Kapittel 3.1 Primærbruk

Om fysiske personer rettigheter og tilgangstjenester for fysiske personer og deres representanter

Den enkelte har etter artikkel 3 og artikkel 5 til 10 en rekke rettigheter som supplerer deres rettigheter etter personvernforordningen. Hvert av EU/EØS-landene skal etter artikkel 4 sikre at det etableres digitale tilgangstjenester på nasjonalt, regionalt eller lokalt nivå som skal muliggjøre at fysiske personer kan få tilgang til elektroniske helseopplysninger og utøve rettighetene de har etter nevnte artikler. Landene skal etablere en eller flere fullmaktstjenester, som en del av funksjonaliteten til den eller de digitale tilgangstjenestene som etableres. Fullmaktstjenestene skal også være interoperable mellom EU/EØS-land, og EU-kommisjonen skal fastsette tekniske spesifikasjoner for dette i gjennomføringsrettsakter.

Artikkel 16 inneholder blant annet bestemmelser om at fysiske personer skal ha rett til å identifisere seg med eID som er anerkjent etter artikkel 6 i eIDAS, ((EU) 910/2014). EU-kommisjonen skal fastsette kravene til den interoperable, grenseoverskridende identifikasjons- og autentiseringsmekanismen for fysiske personer og helsepersonell i samsvar med eIDAS. Mekanismen skal legge til rette for overføring av helseopplysninger i en grenseoverskridende sammenheng.

Etter artikkel 16 nr. 3 skal kommisjonen, i samarbeid med medlemslandene, iverksette tjenester som kreves av den interoperable grensekryssende identifikasjons- og autentiseringsmekanismen på unionsnivå for opplysninger som utveksles via MyHealth@EU-infrastrukturen. MyHealth@EU-infrastrukturen skal benyttes til utveksling mellom helsevirksomheter i forbindelse med ytelse av helsehjelp. Helsedirektoratet oppfatter det som uklart om det etter forordningen skal iverksettes tilsvarende tjenester for å ivareta identifikasjons- og autentiseringsmekanismer for fysiske personers rett til innsyn i en grenseoverskridende sammenheng.

Helsedirektoratet vurderer at forordningen skal forstås slik at det er opp til hvert land å bestemme hvilke pasientjournalsystemer som skal tilgjengeliggjøre de prioriterte kategoriene av helseopplysninger for å ivareta fysiske personers rett til digitalt innsyn og til å laste ned en elektronisk kopi etter artikkel 3. Direktoratet har i juridiske vurderinger, som en del av GAP-analysen av 2025, vurdert at Reseptformidleren og Nasjonal kjernejournal er pasientjournalsystemer etter forordningen. Helsedirektoratet vurderer derfor at det i Norge kan bestemmes at kilden for å ivareta rettighetene etter artikkel 3, kan være Reseptformidleren for e-resept og elektronisk legemiddelinformasjon og Nasjonal kjernejournal for de øvrige kategoriene forutsatt at disse enten inngår i den nasjonale kjernejournalen eller kan vises fra denne, samt at det gjøres nødvendige regelverksendringer. Med en slik tilnærming kan det fastsettes at Helsenorge blir den nasjonale tilgangstjenesten for den enkeltes rettigheter etter artikkel 3 og artikkel 5 til 10.

Når det gjelder forståelsen av artikkel 5, så vurderer direktoratet at dette ikke nødvendigvis innebærer en rett for den enkelte til å skrive informasjon direkte inn i alle virksomheters pasientjournalsystemer. Direktoratet vurderer at det avgjørende er at helsepersonell har en mulighet til å få tilgang til informasjonen den enkelte registrerer, og at kravene i forordningen kan la seg oppfylle ved at pasienten registrerer inn opplysninger i pasientens felter e.l. i kjernejournalen via tilgangstjenesten. Hvorvidt det er behov for endringer i kjernejournalforskriften, kan vurderes når gjennomføringsrettsaktene etter artikkel 15 skal gjennomføres i norsk rett. Retten til å digitalt be om retting av helseopplysninger vurderer direktoratet er avgrenset til å gjelde de helseopplysningene den enkelte har rett til innsyn i etter artikkel 3.

