2.8 KiB
2.8 KiB
Helseregisterloven § 13 - Dataansvarliges plikter
Om bestemmelsen
Paragrafen fastsetter FHIs plikter som dataansvarlig for de sentrale helseregistrene.
Implikasjoner for FHI
Overordnede plikter
Som dataansvarlig har FHI følgende plikter:
- Sikre lovlig behandling: All behandling må ha hjemmel i lov eller forskrift
- Ivareta registrertes rettigheter: Respektere innsynsrett, retting og sletting
- Informasjonssikkerhet: Beskytte opplysningene mot uautorisert tilgang
- Internkontroll: Ha systemer for å sikre etterlevelse av reglene
Konkrete forpliktelser
1. Informasjonssikkerhet
FHI skal:
- Implementere tekniske sikkerhetstiltak: Kryptering, tilgangskontroll, logging
- Implementere organisatoriske tiltak: Retningslinjer, opplæring, rollefordeling
- Gjennomføre risikovurderinger: Identifisere og håndtere risiko
- Rapportere databrudd: Varsle Datatilsynet ved sikkerhetsbrudd
2. Internkontroll
FHI må ha:
- Dokumenterte rutiner: Skriftlige prosedyrer for databehandling
- Internrevisjon: Jevnlig gjennomgang av sikkerheten
- Avviksrapportering: System for å melde og håndtere avvik
- Kontinuerlig forbedring: Oppdatere tiltak basert på erfaring
3. Taushetsplikt
Alle som behandler opplysninger i FHI har lovpålagt taushetsplikt:
- Gjelder for ansatte, konsulenter og samarbeidspartnere
- Gjelder også etter arbeidsforholdets opphør
- Brudd kan straffes med bot eller fengsel
4. Behandlingsansvar
FHI er ansvarlig for:
- Databehandlere: Tredjeparter som behandler data på FHIs vegne
- Utlevering: Sikre at utlevering av data skjer etter lovlige prosedyrer
- Samkjøring: Sikre at kobling av registre har hjemmel
Sanksjoner ved brudd
Ved brudd på plikter kan:
- Datatilsynet gi pålegg eller pålegge tvangsmulkt
- Straff: Grovt brudd kan straffes
- Erstatning: FHI kan bli erstatningsansvarlig
Praktisk operasjonalisering
FHI har etablert:
- Personvernombud: Uavhengig rådgiver for personvern
- IT-sikkerhetsteam: Ansvarlig for teknisk sikkerhet
- Kvalitetssikringssystem: Rutiner for datakvalitet
- Brukeradministrasjon: Streng kontroll på hvem som har tilgang til hva
Rapportering
FHI må:
- Rapportere til Datatilsynet: Årlig eller ved endringer
- Dokumentere behandling: Føre protokoll over behandlingsaktiviteter
- Varsle ved brudd: Umiddelbar varsling ved databrudd
Relasjon til andre bestemmelser
- § 8: FHI er dataansvarlig basert på denne hjemmelen
- GDPR: EU-lovgivning stiller tilsvarende krav
- Forvaltningsloven: Generelle krav til offentlig forvaltning
- Straffeloven: Straff for brudd på taushetsplikt
Hjemmel: Helseregisterloven § 13 Lovdata: NL/lov/2014-06-20-43