Prop. 7 L (2016–2017) Endringer i helseberedskapsloven mv. (beredskapsregistre mv.)

Dokumentet i PDF.

2 Gjeldende rett

2.1 Helseregisterloven

Helseregisterloven gjelder for behandling av
helseopplysninger til statistikk, helseanalyser,
forskning, kvalitetsforbedring, planlegging,
styring og beredskap i helse- og omsorgsforvaltningen
og helse- og omsorgstjenesten (lov 20. juni
2014 nr. 43 om helseregistre og behandling av
helseopplysninger). Formålet med loven er å
legge til rette for innsamling og annen behandling
av helseopplysninger, for å fremme helse, forebygge
sykdom og skade og å gi bedre helse- og
omsorgstjenester. Loven skal sikre at behandlingen
foretas på en etisk forsvarlig måte, ivaretar
den enkeltes personvern og brukes til individets
og samfunnets beste.

Det følger av helseregisterloven § 6 første ledd
at helseopplysninger bare kan behandles når det
er tillatt etter helseregisterloven eller andre lover.
Loven har bestemmelser om etablering av registre,
generelle vilkår for behandling av opplysninger,
krav til behandling av opplysninger i registrene,
tilsyn og sanksjoner.

[...]

4.1 Forslaget i høringsnotatet

[...]

Departementet la til grunn at en lovhjemmel
for beredskapsregistre alternativt kunne ligge i
helseberedskapsloven. Det ble foreslått at registre
skal kunne etableres uten samtykke dersom
der er nødvendig for å nå formålet med registeret.

Departementet foreslo i høringsnotatet at
beredskapsregistre skal kunne etableres av Folkehelseinstituttet, Helsedirektoratet og Statens
strålevern. Det ble foreslått at den databehandlingsansvarlige
skal melde til Datatilsynet når
hjemmelen for etablering av beredskapsregistre
blir benyttet.

Departementet foreslo at helseopplysninger i
beredskapsregistre som hovedregel skal slettes
når hendelsen er oppklart og evaluert. Det ble
foreslått at departementet i særlige tilfeller skulle
ha myndighet til å beslutte bevaring av opplysninger
i beredskapsregistre gjennom forskriftsvedtak.

4.2 Høringsinstansenes syn

4.2.1 Behov, hjemmelsgrunnlag og formål

Høringsinstansene som uttaler seg om beredskapsregistre
støtter forslaget og mener det er
behov for å legge til rette for at det raskt skal
kunne opprettes registre. Datatilsynet uttaler:

Datatilsynet har tidligere gitt støtte for at konsesjonsinstituttet
er uhensiktsmessig når man
står overfor en akutt beredskapssituasjon.
Datatilsynet støtter forslaget om en lovhjemmel
til å opprette beredskapsregistre, slik at
det ikke er nødvendig med konsesjon for
behandling av opplysninger.

Oslo universitetssykehus HF kjenner seg igjen i
beskrivelsen av behovet for raskt å opprette beredskapsregistre
knyttet til spesielle hendelser og situasjoner,
og er positiv til de foreslåtte endringene for
å gjøre dette mulig. CBRNE-senteret ved Oslo
Universitetssykehus HF mener at muligheten for å
opprette beredskapsregistre uten hinder av lovbestemt
taushetsplikt kan være viktig for å håndtere
CBNRE-hendelser. Senteret mener «hendelsesregistre» er et bedre ord enn beredskapsregistre.

[...]

4.2.2 Krav til etablering av registre og behandling
av helseopplysninger

Justis- og beredskapsdepartementet støtter forslaget
til lovhjemmel. Departementet presiserer at en
beslutning om å etablere et beredskapsregister
bør inneholde opplysning om hvem som er
behandlingsansvarlig, og at det bør klargjøres
hvilke bestemmelser i helseregisterloven som
skal gjelde og hvilke bestemmelser det kan eller
ikke kan unntas fra.

Legeforeningen støtter forslaget om en hjemmel
i folkehelseloven til å etablere beredskapsregistre.
Dette vil være til støtte for lokal og nasjonal
helsemyndighet. Legeforeningen mener også at
det er hensiktsmessig at helseregisterlovens
øvrige bestemmelser om behandling av personopplysninger
skal gjelde for slike registre. Det
vises til at samtykke er lovens hovedregel:

Før etablering av et helseregister må det derfor
foretas en avveining mellom de formål som
registeret skal ivareta og de ulempene registeret
representerer for personvernet til dem som
vil bli registrert. Det må presiseres at samtykke
skal være den klare hovedregelen for
innhenting av helseopplysninger fra den registrerte.
Da forslaget til lovbestemmelse åpner
for at samtykke kan fravikes når «tidshensyn»
eller «formålet» med registeret tilsier det, etterlyser
Legeforeningen en nærmere drøftelse av
hva som skal til for å fravike samtykkekravet
ved innsamling av helseopplysninger.

