Del 2
Bakgrunn
3 Sekundærbruk av helsedata
I dette kapitlet gjør departementet nærmere rede for bruk og nytte av helsedata til sekundærformål. Begrepet sekundærbruk er forklart i punkt 2.4. Vi gir også en beskrivelse av de viktigste helseregistrene til sekundærbruk.
3.1 Bruk og nytte av dataene
Helsedata er en samfunnsressurs som brukes til å redde liv, skape bedre folkehelse, forbedre helsehjelp og pasientsikkerhet, og effektivisere ressursbruken. Innbyggeren er avhengig av at helsedata brukes til å utvikle og forbedre behandlingstilbudet, gi grunnlag for kunnskapsutvikling og bidra til styringen av pasientens helsetjeneste.
Norge har noen av verdens mest omfattende og historisk komplette helseregistre, inkludert nasjonale helseregistre, medisinske kvalitetsregistre, screeningprogrammer og befolkningsbaserte helseundersøkelser. I flere av de mest omfattende helseregistrene i Norge er god datakvalitet og høy dekningsgrad et resultat av flere tiår med innsamling, kvalitetsforbedring og analyse. Hvert år inngår data fra disse kildene i over 900 norske og internasjonale forskningsprosjekter, i tillegg til statistikkproduksjon, beslutningsstøtte, styringsformål, kvalitetskontroll, økonomiforvaltning og annen kunnskapsutvikling.
Det er en utvikling at enkle studier basert på bruk av data fra bare én kilde, erstattes av store prosjekter basert på sammenstilte data fra flere datakilder. Mye viktig kunnskapsproduksjon er basert på analyser på tvers av datakilder med ulike formål, slik som vurdering av sammenhenger mellom legemidler og helseeffekter eller mellom yrker og sykdomsforekomster.
I 2018 utgjorde Norges totale helseutgifter om lag 360 milliarder kroner, og utgiftene er forventet å øke i årene fremover. Samme år utbetalte Norsk Pasientskadeerstatning i overkant av 1 milliard kroner i erstatninger knyttet til behandling i offentlig og privat helsetjeneste. Helsedirektoratets rapport Samfunnskostnader ved sykdom og ulykker fra 2013 viser at den samlede økonomiske verdien av befolkningens tapte leveår og helsetap, helsetjenestekostnader og produksjonstap grunnet sykdom, uførhet og død samlet er mye større. I 2013 utgjorde tapte leveår og helsetap 1860 milliarder kroner. Dette er beløp som kunne vært redusert dersom helsedata i enda større grad ble benyttet til folkehelsetiltak, kvalitetsforbedring i helsetjenesten, bedre styring og helseøkonomiforvaltning, og utvikling av nye og mer effektive behandlingsformer og legemidler.
En innbyggerundersøkelse gjennomført av Helsedataprogrammet i 2019 viser at over 90 prosent av befolkningen er positive til at deres helseopplysninger blir brukt til sekundærformål. Flertallet av respondentene tar imidlertid forbehold om at opplysningene ikke skal kunne knyttes til dem som individ.
3.2 Helseregistrene
I det følgende beskrives lovbestemte helseregistre, medisinske kvalitetsregistre og befolkningsbaserte helseundersøkelser. Dette er helseregistre som behandler helseopplysninger til sekundærformål og som reguleres av helseregisterloven. Se også punkt 4.8 om registerforskriftene. Andre eksempler er Reseptregisteret og Helsearkivregisteret, men disse beskrives ikke her. Se imidlertid punkt 13.1.2 om Reseptregisteret.
3.2.1 Lovbestemte helseregistre
Lovbestemte helseregistre er etablert av den sentrale helseforvaltningen for å ivareta landsomfattende funksjoner og oppgaver. Registrene er i hovedsak landsdekkende. Registrene kan inneholde opplysninger om svangerskap, fødsler, sykdomsgrupper, dødsårsaker mv. Kreftregisteret, Medisinsk fødselsregister, Norsk pasientregister og Kommunalt pasient- og brukerregister er eksempler på lovbestemte helseregistre.
Opplysningene i disse registrene kan behandles uten de registrertes samtykke eller reservasjonsrett.
Vi har følgende lovbestemte registre:
Dødsårsaksregisteret
Kreftregisteret
Medisinsk fødselsregister
Meldingssystem for smittsomme sykdommer (MSIS)
System for vaksinasjonskontroll (SYSVAK)
Forsvarets helseregister
Norsk pasientregister (NPR)
Nasjonalt register over hjerte- og karlidelser
System for bivirkningsrapportering
Kommunalt pasient- og brukerregister (KPR)
3.2.2 Befolkningsbaserte helseundersøkelser
Befolkningsbaserte helseundersøkelser er undersøkelser av helseforhold i en hel befolkning, befolkningsgruppe eller et representativt utvalg av befolkningen, for eksempel geografisk område, kjønn, alder, gravide eller andre kjennetegn. Undersøkelsene er administrert med sikte på langsiktig drift der deltakerne skal følges over flere år. Et annet kjennetegn ved en del av undersøkelsene er at de har gjentatte innsamlinger av data, fysiske målinger (blodtrykk, høyde, vekt mm.) og/eller biologisk materiale.
Alle helseundersøkelsene er basert på samtykke fra de registrerte.
Vi har flere befolkningsbaserte helseundersøkelser, for eksempel Helseundersøkelsen i Nord-Trøndelag (HUNT), Tromsøundersøkelsen, SAMINOR og Den norske mor og barnundersøkelsen (MoBa).
Undersøkelsene gir grunnlag for å oppdage endringer i befolkningens helse og forhold som påvirker helsetilstanden. Videre fanger undersøkelsene opp sosiale og geografiske forskjeller. Undersøkelsene gir også muligheter for å gjøre framskrivninger av befolkningens helsetilstand. Dette er et viktig grunnlag for bedre å kunne planlegge fremtidens helsetjenester og dermed få en effektiv helsetjenesteforvaltning. Framskrivning av befolkningens helsetilstand er også av stor betydning for langtidsplanlegging knyttet til andre velferdsordninger slik som pensjon. Videre kan opplysningene brukes som grunnlag for utvikling av nye legemidler, nye behandlingsformer mv. ved at behov og effekt kan måles på befolkningsnivå.
Befolkningsbaserte helseundersøkelser er verktøy som kan brukes til å evaluere effekten av ulike politiske tiltak og reformer – ikke bare i helsesektoren, men også i andre sektorer slik som samferdsel, utdanning og i regionalpolitikken, skattepolitikken, mv. Undersøkelsene kan også gi kunnskap om hvordan folk oppfatter eller opplever helsetjenesten.
Befolkningsbaserte helseundersøkelser er regulert i en forskrift fra 2018.
3.2.3 Medisinske kvalitetsregistre
Medisinske kvalitetsregistre er registre hvor det løpende dokumenteres resultater for en avgrenset pasientgruppe med utgangspunkt i individuelle behandlingsforløp. At registrene er «medisinske» refererer til at helseregistrene inneholder medisinske opplysninger om behandlingsforløp og behandlingsresultater til en bestemt pasientgruppe eller behandlingsmetode.
Hovedformålet med å behandle helseopplysninger i kvalitetsregistre er å kvalitetsforbedre helsetjenestene. Informasjon om utredning, behandling og oppfølgning og pasientrapporterte data danner utgangspunkt for analyser, forskning, mv. for å kvalitetsforbedre og evaluere helse- og omsorgstjenesten. Opplysningene kan også brukes til planlegging og styring av helse og omsorgstjenesten. Systematisk bruk av data fra kvalitetsregistre gir mulighet til evaluering av prosess og resultat i pasientbehandling over tid. Kvalitetsregisterdata kan brukes til forskning på behandlingsmetoder og resultater, til sammenlikning av resultater mellom ulike behandlingsmetoder og til å avdekke eventuelle senvirkninger.
Ved hjelp av kvalitetsregistre kan man vurdere og eventuelt endre praksis. Dette kan eksempelvis være å følge med på om faglige retningslinjer følges og avdekke om behandling etter faglige retningslinjer gir ønsket effekt. Dataene kan også brukes til å analysere og sammenlikne ulike positive og negative effekter av ulike behandlingsvalg eller tiltak på kort og lang sikt. Denne type forskning og analyser er viktig for videreutvikling av helsetjenesten, og et supplement til annen praksisnær forskning. Kvalitetsregistre er også nyttige for å overvåke effekt og sikkerhet ved innføring og bruk av nye og kostnadskrevende metoder.
Kvalitetsregistrene kan være nasjonale eller lokale. Vi har ca. 200 medisinske kvalitetsregistre i spesialisthelsetjenesten. I overkant av 50 av disse har per 2020 status som nasjonale. Ansvaret for å beslutte nasjonal status er lagt til Helsedirektoratet. Det er utviklet kriterier for å kunne få og beholde status som nasjonalt register. Nasjonal status innebærer at det regionale helseforetaket påtar seg ansvar for oppfølging, videreutvikling og drift av registeret. Videre har de regionale helseforetakene ansvar for at det etableres felles tekniske og organisatoriske løsninger for nasjonale medisinske kvalitetsregistre, og at god utnyttelse av data fra og sikker drift av nasjonale medisinske kvalitetsregistre skjer via samordnet og felles infrastruktur.
Kvalitetsregistrene er basert på de registrertes samtykke eller eventuelt reservasjonsrett. Medisinske kvalitetsregistre er regulert i forskrift fra 2019.
4 Gjeldende rett
I dette kapitlet gis det en oversikt over regler som regulerer behandling av helseopplysninger fra helseregistre. Se også nærmere redegjørelse for gjeldende rett i punkt 11.1 om vilkår for tilgjengeliggjøring og sammenstilling og punkt 13.1 om forskriftsregulering av Reseptregisteret og Bivirkningsregisteret.
Med behandling av helseopplysninger menes enhver bruk av helseopplysninger, som for eksempel innsamling, registrering, sammenstilling, lagring og utlevering, jf. EUs personvernforordning artikkel 4 nr. 2. Hovedvekten legges her på utlevering og andre former for tilgjengeliggjøring av opplysningene, i tillegg til sammenstilling av opplysninger. Begrepene helseopplysninger, helseregister, tilgjengeliggjøring og sammenstilling er forklart i kapittel 2.
