De registrerte datoene er ikke verifisert ikrafttredelse. En dato kan være kunngjøringsdato brukt som reserve når virkningstidspunktet ikke er avklart. Kontroller tidspunkt og eventuelle vilkår i kilden.
📡 Siste registrerte kunngjøringer for dokumentet: Atom-feed · 🔍 Se gjeldende tekst: Pasientjournalloven · 📜 Eldre, uverifisert rekonstruksjon: git-logg
Lov 20. juni 2014 nr. 42 om behandling av helseopplysninger ved ytelse av helsehjelp (pasientjournalloven) trer i kraft 1. januar 2015.
Lov 20. juni 2014 nr. 42 om behandling av helseopplysninger ved ytelse av helsehjelp (pasientjournalloven) trer i kraft 1. januar 2015.
Lov 20. juni 2014 nr. 43 om helseregistre og behandling av helseopplysninger (helseregisterloven) trer i kraft 1. januar 2015.
I lov 20. juni 2014 nr. 42 om behandling av helseopplysninger ved ytelse av helsehjelp skal § 30 første og andre ledd lyde:
Overtredelse av § 15 om taushetsplikt straffes etter straffeloven § 209, likevel slik at medvirkning straffes.
Med bøter eller fengsel inntil ett år eller begge deler straffes den som forsettlig eller grovt uaktsomtbehandler helseopplysninger i strid med § 22unnlater å informere den registrerte etter § 18, jf. personopplysningsloven §§ 19 eller 20unnlater å gi opplysninger til tilsynsmyndighetene etter § 26unnlater å etterkomme pålegg eller overtrer vilkår fra tilsynsmyndighetene etter § 27overtrer forbudet mot urettmessig tilegnelse av helseopplysninger i § 16.
Delt ikraftsetting av lov 9. desember 2016 nr. 88 om folkeregistrering.
Delt ikraftsetting av lov 9. desember 2016 nr. 88 om folkeregistrering.
Loven trer i kraft 1. oktober 2017, med unntak av § 10-1 tredje ledd.
Någjeldende § 3 annet ledd blir nytt tredje ledd.
§§ 27 og 28 oppheves.
*Loven trer i kraft samtidig med at EØS-komiteens beslutning om innlemmelse i EØS-avtalen av Europaparlaments- og rådsforordning (EU) 2016/679 av 27. april 2016 om vern av fysiske personer i forbindelse med behandling av personopplysninger og om fri utveksling av slike opplysninger samt om oppheving *
Loven trer i kraft samtidig med at EØS-komiteens beslutning om innlemmelse i EØS-avtalen av Europaparlaments- og rådsforordning (EU) 2016/679 av 27. april 2016 om vern av fysiske personer i forbindelse med behandling av personopplysninger og om fri utveksling av slike opplysninger samt om oppheving av direktiv 95/46/EF (generell personvernforordning) trer i kraft.
Det administrative ansvaret for Datatilsynet og Personvernnemnda hører under Kommunal- og moderniseringsdepartementet med virkning fra lovens ikrafttreden.
EØS-komiteens beslutning om innlemmelse i EØS-avtalen av Europaparlaments- og rådsforordning (EU) 2016/679 av 27. april 2016 om vern av fysiske personer i forbindelse med behandling av personopplysninger og om fri utveksling av slike opplysninger samt om oppheving av direktiv 95/46/EF (generell pers
EØS-komiteens beslutning om innlemmelse i EØS-avtalen av Europaparlaments- og rådsforordning (EU) 2016/679 av 27. april 2016 om vern av fysiske personer i forbindelse med behandling av personopplysninger og om fri utveksling av slike opplysninger samt om oppheving av direktiv 95/46/EF (generell personvernforordning) trer i kraft 20. juli 2018. Lov 15. juni 2018 nr. 38 om behandling av personopplysninger (personopplysningsloven) trer derfor i kraft 20. juli 2018, jf. loven § 32 og kongelig resolusjon 15. juni 2018 nr. 875.
Delt ikraftsetting av lov om endringar i spesialisthelsetenestelova m.m. (avvikling av meldeordninga m.m.). Del III, IV og V trer i kraft straks. Del I og II trer i kraft 15. mai 2019, med unntak av endringen i lov 2. juli 1999 nr. 64 om helsepersonell m.v. § 36 andre ledd.