Folkehelseinstituttet mener at det bør vurderes å
etablere «sovende registersystemer» som har klar
infrastruktur knyttet til pålogging, lagring av data
og datasikkerhet. Det vises som eksempel til erfaringene
under influensapandemien der løsningen
som ble opprettet ikke ble brukt på grunn av manglende
datasikkerhet. Instituttet mener at det bør
presiseres hvordan opplysninger fra beredskapsregistre
skal kunne benyttes til forskningsprosjekter
som kan gi kunnskap om langtidseffekter fra
for eksempel kjemikalieeksponering.

Arbeidsgruppe for fellesregister skade intensivbehandling
og beredskap mener at det vil ta tid å etablere
og implementere nye registersystem med
god datasikkerhet, selv om de kan raskt opprettes
med hjemmel i folkehelseloven. Gruppen anbefaler
derfor etablering av sovende beredskapsregistre
med enkelte variabler som en del av et fellesregister
for traume, intensiv og beredskap. Det vektlegges
også at det må være mulig å registrere opplysninger
med personidentifikasjon som tillater sammenstilling mot andre registre. Av personvernhensyn
bør kravene til informasjonssikkerhet
i helseregisterloven ivaretas. Dette gjøres best
ved bruk av eksisterende registerinfrastruktur.

Departementet foreslo i høringen at Helsedirektoratet,
Folkehelseinstituttet og Statens strålevern
skulle gis kompetanse til å etablere beredskapsregistre,
men stilte spørsmål om også andre
instanser, som for eksempel kommuner og fylkesmennene,
bør kunne etablere slike registre. Helsedirektoratet,
Kristiansand kommune og Gjøvikregionen
helse- og miljøtilsyn IKS støtter forslaget om
disse tre etatene som databehandlingsansvarlige.
Folkehelseinstituttet mener at også kommuner og
fylkesmenn bør kunne etablere beredskapsregistre.
Epidemi AS savner en bestemmelse om hvordan
informasjonen i et slikt register kan deles
med kommuneoverlegen.

Datatilsynet mener at lovhjemmelen for beredskapsregistre
bør henvise til helseregisterloven § 6
som angir de generelle vilkårene for å behandle
helseopplysninger. Når det gjelder departementets
forslag om at den databehandlingsansvarlige skal
melde om etablering til Datatilsynet, uttaler tilsynet
at de ikke er enig i at melding til meldingsdatabasen
er tilstrekkelig. Det bør være en utvidet meldeplikt
etter personopplysningsloven §§ 31 og 32,
slik at meldingen også inneholder de vurderingene
som gjøres av den databehandlingsansvarlige. Meldingen
bør gjennomgås av Datatilsynet selv om det
ikke skal gjøres en forhåndsvurdering etter personopplysningsloven
§ 33, og eventuelt benyttes som
grunnlag for tilsyn.

Helse Vest RHF mener at det er behov for å
tydeliggjøre unntaket som gir mulighet til å
etablere registre uten samtykke, og foreslår at det
i samarbeid med relevante fagmiljøer utarbeides
kriterier for når det foreligger særlige tilfeller som
tilsier fortsatt lagring av opplysningene etter at
hendelsen er avklart og evaluert. Dette kan være
viktig for å studere langtidseffekter.

4.3 Departementets vurderinger og forslag

Departementet foreslår at det skal kunne etableres
beredskapsregistre direkte med hjemmel i
helseberedskapsloven. Forskriftshjemmelen som
i dag ligger i folkehelseloven forutsetter at beredskapssituasjonen
har eller kan få internasjonale
konsekvenser. Dette gir en for snever ramme for
beredskapsregistrene, og foreslås derfor endret.
Det foreslås at beredskapsregistre reguleres
direkte i lov og ikke som en forskriftshjemmel.
Dette vil gi samme lovforankring som for dagens
regulering av utbruddsregistre i smittevernloven.

[...]

4.3.7 Krav ved etablering av beredskapsregistre

De alminnelige kravene i helseregisterloven § 6

[...]

Helseopplysninger er underlagt lovbestemt
taushetsplikt i helsepersonelloven § 21 flg. For å
kunne sende inn opplysninger til et beredskapsregister,
kreves det derfor hjemmel i lov eller i
medhold av lov eller samtykke som gir unntak
fra taushetsplikten. Varslingsplikten etter dagens
bestemmelse i folkehelseloven § 29 andre ledd
gjelder uavhengig av lovbestemt taushetsplikt.
Departementet foreslår at det samme tas inn i
den nye lovbestemmelsen i helseberedskapsloven
§ 2-4.

Grad av personidentifikasjon

Det er et grunnleggende prinsipp ved behandling
av helseopplysninger at graden av personidentifikasjon
ikke skal være større enn nødvendig for
det aktuelle formålet. Graden av personidentifikasjon
skal begrunnes. Dette følger av helseregisterloven
§ 6 fjerde ledd.

