Høring - forskrift om kommunalt pasient- og brukerregister (KPR)

• Høringsbrev

  Vår ref.: 16/6945-1

  Høring - forskrift om kommunalt pasient- og brukerregister (KPR)

  Helse- og omsorgsdepartementet sender med dette på høring forskrift om et nytt kommunalt pasient- og brukerregister (KPR).

  Departementet vil fornye, forenkle og forbedre helse- og omsorgstjenesten med utgangspunkt i pasientenes og brukernes behov. For å få til dette, er det nødvendig med et godt kunnskapsgrunnlag. Et godt kunnskapsgrunnlag er en forutsetning for å kunne plan­legge, forvalte, evaluere, korrigere og utvikle en god og bærekraftig helse- og omsorgs­tjeneste. KPR skal gi oss et slikt kunnskapsgrunnlag.

  Stortinget har vedtatt at det skal etableres et kommunalt pasient- og bruker­register, jf. lov av 17. juni 2016 om endringer i helseregister­loven § 11. Innen rammene av et godt personvern skal KPR bidra til å gi pasienter og brukere av kommunale helse- og omsorgstjenester og andre helsetjenester utenfor spesialisthelsetjenesten bedre kvalitet på diagnostikk og behandling, og styrke kunnskapsgrunnlaget for forebyggende arbeid. Norsk pasientregister (NPR) har denne funksjonen for spesialisthelsetjenesten.

  Høringsuttalelsene sendes fortrinnsvis digitalt på denne siden: regjeringen.no

  Høringsinstansene kan registrere seg, mellomlagre svaret og laste opp vedlegg. Høringsinstansene kan også sende høringssvar uten å registrere seg.

  Høringsinstansene blir bedt om å vurdere om høringsnotatet bør sendes til underliggende etater eller virksomheter, tilknyttede virksomheter, medlemmer e.l.  Alle kan avgi høringsuttalelser. Uttalelser er som hovedregel offentlige etter offentleglova og vil bli publisert.

  Høringsfristen er 23. mars 2017.

  Med vennlig hilsen                                                           

  Geir Helgeland (e.f.)

  avdelingsdirektør

  Sverre Engelschiøn

  fagdirektør

  Dokumentet er elektronisk signert og har derfor ikke håndskrevne signaturer.

• Høringsnotat

  Høringsnotat

Utdrag:

1.3 Forslaget til forskrift

[...]

Registrering og annen behandling av helseopplysninger medfører alltid utfordringer for personvernet. Forslaget til forskrift omhandler derfor krav til registrering og annen behandling av opplysninger i registeret, som tilgjengeliggjøring og videreformidling av opplysninger og sammenstilling av opplysninger i registeret med andre opplysninger, herunder opplysninger i andre registre. Uttrykket tilgjengeliggjøring dekker alle former for å gjøre registerinformasjon tilgjengelig for brukere, herunder utlevering, tilrettelagt tilgang med og uten utlevering av data mv.

Helseregisterlovens utgangspunkt er at den enkelte registrerte gis størst mulig anledning til å bestemme over opplysninger om seg selv. Departementet foreslår derfor at det skal være reservasjonsrett mot registrering av andre typer opplysninger enn de som i dag inngår i KUHR og IPLOS, med unntak av administrative opplysninger som det ikke skal være reservasjonsrett for. Reservasjonsrett er et kompenserende tiltak for å begrense ulempene registrering kan utgjøre for den enkelte. Det foreslås videre at det skal være reservasjonsrett mot at helseopplysninger tilgjengeliggjøres fra registeret sammen med direkte personidentifiserende kjennetegn som fødsels-nummer. Se forslaget til forskrift § 2-2, se punkt 4.4.

KPR vil inneholde personidentifiserende kjennetegn, som fødselsnummer. For at data fra flere ulike kilder skal kunne knyttes sammen og gi kunnskap om for eksempel helhetlige pasientforløp, er det viktig at opplysningene er personentydige og at direkte personidentifikasjon, som fødselsnummer, kan brukes som nøkkel til å sammenstille data fra ulike kilder til samme person, se Prop. 106 L (2015-2016) kapittel 8.

At registeret etableres med hjemmel i helseregisterloven innebærer at opplysningene skal behandles i samsvar med helseregisterlovens strenge krav til informasjonssikkerhet, taushetsplikt, innsynsrett, logging og rett til innsyn i logg, mv. Direkte personidentifiserende kjennetegn som fødselsnummer skal lagres kryptert og separert fra helseopplysningene se § 5-2 og punkt 4.9.2. Fødselsnummer skal benyttes for å knytte informasjon fra ulike kilder eller deler av forløp til én person.

Denne måten å sikre den enkeltes identitet og personlige integritet på, sammen med de andre kravene til informasjonssikkerhet, vil gi sikkerhet for at opplysningene ikke spres til uvedkommende. Erfaringene med NPR, som har tilsvarende informasjonssikkerhetsløsning, er meget god.

