Kapittel 4.2 ID-håndtering og fellestjenester

I dette delkapittelet beskriver vi identifiserte behov og tiltak som vi har kalt «ID-håndtering og fellestjenester». Dette er tjenester, eller infrastruktur på tvers av primær- og sekundærbruk av helsedata som skal understøtte innbyggernes rettigheter til sikker tilgang, kontroll og transparens, og legge til rette for trygg, effektiv og lovlig deling og gjenbruk av helsedata. Helsedirektoratet og Folkehelseinstituttet vurderer at en felles nasjonal tilnærming til disse tiltaksområdene er avgjørende for å unngå fragmentering, redusere kompleksitet for aktørene og sikre konsistent etterlevelse av helsedataforordningen. På flere av områdene vil det trolig bli behov for tverretatlig samarbeid og koordinering, for eksempel med Digitaliseringsdirektoratet (Digdir) og Skatteetaten.

Helseidentitetsbevis for norske innbyggere

Helsedataforordningen setter krav til at hvert medlemsland fastsetter unike identifiserende pasientopplysninger for sine innbyggere (heretter kalt helseidentitet) [1]. En nasjonal helseidentitet for innbyggere i EU/EØS-land skal gi unik identifisering av en pasient i forbindelse med grensekryssende utveksling av pasientens helseopplysninger og samhandling om disse. Dette er også relevant for sekundærbruk av helsedata.[2]

Hvert land (inkludert Norge) skal definere og rapportere til EU-kommisjonen innen mars 2028 hvilke informasjonsattributter som er en del av det nasjonale helseidentiteten. Helseidentiteten vil variere mellom medlemslandene, og ha ulike informasjonsattributter for unik beskrivelse av en pasient. Helseidentiteten vil nødvendigvis ikke være lik de personidentifiserende data (PID) i eIDAS 2-regelverket. Dette skyldes at det kun er noen land som benytter en nasjonal personidentifikator på tvers av sektorer slik vi gjør i Norge med fødselsnummer og d-nummer. Innbygger har på forespørsel rett til å få utstedt et helseidentitetsbevis til sin digitale identitetslommebok. Dette beviset kan benyttes i møte med helsetjenesten i andre medlemsland for unik identifisering av pasienten for oppslag i og lagring av helseopplysninger.

Vi antar at Helsedirektoratet vil bli ansvarlig for at et norsk helseidentitetsbevis tilbys innbyggere. Det er behov for å avklare hvilke informasjonsattributter som skal inngå i en norsk helseidentitet og hvordan en tjeneste for å tilby helseidentitetsbevis til innbygger bør organiseres for å ivareta nødvendige prosesser for utstedelse og forvaltning. Det bør da også vurderes hvilke likheter og ulikheter helseidentitetsbeviset har med hensyn til Helsedirektoratets utstedelse og forvaltning av Europeisk Helsetrygdekort.

Det er foreløpig flere uavklarte spørsmål, blant annet:

• Hvilken tilknytning til Norge som kreves for at en person skal ha rett til norsk helseidentitetsbevis
• Om en person kan ha helseidentitetsbevis i flere land
• Eventuell tilbaketrekking av et helseidentitetsbevis

Det er nærliggende å tro at den samme populasjonen som i dag får Europeisk Helsetrygdekort, også skal kunne få et norsk helseidentitetsbevis, men dette må utredes nærmere juridisk. Det forventes at opplysningene som skal inngå i beviset finnes i innbyggers personopplysninger i Folkeregisteret, men det kan være personer som mangler norsk personidentifikator og som dermed ikke finnes der. Dersom dette skulle være tilfelle, bør det vurderes om disse personene kan tildes d-nummer og innlemmes i Folkeregisteret. Dette vil i så fall kreve en endring i folkeregisterforskriften §2-2-3 som regulerer hvem som kan få d-nummer. Alternativ må dette løses på annen måte. Dette vil kreve et tverretatlig og tverrsektorielt arbeid. Helsedirektoratet har ikke vurdert dette nærmere på nåværende tidspunkt.