Det kan ikke tas stilling til på forhånd til hvilken
grad av identifikasjon opplysningene i registeret
må ha for at de kan ivareta sine formål. Dette
vil bero på den enkelte beredskapssituasjon.

Den databehandlingsansvarlige må begrunne
graden av personidentifikasjon, slik det er forutsatt
i helseregisterloven § 6. I enkelte tilfeller kan
det være tilstrekkelig å samle inn opplysninger
som er anonyme. Det kan være hensiktsmessig å
benytte helseberedskapsloven § 2-4 for å kunne
kreve opplysninger fra virksomheter og personell,
selv om opplysningene i seg selv skal være
anonyme.

Samtykke

Det følger av helseregisterloven § 6 andre ledd at
behandling av helseopplysninger krever den
registrertes samtykke, dersom ikke annet har
hjemmel i lov. Dersom registeret kan etableres
med samtykke fra de registrerte skal samtykke
innhentes.

Departementet foreslår at beredskapsregistrene
skal kunne inneholde personidentifiserende
kjennetegn uten samtykke fra de registrerte,
dersom dette er nødvendig for å oppnå
registerets formål.

Departementet viser til at hjemmelen i folkehelseloven
§ 29 andre ledd også åpner for at registre
kan inkludere personidentifiserbare opplysninger
uten samtykke fra de registrerte. Dette er
således en videreføring av gjeldende rett.

Legeforeningen etterlyser i sin høringsuttalelse
en nærmere drøftelse av hva som skal til for å fravike
samtykkekravet.

Den nye bestemmelsen om beredskapsregistre
foreslås utformet slik at det fremgår tydelig at
det er registerets formål som kan begrunne unntak
fra samtykkekravet etter en konkret vurdering.
Det kan for eksempel være at formålet forutsetter
at registeret inneholder opplysninger om
alle som er eksponert, eller får en type helseutfall.
Da vil det ikke være mulig å basere registeret på
samtykke ettersom at det vil medføre at enkelte
ikke ønsker å samtykke. Det kan også være nødvendig
å etablere registre så raskt at det ikke lar
seg gjøre å innhente samtykker. I slike tilfeller vil det være aktuelt å vurdere innhenting av samtykke
senere dersom det er forenlig med registerets
formål.

Et beredskapsregister vil kunne ta utgangspunkt
i og inneholde individuelle varsler som er
gitt i henhold til for eksempel MSIS-forskriften
eller IHR-forskriften.

Den databehandlingsansvarlige må ved etableringen
av registeret gjøre en vurdering av om det
er nødvendig at registeret inneholder opplysninger
som ikke kan baseres på at samtykke er innhentet.

4.3.8 Behandling av opplysninger

I samsvar med helseregisterloven

Departementet foreslår at behandlingen av helseopplysninger
i beredskapsregistre skal være i
samsvar med helseregisterloven. Dette innebærer
for eksempel at bestemmelsene i § 17 og § 18 om
taushetsplikt og forbud mot urettmessig tilegnelse
av taushetsbelagte opplysninger vil
gjelde. Krav til sikring av konfidensialitet, integritet,
tilgjengelighet og internkontroll vil også
gjelde. Det samme gjelder rett til informasjon, innsyn,
retting og sletting, samt lovens kapittel 5 om
tilsyn og sanksjoner.

Departementet foreslo i høringen at det ved
etableringen av beredskapsregistre skal kunne
besluttes at bestemmelser i helseregisterloven
ikke skal gjelde. Begrunnelsen for dette var at
tidsperspektivet kunne gjøre det krevende å oppfylle
enkelte krav i helseregisterloven. Kravet til
kryptering i § 21 ble spesielt nevnt. Justis- og
beredskapsdepartementet og Arbeidsgruppe fellesregister
skade, intensivbehandling og beredskap
mente det må komme klarere frem hvilke bestemmelser
i helseregisterloven som eventuelt ikke
skal gjelde.

Departementet har kommet til at helseregisterloven
bør gjelde i sin helhet. Departementet
viser til at lovens bestemmelser skal legge til rette
for helseregistre samtidig som den skal sikre at
behandlingen foretas på en etisk forsvarlig måte,
ivaretar den enkeltes personvern og brukes til
individets og samfunnets beste. Disse hensynene
bør gjelde for beredskapsregistre på samme måte
som for andre helseregistre. Kravet til kryptering
i helseregisterloven § 21 vil imidlertid ikke
gjelde for disse registrene, siden dette kravet kun
gjelder registre etablert med hjemmel i helseregisterloven
§ 10 og § 11.