Det følger Prop. 106 L punkt 1.1 at "Pasientens og brukerens personvern skal ivaretas, samtidig som dette ikke er til hinder for at dataene i KPR kan brukes i tråd med formålet". Departementet mener forskriftsforslaget sammen med de grunnleggende rettighetene som følger av helseregisterloven, sikrer en god balanse mellom enkeltmenneskets rett til personvern og ønsket om bedre helse- og omsorgstjenester.

[...]

4.4 Reservasjonsrett

Helseregisterlovens utgangspunkt er at den enkelte registrerte gis størst mulig anledning til å bestemme over opplysninger om seg selv. Helse- og omsorgskomiteen uttaler i Innst. 373 L (2015–2016) at sammen med NPR, vil KPR gi viktig informasjon om pasientforløpet til pasienter med behov for helse- og omsorgstjenester før og etter utskrivning fra sykehuset.

"Flertallet mener at en generell reservasjonsrett […] vil innebære at registeret kan få for dårlig datakvalitet, og viser til at for noen problemstillinger vil selv et lite frafall som følge av reservasjonsretten, føre til alvorlige feil i datagrunnlaget. Flertallet viser til at en reservasjonsrett for enkelte opplysninger og bruk av opplysningene til enkelte formål, skal utredes nærmere i forskriftsarbeidet."

Departementet foreslår at det skal være reservasjonsrett mot registrering av andre typer opplysninger enn de som i dag inngår i KUHR og IPLOS, med unntak av administrative opplysninger, jf. forslaget § 2-1 første ledd bokstav a, b og c. At det ikke skal være reservasjonsrett mot opplysningstyper som i dag inngår i KUHR eller IPLOS følger av Prop 106 L (2015-2016) punkt 8.3.4. Departementet foreslår videre at det skal være reservasjonsrett mot at helseopplysninger gjøres tilgjengelig fra registeret sammen med direkte personidentifiserende kjennetegn som fødselsnummer. Se forslaget til forskrift i § 2-1 andre ledd og § 2-2.

4.4.1 De registrertes selvbestemmelse over opplysninger om seg selv

Både samtykke og reservasjonsrett vil gi de registrerte selvbestemmelse over opplysninger om seg selv. Det at opplysninger til KPR skal samles inn uten den registrertes samtykke er et inngrep i den enkeltes rett til selv å bestemme over opplysningene om seg selv. Hvor inngripende en behandling av opplysninger er, beror på flere forhold. Grad av identifikasjon er ett moment. Behandling av direkte identifiserbare opplysninger anses som mer inngripende enn indirekte identifiserbare. Hvilke opplysningstyper som omfattes, hvor mange opplysninger, detaljeringsgraden og hvor lenge opplysningene skal behandles er andre momenter. Tilsvarende er graden av selvbestemmelse og den enkeltes mulighet for kontroll og påvirkning.

KPR vil være et omfattende register med opplysninger knyttet til mange av livets faser. Enkelte vil kunne oppleve det som utfordrende at mange helseopplysninger samles i ett register. Reservasjonsrett benyttes som en løsning for å begrense personverninngrepet som en behandling av opplysninger i KPR uten samtykke kan utgjøre. Det fremgår av forarbeidene til helseregisterloven at et krav om samtykke og en reservasjonsrett likevel er av noe ulik karakter:

Mens et krav om samtykke innebærer at man uttrykkelig må godta behandling av helseopplysninger, krever bruk av reservasjonsretten at man uttrykkelig må motsette seg at egne helseopplysninger behandles. Krav om samtykke innebærer at det ikke kan registreres opplysninger om den enkelte før vedkommende uttrykkelig har samtykket til dette. En reservasjonsrett innebærer derimot at opplysninger om den enkelte kan bli registrert før den enkelte har hatt anledning til å reservere seg. (Prop. 72 L (2013–2014) punkt 18.4.2)

4.4.2 Føringer i forarbeidene til helseregisterloven

Ved vedtakelsen av hjemmelen for KPR i helseregisterloven § 11, ble det besluttet at direkte person-identifiserende kjennetegn skulle registreres og behandles på andre måter i registeret uten de registrertes samtykke eller generell reservasjonsrett. Flertallet i Helse- og omsorgskomiteen viste imidlertid til at "en reservasjonsrett for enkelte opplysninger og bruk av opplysningene til enkelte formål, skal utredes nærmere i forskriftsarbeidet". Også innenfor et lovbestemt register er det viktig med en grundig vurdering av personvernulempene og hvordan disse kan avhjelpes. Man må se hen til formålet med behandlingen av opplysningene og vurdere hvordan forskriften skal kunne åpne for at de registrerte kan reservere seg mot registering av enkelte opplysninger og/eller bruk til enkelte formål.

Helse- og omsorgskomiteens flertall uttalte i Innst. 373 L (2015–2016) at "nytteverdien av KPR vil være stor, og at hensynet til personvern og uautorisert bruk av opplysninger vil ivaretas av regelverk og tekniske og organisatoriske løsninger".

