Personvern og helseopplysninger: dine rettigheter som pasient

Hvorfor helseopplysninger er særlig beskyttet

Når du er syk eller trenger hjelp, må du fortelle helsepersonell ting du ellers ville holdt for deg selv. Det gjelder sykdom, behandling, familieforhold og økonomi. Helsenorge peker på at pasienten må kunne ha tillit til at opplysningene ikke kommer på avveie, fordi helsepersonellet trenger informasjonen for å gi riktig hjelp.

Flere lover regulerer dette. Formålet med pasientjournalloven er at relevante og nødvendige opplysninger raskt skal bli tilgjengelige for helsepersonell, samtidig som vernet mot at opplysninger gis til uvedkommende ivaretas. Helseregisterloven skal etter lovens formålsparagraf sikre at behandling av helseopplysninger skjer etisk forsvarlig og ivaretar den enkeltes personvern.

I tillegg gjelder personvernforordningen (GDPR) som norsk lov, jf. personopplysningsloven § 1. Taushetsplikten og reglene om samtykke står i helsepersonelloven og pasient- og brukerrettighetsloven.

Pasientjournalloven gjelder for dataansvarlige som er etablert i Norge. Er du usikker på hvem som er ansvarlig for opplysningene dine, er det virksomheten som har journalen, for eksempel sykehuset, kommunen eller legekontoret.

Taushetsplikten til helsepersonell

Etter helsepersonelloven § 21 er opplysninger om folks legems- eller sykdomsforhold og andre personlige forhold underlagt taushetsplikt, når helsepersonell har fått vite om dem i egenskap av å være helsepersonell. Plikten betyr at de ikke skal gjøre opplysningene tilgjengelige for andre, og at de skal hindre at andre får adgang eller kjennskap til dem.

Taushetsplikten omfatter også at helsepersonell ikke skal slå opp i opplysninger uten at det er begrunnet i helsehjelp, ifølge helsepersonelloven § 21. Helsepersonell skal ikke lese, søke etter eller på annen måte tilegne seg taushetsbelagte opplysninger med mindre det er begrunnet i helsehjelp eller administrasjon av slik hjelp, eller har hjemmel i lov. Nysgjerrighet på en kollega, en nabo eller en kjendis er altså ikke noen gyldig grunn.

Hva omfatter plikten? Ifølge Helsenorge er også sivilstatus, økonomiske og sosiale forhold taushetsbelagt. Det samme gjelder at du har time hos psykolog eller er innlagt på sykehus. Plikten varer også etter at helsepersonellet har sluttet i jobben.

Taushetsplikten er til for deg som pasient. Helsepersonell som deler personlige opplysninger i en sosial sammenheng, har ikke overholdt plikten, og de kan heller ikke diskutere din situasjon med kolleger som ikke samarbeider om din hjelp, ifølge Helsenorge. Plikten gjelder også andre som mottar opplysninger etter bestemte paragrafer, for eksempel samarbeidende personell som får tilgang til journalopplysninger.

Når helsepersonell kan eller må dele opplysninger

Hovedregelen er at helsepersonell bare kan gi opplysninger videre hvis du har samtykket, eller hvis det er bestemt i lov at de skal eller kan. Det oppsummerer Helsenorge. Du kan frita helsepersonellet helt eller delvis, og samtykket kan avgrenses til konkret informasjon, en enkelt diagnose eller et skadetilfelle.

Et sentralt unntak gjelder når helsepersonell samarbeider om behandlingen av pasienten, jf. helsepersonelloven § 25. Etter helsepersonelloven § 25 er taushetsplikten ikke til hinder for at opplysninger gjøres tilgjengelige for helsepersonell eller annet samarbeidende personell når opplysningene er relevante og nødvendige for å yte helsehjelp. Det er personellet som skal bruke opplysningene, som vurderer om de er relevante og nødvendige. Loven åpner også for forskrift om adgangen til å motsette seg slik tilgjengeliggjøring.

