Denne forskriften etablerer Norsk pasientregister. Forskriften gir regler om innsamling og behandling av helseopplysninger i registeret.

Endring Norsk pasientregister har til hovedformål å danne grunnlag for administrasjon, styring og kvalitetssikring av spesialisthelsetjenester, herunder finansiering.

I tillegg har Norsk pasientregister til formål å:

a)   bidra til medisinsk og helsefaglig forskning, herunder forskning som kan gi viten om helsetjenester, behandlingseffekter, diagnoser, og sykdommers årsaker, utbredelse og forløp og forebyggende tiltak,

b)   Endring danne grunnlag for etablering og kvalitetssikring av sykdoms- og kvalitetsregistre og videreformidling av kontaktopplysninger til den nasjonale kjernejournalen.

c)   bidra til kunnskap som grunnlag for forebygging av ulykker og skader.

Opplysningene i Norsk pasientregister kan ikke anvendes til formål som er uforenlig med formål som nevnt i § 1-2.

Opplysninger skal ikke brukes som grunnlag for enkeltvedtak eller andre individuelle beslutninger eller tiltak rettet mot de registrerte.

Opplysninger om enkeltindivider som er fremkommet ved behandling av helseopplysninger etter forskriften, kan ikke brukes i forsikringsøyemed, av påtalemyndighet eller domstol, eller av arbeidsgivere, selv om den registrerte samtykker.

Endring 

Helsedirektoratet er databehandlingsansvarlig for innsamling og behandling av helseopplysninger i Norsk pasientregister.

En avgrenset organisatorisk enhet innenfor Helsedirektoratet, her kalt Norsk pasientregister, er databehandler for registeret. Denne enheten skal blant annet sørge for drift og kvalitetssikring av registeret, tilrettelegging og utlevering av data og statistikk.

Endring Norsk pasientregister kan inneholde helseopplysninger om alle som får helsehjelp i spesialisthelsetjenesten i Norge, jf. spesialisthelsetjenesteloven § 2-1a og § 4-3. Helsehjelp omfatter den som diagnostiseres, utredes, behandles mv., jf. pasient- og brukerrettighetsloven § 1-3 bokstav d.

Registeret kan i forbindelse med registrering av skader og ulykker inneholde opplysninger fra akuttmottak ved sykehus, legevakter knyttet til sykehus og enkelte kommunale legevakter.

Norsk pasientregister kan inneholde opplysninger om pasienter som mottar behandling i Norge, eller i utlandet etter henvisning fra spesialisthelsetjenesten i Norge.

Når det er relevant og nødvendig for å fremme registerets hovedformål skal følgende opplysninger om personer nevnt i § 1-5 registreres i Norsk pasientregister uten samtykke fra den opplysningen gjelder:

personopplysninger:

a)   fødselsnummer eller annet entydig identifikasjonsnummer

b)   bostedskommune.

administrative opplysninger:

a)   om henvisning

b)   om behandlende institusjon

c)   om konsultasjon og/eller innleggelse

d)   om pasientrettigheter

e)   om dødstidspunkt

f)   samtykkeadministrative opplysninger for sykdoms- og kvalitetsregistre.

medisinske opplysninger:

a)   fagområde

b)   diagnose/diagnosekoder

c)   behandling/prosedyrekoder

d)   tidspunkt for oppstart og avslutning av behandling

e)   takst

f)   opplysninger om bruk av tvang

g)   rusbruk.

sosiale opplysninger:

a)   boligforhold

b)   omsorgssituasjon.

Når det er relevant og nødvendig for å fremme registerets formål i § 1-2 andre ledd bokstav c, skal følgende opplysninger om ulykker og skader registreres i Norsk pasientregister om personer som nevnt i § 1-5, uten samtykke fra den opplysningen gjelder:

a)   kontaktårsak/skademekanisme/alvorlighetsgrad

b)   aktivitet på skadetidspunkt

c)   skadested, skadetidspunkt

d)   arbeidsgivers bransje.

Helsedirektoratet skal kunne dokumentere hvilke klassifikasjoner og kodeverk som er benyttet ved enhver registrering i registeret.

Helsepersonell registrerer opplysninger som nevnt i § 1-6 og § 1-7, jf. forskrift om pasientjournal. Helseforetak, offentlige og private helseinstitusjoner, eller annen virksomhet som nevnt i § 1-5, skal sørge for å melde inn opplysninger etter § 1-6 og § 1-7 til Norsk pasientregister. Virksomheten skal sørge for at det finnes rutiner som sikrer dette.

Departementet bestemmer hvilke kommunale legevakter som skal rapportere til registeret, jf. § 1-5 andre ledd og § 1-7.

Lovbestemt taushetsplikt er ikke til hinder for at opplysningene som følger av § 1-6 og § 1-7 meldes inn til Norsk pasientregister.

Endring 

Innsending av opplysninger skal følge de rutiner og tidsfrister som til enhver tid er fastsatt av Helsedirektoratet.

Helsedirektoratet kan gi pålegg om bruk av bestemte klassifikasjonssystemer og kodeverk ved registrering av opplysningene, og om bruk av standardiserte meldingsformater ved forsendelsen av opplysningene.

Avsender skal kontrollere at data som rapporteres er komplette og kvalitetssikret i henhold til gjeldende krav til rapportering.

Endring 

Endring Helsedirektoratet skal sørge for at helseopplysninger som innsamles og behandles i Norsk pasientregister, er korrekte, relevante og nødvendige for de formål de innsamles for, jf. § 1-2. Som ledd i kvalitetskontrollen kan det gjennomføres rutinemessige samkjøringer mot Det sentrale folkeregister, Medisinsk fødselsregister, Kreftregisteret, Meldingssystem for smittsomme sykdommer, System for vaksinasjonskontroll, Hjerte og karregisteret, Dødsårsaksregisteret og Helsearkivregisteret.

Endring Dersom innsendingen er mangelfull, skal avsenderen av opplysningene varsles, jf. helseregisterloven § 9andre ledd andre punktum. Ved fortsatt mangelfull innsending kan Fylkesmannen varsles.

Dersom innsendingen er mangelfull, skal avsenderen av opplysningene varsles, jf. helseregisterloven § 9andre ledd andre punktum. Ved fortsatt mangelfull innsending kan Helsetilsynet i fylket varsles.

Endring 

Norsk pasientregister kan utarbeide statistikk basert på opplysninger i registeret.

Endring Opplysninger i Norsk pasientregister kan videre sammenstilles (kobles) med opplysninger i Det sentrale folkeregister, sosioøkonomiske opplysninger fra registre i Statistisk sentralbyrå, Kreftregisteret, Medisinsk fødselsregister, Dødsårsaksregisteret, Meldingssystem for smittsomme sykdommer, System for vaksinasjonskontroll, Reseptregisteret og Hjerte- og karregisteret for utarbeidelse av statistikk. Sammenstillingen skal gjøres av den databehandlingsansvarlige for ett av de nevnte registrene eller en virksomhet departementet bestemmer. Resultatet av sammenstillingen skal fremkomme i anonymisert form.