Arbeidsgruppe fellesregister skade, intensiv og
beredskap fremhever i høringen at erfaringen fra NOPIR (Norsk pandemi intensivregister) viser at
manglende datasikkerhet kan føre til at registre
ikke benyttes. Arbeidsgruppen viser til at for å få
god datasikkerhet, må systemene være på plass
for at det skal kunne fungere etter intensjonen. De
peker på eksisterende registermiljøer som Norsk
intensivregister og Nasjonalt traumeregister som
registre med nødvendig infrastruktur og et etablert
registermiljø som er på plass ved alle norske
sykehus. Arbeidsgruppen anbefaler

at det etableres et «sovende» beredskapsregister
med enkelte variabler som en del av et fellesregister
for traume, intensiv og beredskap.
Dette sovende registersystemet skal ha en klar
infrastruktur knyttet til pålogging, lagring av
data og datasikkerhet basert på eksisterende
rutiner. I tillegg til noen standard basisvariabler,
skal spesielle variabler knyttet til den aktuelle
hendelsen raskt kunne legges til.

Departementet mener kravene til informasjonssikkerhet
mv. i beredskapsregistre bør være de
samme som for andre helseregistre, og at bestemmelsene
i helseregisterloven bør gjelde. Departementet
vil be Folkehelseinstituttet i samråd med
andre relevante aktører om å vurdere etablering av
en infrastruktur for beredskapsregistre. En infrastruktur
kan legge til rette for at beredskapsregistre
kan etableres raskt, samtidig som de kan oppfylle
kravene til informasjonssikkerhet mv. i helseregisterloven.
Folkehelseinstituttet har ansvar for
mange av helseregistrene, inkludert varslingssystemet
for smittsomme sykdommer (MSIS), og
er en viktig aktør i beredskapssituasjoner.

Nødvendig utfra registerets formål

Departementet foreslår at opplysninger skal
kunne behandles uten de registrertes samtykke
dersom det er nødvendig for å oppnå registerets
formål. Hva som er nødvendig for å oppnå registerets
formål vil bestemmes blant annet av beredskapssituasjonens
karakter.

Behandling som er nødvendig ut fra formålet,
vil dermed ikke kreve annet særskilt behandlingsgrunnlag
siden den har hjemmel i direkte i loven.
Konsesjon fra Datatilsynet er ikke nødvendig.

Opplysningene i et beredskapsregister skal
kunne utleveres og behandles til de konkrete
formålene som er fastsatt for det enkelte register.
Formålet kan for eksempel være å gi kunnskap til
lokale helsemyndigheter eller andre med håndteringsansvar.
Formålet kan også være videre varsling
gjennom EWRS og IHR, som Norge er forpliktet til gjennom internasjonale avtaler. Ved
utlevering av opplysninger med hjemmel i § 2-4 vil
mottakeren ha adgang til å behandle opplysningene.

Epidemi AS savner en bestemmelse om hvordan
informasjonen i et slikt register kan deles
med kommunelegen. Departementet mener det
ikke er nødvendig med en slik bestemmelse. Der
kommunelegen har oppfølgingsoppgaver, vil det
være innenfor registerets formål at opplysningene
utleveres og benyttes til dette.

Departementet foreslo i høringen at helseregisterloven
§ 20 om unntak fra taushetsplikten
skulle kunne gjøres gjeldende for å kunne utlevere
indirekte identifiserbare opplysninger.
Departementet har kommet til at adgangen til
utlevering i stedet bør avgrenses mot de formålene
det enkelte register skal ivareta. Departementet
foreslår derfor at det presiseres i lovteksten
at opplysninger skal kunne utleveres uten
hinder av lovbestemt taushetsplikt dersom det er
nødvendig for å oppnå registerets formål. Graden
av personidentifikasjon ved utleveringer skal ikke
være større enn nødvendig for å oppnå formålet.
Mottakeren vil være underlagt taushetsplikten i
helseregisterloven § 17.

4.3.9 Krav om anonymisering eller sletting. Unntak

Utgangspunktet for behandling av personopplysninger
er at de ikke skal lagres lenger enn nødvendig
for formålet. Hovedregelen vil være at opplysningene
skal slettes eller anonymiseres når
beredskapssituasjonen er avklart. Evaluering av
hendelsen eller ulykken vil være en del av håndteringen.

Opplysninger som samles inn i beredskapsregistre
kan imidlertid være viktige for å få ny kunnskap.
Det gjelder spesielt i de tilfellene der det er
aktuelt å sette i gang forskningsprosjekter som har
som formål å vurdere langtidseffekter av eksponering
for helseskadelige miljøfaktorer eller andre
hendelser. Dette vil være formål som vil gå utover
formålet til det enkelte beredskapsregister, men
som kan gi viktig kunnskap om årsaker og konsekvenser
av sykdom og om beredskapsarbeidet.

Det ble derfor foreslått i høringsnotatet at det
bør være åpning for i særskilte tilfeller å kunne
lagre personidentifiserbare personopplysninger i
beredskapsregistre også etter at den konkrete
hendelsen er avklart og evaluert.

