• Alminnelige vilkår for å behandle helseopplysninger, herunder hovedregel om samtykke, krav til formålsbestemthet og forbud mot bruk som ikke er forenlig med det opprinnelige formålet, jf. § 6.
• Taushetsplikt, jf. 17
• Forbud mot urettmessig å tilegne seg taushetsbelagte opplysninger, jf. § 18
• Sikring av konfidensialitet, integritet og tilgjengelighet, jf. § 21
• Plikt til internkontroll, jf. § 22 
• Informasjon og innsyn, jf. §§ 23 og 24 
• Sletting eller sperring, jf. § 25

§ 6 Alminnelige vilkår

Her fremgår grunnvilkår for å behandle helseopplysninger, som gjelder alle registre uavhengig om de er hjemlet direkte i lov, konsesjon eller forskrift. Bl.a. krav til at behandlingen skal ha et klart angitt formål, til saklighet og relevans, og at graden av personidentifikasjon ikke skal være større enn nødvendig for det aktuelle formålet.

§ 7 Konsesjon fra Datatilsynet

Datatilsynet kan gi konsesjon for å etablere helseregistre, som i tilfelle må søkes før behandlingen starter. Det forutsettes at opplysningene er lovlig innhentet (ved samtykke, lovhjemmel eller dispensasjon fra taushetsplikt). Lovforarbeidene presiserer at Datatilsynet kan gi konsesjon til alle typer helseregistre, også registre som ikke er samtykkebasert. Konsesjon kan bare gis dersom vilkårene i helseregisterloven § 6 og personopplysningsloven § 9 er oppfylt, og enkelte registre kan ha så stort omfang at de bør reguleres i forskrift (9). I vurderingen vil registerets omfang, identitetsforvaltning (identifisering, autentisering og autorisasjon) og varighet være viktige elementer.

Tilsynet kan i sitt konsesjonsvedtak stille særlige vilkår som anses nødvendig av hensyn til personvernet (for eksempel krav til informasjon, lagringstid m.v.), jf. personopplysningsloven § 35.

§ 8 Vilkår for etablering i forskrift

Bestemmelsen gir regjeringen fullmakt til å vedta forskrifter om helseregistre. For alle registre som skal hjemles i forskrift, må de alminnelige vilkårene i § 6 først være oppfylt, dernest må vilkårene i § 8 være oppfylt, og for det tredje må vilkårene i enten § § 9, 10 eller 11 være oppfylt. For å etablere nye registre ved forskrift må den helsefaglige eller samfunnsmessige nytten av registeret klart overstige personvernulempene. I tillegg stiller bestemmelsen krav til hva forskriften må inneholde.

§ 9 Registre som er samtykkebaserte eller uten direkte identifiserbare kjennetegn

Regjeringen kan gi forskrift om helseregistre der den registrerte enten samtykker (bokstav a.), eller der opplysningene behandles uten at den databehandlingsansvarlige har tilgang til navn, fødselsnummer eller andre direkte personidentifiserende kjennetegn (bokstav b.).

§ 10 Helseregistre der den registrerte har rett til å motsette seg behandling av helseopplysninger

Bestemmelsen er ny i forhold til helseregisterloven av 2001, og er særlig tiltenkt etablering av nasjonale registre i forskrift (10). Regjeringen har her fått fullmakt til å etablere registre i forskrift med direkte personidentifiserbare kjennetegn, uten samtykke fra den registrerte, men med reservasjonsrett. Vilkåret er at formålet med behandlingen og hensynet til registerets kvalitet ikke kan oppnås dersom det stilles krav om samtykke.

§ 11 Lovbestemte helseregistre

Gjelder helseregistre med direkte personidentifiserende kjennetegn uten samtykke fra de registrerte. Å etablere slike registre krever lovvedtak i Stortinget. Bestemmelsen viderefører lovgrunnlaget for de eksisterende ikke samtykkebaserte sentrale helseregistrene som var hjemlet i helseregisterloven av 2001 (Kreftregisteret, Medisinsk fødselsregister, Nasjonalt register over hjerte- og karlidelser mv.). Bestemmelsen gir regjeringen fullmakt til å vedta forskrifter om de registrene som er uttømmende oppregnet i loven.

Virksomhetsintern kvalitetssikring

Virksomhetsinterne kvalitetsregistre er der hvor nærmere definerte pasientopplysninger fra flere pasienters journaler innenfor en virksomhet, sammenstilles og analyseres i kvalitetssikringsøyemed.

Helsepersonelloven § 26 åpner for at helseopplysninger kan brukes til virksomhetsintern kvalitetssikring, ved at den fastslår at den som yter helsehjelp kan gi opplysninger til virksomhetens ledelse når dette er nødvendig for å kvalitetssikre tjenesten. Bestemmelsen er ikke i seg selv hjemmelsgrunnlag for å etablere et eget register. Slikt grunnlag følger av pasientjournalloven § 6 andre ledd.

