Forskrift om endring i forskrifter som følge av personvernforordningen

I

I forskrift 30. oktober 2009 nr. 1321 om klinisk utprøving av legemidler til mennesker gjøres følgende endringer:

Overskriften i § 1-10 skal lyde:

§ 1-10 . Adgang til behandling av personopplysninger

§ 1-10 andre ledd oppheves.

§ 2-5 skal lyde:

En klinisk utprøving kan bare igangsettes, dersom forsøkspersonens rett til fysisk og mental integritet samt retten til privatlivets fred respekteres og opplysninger vedrørende forsøkspersonen beskyttes i henhold til bestemmelsene i personvernforordningen og lov 15. juni 2018 nr. 38 om behandling av personopplysninger, jf. lov 20. juni 2008 nr. 44 om medisinsk og helsefaglig forskning § 2 andre ledd.

II

I forskrift 17. desember 2014 nr. 1757 om tilgang til helseopplysninger mellom virksomheter gjøres følgende endringer:

§ 3 andre ledd skal lyde:

inngått avtale i samsvar med § 4 og rutiner, systemer og journalstruktur som gir tilfredsstillende informasjonssikkerhet, og tilgangsstyring som minst ivaretar kravene i § 5 til § 11.

§ 5 første ledd første punktum skal lyde:

De dataansvarlige i begge virksomhetene skal vurdere risiko for pasientenes personvern som tilgang kan føre til.

§ 5 andre ledd første punktum skal lyde:

De dataansvarlige skal ha særlige rutiner for hvordan informasjonssikkerheten skal ivaretas ved tilgang mellom virksomhetene.

§ 8 første, andre og tredje ledd skal lyde:

De dataansvarlige skal sørge for at pasientene informeres om virksomhetens behandling av helseopplysninger etter denne forskriften.

hvilke virksomheter som gis tilgang hvilke opplysninger tilgangen omfatter og at pasienten kan motsette seg at det gis tilgang, jf. § 9.

Den dataansvarlige i en virksomhet som henter frem opplysninger etter denne forskriften skal sørge for at pasienten informeres om dette.

§ 9 andre ledd skal lyde:

Dersom tungtveiende grunner taler for det, kan sperrede opplysninger gjøres tilgjengelige for annet helsepersonell ved tilgjengeliggjøring etter pasient- og brukerrettighetsloven § 5-3. Pasienten skal da informeres om at sperrede opplysninger tilgjengeliggjøres, hvorfor de tilgjengeliggjøres og for hvem.

§ 11 andre ledd skal lyde:

hvem i egen virksomhet som elektronisk har hentet frem helseopplysninger fra annen virksomhet hvorfor dette er gjort og tidsperioden opplysningene er hentet frem.

§ 11 tredje ledd andre punktum oppheves.

§ 12 oppheves.

III

I forskrift 7. desember 2015 nr. 1401 om kvalitet og sikkerhet for humane organer beregnet for transplantasjon (forskrift om humane organer til transplantasjon) gjøres følgende endringer:

§ 10 første ledd skal lyde:

Den dataansvarlige for virksomheten skal sørge for at alle opplysninger om donor og mottaker behandles i samsvar med gjeldende regler om taushetsplikt og behandling av helseopplysninger.

§ 12 fjerde ledd fjerde punktum skal lyde:

Oslo universitetssykehus HF er dataansvarlig for behandlingen av opplysningene.

§ 17 fjerde ledd skal lyde:

Helsedirektoratet er dataansvarlig for registeret.

§ 20 fjerde punktum skal lyde:

Oslo universitetssykehus HF er dataansvarlig for behandlingen av opplysningene.

§ 22 første punktum skal lyde:

Helse Sør-Øst RHF, Oslo universitetssykehus HF ved Nasjonal behandlingstjeneste for organtransplantasjon kan inngå avtale med europeisk organutvekslingsorganisasjon om gjennomføring av spesifikke oppgaver knyttet til overføring av organer mellom Norge og de øvrige EU- og EØS-medlemsland og med tredjeland, herunder databehandleravtale etter personvernforordningen artikkel 28.

IV

I forskrift 7. desember 2015 nr. 1430 om krav til kvalitet og sikkerhet ved håndtering av humane celler og vev (forskrift om håndtering av humane celler og vev) gjøres følgende endringer:

§ 46 skal lyde:

Helseforetaket er dataansvarlig for de enkelte donasjonsregistre som er tilknyttet et helseforetak. I virksomheter som ikke er tilknyttet et helseforetak, er virksomheten dataansvarlig. Dataansvarlig kan inngå skriftlig avtale med en databehandler om behandling av helseopplysninger i registeret.

§ 49 fjerde ledd skal lyde:

Opplysninger kan bare behandles til andre formål enn beskrevet i første ledd dersom det er adgang til å behandle opplysningene etter denne forskriften, eller på andre grunnlag i samsvar med reglene om taushetsplikt og personvernforordningen artikkel 6 og 9.

Helsedirektoratet er dataansvarlig for registeret og kan inngå skriftlig avtale med en databehandler om behandling av helseopplysninger i registeret.

V

I forskrift 28. juni 2017 nr. 1000 om barn mellom 12 og 16 år sin rett til selv å samtykke til deltakelse i medisinsk og helsefaglig forskning skal § 2 første ledd lyde:

Samtykket skal være en frivillig, spesifikk, informert og utvetydig viljesytring fra deltakeren der vedkommende ved en erklæring eller tydelig bekreftelse gir sitt samtykke til behandling av helseopplysningene, jf. helseforskningsloven § 13 flg.

VI

Forskriften trer i kraft samtidig med at lov om behandling av personopplysninger trer i kraft.