Forskrift om innsamling og behandling av helseopplysninger i Norsk overvåkingssystem for antibiotikaresistens hos mikrober (NORM-registerforskriften).

Kapittel 1. Generelle bestemmelser

§ 1-1 . (Etablering av NORM)

Denne forskriften etablerer et landsomfattende Norsk overvåkingssystem for antibiotikaresistens hos mikrober (NORM) fra mennesker. Forskriften gir regler for innsamling og behandling av helseopplysninger i overvåkingssystemet.

Innsamling og behandling av helseopplysninger i NORM kan skje manuelt og ved hjelp av elektroniske hjelpemidler.

§ 1-2 . (Innholdet i NORM)

NORM inneholder avidentifiserte helseopplysninger om personer som har avgitt prøve med nærmere bestemte mikrober, opplysninger om disse mikrobene og om antibiotika (antimikrobielle midler).

klinisk viktige mikrober, for eksempel mikrober som ofte fører til sykdom, som gir særlig alvorlig sykdom eller som man har få antibiotika mot, mikrober som man frykter vil bli resistente i nær fremtid, eller som har utviklet resistens i andre land, mikrober som kan forekomme i næringsmidler eller som ofte er importert, mikrober som lett erverver resistens og dermed tidlig signaliserer at det foreligger et uheldig seleksjonspress, men som ikke nødvendigvis er sykdomsfremkallende (indikatormikrober).

Ved valg av antibiotika, skal det blant annet tas hensyn til:

klinisk viktige antibiotika, dvs. antibiotika som vanligvis benyttes i empirisk behandling av infeksjoner med de aktuelle mikrobene, og som er representative for de aktuelle gruppene av antibiotika, og antibiotika som det ofte utvikles resistens mot tidlig, eller som indikerer prinsipielt viktige resistensmekanismer (indikatorantibiotika).

§ 1-3 . (Formålet med NORM)

innsamle og behandle data om mikrobeisolaters resistens mot antibiotika (antimikrobielle midler) for å kartlegge forekomst og utbredelse av resistens mot antibiotika (antimikrobielle midler) og belyse endringer over tid, drive, fremme og gi grunnlag for forskning for å utvikle ny viten om årsaker til mikrobers utvikling av resistens mot antibiotika (antimikrobielle midler), med den hensikt å fremme og utvikle kvaliteten på forebyggende tiltak mot antibiotikaresistens og helsehjelp som tilbys og ytes mot infeksjonssykdommer, bidra til å skaffe grunnlag for å gi befolkningen og lokal, regional og sentral helseforvaltning og helsetjeneste råd og informasjon om tiltak som kan forebygge utvikling av resistens mot antimikrobielle midler, gi norske myndigheter grunnlag for å bidra til internasjonal statistikk på nærmere avgrensede områder.

§ 1-4 . (Forbud mot bruk)

Opplysningene i NORM kan ikke anvendes til formål som er uforenelig med formål som nevnt i § 1-3.

§ 1-5 . (Databehandlingsansvarlig)

Nasjonalt folkehelseinstitutt er databehandingsansvarlig for NORM.

§ 1-6 . (Databehandler)

Universitetssykehuset i Nord-Norge HF er databehandler for NORM. Nasjonalt folkehelseinstitutt skal inngå skriftlig avtale med databehandler om innsamling og behandling av opplysninger i NORM, herunder om overvåking og forskning, jf. forskriften § 1-3, drift og kvalitetssikring av registeret, samt utlevering av data til brukere.

§ 1-7 . (Opplysninger i NORM)

avidentifiserte personopplysninger: mikrobiologisk laboratoriums løpenummer til mikrobeisolatet, pasientens bostedskommune, pasientens alder og kjønn, administrative opplysninger: institusjon/virksomhet som har innsendt opplysningene om prøven som inneholdt mikrobeisolatet, mikrobiologisk laboratorium som har isolert mikroben og undersøkt den med hensyn til resistens mot antimikrobielle midler, samt tidspunkt for slik isolasjon og undersøkelse, om mikrobeisolatet: hvilken mikrobe som er isolert, smittested dersom dette er relevant for den påviste mikrobe, hvilken type prøvemateriale mikroben er isolert fra, hvilke egenskaper mikrobeisolatet har ved undersøkelse av resistens mot antibiotika (antimikrobielle midler) og opplysninger om hvilken metode som er brukt ved denne undersøkelsen.

