Prop. 106 L (2015–2016) Endringer i helseregisterloven m.m. (kommunalt pasient- og brukerregister m.m.)

Se Prop. 106 L (2015–2016) Endringer i helseregisterloven m.m. (kommunalt pasient- og brukerregister m.m.) i PDF.

Utdrag om personvern fra proposisjonen:

Side 7:

1.2.5 Personvern, informasjonssikkerhet og IKT-arkitektur

Departementet mener at pasientenes og brukernes personvern kan ivaretas på en god måte innenfor de rammene som foreslås om formål, innhold og muligheten til å behandle direkte personidentifiserende kjennetegn uten samtykke eller reservasjonsrett. Den enkeltes personvern vil bli ivaretatt, samtidig som kravene ikke vil være til hinder for at dataene i KPR kan brukes i tråd med formålet.

Både regelverk og tekniske og organisatoriske løsninger i KPR vil ivareta grunnleggende personvernhensyn og hindre uautorisert bruk av opplysningene. Dette vil til sammen ivareta personvernet på en slik måte at nytten overstiger de personvernmessige ulempene. I helseregisterloven er det mange bestemmelser som stiller krav til behandling av helseopplysninger og enkeltmenneskets rett til personvern. Etableringen av registeret og behandlingen av opplysningene skal oppfylle lovenes krav om blant annet sikring av opplysningene, tilgangsstyring, logging og de registrertes rett til innsyn. Personidentifiserende kjennetegn (som fødselsnummer) skal lagres kryptert og separert fra helseopplysningene. Oppbyggingen av registeret skal skje etter prinsippet om innebygget personvern. Det innebærer at ivaretakelse av personvernet vil bli bygget inn i systemets struktur og være et viktig hensyn ved valg av tekniske løsninger.

I kapittel 10 drøfter departementet spørsmålet om kryptering, innsyn i egne data og logg, informasjonssikkerhet, innebygget personvern og helhetlig IKT-arkitektur. Departementet presiserer at dette ikke er en uttømmende redegjørelse for tiltakene som skal sikre personvernet i KPR. Dette utfyller de generelle lovfestede personvernkravene og supplerer drøftelsen av personvernhensynet i de forutgående kapitlene i proposisjonen.

1.3 Endringer i helsepersonelloven

Departementet foreslår i kapittel 11 å endre helsepersonelloven §§ 42 og 43 slik at det ikke lenger skal være et krav at fylkesmannen skal innhente uttalelse fra Datatilsynet før saker om retting eller sletting av pasientjournalopplysninger kan ferdigbehandles.

Side 14:

2.6 NPR (Norsk pasientregister)
Norsk pasientregister (NPR) ble opprettet som et avidentifisert register med konsesjon fra Datatilsynet i 1997 og ble besluttet etablert som et direkte personidentifiserbart helseregister ved endring av helseregisterloven (fra 2001) i 2007. Registeret er hjemlet i helseregisterloven § 11. Dette betyr at direkte personidentifiserende kjennetegn kan registreres og behandles på andre måter, uten at det innhentes samtykke fra de registrerte.

Registerets hovedformål er å danne grunnlag for administrasjon, styring og kvalitetssikring av spesialisthelsetjenester. I tillegg har NPR som formål å bidra til medisinsk og helsefaglig forskning og til kunnskap for forebygging av skader og ulykker. NPR skal også danne grunnlag for etablering og kvalitetssikring av kvalitetsregistre og videreformidle opplysninger til Nasjonal kjernejournal.

[...]

Under Stortingets behandling av etablering av NPR som et personidentifiserbart helseregister, ble det lagt vekt på betydningen av tekniske og organisatoriske tiltak for å ivareta personvernet og informasjonssikkerheten. Det er etablert solide tekniske løsninger, gode rutiner, og arbeidet aktivt for etablering av en arbeidskultur og bevissthet hos medarbeiderne for å sikre personvernet for de registrerte i NPR. Det er også etablert et forsterket tilsyn fra Datatilsynet overfor registeret.

Side 36:

Nasjonal kjernejournal er opprettet for å øke pasientsikkerheten ved å bidra til rask og sikker tilgang til strukturert informasjon om pasienten, jf. kjernejournalforskriften § 1. Den enkelte innbygger kan reservere seg mot registrering i kjernejournal og kan via www.helsenorge.no få innsikt i hva som er registrert, be om korreksjoner og legge til ønsket informasjon. For at helsepersonell skal yte best mulig helsehjelp er det viktig at den enkeltes kjernejournal inneholder informasjon om hvor den enkelte pasient tidligere har fått helse- og omsorgstjenester. I dag inneholder kjernejournalen kun opplysninger fra pasientens kontakt med spesialisthelsetjenesten basert på gjenbruk av informasjon rapportert til NPR. KPR vil kunne være en kilde til nødvendig informasjon om kontakten pasienten har hatt med helse-og omsorgstjenesten kommunalt.

6.3.2 Nytten er større enn personvernulempene

Departementet mener at den samfunnsmessige nytten ved etablering av et nytt kommunalt register, klart overstiger de personvernulempene dette kan medføre for den enkelte. Bakgrunnen for dette er synliggjort og begrunnet i hele denne proposisjonen. Etablering av KPR innebærer at helseopplysninger blir brukt for å forbedre og utvikle tjenestene til beste for pasientene, brukerne og samfunnet. Selv om pasienter og brukere vil ha interesse av bedre kvalitet på helse- og omsorgstjenestene, kan de samtidig ha interesse av å holde tilbake egne helseopplysninger fordi de ikke ønsker at andre skal få kunnskap om dem. I registersammenheng kategoriseres personvernulempene tradisjonelt i to grupper, henholdsvis begrensninger i muligheten til å bestemme over opplysninger om seg selv og risiko for at opplysninger kommer på avveie. Virkemidlene for å motvirke disse ulempene er av ulik karakter, se nærmere kapittel 8 og kapittel 10.

I EU er det oppnådd politisk enighet om forordningstekst «on the protection of individuals with regard to the processing of personal data and on the free movement of such data» (General Data Protection Regulation). Det forventes at den vedtas formelt i EU våren 2016. EUs personvernforordning skal erstatte personverndirektivet fra 1995, som er gjennomført i personopplysningsloven. For behandling av helseopplysninger i helse- og omsorgssektoren er direktivet gjennomført i pasientjournalloven og helseregisterloven.

Det er lagt opp til at forordningen vil tre i kraft to år etter vedtakelsen. Fra fortalen:

By coupling information from registries, researchers can obtain new knowledge of great value when it comes to e.g. widespread diseases as cardiovascular disease, cancer, depression etc. On the basis of registries, research results can be enhanced, as they draw on a larger population. Within social science, research on the basis of registries enables researchers to obtain essential knowledge about long-term impact of a number of social conditions e.g. unemployment, education, and the coupling of this information to other life conditions. Research results obtained on the basis of registries provide solid, high quality knowledge, which can provide the basis for the formulation and implementation of knowledge-based policy, improve the quality of life for a number of people, and improve the efficiency of social services etc. In order to facilitate scientific research, personal data can be processed for scientific research purposes subject to appropriate conditions and safeguards set out in Member State or Union law.

Forordningen synliggjør på denne måten anerkjennelsen av hvor viktig registerforskning kan være for folkehelsen og utvikling av tjenestene og at det vil være anledning til slik forskning så langt personvernhensyn er ivaretatt. Regjeringen har ønsket et nytt EU-regelverk om personvern velkommen og ser positivt på en styrking av individets rettigheter. Regjeringen vil komme tilbake til innlemmelse i EØS-avtalen og gjennomføring i norsk rett.