De regionale arbeids- og miljømedisinske sykehusavdelinger
mener at et beredskapsregister vil
være viktig for å få kartlagt situasjonen umiddelbart
og for å kunne studere langtidseffekter. Dette forutsetter at opplysningene i registeret ikke slettes
eller anonymiseres når hendelsen er avklart.
Helse Vest RHF uttaler at:

Helse Vest foreslår at det blir utarbeida kriterier
for når det ligg føre særlege tilfelle som
tilseier at opplysningane i beredskapsregistre
skal lagrast, også etter at den konkrete
hendinga er avklart og evaluert. Slike kriterier
bør utarbeidast i samarbeid med relevante fagmiljø.
Dette for å sikre at opplysningar som kan
vera avgjerande for å få ny kunnskap om miljøog
kjemikaliehendingar, og korleis slike
hendingar kan handterast best mogeleg, ikkje
slettast. Det bør særleg leggast vekt på at slike
register er viktige for å kunne studere langtidseffektar.
Det er derfor uheldig om det bli sletta
når hendinga er avklart.

Datatilsynet støtter departementets vurdering av
at såkalt sekundærbruk eller annen primærbruk
enn administrasjon og varsling i tilknytning til en
konkret hendelse, krever konsesjon eller annet
rettslig grunnlag.

Departementet mener at lovbestemmelsen bør
gi mulighet for fortsatt lagring og bruk av opplysningene,
etter at hendelsen er avklart. Opplysninger
som er samlet inn i et beredskapsregister
kan være viktige kilder til for eksempel forskningsprosjekter
som kan gi kunnskap om langtidseffekter
av eksponering for helseskadelige miljøfaktorer.
Et eksempel på dette er forskningsprosjektet som
ble iverksatt etter Vest Tank ulykken i 2007 der
Yrkesmedisinsk avdeling ved Haukeland universitetssykehus
HF så nærmere på langtidseffekter for
de personene som ble eksponert for kjemikalier. Et
annet eksempel er oppfølgingen av terrorhendelsene
22. juli 2011 der det ble iverksatt psykososial
oppfølging av berørte. Det er en forutsetning at
Datatilsynet kan gi konsesjon eller Regional etisk
komite for medisinsk og helsefaglig forskningsetikk
(REK) kan gi forhåndsgodkjenning for bruk
av opplysningene inn i forskningsprosjekter for at
opplysninger kan behandles utover det opprinnelige
formålet. Dersom opplysningene slettes eller
anonymiseres vil slik forskning ikke være mulig.

Departementet mener på denne bakgrunn at
det bør være åpning for i særskilte tilfeller å
kunne lagre personidentifiserbare opplysninger
fra beredskapsregistre også etter at den konkrete
hendelsen er avklart og evaluert. Det foreslås at
kravet til å unnta fra sletteplikten skal være at det
er nødvendig for å gi kunnskap om langtidseffekter,
for eksempel som følge av eksponering for
helseskadelige miljøfaktorer. En beslutning om å unnta fra slette- eller anonymiseringsplikten kan
behandles uten preg av tidsnød, og det bør gjøres
en fornyet vurdering av hvilke opplysninger som
lagres, om det kan innhentes samtykke mv.

Dersom opplysninger i beredskapsregistre skal
kunne unntas fra slette- eller anonymiseringsplikt,
bør det være et grunnleggende krav at samfunnets
interesse klart overstiger de ulemper som kan påføres
den enkelte registrerte. Denne interesseavveiningen
fremgår blant annet av personopplysningsloven
§ 28. Departementet foreslår derfor at
lovteksten stiller opp et vilkår om at samfunnets
interesse i den videre behandlingen klart må overstige
ulempene som kan påføres den enkelte.

Beslutning om at opplysningene ikke skal slettes
eller anonymiseres, bør legges til en annen
instans enn den instansen som er databehandlingsansvarlig
for registeret. Det foreslås derfor at
en slik beslutning legges til departementet etter
henvendelse fra den databehandlingsansvarlige.

4.3.10 Prosessuelle krav til etablering av
beredskapsregistre

Dokumentasjon

Beredskapsregistre vil etableres av enten Folkehelseinstituttet
eller Helsedirektoratet. Den virksomheten
som etablerer beredskapsregisteret blir
ansvarlig for behandlingen av helseopplysninger
(databehandlingsansvarlig). Departementet foreslår
at den databehandlingsansvarlige skal dokumentere
at kravene til etablering av registre er
vurdert og oppfylt. Disse kravene følger av helseregisterloven
§ 6 og er nærmere presisert i forslaget
til helseberedskapsloven § 2-4.

I høringsnotatet la departementet til grunn at
en beslutning om etablering av et beredskapsregister
ville være en forskrift og foreslo et unntak fra
høringsplikten i forvaltningsloven § 37, da dette
ikke ville være praktisk gjennomførbart. Ingen
høringsinstanser kommenterer spørsmålet konkret,
men flere vektlegger behovet for at registrene
skal kunne etableres raskt og at loven må gi det
nødvendige rammeverket for å etablere registrene.