Det fremgår av forarbeidene til endringene i helseregisterloven at for å kunne ivareta formålet med KPR, kan det ikke være reservasjonsrett mot at opplysningstyper som i dag inngår i KUHR og IPLOS registreres. Når det gjelder de øvrige opplysningstypene som skal inngå i registeret, skal derimot hovedregelen være reservasjonsrett.

I forarbeidene ble det lagt til grunn at en generell reservasjonsrett ville innebære at registeret kan få for dårlig datakvalitet og at formålet med registeret ikke nås. For noen problemstillinger vil selv et lite frafall som følge av reservasjonsretten kunne føre til alvorlige feil i datagrunnlaget. Det er grunn til å tro at pasienter og brukere som reserverer seg mot registrering har spesielle preferanser eller kjennetegn, som for eksempel alder, kjønn og bosted.

Se nærmere i Prop. 106 L (2015-2016) punkt 8.3.3 og 8.3.4 og Innst. 373 L (2015-2016).

4.4.3 Ikke reservasjonsrett mot registrering av opplysninger i KUHR og IPLOS

I samsvar med føringene i forarbeidene til helseregisterloven (Prop. 106 L (2015-2016)), foreslår departementet at det ikke skal være reservasjonsrett mot registrering av opplysningstyper som i dag inngår i KUHR og IPLOS. Dette vil utgjøre hovedtyngden av innholdet i registeret og gjelde opplysninger som i dag samles inn etter folketrygdloven kapittel 5 og tjenester etter helse- og omsorgstjenesteloven § 3-2 første ledd nummer 3 til 6, § 3-6 og § 3-8.

I KUHR og IPLOS er det i dag ikke lovbestemt reservasjonsrett. I IPLOS-registeret har det imidlertid vært praktisert en reservasjonsadgang for registrering av diagnoseopplysninger. Diagnoseopplysninger er registrert i KUHR og favner således videre enn IPLOS. Diagnoseopplysninger fra KUHR skal inngå i KPR uten reservasjonsrett, se nærmere i Prop. 106 L (2015-2016) punkt 8.3.3 og 8.3.4 og Innst. 373 L (2015-2016).

IPLOS dekker i dag alle brukere av omsorgstjenester. Dette er også viktig for at KPR skal kunne ivareta formålet sitt om å gi grunnlag for kvalitetssikring, planlegging, utvikling og styring av tjenestene.

KUHR inneholder alle opplysninger knyttet til oppgjør og refusjon fra blant annet allmennlege-tjenesten. Opplysningstyper som i dag registreres i KUHR vil sammen med opplysningstyper som i dag registreres i IPLOS være utgangspunktet for KPR som et register for de kommunale helse- og omsorgstjenestene.

KPR skal være et nøkkelregister for de kommunale helse- og omsorgstjenestene, på samme måte som NPR er et nøkkelregister for spesialisthelsetjenesten. I NPR er det ikke reservasjonsrett. For å kunne bruke KPR som et verktøy for å bedre samhandlingen mellom ulike deler av helse- og omsorgstjenestene og forvaltingsnivåer og sikre pasienter og brukere gode tjenestetilbud, er det viktig at KPR og NPR er bygget over samme lest, se Innst. 373 L (2015-2016). Sammen med NPR, vil KPR gi viktig informasjon om pasientforløpet til pasienter med behov for helse- og omsorgstjenester før og etter utskrivning fra sykehus.

KPR skal inneholde helseopplysninger om personer som har søkt, mottar eller har mottatt helse- og omsorgstjenester fra den kommunale helse- og omsorgstjenesten i Norge, fra tannhelsetjenesten og fra private tjenesteytere uten driftsavtale med kommune eller fylkeskommune, jf. forskriftsforslaget § 1-2. Datasettene fra IPLOS og KUHR er ikke tilstrekkelige for å ivareta formålet med KPR, men skal utgjøre vesentlige elementer.

4.4.4 Spørsmål om reservasjonsrett mot registrering av andre opplysninger

Departementet har i samsvar med forarbeidene til helseregisterloven (Prop. 106 L (2015-2016), vurdert om det skal være reservasjonsrett mot registrering av andre opplysningstyper enn de som i dag inngår i KUHR og IPLOS. I vurderingen er det foretatt en avveining mellom behovet for å registrere opplysningstypene for å oppnå registerets formål og ulempene registreringen representerer for personvernet til de registrerte. Departementet har kommet til at de registrerte bør ha rett til å motsette seg registrering av slike andre opplysningstyper i KPR, med unntak av administrative opplysninger, se forskriftsforslaget § 2-2.

