Norsk pasientregisterforskriften, NPR

Denne forskriften etablerer Norsk pasientregister. Forskriften gir regler om innsamling og behandling av helseopplysninger i registeret.

Norsk pasientregister har til hovedformål å danne grunnlag for administrasjon, styring og kvalitetssikring av spesialisthelsetjenester, herunder finansiering.

I tillegg har Norsk pasientregister til formål å:

bidra til medisinsk og helsefaglig forskning, herunder forskning som kan gi viten om helsetjenester, behandlingseffekter, diagnoser, og sykdommers årsaker, utbredelse og forløp og forebyggende tiltak,

danne grunnlag for etablering og kvalitetssikring av sykdoms- og kvalitetsregistre og videreformidling av kontaktopplysninger til den nasjonale kjernejournalen.

bidra til kunnskap som grunnlag for forebygging av ulykker og skader.

Opplysningene i Norsk pasientregister kan ikke anvendes til formål som er uforenlig med formål som nevnt i § 1-2.

Opplysninger skal ikke brukes som grunnlag for enkeltvedtak eller andre individuelle beslutninger eller tiltak rettet mot de registrerte.

Folkehelseinstituttet er dataansvarlig for innsamling og behandling av helseopplysninger i Norsk pasientregister.

Behandling av helseopplysninger skal skje i en avgrenset organisatorisk enhet i Folkehelseinstituttet. Denne enheten skal blant annet sørge for drift og kvalitetssikring av registeret, tilrettelegging og tilgjengeliggjøring av data og statistikk.

Norsk pasientregister kan inneholde helseopplysninger om alle som får helsehjelp i form av spesialisthelsetjeneste. Helsehjelp omfatter den som diagnostiseres, utredes, behandles mv., jf. pasient- og brukerrettighetsloven § 1-3 bokstav d.

Registeret kan i forbindelse med registrering av skader og ulykker inneholde opplysninger fra akuttmottak ved sykehus, legevakter knyttet til sykehus og enkelte kommunale legevakter.

Norsk pasientregister kan inneholde opplysninger om pasienter som mottar behandling i Norge, eller i utlandet etter henvisning fra spesialisthelsetjenesten i Norge.

Med avidentifiserte opplysninger forstås i denne forskriften helseopplysninger der navn, fødselsnummer og andre personentydige kjennetegn er fjernet, slik at opplysningene ikke lenger kan knyttes til en enkeltperson, og hvor identitet bare kan tilbakeføres ved sammenstilling med de samme opplysninger som tidligere ble fjernet.

Når det er relevant og nødvendig for å fremme registerets hovedformål skal følgende opplysninger om personer nevnt i § 1-5 registreres i Norsk pasientregister uten samtykke fra den opplysningen gjelder:

personopplysninger:

fødselsnummer eller annet entydig identifikasjonsnummer

bosted.

administrative opplysninger:

om henvisning

om behandlende institusjon

om konsultasjon og/eller innleggelse

om pasientrettigheter

om dødstidspunkt

samtykkeadministrative opplysninger for sykdoms- og kvalitetsregistre.

medisinske opplysninger:

fagområde

diagnose/diagnosekoder

behandling/prosedyrekoder

tidspunkt for oppstart og avslutning av behandling

takst

opplysninger om bruk av tvang

rusbruk.

sosiale opplysninger:

boligforhold

omsorgssituasjon.

Når det er relevant og nødvendig for å fremme registerets formål i § 1-2 andre ledd bokstav c, skal følgende opplysninger om ulykker og skader registreres i Norsk pasientregister om personer som nevnt i § 1-5, uten samtykke fra den opplysningen gjelder:

kontaktårsak/skademekanisme/alvorlighetsgrad

aktivitet på skadetidspunkt

skadested, skadetidspunkt

arbeidsgivers bransje.

Folkehelseinsituttet skal kunne dokumentere hvilke klassifikasjoner og kodeverk som er benyttet ved enhver registrering i registeret.

