Forskrift om digital smittesporing og epidemikontroll i anledning utbrudd av Covid-19

§ 1 . Formål

Forskriften skal bidra til rask oppsporing av og formidling av råd til personer som kan være smittet av koronaviruset SARS CoV-2. Gjennom overvåkning på befolkningsnivå skal forskriften også bidra til å følge smitteutbredelse og vurdere effekt av smitteverntiltak.

§ 2 . System for sporing og informasjon

Folkehelseinstituttet kan etablere et system for digital og automatisert sporing av nærkontakter til personer som er smittet av koronaviruset SARS CoV-2 og informasjon til nærkontaktene (sporingssystemet).

Sporingssystemet skal bruke et applikasjonsverktøy på deltakernes mobiltelefon for å kartlegge hvem som har vært i nærkontakt med personer som er smittet av koronaviruset SARS CoV-2. Bruk av applikasjonsverktøyet skal være frivillig og ledsages av dekkende, forståelig og lett tilgjengelig informasjon, herunder om behandling av personopplysninger.

§ 3 . Dataansvarlig og databehandler

Folkehelseinstituttet er dataansvarlig for behandlingen av personopplysningene. Den dataansvarlige kan inngå avtale med databehandlere om behandling av opplysningene på vegne av instituttet i samsvar med personvernforordningen artikkel 28.

§ 4 . Behandling av personopplysninger i sporingssystemet

Opplysninger i sporingssystemet kan brukes til å kontakte og informere deltakere som har vært i nærkontakt med smittede.

deltakerens mobiltelefonnummer opplysninger om deltakernes alder og bevegelser (lokasjonsdata) opplysninger om en deltaker er smittet eller har vært i nærkontakt med en smittet.

Meldingssystem for smittsomme sykdommer, jf. MSIS-forskriften § 1-1 registeret over digital kontaktinformasjon og reservasjon, jf. eForvaltningsforskriften § 29.

Mobiltelefonnummer og andre direkte personidentifiserende kjennetegn kan ikke behandles i forbindelse med overvåkning på befolkningsnivå, jf. § 1 andre punktum.

Personopplysninger skal behandles i samsvar med personopplysningsloven og de alminnelige vilkårene i helseregisterloven § 6 og reglene om taushetsplikt i helseregisterloven § 17, jf. helsepersonelloven § 21 flg. og smittevernloven § 2-2. Lovbestemt taushetsplikt er ikke til hinder for at personopplysningene behandles for å oppnå formålet med forskriften.

Personopplysninger i sporingssystemet kan bare behandles for formålene som nevnt i § 1, med mindre annet følger av lov eller etter samtykke fra den registrerte. Personopplysningene kan ikke benyttes for å kontrollere om enkeltpersoner overholder råd eller pålegg. Helseopplysninger eller lokasjonsdata kan ikke gjøres tilgjengelig for politi eller påtalemyndighet eller brukes i forsikringsøyemed eller av arbeidsgivere selv om den registrerte samtykker. Personopplysningene kan ikke utnyttes kommersielt.

§ 5 . Tilgang til opplysninger

Mobiltelefonnummer og andre direkte personidentifiserende kjennetegn skal separeres og lagres adskilt fra andre registeropplysninger.

Bare autorisert personell som utfører tjenester eller arbeid mot registeret og arbeider under den dataansvarliges eller databehandlers instruksjonsmyndighet, kan gis tilgang til identifiserende opplysninger i registeret. Tilgangen kan ikke være mer omfattende enn det som er nødvendig for vedkommendes arbeid.

§ 6 . Sletting av personopplysninger

Lokasjonsdata skal slettes etter 30 dager. Når deltakeren fjerner applikasjonen fra sin mobiltelefon, skal alle personopplysninger om deltakeren i sporingssystemet straks slettes eller anonymiseres.

Arkivlova gjelder ikke for personopplysninger som behandles i sporingssystemet.

§ 7 . Informasjonssikkerhet

Den dataansvarlige og databehandlere som den dataansvarlige har inngått avtale med, skal gjennomføre tekniske og organisatoriske tiltak for å oppnå et sikkerhetsnivå som er egnet med hensyn til risikoen, jf. personvernforordningen artikkel 32 og helseregisterloven § 21.

§ 8 . Svalbard og Jan Mayen

Forskriften gjelder også for Svalbard og Jan Mayen.

§ 9 . Endringer i forskriften

Departementet kan i forskrift gjøre endringer i forskriften.

§ 10 . Ikrafttredelse. Forlengelse

Forskriften trer i kraft straks. Forskriften gjelder frem til 1. desember 2020.

Departementet gis myndighet til å forlenge forskriftens virkningstid.