Delt ikraftsetting av lov om endringar i spesialisthelsetenestelova m.m. (avvikling av meldeordninga m.m.). Del III, IV og V trer i kraft straks. Del I og II trer i kraft 15. mai 2019, med unntak av endringen i lov 2. juli 1999 nr. 64 om helsepersonell m.v. § 36 andre ledd.
Loven trer i kraft 1. juli 2021.
Loven trer i kraft 1. juli 2021.
Loven trer i kraft straks.
Loven trer i kraft straks.
Loven trer i kraft 1. juli 2022.
Loven trer i kraft 1. juli 2022.
I lov 20. juni 2014 nr. 42 om behandling av helseopplysninger ved ytelse av helsehjelp skal § 13 femte ledd lyde:
Kongen i statsråd kan i forskrift gi nærmere bestemmelser om innholdet i kjernejournalen, drift av kjernejournalen og behandling av helseopplysningene. Dette omfatter blant annet hvilke opplysninger som skal behandles, hvem som er dataansvarlig, regler om sletting, tilgang og tilgangskontroll, samt pasientens rettigheter.
Lovendringene trer i kraft 1. juli 2023.
Lovendringene trer i kraft 1. juli 2023.
I lov 20. juni 2014 nr. 42 om behandling av helseopplysninger ved ytelse av helsehjelp skal § 17 andre ledd lyde:
Reglene om beslutningskompetanse i pasient- og brukerrettighetsloven §§ 4-3 til 4-7 gjelder tilsvarende for retten til å motsette seg behandling av opplysningene.
I lov 20. juni 2014 nr. 42 om behandling av helseopplysninger ved ytelse av helsehjelp skal § 17 andre ledd lyde:
Reglene om beslutningskompetanse i pasient- og brukerrettighetsloven §§ 4-3 til 4-7 gjelder tilsvarende for retten til å motsette seg behandling av opplysningene.
Følgende trer i kraft 1. september 2025:
Følgende trer i kraft 1. september 2025:
Endringsloven del VII (helse- og omsorgstjenesteloven) § 9-2.
Følgende trer i kraft 1. juni 2026:
Endringsloven del I (spesialisthelsetjenesteloven) § 3-11.
Endringsloven del II (psykisk helsevernloven) § 1-1, § 1-2, § 2-1, § 3-2, § 3-3, § 3-3a, § 3-4, § 3-5, § 4-2a, § 4-4, § 4-4b, § 4-8a og § 6-4.
Endringsloven del III (pasient- og brukerrettighetsloven) § 3-1, § 3-3, § 4-3, § 4-5, § 4-6, § 4-6a, § 4A-2, § 4A-3, § 7-2 og § 7-4.
Endringsloven del IV (helsepersonelloven) § 22, § 25 og § 45.
Endringsloven del V (behandlingsbiobankloven) § 11.
Endringsloven del VI (alternativ behandlingsloven) § 7.
Endringsloven del VII (helse- og omsorgstjenesteloven) § 4-2a.
Endringsloven del VIII (pasientjournalloven) § 17.
Endringsloven del IX (helseregisterloven) § 15.
Endringsloven del X (transplantasjonslova) § 5 og § 7.
Nåværende tredje ledd blir nytt fjerde ledd.
Ikraftsetting av lov 22. desember 2025 nr. 126 om endringer i helselovgivningen (tilgjengeliggjøring av helsedata og krav til tekniske og organisatoriske sikkerhetstiltak). Loven trer i kraft 15. april 2026.
Ikraftsetting av lov 22. desember 2025 nr. 126 om endringer i helselovgivningen (tilgjengeliggjøring av helsedata og krav til tekniske og organisatoriske sikkerhetstiltak). Loven trer i kraft 15. april 2026.
Ikraftsetting av lov 23. januar 2026 nr. 1 om endringer i helsepersonelloven og pasientjournalloven mv. (taushetsplikt og tilgjengeliggjøring av pasientopplysninger). Loven trer i kraft 1. juli 2026.
Ikraftsetting av lov 23. januar 2026 nr. 1 om endringer i helsepersonelloven og pasientjournalloven mv. (taushetsplikt og tilgjengeliggjøring av pasientopplysninger). Loven trer i kraft 1. juli 2026.
§ 10 annet ledd skal lyde:
Forskriften skal gi nærmere bestemmelser om drift, behandling og sikring av helseopplysningene, om dataansvar, om tilgangskontroll og om hvordan rettighetene til pasienten eller brukeren skal ivaretas.