§ 1-8 . (Koding og klassifisering av opplysningene i NORM, krav til dokumentasjon, kvalitetskontroll)

Nasjonalt folkehelseinstitutt skal sørge for at opplysninger som behandles i NORM er korrekte, relevante og nødvendige for de formål de innsamles for, jf. § 1-3. Nasjonalt folkehelseinstitutt skal ved enhver registrering i NORM kunne dokumentere hvilke klassifikasjoner eller kodeverk som er benyttet og hvilke mikrobiologiske metoder som er brukt for å frembringe de registrerte opplysningene, jf. § 2-3 annet ledd.

Dersom meldingsskjema er mangelfullt utfylt, skal avsenderen av opplysningene varsles, jf. helseregisterloven § 9 annet ledd annet punktum.

Kapittel 2. Melding av opplysninger til NORM mv.

§ 2-1 . (Virksomhetenes deltagelse i NORM)

NORM er basert på frivillig deltagelse fra medisinsk mikrobiologiske laboratorier eller annen virksomhet.

§ 2-2 . (Helsepersonellets meldingsplikt av opplysninger til NORM)

Helsepersonell ved deltagende virksomheter som isolerer og undersøker mikrober, jf. forskriften § 1-2 annet ledd, skal melde opplysninger som nevnt i § 1-7 til NORM.

§ 2-3 . (Metoder, meldingsskjema, formkrav)

Melding av opplysninger som nevnt i § 2-2 skal skje på skjema eller på annen måte fastsatt av departementet.

Departementet kan gi pålegg om bruk av bestemte metoder for fremskaffing av opplysningene i NORM, gi pålegg om bruk av bestemte klassifikasjoner og kodeverk ved registrering av opplysningene, samt gi pålegg om bruk av bestemte standardiserte meldingsformater ved forsendelsen av opplysningene.

§ 2-4 . (Virksomhetens plikter)

Medisinsk mikrobiologiske laboratorier eller annen virksomhet som deltar i NORM har ansvar for at pliktene som nevnt i § 2-2 og § 2-3 oppfylles, og skal sørge for at det finnes rutiner og standarder som sikrer dette.

§ 2-5 . (Rapportering fra NORM)

Nasjonalt folkehelseinstitutt skal sørge for regelmessig rapportering om forekomsten av smittsomme sykdommer, jf. § 1-3, gjennom å offentliggjøre årlige oversikter over utbredelsen av antibiotikaresistens basert på den gjennomførte overvåkningen.

Nasjonalt folkehelseinstitutt skal sørge for rapportering av opplysninger om forekomst om antibiotikaresistens i Norge til Verdens helseorganisasjon og Kommisjonen, jf. vedtak nr. 2119/98/EF. Slike opplysninger skal være avidentifiserte.

Kapittel 3. Behandling av opplysninger i NORM, utlevering til forskning mv.

§ 3-1 . (Plikt til å utlevere data fra NORM)

Nasjonalt folkehelseinstitutt skal etter forespørsel fra forvaltningen og forskere utlevere statistikk fra NORM innen 30 dager fra den dagen forespørselen kom inn.

opplysningene skal brukes i et uttrykkelig angitt formål innenfor registerets formål, mottakeren bare skal behandle avidentifiserte opplysninger, og behandlingen av opplysningene er ubetenkelig ut fra etiske hensyn.

Nasjonalt folkehelseinstitutt skal utlevere eller overføre nødvendige og relevante data til den ansvarlige for det angitte prosjektet innen 30 dager fra den dagen søknaden kom inn. Rettsgrunnlaget for behandlingen av opplysningene skal fremgå av søknaden.

Dersom særlige forhold gjør det umulig å effektuere forespørselen innen fristen i første og tredje ledd, kan effektueringen utsettes inntil det er mulig å oppfylle den. Den databehandlingsansvarlige skal i så fall gi et foreløpig svar med opplysninger om forespørselen kan effektueres, om grunnen til en eventuell forsinkelse og sannsynlig tidspunkt for når bestillingen kan effektueres.

§ 3-2 . (Annen behandling av data fra NORM)

Behandling av opplysninger som nevnt i § 1-7, kan med mindre annet følger av denne forskriften, bare behandles etter tillatelse fra Datatilsynet og i samsvar med de alminnelige regler om taushetsplikt.

