Rettslig regulering av helseregistre HEL-8020 Analyse av registerdata i forskning 27. april 2016 Juridisk rådgiver Heidi Talsethagen SKDE Senter for klinisk dokumentasjon og evaluering/ FIKS Felles innføring av kliniske systemer
Utfordrende regelverk Helseregisterloven Helsepersonellloven Pasientjournalloven Spesialisthelsetjenesteloven Helseforskningsloven Pasient- og brukerrettighetsloven
Formål med foredraget Å tydeliggjøre hvilke krav lovgivningen stiller til behandling av helseopplysninger i helseregistre som ikke er behandlingsrettede, men som skal danne grunnlag for statistikk, helseanalyser, forskning, kvalitetsforbedring, planlegging, styring og beredskap (sekundærbruk) Å gi oversikt over de viktigste endringene med ny helseregisterlov som trådte i kraft 1.1.2015 3
Fra én til to lover Ny pasientjournallov primærbruk Ny helseregisterlov sekundærbruk Tidligere helseregisterlov type helseregistre Behandlingsrettet helseregister (elektronisk pasientjournal) i en virksomhet (hrl 6) Behandlingsrettet helseregister på tvers av virksomheter (hrl 6a, 6b, 6c og 6d) Lokale og regionale helseregistre (hrl 7) Sentrale helseregistre (hrl 8)
Forenkling av begrep Registre basert på informert samtykke Helseregistre Avidentifiserte registre uten samtykke Helseopplysninger - direkte identifiserbare -indirekte identifiserbare Pseudonyme registre uten samtykke Personidentifiserbare registre uten samtykke Konsesjons-, lov- eller forskriftsbaserte Lokal enhet Regional enhet Sentral enhet Databehandlingsansvarlig
Helseopplysninger og anonyme opplysninger Helseregister: Registre, fortegnelser m.v. der helseopplysninger er lagret systematisk slik at opplysninger om den enkelte kan finnes igjen (helseregisterloven 2 d) Helseopplysninger: taushetsbelagte opplysninger etter helsepersonelloven 21 og andre opplysninger og vurderinger om helseforhold eller av betydning for helseforhold, som kan knyttes til en enkeltperson (helseregisterloven 2 a) Indirekte identifiserbare helseopplysninger: helseopplysninger der navn, fødselsnummer og andre personentydige kjennetegn er fjernet, men hvor opplysningene likevel kan knyttes til enkeltperson (helseregisterloven 2 b) Helseregisterloven og personopplysningslov en gjelder ikke Anonyme opplysninger Personentydige kjennetegn er fjernet, slik at opplysningene ikke lenger kan knyttes til en enkeltperson. Dvs. det eksisterer ikke en koblingsnøkkel
Helseregisterloven 6 Alminnelige vilkår Helseopplysninger kan bare behandles når det er tillatt etter denne loven eller andre lover. Behandlingen av helseopplysninger krever den registrertes samtykke, dersom ikke annet har hjemmel i lov. Den databehandlingsansvarlige skal sørge for at helseopplysningene som behandles a) er tilstrekkelige og relevante for formålet med behandlingen b) bare brukes til uttrykkelige angitte formål som er saklig begrunnet i den databehandlingsansvarlige virksomhet, c) ikke brukes senere til formål som er uforenlig med det opprinnelige formålet med innsamlingen av opplysninger, uten at den registrerte samtykker, og d) er korrekte og oppdaterte og ikke lagres lenger enn et som er nødvendig ut fra formålet med behandlingen Graden av personidentifikasjon skal ikke være større enn nødvendig for det aktuelle formålet. Graden av personidentifikasjon skal begrunnes. Tilsynsmyndigheten kan kreve at den databehandlingsansvarlige legger frem begrunnelsen. Departementet kan gi forskrift om godkjenning av programvare, sertifisering og om bruk av standarder, klassifikasjonssystemer og kodeverk, samt hvilke nasjonale eller internasjonale standardsystemer som skal følges ved behandling av helseopplysninger etter denne loven. Dvs.: - direkte i lov - i lovhjemlede forskrifter - i konsesjon Dvs. samtykke som hovedregel
Tillatelse til å behandle helseopplysninger og etablering av helseregistre Helseregisterloven 6 angir grunnvilkår og det følger av bestemmelsen at den som har opplysningene må ha hjemmel for å levere dem ut og den som mottar opplysningene må ha et behandlingsgrunnlag Helseregisterloven 17 Taushetsplikt Enhver som behandler helseopplysninger etter denne loven, har taushetsplikt etter helsepersonelloven 21 flg. Andre som får adgang eller kjennskap til helseopplysninger fra helseregistre, har samme taushetsplikt.