En fordel med helseregistre er at de er strukturert slik at det er mulig å gjøre uttrekk mv. uten å måtte «lete seg igjennom» overskuddsinformasjon for å finne det en har behov for. For å gjennomføre helseanalyser, kvalitetsforbedring av tjenestene eller forskning, vil alternativet ofte være å innhente opplysninger manuelt, fra pasientjournaler. KPR kan legge til rette for bedre kvalitet på opplysningene, færre overskuddsopplysninger (avgrense til de som er tilstrekkelige og relevante) og mindre behov for behandling av helseopplysninger tilknyttet direkte personidentifiserende kjennetegn. Registeret kan derfor gjennom disse tiltakene også bidra til å redusere personvernulempene som bruk av helseopplysninger til sekundærformål kan medføre for pasientene og brukerne.

Side 37:

I likhet med NPR og de andre moderne helseregistrene, skal KPR bli utformet på en slik måte at personvernulempene ikke vil bli store.

Helseregisterloven skal sikre at personvernet ivaretas ved behandling av helseopplysninger i helseregistre. I tillegg til de kravene som følger av loven, blant annet rett til innsyn for de registrerte og krav til informasjonssikkerhet, vil det i forskriften og i selve utformingen av registeret bli stilt ytterligere personvernkrav. Det vil bli strenge krav til identitetshåndtering, og registeret skal baseres på systemer og løsninger med innebygd personvern. Se nærmere i kapittel 10 om personverntiltakene i registeret.

Side 39:

Norges Handikapforbund, Pensjonistforbundet, Fagforbundet, Datatilsynet og Senter for medisinsk etikk ved Universitetet i Oslo mente at formålet med registeret var for vidt angitt. Datatilsynet mente at personvernkonsekvensene av forslaget derfor ikke kan vurderes ordentlig. Senter for medisinsk etikk ved UiO uttalte at det var problematisk at registeret skulle kunne brukes til så mange forskjellige formål og av en så stor og ubestemt krets organer og personer:

Noen av de assosierte formålene (refusjonssystemer) er direkte knyttet til dette. Noen av de andre anvendelsesområdene er ikke like åpenbare. Dette handler dels om bruk av data for ulike statistiske beregninger som kartlegging, kvalitetsforbedring og forskning, og dels om anledningen til å bruke registrene for å avgjøre mer perifere helserettigheter (som NAVs innsynsrett). I tillegg legges det opp til at registeret skal kunne sammenstilles med andre registre, og at det skal legges til rette for utlevering av opplysninger til andre registre. I henhold til formålsbestemthetsprinsippet og helseregisterloven § 6 tredje ledd bokstav c kan opplysningene ikke senere brukes til formål som er uforenlig med det opprinnelige formålet med innsamlingen av opplysningene. Slik formålet er utformet, kan det være vanskelig å trekke grensen for hva som vil utgjøre utvidet bruk av registeret.

Side 42:

8.1 Høringsforslaget

I høringsnotatet foreslo departementet at KPR som helhet skulle hjemles i helseregisterloven § 11 som et lovbestemt register. Samtidig ble det foreslått at oppgjørssystemet i det nye registeret for kontroll og utbetaling av helserefusjon (KUHR), også skulle hjemles i pasientjournalloven § 11. Dette innebar at opplysninger i KPR skulle kunne registreres og brukes uten at det innhentes samtykke fra de registrerte. Departementet foreslo imidlertid at reservasjonsrett for enkelte datavariabler og for bruk av opplysningene til enkelte formål skal utrededes og vurderes i forskriftsarbeidet.

8.2 Høringsuttalelsene

Høringsuttalelser om lovgrunnlaget

Kreftforeningen fremhevet fordelen med å regulere KPR nærmere i forskrift:
Det er viktig med raskere beslutningsprosesser ved etablering av registre, herunder at nærmere reguleringer skjer gjennom forskrifter. Dette er en utvikling Kreftforeningen støtter. Vi er opptatt av at utviklingen innen helserett skjer raskt og at det samme må gjelde det juridiske rammeverket.

Datatilsynet uttalte derimot at et vedtak i Stortinget basert på høringsnotatet vil innebære en fullmakt til å etablere et register som lovgiver ikke kjenner rekkevidden av når det gjelder personvernkonsekvenser.

Side 43:

Høringsuttalelser om personidentifikasjon

Rusmisbrukernes interesseorganisasjon (RIO), Datatilsynet og Senter for medisinsk etikk ved UiO var kritiske til forslaget om at det skal kunne registreres direkte personidentifiserende kjennetegn i KPR.

Rusmisbrukernes interesseorganisasjon (RIO)
mente at det ikke er vanskeligere å følge en og samme person opp gjennom årene om registeret og applikasjonen som skapes anvender pseudonymer:

Istedenfor å gjøre det nye registeret pseudonymt så velger man å kryptere IPLOS. Dette fører til at navn m.m blir synlig for de som har tilgang. […]
Det er et problem at her kan fullstendige opplysninger om personer komme på avveie. At dette er en komplisert prosess er det ingen tvil om. Men er det riktig å lage et så omfattende register på enklest mulig måte?

Datatilsynet mente at det ikke var godt nok begrunnet at KPR skal inneholde direkte personidentifiserende kjennetegn:

Datatilsynet ser det som positivt at departementet fremhever at krypteringen i det foreslåtte KPR skal innebære at fødselsnummer krypteres separat og oppbevares utilgjengelig og adskilt fra andre, ikke identifiserende data, jf. Innst. 193 L (2009–2010).

I valg av registerform savner Datatilsynet at forhold utover sikring av personopplysninger er drøftet. […] Datatilsynet [ser] spørsmålet om det er forsvarlig å samle et slikt omfattende data-sett som her foreslås på statens hånd som det sentrale spørsmålet som må besvares. Statens kunnskap om innbyggerne innebærer en inngripen i innbyggernes personvern, og det foreslås her å gi lovhjemmel til et register med svært uklart omfang, sensitive personopplysninger og med en registerform som innebærer at identitet er kjent for den databehandlingsansvarlige. Etter Datatilsynets syn er det ikke gjort en forsvarlig vurdering hvor dette belyses.

I vurderingen belyser departementet utfordringene som følger dersom en velger en pseudonym registerform. Datatilsynet savner at man i notatet tar stilling til om andre register-former basert på indirekte identifiserbare opplysninger kan ivareta formålet med registeret. Vi bemerker at vi forstår at de deler av det foreslåtte registeret som skal ivareta formålet til dagens KUHR naturlig etableres i direkte identifiserende form.

Senter for medisinsk etikk ved UiO syntes også å være kritisk til at opplysningene i KPR skulle være direkte personidentifiserbare, og påpekte at graden av personidentifikasjon ikke skal være større enn nødvendig for det aktuelle formålet. Senteret mente at kryptering ikke er tilstrekkelig, og at det ikke kan være en erstatning for pseudonymisering:

Departementet grunngir ikke på noe sted i notatet at man for et så bredt definert formål trenger direkte identifiserbare opplysninger om pasienter. For folkehelseformål er det tilstrekkelig med anonymiserte eller indirekte identifiserbare personopplysninger. For å følge pasientforløp, er indirekte identifiserbare personopplysninger tilstrekkelig, og pseudonymisering er da det egnede verktøyet. Departementet legger opp til at utlevering av personidentifiserende opplysninger ikke skal være større enn nødvendig, men dette er fundamentalt forskjellig fra å unnlate å behandle direkte personidentifiserende opplysninger. Skjønnsmessige utleveringsvurderinger vil fort kunne medføre overskridelser.

