Personvern i elektronisk pasientjournal
-Til hinder for forsvarlig helsehjelp?
Kandidatnummer: 670 Leveringsfrist: 25.11.16 Antall ord: 17 944*
(* regelverk for masteroppgave på:
https://www.uio.no/studier/emner/jus/jus/JUR5030/reglement/Reglementmasterop pgaverrettsvitenskap.html )
i
Innholdsfortegnelse
1 INNLEDNING ... 1
1.1 Tema og problemstilling ... 1
1.2 Bakgrunn ... 1
1.3 Avgrensing og begrepsbruk ... 3
1.3.1 Personvern ... 4
1.3.2 Personopplysninger, sensitive personopplysninger ... 4
1.3.3 Helseopplysning ... 5
1.3.4 Pasient ... 6
1.3.5 Forsvarlig helsehjelp ... 6
1.4 Rettskilder og metode ... 7
1.5 Videre framstilling ... 9
2 HVA ER EN PASIENTJOURNAL ... 10
2.1 Innledning ... 10
2.1.1 Bakgrunn ... 10
2.1.2 Innhold i en pasientjournal, herunder EPJ ... 11
3 PERSONVERN OG TAUSHETSPLIKT ... 13
3.1 Personvern ... 13
3.1.1 Bakgrunn og innledning ... 13
3.1.2 Personvern i norsk lovgivning ... 15
3.1.3 EUs personverndirektiv og menneskerettighetene ... 16
3.1.4 Ny EU- forordning og lovgivning ... 18
3.2 Taushetsplikt ... 19
3.2.1 Bakgrunn og innledning ... 19
3.2.2 Helsepersonells taushetsplikt ... 20
3.2.3 Forvaltningsmessig taushetsplikt ... 23
3.2.4 Modifisert forvaltningsmessig taushetsplikt ... 24
3.2.5 Unntak fra taushetsplikt ... 25
4 BEHANDLING AV HELSEOPPLYSNINGER ... 29
4.1 Innledning ... 29
4.2 Behandling av helseopplysninger ... 31
4.2.1 Informasjonssikkerhet ... 32
4.2.2 Helseregistre... 34
4.2.3 Etikk og forskning ... 37
ii
4.2.4 Opplysninger til samarbeidende helsepersonell ... 39
4.2.5 Overføring, utlevering og tilgang til journalopplysninger ... 41
4.2.6 Tilgang til elektronisk pasientjournal ... 42
5 FORSVARLIG HELSEHJELP ... 44
5.1 Innledning ... 44
5.2 Forsvarlighetskravet ... 45
5.2.1 Innholdet i forsvarlighetskravet ... 45
5.2.2 Forholdet mellom individuelt og organisatorisk ansvar ... 46
6 ELEKTRONISKE UTFORDRINGER ... 50
6.1 Hva kan gå galt? ... 51
6.1.1 Manglende opplysninger ... 51
6.1.2 Snoking og urettmessig utlevering av opplysninger ... 51
6.1.3 Oppbevaring av opplysninger ... 52
6.1.4 Brudd på forsvarlighetskravet ... 53
6.2 Sanksjoner ... 53
6.3 Pasientens tilgang på opplysninger ... 54
7 AVSLUTTENDE KOMMENTARER ... 56
8 KILDEREGISTER ... 57
8.1 Bøker ... 57
8.2 Lover, traktater, direktiv og forskrifter ... 58
8.3 Domsregister ... 59
8.4 Forarbeider, rundskriv og veiledere ... 60
8.5 Andre kilder ... 61
1
1 INNLEDNING
1.1 Tema og problemstilling
Oppgavens tema er elektronisk pasientjournal og personvern. Dette er et tverrfaglig tema som berører både helseretten og personvernretten.
Problemstillingen som reises er om reglene for personvern i elektroniske pasientjournaler er til hinder for forsvarlig helsehjelp.
Den teknologiske utviklingen og innføring av elektronisk pasientjournal har bidratt til at pasi- entopplysninger lettere gjøres tilgjengelig for de som behandler1 pasienten i hele behandlings- kjeden. Pasientopplysninger kan også lettere sammenstilles av andre, noe som skaper utford- ringer med hensyn til personvernet.2
På den ene siden skal pasientens interesser og sikkerhet ivaretas i forhold til forsvarlig helse- hjelp. Pasienten har i tillegg behov for at sensitive opplysninger vernes mot uvedkommende.
På den andre siden står samfunnets- og helsevesenets behov for vid tilgang til opplysninger, for eksempel hensynet til at helsepersonell raskt og enkelt bør finne nødvendige opplysninger for å yte forsvarlig helsehjelp. Helsevesenet har krav om kvalitetskontroll slik at tjenestene til enhver tid fyller kravene til “rett hjelp til rett tid.”
1.2 Bakgrunn
Helsesektoren har de siste årene vært preget av store endringer og reformer.
Lovgivningen var spredt og fragmentarisk, og på 1980- tallet startet arbeidet med ny helse- lovgivning. Pasientrettigheter var underlagt ulike lover, og helsepersonell var underlagt ulike lovverk ut fra profesjonstilhørighet.3
Lovgivers mål med ny helselovgivning var, jf. Ot.prp. nr. 12 (1998-1999) Lov om pasientret- tigheter (pasientrettighetsloven) s.1, å fremme en helse- og velferdspolitikk som la vekt på respekt for menneskeverdet, rettferdig fordeling av rettigheter og plikter, likeverd og lik til- gjengelighet på tjenester samt styrket rettsstilling for den som har behov for tjenester.
1 I denne sammenheng menes de som omfattes av helsepersonelloven § 48, samt andre aktører som kan få rett- messig tilgang til pasientens journal
2 Johansen, Michal Wiik, Kaspersen, Knut- Brede og Skullerud, Åste Marie, Personopplysningsloven Kommen- tarutgave, 2001, s.21-22
3 Befring, Anne Kjersti og Ohnstad, Bente, Helsepersonelloven med kommentarer, 3.utg. 2010, s.25
2 Pasient- og brukerrettighetslovens4 formål er etter § 1-1:
“å bidra til å sikre befolkningen lik tilgang på tjenester av god kvalitet ved å gi pasi- enter og brukere rettigheter overfor helsetjenesten.
Lovens bestemmelser skal bidra til å fremme tillitsforholdet mellom pasient og helsetjeneste og ivareta respekten for den enkelte pasients liv, integritet og menneske- verd.”
De nye lovene skulle gi bedre kvalitet og bedre utnyttelse av helseressursene gjennom bedre organisering, som igjen skal gi sterkere fokus på pasienten.
“Sykejournaldommen” inntatt i Rt.1977 s.1035 omhandler en forhenværende pasient ved et offentlig sykehus som krevde å få innsyn i sykejournalen sin. Sykehuset nektet å etterkomme kravet. Dette skjedde i en tid da pasienters rett til innsyn i egen journal ikke var nedfelt i lov- givning. Etter en interesseavveining og på grunnlag av “alminnelige rettsgrunnsetninger” fant imidlertid en enstemmig Høyesterett at en slik rett eksisterte. Det ble likevel presisert at denne innsynsretten ikke var absolutt, men underlagt “visse begrensninger av liknende art som det som gjelder for partsoffentlighet etter forvaltningslovens § 19.” Selv om dommen ikke uttryk- kelig refererer til det ulovfestede personlighetsvernet, er det lite tvilsomt at begrepet “almin- nelige rettsgrunnsetninger” i virkeligheten innebærer en henvisning til et slikt vern.5
Høyesterett slo med “sykejournaldommen” fast at pasienter skulle ha innsyn i legejournalen, noe som senere ble tatt inn i legeloven.6
Denne avgjørelsen og lovendringen endret synet på legejournalen, og pasientens rettigheter knyttet til journalen. Avgjørelsen har fått betydning for alle helserelaterte journaler og benev- nes i dag som pasientjournal. Det er med andre ord gått fra å være “legens journal” til å være
“pasientens journal”. Dette fremgår i dag av pasient- og brukerrettighetsloven kapittel 5, jf.
pasienters rett til medvirkning og informasjon etter samme lovs kapittel 3.
Lov 14.april 2003 nr. 31 om behandling av personopplysninger (personopplysningsloven) erstattet personregisterloven fra 1978. Personregisterloven gav generelle regler om hvordan informasjon skulle registreres og behandles, både av private og offentlige organer. Den gav også hjemmel for forskrifter om innsyn i registre.7
4 Lov 2.juli 1999 nr.63 om pasient- og brukerrettigheter (pasient- og brukerrettighetsloven, pbrl.)
5 Befring og Ohnstad, op.cit., s.25 og s.309
6 Lov 13.juni 1980 nr.42 om leger (legeloven) § 46
7 Ot.prp. nr. 92 (1998-1999) Om lov om behandling av personopplysninger (personopplysningsloven)
3 Lovgiver ønsket i følge Ot.prp. nr. 92 (1998-1999) å møte de utfordringer som informasjons- samfunnet skaper i forhold til personvernet. Teknisk, administrativ og økonomisk utvikling hadde ført til økt datamengde og innsamling, sammenkopling av informasjon og lagring av informasjon. Denne utviklingen var og er fortsatt med på å øke risikoen for at personopplys- ninger lettere er tilgjengelig for flere, og kan brukes på en måte som føles som inngrep i den enkeltes privatliv og personlige integritet.