Helsepersonell registrerer opplysninger som nevnt i § 1-6 og § 1-7, jf. forskrift om pasientjournal. Helseforetak, offentlige og private helseinstitusjoner, eller annen virksomhet som nevnt i § 1-5, skal sørge for å melde inn opplysninger etter § 1-6 og § 1-7 til Norsk pasientregister. Virksomheten skal sørge for at det finnes rutiner som sikrer dette.

Departementet bestemmer hvilke kommunale legevakter som skal rapportere til registeret, jf. § 1-5 andre ledd og § 1-7.

Lovbestemt taushetsplikt er ikke til hinder for at opplysningene som følger av § 1-6 og § 1-7 meldes inn til Norsk pasientregister.

Innsending av opplysninger skal følge de rutiner og tidsfrister som til enhver tid er fastsatt av Folkehelseinsituttet.

Folkehelseinsituttet kan gi pålegg om bruk av bestemte klassifikasjonssystemer og kodeverk ved registrering av opplysningene, og om bruk av standardiserte meldingsformater ved forsendelsen av opplysningene.

Avsender skal kontrollere at data som rapporteres er komplette og kvalitetssikret i henhold til gjeldende krav til rapportering.

Folkehelseinsituttet skal sørge for at helseopplysninger som innsamles og behandles i Norsk pasientregister, er korrekte, relevante og nødvendige for de formål de innsamles for, jf. § 1-2.

Norsk pasientregister kan sammenlikne innsendte opplysninger med avsenders dokumentasjon. Slik kvalitetskontroll skal skje hos avsender og det skal kun gis innsyn i opplysninger som er relevante og nødvendige for et konkret angitt formål.

Dersom innsendingen er mangelfull, skal avsenderen av opplysningene varsles, jf. helseregisterloven § 13 andre ledd andre punktum. Ved fortsatt mangelfull innsending kan statsforvalteren varsles.

Helseopplysninger i Norsk pasientregister skal behandles i samsvar med personvernforordningen, personopplysningsloven og de alminnelige vilkårene i helseregisterloven § 6 og reglene om taushetsplikt i helseregisterloven § 17, jf. helsepersonelloven §§ 21 flg.

Ved tilgjengeliggjøring og sammenstilling av opplysninger i registeret gjelder i tillegg helseregisterloven § 19 til § 19h.

Opplysninger nødvendige for drift og utvikling av etablerte finansieringsordninger innen spesialisthelsetjenesten skal legges til rette av Norsk pasientregister og utleveres eller på annen måte tilgjengeliggjøres for Helsedirektoratet, herunder også HELFO, for gjennomføring av drift og utvikling. Det skal ikke tilgjengeliggjøres opplysninger med direkte personidentifiserbare kjennetegn.

Opplysningene som mottas til formål som følger av første ledd skal slettes så snart oppgavene er utført og kan ikke oppbevares lenger enn inntil 5 år etter avsluttet driftsår.

Opplysninger som skal benyttes til utredninger av vesentlige endringer eller utvidelser av ordningene som er nevnt i første ledd skal bare utleveres i henhold til § 3-1 i denne forskriften.

Norsk pasientregister kan utlevere eller på annen måte tilgjengeliggjøre opplysninger som beskrevet i forskrift om nasjonalt register over hjerte- og karlidelser § 1-4 til Hjerte- og karregisteret.

Norsk pasientregister kan utlevere eller på annen måte tilgjengeliggjøre personidentifiserbare opplysninger til den nasjonale kjernejournalen, jf. forskrift 31. mai 2013 nr. 563 om nasjonal kjernejournal § 4 nr. 6 bokstav a.

Norsk pasientregister kan tilrettelegge, utlevere eller på annen måte tilgjengeliggjøre relevante og nødvendige opplysninger til sykdoms- og kvalitetsregistre for etablering og kvalitetskontroll. Sykdoms- og kvalitetsregistre skal ha selvstendig hjemmel for å behandle, herunder sammenstille, opplysninger fra Norsk pasientregister.

Sammenstilling med sykdoms- og kvalitetsregistre skal ikke føre til at Norsk pasientregister får flere opplysninger enn det som følger av § 1-6 og § 1-7.