§ 3-3 . (Informasjonsstrategi rettet mot brukergrupper)

For å fremme bruken av data fra NORM og for å bygge opp informasjon og kunnskap for formål som nevnt i § 1-3, skal Nasjonalt folkehelseinstitutt ha en aktiv informasjonsstrategi og -plan rettet mot så vel helseforvaltningen, helsetjenesten og øvrig forvaltning, som mot forskere innen medisinsk forskning, helsetjenesteforskning og samfunnsforskning.

§ 3-4 . (Kostnader)

Nasjonalt folkehelseinstitutt kan kreve betaling for utlevering av data etter forskriften § 3-1, og eventuelt etter § 3-2. Betalingen kan ikke overstige de faktiske utgiftene ved innsamlingen og behandlingen av opplysningene.

§ 3-5 . (Oversikt over utleveringer)

Nasjonalt folkehelseinstitutt skal føre oversikt over hvem som får utlevert opplysninger fra NORM og hjemmelsgrunnlaget for utleveringene. Oversikten skal oppbevares i minst fem år etter at utlevering har funnet sted.

Kapittel 4. Informasjonssikkerhet og internkontroll

§ 4-1 . (Informasjonssikkerhet)

Nasjonalt folkehelseinstitutt og databehandleren skal gjennom planlagte og systematiske tiltak sørge for tilfredsstillende informasjonssikkerhet med hensyn til konfidensialitet, integritet, kvalitet og tilgjengelighet ved behandling av opplysninger etter forskriften, jf. helseregisterloven § 16 flg.

Der behandling av opplysningene skjer helt eller delvis med elektroniske hjelpemidler, gjelder bestemmelsene om informasjonssikkerhet i personopplysningsforskriften § 2-1 til § 2-16.

§ 4-2 . (Plikt til internkontroll)

Nasjonalt folkehelseinstitutt skal etablere internkontroll i samsvar med helseregisterloven § 17. De systematiske tiltakene skal tilpasses virksomhetens art, aktiviteter og størrelse i det omfang det er nødvendig for å etterleve krav gitt i eller i medhold av helseregisterloven, med særlig vekt på bestemmelser gitt i medhold av helseregisterloven § 16.

Databehandler som behandler helseopplysninger på vegne av Nasjonalt folkehelseinstitutt, skal behandle opplysninger i samsvar med rutiner Nasjonalt folkehelseinstitutt har oppstilt.

§ 4-3 . (Internkontrollens innhold)

Internkontrollen innebærer at Nasjonalt folkehelseinstitutt skal ha kunnskap om gjeldende regler om behandling av helseopplysninger, tilstrekkelig og oppdatert dokumentasjon for gjennomføring av rutiner, samt ha denne dokumentasjonen tilgjengelig for dem det måtte angå.

oversikt over hvordan virksomheten er organisert, oversikt over ansvars- og myndighetsforhold, oversikt over de krav i og i medhold av helseregisterloven som gjelder for virksomheten, rutiner virksomheten følger for å sikre overholdelse av kravene, herunder rutiner for: dokumentasjon og kvalitetskontroll av helseopplysningene, jf. forskriften § 1-8, hvordan virksomheten oppfyller bestemmelsene om tilgang til helseregistre, jf. forskriften § 3-1 og § 3-2, oppfyllelse av reglene om meldeplikt til Datatilsynet, jf. helseregisterloven § 29, rutiner virksomheten følger dersom avvik oppstår, og opplysninger om hvem som er ansvarlig, rutiner virksomheten følger for å hindre gjentakelse av avvik, og opplysninger om hvem som er ansvarlig, rutiner for hvordan virksomheten systematisk og regelmessig gjennomgår sin internkontroll for å kontrollere at aktivitetene og resultatene av dem stemmer overens med det system virksomheten har fastlagt, og om det medfører oppfyllelse av helseregisterlovgivningen, rutiner for hvordan virksomheten sikrer seg at alle aktuelle og kun gjeldende rutiner blir benyttet, og rutiner for hvordan virksomheten sikrer at de ansatte har tilstrekkelig kompetanse til å overholde forskriftens krav.

Skriftlig dokumentasjon skal minst omfatte dokumentasjon av rutiner som nevnt i annet ledd nr. 1 til 8. Tilsynsmyndighetene kan gi pålegg om skriftlig dokumentasjon ut over dette, dersom det anses påkrevet. Tilsynsmyndigheten kan dispensere fra hele eller deler av dette kapittel når særlige forhold foreligger.