Departementet hevder at pseudonymisering er en juridisk kompliserende faktor […]. Det medfører ikke riktighet.

Kreftforeningen, Norsk sykepleierforbund (NSF), Senter for klinisk dokumentasjon og evaluering (SKDE), Senter for helse- og samfunn (Helsam) ved UiO, Folkehelseinstituttet Kunnskapssenteret og Norsk forening for farmakoepidemiologi støttet derimot departementets forslag om at registeret skal inneholde personidentifiserbare opplysninger. Flere ga uttrykk for sin støtte til at dataene lagres kryptert slik det gjøres i NPR og Hjerte- og karregisteret og ikke pseudonymt.

Kreftforeningen uttalte at direkte personidentifiserende data er en nødvendig forutsetning som i flere sammenhenger bidrar til å sikre registrenes fullstendighet, kvalitet og validitet.

Senter for klinisk dokumentasjon og evaluering
(SKDE) la vekt på at personidentifikasjon vil være avgjørende for å kunne følge pasientforløp:

pasienter som skal identifiseres til et utvalg må kunne identifiseres slik at man er sikker på at man får med de rette pasientene. Også til dette formål vil personentydige data være avgjørende for å lykkes. (forts. s. 44)

Side 44:

[…]
Dersom KPR skal kunne gi bedre og mer utfyllende kunnskap om helsetjenesten til de anførte ulike formål, er det en forutsetning at data foreligger i personentydig form. SKDE er derfor glad for at departementet i høringsnotatet går inn for at data fra IPLOS skal foreligge i personentydig kryptert form uten samtykke.
Norsk sykepleierforbund (NSF) støttet at kryptering benyttes fremfor pseudonymitet, og pekte på at det til forskningsformål er viktig at det er muligheter, både juridisk og teknisk, for å sammenstille opplysninger i KPR med opplysninger fra andre registre, eksempelvis NRP, Reseptregisteret mv.

[...]

Høringsinstanser som mente at det bør være krav om samtykke eller generell reservasjonsrett

Norges handikapforbund, Pensjonistforbundet, Fagforbundet, Rusmisbrukernes interesseorganisasjon (RIO), Legeforeningen og Senter for medisinsk etikk ved UiO var imot et KPR uten et generelt krav om samtykke eller en generell reservasjonsrett.

Norges handikapforbund, Pensjonistforbundet og Fagforbundet reagerte på at det skal tillates å registrere personlig og sensitiv informasjon om sosiale forhold, uten den enkeltes samtykke. Når registreringen skal kobles til andre registre, vil omfanget av registreringen oppleves som massiv overvåking.

Rusmisbrukernes interesseorganisasjon (RIO)
mente at innsamling av opplysninger i noen tilfeller kan være nødvendig å gjøre uten samtykke, men «å gjøre det i en så omfattende og stor grad, samtidig som registeret kommer til å inneholde personlige opplysninger som beskrevet er uforståelig. Spesielt ettersom formålet med registeret er å føre statistikk og for forskning».

Senter for medisinsk etikk ved UiO mente at et personidentifiserbart KPR uten samtykke og reservasjonsrett ikke er i samsvar med forskningsetikkens grunnprinsipp om at hensynet og interessene til den enkelte skal ha forrang foran samfunnets og vitenskapens interesser:

Det er fravær av reservasjonsrett eller fravær av krav til samtykke som må begrunnes sær- (forts. s.45)

Side 45

skilt, slik at de eventuelle inngrep som foreslås i selvbestemmelsesrett over egne opplysninger spesifiseres særskilt (og ikke motsatt slik som i høringsnotatet).

[…]
Den samfunnsmessige nytten redegjøres for, men ikke personvernulempen. Det er således konkludert med at samfunnsnytten klart overstiger personvernulempen for den enkelte uten at det er nærmere vurdert hva som står på spill for enkeltmennesket. På høringsnotatets side 41 står det at personvernulempene for den enkelte vil være begrensede fordi mange av opplysningene allerede registreres i personidentifiserbare registre uten samtykke og dessuten vil sikkerheten være høy. Dette er ingen holdbar argumentasjon.

[...]

Side 46:

Psykologforeningen mente at det er hensiktsmessig atregisteret ikke baseres på samtykke, men reservasjonsrett. Foreningen viste til at en reservasjonsrett vil bli brukt i et såpass lite omfang at det neppe vil påvirke datakvaliteten i særlig grad. Her er det vanskelig å se hvordan den helsefaglige og samfunnsmessige nytten vil overstige personvernulempene ved manglende reservasjonsrett.

Side 49:

8.3.2 Avveiningen mellom nytteverdi og personvernulemper

En vesentlig forutsetning for opprettelse av et helseregister er at man vurderer at registerets nytteverdi overstiger de personvernmessige ulempene. Før etablering av et helseregister må det derfor foretas en avveining mellom de formålene registeret skal ivareta, og de ulempene registeret representerer for personvernet til dem som vil bli registrert, det vil si en proporsjonalitetsvurdering.

Nytten for pasientgrupper og fellesskapet av et KPR vil være stor, gjennom bedret grunnlag for styring og planlegging, kvalitetsforbedring, beredskap og forskning, som igjen gir bedre og mer effektive helse- og omsorgstjenester. Og selv om den umiddelbare direkte nytten av et KPR for den enkelte registrerte kan oppfattes som liten, kan et KPR også ha umiddelbar betydning for pasienter og brukere. KPR kan gi informasjon om forskjeller i behandlingskvalitet mellom kommuner og bydeler, eller mellom ulike grupper av pasienter og brukere. Informasjon fra KPR vil således bidra til å styrke pasientens eller brukerens grunnlag for å velge tjenester ut fra kvalitetsindikatorer.

Departementet har merket seg at høringsinstansene var delt i spørsmålet om KPR skal baseres på samtykke eller generell reservasjonsrett. Norges handikapforbund, Rusmisbrukernes interesseorganisasjon (RIO), Pensjonistforbundet, Senter for medisinsk etikk ved UiO, Legeforeningen og Fagforbundet mente at de registrerte generelt bør samtykke eller ha mulighet til å reservere seg, og la avgjørende vekt på at behandling av opplysninger og manglende selvbestemmelsesrett oppleves som et inngrep i personvernet.

Andre høringsinstanser, blant andre Funksjonshemmedes fellesorganisasjon (FFO), Landsforeningen for hjerte- og lungesyke (LHL), Kreftforeningen, Helsetilsynet og Vestre Viken HF, mente at det vil være umulig, vanskelig eller ikke hensiktsmessig å stille et generelt krav om samtykke. Disse høringsinstansene mente imidlertid at reservasjonsrett bør vurderes for hele eller deler av registeret. Disse høringsinstansene la avgjørende vekt på nytten av registeret og betydningen av representative data av god kvalitet for å kunne oppnå formålet med registeret. Hensynet til de registrertes personvern kan ifølge disse høringsinstansene ivaretas gjennom kryptering, tilgangsstyring, logg, innsyn og andre tiltak.