Eventuell kontakt med pasienter ved etablering av sykdoms- eller kvalitetsregistre skal ikke gjøres av Norsk pasientregister. Slik eventuell førstegangskontakt skal gjøres av behandlende institusjon. Dersom et sykdoms- eller kvalitetsregister eller annen institusjon skal kunne ta førstegangskontakt, kreves det dispensasjon fra taushetsplikten jf. helsepersonelloven § 29e.

For å fremme bruken av data fra Norsk pasientregister og for å bygge opp informasjon og kunnskap, jf. forskriften § 1-2, skalFolkehelseinsituttet ha en aktiv informasjonsstrategi og -plan rettet mot så vel helseforvaltningen, helsetjenesten og øvrig forvaltning, som mot forskere innen medisinsk forskning, helsetjenesteforskning og samfunnsforskning.

Enhver som behandler helseopplysninger etter denne forskriften, har taushetsplikt etter helseregisterloven § 17.

Folkehelseinsituttet og Norsk pasientregister skal gjennomføre tekniske og organisatoriske tiltak for å oppnå et sikkerhetsnivå som er egnet med hensyn til risikoen, jf. personvernforordningen artikkel 32 og helseregisterloven § 21.

Sikkerhetstiltakene skal omfatte tiltak som ikke kan påvirkes eller omgås av ansatte hos Norsk pasientregister, og ikke være begrenset til handlinger den enkelte forutsettes å utføre. Det skal også etableres systemer for logging av elektroniske spor ved tilgjengeliggjøringer av opplysninger i registeret.

Der behandling av helseopplysningene skjer ved hjelp av elektroniske hjelpemidler, skal direkte personidentifiserbare kjennetegn lagres kryptert.

Direkte personidentifiserbare kjennetegn (fødselsnummer) i Norsk pasientregister skal lagres kryptert.

Bare ansatte i den avgrensede organisatoriske enheten, Norsk pasientregister, jf. § 1-4 andre ledd, og den som arbeider under Norsk pasientregisters instruksjonsmyndighet, kan gis tilgang til opplysninger i Norsk pasientregister. Tilgang kan bare gis i den grad dette er nødvendig for vedkommendes arbeid.

Bare spesielt autoriserte personer som har behov for det i sitt arbeid kan behandle ukrypterte opplysninger i Norsk pasientregister.

Folkehelseinsituttet skal etablere internkontroll i samsvar med personvernforordningen artikkel 24, jf. helseregisterloven § 21. Tiltakene skal sikre og påvise at behandlingen av opplysningene utføres i samsvar med personvernforordningen, personopplysningsloven og helseregisterloven.

Norsk pasientregister skal behandle opplysninger i samsvar med rutiner Folkehelseinsituttet har oppstilt.

Internkontroll innebærer at Folkehelseinsituttet skal ha kunnskap om gjeldende regler om behandling av helseopplysninger, tilstrekkelig og oppdatert dokumentasjon for gjennomføring av rutiner, samt ha denne dokumentasjonen tilgjengelig for dem den måtte angå. Internkontrollen skal blant annet inneholde:

oversikt over hvordan virksomheten er organisert,

oversikt over ansvars- og myndighetsforhold,

oversikt over de krav i og i medhold av personvernforordningen, personopplysningsloven og helseregisterloven som gjelder for virksomheten,

rutiner virksomheten følger for å sikre overholdelse av kravene, herunder rutiner for:

oppfyllelse av krav om at personidentifiserbare opplysninger bare behandles når dette er nødvendig for å fremme formålet med behandlingen av opplysningene, og i tråd med gjeldende bestemmelser om taushetsplikt, jf. helseregisterloven § 6 og § 17,

dokumentasjon og kvalitetskontroll av helseopplysningene, jf. § 1-8 og § 2-4,

oppfyllelse av begjæringer om informasjon og innsyn, jf. personvernforordningen artikkel 13 til 15, helseregisterloven § 21 samt forskriften § 5-1,

hvordan virksomhetene oppfyller bestemmelsene om tilgjengeliggjøring av opplysninger fra helseregistre, jf. § 3-1 til § 3-5, herunder sammenstillinger,