Departementet legger til grunn at helseberedskapsloven
§ 2-4 vil gi de databehandlingsansvarlige
direkte kompetanse til å etablere registre, og
plikt for de aktuelle virksomhetene og personell til
å melde opplysninger til registre. Videre vil
bestemmelsen gi hjemmel til at det enkelte register
etableres uten vedtak og uten høring. Etableringen
av det enkelte register vil være uttømmende
regulert i helseberedskapsloven og helseregisterloven.

Melding til Datatilsynet

Departementet foreslår at beredskapsregistrene
skal meldes til Datatilsynet på samme måte som
meldinger etter personopplysningsloven § 31 og
§ 32. Selve etableringen av beredskapsregistre vil
være hjemlet i lov, og trenger ikke forhåndsgodkjenning
fra Datatilsynet. Siden det enkelte register
må etableres raskt og i forvaltningsinterne
prosesser, bør det legges til rette for at tilsynsmyndigheten
kan føre tilsyn med registrene.

Datatilsynet viser i sin høringsuttalelse til at den
databehandlingsansvarlige bør redegjøre for alle
vurderinger som gjøres i forbindelse med etableringen
av et beredskapsregister, og at disse vurderingene
bør fremgå av meldingene som sendes til
Datatilsynet. Departementet støtter dette synet, og
foreslår at de vurderingene den databehandlingsansvarlige
skal dokumentere ved etableringen, skal
inkluderes i meldingen til Datatilsynet.

Meldingen vil legge til rette for at Datatilsynet
skal kunne ivareta sin tilsynsoppgave etter helseregisterloven
på en god måte. Meldingen vil gi
Datatilsynet et grunnlag for å kunne vurdere om
undersøkelsen er etablert i tråd med kravene i
loven, og vil legge til rette for at eventuelle mangler
kan fanges opp nært i tid etter etableringen.
Det er imidlertid ikke krav til uttalelse fra Datatilsynet
før etableringen.

Ordningen er også i samsvar med EUs Personvernforordning
som ble vedtatt i våren 2016
(Regulation (EU) 2016/679). I forordningen
dreies de nasjonale tilsynsmyndighetenes oppgaver
mer i retning av etterkontroll fremfor forhåndsgodkjenninger.

[...]

4.5 Økonomiske og administrative konsekvenser

Departementet foreslår at helseberedskapsloven
endres slik at den gir direkte hjemmel for å
behandle helseopplysninger i beredskapsregistre.
Bestemmelsen kan gi en administrativ forenkling
ved at en raskere kan få et tilstrekkelig kunnskapsgrunnlag
for å håndtere hendelsen effektivt.

Erfaringene fra beredskapsregistre som tidligere
er etablert, har vist at det er krevende og lite hensiktsmessig
å skulle fremskaffe hjemmelsgrunnlag
for eksempel ved konsesjon fra Datatilsynet,
når man er i beredskapssituasjonen. De konkrete
økonomiske konsekvensene av å etablere beredskapsregistre
må vurderes når etablering av det
enkelte register skal besluttes.

Departementet mener det bør etableres en
infrastruktur for beredskapsregistre, for å legge
til rette for at slike registre kan etableres raskt,
samtidig som de kan oppfylle kravene til informasjonssikkerhet
mv. i helseregisterloven. Det vil ha
økonomiske konsekvenser å skulle etablere en
slik registerfunksjonalitet, blant annet forbundet
med planlegging og valg av registerplattform,
organisering av arbeidsprosessene og samarbeidet
mellom etatene. Det vil også være kostnader
knyttet til datafangst, registrering og kommunikasjon
av data ved et hendelsessted. Det vil videre
påløpe driftskostnader når registerfunksjonaliteten
er etablert. Departementet vil be Folkehelseinstituttet
i samråd med andre relevante
aktører, om å vurdere etablering av en infrastruktur
for beredskapsregistre, inkludert de økonomiske
konsekvensene.

[...]

6 Merknader til de enkelte
bestemmelsene

6.1 Merknader til helseberedskapsloven

Til § 2-4 Beredskapsregistre

Bestemmelsen er ny. Bestemmelsen gir hjemmel
for at det kan etableres beredskapsregistre som
inneholder helseopplysninger. Helseopplysninger
er sensitive personopplysninger som det kreves
særskilt rettsgrunnlag for å behandle, og som er
underlagt taushetsplikt. Bestemmelsen gir det
rettslige grunnlaget for å behandle helseopplysninger
i beredskapsregistre. Se nærmere i
punkt 4.3.

[...]

Andre ledd

Det følger av denne bestemmelsen at helseopplysningene
i beredskapsregistre skal behandles i
samsvar med de alminnelige kravene i helseregisterloven
§ 6. Dette skal dokumenteres av den
databehandlingsansvarlige.

