Slik søker du om tilgang til data fra helseregistre og helseundersøkelser
Artikkel
|Oppdatert
Alle som ønsker å søke om utlevering av data fra helseregistre og helseundersøkelser som Folkehelseinstituttet har ansvar for må søke via søknadsskjema på helsedata.no.
Alle søknader om utlevering av data skal sendes via søknadskjema på helsedata.no. Ved spørsmål om søknadsskjema eller behov for veiledning ved søknad, ta kontakt med Helsedataservice.
Overføring av vedtaksmyndigheten til Helsedataservice for FHIs helseregistre
Fra 15. mars 2023 overtar Helsedataservice (HDS) ved Direktoratet for e-helse myndigheten til å ta avgjørelser om tilgjengeliggjøring av helsedata fra følgende helseregistre ved FHI: Medisinsk fødselsregister (MFR), Dødsårsaksregisteret (DÅR), SYSVAK, MSIS, Legemiddelregisteret (LMR) og Hjerte- og karregisteret (HKR). Alle spørsmål knyttet til saksbehandling av søknader for disse registrene sendt inn etter 14.3.2023 skal rettes til Helsedataservice. Helsedataservice overtar også myndigheten til å fatte vedtak om dispensasjon fra taushetsplikten ved tilgang til helseopplysninger fra registrene nevnt over. Se mer informasjon på www.helsedata.no. Folkehelseinstituttet vil fremdeles ha ansvaret for tilrettelegging og tilgjengeliggjøring av opplysningene fra helseregistrene i tråd med vedtak fra Helsedataservice.
Folkehelseinstituttet kan i visse unntakstilfeller fremdeles fatte vedtak om tilgang til opplysninger fra de nevnte helseregistrene, jf. forskrift om nasjonal løsning for tilgjengeliggjøring av helsedata § 10 tredje ledd bokstavene a og b. Søknader som skal behandles av Folkehelseinstituttet skal også sendes inn via søknadsskjemaet på helsedata.no, og videredistribueres fra HDS til FHI for behandling.
Vilkår ved anonyme opplysninger
Anonyme opplysninger faller utenfor personvernregelverkets virkeområde. Det er derfor ikke krav om behandlingsgrunnlag eller dispensasjon fra taushetsplikten for å få tilgang til anonyme opplysninger fra et helseregister/en helseundersøkelse, som for eksempel statistikk eller datafiler hvor innholdet ikke kan knyttes til enkeltpersoner.
Å sikre at et datasett er anonymt, vil i praksis være svært vanskelig. Et reelt anonymt datasett vil måtte ha få og grovt kategoriserte variabler og har derfor som regel begrenset verdi for forskning og helseanalyser. Det er heller ikke mulig å fastslå på forhånd om et datasett kan tilrettelegges på en måte som gjør det reelt anonymt. Se også Datatilsynets nettsider om anonymisering av personopplysninger. Data fra helseregistrene eller helseundersøkelsene betraktes derfor i de fleste tilfeller som indirekte identifiserbare opplysninger, så fremt de ikke foreligger i en aggregert tabell.
Vilkår ved personidentifiserbare helseopplysninger
Rettslig grunnlag
Tilgjengeliggjøring av direkte eller indirekte identifiserbare helseopplysninger krever et rettslig grunnlag i tråd med personvernforordningen (GDPR) artikkel 6 nummer 1, samt oppfyllelse av et av vilkårene i artikkel 9 nummer 2. Dette gjelder både for tilgjengeliggjøring av enkeltstående datafiler og tilgjengeliggjøring for sammenstilling. Ved rettslig grunnlag i artikkel 6 nr. 1 c eller e, eller artikkel 9 nr. 2 g, h, i eller j kreves i tillegg et nasjonalt supplerende rettsgrunnlag.
Eksempler på rettslig grunnlag
For forskningsprosjekter kan det rettslige grunnlaget være samtykke, jf. personvernforordningen (GDPR) artikkel 6 nr. 1 bokstav a, med unntak i artikkel 9 nummer 2 bokstav a. Dette forutsetter at samtykket er innhentet i tråd med kravene i personvernforordningen (GDPR) artikkel 4 nr. 11 og artikkel 7.
For forskning kan det rettslige grunnlaget også f.eks. være artikkel 6 nr. 1 bokstav e. Da er det nødvendig å ha et supplerende rettslig grunnlag, jf. artikkel 6 nr. 3. Hvis forskningsprosjektet omfatter helseopplysninger eller andre særlige kategorier personopplysninger vil unntak i artikkel 9 nr. 2 bokstav j kunne være aktuelt. Et slikt nasjonalt supplerende rettsgrunnlag, jf. artikkel 6 nr. 3 eller artikkel 9 nr. 2 j, kan være hjemmel i lov eller vedtak om unntak fra taushetsplikten m.m. (se under).