Kapittel 5. Bevaring av helseopplysninger i NORM

§ 5-1 . (Bevaring av helseopplysninger)

Opplysninger i NORM kan i den utstrekning det er nødvendig for å nå formålet med registeret, bevares i ubegrenset tid, med mindre annet følger av helseregisterloven § 26 eller § 28.

Kapittel 6. Straff

§ 6-1 . (Straff)

Den som forsettlig eller grovt uaktsomt overtrer bestemmelser fastsatt i denne forskriften § 4-1 til § 4-3, straffes med bøter eller fengsel inntil ett år eller begge deler.

Medvirkning straffes på samme måte.

Kapittel 7. Avsluttende bestemmelser

§ 7-1 . (Ikraftsetting)

Forskriften trer i kraft 1. januar 2004.

Merknader til de enkelte kapitler og paragrafer

Merknadene er en veiledning som utdyper innholdet i de enkelte bestemmelsene i forskriften. Merknadene er i seg selv ikke bindende. Forskriften og veiledningen må ses i sammenheng for å få en best mulig forståelse av forskriftens bestemmelser.

Til § 1-1 Etablering av NORM

Bestemmelsen gir hjemmel for etablering av Norsk overvåkingssystem for antibiotikaresistens hos mikrober (NORM) fra mennesker. Forskriften gir regler for innsamling og behandling av helseopplysninger i registeret. Hjemmelsgrunnlaget er helseregisterloven § 8 fjerde ledd, jf. annet ledd.

Landbruksdepartementet har opprettet Norsk overvåkingssystem for resistens hos mikrober – veterinærmedisin (NORM-VET) som omhandler antibiotikaresistens hos mikrober fra dyr, mat og fôr. I tillegg driver Nasjonalt folkehelseinstitutt overvåking av antibiotikaforbruk hos mennesker og dyr og Landbrukstilsynet overvåking av antibiotikaforbruk i fôrtilsetninger. Ettersom antibiotikaresistente mikrober og deres genetiske materiale kan utveksles mellom dyr og mennesker, er det etablert et samarbeid mellom disse overvåkingssystemene. Nasjonalt folkehelseinstitutt overvåker også infeksjoner forårsaket av visse resistente mikrober i MSIS og Tuberkuloseregisteret. Også med disse overvåkingssystemene er det hensiktsmessig med samarbeid.

Til § 1-2 Innholdet i NORM

Det heter i bestemmelsen at NORM inneholder avidentifiserte helseopplysninger om mikrobeisolater som er inkludert i systemet. Forskriften angir ikke konkret hvilke mikrober som inngår i NORM, men angir noen hensyn som skal tillegges vekt i utvelgelsen av mikrobene.

Hva som menes med avidentifiserte helseopplysninger er definert i helseregisterloven § 2 nr. 2. Avidentifiserte helseopplysninger er helseopplysninger der navn, fødselsnummer og andre personentydige kjennetegn er fjernet, slik at opplysningene ikke lenger kan knyttes til en enkeltperson, og hvor identitet bare kan tilbakeføres ved sammenstilling med de samme opplysninger som tidligere ble fjernet. Hvilke avidentifiserte helseopplysninger som kan inngå i NORM, fremgår av forskriften § 1-7.

Til § 1-3 Formålet med NORM

Bestemmelsen angir formålene med NORM. Bestemmelsen punkt 1 omfatter løpende nasjonal kartlegging av resistens. NORM bør kunne gi solid informasjon om hovedtendenser i utviklingen av resistente mikrober.

Bestemmelsen punkt 2 sikter blant annet til ulike prosjekter som bygger på NORM-data, metodeutprøvinger og lignende.

Til § 1-4 Forbud mot bruk

Bestemmelsen forbyr bruk av opplysninger i NORM til visse formål. Det heter i bestemmelsen at opplysningene i NORM ikke kan anvendes til formål som er uforenelig med formålet som er nevnt i § 1-3. Bestemmelsen følger naturlig av helseregisterloven § 11 tredje ledd. Spørsmålet om bruk av opplysningene er uforenelig med formål som nevnt i § 1-3 må avgjøres konkret.

Til 1-5 Databehandlingsansvarlig

Forskrift legger databehandlingsansvaret for NORM til Nasjonalt folkehelseinstitutt.