Det følger av helseregisterloven § 6 tredje
ledd bokstav b at helseopplysninger bare skal
brukes til uttrykkelige angitte formål. For det
enkelte beredskapsregister må det angis et
konkret formål. Dette vil gi rammen for hvilke
opplysninger som kan behandles og hva opplysningene
kan brukes til. Det enkelte registers
formål må ligge innenfor det generelle formålet
for beredskapsregistre i denne bestemmelsen.

Hvilke opplysninger som skal behandles vil
måtte angis konkret ved opprettelsen av det
enkelte beredskapsregister. Relevante opplysningstyper
vil være administrative opplysninger,
og helseopplysninger og andre personopplysninger.
Hva som skal meldes til registeret av helseopplysninger
vil kunne følge av en nærmere angitt
kasusdefinisjon. I forbindelse med utbrudd der
folk blir eksponert for sykdomsfremkallende
agens, vil det utarbeides en eller flere kasusdefinisjoner.
Ved hendelser av internasjonal betydning,
vil slike kasusdefinisjoner utarbeides av WHO
eller det europeiske smittevernbyrået ECDC. For
hendelser som kun berører Norge vil Folkehelseinstituttet
kunne utarbeide kasusdefinisjoner.

Det kan være nødvendig for å nå registerets
formål at det også behandles opplysninger om
personer som ikke oppfyller kasusdefinisjonen i
form av en kontrollgruppe eller kontakter som et
ledd i kontaktsporing. Et beredskapsregister vil
for eksempel kunne inkludere opplysninger fra
intervjuer med personer som har oppholdt seg i et
område for å kunne kartlegge eksponeringer.

Graden av personidentifikasjon skal ikke være
større enn nødvendig for det aktuelle formålet.
Graden av personidentifikasjon skal begrunnes. I
de tilfeller der det er nødvendig at registeret inneholder
personidentifiserende kjennetegn uten
samtykke fra de registrerte, vil beredskapsregistre
kunne inneholde dette, jf. tredje ledd.

Tredje ledd

I første punktum slås det fast at dersom det er
nødvendig for å oppnå registerets formål kan opplysninger
innhentes, registreres og behandles på
andre måter uten samtykke fra de registrerte. Hva
som er nødvendig for å oppnå registerets formål
vil bestemmes blant annet av beredskapssituasjonens
karakter. Det kan for eksempel være at formålet
forutsetter at registeret inneholder opplysninger
om alle som er eksponert eller får en type
helseutfall. Det kan også være at beredskapssituasjonen
krever rask etablering av registeret.

Slik behandling vil ikke kreve annet særskilt
behandlingsgrunnlag som for eksempel forskrift
eller konsesjon. Loven gir i seg selv adgang til å
etablere registeret og å behandle opplysningene.

Dette inkluderer utlevering av opplysninger fra
registeret, for eksempel til lokale helsemyndigheter.
Opplysningene kan bare utleveres dersom
det er nødvendig utfra registerets formål. Graden
av personidentifikasjon skal ved utleveringer ikke
være større enn nødvendig for å oppnå formålet.
Opplysningene kan utleveres uten hinder av lovbestemt
taushetsplikt. Mottakeren av opplysningene
vil ha taushetsplikt etter helseregisterloven § 17.

I enkelte tilfeller kan det være tilstrekkelig å
samle inn opplysninger som er anonyme. Anonyme
opplysninger vil ikke utgjøre et helseregister, men
det kan være hensiktsmessig å benytte helseberedskapsloven
§ 2-4 for å kunne kreve opplysninger fra
virksomheter og personell. Et beredskapsregister
vil kunne ta utgangspunkt i og inneholde individuelle
varsler som er gitt i henhold til for eksempel
MSIS-forskriften eller IHR-forskriften.

Det presiseres i andre punktum at opplysningene
i registeret skal behandles i samsvar med helseregisterloven.
Dette innebærer for eksempel at
bestemmelsene i § 17 og § 18 om taushetsplikt og
forbud mot urettmessig tilegnelse av taushetsbelagte
opplysninger vil gjelde. Krav til sikring av
konfidensialitet, integritet, tilgjengelighet og internkontroll
vil også gjelde. Det samme gjelder blant
annet rett til informasjon, innsyn, retting og sletting,
samt lovens kapittel 5 om tilsyn og sanksjoner.
Hjemmelen for etablering av registre og innsamling
av data vil likevel være helseberedskapsloven § 2-4.

Fjerde ledd

Bestemmelsen gir hjemmel for å kreve opplysninger
utlevert fra virksomheter i helse- og omsorgstjenesten
og helsepersonell, uten hinder av lovbestemt
taushetsplikt. Med virksomheter menes
også databehandlingsansvarlige for andre helseregistre.
Også de gruppene som har varslingsplikt
gjennom forskrift om varsling av og tiltak ved
alvorlige hendelser av betydning for internasjonal
folkehelse (IHR-forskriften) kan pålegges å melde
til et beredskapsregister.

