Forskrift om innsamling og behandling av helseopplysninger i register over svangerskapsavbrudd (abortregisterforskriften)

DatoFOR-2007-12-14-1418
DepartementHelse- og omsorgsdepartementet
PublisertI 2007 hefte 12 (Merknader)
Ikrafttredelse01.01.2008
Sist endretFOR-2015-12-18-1588 fra 01.01.2016
EndrerFOR-2001-06-15-635
Gjelder forNorge
HjemmelLOV-2001-05-18-24-§8, LOV-2001-05-18-24-§9, LOV-2001-05-18-24-§10, LOV-2001-05-18-24-§16, LOV-2001-05-18-24-§17, LOV-2001-05-18-24-§34 jf LOV-2014-06-20-42-§33 jf LOV-2014-06-20-43-§33
Kunngjort14.12.2007   kl. 15.30
KorttittelAbortregisterforskriften

Kapitteloversikt:

Hjemmel: Fastsatt ved kgl.res. 14. desember 2007 med hjemmel i lov 18. mai 2001 nr. 24 om helseregistre og behandling av helseopplysninger (helseregisterloven) § 8 andre, fjerde og femte ledd, § 9 andre ledd, § 10, § 16 fjerde ledd, § 17 tredje ledd og § 34 fjerde ledd. Fremmet av Helse- og omsorgsdepartementet.
Endringer: Endret ved forskrifter 17 jan 2013 nr. 61, 18 des 2015 nr. 1588.

Kapittel 1. Generelle bestemmelser

§ 1-1.Hjemmelsgrunnlag for Abortregisteret

Denne forskriften gir hjemmelsgrunnlag for et landsomfattende avidentifisert register for svangerskapsavbrudd (Abortregisteret). Forskriften gir regler for innsamling, lagring, behandling og utlevering av opplysninger i registeret.

§ 1-2.Definisjoner

I forskriften forstås med:

1.avidentifiserte helseopplysninger: helseopplysninger der navn, fødselsnummer og andre personentydige kjennetegn er fjernet, slik at opplysningene ikke lenger kan knyttes til en enkeltperson, og hvor identitet bare kan tilbakeføres ved sammenstilling med de samme opplysninger som tidligere er fjernet,
2.anonyme helseopplysninger: opplysninger der navn, fødselsnummer og andre personentydige kjennetegn er fjernet, slik at opplysningene ikke lenger kan knyttes til en enkeltperson.
§ 1-3.Abortregisterets formål

Formålet med Abortregisteret er å samle inn og behandle opplysninger tilknyttet begjæringer om svangerskapsavbrudd for å:

1.gi grunnlag for utarbeidelse av statistikk om praktisering av lov om svangerskapsavbrudd,
2.bidra til å evaluere tiltak mot uønskede svangerskap og svangerskapsavbrudd,
3.bidra til god ressursutnyttelse og kvalitet i behandlingen av kvinners reproduktive helse.

Opplysninger i Abortregisteret kan foruten til formål som nevnt i første ledd, behandles og brukes til styring, planlegging og kvalitetssikring av helse- og omsorgstjenesten og helseforvaltning, utarbeiding av statistikk og forskning.

0Endret ved forskrift 17 jan 2013 nr. 61.
§ 1-4.Forbud mot bruk

Opplysningene i Abortregisteret kan ikke anvendes til formål som er uforenlig med formål som nevnt i § 1-3.

§ 1-5.Databehandlingsansvarlig

Folkehelseinstituttet er databehandlingsansvarlig for Abortregisteret.

0Endret ved forskrift 18 des 2015 nr. 1588 (i kraft 1 jan 2016).
§ 1-6.Databehandler

Folkehelseinstituttet kan inngå skriftlig avtale med en databehandler om innsamling og behandling av opplysninger i Abortregisteret, herunder om formålet med registeret, jf. § 1-3, drift og kvalitetssikring av registeret, samt utlevering av data til brukere.

0Endret ved forskrift 18 des 2015 nr. 1588 (i kraft 1 jan 2016).
§ 1-7.Opplysninger i Abortregisteret

Abortregisteret inneholder opplysninger fra sykehus, offentlige og private helseinstitusjoner, og andre virksomheter som utfører svangerskapsavbrudd, jf. lov 13. juni 1975 nr. 50 om svangerskapsavbrudd § 3.