Helsedirektoratet må fastsette hvilke informasjonsattributter som skal legges til grunn i et norsk helseidentitetsbevis. For å være en autoritativ kilde til et digitalt verifiserbart bevis for digital identitetslommebok, vil Helsedirektoratet trolig måtte etablere et register over bevis for å kunne forvalte disse på en god måte. Det vil trolig også være nødvendig å gjennomføre en saksbehandling for utstedelse, og forvaltning av bevis, for eksempel tilbaketrekking. Helsedirektoratet må også sikre utstedelse av beviset i henhold til eIDAS 2-regelverket til digital identitetslommebok.

Å etablere og forvalte helseidentitetsbevis for norske innbyggere har avhengigheter til innføring av eIDAS 2-regelverket. Det innføringsløpet har Digitaliserings- og forvaltningsdepartementet ansvar for. Digitaliseringsdirektoratet angir at planen for innføring av en norsk identitetslommebok er i løpet av 2030.

Det kan trolig være mulig å etablere en midlertidig løsning, men Helsedirektoratet vurderer dette som lite hensiktsmessig. Da gjenstår to alternativer:

• Vente med å tilby Helseidentitetsbevis til norske innbyggere, og vente med å akseptere Helseidentitetsbevis fra EU/EØS-innbyggere fra sin digitale identitetslommebok
• Framskynde implementering av eIDAS 2-regelverket og norsk identitetslommebok

Helsedirektoratet er i dialog med Digitaliseringsdirektoratet for å undersøke mulighetene for å framskynde implementering av eIDAS 2.

Håndtering av europeiske identitetsdata og samhandling om helseopplysninger for innbyggere fra EU/EØS-land

I Norge er det svært mange pasientjournalsystemer som samhandler i helsetjenesten for å gi helsepersonell og innbygger innsyn i helseopplysninger. I dag samhandler disse med norsk personidentifikator (fødselsnummer/d-nummer). For utlendinger som ikke har norsk personidentifikator er det ingen samhandling. 

Helsedataforordningen[3] stiller krav til at helseopplysninger for en pasient fra et annet EU/EØS-land skal registreres sammen med pasientens identifiserende opplysninger fra hjemlandet. Dette tolkes slik at helseopplysningene skal registreres sammen med pasientens Helseidentitet fra hjemlandet. Pasientjournalsystemene skal støtte dette. Innbygger fra EU/EØS-land har videre rett til digitalt innsyn i egne helseopplysninger etter helsehjelp i Norge.[4]

Helsedirektoratet har vurdert ulike tilnærminger for å håndtere identifisering av innbyggere fra andre EU/EØS-land med hensyn til registrering av, samhandling om, og innsyn i helseopplysninger:

• Alternativ 1: Sentral håndtering av utenlandske helseidentiteter i en fellestjeneste for helsesektoren
• Alternativ 2: Distribuert håndtering av utenlandske helseidentiteter lokalt i pasientsystemer, for helsesektoren
• Alternativ 3: En tverrsektoriell håndtering av utenlandske identiteter, herunder personidentitet (eIDAS) og helseidentitet i helsedataforordningen

Alternativ 1: Sentral håndtering av utenlandske identiteter i en fellestjeneste 

Alternativ 1 innebærer en sentral håndtering av utenlandske identiteter i en fellestjeneste, hvor det det tildeles en 11-sifret hjelpeidentifikator til pasienter fra andre EU/EØS-land. Dette alternativet legger til rette for i størst mulig grad å gjenbruke dagens samhandling med minst mulig endringer i pasientjournalsystemene.

Det finnes flere muligheter for å levere en sentral fellestjeneste. Fellestjenesten kan støtte helsesektoren alene, for eksempel ved bruk av et felles hjelpenummer eller lignende, eller støtte tverrsektoriell bruk, for eksempel ved bruk av tredje identifikator i Folkeregisteret. Dette bør utredes sammen med de aktuelle aktørene og behovseiere. Gitt at kravene i helsedataforordningen trer i kraft i mars 2029, har Helsedirektoratet lagt til grunn at dette i første omgang utvikles for helsetjenesten alene. 