rutiner virksomheten følger dersom avvik oppstår og opplysninger om hvem som er ansvarlig,

rutiner virksomheten følger for å hindre gjentakelse av avvik og opplysninger om hvem som er ansvarlig,

rutiner for hvordan virksomheten systematisk og regelmessig gjennomgår sin internkontroll for å kontrollere at aktivitetene og resultatene av dem stemmer overens med det system virksomheten har fastlagt, og om det medfører oppfyllelse av personvernforordningen, personopplysningsloven og helseregisterloven

rutiner for hvordan virksomheten sikrer seg at alle aktuelle og kun gjeldende rutiner blir benyttet, og

rutiner for hvordan virksomheten sikrer at de ansatte har tilstrekkelig kompetanse til å overholde forskriftens krav.

Skriftlig dokumentasjon skal minst omfatte dokumentasjon av rutiner som nevnt i første ledd bokstav a til i. Tilsynsmyndighetene kan gi pålegg om skriftlig dokumentasjon ut over dette dersom det anses påkrevd.

Datatilsynet fører tilsyn med Norsk pasientregister, jf. helseregisterloven § 26 og personopplysningsloven § 20. Norsk pasientregister skal årlig gi Datatilsynet rapport om virksomheten.

Registrerte har rett til informasjon om Norsk pasientregister og innsyn i behandling av helseopplysninger om seg selv i samsvar med personvernforordningen artikkel 13 til 15, jf. helseregisterloven § 24. Registrerte har rett til innsyn i utleveringer som gis i personidentifiserbar form. Er den registrerte mindreårig, gjelder pasient- og brukerrettighetsloven § 3-4 tilsvarende.

Innsyn i helseopplysninger om en selv skal fortrinnsvis gis gjennom den registrertes sist behandlende lege og helseinstitusjon. Informasjonen skal gis i en forståelig form.

Begjæringer om innsyn etter § 5-1 skal besvares uten ugrunnet opphold og senest én måned etter henvendelsen kom inn, jf. personvernforordningen artikkel 12 nr. 3.

Dersom særlige forhold gjør det umulig å svare på henvendelsen innen én måned, kan gjennomføringen utsettes med ytterligere to måneder. Den dataansvarlige skal i så fall gi et foreløpig svar med opplysninger om grunnen til forsinkelsen og sannsynlig tidspunkt for når svar kan gis.

Opplysninger i Norsk pasientregister skal oppbevares i ubegrenset tid, med mindre annet følger av denne forskriften eller helseregisterloven § 25.

Avidentifiserte opplysninger samlet inn fra perioden 1997 kan bevares i ubegrenset tid, med mindre annet følger av denne forskriften eller helseregisterloven § 25.

De avidentifiserte opplysningene kan brukes i tråd med registerets daværende konsesjon og formål.

Det er kun pasienter som behandles etter ikrafttredelse av lov 16. februar 2007 nr. 7 om etablering av Norsk pasientregister som er lovbestemt register som skal registreres i det personidentifiserbare Norsk pasientregister. For pasienter som behandles etter lovens ikrafttredelse, men som ble henvist til spesialisthelsetjenesten før lovendringen trådte i kraft, vil henvisningsdata registreres i det personidentifiserbare Norsk pasientregister.

Datatilsynet kan ved brudd på forskriften ilegge overtredelsesgebyr etter personvernforordningen artikkel 83 og personopplysningsloven § 26 og § 27, jf. helseregisterloven § 29.

Den som forsettlig eller grovt uaktsomt overtrer bestemmelser fastsatt i denne forskriften § 4-1 straffes med bøter eller fengsel inntil ett år eller begge deler.

Den dataansvarlige og databehandleren skal erstatte skade som er oppstått som følge av at helseopplysninger er behandlet i strid med personvernforordningen, helseregisterloven og denne forskriften, jf. helseregisterloven § 31.

Forskriften trer i kraft fra den tid departementet bestemmer.1

Fra forskriftens ikrafttredelse gjøres følgende endringer i andre forskrifter: – – –