Helsedirektoratet viser til høring om forslag til løsning for tilgjengeliggjøring av helsedata med frist 13. august 2021.
Til høringen har vi tatt utgangspunkt i Helsedirektoratets rolle som dataansvarlig for Norsk pasientregister (NPR) og Kommunalt pasient- og brukerregister (KPR). Flere av forslagene vil imidlertid også ha betydning for oss som bruker av opplysninger fra egne og andre helseregistre, for gjennomføring av egne samfunnsoppdrag. Videre har enkelte av innspillene relevans for oss som fortolkningsmyndighet av helseregisterloven med forskrifter.
Vi har knyttet innspillene til de enkelte punktene i høringsnotatet. Oppsummert er våre hovedinnspill:
Punkt 3.10.1 Vilkår for tilgjengeliggjøring
Departementet skriver at helseregisterloven § 19 a pålegger en dataansvarlig for et helseregister å tilgjengeliggjøre opplysninger etter søknad dersom vilkårene er oppfylt. Direktoratet for e-helse vil være bundet av de samme reglene når tilgjengeliggjøring fra dataplattformen skal vurderes.
Helsedirektoratets innspill:
Høringsforslaget tilsier at Direktoratet for e-helse får både myndighet til å fatte vedtak om dispensasjon fra taushetsplikt, og plikt til å tilgjengeliggjøre opplysninger når dispensasjonsvedtak er fattet. Dette innebærer at dispensasjonsmyndigheten legges til en aktør som også har ansvaret for en løsning som skal legge til rette for økt bruk av helsedata, og som vil bli målt på sin evne til å nå dette målet. Hvorvidt Direktoratet for e-helse kan inneha begge disse oppgavene/rollene og samtidig oppfylle forvaltningsorganets plikt til å foreta uavhengige vurderinger og avgjørelser er ikke tematisert i høringsnotatet. Dette bør vurderes før vedtaksmyndighet flyttes.
Punkt 3.13 Overføring til utlandet
Departementet skriver at helseregisterloven ikke har bestemmelser som regulerer eller hindrer behandling av helseopplysninger på tvers av landegrensene. Det fremgår at spørsmålet om dispensasjon eller unntak fra taushetsplikten når opplysninger skal utleveres til forskere eller andre i utlandet, avgjøres etter reglene i helsepersonelloven, helseregisterloven og helseforskningsloven. Adgangen til å overføre helseopplysninger til utlandet reguleres ellers av personvernforordningen.
Helsedirektoratets innspill:
Helsedirektoratet erfarer at registerforvaltere og brukere av helsedata etterspør en tydeliggjøring av regelverket når det gjelder overføring av helseopplysninger til dataansvarlige og databehandlere i utlandet.
Det fremgår av helsepersonelloven § 29 femte ledd at når noen mottar taushetsbelagte opplysninger etter paragrafen, gjelder taushetsplikten etter § 21 tilsvarende for mottakeren. Dette gikk også frem av tidligere bestemmelse i helsepersonelloven § 29 b. Videre følger det av helseregisterloven § 17 at "enhver" som behandler helseopplysninger etter helseregisterloven, og "andre som får adgang eller kjennskap til helseopplysninger fra helseregistre" har taushetsplikt etter helseregisterloven § 17 jf. helsepersonelloven §§ 21 flg.
I forarbeidene til helsepersonelloven § 29, Prop. 63 L (2019-2020) fremgår det at mottakeren vil ha taushetsplikt, jf. helseregisterloven § 17 og helseforskningsloven § 7. Ved overføring til andre land, vil ikke de norske taushetspliktreglene gjelde. I slike tilfeller bør det stilles krav om at mottakeren har taushetsplikt som gjelder i det landet opplysningene skal behandles.
Ved en overføring av opplysningene til utlandet vil ikke de norske reglene om taushetsplikt gjelde for behandlingen som skjer i utlandet. Opplysningene vil underlegges annet regelverk med mulig lavere beskyttelsesgrad. Noen dataansvarlige har derfor en praksis med å inngå sivilrettslige avtaler med dataansvarlige i utlandet, blant annet for å sikre konfidensialitet ved behandlingen av helseopplysninger. Muligheten for oppfølgning av vilkår og kontrakt, herunder sanksjonering ved eventuelle brudd på taushetsplikten blir vanskelig dersom en skal følge forslaget.
Det er slik vi ser det et behov for å sette krav ved tilgjengeliggjøringen av opplysninger for dataansvarlige i utlandet. Dette for å bidra til at dataansvarlige følger regelverket på riktig måte, og for å skape en sikrere situasjon for de registrerte.
Punkt 9.2 Beslutning om inklusjon av registre på dataplattformen
Departementet foreslår at Direktoratet for e-helse skal ha myndighet til i forskrift å kunne beslutte fra hvilke helseregistre det skal overføres opplysninger til Helseanalyseplattformen (HAP) og på hvilke tidspunkt det skal overføres opplysninger. Direktoratet for e-helse skal konsultere den aktuelle registerforvalteren før beslutningen tas, jf. departementets merknader til § 6 i forslaget. Når det er besluttet at et register skal inkluderes på plattformen, skal direktoratet, i samråd med registerforvalteren, bestemme hvilke dataprodukter som skal overføres.
Departementet ber også om høringsinstansenes syn på om fremtidig modell for fag- og brukerinnflytelse bør gis en mer formell rolle i vurderingen av hvilke registre og helsedata som skal inkluderes på plattformen etter forslagets § 6.
Helsedirektoratets innspill:
Hvordan registerforvalternes oppgaver og ansvar i forhold til den foreslåtte løsningen for tilgjengeliggjøring av helsedata reguleres i forskriften vil ha stor praktisk betydning for alle dataansvarlige for helseregistrene som kan inngå i løsningen. Det er nødvendig at den rettslige reguleringen av ansvar og oppgaver er tydelig, at oppgaver og ansvar fordeles på en hensiktsmessig måte, og at det er en godt samsvar mellom ansvar- og oppgaver og tildelte ressurser hos de ulike aktørene.
Forskriften gir Direktoratet for e-helse myndighet til å beslutte hvilke dataprodukter som skal inngå i løsningen, men det forutsettes at direktoratet skal rådføre seg med registerforvalterne i forkant. Slik forskriften er formulert, vil registerforvalters / dataansvarliges ansvar for behandling av personopplysninger utfordres ved at en ekstern aktør tilsynelatende gis myndighet til å gi detaljerte føringer for hvilke opplysninger som skal overføres til plattformen. Dette gjelder blant annet de alminnelige prinsippene i personvernforordningen artikkel 5. Dataansvarlig har en plikt til å sørge for at opplysningene som tilgjengeliggjøres er adekvate, relevante og begrenset til det som er nødvendig for formålet de behandles for (dataminimering etter personvernforordningen artikkel 5). I praksis vil den dataansvarlige for det enkelte helseregister ha de beste forutsetninger for å vurdere hvilke opplysninger som det vil være hensiktsmessig at inngår i dataproduktene som skal overføres til helseanalyseplattformen. Registerforvalterne vil derfor, i ytterste konsekvens, kunne komme i en situasjon der de opplever å bli instruert til å bryte helse- og personvernlovgivningen. Det fremstår derfor som i strid med personvernforordningens krav til behandling av personopplysninger dersom Direktoratet for e-helse skal kunne legge absolutte føringer for innholdet i dataprodukter.
Vi mener myndigheten til å beslutte at datasett skal overføres til plattformen må være knyttet opp til formålet med overføringen, her tilgjengeliggjøring av opplysninger for forskning, kvalitetssikring, styring osv. Dette betyr at dataansvarlig / registerforvalter må gjøre en vurdering av hvilke opplysninger som er egnet til å oppnå formålet, og har myndighet til å beslutte at enkelte opplysninger ikke er formålstjenlige. Personvernregelverket tilsier ikke, slik vi ser det, at beslutningsmyndigheten om hvilke helsedata som skal tilgjengeliggjøres eksternt kan deles. § 6 fjerde ledd bør endres på dette punktet. Videre bør det omtales om Direktoratet for e-helse sin beslutning om at data skal overføres kan påklages etter forvaltningsloven § 14.
Slik vi leser forskriften, merknadene til forskriften og høringsnotatet er det ikke tydelig hvilken myndighet som ligger til Direktoratet for e-helse i § 6 første avsnitt. Vi anbefaler en tydeliggjøring av § 6, ved at departementet i forskriften setter ramme for hvilke registre som skal omfattes av løsningen. Direktoratet for e-helse kan gis myndighet til å bestemme fra hvilket tidspunkt opplysninger skal overføres til løsningen. Direktoratet for e-helse kan bestemme at opplysninger skal overføres, også må registerforvalterne levere datasettene som de mener er relevante for formålet. Dette vil også bidra til et mer tydelig regelverk.
Når det gjelder fremtidig modell for fag- og brukerinnflytelse, mener vi at foraene som er beskrevet i Direktoratet for e-helse sitt forslag kun bør gis en rådgivende rolle i forhold til vurderingen av hvilke registre og helsedata som skal inkluderes på plattformen. Dette fordi de registerforvalterne vil være best kjent med innholdet i registrene og nærmest til å vurdere hvilke opplysninger det vil være hensiktsmessig å overføre til plattformen.
Punkt 9.3.3 Befolkningsbaserte helseundersøkelser
Departementet foreslår at de befolkningsbaserte helseundersøkelsene som Folkehelseinstituttet er dataansvarlig for, skal kunne inkluderes i løsningen. Dette gjelder MoBa, Vekstkohorten, LHU og Tvillingregisteret. Departementet ber i høringsnotatet særlig om høringsinstansenes syn på om flere forskningsbaserte befolkningsbaserte helseundersøkelser bør inkluderes i løsningen nå.
I punkt 9.3.5 om avidentifiserte registre spør departementet om høringsinstansenes syn på vurderingen om at registre etter helseregisterloven § 9 bokstav b ikke bør inkluderes på Helseanalyseplattformen i denne omgang.
Helsedirektoratets innspill:
Slik vi vurderer det gjenstår det et betydelig arbeid før den foreslåtte løsningen vil kunne omfatte opplysninger fra alle de registre/kilder som er angitt i forslaget til forskrift § 6, herunder de befolkningsbaserte helseundersøkelsene som FHI er dataansvarlig for. Vi støtter derfor vurderingen om at det kan være hensiktsmessig å avvente en eventuell utvidelse med flere befolkningsbaserte helseundersøkelser inntil det er høstet erfaringer med overføring og forvaltning av opplysninger fra FHIs befolkningsbaserte helseundersøkelser i den foreslåtte løsningen.
Vi ser videre at det vil kunne være behov for å avklare spørsmål knyttet til det rettslige grunnlaget for innsamling og videre behandling av opplysninger fra de enkelte befolkningsbaserte helseundersøkelsene i den foreslåtte løsningen.
Vi anbefaler også at en eventuell inkludering av avidentifiserte registre og medisinske kvalitetsregistre med nasjonal status avventes innlemmet i løsningen til det er høstet erfaringer med overføring og forvaltning av opplysninger i den foreslåtte løsningen.
Punkt 9.4 Dataprodukter
Departementet foreslår at registerforvalterne plikter å tilrettelegge og avlevere helseopplysninger og andre personopplysninger (dataprodukter) til Helseanalyseplattformen. Dataproduktene skal utarbeides og overføres i samsvar med retningslinjer som Direktoratet for e-helse skal utarbeide. Beslutningen om hvilke dataprodukter som skal overføres fra det enkelte register skal foretas i nær dialog med registerforvalteren. Det vil være registerforvalterens ansvar å sikre at produktene på plattformen oppdateres i henhold til relevante endringer knyttet til variabler og metadata. Registerforvalterne vil ikke være dataansvarlige for opplysninger som er overført til Direktoratet for e-helse.
Helsedirektoratets innspill:
Se vårt innspill til myndigheten til å beslutte hvilke data som skal overføres til plattformen i punkt 9.2. Det fremstår slik vi ser det i strid med grunnleggende personvernprinsipper at Direktoratet for e-helse skal kunne legge absolutte føringer for innholdet i dataprodukter gjennom retningslinjer.
En "oppdatering av dataprodukter" etter at disse er overført til Helseanalyseplattformen, vil være vanskelig å gjennomføre i praksis. I den grad det skjer endringer i metadatabeskrivelser mv. bør dette ivaretas gjennom nye versjoner av metadatabeskrivelser, og ikke gjennom endringer i tidligere overførte dataprodukter. Tilsvarende ville det normalt være hensiktsmessig at korrigering av eventuelle feil eller mangler i et dataprodukt skjer gjennom overføring av nye versjoner av produktet. Ansvaret for å kommunisere med brukere av opplysninger på/fra løsningen om feil, endringer og nye versjoner bør i utgangspunktet ligge til den ansvarlige for løsningen, Direktoratet for e-helse.
Vi er enig i presiseringen i høringsdokumentene om at registerforvalterne ikke vil være dataansvarlige for opplysninger som er overført til Direktoratet for e-helse.
Punkt 9.5 Behandling av andre data på dataplattformen
Departementet skriver blant annet at det vil være hensiktsmessig dersom Helseanalyseplattformen kan utvikles til å bli en infrastruktur for deling av forskerdatasett på tvers av forskningsprosjekt, såfremt dette kan gjøres innenfor formålet dataene er samlet inn til og er i overensstemmelse med samtykke eller annet hjemmelsgrunnlag for behandling av opplysningene .