Tilgjengeliggjøring av helseopplysninger reguleres først og fremst av personvernforordningen. Den viktigste loven når det gjelder tilgjengeliggjøring av helseopplysninger til sekundærformål er ellers helseregisterloven. Andre relevante lover er helseforskningsloven, helsepersonelloven, statistikkloven og bioteknologiloven. Også andre lover har enkelte regler om behandling av helseopplysninger, men disse omtales ikke her.
4.1 Menneskerettighetene
4.1.1 Retten til privatliv (personvern)
Personvern kan ifølge Datatilsynets hjemmeside forklares som
retten til et privatliv og retten til å bestemme over egne personopplysninger. Alle mennesker har en ukrenkelig egenverdi. Som enkeltmenneske har du derfor rett på en privat sfære som du selv kontrollerer, hvor du kan handle fritt uten tvang eller innblanding fra staten eller andre mennesker.
Den europeiske menneskerettskonvensjon artikkel 8 og den norske Grunnloven § 102 slår fast at personvern er en menneskerettighet. Alle har rett til respekt for privatliv og familieliv, sitt hjem og sin kommunikasjon. Staten skal sikre et vern om den personlige integritet. Registrering, lagring og annen behandling av helseopplysninger skal i denne sammenheng vurderes som et inngrep i den personlige integritet. Behandling av opplysningene kan bare skje når det er i samsvar med loven og det er nødvendig i et demokratisk samfunn for eksempel for å beskytte helse. Det må også finnes lover som regulerer innsamling, forvaltning og spredning av personopplysninger. Det stilles krav om klar lovhjemmel og proporsjonalitet (forholdsmessighet). Videre skal rettssikkerhetskrav tilgodeses, inkludert kravet til presisjon i bestemmelsen slik at inngrepet er forutsigbart.
4.1.2 Retten til helsehjelp
Staten er samtidig forpliktet etter FNs konvensjon om økonomiske, sosiale og kulturelle rettigheter (ØSK) artikkel 12 til å treffe tiltak for å virkeliggjøre retten for enhver til den høyest oppnåelige helsestandard både fysisk og psykisk. Myndighetene skal skape vilkår som trygger all legebehandling og pleie under sykdom. Dette forutsetter at tjenestetilbudet må holde en forsvarlig og adekvat standard i lys av statens tilgjengelige ressurser og utviklingsnivå.
I EUs personvernforordning fortalen punkt 4 står det:
Behandling av personopplysninger bør ha som formål å tjene menneskeheten. Retten til vern av personopplysninger er ikke en absolutt rettighet; den må ses i sammenheng med den funksjon den har i samfunnet, og veies mot andre grunnleggende rettigheter i samsvar med forholdsmessighetsprinsippet.
Dette betyr at de personvernmessige ulempene ved bruk av helseopplysninger i et helseregister må vurderes opp mot statens plikt til å sikre en god helsestandard. Å virkeliggjøre retten til helsehjelp vil gjerne forutsette behandling av personopplysninger (helseopplysninger) og tilgjengeliggjøring av slike opplysninger for helsepersonell, forskere eller andre som er involvert i helsehjelpen, kvalitetsutvikling mv. I slike tilfeller må de ulike rettighetene veies opp mot hverandre i samsvar med forholdsmessighetsprinsippet. Det skal også tas hensyn til gjennomføringskostnadene av sikringstiltak.
Kravene til personvern og avveiningen mot hensynet til opplysningenes tilgjengelighet er regulert i personvernforordningen og helselovgivningen. Vi gjør rede for disse reglene i det følgende.
4.2 Personvernforordningen
EU vedtok i 2016 en generell forordning om personvern (2016/679). Forordningen gjelder som norsk lov, jf. personopplysningsloven § 1. Forordningens generelle regler om behandling av personopplysninger, er nå hovedloven ved all behandling av helseopplysninger i helseregistre. Her gis det en oversikt over noen av de viktigste reglene som gjelder ved tilgjengeliggjøring og sammenstilling.
4.2.1 Vilkårene for behandling av helseopplysninger
I artikkel 5 slås det fast at personopplysninger skal behandles på en lovlig, rettmessig og åpen måte.
Et viktig element av dette er at behandlingen må ha et rettslig grunnlag. Behandlingen vil bare være lovlig dersom minst ett av de alternative vilkårene i artikkel 6 om behandlingens lovlighet er oppfylt (behandlingsgrunnlag). Blant annet gjelder dette dersom behandlingen er basert på samtykke (bokstav a) eller dersom behandlingen er nødvendig av hensyn til vesentlige samfunnsinteresser (bokstav e).
Forordningen gir direkte hjemmel til å behandle opplysninger for en del tilfeller, blant annet dersom de registrerte har samtykket. I noen tilfeller kreves det i tillegg nasjonal lovgivning (supplerende rettsgrunnlag), blant annet dersom behandlingsgrunnlaget er bokstav e. Vedtak etter helsepersonelloven om dispensasjon fra taushetsplikten eller forskrifter med hjemmel i helseregisterloven kan gi et slikt grunnlag, jf. Prop. 56 LS (2017–2018) punkt 32.3.
Forordningen har i utgangspunktet et forbud mot å behandle helseopplysninger, jf. artikkel 9 om særlige kategorier opplysninger (sensitive opplysninger). Behandling av helseopplysninger er likevel lovlig dersom den registrerte har samtykket. Det samme gjelder også blant annet dersom behandlingen er nødvendig med henblikk på forebyggende medisin eller arbeidsmedisin, i forbindelse med medisinsk diagnostikk, yting av helse- og sosialtjenester, behandling eller forvaltning av helse- og sosialtjenester eller allmenne folkehelsehensyn.
Artikkel 9 nr. 2 pålegger staten å fastsette «egnede og særlige tiltak» for å verne den registrertes rettigheter og interesser. Helselovgivningen med forskrifter gir en rekke slike tiltak, med taushetsplikten som en særlig vesentlig garanti i denne sammenhengen. Et annet tiltak er for eksempel kravet om kryptering i helseregisterloven § 21. Krav om sletting og andre særlige tiltak er fastsatt i eller i medhold av lov- eller forskriftsbestemmelser, for eksempel i registerforskriftene, forhåndsgodkjenning fra den regionale komiteen for medisinsk og helsefaglig forskningsetikk (REK) eller vedtak om tilgjengeliggjøring av opplysninger. Ved behandling av opplysninger til forskning-, statistikk- og arkivformål har den dataansvarlige også plikt til å sette i verk «egnede og særlige tiltak» for å verne den registrertes rettigheter og interesser.
Øvrige prinsipper i artikkel 5 er formålsbegrensning, dataminimering, riktighet, lagringsbegrensning, integritet og konfidensialitet. I helseregisterloven § 6 om alminnelige vilkår for å behandle helseopplysninger, er det av informasjonshensyn tatt inn en henvisning til artikkel 5.
Se nærmere i punkt 11.1.1 om prinsippene i artikkel 5.
4.2.2 Informasjon til de registrerte
Forordningen legger vekt på informasjonen til de registrerte, og stiller i artikkel 13 til 15 detaljerte krav om hvilken informasjon som skal gis ved behandling av personopplysninger. Blant annet skal de registrerte få vite hvem opplysninger om dem er utlevert til. I helseregisterloven § 24 er det av informasjonshensyn tatt inn en henvisning til disse artiklene.
4.2.3 Innebygget personvern og informasjonssikkerhet
Virksomhetene skal bruke prinsippene for innebygget personvern. Den mest personvernvennlige innstillingen skal være standard i alle systemer, jf. artikkel 25.
Den dataansvarlige og databehandleren skal gjennomføre egnede tekniske og organisatoriske tiltak for å oppnå et sikkerhetsnivå som er egnet med hensyn til risikoen ved behandlingen av opplysningene, jf. artikkel 32. Det skal iverksettes tiltak for å sikre opplysningenes konfidensialitet, integritet, tilgjengelighet og robusthet. I helseregisterloven § 21 om informasjonssikkerhet er det av informasjonshensyn tatt inn en henvisning til artikkel 32.
4.2.4 Vurdering av personvernkonsekvenser
Den dataansvarlige skal vurdere konsekvensene for personvernet før behandlingen tar til, jf. artikkel 35 (DPIA). Dette gjelder blant annet dersom det er tale om behandling av helseopplysninger i et stort omfang. Vurderingen skal blant annet omfatte en systematisk beskrivelse av den planlagte behandlingen, formålene med behandlingen, en vurdering av om behandlingen er nødvendig og står i et rimelig forhold til formålene, risikoen for de registrertes rettigheter og planlagte tiltak som skal sikre personvernet. Dersom det er relevant, skal de registrerte eller representanter for de registrerte bli hørt.
Personvernombudet skal gi råd om personvernvurderingen, jf. artikkel 39 nr. 1. Artikkel 35 nr. 10 fastsetter unntak fra kravet om å vurdere personvernkonsekvensene. Dette gjelder når behandlingen av personopplysningene er regulert av lov eller forskrift og personvernkonsekvensene er vurdert i forbindelse med vedtakelsen av de aktuelle rettsreglene.
4.2.5 Forhåndsdrøfting med Datatilsynet
Forordningen krever at den dataansvarlige rådfører seg med Datatilsynet dersom konsekvensvurderingen etter artikkel 35 viser at behandlingen innebærer høy risiko, jf. artikkel 36. Plikten til forhåndsdrøftinger gjelder bare dersom den dataansvarlige ikke finner tilstrekkelige tiltak som bringer risikoen ned på et akseptabelt nivå.
4.3 Personopplysningsloven
Fra 20. juli 2018 har vi fått en ny personopplysningslov som avløste personopplysningsloven av 2000, se Prop. 56 LS (2017−2018). Den nye loven har to hovedelementer. For det første er det en inkorporasjonsbestemmelse som gjør personvernforordningen til norsk rett. For det andre inneholder loven en rekke lovbestemmelser som supplerer eller gjør unntak fra forordningen i enkelte spørsmål. Blant annet gir § 9 lovgrunnlag for behandling av personopplysninger til forskning og statistiske formål. Vilkåret er at samfunnsinteressene klart overstiger ulempene for den enkelte.
4.4 Helseregisterloven
Helseregisterloven gir særregler for sekundærbruk av helseopplysninger. Loven gjelder for behandling av helseopplysninger til statistikk, helseanalyser, forskning, kvalitetsforbedring, planlegging, styring og beredskap i helse- og omsorgsforvaltningen og helse- og omsorgstjenesten, dvs. såkalt sekundærbruk (§ 3).
