Rettslig regulering av helseregistre Dana Jaedicke juridisk rådgiver E-post: dij@datatilsynet.no
Innhold Mål og strategier Verdier Holdninger Vurderingstemaer 20.03.2014 Side 2
Datatilsynets strategi i helsesektoren Datatilsynets mål er at: nye løsninger og nytt regelverk i sektoren skal ivareta personvernet på en bedre måte, spesielt med hensyn til registerform og individets selvbestemmelse. tilgangsstyring og logging i sektoren skal styrkes, og sektoren skal påvirkes til å bidra mer positivt til dette. individets mulighet til å ha oversikt og kontroll med opplysninger om seg selv skal styrkes, og det skal legges bedre til rette for at individet kan benytte sine rettigheter. 20.03.2014 Side 3
Godt personvern er i samfunnets interesse Personvern i helsesektoren dreier seg om: Pasientens autonomi Forsvarlig håndtering av personopplysninger- infrastrukturer og informasjonssystemer Identitetsforvaltning Tilgjengelighet Ansvar i alle ledd: Politikerne for helsepolitikken Datatilsynet for etterlevelse av kravene i regelverket ( inkl. konfidensialitet, integritet, tilgjengelighet) Helsepersonell (taushetsplikt, kartlegging av behov) 20.03.2014 Side 4
Datatilsynets rolle ved etablering av helseregistre til sekundær bruk Forhåndsgodkjenning (konsesjon) Lokale, regionale og nasjonale helseregistre etter hrl 5 Etterkontroll (tilsyn) Sentrale, forskriftregulerte helseregistre (Tematiske) forskningsregistre Prosjektspesifikke forskningsregistre (helseforskningsloven) Interne kvalitetssikringsregistre etter hpl 26 20.03.2014 Side 9
Relevante momenter i Datatilsynets konsesjonsbehandling Hrl 5 3.ledd: samtykke skal foreligge, hvis ikke annet er bestemt i eller i medhold av lov Med evt. krav om nye samtykker fra barn når de fyller 16 år Pol 8d, 9h- formålet ikke kan oppnås med krav om samtykke (sykdomsbilde, situasjon, ol.) Samfunnsnytte- legges til grunn Personvernkonsekvenser nesten samtykke (reservasjon, konkludent adferd, tidligere samtykke) Egenskaper ved datamaterialet Identifiseringsmulighetene Varighet Informasjon til det registrerte 20.03.2014 Side 10
Direkte/ indirekte identifiserbare opplysninger DPWP Article 29: individualisere identifisere Directive 95/46/EC: all the means likely reasonably to be used either by the controller or by any other person Hvor mye koster det? Formålet med behandlingen? Hvordan er databehandlingen innrettet? Hva er fordelen med evt identifikasjon? Hvor sensitive er data som behandles? Hvor stor er risikoen for at en sikkerhetsbrudd skulle oppstå? Hvor stor er sannsynligheten for at en teknisk feil skal oppstå? En dynamisk test, sett i forhold til registerets varighet 20.03.2014 Side 11
Konsesjonens varighet Ikke samtykkebaserte registre 5-6 år (PVN) Samtykkebaserte registre En konkret vurdering Datatilsynets forvaltningsvedtak kan ikke være ubegrenset i tid 10-15 år, etterfulgt av en ny vurdering av registerets nytteverdi, og rettstilstanden ellers. 20.03.2014 Side 12
Datatilsynet er kontrollmyndighet på helseforskningsloven Utenfor helseforskningsloven Type 1: etablering av helseregistre som skal betjene underliggende helseforskningsprosjekter eks. folkehelseundersøklser Type 2: Kvalitetssikring (ikke ny kunnskap om helse og sykdom utført med vitenskapelig metodikk) Ved tvil REK avgjør 20.03.2014 Side 13
Datatilsynet fører tilsyn med interne kvalitetssikringsregistre (hpl 26) Den som yter helsehjelp kan gi opplysninger til virksomhetens ledelse Nødvendig for internkontroll eller kvalitetssikring av tjenesten (tilrettelegge pasientsystemer mm) Opplysningene skal gis så langt det er mulig uten individualiserende kjennetegn nødvendighet Uten samtykke, men Pasienten har en anledning til å motsette seg utleveringen (med individualiserende kjennetegn) Det skal vurderes om pasienten skal informeres når helsepersonellet mener det er grunn til å tro at pasienten vil motsette seg utleveringen Uten konsesjon fra Datatilsynet men Opplysningene kan ikke gis videre til forskning Opplysningene kan ikke kobles mot andre kilder (registre), Oppbevares separat og slettes når formålet er nådd 20.03.2014 Side 14
Tre hovedtyper: HPL 26 registre HRL 5 registre HFL 35 registre Intern kvalitetssikring (internkontroll) Administrative oppgaver Konkret angitte formål internt i virksomheten Besluttes opprettet av ledelsen Nødvendighet Uten identitet (unntak må begrunnes) Krever ikke formell forhåndsgodkjenning, men gjenstand for etterkontroll Opprettes på lokal, regional eller nasjonal nivå Kan brukes til kvalitetssikring eller (tematisk avgrenset) forskning Fagmiljø (ledelselsforankret) Nødvendighet Graden av identitet i tråd med formål Krever konsesjon fra Datatilsynet, eller forskrift jf. hrl 8,IKKE nok med melding til PVO Prosjektspesifikke Forskning på helse og sykdom (tolkes vidt) Prosjektleder Avgrenset innhold (i trådd med formål) Godkjennes av REK (dersom ikke medisinskfaglig forskning, kan vurderes av PVO etter pof 7-27) Kan opprettes uten samtykke Tilgangsbegrensninger Kan ikke benyttes til forskning Kan ikke utleveres Kan ikke sammenstilles Taushetsplikt Informasjonssikkerhet Samtykke den generelle hovedregelen, ( dispensasjon fra HOD etter hpl 29 b) Tidsbegrensninger (forvaltningsvedtak) kan utleveres (forbud mot tilbakeføring) Kan sammenstilles Strenge krav til informasjonssikkerhet Samtykke den generelle hovedregelen, med også dispensasjon fra REK etter hpl 29 a Bred samtykke etter hfl 14 Tidsbegrenset ihht. formål Informasjonssikkerhet Alt gjenbruk krever en ny vurdering av det avgitte samtykket 20.03.2014 Side 15
Takk! 20.03.2014 Side 17