Helsedirektoratets innspill:
Vi er kjent med at det fra flere hold er et ønske om en slik infrastruktur. En slik deling eller gjenbruk av data fra forskningsprosjekter aktualiserer en rekke rettslige spørsmål, som om en slik infrastruktur er forenlig med de grunnleggende vilkårene for behandling av personopplysninger. Slike spørsmål burde, slik vi ser det, vært avklart før det signaliseres at en infrastruktur for deling av forskningsdatasett på tvers av forskningsprosjekt er ønskelig. Det nevnes i den forbindelse at rapporten "Håndtering av helseforskningsdata – pseudonyme data i klinisk forskning", som det vises til i høringsnotatet, har visse mangler både når det gjelder rolle- og oppgavefordelingen på helsedataområdet og de juridiske skrankene for behandling av helseopplysninger.
Punkt 10.3.1 Hvilke opplysninger
Departementet ber i høringsnotatet om høringsinstansenes vurdering av om Direktoratet for e-helse bør få myndighet eller gis en koordinerende rolle til å fatte vedtak om tilgjengeliggjøring av opplysninger som ikke omfattes av løsningen, når opplysningene skal sammenstilles med opplysninger i dataprodukter som er overført til plattformen.
Helsedirektoratets innspill:
Helsedirektoratet mener at Direktoratet for e-helse ikke bør gis myndighet til å fatte vedtak om tilgjengeliggjøring av opplysninger fra helseregistre eller andre kilder som ikke er omfattet av løsningen, når opplysningene skal sammenstilles med opplysninger i dataprodukter som er overført til plattformen. En slik myndighet vil i praksis innebære at den enkelte søker/bruker kan legge avgjørende premisser for hvem som får beslutningsmyndighet gjennom innretningen av sitt prosjekt og valg av kilder. For den enkelte dataansvarlige som ikke er en del av løsningen vil det da fremstå som nærmest vilkårlig om de har beslutningsmyndighet eller ikke. Dette vil etter vårt syn ikke være en god løsning.
Direktoratet for e-helse vil med stor sannsynlighet ha begrenset eller lite kjennskap til opplysningene i helseregistre/kilder som ikke er omfattet av løsningen. Tilsvarende vil gjelde for de rettslige rammene for de aktuelle helseregistrene/kildene. Dette taler for at tildeling av denne rollen bør utredes bedre før den eventuelt overføres til Direktoratet for e-helse.
Når det gjelder spørsmålet om Direktoratet for e-helse bør gis en koordinerende rolle i slike saker mener vi at det er grunn til å være varsom med å flytte ansvar og oppgaver bort fra den som ønsker tilgang til helsedata. Det er på det rene at det er i søkers/brukers egen interesse å sørge for å koordinere egne søknadsprosesser opp mot de ulike dataansvarlige. Det er vår erfaring at søkere ikke bør fratas denne oppgaven, men at det i stedet bør tilstrebes at de ulike dataansvarlige har tilstrekkelige ressurser til å sørge for god veiledning til den enkelte søker.
Punkt 10.5 Sammenstillinger
Departementet skriver at helseregisterloven § 19 c gir hjemmel til å peke ut i forskriften hvem som skal gjøre sammenstillingen når opplysninger på dataplattformen skal sammenstilles med andre opplysninger. Departementet mener at det er direktoratet som bør gjøre sammenstillingen selv eller at direktoratet legger til rette for distribuerte koblinger, og foreslår at dette forskriftsfestes i § 8 andre ledd.
Helsedirektoratets innspill:
Det skal være mulig å gjennomføre sammenstillinger av opplysninger som er tilgjengelige på Helseanalyseplattformen med opplysninger som kun er tilgjengelige andre steder ved såkalt "distribuert kobling". Dette vil forutsette at registerforvalterne gis mulighet til å utlevere opplysninger direkte til bruker i de tilfellene hvor Direktoratet for e-helse har besluttet at sammenstilling skal skje ved hjelp av "nøkkelfiler tildelt av direktoratet". Slik ordlyden i forslaget til § 8 andre ledd jf. § 20 første ledd bokstav b er utformet synes denne muligheten å være avskåret, noe som neppe er i tråd med departementets intensjon.
Punkt 10.9 Rådføring med registerforvalterne
Departementet forutsetter at det vil være avgjørende at direktoratet kan benytte registerforvalternes kompetanse og kunnskaper om egne registre for å kunne fatte materielt riktige og forsvarlige vedtak om sammenstilling og tilgjengeliggjøring,. I forslaget til § 7 tredje ledd foreslås en plikt til å rådføre seg med den dataansvarlige for det aktuelle registeret dersom tilgjengeliggjøringen krever særskilt kompetanse om opplysninger i et helseregister. Det foreslås ikke en motsvarende veiledningsplikt for registerforvalterne.
Helsedirektoratets innspill:
Helsedirektoratet er enig i at en rådføringsplikt allerede følger forvaltningsloven § 17. Vi mener imidlertid at det kan være hensiktsmessig å konkretisere den generelle plikten til å sørge for sakens opplysning i forskriften. Vi er også enige i at det ikke bør gis noen forskriftsfestet veiledningsplikt for registerforvalterne, og i departementets begrunnelse for dette.
Registerforvalterne vil normalt ha interesse i å bistå Helsedataservice for å få god kvalitet i saksbehandlingen. Samtidig vil i praksis ressurs- og kompetansesituasjonen hos registerforvalterne være avgjørende for om, og i hvilken grad, registerforvalterne kan prioritere oppgaven med å bistå/rådgi Direktoratet for e-helse i forhold til egne saker. Det er en forutsetning for at målene med den foreslåtte løsningen for tilgjengeliggjøring av helsedata skal kunne nås, og en forsvarlig saksbehandling i tråd med helselovgivningen og kravene til personvern, at det sikres at registerforvalterne har tilstrekkelige ressurser og kapasitet til oppgaven med å samarbeide med Direktoratet for e-helse på dette området, se også våre merknader til dette i punkt 17.
Punkt 10.12 Dispensasjon fra taushetsplikten
Departementet foreslår at Direktoratet for e-helse ved Helsedataservice får myndighet til å fatte vedtak om dispensasjon fra taushetsplikt etter helseregisterloven § 19 e og helsepersonelloven § 29, og at dette fastsettes i forskriften § 10.
Departementet foreslår videre at Helsedataservices dispensasjonsmyndighet ikke bare skal gjelde opplysninger fra de registrene som inkluderes i dataplattformen, men opplysninger fra alle typer helseregistre. Dispensasjonsmyndigheten vil dermed gjelde alle opplysninger i helseregistre, uavhengig av om direktoratet har vedtaksmyndighet etter § 7. Den forskningsetiske vurderingen skal fortsatt ligge hos REK dersom opplysningene skal brukes til medisinsk og helsefaglig forskning.
Helsedirektoratets innspill:
Ved å flytte oppgaven med å behandle søknader om dispensasjon fra taushetsplikt for bruk av helseopplysninger til medisinsk og helsefaglig forskning fra REK til Direktoratet for e-helse, vil vurderinger som tidligere er foretatt samlet av REK skilles ut fra de øvrige vurderingene og saksbehandles særskilt. På tross av at Direktoratet for e-helse sine vurderinger knyttet til taushetsplikten i prinsippet vil være mindre omfattende enn REKs vurderinger av om forhåndsgodkjenning skal gis (mht. antall vilkår som må vurderes) vil de faktiske forhold som må legges til grunn for vurderingene i det alt vesentlige anses å være de samme. I praksis vil det foreslåtte derfor medføre at det totale antall saker som forvaltningen må behandle vil øke. Det må følgelig legges til grunn at den foreslåtte endringen vil medføre et økt total-behov for ressurser til saksbehandling.
Departementet skriver at overføring av dispensasjonsmyndighet til Direktoratet for e-helse vil stille særlige krav til oppbygging av kompetanse, ressurser og organisering i Direktoratet for e-helse. Det er viktig at alle konsekvenser av å flytte vedtaksmyndigheten i saker som gjelder dispensasjon fra taushetsplikten omtales og vurderes. Det må forventes å bli et betydelig antall dispensasjonssøknader som skal behandles av Direktoratet for e-helse, selv om det etter alt å dømme vil være betydelige forskjeller mellom REKs og direktoratets behandling av slike søknader både når det gjelder arbeidsform og finansiering.
Det forslås i høringsnotatet at vedtak om dispensasjon fra taushetsplikt skal kunne påklages til Helseklage. Departementet viser i den forbindelse til at antallet klager forventes å være begrenset, og at departementet de siste årene kun har behandlet et par klager på vedtak om dispensasjon fra taushetsplikten. Det fremgår ikke om departementet også tar høyde for at Den nasjonale forskningsetiske komité for medisin og helsefag (NEM) behandler klager etter helseforskningsloven på vedtak i Regionale komiteer for medisinsk og helsefaglig forskningsetikk (REK). Vi er ikke kjent med om, og eventuelt i hvilket omfang, klagene som behandles av NEM gjelder vedtak om dispensasjon fra taushetsplikt.
Punkt 16.2 Plikt til å overføre opplysninger
Departementet foreslår at registerforvalterne skal ha en forskriftsfestet plikt til å overføre kvalitetssikrede datasett til dataplattformen. Dataproduktet skal utarbeides og overføres i samsvar med retningslinjer utarbeidet av Direktoratet for e-helse. Kvalitetssikringen vil omfatte behandling av opplysninger om de registrertes eventuelle samtykker og reservasjoner.
Registerforvalterens plikt etter helseregisterloven § 19 h til å føre oversikt over tilgjengeliggjøringer gjelder ikke for overføringer til Helsedataservice, dette følger av forslaget til forskrift § 20 første ledd bokstav a.
Helsedirektoratets innspill:
Slik vi oppfatter det må eventuelle relevante begrensninger for adgangen til å tilgjengeliggjøre helsedata som følger av de registrertes samtykker og reservasjoner også ivaretas når slike data skal gjøres tilgjengelig på/fra Helseanalyseplattformen. Dette vil i praksis kreve at Direktoratet for e-helse til enhver tid har tilgang til nødvendig informasjon om aktuelle samtykker og reservasjoner som er av betydning for forvaltningen av de helsedataene som direktoratet er dataansvarlig for. Siden samtykke- og reservasjonsstatus ikke vil være konstant (samtykker gis og trekkes tilbake, noen reservasjoner kan falle bort, mens nye kan komme til) må det derfor finnes egnede løsninger, som sikrer at Direktoratet for e-helse har tilgang til aktuelle opplysninger og samtykke- og reservasjonsstatus ved behov.
Vi støtter videre forståelsen av regelen i § 19 h, men legger til grunn at registerforvalterne i alle tilfelle bør kunne dokumentere hvilke opplysninger som er overført til Direktoratet for e-helse i den grad det er nødvendig for å sikre tilfredsstillende internkontroll og notoritet knyttet til behandlingen av helseopplysninger.
Punkt 16.4 Tilgjengeliggjøring av helsedata fra registerforvalterne
Departementet foreslår at det forskriftsfestes at registerforvalterne ikke skal kunne tilgjengeliggjøre de samme opplysningene som Helsedataservice har myndighet til å fatte vedtak om etter § 7 første ledd, jf. forslaget til forskrift § 20 andre ledd første punktum.
Helsedirektoratets innspill:
Vi er enige i prinsippet om at registerforvalterne ikke bør kunne utlevere de samme opplysningene og til samme formål som Helsedataservice. Dette fordi en løsning der flere aktører har samme vedtaksmyndighet vil kunne bidra til en uklar oppgavefordeling aktørene imellom. En slik løsning vil også kunne gjøre det ekstra krevende for brukere av helsedata å finne ut hvor de må henvende seg for å søke tilgang til opplysningene de ønsker.
Selv om det nye systemet for tilgjengeliggjøring av opplysninger i prinsippet kan innrettes for å gjelde tilgjengeliggjøring av helsedata fra helseregistre til alle legitime formål synes det klart at hovedfokuset i arbeidet med den nye løsningen så langt har vært, og i overskuelig fremtid vil fortsette å være, tilgjengeliggjøring av helsedata for bruk i forskning. En eksklusiv myndighet for Direktoratet for e-helse til å treffe beslutninger om tilgjengeliggjøring av helsedata fra helseregistre for alle formål vil derfor kunne medføre at behovet for tilgang til helsedata for andre formål enn forskning blir dårligere ivaretatt enn ønskelig. I tillegg kommer at det allerede er etablert fungerende systemer for tilgjengeliggjøring av helsedata for styringsformål fra f.eks. NPR, og at det etter vår vurdering ikke vil være formålstjenlig å endre disse systemene slik at leveransene går via Direktoratet for e-helse som tredjepart. Departementets sondring mellom tilgjengeliggjøring av helseopplysninger til bruk i forskning mv. og tilgjengeliggjøring av helsedata for offentlige virksomheter som har behov for å behandle helsedata for å ivareta andre oppgaver enn forskning fremstår derfor som en hensiktsmessig tilnærming.
