7 Utvikling og test av behandlingsrettede helseregistre

7.1 Innledning

Departementet foreslår endring av pasientjournalloven § 11. Forslaget innebærer at helsetjenesten kan bruke personopplysninger, herunder helseopplysninger, til utvikling og testing av behandlingsrettede systemer når det er umulig eller uforholdsmessig vanskelig å oppnå formålet ved å bruke anonyme eller fiktive opplysninger. Departementet oppfatter høringsinstansene, i all hovedsak å være positive til hovedlinjene i forslaget. Høringsforslaget videreføres derfor med mindre justeringer, i tråd med innspill fra høringsinstansene.

7.2 Høringsforslaget

I høringsnotatet er det vist til at det er en viss adgang til bruk av reelle journalopplysninger (helseopplysninger) for utvikling og test i lukkede miljøer, jf. pasientjournalloven §§ 6 og 8. Departementet påpekte likevel at det er ønskelig med en klarere hjemmelssituasjon og foreslo derfor at en begrenset adgang til utvikling og test inntas i pasientjournalloven § 11.

Departementets forslag er inspirert av tilsvarende bestemmelser i skatteforvaltningsloven § 5-12, folkeregisterloven § 9-5 og tolloven § 12-18.

Departementets forslag innebar at helsetjenesten kan bruke personopplysninger, herunder helseopplysninger, til utvikling og testing av behandlingsrettede systemer når det er umulig eller uforholdsmessig vanskelig å oppnå formålet ved å bruke pseudonyme, anonyme eller fiktive opplysninger.

7.3 Høringsinstansenes syn

De fleste høringssvarene er positive til bruk av journalopplysninger for å utvikle og teste behandlingsrettede helseregistre, dersom det vil være umulig eller uforholdsmessig vanskelig å oppnå formålet ved å bruke anonyme eller fiktive opplysninger. Bruk av fiktive opplysninger (syntetiske data) kan ikke gi den nødvendige kompleksitet for testsituasjoner som er nødvendig for å kvalitetssikre systemer før produksjonssetting i helsetjenesten. Avdekking av alvorlige feil forutsetter komplekse og store mengder data, og det er ikke mulig å framstille dette med god nok kvalitet syntetisk.

Advokatforeningen er enig med departementet i at det er mange hensyn som kan tilsi at det vil være nødvendig å benytte personopplysninger ved utvikling og testing av behandlingsrettede helseregistre. Det er innført flere hjemler i lov for offentlige aktørers bruk av personopplysninger i utvikling og testing. I tråd med forslaget som fremsettes av departementet, gjelder hjemlene kun der det vil være umulig eller uforholdsmessig vanskelig å oppnå formålet ved å bruke anonyme eller syntetiske data.

Helse Nord RHF støtter forslaget som fremmes, men ber departementet vurdere å utvide forslaget til også å gjelde bruk av fiktive/syntetiske journalopplysninger i produksjon. Tilgang til fiktive/syntetiske pasienter vil etter Helse Nord RHFs mening, være nødvendig for verifikasjonsformål i produksjon både knyttet til kvalitetssikring av tjenester på helsenorge.no og til testing av den nasjonale samhandlingsarkitekturen.

Helse Sør-Øst RHF støtter forslaget. Krav om at testing med skarpe (reelle og ikke anonyme) data kun kan skje i «lukkede utviklings- og testmiljøer» kan imidlertid virke begrensende for helsevirksomhetenes realisering av hjemmelens potensielle nytteverdi, og kan på sikt føre til at bestemmelsens formål ikke oppnås. Helse Sør-Øst RHF peker på at det er behov for en tydeliggjøring i forskrift av hvilke typer testmiljø/-system hjemmelen skal gjelde for. Det bør også drøftes hvilke krav som skal stilles til leverandør, dataansvarlig og databehandler vedrørende bruk av skarpe data. Helse Sør-Øst RHF påpeker også at gode og relevante data til test og tjenesteutvikling lenge har vært en etterspurt mangelvare i helsetjenesten, og spesielt innenfor forskningsmiljøene.

Norsk helsenett SF mener en slik adgang bør være svært restriktiv og påpeker viktigheten av å regulere adgangen til å kunne gjøre bruk av identifiserbare personopplysninger til utvikling av algoritmer som kan produsere syntetiske data. Verdien i å kunne gjøre dette vil være av både økonomisk og personvernfremmende hensyn. Med en slik løsning vil en ikke lenger ha samme behov for å benytte unntakshjemler for bruk av identifiserbare personopplysninger til testformål.

Direktoratet for e-helse stiller spørsmål ved om bestemmelsen, slik den er utformet, er tilstrekkelig for å tilrettelegge for en god, effektiv og smidig utvikling av slike systemer. Direktoratet foreslår derfor at bestemmelsens ordlyd også bør omfatte prøvedrift. I prosjektets siste fase vil løsningen være tilnærmet identisk slik den vil være når den er i ordinær drift.

Datatilsynet er i utgangspunktet positiv til en tydelig regulering av en begrenset adgang til bruk av reelle opplysninger i testing og utvikling, men peker også på viktigheten av veiledning om bruk av unntaket.

7.4 Departementets vurderinger

Helse- og omsorgstjenestene benytter en rekke ulike journalløsninger (behandlingsrettede helseregistre) med tilknyttet medisinsk utstyr. Journalløsningene som benyttes skal være elektroniske, jf. pasientjournalforskriften § 12 og forskrift om standarder og nasjonale e-helseløsninger § 3.

