4 Forslaget om å oppheve helseregisterloven § 8 sjette ledd første setning

4.1 Høringsnotatets forslag

I høringsnotatet er det foreslått å oppheve helseregisterloven § 8 sjette ledd første setning, med formuleringen «databehandlingsansvaret kan delegeres». Bakgrunnen for forslaget var at formuleringen kan misforstås og gi inntrykk av at det åpnes for delegasjon av den databehandlingsansvarliges rettslige ansvar.

4.2 Høringsinstansenes syn

De høringsinstansene som uttaler seg om forslaget om å oppheve helseregisterloven § 8 sjette ledd første setning er enten positive til en slik endring, eller har ingen innvendinger mot at dette gjøres.

4.3 Departementets vurdering

Databehandlingsansvarlig er i helseregisterloven § 2 nr. 8 definert som «den som bestemmer formålet med behandlingen av helseopplysningene og hvilke hjelpemidler som skal brukes, hvis ikke databehandlingsansvaret er særskilt angitt i loven eller i forskrift i medhold av loven». Databehandler er definert som «den som behandler helseopplysninger på vegne av den databehandlingsansvarlige», jf. helseregisterloven § 2 nr. 9. Forholdet mellom den databehandlingsansvarlige og databehandler er regulert i helseregisterloven § 18 som åpner for bruk av databehandleravtaler. Både den databehandlingsansvarlige og databehandler har et lovpålagt ansvar for informasjonssikkerheten, jf. helseregisterloven § 16.

Kompetanse og myndighet til å utføre oppgaver som er tillagt den databehandlingsansvarlige kan etter den alminnelige delegasjonslæren delegeres til et organ som er faglig eller administrativt underordnet den databehandlingsansvarlige. Dette innebærer for eksempel at kompetanse og myndighet til å utføre oppgaver ikke kan delegeres fra Nasjonalt folkehelseinstitutt (som databehandlingsansvarlig) til et helseforetak. Dette fordi helseforetaket ikke er faglig eller administrativt underordnet Folkehelseinstituttet. Folkehelseinstituttet kan imidlertid, ved å inngå en databehandleravtale med helseforetaket, gi foretaket myndighet og kompetanse til å ivareta instituttets (databehandlingsansvarliges) daglige oppgaver som databehandler. Avtalen mellom databehandlingsansvarlig og databehandler vil i så fall regulere fordelingen av oppgaver. At det inngås en databehandleravtale vil ikke frata databehandlingsansvarlig ansvaret for at oppgavene blir utført i tråd med helseregisterloven og den enkelte registerforskrift.

Departementet har kommet til at høringsnotatets forslag om å oppheve helseregisterloven § 8 sjette ledd første setning ikke bør følges opp i denne omgang. Dette fordi begrepet databehandlingsansvarlig er vel innarbeidet og nærmere definert i loven. Det presiseres imidlertid at det er utøvelsen av databehandlingsansvarliges oppgaver som kan delegeres og ikke det rettslige ansvaret.