvendig tolkningstvil. Vi støtter derfor forslaget om å samordne regler for sammenstilling og tilgjengeliggjøring av helseopplysninger fra helseregistre på lov-nivå.

Brukere av helsedata må i mange tilfeller henvende seg til flere aktører for å få tilgang til helsedataene de ønsker. Dette er en konsekvens av at de ulike aktørene forvalter forskjellige opplysninger og har ulike oppgaver og ansvar. Vi mener derfor at bedre veiledning og informasjon om regelverket (herunder informasjon muligheter og begrensninger når det gjelder tilgang til helsedata), god informasjon om de ulike aktørene roller og bedre koordinering aktørene imellom vil bidra til å redusere de opplevde utfordringene betraktelig.

Lang saksbehandlingstid hos de ulike aktørene på helseregister- og helsedataområdet har i stor grad vært et utslag av stort sakstilfang og begrenset kapasitet/begrensede ressurser. Forslaget om å etablere Helsedataservice, som et felles søknads-, godkjennings- og utleveringspunkt vil bidra til å redusere antallet aktører som brukere av helsedata må forholde seg til for å få tilgang til data. Innføring av "ett kontaktpunkt/én postkasse" for brukere av helsedata vil imidlertid ikke endre det faktum at komplekse søknader og utleveringer krever stor arbeidsinnsats i form av saksbehandling og tilrettelegging av data for tilgjengeliggjøring. Mange av oppgavene som saksbehandlere hos registerforvalterne utfører lar seg ikke automatisere, og både utfordringer og ressurs- og tidsbruk forbundet med nødvendige arbeidsprosesser vil bestå også dersom Helsedataservice får anledning til å etablere helseanalyseplattformen som et nytt helseregister med kopier av opplysninger fra andre registre. Tilstrekkelige saksbehandlingsressurser hos de ulike aktørene er med andre ord en absolutt forutsetning både for at systemene som er etablert og systemene som nå foreslås etablert kan fungere.

God kompetanse hos både brukere av data og de dataansvarlige for de ulike registrene er en forutsetning for at dagens system for tilgjengeliggjøring av helsedata kan fungere godt. Dette vil også gjelde selv om forslagene i høringsnotatet gjennomføres. Det er vår erfaring at kort avstand, både organisatorisk og fysisk, mellom de som arbeider med "data inn" og de som arbeider med "data ut" er en fordel. Gjennom arbeidet med tilrettelegging og tilgjengeliggjøring av opplysninger får vi både kunnskap og tilbakemeldinger fra våre brukere om datainnhold, kvalitet og kompletthet. Kunnskapen og tilbakemeldingene fra arbeidet med "data ut" nyttiggjøres i arbeidet med "data inn", for f.eks. å heve kvaliteten på data ved neste mottak av data. Vi oppfatter at økt avstand mellom de som arbeider med mottak/registeranalyse og de som arbeider med tilgjengeliggjøring/leveranser vil innebære en risiko for at de som skal tilgjengeliggjøre opplysninger får mindre kunnskap om opplysningene som ønskes utlevert. Eksempler på dette kan være endringer av hvordan opplysningene samles inn, endringer når det gjelder koding/kodebruk og ISF-regelverket. Kunnskap om slike endringer er en forutsetning for å en god dialog med søkere/brukere av data fra helseregistrene. Det samme gjelder kunnskap om datakvalitet- og kompletthet.

Forslag om harmoniserte og lovfestede regler (punkt 10.2)

Departementet foreslår nye lovregler om vilkår for tilgjengeliggjøring og sammenstilling, som skal erstatte alle forskriftsbestemmelser om dette. Dette forutsetter at forskriftsbestemmelsene oppheves når lovendringene trer i kraft, for å unngå dobbeltregulering og motstrid mellom regelnivåene.

Helsedirektoratet støtter forslaget, men mener det er behov for at departementet i proposisjonen konkretiserer hvilke forskriftsbestemmelser som skal oppheves når lovendringen trer i kraft, slik at det blir synlig hvilke materielle endringer som foreslås. Departementets forslag er ikke tydelig når det gjelder hvilke forskriftsbestemmelser som skal oppheves ifm. lovendringene og hvilke forskriftsbestemmelser som skal videreføres. Dette gjelder for eksempel MSIS-forskriften § 4-5a, som særskilt regulerer sensitive helseopplysninger.

Slik vi forstår forslaget, skal forskriftsbestemmelser som inneholder særskilte regler om tilgjengeliggjøring/utlevering for konkret angitte formål ikke oppheves. Dette gjelder for eksempler Norsk pasientregisterforskriften § 3-3 (opplysninger for aktivitetsbaserte finansieringsordninger), § 3-6a (tilgjengeliggjøring av opplysninger i Hjerte- og karregisteret), § 3-6b (opplysninger til nasjonal kjernejournal) og § 3-7 (behandling av opplysninger knyttet til sykdoms- og kvalitetsregistre), samt forskrift om kommunalt pasient- og brukerregister § 4-5 (tilrettelegging og tilgjengeliggjøring for andre registre).

Siden forskriftenes hjemmel for kvalitetssikring trolig vil oppheves i forskrift og flyttes til helseregisterloven (NPR-forskriften § 2-4 og KPR-forskriften § 3-3), må det sikres at muligheten til journalgjennomganger mv. opprettholdes. Vi kan ikke se at dette er omtalt i høringen.

Vi mener at det må gjøres tilpasninger i de enkelte forskriftene dersom oppgaver knyttet til særskilt regulerte tilgjengeliggjøringer/utleveringer skal overføres fra registerforvalterne til Helsedataservice.

Forslag om plikt til å tilgjengeliggjøre opplysninger (punkt 10.9)

Departementet foreslår at det fastsettes i loven at direkte og indirekte personidentifiserbare opplysninger skal tilgjengeliggjøres dersom vilkårene er oppfylt.

Helsedirektoratets erfaring er også at registerforvalterne utgir opplysninger til sekundærbruk etter søknad, selv om ikke alle registerforskriftene oppstiller en slik plikt per i dag. Det er viktig at regelverket opprettholder en fleksibilitet som gjør det mulig å sørge for at tilgjengeliggjøringen kan oppfylle de grunnleggende kravene til dataminimering mv. Departementets forslag vil innebære at den som beslutter utlevering kan sitte langt fra helsedataene, noe som kan vanskeliggjøre reelle vurderinger av for eksempel dataminimering. Etter at vedtaket er fattet, og i dialogen med søker, kan det være åpenbart for den dataansvarlige at enkelte av de omsøkte opplysningene ikke har tilstrekkelig kvalitet eller kompletthet, eller er irrelevante og unødvendige for formålet. Det vil da foreligge et misforhold mellom vedtaket og dataansvarliges vurdering av hvorvidt utlevering av opplysningene er i tråd med sentrale rettslige prinsipper. Vi mener at regelverket bør innrettes slik at opplysninger ikke må utleveres i slike tilfeller.

Forslaget vil også innebære en plikt for helse- og omsorgstjenesten til å utgi opplysninger fra pasientjournaler når det er fattet vedtak om dispensasjon fra taushetsplikten. Per i dag vil en dispensasjon fra taushetsplikt normalt bare gi helsepersonell en rett til å utgi opplysninger. Vi savner en nærmere konsekvensvurdering av dette. Se også våre innspill i punkt 11.8.4.

Innspill til statistikk og andre anonyme opplysninger (punkt 10.11)

Departementet foreslår i avsnitt syv at den dataansvarlige ikke skal ha plikt til å utarbeide og utlevere statistikk etter søknad.

Vi mener at det ikke er klart om dette avsnittet også gjelder andre helseregistre enn de som er etablert i medhold av § 11. Teksten er generelt formulert og gjenspeiler derfor ikke forslaget i lovteksten.