Til § 1-6 Databehandler

Bestemmelsen legger databehandlerfunksjonen for NORM til Universitetssykehuset i Nord-Norge HF (UNN). Databehandler er i helseregisterloven § 2 nr. 9 definert som den som behandler helseopplysninger på vegne av den databehandlingsansvarlige. Det følger av helseregisterloven § 18 at en databehandler ikke kan behandle helseopplysninger på annen måte enn det som er skriftlig avtalt med den databehandlingsansvarlige. Opplysningene kan heller ikke uten slik avtale overlates til noen andre for lagring eller bearbeidelse.

Økonomistyring og finansiering inkludert rutiner for regnskap og revisjon. Forholdet mellom databehandler og deltagerlaboratoriene. Planlegging av aktiviteter i NORM. Daglig drift av NORM, rapportering og formidling av resultater fra NORM. Utlevering av data i henhold til forskriften.

Avtalen forelegges Helsedepartementet før den trer i kraft.

Innholdet i avtalen må være i samsvar med forskriften for NORM. Avtalen skal første gang evalueres etter tre år, for øvrig har avtalen fem års gyldighet med en gjensidig oppsigelsestid på to år. Uenighet mellom databehandlingsansvarlig og databehandler avgjøres av Helsedepartementet.

Det følger av helseregisterloven § 29 og § 30 at Datatilsynet skal informeres om navn og adresse til eventuell databehandler og om hvem som har det daglige ansvaret for å oppfylle den databehandlingsansvarliges plikter etter forskriften.

Til § 1-7 Opplysninger i NORM

NORM inneholder ikke direkte personidentifiserende opplysninger eller andre personentydige data. NORM inneholder avidentifiserte data. Dette er en videreføring av dagens praksis. Det vises til merknadene til § 1-2.

Til § 1-8 Koding og klassifisering av opplysningene i NORM, krav til dokumentasjon, kvalitetskontroll

Bestemmelsen omhandler koding og klassifisering av opplysninger i NORM og setter krav til dokumentasjon og kvalitetskontroll.

Til § 2-1 Virksomhetenes deltagelse i NORM

Det heter i bestemmelsen at Norsk overvåkingssystem for antibiotikaresistens hos mikrober (NORM) er basert på frivillig deltagelse. NORM baserer seg ikke på data fra rutinediagnostikk. Innmelding til NORM er lagt opp slik at de deltagende medisinsk mikrobiologiske avdelingene i gitte perioder av året tar ut visse bakterieisolater og undersøker disse på ny for resistens mot visse antibiotika, med felles metoder. Deltagelse i NORM har hele tiden vært basert på frivillighet. Deltagelse er ressurskrevende for et laboratorium, og de får i dag vederlag for deltagelse.

Spørsmål om frivillig versus pliktmessig deltagelse vurderes på nytt etter noen år, dersom det viser seg at frivillig deltagelse ikke gir god nok overvåking i alle deler av landet.

Til § 2-2 Helsepersonellets meldingsplikt av opplysninger til NORM

Det er helsepersonell ved de virksomheter som er inkludert i NORM, som skal melde opplysninger til NORM. Helsepersonellet har plikt til å melde opplysningene.

Til § 2-3 Metoder, meldingsskjema, formkrav

En har hittil valgt å sette strenge krav til metode i NORM. Bruk av bestemte metoder i annet ledd første setning refererer til metoder for fremskaffing av opplysningene. God kvalitetssikring skal sørge for pålitelighet i undersøkelsene slik at resultatene kan sammenlignes over tid. Systemet er ressurskrevende, men gir mange positive sideeffekter som for eksempel bedret kvalitet ved de medisinsk mikrobiologiske laboratoriene i daglig rutine, bruk av mer standardiserte metoder ved flere laboratorier, mer systematisk kvalitetssikring etc.

Til § 2-4 Virksomhetens plikter

Det følger av bestemmelsen at virksomhet som deltar i NORM som er ansvarlig for opplysninger som skal registeres og meldes etter § 2-2 og § 2-3, har ansvar for at pliktene oppfylles, og skal sørge for at det finnes rutiner og standarder for dette. Virksomheten må ha utarbeidet systemer som sikrer at skjemaet sendes videre til NORM. Elektronisk formidling av opplysningene forutsetter at tilstrekkelig informasjonssikkerhet er ivaretatt.