Abortregisteret kan uten samtykke fra den registrerte inneholde følgende opplysninger i den utstrekning det er relevant og nødvendig for å oppnå formålet med registeret:

1.avidentifiserte personopplysninger;
1.1fødselsdato,
1.2bostedskommune,
1.3sivilstatus og
1.4arbeid/skolegang,
2.administrative opplysninger;
2.1navn og organisasjonsnummer på virksomhet etter § 1-7 første ledd hvor begjæring om svangerskapsavbrudd er behandlet,
2.2saksnummer,
2.3begjæringsdato,
2.4journalopptaksdato,
2.5tilbud om prevensjonsveiledning og rådgivning etter abortloven og
2.6om informasjon om inngrepets art og virkning er gitt kvinnen, jf. abortloven § 5,
3.hvem begjæring er fremsatt av etter abortloven § 4,
4.medisinske opplysninger;
4.1tidligere svangerskap,
4.2svangerskapets lengde og andre opplysninger om svangerskapets varighet,
4.3tidligere sykdommer/sykdomshistorie og
4.4prevensjonsbruk,
5.opplysninger om nemndbehandling,
6.opplysninger om fosterdiagnostikk,
7.opplysninger om inngrep/behandling.

Abortregisteret kan, hvis kvinnen ikke motsetter seg det, etter å ha fått informasjon om hvordan slike opplysninger behandles i Abortregisteret, inneholde opplysninger om kvinnens røykevaner.

§ 1-8.Koding og klassifisering

Folkehelseinstituttet skal ved enhver registrering i Abortregisteret kunne dokumentere hvilke klassifikasjoner eller kodeverk som er benyttet.

0Endret ved forskrift 18 des 2015 nr. 1588 (i kraft 1 jan 2016).

Kapittel 2. Innsending av opplysninger

§ 2-1.Plikt til innsending og forhold til taushetsplikt

Helsepersonell tilknyttet virksomhet hvor svangerskapsavbrudd foretas, skal registrere opplysninger som nevnt i § 1-7 andre ledd. Sykehus eller institusjoner hvor svangerskapsavbrudd foretas, skal sørge for å melde inn opplysninger etter § 1-7 andre ledd til Abortregisteret. Virksomheten skal sørge for at det finnes rutiner som sikrer dette.

Lovbestemt taushetsplikt er ikke til hinder for at opplysningene som følger av § 1-7 meldes inn til Abortregisteret.

§ 2-2.Rutiner for innsending mv.

Innsending av opplysninger skal følge de rutiner og tidsfrister som til enhver tid er fastsatt av Folkehelseinstituttet.

0Endret ved forskrift 18 des 2015 nr. 1588 (i kraft 1 jan 2016).
§ 2-3.Overføringsformat, kvalitetskontroll og innsending

Overføring av opplysninger fra virksomhet nevnt i § 2-1 til Abortregisteret skal skje i et format som bestemmes av Folkehelseinstituttet.

Virksomhet som nevnt i § 2-1 skal foreta en kvalitetskontroll av at opplysningene er i henhold til forskriftens bestemmelser.

0Endret ved forskrift 18 des 2015 nr. 1588 (i kraft 1 jan 2016).
§ 2-4.Ansvar for sikring av at opplysningene er korrekte og krav til dokumentasjon

Folkehelseinstituttet har ansvaret for at de opplysningene som blir samlet inn og behandlet i Abortregisteret, er relevante og nødvendige for bruk til formål som nevnt i § 1-3.

Folkehelseinstituttet skal sørge for at de opplysningene som er samlet inn og behandlet i Abortregisteret, er korrekte og fullstendige. Dersom de innsendte opplysningene er ufullstendige eller på annen måte mangelfulle, skal innsender av opplysningene varsles jf. helseregisterloven § 9 andre ledd andre punktum. Feil skal rettes og opplysningene eventuelt sendes på nytt fra innsender. Dersom det ikke er mulig for Folkehelseinstituttet å få korrekte data, kan Helsetilsynet varsles.

0Endret ved forskrift 18 des 2015 nr. 1588 (i kraft 1 jan 2016).

Kapittel 3. Behandling av opplysninger i Abortregisteret, sammenstilling og utlevering

§ 3-1.Utarbeidelse og utlevering av statistikk fra Abortregisteret

Folkehelseinstituttet skal årlig utarbeide statistikk for svangerskapsavbrudd. Departementet kan videre bestemme hvilke faste, offentlige statistikker som Folkehelseinstituttet skal utarbeide. Statistikkene kan baseres på opplysninger hentet fra Abortregisteret og anonyme og/eller avidentifiserte opplysninger fra Norsk pasientregister.

Folkehelseinstituttet kan på forespørsel utlevere andre statistiske opplysninger til forvaltningen og forskere dersom opplysningene skal brukes til et uttrykkelig angitt formål innenfor registerets formål, jf. § 1-3.

Statistiske opplysninger som offentliggjøres eller utleveres etter denne bestemmelsen, må ikke ha en slik form at enkeltpersoner eller virksomheten som har utført inngrepet, kan gjenkjennes.

