Forskrift om kommunalt pasient- og brukerregister (KPR)

Kapittel 1. Innledende bestemmelser

§ 1-1 . Formål

Forskriften skal sikre at innsamling og annen behandling av helseopplysninger i Kommunalt pasient- og brukerregister foretas på en etisk forsvarlig måte, ivaretar den enkeltes personvern og er til individets og samfunnets beste.

Registeret skal gi sentrale og kommunale myndigheter grunnlag for planlegging, styring, finansiering og evaluering av kommunale helse- og omsorgstjenester.

Helseopplysninger som er samlet inn til formålene angitt i andre ledd skal kunne brukes til kvalitetsforbedring, forebyggende arbeid, beredskap, analyser, forskning og Nasjonal kjernejournal.

§ 1-2 . Virkeområde

Forskriften gjelder innsamling og annen behandling av helseopplysninger i Kommunalt pasient- og brukerregister om personer som har søkt, mottar eller har mottatt helse- og omsorgstjenester fra den kommunale helse- og omsorgstjenesten, fra virksomheter som yter tannhelsetjenester etter tannhelsetjenesteloven § 1-3 og fra private uten driftsavtale med kommune eller fylkeskommune som yter helse- og omsorgstjenester på kommunalt nivå.

§ 1-3 . Databehandlingsansvarlig, databehandler og fagråd

Helsedirektoratet er databehandlingsansvarlig for registeret. Behandling av helseopplysninger skal skje i en avgrenset organisatorisk enhet i direktoratet.

Den databehandlingsansvarlige kan inngå avtale med databehandlere om behandling av opplysningene på vegne av direktoratet. Avtalene skal være skriftlige.

Den databehandlingsansvarlige skal opprette et fagråd hvor minst pasient- og brukerorganisasjonene, de kommunale helse- og omsorgstjenestene og de regionale helseforetakene er representert. Den databehandlingsansvarlige skal forelegge saken for fagrådet før det fattes beslutninger av vesentlig betydning for registerets innhold og behandling av opplysninger.

Kapittel 2. Opplysninger i registeret

§ 2-1 . Opplysningstyper som kan registreres

direkte personidentifiserende kjennetegn: fødselsnummer eller annen personidentifikator demografiske og sosioøkonomiske opplysninger: fødselsdato kjønn fødekommune/fødeland og innvandringstidspunkt bosted/utvandringstidspunkt bo- og omsorgssituasjon sivilstand utdanning arbeidstilknytning inntekt dødsdato administrative opplysninger om tjenestene: tjenesteyter/organisasjon tidsangivelse for varighet av og form for kontakt med tjenesten om det er utarbeidet individuell plan, omsorgslønn og brukerstyrt personlig assistanse (BPA) samhandling innad i tjenesten helse- og omsorgsfaglige opplysninger: helsetilstand diagnose funksjonsevne risikofaktorer for sykdom og funksjonssvikt kategorisering av/type tjenestebehov type helsehjelp eller tjeneste opplysninger om ulykker og skader: skadested skadetidspunkt andre opplysninger om skade opplysninger om finansiering av tjenesten opplysninger om den registrerte har motsatt seg behandling av helseopplysninger pasient- og brukerrapporterte opplysninger.

Opplysningstypene som nevnt i § 2-1 bokstav a til g kan registreres i registeret uten samtykke fra den registrerte.

§ 2-2 . Rett til å motsette seg behandling av helseopplysninger

Den registrerte kan motsette seg registrering av helseopplysninger om skolehelsetjenester, helsestasjonstjenester og andre helsefremmende og forebyggende tjenester og svangerskaps- og barselsomsorgstjenester jf. helse- og omsorgstjenesteloven § 3-2 første ledd nr. 1 og 2, og tannhelsetjenester. Dette gjelder likevel ikke opplysninger etter denne forskriften § 2-1 første ledd bokstav a, b og c som er knyttet til disse tjenestene.