Når det gjelder artikkel 7 nr. 1 så legger direktoratet til grunn at tilgangstjenesten fungerer som en postkasse for slike forespørsler, men at plikten til å tilgjengeliggjøre og overføre tilligger den dataansvarlige for opplysningene. Direktoratet er i tvil om det er et krav om at overføringen skal skje digitalt. Artikkel 7 nr. 2 om overføring på EU-format oppfatter direktoratet at er avgrenset til de prioriterte kategorier som den enkelte har rett til innsyn i etter artikkel 3. Artikkel 7 nr. 3 forstår direktoratet til å være rett til å be om at elektroniske helseopplysninger overføres, at ansvaret for overføringen er dataansvarlig for opplysningene og at det ikke er krav om at opplysningene overføres digitalt.

Reservasjonsretten etter artikkel 8 innebærer en rett til å reservere seg mot tilgjengeliggjøring av opplysninger til helsepersonell og helsevirksomheter. Direktoratet forstår at dette er avgrenset til de prioriterte kategoriene som helsepersonell kan få tilgang til via tilgangstjenester for helsepersonell, se punkt avsnitt under Om helsepersonells tilgang og tilgangstjenester for helsepersonell.

Helsedirektoratet er i tvil om det er opp til hvert enkelt land å avgjøre om tilgangsbegrensningen skal kunne oppheves for å ivareta pasienters vitale interesser eller om dette er noe som følger av personvernforordningen artikkel 6 og 9. Den enkeltes rett til å få informasjon om tilgjengeliggjøring av helseopplysninger følger av helsedataforordningen artikkel 9, og omfatter opplysninger som er tilgjengeliggjort via tilgangstjenester for helsepersonell. Dersom det besluttes at de prioriterte kategoriene skal tilgjengeliggjøres for helsepersonell fra henholdsvis Reseptformidleren og kjernejournalen, så forstår direktoratet bestemmelsen slik at det da er digital tilgang til informasjon om tilgjengeliggjøring fra disse registrene via tilgangstjenester for helsepersonell som den enkelte har rett til å få informasjon om, inkludert få automatiske varsler.

Artikkel 10 gir landene, i nasjonal rett, en mulighet til å bestemme at enkeltpersoner skal kunne reservere seg mot at personlige elektroniske helseopplysninger gjøres tilgjengelig via tilgangstjenester etter artikkel 4 og 12.

Om helsepersonells tilgang og tilgangstjenester for helsepersonell

Helsedataforordningen stiller krav til at helsepersonell, uavhengig av medlemsstat, skal ha digital tilgang til de prioriterte kategoriene av helseopplysninger. Tilgangen skal skje gjennom én eller flere tilgangstjenester for helsepersonell og skal være begrenset til det som er relevant og nødvendig for å gi helsehjelp. Landene skal fastsette regler for hvilke kategorier av helsepersonell eller for hvilke typer helsehjelpsoppgaver de ulike kategoriene av helseopplysningene skal være tilgjengelig, og at disse reglene må være i samsvar med personvernprinsippene i personvernforordningen artikkel 5. Det følger ikke av forordningen et krav om at disse reglene skal fastsettes i nasjonal lov.