0Endret ved forskrift 18 des 2015 nr. 1588 (i kraft 1 jan 2016).
§ 3-2.Utlevering av opplysninger fra Abortregisteret

Folkehelseinstituttet skal etter begrunnet søknad utlevere avidentifiserte opplysninger fra Abortregisteret dersom mottaker kan godtgjøre at

-opplysningene skal brukes til et uttrykkelig angitt formål innenfor registerets formål,
-opplysningene er relevante og nødvendige for formålet med behandlingen,
-mottakeren bare skal behandle avidentifiserte opplysninger,
-behandlingen er ubetenkelig ut fra etiske hensyn og
-behandlingen oppfyller vilkårene i personopplysningsloven § 8 og § 9.

Folkehelseinstituttet kan stille vilkår ved utlevering som er nødvendig for å begrense ulempene behandlingen ellers ville ha for de registrerte. Alle opplysninger som utleveres etter søknad som nevnt i første ledd, skal slettes straks prosjektet er avsluttet. Mottakeren må ikke offentliggjøre resultatet av behandlingen av opplysningene i en slik form at enkeltpersoner kan gjenkjennes.

Mottakeren av opplysningene har meldeplikt til Datatilsynet, jf. helseregisterloven § 29.

0Endret ved forskrift 18 des 2015 nr. 1588 (i kraft 1 jan 2016).
§ 3-3.Annen behandling av data fra Abortregisteret

Behandling av opplysninger fra Abortregisteret kan, med mindre annet følger av denne forskriften, bare behandles etter tillatelse fra Datatilsynet og i samsvar med de alminnelige regler om taushetsplikt.

§ 3-4.Kostnader

Folkehelseinstituttet kan kreve betaling for utlevering av data etter § 3-1 andre ledd, § 3-2 og § 3-3. Betalingen kan ikke overstige de faktiske utgiftene ved innsamlingen og behandlingen av opplysningene.

0Endret ved forskrift 18 des 2015 nr. 1588 (i kraft 1 jan 2016).
§ 3-5.Oversikt over utleveringene

Folkehelseinstituttet skal føre oversikt over hvem som får utlevert opplysninger fra Abortregisteret og hjemmelsgrunnlaget for utleveringene. Oversikten skal oppbevares i minst fem år etter at utlevering har funnet sted.

0Endret ved forskrift 18 des 2015 nr. 1588 (i kraft 1 jan 2016).
§ 3-6.Frister for utlevering

Folkehelseinstituttet skal svare på forespørsler om utlevering av statistikk og opplysninger for bruk i uttrykkelig angitte forskningsprosjekter innen 30 dager fra den dagen forespørselen kom inn. Dersom særlige forhold gjør det umulig å svare på forespørselen innen den angitte fristen, kan svaret utsettes inntil det er mulig å gi svar. Folkehelseinstituttet skal i så fall gi et foreløpig svar med opplysninger om grunnen til forsinkelsen og sannsynlig tidspunkt for når svar kan gis.

0Endret ved forskrift 18 des 2015 nr. 1588 (i kraft 1 jan 2016).
§ 3-7.Informasjonsstrategi rettet mot brukergrupper

For å fremme bruken av data fra Abortregisteret og for å bygge opp informasjon og kunnskap for formål som nevnt i § 1-3, skal Folkehelseinstituttet ha en informasjonsstrategi og -plan rettet mot så vel helseforvaltningen, helse- og omsorgstjenesten og øvrig forvaltning, som mot forskere innen medisinsk forskning, helsetjenesteforskning og samfunnsforskning.

0Endret ved forskrifter 17 jan 2013 nr. 61, 18 des 2015 nr. 1588 (i kraft 1 jan 2016).

Kapittel 4. Taushetsplikt, informasjonssikkerhet og internkontroll

§ 4-1.Informasjon til den registrerte

Folkehelseinstituttet skal utarbeide informasjonsmateriell og tilrettelegge for at helsepersonell informerer de registrerte om innsending av opplysninger til Abortregisteret, jf. helseregisterloven § 24, jf. § 23.

0Endret ved forskrift 18 des 2015 nr. 1588 (i kraft 1 jan 2016).
§ 4-2.Informasjonssikkerhet

Folkehelseinstituttet skal gjennom planlagte og systematiske tiltak sørge for tilfredsstillende informasjonssikkerhet med hensyn til konfidensialitet, integritet, kvalitet og tilgjengelighet ved behandling av opplysninger omhandlet i denne forskriften, jf. helseregisterloven § 16.