Regjeringen har gjennom St.meld. nr. 9 (2012-2013) Én innbygger- én journal, ytret et ønske om modernisering av IKT- plattformen og en felles løsning for hele helse- og sosialsektoren.
“Regjeringens overordnede mål for IKT- utviklingen i helse- og omsorgstjenesten er:
- Helsepersonell skal ha enkel og sikker tilgang til pasient- og brukeropplysninger - Innbyggere skal ha tilgang på enkle og sikre digitale tjenester
- Data skal være tilgjengelig for kvalitetsforbedring, helseovervåkning og forskning.”8 IKT er en forkortelse for informasjons- og kommunikasjonsteknologi, og begrepet omfatter teknologi for innsamling, lagring, behandling, overføring og presentasjon av informasjon.
Helse- og omsorgsdepartementet etablerte Nasjonalt helseregisterprosjekt høsten 2011 hvor formålet var bedre utnyttelse, bedre kvalitet og enda sikrere håndtering av de nasjonale helse- registre.
Helseministeren har gitt Helse Midt-Norge RHF gjennom “Helseplattformen” i oppdrag å være regionalt utprøvingsprogram for det anbefalte målbildet i St.meld. nr. 9 (2012-2013) og et mulig startpunkt for en felles nasjonal løsning for kommunal helse- og omsorgstjeneste.9 Nasjonalt e-helsestyre stilte seg 10.-11.nov.2016 bak mål og prinsipper i samarbeidsmodellen mellom nasjonalt prosjekt for ”Èn innbygger-én journal” og helseplattformen.10
1.3 Avgrensing og begrepsbruk
Gjennom denne oppgaven tar jeg sikte på å belyse hvilket forhold elektroniske pasientjourna- ler har til personvernet, og videre om disse reglene er til hinder for forsvarlig helsehjelp.
Begreper som er relevante i fremstillingen vil jeg benevne kort innledningsvis, og senere be- lyse nærmere.
8 St.meld. nr. 9 (2012-2013) s.9-10
9 https://ehelse.no/strategi/n-innbygger-n-journal sitert 20.10.2016
10 https://ehelse.no/nyheter/n-innbygger-n-journal-og-helseplattformen sitert 22.11.2016
4 1.3.1 Personvern
Personvernbegrepet har ingen legaldefinisjon og kan virke nokså uklart. Begrepet benyttes ofte som et samlebegrep for å beskrive mange ulike interesser og verdier, og kan beskrives som det sett av lover, normer og regler som særlig tar sikte på beskyttelse av individet.11 Personvernkommisjonen har jf. NOU 2009:1 Individ og integritet, Personvern i det digitale samfunnet, s.32 uttalt: “Personvern dreier seg om ivaretakelse av personlig integritet; ivareta- kelse av enkeltindividers mulighet for privatliv, selvbestemmelse (autonomi) og selvutfoldel- se.”
I juridisk teori forklares ofte personvernet som “den enkeltes interesse i å ha best mulig herre- dømme over informasjon som beskriver vedkommende”.12
Alle mennesker har en ukrenkelig egenverdi og har som enkeltmenneske har rett til en privat sfære som en selv kontrollerer, uten tvang eller innblanding fra staten eller andre mennesker.
Dette prinsippet er blant annet forankret i Den europeiske menneskerettighetskonvensjonen (EMK) artikkel 8:
“Enhver har rett til respekt for sitt privatliv og familieliv, sitt hjem og sin korrespon- danse.”
I korte trekk handler personvernet om retten til et privatliv, og retten til å bestemme over egne personopplysninger.
1.3.2 Personopplysninger, sensitive personopplysninger
Begrepet “personopplysning” er sentralt for anvendelse av personopplysningsloven og forskrift 15. Desember 2000 nr. 1265 om behandling av personopplysninger (personopplys- ningsforskriften).
Etter personopplysningsloven § 1 nr.1“En opplysning er indirekte knyttet til en person når flere opplysninger må undersøkes før persontiknytningen kan bringes på det rene” forstås personopplysninger som opplysninger og vurderinger som kan knyttes til en enkeltperson.13
11 Johansen, Kaspersen og Skullerud, op.cit., s.22
12 Ohnstad, Bente, Taushetsplikt, personvern og informasjonssikkerhet i helse- og sosialsektoren, 3.utg. 1. opplag 2003, s.32
13Dag Wiese Schrtum, note 3 til personopplysningsloven, Rettsdata. Noten er revidert 18.10.2012
5 Personopplysningsloven skiller mellom to hovedtyper av personopplysninger: sensitive og alminnelige.
Hva som menes med sensitive personopplysninger følger av personopplysningsloven § 2 nr.8:
”a) rasemessig eller etnisk bakgrunn, eller politisk, filosofisk, eller religiøs oppfatning, b) at en person har vært mistenkt, siktet, tiltalt eller dømt for en straffbar handling, c) helseforhold,
d) seksuelle forhold,
e) medlemskap i fagforeninger”
Alle andre typer personopplysninger regnes som alminnelige. Det innebærer for eksempel at fødselsnummer ikke er en sensitiv personopplysning.14
Personopplysningsbegrepet gjelder som utgangspunkt kun opplysninger om levende, fysiske personer. Dersom opplysningene kan knyttes til levende individer, kan opplysninger om døde likevel regnes som personopplysning. Dette gjelder for eksempel opplysninger om slektskaps- forhold. Opplysninger om juridiske personer faller også utenfor begrepet personopplysninger, men en rekke opplysninger om juridiske personer vil også være opplysninger om fysiske per- soner og dermed omfattes av personopplysninger. Eksempel kan være opplysninger om stil- ling, lønn m.m.15
1.3.3 Helseopplysning
Helseopplysninger er i lov 20.juni 2014 nr. 42 om behandling av helseopplysninger ved ytelse av helsehjelp (pasientjournalloven) § 2 bokstav a, og i lov 20.juni 2014 nr. 43 om helseregist- re og behandling av helseopplysninger (helseregisterloven) § 2 bokstav a definert som
“taushetsbelagte opplysninger etter helsepersonelloven16 § 21 og andre opplysninger og vurderinger om helseforhold eller av betydning for helseforhold, som kan knyttes til en enkeltperson”.
Dette vil si at helseopplysninger omfatter opplysninger om nåværende og tidligere sykdomstilstand. Sosiale forhold som påvirker helsen omfattes også. Vurderinger som er gjort, ikke bare faktaopplysninger, er helseopplysninger i lovens forstand.
14 Normann, Rolf Sture og Tranvik, Tommy, Personvern og informasjonssikkerhet i kommunen- en håndbok i risikovurdering, 1.utg. 1. opplag 2012, s.29
15 Dag Wiese Schrtum, note 4 til Personopplysningsloven, Rettsdata. Noten er revidert 18.10.2012
16 Lov 2. juli 1999 nr.64 om helsepersonell m.v. (helsepersonelloven)
6 Med enkeltperson menes opplysninger som kan knyttes til en identifiserbar person, anonyme opplysninger faller utenfor.
Helseopplysninger som dette føres i et journalregister, og det er typisk disse opplysningene som utveksles mellom helsepersonell.
1.3.4 Pasient
Sett i lys av oppgavens tittel, er det naturlig å definere hva som forstås som en pasient. En pasient er i følge pasient- og brukerrettighetsloven § 1-3 bokstav a
“en person som henvender seg til helsetjenesten med anmodning om helsehjelp, eller som helsetjenesten gir eller tilbyr helsehjelp i det enkelte tilfelle”
Også “friske” personer som har behov for ytelser fra helsetjenesten, som for eksempel helse- stasjonsvirksomhet, prevensjonsveiledning og lignende, vil få pasientstatus etter loven. Dess- uten blir også personer som ikke kvalifiserer for helsehjelp å anse som pasienter.17
Man blir dermed pasient i rettslig forstand gjennom enhver kontakt med helsevesenet via un- dersøkelse, diagnose, behandling, ved å stå i ventekø osv. Dette fordi også personer som ven- ter på helsehjelp kan ha bruk for prosessuelle pasientrettigheter som omhandler journalinnsyn, klageadgang osv.
1.3.5 Forsvarlig helsehjelp
Forsvarlighetskravet er en faglig, etisk og rettslig standard for hvordan den enkelte bør utøve arbeidet.