Den registrerte kan motsette seg at helseopplysninger gjøres tilgjengelig fra registeret for formål som er nevnt i § 1-1 tredje ledd. Det samme gjelder tilgjengeliggjøring av helseopplysninger sammen med direkte personidentifiserende kjennetegn (fødselsnummer eller annen personidentifikator), jf. § 4-3 og § 4-5. Første og andre punktum gjelder ikke utlevering for sammenstilling etter § 4-2.

Kapittel 3. Innmelding og kvalitetskontroll av helseopplysninger

§ 3-1 . Plikt til å melde opplysninger til registeret

Virksomheter som yter helse- og omsorgstjenester etter helse- og omsorgstjenesteloven § 3-2, virksomheter som yter tannhelsetjenester og Helsedirektoratet skal sørge for at opplysninger som nevnt i § 2-1 blir meldt inn til registeret i samsvar med kravene etter § 3-2. Virksomhetene skal sørge for at det finnes rutiner som sikrer dette.

Helsedirektoratet kan gi forskrifter om plikt til å melde opplysninger for private tjenesteytere uten driftsavtale med kommune eller fylkeskommune som yter helse- og omsorgstjenester på kommunalt nivå, jf. helsepersonelloven § 37.

Lovbestemt taushetsplikt er ikke til hinder for at opplysningene meldes inn til registeret.

§ 3-2 . Konkrete opplysninger, rutiner mv.

Den databehandlingsansvarlige fastsetter hvilke tjenesteytere og hvilke konkrete opplysninger etter § 2-1 som skal meldes inn. Den databehandlingsansvarlige kan også fastsette tidsfrister og krav om bruk av bestemte klassifikasjonssystemer, kodeverk og standardiserte meldingsformater ved innmeldingen.

§ 3-3 . Kvalitetskontroll i registeret og tilbakeføring

Den databehandlingsansvarlige skal kvalitetskontrollere helseopplysningene som behandles i registeret.

Som ledd i kvalitetskontrollen kan den databehandlingsansvarlige gjennomføre rutinemessige sammenstillinger med tilsvarende opplysninger i lovbestemte registre etter helseregisterloven § 11 og Folkeregisteret. Kvalitetskontrollerte helseopplysninger skal rutinemessig tilbakeføres til kommunene og andre virksomheter som har meldt inn opplysningene.

Som ledd i kvalitetskontrollen kan helseopplysningene også sammenholdes med opplysninger i originalkilden (pasientjournal mv.). Dette skal skje hos virksomheten som har meldt inn opplysningene. Opplysninger som gjøres tilgjengelig skal være tilstrekkelige og relevante for den kvalitetskontrollen som skal gjennomføres.

§ 3-4 . Innmelding av pasient- og brukerrapporterte opplysninger

Den databehandlingsansvarlige skal legge til rette for at pasientene og brukerne selv kan melde inn person- og helseopplysninger til registeret, jf. § 2-1 første ledd bokstav h.

Kapittel 4. Utlevering og annen behandling av helseopplysninger i registeret

§ 4-1 . Vilkår for behandling av helseopplysninger

Helseopplysninger skal behandles i samsvar med de alminnelige vilkårene i helseregisterloven § 6 og reglene om taushetsplikt i helseregisterloven § 17, jf. helsepersonelloven § 21 flg.

Helseopplysninger i registeret kan bare behandles til formål som fastsatt i § 1-1 med mindre annet følger av lov eller etter samtykke fra den registrerte. Helseopplysninger kan ikke gjøres tilgjengelig for påtalemyndighetene eller brukes i forsikringsøyemed eller av arbeidsgivere selv om den registrerte samtykker.

§ 4-2 . Sammenstilling av opplysninger

Dersom behandlingen oppfyller vilkårene i § 4-1, kan helseopplysninger i registeret sammenstilles med opplysninger i helseregistre som er etablert med hjemmel i helseregisterloven § 8 til § 11, Folkeregisteret og sosioøkonomiske opplysninger i andre offentlige registre. Resultatet av behandlingen skal ikke inneholde større grad av personidentifikasjon enn det som er nødvendig for det aktuelle formålet. Sammenstilling med andre registre følger reglene i helseregisterloven § 7.