§ 10 skal lyde:
§ 10.Etablering av nasjonale behandlingsrettede helseregistre og nasjonal datainfrastruktur
Kongen i statsråd kan gi forskrift om etablering av nasjonale behandlingsrettede helseregistre som på bestemte områder kommer i stedet for registre etter §§ 8 og 9.
Kongen i statsråd kan gi forskrift om nasjonal datainfrastruktur for digital samhandling. Datainfrastrukturen kan omfatte helseopplysninger og andre personopplysninger som benyttes i samhandling mellom helsepersonell for å yte, administrere eller kvalitetssikre helsehjelp. Datainfrastrukturen kan tilgjengeliggjøre helseopplysninger og andre personopplysninger som er nødvendig for å yte, administrere eller kvalitetssikre helsehjelp.
Forskriftene etter første og andre ledd skal gi nærmere bestemmelser om drift, behandling og sikring av helseopplysningene, om dataansvar, om tilgangskontroll og om hvordan rettighetene til pasienten eller brukeren skal ivaretas.
§ 11 tredje ledd skal lyde:
Forskriften skal gi nærmere bestemmelser om behandlingen av opplysningene, om hvilke opplysninger som kan behandles, om den enkeltes rett til å motsette seg behandling av opplysningene og om dataansvar.
§ 11 skal lyde:
§ 11.Systemer for saksbehandling, administrasjon mv. av helsehjelp
Ved saksbehandling, administrasjon, oppgjør og gjennomføring av helsehjelp, kan det treffes avgjørelser som utelukkende er basert på automatisert behandling av helseopplysninger eller andre personopplysninger, når avgjørelsen er lite inngripende overfor den enkelte.
Direkte identifiserbare helseopplysninger kan behandles i lukkede testmiljøer for å utvikle og teste behandlingsrettede helseregistre dersom det er umulig eller uforholdsmessig vanskelig å oppnå formålet ved å bruke pseudonyme, anonyme eller fiktive opplysninger.
Kongen i statsråd kan gi forskrift om behandling av helseopplysninger og andre personopplysninger, også ved bruk av automatiserte avgjørelser, for saksbehandling, administrasjon, oppgjør og gjennomføring av helsehjelp til enkeltpersoner. Forskriften kan gi nærmere bestemmelser om behandlingen av opplysningene, hvilke opplysninger som kan behandles, hvem det kan behandles opplysninger om, den enkeltes rett til å motsette seg behandling av opplysningene og om dataansvar. Forskriften kan gi adgang til å fatte automatiserte avgjørelser selv om avgjørelsen ikke er lite inngripende overfor den enkelte.
Taushetsplikt er ikke til hinder for behandlingen av opplysningene. Helseopplysningene kan behandles uten hensyn til samtykke fra pasienten. Graden av personidentifikasjon skal ikke være større enn nødvendig for det aktuelle formålet. Opplysninger om diagnose eller sykdom kan bare behandles når det er nødvendig for å nå formålet med behandlingen av opplysningen.
§ 12 tredje ledd skal lyde:
Forskriften skal gi nærmere bestemmelser om formålet med behandlingen av opplysningene, hvilke opplysninger som skal behandles, og hvem som er dataansvarlig for opplysningene.
§ 13 femte ledd skal lyde:
Kongen i statsråd kan i forskrift gi nærmere bestemmelser om drift og behandling av helseopplysninger, for eksempel hvilke opplysninger som skal behandles, hvem som er dataansvarlig, regler om sletting, tilgang og tilgangskontroll, samt pasientens rettigheter.
§ 13 fjerde ledd andre punktum skal lyde:
Med samtykke menes enhver frivillig, spesifikk, informert og utvetydig viljesytring fra pasienten der vedkommende ved en erklæring eller en tydelig bekreftelse gir sitt samtykke til at det gis slik tilgang, jf. personvernforordningen artikkel 4 nr. 11.
§ 13 fjerde ledd fjerde punktum skal lyde:
Ved unntak fra samtykke gjelder helsepersonelloven § 25 første ledd og § 29 tilsvarende.
§ 17 første ledd ny bokstav d skal lyde:
helseopplysninger registreres eller behandles på andre måter i register etablert med hjemmel i § 9 a.