Departementet skriver i avsnitt åtte at flere av registerforskriftene i dag krever at personidentifiserbare opplysninger som mottas for sammenstilling skal slettes så snart statistikken er utarbeidet. Departementet mener at dette kravet ikke bør lovfestes. Begrunnelsen er at dette kan ødelegge for etterprøvbarheten av forskning og analyseresultater.

Helsedirektoratet viser til at det ikke er nødvendig å ta vare på sammenstilte datasett (med helseopplysninger/skarpe data) for å dokumentere grunnlaget for utarbeidet statistikk. Så lenge kildene til opplysningene bevares vil det være tilstrekkelig å ta vare på syntakser/algoritmer for uttrekket av de data som er sammenstilt (selve oppskriften).

Siden helsedataplattformen vil inneholde kopier av opplysninger fra eksisterende lovfestede helseregistre mener vi det er viktig at man unngår uklarheter mht. hvem som skal produsere statistikk basert på disse opplysningene. Dersom en skal sikre en hensiktsmessig statistikkproduksjon på helseområdet må de ulike aktørene som produserer slik statistikk være godt koordinert. Vi forutsetter derfor at de dataansvarlige for de lovbestemte helseregistrene involveres i eventuelle fremtidige vurderinger av hvorvidt Helsedataservice skal pålegges å utarbeide og offentliggjøre statistikk.

Forslag om nasjonal løsning for tilgjengeliggjøring (punkt 11)

Departementet foreslår at det etableres en nasjonal forvaltningsfunksjon (Helsedataservice) med en teknisk løsning (helseanalyseplattformen) som skal tilgjengeliggjøre helsedata til sekundærbruk. Helsedataservice skal være det primære kontaktpunktet for sekundærbruk av helsedata. Helsedataservice skal veilede forskere og andre brukere av helseopplysninger, og skal behandle søknader om tilgjengeliggjøring av opplysninger fra helseregistre og gi dispensasjon fra taushetsplikten. Helsedataservice skal motta kopier av helseopplysninger og andre personopplysninger fra utvalgte registre og ha ansvar for lagring, sammenstilling og annen behandling av opplysningene på helseanalyseplattformen. Departementet legger til grunn at den dataansvarlige for plattformen skal gjennomføre konkrete vurderinger av personvernkonsekvenser i samsvar med personvernforordningen artikkel 35 (DPIA) før behandlingen tar til og nye løsninger tas i bruk.

Helsedirektoratet støtter i hovedsak forslaget om nasjonal løsning for tilgjengeliggjøring, men har konkrete innspill til avklaringer som bør foretas i lovarbeidet. Vi legger til grunn at "helseanalyseplattformen" og "Nasjonal løsning for tilgjengeliggjøring" i realiteten vil være et nytt og svært omfattende helseregister uten krav om samtykke fra de registrerte, som vil kreve et tydelig behandlingsgrunnlag. Dette bør fremkomme tydeligere i lovforslaget, se våre innspill til helseregisterloven § 20.

Helsedirektoratet mener at det er behov for nærmere å avklare ansvars- og oppgavefordelingen mellom de dataansvarlige for helseregistre (og eventuelle andre kilder hvis opplysninger skal inngå i helseanalyseplattformen) og Helsedataservice. Se våre innspill til punkt 11.8 (Helsedataservice sin myndighet) og 11.9 (registerforvalternes rolle og ansvar).

Deretter bør det gjøres en overordnet personvernkonsekvensvurdering av forslaget. Vi er enig med departementet i at det er vanskelig å gjøre en fullstendig DPIA så lenge løsningen er under utvikling, men mener at personvernkonsekvensene av forslaget i større grad bør konkretiseres og synliggjøres. Det bør slik vi ser det gjøres som en del av beslutningsgrunnlaget for en endring i helseregisterloven.

Forslag til forankring av den nasjonale løsningen (punkt 11.5)

Departementet ber om høringsinstansenes syn på om funksjonene som dataansvarlig og tilgangsforvalter for helseanalyseplattformen bør forankres i Helsedirektoratet, FHI eller i Direktoratet for e-helse. Departementet foreslår at samme forvaltningsorgan i styringslinjen til Helse- og omsorgsdepartementet skal ha dataansvar for helseanalyseplattformen og tilgangsforvalterfunksjonen (Helsedataservice).

Helsedirektoratet mener at disse funksjonen ikke bør forankres i Helsedirektoratet. Helsedirektoratet har, som dataansvarlig for to av landets største helseregistre, betydelig kompetanse og erfaring når det gjelder registerforvaltning og tilgjengeliggjøring av opplysninger for sekundærformål. Helsedirektoratet behandler per i dag også søknader om dispensasjon fra taushetsplikt etter helsepersonelloven og har følgelig også betydelig kompetanse og erfaring når det gjelder helselovenes regler om taushetsplikt. Vi anser den kompetanse som finnes i Helsedirektoratet som viktig for at målene med etablering av Helsedataservice og helseanalyseplattformen skal kunne nås. Det er imidlertid på det rene at ambisjonene bak forslaget om etablering av Helsedataservice og helseanalyseplattformen går ut over slik registerforvaltning og tilgjengeliggjøring av data som Helsedirektoratet har erfaring med.

Den som får rollen som tilgangsforvalter og dataansvarlig for helseanalyseplattformen vil bli ansvarlig for at ambisjonsnivået for Helsedataservice og helseanalyseplattformen nås. Gitt de høye forventningene som er satt i Helsedataprogrammet vil arbeidet med å realisere Helsedataservice og helseanalyseplattformen bli svært ressurskrevende. Under hensyn til dagens situasjon og de oppgaver som det allerede per i dag ligger til Helsedirektoratet å løse, mener vi at det ikke vil være hensiktsmessig at funksjonene som dataansvarlig og tilgangsforvalter for helseanalyseplattformen forankres i Helsedirektoratet. En forankring av disse funksjonene i direktoratet vil kunne bidra til å svekke vår evne til å løse andre prioriterte oppgaver og til å ivareta direktoratets samfunnsoppdrag.

Tilgangsforvalteren skal etter forslaget også fatte vedtak om dispensasjon fra taushetsplikten. For å unngå spørsmål om habilitet, bør denne myndigheten ligge til et forvaltningsorgan som ikke selv har behov for å søke om dispensasjon fra taushetsplikt for å løse løpende samfunnsoppdrag. Helsedirektoratet mottar mange oppdrag fra Helse- og omsorgsdepartementet, hvor vi trenger helsedata fra både egne og andre helseregistre. Slik dette er i dag, vil et fagmiljø i Helsedirektoratet søke om dispensasjon fra taushetsplikten, og en annen fagavdeling behandle søknaden. Det har vært en økning i tilfang av saker der Helsedirektoratet ser oss nødt til å oversende søknaden til departementet fordi vi anser oss inhabile til å behandle søknaden. Dette gjelder også oppdrag der Helsedirektoratet har satt ut utførelse av oppdraget til kliniske fagmiljøer. Også i slike saker, hvor den som utfører oppdraget trenger dispensasjon fra taushetsplikten, vil vi komme i en dobbeltrolle når det gjelder å behandle en søknad om dispensasjon fra taushetsplikten.

Vi anser at den mest aktuelle forankringen vil være hos Direktoratet for e-helse. Vi finner imidlertid grunn til å understreke viktigheten av at ansvars- og oppgavefordelingen ikke må svekke Helsedirektoratets rolle som leverandør av opplysninger for bruk ifm. styring, kvalitetsutvikling, planlegging og finansiering av helse- og omsorgstjenester.

Forslag om Helsedataservice som tilgangsforvalter (punkt 11.8)

Departementet foreslår at Helsedataservice skal få myndighet til å gi dispensasjon fra taushetsplikten og til å behandle søknader om tilgjengeliggjøring og sammenstilling av opplysninger fra helsedataplattformen. Departementet foreslår at det lovfestes en hjemmel til å gi forskrift om dette. Tilgangsforvalterfunksjonen skal imidlertid først og fremst gjelde opplysninger fra registre som er lagt inn på helseanalyseplattformen. Departementet legger opp til en skrittvis utvikling av løsningen, der en begynner med enkelte lovbestemte helseregistre og deretter utvider med stadig flere registre ettersom den tekniske og organisatoriske løsningen utvides.