Forsvarlighetskravet gjelder på ulike nivå. Det første er individnivå, og gjelder for det enkelte helsepersonell i primær- og spesialisthelsetjenesten jf. helsepersonelloven § 4. Andre nivå er system-/ virksomhetsnivå, og gjelder helseinstitusjonene jf. lov 24.juni 2011 nr. 30 om kom- munale helse- og omsorgstjenester m.m. (helse- og omsorgstjenesteloven § 4-1, og lov 2.juli 1999 nr. 61 om spesialisthelsetjenesten m.m. (spesialisthelsetjenesteloven) § 2-2. Tredje nivå er organnivået, som for primærhelsetjenesten følger av helse- og omsorgstjenesteloven § 4-2, og for spesialisthelsetjenesten følger det av lov 15.juni 2001 nr. 93 om helseforetak m.m.
(helseforetaksloven) § 2a sammenholdt med § 1, jf. spesialisthelsetjenesteloven § 2-2. 18
17 Aslak Syse, note 6 til pbrl., Rettsdata. Noten er revidert 27.09.2016
18Ot.prp. nr.13 (1998-1999) om helsepersonell mv (helsepersonelloven) s.215
7 I denne masteravhandlingen er det i hovedsak forsvarlighetskravet for helsepersonell jf. hel- sepersonelloven § 4 og § 16 som behandles. En fullstendig behandling av forsvarlighet vil være for omfattende. Forsvarlighetskravet på individnivå ses likevel i sammenheng med den plikt helsetjenesten som sådan har til forsvarlig virksomhet.
Rettsvirkninger knyttet til eventuell uforsvarlig helsehjelp drøftes ikke.
1.4 Rettskilder og metode
Jeg vil først og fremst benevne hvilke rettskildefaktorer som er aktuelle i helseretten og hvilke som trukket inn i arbeidet. Siktemålet med oppgaven har vært å få en dypere forståelse av betydningen av visse begrep og uttrykk i loven, altså en undersøkelse av de lege lata.
Som utgangspunkt er rettskildene som benyttes i helseretten de samme som benyttes i andre deler av rettssystemet. Man bygger på Grunnlov, formell lov, lovforarbeider, forskrifter, retts- praksis, sedvane, forvaltningspraksis, juridisk teori og reelle hensyn.19
Rettskildebildet er likevel noe særpreget i helseretten. Dette har først og fremst sammenheng med at den alminnelige rettskildelæren er utformet med sikte på den tradisjonelle rettsstatens regler, ikke med sikte på velferdsstatens regler.20
Det opplagte utgangspunkt er de aktuelle lovtekstene i helselovgivningen. Flere begrep og uttrykk er definert i selve lovteksten, og disse må nødvendigvis ses i lys av loven for øvrig, formålsbestemmelsen og sammenhengen i lovverket.
Reglene i helseretten følger først og fremst av nasjonale rettskilder, men internasjonale kilder har også blitt viktigere, særlig har menneskerettighetene og EUs personverndirektiv 95/46/EF av 24. oktober 1995 hatt stor betydning for norsk personvernlovgivning.
Helselovgivningen preger store deler av vårt lovverk og det skjer stadig endringer. Lovkom- mentarer, juridisk litteratur og kunnskap kan fort bli utdatert og foreldet.
Det varierer hvor detaljert bestemmelsene er, og de benytter seg ofte av skjønnsrettslige ter- mer. Det er likevel slik at utgangspunktet er den alminnelige forståelsen av ordlyden med bakgrunn i borgernes forutberegnelighet.
19 Eckhoff, Torstein, Rettskildelære, 5.utg. ved Jan E Helgesen, 2001, s.22-26
20 Kjønstad, Asbjørn og Syse, Aslak, Velferdsrett I, Grunnleggende rettigheter, rettsikkerhet og tvang, 5.utg.
2.opplag 2014, s.81
8 Forarbeider til lovgivningen har i Norsk rett stor rettskildemessig vekt for å gi veiledning og svar når lovene skal tolkes og anvendes. I helselovgivningen er forarbeidene en viktig retts- kilde når man skal finne rettsregelen. Det er likevel slik at en må nyansere forarbeidenes rettskildemessige vekt etter hvor grundig de er utarbeidet, hvor gamle de er eller om lover er blitt utarbeidet under tidspress.
Relevante forarbeider for oppgavens fremstilling er gjengitt i litteraturlisten. Jeg vil trekke fram NOU 2009:1, Ot.prp. 92 (1998-1999) og Prop.72 L (2013-2014) Pasientjournalloven og helseregisterloveni denne sammenheng.
Helselovgivningen er i stor grad fullmaktslovgivning, og forskrifter er en svært omfattende og praktisk viktig del av det helserettslige rettskildebildet og bare til de fire “store” helselovene vedtatt i 1999 er det kommet over 40 forskrifter.
Av betydning for oppgavens fremstilling er personopplysningsforskriften, forskrift 21. de- sember 2000 nr. 1385 om pasientjournal (pasientjournalforskriften), forskrift 20. desember 2002 nr. 1731 om internkontroll i sosial- og helsetjenesten (internkontrollforskriften), forskrift 27. juni 2003 nr. 792 om kvalitet i pleie- og omsorgstjenestene (kvalitetsforskriften), forskrift 17. desember 2914 nr. 1757 om tilgang til helseopplysninger mellom virksomheter og for- skrift 01. juli 2015 nr. 853 om IKT-standarder i helse- og omsorgstjenesten.
Det følger av den alminnelige rettskildelæren at rettspraksis, spesielt høyesterettsavgjørelser, er viktig kilde i norsk rett.21 Det foreligger lite rettspraksis som er relevant for oppgavens tema. En dom av stor betydning når det gjelder synet på pasientjournal er “sykejournaldom- men” inntatt i Rt.1977 s.1035. Av internasjonale dommer er EMDs dom I v. Finland22 rele- vant når det gjelder uautorisert tilgang på opplysninger i en pasientjournal.
Hver dag blir det tatt en stor mengde avgjørelser i helsesektoren, og forvaltningspraksis og sedvane utgjør en stor del av rettskildebildet. Helsedirektoratet har utgitt flere rundskriv om hvordan de ulike helselovene skal forstås og forvaltes. Jeg har i hovedsak støttet meg på rund- skriv gitt til helsepersonelloven.
Mye og omfattende juridisk litteratur foreligger om temaet personvern, taushetsplikt og for- svarlig helsehjelp. Det har vært utfordrende å få god oversikt over de siste oppdateringene og rettsoppfatninger med bakgrunn i at lovgivningen og samfunnsutviklingen “ligger foran” mye
21 Eckhoff og Helgesen, op.cit., s.26.
22I v. Finland (no. 20511/03), The European Court of Human Rights, Strasbourg 17. juli 2008
9 av litteraturen. I hovedsak har kildene vært Befring og Ohnstad (2010), Ohnstad (2003), Ohnstad (2003) og Johansen, Kaspersen og Skullerud (2001). Jeg har støttet meg til Eckhoffs allment anerkjente prinsipper for rettskildebruk.
Av andre ressurser er ulike nettsider tilknyttet temaet benyttet som litterære juridiske kilder, blant annet Datatilsynets nettsider om personvern og EU forordningen.
Ulike verdier, prinsipper og reelle hensyn er av ulik betydning i tolkningen av helselovgiv- ningen. I helseretten er det særlig rettsikkerheten til pasienten og tillit til helsevesenet som tillegges vekt. Regelverket skal i størst mulig grad fremstå som forståelig slik at den enkelte skal kunne beregne sin rettsstilling. Her kommer forsvarlighetskravet inn som et reelt hensyn.
Hensynet til samfunnsøkonomi og mest mulig effektiv utnyttelse av ressursene er også sent- ralt.
Kildene kan sies å tendere mot en holdning om at det er for enkelt å få tilgang til personsensi- tive opplysninger, og når det gjelder utvalget av kilder vil en ofte finne det en leter etter. En utfordring i systematikken er knyttet til at kildene viser til hverandre, og har ulik relevans etter om de er knyttet til gammel eller ny lovgivning.
1.5 Videre framstilling
For å kunne vurdere om reglene om personvern er til hinder for forsvarlig helsehjelp er det først nødvendig å få klarhet i hva en elektronisk pasientjournal (EPJ) er, og hvilke opplys- ninger den inneholder. Dette blir behandlet i kapittel 2.
Det er nødvendig å se på hva ordet personvern innebærer for å si noe om personvern i EPJ. En sentral del av regelverket for å sikre fortrolig behandling av sensitive opplysninger er reglene om taushetsplikt. I kapittel 3 vil disse reglene bli presentert.
