Rettslig grunnlag
Jus og personvern
Krav til rettslig grunnlag for kvalitetsregistre
Rettslig grunnlag tilsvarer hjemmel eller vilkår for å behandle personopplysninger. Et medisinsk kvalitetsregister er et helseregister. Forutsetninger for å behandle helseopplysninger i et slikt register er at den som mottar opplysningene må ha et rettslig grunnlag for å behandle dem, og den som har opplysningene må ha hjemmel for å levere dem ut. For kvalitetsregistrene vil rettslig grunnlag dermed ofte handle om tre forhold:
Helseregisterloven regulerer behandling av helseopplysninger der hovedformålet er å danne grunnlag for statistikk, helseanalyser, forskning, kvalitetsforbedring, planlegging, styring og beredskap (sekundærbruk). Gjeldende helseregisterlov trådte i kraft 1. januar 2015. Den erstattet da helseregisterloven 2001 og viderefører reglene i denne om sekundærbruk av helseopplysninger (1).
Med behandling menes enhver bruk av helseopplysninger, som for eksempel å samle inn, registrere, sammenstille, lagre og levere ut, eller en kombinasjon av slike bruksmåter, jf. helseregisterloven § 2.
Helseregisterloven gjelder bruk av helseopplysninger innenfor helse- og omsorgsforvaltningen og helse- og omsorgstjenesten. Behandling av helseopplysninger utenfor helseforvaltningen og helsetjenesten reguleres av personopplysningsloven (2).
Personopplysningsloven med forskrifter gjelder utfyllende til helseregisterloven, jf. helseregisterloven § 5. Særlig aktuell er personopplysningsforskriften om krav til informasjonssikkerhet og internkontroll (3). Også andre regelsett gjelder, blant annet regler om taushetsplikt i helsepersonelloven og samtykkebestemmelsene i pasient- og brukerrettighetsloven.
Kvalitetssikring og forskning
Helseregisterloven er avgrenset mot pasientjournalloven og helseforskningsloven.
Kvalitetssikring av helsetjenester som sådan omfattes av helseregisterloven. Kvalitetssikring av helsehjelp til den enkelte pasient og virksomhetenes interne kvalitetssikring, omfattes av pasientjournalloven (4). Å trekke grensen mellom virksomhetsinterne kvalitetsregistre som faller inn under pasientjournalloven og helseregistre forøvrig kan være vanskelig. Se nedenfor om virksomhetsintern kvalitetssikring.
Medisinsk og helsefaglig forskning reguleres av helseforskningsloven. Bruk av opplysninger som omfattes av helseforskningslovens formål krever behandlingsgrunnlag i helseforskningsloven, selv om registeret i utgangspunktet er opprettet med hjemmel i helseregisterloven. Samtidig skjer det forskning som ikke faller inn under helseforskningsloven, og der bruken av opplysningene omfattes av helseregisterloven. Registerets formål og karakter er da avgjørende for hvilken lov som skal anvendes (5).
Saklig virkeområde for helsegisterloven, pasientjournalloven og helseforskningsloven
Pasientjournalloven | Helseregisterloven | Helseforskningsloven |
Gjelder all behandling av helseopplysninger som er nødvendig for å yte, administrere eller kvalitetssikre helsehjelp til enkeltpersoner. | Gjelder for behandling av helseopplysninger til statistikk, helseanalyser, forskning, kvalitetsforbedring, planlegging, styring og beredskap i helse- og omsorgsforvaltningen. | Gjelder for medisinsk og helsefaglig forskning på mennesker, humant biologisk materiale eller helseopplysninger. |
Personvern, pasient- og samfunnsinteresser
Personvern er ikke nærmere definert i loven, men knytter seg bl.a. til den enkeltes kontroll med hvilke opplysninger om ham eller henne som er tilgjengelig for andre. Den registrertes samtykke er derfor et krav for all behandling av helseopplysninger, hvis ikke annet er bestemt i lov. Traktater om menneskerettigheter danner det viktigste formelle grunnlaget for regelsett om personvern både nasjonalt og internasjonalt. Helseregisterloven bygger på EUs personverndirektiv (6).