Helsedirektoratet oppfatter at myndigheten til Helsedataservice bør konkretiseres. Forslaget innebærer at det skal overføres kopier av opplysninger fra helseregistre til helseanalyseplattformen. Det er ikke angitt konkret hvilke opplysninger, og om det er komplette opplysninger fra helseregistrene som forutsettes overført. Det er heller ingen tydelig beskrivelse av ansvars- og oppgavefordelingen mellom de dataansvarlige for eksisterende helseregistre og Helsedataservice i den stegvise utviklingen og implementeringen. Det er heller ikke beskrevet nærmere hvilke tiltak som skal gjøres og hvilke løsninger som skal utvikles og realiseres i de ulike steg. Dette gjør at det er vanskelig å få oversikt over de reelle konsekvensene av forslagene, og hvordan den rettslige reguleringen når det gjelder tilgjengeliggjøring skal være for opplysninger fra helseregistre som ikke ligger på helseanalyseplattformen.

Helsedataservice sin myndighet vil avhenge av hvilke data som ligger på plattformen. Vi legger til grunn at det ikke vil være forenlig med personvernregelverket å overføre opplysninger ut over det som er nødvendig for at helseanalyseplattformen skal kunne fylle sitt formål. Dette tilsier at det må foretas en tydeligere rolle- og oppgavefordeling mot registerforvalterne før det kan besluttes hvilke opplysninger som skal kopieres og overføres til helseanalyseplattformen. Se også våre innspill til punkt 11.9 om registerforvalters rolle og ansvar.

Det legges opp til at Helsedataservice og helseanalyseplattformen primært skal håndtere saker som gjelder tilgjengeliggjøring "etter søknad". Slik vi oppfatter det gir ikke en slik sondring en tilstrekkelig presis beskrivelse av hvilke saker som forutsettes håndtert av Helsedataservice (med opplysninger på helseanalyseplattformen) og hvilke tilgjengeliggjøringer som kan håndteres direkte av registerforvaltere. I forhold til NPR og KPR og dagens rett til å sammenstille opplysninger ber vi i punkt 11.9 om en avklaring av hvilke oppgaver som også i fremtiden skal kunne ivaretas av Helsedirektoratet som dataansvarlig for disse registrene.

Forslag om dispensasjon fra taushetsplikten (punkt 11.8.4)

Departementet foreslår at myndigheten til å gi dispensasjon overføres fra Helsedirektoratet og REK til Helsedataservice. Departementet foreslår at samme spørsmål ikke skal vurderes av flere aktører i tilknytning til samme prosjekt. Lovforslaget er derfor utformet slik at det bare blir dispensasjonsmyndigheten (Helsedataservice) som skal vurdere kravene om formålsbegrensning, informasjonssikkerhet hos mottakeren, mottakerens rettslige grunnlag mv. Dersom det er gitt dispensasjon skal registerforvalteren ikke vurdere det samme i tilknytning til samme søknad, men skal legge til grunn at disse vilkårene og vilkårene for tilgjengeliggjøring er oppfylt. For registre som tilgjengeliggjøres fra plattformen vil det imidlertid uansett være en og samme aktør, Helsedataservice, som skal vurdere vilkårene etter begge bestemmelsene. (Punkt 10.6)

Helsedirektoratet støtter forslaget om å overføre dispensasjonsmyndigheten til Helsedataservice. Vi deler i utgangspunktet departementets oppfatning av at det kan fremstå som unødvendig at samme eller tilnærmet like vurderingstemaer vurderes av flere aktører. Vi mener allikevel at involvering av flere aktører kan ha en verdi, og har sett at slik involvering har bidratt til at enkeltsaker har fått korrekt utfall.

Per i dag er det i praksis slik at de siste og avgjørende vurderingene når det gjelder f. eks. spørsmålet om dataminimering gjøres av medarbeidere hos registerforvalterne som har som oppgave å tilrettelegge opplysninger for tilgjengeliggjøring. Dette skjer ofte etter omfattende dialog med søker og etter at vedtak om tilgjengeliggjøring av registerdata er fattet. Det er vår erfaring at spørsmålet om dataminimering (ofte formulert som et spørsmål om relevans og nødvendighet) vanskelig kan vurderes av personer uten inngående kjennskap til de aktuelle opplysningene. Det er derfor et viktig at regelverket legger til rette for at vurderinger knyttet til dataminimering gjøres av en etat/virksomhet med nødvendig kjennskap til dataene.

Forslag om klageadgang (punkt 11.8.5)

Departementet legger til grunn at vedtak om tilgjengeliggjøring vil kunne påklages til departementet etter alminnelige forvaltningsregler. Departementet foreslår at klager på avslag fra Helsedataservice bør behandles av Nasjonalt klageorgan for helsetjenesten (Helseklage).

Helsedirektoratet ønsker en avklaring av om Helseklage skal være klageinstans generelt, eller bare for vedtak i saker om tilgjengeliggjøring av opplysninger fra helseanalyseplattformen og bare for vedtak fattet av Helsedataservice. Vi oppfatter at forslaget avviker fra forvaltningslovens system, og mener at det i så fall bør fremgå av regelverket hvilke avgjørelser som skal påklages til Helseklage. Det bør avklares om Helseklage skal behandle klager over vedtak om unntak/dispensasjon fra taushetsplikt, Helsedataservice sine vurderinger av etiske spørsmål, REK sine vurderinger av etiske spørsmål og eventuelle klager over vedtak fattet av registerforvaltere. Helseklage vil i alle tilfelle ha behov for å få tilført ressurser og kompetanse på området.

Forslag om registerforvalternes rolle og ansvar (11.9)

Departementet legger til grunn at dataansvarlige for helseregistrene som inngår i den nye løsningen, fremdeles skal ivareta sentrale oppgaver knyttet til registrene. Helseregistrene skal motta, samle inn og kvalitetssikre opplysningene. Fagmiljøet og kompetansen i registrene er avgjørende for forvaltning av registrene og for datakvaliteten. Departementet skriver at registerforvalterne vil ha behov for å bruke opplysninger til å utarbeide statistikk, og til analyser for å kunne utføre lovpålagte oppgaver knyttet til styring, beredskap, kvalitetsforbedring av tjenester osv. Registerforvalterne som har slike oppgaver skal fortsatt kunne bruke opplysninger for å kunne ivareta disse oppgavene, så langt de har rettslig grunnlag for det, men uten at de trenger å søke Helsedataservice. Registerforvalterne skal fortsatt ha tilgang til egne data for analyse, statistikkproduksjon og kvalitetssikring i henhold til lov- og forskriftsfestet formål med registeret og etatenes samfunnsoppdrag. Et eksempel er Helsedirektoratets myndighetsrolle som gjelder å levere løpende styringsinformasjon som underlag til finansiering, pakkeforløp, ventetid osv. Helsedataservice skal imidlertid være det sentrale kontaktpunktet når registerforvaltere trenger tilgang til datasett til analyse og statistikk fra andre kilder enn de registrene de forvalter. Departementet mener at registerforvalterne ikke skal kunne utlevere de samme opplysningene og til samme formål som Helsedataservice.

Departementet legger også til grunn at Helsedataservice skal rådføre seg med registerforvalteren i tilknytning til søknader som innebærer krevende vurderinger som forutsetter gode kunnskaper om opplysninger i registeret. Dette gjelder særlig der det søkes om tilgjengeliggjøring av store mengder data som skal sammenstilles fra flere registre.

