Datatilsynet har i 2005 hatt flere viktige forslag til forskrifter om nye helseregistre på høring. Helseregistre er registre/fortegnelser der helseopplysninger er lagret systematisk slik at de enkelt kan finnes igjen. Slike registre kan blant annet brukes som et verktøy i behandlingsøyemed og i kvalitetssikring av tjenester og behandlingsmetoder.
Registreringsiveren er tiltakende. For personvernet er flere små og emnekonsentrerte registre å foretrekke fremfor store og ”altomfattende” registre. Ofte vil slike registre gi bedre grunnlag for gode forskningsresultater nettopp fordi et mindre register kan ha bedre datakvalitet. Området for disse mindre registrene er begrenset, og man prøver ikke å løse alle problemer samtidig. Forslagene som har vært på høring hos Datatilsynet i 2005 viser at dette budskapet foreløpig ikke har nådd frem.
Norsk pasientregister
Norsk pasientregister planlegges opprettet, ikke bare personentydig, men som et direkte personidentifiserbart register. Datatilsynet er av den oppfatning at de beskrevne formålene også kan oppnås ved bruk av en pseudonym registerform. Registeret er tenkt å følge pasienten fra fødsel til død, i all kontakt med spesialisthelsetjenesten.
Muligheten til å sammenstille personopplysninger blir stadig bedre. Helheten blir etter Datatilsynets mening personvernkritisk når man ser et personentydig Norsk pasientregister sammen med alle de andre avidentifiserte registrene på helseområdet. Den foreslåtte endringen av NPR endrer risikobildet også for alle andre helseregistre i Norge, fordi det vil bli mye enklere å identifisere enkeltmennesker også i disse registrene.
Helse- og omsorgsdepartementet sier selv at en pseudonym registerform er velegnet til å ivareta registerets primære formål, nemlig administrasjon, styring og finansiering av helsesektoren. Det gir imidlertid uttrykk for at en pseudonym registerform er mindre egnet til å ivareta forskning og kvalitetssikring, enn hva et personidentifiserbart register er. Datatilsynet bestrider ikke at det vil være enklere for enkelte typer forskning med et direkte personidentifiserbart register. Imidlertid mener Datatilsynet at forskning er fullt mulig, selv om man gir en bedre garanti for personvernet til den enkelte. Et personidentifiserende register er mer inngripende enn et pseudonymt, og spørsmålet som bør stilles er om personvernet skal vike.
Ulempene ved en inngripende registerform kan ikke kompenseres ved bruk av kraftige informasjonssikkerhetstiltak. Fra et register som er tilrettelagt for at det skal være enkel tilgang til opplysninger, vil det også være enklere å hente ut opplysninger til illegitime formål. Muligheten til misbruk er mindre i et register som er konstruert for å hindre enkel tilgang til identiteten til enkeltpersoner.
Det er ikke tvil om at personopplysninger kan misbrukes og at feil kan skje. Det er snarere et spørsmål om tidspunktet for når det skjer. Jo flere opplysninger og større samlinger, jo større vil mulighetene for misbruk kunne være, og jo større kan konsekvensene bli. Personvernhensyn tilsier derfor at det heller bør satses på flere sykdomsspesifikke registre, enn store generelle som forslaget til et Norsk pasientregister med fødselsnummer legger opp til.
IPLOS – individbasert pleie og omsorg
Per i dag finnes det flere kommunale IPLOS-registre (individbasert pleie og omsorg). Disse registrene har konsesjon fra Datatilsynet, og registrering er basert på samtykke fra den registrerte. Forslaget til IPLOS-forskrift viser imidlertid at det planlegges pliktig registrering. Forskriften har vært på høring, men er foreløpig ikke vedtatt. Registeret skal ivareta både helse- og sosialfaglige formål, og helseregisterloven ble endret for at det sentrale IPLOS-registeret kunne opprettes.
Reseptregisteret
Reseptregisteret inneholder opplysninger om alle resepter og rekvisisjoner som er ekspedert ved norske apotek. Registeret har blant annet som formål å følge forbruket av legemidler hos dyr og mennesker i Norge og belyse endringer over tid. Det skal også kunne brukes til forskning på positive og negative effekter av legemiddelbruk. Registeret er individbasert og pseudonymt, og registrering der er lovpålagt. Den enkelte kan altså ikke velge hvorvidt opplysninger om egen legemiddelbruk skal inn i dette registeret. Av informasjonen som ble gitt til befolkningen da reseptregisteret ble startet, fremgår det at metoden som er brukt gjør at det ikke er mulig å finne tilbake til den enkelte legemiddelbruker. Dette er ikke i samsvar med Helse- og omsorgsdepartementets rundskriv av 1/8-2005. Også pseudonyme registre skal kunne benyttes for å gå tilbake til enkeltpersoner dersom dette er nødvendig. Disse prinsippene gjelder ikke for Reseptregisteret, og det medfører således begrensninger i bruken av dette registeret.