Helseopplysninger som mottas for fremstilling av statistikk etter andre ledd, skal slettes så snart statistikkfremstillingen er tilfredsstillende gjennomført.

Opplysninger i Norsk pasientregister kan bearbeides og tilrettelegges for uttrykkelig angitte formål innenfor registerets formål, jf. § 1-2. Opplysningene skal etter behandlingen være avidentifiserte.

Endring Opplysninger i Norsk pasientregister kan for uttrykkelig angitte formål innenfor registerets formål, jf. § 1-2, sammenstilles med opplysninger i registre som nevnt i § 3-1 andre ledd. Sammenstillingen skal gjøres av den databehandlingsansvarlige for ett av de nevnte registrene eller en virksomhet departementet bestemmer. Sammenstilte helseopplysninger kan ikke lagres før direkte personidentifiserbare kjennetegn (fødselsnummer) er slettet. Opplysningene skal etter behandlingen (herunder sammenstillingen) være avidentifiserte.

Utlevering av opplysninger som er bearbeidet og tilrettelagt (herunder sammenstilt) etter denne bestemmelse skjer etter § 3-4.

Endring 

Endring Opplysninger nødvendige for drift og utvikling av etablerte finansieringsordninger innen spesialisthelsetjenesten skal legges til rette av Norsk pasientregister og utleveres til Helsedirektoratet, herunder også HELFO, for gjennomføring av drift og utvikling. Det skal ikke utleveres opplysninger med direkte personidentifiserbare kjennetegn.

Opplysningene som mottas til formål som følger av første ledd skal slettes så snart oppgavene er utført og kan ikke oppbevares lenger enn inntil 5 år etter avsluttet driftsår.

Opplysninger som skal benyttes til utredninger av vesentlige endringer eller utvidelser av ordningene som er nevnt i første ledd skal bare utleveres i henhold til § 3-4, § 3-5 og § 3-6 i denne forskrift.

Endring 

Opplysninger fra Norsk pasientregister som nevnt i § 3-2 første ledd, eller sammenstilte opplysninger som nevnt i § 3-2 andre ledd, og som er avidentifiserte, skal etter søknad gjøres tilgjengelig eller utleveres dersom mottaker kan godtgjøre at:

-   opplysningene skal brukes til et uttrykkelig angitt formål innenfor registerets formål, jf. § 1-2,

-   opplysningene er relevante og nødvendige for formålet med behandlingen,

-   mottakeren bare skal behandle avidentifiserte opplysninger,

-   behandlingen er ubetenkelig ut fra etiske hensyn, og

-   behandlingen oppfyller vilkårene i personopplysningsloven § 8 og § 9.

Ved spørsmål om utlevering som beskrevet i første ledd til medisinsk og helsefaglig forskning kan registeret, i tilfeller der det etter registerets vurdering er tvil om behandlingen av opplysningene er ubetenkelig ut fra etiske hensyn, forelegge spørsmålet om utlevering skal skje for en regional komité for medisinsk og helsefaglig forskningsetikk for avgjørelse. Vedtak fattet av regional komité for medisinsk og helsefaglig forskningsetikk kan påklages til Den nasjonale forskningsetiske komité for medisin og helsefag.

Søknad om utlevering av opplysninger som beskrevet i første ledd til medisinsk og helsefaglig forskning skal inneholde opplysninger om forskningsansvarlig og prosjektleder, jf. helseforskningsloven § 6.

Norsk pasientregister kan stille vilkår ved utlevering som er nødvendig for å begrense ulempene behandlingen ellers ville ha for de registrerte. Alle opplysninger som inngår i behandlingen etter denne paragrafen, skal slettes eller tilbakeleveres ved prosjektavslutning.

Norsk pasientregister skal etter forespørsel fra forvaltningen og forskere utlevere statistiske/anonyme opplysninger fra Norsk pasientregister, eller statistikk over sammenstilte opplysninger etter § 3-1, dersom opplysningene skal brukes til et uttrykkelig angitt formål innenfor registerets formål, jf. § 1-2.

Endring 

Norsk pasientregister kan, med mindre annet følger av denne forskrift, bare utlevere personidentifiserbare opplysninger etter konsesjon fra Datatilsynet og i samsvar med de alminnelige regler om taushetsplikt. For utlevering av personidentifiserbare opplysninger til medisinsk og helsefaglig forskning erstattes konsesjonsplikt og krav om dispensasjon fra taushetsplikt av forhåndsgodkjenning fra en regional komité for medisinsk og helsefaglig forskningsetikk, jf. helseforskningsloven § 33 og § 9.

Øvrig utlevering av opplysninger som ikke følger av denne forskrift § 3-3, § 3-4, § 3-5 eller § 3-7 skal utleveres i henhold til første ledd.

Helsedirektoratet skal svare på forespørsler om utlevering av personidentifiserbare opplysninger for bruk i uttrykkelig angitte forskningsprosjekter innen 30 dager fra den dagen forespørselen kom inn. Dersom særlige forhold gjør det umulig å svare på forespørselen innen den angitte fristen, kan svaret utsettes inntil det er mulig å gi svar. Helsedirektoratet skal i så fall gi et foreløpig svar med opplysninger om grunnen til forsinkelsen og sannsynlig tidspunkt for når svar kan gis.

Endring 

Norsk pasientregister kan utlevere opplysninger som beskrevet i forskrift om nasjonalt register over hjerte- og karlidelser § 1-4 til Hjerte- og karregisteret.

Endring 

Norsk pasientregister kan utlevere personidentifiserbare opplysninger til den nasjonale kjernejournalen, jf. forskrift 31. mai 2013 nr. 563 om nasjonal kjernejournal § 4 nr. 6 bokstav a.

Norsk pasientregister kan tilrettelegge og utlevere relevante og nødvendige opplysninger til sykdoms- og kvalitetsregistre for etablering og kvalitetskontroll. Sykdoms- og kvalitetsregistre skal ha selvstendig hjemmel for å behandle, herunder sammenstille, opplysninger fra Norsk pasientregister.

Sammenstilling med sykdoms- og kvalitetsregistre skal ikke føre til at Norsk pasientregister får flere opplysninger enn det som følger av § 1-6 og § 1-7.

Eventuell kontakt med pasienter ved etablering av sykdoms- eller kvalitetsregistre skal ikke gjøres av Norsk pasientregister. Slik eventuell førstegangskontakt skal gjøres av behandlende institusjon. Dersom et sykdoms- eller kvalitetsregister eller annen institusjon skal kunne ta førstegangskontakt, kreves det dispensasjon fra taushetsplikten jf. helsepersonelloven § 29.

Norsk pasientregister skal utlevere statistiske opplysninger fra Norsk pasientregister i henhold til § 3-5 innen 30 dager fra den dagen søknaden kom inn.

Norsk pasientregister skal utlevere avidentifiserte opplysninger eller sammenstilte opplysninger i henhold til § 3-4, § 3-5, § 3-6 og § 3-7 innen 60 dager fra den dagen søknaden kom inn.