Det er imidlertid klart at en slik tilnærming vil innebære at både registerforvaltere og Direktoratet for e-helse i prinsippet vil ha vedtaksmyndighet i tilfeller der helsedataene skal brukes "av offentlige virksomheter eller av den dataansvarlige til statistikk, analyse, kvalitetsforbedring, planlegging, styring eller beredskap for å ivareta oppgaver i henhold til lov, forskrift eller instruks", jf. forslaget til § 20.
En slik regulering vil derfor kreve at registerforvalterne som er omfattet av løsningen og Direktoratet for e-helse blir enige om og samarbeider for å opprettholde en hensiktsmessig og forutsigbar oppgavefordeling. Oppgavefordelingen må sikre at behovet for tilgang til helsedata for bruk til alle legitime formål ivaretas på en god måte. Det vil kunne være hensiktsmessig at oppgavefordelingen avtales mellom registerforvalterne og Direktoratet for e-helse i forkant av at opplysningene overføres til plattformen. På denne måten vil en kunne sikre at oppgavefordelingen bli klar på et tidlig tidspunkt, slik at den kan formidles til brukerne av helsedata samtidig som det informeres om at det er besluttet at opplysninger fra et konkret register skal overføres til dataplattformen. En slik tilnærming vil gi en fleksibilitet som muliggjør at Direktoratet for e-helse/Helsedataservice gradvis kan få/påta seg en større rolle på området, i takt med at mengden av opplysninger på plattformen øker og at kompetansen i Helsedataservice bygges opp. Dette vil legge forholdene til rette for at en kan fortsette arbeidet mot et stadig mer enhetlig system for tilgjengeliggjøring av helsedata. I praksis vil det også være slik at departementet, med en slik dobbeltregulering, vil ha mulighet til å øve innflytelse på oppgavefordelingen mellom aktørene ved hjelp av andre "styringsmekanismer" enn lov og forskrift.
Punkt 16.5 Offentlige virksomheters bruk av helsedata
Departementet foreslår at helsedata som skal brukes av offentlige virksomheter til statistikk, analyse, kvalitetsforbedring, planlegging, styring og beredskap for å ivareta virksomhetens oppgaver i henhold til lov, forskrift eller instruks, skal kunne tilgjengeliggjøres fra eller brukes av registerforvalterne uten å søke om dataene fra Helsedataservice. Helsedataservice vil ha vedtaksmyndighet for bruk av opplysninger til forskning. Departementet legger vekt på at helsemyndighetene skal kunne nyttiggjøre seg helseregistrene på en smidig måte når de skal ivareta sine samfunnsoppdrag. Helsedata bør derfor fortsatt kunne brukes av offentlige myndigheter uten å måtte søke om dataene fra Helsedataservice.
Departementet ber om høringsinstansenes syn på hvilken rolle Helsedataservice bør ha når det gjelder bruk av helsedata fra helseregistre til andre formål enn forskning. Dette gjelder både registerforvalternes bruk av egne data og tilgjengeliggjøring for andre brukere i og utenfor registerforvalterens virksomhet. For det tilfelle at registerforvaltere skal kunne bruke og tilgjengeliggjøre data til bruk av helsedata fra helseregistre til andre formål enn forskning uten å søke om dette fra Helsedataservice, ber departementet også om høringsinstansenes syn på om "virksomhetens oppgaver i henhold til lov, forskrift eller instruks" er en dekkende avgrensning for de ulike typene helseregistre
Helsedirektoratets innspill:
Vi støtter forslaget om at offentlige myndigheter og registerforvalterne skal kunne bruke "egne" data til å utføre sine oppgaver uten først å måtte søke Helsedataservice. Forslaget gjelder oppgaver knyttet til styring, beredskap, kvalitetsforbedring av tjenester osv. så langt de har rettslig grunnlag for det. Vi støtter også vurderingen om at det er viktig at både helsemyndighetene og andre offentlige virksomheter kan gjøre seg nytte av opplysningene i helseregistre på en smidig måte når de skal ivareta sine samfunnsoppdrag. Helsedata bør derfor fortsatt kunne brukes av offentlige myndigheter uten å måtte søke om tilgang til dataene fra Helsedataservice.
Helsedataservice vil ha vedtaksmyndighet for bruk av opplysninger til forskning. Vi viser her til at for eksempel medisinske kvalitetsregistre i helseforetak også bør ha eierskap og lett tilgang til egne data for å utføre sine samfunnsoppdrag. Foretakene som driver de medisinske kvalitetsregistrene er pålagt å drive forskning. Det kan derfor være uheldig å innføre en søkeprosess hvor andre enn registerforvalteren skal bestemme over dataene. Registrene vil da miste medbestemmelse/myndighet over egne data.
Departementets forslag innebærer at forhold knyttet til det rettslige grunnlaget for både registerforvalternes og øvrige offentlige virksomheters behandling av opplysninger fra helseregistrene i praksis kan bli avgjørende for hvorvidt en konkret ønsket behandling av helseopplysninger fra helseregistre vil kreve involvering fra Direktoratet for e-helse sin side. I noen tilfeller vil behovet for en dispensasjon fra taushetsplikt kunne innebære at Direktoratet for e-helse må involveres, som dispensasjonsmyndighet, også i saker som gjelder bruk av opplysninger fra helseregistre til andre formål enn forskningsformål. Vi antar at erfaringene med en slik rollefordeling vil kunne avdekke et behov å se nærmere på den rettslige reguleringen av enkelte former for behandling av helsedata hos offentlige virksomheter.
Punkt 17. Økonomisk og administrative konsekvenser
Det fremgår at etablering av Helseanalyseplattformen og Helsedataservice som funksjon for å forvalte tilgang til data vil ha økonomiske og administrative konsekvenser både for Direktoratet for e-helse, for eksisterende registerforvaltere og for brukere av helsedata. Det legges til grunn at etablering av Helsedataservice vil avlaste registerforvalterne for oppgaver knyttet til søknadsbehandling og tilgjengeliggjøring av data. Samtidig får disse virksomhetene nye oppgaver knyttet til utvikling av data-produkter og bistand til Direktoratet for e-helses behandling av søknader.
I punkt 14.4 fremgår det at veiledningstjenesten som driftes av Helfo vil få nye oppgaver med å veilede innbygger/den registrerte, og at veiledningstjenesten dermed må få tilstrekkelig opplæring i de nye innbyggertjenestene.
Helsedirektoratets innspill:
Etablering av Helsedataservice og helseanalyseplattformen vil som departementet skriver medføre nye oppgaver for registerforvalterne, knyttet til blant annet utvikling og leveranser av dataprodukter og bistand ifm. Direktoratet for e-helses behandling av søknader. Vi legger derfor til grunn at etableringen av den nye løsningen for tilgjengeliggjøring av helsedata ikke vil redusere ressursbehovet hos registerforvalterne i særlig grad.
Dersom ressurser flyttes uten at registerforvalternes ressursbehov er tilsvarende redusert vil dette raskt få negative konsekvenser for forvaltningen av helseregistrene og derigjennom også for brukere av opplysninger fra helseregistrene. En eventuell flytting av ressurser fra registerforvalterne til Direktoratet for e-helse, bør ikke gjennomføres før det er avklart om ressursbehovet hos registerforvalterne de facto blir redusert tilsvarende.
Det er viktig at registerforvalterenes bidrag i arbeidet med realisering av Helsedataservice og helseanalyseplattformen kompenseres fullt ut, slik at registerforvalternes evne til utføre egne oppgaver ikke svekkes. Det er videre viktig at det også etter etablering av Helsedataservice og helseanalyseplattformen sikres at registerforvalterne fortsatt innehar tilstrekkelige ressurser til å ivareta sine oppgaver. Vi støtter derfor departementets forslag om at brukerbetalingen for tjenester fra Helsedataservice og Helseanalyseplattformen må dekke "kompensasjon til registerforvaltere for arbeid med dataprodukter, veiledning mv.", jf. høringsnotatets punkt 12.2.
Helfo er tiltenkt oppgaver i veiledningstjenesten. For Helfo er det viktig at nødvendige ressurser sikres i forbindelse med utvidelse av egne oppgaver, og at det tydeliggjøres dersom dette skal skje gjennom kompensasjon fra Helseanalyseplattformen til Helfo.
Ressursknapphet, enten dette er hos Direktoratet for e-helse, registerforvalterne eller Helfo, vil innebære en betydelig risiko for at intensjonene med den foreslåtte løsningen for tilgjengeliggjøring av helsedata ikke nås.
I lys av beskrivelsen av hvordan den foreslåtte løsningen for tilgjengeliggjøring av helsedata skal
finansieres er det nærliggende å anta at enkelte brukere/brukergrupper vil kunne oppleve økte kostnader forbundet med det å skaffe seg tilgang til helsedata. Dersom målet om økt bruk av helsedata til alle legitime formål skal nås, er det viktig at finansieringen av løsningen ikke medfører at økte kostnader blir en ny barriere som medfører at det helsedata ikke benyttes i den utstrekning dette er ønskelig.
Slik vi ser det er ikke konsekvensene av å flytte myndigheten til å gi dispensasjon fra taushetsplikt, fra Helsedirektoratet og REK til Helsedataservice/Direktoratet for e-helse tilstrekkelig tematisert. Det er imidlertid klart at dette forslaget vil ha både økonomiske og administrative konsekvenser. Det er for eksempel grunn til å anta at overføring av dispensasjonsmyndigheten, fra REK til Helsedataservice, alene vil medføre at Helsedataservice må behandle flere hundre dispensasjonssaker. Vi er kjent med at antallet saker vil være på ca. 700. Dette vil kreve betydelige saksbehandlingsressurser hos Direktoratet for e-helse. En eventuell økt saksbehandlingstid for søknader om dispensasjon fra taushetsplikt som følge av begrensede ressurser vil svekke intensjonen med endringene. Konsekvensene av å flytte på myndigheten til å fatte vedtak om dispensasjon fra taushetsplikt må derfor utredes godt, for å sikre at endringene ikke får uforutsette og utilsiktede og konsekvenser.
18 Forskrift om nasjonal løsning for tilgjengeliggjøring av helsedata
I forslaget til § 4 nevnes også "sammenstilling". Bør dette være konsistent?
Samme merknad som til navn på forskriften.
Slik vi ser det er helseanalyseplattformen i realiteten et helseregister. Den vil inneholde en strukturert samling av person- og helseopplysninger som er tilgjengelige etter særlige kriterier. Opplysningene skal lagres systematisk slik at opplysningene om den enkelte kan finnes igjen. Det fremgår ikke i høringsnotatet hvilken rettslig virkning det er ment å ha at man trekker et skille mellom en "løsning for tilgjengeliggjøring" (som tilfredsstiller kravene i helseregisterloven § 2 bokstav c) og et "helseregister" (som også tilfredsstiller kravene i helseregisterloven § 2 bokstav c).
Forskriftsbestemmelsen beskriver hva som er formålet med løsningen
og forskriften. En formålsbestemmelse er av betydning når de øvrige bestemmelsene i forskriften tolkes og anvendes. Forskriftens formålsbestemmelse vil på den måten være retningsgivende og sette rammer for oppgaver, plikter og ansvar som er fastsatt i forskriften.
Den foreslåtte formålsbestemmelsen vil, slik vi oppfatter det, derimot ikke være bestemmende for til hvilke formål opplysningene som omfattes av løsningen kan behandles. På dette punktet skiller den foreslåtte formålsbestemmelsen fra formålsbestemmelsene i forskriftene for f.eks. de lovbestemte helseregistrene som er etablert med hjemmel i helseregisterloven § 11.
Formålsbestemmelsene i forskriftene for de enkelte lovbestemte registrene utgjør, sammen med regler om forbud mot bruk, rettslige skranker for til hvilke formål opplysningene i og fra registrene kan behandles. Adgangen til å gjøre endringer i forskriftene for de lovfestede helseregistre ligger i mange tilfeller til kongen i statsråd, men eventuelle endringer i registrenes formålsbestemmelser vil i enkelte tilfeller kunne kreve at Stortinget involveres. Det burde derfor fremgå at formålsbegrensningene for det enkelte register/kilde som skal omfattes av løsningen ligger fast, noe som innebærer at Helsedataservice i praksis må forholde til forskriftene/det rettslige grunnlaget for hver enkelt av kildene som er omfattet av løsningen. Dette vil stille store krav til Helsedataservice, både mht. å sette seg inn i hvordan de ulike regelsettene skal forstås og etablert forvaltningspraksis knyttet til dette, men også når det gjelder å avstemme sin forståelse av disse reglene med de aktørene som har størst erfaring og praksis knyttet til disse regelsettene, nemlig de dataansvarlige for de respektive registrene/kildene.
Til § 2 andre ledd og begrepet "lav grad av personidentifikasjon": begrepet er litt uklart. På hvilken måte vet man om formålet er oppnådd? Det følger av de alminnelige vilkårene for behandling av personopplysninger at det ikke skal behandles flere opplysninger enn nødvendig. Dette tilsier f.eks. at det også innenfor rammene av "indirekte identifiserbare
helseopplysninger", jf. helseregisterloven § 2 bokstav f, kan anses å være ulike grader av personidentifikasjon. Og da i betydningen at det vil være "mer eller mindre enkelt" å knytte de indirekte identifiserbare opplysningene til en identifiserbar enkeltperson.