Tillatelse til behandling av helseopplysninger Tilstrekkelig rettslig grunnlag Innhenting Registrering og behandling Tilbake til HFene Utlevering og sammenstilling Helseforetak Andre registre Forskning Samtykke eller unntak fra taushetsplikt (i lov eller forskrift) f.eks.: - Helsepersonelloven 26, 29 og 29 b - Helseregisterloven 13 og - Registerforskriftene Helseopplysninger kan bare behandles når det er tillatt etter helseregisterloven eller andre lover. Dvs. hjemmelsgrunnlag i: konsesjon fra Datatilsynet forskrifter fastsatt i medhold av helseregisterloven egen lov (eks helseforskningsloven) Samtykke eller unntak fra taushetsplikt (i lov eller forskrift), f.eks.: - hpl 29 og 29 b - hrl 19 og registerforskriftene - hrl 20 ( for indirekte identifiserbare opplysninger
Samtykkekrav utfordringer Rutiner hos behandler/institusjon Samtykkeprosedyrer belastning for pasienten? Pasienter med redusert samtykkekompetanse? Alvorlige syke pasienter Pasienter med redusert bevissthet Mange pasienter innen rus/psykiatri Demente, psykisk utviklingshemmede De sykeste utelates ikke representativt utvalg Kvalitetssikring bare for de friskeste?
Personvern over alle grenser 03-11-2010 - Kvaliteten på kvalitetsregistre må være god - et dårlig kvalitetsregister kan være verre enn ikke å ha noe register, skriver Geir Hoff. GEIR HOFF, forskningssjef, professor dr.med. og leder for kvalitetssikringsprogrammet Gastronet/Sykehuset Telemark/Kreftregisteret/Universitetet i Oslo.. Feel good registre For noen nasjonale og regionale registre, både i Norge og andre land, har dette vist seg å gi dårlig kvalitet på registeret - det er ofte de mest risikoutsatte pasientene - hvor det oftere blir komplikasjoner og dårlig kvalitet - som glipper unna ved at det mangler samtykkeerklæring. Da får vi et «feel good»-register som dekker over et behov for forbedring og gir et falsk inntrykk av at alt er såre vel og at vi ikke trenger forbedringstiltak...
Tillatelse til etablering - helseregisterloven Innhenting Registrering og behandling Utlevering og sammenstilling Helseforetak 7 Konsesjon Må oppfylle vilkårene i personopplysningsloven 9 jf 33 til 9 Samtykke eller uten direkte personidentifi serende kjennetegn 10 Ikke samtykke, men reservasjonsrett 11 Lovbestemte helseregistre opplistet i bestemmelsen (ikke samtykke) 35 8 Vilkår for etablering av helseregistre ved forskrift (krav til innholdet i forskriften) 12 Helsearkivregis teret -Avdøde pasienter -Riksantikvaren 6 Alminnelige vilkår
Datatilsynets konsesjonskompetanse enkelte helseregistre kan ha et så stort omfang og vil kunne ha stor betydning for den enkelte registrertes personvern at de ikke bør hjemles i enkeltvedtak Forskrift - 8 til 12 Konsesjon - 7 (helhetsvurdering) Datatilsynet kan i utgangspunktet gi konsesjon til alle typer helseregistre dersom vilkårene i helseregisterloven 6 og personopplysningsloven 9 er oppfylt. (s. 144) NB! Konsesjon kan etter dette også gis for registre som ikke er samtykkebaserte Departementet mener at Datatilsynet kan gi konsesjon selv om ambisjonsnivået knyttet til omfang og varighet er høyt. Over tid kan enkelte registre bli så omfattende at det er naturlig å regulere registeret på annen måte enn ved enkeltvedtak. (s.145)