0Endret ved forskrift 18 des 2015 nr. 1588 (i kraft 1 jan 2016).
§ 4-3.Taushetsplikt

Enhver som behandler opplysninger etter denne forskriften, har taushetsplikt etter helseregisterloven § 15.

§ 4-4.Plikt til å sørge for internkontroll

Folkehelseinstituttet skal etablere internkontroll i samsvar med helseregisterloven § 17. De systematiske tiltakene skal tilpasses virksomhetens art, aktiviteter og størrelse i det omfang det er nødvendig for å etterleve krav gitt i eller i medhold av helseregisterloven, med særlig vekt på bestemmelser gitt i medhold av helseregisterloven § 16.

0Endret ved forskrift 18 des 2015 nr. 1588 (i kraft 1 jan 2016).
§ 4-5.Innholdet i internkontrollen

Internkontrollen innebærer at Folkehelseinstituttet skal ha kunnskap om gjeldende regler om behandling av helseopplysninger, tilstrekkelig og oppdatert dokumentasjon for gjennomføring av rutiner, og ha denne dokumentasjonen tilgjengelig for dem den måtte angå.

Dokumentasjonen av internkontrollen skal minst inneholde

1.oversikt over hvordan virksomheten er organisert,
2.oversikt over ansvars- og myndighetsforhold,
3.oversikt over de krav i og i medhold av helseregisterloven som gjelder for virksomheten,
4.rutiner virksomheten følger for å sikre at kravene blir overholdt,
5.rutiner virksomheten følger dersom avvik oppstår, og opplysninger om hvem som er ansvarlig for at rutinene blir overholdt,
6.rutiner virksomheten følger for å hindre gjentakelse av avvik og opplysninger om hvem som er ansvarlig,
7.rutiner for hvordan virksomheten systematisk og regelmessig gjennomgår sin internkontroll for å kontrollere at aktivitetene og resultatene av dem stemmer overens med det systemet virksomheten har fastlagt, og om det medfører oppfyllelse av helseregisterlovgivningen, og
8.rutiner for hvordan virksomheten sikrer at de ansatte har tilstrekkelig kompetanse til å overholde forskriftens krav.

Skriftlig dokumentasjon skal minst omfatte dokumentasjon av rutiner som nevnt i andre ledd nr. 1 til 8. Datatilsynet kan gi pålegg om skriftlig dokumentasjon ut over dette, dersom det anses påkrevd.

0Endret ved forskrift 18 des 2015 nr. 1588 (i kraft 1 jan 2016).

Kapittel 5. Bevaring av opplysninger i Abortregisteret

§ 5-1.Bevaring av opplysningene

Opplysninger i Abortregisteret skal bevares i ubegrenset tid, med mindre annet følger av denne forskriften eller helseregisterloven § 26 og § 28. Saksnummer, sykehusets navn, fødselsdag og -måned, jf. § 1-7, skal slettes senest 10 år etter registrering.

§ 5-2.Bevaring og bruk av opplysninger underlagt tidligere konsesjoner

Avidentifiserte opplysninger samlet inn fra perioden 1979 og frem til forskriftens ikrafttreden kan behandles i tråd med registerets daværende konsesjon og formål.

Kapittel 6. Avsluttende bestemmelser

§ 6-1.Pålegg, tvangsmulkt og straff

Det kan gis pålegg eller tvangsmulkt i samsvar med helseregisterloven § 32 og § 33.

Den som forsettlig eller grovt uaktsomt overtrer krav fastsatt i denne forskrift § 1-4 straffes med bøter eller fengsel inntil ett år eller begge deler.

Medvirkning straffes på samme måte.

§ 6-2.Ikrafttreden

Forskriften trer i kraft 1. januar 2008.

§ 6-3.Endring i forskrift 15. juni 2001 nr. 635 om svangerskapsavbrudd (abortforskriften)

Fra forskriftens ikrafttredelse gjøres følgende endringer i andre forskrifter: 

Forskrift 15. juni 2001 nr. 635 om svangerskapsavbrudd (abortforskriften) endres slik: - - -

Merknader til forskrift om innsamling og behandling av helseopplysninger i register over svangerskapsavbrudd

Til § 1-1 Hjemmelsgrunnlag for Abortregisteret

I Norge har vi siden 1979 hatt et avidentifisert register for svangerskapsavbrudd. Dette registeret har hatt konsesjon fra Datatilsynet. Denne forskriften erstatter det konsesjonsbaserte registeret og § 5-2 slår fast at tidligere innsamlede opplysninger kan bevares og benyttes i tråd med registerets daværende konsesjon og formål.

Første ledd gir rettsgrunnlag for et avidentifisert Abortregister. Et ledende hensyn bak utformingen av forskriften har vært å sørge for en forsvarlig behandling av helseopplysninger i alle deler av de prosessene som leder frem til bruk av opplysningene.

