Svært problematisk at lovforslag er så uklart

Forslaget til lov om bruk av helseopplysninger fra kommunal sektor er så lite detaljert at det blir vanskelig for stortingspolitikerne å vite hva de sier ja til.

Det sier Datatilsynet i en høringsuttalelse i forbindelse med lovforslaget om å hjemle et nytt kommunalt pasient- og brukerregister (KPR).

Formålet med dette registeret skal være å blant annet gi grunnlag for planlegging, styring, finansiering og evaluering av kommunale helse- og omsorgstjenester. Dataene i registeret skal være en viktig kilde for statistikk, helseanalyser, kvalitetsforbedringsarbeid, beredskap, forebyggende arbeid og forskning.

Datatilsynet er i høringssvaret positive til at sekundærbruk av opplysninger fra de kommunale tjenestene reguleres på en bedre måte enn det gjøres i dag.

Få detaljer

Vi er imidlertid kritiske til den manglende detaljeringsgraden i forslaget. Etter helseregisterloven § 11  kreves det hjemmel i lov for opprettelse av sentrale helseregistre som ikke er basert på samtykke, og hvor opplysningene er registrert på direkte identitet. Stortingsbehandlingen skal sikre en demokratisk kontroll i tilfeller der personverninngrepet er omfattende.

I forslaget henviser Helse- og omsorgsdepartementet (HOD) til at nærmere regulering vil skje i arbeidet med forskriften som vil inneholde detaljene om behandlingen av opplysninger i KPR. Hvilke personopplysninger som skal inn i registeret, er i forslaget kun begrenset av at det må kunne oppfylle formålet om å være kilde for statistikk, helseanalyser, forskning og så videre. Datatilsynets oppfatning er at dette formålet er meget vidt formulert. I tillegg er det planlagt å innhente opplysninger fra et bredt spekter av de kommunale tjenestene.

Manglende demokratisk kontroll

Departementet presiserer at det kun skal samles inn relevante og nødvendige opplysninger i KPR. Vi mener imidlertid at det ikke er mulig å vurdere hvilke konsekvenser forslaget vil medføre for personvernet. Vi mener at det er svært uheldig at ikke detaljene for KPR foreligger når Stortinget skal ta stilling til om lovforslaget skal vedtas eller ikke. Den reelle vurderingen vil først skje på forskriftsnivå, og vi mener at den demokratiske kontrollen Stortinget skal utføre vil være svært begrenset slik forslaget i dag foreligger.

Registrering fra før vi blir født

I det nye registeret skal det samles inn opplysninger om kommunens innbyggere i mange forskjellige situasjoner, ikke bare knyttet til at man mottar helsehjelp. Som eksempel har vi trukket frem at det skal registreres opplysninger fra helsestasjonen. Uten nærmere beskrivelse av hvilke opplysninger man ønsker å inkludere fra denne tjenesten, ser vi et potensiale for en omfattende registrering av oss helt fra svangerskapsomsorgen – uavhengig av om vi er syke eller friske. Dersom en innbygger faktisk har behov for helse- eller omsorgstjenester, kan innholdet i KPR bli omfattende om hver enkelt.

Er vi enige om omfanget?

Datatilsynet savner diskusjonen knyttet til om det i det hele tatt skal behandles opplysninger i dette omfanget, og ikke bare hvordan opplysningene skal beskyttes når de først er samlet inn.

Vi har også spilt inn at vi mener at forslaget mangler vurderinger av hvilken registerform KPR bør velge, utover det konkrete forslaget om å oppheve den pseudonyme registerformen som har vært valgt i IPLOS.

Kommunalt pasient- og brukerregister skal dekke formål som er både primære og sekundære. For eksempel skal det tidligere fagsystemet KUHR (Kontroll og utbetaling av helserefusjon) nå erstattes av KPR. KUHR benyttes i dag for håndtering av refusjonsordning i primærhelsetjenesten. Vi mener det er helt avgjørende at disse formålene holdes fra hverandre, ettersom formålene er styrende for øvrige krav til personvern og informasjonssikkerhetskrav rundt opplysningene som behandles.