Bruke opplysninger til å ivareta eget ansvar og oppgaver

Helsedirektoratet mener det er viktig å legge til rette for at registerforvalterne fortsatt skal kunne bruke data til å oppfylle sine ansvar og oppgaver som registerforvalter. Det er imidlertid også viktig at Helsedirektoratet sikres tilgang til helsedata som er nødvendige for at direktoratet skal kunne ivareta sine øvrige oppgaver, direktoratets samfunnsoppdrag. Lovendringene som skal berede grunnen for en ny nasjonal løsning for tilgjengeliggjøring av helsedata bør følgelig ikke innrettes slik at de får utilsiktede og negative konsekvenser for registerforvalternes bruk av helsedata eller Helsedirektoratets evne til å løse sitt samfunnsoppdrag.

Vi er enig i at regelverket må gi registerforvalterne adgang til å behandle egne data for analyse, statistikkproduksjon og kvalitetssikring innenfor de formålene registrene er etablert for. Helsedirektoratet mener derfor at det er viktig å konkretisere i lovproposisjonen i hvilken grad registerforvalterne fortsatt skal kunne bruke helsedata for å løse sine egne oppgaver som dataansvarlig. Etatenes (f.eks. Helsedirektoratets og FHIs) samfunnsoppdrag er imidlertid langt mer omfattende enn deres ansvar og oppgaver som dataansvarlige for registrene. I noen tilfeller er det gitt forskriftsbestemmelser som gir de dataansvarlige for helseregistrene adgang til å innhente opplysninger fra nærmere bestemte kilder for å produsere statistikk. Helsedirektoratet trenger imidlertid ofte å kunne gjøre mer omfattende sammenstillinger for å kunne løse sitt samfunnsoppdrag.

Dersom Helsedataservice skal være "det sentrale kontaktpunktet" når registerforvaltere trenger tilgang til datasett fra andre helseregistre, vil prosessen for å få tilgang til disse helsedata kunne bli mer komplisert enn i dag. Tilsvarende vil også gjelde for dataene som Helsedirektoratet trenger for å løse sitt samfunnsoppdrag.

Helsedataservice vil i praksis kunne bli et mellomledd, som vil bidra til å skape større avstand mellom de som anvender registerdata for å løse direktoratets samfunnsoppdrag og de som tilrettelegger og tilgjengeliggjør opplysningene for slik bruk.

Vi antar også at det både på kort og mellomlang sikt vil være slik at helseanalyseplattformen ikke vil inneholde alle opplysninger fra alle lovbestemte helseregistre, noe som taler for at det også i fortsettelsen vil kunne være hensiktsmessig at det etableres direkte kontakt mellom registerforvaltere, dersom en registerforvalter skal produsere statistikk basert på opplysninger fra flere registre. Tilsvarende bør Helsedirektoratet kunne tak direkte kontakt med andre registerforvaltere dersom direktoratet har behov for opplysninger fra deres registre for å ivareta sitt samfunnsoppdrag.

Helsedirektoratets samfunnsoppdrag omfatter oppgaver som kan ha høy viktighet og/eller korte tidsfrister. For ikke å svekke direktoratets evne til å utføre sitt samfunnsoppdrag, og oppgavene som dataansvarlig for KPR og NPR, ber vi departementet vurdere om direktoratets tilgang til data fra helseregistre, bør fremgå i lov eller forskrift.

Det er særlig viktig å beholde adgangen til å sammenstille NPR og KPR for å se sammenhengen i pasientforløpet uten å involvere Helsedataservice[1]. Men også adgangen til å kunne sammenstille opplysninger fra NPR, KPR og andre registre vil ha betydning for å kunne løse våre oppgaver.

Det kan også være grunn til å vurdere om helse- og omsorgstjenesten bør ha en prioritert og kostnadsfri tilgang til helsedata for å løse sine lovpålagte oppgaver. Dette er oppgaver som er de primære formålene med helseregistrene.

I vurderingen av hvilke konkrete oppgaver som eventuelt skal overføres til Helsedataservice må det tas hensyn til hvilke konsekvenser en overføring vil få for de aktuelle oppgavene og leveransene. Det bør etter vår vurdering ikke gjennomføres endringer (overføres oppgaver) som medfører risiko for at brukernes behov for helsedata vil ivaretas dårligere enn i dag.

Ikke utlevere til samme formål

Helsedirektoratet mener videre det må avklares om registerforvalterne også etter lovendringen selv skal kunne tilgjengeliggjøre opplysninger fra sine kilder/registre for sekundærformål. Vi mener at departementets forslag om et forbud mot dette vil kunne gjøre det vanskelig å finne en hensiktsmessig oppgave- og ansvarsfordeling mellom Helsedataservice og registerforvaltere og mener at dette må vurderes nærmere.

I praksis vil det, på kort og mellomlang sikt, mest sannsynlig være slik at helseanalyseplattformen ikke vil inneholde alle opplysningene som finnes i de respektive registerforvalterenes registre. Dette aktualiser spørsmålet om hvem skal ta stilling til søknader om tilgjengeliggjøring av helseopplysninger som ikke finnes i helseanalyseplattformen, samt søknader som dels gjelder opplysninger som finnes i helseanalyseplattformen og dels opplysninger som kun finnes i registerforvalternes registre. Videre er spørsmålet om hvordan en etter etableringen av Helsedataservice og helseanalyseplattformen skal sikre at eksisterende prosjekter ikke møter nye utfordringer knyttet til tilgang til helsedata som følge av etableringen av Helseanalyseservice og helseanalyseplattformen. Som eksempel skal mange pågående kvalitetssikrings-, styrings- og forskningsprosjektet motta nye opplysninger flere ganger i løpet av prosjektperioden. Et typisk eksempel på dette er prosjekter som mottar opplysninger for nye perioder/år så snart datagrunnlaget for nye perioder/år blir tilgjengelig for utlevering.

Vi legger til grunn at registerforvaltere også i tiden fremover må ha adgang til å tilgjengeliggjøre fra sine registre for sekundærbruk. Den nærmere ansvars- og oppgavefordelingen bør gjøres i forbindelse med forskriftsarbeidet og i dialog/samarbeid mellom registerforvalterne og Helsedataservice.

Rådgivende organ for Helsedataservice

Helsedirektoratet viser til at søknader som gjelder tilgjengeliggjøring av store mengder data og som innebærer sammenstilling av opplysninger fra flere registre er arbeidskrevende. Vår erfaring er at volumet av slike søknader er betydelig og at kompleksiteten i søknadene som behandles av registerforvalterne i dag er mye større enn for kun få år siden. For å kunne vurdere en søknad om tilgang til registeropplysninger kreves det i praksis god kjennskap til opplysningene som ønskes utlevert, noe som forutsetter nærhet til dataene og miljøet som forvalter disse. Saksbehandlere må videre forstå det enkelte prosjektets problemstillinger og innretning, for å kunne fatte vedtak som dekker prosjektets behov. Dersom systemet innrettes slik at Helsedataservice må rådføre seg med registerforvaltere, og eventuelt Datatilsynet, i store og kompliserte saker vil det være behov for å klargjøre ansvarslinjene, koordinering og prosesser. Dette vil være en forutsetning for å nå målet med den nasjonale løsningen.

Ressursmessige hensyn

Vi oppfatter det som sannsynlig at tilrettelegging og utlevering av kopier til helseanalyseplattformen vil bli en vedvarende prosess/oppgave som vil legge beslag på betydelige ressurser hos registerforvalterne. De overordnede og lite konkrete beskrivelsene av den stegvise utviklingen av helseanalyseplattformen gjør det imidlertid vanskelig å overskue hvilke konsekvenser dette vil ha for Helsedirektoratet som dataansvarlig for NPR og KPR. Den nasjonale løsningen skal avlaste registerforvalterne med tilgjengeliggjøring etter en tid. Etablering og forvaltning av løsningen vil imidlertid innebære at registerforvalterne vil måtte avse betydelige ressurser i overskuelig fremtid. Det er derfor viktig at det gjøres konsekvensvurderinger av registerforvalternes bidrag til arbeidet med å realisere løsningen og deres behov for egne ressurser, slik at vi ikke mister evne til å ivareta egne og viktige samfunnsoppdrag og primærformålene med helseregistrene.