Opplysningstyper som omfattes av forskriftsforslaget, men ikke inngår i KUHR og IPLOS, er helseopplysninger om tjenester som ytes etter helse- og omsorgstjenesteloven § 3-2 nr. 1 og nr. 2 (helsetjeneste i skoler, helsestasjonstjeneste samt svangerskaps- og barselomsorgstjenester) og tannhelsetjenester. Dersom det skal være reservasjonsrett mot registrering av samtlige opplysninger fra disse tjenestene, vil ikke formålet med KPR kunne oppnås. Det er derfor nødvendig å registrere enkelte administrative opplysninger. Dette henger sammen med at formålet med KPR heller ikke kan oppfylles ved en generell reservasjonsrett. En forutsetning for at KPR skal kunne gi et godt nok kunnskapsgrunnlag slik at formålene med registeret kan oppnås, er at dataene er så komplette og representative som mulig. Omfanget av reservasjonsretten vil derfor nødvendigvis måtte være noe begrenset, særlig i registerets tidlige faser.

Administrative opplysninger

For å kunne dokumentere omfang av tjenestetilbudet og estimere konsekvenser av reservasjonsretten, vil det være helt nødvendig med informasjon om tidsangivelse for kontakt med helse- og omsorgstjenesten, identifikasjon av tjenesteenhet og type kontakt (for eksempel konsultasjon, kontroll, oppfølging, innleggelse). Det foreslås derfor ikke en rett til å kunne reservere seg mot registrering av opplysningstyper listet opp i forskriften § 2-1 bokstav a, b og c, herunder personidentifiserende kjennetegn, demografiske og sosioøkonomiske opplysninger, fødekommune/fødeland, bo- og omsorgssituasjon, dødsdato, administrative opplysninger om helse- og omsorgstjenesten, informasjon om tjenesteyter/organisasjon, tidsangivelse for varighet av og form for kontakt med tjenesten, om utarbeidet individuell plan, omsorgslønn og brukerstyrt personlig assistanse (BPA) og samhandling innad i tjenesten.

Helse- og omsorgstjenesten kan for mange brukere fremstå fragmentert. Barn og unge med lettere psykiske lidelser er eksempel på en pasientgruppe hvor flere ikke fanges opp tidlig nok. Psykiske lidelser opptrer samlet sett tidligere i livet enn somatiske lidelser, og konsekvensen av ikke å kunne møte denne pasientgruppens behov tidlig i sykdomsforløpet, er at mange faller ut av skole og arbeid. Det er i dag uønsket variasjon og mangler i utredning av barn og unge med psykiske lidelser. Forløpet vil ofte starte utenfor spesialisthelsetjenesten, med blant annet skolehelsetjenesten og fastlegene som viktige aktører. For økt kunnskap om hvordan tjenesten bør tilrettelegges for å utvikle et bedre tjenestetilbud til denne pasientgruppen, er opplysninger om kontakt med tjenesten sentralt. Samarbeid på tvers av ulike enheter vil ofte være sentralt for å belyse pasientforløpene.

Også pasienter med kroniske somatiske lidelser beveger seg mellom ulike tjenester og tjenestenivåer. Kroniske lidelser behandles ofte i primærhelsetjenesten, men mange pasienter har i tillegg jevnlig kontakt med spesialisthelsetjenesten. Eksempler på dette er: Kroniske lidelser som diabetes, kols, hjertesykdommer og følgetilstander etter hjerneslag. Dersom enkeltkontakter med helse- og omsorgstjenesten faller ut av KPR som en følge av reservasjon knyttet til for eksempel skolehelsetjenesten eller kommunalt akuttmedisinsk døgntilbud, vil det kunne innebære reduserte muligheter for å identifisere og analysere langvarige og sammensatte pasientforløp. Det vil si at vi får et dårligere kunnskapsgrunnlag for å planlegge, styre og finansiere tjenestene for å gi økt kvalitet i oppfølging av den aktuelle pasient- og brukergruppen.

Administrative opplysninger om kontakt med helse- og omsorgstjenesten, og på et overordnet nivå om innholdet i tjenesten, vil også være avgjørende for at KPR på samme måte som NPR skal kunne fungere som nøkkelregister og ha en rolle for kvalitetsforbedringsarbeidet i tjenestene og for kvalitetssikring av andre nasjonale helseregistre. Nasjonal tjeneste for validering og dekningsgradsanalyser er del av en felles infrastruktur for nasjonale medisinske kvalitetsregistre og har som overordnet mål å være et betydelig bidrag i arbeidet med å høyne kvalitetsregistrenes dekningsgrader. For at et kvalitetsregister skal kunne brukes til kvalitetsforbedringsarbeid og forskning, samt ha tilstrekkelig troverdighet i de kliniske miljøene, er det helt avgjørende at dekningsgraden i registeret er høy. Dekningsgradsanalysene skal gjøre registrene i stand til å gi tilbakemelding til enheter med lav dekningsgrad, og arbeide med å bedre kodekvaliteten ved sykehusene. Lave dekningsgrader legger betydelige begrensninger på hvilke konklusjoner som kan trekkes fra analyser av kvalitetsregistrenes data. Dekningsgradsanalyser kan ikke gjøres dersom registeret ikke har kompletter opplysninger om kontakter mv.

