§ 6. Dataansvar

Oslo universitetssykehus HF er dataansvarlig for behandlingen av helseopplysninger etter § 5. Den dataansvarlige skal sørge for at det gjennomføres tekniske og organisatoriske tiltak for å oppnå et sikkerhetsnivå i behandlingen av helseopplysninger som er egnet i forhold til risikoen, jf. personvernforordningen artikkel 32 om informasjonssikkerhet. Fødselsnummer og andre direkte personidentifiserende kjennetegn skal separeres og lagres kryptert og adskilt fra andre registeropplysninger. Den dataansvarlige skal sørge for tilgangsstyring, logging og etterfølgende kontroll. Den dataansvarlige skal gjennomføre tekniske og organisatoriske tiltak for å sikre og påvise at helseopplysninger behandles i samsvar med personvernkravene, jf. personvernforordningen artikkel 24 om internkontroll. Blant annet skal den dataansvarlige sørge for: a) å ha oversikt over kravene som gjelder for behandling av helseopplysninger b) at det utarbeides og dokumenteres rutiner som setter ledere, medarbeiderne og annet personell i stand til å overholde kravene c) at det utarbeides og dokumenteres rutiner for å motta meldinger om avvik og sikre at avvik rettes d) systematisk overvåking og gjennomgang av internkontrollen for å sikre at den fungerer som forutsatt og bidrar til kontinuerlig forbedring i behandlingen av helseopplysninger i programmet.