Dersom særlige forhold gjør det umulig å effektuere søknaden innen den angitte fristen, kan effektueringen utsettes inntil det er mulig å oppfylle den. Den databehandlingsansvarlige skal i så fall gi et foreløpig svar med opplysninger om forespørselen kan effektueres, om grunnen til forsinkelsen og sannsynlig tidspunkt for når søknaden kan effektueres.

Endring Norsk pasientregister skal løpende utlevere opplysninger i henhold § 3-6b til den nasjonale kjernejournalen.

Den databehandlingsansvarlige for Norsk pasientregister kan kreve betaling for behandling og tilrettelegging av opplysninger etter dette kapittel. Betalingen kan ikke overstige de faktiske utgiftene ved slik behandling og tilrettelegging av opplysningene.

Den databehandlingsansvarlige for Norsk pasientregister skal føre oversikt over hvem som får utlevert opplysninger fra Norsk pasientregister og hjemmelsgrunnlaget for utleveringene. Oversikten skal omfatte sammenstillinger, utarbeidet statistikk mv. Oversikten skal oppbevares i minst fem år etter at utlevering har funnet sted.

Endring 

For å fremme bruken av data fra Norsk pasientregister og for å bygge opp informasjon og kunnskap, jf. forskriften § 1-2, skal Helsedirektoratet ha en aktiv informasjonsstrategi og -plan rettet mot så vel helseforvaltningen, helsetjenesten og øvrig forvaltning, som mot forskere innen medisinsk forskning, helsetjenesteforskning og samfunnsforskning.

Enhver som behandler helseopplysninger etter denne forskriften, har taushetsplikt etter helseregisterloven § 15.

Endring 

Helsedirektoratet og Norsk pasientregister skal gjennom planlagte og systematiske tiltak sørge for god informasjonssikkerhet med hensyn til konfidensialitet, integritet, kvalitet og tilgjengelighet ved behandling av helseopplysninger etter forskriften, jf. helseregisterloven § 16 flg.

Sikkerhetstiltakene skal omfatte tiltak som ikke kan påvirkes eller omgås av ansatte hos Norsk pasientregister, og ikke være begrenset til handlinger den enkelte forutsettes å utføre. Det skal også etableres systemer for logging av elektroniske spor ved all tilgang til registeret.

Der behandling av helseopplysningene skjer helt eller delvis med elektroniske hjelpemidler, gjelder bestemmelsene om informasjonssikkerhet i personopplysningsforskriften § 2-1 til § 2-16.

Direkte personidentifiserbare kjennetegn (fødselsnummer) i Norsk pasientregister skal lagres kryptert.

Bare ansatte i den avgrensede organisatoriske enheten, Norsk pasientregister, jf. § 1-4 andre ledd, og den som arbeider under Norsk pasientregisters instruksjonsmyndighet, kan gis tilgang til opplysninger i Norsk pasientregister. Tilgang kan bare gis i den grad dette er nødvendig for vedkommendes arbeid.

Bare spesielt autoriserte personer som har behov for det i sitt arbeid kan behandle ukrypterte opplysninger i Norsk pasientregister.

Endring 

Helsedirektoratet skal etablere internkontroll i samsvar med helseregisterloven § 17. De systematiske tiltakene skal tilpasses virksomhetens art, aktiviteter og størrelse i det omfang det er nødvendig for å etterleve krav gitt i eller i medhold av helseregisterloven. Det skal særlig legges vekt på kravene i helseregisterloven § 16.

Norsk pasientregister skal behandle opplysninger i samsvar med rutiner Helsedirektoratet har oppstilt.

Endring 

Internkontroll innebærer at Helsedirektoratet skal ha kunnskap om gjeldende regler om behandling av helseopplysninger, tilstrekkelig og oppdatert dokumentasjon for gjennomføring av rutiner, samt ha denne dokumentasjonen tilgjengelig for dem den måtte angå. Internkontrollen skal blant annet inneholde:

a)   oversikt over hvordan virksomheten er organisert,

b)   oversikt over ansvars- og myndighetsforhold,

c)   oversikt over de krav i og i medhold av helseregisterloven som gjelder for virksomheten,

d)   rutiner virksomheten følger for å sikre overholdelse av kravene, herunder rutiner for:

-   oppfyllelse av krav om at personidentifiserbare opplysninger bare behandles når dette er nødvendig for å fremme formålet med behandlingen av opplysningene, og i tråd med gjeldende bestemmelser om taushetsplikt, jf. helseregisterloven § 11 og § 15,

-   dokumentasjon og kvalitetskontroll av helseopplysningene, jf. § 1-8 og § 2-4,

-   oppfyllelse av begjæringer om informasjon og innsyn, jf. helseregisterloven § 21 til § 25 [21, 22, 23, 24, 25], samt forskriften § 5-1,

-   hvordan virksomhetene oppfyller bestemmelsene om utlevering av opplysninger fra helseregistre, jf. § 3-3 til § 3-7 [3-3, 3-4, 3-5, 3-6, 3-7], herunder sammenstillinger,

-   oppfyllelse av reglene om meldeplikt til Datatilsynet, jf. helseregisterloven § 29,

e)   rutiner virksomheten følger dersom avvik oppstår og opplysninger om hvem som er ansvarlig,

f)   rutiner virksomheten følger for å hindre gjentakelse av avvik og opplysninger om hvem som er ansvarlig,

g)   rutiner for hvordan virksomheten systematisk og regelmessig gjennomgår sin internkontroll for å kontrollere at aktivitetene og resultatene av dem stemmer overens med det system virksomheten har fastlagt, og om det medfører oppfyllelse av helseregisterlovgivningen,

h)   rutiner for hvordan virksomheten sikrer seg at alle aktuelle og kun gjeldende rutiner blir benyttet, og

i)   rutiner for hvordan virksomheten sikrer at de ansatte har tilstrekkelig kompetanse til å overholde forskriftens krav.

Skriftlig dokumentasjon skal minst omfatte dokumentasjon av rutiner som nevnt i første ledd bokstav a til i. Tilsynsmyndighetene kan gi pålegg om skriftlig dokumentasjon ut over dette dersom det anses påkrevd.

Datatilsynet fører tilsyn med Norsk pasientregister, jf. helseregisterloven § 31 og personopplysningsloven § 42. Norsk pasientregister skal årlig gi Datatilsynet rapport om virksomheten.

Endring Registrerte har rett til informasjon om Norsk pasientregister og innsyn i behandling av helseopplysninger om seg selv i samsvar med helseregisterloven § 22 til § 25 [22, 23, 24, 25]. Registrerte har rett til innsyn i utleveringer som gis i personidentifiserbar form. Er den registrerte mindreårig, gjelder pasient- og brukerrettighetsloven § 3-4 tilsvarende.

Innsyn i helseopplysninger om en selv, jf. helseregisterloven § 22andre ledd, skal fortrinnsvis gis gjennom den registrertes sist behandlende lege og helseinstitusjon. Informasjonen skal gis i en forståelig form.

Begjæringer om innsyn etter § 5-1 skal besvares uten ugrunnet opphold og senest innen 30 dager fra den dagen henvendelsen kom inn, jf. helseregisterloven § 19.