§ 4 Etablering av en nasjonal løsning for sammenstilling og tilgjengeliggjøring av helsedata
§ 4 første ledd: her nevnes også sammenstilling.
§ 4 tredje ledd bokstav b) "koordinere": Er dette noe søker kan velge å benytte seg av? Ansvaret for å koordinere egne søknader bør også i fortsettelsen ligge til søker selv.
§ 4 tredje ledd bokstav c), jf. høringsnotatets punkt 7.5: Helsedataservice skal også gi brukerne veiledning om helsedata, dataprodukter, registervariabler og tilhørende metadataelementer,
samt hjelpe brukerne til å finne hensiktsmessige data til sitt bruk. Denne veiledningen vil foregå i tett samarbeid med registerforvalterne i og med at det er de som har detaljkunnskapen
om innholdet i de ulike datakildene. Dette er en betydelig større "veiledningstjeneste" (veiledningsplikt) enn det man har hatt til nå. Dette vil ha en kostnadsside.
§ 4 tredje ledd bokstav d), jf. høringsnotatets punkt 2.7: Om data utleveres til et analyserom, med et vilkår om at opplysningene skal være anonyme når de hentes ut. Slik det er formulert nå er det Direktoratet for e-helse som etablerer tekniske og organisatoriske tiltak som reduserer risiko for at helseopplysninger hentes ut fra sikker sone, og sikrer kontroll på dataflyten inn og ut av analyserommet. Det gis inntrykk av at e-helse påtar seg et dataansvar for opplysninger som er overlevert til et analyserom, mens det i realiteten er søker som blir dataansvarlig etter tilgjengeliggjøring.
§ 4 tredje ledd bokstav e): Begrepet "innbyggertjenester" er omtalt i høringen punkt 14, men ikke definert i forskriften § 3. Det er ikke tydelig avklart hva begrepet omfatter, og det derfor tas inn en henvisning til forskriftsforslaget § 17. Slik vi forstår det er § 17 ment som en opplisting av hvilke konkrete "innbyggertjenester" som Direktoratet for e-helse skal "sørge for".
§ 6 Behandling av helseopplysninger og andre personopplysninger
§ 6 første ledd: Vi foreslår å endre og tydeliggjøre bestemmelsen for å presisere beslutningsmyndigheten til Direktoratet for e-helse, og at denne er i samsvar med personvernregelverket. Slik vi ser det bør det fastsettes i forskriften at opplysninger fra registre etter § 6 kan omfattes på plattformen. Dette innebærer at departementet bestemmer hvilke registre som kan omfattes, og at Direktoratet for e-helse bestemmer hvilke registre som skal omfattes og fra hvilket tidspunkt opplysninger skal overføres fra det enkelte register.
Når det gjelder hvilke opplysninger som skal overføres, må den endelige beslutningsmyndigheten når det gjelder blant annet dataminimering ligge til registerforvalteren. Registerforvalterne har en plikt til å behandle opplysningene i samsvar med personvernforordningen og helseregisterloven, og må foreta egne vurderinger og stå til ansvar for disse. Slik vi ser det er det ikke anledning til at en annen dataansvarlig kan instruere registerforvalterne på detaljnivå på dette området. Direktoratet for e-helse kan imidlertid be om at opplysninger utleveres til formålet tilgjengeliggjøring. Formålet her er vidt og ikke konkret definert, så det må derfor etableres retningslinjer for hvordan registerforvalterne best kan tilgjengeliggjøre opplysninger til dette formålet.
§ 6 første ledd gjelder helseopplysninger og andre personopplysninger . Bør metadata nevnes i forskriftsteksten? Uten at metadata tas med vil helse- og personopplysningene, slik vi ser det, savne kontekst.
§ 6 første ledd bokstav l): Helsedirektoratet mener at det er hensiktsmessig å vente med inkludering av medisinske kvalitetsregistre med nasjonal status til en har høstet erfaring med å inkludere registre etter helseregisterloven § 11. De medisinske kvalitetsregistrene med nasjonal status er viktige innenfor sine fagfelt. Per i dag er det over 50 registre som har nasjonal status, og det er ulikt hvordan de er organisert også med tanke på lagring av data. Det er viktig å sikre forutsigbarhet for registerforvalterne og en praktisk mulighet for registrene til å forberede seg på hva det vil innebære at kvalitetsregistrene blir omfattet av løsningen. Det er også viktig å sikre en aktiv deltakelse fra registrene i arbeidet, slik at de blir kjent med konsekvensene av plikten til å overføre opplysninger og slik at de kan ivareta eierskapet til egne helsedata. Blant annet må de fortsatt kunne bruke egne data til kvalitetsforbedring ved å sammenlikne egne data med nasjonale data. Det bemerkes også at de medisinsk kvalitetsregistre, også etter en eventuell inkludering, på enkel måte må kunne bruke dataene til forskning, som er pålagt oppgave for helseforetakene.
§ 6 første bokstav n): Det fremgår ikke hvilke variabler som skal hentes fra Folkeregisteret. Det vil vel i utgangspunktet være brukerne (forskningsprosjektene) som har
behandlingsgrunnlag for å sammenstille opplysninger med folkeregisteret?
§ 6 fjerde ledd: "helsedata": jf. tidligere kommentar om metadata
§ 7 Vedtak om tilgjengeliggjøring
§ 7 første ledd: "søknad eller tilgjengeliggjøring": her nevnes både "etter søknad og" og "på forespørsel". Er det noe forskjell?
§ 7 tredje ledd: "i": i eller fra? Ved å ta i mot eller fra synliggjøres at det kan være grunn til å rådføre seg både i tilfeller der opplysningene er overført til plattformen og i tilfeller der dette (ennå) ikke har skjedd.
§ 7 fjerde ledd: "hvis": erstatte med "dersom"?
§ 7 femte ledd: "som": erstatte med "og"?
§ 8 Tilgjengeliggjøring fra dataplattformen
§ 8 første ledd: hva menes med "overført"? Betyr det overført til analyseinfrastrukturen eller overført ut til forsker? Bør det stå "tilgang til" istedenfor overført? Om opplysningene er i en lukket struktur er det vel egentlig ikke overføring, men heller en tilgjengeliggjøring? Skal det være tilstrekkelig kapasitet i løsningen til at alle analyser skal gjøres der, eller er tanken at data skal hentes ut og analyseres annet sted?
Til "personidentifiserende kjennetegn": det er behov for en konkretisering, og aller helst en uttømmende oversikt over hva som menes med "direkte personidentifiserende kjennetegn".
For hvilke formål er personidentifiserende kjennetegn nødvendig i analyseinfrastrukturen?
Direkte personidentifiserbare kjennetegn (navn eller personnummer) er ikke nødvendig for å analysere data. Det er bare dersom det er behov for å innhente ytterligere data at det er behov for fødselsnummer. Vi foreslår derfor at adgangen begrenses til bruk av personnummer eller løpenummer dersom brukeren selv skal sammenstille data.
Det fremgår ikke om det er bruker eller HAP som skal ha ansvaret for å hente inndata som ikke ligger i løsningen, som opplysninger fra offentlige registre som NAV, skatt og utdanning. Spørsmålet er om bruker i slike tilfeller skal få utlevert nøkkelfil (fødselsnummer og løpenummer), eller om HDS skal hente inn data fra de andre kildene. I veldig mange forskningsprosjekter vil det også inngå data som ikke finnes i helseregistre. Det kan være arbeidskrevende å vurdere om data "ivaretar brukerens formål".
§ 8 første ledd andre punktum: bestemmelsen bør slik vi ser det tydeliggjøres i tråd med dataminimeringsprinsippet. Det bør fremgå at opplysningene skal begrenses til det som er tilstrekkelig for å oppnå formålet med behandlingen. Dette innebærer bruk av anonyme opplysninger som et utgangspunkt. Kun der det er nødvendig å bruke indirekte eller direkte identifiserbare opplysninger for å oppnå formålet med behandlingen kan slike opplysninger brukes.
§ 8 andre ledd: andre ledd åpner for en såkalt distribuert kobling. Dette henger imidlertid ikke godt sammen med formuleringene i § 20. (se egne kommentarer til denne).
Til "nøkkelfiler tildelt av direktoratet": Må nøkkelfilene være tildelt av direktoratet, eller bør det være en åpning for at nøkkelfiler også kan tildeles av andre aktører, som for eksempel SSB?
§ 9 Saker som krever forskningsetisk forhåndsgodkjenning
§ 9 første ledd: "For søknader": bør det stå "I saker"?
§ 11 Statistikk og andre anonyme opplysninger
Første ledd: "som er overført til dataplattformen og som kan være sammenstilt med andre opplysninger etter helseregisterloven § 19 c": kan formuleringen forenkles?
"fra dataplattformen": omfatter ordlyden den tilgjengeliggjøringen som skjer "på" Helseanalyseplattformen, dvs. at opplysningene tilgjengeliggjøres på den infrastrukturen som skal tilbys som en del av løsningen?
§ 13 Sletting av opplysninger
Første ledd: Det vil kunne være vanskelig for Direktoratet for e-helse å avgjøre om, og eventuelt når, opplysninger ikke lenger er relevante for å ivareta formålet med løsningen. Behovet for opplysninger i løsningen vil jo bero på brukerens behov, og "neste brukers behov" er ukjent.
Erfaringen tilsier at det gjerne er behov for /ønskelig med lange "tidsserier" for å se på utvikling over tid, noe som tilsier at behovet for å beholde opplysninger som er overført til løsningen vil være langvarig.
Andre ledd: "særskilte grunner": hvilke grunner er aktuelle i praksis? Bør omtales.
§ 14 Betaling for tilgjengeliggjøring av opplysninger mv.
Til overskriften: Partnerskapsavtaler og krav om "gjenytelser" er ikke nevnt her, men i teksten i høringsnotatet. Slike løsninger er vel imidlertid uansett litt ved siden av det denne forskriften bør regulere.
Det fremgår i teksten i høringsnotatet punkt 12.2 at brukerbetalingen for tjenester fra Helsedataservice og Helseanalyseplattformen skal dekke "kompensasjon til registerforvaltere for arbeid med dataprodukter, veiledning mv." Dette bør kanskje fremgå av § 14 andre ledd?
Det ser ut til at tilgang til opplysninger kan bli vesentlig dyrere for søkerne. NPR/KPR tar i dag bare betalt for timer/medgått tid.
Første ledd, "kvalitetssikring": på hvilken måte skal Helsedataservice drive med kvalitetssikring av opplysninger? Bryter dette med prinsippet om at løsningen bare skal være et "verktøy for data ut"?
§ 17 Innbyggertjenester
Det er viktig at det ikke skapes tvil om hva som er registerforvalterens ansvar og oppgaver når det gjelder ivaretakelse av de registrertes rettigheter. Det er derfor viktig at det fremgår klart at denne bestemmelsen kun regulerer tjenester som e-helse skal tilby i tilknytning til de person- og helseopplysningene direktoratet selv er ansvarlig for. For eksempel er det lagt opp til at veiledningstjenensten i Helfo skal få ansvaret for informasjon til innbyggerne.
Det er også viktig at innsynstjenestene for de registrerte avstemmes mot registerforvalternes løsninger for innsyn. (For eksempel; dersom en ber e-helse om innsyn i opplysninger fra NPR som finnes på plattformen, bør det sørges for at informasjonen som gis gir god sammenheng dersom den sammenholdes med opplysninger som en registrert vil motta dersom det gis innsyn i NPR. I motsatt fall vil både e-helse og registerforvalterne nødvendigvis måtte bruke ressurser på å forklare eventuelle forskjeller.)
§ 19 Kryptering og tilgang til opplysninger
Første ledd: "andre personidentifiserende kjennetegn": Det er behov for en klargjøring av hva som menes med dette begrepet. Det bør gis en uttømmende oppstilling av hva som skal inngå i begrepet. Dette særlig som følge av høringsnotatet punkt 2.2, hvor det fremgår at "Uttrykket personidentifiserende kjennetegn" i helseregisterloven § 2 må forstås som synonymt med "direkte personidentifiserende kjennetegn i" i § 21 om informasjonssikkerhet. Da det kan hevdes at et løpenummer eller et pseudonym også er personentydig, brukes uttrykket direkte personidentifiserende kjennetegn i dette høringsnotatet".
Det er også ønskelig med en avklaring av det nærmere innholdet i kravet om slike kjennetegn skal "separeres fra og lagres kryptert og adskilt fra andre registeropplysninger".
Andre ledd, første setning, "registeret": Løsningen omtales her som et register. Vi mener plattformen er å anse som et helseregister, og gjennomgående må kalles et register. I noen av helseregisterlovens bestemmelser skilles det mellom dataansvarlige og dataansvarlige for helseregistre. Hva er de reelle rettslige konsekvensene av dette?
§ 20 Plikter for de dataansvarlige for helseregistre
Første ledd bokstav b): Denne må ses i sammenheng med reglene i § 8. Det bør fremgå at de dataansvarlige for helseregistre også skal overføre opplysninger til brukerne av helsedata, dersom opplysningene skal sammenstilles av brukeren "på grunnlag av nøkkelfiler tildelt av direktoratet", jf. forslag til § 8 siste ledd.