Som for fysiske personers rettigheter er det ikke fastsatt at de prioriterte kategorier skal tilgjengeliggjøres fra alle pasientjournalsystemer som er i bruk på et lands territorium. Helsedirektoratet forstår at det er opp til hvert enkelt land å fastsette hvilke pasientjournalsystemer som skal være kilden for å ivareta helsepersonells tilgang etter artikkel 11 via tilgangstjenester for helsepersonell, og da med tilsvarende begrunnelse som gitt ovenfor knyttet til fysiske personers rettigheter. Helsedirektoratet vurderer derfor at det i Norge kan bestemmes at kilden for å ivareta tilgang etter artikkel 11, kan være Reseptformidleren for i e-resept og elektronisk legemiddelinformasjon og Nasjonal kjernejournal for de øvrige kategoriene forutsatt at disse enten inngår i den nasjonale kjernejournalen eller kan vises fra denne, samt at det gjøres nødvendige regelverksendringer.

Etter artikkel 23 nr. 5 skal medlemsstatene sikre at «alle helsetjenesteytere[1]» er koblet til deres nasjonale kontaktpunkt for digital helse og at disse kan utføre toveis utveksling av elektroniske helseopplysninger mot det nasjonale kontaktpunktet for digital helse. Direktoratet forstår at hvilke helsetjenesteytere som hvert av landene plikter å koble til det nasjonale kontaktpunktet for å motta prioriterte kategorier om borgere fra andre EU/EØS-land er avgrenset til de helsetjenesteyterne som har ansvar for oppgaver der det er relevant og nødvendig at deres ansatte helsepersonell har tilgang til de ulike prioriterte helsekategoriene for å kunne gi forsvarlig helsehjelp. Forordningen stiller ikke krav om at koblingen skal være integrert med helsetjenesteyterens pasientjournalsystemer.

Hvilke helsepersonell innen helsetjenesteyteren som skal kunne ha tilgang må begrenses til de som har tjenstlig behov for å ha tilgang til opplysningene ved ytelse av helsehjelp. Direktoratet forstår videre at definisjonen av helsetjenesteytere i dette tilfelle kan forstår som at landene kan velge om det er fysiske personer, juridiske personer eller enheter som skal kobles på for å oppfylle artikkel 23 nr. 5 og nr. 6. Når det gjelder hvilke apotek som skal kobles til det nasjonale kontaktpunktet og kunne ekspedere resepter og sende elektroniske legemiddelutleveringer, så innebærer direktoratets forståelse at det er tilstrekkelig at et apotek innenfor hver av de juridiske enhetene er koblet til det nasjonale kontaktpunktet.

Oppsummering av når det er krav om bruk av EU-format og om myndighetsoppgaver

Når det er krav om at de prioriterte kategoriene skal være på et EU-format og når dette ikke er et krav, har etter direktoratets vurdering betydning for hvilke tiltak som er nødvendig å gjennomføre for å oppfylle kravene. Helsedirektoratet legger til grunn at det er krav om å benytte EU-formatet i følgende fire sammenhenger:

1. ved nedlasting av en elektronisk kopi av minst de prioriterte kategoriene av personlige elektroniske helsedata (artikkel 3 nr. 2)
2. ved overføring av helsedata, lastet ned i samsvar med innsynsretten etter artikkel 3 nr. 2, til helsepersonell valgt av pasienten (artikkel 7 nr. 4)
3. ved utveksling av prioriterte kategorier av personlige elektroniske helsedata mellom nasjonale kontaktpunkter for digital helse (artikkel 23), herunder for å støtte pasienters rett til grensekryssende dataportabilitet (artikkel 7 nr. 2)
4. i den harmoniserte interoperabilitetskomponenten for elektroniske pasientjournalsystemer (artikkel 36 og vedlegg II)

Ut fra dette legger Helsedirektoratet til grunn at dette blant annet innebærer at det ikke er krav om å benytte EU-format ved tilgjengeliggjøring internt i Norge og at helsepersonellet og virksomhetene ikke plikter å registrere opplysningene direkte på EU-format. Helsedirektoratets forståelse av når leverandører av pasientjournalsystemer er forpliktet til at deres pasientjournalsystemer inneholder den harmoniserte interoperabilitetskomponenten står i punkt 4.2.