Den sentrale pasientinteressen er best mulig helsehjelp. Aktuelle samfunnsinteresser er å sikre effektiv ressursutnyttelse av felles ressurser, styring og forvaltning av helsesektoren. Bruk av helseopplysninger og helseregistre til forskning og statistikk er nødvendig både for å kvalitetssikre helsehjelpen og sikre effektiv ressursutnyttelse til beste for samfunnet (7).
Ved motstrid mellom hensynet til den enkeltes integritet og andre interesser, skal det tungtveiende argumenter til for at personvernet skal vike (8).
- Alminnelige vilkår for å behandle helseopplysninger, herunder hovedregel om samtykke, krav til formålsbestemthet og forbud mot bruk som ikke er forenlig med det opprinnelige formålet, jf. § 6.
- Taushetsplikt, jf. 17
- Forbud mot urettmessig å tilegne seg taushetsbelagte opplysninger, jf. § 18
- Sikring av konfidensialitet, integritet og tilgjengelighet, jf. § 21
- Plikt til internkontroll, jf. § 22
- Informasjon og innsyn, jf. §§ 23 og 24
- Sletting eller sperring, jf. § 25
Hjemmelsgrunnlag for etablering
- Direkte i lov (i helseregisterloven selv eller annen lov)
- I lovhjemlede forskrifter (som forskrifter etter helseregisterloven §§ 8 til 12)
- I konsesjon fra Datatilsynet etter helseregisterloven § 7
Den som har hjemmel i lov eller i lovhjemlede forskrifter trenger ikke å søke konsesjon fra Datatilsynet, men behandlingen kan være meldepliktig. Se mer om melde- og konsesjonsplikt ved behandling av helseopplysninger på Datatilsynets nettsider. Adgangen i helseregisterloven til å etablere helseregistre kan illustreres som i figuren under.
Hjemmelsgrunnlag for behandling av helseopplysninger i helseregisterloven
Hjemmel for Helsearkivregisteret i § 12 er ikke relevant i denne sammenhengen. De andre bestemmelsene kan kort oppsummeres slik:
§ 6 Alminnelige vilkår
Her fremgår grunnvilkår for å behandle helseopplysninger, som gjelder alle registre uavhengig om de er hjemlet direkte i lov, konsesjon eller forskrift. Bl.a. krav til at behandlingen skal ha et klart angitt formål, til saklighet og relevans, og at graden av personidentifikasjon ikke skal være større enn nødvendig for det aktuelle formålet.
§ 7 Konsesjon fra Datatilsynet
Datatilsynet kan gi konsesjon for å etablere helseregistre, som i tilfelle må søkes før behandlingen starter. Det forutsettes at opplysningene er lovlig innhentet (ved samtykke, lovhjemmel eller dispensasjon fra taushetsplikt). Lovforarbeidene presiserer at Datatilsynet kan gi konsesjon til alle typer helseregistre, også registre som ikke er samtykkebasert. Konsesjon kan bare gis dersom vilkårene i helseregisterloven § 6 og personopplysningsloven § 9 er oppfylt, og enkelte registre kan ha så stort omfang at de bør reguleres i forskrift (9). I vurderingen vil registerets omfang, identitetsforvaltning (identifisering, autentisering og autorisasjon) og varighet være viktige elementer.
Tilsynet kan i sitt konsesjonsvedtak stille særlige vilkår som anses nødvendig av hensyn til personvernet (for eksempel krav til informasjon, lagringstid m.v.), jf. personopplysningsloven § 35.
§ 8 Vilkår for etablering i forskrift
Bestemmelsen gir regjeringen fullmakt til å vedta forskrifter om helseregistre. For alle registre som skal hjemles i forskrift, må de alminnelige vilkårene i § 6 først være oppfylt, dernest må vilkårene i § 8 være oppfylt, og for det tredje må vilkårene i enten § § 9, 10 eller 11 være oppfylt. For å etablere nye registre ved forskrift må den helsefaglige eller samfunnsmessige nytten av registeret klart overstige personvernulempene. I tillegg stiller bestemmelsen krav til hva forskriften må inneholde.