Du kan motsette deg at opplysningene dine deles med annet helsepersonell, og det gjør du ved å si fra til behandlingsstedet, opplyser Helsenorge. Det skal også framgå av pasientjournalen at annet helsepersonell er gitt tilgang.

Helsepersonelloven § 23 nevner flere situasjoner der taushetsplikten ikke er til hinder for å gi opplysninger videre. Eksempler er at ingen berettiget interesse tilsier hemmelighold, at individualiserende kjennetegn er utelatt, eller at tungtveiende private eller offentlige interesser gjør det rettmessig. Det samme gjelder når lov eller forskrift uttrykkelig sier at taushetsplikten ikke skal gjelde.

I tillegg finnes en opplysningsplikt. Helsenorge forklarer at helsepersonell har plikt til å varsle når pasienten eller andres liv kan være i fare. For pårørende betyr dette at de ikke har noen automatisk rett til opplysninger. Det må enten foreligge samtykke fra pasienten, eller det må finnes hjemmel i lov.

Samtykke: hva det betyr og hvordan du trekker det tilbake

Samtykke har to sider: samtykke til selve helsehjelpen og samtykke til at opplysninger deles. Helsenorge sier at helsepersonellet er ansvarlig for å gi deg tilstrekkelig informasjon til at du forstår hva samtykket innebærer. Du kan derfor spørre om hva som deles, med hvem og hvorfor, før du sier ja.

Hvem som kan samtykke til helsehjelp, avhenger av alder. Ifølge pasient- og brukerrettighetsloven § 4-3 har personer over 18 år rett til å samtykke, med mindre annet følger av loven. For personer mellom 16 og 18 år gjelder det samme, med mindre noe annet følger av særlig lovbestemmelse eller av tiltakets art.

For personer mellom 12 og 16 år gjelder samtykkeretten når det er helsehjelp for forhold som foreldrene ikke er informert om, eller når det følger av tiltakets art. Beslutningskompetansen kan falle bort hvis det er overveiende sannsynlig at pasienten ikke forstår hva beslutningen gjelder og konsekvensene av den. Den som yter helsehjelp, avgjør dette, og avgjørelsen skal være begrunnet og skriftlig.

På Helsenorge er samtykket delt i trinn, slik at du kan velge å samtykke til noen, flere eller alle tjenestene. Du kan når som helst trekke eller endre samtykket til at Helsenorge bruker helseopplysningene dine. Om du trekker det tilbake, har du fortsatt tilgang til innhold som ikke krever innlogging. Samtykket ser og endrer du under innstillinger på Helsenorge, opplyser Helsenorge.

Innsyn i egen journal

Etter pasient- og brukerrettighetsloven § 5-1 har du rett til innsyn i journalen din med bilag. Etter særskilt forespørsel har du også rett til kopi. Du kan be om en enkel og kortfattet forklaring av faguttrykk eller lignende, noe som er nyttig når journalen er skrevet i medisinsk språk.

Det finnes to veier. Du kan skrive til virksomheten som har journalen, for eksempel sykehuset eller legekontoret, og be om innsyn eller kopi. Du kan også lese deler av journalen digitalt på Helsenorge, der journaldokumenter og helseopplysninger som deles mellom behandlingssteder er samlet. Tjenesten krever samtykke til tilgangsnivå Basis eller høyere.

Datatilsynet forklarer at virksomheten skal gi innsyn uten ugrunnet opphold og senest innen en måned. Det skal ikke koste noe å bruke innsynsretten, og virksomheten kan kreve at du identifiserer deg. Dette er generelle regler etter personvernregelverket.

Innsyn kan nektes i noen tilfeller. Det gjelder hvis det er påtrengende nødvendig for å hindre fare for liv eller alvorlig helseskade for pasienten selv, eller hvis innsyn er klart utilrådelig av hensyn til personer som står deg nær. Da har din representant rett til innsyn i opplysningene du nektes innsyn i, med mindre representanten anses uskikket. En lege eller advokat kan ikke nektes innsyn uten at særlige grunner taler for det.