Den registrertes rett til å motsette seg at helseopplysninger tilgjengeliggjøres fra registeret sammen med direkte personidentifiserende kjennetegn etter § 2-2 gjelder ikke for sammenstilling etter denne bestemmelsen.

Helseopplysninger i helseregistre etter helseregisterloven § 9 første ledd bokstav a kan sammenstilles etter første ledd dersom den registrerte samtykker. Det samme gjelder helseopplysninger i helseregistre etter helseregisterloven § 10 dersom den registrerte ikke motsetter seg det.

Helseopplysninger i helseregistre etter helseregisterloven § 9 første ledd bokstav b kan sammenstilles etter første ledd dersom sammenstillingen skjer uten at den databehandlingsansvarlige har tilgang til navn, fødselsnummer eller andre direkte personidentifiserende kjennetegn.

Tilgjengeliggjøring av direkte eller indirekte identifiserbare opplysninger fra sammenstillingen reguleres av forskriftens § 4-3 og helseregisterloven § 20.

§ 4-3 . Tilgjengeliggjøring av direkte eller indirekte identifiserbare helseopplysninger

Den databehandlingsansvarlige kan tilgjengeliggjøre helseopplysninger i samsvar med lovreglene om taushetsplikt. Mottakere av opplysningene må ha tillatelse etter helseregisterloven § 7, forhåndsgodkjenning fra Regional komité for medisinsk og helsefaglig forskningsetikk, jf. helseforskningsloven § 33 og § 9 eller annen hjemmel i lov.

Den registrerte har rett til å motsette seg at helseopplysninger gjøres tilgjengelig fra registeret sammen direkte personidentifiserende kjennetegn (fødselsnummer eller annen personidentifikator), jf. § 2-2.

Helseopplysninger sammenstilt med helseregistre etter helseregisterloven § 9 første ledd bokstav a kan bare gjøres tilgjengelig etter første ledd dersom den registrerte samtykker. Helseopplysninger sammenstilt med helseregistre etter helseregisterloven § 10 kan tilgjengeliggjøres etter første ledd dersom den registrerte ikke motsetter seg det.

§ 4-4 . Plikt til å utarbeide og offentliggjøre statistikk

Den databehandlingsansvarlige skal utarbeide og løpende offentliggjøre relevant statistikk basert på opplysninger som er behandlet etter § 4-1 og § 4-2.

Personidentifiserende opplysninger som mottas for sammenstilling, jf. § 4-2 skal slettes så snart statistikken er utarbeidet.

Utarbeidet statistikk skal være anonym.

§ 4-5 . Tilrettelegging og tilgjengeliggjøring for andre registre

Den databehandlingsansvarlige kan tilrettelegge og tilgjengeliggjøre tilstrekkelige og relevante opplysninger fra registeret til andre helseregistre som har hjemmel i helseregisterloven § 9, § 10 og § 11 eller annen lov, for etablering, drift og kvalitetsutvikling i samsvar med loven eller forskriften for det aktuelle registeret, og til Nasjonal kjernejournal, jf. pasientjournalloven § 13. Tilrettelegging skal ikke føre til at Kommunalt pasient- og brukerregister tilføres flere opplysninger enn det som følger av § 2-1.

Har den registrerte motsett seg at helseopplysninger gjøres tilgjengelig fra registeret sammen med direkte personidentifiserende kjennetegn (fødselsnummer eller annen personidentifikator), jf. § 2-2 gjelder dette også for tilgjengeliggjøring etter første ledd, med mindre annet følger av samtykke eller er bestemt med hjemmel i lov.