Videre følger spørsmålet om opplysningene i en elektronisk pasientjournal blir behandlet i samsvar med pasientens personvern. En forutsetning for gode helsetjenester er tillit til helse- tjenesten. Dersom tilliten blir svekket ved at uvedkommende får tilgang til sensitive opplys- ninger, risikerer man at pasienten ikke vil formidle nødvendige opplysninger for å bli gitt for- svarlig helsehjelp. Jeg vil se på behandling av helseopplysninger i kapittel 4.
Forsvarlig helsehjelp er et omfattende og vidt begrep. I kapittel 5 ser jeg på innholdet i for- svarlighetskravet og forholdet mellom individuelt og organisatorisk ansvar.
I kapittel 6 vil jeg komme inn på noen utfordringer den elektroniske samhandlingen kan gi.
Avslutningsvis i kapittel 7 kommer jeg med noen avsluttende bemerkninger.
10
2 HVA ER EN PASIENTJOURNAL
2.1 Innledning
For å kunne vurdere forholdet mellom personvernet i elektroniske pasientjournaler og forsvar- lig helsehjelp, forutsettes en avklaring av hva en pasientjournal er og hvilke opplysninger den inneholder.
Pasientjournalforskriften § 3 bokstav a definerer en journal som:
“Samling eller sammenstilling av nedtegnede/registrerte opplysninger om en pasient i forbindelse med helsehjelp, jf. helsepersonelloven § 40 første ledd.”
Fysisk består en journal av ulike dokumenter, blant annet epikrise (oppsummerende tilstands- rapporter etter utskriving fra sykehus, viktige analyser eller operative inngrep), journalark (medisinering mv), journalnotater (undersøkelser og vurderinger av pasientens tilstand, feks.
diagnose), sykepleienotater og korrespondanse.
Tradisjonelt har disse opplysningene vært nedtegnet for hånd og samlet i “kardeks”, “mappe”
eller annen sammenstilling av dokumenter som dannet en papirjournal.
De IT- systemer som benyttes for å registrere, bevare og gi tilgang til opplysninger i elektro- niske pasientjournaler, kalles EPJ.
Ut fra helsepersonelloven og pasientjournalforskriften kan EPJ defineres som “en elektronisk samling eller sammenstilling av nedtegnede/ registrerte opplysninger om en pasient i forbin- delse med helsehjelp.”23
2.1.1 Bakgrunn
Nedtegnelser av helseinformasjon om enkeltpasienter kan spores tilbake til legestandens be- hov for å ha en viss oversikt over hvilke medisiner den enkelte fikk og hvilken behandling de mottok. Utgangspunktet var at informasjonen skulle være forbeholdt behandleren, og legens lojalitet og forpliktelse overfor pasienten var ansett som en forutsetning for pasientens ønske om å bruke hans tjenester.24
Legen noterte gjerne informasjonen i en bok, og etterhvert ble dette mer og mer systematisert.
I dag samles det inn store mengder informasjon om enkeltpersoner i helsetjenesten. Helseopp- lysninger blir i stadig større grad etterspurt som dokumentasjon både i forbindelse med forsk- ning, myndighetsvedtak, utvikling av tjenester og ved ulike privatrettslige disposisjoner.
23 https://ehelse.no/standarder-kodeverk-og-referansekatalog/elektronisk-pasientjournal-epj sitert 06.10.2016
24 Befring og Ohnstad, op.cit., s.278
11
“Sykejournaldommen” endret synet på journaler. Journalen var ikke lenger legens lukkede arbeidsredskap, pasienter skulle få innsyn i egen journal. Med lovgivning i henhold til dette la det grunnlaget for at pasientenes råderett over journalen gradvis ble styrket gjennom rett til innsyn, rett til kopi, retting og sletting. Det var likevel først gjennom “den store helserefor- men” i 2001 at journaler gikk fra å bli omtalt som legejournal, tannhelsejournal osv., til å bli benevnt som pasientjournal. Målsetningen var å endre fokuset fra helsepersonellets arbeidssi- tuasjon til pasientens behov og posisjon.25
Ny teknologi gjør kommunikasjon og mangfoldiggjøring av opplysninger stadig enklere og stiller større krav til dokumentasjon og tilgjengelighet. Krav til effektiv utnyttelse av ressurser tvinger seg frem med bakgrunn i høyere levealder og færre helsearbeidere.
2.1.2 Innhold i en pasientjournal, herunder EPJ
Alle opplysninger av betydning for undersøkelse, diagnostisering, behandling og oppfølging av pasienten skal dokumenteres i pasientjournalen.26
Pasientjournalen kan fortsatt i noen tilfeller være en kombinasjon av EPJ og papirjournaler.
Det kan finnes flere EPJer og papirjournaler for en pasient, avhengig av hvor mange aktører pasienten mottar helsehjelp fra.
I pasientjournalforskriften § 5 (4) framgår det:
“Dersom journalen føres delvis elektronisk og delvis som papirjournal, skal det klart fremgå av begge hvilken dokumentasjon som føres i den elektroniske journalen og hvilken dokumentasjon som føres som papirjournal.”
Ordlyden i bestemmelsen tyder på at det også er adgang til å føre til journal som papirjournal, men bestemmelsen er fra før 2014 hvor det ble gjort nye og klare regler om krav til elektro- nisk føring av journal. Forskrift om IKT standarder i helse- og omsorgstjenester, gitt i med- hold av pasientjournalloven § 7, fastslår i § 3 at behandlingsrettede helseregistre skal føres elektronisk. Helsepersonelloven § 46 ble opphevet, da bestemmelsen var blitt overflødig og misvisende etter at pasientjournalloven ble vedtatt.27
25 Befring og Ohnstad, op.cit., s.279
26 Ot.prp. nr.5 (1999-200) Om lov om helseregistre og behandling av heldeopplysninger, pkt 8.1 s.102
27 Innst.303L (2014-2015) Innstilling fra helse- og omsorgskomiteen om endringer i helsepersonelloven og hel- setilsynsloven (spesialistutdanningen m.m.) punkt 1.3.1
12 Helsepersonelloven kap.8 regulerer krav til skriftlig dokumentasjon og behandling av infor- masjon i pasientjournalen. Det følger av helsepersonelloven § 39 og pasientjournalforskriften
§ 5 at den som yter helsehjelp skal registrere opplysninger jf. helsepersonelloven § 40 i en journal for den enkelte pasient.
Helsepersonell skal dokumentere observasjoner av betydning, vurderinger og tiltak. Doku- mentasjonsplikten skal sikre adekvat og forsvarlig utredning, diagnostisering, behandling og oppfølging av pasienter ved at opplysninger om den enkelte er nedskrevet eller dokumentert.28 Ettersom slik registrering er pliktig, er det er ikke slik at pasienten selv kan velge om det skal føres journal, men har rettigheter til innsyn, rett til kopi av journal, rett til retting og sletting.
Dokumentasjonsplikten er begrunnet i pasientens behov for forsvarlig oppfølging og helse- hjelp, noe som innebærer at det ikke statuerer en rett for helsepersonell til å journalføre etter eget forgodtbefinnende.29
Den som mottar helsehjelp må, som prinsipp, akseptere at opplysninger knyttet til helsehjel- pen blir ført i en journal. Det er i helsepersonelloven § 3 (3) definert hva som ligger i begrepet helsehjelp:
“enhver handling som har forebyggende, diagnostisk, behandlende, helsebevarende, rehabiliterende eller pleie- og omsorgsformål som utføres av helsepersonell.”
Pasient- og brukerrettighetsloven § 1-3 bokstav c definerer helsehjelp med samme ordlyd som i helsepersonelloven § 3 (3). Pasientjournalloven § 2 bokstav c har også definert helsehjelp på samme måte. Lovgivningen er ut fra dette ensartet når det gjelder definisjon på helsehjelp.
Formålet med journalføringsplikten er å sikre at opplysninger som er nødvendige og relevante for forsvarlig behandling av pasienten blir nedtegnet og kan gjenfinnes. Journalføringspliktens formål er å gi tilsynsmyndigheter og andre relevante instanser innsyn i helsehjelpen som er gitt.30
Journalføring skal bidra til effektiv og god oppfølging av pasienten, og det er informasjon om helsetilstanden, vurderinger av pasienten, undersøkelse og behandling som nedtegnes.31
28 Ohnstad, op.cit., s.171
29 Befring og Ohnstad, op.cit., s.297
30 ibid. s.297
31 ibid. s.280
13 Det er forutsatt i loven at det finnes en journal for hver pasient i helseinstitusjonen, og ikke en journal for hver yrkesgruppe.
Krav til journalens innhold og form, herunder EPJ, følger av helsepersonelloven § 40:
“Journalen skal føres i samsvar med god yrkesetikk og skal inneholde relevante og nødvendige opplysninger om pasienten og helsehjelpen, samt de opplysninger som er nødvendige for å oppfylle meldeplikt eller opplysningsplikt fastsatt i lov eller i med- hold av lov. Journalen skal være lett å forstå for annet kvalifisert helsepersonell.”