Nærmeste pårørende har rett til innsyn i journalen etter en pasients død, om ikke særlige grunner taler mot det, ifølge samme paragraf. Får du avslag, bør du be om skriftlig begrunnelse og vurdere klage. Datatilsynet oppgir at du kan klage hvis du mener du har krav på innsyn, og at det samme gjelder hvis virksomheten ikke har svart innen en måned.

Retting og sletting av journalopplysninger

Etter pasient- og brukerrettighetsloven § 5-2 kan pasienten, brukeren eller den opplysningene gjelder, kreve at opplysningene i journalen rettes eller slettes. Kravet behandles etter reglene i helsepersonelloven §§ 42 til 44.

Et krav om retting bør være skriftlig og konkret. Pek på hvilken opplysning som er feil, hva som er riktig og hvorfor du mener det. Legg ved dokumentasjon hvis du har det, for eksempel en annen epikrise eller en kopi av en henvisning. Det gjør det lettere for virksomheten å vurdere saken.

Personvernreglene gir generelt rett til retting og sletting, og rettighetene skal som hovedregel oppfylles gratis og innen en måned. Får du avslag, kan du klage. Opplysninger i eksterne tjenester du får tilgang til via Helsenorge, må du få rettet hos virksomheten som tilbyr tjenesten, for eksempel Skatteetaten for adresse fra folkeregisteret.

Hvem kan se journalen din, og loggen over innsyn

Ikke alle ansatte i en virksomhet skal kunne åpne journalen din. Helsenorge formulerer det slik at bare de som kan dokumentere behovet, har lov til å lese helseopplysningene dine.

Pasientjournalloven skal ivareta både rask tilgang for dem som behandler deg og vern mot at uvedkommende får opplysninger. En lege på en annen avdeling kan altså ikke åpne journalen din uten en grunn knyttet til behandlingen.

Du kan be om å få se hvem som har slått opp i journalen din. Datatilsynet påpeker at du ved innsyn i pasientjournalen også har rett til innsyn i loggen, altså navnet på dem som har slått opp og sett på journalen. Dette skiller seg fra den generelle regelen, der du ikke nødvendigvis har rett til navnene på ansatte.

Be gjerne om loggen skriftlig fra virksomheten, og oppgi hvilken periode du er interessert i. Ser du navn du ikke kjenner igjen, kan du spørre virksomheten hvorfor vedkommende hadde tilgang. Mener du at noen har sett i journalen uten saklig grunn, kan du be Statsforvalteren om en vurdering, opplyser Helsenorge.

Helseregistre og kjernejournal

Et helseregister er en samling opplysninger som brukes til formål utover den enkelte pasientens behandling. Helseregisterloven skal legge til rette for innsamling og annen behandling av helseopplysninger for å fremme helse, forebygge sykdom og skade og gi bedre helse- og omsorgstjenester. Samtidig skal loven sikre at behandlingen er etisk forsvarlig og ivaretar personvernet.

Kjernejournal er en nasjonal tjeneste som gir helsepersonell tilgang til viktige helseopplysninger, opplyser Norsk helsenett. Norsk helsenett beskriver den som et eget brukergrensesnitt som gjør pasientens helseopplysninger tilgjengelige for helsepersonell uavhengig av om de jobber hos fastlege, på sykehus eller legevakt. Helsepersonell får tilgang til kritisk informasjon, legemiddelhistorikk, journaldokumenter, prøvesvar og vaksiner. Formålet er å øke pasientsikkerheten.

Som pasient kan du se hva som deles via Helsenorge. Siden om helseopplysninger som deles viser opplysninger og journaldokumenter som deles mellom behandlingssteder gjennom nasjonale tjenester som Kjernejournal og Reseptformidleren. Tjenesten krever samtykke til tilgangsnivå Basis eller høyere, og du kan gi andre fullmakt til å se opplysninger på dine vegne.