Det vil ikke være behov for samtlige opplysninger som kan meldes fra de ulike delene av helse- og omsorgstjenesten, men for å oppnå formålene med registeret vil det som beskrevet ovenfor være behov for et minimums datasett om selve kontakten med tjenesten.

4.4.5 Reservasjonsrett ved tilgjengeliggjøring av opplysninger

Det er et mål at den enkelte skal ha størst mulig grad av råderett over opplysninger om seg selv. Samtidig må formålet med KPR sikres. Det er viktig å finne en balanse mellom disse hensynene. Reservasjonsrett ved bruk av opplysningene i registeret kan være en god måte å balansere hensynet til den enkeltes råderett mot hensynet til et velfungerende register.

Departementet har vurdert ulike alternativer for reservasjonsrett mot bruk av opplysningene i registeret. Departementets forslag er at den registrerte skal kunne reservere seg mot at helseopplysninger tilgjengeliggjøres fra registeret sammen med fødselsnummer, se forslaget til forskrift § 4-5.

Departementet har blant annet vurdert om det kan innføres reservasjonsrett mot tilgjengeliggjøring av opplysninger fra KPR til helseanalyser og forskning.

Reservasjonsadgang mot tilgjengeliggjøring for helseanalyser og forskning kan fremstå som forsvarlig sett opp mot registerets formål. Reservasjonsrett knyttet til tilgjengeliggjøring av data til noen formål, men ikke andre vil imidlertid være vanskelig gjennomførbart og kunne ha uheldige konsekvenser. For eksempel er skillet mellom forskning og kvalitetssikring noe glidende, og ulikt regelsett for bruk av opplysninger til disse formålene vil kunne medføre uønskede endringer i søknader fra forskning til kvalitetssikring.

Formålet med registeret tilsier at KPR kan brukes til litt ulike formål som har overlappende karakter. Det kan derfor bli krevende både for innbyggerne og for de ulike dataforvalterne å skille presist mellom bruken til de ulike formålene. Forskningsresultater kan gi viktig informasjon til planlegging, styring og finansiering av helse- og omsorgstjenesten, og fremstilling av statistikk og kvalitetsindikatorer kan gi opphav til styringsgrep som igjen kan gi behov for følge- og tiltaksforskning. Det kan også oppstå ulike fortolkninger, for eksempel knyttet til om konkrete utleveringer er til "rene" finansieringsformål, eller om den samme utleveringen også skal brukes til analyser eller forskning i tilknytning til finansiering. En risikerer at samme person i samme virksomhet kan bruke et komplett datasett hvor data fra alle registrerte inngår til noen oppgaver, men et annet ukomplett datasett basert på reservasjoner til andre oppgaver. Departementet foreslår derfor ikke reservasjonsrett mot utlevering til enkelte bestemte formål.

Dersom datasettet i KPR i utgangspunktet er komplett, vil ikke problemer knyttet til kompletthet og representativitet i utleverte analysefiler være de samme. Med stor grad av kompletthet, vil det være mulig å gi mottagere av utleverte data informasjon om representativitet og skjevheter i utvalget som skyldes reservasjon mot utlevering av direkte personidentifiserbare opplysninger. Det vil si at det for mange analyse, forsknings- og kvalitetssikringsformål kan korrigeres for frafall som skyldes reservasjon. Dermed vil presisjonen ofte være tilnærmet like god i slike analyser som i analyser med komplette data. Reservasjon vil imidlertid stille større krav til dataforvaltningen i registeret, både i form av tidsbruk og faglig kompetanse.

I de fleste tilfeller er det ikke nødvendig for forskere og andre mottakere av data å ha tilgang til de registrertes fødselsnummer. Sammenstilling av data fra ulike kilder kan skje ved bruk av en nøkkel som utledes av fødselsnummeret og som kan knytte de utleverte opplysningene til de registrertes identitet. Mottaker av data får utlevert et datasett som inneholder en nøkkel og helseopplysninger uten direkte personidentifiserbare opplysninger, slik at mottakeren selv kan sammenstille datasettene uten at vedkommende får tilgang til fødselsnummer. Denne fremgangsmåten benevnes ofte "distribuert kobling", og er i økende grad tatt i bruk i samarbeidet mellom dataforvaltere i sentrale helseregistre.

I enkelte tilfeller vil det imidlertid være nødvendig for mottakere å få utlevert fødselsnummer sammen med helseopplysninger fra KPR. Det kan være i tilfeller der en forsker har samlet inn direkte personidentifiserbare helseopplysninger fra andre kilder, for eksempel i kliniske forskningsprosjekter, og trenger å koble på opplysninger fra KPR for videre analyser. En slik bruk av helseopplysninger bør den registrerte kunne reservere seg mot.