Formålet med bestemmelsen er å sikre at journalen oppfyller sin funksjon som redskap for ytelse av forsvarlig helsehjelp, og som dokumentasjon til bruk i tilsynssaker, erstatningssaker o.l. Vedlegg regnes som nevnt også til journalen. Både skriftlig og elektronisk materiale, lyd og bilder regnes til journalen når det er registrert og oppbevart tilknyttet en pasient.
Det framgår av bestemmelsen at det skal føres “relevante og nødvendige opplysninger.” Ut fra denne ordlyden legges det noen rammer for hva som skal føres. Det er bare de opplysning- er som er relevante og nødvendige som skal nedtegnes i pasientjournalen, noe som videre skal bidra til å gjøre pasientjournalen ryddig og oversiktlig.
Hva som menes med relevant og nødvendige opplysninger er ytterligere presisert i forskrift om pasientjournal. I forskriftenes § 8 er det angitt en punktvis oppramsing av hvilke opplys- ninger som anses som relevant i en pasientjournal.
Informasjon som ikke har betydning for helsehjelp, skal ikke ut i fra dette ikke nedtegnes i journalen.
Kort sammenfattet kan en si at pasientjournalen består av skriftlige nedtegnelser av pasient- opplysninger som omfattes av reglene om taushetsplikt, opplysningsplikt og meldeplikt.
3 PERSONVERN OG TAUSHETSPLIKT
3.1 Personvern
3.1.1 Bakgrunn og innledning
Som nevnt i punkt 1.3.1 er ikke begrepet “personvern” gitt noen legaldefinisjon i lovgivning- en, og blir tillagt ulikt innhold i ulike sammenhenger.
Begrepet dukket opp i forbindelse med offentlige utredninger som var utgangspunktet for personregisterloven. Begrepet er mye brukt i juridisk teori og i den offentlige debatt.
14 Sammen med straffeloven 1902 § 390 som benyttet begrepet “privatlivets fred”, dannet høy- esterettsavgjørelsen Rt.1952 s.1217 “To mistenkelige personer” det rettslige utgangspunktet før personregisterloven kom i 1978.32
Et grunnleggende prinsipp i vår rettsorden er at borgernes integritet skal beskyttes. En kan si at det er vern av en persons mulighet til å kontrollere sin egen privatsfære.
Et vesentlig element i personvernet er at personer i utgangspunktet skal kunne bestemme hva andre skal få vite om deres personlige forhold. Retten til å bestemme hva andre skal få vite er begrenset når andre hensyn tillegges større vekt. Dette kan være samfunnshensyn eller pasi- entinteresser.33
Personvernbegrepet refererer ikke bare til vernet av privatlivets fred og den enkeltes personli- ge integritet. I norsk forståelse innebærer begrepet i stor grad også vernet av individets rett til å ha innflytelse på bruk av og spredning av personopplysninger om seg selv. Den enkelte skal i størst mulig grad kunne bestemme over egne personopplysninger.34
Personvern er ikke bare knyttet til det som er skrevet. Bilder og video kan være like integri- tetskrenkende. Reglene om beskyttelse av privatlivets fred vil derfor gjelde også for publise- ring av bilder, og dagens digitalisering stiller personvernet overfor nye utfordringer i forhold til prinsippet om “retten til å bli glemt”.
Hensynet til personvernet tilsier at det alltid må foretas en grundig avveining av de ulike in- teressene som grunnlag for konklusjon om at samfunnshensyn må tillegges større vekt enn personvernet til den enkelte.
I NOU 2009:1 s.17 skiller personvernkommisjonen mellom personvern og personopplys- ningsvern. Med personvern forstår kommisjonen ivaretakelse av personlig integritet, ivareta- kelse av enkeltindividers mulighet for privatliv, selvbestemmelse (autonomi) og selvutfoldel- se. Personopplysningsvern mener kommisjonen dreier seg om regler og standarder for be- handling av personopplysninger som har ivaretakelse av personvern som hovedmål.
Personvernkommisjonen uttaler videre: “Helsetjenesten skal løse mange oppgaver og er under et konstant press med tanke på både å gjøre mer (behandle flere), forbedre tjenestetilbudet (ta i bruk ny kunnskap og nye metoder, øke kvaliteten, fremme sikkerheten) og sørge for at tje-
32 Johansen, Kaspersen og Skullerud, op.cit., s.32
33 https://www.datatilsynet.no/personvern/hva-er-personvern/ sitert 24.10.2016
34 Ibid.
15 nestene er kostnadseffektive. Helsetjenesten er avhengig av tilgang på helseopplysninger for å kunne gi pasientene forsvarlig og individuelt tilpasset helsehjelp. Samtidig er personopplys- ninger om helseforhold og sosiale omstendigheter blant de mest private og sensitive, og det er derfor viktig at disse er godt beskyttet både rettslig og i praksis.”35
3.1.2 Personvern i norsk lovgivning
Ett av de rettslige grunnlagene som gir generelle bestemmelser om behandlingen av person- opplysninger er personopplysningsloven. Lovens formål jf. §1 (1) er
“å beskytte den enkelte mot at personvernet blir krenket gjennom behandling av per- sonopplysninger”.
Personopplysningsloven § 5 tar høyde for at andre særlover kan regulere behandling av per- sonopplysninger. For eksempel er privatlivets fred vernet i straffeloven36 § 267. Videre gjel- der dette regler om taushetsplikt.
Det finnes imidlertid også noen lover som er ren spesiallovgivning om behandling av person- opplysninger. Eksempel på dette er lov 28.mai 2010 nr. 16 om behandling av opplysninger i politiet og påtalemyndigheten (politiregisterloven), pasientjournalloven og helseregisterloven.
Personopplysningsloven inneholder regler som griper inn både offentlig og privat, og gjelder på tvers av lovverket for øvrig. Spesialreglene i spesiallovene er viktige fordi de er regler for behandling av en bestemt type personopplysninger. Det må antas at disse spesialreglene er spisset og tilpasset bedre behandling av personopplysninger enn den generelle personvernlov- givningen.
En kan også si at personopplysningsloven må anses som en spesiallov om behandling av per- sonopplysninger, og i henhold til lex specialis- prinsippet da går foran annen lovgivning av mer generell karakter. Det samme prinsippet medfører også at personopplysningsloven må vike når det finnes lovbestemmelser som regulerer en bestemt behandling av personopplys- ninger.37
Menneskerettighetsutvalget uttalte i sin rapport fra 2012 at “En grunnlovfesting av privatlivets fred, personvern og personopplysningsvern vil fremheve det rettslige utgangspunkt om ivare- takelse av disse verdiene i norsk rett.”38
35 NOU 2009: 1 s.22
36 Lov 20. mai 2005 nr. 28 om straff (straffeloven)
37 Johansen, Kaspersen og Skullerud, op.cit. s.43
38 St.meld nr.11 (2012-2013) Personvern- utsikter og utfordringer s.12
16 Retten til personvern ble grunnlovsfestet i 2014, og i §102 heter det:
“Enhver har rett til respekt for sitt privatliv og familieliv, sitt hjem og sin kommunika- sjon. Husransakelse må ikke finne sted, unntatt i kriminelle tilfeller.
Statens myndigheter skal sikre vern om den personlige integritet.”
3.1.3 EUs personverndirektiv og menneskerettighetene
Personvern, herunder personopplysningsvern, er en del av menneskerettighetene og inngår i flere internasjonale konvensjoner. Norge er dermed ikke alene om å ha regler om personvern.
Alle de nordiske landene har i likhet med oss en spesiallov om behandling av personopplys- ninger. Sverige fikk sin første personlovgivning i 1973, og Danmark har hatt personregister- lovgivning fra 1987 som senere er erstattet av nye personvernlover.
Utenfor Europa finner vi personlovgivning av varierende omfang. USA, Canada og Australia nevnes i denne sammenheng. Flere av de ikke- europeiske landene har ratifisert og følger OECDs “Guidelines” (Guidelines Governing the protection of Privacy and Transborder Flow of Personal Data) for behandling av personopplysninger.
3.1.3.1 Personverndirektivets innflytelse på norsk rett
Internasjonalt regelverk har stor betydning for utviklingen av det norske regelverket om per- sonvern.
Viktige internasjonale regler på personvernområdet finnes i Den europeiske unionens person- verndirektiv 95/46/EF av 24. oktober 1995 om beskyttelse av fysiske personer i forbindelse med behandling av personopplysninger og om fri utveksling av slike opplysninger og Europa- parlamentets og Rådets direktiv 2002/58/EF af 12.juli 2002 om behandling af personopplys- ninger og beskyttelse af privatlivets fred i den elektroniske kommunikasionssektor (Direktiv om databeskyttense inden for elektronisk kommunikation). I tillegg finner vi i EUs charter om grunnleggende rettigheter (Charter of fundemental rights av 2000 artikkel 7 og 8). 39
EU- direktivene gjelder alle EØS- land (EU og EFTA-landene). EUs charter gjelder bare EU- landene. Til Europarådskonvensjonen er det gitt flere retningslinjer som gjelder for mer av- grensede områder og til EU- direktivet er det gitt spesielle regler for amerikanske selskaper som ønsker adgang til personopplysninger innen EØS/EU.