Fellestjenesten kan leveres av Norsk helsenett SF i samarbeid med eksterne ansvarlige parter for norsk identitets-matching og eIDAS 2-node, eller så kan hele tjenesten vurderes levert av disse eksterne aktørene på vegne av helsetjenesten. Dette bør utredes nærmere i samarbeid med de aktuelle aktørene. Gitt at kravene i helsedataforordningen trer i kraft i mars 2029, har Helsedirektoratet lagt til grunn at dette i første omgang utvikles av Norsk Helsenett SF i et samarbeid med Digitaliseringsdirektoratet for bruk av eIDAS-noden.

Det er samtidig uavklarte spørsmål knyttet til hvordan en nasjonal identifikator eller lignende skal fungere i sammenheng med identifisering og autentisering av innbyggere fra EU/EØS ved pålogging til en eventuell separat tilgangstjeneste i Norge. Dette må ses i sammenheng med pågående utvikling knyttet til eIDAS 2 og digital lommebok.

Alternativ 2: Distribuert håndtering av utenlandske identiteter lokalt i pasientjournalsystemer 

Alternativ 2 innebærer en distribuert håndtering av utenlandske identiteter i pasientjournalsystemer. Dette alternativet krever tilpasninger av datamodellene for pasientidentifiserende data i alle lokale og sentrale pasientjournalsystemer, slik at det finnes støtte i alle pasientjournalsystemer for Helseidentitet med de ulike landenes varianter av informasjonsattributter. Dette alternativet innebærer en større systemendring som må foretas i alle pasientjournalsystemer som skal samhandle om helseopplysninger etter helsedataforordningen. Det vil uansett være et krav til systemene at de må støtte Helseidentiteten på lang sikt gjennom interoperabilitetsmodulen, når pasientjournalsystemene er pålagt å støtte denne. Videre må det opprettes et samarbeid med eIDAS-noden for pålogging med eID/digital lommebok for pasienter for identitets-matching for pasienter som ikke har digitalt bevis på Helseidentiteten i sin digitale lommebok. 

Vår vurdering er at alternativ 2 kan være et langsiktig målbilde for samhandlingen innenlands, selv med alternativ 1 som et første steg. Siden kravene til pasientjournalsystemene trolig vil inntreffe på ulike tidspunkt, og at samhandlingen krever at alle systemene er på ny modell, så vil det trolig være behov for en overgangsperiode. I en slik overgangsperiode, må man enten akseptere at helseopplysninger som er tilgjengelig for samhandling kun omfatter de pasientjournalsystemer som har oppdatert datamodell, eller så må man lage kompenserende tiltak som for eksempel alternativ 1 i en periode. 

Alternativ 3: En tverrsektoriell løsning

Helsedirektoratet har mottatt innspill fra Norsk helsenett SF og andre berørte aktører at det bør vurderes tverrsektorielle løsninger for identitetshåndtering av innbyggere fra andre EU/EØS-land. Et eksempel som har blitt nevnt i møter mellom berørte aktører og Helsedirektoratet, er om det bør vurderes å utrede regelverksendringer knyttet til bruk av D-nummer, som et alternativ til bruk av en nasjonal identifikator eller som et supplement for visse typer brukerreiser for innbyggere fra andre EU/EØS-land. Skatteetaten har også gjennomført en utredning om en mulig ny tredje personidentifikator i Norge.

Vår vurdering er at alternativ 3 vil kreve et utstrakt tverrsektorielt samarbeid over tid, med tilstrekkelig forankring i flere departementer og underliggende etater. Et utrednings- og utviklingsarbeid og eventuelt regelverksendringsarbeid på dette området vil trolig kreve tid og berøre et stort antall aktører. Helsedirektoratet har derfor ikke vurdert dette nærmere på nåværende tidspunkt.