Til § 1-2 Definisjoner

Det vises til rundskriv I-1063B, merknader til helseregisterloven § 2 nr. 2 og 3 for utfyllende merknader.

Til § 1-3 Abortregisterets formål

Denne bestemmelsen angir de ytre rammer for hvilke formål Abortregisteret kan benyttes, jf. § 1-4 som forbyr anvendelse av registrerte opplysninger til andre formål enn de som nevnes i § 1-3. Formålet med Abortregisteret er i hovedsak statistikkproduksjon i forbindelse med oppfølging av lov om svangerskapsavbrudd. Etter abortloven § 1 skal samfunnet så langt råd er: «sikre alle barn betingelser for en trygg oppvekst. Som et ledd i dette arbeidet skal samfunnet sørge for at alle får etisk veiledning, seksualopplysning, kunnskap om samlivsspørsmål og tilbud om familieplanlegging, for derved å skape en ansvarsbevisst holdning til disse spørsmål slik at antallet svangerskapsavbrudd blir lavest mulig.» Abortstatistikken er helt sentral i arbeidet med forebygging av uønskede svangerskap.

Til § 1-4 Forbud mot bruk

Bestemmelsen setter en klar grense for hva registerets opplysninger kan benyttes til, og innebærer i realiteten et forbud mot annen bruk av registeret enn det som fremkommer av § 1-3. Begrunnelsen for å begrense registerets bruksområde er hensynet til personvernet og den alminnelige tillit til at unødig og ukontrollert bruk ikke skal finne sted.

Forsettlig eller grovt uaktsom overtredelse av denne bestemmelsen straffes med hjemmel i § 6-1.

Til § 1-5 Databehandlingsansvarlig

Forskriften utpeker Nasjonalt folkehelseinstitutt som ansvarlig for innsamling og behandling av helseopplysninger i Abortregisteret.

Til § 1-7 Opplysninger i Abortregisteret

Abortregisteret kan inneholde opplysninger som kan utledes de nærmere angitte punktene i § 1-7. Dette er en videreføring av det avidentifiserte Abortregisteret som har hatt ulike konsesjoner siden 1979. Opplysningene som registreres skal være relevante og nødvendige for å nå formålene for Abortregisteret, jf. § 1-3.

Med offentlig og private helseinstitusjoner eller annen virksomhet menes i denne forskriften sykehus og andre institusjoner som har godkjenning etter lov om svangerskapsavbrudd § 3 til å utføre abortinngrep.

Til § 2-1 Plikt til innsending og forhold til taushetsplikt

Helsepersonell skal registrere opplysninger i forbindelse med svangerskapsavbrudd. Sykehusene og institusjonene har plikt til å sørge for at opplysningene som nevnt i § 1-7 andre ledd meldes inn til Abortregisteret.

Helsepersonell er underlagt taushetsplikt etter helsepersonelloven § 21 andre ledd presiserer at meldeplikten ikke er i strid med taushetsplikten, jf. helsepersonelloven § 37.

Til § 2-2 Rutiner for innsending mv.

Nasjonalt folkehelseinstitutt bidrar ved opplæring av personell i virksomhetene som skal melde i henhold til denne forskrift.

Til § 2-3 Overføringsformat, kvalitetskontroll og innsending

Nasjonalt folkehelseinstitutt har utarbeidet et meldeskjema/elektronisk meldesystem for de opplysninger som skal sendes inn i henhold til § 1-7 andre ledd.

Til § 2-4 Ansvar for sikring av at opplysningene er korrekte og krav til dokumentasjon

Nasjonalt folkehelseinstitutt skal kvalitetssikre dataene gjennom rutinemessige kontroller av alle data som kommer inn. Helseforetak, offentlige og private helseinstitusjoner, eller annen virksomhet er pliktig til å gi opplysninger eller sende nye data når de blir gjort oppmerksomme på feil og mangler.

Til § 3-1 Utarbeidelse og utlevering av statistikk fra Abortregisteret

Nasjonalt folkehelseinstitutt skal årlig utarbeide offentlig tilgjengelige statistikker. Nasjonalt folkehelseinstitutts abortstatistikk skal basere seg på opplysninger fra Abortregisteret og anonyme og/eller avidentifiserte data som Abortregisteret mottar fra Norsk pasientregister. Norsk pasientregister kan utlevere avidentifiserte opplysninger og statistikk om svangerskapsavbrudd til Abortregisteret i henhold til Norsk pasientregisterforskriften § 3-2, jf. § 3-4 og § 3-1, jf. § 3-5. Disse opplysningene vil være relevante for Abortregisteret blant annet for sammenligning med egne data. Det vil ikke være mulig å sammenstille opplysninger fra Norsk pasientregister med opplysninger i Abortregisteret i henhold til denne bestemmelsen. Dette fordi opplysningene i Norsk pasientregister er i personidentifiserbar form, mens opplysningene i Abortregisteret er avidentifiserte. Siden opplysningene i Abortregisteret foreligger i avidentifisert form, kjenner man ikke identiteten på de registrerte. Ved utlevering av for eksempel statistikk fra Norsk pasientregister til Abortregisteret, vil det derfor ikke være mulig å vite om opplysninger fra kvinne x i Norsk pasientregister tilsvarer kvinne y i Abortregisteret.

