Kapittel 1. Generelle bestemmelser
§ 1Lovens formål
Formålet med loven er at behandling av helseopplysninger skal skje på en måte som- gir pasienter og brukere helsehjelp av god kvalitet ved at relevante og nødvendige opplysninger på en rask og effektiv måte blir tilgjengelige for helsepersonell, samtidig som vernet mot at opplysninger gis til uvedkommende ivaretas, og
- sikrer pasienters og brukeres personvern, pasientsikkerhet og rett til informasjon og medvirkning.
§ 2Definisjoner
I denne loven forstås med:- helsehjelp: enhver handling som har forebyggende, diagnostisk, behandlende, helsebevarende, rehabiliterende eller pleie- og omsorgsformål, og som utføres av helsepersonell, jf. helsepersonelloven § 3 første ledd
- helseopplysninger: personopplysninger om en fysisk persons fysiske eller psykiske helse, herunder om ytelse av helsetjenester, som gir informasjon om vedkommendes helsetilstand, jf. personvernforordningen artikkel 4 nr. 15
- behandling av helseopplysninger: enhver operasjon eller rekke av operasjoner som gjøres med helseopplysninger, enten automatisert eller ikke, for eksempel innsamling, registrering, organisering, strukturering, lagring, tilpasning eller endring, gjenfinning, konsultering, bruk, utlevering ved overføring, spredning eller alle andre former for tilgjengeliggjøring, sammenstilling eller samkjøring, begrensning, sletting eller tilintetgjøring, jf. personvernforordningen artikkel 4 nr. 2
- behandlingsrettet helseregister: pasientjournal- og informasjonssystem eller annet register, fortegnelse eller lignende, der helseopplysninger er lagret systematisk, slik at opplysninger om den enkelte kan finnes igjen, og som skal gi grunnlag for helsehjelp eller administrasjon av helsehjelp til enkeltpersoner
- dataansvarlig: ansvarlig for behandling av helseopplysninger etter personvernforordningen artikkel 4 nr. 7.
Endret ved lov 15 juni 2018 nr. 38 (ikr. 20 juli 2018 iflg. meddelelse 17 juli 2018 nr. 1195). § 3Saklig virkeområde
Loven gjelder all behandling av helseopplysninger som er nødvendig for å yte, administrere eller kvalitetssikre helsehjelp til enkeltpersoner.For opplysninger som er taushetsbelagte etter helsepersonelloven § 21, og for opplysninger om avdøde personer gjelder bestemmelsene i loven her om behandling av helseopplysninger så langt de passer.Kongen i statsråd kan i forskrift eller enkeltvedtak bestemme at loven helt eller delvis skal gjelde for behandling av helseopplysninger til andre formål enn helsehjelp.Endret ved lov 15 juni 2018 nr. 38 (ikr. 20 juli 2018 iflg. meddelelse 17 juli 2018 nr. 1195). § 4Geografisk virkeområde
Loven gjelder for dataansvarlige som er etablert i Norge. Kongen kan i forskrift bestemme at loven helt eller delvis skal gjelde for Svalbard og Jan Mayen, og kan fastsette særlige regler om behandling av helseopplysninger for disse områdene.Endret ved lov 15 juni 2018 nr. 38 (ikr. 20 juli 2018 iflg. meddelelse 17 juli 2018 nr. 1195). § 5Forholdet til personvernforordningen og personopplysningsloven
Kapittel 2. Pasientjournaler og andre behandlingsrettede helseregistre
§ 6Rett til å behandle helseopplysninger
Behandlingsrettede helseregistre må ha hjemmel i lov.Helseopplysninger i behandlingsrettede helseregistre kan bare behandles når det er nødvendig for å kunne gi helsehjelp, eller for administrasjon, internkontroll eller kvalitetssikring av helsehjelpen.Ved behandling av helseopplysninger til internkontroll eller kvalitetssikring skal opplysningene så langt som mulig behandles uten at den registrertes navn og fødselsnummer fremgår.Endret ved lov 15 juni 2018 nr. 38 (ikr. 20 juli 2018 iflg. meddelelse 17 juli 2018 nr. 1195). § 7Krav til behandlingsrettede helseregistre
Behandlingsrettede helseregistre skal understøtte pasientforløp i klinisk praksis og være lett å bruke og å finne frem i.Behandlingsrettede helseregistre skal være utformet og organisert slik at krav fastsatt i eller i medhold av lov kan oppfylles. Dette gjelder blant annet regler om:- taushetsplikt, jf. § 15,
- forbud mot urettmessig tilegnelse av helseopplysninger, jf. § 16,
- retten til å motsette seg behandling av helseopplysninger, jf. § 17,
- retten til informasjon og innsyn, jf. § 18,
- helsepersonells dokumentasjonsplikt, jf. helsepersonelloven § 39,
- tilgjengeliggjøring av helseopplysninger, jf. §§ 19 og 20 og
- informasjonssikkerhet, logg og internkontroll, jf. §§ 22, 22 a og 23.