Helseregisterloven supplerer personvernforordningen og personopplysningsloven. De generelle reglene i personopplysningsloven gjelder så langt ikke annet følger av helseregisterloven (§ 5).
Enhver som behandler helseopplysninger etter helseregisterloven har taushetsplikt (§ 17). Taushetsplikten betyr at opplysninger bare kan utleveres dersom den registrerte samtykker eller dersom det er gjort særlig unntak i lov eller gitt dispensasjon. Det er i § 20 fastsatt unntak fra taushetsplikten ved tilgjengeliggjøring av indirekte identifiserbare helseopplysninger. Loven har en bestemmelse om sammenstilling (kobling) av opplysninger i ulike registre (§ 19). Se nærmere om unntak fra taushetsplikten i punkt 11.1.3 og om sammenstilling i punkt 11.4.10.
Loven har flere bestemmelser som gir hjemmel til å regulere behandling av helseopplysninger i forskrift, jf. §§ 8 til 11, se nærmere i punkt 4.8 om registerforskriftene.
4.5 Helsepersonelloven
Helsepersonell har etter helsepersonelloven § 21 en yrkesmessig taushetsplikt. Lovens regler om taushetsplikt gjelder tilsvarende for forskere og andres behandling av helseopplysninger i helseregistre, jf. helseregisterloven § 17 og helseforskningsloven § 7.
Taushetsplikten innebærer at helsepersonell skal hindre at andre får adgang eller kjennskap til opplysninger om folks legems- eller sykdomsforhold eller andre personlige forhold som de får vite om i egenskap av å være helsepersonell. Plikten omfatter både en passiv plikt til å tie og en aktiv plikt til å hindre at opplysninger bringes videre til andre.
Taushetsplikten begrenser adgangen til å tilgjengeliggjøre helseopplysninger fra helseregistre. Opplysninger kan imidlertid tilgjengeliggjøres dersom den registrerte samtykker eller dersom det er gjort unntak fra taushetsplikten i lov, jf. § 22. Et slikt unntak er helseregisterloven § 20 som gjelder ved tilgjengeliggjøring av indirekte identifiserbare opplysninger fra lovbestemte helseregistre. Andre relevante unntak er helsepersonelloven § 29 om opplysninger til forskning og § 29 b om opplysninger til helseanalyser, kvalitetssikring, administrasjon mv. Det følger av disse bestemmelsene at departementet kan gi dispensasjon fra taushetsplikten. Myndigheten til å gi dispensasjon er delegert til den regionale komiteen for medisinsk og helsefaglig forskningsetikk (REK) når det gjelder tilgjengeliggjøring til forskning og til Helsedirektoratet når det gjelder tilgjengeliggjøring til annen bruk. Se nærmere om unntak og dispensasjon i punkt 11.1.3.
4.6 Helseforskningsloven
Helseforskningsloven gjelder for medisinsk og helsefaglig forskning på mennesker, humant biologisk materiale eller helseopplysninger, jf. § 2. Loven regulerer dermed også tilgjengeliggjøring og bruk av helseopplysninger. Helseforskningsloven gjelder ikke for etablering av helseregistre, jf. § 2 andre ledd. For eksempel regnes de store befolkningsbaserte helseundersøkelsene, som Den norske mor og barnundersøkelsen (MoBa) og Helseundersøkelsen i Nord-Trøndelag (HUNT) som helseregistre, og må etableres med hjemmel i helseregisterloven.
Det følger av §§ 9 og 33 at medisinske og helsefaglige forskningsprosjekter skal ha forhåndsgodkjenning fra den regionale komiteen for medisinsk og helsefaglig forskningsetikk (REK). Kvalitetsforbedring, styring, helseanalyser mv. uten vitenskapelig metodikk og en klar hypotese, regnes ikke som medisinsk og helsefaglig forskning og trenger ikke forskningsetisk forhåndsgodkjenning.
REK skal foreta en forskningsetisk vurdering av søknaden, jf. § 10. Dette skal bidra til å ivareta befolkningens tillit til både datakildene (helseregistrene, helseundersøkelsene, pasientjournaler mv.) og forskningen på helseopplysninger. REK gjør en helhetlig forskningsetisk vurdering av alle prosjektets sider og påser at det totalt sett er forsvarlig.
Det kreves samtykke fra deltakerne, med mindre annet følger av lov, jf. § 13. Tilgjengeliggjøring av opplysninger fra helseregistre til bruk i medisinsk og helsefaglig forskning må derfor ha samtykke fra den registrerte, eller hjemmel i helseregisterloven eller forskrift gitt i medhold av denne. I helseforskningsloven § 33 slås det fast at behandling av helseopplysninger fra helseregistre hjemlet i forskrift etter helseregisterloven, ikke krever tillatelse fra REK. Det kan imidlertid fastsettes i forskrift at tilgjengeliggjøring likevel krever godkjenning fra REK. Dette er gjort for flere registre, se for eksempel Norsk pasientregisterforskriften, MSIS-registerforskriften og SYSVAK-registerforskriften.
Se også punkt 11.1.4 og 11.4.8 om REKs forskningsetiske vurdering.
4.7 Bioteknologiloven
Bioteknologiloven har regler om bruk av genetiske opplysninger i § 5-8. Det følger av loven at dersom det brukes genetiske opplysninger i forskningsprosjekter, må den som opplysningene gjelder samtykke til bruken. Bioteknologiloven skiller her mellom bruk av genetiske opplysninger i helseregistre og bruk av opplysningene til forskning. Lovens krav til samtykke gjelder først når opplysninger fra helseregistrene tas i bruk til forskningsformål. Videre gjelder samtykkekravet bare forskning som er omfattet av bioteknologiloven. Tilgjengeliggjøring og annen behandling av genetiske opplysninger i helseregistre, reguleres derimot av helseregisterloven.
I Prop. 34 L (2019–2020) er det foreslått en presisering av lovens virkeområde for forskning. Loven skal gjelde forskning som innebærer at det gis helsehjelp til deltakerne eller at det legges opp til å gi individuell tilbakemelding til forskningsdeltakerne om resultater fra prediktive genetiske undersøkelser.
4.8 Registerforskriftene
I det følgende gis det en oversikt over forskrifter som hjemler og regulerer lovbestemte helseregistre, pseudonyme helseregistre og samtykkebaserte helseregistre. Se punkt 11.1.5 og 11.4.10.1 om reglene om tilgjengeliggjøring og sammenstilling i disse forskriftene.
4.8.1 Lovbestemte helseregistre
Flere helseregistre er hjemlet i forskrift etter helseregisterloven § 11 om lovbestemte registre. Denne bestemmelsen gir hjemmel til å gi forskrift om behandling av opplysninger i helseregistre der navn, fødselsnummer og andre direkte personidentifiserende kjennetegn er registrert. Opplysningene kan behandles uten samtykke eller reservasjonsrett fra den registrerte i den utstrekning det er nødvendig for å nå formålet med registeret. Forskriftene har bestemmelser for innsamling, lagring, tilgjengeliggjøring og annen behandling av opplysninger fra registeret. Se også punkt 3.2.1 om lovbestemte helseregistre.
4.8.2 Pseudonyme helseregistre
Forskrift om Reseptregisteret etablerer et landsomfattende pseudonymt register for reseptbasert legemiddelstatistikk. Reseptregisteret lagrer opplysninger fra alle resepter og rekvisisjoner som er ekspedert på norske apotek, og kan også inneholde opplysninger om legemiddelbehandling i institusjon. Folkehelseinstituttet er dataansvarlig. Forskriften har hjemmel i helseregisterloven § 9 bokstav b. At registeret er pseudonymt betyr at registeret inneholder helseopplysninger der identiteten er kryptert eller skjult på annet vis, men likevel individualisert slik at det lar seg gjøre å følge hver person uten at identiteten røpes (forskriften § 1-1 jf. § 1-2 nr. 1). Se nærmere om Reseptregisteret i kapittel 13.1.2.
IPLOS-forskriften etablerer et landsomfattende pseudonymt register for individbasert helse- og omsorgsstatistikk. Det er i Kommunalt pasient- og brukerregisterforskriften fra 2017 fastsatt at fremtidige IPLOS-data skal inngå i Kommunalt pasient- og brukerregister. Den delen av IPLOS-registeret som allerede eksisterte er fremdeles pseudonymt, og systemet for å behandle pseudonyme opplysninger er opprettholdt i «det historiske IPLOS».
4.8.3 Samtykke- og reservasjonsrettsbaserte helseregistre
Forskrift om befolkningsbaserte helseundersøkelser ble fastsatt i 2018, sammen med en bestemmelse om fylkeshelseundersøkelser i forskrift om oversikt over folkehelsen. Disse registrene er samtykkebaserte. Forskriften fra 2019 om medisinske kvalitetsregistre regulerer samtykke- og reservasjonsrettsbaserte registre. Forskriftene har hjemmel i helseregisterloven § 9 bokstav a og § 10. Se nærmere i punkt 3.2.2 og 3.2.3.
4.9 Statistikkloven
Statistisk sentralbyrå (SSB) samler inn, utleverer, lager statistikk osv. av blant annet sosioøkonomiske data og helseopplysninger, etter reglene i statistikkloven fra 2019. Formålet med loven er å fremme utvikling, utarbeiding og formidling av offisiell statistikk som kan bidra til allmenn folkeopplysning og understøtte analyse, forskning, beslutningstaking og generell samfunnsdebatt.
Loven har regler om tilgjengeliggjøring av opplysninger til forskere og forskningsinstitusjoner og offentlige myndigheter for utarbeiding av statistiske resultater og analyser.
Opplysninger fra Statistisk sentralbyrå kan tilgjengeliggjøres når opplysningene skal brukes til statistiske resultater og analyser, herunder forskning, og «det ikke medfører uforholdsmessig ulempe for andre interesser», jf. § 14. Loven gir anvisning på en bred vurdering før opplysninger tilgjengeliggjøres. Mottakeren skal ha en dokumentert evne til å håndtere dataene på en sikker måte. Tilgjengeliggjøringen skal ikke være en «uforholdsmessig ulempe for andre interesser». I denne vurderingen inngår blant annet hensynet til personvern, til beskyttelse av kommersielle interesser og til nasjonale forsvars- og sikkerhetsinteresser.
