Helseopplysninger er i helseforskningloven § 4 bokstav d definert som “personopplysninger om en fysisk persons fysiske eller psykiske helse, medregnet om ytelse av helsetjenester, som gir informasjon om vedkommendes helsetilstand”, jf. personvernforordningen artikkel 4 nr. 15.
Helseopplysninger kan være direkte personidentifiserbare helseopplysninger eller indirekte personidentifiserbare helseopplysninger. Helseopplysninger som er direkte personidentifiserbare kan knyttes til enkeltpersoner ved hjelp av navn eller fødselsnummer. Når datasettet inneholder indirekte personidentifiserbare helseopplysninger, vil direkte identifiserbare kjennetegn som fødselsnummer være fjernet. Allikevel kan opplysningene knyttes til en enkeltperson. Det kan være på grunn av at variablene samlet sett identifiserer en person, som bostedskommune, alder og diagnose sett i sammenheng. Indirekte personidentifiserbare helseopplysninger kan også være knyttet til en enkeltperson i et datasett via en koblingsnøkkel/studieID/løpenummer. Når fødselsnummeret byttes ut med et løpenummer i datasettet, vil det være mulig å gjenfinne personen ved å se på en oversikt over hvem løpenummeret tilhører.
Anonyme opplysninger er ikke helseopplysninger. Anonyme opplysninger er opplysninger der navn, fødselsnummer og andre personentydige kjennetegn er fjernet slik at opplysningene ikke lenger kan knyttes til en enkeltperson. Opplysninger som er gjort anonyme på denne måten regnes ikke lenger som helseopplysninger i rettslig forstand, og omfattes derfor ikke av helseforskningsloven eller personvernreglene.
Å anonymisere et datasett med helseopplysninger kan være mer omfattende enn å slette en koblingsnøkkel mellom fødselsnummer og løpenummer. Forskningsansvarlig, som er ansvarlig for datasettet i et forskningsprosjekt, må vurdere om variablene, sett i sammenheng, kan identifisere personer. For mer informasjon om anonymisering og anonymiseringsteknikker, se Datatilsynets veileder “Anonymisering av Personopplysninger".
Helseopplysninger kan imidlertid ikke anonymiseres og tilgjengeliggjøres til forskning uten at det foreligger hjemmel for dette. Les mer om behandling av helseopplysninger og andre personopplysninger i Normens veileder Personvern og informasjonssikkerhet i forsknings- og kvalitetsprosjekter kapittel 4.