Departementet erkjenner at registrering av helseopplysninger i store, sentrale registre kan oppleves som problematisk. Det er viktig å ta denne bekymringen på alvor, og at man finner løsninger som ivaretar pasientenes og brukernes personvern samtidig som deres behov for gode helse- og omsorgstjenester ivaretas på best mulig måte.

I hvilken grad etableringen av et register vil innebære personvernulemper for de registrerte beror ikke bare på samtykke og reservasjon, men også på registerets form, innhold og hvordan opplysningene behandles. Personvernulempen vil kunne øke med mengden opplysninger som sammenstilles, type opplysninger og hvor mange som (forts. s. 50)

Side 50:

får tilgang til opplysningene. Det vil derfor være grunn til å utvise forsiktighet ved behandling av opplysninger i registeret. Tiltak som gjennomføres for å begrense de negative konsekvensene registeret medfører for personvernet, vil være av betydning. Informasjonssikkerhet og regler om taushetsplikt, kryptering, tilgangsstyring og -kontroll, reservasjonsrett for enkelte typer opplysninger og andre former for personopplysningsvern er eksempler på tiltak som er viktige for å ivareta personvernet.

Departementet mener at nytteverdien av KPR vil overstige de personvernmessige ulempene. Både regelverk og tekniske og organisatoriske løsninger i KPR vil ivareta grunnleggende personvernhensyn og minimalisere risiko for uautorisert bruk av opplysningene. Se nærmere omtale i kapittel 10.

8.3.3 Samtykke

Departementet viser til at hovedregelen for etablering av helseregistre er samtykke. All behandling av helseopplysninger uten de registrertes samtykke representerer inngrep i personvernet og trenger en særskilt begrunnelse.

Data i KUHR og IPLOS behandles uten samtykke fra de registrerte. Departementet foreslår at dette videreføres når KUHR-data skal gjenbrukes i KPR og IPLOS-registeret skal inngå i KPR. Videre foreslår departementet at KPR som helhet ikke baseres på at de registrerte samtykker.

Helseregisterloven § 2 definerer samtykke som «en frivillig, uttrykkelig og informert erklæring fra den registrerte om at han eller hun godtar behandling av helseopplysninger om seg selv». At et samtykke er frivillig, innebærer at det avgis i fravær av svik, tvang eller trusler. At et samtykke er uttrykkelig, innebærer at den som avgir samtykket gjør det ved handling, muntlig utsagn eller skriftlig.

Informasjonskravet skal sette pasienten eller brukeren i stand til å ta en avgjørelse, basert på egne verdier og ønsker. For at en person skal kunne gi samtykke, må personen være samtykkekompetent.

Pasienter og brukere i kommunale helse- og omsorgstjenester er ofte i møte med ulike helsepersonell i ulike organisatoriske enheter, som ikke har tilgang til hverandres dokumentasjonssystemer. Mange pasienter og brukere, særlig pleietrengende, har redusert eller bortfalt samtykkekompetanse.

Det vil derfor være en omfattende oppgave å innhente samtykke fra den enkelte bruker eller pasient for registrering av opplysninger i KPR. Det vil måtte gis informasjon, pasientens eller brukerens samtykkekompetanse for dette formålet må vurderes etter nærmere fastsatte kriterier og samtykket dokumenteres. Dette innebærer en betydelig risiko for at ikke alle pasienter eller brukere blir spurt om å samtykke. Dernest er det sannsynlig at en betydelig andel av de spurte ikke samtykker, og at de som ikke kan eller vil samtykke, skiller seg fra øvrige, slik at frafallet blir skjevt.

Flere av høringsinstansene mente at KPR må baseres på samtykke fordi det vil være et stort inngrep i personvernet å samle inn opplysninger uten at den enkelte samtykker. Departementet er enig i at manglende selvbestemmelsesrett ved behandling av personopplysninger kan være et inngrep i personvernet. Departementet mener imidlertid at kryptering, tilgangsstyring, kontroll, innsynsrett, logging og andre tiltak vil begrense inngrepet i personvernet på en god måte. Kryptering og tilgangsstyring og kontroll vil avverge at opplysninger kommer på avveie og sikre at opplysningene bare brukes til det som er formålet med registeret. Tiltak som innsynsrett og logging vil bety at de registrerte vil kunne vite hvilke opplysninger som er lagret om dem, hva de brukes til og hvem som får se dem.

Flertallet av høringsinstansene mente imidlertid at KPR ikke kan baseres på samtykke. Flere av disse viste til at det er særlig viktig at et grunnleggende register som KPR har representative data. Blant disse var pasient-og brukerorganisasjoner som Funksjonshemmedes fellesorganisasjon (FFO) og Landsforeningen for hjerte- og lungesyke (LHL). Kreftforeningen uttalte at det i noen sammenhenger kan være gode grunner til å fravike hovedregelen om at registering må bygge på samtykke, og at fravær av samtykke er en nødvendig forutsetning som i flere sammenhenger bidrar til å sikre registrenes fullstendighet, kvalitet og validitet.

Departementet viser her også til forklaringen i høringsuttalelsen til Folkehelseinstituttet:

Et ikke-komplett datagrunnlag vil egne seg dårlig for planlegging, styring, finansiering og evaluering av kommunale helse- og omsorgstjenester. Frafallet ved krav om samtykke vil kunne bli betydelig og ikke tilfeldig statistisk fordelt i befolkningen; de som ikke samtykker vil ofte ha spesielle preferanser eller kjennetegn, det vil si at frafallet blir skjevt, og datagrunnlaget blir derved verken komplett eller valid.

Side 51:

[…]
Krav om samtykke eller reservasjonsrett
medfører […] at datagrunnlaget blir mindre
komplett og valid, og dette gir en betydelig
utfordring for analyser og tolkning av resultater
fra KPR. Det vil måtte gjøres en omfattende
utredning av konsekvenser av frafallet for
datakvaliteten. KPR basert på samtykke eller
reservasjonsrett vil derfor ikke egne seg til det
foreslåtte formålet.

Utgangspunktet for KPR er at registeret skal være et nøkkelregister for den kommunale helse- og omsorgstjenesten, på samme måte som NPR er for spesialisthelsetjenesten. NPR er ikke samtykkebasert. Departementet mener at samtykkespørsmålet bør vurderes likt når det gjelder KPR.

Som nevnt i punkt 8.3.1 skal KUHR-data og IPLOS-data inngå i KPR, uten at det hele nødvendigvis må samles i en felles database. KPR skal imidlertid åpne for og regulere behandling av dataene til KPR-formål. Se nærmere omtale i punkt 8.3.6 om KUHR.

Departementet mener at KPR ikke kan fungere som grunnlag for administrasjon, styring, finansiering og evaluering på en god måte dersom det baseres på samtykke fra de registrerte. Disse formålene forutsetter at registeret gir et riktig og helhetlig bilde av aktivitetene i de kommunale helse- og omsorgstjenestene, og at registeret har god kvalitet. Manglende kompletthet og skjevheter i deltagelsen kan gjøre kunnskapen vi får ut av registeret mangelfull, da selv små frafall i andel av alle pasientene og brukerne vil kunne påvirke resultatene og nytteverdien av registeret. At registeret kan eller vil få skjevt utvalg kan bety at det for eksempel fattes beslutninger på feilaktig grunnlag. Dette kan få følger for bruk og analyse av data til planlegging, styring, evaluering og kvalitetsforbedring av tjenestene og til beredskap.

