§ 4-4. Krav til internkontroll

Folkehelseinstituttet skal gjennomføre tekniske og organisatoriske tiltak for å sike og påvise at behandlingen av opplysningene utføres i samsvar med personvernforordningen, personopplysningloven og helseregisterloven, jf. helseregisterloven § 22. Databehandlere som behandler helseopplysninger på vegne av Folkehelseinstituttet, skal behandle opplysninger i samsvar med rutiner fastsatt av Folkehelseinstituttet. Det skal foreligge tilstrekkelig og oppdatert dokumentasjon for gjennomføring av rutiner som minst inneholder: a) en oversikt over hvordan virksomheten er organisert, b) en oversikt over ansvars- og myndighetsforhold, c) en oversikt over de krav i og i medhold av personvernforordningen, personopplysningsloven og helseregisterloven som gjelder for virksomheten, d) rutiner virksomheten følger for å oppfylle kravene, herunder rutiner for 1) at personidentifiserbare opplysninger bare behandles når dette er nødvendig for å fremme formålet med behandlingen av opplysningene, og i tråd med gjeldende bestemmelser om taushetsplikten, jf. helseregisterloven § 6 og § 17, 2) dokumentasjon og kvalitetskontroll av helseopplysningene, jf. § 2-1 og § 2-2, 3) å behandle krav om informasjon og innsyn, jf. helseregisterloven § 24, samt forskriften § 5-1, 4) tilgjengeliggjøring og sammenstilling av opplysninger fra helseregistre, jf. § 3-1, e) rutiner virksomheten følger dersom avvik oppstår og opplysninger om hvem som er ansvarlig, f) rutiner virksomheten følger for å hindre gjentakelse av avvik og opplysninger om hvem som er ansvarlig, g) rutiner for hvordan virksomheten systematisk og regelmessig gjennomgår sin internkontroll for å kontrollere at aktivitetene og resultatene av dem samsvarer med det systemet virksomheten har fastlagt, og oppfyller kravene i personvernforordningen, personopplysningsloven og helseregisterloven, h) rutiner for hvordan virksomheten sikrer seg at alle aktuelle og kun gjeldende rutiner blir benyttet, og i) rutiner for hvordan virksomheten sikrer at de ansatte har tilstrekkelig kompetanse til å overholde forskriftens krav. Dokumentasjonen skal være tilgjengelig for dem det måtte angå. Tilsynsmyndighetene kan gi pålegg om skriftlig dokumentasjon ut over dette dersom det anses påkrevd.