§ 9 Registre som er samtykkebaserte eller uten direkte identifiserbare kjennetegn
Regjeringen kan gi forskrift om helseregistre der den registrerte enten samtykker (bokstav a.), eller der opplysningene behandles uten at den databehandlingsansvarlige har tilgang til navn, fødselsnummer eller andre direkte personidentifiserende kjennetegn (bokstav b.).
§ 10 Helseregistre der den registrerte har rett til å motsette seg behandling av helseopplysninger
Bestemmelsen er ny i forhold til helseregisterloven av 2001, og er særlig tiltenkt etablering av nasjonale registre i forskrift (10). Regjeringen har her fått fullmakt til å etablere registre i forskrift med direkte personidentifiserbare kjennetegn, uten samtykke fra den registrerte, men med reservasjonsrett. Vilkåret er at formålet med behandlingen og hensynet til registerets kvalitet ikke kan oppnås dersom det stilles krav om samtykke.
§ 11 Lovbestemte helseregistre
Gjelder helseregistre med direkte personidentifiserende kjennetegn uten samtykke fra de registrerte. Å etablere slike registre krever lovvedtak i Stortinget. Bestemmelsen viderefører lovgrunnlaget for de eksisterende ikke samtykkebaserte sentrale helseregistrene som var hjemlet i helseregisterloven av 2001 (Kreftregisteret, Medisinsk fødselsregister, Nasjonalt register over hjerte- og karlidelser mv.). Bestemmelsen gir regjeringen fullmakt til å vedta forskrifter om de registrene som er uttømmende oppregnet i loven.
Virksomhetsintern kvalitetssikring
Virksomhetsinterne kvalitetsregistre er der hvor nærmere definerte pasientopplysninger fra flere pasienters journaler innenfor en virksomhet, sammenstilles og analyseres i kvalitetssikringsøyemed.
Helsepersonelloven § 26 åpner for at helseopplysninger kan brukes til virksomhetsintern kvalitetssikring, ved at den fastslår at den som yter helsehjelp kan gi opplysninger til virksomhetens ledelse når dette er nødvendig for å kvalitetssikre tjenesten. Bestemmelsen er ikke i seg selv hjemmelsgrunnlag for å etablere et eget register. Slikt grunnlag følger av pasientjournalloven § 6 andre ledd.
Dersom to eller flere virksomheter samarbeider om behandlingsrettede helseregistre (pasientjournaler) etter pasientjournalloven § 9, kan slike opplysninger også gis til ledelsen i samarbeidende virksomheter, jf. helsepersonelloven § 26 andre ledd. Dette er en viktig endring fra den forrige helseregisterloven, fordi endringen gjør direkte tilgang til opplysninger i pasientforløp på tvers av virksomhetsgrenser mulig, både for å yte, administrere og kvalitetssikre helsehjelpen. Uten et slikt samarbeid om felles journal kan ikke personidentifiserbare opplysninger kobles direkte til data fra andre virksomheter. Slik sammenligning må i så fall, som tidligere, framstilles anonymt.
Helsepersonelloven § 26 forutsetter at formålet med bruken er ledelsesforankret. Dvs. at virksomhetens ledelse har det formelle ansvaret, men myndighet til å etablere kvalitetsregistre kan delegeres nedover i virksomheten til annet personell. Avhengig av vedtatte prosedyrer i den enkelte virksomhet/helseforetak, vil rutinene for etablering kunne variere. Så fremt behandlingen er innenfor formålet med helsepersonelloven § 26, oppstiller bestemmelsen ingen begrensning med hensyn til størrelse, innhold eller lagringstid (11).
Opplysningene skal så langt som mulig gis uten individualiserende kjennetegn, jf. helsepersonelloven § 26 og pasientjournalloven § 6 tredje ledd. Dersom individualiserende opplysninger likevel inkluderes, har pasienten reservasjonsrett (12).
Siden slik behandling av helseopplysninger har hjemmel direkte i lov er behandlingen ikke konsesjonspliktig.