39 Johansen, Kaspersen, og Skullerud, op.cit., s.47
17 Norge ratifiserte den 20.februar 1984 Europarådets konvensjon av 28.januar 1981 nr.108 om personvern i forbindelse med elektronisk databehandling av personopplysninger. Konvensjo- nen gjelder for all lagring og behandling av personopplysninger på edb (elektronisk databe- handling) uavhengig om denne skjer helt eller delvis elektronisk.40
Dette vil si at i de aller fleste tilfeller der personopplysninger blir behandlet, vil det være uten betydning om opplysningene er organisert i et register eller ikke.
Personverndirektivets formål er å etablere felles reguleringsprinsipper og et ensartet vern for behandling av personopplysninger i hele EU- området. Direktivet skal sikre fysiske personers grunnleggende rettigheter og friheter, spesielt retten til privatlivets fred, jf. art.1. Samtidig har direktivet som formål å sikre fri utveksling av personopplysninger mellom medlemsstatene.41 Direktivet inneholder viktige elementer om prinsipper om en uavhengig tilsynsmakt, krav til rettslig grunnlag for behandling av personopplysninger og aktiv informasjonsplikt for den behandlingsansvarlige overfor de registrerte.42
Direktivet har et diffust preg, men artikkel 8 nr.1 oppstiller i utgangspunktet et forbud mot å behandle elektronisk eller som en del av et manuelt personregister visse typer personopplys- ninger som er særlig følsomme (sensitive personopplysninger). I nr.2-5 åpnes det for å fastset- te nærmere bestemte unntak fra forbudet. Unntaksreglene er å anse som uttømmende regler for når sensitive personopplysninger kan behandles.43
Reglene i direktivet inneholder minimumsstandarder for lovgivning, hvilket betyr at det en- kelte land står noenlunde fritt til å gi flere og mer omfattende personvernregler. Om vi sam- menligner norsk personvernlovgivning med andre lands lovgivning, kan den norske person- vernlovgivningen sies å være relativt “streng”.
Personopplysningloven ble i vesentlig grad bygd på personverndirektivets begreper og prin- sipper, noe som også har hatt betydning for utformingen av senere særlovgivning, blant annet helseregisterloven. Norge har fulgt direktivet nøye. Det er klart i forarbeidene både til person- opplysningsloven 44, helseregisterloven 45 46 og pasientjournalloven 47 at det har vært et mål å ligge tett opp mot disse reglene.
40 Johansen, Kaspersen, og Skullerud, op.cit., s.48
41 St.prp. nr.34 (1999—2000) Om samtykke til godkjenning av EØS- kommiteens beslutning nr. 83/1999 av 25.
Juni 1999 om endring av EØS avtalens protokoll 37 og vedlegg XI (telekommunikasjonstjenester)
42 St.meld. nr.11 (2012-2013) s.21
43 St.prp. nr.34 (1999-2000) s.3
44 Ot.Prp. Nr.92 (1998-1999)
18 2002/58/EF direktivet supplerer direktiv 96/46/EF. Direktivet omhandler kommunikasjon og kommer til anvendelse i forhold til behandling av personopplysninger når det kommer til til- bud om offentlige elektroniske kommunikasjonstjenester- og nett. Direktivet skal sikre lik beskyttelse, uavhengig av hvilken teknologi som er benyttet.
3.1.4 Ny EU- forordning og lovgivning
Dagens personvernlovgivning bygger på personverndirektivet fra 1995. Den teknologiske utviklingen tilsier at det er på tide å oppdatere gjeldende personvernlovverk for å sikre at det er tilpasset den digitale tiden vi lever i.
25. januar 2012 la Europakommisjonen frem forslag til modernisering av EUs personvernreg- ler. Et av hovedtrekkene i den såkalte “personvernpakken” er et forslag til en generell forord- ning om behandling av personopplysninger. Forordningen er den største endringen innen per- sonvernlovgivning i Europa på over 20 år og skal erstatte gjeldende personverndirektiv 95/46/EF. Forordningen ble formelt vedtatt i EU-institusjonene den 14. april 2016 og vil tre i kraft 25. mai 2018. 48
Forordningen pålegger personvernmyndighetene å samarbeide og utveksle erfaringer og in- formasjon over landegrensene. Den etablerer mekanismer for konflikthåndtering i de tilfellene ulike land har ulik forståelse av hvordan reglene skal tolkes.
Mange virksomheter må opprette personvernombud, og databehandlere får nye og flere plik- ter. Reglene for avvikshåndtering skjerpes, og det kommer retningslinjer for hvilke momenter som skal tas med i vurderingen hvis personopplysninger skal brukes til andre formål enn de er samlet inn for.
De nye reglene stiller krav til at nye tiltak og systemer skal utarbeides på en mest mulig per- sonvernvennlig måte, såkalt innebygd personvern. Virksomhetene må før behandlingen av personopplysninger starter vurdere konsekvensene for personvernet, og når det er nødvendig å drøfte med Datatilsynet hvordan risikoen for personvernet kan minimeres.
45 Ot.Prp. Nr.5 (1999-2000)
46 Prop.72 L (2013-2014) Pasientjournalloven og helseregisterloven
47 Prop.72 L (2013-2014)
48 https://www.regjeringen.no/no/tema/statlig-forvaltning/personvern/nye-personvernregler-i-eu/id2340094/
sitert 03.11.2016
19 Reglene skal gi enkeltpersoner større kontroll over egne personopplysninger gjennom en ster- kere rett til å motsette seg visse former for behandling, kreve at personopplysningene slettes (retten til å bli glemt) eller overføres til en annen tjenesteleverandør (dataportabilitet).49
3.1.4.1 Menneskerettighetene
Som nevnt i punkt 1.3.1, er det at alle mennesker har en ukrenkelig verdi forankret i EMK artikkel 8. En har som enkeltmenneske en rett til en privat sfære som en selv kontrollerer.
Verdenserklæringen for menneskerettigheter av 1948 artikkel 12, FNs konvensjon om sivile og politiske rettigheter artikkel 17 og FNs konvensjon om barnets rettigheter artikkel 6 inne- holder også bestemmelser som verner privatlivets fred.
Det er ingen tvil om at sensitive personopplysninger faller inn under EMK artikkel 8s ordlyd.
Dette er også uttrykkelig uttalt av Den europeiske menneskerettighetsdomstol (EMD) i I v.
Finland i premiss 35: “Personal information relating to patient undoubtely belongs to his or her private life. Article 8 is therefore applicable in the instant case.” Det presiseres i den samme dom i premiss 36, at staten ikke bare har en plikt til å unnlate å foreta handlinger som krenker privatlivet, men også en aktiv plikt til å sørge for effektivt vern.
Gjennom lov 21.mai 1999 nr. 30 om styrking av menneskerettighetenes stilling i norsk rett (menneskerettighetsloven) har bestemmelser i konvensjoner som er nevnt i § 2 forrang ved motstrid jf. § 3. I forbindelse med grunnlovsendringene i 2014 ble menneskerettighetene styr- ket i norsk rett.
3.2 Taushetsplikt
3.2.1 Bakgrunn og innledning
Taushetsplikten er regulert av flere bestemmelser i lovverket. Den utgjør en sentral del av personvernet og anses som et virkemiddel for å fremme vern om personinteresse. Taushets- plikt og personvern kan sies å være to sider av samme sak.
Taushetsplikten stammer fra Den hippoktatiske ed, kjent som legeløftet, som opprinnelig ble nedfelt i Hellas ca. fem hundre år f.Kr. Løftet praktiseres ikke lenger i Norge, men ble ansett som en betingelse for at man kunne kalle seg lege og utføre sin legegjerning.