§ 8 andre ledd: se våre innspill til punkt 10.5.
Til høringen har vi tatt utgangspunkt i Helsedirektoratets rolle som dataansvarlig for Norsk pasientregister (NPR) og Kommunalt pasient- og brukerregister (KPR). Flere av forslagene vil imidlertid også ha betydning for oss som bruker av opplysninger fra egne og andre helseregistre, for gjennomføring av egne samfunnsoppdrag. Videre har enkelte av innspillene relevans for oss som fortolkningsmyndighet av helseregisterloven med forskrifter.
Vi har knyttet innspillene til de enkelte punktene i høringsnotatet. Oppsummert er våre hovedinnspill:
Punkt 3.10.1 Vilkår for tilgjengeliggjøring
Departementet skriver at helseregisterloven § 19 a pålegger en dataansvarlig for et helseregister å tilgjengeliggjøre opplysninger etter søknad dersom vilkårene er oppfylt. Direktoratet for e-helse vil være bundet av de samme reglene når tilgjengeliggjøring fra dataplattformen skal vurderes.
Helsedirektoratets innspill:
Høringsforslaget tilsier at Direktoratet for e-helse får både myndighet til å fatte vedtak om dispensasjon fra taushetsplikt, og plikt til å tilgjengeliggjøre opplysninger når dispensasjonsvedtak er fattet. Dette innebærer at dispensasjonsmyndigheten legges til en aktør som også har ansvaret for en løsning som skal legge til rette for økt bruk av helsedata, og som vil bli målt på sin evne til å nå dette målet. Hvorvidt Direktoratet for e-helse kan inneha begge disse oppgavene/rollene og samtidig oppfylle forvaltningsorganets plikt til å foreta uavhengige vurderinger og avgjørelser er ikke tematisert i høringsnotatet. Dette bør vurderes før vedtaksmyndighet flyttes.
Punkt 3.13 Overføring til utlandet
Departementet skriver at helseregisterloven ikke har bestemmelser som regulerer eller hindrer behandling av helseopplysninger på tvers av landegrensene. Det fremgår at spørsmålet om dispensasjon eller unntak fra taushetsplikten når opplysninger skal utleveres til forskere eller andre i utlandet, avgjøres etter reglene i helsepersonelloven, helseregisterloven og helseforskningsloven. Adgangen til å overføre helseopplysninger til utlandet reguleres ellers av personvernforordningen.
Helsedirektoratets innspill:
Helsedirektoratet erfarer at registerforvaltere og brukere av helsedata etterspør en tydeliggjøring av regelverket når det gjelder overføring av helseopplysninger til dataansvarlige og databehandlere i utlandet.
Det fremgår av helsepersonelloven § 29 femte ledd at når noen mottar taushetsbelagte opplysninger etter paragrafen, gjelder taushetsplikten etter § 21 tilsvarende for mottakeren. Dette gikk også frem av tidligere bestemmelse i helsepersonelloven § 29 b. Videre følger det av helseregisterloven § 17 at "enhver" som behandler helseopplysninger etter helseregisterloven, og "andre som får adgang eller kjennskap til helseopplysninger fra helseregistre" har taushetsplikt etter helseregisterloven § 17 jf. helsepersonelloven §§ 21 flg.
I forarbeidene til helsepersonelloven § 29, Prop. 63 L (2019-2020) fremgår det at mottakeren vil ha taushetsplikt, jf. helseregisterloven § 17 og helseforskningsloven § 7. Ved overføring til andre land, vil ikke de norske taushetspliktreglene gjelde. I slike tilfeller bør det stilles krav om at mottakeren har taushetsplikt som gjelder i det landet opplysningene skal behandles.
Ved en overføring av opplysningene til utlandet vil ikke de norske reglene om taushetsplikt gjelde for behandlingen som skjer i utlandet. Opplysningene vil underlegges annet regelverk med mulig lavere beskyttelsesgrad. Noen dataansvarlige har derfor en praksis med å inngå sivilrettslige avtaler med dataansvarlige i utlandet, blant annet for å sikre konfidensialitet ved behandlingen av helseopplysninger. Muligheten for oppfølgning av vilkår og kontrakt, herunder sanksjonering ved eventuelle brudd på taushetsplikten blir vanskelig dersom en skal følge forslaget.
Det er slik vi ser det et behov for å sette krav ved tilgjengeliggjøringen av opplysninger for dataansvarlige i utlandet. Dette for å bidra til at dataansvarlige følger regelverket på riktig måte, og for å skape en sikrere situasjon for de registrerte.
Punkt 9.2 Beslutning om inklusjon av registre på dataplattformen
Departementet foreslår at Direktoratet for e-helse skal ha myndighet til i forskrift å kunne beslutte fra hvilke helseregistre det skal overføres opplysninger til Helseanalyseplattformen (HAP) og på hvilke tidspunkt det skal overføres opplysninger. Direktoratet for e-helse skal konsultere den aktuelle registerforvalteren før beslutningen tas, jf. departementets merknader til § 6 i forslaget. Når det er besluttet at et register skal inkluderes på plattformen, skal direktoratet, i samråd med registerforvalteren, bestemme hvilke dataprodukter som skal overføres.
Departementet ber også om høringsinstansenes syn på om fremtidig modell for fag- og brukerinnflytelse bør gis en mer formell rolle i vurderingen av hvilke registre og helsedata som skal inkluderes på plattformen etter forslagets § 6.
Helsedirektoratets innspill:
Hvordan registerforvalternes oppgaver og ansvar i forhold til den foreslåtte løsningen for tilgjengeliggjøring av helsedata reguleres i forskriften vil ha stor praktisk betydning for alle dataansvarlige for helseregistrene som kan inngå i løsningen. Det er nødvendig at den rettslige reguleringen av ansvar og oppgaver er tydelig, at oppgaver og ansvar fordeles på en hensiktsmessig måte, og at det er en godt samsvar mellom ansvar- og oppgaver og tildelte ressurser hos de ulike aktørene.
Forskriften gir Direktoratet for e-helse myndighet til å beslutte hvilke dataprodukter som skal inngå i løsningen, men det forutsettes at direktoratet skal rådføre seg med registerforvalterne i forkant. Slik forskriften er formulert, vil registerforvalters / dataansvarliges ansvar for behandling av personopplysninger utfordres ved at en ekstern aktør tilsynelatende gis myndighet til å gi detaljerte føringer for hvilke opplysninger som skal overføres til plattformen. Dette gjelder blant annet de alminnelige prinsippene i personvernforordningen artikkel 5. Dataansvarlig har en plikt til å sørge for at opplysningene som tilgjengeliggjøres er adekvate, relevante og begrenset til det som er nødvendig for formålet de behandles for (dataminimering etter personvernforordningen artikkel 5). I praksis vil den dataansvarlige for det enkelte helseregister ha de beste forutsetninger for å vurdere hvilke opplysninger som det vil være hensiktsmessig at inngår i dataproduktene som skal overføres til helseanalyseplattformen. Registerforvalterne vil derfor, i ytterste konsekvens, kunne komme i en situasjon der de opplever å bli instruert til å bryte helse- og personvernlovgivningen. Det fremstår derfor som i strid med personvernforordningens krav til behandling av personopplysninger dersom Direktoratet for e-helse skal kunne legge absolutte føringer for innholdet i dataprodukter.
Vi mener myndigheten til å beslutte at datasett skal overføres til plattformen må være knyttet opp til formålet med overføringen, her tilgjengeliggjøring av opplysninger for forskning, kvalitetssikring, styring osv. Dette betyr at dataansvarlig / registerforvalter må gjøre en vurdering av hvilke opplysninger som er egnet til å oppnå formålet, og har myndighet til å beslutte at enkelte opplysninger ikke er formålstjenlige. Personvernregelverket tilsier ikke, slik vi ser det, at beslutningsmyndigheten om hvilke helsedata som skal tilgjengeliggjøres eksternt kan deles. § 6 fjerde ledd bør endres på dette punktet. Videre bør det omtales om Direktoratet for e-helse sin beslutning om at data skal overføres kan påklages etter forvaltningsloven § 14.
Slik vi leser forskriften, merknadene til forskriften og høringsnotatet er det ikke tydelig hvilken myndighet som ligger til Direktoratet for e-helse i § 6 første avsnitt. Vi anbefaler en tydeliggjøring av § 6, ved at departementet i forskriften setter ramme for hvilke registre som skal omfattes av løsningen. Direktoratet for e-helse kan gis myndighet til å bestemme fra hvilket tidspunkt opplysninger skal overføres til løsningen. Direktoratet for e-helse kan bestemme at opplysninger skal overføres, også må registerforvalterne levere datasettene som de mener er relevante for formålet. Dette vil også bidra til et mer tydelig regelverk.
Når det gjelder fremtidig modell for fag- og brukerinnflytelse, mener vi at foraene som er beskrevet i Direktoratet for e-helse sitt forslag kun bør gis en rådgivende rolle i forhold til vurderingen av hvilke registre og helsedata som skal inkluderes på plattformen. Dette fordi de registerforvalterne vil være best kjent med innholdet i registrene og nærmest til å vurdere hvilke opplysninger det vil være hensiktsmessig å overføre til plattformen.
Punkt 9.3.3 Befolkningsbaserte helseundersøkelser
Departementet foreslår at de befolkningsbaserte helseundersøkelsene som Folkehelseinstituttet er dataansvarlig for, skal kunne inkluderes i løsningen. Dette gjelder MoBa, Vekstkohorten, LHU og Tvillingregisteret. Departementet ber i høringsnotatet særlig om høringsinstansenes syn på om flere forskningsbaserte befolkningsbaserte helseundersøkelser bør inkluderes i løsningen nå.
I punkt 9.3.5 om avidentifiserte registre spør departementet om høringsinstansenes syn på vurderingen om at registre etter helseregisterloven § 9 bokstav b ikke bør inkluderes på Helseanalyseplattformen i denne omgang.
Helsedirektoratets innspill:
Slik vi vurderer det gjenstår det et betydelig arbeid før den foreslåtte løsningen vil kunne omfatte opplysninger fra alle de registre/kilder som er angitt i forslaget til forskrift § 6, herunder de befolkningsbaserte helseundersøkelsene som FHI er dataansvarlig for. Vi støtter derfor vurderingen om at det kan være hensiktsmessig å avvente en eventuell utvidelse med flere befolkningsbaserte helseundersøkelser inntil det er høstet erfaringer med overføring og forvaltning av opplysninger fra FHIs befolkningsbaserte helseundersøkelser i den foreslåtte løsningen.
Vi ser videre at det vil kunne være behov for å avklare spørsmål knyttet til det rettslige grunnlaget for innsamling og videre behandling av opplysninger fra de enkelte befolkningsbaserte helseundersøkelsene i den foreslåtte løsningen.
Vi anbefaler også at en eventuell inkludering av avidentifiserte registre og medisinske kvalitetsregistre med nasjonal status avventes innlemmet i løsningen til det er høstet erfaringer med overføring og forvaltning av opplysninger i den foreslåtte løsningen.
Punkt 9.4 Dataprodukter
Departementet foreslår at registerforvalterne plikter å tilrettelegge og avlevere helseopplysninger og andre personopplysninger (dataprodukter) til Helseanalyseplattformen. Dataproduktene skal utarbeides og overføres i samsvar med retningslinjer som Direktoratet for e-helse skal utarbeide. Beslutningen om hvilke dataprodukter som skal overføres fra det enkelte register skal foretas i nær dialog med registerforvalteren. Det vil være registerforvalterens ansvar å sikre at produktene på plattformen oppdateres i henhold til relevante endringer knyttet til variabler og metadata. Registerforvalterne vil ikke være dataansvarlige for opplysninger som er overført til Direktoratet for e-helse.
Helsedirektoratets innspill:
Se vårt innspill til myndigheten til å beslutte hvilke data som skal overføres til plattformen i punkt 9.2. Det fremstår slik vi ser det i strid med grunnleggende personvernprinsipper at Direktoratet for e-helse skal kunne legge absolutte føringer for innholdet i dataprodukter gjennom retningslinjer.
En "oppdatering av dataprodukter" etter at disse er overført til Helseanalyseplattformen, vil være vanskelig å gjennomføre i praksis. I den grad det skjer endringer i metadatabeskrivelser mv. bør dette ivaretas gjennom nye versjoner av metadatabeskrivelser, og ikke gjennom endringer i tidligere overførte dataprodukter. Tilsvarende ville det normalt være hensiktsmessig at korrigering av eventuelle feil eller mangler i et dataprodukt skjer gjennom overføring av nye versjoner av produktet. Ansvaret for å kommunisere med brukere av opplysninger på/fra løsningen om feil, endringer og nye versjoner bør i utgangspunktet ligge til den ansvarlige for løsningen, Direktoratet for e-helse.
Vi er enig i presiseringen i høringsdokumentene om at registerforvalterne ikke vil være dataansvarlige for opplysninger som er overført til Direktoratet for e-helse.
Punkt 9.5 Behandling av andre data på dataplattformen
Departementet skriver blant annet at det vil være hensiktsmessig dersom Helseanalyseplattformen kan utvikles til å bli en infrastruktur for deling av forskerdatasett på tvers av forskningsprosjekt, såfremt dette kan gjøres innenfor formålet dataene er samlet inn til og er i overensstemmelse med samtykke eller annet hjemmelsgrunnlag for behandling av opplysningene .