Forslag om å endre det pseudonyme Reseptregisteret til et personidentifiserbart legemiddelregister (punkt 12)

Departementet foreslår at det pseudonyme Reseptregisteret endres til et personidentifiserbart legemiddelregister. Endringen vil også gjelde for eksisterende data i Reseptregisteret slik at det "historiske Reseptregisteret" vil inngå i det nye legemiddelregisteret.

Helsedirektoratet støtter overgangen fra et pseudonymt reseptregister til et identifiserbart legemiddelregister. Dette vil forenkle behandling av opplysningene til de regulerte formålene, blant annet som kunnskapsgrunnlag for å bidra til å øke pasientsikkerheten. Vi mener også at opplysningene vil bli underlagt et tilstrekkelig vern gjennom reguleringen i et sentralt legemiddelregister, underlagt helseregisterlovens krav og personvernforordningens prinsipper om organisatoriske og tekniske sikkerhetstiltak.

Helsedirektoratet mener at tilgang til opplysninger om befolkningens bruk av legemidler er viktig for å få kunnskap om legemidlenes effekt og sikkerhet, og legemidlenes rolle og betydning i helse- og omsorgstjenesten som helhet. Opplysninger om medikamentbruk ønskes brukt i mange prosjekter og ofte sammen med opplysninger fra andre kilder, som for eksempel NPR og KPR. Vi er enig med departementet i at de juridiske skrankene som gjelder for Reseptregisteret i dag gjør det vanskelig å hente ut de potensielle gevinstene av funksjonalitetene som planlegges etablert i tilknytning til helseanalyseplattformen. Siden opplysninger om legemiddelbruk beskriver en viktig bestanddel av den totale helse- og omsorgstjenesten vil et fravær av disse opplysningene på helseanalyseplattformen kunne medføre at plattformens nytteverdi blir begrenset. Etter vår vurdering vil det være av stor betydning for å nå målene med helseanalyseplattformen å også etablere et personidentifiserbart legemiddelregister.

Vi støtter at legemiddelregisteret ikke bør være basert på samtykke eller reservasjonsrett, og de begrunnelsene som er gitt for å utvide registeret med flere opplysninger i punkt 12.5.2. Vi støtter også at FHI fortsatt skal være databehandler for registeret.

Vi støtter også at endringen bør gjelde data som i dag behandles i det pseudonyme Reseptregisteret. Dette vil gjøre det mulig å forvalte og behandle opplysninger som allerede er samlet inn til det pseudonyme Reseptregisteret på samme måte som opplysninger som i fremtiden vil bli samlet inn til et personidentifiserbart legemiddelregister. Dette vil legge forholdene godt til rette for å ivareta kontinuiteten i registerdataene, og bidra til at gamle og nye opplysninger om legemidler og legemiddelbruk kan ses i sammenheng og benyttes til å si noe om endringer og utviklingstrekk over tid. For mange prosjekter og formål er det slik at lengre tidsserier, dvs. opplysninger for flere år, er av stor betydning. Dersom det eksisterende Reseptregisteret videreføres uendret vil muligheten for å sammenstille opplysninger i Reseptregisteret med opplysninger i det foreslåtte legemiddelregisteret i praksis være begrenset. Brukere av data vil kunne velger bort historiske data fra Reseptregisteret, og prosjekter som velger å benytte slike data blir nødt til å forholde seg til skrankene som gjelder bruk av opplysninger fra pseudonyme registre.

Endringen vil bety at data som i dag behandles i det pseudonyme Reseptregisteret, vil lagres på en annen måte. Slik tilbakevirkning rammes ikke av regelen om at ingen lov må gis tilbakevirkende kraft, jf. Grunnloven § 97, men det er likevel svært viktig at disse spørsmålene håndteres på en måte som bidrar til å opprettholde befolkningens tillit til det offentliges behandling av helseopplysninger i helseregistrene.

Forslag om å tilgjengeliggjøre demografiske og sosioøkonomiske opplysninger (punkt 13)

Departementet foreslår endringer i helseregisterloven for å legge til rette for at et begrenset sett med demografiske og sosioøkonomiske bakgrunnsopplysninger gjøres tilgjengelig for helseregistre etablert med hjemmel i lov. Det skal også følge av forskrift, at de aktuelle opplysningene kan inngå i registeret.

Helsedirektoratet støtter forslaget. Vi mener at tilgang til demografiske og sosioøkonomiske bakgrunnsopplysninger er viktig for å kunne følge med på utviklingen i, og sammenhengene mellom, sosioøkonomiske forhold og forskjeller i tjenestetilbud og tjenesteforbruk både i spesialisthelsetjenesten og den kommunale helse- og omsorgstjenesten. Dagens begrensede muligheter for å sammenstille helseopplysninger, demografiske og sosioøkonomiske opplysninger for bruk til andre formål enn forskning gjør det i praksis vanskelig å fremskaffe verdifull kunnskap som kunne vært benyttet til blant annet styring og planlegging av helse- og omsorgstjenester.

Forslaget vil legge til rette for at helseregistre som har hjemmel for å motta og behandle slike opplysninger kan innhente opplysninger fra Folkeregisteret, Skatteetaten og Arbeids- og velferdsetaten (NAV) og forvalte disse innenfor de samme rettslige rammene som registrenes øvrige innhold.

Vi legger til grunn at departementet vil vurdere behovet for å gjøre endringer i forskriftene for de ulike helseregistrene, for å sikre registrene hjemmelsgrunnlag for å behandle et sett med demografiske og sosioøkonomiske opplysninger fra disse kildene i registrene.

Innspill til økonomiske og administrative konsekvenser (punkt 14.2)

Departementet legger til grunn at etablering av Helsedataservice vil avlaste registerforvalterne for oppgaver knyttet til søknadsbehandling og tilgjengeliggjøring av data. Forslaget innebærer at det må flyttes ressurser og kompetanse fra etater som forvalter tilgang til data fra registrene i dag til den etaten som får ansvar for Helsedataservice. Ifølge anslag vil Helsedataservice ha behov for 20-30 årsverk gitt et redusert tjenestetilbud og full overføring av funksjoner, og 70-80 årsverk gitt et fullt utbygd tjenestetilbud og full overføring av funksjoner.

Helsedirektoratet oppfatter høringsnotatet dit hen at det er et mål at det gjennom Helsedataservice og helseanalyseplattformen skal tilbys tjenester og funksjonaliteter utover det det som registerforvalterne i dag har ansvar for å tilby brukere av helsedata. Som eksempler på dette nevnes "sikre analyserom" og "analyse- og statistikkverktøy". Helsedirektoratet finner grunn til å bemerke at det å introdusere og tilby slike tjenester i seg selv ikke vil bidra til å avlaste registerforvalterne for oppgaver knyttet til søknadsbehandling og tilgjengeliggjøring av helsedata. I høringsnotatet fremholdes at de foreslåtte løsningene skal gi mindre byråkrati. Vi konstaterer imidlertid at det angis at løsningene som skisseres vil kunne kreve opptil 70-80 årsverk uten at det synliggjøres et potensial for en tilsvarende reduksjon av ressursbehovet andre steder.

Helsedirektoratet viser til at det ikke er gjort noen beregninger av endringer i ressursbehovet hos registerforvalterne. En eventuell flytting av ressurser og kompetanse til Helsedataservice kan etter vår vurdering ikke gjennomføres før det er avklart at oppgavene hos registerforvalterne blir redusert som følge av etableringen av Helsedataservice og helseanalyseplattformen. Etablering av Helsedataservice og helseanalyseplattformen vil også medføre nye oppgaver for registerforvalterne, som må tas med i denne beregningen, jf. blant annet vår kommentar vedrørende ressursmessige hensyn i pkt. 11.9. Dersom ressurser flyttes uten at ressursbehovet er redusert, vil dette raskt få negative konsekvenser for forvaltningen av helseregistrene og for brukere av opplysninger fra helseregistrene.