Innspill fra leverandører

Helsedirektoratet har sendt ut skriftlige spørsmål til EPJ-leverandører i det norske markedet om alternativ 1 og 2 beskrevet over. Vi har mottatt skriftlige svar fra to leverandører. Under oppsummerer vi kort innspillene fra disse leverandørene:

• Alternativ 1 vil medføre de laveste kostnadene for leverandører, og vil gi standardisert struktur og raskest mulig implementering. Det vil trolig også medføre lavest risiko for feil og best ivareta personvernet. Alternativet innebærer imidlertid en risiko for at nasjonale tjenester utsteder samme ID for to ulike personer som kan føre til en vesentlig pasientsikkerhetsrisiko. Dette må vurderes nærmere i et eventuelt utviklingsarbeid. Alternativ 1 bidrar heller ikke til leverandørers mulighet til å levere i andre EU-land dersom ikke tilsvarende system finnes i disse landene.
• En av leverandørene kommentarer alternativ 2, og trekker frem at dette alternativet kan bli uforutsigbart, både på kort og lang sikt, spesielt med tanke på at Norge ikke er en del av EU. Det kan bli ulike varianter av tilnærming, som igjen kan gi økt risiko med hensyn til personvern. Forventet kostnad er 4–5 ganger høyere enn i alternativ 1, i tillegg til økte vedlikeholdskostnader. Alternativ 2 kan også heve terskelen for innovasjon i Norge, og legge til rette for at store aktører som allerede er i markedet befester sin posisjon.

Helsedirektoratets anbefaling

Helsedirektoratets vurdering er at alternativ 1 har lavest risiko og er mest realistisk å få på plass i tide til mars 2029. Faktorer som er viktige i denne vurderingen er at: 

• En gjennomgående endring av datamodellene for identifiserende opplysninger i pasientjournalsystemene er en stor endring som må gjennomføres i svært mange systemer. Det vil være krevende for leverandører av pasientjournalsystemer i Norge å håndtere kompleksiteten av alle EU/EØS-land sine nasjonale pasientidentifikatorer.
• Helseidentiteten i de ulike medlemslandmedlems skal innrapporteres innen mars 2028 og dermed ikke er endelig fastlagt før dette. Dette gir svært kort tid til å innføre betydelige endringer i datamodeller og innføre disse i systemene i helsetjenesten. 
• Det er behov for samtidighet rundt endringene hos leverandørene og i helsetjenesten i alle pasientjournalsystemer for at samhandling skal fungere tilfredsstillende. 

Alternativ 1 kan være et første steg, som åpner for alternativ 2 over tid dersom det vurderes som mer hensiktsmessig på et senere tidspunkt.

Alternativ 1 kan også være første steg mot alternativ 3 dersom en slik mulig utvidelse hensyntas i utviklingen, i samarbeid mellom relevante aktører i og utenfor helsesektoren. Dersom dette gjennomføres uten involvering av relevante aktører utenfor helsesektoren, er det mer usikkert om alternativ 1 vil kunne være et første steg på veien, eller om det å realisere alternativ 3 på lenger sikt innebærer at alternativ 1 ender opp med å bli en midlertidig løsning kun for helsesektoren i mellomtiden.

Både Helsedirektoratet og Norsk helsenett SF støtter tilnærmingen med en tverrsektoriell løsning på lang sikt, men vurderer at det er svært lite sannsynlig at en slik løsning vil være på plass i tide til å oppfylle krav som inntreffer i mars 2029. Det er også svært usikkert på hvilket tidspunkt det vil være mulig å få innført en tverrsektoriell løsning, noe som betyr at det er risiko for at Norge blir stående i en situasjon etter mars 2029 der Norge ikke oppfyller krav i helsedataforordningen på ubestemt tid på dette området. Dette vil i så fall få konsekvenser for norsk helsepersonells mulighet til å kunne dokumentere helsehjelp for innbyggere fra EU/EØS-land på en måte som hensyntar europeiske helseidentiteter og unikt identifiserer personen, mulighetene til å samhandle om disse opplysningene på tvers av norske systemer, og mulighetene til å utlevere opplysninger til en unikt identifisert innbygger fra EU/EØS-land i henhold til innbyggers rettigheter.

I tabellen under har vi oppsummert en foreløpig tiltaksliste knyttet til håndtering av europeiske identitetsdata og samhandling om helseopplysninger for innbyggere fra EU/EØS-land.

Andre identifiserte behov og tiltak

Helsedirektoratet vurderer at det i tillegg vil bli behov for tiltak på enkelte andre områder, som vi kort peker på i tabellen under. Dette er store, komplekse områder hvor det ikke er grunnlag for å identifisere og beskrive konkrete tiltak eller løsninger på nåværende tidspunkt.