Forvaltning eller forskere som ikke får alle nødvendige data fra de offentlige statistikker, kan etter andre ledd kunne søke om mer spesifikt datamateriale for fremstilling av statistikk.

Nasjonalt folkehelseinstitutt skal vurdere om all utarbeidelse av statistikk er i tråd med Abortregisterets formål, jf. § 1-4.

Til § 3-2 Utlevering av opplysninger fra Abortregisteret

Bestemmelsen gir Nasjonalt folkehelseinstitutt hjemmel for utlevering av opplysninger i registeret og mottaker får rettsgrunnlag for behandling av opplysningene gjennom melding til Datatilsynet. Dette fremkommer konkret gjennom meldeplikten i tredje ledd. Bestemmelsen er en oppfølging av NOU 1997:26 Tilgang til helseregistre for å sikre tilgang til registerdata.

Første ledd oppstiller fem vilkår for at en utlevering av opplysninger til en bestemt bruk (for eksempel i et forskningsprosjekt) skal kunne skje etter bestemmelsen. Alle vilkårene skal være oppfylt for at utlevering kan skje. Mottaker skal overfor Nasjonalt folkehelseinstitutt godtgjøre at kravene er oppfylt, og Nasjonalt folkehelseinstitutt skal før utlevering skjer vurdere om vilkårene er oppfylt. Mottakeren har et selvstendig ansvar for å sørge for at behandling av opplysninger skjer i henhold til vilkårene. Dersom Nasjonalt folkehelseinstitutt avslår en søknad om utlevering av opplysninger, vil et avslag kunne bringes inn for overordnet forvaltningsorgan som er Helse- og omsorgsdepartementet.

Det første vilkåret er at mottaker skal behandle opplysningene til et uttrykkelig angitt formål innenfor Abortregisterets formål (§ 1-3). Det følger av helseregisterloven § 11 at enhver behandling av helseopplysninger skal være formålsbestemt. Mottaker av opplysninger fra Abortregisteret skal konkret angi det formål opplysningene skal benyttes til, for eksempel til forskningsprosjekter eller for kvalitetssikring av helsetjeneste eller helseforvaltning. Mottakeren skal tilstrebe klare og presise formålsangivelser. Dersom en forsker ønsker tilgang til opplysninger til andre formål, for eksempel samfunnsforskning, vil det kreves hjemmelsgrunnlag i konsesjon. Videre vil § 1-4 om forbud mot bruk fungere som en sperre mot utlevering av opplysninger til formål i strid med Abortregisterets formål.

Det andre vilkåret er at opplysningene er relevante og nødvendige for formålet med behandlingen. I likhet med kravet om formålsbestemthet er det et grunnkrav ved behandling av helseopplysninger at opplysningene som behandles skal være relevante og nødvendige for å nå formålet med behandlingen. Med nødvendig menes at en ikke skal behandle flere opplysninger enn formålet krever. Kravet om at opplysningene skal være relevante setter grense for hvilke opplysninger som kan trekkes med i behandlingen.

Det tredje vilkåret krever at mottakeren bare skal behandle avidentifiserte opplysninger. Avidentifiserte helseopplysninger er definert som helseopplysninger der navn, fødselsnummer og andre personentydige kjennetegn er fjernet, slik at opplysningene ikke lenger kan knyttes til en enkeltperson, og hvor identitet bare kan tilbakeføres ved sammenstilling med de samme opplysninger som tidligere ble fjernet. Avidentifiserte opplysninger skal være anonyme på mottakerens hånd.

