§ 7-7. Sikkerhet

Den behandlingsansvarlige skal sørge for at det settes i verk sikkerhetstiltak for å hindre at uvedkommende får tilgang til registeret og at opplysninger kommer på avveie. Bare spesielt utpekte personer skal ha tilgang til personopplysninger i registeret. Utpekingen skal spesifisere hvilke typer opplysninger vedkommende kan få. Adgang til registeret skal bare gis til personer som har behov for opplysninger for å utøve pålagte oppgaver. Manuelle deler av registeret skal holdes nedlåst under den behandlingsansvarliges kontroll. Likeledes skal lagringsenheten for de edb-baserte opplysningene være betryggende sikret. Hvis opplysninger fra registeret skal overføres til datanettverk utenfor det område som virksomheten kontrollerer, skal opplysningene krypteres. Tilgangskontrollen skal avvise forsøk på tilgang fra brukere som ikke er utpekt, og begrense tilgangen for utpekte brukere. Enhver tilgang eller forsøk på tilgang til registeret skal logges. Det skal etableres rutiner for kontroll av opplysninger og relasjoner mellom opplysninger som skal sikre at data er korrekte, komplette og aktuelle i forhold til det de representerer. Det skal gjennomføres tiltak som sikrer at registeret og opplysninger er tilgjengelige når det er behov for dem. Kopier av opplysninger og annet nødvendig materiale skal sikres med tanke på rekonstruksjon av registeret etter tap. Opplysninger og registeret skal være sikret slik at de heller ikke midlertidig faller bort. Dersom det påvises et datainnbrudd i anlegget, skal Helse- og omsorgsdepartementet umiddelbart underrettes. For øvrig gjelder reglene i lov 14. april 2000 nr. 31 om behandling av personopplysninger § 13 og forskrift 15. desember 2000 nr. 1265 om behandling av personopplysninger kapittel 2.