§ 4-2. Informasjonssikkerhet

Folkehelseinsituttet og Norsk pasientregister skal gjennomføre tekniske og organisatoriske tiltak for å oppnå et sikkerhetsnivå som er egnet med hensyn til risikoen, jf. personvernforordningen artikkel 32 og helseregisterloven § 21. Sikkerhetstiltakene skal omfatte tiltak som ikke kan påvirkes eller omgås av ansatte hos Norsk pasientregister, og ikke være begrenset til handlinger den enkelte forutsettes å utføre. Det skal også etableres systemer for logging av elektroniske spor ved tilgjengeliggjøringer av opplysninger i registeret. Der behandling av helseopplysningene skjer ved hjelp av elektroniske hjelpemidler, skal direkte personidentifiserbare kjennetegn lagres kryptert.