Forslag til ny forskningslov fra Nylennautvalget
Datatilsynet frykter at forslaget til ny lov om medisinsk og helsefaglig forskning kan medføre mer byråkrati, ikke mindre som er den opprinnelige intensjonen bak opprettelsen av Nylennautvalget. Regelverket for å utøve forskning er i dag omfattende og komplisert. Det er mange involverte offentlige etater og til dels unødvendig byråkratisk prosedyre. Datatilsynet er enig i at noe må gjøres, men kan likevel ikke støtte utvalgets lovforslag uforbeholdent. Datatilsynet mener forslaget ikke er egnet til å forenkle regelverket for forskningen. Det fremlagte lovforslaget vil, med unntak av prinsippet om ”en postkasse”, kunne gjøre det vanskeligere å gjennomføre mange forskningsprosjekter som i dag kan gjennomføres med hjemmel i helseregisterloven og personopplysningsloven.
Datatilsynet spør om man ikke heller bør foreta mindre endringer i, og harmonisering av, de eksisterende lovene fremfor å innføre nok en lov. En ny lov vil kunne skape nye tolknings- og gråsoneproblemer. Etter 1999 er det vedtatt et helt sett nye helselover, blant annet personopplysningsloven, helseregisterloven og biobankloven. Antallet lover, og uklarheter i disse, har i seg selv skapt problemer.
Med Nylennaforslaget vil det blant annet bli komplisert å avgjøre hvilket lovverk som skal gjelde for prosjekter som grenser mot kvalitetssikring og helseadministrasjon, og for forskning som inneholder samfunnsfaglige elementer. Helseregisterloven og personopplysningsloven oppheves ikke, og vil dermed fortsatt omfatte bruk av helse- og personopplysninger som ikke faller innenfor dette lovforslagets saklige virkeområde. Det blir også vanskelig å avgjøre hvilken instans som skal ha tilsyn med hva.
Tilsyn med mindre helsevirksomheter
Våren 2005 gjennomførte Datatilsynet ti tilsyn med henholdsvis fem klinikker som bedrev alternativ behandling i form av akupunktur, og fem tannlegekontor.
I forhold til organisering møtte tilsynet kjente problemstillinger fra allmennlegesektoren. Praksisene var etablert i kontorfellesskap hvor ansvaret for etterlevelse av regelverket var fragmentert. Det ble igjen slått fast at primærhelsetjenestens organisering ikke passer til regelverkets virksomhetsorientering med hensyn til ansvar. For begge grupper var kjennskapen til regelverket liten, og man hadde kommet kort med internkontroll. Erfaringene fra tilsynene benyttes til å stimulere bransjeorganisasjonene til å opplyse og veilede sine medlemmer.
De minste akupunktørklinikkene fører i hovedsak papirjournal. Flere akupunktører har ikke autorisasjon som helsepersonell, hvilket medfører at journalen de fører baseres på samtykke fra klienten.
Tannlegene er vesentlig mer teknologiorienterte, og elektronisk pasientjournal er hovedregelen. Imidlertid har tannlegene som gruppe kommet svært kort i arbeidet med informasjonssikkerhet sammenlignet med allmennlegene. Datatilsynet besøkte større klinikker hvor det ikke fantes tilgangsstyring til helseopplysninger, og det ble benyttet felles brukere i informasjonssystemet. Dette gjør at det blir umulig å avdekke sikkerhetsbrudd. Også i forhold til Internett hadde flere tannlegekontor valgt risikofylte løsninger uten at det var noen bevissthet rundt dette. Det ble også avdekket at enkelte hadde felles journalsystem på Internett.
Tilsyn med helseforetak
Høsten 2005 gjennomførte Datatilsynet tilsyn med fire helseforetak, og et større bedriftshelseforetak. Kontrollen med bedriftshelseforetaket ga i hovedsak et positivt inntrykk, men det fantes noe forbedringspotensial i forhold til intern tilgangsstyring. Kontrollen med de offentlige helseforetakene hadde fokus på tilgangsstyring internt, og eventuell tilgang mellom foretakene.
Helseforetakene praktiserer generelt en vid intern tilgangskontroll. Datatilsynet ser behov for å utrede dette nærmere sammen med helsefaglige myndigheter. De ulike helseforetakene har vidt forskjellige prioriteringer og syn på hva som er riktig tilnærming for å sikre forsvarlig tilgangsstyring, både med tanke på å yte helsehjelp og å begrense eksponeringen av helseopplysninger.
Tilgang til helseopplysninger på tvers av helseforetakene er svært utfordrende i forhold til regelverket, samtidig som det er den enkle veien for å samhandle på tvers av foretaksgrensene. Tilsynet opplevde enkelte foretak som løste all sin samhandling gjennom oppslag i hverandres journalsystemer. Datatilsynet ser behovet for at enkelte helseforetak instrueres til å følge regelverket på dette området. Et samarbeide med helsemyndighetene er initiert på området.
Tilsyn med helseforskning
Datatilsynet gjennomførte 16 tilsyn mot forskningsprosjekter i 2005. Dette var en oppfølging av et hovedprosjekt som ble kjørt våren 2004. Tilsynene bekreftet inntrykket som har dannet seg tidligere: Manglende internkontroll, manglende avklaring av ansvar og hvem som sitter på behandlingsansvaret, og manglende kjennskap til regelverk og/eller konsesjonsvilkår.
Det er åpenbart et stort behov for å holde ”trykket oppe” innenfor denne sektoren, både for å bidra til å bevisstgjøre forskerne selv, og ikke minst for å øke bevisstheten ved forskningsinstitusjonene.
(Små rettelser ble innført i avsnittene om Iplos og Reseptregisteret 29.03.2006 etter tilbakemeldinger fra Helse- og omsorgsdepartementet)