Dersom særlige forhold gjør det umulig å svare på henvendelsen innen 30 dager, kan gjennomføringen utsettes inntil det er mulig å gi svar. Den databehandlingsansvarlige skal i så fall gi et foreløpig svar med opplysninger om grunnen til forsinkelsen og sannsynlig tidspunkt for når svar kan gis.

Opplysninger i Norsk pasientregister skal oppbevares i ubegrenset tid, med mindre annet følger av denne forskriften eller helseregisterloven § 26 eller § 28.

Avidentifiserte opplysninger samlet inn fra perioden 1997 kan bevares i ubegrenset tid, med mindre annet følger av denne forskriften eller helseregisterloven § 26 eller § 28.

De avidentifiserte opplysningene kan brukes i tråd med registerets daværende konsesjon og formål.

Det er kun pasienter som behandles etter ikrafttredelse av lov 16. februar 2007 nr. 7 om endring i helseregisterloven (Norsk pasientregister) som skal registreres i det personidentifiserbare Norsk pasientregister. For pasienter som behandles etter lovens ikrafttredelse, men som ble henvist til spesialisthelsetjenesten før lovendringen trådte i kraft, vil henvisningsdata registreres i det personidentifiserbare Norsk pasientregister.

Datatilsynet kan ved brudd på forskriften gi pålegg, jf. helseregisterloven § 32, og/eller fastsette tvangsmulkt, jf. helseregisterloven § 33.

Den som forsettlig eller grovt uaktsomt overtrer bestemmelser fastsatt i denne forskriften § 1-3 og § 4-1 straffes med bøter eller fengsel inntil ett år eller begge deler.

Medvirkning straffes på samme måte.

Forskriften trer i kraft fra den tid departementet bestemmer.

Fra forskriftens ikrafttredelse gjøres følgende endringer i andre forskrifter:

1.   Forskrift 21. desember 2001 nr. 1476 om innsamling og behandling av helseopplysninger i Dødsårsaksregisteret (Dødsårsaksregisterforskriften) endres slik:

§ 2-6 første ledd skal lyde:

Nasjonalt folkehelseinstitutt skal sørge for at helseopplysninger som innsamles og behandles i Dødsårsaksregisteret er korrekte, relevante og nødvendige for de formål de innsamles for, jf. § 1-3. Som ledd i kvalitetskontrollen kan det gjøres rutinemessige samkjøringer mot Det sentrale folkeregister, Medisinsk fødselsregister, Kreftregisteret, Meldingssystemet for smittsomme sykdommer, og Tuberkuloseregisteret og Norsk pasientregister.

§ 3-1 første ledd skal lyde:

Opplysninger i Dødsårsaksregisteret kan sammenstilles (kobles) med opplysninger i Medisinsk fødselsregister, Kreftregisteret, Meldingssystem for smittsomme sykdommer, Det sentrale tuberkuloseregisteret, System for vaksinasjonskontroll, Reseptregisteret, og Forsvarets helseregister og Norsk pasientregister, dersom det gjøres av den databehandlingsansvarlige for ett av de nevnte registrene eller en virksomhet departementet bestemmer, og resultatet av sammenstillingen fremkommer i anonymisert form.

2.   Forskrift 21. desember 2001 nr. 1477 om innsamling og behandling av helseopplyninger i kreftregisteret (Kreftregisterforskriften) endres slik:

§ 2-4 første ledd skal lyde:

Den databehandlingsansvarlige for Kreftregisteret skal sørge for at helseopplysninger som innsamles og behandles i Kreftregisteret, er korrekte, relevante og nødvendige for de formål de innsamles for, jf. § 1-3. Som ledd i kvalitetskontrollen kan det gjøres rutinemessige samkjøringer mot Det sentrale folkeregister, og Dødsårsaksregisteret og Norsk pasientregister.

§ 3-1 første ledd skal lyde:

Opplysninger i Kreftregisteret kan sammenstilles (kobles) med opplysninger i Medisinsk fødselsregister, Dødsårsaksregisteret, Meldingssystem for smittsomme sykdommer, Det sentrale tuberkuloseregisteret, System for vaksinasjonskontroll, Reseptregisteret, og Forsvarets helseregister og Norsk pasientregister, dersom det gjøres av den databehandlingsansvarlige for ett av de nevnte registrene eller en virksomhet departementet bestemmer, og resultatet av sammenstillingen fremkommer i anonymisert form.

3.   Forskrift 21. desember 2001 nr. 1483 om innsamling og behandling av helseopplysninger i Medisinsk fødselsregister (Medisinsk fødselsregisterforskriften) endres slik:

§ 2-4 første ledd skal lyde:

Nasjonalt folkehelseinstitutt skal sørge for at helseopplysninger som innsamles og behandles i Medisinsk fødselsregister, er korrekte, relevante og nødvendige for de formål de innsamles for, jf. § 1-3. Som ledd i kvalitetskontrollen kan det gjøres rutinemessige samkjøringer mot Det sentrale folkeregister, og Dødsårsaksregisteret og Norsk pasientregister.

§ 3-1 første ledd skal lyde:

Opplysninger i Medisinsk fødselsregister kan sammenstilles (kobles) med opplysninger i Kreftregisteret, Dødsårsaksregisteret, Meldingssystem for smittsomme sykdommer, Det sentrale tuberkuloseregisteret, System for vaksinasjonskontroll, Reseptregisteret, og Forsvarets helseregister og Norsk pasientregister, dersom det gjøres av den databehandlingsansvarlige for ett av de nevnte registrene eller en virksomhet departementet bestemmer, og resultatet av sammenstillingen fremkommer i anonymisert form.

4.   Forskrift 20. juni 2003 nr. 739 om innsamling og behandling av helseopplysninger i System for vaksinasjonskontroll (SYSVAK-registerforskriften) endres slik:

§ 2-5 første ledd skal lyde:

Nasjonalt folkehelseinstitutt skal sørge for at helseopplysninger som behandles i SYSVAK, er korrekte, relevante og nødvendige for de formål de innsamles for, jf. § 1-3. Som ledd i kvalitetskontrollen kan det gjøres rutinemessige samkjøringer mot Det sentrale folkeregister og Norsk pasientregister.

§ 3-1 første ledd skal lyde:

Opplysninger i SYSVAK kan sammenstilles (kobles) med opplysninger i Kreftregisteret, Dødsårsaksregisteret, Meldingssystemet for smittsomme sykdommer (MSIS), Tuberkuloseregisteret, Medisinsk fødselsregister, Reseptregisteret, og Forsvarets helseregister og Norsk pasientregister, dersom det gjøres av den databehandlingsansvarlige for ett av de nevnte registrene eller en virksomhet departementet bestemmer, og resultatet av sammenstillingen fremkommer i anonymisert form.

5.   Forskrift 20. juni 2003 nr. 740 om innsamling og behandling av helseopplysninger i Meldingssystem for smittsomme sykdommer og i Tuberkuloseregisteret og om varsling om smittsomme sykdommer (MSIS- og Tuberkuloseregisterforskriften) endres slik:

§ 2-6 andre ledd skal lyde:

Som ledd i kvalitetskontrollen kan Nasjonalt folkehelseinstitutt etablere kontakt med lege som har diagnostisert eller behandlet pasienten eller med pasientens fastlege. Som ledd i kvalitetskontrollen kan det gjøres samkjøringer mot Det sentrale folkeregister, Dødsårsaksregisteret, Norsk pasientregister og Rikshospitalets apoteks lister over pasienter som har fått foreskrevet legemidler mot tuberkulose.