Til § 2-5 Rapportering fra NORM

En kjernefunksjon i NORM er den regelmessige tilbakemeldingen om situasjonen vedrørende antibiotikaresistens. Dette er viktig for at smittevernmyndighetene og fagmiljøene kan iverksette nødvendige tiltak. NORM bør publisere en årsrapport i samråd med relevante myndigheter og fagmiljøer, herunder med det tilsvarende overvåkingssystemet for bakterier hos dyr, NORM-VET. På sikt kan publiseringen erstattes av en hyppigere oppdatert publisering på Internett.

Nasjonalt folkehelseinstitutt er oppnevnt kontaktpunkt for rapportering til Verdens helseorganisasjon og til EU-Kommisjonen jf. vedtak nr. 2119/98/EF. Rapporteringen dreier seg om summariske opplysninger uten personidentifikasjon til bruk for sammenstilling av data om antibiotikaresistens i Europa. Norsk rapportering etter zoonosedirektivet (direktiv 92/117/EØF), som det vises til i vedtak nr. 2119/98/EF, er det Landbruksdepartementet som er ansvarlig for.

Til 3-1 Plikt til å utlevere data

Første ledd gir en tidsfrist for hvor raskt en bestilling av data fra NORM skal effektueres.

Til § 3-2 Annen behandling av data fra NORM

Bestemmelsen åpner for at opplysninger fra NORM kan sammenstilles med f.eks. opplysninger om eksponering for antimikrobielle midler. Siden NORM ikke inneholder personentydige data, må virksomheten som skal sammenstille dataene, få persondataene fra de mikrobiologiske laboratoriene. Utlevering av navn og fødselsnummer fra et mikrobiologisk laboratorium til koblingsvirksomheten forutsetter at Sosial- og helsedirektoratet gir tillatelse til dette eller at den opplysningene kan knyttes til samtykker. I tillegg kreves konsesjon fra Datatilsynet.

Til § 3-3 Informasjonsstrategi rettet mot brukergrupper

Bestemmelsen fastslår at den databehandlingsansvarlige for NORM skal ha en aktiv informasjonsstrategi og -plan rettet mot brukergrupper. Forskriften krever ikke at denne planen skal være skriftlig. Innholdet i kravet går på å ha et bevisst åpent og positivt forhold til å samhandle med ulike forskningsmiljøer og andre brukergrupper. Det er et selvstendig mål at dataene blir brukt i forskningsprosjekter utenfor NORM, til kvalitetssikring av behandlingsresultater i og utenfor sykehus, som grunnlag for bruk av antibiotika etc. En effektiv bruk av data fra NORM kan best gjennomføres ved at den databehandlingsansvarlige for registeret informerer kommuneleger, forskere mv. om hvilke muligheter NORM gir til kunnskapsoppbygging og forskning.

Til § 3-4 Kostnader

Bestemmelsen gir adgang til å kreve betaling for bearbeiding av data fra NORM. Bestemmelsen innebærer ikke at en skal kreve kostnadsdekning av alle datautleveringer fra NORM. Kostnader forbundet med utlevering av statistikk bør kunne dekkes av ordinære driftsmidler. Det fremgår av annet punktum at betalingen ikke kan overstige de faktiske utgiftene ved behandlingen av opplysningene.

Til § 3-5 Oversikt over utleveringer

Bestemmelsen pålegger den databehandlingsansvarlige for NORM å føre oversikt over hvem som får utlevert opplysninger fra NORM og hjemmelsgrunnlaget for utleveringene.

Til § 4-1 Informasjonssikkerhet

sikring av konfidensialitet, dvs. beskyttelse mot at uvedkommende får innsyn i opplysningene, herunder sikkerhet for at reglene om taushetsplikt overholdes, sikring av integritet, dvs. beskyttelse mot utilsiktet endring av opplysningene, sikring av tilgjengelighet, dvs. sørge for at tilstrekkelige og relevante opplysninger er til stede, sikring av kvalitet, dvs. sørge for at opplysningene er riktige.

Tilfredsstillende informasjonssikkerhet skal oppnås ved hjelp av planlagte og systematiske tiltak. Dette innebærer at anerkjente teknikker og standarder for kvalitetsstyring, internkontroll og informasjonssikkerhet skal legges til grunn ved sikkerhetsarbeidet. De tiltak som etableres, skal være både organisatoriske og tekniske. Sikkerhetstiltakene og selve informasjonssystemet skal kunne dokumenteres.