49 https://www.datatilsynet.no/Regelverk/EUs-personvernforordning/hva-blir-nytt-med-forordningen/ sitert 03.11.2016
20 Taushetsplikten anses som grunnleggende for tillitsforholdet mellom innbyggerne og helse- personell, og dermed helsevesenet. “Ingen skal unnlate å søke nødvendig helsehjelp av frykt for hva legen dermed får vite” uttaler lovavdelingen i Justisdepartementet (Wilhelm Matheson og Geir Woxholth: Lovavdelingens uttalelser i 1990, s.506).50
Mange vil ha interesse av de opplysninger helsepersonell får, og plikten til å overholde taus- het skal også være med på å motvirke misbruk og feilbruk av pasientinformasjon. Taushets- plikten skal bidra til at befolkningen oppsøker helsevesenet ved behov for helsehjelp, og til at pasienter gir nødvendige opplysninger i forbindelse med helsehjelpen.51
Taushetsplikt innebærer plikt til å bevare taushet om bestemte forhold, og retter seg mot den som i sin yrkesutøvelse har mottatt, eller på andre måter blitt kjent med opplysninger om pa- sientforhold. Fagpersonells plikt står i motsvar til pasientens rett til konfidensialitet.52
Begrunnelsen for taushetsplikt er ønsket om å verne enkeltindividets private interesser og sfære. Tillit til helsevesenet og effektivitet i helsevesenet er andre samfunnsmessige interesser som skal ivaretas.53
Taushetsplikten kan også forankres i grunnleggende menneskerettigheter, jf. EMK art.8 som gir generelt vern om privatliv og korrespondanse.
Pasientens rett til vern mot spredning av opplysninger springer ut av pbrl. § 3-6 (1). Jf. Ot.prp.
nr. 51 (2008-2009) Om lov om endringer i helseregisterloven og helsepersonelloven (tilgang til behandlingsrettede helseregistre på tvers av virksomhetsgrenser og etablering av behand- lingsrettede helseregistre på tvers av virksomheter) s.17 er formålet med pbrl. å bidra til å sikre befolkingen lik tilgang på helsehjelp av god kvalitet ved å gi pasienter rettigheter over- for helsetjenesten. Bestemmelsene i loven skal bidra til å fremme tillitsforholdet mellom pasi- ent og helsetjeneste, og ivareta respekten for den enkelte pasients liv, integritet og menneske- verd jf. pbrl. § 1-1 (2).
3.2.2 Helsepersonells taushetsplikt
Den profesjonsbestemte, eller yrkesmessige taushetsplikt, betegner den taushetsplikt man har som utøver av et bestemt yrke.
50 Befring og Ohnstad, op.cit., s.203
51 ibid., s.202-203
52 Ohnstad, op.cit. s.23
53 Ibid., s.17
21 Helsepersonell er i helselovgivningen en fellesbetegnelse for offentlig godkjent personell som arbeider i helsetjenesten. Helsepersonelloven inneholder blant annet bestemmelser om krav til yrkesutøvelsen, opplysningsplikt, autorisasjon, spesialistgodkjenning osv. De som omfattes av helsepersonelloven § 48, jf. § 3, er 27 ulike profesjoner, eksempelvis tannleger, sykepleiere, leger, psykologer og jordmødre.
Omfattet av begrepet helsepersonell er videre personell i helsetjenesten eller i apotek, så fremt de utfører “handling som har forebyggende, diagnostisk, behandlende, helsebevarende , re- habiliterende eller pleie- og omsorgsformål” jf. § 3 nr. 2, jf. § 3 (3).
Taushetsplikten gjelder alt helsepersonell som yter helsehjelp jf. helsepersonelloven § 3. Også personell som yter tjenester etter helse- og omsorgstjenesteloven, uten at det anses som helse- hjelp, har taushetsplikt jf. helse- og omsorgstjenesteloven § 2-1.
Hovedregelen om taushetsplikt følger av helsepersonelloven § 21:
“Helsepersonell skal hindre at andre får adgang eller kjennskap til opplysninger om folks legems- eller sykdomsforhold eller andre personlige forhold som de får vite om i egenskap av å være helsepersonell.”
Denne bestemmelsen korresponderer med pasientens rett mot spredning av opplysninger etter pbrl. § 3-6. Bestemmelsen må også ses i sammenheng med pasientjournalloven § 15 og helse- registerloven § 17.
Formålet med helsepersonells taushetsplikt er å bidra til å verne om pasientens integritet, sikre befolkingens tillit til helsepersonell og helse- og omsorgstjenesten samt sikre kvalitet i helse- og omsorgstjenesten.
Tillitsforholdet mellom helsepersonellet og pasienten er det primære, og hensynet til pasien- ten skal og vil stå i fokus når taushetspliktens innhold og rekkevidde skal fastlegges. Dette vil si at begrepet “hindre” innebærer både en passiv og en aktiv plikt for helsepersonell til å hind- re at opplysninger bringes videre til andre, eller kommer ut på annen måte.
Helsepersonelloven § 21 er en videreføring av tidligere bestemmelser i legeloven og tannlege- loven. Den representerer også en kodifisering av praksis når det gjelder annet autorisert helse- personell.54 Bestemmelsen er i tillegg gjort gjeldende for alle som behandler helseopplysning- er i helse- og omsorgstjenesten og helseforvaltningen.
54 Befring og Ohnstad, op.cit., s.202
22 Taushetsplikt er begrenset til å gjelde de opplysninger man har fått kjennskap til i egenskap av å være helsepersonell. Det omfatter også opplysninger man får tilgang til på ens fritid eller utenfor tjenesteforholdet, så lenge helsepersonellet mottar disse i egenskap av å være helse- personell. Dette er i tråd med uttalelsene fra Høyesterett i Rt.1989 s.1363 om at dersom opp- lysninger som mottas på fritid og som anses for å være opplysninger mottatt i egenskap av å være sosialarbeider, er de berammet av taushetsplikten.
Med “legems- og sykdomsforhold” menes opplysninger knyttet til den enkelte person. Det vil si opplysninger om den enkeltes helsesituasjon og sykdomsforhold. Det kan være opplysning- er om pasientens helsetilstand, sykdom eller skade, men også opplysninger om pasienten er innlagt eller behandles ved sykehus, legevakt eller andre deler av helsetjenesten. I tillegg til helserelaterte opplysninger, omfattes opplysninger om “personlige forhold”. Her menes opp- lysninger som vil være knyttet til den enkelte person, typisk opplysninger om sosiale forhold, sivilstand, økonomiske forhold med videre, altså opplysninger som oppleves som “private”.55 Ordlyden “skal hindre” samsvarer med den aktive plikten til å hindre spredning av opplys- ninger som vi finner i forvaltningsloven56 § 13 (1). Forsvarlig håndtering og oppbevaring av pasientopplysninger er en forutsetning for å etterleve den lovbestemte taushetsplikten. Dette korresponderer med virksomhetseiers plikt til å tilrettelegge blant annet lokaler og vaktrom, samt sørge for forsvarlige journal- og informasjonssystemer i virksomheten jf. helse- og om- sorgstjenesteloven og spesialisthelsetjenesteloven.
Det ligger i menneskets natur å være nysgjerrig.
EMD-dommen I v. Finland fra 2008 er relevant i denne sammenheng. Saken gjaldt en finsk pasient som anla sak mot den finske stat. Pasienten var sykepleier, og hadde fra 1989-1994 jobbet på et offentlig sykehus. I samme periode hadde hun fått behandling for HIV på dette sykehuset. Sykepleieren begynte i 1992 å mistenke at kolleger visste at hun hadde HIV uten at hun hadde medelt denne informasjonen til de. Helsepersonell ved sykehuset hadde fri tilgang på pasientjournalene. Sykepleieren videreformidlet mistankene om “snoking” til sin lege, og tilgangen til pasientjournalen ble endret slik at kun behandlende personell fikk innsyn. Syke- pleieren ble gitt nytt falsk navn for å hindre at hun ble videre utsatt.
Sykepleieren gikk til sak mot den finske stat fordi hun mente at kollegene hadde sett i hennes journal uten at de hadde rettmessig tilgang til det. Hun mente videre at myndighetene ikke
55 Befring og Ohnstad, op.cit., s.203
56 Lov 10. Feb 1957 om behandlingsmåten i forvaltningssaker (forvaltningsloven)
23 hadde sørget for tilstrekkelig sikkerhet når det gjaldt urettmessig tilgang til pasientjournaler.
Sykepleieren hevdet dette var et brudd på EMK artikkel 8.
EMD fant enstemmig at det forelå brudd på EMK artikkel 8, og tilla saksøker erstatning for både økonomisk og ikke- økonomisk tap.
Helsepersonelloven § 21a fastslår at det er forbud mot urettmessig tilegnelse av taushetsbelag- te opplysninger:
“Det er forbudt å lese, søke etter eller på annen måte tilegne seg, bruke eller besitte opplysninger som nevnt i § 21 uten at det er begrunnet i helsehjelp til pasienten, ad- ministrasjon av slik hjelp eller har særskilt hjemmel i lov eller forskrift.”
Bestemmelsen ble tilføyd i 2008 som følge av overnevnte dom, samt en rekke hendelser hvor helsepersonell foretok urettmessige oppslag i pasientjournaler. Bestemmelsen skal styrke ver- net om taushetsbelagte opplysninger helsepersonell får vite om i egenskap av å være helseper- sonell jf. helsepersonelloven § 21.57
Formålet med bestemmelsen er å gi et klart forbud mot å tilegne seg pasientopplysninger uten tjenstlig behov og for å kunne sanksjonere slik tilegnelse.