§ 4-1 første ledd skal lyde:

Opplysninger i MSIS- og Tuberkuloseregisteret kan sammenstilles (kobles) med hverandre og med opplysninger i Medisinsk fødselsregister, Dødsårsaksregisteret, Kreftregisteret, System for vaksinasjonskontroll (SYSVAK), Reseptregisteret, og Forsvarets helseregister og Norsk pasientregister dersom det gjøres av den databehandlingsansvarlige for ett av de nevnte registrene eller en virksomhet departementet bestemmer, og resultatet av sammenstillingen fremkommer i anonymisert form.

Forskriften gir hjemmelsgrunnlag for et landsomfattende personidentifiserbart Norsk pasientregister. Registeret ble etablert i 1997 med konsesjon fra Datatilsynet som et avidentifisert register. Stortinget vedtok 16. februar 2007 å etablere Norsk pasientregister som et personidentifiserbart register gjennom en endring i helseregisterloven § 8tredje ledd. Dette innebærer at opplysningene kan registreres uten samtykke fra de registrerte.

Bestemmelsen gir hjemmel for etablering av Norsk pasientregister, og gir regler for innsamling og behandling av helseopplysninger i registeret. Hjemmelsgrunnlaget er helseregisterloven § 8fjerde ledd, jf. tredje ledd. Med helseopplysninger menes både personopplysninger, administrative opplysninger og medisinske opplysninger, jf. definisjon i helseregisterloven § 2 nr. 1. Når personopplysninger og administrative opplysninger ligger i et helseregister og er knyttet til medisinske opplysninger, vil de anses å være helseopplysninger.

Bestemmelsen angir formålene med Norsk pasientregister. Hovedformålet med registeret er administrasjon, styring og kvalitetssikring av spesialisthelsetjenesten. Aktivitetsdata benyttes blant annet til den aktivitetsbaserte finansieringen. Første ledd viderefører formålet med det avidentifiserte pasientregisteret. Det er hovedformålet som er bestemmende for hvilke opplysninger som kan registreres i Norsk pasientregister. Dette innebærer at registeret ikke kan utvides til å inneholde andre opplysninger selv om disse opplysningene ville være relevante og nødvendige for å ivareta for eksempel forskningsformål. Det vises til Ot.prp.nr.49 (2005-2006) side 31.

Andre ledd angir hvilke andre formål som de allerede registrerte opplysningene i Norsk pasientregister kan brukes til. I bestemmelsens andre ledd bokstav a fremgår det at Norsk pasientregister, ved siden av formålene som nevnt i første ledd, kan bidra til medisinsk og helsefaglig forskning for formål som nevnt. I bestemmelsens andre ledd bokstav b åpnes det for at Norsk pasientregister kan benyttes som grunnlag for etablering og drift av sykdoms- og kvalitetsregistre. Sykdoms- og kvalitetsregistre må ha egne bestemmelser om muligheten for å benytte Norsk pasientregister som datagrunnlag for sammenstilling og kvalitetssikring. I bestemmelsens bokstav c fremgår det at Norsk pasientregister kan bidra til kunnskap som grunnlag for forebygging av ulykker og skader. Ulykker og skader er nevnt som et eget formål i bokstav c, da dette innebærer innsamling av et eget datasett, jf. § 1-7 i tillegg til opplysningene i § 1-6. Ulykkes- og skadedata vil gi kunnskap som grunnlag for forebygging av ulykker og skader. Tilleggsdataene i § 1-7 kan benyttes til de øvrige formålene som nevnt i § 1-2.

Formålene for Norsk pasientregister er det redegjort for i Ot.prp.nr.49 (2005-2006) og høringsnotat av 20. september 2005.

Bestemmelsen viser til behandling av opplysninger etter kapittel 3 og forbyr bruk av opplysninger i Norsk pasientregister til visse formål.

Det heter i første ledd at opplysningene i Norsk pasientregister ikke kan anvendes til formål som er uforenelig med formålet til Norsk pasientregister, slik dette er nevnt i § 1-2. Bestemmelsen følger naturlig av helseregisterloven § 11tredje ledd. Spørsmålet om bruk av opplysningene er uforenlig med formål som nevnt i § 1-3, må avgjøres konkret.

I tredje ledd følger det at opplysninger om enkeltindivider som er fremkommet ved behandling av helseopplysninger etter forskriften, ikke kan brukes i forsikringsøyemed, av påtalemyndighet eller domstol, eller av arbeidsgiver selv om den registrerte samtykker. Dette innebærer at Norsk pasientregister ikke kan utlevere opplysninger fra registeret til nevnte instanser. Hensikten med forbudet er videre at ingen skal føle seg presset til å be om innsyn i Norsk pasientregister for så å gi opplysninger videre til for eksempel et forsikringsselskap, som grunnlag for en forsikringsavtale. Ot.prp.nr.74 (2006-2007) (helseforskningsloven) foreslår et lignende formål vedrørende påtalemyndighet og domstol, men med unntak. Forskriften for Norsk pasientregister har ikke et slikt unntak da det vil være mer aktuelt å eventuelt benytte pasientjournal i henhold til helsepersonelloven kapittel 5, og ikke registeret.

Forsettlig eller grovt uaktsom overtredelse av denne bestemmelsen straffes med hjemmel i § 7-2.

Det er etter § 1-4 Helsedirektoratet som er databehandlingsansvarlig for Norsk pasientregister, mens databehandleroppgaven er lagt til en avgrenset organisatorisk enhet innenfor Helsedirektoratet som i denne forskriften kalles Norsk pasientregister. Norsk pasientregister er i forskriften både benyttet som navn på registeret og som navn på den enheten som har databehandlerfunksjonen (registerfører). Det følger uttrykkelig av helseregisterloven § 13 og § 4-3 i denne forskriften at tilgang til registeret kun kan gis ansatte i enheten for Norsk pasientregister i den grad det er nødvendig for vedkommendes arbeid. Øvrige ansatte i Helsedirektoratet skal ha utlevert opplysninger i henhold til utleveringsbestemmelsene i kapittel 3 på lik linje med andre fag- og forskningsmiljøer.

Databehandler er i helseregisterloven § 2 nr. 9 definert som den som behandler helseopplysninger på vegne av den databehandlingsansvarlige. Det følger av helseregisterloven § 18 at en databehandler ikke kan behandle helseopplysninger på annen måte enn det som er skriftlig avtalt med den databehandlingsansvarlige. Opplysningene kan heller ikke uten slik avtale overlates til andre for lagring eller bearbeidelse. Det kan ikke gjøres avtaler som er i strid med bestemmelsene i helseregisterloven eller denne forskrift.

Det følger av helseregisterloven § 29 og § 30 at Datatilsynet skal informeres om navn og adresse til eventuell databehandler, og om hvem som har det daglige ansvaret for å oppfylle den databehandlingsansvarliges plikter etter forskriften.