Er det opplysninger du ikke vil dele, kan du endre personverninnstillingene dine på Helsenorge. Personverninnstillingene kan utleveres til eksterne aktører når innstillingene også gjelder dem, for eksempel opplysninger om fullmakter og om du har reservert deg mot enkelte tjenester. Sjekk på Helsenorge hvilke valg som finnes for kjernejournal før du bestemmer deg.

Barn og ungdom har egne regler. Foreldre kan bruke Helsenorge på vegne av barn de har foreldreansvar for frem til de fyller 16 år, hvis minst én av foreldrene er folkeregistrert på samme adresse som barnet, opplyser Helsenorge. Fra barnet fyller 12 år mister foreldrene tilgang til opplysningene som deles via kjernejournal, opplyser Helsenorge. Ungdom kan selv logge inn eller gi fullmakt.

Slik klager du ved brudd på personvernet

Start hos virksomheten. Datatilsynet anbefaler at du først tar kontakt med virksomheten som behandler opplysningene, siden det ofte er nok til å løse saken. Har virksomheten et personvernombud, anbefaler Datatilsynet å kontakte det. Beskriv hva som har skjedd, hva du krever og hvilken frist du mener gjelder.

Datatilsynet er tilsynsorgan og kontrollerer at regler om behandling av personopplysninger følges. Du kan klage dit hvis du ikke har fått innsyn du mener du har krav på. Det samme gjelder hvis virksomheten ikke har svart innen en måned, opplyser Datatilsynet.

Mener du at helsepersonell har brutt taushetsplikten, er Statsforvalteren riktig adresse. Du kan be om en vurdering fra Statsforvalteren i din region, som henter inn nødvendig informasjon. Mener Statsforvalteren at bruddet er alvorlig, skal saken oversendes Statens helsetilsyn, opplyser Helsenorge. Forskjellen kan oppsummeres slik: Datatilsynet følger opp behandlingen av personopplysninger, mens Statsforvalteren vurderer helsepersonellets opptreden.

Hvordan GDPR-rettighetene fungerer generelt, er forklart i artikkelen om GDPR-rettigheter og innsyn. Klager du på selve helsetjenesten, for eksempel behandling eller ventetid, finner du veien i guiden slik klager du på helsetjenesten.

Praktiske råd og digital sikkerhet

Digital sikkerhet er en del av personvernet. Helsenorge opplyser at de aldri sender lenker i tekstmeldinger eller e-post, og at du alltid bør logge inn via Helsenorge-appen eller helsenorge.no. Mistenkelige e-poster og skjermbilder av tekstmeldinger kan videresendes til spam@helsenorge.no. Ifølge Helsenorge er den beste beskyttelsen å bare oppgi sensitive opplysninger når du er innlogget med BankID eller en annen trygg pålogging.

Mer generelt om digitale tjenester og journal finner du i artikkelen om digitalisering av helsetjenesten. Husk også å beskytte BankID, mobil og passord, og ikke del innlogging med andre. Vil en pårørende hjelpe deg, er en fullmakt tryggere enn å dele innlogging.

• Be om innsyn i journalen skriftlig, og lagre kopi av forespørselen og svaret.
• Be om kopi og forklaring av faguttrykk du ikke forstår.
• Les journalen og noter feil, med dokumentasjon, før du ber om retting.
• Be om loggen over innsyn hvis du mistenker at noen har sett i journalen uten grunn.
• Gi beskjed på behandlingsstedet hvis du ikke vil at opplysninger deles med annet helsepersonell.
• Gi pårørende fullmakt eller samtykke i stedet for å dele innlogging.
• Logg alltid inn via Helsenorge-appen eller helsenorge.no, aldri via lenker i meldinger.
• Ta først kontakt med virksomheten ved brudd, og gå deretter til Datatilsynet eller Statsforvalteren.