De behandlingsrettede journalsystemene skal håndtere store informasjonsmengder og systematisere dette på en hensiktsmessig og sikker måte. At de digitale løsningene som benyttes er av god kvalitet, kan ha direkte betydning for kvaliteten i helsetjenestene som tilbys. Dette innebærer en krevende digital kompleksitet som skaper utfordringer for sømløs og effektiv samhandling.

Aktørene i helsesektoren utfører oppgaver som har stor betydning for pasientene og pasientsikkerheten. Konsekvensene av feil i journalsystemene kan dermed bli betydelige og feilene kan ha påvirkning for liv og helse. Samtidig skal systemene håndtere en omfattende informasjonsmengde i en digital kompleksitet. Det gjør at kravene til utvikling og testing av ulike journalløsninger og -systemer er større enn de er i andre sammenhenger.

I gjeldende rett er det lagt til grunn en viss aksept for bruk av reelle journalopplysninger (helseopplysninger) for utvikling og test i lukkede miljøer, jf. pasientjournalloven §§ 6 og 8. Behovet for å bruke reelle journalopplysninger aktualiseres særlig i prosjektenes sluttfase, nært opptil produksjonssetting. Utviklings- og testmiljøet må være robust og hindre at uvedkommende får tilgang til taushetsbelagt informasjon. Departementet er av den oppfatning at det er ønskelig med en klarere hjemmelssituasjon og foreslår derfor at en begrenset adgang for bruk av helseopplysninger til utvikling og test av behandlingsrettede helseregistre (journalsystemer) inntas i pasientjournalloven § 11.

Behandlingsrettede journalsystemer hvor det skal behandles helseopplysninger, og som derfor omfattes av personvernforordningen artikkel 9, må utvikles og testes på samme måte som de andre delene av ikt-systemene. Departementet er av den oppfatning at den foreslåtte bestemmelsen har rettslig grunnlag i personvernforordningen artikkel 6 nr. 1 bokstav e og artikkel 9 nr. 2 bokstav h. Det følger av artikkel 6 nr. 3 at grunnlaget for behandling etter artikkel 6 nr. 1 bokstav e også skal fastsettes i unionsretten eller nasjonal rett.

Alle som deltar i et slikt arbeid og vil kunne få tilgang til helseopplysninger må være underlagt lovbestemt taushetsplikt, jf. personvernforordningen artikkel 9 nr. 3. Det er en forutsetning at et slikt utviklings- eller testarbeid også skjer i samsvar med kravene i pasientjournalloven §§ 15, 16 og 22.

Etter departementets vurdering vil utvikling og test av journalsystemer eller andre behandlingsrettede helseregistre utgjøre et annet formål enn det opplysningene i utgangspunktet er innhentet for. Det vil imidlertid ikke anses for å være uforenelig med det opprinnelige formålet.

Departementet foreslår en ny bestemmelse som fastslår at helsetjenesten kan bruke personopplysninger, herunder helseopplysninger, til utvikling og testing av behandlingsrettede systemer når det er umulig eller uforholdsmessig vanskelig å oppnå formålet ved å bruke pseudonyme, anonyme eller fiktive opplysninger. Med utvikling menes det å lage eller oppgradere et ikt-system slik at det er klart for testing. Med testing menes det å foreta kontroller av at ikt-systemet fungerer slik det skal. Departementet merker seg at Direktoratet for e-helse foreslår at bestemmelsens ordlyd også bør omfatte prøvedrift. Dette fordi løsningen i prosjektets siste fase vil være tilnærmet identisk slik den vil være når den er i ordinær drift. Departementet ser ikke behov for å innta prøvedrift i lovforslagets ordlyd, men legger til grunn at prøvedrift i denne sammenhengen vil være omfattet av begrepet «test».

I praksis benyttes tre hovedkategorier av data; pseudonyme, fiktive/syntetiske og reelle journalopplysninger i utvikling og test av behandlingsrettede systemer. Etter departementets vurdering bør det også kunne benyttes reelle journalopplysninger til utvikling og testing i en del tilfeller der det er praktisk mulig, men hvor det er uforholdsmessig krevende å bruke fiktive eller anonyme opplysninger. I vurderingen av om det er uforholdsmessig vanskelig å oppnå formålet ved å bruke anonyme eller fiktive opplysninger, kan det blant annet legges vekt på om det er svært tid- og ressurskrevende for aktøren å lage anonyme eller fiktive opplysninger.

Departementet presiserer at en adgang for tjenesten til å bruke helseopplysninger når det er «uforholdsmessig vanskelig» å benytte anonyme eller fiktive opplysninger, ikke endrer ved det prinsipielle utgangspunktet om at aktørene skal bruke anonyme eller fiktive opplysninger i utviklings- og testarbeidet. Departementet er enig med Norsk helsenett SF i at en slik adgang bør være restriktiv. Departementet presiserer også at datasettet skal begrenses i omfang når det gjelder datakilder eller inkluderte personer det benyttes data om.

I tilfeller der unntaksadgangen benyttes, med bruk av reelle data, stilles særlig krav til sikring av opplysningene. Departementet fastholder derfor at arbeidet skal utføres i lukkede utviklings- og testmiljøer. God sikkerhet forutsetter også tilgangsstyring, slik at kun personer med tjenstlig behov skal ha tilgang til utviklings- og testmiljøet.

Departementet viser videre til at utviklings- og testvirksomheten ikke skal ha større omfang enn det som er nødvendig for å oppnå formålet. Helseopplysningene skal heller ikke lagres lenger enn det som er nødvendig for å gjennomføre arbeidet. Etter departementets vurdering er målet rimelig i forhold til inngrepets art, jf. personvernforordningen artikkel 6 nr. 3. Departementet vil be Direktoratet for e-helse utarbeide retningslinjer som skal gjelde for utviklings- og testvirksomhet.