Bakgrunnen for at databehandlingsansvarlig- og databehandlerbegrepet ikke benyttes videre i forskriften, men at navnene på de som er databehandlingsansvarlig og databehandler benyttes, er for å gjøre forskriften lettere tilgjengelig for leseren og for bedre å tydeliggjøre ansvarsforholdene.

Bestemmelsens første ledd angir hvem det kan registreres helseopplysninger om i Norsk pasientregister. Norsk pasientregister kan kun inneholde opplysninger om helsehjelp gitt til pasienter i spesialisthelsetjenesten, jf. spesialisthelsetjenesteloven § 2-1a. Helsehjelp i spesialisthelsetjenesten utført av private spesialister som har avtale med et regionalt helseforetak omfattes av spesialisthelsetjenesteloven § 2-1a.

Bestemmelsens andre ledd angir at det kan registreres opplysninger fra akuttmottak ved sykehus, legevakter tilknyttet sykehus og enkelte kommunale legevakter i helsetjenesten ved skader og ulykker. Legevakttjeneste er en lovpålagt oppgave i kommunehelsetjenesteloven. Helseregisterloven § 9 slår fast at virksomheter som tilbyr eller yter tjenester etter blant annet kommunehelsetjenesteloven og spesialisthelsetjenesteloven plikter å utlevere opplysninger som bestemt i forskrift. Departementet kan i henhold til § 2-1 bestemme hvilke kommunale legevakter som skal melde til Norsk pasientregister.

Bestemmelsens tredje ledd åpner for at Norsk pasientregister kan inneholde opplysninger om pasienter som mottar behandling i utlandet. Vilkåret er at pasienten er henvist fra spesialisthelsetjenesten i Norge. Bakgrunnen er at pasienter som er henvist til behandling i utlandet har betydning for oppfyllelsen av hovedformålet med registeret, herunder den aktivitetsbaserte finansieringen. Å samle inn opplysninger om pasienter som har fått behandling i utlandet, men som ikke har henvisning fra spesialisthelsetjenesten i Norge, vil være i strid med formålsbestemmelsen i § 1-2.

Det følger av helseregisterloven § 8tredje ledd at Norsk pasientregister kan inneholde personidentifiserbare opplysninger uten at den registrerte har samtykket, i den utstrekning det er nødvendig for å nå formålet med registeret. Det er bare de opplysninger som er relevante for den behandling man har fått som kan og skal registreres i Norsk pasientregister. Et eksempel for å belyse det nærmere; er en kvinne innlagt for en fødsel, er det de medisinske og administrative diagnosene tilknyttet fødselsoppholdet som skal registreres. Andre diagnoser kvinnen har skal ikke registreres, med mindre disse har hatt relevans ved innleggelsen og behandlingen. Videre vil opplysninger etter § 1-6 femte ledd som regel bare være relevante i forbindelse med innleggelser/behandling relatert til rus eller psykiatri.

Bestemmelsens andre ledd refererer seg til personopplysninger som skal registreres; fødselsnummer og bostedskommune. Registeret kan inneholde annen identifikasjon for personer uten norsk fødselsnummer. I de tilfeller hvor barn ikke har personnummer, skal det opplyses enten om mors/omsorgspersons fødselsnummer eller mors/omsorgspersons fødselsdato.

Bestemmelsens tredje ledd refererer seg til administrative opplysninger som navn på behandlende institusjon der helsehjelp tilbys og ytes. Tredje ledd bokstav d: "om pasientrettigheter" viser for eksempel om pasienten er en rettighetspasient som har rett til behandling, om det foreligger en individuell plan, frister for behandling med mer. Tredje ledd bokstav f: "samtykkeadministrative opplysninger" vil fremgå der hvor en pasient er forespurt om å delta i et eller flere sykdoms- eller kvalitetsregistre, og har gitt tillatelse til at det eller de aktuelle registrene kan benytte opplysninger fra Norsk pasientregister. Opplysningene som vil fremgå i Norsk pasientregister er administrative på den måte at de ikke sier noe annet enn om pasienten har sagt ja/nei eller om det ikke foreligger svar.

Bestemmelsens fjerde ledd refererer seg til medisinske opplysninger. Eksempler på slike data ved siden av tidspunkt for oppstart og avslutning av behandling, er diagnose og diagnosekoder.

Bestemmelsens femte ledd gir hjemmel for, i enkelte tilfeller, å registrere om opplysninger boligforhold og omsorgssituasjon.

Norsk pasientregister må gi de data som skal til for styring av alle aspekter av de regionale helseforetakenes ansvarsfelt. Norsk pasientregister må derfor være tilpasset ulike sykdomsforløp, noe som innebærer at enkelte sosiale variabler må legges inn i registeret. Det er helt nødvendig at Norsk pasientregister regelmessig kobles mot andre registre for å kunne sikre at spesialisthelsetjenesten klarer å nå målet om å gi helsetjenester av høy kvalitet til hele befolkningen, uavhengig av bosted og sosial bakgrunn. Det er kun de sosiale variablene som er nødvendige for å ivareta hovedformålet som skal kunne registreres i registeret, her spiller blant annet hensynet til de internasjonale forpliktelsene Norge har knyttet til å levere statistikk til EUs overvåkningsorgan for narkotika og narkotikamisbruk (EMCDDA) inn. Sosiale opplysninger som er nødvendige for administrasjon og styring, og som ikke kan innhentes ved å koble med andre registre, må innhentes av Norsk pasientregister. For psykisk helsevern og tverrfaglig spesialisert behandling av rusmiddelmisbrukere er dette informasjon knyttet til boligforhold (herunder hvilke boligforhold pasienten har bodd under de siste fire ukene) og omsorgssituasjon/samlivssituasjon (herunder graviditet, omsorg for barn, hvem pasienten bor sammen med og om barnevernet er koplet inn i et syketilfelle).

Det kan ikke gjøres endringer i § 1-6 og § 1-7 som innebærer at det vil registreres opplysninger som går ut over hovedformålet for registeret. Det må være nødvendig og relevant for hovedformålet for at det skal være mulig å utvide innholdet i § 1-6 og § 1-7. Dette er hovedgrunnen til at formuleringen "hovedformål" er benyttet, nettopp for ikke å kunne utvide registerdata med opplysninger som hadde vært nyttig til for eksempel forskningsformål.

Bestemmelsen omhandler hvilke opplysninger om ulykker og skader som kan registreres i Norsk pasientregister i tillegg til opplysningene som nevnt i § 1-6. Bakgrunnen for å ha opplysninger om ulykker og skader i Norsk pasientregister er å etablere en samlet skadestatistikk som gir oss et godt grunnlag for å prioritere og iverksette konkrete tiltak overfor definerte problemstillinger eller målgrupper. Opplysningene inkluderes i NPR fordi registeret allerede vil inneholde alle skader som behandles ved sykehus, hvilket utgjør de fleste ulykker og skader som etter § 1-5 skal meldes til registeret, og alle alvorlige skader. De opplysningene som kommer i tillegg til det datasettet som registreres i NPR etter § 1-6 er i hovedsak opplysninger av ikke-sensitiv karakter.