Mulighet til å reservere seg mot tilgjengeliggjøring av direkte personidentifiserbare opplysninger (helseopplysninger med fødselsnummer), vil sannsynligvis være enklere å forstå for innbyggerne og enklere å praktisere i forvaltningen av registeret. En slik løsning vil gi både medbestemmelse og gode muligheter for å ivareta formålene for KPR. Selv om det er relativt sjelden opplysninger med direkte personidentifiserbare opplysninger tilgjengeliggjøres fra registrene, antar departementet at det er når opplysningene kan knyttes til en bestemt person gjennom fødselsnummer at behovet for å ha kontroll over bruken er størst.

Reservasjonsretten vil ikke begrense mulighetene for sammenstilling av data fra KPR med data fra andre lovbestemte registre (som for eksempel NPR og Dødsårsaksregisteret) innen registerforvaltningen. Dette følger av helseregisterloven § 19. Med registerforvaltningen menes forvaltningen av nasjonale helseregistre, som registrering, kvalitetssikring og tilretteleggelse av rutinemessig statistikk. Sammenstilling innenfor registerforvaltningen skjer ved at helseopplysninger behandles adskilt fra fødselsnummer, og bør altså kunne gjennomføres selv om den registrerte har reservert seg mot utlevering av direkte personidentifiserbare opplysninger.

I tillegg til en reservasjonsrett vil de registrerte alltid kunne kreve sletting eller sperring av helseopplysninger som føles sterkt belastende, jf. helseregisterloven § 25. Dette gjelder dersom det ikke finnes sterke allmenne hensyn som tilsier at opplysningene behandles. Det følger av kravet om at opplysningene skal føles sterkt belastende, at det skal mye til for å få dem slettet.

På denne bakgrunn foreslår departementet at den registrerte skal kunne reservere seg mot at helseopplysninger tilgjengeliggjøres fra registeret sammen med fødselsnummer, se forslaget til forskrift § 4-5 tredje ledd.

4.4.6 Teknisk løsning for innsyn og reservasjonsrett

Helsedirektoratet skal ved etableringen av registeret legge til rette mekanismer som ivaretar den enkeltes behov på en god måte, samtidig som registerets formål kan oppfylles.

Teknisk vil reservasjon arte seg som meldinger fra den registrerte til registeret. Meldingene vil enten aktivere eller deaktivere mulige reservasjoner. Det kan være naturlig å håndtere de tekniske løsningene for reservasjon sammen med tekniske løsninger for annen sikker dialog (meldingsutveksling) mellom pasienter eller brukere og registre.

Tjenestene som utvikles må være oversiktlige og enkle å bruke (for innbyggere med samtykkekompetanse), uavhengig av alder og forståelse.

Departementet foreslår at løsningen skal:

- Gi innbyggere digitalt innsyn i opplysninger om en selv i KPR, etter pålogging på "Min helse" på Helsenorge.no (inkludert om reservasjonsrett er aktivert eller ikke).
- Gi innbyggere digitalt innsyn i logg over tilgang og utlevering av direkte personidentifiserbare data (fødselsnummer sammen med helseopplysninger) fra KPR og NPR, etter pålogging på "Min helse" på Helsenorge.no.
- Gi innbyggere mulighet for digital dialog med KPR, i tilknytning til spørsmål om retting og sletting av feilaktige opplysninger i forbindelse med innsyn.
- Gi innbyggere mulighet til å aktivere og deaktivere bruk av reservasjonsrett etter pålogging på "Min helse" på Helsenorge.no.

Meldinger knyttet til reservasjon trenger ikke å være gjenstand for manuell saksbehandling på samme måte som spørsmål knyttet til tolkning av medisinske faguttrykk eller koder, eller til retting/sletting av opplysninger. Det vil si at meldinger knyttet til reservasjon kan gå automatisk fra pasient eller bruker til egne oversikter (tabeller) med informasjon om reservasjonsstatus for de registrerte. Opplysninger om reservasjon inngår i forslaget som en opplysningstype i registeret, se forskriften § 2-1 bokstav c. Reservasjonsstatus vil også måtte være en del av "rapporten" som registrene genererer for en innsynsløsning i Helsenorge.no.

Forslaget innebærer at Helsenorge.no må utvide funksjonaliteten i personvernkomponenten, slik at innbyggerne etter pålogging til "Min helse" får mulighet til å velge elektronisk dialog med helseregistre, på samme måte som den eksisterende løsningen åpner for innsyn og reservasjon for Nasjonal kjernejournal og innsyn i Egenandelsregisteret.

Løsningen for digital dialog må utvides med en tilsvarende løsning som genererer spesifiserte meldinger om innsyn og reservasjon. Videre må det etableres et grensesnitt og en meldingsspesifikasjon for meldinger om henholdsvis innsyn, reservasjonsrett og svar på spørsmål.

4.5 Tilgjengeliggjøring av opplysninger fra registeret

Helseopplysninger er underlagt taushetsplikt, jf. helseregisterloven § 17 som viser til helsepersonelloven §§ 21 flg. Taushetsplikten gjelder både direkte og indirekte personidentifiserbare opplysninger. Bestemmelsene om utlevering fra registeret og annen bruk av opplysningene må derfor utformes for å ivareta dette på en god måte.