§ 17 første ledd bokstav a skal lyde:
helseopplysninger i et behandlingsrettet helseregister etablert med hjemmel i §§ 8 til 10 gjøres tilgjengelige for helsepersonell etter § 19, jf. helsepersonelloven § 29 og pasient- og brukerrettighetsloven § 5-3,
§ 18 annet ledd første punktum skal lyde:
Når det er nødvendig for å gi innsyn, kan den databehandlingsansvarlige innhente personopplysninger fra Folkeregisteret.
§ 18 første ledd skal lyde:
Pasienten eller brukeren har rett til informasjon og innsyn i henhold til pasient- og brukerrettighetsloven § 3-6 tredje ledd og § 5-1 og til personvernforordningen artikkel 13 og 15.
§ 18 andre ledd skal lyde:
Når det er nødvendig for å gi innsyn, kan den dataansvarlige innhente personopplysninger fra Folkeregisteret. Dette gjelder uten hensyn til om opplysningene er underlagt taushetsplikt etter folkeregisterloven.
§ 18 første ledd skal lyde:
Pasienten eller brukeren har rett til informasjon og innsyn i henhold til § 22 a, pasient- og brukerrettighetsloven § 3-6 tredje ledd og § 5-1 og til personvernforordningen artikkel 13 og 15.
§ 19 første og annet ledd skal lyde:
Innenfor rammen av taushetsplikten skal den dataansvarlige sørge for at relevante og nødvendige helseopplysninger er tilgjengelige for helsepersonell og annet samarbeidende personell når dette er nødvendig for å yte, administrere eller kvalitetssikre helsehjelp til den enkelte.
Den dataansvarlige bestemmer på hvilken måte opplysningene skal gjøres tilgjengelige. Opplysningene skal gjøres tilgjengelige på en måte som ivaretar informasjonssikkerheten.
§ 19 første og andre ledd skal lyde:
Innenfor rammen av taushetsplikten etter helsepersonelloven skal den dataansvarlige sørge for at relevante og nødvendige helseopplysninger er tilgjengelige for helsepersonell og annet samarbeidende personell når dette er nødvendig for å yte, administrere eller kvalitetssikre helsehjelp. Personellet kan innenfor rammene av denne taushetsplikten behandle opplysningene så langt det er nødvendig for å yte, administrere eller kvalitetssikre helsehjelp.
Med mindre annet er fastsatt i lov eller i medhold av lov, skal den dataansvarlige bestemme på hvilken måte opplysningene skal gjøres tilgjengelige. Opplysningene skal gjøres tilgjengelige på en måte som ivaretar informasjonssikkerheten.
§ 2 skal lyde:
§ 2.Definisjoner
I denne loven forstås med:helsehjelp:enhver handling som har forebyggende, diagnostisk, behandlende, helsebevarende, rehabiliterende eller pleie- og omsorgsformål, og som utføres av helsepersonell, jf. helsepersonelloven § 3 første leddhelseopplysninger:personopplysninger om en fysisk persons fysiske eller psykiske helse, herunder om ytelse av helsetjenester, som gir informasjon om vedkommendes helsetilstand, jf. personvernforordningen artikkel 4 nr. 15behandling av helseopplysninger:enhver operasjon eller rekke av operasjoner som gjøres med helseopplysninger, enten automatisert eller ikke, for eksempel innsamling, registrering, organisering, strukturering, lagring, tilpasning eller endring, gjenfinning, konsultering, bruk, utlevering ved overføring, spredning eller alle andre former for tilgjengeliggjøring, sammenstilling eller samkjøring, begrensning, sletting eller tilintetgjøring, jf. personvernforordningen artikkel 4 nr. 2behandlingsrettet helseregister:pasientjournal- og informasjonssystem eller annet register, fortegnelse eller lignende, der helseopplysninger er lagret systematisk, slik at opplysninger om den enkelte kan finnes igjen, og som skal gi grunnlag for helsehjelp eller administrasjon av helsehjelp til enkeltpersonerdataansvarlig:ansvarlig for behandling av helseopplysninger etter personvernforordningen artikkel 4 nr. 7.
§ 20 skal lyde:
§ 20.Helseopplysninger til andre formål enn helsehjelp
Den dataansvarlige kan gjøre helseopplysninger tilgjengelige for andre formål enn helsehjelp når den enkelte samtykker eller dette er fastsatt i lov eller i medhold av lov. Med samtykke menes enhver frivillig, spesifikk, informert og utvetydig viljesytring fra den registrerte der vedkommende ved en erklæring eller en tydelig bekreftelse gir sitt samtykke til behandling av helseopplysninger som gjelder vedkommende, jf. personvernforordningen artikkel 4 nr. 11.