I loven skilles det mellom identifiserbare og anonyme opplysninger. Begrepet identifiserbare opplysninger dekker en skala fra tilnærmet anonyme opplysninger til direkte identifiserbare opplysninger som underlegges en særlig restriktiv regulering. Normalt skal opplysninger gjøres tilgjengelige i en indirekte identifiserbar form, noe som innebærer at direkte personentydige kjennetegn er fjernet og at detaljeringsgraden reflekterer behovet knyttet til det konkrete formålet med behandlingen.
Opplysningene kan ikke gjøres tilgjengelige for annet enn utarbeiding av statistiske resultater og analyser, inkludert forskning.
4.10 Dataansvaret
All databehandling må ha minst én dataansvarlig (behandlingsansvarlig). Den dataansvarlige er i helseregisterloven § 2 bokstav d, definert som den som er «ansvarlig for behandling av helseopplysninger, jf. personvernforordningen artikkel 4 nr. 7». I forordningen er behandlingsansvarlig definert som ethvert organ som
alene eller sammen med andre bestemmer formålet med behandlingen av personopplysninger og hvilke midler som skal benyttes; når formålet med og midlene for behandlingen er fastsatt i unionsretten eller i medlemsstatenes nasjonale rett, kan den behandlingsansvarlige, eller de særlige kriteriene for utpeking av vedkommende, fastsettes i unionsretten eller i medlemsstatenes nasjonale rett.
Dataansvarlig er med andre ord den som bestemmer formål og hjelpemidler for databehandlingen og som tar i bruk systemer hvor helseopplysninger behandles. Det er dermed de faktiske forholdene som avgjør hvem som er dataansvarlig. Ansvaret er plassert der den faktiske kontrollen med behandlingen av opplysningene ligger. I noen tilfeller er det også fastsatt i lov eller forskrift hvem som skal være dataansvarlig. Dersom den dataansvarlige er utpekt på denne måten, må denne virksomheten også faktisk ha kontroll.
Det er virksomheten som er dataansvarlig etter forordningen og helseregisterloven. Dataansvarlig for helseregistre er for eksempel et helseforetak som har et samtykkebasert kvalitetsregister. Andre eksempler er Folkehelseinstituttet som dataansvarlig for Hjerte- og karregisteret og Helsedirektoratet for Norsk pasientregister (NPR).
Det er den dataansvarlige som har ansvaret for at tilgjengeliggjøring, sammenstillinger og annen behandling av personopplysninger er i samsvar med personvernreglene. Helseregisterloven, personopplysningsloven og personvernforordningen pålegger plikter for den dataansvarlige og gir registrerte personer rettigheter overfor den dataansvarlige. Den dataansvarlige har blant annet plikt til å vurdere personvernkonsekvenser og identifisere risikoreduserende tiltak. Der risikoen ikke kan håndteres på en tilfredsstillende måte av virksomheten, skal virksomheten gjennomføre forhåndsdrøftinger med Datatilsynet. Den dataansvarlige må føre en protokoll over behandlingsaktiviteter som utføres under deres ansvar. Andre sentrale plikter for den dataansvarlige er blant annet å sørge for egnet informasjonssikkerhet, etablere internkontroll og gi de registrerte innsyn.
4.11 Databehandler
Den dataansvarlige kan inngå avtale med en databehandler om behandling av helseopplysninger på vegne av den dataansvarlige, jf. personvernforordningen artikkel 4 nr. 2 og artikkel 28. Databehandleren kan bare behandle opplysningene «efter dokumentert instruks» fra den dataansvarlige, jf. artikkel 28 nr. 3 bokstav a og artikkel 29. Behandlingen skal være underlagt en kontrakt eller et annet juridisk dokument som er bindende for databehandleren overfor den dataansvarlige. Avtalen skal fastsette «gjenstanden for og varigheten av behandlingen, behandlingens art og formål, typen personopplysninger og kategorier av registrerte samt den [dataansvarliges] rettigheter og plikter».
Databehandleren har ansvar for sin egen behandling av opplysningene og skal blant annet sørge for informasjonssikkerheten ved sin behandling av opplysningene, jf. artikkel 32. Det står i fortalen til personvernforordningen punkt 81 at den dataansvarlige
bare [bør] benytte databehandlere som gir tilstrekkelige garantier, særlig med tanke på dybdekunnskap, pålitelighet og ressurser, for at de vil gjennomføre tekniske og organisatoriske tiltak som vil oppfylle kravene i denne forordning, herunder kravene til sikker behandling.
Den dataansvarlige kan altså sette bort oppgaver til en databehandler, for eksempel om utlevering eller lagring. For eksempel har Folkehelseinstituttet inngått databehandleravtaler med ulike helseforetak for behandling av helseopplysninger i nasjonale medisinske kvalitetsregistre etter Hjerte- og karregisterforskriften. Forordningen setter ikke begrensninger med hensyn til hvor mange, hvor store eller hva slags oppgaver som kan overføres til databehandleren. Selve ansvaret kan imidlertid ikke delegeres. Ansvaret ligger fremdeles hos den dataansvarlige, som må kontrollere at databehandleren utfører oppgavene i samsvar med databehandleravtalen, og vil også ha et ansvar dersom noe galt skjer.
5 Dagens søknadsprosess
Dagens system med tilgjengeliggjøring og sammenstilling innebærer betydelig manuell behandling og overføring av data mellom aktørene. Det er samtidig begrenset mulighet for å utføre statistikkproduksjon og enkle analyser på sammenstilte opplysninger uten å få utlevert data etter en ordinær søknadsprosess. Tilgjengeliggjøring av helseopplysninger fra helseregistre forutsetter i dag at det må sendes flere søknader og at det kreves vurderinger og beslutninger fra flere aktører i tilknytning til samme prosjekt.
Dette gjelder ikke for statistikk og andre anonyme opplysninger, som kan utleveres og brukes fritt. Søknadsprosessen i disse tilfellene kan derfor være enklere enn der det søkes om helseopplysninger (fordi de er personidentifiserbare slik at både taushetsplikt og personvernkrav gjelder). Praksis for håndtering av slike forespørsler varierer imidlertid mellom de ulike registrene. Det er også slik at en forespørsel om anonyme data krever et anonymiseringsarbeid i registeret, og denne bearbeidingen kan være tid- og ressurskrevende.
5.1 Samspillet mellom reglene
Når en skal bruke helseopplysninger fra et helseregister må det for det første sendes en søknad om tilgjengeliggjøring til den virksomheten som er dataansvarlig for det aktuelle registeret. Dersom det skal brukes data fra flere registre, må det sendes tilsvarende flere søknader. For å kunne tilgjengeliggjøre opplysningene, må den dataansvarlige ha adgang til å gi fra seg opplysningene. De grunnleggende vilkårene for tilgjengeliggjøring og sammenstilling fra helseregistre følger av helseregisterloven § 6 jf. forordningen artikkel 6. Det er fastsatt nærmere vilkår om tilgjengeliggjøring og sammenstilling i helseregisterloven og registerforskriftene. Vilkårene varierer etter hvilken lovbestemmelse eller forskrift registeret er etablert med hjemmel i, om opplysningene som skal tilgjengeliggjøres er direkte eller indirekte identifiserbare og hva opplysningene skal brukes til. Se nærmere i punkt 11.1 om adgang til å tilgjengeliggjøre helseopplysninger fra helseregistre og 11.4.10.1 om adgangen til å sammenstille opplysninger fra ulike registre.
For det andre må det ofte sendes søknad til den regionale komiteen for medisinsk og helsefaglig forskningsetikk (REK) eller Helsedirektoratet om dispensasjon fra taushetsplikten. Dersom de registrerte ikke har samtykket eller unntaket i helseregisterloven § 20 ikke gjelder, må det søkes om dispensasjon fra taushetsplikten. Gjelder det bruk av helseopplysninger til forskning, sendes dispensasjonssøknaden til REK. I andre tilfeller sendes søknaden til Helsedirektoratet. Se nærmere i punkt 11.1.3 om unntak og dispensasjon fra taushetsplikten. Det er i dag ikke alltid åpenbart for forskeren om søknaden skal behandles av Helsedirektoratet eller REK, og i noen tilfeller er det også uklart for den som skal gi dispensasjon hvem som skal behandle søknaden.
Dersom opplysningene skal brukes til medisinsk og helsefaglig forskning, må mottakeren for det tredje søke om forskningsetisk forhåndsgodkjenning fra REK, jf. helseforskningsloven § 33. Se nærmere i punkt 4.7 om helseforskningsloven og 11.4.8 om REKs forskningsetiske vurdering.
En som søker om helseopplysninger fra et helseregister må i tillegg ha adgang til å motta og bruke opplysningene. Se nærmere i punkt 11.1.1 om de alminnelige vilkårene for å behandle personopplysninger.
5.2 Flere søknader og flere aktører
For å få tilgang til data må søkeren altså sende søknader til hver enkelt dataansvarlig det ønskes data fra, og ofte også til REK og/eller Helsedirektoratet. Selv om de ulike aktørene normalt behandler søknader parallelt, håndteres søknaden under forutsetning av frister, aktuell kapasitet og rutiner i hver enkelt institusjon. Siden regelverket ved tilgjengeliggjøring av opplysninger fra helseregistre ikke er harmonisert og det er ulike aktører som skal fortolke regelverket, vil praksis kunne være ulik.
I tillegg vil krav i forskrift kunne styre hvordan tilgjengeliggjøringen faktisk må skje. Når pseudonyme data fra Reseptregisteret eller det historiske IPLOS skal sammenstilles med data fra andre registre, må alle datafiler fra personidentifiserbare registre sendes til det pseudonyme registersystemet for pseudonymisering og videre behandling (se nærmere i punkt 13.4.2.1).
Når demografiske og sosioøkonomiske data fra Statistisk Sentralbyrå (SSB) skal sammenstilles med helseopplysninger, stiller SSB krav om at prosjektet må ha behandlingsgrunnlag og andre nødvendige godkjenninger fra relevante myndigheter, slik som dispensasjon fra taushetsplikt for data som ikke er hentet inn med hjemmel i statistikkloven, før søknad sendes inn.