8.3.4 Reservasjonsrett

Departementet har vurdert om reservasjonsrett kan være en løsning for å minske personverninngrepet som en behandling av opplysninger i KPR uten samtykke kan utgjøre. Kongen i statsråd kan gi forskrift om behandling av helseopplysninger i helseregistre der den registrerte har rett til å motsette seg behandlingen av helseopplysninger, jf. helseregisterloven § 10.

Både samtykke og reservasjonsrett vil gi de registrerte selvbestemmelse over opplysninger om seg selv. Det at opplysninger til KPR skal samles inn uten den registrertes samtykke er et inngrep i den enkeltes rett til selv å bestemme over opplysningene. En reservasjonsrett kan avhjelpe dette. Det fremgår av forarbeidene til helseregisterloven at et krav om samtykke og en reservasjonsrett likevel er av noe ulik karakter:

Mens et krav om samtykke innebærer at man uttrykkelig må godta behandling av helseopplysninger, krever bruk av reservasjonsretten at man uttrykkelig må motsette seg at egne helseopplysninger behandles. Krav om samtykke innebærer at det ikke kan registreres opplysninger om den enkelte før vedkommende uttrykkelig har samtykket til dette. En reservasjonsrett innebærer derimot at opplysninger om den enkelte kan bli registrert før den enkelte har hatt anledning til å reservere seg. (Prop. 72 L (2013–2014) punkt 18.4.2)

Legeforeningen mente at en generell reservasjonsrett ikke vil føre til et for stor frafall eller et skjevt utvalg som vil svekke datakvaliteten.

Departementet mener en generell reservasjonsrett vil innebære at registeret kan få for dårlig datakvalitet og dermed ikke god nok formålsoppnåelse. For noen problemstillinger vil selv et lite frafall som følge av reservasjonsretten kunne føre til alvorlige feil i datagrunnlaget. Det er grunn til å tro at pasienter og brukere som reserverer seg mot registrering har spesielle preferanser eller kjennetegn. Departementet viser her til vurderingene knyttet til samtykke.

Vurderingen av reservasjonsrett må også knyttes konkret til registerets formål og innretning. I KUHR og IPLOS er det i dag ikke lovbestemt reservasjonsrett. IPLOS dekker alle brukere av omsorgstjenester, og dette er viktig for at registeret fortsatt skal kunne ivareta formålet sitt om å gi grunnlag for kvalitetssikring, planlegging, utvikling og styring av tjenestene. KUHR inneholder alle opplysninger knyttet til oppgjør og refusjon fra blant annet allmennlegetjenesten. KUHR vil sammen med IPLOS være utgangspunktet for KPR som et register for de kommunale helse- og omsorgstjenestene.

KPR skal være et nøkkelregister for de kommunale helse-og omsorgstjenestene, på samme måte som NPR er for spesialisthelsetjenesten. NPR har ikke reservasjonsrett. For å kunne bruke KPR som et verktøy for å bedre samhandlingen mellom ulike forvaltingsnivåer og sikre pasienter og brukere gode tjenestetilbud, er det viktig at KPR og NPR er bygget over samme lest. Sammen med NPR, vil KPR gi viktig informasjon om pasientforløpet til pasienter med behov for helse- og (forts. s.52)

Side 52:

omsorgstjenester før og etter utskrivning fra sykehus. Med generell reservasjonsrett vil KPR bli et dårligere verktøy for blant annet pasientsikkerhetsprogrammet, kvalitetsforbedring og analyser av (uønsket) variasjon i helse- og omsorgstjenestene. For at KPR skal kunne bli et godt verktøy til å nå målene om pasientens helsetjeneste, kan det derfor ikke være generell reservasjonsrett.

Departementet vil på denne bakgrunn ikke foreslå en generell reservasjonsrett for KPR. Departementet ønsker imidlertid at den enkelte registrerte gis størst mulig anledning til å bestemme over opplysninger om seg selv. Departementet foreslår derfor at reservasjonsrett for enkelte opplysninger og bruk av opplysningene til enkelte formål skal utredes nærmere i forskriftsarbeidet. Selv om KPR skal kunne etableres uten samtykke eller generell reservasjonsrett, følger det av helseregisterloven at reservasjonsrett likevel skal vurderes i forskriftsarbeidet. Det kan tenkes flere alternative ordninger knyttet til reservasjonsrett. Også innenfor et lovbestemt register må en se hen til formålet med behandlingen av opplysningene og vurdere hvordan forskriften skal kunne åpne for at de registrerte kan reservere seg mot registering av enkelte opplysninger og/eller bruk til enkelte formål. Departementet viser til at flertallet av høringsinstansene støttet en slik løsning. For å kunne ivareta formålet med KPR er departementet av den oppfatning det ikke kan være reservasjonsrett mot at opplysningstypene som i dag inngår i KUHR og IPLOS registreres. Når det gjelder de øvrige opplysningstypene som skal inngå i registeret, skal hovedregelen være reservasjonsrett. Hvilke opplysningstyper dette skal omfatte må utredes nærmere. Departementet vil legge frem forslag om dette i høringsnotatet om forskriften.

8.3.5 Direkte personidentifiserende kjennetegn

Kongen i statsråd kan med hjemmel i helseregisterloven § 9 bokstav b gi forskrift om behandling av opplysninger i helseregistre dersom opplysningene behandles uten at den databehandlingsansvarlige har tilgang til navn, fødselsnummer eller andre direkte personidentifiserende kjennetegn.

Departementet foreslår at KPR skal inneholde helseopplysninger tilknyttet direkte personidentifiserende kjennetegn. Registeret kan dermed ikke hjemles i § 9, men må hjemles i § 11.

Opplysningene må kunne knyttes til individer

Senter for medisinsk etikk ved UiO mente at departementet ikke hadde grunngitt i høringsnotatet at det er nødvendig med direkte identifiserbare opplysninger om pasienter. Senteret konkluderer med at det for folkehelseformål er tilstrekkelig med anonymiserte eller indirekte identifiserbare personopplysninger. For å følge pasientforløp, er indirekte identifiserbare personopplysninger tilstrekkelig, og pseudonymisering er da det egnede verktøyet.

Departementet mener at opplysningene i registeret må kunne knyttes direkte til individer. Behandling av direkte personidentifiserende kjennetegn er nødvendig for å kunne følge pasientforløp mellom tjenestenivåene, blant annet ved at en kan sammenstille opplysninger mellom ulike registre. Det er derfor nødvendig med bruk av personidentifiserende kjennetegn for å oppnå formålet med registeret. Dette fikk støtte i høringen blant annet fra Kreftforeningen, Norsk sykepleierforbund (NSF), Folkehelseinstituttet, Senter for klinisk dokumentasjon og evaluering (SKDE), Senter for helse- og samfunn (Helsam) ved UiO, Kunnskapssenteret og Norsk forening for farmakoepidemiologi.

Muligheter for å kunne sammenstille opplysninger i KPR med opplysninger fra andre registre og datakilder er viktig, og vil bli regulert nærmere i forskriften. Ved sammenstilling av opplysninger fra KPR og NPR basert på bruk av fødselsnummer/D-nummer som koblingsnøkkel, kan man belyse pasientforløp mellom tjenestenivåene. Dette er særlig aktuelt for pasienter med sammensatte lidelser og behov, som trenger tjenester fra ulike tjenesteytere på ulike nivå. Det betyr at innholdet, IKT-arkitekturen, reglene om sammenstilling mv. må legge til rette for datasammenstillinger som kan gi bedre kunnskap om pasientforløp enn i dag. I denne sammenheng er det avgjørende at opplysningene er tilknyttet direkte personidentifiserende kjennetegn.