§ 21 skal lyde:
§ 21.Personopplysninger fra Folkeregisteret
Den databehandlingsansvarlige kan innhente personopplysninger fra Folkeregisteret når dette er nødvendig for å oppfylle den databehandlingsansvarliges plikter etter loven. Dette gjelder uten hensyn til om opplysningene er underlagt taushetsplikt etter folkeregisterloven.
§ 21 skal lyde:
§ 21.Personopplysninger fra Folkeregisteret
Den dataansvarlige kan innhente personopplysninger fra Folkeregisteret når dette er nødvendig for å oppfylle den dataansvarliges plikter etter loven. Dette gjelder uten hensyn til om opplysningene er underlagt taushetsplikt etter folkeregisterloven.
§ 21 nytt andre og tredje ledd skal lyde:
Når det er nødvendig for å løse oppgaver helse- og omsorgstjenesten eller helse- og omsorgsforvaltningen er pålagt i lov eller forskrift, kan Norsk helsenett SFinnhente personopplysninger fra Folkeregisteret uten hinder av taushetsplikt, behandle opplysningene og sammenstille opplysningene med andre nødvendige opplysningerdele opplysninger som nevnt i bokstav a med virksomheter i helse- og omsorgstjenesten og helse- og omsorgsforvaltningen.
Departementet kan gi forskrift om dataansvar og behandling av opplysninger etter andre ledd.
§ 22 skal lyde:
§ 22.Informasjonssikkerhet
Den dataansvarlige og databehandleren skal gjennomføre tekniske og organisatoriske tiltak for å oppnå et sikkerhetsnivå som er egnet med hensyn til risikoen, jf. personvernforordningen artikkel 32. Den dataansvarlige og databehandleren skal blant annet sørge for tilgangsstyring, logging og etterfølgende kontroll.
Departementet kan i forskrift fastsette nærmere krav til informasjonssikkerhet ved behandling av helseopplysninger.
§ 22 skal lyde:
§ 22. Tekniske og organisatoriske sikkerhetstiltak
Den dataansvarlige og databehandleren skal gjennomføre nødvendige tekniske og organisatoriske tiltak for å ivareta sikkerheten ved behandling av personopplysninger. Tiltakene skal være egnet med hensyn til risikoen ved behandlingen av personopplysningene, jf. personvernforordningen artikkel 32. Den dataansvarlige og databehandleren skal også gjennomføre risikovurderinger av nettverks- og informasjonssystemene som benyttes for å levere tjenester i henhold til denne loven.
Sikkerhetstiltakene skal være proporsjonale og tilpasset risikoen. Ved vurderingen av hva som er et forsvarlig sikkerhetsnivå, skal det tas hensyn til den enkeltes personvern, kritiske samfunnsfunksjoner, helse- og omsorgstjenestens evne til å ivareta sine oppgaver og den teknologiske utviklingen.
Den dataansvarlige og databehandleren skal iverksette tiltak for å forebygge, avdekke og redusere konsekvensene av skadelige hendelser. Dette omfatter tiltak som blant annet tilgangsstyring, logging og etterfølgende kontroll. Den dataansvarlige og databehandleren kan kreve uttømmende og utvidet politiattest, jf. politiregisterloven § 41 nr. 2, fra personer som skal ha privilegerte tilganger til nettverks- og informasjonssystemer.
Departementet kan i forskrift fastsette nærmere krav til tekniske og organisatoriske sikkerhetstiltak.
Ny § 22 a skal lyde:
§ 22 a. Dokumentasjon av tilgjengeliggjøring
Tilgjengeliggjøring av helseopplysninger etter denne loven og helsepersonelloven skal dokumenteres i en logg eller i pasientens journal. I logg skal det minst dokumenteres informasjon om:identiteten og den organisatoriske tilhørigheten til den som får helseopplysningenegrunnlaget for tilgjengeliggjøringentidsperioden for tilgjengeliggjøringenhvilke opplysninger eller dokumenter som blir tilgjengeliggjort.
Den registrerte har rett til innsyn i dokumentasjonen.
Dersom oversikten viser at noen urettmessig har hentet frem journalopplysninger, skal virksomheten opplysningene er hentet fra og den registrerte varsles, jf. personvernforordningen artikkel 33 og 34.