Om adgangen til å utlevere opplysninger fra nasjonale medisinske helseregistre til helseforetak for bruk til intern kvalitetssikring, se nedenfor om utlevering
Hente inn opplysninger til registeret
Samtykke som hovedregel
Helseopplysninger i helseregistre må hentes inn enten fra den registrerte selv eller fra en annen kilde, som oftest pasientjournaler. Som hovedregel skal det foreligge samtykke fra den registrerte før opplysningene kan behandles i et helseregister, hvis ikke annet er bestemt i eller i medhold av lov.
Helseregisterloven § 2 krever at samtykket skal være en «frivillig, uttrykkelig og informert erklæring fra den registrerte om at han eller hun godtar behandling av helseopplysninger om seg selv».
- Frivillig betyr at samtykket ikke må være gitt under noen form for tvang. Den som ber om samtykket må gjøre det klart at det ikke vil få behandlingsmessige eller andre konsekvenser ved ikke å delta.
- Uttrykkelig betyr at passivt eller stilltiende samtykke ikke er tilstrekkelig.
- Informert betyr at den registrerte forstår hva han eller hun samtykker til og konsekvensene av det. Informasjonen må derfor tilpasses den enkelte. Informasjonen skal minst fortelle hvem som er databehandlingsansvarlig, formålet med behandlingen av opplysningene, om opplysningene vil bli utlevert, og eventuelt til hvem, samt hvilke rettigheter den registrerte har etter loven, jf. personopplysningsloven §18.
Det stilles ingen formkrav til samtykket (dvs. kan gis muntlig eller skriftlig). Som hovedregel bør det likevel være dokumenterbart, fordi databehandlingsansvarlig må kunne sannsynliggjøre at samtykke er innhentet.
Samtykket kan trekkes tilbake på hvilket som helst tidspunkt. Tilbaketrekking gjelder i utgangspunktet bare for fremtidige behandlinger av opplysningene, og ikke for allerede utførte analyser eller anonymt materiale (13).
Det fremgår av helseregisterloven § 15 hvem som har rett til å samtykke til behandling av helseopplysninger. Bestemmelsen tilsvarer i hovedsak pasient- og brukerrettighetslovens samtykkeregler.
Levere ut opplysninger fra registeret
Enhver som behandler helseopplysninger etter helseregisterloven har taushetsplikt etter helsepersonelloven § 21 flg. Utlevering av helseopplysninger fra helseregistrene må dermed ha hjemmel i lov eller samtykke fra den opplysningene gjelder.
Samtykke opphever taushetsplikten så langt samtykket rekker, og det er derfor svært viktig at samtykket er tilstrekkelig klart hvis det skal kunne brukes som hjemmel for å levere ut opplysninger. Kravet til informasjon setter en absolutt skranke for hva den databehandlingsvarlige kan bruke opplysningene til. En «blanco-fullmakt» for å oppheve taushetsplikten, som en generell hjemmel for å utlevere opplysninger fra registeret i framtiden, er ikke tilstrekkelig (14).
Helsepersonelloven §§ 29 og 29b kan også være aktuelle hjemler for å utlevere opplysninger fra registrene til bruk til henholdsvis forskning og kvalitetssikring. Se mer om disse ovenfor i punkt 6.
Loven hjemler ikke direkte adgang til å sammenstille opplysninger, men forutsetter at det er vedtatt slik adgang i registerforskriftene, jf. helseregisterloven § 19. Registre som er etablert med hjemmel i helseregisterloven § 11 har egne bestemmelser om sammenstilling med andre registre. Å sammenstille opplysninger kan også være en måte å innhente data på, i de tilfellene der to registre kan inneholde den samme variabelen (15).
Oppsummering
Tilstrekkelig rettslig grunnlag for å behandle opplysninger i medisinske kvalitetsregistre handler om tre forhold. Opplysningene må for det første være lovlig innhentet. Dernest må den som mottar opplysningene ha et behandlingsgrunnlag. For det tredje kan registeret heller ikke utlevere opplysninger fra registeret uten at det foreligger lovhjemmel eller samtykke fra den opplysningene gjelder.
Den klare hovedregelen for behandlingen av helseopplysninger er samtykke.