Opplysninger om skade- og ulykker er nødvendig for skade- og ulykkesforebyggende arbeid, generell planlegging, utarbeidelse av statistikk og helsetjenesteforskning. Data om hvem som skades, hvordan det skjer (opplysninger om selve skadehendelsen og om det for eksempel er bil- eller sykkelulykke), og når det skjer gir viktig grunnlag for å kunne sette inn målrettet og effektiv forebyggende innsats mot ulykker. Ulykker er et stort folkehelseproblem og medfører et betydelig antall skader og drepte hvert år. Ulykkesskader belegger også til enhver tid omtrent ti prosent av alle senger ved norske sykehus. God statistikk, sammen med utvikling av riktige og gode registrerings- og analysemetoder er sentralt for å kunne lykkes i skadeforebyggende arbeid. Registreringen av skadedata i Norsk pasientregister vil videre gi en verdifull mulighet for å se opplysninger om ulike typer skader opp mot påfølgende behandlingsforløp i spesialisthelsetjenesten. Å bidra til kunnskap som kan gi grunnlag for forebygging av skader og ulykker er et av formålene for Norsk pasientregister, jf. § 1-2 andre ledd bokstav c.

Opplysningene i § 1-7 vil være et "felles minimum datasett" (FMDS). Det er lagt vekt på at datasettet skal være så begrenset som mulig, samtidig som det skal gi grunnlag for god nasjonal statistikk med hovedvekt på å overvåke skadefrekvens og skadetype. Det er bare der opplysninger/variabler er relevante og nødvendige (jf. helseregisterloven § 11) at variabelen skal registreres i NPR. For eksempel vil arbeidsgivers bransje bare være relevant i forbindelse med arbeidsulykker.

Ulykkes- og skaderegistrering har vært utredet i Helsedirektoratet i samarbeid med blant annet KITH (Kompetansesenter for IT i helse- og sosialsektoren). Det er i tillegg til FMDS, som er tatt inn i NPR gjennom § 1-7, utarbeidet tre "skadespesifikke minimum datasett" (SMDS) for henholdsvis produktrelatert skade, veitrafikkskade og arbeidsskade. Disse er ikke en del av Norsk pasientregister, men vil kunne initieres prosjektbasert. For registrering og innsamling av SMDS vil det måtte søkes om konsesjon i hvert enkelt tilfelle, på lik linje med forskningsprosjekter. Dette vil være tidsbegrensede lokale eller regionale prosjekter. NPR (Helsedirektoratet) vil kunne være databehandler for slike prosjekter, men opplysningene må lagres separat fra Norsk pasientregister-databasen.

Alle akuttmottak ved somatiske sykehus og legevakter knyttet til sykehus skal melde inn opplysningene i § 1-6 og FMDS i § 1-7. Det samme gjelder for enkelte kommunale legevakter, jf. § 1-5 og § 2-1.

Bestemmelsen omhandler koding og klassifisering av opplysninger i Norsk pasientregister og setter krav til dokumentasjon. Helsedirektoratet skal ved enhver registrering i Norsk pasientregister kunne dokumentere hvilke kodeverk eller klassifikasjoner som er brukt. Hensikten med bestemmelsen er å lette tilgjengeligheten på opplysningene i Norsk pasientregister. Opplysningene som sendes inn til Norsk pasientregister, registreres der i kodet form. For at innholdet i registeret og de medisinske opplysninger skal bli tilgjengelig og forståelig for dem som skal bruke opplysningene i konkrete forskningsprosjekter mv., må brukerne vite hva de ulike kodene betyr, dvs. den kodete informasjonen må oversettes til norsk språk eller medisinsk terminologi.

Det følger av bestemmelsen at helsepersonell er ansvarlig for å registrere opplysninger etter § 1-6 og § 1-7. Videre skal virksomheten sørge for å melde inn opplysninger og sørge for at det finnes rutiner som sikrer at pliktene til registrering og innmelding av opplysninger oppfylles. Virksomheten må ha utarbeidet systemer som sikrer at helsepersonellet og virksomheten oppfyller sine plikter, jf. helseregisterloven § 9 og helsepersonelloven § 37.

I andre ledd fremkommer det at det er departementet som bestemmer hvilke legevakter som skal rapportere til registeret vedrørende ulykker og skader. Med "enkelte kommunale legevakter" er det i første omgang kommunale legevakter i større byer det er planlagt at skal melde inn opplysninger til Norsk pasientregister. Fastleger omfattes ikke av bestemmelsen. Departementet bestemmer hvilke kommunale legevakter som skal melde til registeret. Legevakttjeneste er en lovpålagt oppgave i kommunehelsetjenesteloven. Helseregisterloven § 9 slår fast at virksomheter som tilbyr eller yter tjenester etter blant annet kommunehelsetjenesteloven og spesialisthelsetjenesteloven plikter å utlevere opplysninger som bestemt i forskrift.

Bestemmelsens tredje ledd angir klart at lovbestemt taushetsplikt ikke er til hinder for å melde opplysninger etter § 1-6 og § 1-7 til Norsk pasientregister. Helsepersonell er underlagt taushetsplikt etter helsepersonelloven § 21, videre er enhver som utfører tjeneste i arbeid for helseinstitusjon etter spesialisthelsetjenesteloven underlagt taushetsplikt, jf. § 6-1. Ansatte ved Norsk pasientregister er underlagt taushetsplikt etter § 4-1 og helseregisterloven § 15.

Denne bestemmelsen og § 2-2 tilsvarer § 2-1 og § 2-3 i de andre forskriftene med hjemmel i helseregisterloven § 8tredje ledd der helsepersonell pålegges en meldeplikt.

Det følger av bestemmelsen at opplysninger til Norsk pasientregister skal meldes på den måte som er fastsatt av Helsedirektoratet.

Det heter i andre ledd at databehandlingsansvarlig kan sette krav om bruk av bestemte klassifikasjoner og kodeverk ved registrering av opplysningene, og gi pålegg om bruk av standardiserte meldingsformater ved forsendelsen av opplysningene, for eksempel for å sørge for sikkerhet ved forsendelsen gjennom eksempelvis kryptering av forsendelsen.

Bestemmelsen pålegger avsender av data å foreta en kvalitetskontroll av de data som rapporteres og å påse at dataene som gis til Norsk pasientregister er komplette. Dette skal gå inn som en del av virksomhetens internkontroll.

Bestemmelsen fastslår at Helsedirektoratet som databehandlingsansvarlig for Norsk pasientregister skal sørge for at helseopplysninger som registreres i registeret, er korrekte, relevante og nødvendige for de formål de innsamles for, jf. § 1-2. Andre punktum fastslår at som ledd i kvalitetskontrollen kan det gjennomføres rutinemessige samkjøringer mot Det sentrale folkeregister og de øvrige navngitte helseregistrene.

