Dette kapittelet adresserer risiko ved gjennomføringen av anbefalte tiltak med tanke på at Norge skal oppnå intensjonen med helsedataforordningen i sin helhet. Risiko knyttet til innføringen av forordningen må dersom sees på tvers av bruksområdene for helsedata (primær- og sekundærområdet).
Finansiering
Tiltak for å oppfylle krav i helsedataforordningen berører mange aktører og utgjør en rekke omfattende tiltak. En viktig risikofaktor for gjennomføringen er mangel på en forutsigbar og stabil finansieringsplan. Dette omtales nærmere i kapittel 9 som en forutsetning for en vellykket gjennomføring.
Tidslinje for implementering av helsedataforordningen
Implementeringsplanen for helsedataforordningen i Norge fram mot både 2027 og 2029 er ambisiøs, og dette kan bli krevende å følge opp. Kravene i forordningen har store konsekvenser for implementering i Norge, med mange involverte aktører som skal samarbeide og få nødvendige endringer til å fungere i en helhetlig helse- og omsorgstjeneste. Som følge av dette mener Helsedirektoratet generelt sett at det er viktig med en trinnvis tilnærming, hvor første steg er å sikre at Norge oppfyller krav i tide.
Juridiske risikoer
Hvordan helsedataforordningen skal forstås er fortsatt under vurdering, og den forståelsen som er lagt til grunn ved anbefalingen av tiltak er derfor usikker. Andre usikkerhetsmomenter er at sentrale gjennomføringsrettsakter for innholdet i tiltakene p.t. ikke er vedtatt. Det er en særlig risiko knyttet til tiltak av stort omfang som skal være på plass fra 2027 og 2029, og som krever nasjonale vurderinger.
Noen tiltak/konsepter forutsetter nødvendige regelverksendringer utover helsedataforordningen, for eksempel i norske forskrifter. Eksempelvis gjelder dette pasientoppsummering, der reguleringen for å muliggjøre bruk av registerdata til helsehjelp, og eventuelt etableringen av et implantatregister.
Teknologi og interoperabilitet
Leverandører som skal gjøre større videreutvikling av eksisterende løsninger eller etablere nye, må sikre at disse gjøres i tråd med kravene i forordningen. Det vil også, som en konsekvens av forordningen, komme endringer i identitetshåndteringen fysiske personer for å sikre interoperabilitet mellom medlemsland og mellom virksomheter i norsk helsetjeneste. Dette kan føre til forsinkelser i oppdateringer og utvikling av nye tjenester, som i neste ledd kan øke risiko for teknisk gjeld og forlenge overgangsperioder. Helsedatainnehavere må beskrive og tilgjengeliggjøre data i henhold til EU-standarder, noe som krever endringer i systemer, prosesser og kompetanse hos en bred rekke aktører, som i varierende grad har erfaring med tilgjengeliggjøring av helsedata til gjenbruk.
Disse forholdene understøtter behovet for en trinnvis implementering, der konverteringsløsninger kan benyttes som et midlertidig virkemiddel for å redusere risiko og sikre etterlevelse innenfor fastsatte tidsfrister. Samtidig innebærer bruk av konvertering økt kompleksitet og risiko knyttet til datakvalitet og semantisk korrekthet.
Sikkerhet og personvern
Økt digital deling av data på tvers av virksomheter og landegrenser øker risiko for at data kommer på avveie. Forordningen og tillitsmodellen som er foreslått har som intensjon å styrke personvernet, men det fordrer at oppslag utøves kun basert på tjenstlig behov. Dette krever robuste sikkerhetsmekanismer og kontroll med tilgangsstyring, og setter store krav til sikkerhet og personvern som kan være utfordrende å sikre at blir tilstrekkelig ivaretatt i tråd med personvernforordningen, Digitalsikkerhetsloven (lovdata.no), samt EU-direktiver som Dataforordningen (regjeringen.no) og CER-direktivet (regjeringen.no). Det er behov for å gjøre en sikkerhet- og personvernvurdering av hele verdikjeden, herunder bruk av norsk personidentifikator, gitt at helsepersonell/helsevirksomheter fra hele Europa kan slå opp opplysninger om norske innbyggere.
Endringsvilje og prioriteringer i helse- og omsorgstjenesten
Implementering av kravene til forordningen kan innebærer at dokumentasjonen må gjøres på andre måter enn i dag. Dette kan medføre en endringsmotstand både i helseforetak, kommuner og blant fastleger, som allerede opplever et vesentlig omfang av dokumentasjonsarbeid i dag. Aktørene vil trolig måtte gjøre omprioriteringer av investeringer i digitale løsninger som ville gitt større nytte enn helsedataforordningen. Opprettelse av tilgangsforvaltere, og tilrettelegging for gjenbruk av helsedata utgjør en organisatorisk omstilling som krever tid, ledelsesfokus for å skape endringsvilje, og ressurser for å få gjennomført.
Rolle- og ansvarsdeling
Helsedataforordningen adresserer ulike roller og ansvar som skal ivaretas, uten at det er tydeliggjort hvordan dette skal løses. For eksempel: 1) Det er ikke tydelig og avklart hvordan ansvarsdelingen mellom koordinerende tilgangsforvalter og andre tilgangsforvaltere skal være, 2) det er behov for å tydeliggjøre rolledelingen mellom den digitale helsemyndigheten og markedstilsynsmyndigheten (som begge legges til Helsedirektoratet), og 3) ved konvertering av norske resepter til EU-format er det uavklart hvordan ansvarsforholdet vil bli mellom legen som har rekvirert og forskrevet resept og aktøren(e) som har ansvaret for konverteringen. Dette må vurderes nærmere.
Tillit til at personvernet blir tilstrekkelig ivaretatt i befolkningen
Med økt risiko for data på avveie øker også risikoen for redusert tillitt i befolkningen hvis uønskede hendelser oppstår, herunder redusert tillit til at egne data blir ivaretatt på en trygg og sikker måte og eget personvern blir ivaretatt. Norske og nordiske helsedata anses som særlig rike med tanke på informasjon per innbygger og populasjonen i helhet, og vi kan anta at de er attraktive i europeisk sammenheng. Etablering og videreutvikling av nasjonal infrastruktur for sikker forvaltning og analyse er derfor viktig for å ivareta personvern og informasjonssikkerhet.