De er imidlertid juridisk sett ikke anonyme så lenge det finnes en instans som beholder en nøkkelfil (også kalt en koblingsbro), som gjør at personidentifikasjon kan tilbakeføres, eller det avidentifiserte datasettet kan tilføres nye opplysninger. Selv om det i fra Abortregisteret kun er aktuelt å utlevere avidentifiserte opplysninger, vil det likevel være en begrensning i forhold til hva mottakeren skal behandle for de tilfeller der mottaker innehar egne opplysninger fra andre kilder, som gjør at opplysninger fra Abortregisteret sammen med egne opplysninger til sammen kan bli personidentifiserbare og gi tilkjenne enkeltpersoner. Slik utlevering vil kreve eget behandlingsgrunnlag etter § 3-3, det vil si konsesjon fra Datatilsynet. Utlevering av avidentifiserte data til mottakere som skal behandle opplysninger innenfor Abortregisterets formål er ikke i strid med helsepersonellovens eller forvaltningslovens bestemmelser om taushetsplikt.

Det fjerde vilkåret er at behandlingen av opplysningene blir vurdert som ubetenkelig ut fra etiske hensyn. Ubetenkelig henspiller blant annet på om forskningsprosjektet er berettiget og forsvarlig. Bruk av anonyme opplysninger fra registre fastsatt i henhold til helseregisterloven § 8 er unntatt fra fremleggelsesplikten for de regionale komiteer for medisinsk forskningsetikk (REK). Det er den ansvarlige for prosjektet som er ansvarlig for at behandlingen av opplysningene og bruken av dem er ubetenkelig, men Norsk pasientregister skal også vurdere dette før utlevering av anonyme og avidentifiserte opplysninger fra registeret.

Det femte vilkåret er at behandlingen av opplysningene tilfredsstiller kravene i personopplysningsloven § 8 og § 9. Det er særlig bestemmelsene i § 8 d og § 9 h som er aktuelle. § 8 d krever at behandlingen er nødvendig for å «utføre en oppgave av allmenn interesse» og § 9 h at «behandlingen er nødvendig for historiske, statistiske eller vitenskapelige formål, og samfunnets interesse i at behandlingen finner sted klart overstiger ulempene den kan medføre for den enkelte». Datatilsynet og Personvernnemndas praksis vil være relevante for forståelsen av disse vilkårene.

Annet ledd fastslår at Nasjonalt folkehelseinstitutt kan stille vilkår ved utlevering av opplysninger som er nødvendig for å begrense ulempene behandlingen ellers kan medføre for de registrerte. De vilkår som settes må være i samsvar med god forvaltningspraksis og være saklig begrunnet i de hensyn som etter forskriften og overordnet lovgivning skal ivaretas. Aktuelle vilkår kan for eksempel gjelde en bestemt bruk av opplysninger, oppbevaring, rapportering og tidsfrist for sletting. Vilkårene som kan settes til en utlevering skal begrunnes ut fra personvernhensyn. Personopplysningsloven § 35 gir en likelydende mulighet for Datatilsynet til å stille vilkår når det gis konsesjoner, og praksis etter den bestemmelsen vil være relevant også for utlevering etter denne bestemmelse.

Etter tredje ledd får mottakeren av de avidentifiserte opplysningene det nødvendige hjemmelsgrunnlag for den aktuelle behandlingen gjennom melding til Datatilsynet etter helseregisterloven § 29. Mottaker behøver ikke ha dispensasjon fra taushetsplikten for å motta avidentifiserte opplysninger etter § 3-2.

Ved utlevering av opplysninger fra Abortregisteret menes utlevering både til forskere internt ved Nasjonalt folkehelseinstitutt og eksterne forskere og forskere tilknyttet andre institusjoner.

Til § 3-3 Annen behandling av data fra Abortregisteret

Bestemmelsen åpner for at opplysninger fra Abortregisteret etter Datatilsynets tillatelse kan sammenstilles med andre opplysninger om de registrerte personene fra andre kilder. Siden registeret ikke inneholder personentydige data, må virksomheten som skal sammenstille dataene, få de personentydige dataene fra virksomhetene. Utlevering av helseopplysninger kan kreve at Helsedirektoratet gir dispensasjon fra taushetsplikten jf. helsepersonelloven § 29 eller at den opplysningene kan knyttes til, samtykker.

Til § 3-6 Frister for utlevering

Utlevering av informasjon skal som hovedregel skje innen 30 dager etter at en forespørsel har kommet inn. Fristbestemmelsen forutsetter at det dreier seg om opplysninger som vil kunne produseres rutinemessig innenfor eksisterende systemer. Oversittelse av fristen vil ikke i seg selv medføre særskilte rettsvirkninger.

Til § 4-1 Informasjon til den registrerte

Helsepersonell skal informere den registrerte om innsending av opplysninger til Abortregisteret. Nasjonalt folkehelseinstitutt utarbeider egnet skriftlig informasjonsmateriell som helsepersonell, helseforetak og andre institusjoner kan disponere til dette formål.