Helsedirektoratets innspill:
Vi er kjent med at det fra flere hold er et ønske om en slik infrastruktur. En slik deling eller gjenbruk av data fra forskningsprosjekter aktualiserer en rekke rettslige spørsmål, som om en slik infrastruktur er forenlig med de grunnleggende vilkårene for behandling av personopplysninger. Slike spørsmål burde, slik vi ser det, vært avklart før det signaliseres at en infrastruktur for deling av forskningsdatasett på tvers av forskningsprosjekt er ønskelig. Det nevnes i den forbindelse at rapporten "Håndtering av helseforskningsdata – pseudonyme data i klinisk forskning", som det vises til i høringsnotatet, har visse mangler både når det gjelder rolle- og oppgavefordelingen på helsedataområdet og de juridiske skrankene for behandling av helseopplysninger.
Punkt 10.3.1 Hvilke opplysninger
Departementet ber i høringsnotatet om høringsinstansenes vurdering av om Direktoratet for e-helse bør få myndighet eller gis en koordinerende rolle til å fatte vedtak om tilgjengeliggjøring av opplysninger som ikke omfattes av løsningen, når opplysningene skal sammenstilles med opplysninger i dataprodukter som er overført til plattformen.
Helsedirektoratets innspill:
Helsedirektoratet mener at Direktoratet for e-helse ikke bør gis myndighet til å fatte vedtak om tilgjengeliggjøring av opplysninger fra helseregistre eller andre kilder som ikke er omfattet av løsningen, når opplysningene skal sammenstilles med opplysninger i dataprodukter som er overført til plattformen. En slik myndighet vil i praksis innebære at den enkelte søker/bruker kan legge avgjørende premisser for hvem som får beslutningsmyndighet gjennom innretningen av sitt prosjekt og valg av kilder. For den enkelte dataansvarlige som ikke er en del av løsningen vil det da fremstå som nærmest vilkårlig om de har beslutningsmyndighet eller ikke. Dette vil etter vårt syn ikke være en god løsning.
Direktoratet for e-helse vil med stor sannsynlighet ha begrenset eller lite kjennskap til opplysningene i helseregistre/kilder som ikke er omfattet av løsningen. Tilsvarende vil gjelde for de rettslige rammene for de aktuelle helseregistrene/kildene. Dette taler for at tildeling av denne rollen bør utredes bedre før den eventuelt overføres til Direktoratet for e-helse.
Når det gjelder spørsmålet om Direktoratet for e-helse bør gis en koordinerende rolle i slike saker mener vi at det er grunn til å være varsom med å flytte ansvar og oppgaver bort fra den som ønsker tilgang til helsedata. Det er på det rene at det er i søkers/brukers egen interesse å sørge for å koordinere egne søknadsprosesser opp mot de ulike dataansvarlige. Det er vår erfaring at søkere ikke bør fratas denne oppgaven, men at det i stedet bør tilstrebes at de ulike dataansvarlige har tilstrekkelige ressurser til å sørge for god veiledning til den enkelte søker.
Punkt 10.5 Sammenstillinger
Departementet skriver at helseregisterloven § 19 c gir hjemmel til å peke ut i forskriften hvem som skal gjøre sammenstillingen når opplysninger på dataplattformen skal sammenstilles med andre opplysninger. Departementet mener at det er direktoratet som bør gjøre sammenstillingen selv eller at direktoratet legger til rette for distribuerte koblinger, og foreslår at dette forskriftsfestes i § 8 andre ledd.
Helsedirektoratets innspill:
Det skal være mulig å gjennomføre sammenstillinger av opplysninger som er tilgjengelige på Helseanalyseplattformen med opplysninger som kun er tilgjengelige andre steder ved såkalt "distribuert kobling". Dette vil forutsette at registerforvalterne gis mulighet til å utlevere opplysninger direkte til bruker i de tilfellene hvor Direktoratet for e-helse har besluttet at sammenstilling skal skje ved hjelp av "nøkkelfiler tildelt av direktoratet". Slik ordlyden i forslaget til § 8 andre ledd jf. § 20 første ledd bokstav b er utformet synes denne muligheten å være avskåret, noe som neppe er i tråd med departementets intensjon.
Punkt 10.9 Rådføring med registerforvalterne
Departementet forutsetter at det vil være avgjørende at direktoratet kan benytte registerforvalternes kompetanse og kunnskaper om egne registre for å kunne fatte materielt riktige og forsvarlige vedtak om sammenstilling og tilgjengeliggjøring,. I forslaget til § 7 tredje ledd foreslås en plikt til å rådføre seg med den dataansvarlige for det aktuelle registeret dersom tilgjengeliggjøringen krever særskilt kompetanse om opplysninger i et helseregister. Det foreslås ikke en motsvarende veiledningsplikt for registerforvalterne.
Helsedirektoratets innspill:
Helsedirektoratet er enig i at en rådføringsplikt allerede følger forvaltningsloven § 17. Vi mener imidlertid at det kan være hensiktsmessig å konkretisere den generelle plikten til å sørge for sakens opplysning i forskriften. Vi er også enige i at det ikke bør gis noen forskriftsfestet veiledningsplikt for registerforvalterne, og i departementets begrunnelse for dette.
Registerforvalterne vil normalt ha interesse i å bistå Helsedataservice for å få god kvalitet i saksbehandlingen. Samtidig vil i praksis ressurs- og kompetansesituasjonen hos registerforvalterne være avgjørende for om, og i hvilken grad, registerforvalterne kan prioritere oppgaven med å bistå/rådgi Direktoratet for e-helse i forhold til egne saker. Det er en forutsetning for at målene med den foreslåtte løsningen for tilgjengeliggjøring av helsedata skal kunne nås, og en forsvarlig saksbehandling i tråd med helselovgivningen og kravene til personvern, at det sikres at registerforvalterne har tilstrekkelige ressurser og kapasitet til oppgaven med å samarbeide med Direktoratet for e-helse på dette området, se også våre merknader til dette i punkt 17.
Punkt 10.12 Dispensasjon fra taushetsplikten
Departementet foreslår at Direktoratet for e-helse ved Helsedataservice får myndighet til å fatte vedtak om dispensasjon fra taushetsplikt etter helseregisterloven § 19 e og helsepersonelloven § 29, og at dette fastsettes i forskriften § 10.
Departementet foreslår videre at Helsedataservices dispensasjonsmyndighet ikke bare skal gjelde opplysninger fra de registrene som inkluderes i dataplattformen, men opplysninger fra alle typer helseregistre. Dispensasjonsmyndigheten vil dermed gjelde alle opplysninger i helseregistre, uavhengig av om direktoratet har vedtaksmyndighet etter § 7. Den forskningsetiske vurderingen skal fortsatt ligge hos REK dersom opplysningene skal brukes til medisinsk og helsefaglig forskning.
Helsedirektoratets innspill:
Ved å flytte oppgaven med å behandle søknader om dispensasjon fra taushetsplikt for bruk av helseopplysninger til medisinsk og helsefaglig forskning fra REK til Direktoratet for e-helse, vil vurderinger som tidligere er foretatt samlet av REK skilles ut fra de øvrige vurderingene og saksbehandles særskilt. På tross av at Direktoratet for e-helse sine vurderinger knyttet til taushetsplikten i prinsippet vil være mindre omfattende enn REKs vurderinger av om forhåndsgodkjenning skal gis (mht. antall vilkår som må vurderes) vil de faktiske forhold som må legges til grunn for vurderingene i det alt vesentlige anses å være de samme. I praksis vil det foreslåtte derfor medføre at det totale antall saker som forvaltningen må behandle vil øke. Det må følgelig legges til grunn at den foreslåtte endringen vil medføre et økt total-behov for ressurser til saksbehandling.
Departementet skriver at overføring av dispensasjonsmyndighet til Direktoratet for e-helse vil stille særlige krav til oppbygging av kompetanse, ressurser og organisering i Direktoratet for e-helse. Det er viktig at alle konsekvenser av å flytte vedtaksmyndigheten i saker som gjelder dispensasjon fra taushetsplikten omtales og vurderes. Det må forventes å bli et betydelig antall dispensasjonssøknader som skal behandles av Direktoratet for e-helse, selv om det etter alt å dømme vil være betydelige forskjeller mellom REKs og direktoratets behandling av slike søknader både når det gjelder arbeidsform og finansiering.
Det forslås i høringsnotatet at vedtak om dispensasjon fra taushetsplikt skal kunne påklages til Helseklage. Departementet viser i den forbindelse til at antallet klager forventes å være begrenset, og at departementet de siste årene kun har behandlet et par klager på vedtak om dispensasjon fra taushetsplikten. Det fremgår ikke om departementet også tar høyde for at Den nasjonale forskningsetiske komité for medisin og helsefag (NEM) behandler klager etter helseforskningsloven på vedtak i Regionale komiteer for medisinsk og helsefaglig forskningsetikk (REK). Vi er ikke kjent med om, og eventuelt i hvilket omfang, klagene som behandles av NEM gjelder vedtak om dispensasjon fra taushetsplikt.
Punkt 16.2 Plikt til å overføre opplysninger
Departementet foreslår at registerforvalterne skal ha en forskriftsfestet plikt til å overføre kvalitetssikrede datasett til dataplattformen. Dataproduktet skal utarbeides og overføres i samsvar med retningslinjer utarbeidet av Direktoratet for e-helse. Kvalitetssikringen vil omfatte behandling av opplysninger om de registrertes eventuelle samtykker og reservasjoner.
Registerforvalterens plikt etter helseregisterloven § 19 h til å føre oversikt over tilgjengeliggjøringer gjelder ikke for overføringer til Helsedataservice, dette følger av forslaget til forskrift § 20 første ledd bokstav a.
Helsedirektoratets innspill:
Slik vi oppfatter det må eventuelle relevante begrensninger for adgangen til å tilgjengeliggjøre helsedata som følger av de registrertes samtykker og reservasjoner også ivaretas når slike data skal gjøres tilgjengelig på/fra Helseanalyseplattformen. Dette vil i praksis kreve at Direktoratet for e-helse til enhver tid har tilgang til nødvendig informasjon om aktuelle samtykker og reservasjoner som er av betydning for forvaltningen av de helsedataene som direktoratet er dataansvarlig for. Siden samtykke- og reservasjonsstatus ikke vil være konstant (samtykker gis og trekkes tilbake, noen reservasjoner kan falle bort, mens nye kan komme til) må det derfor finnes egnede løsninger, som sikrer at Direktoratet for e-helse har tilgang til aktuelle opplysninger og samtykke- og reservasjonsstatus ved behov.
Vi støtter videre forståelsen av regelen i § 19 h, men legger til grunn at registerforvalterne i alle tilfelle bør kunne dokumentere hvilke opplysninger som er overført til Direktoratet for e-helse i den grad det er nødvendig for å sikre tilfredsstillende internkontroll og notoritet knyttet til behandlingen av helseopplysninger.
Punkt 16.4 Tilgjengeliggjøring av helsedata fra registerforvalterne
Departementet foreslår at det forskriftsfestes at registerforvalterne ikke skal kunne tilgjengeliggjøre de samme opplysningene som Helsedataservice har myndighet til å fatte vedtak om etter § 7 første ledd, jf. forslaget til forskrift § 20 andre ledd første punktum.
Helsedirektoratets innspill:
Vi er enige i prinsippet om at registerforvalterne ikke bør kunne utlevere de samme opplysningene og til samme formål som Helsedataservice. Dette fordi en løsning der flere aktører har samme vedtaksmyndighet vil kunne bidra til en uklar oppgavefordeling aktørene imellom. En slik løsning vil også kunne gjøre det ekstra krevende for brukere av helsedata å finne ut hvor de må henvende seg for å søke tilgang til opplysningene de ønsker.
Selv om det nye systemet for tilgjengeliggjøring av opplysninger i prinsippet kan innrettes for å gjelde tilgjengeliggjøring av helsedata fra helseregistre til alle legitime formål synes det klart at hovedfokuset i arbeidet med den nye løsningen så langt har vært, og i overskuelig fremtid vil fortsette å være, tilgjengeliggjøring av helsedata for bruk i forskning. En eksklusiv myndighet for Direktoratet for e-helse til å treffe beslutninger om tilgjengeliggjøring av helsedata fra helseregistre for alle formål vil derfor kunne medføre at behovet for tilgang til helsedata for andre formål enn forskning blir dårligere ivaretatt enn ønskelig. I tillegg kommer at det allerede er etablert fungerende systemer for tilgjengeliggjøring av helsedata for styringsformål fra f.eks. NPR, og at det etter vår vurdering ikke vil være formålstjenlig å endre disse systemene slik at leveransene går via Direktoratet for e-helse som tredjepart. Departementets sondring mellom tilgjengeliggjøring av helseopplysninger til bruk i forskning mv. og tilgjengeliggjøring av helsedata for offentlige virksomheter som har behov for å behandle helsedata for å ivareta andre oppgaver enn forskning fremstår derfor som en hensiktsmessig tilnærming.