Tilgang til og utlevering (tilgjengeliggjøring) av opplysninger i registeret må vurderes på bakgrunn av det aktuelle formålet med behandlingen av dem. Data som det ikke er relevant å behandle for et bestemt formål, kan heller ikke tilgjengeliggjøres, jf. helseregisterloven § 6 tredje ledd. Det er den databehandlingsansvarlige (Helsedirektoratet) som skal ha ansvar for å beslutte hvordan opplysningene skal tilgjengeliggjøres.

4.5.1 Direkte identifiserbare helseopplysninger

Forskriften innebærer ikke endringer i helseregisterlovens bestemmelse om taushetsplikt. Departementet foreslår likevel å presisere i forskriftsteksten at Helsedirektoratet (databehandlingsansvarlig) bare skal kunne tilgjengeliggjøre direkte identifiserbare helseopplysninger fra registeret dersom utleveringen er i samsvar med reglene om taushetsplikt, jf. forskriften § 4-5 andre ledd. Dette synliggjør at den registrerte må ha samtykket i utleveringen eller at utleveringen må ha hjemmel i lov, eventuelt dispensasjon fra taushetsplikten. Direkte identifiserbare helseopplysninger er helseopplysninger som er tilknyttet fødselsnummer eller annet personidentifikator.

I tillegg skal mottakeren ha forhåndsgodkjenning for å behandle opplysningene, enten fra Den regionale komite for medisinsk og helsefaglig forskningsetikk (REK) eller fra Datatilsynet/personvernombud.

Departementet foreslår også at direkte identifiserbare helseopplysninger skal kunne tilgjengeliggjøres for sammenstilling med opplysninger i andre helseregistre. Vilkåret for tilgjengeliggjøring er da at registeret som mottar opplysningene er etablert i forskrift hjemlet i helseregisterloven § 8 til § 12 og at opplysningene kan sammenstilles etter respektive registres forskrifter.

Departementet foreslår i punkt 4.4.5 at de registrerte skal ha reservasjonsrett mot tilgjengeliggjøring av helseopplysninger sammen med fødselsnummer, men ikke for sammenstilling.

4.5.2 Indirekte identifiserbare helseopplysninger

Erfaringsmessig er det relativt sjelden det er nødvendig å tilgjengeliggjøre direkte identifiserbare helseopplysninger fra helseregistrene. Mer praktisk er utlevering av indirekte identifiserbare helseopplysninger. Indirekte identifiserbare helseopplysninger er helseopplysninger der navn, fødselsnummer og andre personentydige kjennetegn er fjernet, men hvor opplysningene likevel kan knyttes til en enkeltperson, jf. helseregisterloven § 2 bokstav b. Departementet presiserer at navn ikke skal registreres i KPR.

Når det, uten samtykke fra de registrerte, tilgjengeliggjøres opplysninger som ikke er anonyme blir personvernet utfordret. Både direkte og indirekte identifiserbare helseopplysninger vil være underlagt taushetsplikt. Dette gjelder selv om leveransen er godkjent av alle relevante myndigheter som REK og Datatilsynet, eller eventuelt personvernombud.

Departementet foreslår en forskriftsbestemmelse i § 4-4 som viser til helseregisterloven § 20. Det følger av denne at den databehandlingsansvarlige uten hinder av taushetsplikten kan tilgjengeliggjøre indirekte identifiserbare opplysninger, dersom behandlingen av dem er av vesentlig interesse for samfunnet, hensynet til pasientens integritet og konfidensialitet er ivaretatt, og behandlingen er ubetenkelig ut fra etiske, medisinske og helsefaglige hensyn. Den databehandlingsansvarlige kan stille vilkår for utleveringen.

Dette betyr at indirekte identifiserbare opplysninger kan tilgjengeliggjøres til forskning, forskningsbaserte evalueringer, analyser, og kvalitetssikring, administrasjon, planlegging eller styring av helse- og omsorgstjenesten.

[...]

4.9.2 Kryptering

Graden av personidentifikasjon i KPR skal ikke være større enn nødvendig for registerets formål, verken ved innsamling, bearbeiding eller utlevering av opplysninger til/fra registeret.

I Prop. 106 L (2015-2016) kapittel 8 er det redegjort for hvorfor direkte personidentifiserende kjennetegn som fødselsnummer mv. skal kunne registreres og behandles på andre måter i registeret. Formålet med registeret og oppgavene det skal benyttes til, kan ikke ivaretas på en forsvarlig måte uten at den databehandlingsansvarlige har tilgang til fødselsnummer eller andre direkte personidentifiserende kjennetegn. For at data fra flere ulike kilder skal kunne knyttes sammen og gi oss kunnskap om for eksempel helhetlige pasientforløp, er det viktig at opplysningene er personentydige og at direkte personidentifikasjon, som fødselsnummer, kan brukes som nøkkel til å sammenstille data fra ulike kilder til samme person.