Unntak fra taushetsplikt
Opplysninger fra FHIs helseregistre og helseundersøkelser er taushetsbelagte, så det må foreligge et unntak fra taushetsplikten. Unntak fra taushetsplikten kan foreligge via samtykke fra de registrerte eller via et annet unntak f.eks. et vedtak om unntak fra taushetsplikten:
- For helseregistre Helsedataservice har vedtaksmyndighet for:
- Direktoratet for e-helse ved Helsedataservice (for forskning og andre formål).
- Registerforvalter, jf. helseregisterloven § 19b, for prosjekter der det kun skal inngå opplysninger fra helseregistre hjemlet i helseregisterloven § 11.
- For helseregistre og helseundersøkelser Helsedataservice ikke har vedtaksmyndighet for:
- Regionale komiteer for medisinsk og helsefaglig forskningsetikk (REK), for forskning på helseopplysninger.
- Helsedirektoratet, for helseopplysninger til andre formål enn forskning.
- Registerforvalter, jf. helseregisterloven § 19b, for prosjekter der det kun skal inngå opplysninger fra helseregistre hjemlet i helseregisterloven § 11.
Etisk forhåndsgodkjenning fra REK
Tilgjengeliggjøring av helseopplysninger til medisinsk og helsefaglig forskning forutsetter at forskningsprosjektet er organisert i samsvar med helseforskningsloven. Alle medisinske og helsefaglige forskningsprosjekter må i utgangspunktet være forhåndsgodkjent av Regional komité for medisinsk- og helsefaglig forskningsetikk (REK), jf. helseforskningsloven § 9.
Andre vilkår
Dataansvarlig for prosjektet må dokumentere at vilkårene for tilgjengeliggjøring i den enkelte forskrift, samt i helseregisterloven er oppfylt. Dette gjelder spesielt vilkår tilknyttet prinsippene om formålsbegrensing, dataminimering, lagringsbegrensning, riktighet, integritet og konfidensialitet og eventuelt etiske hensyn. Helseopplysningene kan kun benyttes til formål i tråd med formålene med det aktuelle helseregisteret/den aktuelle helseundersøkelsen.
Andre vurderinger som søker må foreta
Søker er selv ansvarlig for å ivareta alle krav etter personvernforordningen (GDPR), herunder om det er nødvendig å gjennomføre personvernkonsekvensvurdering (DPIA), jf. GDPR artikkel 35, eventuelt forhåndsdrøftelse med Datatilsynet, jf. GDPR artikkel 36.
FHI anbefaler at alle som søker om personidentifiserbare helseopplysninger tar kontakt med eget personvernombud før det søkes om data. Vi viser også til Datatilsynets nettsider for veiledning.
Frister
Forskriftene oppstiller ulike tidsfrister for tilgjengeliggjøring av helseopplysninger. I de fleste tilfeller gjelder følgende frister:
- Statistikk basert på data fra ett helseregister/én helseundersøkelse skal tilgjengeliggjøres innen 30 dager
- Statistikk basert på data fra flere helseregistre/helseundersøkelser skal tilgjengeliggjøres innen 60 dager
- Datafiler fra ett helseregister/én helseundersøkelse skal tilgjengeliggjøres innen 30 dager
- Datafiler som inneholder sammenstilte helseopplysninger fra flere helseregistre/helseundersøkelser skal tilgjengeliggjøres innen 60 dager
Fristen regnes fra det tidspunkt alle dokumenter er mottatt og godkjent, og saksbehandler ved registeret har mottatt alt som er nødvendig for å gjennomføre tilgjengeliggjøringen, for eksempel koblingsnøkler.
Dersom særlige forhold gjør at helseopplysningene ikke kan tilgjengeliggjøres innen den fristen som er oppstilt i forskriften, kan fristen for tilgjengeliggjøring utsettes inntil tilgjengeliggjøring er mulig. FHI skal informere søkeren ved forsinkelse.
Oversikt over hvem som får utlevert opplysninger
FHI fører oversikt over hvem som får tilgang til personopplysninger fra helseregistrene og helseundersøkelsene, hva opplysningene skal brukes til og hjemmelsgrunnlaget for tilgjengeliggjøringen. Oversikten inneholder prosjekttittel, prosjektleders og forskningsinstitusjonens navn, og gjøres offentlig tilgjengelig på fhi.no.
Betaling for å få utlevert helseopplysninger
FHI kan bestemme at søkeren helt eller delvis skal betale faktiske kostnader i forbindelse med uttrekk, sammenstilling og tilrettelegging av helseopplysninger som gjøres tilgjengelig.