5.3 Faktisk utleveringstid
En undersøkelse gjennomført av Helsedataprogrammet i 2017 viste at gjennomsnittlig utleveringstid for én datakilde var fem måneder. Sammenstilling med data fra pseudonyme registre eller data fra SSB ser ut til å forlenge denne tiden betydelig. Gjennomsnittlig tid for utlevering av sammenstilte data til forskning de siste fem årene var 17 måneder, mens median utleveringstid var på 12 måneder. Disse tallene er basert på opplysninger fra søkerne.
Utleveringstidene varierer mye mellom registrene. En undersøkelse gjennomført av registerforvalterne i 2016/2017 viste at median utleveringstid var på 2,5 måneder for Kreftregisteret, 13,6 måneder for Reseptregisteret, 11,1 måneder for Norsk pasientregister, 2,2 måneder for Dødsårsaksregisteret og 3,9 måneder for Medisinsk fødselsregister.
Disse tallene om utleveringstiden omfatter alle steg i prosessen fra søknaden først er sendt inn til opplysningene er utlevert, inkludert søkers tidsbruk og eventuell dialog som følger av feil og mangler i søknadsgrunnlaget (for eksempel manglende godkjenninger).
Saksbehandlingstiden beregnes på en annen måte etter fristene i registerforskriftene, der fristen begynner å løpe først etter at komplett søknad er mottatt. Med unntak av Norsk pasientregister, skjedde 89–100 prosent av utleveringene innen den forskriftsfestede fristen på 30 dager for data fra én kilde og 60 dager for sammenstilte datasett.
Helsedirektoratet oppga at 32 prosent av de personidentifiserbare opplysningene fra Norsk pasientregister utleveres til forskning innen fristen, mens 76 prosent av statistikkutleveringene skjedde innen fristen. Disse tallene er imidlertid fra 2017. Helsedirektoratet oppgir at 85–90 prosent av leveransene til Norsk pasientregister nå utføres innen fristen. Fristen oversittes for noen søknader, men gjennomsnittlig er saksbehandlingstiden for alle leveranser innen fristen.
6 Andre nordiske land
Norge, Sverige, Danmark og Finland har mange likhetstrekk når det gjelder organisering av helsetjenesten og oppbyggingen av sentrale helseregistre. Alle landene har statistiske sentralbyråer med vide fullmakter til å samle inn data og til å produsere og publisere offisiell statistikk om utdanning, yrkesdeltakelse, næringsliv og økonomiske forhold. Videre har alle landene nasjonale personentydige identifikasjonsnumre. Dette betyr at alle landene har gode forutsetninger for å utnytte helsedata til forskning, analyser, fagutvikling mv. Holdningene til slik bruk av data er også nokså lik. Det er derfor interessant å se hvordan arbeidet med å forvalte, videreutvikle og bruke disse registrene er organisert i våre naboland.
6.1 Danmark
6.1.1 Registre samlet hos Sundhedsdatastyrelsen
Nasjonale registre er i Danmark samlet hos én dataansvarlig (Sundhedsdatastyrelsen). Danske myndigheter har fra 2015 samlet forvaltningen av nasjonale helseregistrene i Sundhedsdatastyrelsen under Sundheds- og ældreministeriet. Sundhedsdatastyrelsen er dataansvarlig og ansvarlig for en rekke databaser, registre og tjenester. De godkjenner også landsdekkende og regionale kvalitetsdatabaser, tilsvarende våre medisinske kvalitetsregistre. Disse databasene driftes, finansieres og forvaltes av de fem helseregionene.
Sekundærbruk av helsedata er regulert av EUs personvernforordning og «sundhedsloven» § 46 til § 48. Sundhedsdatastyrelsens oppgaver følger av sundhedsloven § 220 a, der det blant annet står følgende:
Sundhedsdatastyrelsen indsamler og stiller sundhedsdata og analyser om aktivitet, økonomi og kvalitet til rådighed for sundhedsvæsenet, herunder sundhedspersoner, administratorer i regioner og kommuner og patienter, borgere og andre centrale brugere. Sundhedsdatastyrelsen styrker endvidere den overordnede digitalisering og fremmer en sammenhængende data- og it-arkitektur i sundhedsvæsenet med fokus på internationale standarder tilpasset nationale behov og informationssikkerhed i henhold til gældende lovgivning. På udvalgte områder sikrer Sundhedsdatastyrelsen dækkende og valide sundhedsdata til patientbehandling m.v.
6.1.2 Forskerservice og Forskermaskinen
Sundhedsdatastyrelsen forvalter Forskerservice som arbeider for å understøtte registerforskningen i Danmark. Forskerservice kan gi adgang til data fra nasjonale helseregistre, men ikke kvalitetsregistre. Forskerservice gir adgang til helsedata enten ved uttrekk («klassisk» utlevering) eller ved tilgang gjennom «Forskermaskinen».
Forskermaskinen inneholder datakopier av de sentrale helseregistrene. Kopiene blir oppdatert hver måned. Forskerservice gjør opplysninger tilgjengelige fra helseregistre der Sundhedsdatastyrelsen er dataansvarlig. Forskerservice gjør også opplysninger tilgjengelige fra CPR-registeret (folkeregisteret) på vegne av og etter avtale med den dataansvarlige (Økonomi- og Innenrigsministeriet). Tidligere hadde Forskerservice også en kopi av sesjonsregisteret og tilgjengeliggjorde opplysninger fra dette registeret på vegne av og etter avtale med Forsvarskommandoen. Dette registeret ble imidlertid ikke etterspurt ofte nok til at det ut fra kravet om dataminimering kunne forsvares å lagre en kopi.
Forskerservice fungerer som en tilgangsforvalter for Forskermaskinen, ved at den håndterer søknader, tilbyr veiledning, håndterer klager og tilgjengeliggjør helsedata på Forskermaskinen for søkerne.
De som søker om tilgang til data fra Forskermaskinen, må oppfylle ulike adgangskrav og godkjennes som bruker. For å få adgang må den forskningsinstitusjonen som forskeren er tilknyttet være autorisert. For å gi autorisasjon gjøres det en konkret vurdering av søkerens troverdighet som bruker av Forskermaskinen. For interesseorganisasjoner og virksomheter er det relevant å se på eierforholdene, på medarbeidernes utdanning og på institusjonens oppgaver for offentlige oppdragsgivere. Det er angitt hvilke forskningsmiljøer som kan autoriseres.
Det er Forskerservice som sertifiserer ulike institutter og godkjenner søknaden, samt foretar etiske vurderinger. Gjennom søknadsprosessen på Forskerservice har søkerne egne saksbehandlere til hvert steg i prosessen, og kan enkelt følge prosessen.
Helsedataene blir tilgjengeliggjort i et sikkert prosjektrom på Forskermaskinen. Her tilbys også enkle analyseverktøy og statistikkverktøy. Forskermaskinen gir forskere direkte adgang (online tilgang) fra sin egen arbeidsplass, til personidentifiserbare helseopplysninger som er nødvendige for et forskningsprosjekt. Når data overføres til søkerens prosjektrom på Forskermaskinen, overføres dataansvaret til forskeren. Personidentifiserbare data utleveres i utgangspunktet ikke til forskeren. Forskeren kan kombinere data fra de sentrale helseregistrene på individnivå, men uten at identiteten til pasienten avsløres. Personnumrene er kodet og en del andre identifiserende variabler er fjernet fra datamaterialet.
Alle analyser utføres på Forskermaskinen, og bare analyseresultatene tas med ut. Forskeren kan ikke selv hente ut data fra Forskermaskinen og lagre dem som filer på sin egen maskin. Resultater av analyser blir sendt fra Forskermaskinen via en epostfunksjon. For å forhindre forsøk på å hente ut større datamengder er filstørrelsen begrenset. Alle datauttrekk logges, og det kan i ettertid kontrolleres om det er gjort uttrekk som det ikke var adgang til.
Forskermaskinen gir mulighet for at forskerne kan arbeide mer eksplorativt med data. Adgangen til Forskermaskinen kan gis på bakgrunn av en løsere formulert prosjektbeskrivelse. Forskeren behøver da ikke å ha et skarpt avgrenset forskningsprosjekt fra starten. Siden Forskermaskinen gir et sikkert miljø, er det mulig å få et litt bredere datatilfang. Det kan for eksempel være ved behov for å anvende en større del av befolkningen som kontrollgruppe eller liknende. Det er mulig å søke om gjenbruk av data.
Hvis forskeren ønsker å ta med andre data i forskningsprosjektet, må det søkes særskilt om dette. Dersom søkeren ønsker å koble data fra Danmarks Statistik og helsedata fra Sundhedsdatastyrelsen er det ikke mulig å få datasettet utlevert til Forskermaskinen. For å kunne koble data fra Sundhedsdatastyrelsen og Danmarks Statistik, må data overføres til Danmarks Statistik sin egen løsning.
Forskermaskinen benyttes i stadig økende grad. Sundhetsdatastyrelsen opplyser om at i 2018 ble 58 saker løst med Forskermaskinen, noe som utgjør ca. 17 prosent av alle prosjekter som Sundhedsdatastyrelsen leverte data til. Det tilsvarende tallet var i 2016 på 9 prosent. Utenfor Forskermaskinen, leverer Sundhetsdatastyrelsen data til Danmarks Statistik (de har også en forskermaskin), data som ikke kan være på Forskermaskinen (bigdata-prosjekter) og data som skal brukes til å finne pasientjournaler eller kontakte personer.
Sundhedsdatastyrelsen tar betalt for tjenesten etter nærmere fastsatte takster.
6.2 Finland
I Finland ble en ny lov om sekundærbruk av helsedata vedtatt i 2018. Loven trådte i kraft 1. mai 2019. Bakgrunnen for den nye loven var at det var ulike regler for de ulike registrene, mange aktører og at det tok lang tid for brukerne å få tak i opplysningene. Formålet med lovarbeidet var å samle beslutningene knyttet til tilgjengeliggjøring på én hånd, med bare én søknad og ett kontaktpunkt for søkeren. De nye reglene skal gi raskere saksbehandling, mindre utlevering av personidentifiserende opplysninger og mer enhetlige regler og praksis.
Loven etablerer en sentral myndighet («tillståndsmyndigheten») som beslutter tilgjengeliggjøring ved sammenstillinger fra flere registre. Denne virksomheten er etablert under navnet Findata, som startet opp sin virksomhet i begynnelsen av 2020. Virksomheten ledes av en styringsgruppe med representanter for de ansvarlige fra de ulike registrene.