Ett viktig krav til sikkerhetstiltak er at direkte personidentifiserende kjennetegn skal lagres kryptert, jf. helseregisterloven § 21 andre ledd. Dette gjelder for alle helseregistrene hjemlet i helseregisterloven §§ 10 og 11. I Innst. 193 L (2009–2010) punkt 2.2 er det gitt uttrykk for at fødselsnummer i nye registre skal krypteres separat og oppbevares utilgjengelig og adskilt fra andre, ikke identifiserende data. Denne løsningen er benyttet i NPR og Hjerte- og karregisteret. KPR skal ha en tilsvarende løsning.

Denne krypteringsløsningen innebærer at kun et meget begrenset antall ansatte internt hos Helsedirektoratet vil ha tilgang til å se fødselsnummer og helseopplysninger samtidig.

Krypteringen betyr at den som analyserer og på annen måte behandler opplysningene normalt ikke vil ha tilgang til fødselsnummer når de utfører arbeidet. I mange sammenhenger vil det likevel være teoretisk mulig å finne tilbake til enkeltpersoner på bakgrunn av opplysningene. Hvis feil skulle inntreffe og opplysninger komme på avveie, vil krypteringen gjøre det betydelig mer komplisert og ressurskrevende å finne tilbake til enkeltpersoner enn uten kryptering.

[...]

4.9.3 Innsyn i egne data og logg

De registrerte skal sikres enkle løsninger for innsyn i registreringer og bruk av egne opplysninger i KPR (Prop. 106 L (2015-2016) punkt 10.3.2). Rett til innsyn gjelder også innsyn i hvem som har hatt tilgang til eller fått utlevert helseopplysninger som er knyttet til den registrertes navn eller fødselsnummer (logg), jf. helseregisterloven § 24.

Dette forutsetter at alle "oppslag" i KPR som innebærer dekryptering av direkte personidentifiserende kjennetegn logges og at logginformasjon er tilgjengelig for de registrerte. Helsedirektoratet skal som databehandlingsansvarlig sørge for at det føres oversikt over autorisert og uautorisert tilgang til opplysninger knyttet til den registrertes fødselsnummer. Registrering av informasjon om hvem som har hatt tilgang til slike helseopplysninger (logging), er et viktig element for å sikre den enkeltes personvern. Innsyn i loggopplysninger øker kontrollen med egne helseopplysninger. Det vil blant annet kunne bidra til å avdekke om uvedkommende har hatt tilgang til helseopplysninger i registeret.

Mye av infrastrukturen for digitalt innsyn og digital dialog eksisterer allerede, først og fremst i tilknytning til løsninger som i dag er etablert på Helsenorge.no. Dette gjelder innsyn i kjernejournal, og løsninger for innsyn i pasientjournal og sikker dialog med helsetjenesten i enkelte helseregioner.

De registrerte har rett til innsyn i egne opplysninger, og hvem som har hatt tilgang til opplysningene. I dag skjer dette ved brevveksling og manuelle rutiner: De registrerte skriver ut et skjema fra nett, fyller det ut og sender det til registrene. Basert på en manuell saksbehandlingsrutine tar medarbeidere hos den databehandlingsansvarlige for registeret ut innsynsrapporter og sender disse rekommandert til de registrertes folkeregistrerte adresse. Denne måten å gi innsyn på er tungvint og relativt arbeidskrevende, både for de registrerte og databehandlingsansvarlige for registrene. Antall forespørsler om innsyn i nasjonale helseregistre er relativt få. Norsk pasientregister behandler ca. 20 innsynssaker hvert år. Med så få forespørsler, vil neppe en investering i digitale innsynsløsninger gi mindre ressursbruk enn ved dagens manuelle rutiner.

Digitale innsynsløsninger har imidlertid potensialet til å øke omfanget av innsynsforespørsler betydelig. Enklere tilgang til opplysningene, enten de kan utveksles i form av digitale meldinger eller direkte innsyn i egne rapporter, vil kunne føre til at langt flere benytter muligheten for innsyn i egne helseregisteropplysninger. Lavere terskler for innsyn, større åpenhet og kunnskap om helseregistrene er viktig for Helse- og omsorgsdepartementet.

Erfaringene med digitalt innsyn i Nasjonal kjernejournal, er at økt innsyn også gir flere henvendelser fra publikum til registrene. Henvendelse gjelder ofte åpenbare feil i data. Flere henvendelser vil være positivt fordi det vil bidra til bedre datakvalitet i registrene og innbyggerne vil ha bedre muligheter til medbestemmelse om egne registeropplysninger.

Den tekniske løsningen for KPR skal utformes slik at de registrerte raskt kan få innsyn i egne data via digitale innbyggertjenester i registeret. Målet er at alle nasjonale helseregistre skal ha gode elektroniske logg- og dialogløsninger som er tilrettelagt gjennom digitale innbyggertjenester.

[...]

Se også saken på regjeringen.no.