Dersom to eller flere virksomheter samarbeider om behandlingsrettede helseregistre (pasientjournaler) etter pasientjournalloven § 9, kan slike opplysninger også gis til ledelsen i samarbeidende virksomheter, jf. helsepersonelloven § 26 andre ledd. Dette er en viktig endring fra den forrige helseregisterloven, fordi endringen gjør direkte tilgang til opplysninger i pasientforløp på tvers av virksomhetsgrenser mulig, både for å yte, administrere og kvalitetssikre helsehjelpen. Uten et slikt samarbeid om felles journal kan ikke personidentifiserbare opplysninger kobles direkte til data fra andre virksomheter. Slik sammenligning må i så fall, som tidligere, framstilles anonymt.

Helsepersonelloven § 26 forutsetter at formålet med bruken er ledelsesforankret. Dvs. at virksomhetens ledelse har det formelle ansvaret, men myndighet til å etablere kvalitetsregistre kan delegeres nedover i virksomheten til annet personell. Avhengig av vedtatte prosedyrer i den enkelte virksomhet/helseforetak, vil rutinene for etablering kunne variere. Så fremt behandlingen er innenfor formålet med helsepersonelloven § 26, oppstiller bestemmelsen ingen begrensning med hensyn til størrelse, innhold eller lagringstid (11).

Opplysningene skal så langt som mulig gis uten individualiserende kjennetegn, jf. helsepersonelloven § 26 og pasientjournalloven § 6 tredje ledd. Dersom individualiserende opplysninger likevel inkluderes, har pasienten reservasjonsrett (12).

Siden slik behandling av helseopplysninger har hjemmel direkte i lov er behandlingen ikke konsesjonspliktig.

Om adgangen til å utlevere opplysninger fra nasjonale medisinske helseregistre til helseforetak for bruk til intern kvalitetssikring, se nedenfor om utlevering

Hente inn opplysninger til registeret

Samtykke som hovedregel

Helseopplysninger i helseregistre må hentes inn enten fra den registrerte selv eller fra en annen kilde, som oftest pasientjournaler. Som hovedregel skal det foreligge samtykke fra den registrerte før opplysningene kan behandles i et helseregister, hvis ikke annet er bestemt i eller i medhold av lov.

Helseregisterloven § 2 krever at samtykket skal være en «frivillig, uttrykkelig og informert erklæring fra den registrerte om at han eller hun godtar behandling av helseopplysninger om seg selv».

• Frivillig betyr at samtykket ikke må være gitt under noen form for tvang. Den som ber om samtykket må gjøre det klart at det ikke vil få behandlingsmessige eller andre konsekvenser ved ikke å delta.
• Uttrykkelig betyr at passivt eller stilltiende samtykke ikke er tilstrekkelig.
• Informert betyr at den registrerte forstår hva han eller hun samtykker til og konsekvensene av det. Informasjonen må derfor tilpasses den enkelte. Informasjonen skal minst fortelle hvem som er databehandlingsansvarlig, formålet med behandlingen av opplysningene, om opplysningene vil bli utlevert, og eventuelt til hvem, samt hvilke rettigheter den registrerte har etter loven, jf. personopplysningsloven §18.

Det stilles ingen formkrav til samtykket (dvs. kan gis muntlig eller skriftlig). Som hovedregel bør det likevel være dokumenterbart, fordi databehandlingsansvarlig må kunne sannsynliggjøre at samtykke er innhentet.

Samtykket kan trekkes tilbake på hvilket som helst tidspunkt. Tilbaketrekking gjelder i utgangspunktet bare for fremtidige behandlinger av opplysningene, og ikke for allerede utførte analyser eller anonymt materiale (13).

Det fremgår av helseregisterloven § 15 hvem som har rett til å samtykke til behandling av helseopplysninger. Bestemmelsen tilsvarer i hovedsak pasient- og brukerrettighetslovens samtykkeregler.

Levere ut opplysninger fra registeret

Enhver som behandler helseopplysninger etter helseregisterloven har taushetsplikt etter helsepersonelloven § 21 flg. Utlevering av helseopplysninger fra helseregistrene må dermed ha hjemmel i lov eller samtykke fra den opplysningene gjelder.

Samtykke opphever taushetsplikten så langt samtykket rekker, og det er derfor svært viktig at samtykket er tilstrekkelig klart hvis det skal kunne brukes som hjemmel for å levere ut opplysninger. Kravet til informasjon setter en absolutt skranke for hva den databehandlingsvarlige kan bruke opplysningene til. En «blanco-fullmakt» for å oppheve taushetsplikten, som en generell hjemmel for å utlevere opplysninger fra registeret i framtiden, er ikke tilstrekkelig (14).

Helsepersonelloven §§ 29 og 29b kan også være aktuelle hjemler for å utlevere opplysninger fra registrene til bruk til henholdsvis forskning og kvalitetssikring. Se mer om disse ovenfor i punkt 6.

Loven hjemler ikke direkte adgang til å sammenstille opplysninger, men forutsetter at det er vedtatt slik adgang i registerforskriftene, jf. helseregisterloven § 19. Registre som er etablert med hjemmel i helseregisterloven § 11 har egne bestemmelser om sammenstilling med andre registre. Å sammenstille opplysninger kan også være en måte å innhente data på, i de tilfellene der to registre kan inneholde den samme variabelen (15).