Vi mener at det er viktig at registerforvalterenes bidrag i arbeidet med realisering av Helsedataservice og helseanalyseplattformen kompenseres, slik at registerforvalternes sikres tilstrekkelige ressurser til å ivareta sine oppgaver.

Helsedirektoratet viser til at det i kapittelet om økonomiske og administrative konsekvenser brukes tall fra konseptvalgutredningen for helseanalyseplattformen som senere er blitt nedjustert i forbindelse med kvalitetssikringen. Vi går ikke nærmere inn på metodiske spørsmål av betydning for tiltakets samfunnsøkonomiske lønnsomhet. Her vil vi nøye oss med å konstatere at i fremtidige konseptvalgutredninger kan det være grunn til å stille noen mer grunnleggende spørsmål, som for eksempel hvordan samfunnsnytten skal anslås når den har karakter av næringsutvikling, og hvor godt utredet dette bør være før man foretar konseptvalg. Hvor stor del av gevinstene, som følge av verdiskapning i helseindustrien og effektivisering ved legemiddelutvikling, er å anse som samfunnsgevinster for Norge? Og hvordan er fordelingen av gevinstene på ulike aktører i tilfeller der prissettingen på legemidler tilsier at konsumentoverskuddet er svært begrenset? En utdyping av denne typen metodiske spørsmål, som kan bidra til å gjøre slike utredninger mer ensartet og kanskje mindre ressurskrevende å gjennomføre, vil også være aktuelt å formidle til de departementer og etater som er ansvarlige for kvalitetssikringsordningen.

Forslag om nye bestemmelser i helseregisterloven:

§ 14 Opplysninger fra Folkeregisteret mv.

Bestemmelsen vil gjelde dataansvarlige for registre som er etablert etter helseregisterloven §§ 8-12. Det fremgår ikke om også den dataansvarlige for helseanalyseplattformen, som foreslås hjemlet i en ny § 20, skal kunne innhente personopplysninger fra folkeregisteret osv. med hjemmel i § 14. I så fall må det gjøres flere endringer i de foreslåtte bestemmelsene (§ 14 og § 20).

§ 19 Statistikk og tilgjengeliggjøring av anonyme opplysninger:

Vi støtter at bestemmelsen gir plikt til å utarbeide og tilgjengeliggjøre statistiske opplysninger. Dette er en videreføring av regler i gjeldende forskrifter og kan være et hensiktsmessig grep for å sikre et mer ensartet regelverk for helseregistrene.

Andre ledd avgrenser plikten til å utarbeide og løpende offentliggjøre statistikk til de lovhjemlede helseregistrene i helseregisterloven § 11. Per i dag har også de registrene som er hjemlet i helseregisterloven § 9 og 10 en slik plikt. På bakgrunn av det viktige samfunnsoppdraget registrene har, mener Helsedirektoratet at denne plikten bør gjelde alle helseregistre som er hjemlet i helseregisterloven. Som departementet skriver i punkt 10.11, vil plikten, når den formuleres generelt, innebære at dataansvarlig kan vurdere hvilken statistikk som skal offentliggjøres og hvor ofte dette skal skje.

Forslaget begrenser gjeldende mulighet for statistikkproduksjon, fordi den etter sin ordlyd bare gir hjemmel for statistikkproduksjon basert på opplysningene "i registeret". Per i dag gir som eksempel KPR-forskriften § 4-4 den dataansvarlige for KPR hjemmel til å produsere og offentliggjøre statistikk basert på opplysningene i KPR og andre nærmere angitte registre. Helsedirektoratet mener forslaget bør endres, slik at vi fortsatt har hjemmel til å innhente data uten å måtte gå veien via Helsedataservice. Dette vil også gi en bedre sammenheng med regelen i § 19b første ledd.

Tredje ledd innebærer at dataansvarlige plikter å tilgjengeliggjøre statistikk og anonyme opplysninger etter søknad. Vi ber om at departementet avklarer om det menes dataansvarlige generelt eller "dataansvarlige for helseregistre som er etablert med hjemmel i § 11", jf. formuleringen i andre ledd.

Bestemmelsen innebærer slik vi ser det materielle endringer som bør omtales nærmere. Forslaget til § 19 b gir adgang til å sammenstille opplysninger fra helseregistre etablert med hjemmel i helseregisterloven §§ 8 til 12. Denne plikten til å tilgjengeliggjøre statistikk og anonyme opplysninger vil innebærer en utvidelse av adgangen til å behandle helseopplysninger for de fleste registrene. KPR skal etter gjeldende rett som eksempel utarbeide statistikk etter en sammenstilling med opplysninger fra helseregistre etablert i medhold av helseregisterloven §§ 8 – 11. I mange forskrifter, som for eksempel forskriftene for NPR, SYSVAK, Reseptregisteret og Medisinsk fødselsregister, er det konkret angitt hvilke registre det kan sammenstilles opplysninger fra for å fremstille statistikk. Dagens regulering innebærer at ikke alle registrene i helseregisterloven § 11 kan sammenstilles per i dag, og gir heller ikke adgang til å sammenstille opplysninger fra registre etter helseregisterloven §§ 9 og 10 og 12. Sammenstillingen av opplysninger til statistikk skal også gjøres uten den enkeltes samtykke og på tross av reservasjonsrett etter henholdsvis helseregisterloven §§ 9a og 9b.

Slik vi leser formålet som er definert i tredje ledd, vil det angitte formålet være avgjørende for om opplysningene kan tilgjengeliggjøres for statistikk og anonyme opplysninger etter søknad. Formålene i de enkelte forskriftene skal dermed vike for dette formålet. Dette innebærer en utvidelse av rammene i forskrifter og vil blant annet gå foran og ikke være samsvarende med formålet til NPR forskriften § 1-2 eller KPR forskriften § 1-1. I forslaget til ny § 19a (som skal regulere tilgjengeliggjøring av direkte og indirekte personidentifiserbare helseopplysninger) er det slått fast at søkeren må dokumentere at "opplysningene skal brukes til et uttrykkelig angitt formål som er innenfor registerets formål". Vi ser ikke at denne sammenhengen med registrenes formål er ivaretatt på samme måte i forslaget til ny § 19, som skal regulere statistikk og tilgjengeliggjøring av anonyme opplysninger.

På bakgrunn av de ovennevnte kommentarene ser vi at § 19 tredje ledd innebærer en betydelig utvidelse av adgangen til å behandle opplysninger. Endringen blir særlig stor for registre som Norsk helsearkiv, befolkningsbaserte helseundersøkelser og medisinske kvalitetsregistre. Det mangler, slik vi ser det, en overordnet vurdering av hvilke personvernkonsekvenser disse lovendringene har for norske pasienter i samsvar med personvernforordningen artikkel 35 nr. 10. Departementet har omtalt personvernkonsekvenser i høringen punkt 11.2, men ovennevnte utvidelse av behandlingen av personopplysninger er ikke nevnt der.

§ 19 a Tilgjengeliggjøring av direkte og indirekte personidentifiserbare helseopplysninger:

Helsedirektoratet støtter en harmonisering av regelverket ved at § 19 a får en felles bestemmelse for tilgjengeliggjøring av opplysninger. Muligheten til å sammenstille opplysninger etter § 19 b innebærer at dataansvarlig, eller annen myndighet, kan tilgjengeliggjøre en mengde flere direkte og indirekte identifiserbare opplysninger enn i dag. Vi mener at denne utvidelsen av adgangen til å behandle personopplysninger bør omtales i lovforslaget sammen med en overordnet DPIA etter personvernforordningen artikkel 35 nr. 10.

Første ledd pålegger den dataansvarlige å tilgjengeliggjøre opplysningene "etter søknad". Det bør avklares i hvilke situasjoner dette gjelder. Den samme ordlyden er også brukt i § 19 om tilgjengeliggjøring av statistikk og anonyme opplysninger "etter søknad".