Findata er dataansvarlig for sin behandling av personopplysninger, inkludert tilgjengeliggjøring. Registerforvalterne har plikt til å gi fra seg opplysninger og informasjon om registeret og opplysninger i registeret som har betydning for tilgjengeliggjøringen. Registerforvalterne har ikke ansvar for Findatas behandling av opplysningene. Det presiseres i loven at departementet kan danne et aksjeselskap som skal ligge under Findata og som skal kunne utføre tekniske oppdrag knyttet til de lovregulerte tjenestene.
Opplysningene som leveres ut skal som hovedregel være anonyme. Loven fastsetter en generell adgang for Findata til å utlevere statistikk og å gjøre de sammenstillingene som er nødvendig for å utarbeide statistikken. Statistikk kan deles ut uten særskilt tillatelse.
Det kan eventuelt utleveres pseudonyme opplysninger, og unntaksvis kan det utleveres direkte personidentifiserbare opplysninger. Pseudonyme eller direkte personidentifiserbare opplysninger (dvs. alle personidentifiserbare opplysninger) skal leveres ut via et informasjonssikkert driftsmiljø som forvaltes av Findata eller Statistikcentralen. Loven gjør unntak fra taushetsplikten, ved en lovfesting av at Findata («tillståndsmyndigheten») kan tilgjengeliggjøre opplysninger uten hinder av taushetsplikten. Findatas beslutning om tilgjengeliggjøring gir mottakeren supplerende rettsgrunnlag for sin behandling.
Det er fastsatt generelle vilkår for tilgjengeliggjøring i loven. Den planlagte bruken skal være i samsvar med personvernforordningen og annen lovgivning. Bruken skal være innenfor et angitt formål og eventuelle samtykker. Behandlingen av opplysningene må være nødvendig for å oppnå formålet. Myndigheten kan sette vilkår for å verne de registrertes rettigheter og friheter. Det er et krav om forskningsetisk vurdering fra den etiske komiteen, men denne prosessen skjer via Findata slik at brukeren kun har ett kontaktpunkt.
Findata fatter beslutninger om tilgjengeliggjøring bare for opplysninger som er sammenstilt fra flere registre. Dersom søkeren bare trenger opplysninger fra ett register, må det søkes om tilgjengeliggjøring direkte fra dette registeret.
6.3 Sverige
Socialstyrelsen (tilsvarende det norske Helsedirektoratet) under Socialdepartementet har ansvar for drift og utvikling av 15 sentrale helseregistre i Sverige. Socialstyrelsen har en egen avdeling for «statistik och jamförelser» som har ansvaret for registrene og for å produsere og tilgjengeliggjøre statistikk. Socialstyrelsen har status som produsent av offisiell statistikk, og kan derved bruke sosioøkonomiske data fra Statistiska Centralbyrån i fremstilling av helsestatistikk.
Vetenskapsrådet i Sverige arbeider med å styrke infrastrukturen for registerbasert forskning. Som en del av arbeidet er det utviklet en webportal for forskere på registerforskning.se. Her kan forskere finne informasjon om registerdata og søke om tilgang til data. Webportalen ble lansert i 2016. Registerforskning.se inneholder råd og veiledning til registerforskere. Den omfatter alle nasjonale registre, samt kvalitetsregistre, forskergenererte data og biobanker. Det er utviklet et metadataverktøy, RUT – Register Utiliser Tool.
Ved kobling av data fra ulike helsedatakilder hvor dataansvaret er spredt på forskjellige myndigheter, kreves uavhengige vurderinger hos hver dataansvarlig. Det finnes ingen myndighetsspesifikke lover på dette området. Det er i hovedsak reglene om taushetsplikt som regulerer om data kan utleveres og den gjelder alle myndigheter.
7 Helsedatautvalget
7.1 Sammensetning og mandat
Helsedatautvalget leverte i 2017 sin rapport Et nytt system for enklere og sikrere tilgang til helsedata. Utvalget var sammensatt av ti personlig utnevnte eksperter innen forskning, helseforvaltning, personvern mv. med Marta Ebbing fra Folkehelseinstituttet som leder. Formålet med arbeidet var å bidra til et bedre og mer effektivt system for behandling av helsedata for statistikk, planlegging, helseanalyser, kvalitetsforbedring og forskning, innovasjon og næringsutvikling. Utvalget skulle beskrive dagens system for tilgang til og sammenstilling av helsedata og vurdere om det er elementer i dagens system som vanskeliggjør behandling av helsedata. Utvalget skulle også vurdere og anbefale konkrete organisatoriske, tekniske og juridiske tiltak for å forbedre dagens system som samtidig ivaretar de registrertes personvern.
7.2 Beskrivelse av hovedutfordringer
Utvalget mente at vi har følgende hovedutfordringer for de som søker om å få helsedata for forskning og annen sekundærbruk (punkt 3.1 i rapporten):
Dagens organisering av forvaltningen og den rettslige reguleringen av helsedata medfører at det er mange aktører som må vurdere utlevering og behandling av de dataene de har ansvar for. Helsedataene er rettslig regulert på forskjellige måter, enten gjennom lov, forskrifter eller konsesjoner. Dette medfører at det kan ta lang tid å få tilgang til data fra flere ulike datakilder, særlig i sammensatte prosjekter som trenger data fra flere databehandlingsansvarlige. Aktørbildet kan også bidra til å skape uklarhet, kompleksitet og uforutsigbarhet for den som søker tilgang til helsedata.
Kravet om rettslig grunnlag/tillatelser i form av forhåndsgodkjenning fra REK og/eller konsesjon fra Datatilsynet kan bidra til uklarhet om hvem som er rette mottaker av søknader, lang saksbehandlingstid, kompleksitet og inkonsistente avgjørelser.
Dagens system, som innebærer at det kan være behov for dispensasjon fra taushetsplikten fra REK, Helsedirektoratet, eller andre instanser kan bidra til uklarhet, kompleksitet, uklarhet om hvem som er rett myndighet, lang saksbehandling og inkonsistente avgjørelser.
Statistikkloven og Statistisk sentralbyrå sin praksis gjør at muligheten for å få sammenstilt demografiske og sosioøkonomiske data med helsedata til forskningsformål er tungvint, og muligheten for slik sammenstilling til andre typer formål (statistikk, helseanalyser, kvalitetsforbedring med mer) er svært begrenset.
Dagens system, som i all hovedsak baserer seg på utlevering av data til søker, forutsetter at den enkelte mottakeren av data etablerer egne systemer og rutiner for å ivareta kravene til informasjonssikkerhet og personvern. Dette kan, sammen med begrensede ressurser til å føre offentlig tilsyn med behandling av helsedata, bidra til svak kontroll med bruk av eksisterende datasett.
Dagens system er ikke godt nok tilrettelagt for tilgang til aktuelle sanntids helsedata som kan brukes til løpende kvalitetssikring i virksomhetene, og real world data som kan brukes til å forstå sykdom, behandlingsmønstre, pasientatferd, styring og planlegging og produktytelse i klinisk praksis.
7.3 Forslag
Helsedatautvalget foreslo et nytt system for enklere og sikrere tilgang til helsedata. Utvalget mente at sentrale mål for et nytt system bør være:
Forsvarlig sekundærbruk av helsedata til alle legitime formål skal økes.
Ivaretakelsen av personvernet og informasjonssikkerheten skal styrkes.
Det skal bli enklere og mindre tid- og ressurskrevende å få tilgang til sammenstilte helsedata, inkludert relevante demografiske og sosioøkonomiske data fra ulike registre og datakilder for sekundærbruk til alle legitime formål.
Brukere av helsedata skal kunne forholde seg til én instans hvor de får god veiledning, god service og forutsigbare tjenester i form av enkel og sikker tilgang til helsedata.
Helsedata bør kunne brukes som dokumentasjonsgrunnlag for en raskere og bedre godkjennings- og evalueringsprosess for legemidler, medisinsk utstyr, velferdsteknologi og nye medisinske metoder mv.
Utvalgets flertall anbefalte at det innføres et nytt system for tilgang til helsedata:
Første versjon av en helseanalyseplattform realiseres raskt og bygges ut over tid med nye datakilder og analyseverktøy under et strengt kvalitetsgodkjennings- og informasjonssikkerhetsregime.
Det etableres en nasjonal tjeneste – en tilgangsforvalter – som skal ivareta alle forvaltningsoppgaver for å kunne tilgjengeliggjøre helsedata for forsvarlig sekundærbruk til alle legitime formål.
Demografiske og sosioøkonomiske data på individnivå gjøres tilgjengelig på en helseanalyseplattform, enten fra Statistisk sentralbyrå eller fra andre kilder i statsforvaltningen.
Avvikling av kravet om forskningsetisk vurdering og forhåndsgodkjenning fra den regionale komiteen for medisinsk og helsefaglig forskningsetikk (REK) for rene registerstudier, dvs. der det kun skal forskes på personopplysninger og ikke på mennesker eller biologisk materiale.
Flertallet presiserte at en forutsetning for alle anbefalingene er at personvernet er ivaretatt og at det for hvert av de foreslåtte tiltakene vil være nødvendig med grundigere utredninger.
Flertallet foreslo også å avvikle kravet om konsesjon fra Datatilsynet. Dette er nå gjennomført i forbindelse med personvernforordningen og endringene i helselovene i 2018 (Prop. 56 LS (2017–2018) og lov 15. juni 2018 nr. 38 om behandling av personopplysninger).
Utvalgets mindretall (to av ti medlemmer) mente at mulige handlingsalternativ og konsekvensene av tiltakene ikke var tilstrekkelig utredet og at det derfor ikke var grunnlag for å konkludere med at tiltakene bør gjennomføres. Et mindretall på tre var også imot å oppheve kravet om REKs forskningsetiske vurdering.
7.4 Høring av utvalgets rapport
7.4.1 Omtalen av utfordringene
I høringen ga 36 av 60 høringsinstanser uten forbehold sin tilslutning til beskrivelsen av utfordringene. Høringsinstansene som støttet problembeskrivelsen representerte et bredt spekter av aktører fra helsesektoren, utdannings- og forskningsinstitusjoner, offentlige myndigheter, arbeidstaker- og interesseorganisasjoner og andre.