Behovet for et slikt forbud er mer og mer aktuelt med den teknologiske utviklingen og mulig- hetene til elektronisk samhandling omkring pasientopplysninger.
3.2.3 Forvaltningsmessig taushetsplikt
For ansatte innen det offentlige som ikke har taushetsplikt etter helsepersonelloven § 21 er det forvaltningsloven §§ 13 flg. som er den mest sentrale loven om taushetsplikt. Det er gitt be- stemmelser som omfatter forvaltningsmessig taushetsplikt i spesialisthelsetjenesteloven § 6-1 og helse- og omsorgstjenesteloven § 12-1. Reglene i personopplysningsloven supplerer regle- ne om taushetsplikt til vern av private interesser.
Forvaltningsloven § 13 (1) lyder:
“Enhver som utfører tjeneste eller arbeid for et forvaltningsorgan, plikter å hindre at andre får adgang til eller kjennskap til det han i forbindelse med tjenesten eller arbeidet får vite om:
1) noens personlige forhold…”
57 Befring og Ohnstad, op.cit., s.211
24 Ut fra denne ordlyden er det klart at enhver som utfører arbeid eller tjeneste for en virksomhet som drives av forvaltningsorganer, og som omfattes av forvaltningsloven § 1, rammes av for- valtningslovens bestemmelser om taushetsplikt.
Et forvaltningsorgan er etter en alminnelig tolkning ethvert organ for stat eller kommune.
Forvaltningslovens § 13 (1) innebærer altså en personlig plikt for enhver som utførere tjeneste eller arbeid for et forvaltningsorgan.
En alminnelig tolkning av bestemmelsens ordlyd tilsier at man aktivt må sørge for at taus- hetsbelagte opplysninger ikke havner hos andre enn de som etter forvaltningsloven har krav på dem. Dette innebærer at man har plikt til å både tie om opplysninger og å hindre at uved- kommende får innsyn.58
En alminnelig tolkning av hva som ligger i “noens personlige forhold” tilsier at alle opplys- ninger som knytter seg til fysiske personer, i motsetning til juridiske personer, rammes. Både sosiale, helsemessige, følelsesmessige, religiøse, politiske, kriminelle, økonomiske og famili- ære opplysninger, såkalte personidentifiserbare opplysninger faller innenfor.59
Taushetsplikten omfatter som utgangspunkt alle opplysninger som knytter seg til fysiske personer. Det er opplysninger om fysisk og psykisk helse, personlighetsegenskaper,
følelsesliv, familieforhold, boforhold, utdanning, arbeid, økonomisk situasjon og andre sosiale forhold. I dataspråket omtales det gjerne som personidentifiserbare data.
Forvaltningsloven § 13 (1) må ses i sammenheng med § 13 c (2) “dokumenter og opplysning- er undergitt taushetsplikt, skal forvaltningsorganet oppbevare på en betryggende måte.”
Denne bestemmelsen innebærer en presisering av den aktive skjermingsplikten som oppstilles i § 13 (1). Det påhviler enhver som utfører tjeneste eller arbeid for et forvaltningsorgan en plikt til å hindre spredning av opplysninger.
3.2.4 Modifisert forvaltningsmessig taushetsplikt
I en mellomstilling mellom helseetatens taushetsplikt og forvaltningsmessig taushetsplikt, har vi den modifiserte forvaltningsmessige taushetsplikten. Her gjelder som utgangspunkt for- valtningslovens regler, men i avdempet og modifisert form.60
58 Eckhoff, Torstein, Forvaltningsrett 9.utg. ved Eivind Smith, 2010, s.258
59 ibid. s.258
60 Kjønstad, Asbjørn og Syse, Aslak, Velferdsrett II, Barnevern- og sosialrett, 4. utg. 2. Opplag 2014, s.150
25 Modifisert forvaltningsmessig taushetsplikt vil med andre ord si taushetsplikt som i utgangs- punktet følger reglene i fvl. §§ 13 til 13 f, men som det er gjort visse begrensinger i. Det inne- bærer at visse unntak i forvaltningsloven ikke kommer til anvendelse.
I motsetning til etter forvaltningsloven § 13, er det blant annet etter helse- og omsorgstjeneste- loven § 12-1 (2) og spesialisthelsetjenesteloven § 6-1 (2) gjort unntak ved at også fødested, fødselsdato, personnummer, statsborgerforhold, sivilstand, yrke, bosted og arbeidssted er om- fattet av taushetsplikten.
Barnevernet og sosialtjenesten har også en slik taushetsplikt. Grunnen til det kan være at deres klienter trenger utvidet beskyttelse og vern i sine omgivelser. Samtidig er personvernhensynet framtredende i slike saker.
3.2.5 Unntak fra taushetsplikt
Taushetsplikten er ikke et absolutt eller ufravikelig prinsipp. Når taushetspliktens innhold skal fastlegges kan andre hensyn enn enkeltindividers personvern komme i betraktning. Hensynet til pasienten kan tilsi at helsepersonell bør utveksle opplysninger både innad i virksomheten, og med andre virksomheter og forvaltningsorgan.
Taushetsbelagte opplysninger kan bare utleveres videre når lovgivningen setter opp unntak, og ifølge NOU: 2009: 1 punkt 16.4.3 har tallet vært økende.
En kan se på de mange unntakene som en uthuling av taushetsplikten, selv om den fortsatt står sterkt i forhold til vern av personlig integritet. Samfunnets interesse i å ha kontroll på for ek- sempel smittbare sykdommer, oppklare straffbare forhold og få mest mulig informasjon for å gi best behandling, kan gå på bekostning av den privates interesse om vern om personlig inte- gritet. I den grad dette er med på å svekke personvernet vil det i mange tilfeller være i inn- byggernes interesse i form av forebygging og økt grad av god helse.61 På denne måten sam- svarer unntakene i taushetsplikten med EMK artikkel 8 nr.2.
Forvaltningsloven § 13 a lyder:
“Taushetsplikten er ikke til hinder for:
1. at opplysninger gjøres kjent for dem som det direkte gjelder, eller for andre i den utstrekning de som har krav på taushet samtykker,”
61 Ohnstad, op.cit., s.55
26 Hensynet til pasienten og pasientbehandlingen er viktige begrunnelser for taushetsplikten i helsetjenesten. Det følger av en naturlig fortolkning at taushetsplikt ikke kan påberopes over- for vedkommende selv, og at pasienten selv, som hovedregel, har tilgang til sine opplysning- er.
Personvernhensyn tilsier at pasienten skal ha informasjon om opplysninger om sin helsetil- stand og situasjon, og dermed innsyn i sin journal. Dette er blant annet begrunnet i at enkelt- individet skal ha mulighet til å forutberegne sin rettsstilling.62 Innsynsretten er en grunnleg- gende rettighet i personvernsammenheng og hjemles i forvaltningsloven §§ 18 og 19, helse- personelloven § 41, pasient- og brukerrettighetsloven §§ 3-2 og 5-1, personopplysningsloven
§§ 18 flg., Pasientjournalloven § 18, og helseregisterloven § 24. Jeg vil ikke komme nærmere inn på disse bestemmelsene da de faller utenfor oppgavens problemstilling.
Siden den forvaltningsmessige taushetsplikten inneholder flere unntak enn taushetsplikten etter helsepersonelloven, innebærer endringene i pasientjournalloven og helseregisterloven en styrking av personvernet for den registrerte.63 Det er ikke er helt enkelt å få grep om begrun- nelsen i forarbeidene.
3.2.5.1 Samtykke
En viktig side av personvernet til pasienten er dens samtykkerett, og samtykke er hovedprin- sippet for å oppheve taushetsplikten.
Med samtykke menes tillatelse fra pasienten. Et samtykke må være frivillig, uttrykkelig og informert. Samtykket trenger ikke å være skriftlig, men for at samtykke skal være gyldig, fo- rutsetter det at det foreligger et informert samtykke. Det betyr at vedkommende som samtyk- ker, har fått uttømmende informasjon om hvilke opplysninger det gjelder, hvordan disse skal anvendes og eventuelle konsekvenser av dette. 64
Frivillighet innebærer blant annet at pasienter ikke må settes i en presset situasjon.
Med begrepet “uttrykkelig” sikter lovgiver til at samtykket skal være tydelig og konkret i for- hold til formålet som er definert. Dersom formålet for innhenting av opplysninger endrer seg eller utvides, kan det utløse behov for ny informasjon og nytt samtykke fra de berørte.65
62 Ohnstad, op.cit., s.56
63 Karl Harald Søvig, note 68 til helseregisterloven, Rettsdata. Noten er ny 13.09.2016
64 Befring og Ohnstad, op.cit., s.78
65 ibid. s.215