Tredje ledd bokstav c bruker ordlyden "tilstrekkelig rettslig grunnlag etter personvernforordningen artikkel 6 og 9 ". Dette innebærer en endring fra ordlyden i registerforskriftene, hvor det står "kan godtgjøre at behandlingen oppfyller vilkårene i …". Vi ber departementet avklare om dette er ment å innebære en endring av kravene, og om ordet "tilstrekkelig" er overflødig.

Formuleringer i høringsnotatets punkt 11.8.3 kan forstås slik at departementet mener at det skal være Helsedataservice som vurderer om det er nødvendig med unntak eller dispensasjon fra taushetsplikt, og i tilfelle fatte vedtak om dette. Det står i strid med kravet stilt i forslaget til ny § 19 a tredje ledd bokstav c, som sier at søkere må dokumentere at deres egen behandling av personopplysninger har tilstrekkelig rettslig grunnlag etter personvernforordningen artikkel 6 og 9. Dersom søker skal dokumenter sitt eget rettslige grunnlag, må de selv vurdere hvorvidt de er dekket av et generelt unntak fra taushetsplikt eller om de trenger en dispensasjon fra taushetsplikt. Ansvarliggjøring av den som de facto skal behandle personopplysninger, er et sentralt element i personvernforordningens regler og vi mener at det er viktig å unngå regler eller systemer som kan bidra til å undergrave dette.

Syvende ledd: Vi støtter at lagringstiden, som et utgangspunkt, følger de generelle reglene i personvernforordningen artikkel 5, med den innsnevringen som er foreslått i § 19 a syvende ledd om begrenset lagringstid i konkrete tilfeller.

Forøvrig ser vi at lovforslaget har mange avsnitt og ulike vilkår. Dette kan gjøre det vanskelig for leseren å forstå hvilke vilkår som gjelder i hvilke situasjoner. Blant annet kan det leses slik at det er motsetninger mellom første ledd andre setning, og fjerde ledd første setning.

Vi ber om at departementet vurderer om det er mulig å utarbeide bestemmelsen slik at krav til tilgjengeliggjøring, taushetsplikt og krav til søkerens dokumentasjon innlemmes i egne ledd, slik at samme tema ikke behandles i flere ledd.

§ 19 b Sammenstilling:

Første ledd bruker ordlyden "andre offentlige registre". Dette begrepet har ikke et tydelig avgrenset innhold, og vi mener det derfor trengs en presisering.

Bestemmelsen gir adgang til å sammenstille opplysninger fra helseregistre etablert med hjemmel i §§ 8 til 12, og innebærer en stor utvidelse av muligheten til å sammenstille opplysninger fra de ulike helseregistrene, uten at dette fremgår eksplisitt i høringsnotatet. Som tidligere nevnt, gir mange forskrifter i dag en adgang til å sammenstille opplysninger i helseregistre etablert med hjemmel i helseregisterloven §§ 8 til 11. Dette gjelder blant andre KPR-forskriften og Reseptregisterforskriften. Andre forskrifter, som MSIS-forskriften, Kreftregisterforskriften, SYSVAK-registerforskriften og Medisinsk fødselsregisterforskriften nevner konkret hvilke helseregistre dataansvarlig kan sammenstille opplysninger med. Kreftregisteret og SYSVAK-registerforskriften og medisinsk fødselsregisterforskriften gjør konkret unntak fra Forsvarets helseregister når helseregistre skal sammenstilles for forskning mv.

Bestemmelsen innebærer slik vi leser den også at behandlingen skal skje uten at det tas hensyn til den registrertes samtykke, når det behandles opplysninger fra samtykkebaserte registre. Videre innebærer § 19 b andre ledd at det ikke skal tas hensyn til at den enkelte har reservert seg mot tilgjengeliggjøring av opplysninger. Opplysningene kan utleveres til sammenstillingen for produksjon av anonyme data på tross av den enkeltes reservasjonsrett.

Endringene i regelverket som innebærer utvidelse av behandling av opplysninger er ikke omtalt i høringsnotatet. Det er behov for at lovproposisjonen omtaler når og hvordan det skal utarbeides en DPIA for disse materielle endringene etter personvernforordningen artikkel 35. Departementet har beskrevet forslagets personvernkonsekvenser i punkt 11.2, men denne utvidelsen av behandlingen av personopplysninger er ikke nevnt der. Dette mener vi er en svakhet ved høringsnotatet.

Tredje ledd bruker ordlyden "tilsvarende opplysninger", en formulering som vi mener kan forstås slik at mulighetsrommet for hvilke opplysninger som omfattes utvides. Begrepet bør derfor konkretiseres nærmere, og det bør omtales med eksempler hvor store avvik som kan tenkes akseptert. Det bør også avgrenses mot opplysninger som registeret selv ikke kan inneholde.

§ 19 c Frister for tilgjengeliggjøring av tilrettelagt statistikk og helseopplysninger

Helsedirektoratet er usikker på behovet for særlige saksbehandlingsfrister fastsatt i lov, og viser til at fristene ikke vil ha rettsvirkninger for mottaker av opplysningene eller administrative virkninger for registerforvaltere/Helsedatservice. Innretningen av fristene i forslaget fraviker også de alminnelige reglene om frister i flere henseende, uten at vi kan se behovet for dette, jf. f.eks. bruken av "virkedager" i stedet for "dager".

§ 19 d Betaling for tilgjengeliggjøring

I lovforslaget står det "utlevering fra registeret". Vi mener det heller bør stå "tilgjengeliggjøring". Bestemmelsen tilsier at betaling skal beregnes for utlevering fra "registeret". Lovforslaget bør være konsekvent på å omtale den nasjonale løsningen som et helseregister. I merknadene er det skilt på/mellom registre og Helsedataservice/helseanalyseplattformen.

§ 19 e Oversikt over tilgjengeliggjøring

Bestemmelsen pålegger den "dataansvarlige for registeret" å føre oversikt over tilgjengeliggjøring av helseopplysninger fra registeret. Fordi lovforslaget ikke omtaler den nasjonale løsningen som et helseregister, fremstår det som uklart om den ansvarlige for Helsedataservice og helseanalyseplattformen har plikt til å lage en oversikt over tilgjengeliggjøring fra den nasjonale løsningen.

§ 20 Nasjonal løsning for tilgjengeliggjøring (helseanalyseplattformen og Helsedataservice):

Helsedirektoratet støtter at etableringen av løsningen reguleres i helseregisterloven. Etableringen av en helseanalyseplattform innebærer, slik vi ser det, at det opprettes et nytt og potensielt svært omfattende helseregister med opplysninger fra en rekke andre kilder, deriblant flere av de eksisterende lovfestede helseregistrene. Vi legger til grunn at HELSEANALYSEPLATTFORMEN må reguleres som et helseregister blant annet for å oppfylle kravene til supplerende rettsgrunnlag i personvernforordningen.

Slik helseregisterloven er lagt opp, foreslår vi å forankre registeret i helseregisterloven § 11. Forslaget om etablering av helseanalyseplattformen synes dermed å representere et brudd med helseregisterlovens system, men vi kan ikke se at det er gjort noen nærmere vurdering av hvorvidt dette er nødvendig eller av hvilke konsekvenser det er ment å ha. Et brudd med lovens system vil imidlertid kunne føre til uklarhet i regelverket og muligheter for ulik tolkning/feiltolkning. Et register skal i henhold til personvernforordningen og helseregisterloven § 8 andre ledd bokstav a) ha en formålsavgrensning. Formålet skal være spesifikt, uttrykkelig og berettiget, jf. personvernforordningen art. 5 nr. 1 bokstav b. Vi mener at også formålet må angis i § 20, som må være mer konkret enn "enklere, raskere og sikrere deling av helsedata". Et definert formål med materielt innhold vil også være nødvendig for dataansvarliges informasjonssikkerhetsvurderinger.

