§ 4-6. Internkontroll ved behandling av helseopplysninger

Den dataansvarlige og databehandleren skal gjennomføre tekniske og organisatoriske tiltak for å sikre og påvise at behandlingen utføres i samsvar med personvernkravene, jf. EUs personvernforordning artikkel 24. Blant annet skal den dataansvarlige sørge for a) å ha oversikt over kravene som gjelder for behandling av helseopplysninger b) at det utarbeides og dokumenteres rutiner som setter ledere, medarbeiderne og annet personell i stand til å overholde kravene c) at det utarbeides og dokumenteres rutiner for å motta meldinger om avvik og sikre at avvik rettes d) systematisk overvåking og gjennomgang av internkontrollen for å sikre at den fungerer som forutsatt og bidrar til kontinuerlig forbedring i behandlingen av helseopplysninger i undersøkelsen.