Hensynet til de registrertes integritet

Departementet har i sin vurdering tatt utgangspunkt i at kunnskap om innbyggerne kan innebære en inngripen i personvernet. Graden av personidentifikasjon skal derfor begrunnes og ikke være større enn nødvendig for det aktuelle formålet, jf. helseregisterloven § 6. Hvor inngripende tiltaket er vil avhenge av hva slags kunnskap det er tale om, hvorfor det gjøres og måten det gjøres på.

Side 53:

Datatilsynet mente i høringen at forhold utover sikring av personopplysninger må dras inn i denne vurderingen. Datatilsynet stilte spørsmålet om det er forsvarlig å samle et slikt omfattende datasett på statens hånd, og begrunner dette i at statens kunnskap om innbyggerne innebærer en inngripen i innbyggernes personvern. Datatilsynet er kritisk til at det foreslås at identiteten skal være kjent for den databehandlingsansvarlige, samtidig som det skal behandles sensitive personopplysninger og registerets omfang er uklart.

Departementet vil bemerke at forslaget om å etablere KPR som et register med direkte personidentifiserende kjennetegn, er basert på en helhetsvurdering der både spørsmålet om personidentifisering og sikring av opplysningene, og spørsmålet om registerets innhold og formål er trukket inn, se punkt 6.3.2. Helseregisterloven gir trygge rammer for myndighetenes bruk av opplysningene.

Departementet mener at hensynet til de registrertes integritet vil bli ivaretatt på en god måte selv om registeret inneholder direkte personidentifiserende kjennetegn.

Databehandlingsansvarliges tilgang til direkte personidentifiserende kjennetegn
Kongen i statsråd kan med hjemmel i helseregisterloven § 9 bokstav b gi forskrift om behandling av opplysninger i helseregistre dersom opplysningene behandles uten at den databehandlingsansvarlige har tilgang til navn, fødselsnummer eller andre direkte personidentifiserende kjennetegn. Departementet mener det er nødvendig at den databehandlingsansvarlige har tilgang til direkte personidentifiserende kjennetegn.

Det er imidlertid en forutsetning at de direkte identifiserende kjennetegnene separeres fra de øvrige opplysningene og lagres kryptert. De som skal arbeide med dataene skal bare unntaksvis ha tilgang til de registrertes identitet. I tillegg oppstiller helseregisterloven andre tiltak som skal hindre uautorisert bruk av opplysningene, som krav om tilgangsstyring, logging, regulering av adgangen til utlevering av data fra registeret og taushetsplikt. Se nærmere om kryptering nedenfor og kapittel 10 om personvern, informasjonssikkerhet og IKT-arkitektur.

Etter helseregisterloven fra 2001 var etablering av pseudonyme helseregistre en måte å sikre personentydighet på, samtidig som den databehandlingsansvarlige ikke hadde tilgang til personidentifiserende kjennetegn.

Reseptbasert legemiddelregister (Reseptregisteret), ble etablert ved forskrift i 2004, og IPLOSregisteret ble etablert ved forskrift i 2007. Se beskrivelsen av IPLOS-registeret som pseudonymt register i punkt 2.3.

Folkehelseinstituttet er behandlingsansvarlig for Reseptregisteret, og Helsedirektoratet for IPLOS-registeret. Om erfaringene med driften av Reseptregisteret uttalte Folkehelseinstituttet følgende i høringen:

pseudonymisering gir økt risiko for feil fordi det er utfordringer tilknyttet kvalitetssikring av data i pseudonyme registre. Videre medfører pseudonymisering tungvint og meget tidkrevende saksbehandling ved tilrettelegging av data for analyser. Ved sammenstilling av data fra ulike kilder med et pseudonymt register, må alle datasettene behandles av forvalteren for det pseudonyme registeret før datasettet kan ferdigstilles og gjøres tilgjengelig for analyseformål. Videre finnes det per i dag ingen metode for å sammenstille data fra to pseudonyme registre, som IPLOS-registeret og Reseptregisteret. Disse faktorene bidrar samlet både til redusert integritet og tilgjengelighet på data, og til en høyere pris/kostnad pga. tidkrevende saksbehandling, noe som gjør at det blir vanskeligere å oppnå gode formål med pseudonyme registre.

Helsedirektoratet uttalte:
Det støttes at IPLOS-registeret etter lovfesting av KPR vil være en del av et større lovbestemt register etter helseregisterloven § 11. Det er viktig å ha et felles regelverk slik at man får en sterkere synergieffekt med andre registre og mulighet å følge pasient/brukerforløp.
Per i dag setter IPLOS-forskriften rammer og krav til anonymisering i forbindelse med utlevering av data ved registerkobling. Dette resulterer i at vi ikke i tilstrekkelig grad får ivaretatt datautleveringer (spesielt sammenstilte med andre registre) til forskning, som er en del av IPLOS-registerets formål.

Det er et viktig kriterium for pseudonyme helseregistre at ingen skal ha samtidig tilgang til identitet og helseopplysninger. Det er en utfordring ved pseudonyme registre at de bare i begrenset grad kan sammenstilles med data fra andre kilder for eksempel for å belyse helhetlige pasientforløp. Begrensningen ligger i at datamaterialet etter sammenstillingen må være er anonymt, med mindre (forts. s. 54)

Side 54:

den registrerte har samtykket til sammenstillingen. Hva pseudonymisering innebærer er omtalt under punkt 2.3.5. Departementets erfaring med denne ekstra sikkerhetsmekanismen er at den ikke har svart til forventningene. Registrene har ikke kunne nyttiggjøres på god nok måte.

Side 69:

10 Personvern, informasjonssikkerhet og IKT-arkitektur

Departementet mener at pasientenes og brukernes personvern kan ivaretas på en god måte innenfor de rammene som foreslås i kapittel 7, 8 og 9 om formål, innhold og muligheten til å behandle personidentifiserende opplysninger uten samtykke eller reservasjonsrett. Den enkeltes personvern vil bli ivaretatt, samtidig som kravene ikke vil være til hinder for at dataene i KPR kan brukes i tråd med formålet.

Både regelverk og tekniske og organisatoriske løsninger i KPR skal ivareta grunnleggende personvernhensyn og hindre uautorisert bruk av opplysningene. Dette vil til sammen ivareta personvernet på en slik måte at nytten overstiger de personvernmessige ulempene. I helseregisterloven er det mange bestemmelser som stiller krav til behandling av helseopplysninger og enkeltmenneskets rett til personvern. Etableringen av registeret og behandlingen av opplysningene skal oppfylle lovens krav om blant annet sikring av opplysningene, tilgangsstyring, logging og de registrertes rett til innsyn. Personidentifiserende opplysninger skal lagres kryptert. Oppbyggingen av registeret skal skje etter prinsippet om innebygget personvern. Det innebærer at ivaretakelse av personvernet vil bli bygget inn i systemets struktur og være et viktig hensyn ved valg av tekniske løsninger.

I dette kapitlet drøfter departementet spørsmålet om kryptering, innsyn i egne data og logg, informasjonssikkerhet, innebygget personvern og helhetlig IKT-arkitektur. Departementet presiserer at dette ikke er en uttømmende redegjørelse for tiltakene som skal sikre personvernet i KPR. Dette utfyller de generelle lovfestede personvernkravene og supplerer drøftelsen av personvernhensynet i de forutgående kapitlene i proposisjonen.