Bestemmelsen må slik vi ser det, inneholde en plikt for de dataansvarlige til å tilgjengeliggjøre opplysningene til den nasjonale løsningen. En slik plikt vil innebære unntak fra lovpålagt taushetsplikt, og må fremgå av lov. Det er ikke tilstrekkelig at dette gjøres i forskrift.

Første ledd angir at løsningen kan inneholde opplysninger fra "registre". Vi har oppfattet at ambisjonsnivået for løsningen favner langt videre enn "registre", og ber departementet vurdere om ordlyden bør endres. Det bør også avklares hva som menes med "offentlige registre". Som eksempel er fastlegeregisteret en aktuell kilde til sammenstilling, uten at dette registeret er offentlig tilgjengelig.

Andre ledd skiller i teksten mellom "helseopplysninger og andre personopplysninger som inngår i løsningen". Vi mener at det ikke er nødvendig å skille mellom disse to begrepene, men at samlebestemmelsen "personopplysninger" er tilstrekkelig.

Endringer i helsepersonelloven (punkt 15.2):

§ 29 Opplysninger til statistikk, helseanalyser, forskning, kvalitetsforbedring, planlegging, styring og beredskap (dispensasjon fra taushetsplikt)

Første ledd bokstav a) angir formålet med bruken av opplysningene. Nytt ved forslaget er at opplysningene skal kunne brukes til "statistikk […] for å fremme helse, forebygge sykdom og skade eller gi bedre helse- og omsorgstjenester."

Vi anbefaler at bestemmelsen inneholder konkretiseringen av dataminimeringsprinsippet, tilsvarende forslaget i helseregisterloven § 19 a tredje ledd bokstav a). Som departementet viser til, mangler det kunnskap om regelverket blant forskere. En synliggjøring av dette prinsippet er viktig for å bidra til at regelverket er mest mulig komplett og tilgjengelig for forvalterne og brukerne av helsedata.

Vi foreslår at helsepersonelloven § 29 andre ledd bokstav b) lyder:

"b) Opplysningene skal tilgjengeliggjøres uten navn, fødselsnummer eller andre direkte personentydige kjennetegn, med mindre særlige grunner gjør det nødvendig for mottakeren å få opplysningene med slike kjennetegn. Det skal ikke tilgjengeliggjøres flere opplysninger enn det som er nødvendig for formålet."

Da kan ny bokstav e) være "Søkeren har dokumentert at vilkårene i helseregisterloven § 19 a andre og tredje ledd er oppfylt."

Endringer i helseforskningsloven (punkt 15.3):

§ 34 Behandling av helseopplysninger

Departementet skriver at endringen i første ledd er begrunnet i informasjonshensyn.

Slik vi forstår ordlyden i nåværende bestemmelse, setter den rammer for behandlingen i forskningsprosjektet, dvs. etter at prosjektleder og prosjektet har mottatt opplysningene for bruk til forskning. Opplysningene skal behandles i samsvar med behandlingsgrunnlaget som er REKs godkjenning. Annen behandling av opplysningene er det ikke adgang til.

Forslaget vil innebære en vesentlig endring av behandling av opplysninger i forskningsprosjektet. Ønsker forskeren å behandle opplysningene på annen måte enn hva lovgrunnlaget tilsier, må de innhente ny godkjenning fra REK.

Dersom vår forståelse er korrekt, vil endringen åpne for en utvidet mulighet til å behandle opplysningene, og i realiteten innebære en materiell endring, uten at dette er særlig omtalt. Vi ber om at dette konkretiseres i proposisjonen.

§ 35 Adgang til bruk av helseopplysninger som er innsamlet i helse- og omsorgstjenesten til forskning:

Bestemmelsen regulerer unntak fra taushetsplikten (dispensasjon) for opplysninger innsamlet i helse- og omsorgstjenesten, som skal brukes til forskning og forskerens bruk av opplysninger i forskning. I høringsnotatet 16.3 fremgår det at bestemmelsen bare skal regulere opplysninger som er innsamlet i helse- og omsorgstjenesten og som ikke skal gis fra helsepersonell. Dispensasjon fra taushetsplikten for opplysninger som gis fra helsepersonell og opplysninger fra helseregistre reguleres av helsepersonelloven § 29.

Vi mener at ordlyden i bestemmelsen bør tydeliggjøres. Det er ikke klart hvilke kilder til opplysninger det dreier seg om når det står "og som ikke skal gis fra helsepersonell". Spørsmålet er om bestemmelsen gjelder ny eller endret bruk av tidligere innsamlet helseopplysninger fra helsepersonell. Det vises til helseforskningsloven § 15 som regulerer ny eller endret bruk av innsamlet biologisk materiale eller helseopplysninger. Det bør konkretiseres i lovproposisjonen, gjerne med eksempler, hvilke situasjoner bestemmelsen er ment å regulere.

Vilkårene for å gi dispensasjon er de samme som i helsepersonelloven § 29. Helsedirektoratet viser til at vilkår i bokstav a) må begrenses til: "Opplysningene skal brukes til medisinsk og helsefaglig forskning." Det vises til helseforskningslovens § 4 a) sin definisjon.

Forskrift om innsamling og behandling av helseopplysninger i legemiddelregisteret (punkt 15.4)

Det fremgår av høringsnotatet at det vurderes å innlemme opplysninger om legemiddelbruk på institusjon i Legemiddelregisteret, og at opplysningene er tenkt hentet fra blant annet Reseptformidleren. Det kan være at annen etablert infrastruktur kan benyttes, ettersom legemiddelbehandling i institusjon ikke registreres i Reseptformidleren. Vi legger i den forbindelse til grunn at det ved forvaltning av et personidentifiserbart legemiddelregister, må gjøres løpende vurderinger av registerets innhold sett i forhold til hvilke opplysninger om legemidler og legemidlerbruk i helse- og omsorgstjenesten som finnes i andre kilder, som for eksempel NPR. Dette for å sikre at registrene samlet sett inneholder alle relevante og nødvendige opplysninger om legemidler og legemiddelbruk, for å sikre at en unngår unødvendig dobbeltregistrering og for å begrense rapporteringsbyrden for de rapporteringspliktige i den utstrekning dette er mulig.

Departementet bør også vurdere om de kanaler og systemer som allerede er etablert for innsamling av opplysninger til eksisterende helseregistre, også kan nyttiggjøres ved innsamling av opplysninger til et personidentifiserbart legemiddelregister. NPR benyttes per i dag som et nøkkelregister for flere andre registre, og slik vi ser det kan det være hensiktsmessig vurdere om Helsedirektoratets registre kan ha lignende funksjoner i forhold til legemiddelregisteret.

§ 1-2: legemiddelregisterets formål:

Formålet til det nye registeret er ikke inndelt i hoved- og tilleggsformål. Dette betyr, slik vi ser det, at det ikke er en ytre ramme for hvilke opplysninger som kan samles inn til registeret. Som eksempel er bokstav b) en lite egnet skranke mht. hvilke opplysninger som kan registreres.

§ 1-5 Opplysninger i legemiddelregisteret:

Tredje ledd bokstav i) "helsetjenester i apotek".

Helsedirektoratet vurderer at departementet ikke bør begrense innrapportering fra legemiddelrelaterte helsetjenester til apotek, ettersom inhalasjonsveiledning, oppstartsveiledning m.m. gis som helsetjenester andre steder i helsetjenesten. Det er satt i gang pågående utviklingsarbeid ved primærhelsetjenesteteam, samt utredningsarbeid med bruk av farmasøyter i kommunen. Spørsmålet blir likevel om denne informasjon skal samles i legemiddelregisteret eller i NPR og KPR. Denne informasjonen må uansett overføres til registeret på en egnet måte fra helsetjenesten. Det viktigste for Helsedirektoratet er at relevant informasjon om legemiddelbehandling og bruk samles i de sentrale helseregistrene. Det er ikke avgjørende i hvilket register det blir, såfremt det ikke blir mer ressurskrevende å sammenstille informasjon fra flere helseregistre for ivaretagelse av Helsedirektoratets samfunnsoppdrag.