Departementet kan gi forskrift om dokumentasjon av tilgjengeliggjøring av helseopplysninger.
§ 23 første ledd skal lyde:
Den dataansvarlige skal gjennomføre tekniske og organisatoriske tiltak for å sikre og påvise at behandlingen utføres i samsvar med personvernforordningen, personopplysningsloven og denne loven, jf. forordningen artikkel 24.
§ 23 annet ledd første og annet punktum skal lyde:
Den dataansvarlige skal dokumentere tiltakene. Dokumentasjonen skal være tilgjengelig for medarbeiderne hos den dataansvarlige og hos databehandleren.
§ 26 skal lyde:
§ 26.Tilsyn
Datatilsynet fører tilsyn med overholdelsen av loven og forskrifter gitt i medhold av loven. Dette gjelder ikke for tilsynsoppgaver som påligger Statens helsetilsyn eller Fylkesmannen etter helsetilsynsloven.
§ 26 andre punktum skal lyde:
Dette gjelder ikke for tilsynsoppgaver som påligger Statens helsetilsyn eller statsforvalteren etter helsetilsynsloven.
§ 29 skal lyde:
§ 29.Overtredelsesgebyr
Ved behandling av helseopplysninger i strid med loven eller forskrifter gitt i medhold av loven, kan Datatilsynet ilegge overtredelsesgebyr etter personvernforordningen artikkel 83 og personopplysningsloven §§ 26 og 27.
§ 3 nytt annet ledd skal lyde:
For opplysninger som er taushetsbelagte etter helsepersonelloven § 21, og for opplysninger om avdøde personer gjelder bestemmelsene i loven her om behandling av helseopplysninger så langt de passer.
§ 30 annet og fjerde ledd oppheves. Någjeldende tredje ledd blir nytt annet ledd.
§ 30 skal lyde:
§ 30.Straff for brudd på taushetsplikt
Overtredelse av § 15 om taushetsplikt straffes etter straffeloven § 209, likevel slik at medvirkning straffes.
§ 30 skal lyde:
§ 30. Straff for brudd på taushetsplikt
Overtredelse av § 15 om taushetsplikt straffes etter straffeloven § 209, likevel slik at også medvirkning straffes.
Ny § 30 a skal lyde:
§ 30 a.Straff for urettmessig tilegnelse av helseopplysninger
Den som forsettlig eller grovt uaktsomt overtrer forbudet mot urettmessig tilegnelse av helseopplysninger i § 16, straffes med bøter eller fengsel i inntil 1 år.
Grov urettmessig tilegnelse av helseopplysninger straffes med fengsel i inntil 3 år.
Ved avgjørelsen av om den urettmessige tilegnelsen av helseopplysninger er grov skal det særlig legges vekt påfaren for stor skade eller ulempe for pasienten eller brukeren,den tilsiktede vinningen med overtredelsen,overtredelsens varighet og omfang,den utviste skyld, ogom handlingen er begått av noen som tidligere er ilagt en strafferettslig reaksjon for liknende handlinger.
§ 30 a skal lyde:
§ 30 a. Straff for urettmessig tilegnelse av helseopplysninger
Den som forsettlig eller grovt uaktsomt overtrer forbudet i § 16 mot urettmessig tilegnelse av helseopplysninger, straffes med bøter eller fengsel i inntil ett år.
Grov urettmessig tilegnelse av helseopplysninger straffes med fengsel i inntil tre år. Ved avgjørelsen av om den urettmessige tilegnelsen av helseopplysninger er grov, skal det særlig legges vekt påfaren for stor skade eller ulempe for pasienten eller brukerenom det foreligger en tilsiktet vinning med overtredelsenovertredelsens varighet og omfangden utviste skyldom handlingen er begått av noen som tidligere er ilagt en strafferettslig reaksjon for liknende handlinger.
§ 31 skal lyde:
§ 31.Erstatning
Den dataansvarlige og databehandleren skal erstatte skader som er oppstått som følge av at helseopplysninger er behandlet i strid med personvernforordningen, etter forordningen artikkel 82 og personopplysningsloven § 30. Ansvaret gjelder tilsvarende ved brudd på denne loven eller forskrifter gitt i medhold av loven.
§ 4 første ledd første punktum skal lyde:
Loven gjelder for dataansvarlige som er etablert i Norge.
§ 4 annet ledd oppheves.