11 høringsinstanser støttet beskrivelsen av utfordringene med større eller mindre forbehold. De Regionale komiteene for medisinsk og helsefaglig forskningsetikk (REK) mente at det er manglende samordning som er det reelle problemet i dagens system. Datatilsynet mente beskrivelsen av utfordringene ga et skjevt bilde fordi det var de mest problematiske sakene som var trukket fram.
7.4.2 En helseanalyseplattform som felles portal og tilgangstjeneste
Det var 40 av de 60 høringsinstansene som helt eller delvis støttet forslaget om etablering av en helseanalyseplattform. Forslaget fikk støtte fra sentrale forskningsmiljø, Helsedirektoratet, Folkehelseinstituttet, Direktoratet for e-helse, Norsk Helsenett SF, Regionalt brukerutvalg Helse Vest, Nasjonal etisk komite for medisinsk forskningsetikk NEM, Statistisk sentralbyrå, Forskningsrådet, Bioteknologirådet og Kunnskapsdepartementet. Forskningsrådet mente at det var stort behov for å etablere en helseanalyseplattform med felles portal for forskere og andre brukere. Helsedirektoratet var i all hovedsak positive til forslaget, men mente at det var behov for en grundigere utredning. Norsk Helsenett mente at dette kanskje var det viktigste tiltaket i rapporten når det gjelder personvern og konfidensialitet.
Legeforeningen, Universitetet i Bergen og Nasjonalt servicemiljø for kvalitetsregistre Senter for klinisk dokumentasjon og evaluering (SKDE) støttet delvis forslaget, men etterlyste mer utredning. Sintef mente at det må være en forutsetning at plattformen ikke erstatter dagens system med utlevering av data. Oslo universitetssykehus mente at plattformen vil ha moderat nytteverdi for deres forskere. Åtte høringsinstanser støttet ikke forslaget (Helse Vest RHF, Tekna, Hjernerådet, Brukerutvalget Helse Sør-Øst RHF, Barne-, ungdoms- og familiedirektoratet, Datatilsynet mfl.). Datatilsynet mente generelt at rapporten ikke ga et godt nok beslutningsgrunnlag for tiltaket, og viste til mindretallets vurderinger.
7.4.3 Tilgangsforvalter
Det var 45 høringsinstanser som uttalte seg om forslaget om å etablere en nasjonal tjeneste for å forvalte tilgang til helsedata (tilgangsforvalter). 32 instanser var positive til forslaget, 9 instanser støttet forslaget delvis og 4 instanser var negative.
De medisinske fakultetene ved universitetene i Oslo, Tromsø, Bergen og ved NTNU støttet anbefalingen, men mente at det burde utredes nærmere hvilke vurderinger tilgangsforvalteren skal gjøre og hvilken rolle den regionale komiteen for medisinsk og helsefaglig forskningsetikk (REK) skal ha, oppfølging av beslutninger og klageordninger, forholdet til utvikling av en felles helseanalyseplattform osv.
Abelia, Statens arbeidsmiljøinstitutt, Sintef, Legemiddelindustriforeningen og Forskningsrådet var positive, men var opptatt av at tilgangsforvalteren ikke må gis særlige fordeler som bruker av helsedata. Hjernerådet støttet forslaget under forutsetning av at det erstatter dagens tjenester sammen med et tydelig og forenklet regelverk. Folkehelseinstituttet støttet forslaget. Tekna mente at opprettelsen av en tilgangsforvalter vil gi et enklere system, økt oversikt og dermed gi bedre kontroll og personvern.
Legeforeningen mente at en tilgangsforvalter i teorien vil kunne være hensiktsmessig, men at det fremsto som uklart hvordan dette skal løses i praksis. Servicemiljøet for medisinske kvalitetsregistre Senter for klinisk dokumentasjon og evaluering (SKDE) så nytten av én tilgangsforvalter, men understreket at det forutsetter juridiske og tekniske avklaringer og ressurser for å unngå at resultatet blir økt byråkratisering. Helsedirektoratet støttet i utgangspunktet forslaget, men savnet en reell konsekvensvurdering av hvordan personvernet vil bli håndtert. Oslo universitetssykehus mente at forslaget i utgangspunktet var godt, men at det vil kunne undergrave rollen til registerforvalterne dersom for mye ansvar overføres til tilgangsforvalteren. Universitetet i Oslo, Barne- ungdoms- og familiedirektoratet og Norsk forening for medisinsk genetikk støttet ikke forslaget. Universitetet i Oslo mente at forslaget ville kunne undergrave ansvaret for sikker forvaltning av data og svekke personvernet. Datatilsynet mente generelt at rapporten ikke ga et godt nok beslutningsgrunnlag for tiltaket, og viste til mindretallets vurderinger.
7.4.4 Samle myndigheten til å gi dispensasjon fra taushetsplikten
Det var 18 høringsinstanser som uttalte seg om utvalgets forslag om å samle myndigheten til å gi dispensasjon fra taushetsplikten hos en nasjonal tilgangsforvalter. 17 av disse støttet forslaget (Helsedirektoratet, Sykepleierforbundet, Senter for klinisk dokumentasjon og evaluering (SKDE), Norsk Helsenett SF, Nordlandssykehuset HF, Oslo Universitetssykehus HF, Helse Midt-Norge RHF, Kreftforeningen mfl). SKDE mente at forslaget vil kunne bidra til mer konsistent regelverkstolkning og forenklet søknadsprosess under forutsetning av at tilgangsforvalteren har nødvendig kompetanse. Legeforeningen støttet formålet om en mer ensartet praksis og sterkere samhandling når det gjelder behandling av søknader om dispensasjon fra taushetsplikt, men ville ikke ta stilling til om oppgaven bør ligge hos en eventuell tilgangsforvalter. Datatilsynet uttalte seg ikke om forslaget, men viste til vurderingene fra mindretallet i utvalget.
7.4.5 Oppheve kravet om forskningsetisk vurdering fra REK
48 av høringssvarene hadde merknader til forslaget. 17 av høringsinstansene støttet flertallets forslag om å oppheve kravet om REKs forskningsetiske vurdering ved rene registerstudier, mens 31 var enige med mindretallet. Se nærmere i punkt 11.4.8.
8 Helseanalyseplattformen
Helseanalyseplattformen skal være en nasjonal løsning for tilgjengeliggjøring og analyse av helsedata. I dette kapitlet gir departementet en oversikt over arbeidet med å etablere plattformen, oppfølgingen gjennom Helsedataprogrammet og utredningen av alternative konsepter for løsningen. Se også omtale og vurderinger i kapittel 12.
8.1 Helsedataprogrammet
Strategi for modernisering og samordning av sentrale helseregistre og medisinske kvalitetsregistre 2010–2020 (helseregisterstrategien) ligger til grunn for arbeidet med å oppdatere og gjøre tilgjengelig data fra helseregistrene. Helseregisterstrategien skal bidra til bedre utnyttelse, bedre kvalitet og enda sikrere håndtering av data i de nasjonale helseregistrene.
Helseregisterstrategien har fra 2017 blitt fulgt opp gjennom Helsedataprogrammet i regi av Direktoratet for e-helse. Helsedataprogrammet skal støtte opp under målene i den nasjonale helseregisterstrategien. Helsedataprogrammet skal gi bedre personvern og informasjonssikkerhet, mer effektiv registerforvaltning, mer og bedre helseforskning og mer innovasjon og næringsutvikling. Helsedataprogrammet skal bidra til å realisere gevinster for programmets målgrupper og bidra til positive samfunnseffekter gjennom organisatoriske, teknologiske og juridiske virkemidler. Direktoratet gjennomfører programmet i samarbeid med registerforvaltningsmiljøene, sentrale forskningsmiljøer, næringsliv, kommuner og regionale helseforetak.
Helseanalyseplattformen er ett av prosjektene under Helsedataprogrammet. Direktoratet for e-helse og Forskningsrådet har inngått en samarbeidsavtale for perioden 2017–2020 om realisering av helseanalyseplattformen. Bakgrunnen for avtalen er at Forskningsrådet ser et stort potensial for å redusere forskeres ressursbruk på datainnsamling og frigjøre ressurser til forskning.
8.2 Konseptvalgutredningen
Direktoratet for e-helse har, i rapporten Konseptvalgutredning for Helseanalyseplattformen fra 2018, gjennomført en samfunnsøkonomisk analyse av fire alternative konsepter for en nasjonal plattform for tilgjengeliggjøring og analyse av helsedata:
helsedataportal som kun omfatter forbedring av søknadsprosessen
registerkonsolidering som forutsetter teknisk og organisatorisk konsolidering av registrene i én forvaltningsorganisasjon
helsedataplattform med etablering av en dataplattform for enklere og sikrere tilgjengeliggjøring av data til eksisterende analyseinfrastrukturer
analyseøkosystem med etablering av dataplattform, et bredt spekter av analyseverktøy, mulighet for analyser av store datamengder og mindre behov for utlevering av data
Alle konseptene er basert på at det skal utvikles brukersentrerte løsninger som er bedre tilpasset behovene til innbyggerne og brukerne av data, at eksisterende tekniske løsninger så langt det lar seg gjøre skal gjenbrukes, og at de skal tilfredsstille krav til informasjonssikkerhet og bygge på prinsippet om innebygd personvern.
Direktoratet anbefaler i utredningen å etablere helseanalyseplattformen som et analyseøkosystem (konsept 4). Det innebærer følgende tiltak:
Det etableres nasjonale digitale tjenester for forskere, registerforvaltere, myndigheter, innbyggere, helsepersonell og næringslivet.
Det utvikles en felles analyseinfrastruktur, innbyggertjenester og dataplattform der data fra lovbestemte helseregistre, kvalitetsregistre, biobanker, befolkningsbaserte helseundersøkelser og Statistisk sentralbyrå kan tilgjengeliggjøres for bruk på en sikker måte.
Innbyggerne skal gis stor grad av kontroll og medvirkning i løsningen, ved at for eksempel digitale innbyggertjenester, personverninnstillinger og sporing av bruk er integrert i løsningen.
Etableringen gjennomføres som en skrittvis utvikling med beslutningspunkter underveis. Enkle løsninger som forventes å gi gevinst på kort sikt utvikles først. Nye datakilder introduseres etter hvert.
