lov
om endringer i helselovgivningen
(tilgjengeliggjøring av helsedata og krav til tekniske og organisatoriske
sikkerhetstiltak)
I
I lov 2. juli 1999 nr. 64 om helsepersonell
m.v. skal § 29 fjerde ledd nytt tredje punktum lyde:
Dersom tilgjengeliggjøring av opplysninger
kan true samfunnets evne til å verne grunnleggende verdier og funksjoner
og sette liv og helse i fare, skal opplysningene ikke gjøres tilgjengelig.
II
I lov 20. juni 2014 nr. 42 om behandling av
helseopplysninger ved ytelse av helsehjelp gjøres følgende endringer:
§ 22 skal lyde:
§ 22 Tekniske og organisatoriske sikkerhetstiltak
Den dataansvarlige og databehandleren skal
gjennomføre nødvendige tekniske og organisatoriske
tiltak for å ivareta sikkerheten ved behandling av personopplysninger.
Tiltakene skal være egnet med hensyn til risikoen ved behandlingen
av personopplysningene, jf. personvernforordningen artikkel 32. Den
dataansvarlige og databehandleren skal også gjennomføre risikovurderinger av
nettverks- og informasjonssystemene som benyttes for å levere tjenester
i henhold til denne loven.
Sikkerhetstiltakene skal være proporsjonale
og tilpasset risikoen. Ved vurderingen av hva som er et forsvarlig
sikkerhetsnivå, skal det tas hensyn til den enkeltes personvern,
kritiske samfunnsfunksjoner, helse- og omsorgstjenestens evne til
å ivareta sine oppgaver og den teknologiske utviklingen.
Den dataansvarlige og databehandleren
skal iverksette tiltak for å forebygge, avdekke og redusere konsekvensene
av skadelige hendelser. Dette omfatter tiltak som blant annet tilgangsstyring,
logging og etterfølgende kontroll. Den dataansvarlige og databehandleren
kan kreve uttømmende og utvidet politiattest, jf. politiregisterloven
§ 41 nr. 2, fra personer som skal ha privilegerte tilganger til
nettverks- og informasjonssystemer.
Departementet kan i forskrift fastsette nærmere krav
til tekniske og organisatoriske sikkerhetstiltak.
III
I lov 20. juni 2014 nr. 43 om helseregistre
og behandling av helseopplysninger gjøres følgende endringer:
§ 19 nytt femte ledd skal lyde:
Plikten til å utarbeide statistikk etter andre
og tredje ledd gjelder ikke dersom tilgjengeliggjøring av opplysningene
kan true samfunnets evne til å verne grunnleggende verdier og funksjoner
og sette liv og helse i fare.
§ 19 a nytt åttende ledd skal lyde:
Dersom tilgjengeliggjøring av helseopplysninger kan
true samfunnets evne til å verne grunnleggende verdier og funksjoner
og sette liv og helse i fare, skal opplysningene ikke gjøres tilgjengelig.
§ 19 b nytt andre ledd skal lyde:
Dersom tilgjengeliggjøring av helseopplysninger kan
true samfunnets evne til å verne grunnleggende verdier og funksjoner
og sette liv og helse i fare, skal opplysningene ikke gjøres tilgjengelig.
§ 19 e fjerde ledd første punktum skal lyde:
Det kan bare gis dispensasjon dersom tilgjengeliggjøringen
er ubetenkelig ut fra etiske, medisinske og helsefaglige hensyn og
ikke vil true samfunnets evne til å verne grunnleggende verdier
og funksjoner og ikke sette liv og helse i fare.
§ 21 skal lyde:
§ 21 Tekniske og organisatoriske sikkerhetstiltak
Den dataansvarlige og databehandleren skal
gjennomføre nødvendige tekniske og organisatoriske
tiltak for å ivareta sikkerheten ved behandlingen av personopplysninger.
Tiltakene skal være egnet med hensyn til risikoen ved behandlingen
av personopplysningene, jf. personvernforordningen artikkel 32.
I registre som er etablert med hjemmel i §§ 10 eller 11, skal navn,
fødselsnummer og andre personidentifiserende kjennetegn lagres kryptert. Den
dataansvarlige og databehandleren skal også gjennomføre risikovurderinger
av nettverks- og informasjonssystemene som benyttes for å levere
tjenester i henhold til denne loven.
Sikkerhetstiltakene skal være proporsjonale
og tilpasset risikoen. Ved vurderingen av hva som er et forsvarlig
sikkerhetsnivå, skal det tas hensyn til den enkeltes personvern,
kritiske samfunnsfunksjoner, helse- og omsorgstjenestens evne til
å ivareta sine oppgaver og den teknologiske utviklingen.
Den dataansvarlige og databehandleren
skal iverksette tiltak for å forebygge, avdekke og redusere konsekvensene
av skadelige hendelser. Dette omfatter tiltak som blant annet tilgangsstyring,
logging og etterfølgende kontroll. Den dataansvarlige og databehandleren
kan kreve uttømmende og utvidet politiattest, jf. politiregisterloven
§ 41 nr. 2, fra personer som skal ha privilegerte tilganger til
nettverks- og informasjonssystemer.
Departementet kan i forskrift fastsette nærmere krav
til tekniske og organisatoriske sikkerhetstiltak.
IV
Loven gjelder fra den tiden Kongen bestemmer.
Kongen kan sette i kraft de enkelte bestemmelsene til forskjellig tid.
Votering:
Tilrådinga frå komiteen vart samrøystes vedteken.
Presidenten: Det vert votert over overskrifta
til lova og lova i det heile.
Votering:
Overskrifta til lova og lova i det heile vart
samrøystes vedtekne.
Presidenten: Lovvedtaket vil verta
sett opp til andre gongs behandling i eit seinare møte i Stortinget.