Det er imidlertid klart at en slik tilnærming vil innebære at både registerforvaltere og Direktoratet for e-helse i prinsippet vil ha vedtaksmyndighet i tilfeller der helsedataene skal brukes "av offentlige virksomheter eller av den dataansvarlige til statistikk, analyse, kvalitetsforbedring, planlegging, styring eller beredskap for å ivareta oppgaver i henhold til lov, forskrift eller instruks", jf. forslaget til § 20.
En slik regulering vil derfor kreve at registerforvalterne som er omfattet av løsningen og Direktoratet for e-helse blir enige om og samarbeider for å opprettholde en hensiktsmessig og forutsigbar oppgavefordeling. Oppgavefordelingen må sikre at behovet for tilgang til helsedata for bruk til alle legitime formål ivaretas på en god måte. Det vil kunne være hensiktsmessig at oppgavefordelingen avtales mellom registerforvalterne og Direktoratet for e-helse i forkant av at opplysningene overføres til plattformen. På denne måten vil en kunne sikre at oppgavefordelingen bli klar på et tidlig tidspunkt, slik at den kan formidles til brukerne av helsedata samtidig som det informeres om at det er besluttet at opplysninger fra et konkret register skal overføres til dataplattformen. En slik tilnærming vil gi en fleksibilitet som muliggjør at Direktoratet for e-helse/Helsedataservice gradvis kan få/påta seg en større rolle på området, i takt med at mengden av opplysninger på plattformen øker og at kompetansen i Helsedataservice bygges opp. Dette vil legge forholdene til rette for at en kan fortsette arbeidet mot et stadig mer enhetlig system for tilgjengeliggjøring av helsedata. I praksis vil det også være slik at departementet, med en slik dobbeltregulering, vil ha mulighet til å øve innflytelse på oppgavefordelingen mellom aktørene ved hjelp av andre "styringsmekanismer" enn lov og forskrift.
Punkt 16.5 Offentlige virksomheters bruk av helsedata
Departementet foreslår at helsedata som skal brukes av offentlige virksomheter til statistikk, analyse, kvalitetsforbedring, planlegging, styring og beredskap for å ivareta virksomhetens oppgaver i henhold til lov, forskrift eller instruks, skal kunne tilgjengeliggjøres fra eller brukes av registerforvalterne uten å søke om dataene fra Helsedataservice. Helsedataservice vil ha vedtaksmyndighet for bruk av opplysninger til forskning. Departementet legger vekt på at helsemyndighetene skal kunne nyttiggjøre seg helseregistrene på en smidig måte når de skal ivareta sine samfunnsoppdrag. Helsedata bør derfor fortsatt kunne brukes av offentlige myndigheter uten å måtte søke om dataene fra Helsedataservice.
Departementet ber om høringsinstansenes syn på hvilken rolle Helsedataservice bør ha når det gjelder bruk av helsedata fra helseregistre til andre formål enn forskning. Dette gjelder både registerforvalternes bruk av egne data og tilgjengeliggjøring for andre brukere i og utenfor registerforvalterens virksomhet. For det tilfelle at registerforvaltere skal kunne bruke og tilgjengeliggjøre data til bruk av helsedata fra helseregistre til andre formål enn forskning uten å søke om dette fra Helsedataservice, ber departementet også om høringsinstansenes syn på om "virksomhetens oppgaver i henhold til lov, forskrift eller instruks" er en dekkende avgrensning for de ulike typene helseregistre
Helsedirektoratets innspill:
Vi støtter forslaget om at offentlige myndigheter og registerforvalterne skal kunne bruke "egne" data til å utføre sine oppgaver uten først å måtte søke Helsedataservice. Forslaget gjelder oppgaver knyttet til styring, beredskap, kvalitetsforbedring av tjenester osv. så langt de har rettslig grunnlag for det. Vi støtter også vurderingen om at det er viktig at både helsemyndighetene og andre offentlige virksomheter kan gjøre seg nytte av opplysningene i helseregistre på en smidig måte når de skal ivareta sine samfunnsoppdrag. Helsedata bør derfor fortsatt kunne brukes av offentlige myndigheter uten å måtte søke om tilgang til dataene fra Helsedataservice.
Helsedataservice vil ha vedtaksmyndighet for bruk av opplysninger til forskning. Vi viser her til at for eksempel medisinske kvalitetsregistre i helseforetak også bør ha eierskap og lett tilgang til egne data for å utføre sine samfunnsoppdrag. Foretakene som driver de medisinske kvalitetsregistrene er pålagt å drive forskning. Det kan derfor være uheldig å innføre en søkeprosess hvor andre enn registerforvalteren skal bestemme over dataene. Registrene vil da miste medbestemmelse/myndighet over egne data.
Departementets forslag innebærer at forhold knyttet til det rettslige grunnlaget for både registerforvalternes og øvrige offentlige virksomheters behandling av opplysninger fra helseregistrene i praksis kan bli avgjørende for hvorvidt en konkret ønsket behandling av helseopplysninger fra helseregistre vil kreve involvering fra Direktoratet for e-helse sin side. I noen tilfeller vil behovet for en dispensasjon fra taushetsplikt kunne innebære at Direktoratet for e-helse må involveres, som dispensasjonsmyndighet, også i saker som gjelder bruk av opplysninger fra helseregistre til andre formål enn forskningsformål. Vi antar at erfaringene med en slik rollefordeling vil kunne avdekke et behov å se nærmere på den rettslige reguleringen av enkelte former for behandling av helsedata hos offentlige virksomheter.
Punkt 17. Økonomisk og administrative konsekvenser
Det fremgår at etablering av Helseanalyseplattformen og Helsedataservice som funksjon for å forvalte tilgang til data vil ha økonomiske og administrative konsekvenser både for Direktoratet for e-helse, for eksisterende registerforvaltere og for brukere av helsedata. Det legges til grunn at etablering av Helsedataservice vil avlaste registerforvalterne for oppgaver knyttet til søknadsbehandling og tilgjengeliggjøring av data. Samtidig får disse virksomhetene nye oppgaver knyttet til utvikling av data-produkter og bistand til Direktoratet for e-helses behandling av søknader.
I punkt 14.4 fremgår det at veiledningstjenesten som driftes av Helfo vil få nye oppgaver med å veilede innbygger/den registrerte, og at veiledningstjenesten dermed må få tilstrekkelig opplæring i de nye innbyggertjenestene.
Helsedirektoratets innspill:
Etablering av Helsedataservice og helseanalyseplattformen vil som departementet skriver medføre nye oppgaver for registerforvalterne, knyttet til blant annet utvikling og leveranser av dataprodukter og bistand ifm. Direktoratet for e-helses behandling av søknader. Vi legger derfor til grunn at etableringen av den nye løsningen for tilgjengeliggjøring av helsedata ikke vil redusere ressursbehovet hos registerforvalterne i særlig grad.
Dersom ressurser flyttes uten at registerforvalternes ressursbehov er tilsvarende redusert vil dette raskt få negative konsekvenser for forvaltningen av helseregistrene og derigjennom også for brukere av opplysninger fra helseregistrene. En eventuell flytting av ressurser fra registerforvalterne til Direktoratet for e-helse, bør ikke gjennomføres før det er avklart om ressursbehovet hos registerforvalterne de facto blir redusert tilsvarende.
Det er viktig at registerforvalterenes bidrag i arbeidet med realisering av Helsedataservice og helseanalyseplattformen kompenseres fullt ut, slik at registerforvalternes evne til utføre egne oppgaver ikke svekkes. Det er videre viktig at det også etter etablering av Helsedataservice og helseanalyseplattformen sikres at registerforvalterne fortsatt innehar tilstrekkelige ressurser til å ivareta sine oppgaver. Vi støtter derfor departementets forslag om at brukerbetalingen for tjenester fra Helsedataservice og Helseanalyseplattformen må dekke "kompensasjon til registerforvaltere for arbeid med dataprodukter, veiledning mv.", jf. høringsnotatets punkt 12.2.
Helfo er tiltenkt oppgaver i veiledningstjenesten. For Helfo er det viktig at nødvendige ressurser sikres i forbindelse med utvidelse av egne oppgaver, og at det tydeliggjøres dersom dette skal skje gjennom kompensasjon fra Helseanalyseplattformen til Helfo.
Ressursknapphet, enten dette er hos Direktoratet for e-helse, registerforvalterne eller Helfo, vil innebære en betydelig risiko for at intensjonene med den foreslåtte løsningen for tilgjengeliggjøring av helsedata ikke nås.
I lys av beskrivelsen av hvordan den foreslåtte løsningen for tilgjengeliggjøring av helsedata skal
finansieres er det nærliggende å anta at enkelte brukere/brukergrupper vil kunne oppleve økte kostnader forbundet med det å skaffe seg tilgang til helsedata. Dersom målet om økt bruk av helsedata til alle legitime formål skal nås, er det viktig at finansieringen av løsningen ikke medfører at økte kostnader blir en ny barriere som medfører at det helsedata ikke benyttes i den utstrekning dette er ønskelig.
Slik vi ser det er ikke konsekvensene av å flytte myndigheten til å gi dispensasjon fra taushetsplikt, fra Helsedirektoratet og REK til Helsedataservice/Direktoratet for e-helse tilstrekkelig tematisert. Det er imidlertid klart at dette forslaget vil ha både økonomiske og administrative konsekvenser. Det er for eksempel grunn til å anta at overføring av dispensasjonsmyndigheten, fra REK til Helsedataservice, alene vil medføre at Helsedataservice må behandle flere hundre dispensasjonssaker. Vi er kjent med at antallet saker vil være på ca. 700. Dette vil kreve betydelige saksbehandlingsressurser hos Direktoratet for e-helse. En eventuell økt saksbehandlingstid for søknader om dispensasjon fra taushetsplikt som følge av begrensede ressurser vil svekke intensjonen med endringene. Konsekvensene av å flytte på myndigheten til å fatte vedtak om dispensasjon fra taushetsplikt må derfor utredes godt, for å sikre at endringene ikke får uforutsette og utilsiktede og konsekvenser.
18 Forskrift om nasjonal løsning for tilgjengeliggjøring av helsedata
I forslaget til § 4 nevnes også "sammenstilling". Bør dette være konsistent?
Samme merknad som til navn på forskriften.
Slik vi ser det er helseanalyseplattformen i realiteten et helseregister. Den vil inneholde en strukturert samling av person- og helseopplysninger som er tilgjengelige etter særlige kriterier. Opplysningene skal lagres systematisk slik at opplysningene om den enkelte kan finnes igjen. Det fremgår ikke i høringsnotatet hvilken rettslig virkning det er ment å ha at man trekker et skille mellom en "løsning for tilgjengeliggjøring" (som tilfredsstiller kravene i helseregisterloven § 2 bokstav c) og et "helseregister" (som også tilfredsstiller kravene i helseregisterloven § 2 bokstav c).
Forskriftsbestemmelsen beskriver hva som er formålet med løsningen
og forskriften. En formålsbestemmelse er av betydning når de øvrige bestemmelsene i forskriften tolkes og anvendes. Forskriftens formålsbestemmelse vil på den måten være retningsgivende og sette rammer for oppgaver, plikter og ansvar som er fastsatt i forskriften.
Den foreslåtte formålsbestemmelsen vil, slik vi oppfatter det, derimot ikke være bestemmende for til hvilke formål opplysningene som omfattes av løsningen kan behandles. På dette punktet skiller den foreslåtte formålsbestemmelsen fra formålsbestemmelsene i forskriftene for f.eks. de lovbestemte helseregistrene som er etablert med hjemmel i helseregisterloven § 11.
Formålsbestemmelsene i forskriftene for de enkelte lovbestemte registrene utgjør, sammen med regler om forbud mot bruk, rettslige skranker for til hvilke formål opplysningene i og fra registrene kan behandles. Adgangen til å gjøre endringer i forskriftene for de lovfestede helseregistre ligger i mange tilfeller til kongen i statsråd, men eventuelle endringer i registrenes formålsbestemmelser vil i enkelte tilfeller kunne kreve at Stortinget involveres. Det burde derfor fremgå at formålsbegrensningene for det enkelte register/kilde som skal omfattes av løsningen ligger fast, noe som innebærer at Helsedataservice i praksis må forholde til forskriftene/det rettslige grunnlaget for hver enkelt av kildene som er omfattet av løsningen. Dette vil stille store krav til Helsedataservice, både mht. å sette seg inn i hvordan de ulike regelsettene skal forstås og etablert forvaltningspraksis knyttet til dette, men også når det gjelder å avstemme sin forståelse av disse reglene med de aktørene som har størst erfaring og praksis knyttet til disse regelsettene, nemlig de dataansvarlige for de respektive registrene/kildene.
Til § 2 andre ledd og begrepet "lav grad av personidentifikasjon": begrepet er litt uklart. På hvilken måte vet man om formålet er oppnådd? Det følger av de alminnelige vilkårene for behandling av personopplysninger at det ikke skal behandles flere opplysninger enn nødvendig. Dette tilsier f.eks. at det også innenfor rammene av "indirekte identifiserbare
helseopplysninger", jf. helseregisterloven § 2 bokstav f, kan anses å være ulike grader av personidentifikasjon. Og da i betydningen at det vil være "mer eller mindre enkelt" å knytte de indirekte identifiserbare opplysningene til en identifiserbar enkeltperson.
