§ 3 første ledd skal lyde:

Loven gjelder for:

• 1. behandling av helseopplysninger i helse- og omsorgsforvaltningen og helse- og omsorgstjenesten, som skjer helt eller delvis med elektroniske hjelpemidler for å fremme formål som beskrevet i § 1,

• 2. annen behandling av helseopplysninger i helse- og omsorgsforvaltningen og helse- og omsorgstjenesten tjenesten til slike formål, når helseopplysningene inngår eller skal inngå i et helseregister og

• 3. Helsearkivregisteret i Norsk helsearkiv.

§ 5 andre ledd skal lyde:

Konsesjonsplikt etter personopplysningsloven § 33 gjelder ikke for behandling av helseopplysninger som skjer med hjemmel i forskrift etter §§ 6 til 8 a.

I følgende registre kan navn, fødselsnummer og andre direkte personidentifiserende kjennetegn behandles uten samtykke fra den registrerte i den utstrekning det er nødvendig for å nå formålet med registeret:

• 1. Dødsårsaksregisteret

• 2. Kreftregisteret

• 3. Medisinsk fødselsregister

• 4. Meldingssystem for smittsomme sykdommer

• 5. Det sentrale tuberkuloseregisteret

• 6. System for vaksinasjonskontroll (SYSVAK)

• 7. Forsvarets helseregister

• 8. Norsk pasientregister

• 9. Nasjonal database for elektroniske resepter

• 10. Nasjonalt register over hjerte- og karlidelser.

Kongen i statsråd kan i forskrift gi bestemmelser om etablering av Helsearkivregisteret.

Helsearkivregisteret er et sentralt helseregister med personidentifiserbar pasientdokumentasjon avlevert til Norsk helsearkiv, jf. § 9 og spesialisthelsetjenesteloven § 3-2 a. Opplysningene i Helsearkivregisteret kan behandles uten de registrertes samtykke.

Riksarkivaren er databehandlingsansvarlig for opplysningene i Helsearkivregisteret, jf. arkivlova § 4.

Kongen i statsråd kan i forskrift gi nærmere bestemmelser om etablering av Helsearkivregisteret, behandlingen av helseopplysningene i registeret, formålet med behandlingen og hvilke opplysninger som skal behandles. Bestemmelsene skal videre angi den databehandlingsansvarliges plikt til å gjøre data tilgjengelig.

Kongen i statsråd kan i forskrift gi nærmere bestemmelser om bevaring, kassasjon og avlevering av pasientdokumentasjon for de private virksomhetene i spesialisthelsetjenesten, jf. spesialisthelsetjenesteloven § 3-2 a andre ledd.

Virksomheter og helsepersonell som tilbyr eller yter tjenester i henhold til apotekloven, helse- og omsorgstjenesteloven, smittevernloven, spesialisthelsetjenesteloven eller tannhelsetjenesteloven, plikter å utlevere eller overføre opplysninger som bestemt i forskrifter etter §§ 6 a, 6 c, 6 d, 7, 8 og 8 a samt etter paragrafen her.

Kongen kan gi forskrifter om innsamling av helseopplysninger etter §§ 6 a, 6 c, 6 d, 7, 8 og 8 a, herunder bestemmelser om hvem som skal gi og motta opplysningene og om frister, formkrav og meldingsskjemaer. Den som mottar opplysningene, skal varsle avsenderen av opplysningene dersom opplysningene er mangelfulle.

Helseopplysninger innsamlet etter § 9 kan sammenstilles etter nærmere bestemmelser fastsatt i forskrift etter §§ 7, 8 og 8 a.

Den databehandlingsansvarlige og databehandleren skal gjennom planlagte og systematiske tiltak sørge for tilfredsstillende informasjonssikkerhet med hensyn til konfidensialitet, integritet, kvalitet og tilgjengelighet ved behandling av helseopplysninger.

I registre som er nevnt i § 8 tredje ledd, skal direkte personidentifiserende kjennetegn lagres kryptert. Kravet om at direkte personidentifiserende kjennetegn skal lagres kryptert, gjelder ikke for Nasjonal database for elektroniske resepter.

For å oppnå tilfredsstillende informasjonssikkerhet skal den databehandlingsansvarlige og databehandleren dokumentere informasjonssystemet og sikkerhetstiltakene. Dokumentasjonen skal være tilgjengelig for medarbeiderne hos den databehandlingsansvarlige og hos databehandleren. Dokumentasjonen skal også være tilgjengelig for tilsynsmyndighetene.

En databehandlingsansvarlig som lar andre få tilgang til helseopplysninger, for eksempel en databehandler eller andre som utfører oppdrag i tilknytning til informasjonssystemet, skal påse at disse oppfyller kravene i første, andre og tredje ledd.

Kongen kan gi forskrift om sikkerhet ved behandling av helseopplysninger etter denne lov. Kongen kan herunder sette nærmere krav til elektronisk signatur, kommunikasjon og langtidslagring, om godkjenning (autorisasjon) av programvare og om bruk av standarder, klassifikasjonssystemer og kodeverk, samt hvilke nasjonale eller internasjonale standardsystemer som skal følges.

I forskrift etter §§ 6 til 8 a kan det bestemmes at heleopplysninger kan lagres for historiske, statistiske eller vitenskapelige formål, dersom samfunnets interesse i at opplysningene lagres klart overstiger de ulempene den kan medføre for den enkelte. Den databehandlingsansvarlige skal i så fall sørge for at opplysningene ikke oppbevares på måter som gjør det mulig å identifisere den registrerte lenger enn nødvendig.

Riksarkivet, statsarkiva, Samisk arkiv og Norsk helsearkiv utgjer det statlege Arkivverket, som står under leiing av Riksarkivaren.

Om ikkje anna vert uttrykkjeleg fastsett, kan Riksarkivaren delegera avgjerdsfullmakter til leiarane for statsarkiva, Samisk arkiv og Norsk helsearkiv.

Virksomheter i spesialisthelsetjenesten som omfattes av bevarings-, kassasjons- og avleveringsbestemmelsene i arkivlova kapittel II, skal avlevere sitt pasientjournalarkiv til Norsk helsearkiv, jf. arkivlova § 4.

Private virksomheter i spesialisthelsetjenesten plikter å bevare sitt pasientjournalarkiv og avlevere dette til Norsk helsearkiv etter at forskriftsmessig kassasjon er utført.

Taushetsplikt er ikke til hinder for avlevering etter første og andre ledd.

Bevaring, kassasjon og avlevering etter første og andre ledd skal skje i samsvar med bestemmelser gitt i forskrift med hjemmel i arkivlova § 12 og helseregisterloven § 8 a.

Statens helsetilsyn kan ved tilbakekall og suspensjon av autorisasjon, lisens eller spesialistgodkjenning pålegge helsepersonell å levere inn sitt pasientjournalarkiv til Fylkesmannen eller Norsk helsearkiv.

Departementet kan i forskrift gi nærmere bestemmelser om vilkår for å gi pålegg om innlevering, innsyn i og bruk av arkivene og arkivenes depotstatus i Norsk helsearkiv.