Annet ledd gjelder ved helt eller delvis elektronisk behandling av helseopplysningene. I slike tilfeller gjelder personopplysningsforskriften § 2-1 til § 2-16. Bestemmelsene er en videreføring av dagens sikkerhetskrav.

Forsettlig eller grovt uaktsomt overtredelse av denne bestemmelsen straffes med hjemmel i § 6-1.

Til § 4-2 Plikt til internkontroll

Bestemmelsen pålegger Nasjonalt folkehelseinstitutt en plikt til å innføre og utøve internkontroll i samsvar med helseregisterloven § 17. Tiltakene skal ifølge § 17 annet ledd dokumenteres, og dokumentasjonen skal være tilgjengelig for medarbeidere og tilsynsmyndighetene.

Databehandler skal behandle opplysninger i samsvar med rutiner Nasjonalt folkehelseinstitutt har oppstilt.

Forsettlig eller grovt uaktsomt overtredelse av denne bestemmelsen straffes med hjemmel i § 6-1.

Til § 4-3 Internkontrollens innhold

Bestemmelsen gir regler om internkontrollens innhold. Formuleringen av bestemmelsen har tatt mønster av internkontrollbestemmelsen i personopplysningsforskriften.

Forsettlig eller grovt uaktsomt overtredelse av denne bestemmelsen straffes med hjemmel i forskriften § 6-1.

Til § 5-1 Bevaring av helseopplysninger

Det går fram av bestemmelsen at opplysninger i NORM skal bevares i ubegrenset tid, med mindre annet følger av helseregisterloven § 26 eller § 28.

Helseregisterloven § 26 regulerer retting av mangelfulle opplysninger. Bestemmelsen pålegger den databehandlingsansvarlige et ansvar for å rette opplysninger som er uriktige eller ufullstendige. Det samme gjelder dersom det er behandlet helseopplysninger etter forskriften som det ikke er adgang til å behandle. Den databehandlingsansvarlige kan foreta opprettingen av eget tiltak eller etter begjæring fra den registrerte. Den databehandlingsansvarlige skal om mulig sørge for at feilen ikke får betydning for den registrerte. Dersom opplysningene er utlevert, skal den databehandlingsansvarlige varsle mottakere av utleverte opplysninger om dette.

Helseregisterloven § 28 gir regler om sletting eller sperring av helseopplysninger som føles belastende for den registrerte. Bestemmelsen fastslår at den registrerte kan kreve at helseopplysninger som behandles etter denne forskriften, skal slettes eller sperres, dersom behandling av opplysningene føles sterkt belastende for den registrerte og det ikke finnes sterke allmenne hensyn som tilsier at opplysningene behandles. Krav om sletting eller sperring av slike opplysninger rettes til den databehandlingsansvarlige for opplysningene. Datatilsynet kan, etter at Riksarkivaren er hørt, treffe vedtak om at retten til sletting etter første ledd går foran reglene i arkivloven av 4. desember 1992 nr. 126 § 9 og § 18. Hvis dokumentet som inneholdt de slettede opplysningene, gir et åpenbart misvisende bilde etter slettingen, skal hele dokumentet slettes.

For øvrig vil arkivloven og forskrifter i medhold av arkivloven komme til anvendelse.

Til § 6-1 Straff

Bestemmelsen er en straffebestemmelse og gir adgang til å idømme straff ved overtredelse av bestemmelsene i § 4-1 til § 4-3.

Helseregisterloven gir også andre sanksjonsmuligheter ved overtredelse av loven eller forskrift i medhold av loven. Det er adgang til å gi pålegg og å ilegge tvangsmulkt. Videre kan den registrerte i visse tilfeller kreve erstatning, dersom det er behandlet helseopplysninger i strid med forskriften. Disse bestemmelsene er allmenne og generelle, og gjelder uavhengig av om de er inntatt i forskriften eller ikke. Det vises til helseregisterloven § 32, § 33 og § 35.

Til § 7-1 Ikraftsetting

Bestemmelsen fastslår at denne forskriften trer i kraft 1. januar 2004.

Rettelser

Publisert: I 2013 hefte 12 (Rettelse)

Det som er rettet er satt i kursiv.

§ 1-5 skal lyde:

Nasjonalt folkehelseinstitutt er databehandlingsansvarlig for NORM.