10.1 Høringsforslaget

I høringsnotatet presiserte departementet viktigheten av at både regelverket og tekniske løsninger ivaretar grunnleggende personvernhensyn og hindrer uautorisert bruk av opplysningene. Den enkeltes personvern skal ivaretas på en god måte, samtidig som reguleringen ikke skal være til hinder for at registeret kan brukes i tråd med formålet. Samtidig foreslo departementet at datasettet som skal innrapporteres til IPLOS endres fra å være pseudonymt til å være kryptert i samsvar med helseregisterloven § 21 andre ledd.

Departementet viste også til at KPR skal base-res på systemer og løsninger med innebygget personvern, og at det ved etablering av registeret skal foretas en grundig vurdering av IKT-arkitektur og mulighetene som ligger i moderne løsninger.

Side 72:

10.3 Departementets vurderinger og forslag

10.3.1 Identitetshåndtering – kryptering

Departementet har vurdert graden av personidentifikasjon i KPR. Utgangspunktet er at graden av personidentifikasjon ikke skal være større enn nødvendig for det aktuelle formålet, verken ved innsamling, bearbeiding eller utlevering av opplysninger til/fra registeret.

Departementet foreslår at direkte personidentifiserende kjennetegn som fødselsnummer mv. skal kunne registreres og behandles på andre måter i registeret. Departementet mener at formålet med registeret og oppgavene det skal benyttes til, ikke kan ivaretas på en forsvarlig måte uten at den databehandlingsansvarlige har tilgang til fødselsnummer eller andre direkte personidentifiserende kjennetegn. For at data fra flere ulike kilder skal kunne knyttes sammen og gi oss kunnskap om for eksempel helhetlige pasientforløp, er det viktig at opplysningene er personentydige og at direkte personidentifikasjon, som fødselsnummer, kan brukes som nøkkel til å sammenstille data fra ulike kilder til samme person. Se punkt 8.3.5 om lovbestemt register og direkte personidentifiserende kjennetegn.

Ett viktig sikkerhetstiltak er å lagre direkte personidentifiserende kjennetegn kryptert, jf. helseregisterloven § 21 andre ledd. Dette gjelder for alle helseregistrene hjemlet i helseregisterloven §§ 10 og 11. I Innst. 193 L (2009–2010) punkt 2.2 er det gitt uttrykk for at fødselsnummer i nye registre skal krypteres separat og oppbevares utilgjengelig og adskilt fra andre, ikke identifiserende data. Denne løsningen er benyttet i NPR og Hjerte- og karregisteret. Det er naturlig at KPR får en tilsvarende løsning.

Denne krypteringsløsningen innebærer at kun et meget begrenset antall ansatte internt hos den databehandlingsansvarlige virksomheten har tilgang til å se fødselsnummer og helseopplysninger samtidig.

Funksjonshemmedes fellesorganisasjon (FFO), Norges Handikapforbund, Pensjonistforbundet, Fagforbundet og Rusmisbrukernes interesseorganisasjon (RIO) har i høringen uttrykt en bekymring for at opplysninger vil kunne knyttes til enkeltpersoner selv om registeret er kryptert. Øvrige høringsinstanser synes å støtte forslaget om kryp- (forts. s. 73)

Side 73:

tering, men flere fremhever betydningen av taushetsplikt, informasjonssikkerhet osv.

Departementet vil bemerke at krypteringen betyr at den som analyserer og på annen måte viderebehandler dataene normalt ikke vil ha tilgang til fødselsnummer når de behandler helsedataene. I mange sammenhenger vil det likevel være teoretisk mulig å finne tilbake til enkeltpersoner på bakgrunn av variablene. Hvis feil skulle inntreffe og opplysninger komme på avveie, vil krypteringen gjøre det betydelig mer komplisert og ressurskrevende å finne tilbake til enkeltpersoner enn uten kryptering.

Ved utlevering av opplysninger fra KPR skal graden av personidentifikasjon ikke være større enn nødvendig. Det skal bare kunne utleveres direkte personidentifiserbare opplysninger dersom dette er nødvendig for formålet med behandlingen. For øvrig skal det i størst mulig grad utleveres indirekte identifiserbare opplysninger med lavest mulig risiko for at mottaker ved hjelp av disse skal kunne finne tilbake til enkeltindivider.

Departementet mener på denne bakgrunn at det bare er en begrenset risiko for at enkeltpersoner skal kunne bli identifisert.

Kravet om kryptering skal gjelde all behandling av data i KPR som omfattes av helseregisterloven. Når dataene derimot benyttes som grunnlag for utbetaling og kontroll av helserefusjon gjelder reglene i folketrygdloven og personopplysningsloven (se punkt 8.3.6).

10.3.2 Innsyn i egne data og logg

De registrerte skal sikres enkle løsninger for inn-syn i registreringer og bruk av egne opplysninger i KPR. Rett til innsyn gjelder også innsyn i hvem som har hatt tilgang til eller fått utlevert helseopplysninger som er knyttet til den registrertes navn eller fødselsnummer (logg), jf. helseregisterloven § 24.

Dette forutsetter at alle «oppslag» i KPR som innebærer dekryptering av direkte personidentifikasjon logges og at logginformasjon er tilgjengelig for de registrerte. Den databehandlingsansvarlige skal sørge for at det føres oversikt over autorisert og uautorisert tilgang til opplysninger knyttet til den registrertes navn eller fødselsnummer. Registrering av informasjon om hvem som har hatt tilgang til slike helseopplysninger (logging), er et viktig element for å sikre den enkeltes personvern. Innsyn i loggopplysninger øker kontrollen med egne helseopplysninger. Det vil blant annet kunne bidra til å avdekke om uvedkommende har hatt tilgang til helseopplysninger i KPR.

Departementet forutsetter at den tekniske løsningen for KPR utformes slik at de registrerte raskt kan få innsyn i egne data via digitale innbyggertjenester i registeret. Målet er at alle helseregistre skal ha gode elektroniske loggløsninger som er tilrettelagt for innsyn gjennom digitale innbyggertjenester.

10.3.3 Informasjonssikkerhet

Det er en sentral forutsetning for etablering av KPR at informasjonssikkerheten, som et sentralt virkemiddel for personvernet, skal være høy ved behandling av helseopplysningene. De registrerte skal kunne ha tillit til at uvedkommende ikke får tilgang på opplysningene (konfidensialitet), at det ikke foregår uautorisert eller utilsiktet endring av opplysningene (integritet) og at opplysningene kan tas i bruk når det er nødvendig (tilgjengelighet).

Noen høringsinstanser etterlyste nærmere vurdering av risikoen med hensyn til informasjonssikkerheten. Slike vurderinger må knyttes til og være styrende for de tekniske og organisatoriske løsningene som velges.

Den databehandlingsansvarlige skal gjennom planlagte og systematiske tiltak sørge for å sikre helseopplysningene i KPR. Dette følger av kravene til konfidensialitet, integritet og tilgjengelighet, jf. helseregisterloven § 21. Informasjonssikkerhet er en dynamisk prosess, og de sikkerhetstiltak som brukes i dag er ikke nødvendigvis gode nok i fremtiden. Bruk av IKT-systemer i helse- og omsorgssektoren er i stadig utvikling og dette vil reise nye sikkerhetsutfordringer som må ivaretas også i fremtiden.