Virksomheten skal ta hensyn til behovet for effektiv samhandling ved anskaffelse og videreutvikling av sine behandlingsrettede helseregistre.Departementet kan i forskrift gi nærmere bestemmelser om plikt til å ha elektroniske systemer, om godkjenning av programvare og sertifisering og om bruk av standarder, standardsystemer, kodeverk og klassifikasjonssystemer.Endret ved lov 23 jan 2026 nr. 1 (i kraft 1 juli 2026 iflg. res. 13 mars 2026 nr. 402). Kapittel 3. Taushetsplikt, innsynsrett og rett til å motsette seg behandling av helseopplysninger
§ 15Taushetsplikt
Enhver som behandler helseopplysninger etter denne lov, har taushetsplikt etter helsepersonelloven §§ 21 flg. Andre som får adgang eller kjennskap til helseopplysninger fra et behandlingsrettet helseregister, har samme taushetsplikt. § 16Forbud mot urettmessig tilegnelse av helseopplysninger
Det er forbudt å lese, søke etter eller på annen måte tilegne seg, bruke eller besitte helseopplysninger fra behandlingsrettede helseregistre uten at det er begrunnet i helsehjelp til den enkelte, administrasjon av slike tjenester eller har særskilt hjemmel i lov eller forskrift. § 17Rett til å motsette seg behandling av helseopplysninger
Kapittel 4. Virksomhetens plikter ved behandling av helseopplysninger
§ 19Helseopplysninger ved helsehjelp
Innenfor rammen av taushetsplikten etter helsepersonelloven skal den dataansvarlige sørge for at relevante og nødvendige helseopplysninger er tilgjengelige for helsepersonell og annet samarbeidende personell når dette er nødvendig for å yte, administrere eller kvalitetssikre helsehjelp. Personellet kan innenfor rammene av denne taushetsplikten behandle opplysningene så langt det er nødvendig for å yte, administrere eller kvalitetssikre helsehjelp.Med mindre annet er fastsatt i lov eller i medhold av lov, skal den dataansvarlige bestemme på hvilken måte opplysningene skal gjøres tilgjengelige. Opplysningene skal gjøres tilgjengelige på en måte som ivaretar informasjonssikkerheten.Departementet kan i forskrift gi nærmere bestemmelser om hvordan helseopplysninger i behandlingsrettede helseregistre kan gjøres tilgjengelige.Endret ved lover 15 juni 2018 nr. 38 (ikr. 20 juli 2018 iflg. meddelelse 17 juli 2018 nr. 1195), 23 jan 2026 nr. 1 (i kraft 1 juli 2026 iflg. res. 13 mars 2026 nr. 402). § 20Helseopplysninger til andre formål enn helsehjelp
Den dataansvarlige kan gjøre helseopplysninger tilgjengelige for andre formål enn helsehjelp når den enkelte samtykker eller dette er fastsatt i lov eller i medhold av lov. Med samtykke menes enhver frivillig, spesifikk, informert og utvetydig viljesytring fra den registrerte der vedkommende ved en erklæring eller en tydelig bekreftelse gir sitt samtykke til behandling av helseopplysninger som gjelder vedkommende, jf. personvernforordningen artikkel 4 nr. 11.Endret ved lov 15 juni 2018 nr. 38 (ikr. 20 juli 2018 iflg. meddelelse 17 juli 2018 nr. 1195). Kapittel 5. Tilsyn og sanksjoner
Kapittel 6. Ikraftsetting mv.
§ 32Ikraftsetting
Loven trer i kraft fra den tid Kongen bestemmer. Kongen kan bestemme at de enkelte bestemmelsene i loven skal tre i kraft til ulik tid. § 33Videreføring av forskrifter
Forskrifter gitt i medhold av lov 18. mai 2001 nr. 24 om helseregistre og behandling av helseopplysninger, gjelder også etter at loven her har trådt i kraft.