Det vil avhenge av den konkrete beredskapssituasjonen
hvem som skal melde opplysninger
inn til et beredskapsregister. Et beredskapsregister
kan inneholde mange typer opplysninger, for
eksempel meteorologiske data eller kartdata. Det
er imidlertid helseopplysningene, og eventuelt
andre sensitive og taushetsbelagte opplysninger,
det kreves rettslig grunnlag for å behandle.

Femte ledd

Den databehandlingsansvarlige skal sende melding
til Datatilsynet. Meldingen skal inneholde de
vurderingene som skal dokumenteres ved etablering
av registeret. Melding vil legge til rette for at
Datatilsynet skal kunne ivareta sin tilsynsoppgave
etter helseregisterloven på en god måte.

Sikkerhetsloven har bestemmelser om når
informasjon skal beskyttes av sikkerhetsmessige
grunner (lov 20. mars 1998 nr. 10 om forebyggende
sikkerhetstjeneste). Det kan tenkes situasjoner
der vurderinger som gjøres ved etablering
av registre inkluderer opplysninger underlagt
sikkerhetsloven, for eksempel ved en terrorhandling.
Kravet om å offentliggjøre vurderinger om
etablering av beredskapsregistre vil ikke gå foran
bestemmelser som krever beskyttelse av skjermingsverdig
informasjon.

Sjette ledd

Hovedregelen er at opplysninger i beredskapsregistre
skal slettes eller anonymiseres når beredskapssituasjonen
er avklart. Evaluering av hendelsen
eller ulykken vil være en del av håndteringen.

Departementet kan fastsette et unntak fra
slette- eller anonymiseringsplikten der det er nødvendig
for å gi kunnskap om langtidseffekter. Det
er en forutsetning at data fra beredskapsregister
unntas fra plikten dersom Datatilsynet skal kunne
gi konsesjon eller Regional etisk komite for medisinsk
og helsefaglig forskningsetikk (REK) kan gi
forhåndsgodkjenning for bruk av opplysningene inn i forskningsprosjekter. Unntak fra plikten til å
slette eller anonymisere, kan bare besluttes når
det er nødvendig for å gi kunnskap om langtidseffekter
og samfunnets interesse i den videre
behandlingen klart overstiger ulempene som kan
påføres den enkelte. Ved beslutningen bør det gjøres
en fornyet vurdering av hvilke opplysninger
som lagres, om det kan innhentes samtykke mv.

[...]

Forslag
til lov om endringer i helseberedskapsloven mv. (beredskapsregistre mv.)
I
I lov 23. juni 2000 nr. 56 om helsemessig og
sosial beredskap gjøres følgende endringer:

Ny § 2-4 skal lyde:

§ 2-4 Beredskapsregistre

Folkehelseinstituttet og Helsedirektoratet kan
etablere registre med helseopplysninger for å håndtere
beredskapssituasjoner. Slike registre kan etableres
for å gi oversikt og kunnskap om utbredelse,
årsakssammenhenger og konsekvenser ved miljøhendelser,
ved mistanke om utbrudd av sykdom relatert
til eksponering for helseskadelige miljøfaktorer
og ved andre typer kriser og beredskapssituasjoner.
Det kan også etableres registre for å ivareta internasjonale
rapporteringsplikter og administrative oppgaver
i en beredskapssituasjon. Organet som
etablerer registeret, er databehandlingsansvarlig.

Ved etableringen av registre skal den databehandlingsansvarlige
dokumentere at helseopplysningene
behandles i samsvar med helseregisterloven
§ 6, herunder beskrive formålet med behandlingen
og hvilke helseopplysninger som behandles. Beredskapsregistre
kan inneholde helseopplysninger med
direkte personidentifiserende kjennetegn.

Opplysningene kan behandles uten samtykke fra
den registrerte og utleveres uten hinder av lovbestemt
taushetsplikt, dersom det er nødvendig for å
oppnå registerets formål. Opplysningene skal
behandles i samsvar med helseregisterloven.

Den databehandlingsansvarlige kan uten hinder
av lovbestemt taushetsplikt kreve opplysninger som
er nødvendige for registerets formål fra helsepersonell,
fra virksomheter i helse- og omsorgstjenesten og
fra personell og virksomheter som nevnt i folkehelseloven
§ 29 andre og tredje ledd.

Ved etablering av registre skal den databehandlingsansvarlige
gi melding til Datatilsynet, jf. personopplysningsloven
§ 31 og § 32. Meldingen skal
inneholde dokumentasjon som fastsatt i andre ledd.

Opplysningene skal slettes eller anonymiseres
når hendelsen er avklart og evaluert. Departementet
kan bestemme at helseopplysninger likevel kan
behandles etter at hendelsen er avklart. Dette kan bestemmes når det er nødvendig for å gi kunnskap
om langtidseffekter og samfunnets interesse i den
videre behandlingen klart overstiger ulempene som
kan påføres den enkelte.

[...]

Se også saken på regjeringen.no.