Til § 4-2 Informasjonssikkerhet

Bestemmelsen pålegger Nasjonalt folkehelseinstitutt å sørge for tilfredsstillende informasjonssikkerhet ved behandling av helseopplysninger. Dette omfatter blant annet et ansvar for at tilstrekkelig sikkerhetsfaglig kompetanse er tilgjengelig. I tillegg til ansvar for sikkerheten i egen organisasjon, må Nasjonalt folkehelseinstitutt også forsikre seg om at informasjonssikkerheten er tilfredsstillende hos kommunikasjonspartnere og leverandører. Begrepet informasjonssikkerhet omfatter blant annet:

-sikring av konfidensialitet, dvs. beskyttelse mot at uvedkommende får innsyn i opplysningene, herunder sikkerhet for at reglene om taushetsplikt overholdes, jf. blant annet helseregisterloven § 13,
-sikring av integritet, dvs. beskyttelse mot utilsiktet endring av opplysningene,
-sikring av tilgjengelighet, dvs. å sørge for at tilstrekkelige og relevante opplysninger er til stede,
-sikring av kvalitet, dvs. å sørge for at opplysningene er riktige.

Tilfredsstillende informasjonssikkerhet skal oppnås ved hjelp av planlagte og systematiske tiltak. Dette innebærer at anerkjente teknikker og standarder for kvalitetsstyring, internkontroll og informasjonssikkerhet skal legges til grunn ved sikkerhetsarbeidet. De tiltak som etableres, skal være både organisatoriske og tekniske. Sikkerhetstiltakene og selve informasjonssystemet skal kunne dokumenteres. Personopplysningsforskriften § 2-1 til § 2-16 om informasjonssikkerhet gjelder også for Abortregisteret.

Til § 4-4 Taushetsplikt

Alle som får tilgang til eller på annen måte behandler opplysninger i eller fra Abortregisteret, har taushetsplikt både etter forvaltningsloven og helsepersonelloven. Taushetsplikten gjelder for eksempel for teknisk personell som oppgraderer datasystemene, ansatte ved instituttet som arbeider med registeret og forskere som får utlevert opplysninger.

Den databehandlingsansvarlige er ifølge forvaltningsloven § 13c forpliktet til å sørge for at enhver som taushetsplikten gjelder for, skal gjøres uttrykkelig kjent med reglene om dette, og kan avkreve vedkommende en skriftlig erklæring om at de kjenner og vil respektere reglene.

Til § 5-1 Bevaring av opplysningene

Opplysningene anonymiseres etter 10 år ved å slette saksnummer, sykehusets navn, fødselsdag og -måned. Dette fordi det da ikke lenger er behov for avidentifiserte opplysninger, og i et avidentifisert register kan man ikke følge pasienter over tid.

Til § 5-2 Bevaring og bruk av opplysninger underlagt tidligere konsesjoner

Bestemmelsen presiserer at opplysningene samlet inn fra perioden 1979 og frem til denne forskriftens ikrafttreden bare kan benyttes i tråd med det avidentifiserte registerets konsesjon og formål.

Til § 6-1 Pålegg, tvangsmulkt og straff

Første ledd viser til helseregisterloven § 32 og § 33. Helseregisterloven § 32 gir Datatilsynet adgang til å gi pålegg ved brudd på bestemmelser om behandling av helseopplysninger og Helsetilsynet adgang til å gi pålegg dersom det må antas behandlingen av helseopplysningene i tillegg kan ha skadelige følger for pasienter. Helseregisterloven § 33 gir Datatilsynet adgang til å fastsette tvangsmulkt.

Bestemmelsens andre ledd må sammenholdes med helseregisterloven § 34 som gir hjemmel for straff av overtredelser av lovens egne bestemmelser. Videre må bestemmelsen sammenholdes med aktuelle straffebestemmelser i andre lover, for eksempel straffeloven § 121 om brudd på taushetsplikt. Brudd på bestemmelsene om utlevering i kapittel 3 sanksjoneres ikke med straff i denne forskrift, men utlevering i strid med vilkårene i kapittel 3 vil samtidig være brudd på taushetsplikten, og således være straffbart i medhold av helseregisterloven § 34 og straffeloven § 121.

Det at enkeltbestemmelser i denne forskrift ikke er belagt med straff i form av bøter eller fengsel, betyr ikke at brudd på bestemmelsen ikke sanksjoneres. For eksempel når det gjelder brudd på krav om informasjonssikkerhet, plikt til å sørge for internkontroll og internkontrollens innhold, jf. § 4-2, § 4-4 og § 4-5, mener departementet at Datatilsynet er nærmere til å avdekke og sanksjonere brudd på bestemmelsen enn politi- og påtalemyndighet. 

0Merknadene endret ved forskrift 17 jan 2013 nr. 61.