§ 4-6 . Frister for tilgjengeliggjøring av tilrettelagt statistikk og helseopplysninger

Den databehandlingsansvarlige skal tilgjengeliggjøre helseopplysninger etter dette kapitlet innen 30 virkedager fra mottak av fullstendig søknad. Dersom tilgjengeliggjøringen krever sammenstilling med opplysninger fra andre registre, skal utleveringen skje innen 60 virkedager fra mottak av fullstendig søknad. Dersom særlige forhold gjør det umulig å tilgjengeliggjøre innen fristen, kan leveransen utsettes. Den databehandlingsansvarlige skal i så fall gi et foreløpig svar med informasjon om grunnen til forsinkelsen og sannsynlig tidspunkt for når utleveringen vil skje.

§ 4-7 . Kostnader

Den databehandlingsansvarlige kan kreve betaling for tilrettelegging av statistikk og annen behandling av helseopplysninger etter dette kapitlet. Betalingen kan ikke overstige de faktiske utgiftene ved saksbehandlingen av den konkrete søknaden om data, uttrekk og tilrettelegging av data samt utlevering av data fra registeret.

§ 4-8 . Oversikt over tilgjengeliggjøring av helseopplysninger

Den databehandlingsansvarlige skal føre oversikt over tilgjengeliggjøring av helseopplysninger fra registeret. Oversikten skal vise hvem som har fått helseopplysninger, hvem de har fått helseopplysninger om og hjemmelsgrunnlaget for tilgjengeliggjøringene. Oversikten skal oppbevares i minst ti år etter tilgjengeliggjøringen.

§ 4-9 . Bevaring av helseopplysninger

Helseopplysninger i registeret kan oppbevares i ubegrenset tid med mindre annet følger av helseregisterloven § 25 eller annen lovgivning. Den registrerte kan kreve at opplysningene om en selv slettes etter 30 år og senest 10 år etter ens død.

Kapittel 5. Informasjonssikkerhet

§ 5-1 . Informasjonssikkerhet

Den databehandlingsansvarlige og databehandlere som den databehandlingsansvarlige har inngått avtale med, skal gjennom planlagte og systematiske tiltak sørge for tilfredsstillende informasjonssikkerhet med hensyn til konfidensialitet, integritet og tilgjengelighet ved behandling av helseopplysningene, jf. helseregisterloven § 21.

Personopplysningsforskriften § 2-1 til § 2-16 om informasjonssikkerhet gjelder tilsvarende.

§ 5-2 . Kryptering og tilgang til opplysninger

Fødselsnummer og andre direkte personidentifiserende kjennetegn skal separeres og lagres kryptert og adskilt fra andre registeropplysninger.

Bare autorisert personell som utfører tjenester eller arbeid mot registeret og arbeider under den databehandlingsansvarliges eller databehandlers instruksjonsmyndighet, kan gis tilgang til identifiserende opplysninger i registeret. Tilgangen kan ikke være mer omfattende enn det som er nødvendig for vedkommendes arbeid.

Bare spesielt autoriserte personer som har behov for det i arbeidet, skal ha tilgang til ukrypterte helseopplysninger med direkte personidentifiserende kjennetegn (fødselsnumre eller annen personidentifikasjon).

Kapittel 6. IPLOS-registeret

§ 6-1 . IPLOS-registeret

Pseudonyme IPLOS-opplysninger fra 2006 til 2017 kan bevares i ubegrenset tid, med mindre annet følger av denne forskriften eller helseregisterloven § 25. De pseudonyme opplysningene kan brukes i samsvar med forskrift 17. februar 2006 nr. 204 om pseudonymt register for individbasert helse- og omsorgsstatikk (IPLOS-forskriften).

IPLOS-opplysninger fra 2006 til 2017 kan sammenstilles med opplysninger i Kommunalt pasient- og brukerregister for utarbeidelse av statistikk, jf. IPLOS-forskriften § 5-3.

Kapittel 7. Ikrafttreden

§ 7-1 . Ikrafttreden

Forskriften trer i kraft 1. desember 2017.