Løsningen skal tilrettelegge for et offentlig og kommersielt økosystem for analysetjenester for å muliggjøre et rikere og rimeligere tjenestetilbud.
Dagens registerorganisasjoner og funksjoner innen dataforvaltning, innrapportering og kvalitetsforbedring videreføres og forsterkes.
Direktoratet for e-helse forutsetter i utredningen at det etableres en teknisk dataplattform som inneholder datasett (kopier) fra sentrale helseregistre, data fra Statistisk sentralbyrå og variabler fra de befolkningsbaserte helseundersøkelsene. I følge utredningen er det nødvendig å etablere datasett fra datakildene på plattformen for å møte brukerbehovene og personvernkravene når det gjelder ytelse, informasjonssikkerhet, rådgivning og rask kopling av data. Direktoratet anbefaler videre at det etableres felles søknadstjenester, forvaltningstjenester knyttet til helseanalyseplattformen og analysetjenester som er spesielt tilpasset forskeres behov.
I den samfunnsøkonomiske analysen i konseptutvalgutredningen ble netto nåverdi for det anbefalte konseptet om analyseøkosystem anslått til 7,6 milliarder kroner. Analysen inkluderer prissatte virkninger av økt verdiskapning i helseindustrien, mer effektiv legemiddelutvikling, tidsbesparelser for forskere og registerforvaltere, og reduserte drifts- og investeringskostnader for helseregistre og forskning. I tillegg kommer de ikke-prissatte virkningene av mer og bedre helseforskning, bedre styringsdata og bedre beslutningsstøtte for helsepersonell. Analysen viser at alle konseptene som er utredet er samfunnsøkonomisk lønnsomme, men at det er store forskjeller i lønnsomheten. Netto nåverdi av konseptet med en helsedataportal er anslått til 1,8 milliarder kroner, konseptet med registerkonsolidering 3,3 milliarder kroner og konseptet med etablering av en helsedataplattform 4,7 milliarder kroner. Det er i hovedsak forskjeller i tidsbesparelser for forskere og muligheten for effektivisering av legemiddelutvikling som trekker lønnsomheten opp for analyseøkosystemet. Konseptet kommer også best ut for de ikke-prissatte virkningene.
Direktoratet for e-helse har, i rapporten Alternative løsninger for tilgangsforvalterfunksjonen og organisatorisk forankring av Helseanalyseplattformen fra 2018, drøftet alternative organisatoriske løsninger for helseanalyseplattformen og de forvaltningsoppgavene som er knyttet til å tilgjengeliggjøre data.
Helseanalyseplattformen kommer inn under ordningen med kvalitetssikring av statlige investeringsprosjekter. Det ble våren 2019 gjennomført en ekstern kvalitetssikring av styringsunderlag og kostnadsoverslag for investeringene i analyserom, dataplattform og analysetjenester. Vurderingene fra kvalitetssikringen bekrefter at tiltaket har et gevinstpotensial som langt overstiger kostnadene og ekstern kvalitetssikrer anbefaler at tiltaket gjennomføres.
9 Høringen av departementets lovforslag
Helse- og omsorgsdepartementet sendte 4. juli 2019 ut et høringsnotat om tilgjengeliggjøring av helsedata med forslag om endringer i helseregisterloven m.m. Høringsfristen var 4. november 2019.
9.1 Forslagene i høringsnotatet
Departementet la i høringsnotatet frem følgende forslag:
ny helseregisterlov § 20 som skal hjemle en nasjonal løsning for tilgjengeliggjøring av helsedata og gi hjemmel til å fastsette nærmere forskrifter om løsningen (helseanalyseplattformen og Helsedataservice)
ny bokstav k i helseregisterloven § 11 om lovbestemte helseregistre som vil gi hjemmel til at det pseudonyme Reseptregisteret endres til et direkte personidentifiserbart legemiddelregister
nye bestemmelser i helseregisterloven §§ 19 flg. om tilgjengeliggjøring og sammenstilling, samt endringer i bestemmelsene i helseforskningsloven og helsepersonelloven om dispensasjon fra taushetsplikten, som skal gi samlede og enhetlige vilkår for tilgjengeliggjøring og sammenstilling av helseopplysninger fra helseregistre
endringer i helseregisterloven § 14 som skal legge til rette for at et begrenset sett med demografiske og sosioøkonomiske bakgrunnsopplysninger skal kunne gjøres tilgjengelig for helseregistre
I høringsnotatet ble det også lagt frem forslag til forskrift om legemiddelregisteret. Oppfølgingen av dette forslaget vil skje i en egen prosess når Stortingets lovvedtak foreligger.
9.2 Høringsinstanser
Høringsnotatet ble sendt til følgende høringsinstanser:
Departementene
Datatilsynet
De nasjonale forskningsetiske komiteer
Direktoratet for e-helse
Direktoratet for IKT og fellestjenester i høyere utdanning og forskning (Unit)
Folkehelseinstituttet
Fylkesmennene
Helsedirektoratet
Helseøkonomiforvaltningen (HELFO)
Innovasjon Norge
Kreftregisteret
Mattilsynet
Norges forskningsråd
Norsk institutt for by- og regionsforskning
Norsk pasientskadeerstatning
Personvernnemnda
REK midt
REK nord
REK sør-øst
REK vest
Senter for omsorgsforskning
Statens helsetilsyn
Statens legemiddelverk
Statistisk sentralbyrå
Statens undersøkelseskommisjon for helse- og omsorgstjenesten (UKOM)
De regionale helseforetakene
Helseforetakene
Senter for klinisk dokumentasjon og evaluering (SKDE)
Kommunene
Høyskolene (med helsefaglig utdanning)
Universitetene
Abelia
Den norske legeforening
Fagforbundet
Forskningsinstituttenes fellesarena (FFA)
Forskerforbundet
Funksjonshemmedes fellesorganisasjon
IKT Norge
Kreftforeningen
KS
Landets private sykehus
Landsforeningen for Hjerte- og Lungesyke
Legemiddelindustriforeningen
Medtek Norge
Nasjonalforeningen for folkehelsen
NHO
Nova
Norsk Helsenett SF
Norsk pasientforening
Norsk senter for forskningsdata (NSD)
Norsk Sykepleierforbund
Norway Health Tech
Sintef helse
Tjenester for Sensitive Data (TSD)
Uninett
Universitets- og høgskolerådet
Virke
9.3 Høringssvarene
9.3.1 Høringsinstanser med merknader
Det kom inn 72 høringssvar; 5 av disse var uten merknader.
Departementet mottok realitetsuttalelser fra følgende høringsinstanser:
Forsvarsdepartementet
Justis- og beredskapsdepartementet
Kunnskapsdepartementet
Arbeidstilsynet
Barne-, ungdoms- og familiedirektoratet
Datatilsynet
De nasjonale forskningsetiske komiteene
Den nasjonale forskningsetiske komité for medisin og helsefag og de regionale komiteer for medisinsk og helsefaglig forskningsetikk (NEM og REK)
Direktoratet for e-helse
Direktoratet for IKT og fellestjenester i høyere utdanning og forskning (UNIT)
Folkehelseinstituttet
Forskningsrådet
Helsedirektoratet
Kreftregisteret
KRIPOS
Legemiddelverket
Norsk helsearkiv
Statens arbeidsmiljøinstitutt
Statistisk Sentralbyrå (SSB)
Helse Midt-Norge RHF
Helse Sør-Øst RHF
Helse Vest RHF
Akershus Universitetssykehus HF
Bergen kommune
Eldrerådet i Drangedal kommune
Finnmarkssykehuset HF
Helse Bergen HF
Helse Fonna HF
Oslo kommune
Oslo universitetssykehus HF
Stavanger kommune
St Olavs hospital HF
Tønsbergregionen legevakt og ØHD
Universitetssykehuset Nord-Norge HF
Vestre Viken HF
Apotekforeningen
Fagforbundet
Funksjonshemmedes Fellesorganisasjon (FFO)
Hjernesvulstforeningen
Kreftforeningen
KS
Legeforeningen
Legemiddelindustrien (LMI)
Norges farmaceutiske Forening
Norsk journalistlag
Norsk presseforbund
Norsk sykepleierforbund
Tekna
Antibiotikasenteret for primærmedisin ved Universitetet i Oslo
Fakultet for medisin og helsevitenskap ved Norges Tekniske og naturvitenskapelige universitet (NTNU)
Forskningsinstituttenes fellesarena (FFA)
Institutt for offentlig rett ved Universitetet i Oslo
Norsk senter for forskningsdata AS (NSD)
Senter for klinisk dokumentasjon og evaluering (SKDE)
Sintef
Universitetet i Bergen
Universitetet i Oslo
Universitetet i Tromsø
Abelia
Biobank Norway
Lovisenberg Diakonale sykehus
Melanor
Nasjonalt fagråd for arbeid og helse (sekretariatet)
Norce (Norwegian Research Centre)
Novartis AS
Personvernombudet ved Oslo universitetssykehus
Takeda AS
9.3.2 Kort oppsummering av høringsinstansenes syn
Det store flertallet av høringsinstansene uttaler at de ser behovet for nye løsninger som gir mer effektiv tilgjengeliggjøring og at de er positive til departementets forslag. Dette gjelder pasient- og brukerorganisasjoner, forskningsinstitusjoner, helseforetak, kommuner osv. Kreftforeningen refererer undersøkelser som viser at norske pasienter mer enn gjerne bidrar med data om seg selv, men forventer samtidig at dataene som samles inn blir benyttet til samfunnets beste.
Forskningsrådet, UNIT mfl. mener at det er gjort godt rede for informasjonssikkerheten og personvernkonsekvensene av de foreslåtte løsningene.
Det er likevel noen høringsinstanser som uttaler seg kritisk til departementets vurderinger og forslag, selv om ingen av dem uttrykkelig sier at de er imot løsningene som foreslås. Hovedinnvendingene er knyttet til utredningen av personvernkonsekvensene. Datatilsynet, Legeforeningen, Helsedirektoratet, Institutt for offentlig rett ved Universitetet i Oslo og De nasjonale forskningsetiske komiteene mener at personvernkonsekvensene av forslagene i høringsnotatet ikke var godt nok utredet og vurdert, fremstilt på feil måte, underkommunisert eller tillagt for liten vekt.
Departementet gjør nærmere rede for høringssvarene i tilknytning til drøftelsen av de enkelte lovforslagene i proposisjonens del III.