§ 4 Etablering av en nasjonal løsning for sammenstilling og tilgjengeliggjøring av helsedata
§ 4 første ledd: her nevnes også sammenstilling.
§ 4 tredje ledd bokstav b) "koordinere": Er dette noe søker kan velge å benytte seg av? Ansvaret for å koordinere egne søknader bør også i fortsettelsen ligge til søker selv.
§ 4 tredje ledd bokstav c), jf. høringsnotatets punkt 7.5: Helsedataservice skal også gi brukerne veiledning om helsedata, dataprodukter, registervariabler og tilhørende metadataelementer,
samt hjelpe brukerne til å finne hensiktsmessige data til sitt bruk. Denne veiledningen vil foregå i tett samarbeid med registerforvalterne i og med at det er de som har detaljkunnskapen
om innholdet i de ulike datakildene. Dette er en betydelig større "veiledningstjeneste" (veiledningsplikt) enn det man har hatt til nå. Dette vil ha en kostnadsside.
§ 4 tredje ledd bokstav d), jf. høringsnotatets punkt 2.7: Om data utleveres til et analyserom, med et vilkår om at opplysningene skal være anonyme når de hentes ut. Slik det er formulert nå er det Direktoratet for e-helse som etablerer tekniske og organisatoriske tiltak som reduserer risiko for at helseopplysninger hentes ut fra sikker sone, og sikrer kontroll på dataflyten inn og ut av analyserommet. Det gis inntrykk av at e-helse påtar seg et dataansvar for opplysninger som er overlevert til et analyserom, mens det i realiteten er søker som blir dataansvarlig etter tilgjengeliggjøring.
§ 4 tredje ledd bokstav e): Begrepet "innbyggertjenester" er omtalt i høringen punkt 14, men ikke definert i forskriften § 3. Det er ikke tydelig avklart hva begrepet omfatter, og det derfor tas inn en henvisning til forskriftsforslaget § 17. Slik vi forstår det er § 17 ment som en opplisting av hvilke konkrete "innbyggertjenester" som Direktoratet for e-helse skal "sørge for".
§ 6 Behandling av helseopplysninger og andre personopplysninger
§ 6 første ledd: Vi foreslår å endre og tydeliggjøre bestemmelsen for å presisere beslutningsmyndigheten til Direktoratet for e-helse, og at denne er i samsvar med personvernregelverket. Slik vi ser det bør det fastsettes i forskriften at opplysninger fra registre etter § 6 kan omfattes på plattformen. Dette innebærer at departementet bestemmer hvilke registre som kan omfattes, og at Direktoratet for e-helse bestemmer hvilke registre som skal omfattes og fra hvilket tidspunkt opplysninger skal overføres fra det enkelte register.
Når det gjelder hvilke opplysninger som skal overføres, må den endelige beslutningsmyndigheten når det gjelder blant annet dataminimering ligge til registerforvalteren. Registerforvalterne har en plikt til å behandle opplysningene i samsvar med personvernforordningen og helseregisterloven, og må foreta egne vurderinger og stå til ansvar for disse. Slik vi ser det er det ikke anledning til at en annen dataansvarlig kan instruere registerforvalterne på detaljnivå på dette området. Direktoratet for e-helse kan imidlertid be om at opplysninger utleveres til formålet tilgjengeliggjøring. Formålet her er vidt og ikke konkret definert, så det må derfor etableres retningslinjer for hvordan registerforvalterne best kan tilgjengeliggjøre opplysninger til dette formålet.
§ 6 første ledd gjelder helseopplysninger og andre personopplysninger . Bør metadata nevnes i forskriftsteksten? Uten at metadata tas med vil helse- og personopplysningene, slik vi ser det, savne kontekst.
§ 6 første ledd bokstav l): Helsedirektoratet mener at det er hensiktsmessig å vente med inkludering av medisinske kvalitetsregistre med nasjonal status til en har høstet erfaring med å inkludere registre etter helseregisterloven § 11. De medisinske kvalitetsregistrene med nasjonal status er viktige innenfor sine fagfelt. Per i dag er det over 50 registre som har nasjonal status, og det er ulikt hvordan de er organisert også med tanke på lagring av data. Det er viktig å sikre forutsigbarhet for registerforvalterne og en praktisk mulighet for registrene til å forberede seg på hva det vil innebære at kvalitetsregistrene blir omfattet av løsningen. Det er også viktig å sikre en aktiv deltakelse fra registrene i arbeidet, slik at de blir kjent med konsekvensene av plikten til å overføre opplysninger og slik at de kan ivareta eierskapet til egne helsedata. Blant annet må de fortsatt kunne bruke egne data til kvalitetsforbedring ved å sammenlikne egne data med nasjonale data. Det bemerkes også at de medisinsk kvalitetsregistre, også etter en eventuell inkludering, på enkel måte må kunne bruke dataene til forskning, som er pålagt oppgave for helseforetakene.
§ 6 første bokstav n): Det fremgår ikke hvilke variabler som skal hentes fra Folkeregisteret. Det vil vel i utgangspunktet være brukerne (forskningsprosjektene) som har
behandlingsgrunnlag for å sammenstille opplysninger med folkeregisteret?
§ 6 fjerde ledd: "helsedata": jf. tidligere kommentar om metadata
§ 7 Vedtak om tilgjengeliggjøring
§ 7 første ledd: "søknad eller tilgjengeliggjøring": her nevnes både "etter søknad og" og "på forespørsel". Er det noe forskjell?
§ 7 tredje ledd: "i": i eller fra? Ved å ta i mot eller fra synliggjøres at det kan være grunn til å rådføre seg både i tilfeller der opplysningene er overført til plattformen og i tilfeller der dette (ennå) ikke har skjedd.
§ 7 fjerde ledd: "hvis": erstatte med "dersom"?
§ 7 femte ledd: "som": erstatte med "og"?
§ 8 Tilgjengeliggjøring fra dataplattformen
§ 8 første ledd: hva menes med "overført"? Betyr det overført til analyseinfrastrukturen eller overført ut til forsker? Bør det stå "tilgang til" istedenfor overført? Om opplysningene er i en lukket struktur er det vel egentlig ikke overføring, men heller en tilgjengeliggjøring? Skal det være tilstrekkelig kapasitet i løsningen til at alle analyser skal gjøres der, eller er tanken at data skal hentes ut og analyseres annet sted?
Til "personidentifiserende kjennetegn": det er behov for en konkretisering, og aller helst en uttømmende oversikt over hva som menes med "direkte personidentifiserende kjennetegn".
For hvilke formål er personidentifiserende kjennetegn nødvendig i analyseinfrastrukturen?
Direkte personidentifiserbare kjennetegn (navn eller personnummer) er ikke nødvendig for å analysere data. Det er bare dersom det er behov for å innhente ytterligere data at det er behov for fødselsnummer. Vi foreslår derfor at adgangen begrenses til bruk av personnummer eller løpenummer dersom brukeren selv skal sammenstille data.
Det fremgår ikke om det er bruker eller HAP som skal ha ansvaret for å hente inndata som ikke ligger i løsningen, som opplysninger fra offentlige registre som NAV, skatt og utdanning. Spørsmålet er om bruker i slike tilfeller skal få utlevert nøkkelfil (fødselsnummer og løpenummer), eller om HDS skal hente inn data fra de andre kildene. I veldig mange forskningsprosjekter vil det også inngå data som ikke finnes i helseregistre. Det kan være arbeidskrevende å vurdere om data "ivaretar brukerens formål".
§ 8 første ledd andre punktum: bestemmelsen bør slik vi ser det tydeliggjøres i tråd med dataminimeringsprinsippet. Det bør fremgå at opplysningene skal begrenses til det som er tilstrekkelig for å oppnå formålet med behandlingen. Dette innebærer bruk av anonyme opplysninger som et utgangspunkt. Kun der det er nødvendig å bruke indirekte eller direkte identifiserbare opplysninger for å oppnå formålet med behandlingen kan slike opplysninger brukes.
§ 8 andre ledd: andre ledd åpner for en såkalt distribuert kobling. Dette henger imidlertid ikke godt sammen med formuleringene i § 20. (se egne kommentarer til denne).
Til "nøkkelfiler tildelt av direktoratet": Må nøkkelfilene være tildelt av direktoratet, eller bør det være en åpning for at nøkkelfiler også kan tildeles av andre aktører, som for eksempel SSB?
§ 9 Saker som krever forskningsetisk forhåndsgodkjenning
§ 9 første ledd: "For søknader": bør det stå "I saker"?
§ 11 Statistikk og andre anonyme opplysninger
Første ledd: "som er overført til dataplattformen og som kan være sammenstilt med andre opplysninger etter helseregisterloven § 19 c": kan formuleringen forenkles?
"fra dataplattformen": omfatter ordlyden den tilgjengeliggjøringen som skjer "på" Helseanalyseplattformen, dvs. at opplysningene tilgjengeliggjøres på den infrastrukturen som skal tilbys som en del av løsningen?
§ 13 Sletting av opplysninger
Første ledd: Det vil kunne være vanskelig for Direktoratet for e-helse å avgjøre om, og eventuelt når, opplysninger ikke lenger er relevante for å ivareta formålet med løsningen. Behovet for opplysninger i løsningen vil jo bero på brukerens behov, og "neste brukers behov" er ukjent.
Erfaringen tilsier at det gjerne er behov for /ønskelig med lange "tidsserier" for å se på utvikling over tid, noe som tilsier at behovet for å beholde opplysninger som er overført til løsningen vil være langvarig.
Andre ledd: "særskilte grunner": hvilke grunner er aktuelle i praksis? Bør omtales.
§ 14 Betaling for tilgjengeliggjøring av opplysninger mv.
Til overskriften: Partnerskapsavtaler og krav om "gjenytelser" er ikke nevnt her, men i teksten i høringsnotatet. Slike løsninger er vel imidlertid uansett litt ved siden av det denne forskriften bør regulere.
Det fremgår i teksten i høringsnotatet punkt 12.2 at brukerbetalingen for tjenester fra Helsedataservice og Helseanalyseplattformen skal dekke "kompensasjon til registerforvaltere for arbeid med dataprodukter, veiledning mv." Dette bør kanskje fremgå av § 14 andre ledd?
Det ser ut til at tilgang til opplysninger kan bli vesentlig dyrere for søkerne. NPR/KPR tar i dag bare betalt for timer/medgått tid.
Første ledd, "kvalitetssikring": på hvilken måte skal Helsedataservice drive med kvalitetssikring av opplysninger? Bryter dette med prinsippet om at løsningen bare skal være et "verktøy for data ut"?
§ 17 Innbyggertjenester
Det er viktig at det ikke skapes tvil om hva som er registerforvalterens ansvar og oppgaver når det gjelder ivaretakelse av de registrertes rettigheter. Det er derfor viktig at det fremgår klart at denne bestemmelsen kun regulerer tjenester som e-helse skal tilby i tilknytning til de person- og helseopplysningene direktoratet selv er ansvarlig for. For eksempel er det lagt opp til at veiledningstjenensten i Helfo skal få ansvaret for informasjon til innbyggerne.
Det er også viktig at innsynstjenestene for de registrerte avstemmes mot registerforvalternes løsninger for innsyn. (For eksempel; dersom en ber e-helse om innsyn i opplysninger fra NPR som finnes på plattformen, bør det sørges for at informasjonen som gis gir god sammenheng dersom den sammenholdes med opplysninger som en registrert vil motta dersom det gis innsyn i NPR. I motsatt fall vil både e-helse og registerforvalterne nødvendigvis måtte bruke ressurser på å forklare eventuelle forskjeller.)
§ 19 Kryptering og tilgang til opplysninger
Første ledd: "andre personidentifiserende kjennetegn": Det er behov for en klargjøring av hva som menes med dette begrepet. Det bør gis en uttømmende oppstilling av hva som skal inngå i begrepet. Dette særlig som følge av høringsnotatet punkt 2.2, hvor det fremgår at "Uttrykket personidentifiserende kjennetegn" i helseregisterloven § 2 må forstås som synonymt med "direkte personidentifiserende kjennetegn i" i § 21 om informasjonssikkerhet. Da det kan hevdes at et løpenummer eller et pseudonym også er personentydig, brukes uttrykket direkte personidentifiserende kjennetegn i dette høringsnotatet".
Det er også ønskelig med en avklaring av det nærmere innholdet i kravet om slike kjennetegn skal "separeres fra og lagres kryptert og adskilt fra andre registeropplysninger".
Andre ledd, første setning, "registeret": Løsningen omtales her som et register. Vi mener plattformen er å anse som et helseregister, og gjennomgående må kalles et register. I noen av helseregisterlovens bestemmelser skilles det mellom dataansvarlige og dataansvarlige for helseregistre. Hva er de reelle rettslige konsekvensene av dette?
§ 20 Plikter for de dataansvarlige for helseregistre
Første ledd bokstav b): Denne må ses i sammenheng med reglene i § 8. Det bør fremgå at de dataansvarlige for helseregistre også skal overføre opplysninger til brukerne av helsedata, dersom opplysningene skal sammenstilles av brukeren "på grunnlag av nøkkelfiler tildelt av direktoratet", jf. forslag til § 8 siste ledd.
§ 8 andre ledd: se våre innspill til punkt 10.5.