Rettslig regulering av helseregistre. Dana Jaedicke juridisk rådgiver E-post:

Transkript

1 Rettslig regulering av helseregistre Dana Jaedicke juridisk rådgiver E-post:

2 Innhold Mål og strategier Verdier Holdninger Vurderingstemaer Side 2

3 Datatilsynets strategi i helsesektoren Datatilsynets mål er at: nye løsninger og nytt regelverk i sektoren skal ivareta personvernet på en bedre måte, spesielt med hensyn til registerform og individets selvbestemmelse. tilgangsstyring og logging i sektoren skal styrkes, og sektoren skal påvirkes til å bidra mer positivt til dette. individets mulighet til å ha oversikt og kontroll med opplysninger om seg selv skal styrkes, og det skal legges bedre til rette for at individet kan benytte sine rettigheter Side 3

4 Godt personvern er i samfunnets interesse Personvern i helsesektoren dreier seg om: Pasientens autonomi Forsvarlig håndtering av personopplysninger- infrastrukturer og informasjonssystemer Identitetsforvaltning Tilgjengelighet Ansvar i alle ledd: Politikerne for helsepolitikken Datatilsynet for etterlevelse av kravene i regelverket ( inkl. konfidensialitet, integritet, tilgjengelighet) Helsepersonell (taushetsplikt, kartlegging av behov) Side 4

5

6

7

8

9 Datatilsynets rolle ved etablering av helseregistre til sekundær bruk Forhåndsgodkjenning (konsesjon) Lokale, regionale og nasjonale helseregistre etter hrl 5 Etterkontroll (tilsyn) Sentrale, forskriftregulerte helseregistre (Tematiske) forskningsregistre Prosjektspesifikke forskningsregistre (helseforskningsloven) Interne kvalitetssikringsregistre etter hpl Side 9

10 Relevante momenter i Datatilsynets konsesjonsbehandling Hrl 5 3.ledd: samtykke skal foreligge, hvis ikke annet er bestemt i eller i medhold av lov Med evt. krav om nye samtykker fra barn når de fyller 16 år Pol 8d, 9h- formålet ikke kan oppnås med krav om samtykke (sykdomsbilde, situasjon, ol.) Samfunnsnytte- legges til grunn Personvernkonsekvenser nesten samtykke (reservasjon, konkludent adferd, tidligere samtykke) Egenskaper ved datamaterialet Identifiseringsmulighetene Varighet Informasjon til det registrerte Side 10

11 Direkte/ indirekte identifiserbare opplysninger DPWP Article 29: individualisere identifisere Directive 95/46/EC: all the means likely reasonably to be used either by the controller or by any other person Hvor mye koster det? Formålet med behandlingen? Hvordan er databehandlingen innrettet? Hva er fordelen med evt identifikasjon? Hvor sensitive er data som behandles? Hvor stor er risikoen for at en sikkerhetsbrudd skulle oppstå? Hvor stor er sannsynligheten for at en teknisk feil skal oppstå? En dynamisk test, sett i forhold til registerets varighet Side 11

12 Konsesjonens varighet Ikke samtykkebaserte registre 5-6 år (PVN) Samtykkebaserte registre En konkret vurdering Datatilsynets forvaltningsvedtak kan ikke være ubegrenset i tid år, etterfulgt av en ny vurdering av registerets nytteverdi, og rettstilstanden ellers Side 12

13 Datatilsynet er kontrollmyndighet på helseforskningsloven Utenfor helseforskningsloven Type 1: etablering av helseregistre som skal betjene underliggende helseforskningsprosjekter eks. folkehelseundersøklser Type 2: Kvalitetssikring (ikke ny kunnskap om helse og sykdom utført med vitenskapelig metodikk) Ved tvil REK avgjør Side 13

14 Datatilsynet fører tilsyn med interne kvalitetssikringsregistre (hpl 26) Den som yter helsehjelp kan gi opplysninger til virksomhetens ledelse Nødvendig for internkontroll eller kvalitetssikring av tjenesten (tilrettelegge pasientsystemer mm) Opplysningene skal gis så langt det er mulig uten individualiserende kjennetegn nødvendighet Uten samtykke, men Pasienten har en anledning til å motsette seg utleveringen (med individualiserende kjennetegn) Det skal vurderes om pasienten skal informeres når helsepersonellet mener det er grunn til å tro at pasienten vil motsette seg utleveringen Uten konsesjon fra Datatilsynet men Opplysningene kan ikke gis videre til forskning Opplysningene kan ikke kobles mot andre kilder (registre), Oppbevares separat og slettes når formålet er nådd Side 14

15 Tre hovedtyper: HPL 26 registre HRL 5 registre HFL 35 registre Intern kvalitetssikring (internkontroll) Administrative oppgaver Konkret angitte formål internt i virksomheten Besluttes opprettet av ledelsen Nødvendighet Uten identitet (unntak må begrunnes) Krever ikke formell forhåndsgodkjenning, men gjenstand for etterkontroll Opprettes på lokal, regional eller nasjonal nivå Kan brukes til kvalitetssikring eller (tematisk avgrenset) forskning Fagmiljø (ledelselsforankret) Nødvendighet Graden av identitet i tråd med formål Krever konsesjon fra Datatilsynet, eller forskrift jf. hrl 8,IKKE nok med melding til PVO Prosjektspesifikke Forskning på helse og sykdom (tolkes vidt) Prosjektleder Avgrenset innhold (i trådd med formål) Godkjennes av REK (dersom ikke medisinskfaglig forskning, kan vurderes av PVO etter pof 7-27) Kan opprettes uten samtykke Tilgangsbegrensninger Kan ikke benyttes til forskning Kan ikke utleveres Kan ikke sammenstilles Taushetsplikt Informasjonssikkerhet Samtykke den generelle hovedregelen, ( dispensasjon fra HOD etter hpl 29 b) Tidsbegrensninger (forvaltningsvedtak) kan utleveres (forbud mot tilbakeføring) Kan sammenstilles Strenge krav til informasjonssikkerhet Samtykke den generelle hovedregelen, med også dispensasjon fra REK etter hpl 29 a Bred samtykke etter hfl 14 Tidsbegrenset ihht. formål Informasjonssikkerhet Alt gjenbruk krever en ny vurdering av det avgitte samtykket Side 15

16 Takk! Side 17