Det kan foretas en nærmere kvalitetskontroll av opplysninger i Norsk pasientregister gjennom at registeret gis anledning til å sammenlikne innsendte opplysninger med innsenders dokumentasjon. Dette kan for eksempel være pasientjournal, sykepleierapporter eller liknende. Slik kvalitetskontroll kan gjøres av Norsk pasientregister gjennom kompetent helsepersonell som arbeider under registerets instruksjonsmyndighet, jf. helseregisterloven § 13. Kvalitetskontroll etter andre ledd kan bare skje hos innsender av opplysningene (sykehuset), hvilket innebærer at opplysninger fra kildedokumentet (pasientjournal eller lignende) ikke skal sendes til registeret. Kvalitetskontroll etter andre ledd skal meldes til Datatilsynet etter helseregisterloven § 29.

Tredje ledd i forskriften fastslår at dersom meldingsskjema er mangelfullt utfylt, skal avsenderen av skjema varsles. Bestemmelsen er en presisering av helseregisterloven § 9andre ledd andre punktum. Mangelfullt utfylt skjema omfatter også ikke-utfylt skjema. Ved fortsatt mangelfull utfylling av skjema kan Helsetilsynet i fylket varsles. Dersom det må gjøres gjentatte purringer (mer enn to), anses dette å være fortsatt mangelfull utfylling av skjema.

Kapittel 2 gir bestemmelser om Norsk pasientregisters behandling av opplysninger i forbindelse med innsamling, kvalitetskontroll mv., mens kapittel 3 gir regler om videre behandling, herunder tilrettelegging, sammenstilling og utlevering av opplysningene i registeret.

Bestemmelsene i § 3-1 og § 3-2 gir regler om tilrettelegging av opplysninger i Norsk pasientregister og om sammenstilling av opplysninger i Norsk pasientregister med opplysninger fra andre registre, statistikkproduksjon mv. Bestemmelsene i § 3-3- til § 3-7 [3-3, 3-4, 3-5, 3-6, 3-7] gir nærmere regler om utlevering av opplysninger fra registeret (§ 3-3 til § 3-7 [3-3, 3-4, 3-5, 3-6, 3-7]) til en mottaker.

Mottaker av opplysningene kan være forsker, helsetjeneste, helseforvaltning eller andre som ønsker utlevert opplysninger fra registeret for utføring av oppgaver i tråd med formålene for Norsk pasientregister. Dersom mottaker ønsker statistikk/anonyme opplysninger, kreves det ikke at mottaker har eget hjemmelsgrunnlag, da slike opplysninger faller utenfor helseregisterloven. Norsk pasientregister har plikt til å utlevere slike opplysninger dersom de skal benyttes innenfor formålet, jf. § 3-5. Dersom mottaker ønsker utlevert avidentifiserte opplysninger kreves det at vilkårene i § 3-4 er oppfylt. Norsk pasientregister skal vurdere om vilkårene er oppfylt før utlevering finner sted. Mottaker av avidentifiserte opplysninger får det nødvendige hjemmelsgrunnlag for å behandle opplysningene ved å sende melding til Datatilsynet. Dersom mottaker ønsker utlevert personidentifiserbare opplysninger, eller utlevering ikke har hjemmel i øvrige utleveringsbestemmelser, kreves det konsesjon fra Datatilsynet, (eventuelt unntak fra konsesjon etter personopplysningsforskriften § 7-27), jf. § 3-6. Det er alltid et krav om at opplysningene skal benyttes til uttrykkelig angitte formål innenfor registerets formål.

Kapittel 3 i forskrift for Norsk pasientregister er formulert noe annerledes enn kapittel 3 i Dødsårsaksregisterforskriften, Kreftregisterforskriften, Medisinsk fødselsregisterforskriften, SYSVAK-registerforskriften og kapittel 4 i MSIS- og Tuberkuloseregisterforskriften. Datatilsynet har påpekt overfor Helse- og omsorgsdepartementet at behandlingsbestemmelsene i disse forskriftene er vanskelig tilgjengelige, og har ønsket at departementet fjerner uklarheter og presiserer forskriftsteksten. Helse- og omsorgsdepartementet har i denne forskriften søkt å foreta en slik presisering. Blant annet er alle frister samlet i en egen bestemmelse, og vilkårene for utlevering samlet i bestemmelsen for utlevering av avidentifiserte opplysninger i § 3-4. Kapitelet er videre bygget opp slik at § 3-1 og § 3-2 gir bestemmelser for Norsk pasientregisters behandling av opplysninger i eget register og hjemmel for sammenstilling med andre uttrykkelig nevnte registre. § 3-3 er en særlig bestemmelse for aktivitetsbasert finansiering, mens § 3-4 til § 3-7 [3-4, 3-5, 3-6, 3-7] omhandler utlevering av opplysninger. Frister er samlet i § 3-8, kostnader i § 3-9 og oversikt over utleveringer i § 3-10. Kapittelet har også i likhet med de øvrige registerforskriftene en bestemmelse i § 3-11 om informasjonsstrategi rettet mot brukergrupper.

Enkelte av bestemmelsene i kapittel 3 er spesielle for Norsk pasientregister, og gjelder Norsk pasientregisters funksjon i forhold til den aktivitetsbaserte finansieringen (§ 3-3) og til sykdoms- og kvalitetsregistre (§ 3-7). De øvrige bestemmelsene i kapittel 3 er generelle og skal ha samme innhold og funksjon som bestemmelser i de øvrige forskriftenes behandlingskapitler. I merknadene til den enkelte bestemmelse vises det derfor til hvor det samme er regulert i de øvrige registerforskriftene.

Direkte tilgang til Norsk pasientregister kan bare gis den som arbeider i registeret. Helseregisterloven § 13 slår fast at "Bare den databehandlingsansvarlige, databehandlere og den som arbeider under databehandlers instruksjonsmyndighet, kan gis tilgang til helseopplysninger. Tilgang kan bare gis i den grad dette er nødvendig for vedkommendes arbeid og i samsvar med gjeldende bestemmelser om taushetsplikt." Forskriften § 4-3 slår fast at tilgang til registeret kun kan gis personer som er ansatt for drift og utvikling av registeret, så langt det er nødvendig for vedkommendes arbeid. Disse rammene innebærer at tilgang til opplysninger i registeret kun gjelder for ansatte i Helsedirektoratet, avdeling Norsk pasientregister som er databehandler/registerfører. For at disse skal kunne samle inn data, sørge for god datakvalitet, sammenstillinger, drift, service og vedlikehold av registeret, må de ha tilgang til registeret. Tilgang til ukryptert personidentifikasjon kan etter § 4-3 bare gis spesielt autoriserte personer som har behov for det i sitt arbeid.

Øvrige ansatte i Helsedirektoratet (som er databehandlingsansvarlig), herunder personer som arbeider med styring og finansiering av spesialisthelsetjenesten, og som ønsker tilgang til opplysninger fra Norsk pasientregister, skal utleveres data etter bestemmelsene i § 3-3 til § 3-6 [3-3, 3-4, 3-5, 3-5]. Mottakere av NPR-data som er ansatt i Helsedirektoratet skal altså i kapittel 3 likestilles med eksterne mottakere, og disse skal oppfylle de samme kravene til utlevering, herunder eventuell melding til Datatilsynet. Dette systemet gjelder også i de øvrige registerforskriftene etter helseregisterloven § 8.