Krav til informasjonssikkerhet i helseregistre skiller seg fra pasientjournalsystemer (behandlingsrettede helseregistre) ved at behovet for at opplysningene er raskt tilgjengelige ikke er like kritisk. Likevel må opplysningene i registeret være oppdaterte og tilgjengelige for fremstilling av statistikk, helseanalyser, kvalitetsforbedringsarbeid, beredskap, forebyggende arbeid og forskning.

Et godt KPR forutsetter gode rutiner for informasjonssikkerhet i alle ledd av behandlingsprosessen; ved innsamling, utlevering og lagring av data. Når det gjelder konfidensialiteten, er det et minstekrav at direkte personidentifiserende kjennetegn skal lagres kryptert i registeret, jf. helseregisterloven § 21 andre ledd. Store deler av helseregisterets formål kan ivaretas uten at brukerne av data har tilgang til den registrertes identitet (fødselsnummer). Se om kryptering i punkt (forts. s. 74)

Side 74:

10.3.1. Også indirekte identifiserbare opplysninger er underlagt taushetsplikt og skal sikres på en god måte. Videre er god tilgangsstyring og logging av tilgang viktige sikkerhetstiltak. Når det gjelder integriteten, må det etableres gode tekniske og faglige rutiner som sikrer at riktige opplysninger til enhver tid knyttes til riktig person gjennom gode systemer for identitetshåndtering og dataforvaltning.

Den risikoen med hensyn til informasjonssikkerheten som noen høringsinstanser har uttrykt bekymring for, ser ikke ut til å være basert på hvordan KPR faktisk skal organiseres. Dette gjelder både måten opplysningene skal meldes inn til KPR på og tiltakene i KPR som vil sikre konfidensialiteten. Med de løsningene det her er gjort rede for mener departementet at KPR ikke vil bidra til å svekke tilliten og relasjonen mellom pasienter og helsepersonell.

10.3.4 Innebygget personvern
Departementet forutsetter at KPR skal baseres på systemer og løsninger med innebygget personvern. Det følger av Prop. 72 L (2013–2014) at prinsippene for innebygget personvern skal inngå som naturlige elementer i etablering og utvikling av helseregistre.
Innebygget personvern tar utgangspunkt i syv prinsipper (http://datatilsynet.no/personvern/ Personvernprinsipper/)
–vær i forkant, forebygg fremfor å reparere
–gjør personvern til standardinnstilling
–bygg personvern inn i designet
–skap full funksjonalitet: både-og, ikke enteneller
–ivareta informasjonssikkerheten fra start til
slutt

–vis åpenhet
–respekter brukerens personvern

Ved at personvern og funksjonalitet ses i sammenheng allerede i utviklingsfasen vil de registrertes rettigheter kunne ivaretas på en enkel og god måte, samtidig som systemet optimaliseres og fungerer effektivt. Se Prop. 72 L (2013–2014) punkt 7.1.2.
I arbeidet med forskriften vil betydningen av dette for KPR bli nærmere omhandlet.

[...]

10.3.6 Sammenstilling mellom KPR og NPR
Et viktig formål med KPR er økt kunnskap om samhandling og pasientforløp på tvers av spesialisthelsetjenesten og primærhelsetjenesten. Det må da legges juridisk og praktisk til rette for å kunne sammenstille data fra KPR og NPR. Dette er fremhevet av flere høringsinstanser.

For departementet er det viktig at det er en helthetlig tilnærming til helseregistrene og at KPR ikke skal inneholde helseopplysninger som allerede er registrert i andre helseregistre, se punkt 9.3.4. Helseregistrene skal ses i sammenheng og det skal legges til rette for sammenstilling av opplysninger for analyseformål, for å unngå økt rapporteringsbyrde. At opplysningene bare registreres ett sted, men gjenbrukes ved behov, vil også kunne fremme personvernet og informasjonssikkerheten. KPR skal derfor ikke inneholde opplysninger om for eksempel diagnoser som er stilt i spesialisthelsetjenesten, som er registrert i NPR, eller om resepter, som er registrert i Reseptregisteret.

NPR har gjennom mange års drift og utvikling blitt et sikkert og forvaltningsmessig robust register, og med data som både er tidsaktuelle og av god kvalitet, særlig for planleggings- og styringsformål. Etableringen av KPR bør derfor bygge på erfaringene fra NPR med hensyn til personvern, informasjonssikkerhet, registerforvaltning mv. I tillegg bør det legges til rette for at data i KPR raskt kan tas i bruk til planlegging, styring, finansiering og evaluering av kommunale helse- og omsorgstjenester, samt til produksjon av statistikk, helseanalyser, kvalitetsforbedringsarbeid, beredskap, forebyggende arbeid og forskning.

Side 75:

11 Endringer i helsepersonelloven §§ 42 og 43 om retting eller
sletting av pasientjournalopplysninger

Departementet foreslår å endre helsepersonelloven §§ 42 og 43 slik at det ikke lenger skal være et krav at fylkesmannen skal innhente uttalelse fra Datatilsynet før saker om retting eller sletting av pasientjournalopplysninger kan ferdigbehandles. [...]

11.3 Departementets vurderinger og forslag
Departementets forslag har bakgrunn i henvendelse fra Datatilsynet og Statens helsetilsyn om endringer når det gjelder Datatilsynets rolle. Datatilsynet har blant annet påpekt at de ikke har forutsetninger for å foreta de helsefaglige avveininger som er nødvendig for å ta stilling til om konkrete opplysninger skal rettes eller slettes.
Ifølge Datatilsynets høringsuttalelse behandlet tilsynet i 2014 ca. 50 slike slettesaker og mottok frem til 5. oktober 2015 ca. 30 saker til behandling. Tilsynet uttalte videre:

Side 76:

Våre uttalelser i disse sakene henviser i de aller fleste tilfellene til Fylkesmannen for vurdering av kravet om sletting. Kravene er som regel begrunnet i uenighet om faktiske forhold eller medisinskfaglige opplysninger, helsepersonellets vurderinger og forsvarlig praksis ved journalføring. De tilfellene Datatilsynet har anbefalt sletting i er i hovedsak knyttet til uheldige formuleringer eller til medisinske opplysninger som åpenbart må anses misvisende eller uverifiserte. Datatilsynet er ikke kjent med hvilken betydning våre uttalelser får i Fylkesmannens endelige vedtak.

Etter departementets vurdering er det vanskelig å finne avgjørende argumenter for å videreføre dagens ordning med Datatilsynets kontroll i disse sakene. Kravet om foreleggelse for Datatilsynet som lite hensiktsmessig, samtidig som det bidrar til å forlenge den totale saksbehandlingstiden.

Den som får avslag på en anmodning om å rette eller slette journalopplysninger, kan som nevnt påklage dette til fylkesmannen som har nødvendige forutsetninger til å foreta den helsefaglige vurderingen som må gjøres i denne type saker. Bare rent unntaksvis kan det tenkes at uttalelse fra Datatilsynet vil være avgjørende i og med at det her i hovedsak er nødvendig å foreta helsefaglige avveininger for å ta stilling til om konkrete opplysninger skal rettes eller slettes. Slik departementet vurderer det kan likevel ikke dette forsvare videreføring av en ordning som innebærer at det alltid skal innhentes uttalelse fra Datatilsynet i denne type saker.

Se også saken på regjeringen.no.