Utlevering og sammenstilling Samtykke eller lovhjemlet unntak Dispensasjon fra taushetsplikt til forsknings og kvalitetssikringsformål helsepersonelloven 29, jf helseforskningsloven 35 helsepersonelloven 29 b Helseregisterloven 20 Unntak fra taushetsplikten for indirekte identifiserbare helseopplysninger til forskning, helseanalyser, kvalitetssikring, administrasjon, planlegging eller styring av helse- og omsorgstjenesten - Gjelder bare opplysninger fra forskriftsregulerte registre etter 11 - Mottaker må ha behandlingsgrunnlag Helseregisterloven 19 Sammenstilling av helseopplysninger Hjemmel til å gi forskrifter om sammenstilling - Sammenstillingen er dermed ikke hjemlet direkte i loven, men forutsetter at det er vedtatt forskrifter
Forskningsprosjekt Helseforskningsloven 2 Helseforskningsloven gjelder for medisinsk og helsefaglig forskning Loven gjelder ikke for etablering av helseregistre Helseforskningsloven 33 krav til behandlingsgrunnlag og forhåndsgodkjenning Forskningsprosjekt skal ha et behandlingsgrunnlag. Forhåndsgodkjenning fra REK er nødvendig og tilstrekkelig grunnlag for helseopplysninger i medisinsk og helsefaglig forskning. Behandling av helseopplysninger fra helseregistre etter helseregisterloven 8 til 11 krever ikke tillatelse fra REK med mindre annet følger av forskriftene til registrene.
Helseforskningsloven 35 Adgangen til bruk av helseopplysninger som er innsamlet i helse- og omsorgstjenesten til forskning I realiteten en unntakshjemmel fra den klare hovedregel om samtykke Regional Etisk Komité (REK) kan bestemme at helseopplysninger kan eller skal gis fra helsepersonell til bruk i forskning, og at det kan skje uten hinder av taushetsplikt. Krav om interesseavveining: «Dette kan bare skje dersom slik forskning er av vesentlig interesse for samfunnet og hensynet til deltakernes velferd og integritet er ivaretatt». REK kan sette vilkår for bruken. Bestemmelsen erstatter helsepersonelloven 29
Virksomhetsinterne kvalitetsregistre - helsepersonelloven 26, jf. pasientjournalloven 6 Den som yter helsehjelp kan gi opplysninger til virksomhetens ledelse når dette er nødvendig for å kunne gi helsehjelp, eller for internkontroll og kvalitetssikring av tjenesten. Opplysninger skal så langt som mulig gis uten individualiserende kjennetegn. Ikke konsesjonspliktig men meldeplikt til virksomhetens personvernombud senest 30 dager før behandlingen av opplysninger tar til. Ved samarbeid om behandlingsrettede helseregistre etter pasientjournalloven 9 kan slik opplysninger også gis til ledelsen i samarbeidende virksomhet.
Tilgang til «egne» opplysninger Innhenting Registrering og behandling Utlevering og sammenstilling Helseforetak Tilbake til HFene Behandlingsgrunnlag helsepersonelloven 26, jf. pasientjournalloven 6 Samtykke og/eller helsepersonelloven 23 nr 1? Hvilken form? bestemmes av DBA siden forrige hrl 13 ikke videreføres! Krav til tekniske løsning som gjør det mulig med logiske skiller: - Mellom innrapporterende virksomheter - Mellom data rapportert fra den registrerte og innrapporterende virksomhet
Oppsummering Innhenting av opplysninger (dvs. at den som har opplysningene må ha hjemmel for å levere de fra seg) Etablering og behandling Sammenstilling og utlevering (dvs. at de som behandler opplysningene i registeret må ha hjemmel for å levere de fra seg) Samtykke Lovhjemlet unntak fra taushetsplikt Konsesjon Lov/forskriftsbasert i helseregisterloven Annen lovhjemmel Samtykke Lovhjemlet unntak fra taushetsplikt I tråd med registerets formål
www.kvalitetsregistre.no Takk for oppmerksomheten!