§ 5 skal lyde:
§ 5.Forholdet til personvernforordningen og personopplysningsloven
Personvernforordningen og personopplysningsloven gjelder så langt ikke noe annet følger av loven her.
§ 6 første ledd annet punktum oppheves.
§ 7 andre ledd bokstav g skal lyde:
informasjonssikkerhet, logg og internkontroll, jf. §§ 22, 22 a og 23.
§ 7 tredje ledd skal lyde:
Virksomheten skal ta hensyn til behovet for effektiv samhandling ved anskaffelse og videreutvikling av sine behandlingsrettede helseregistre.
§ 8 nytt andre, tredje, fjerde og femte ledd skal lyde:
Departementet kan gi forskrift om at virksomheter som yter helse- og omsorgstjenester etter spesialisthelsetjenesteloven, helse- og omsorgstjenesteloven, apotekloven og tannhelsetjenesteloven, skal ta i bruk følgende nasjonale e-helseløsninger i virksomheten:helsenettet: nasjonal infrastruktur med felles tjenester og felleskomponenter for utveksling av opplysninger med virksomheter i helse- og omsorgssektorennasjonal kjernejournal opprettet etter § 13elektronisk kommunikasjonskjede for overføring av reseptinformasjon opprettet etter § 12.
Departementet kan også gi forskrift om at virksomheter nevnt i andre ledd skal gjøre digitale tjenester tilgjengelige på en nasjonal innbyggerportal.
Departementet kan gi forskrift om:betaling for bruk av helsenettetat regionale helseforetak og kommuner skal betale for at de nasjonale e-helseløsningene nevnt i andre og tredje ledd gjøres tilgjengelige for virksomheter i helse- og omsorgstjenesten eller allmennhetenat apotek og bandasjister som har gjort løsningen nevnt i andre ledd bokstav c tilgjengelig i virksomheten, skal betale for løsningendet nærmere innholdet i betalingsplikten og løsningene, hvem som er dataansvarlig, og statlige foretaks ansvar for å tilby løsningene.Virksomhetenes samlede betaling skal ikke overstige kostnadene til forvaltning og drift av løsningene.
Forskrift om kommunenes plikt etter andre og tredje ledd kan ikke fastsettes før en vesentlig andel av kommunene har tilgjengeliggjort eller tatt i bruk den enkelte løsningen.
§ 9 bokstav d skal lyde:
dataansvar.
Ny § 9 a skal lyde:
§ 9 a.Behandlingsrettet helseregister med tolkede genetiske varianter
Virksomheter som gjør undersøkelser etter bioteknologiloven § 4-1, § 5-1 annet ledd bokstav a eller § 5-1 annet ledd bokstav b, kan samarbeide om etablering av et behandlingsrettet helseregister med tolkede genetiske varianter. Direkte personidentifiserbare opplysninger, som navn eller fødselsnummer, kan ikke behandles i registeret. Opplysningene kan tilgjengeliggjøres for registeret uten hinder av taushetsplikt.
Formålet med behandlingen av helseopplysningene skal være å yte og kvalitetssikre helsehjelp til pasienter som kan knyttes til en tolket genvariant. Første ledd gir ikke grunnlag for opprettelse av et helseregister med genomer eller eksomer. Det er ikke tillatt å bruke opplysningene i registeret for å rekonstruere hele eller deler av genomer eller eksomer.
Helseopplysningene kan behandles uten samtykke fra den registrerte, men den registrerte har rett til å motsette seg behandlingen. Den dataansvarlige skal sørge for at den registrerte så snart som mulig etter at opplysningene er samlet inn, får nødvendig informasjon for at vedkommende skal få innsikt i hva retten til å motsette seg behandling av opplysningene innebærer.
Helseopplysningene kan, i samsvar med formålet i annet ledd og uten hinder av taushetsplikt, tilgjengeliggjøres fra registeret dersom den som får tilgang til opplysningeneer underlagt lovbestemt taushetsplikt,godtgjør at behandlingen vil ha rettslig grunnlag etter personvernforordningen artikkel 6 og 9 oghar gjort rede for hvilke egnede tekniske og organisatoriske tiltak som skal gjøres for å ivareta informasjonssikkerheten.
Den dataansvarlige skal vurdere om vilkårene for tilgjengeliggjøring er oppfylt.
Departementet gir forskrift om hvilke helseopplysninger som kan behandles i et register med hjemmel etter første ledd og på hvilken måte og i hvilken form opplysningene skal tilgjengeliggjøres for registeret.