Helseregisterloven

Loven skal gi grunnlag for regulering av og kontroll med utlendingers opphold i riket, i samsvar med norsk innvandringspolitikk og internasjonale forpliktelser.

Loven skal legge til rette for lovlig bevegelse over landegrensene, og ivareta rettssikkerheten til utlendinger som reiser inn i eller ut av riket, som oppholder seg her, eller som søker en tillatelse etter loven.

Loven skal gi grunnlag for vern for utlendinger som har krav på beskyttelse etter alminnelig folkerett eller internasjonale avtaler som Norge er bundet av.

Loven gjelder utlendingers adgang til riket og deres opphold her. Også norske statsborgere og juridiske personer kan pålegges plikter etter loven.

Loven skal anvendes i samsvar med internasjonale regler som Norge er bundet av når disse har til formål å styrke individets stilling.

Dersom ikke annet følger av gjeldende rettsregler, har utlendinger under sitt lovlige opphold i riket samme rettigheter og plikter som norske statsborgere.

Med utlending forstås i denne loven enhver som ikke er norsk statsborger.

Nordiske borgere er unntatt fra kravet om oppholdstillatelse for å ta opphold eller arbeid i riket, jf. § 55. Kongen kan også fastsette unntak i forskrift for andre utlendinger.

For utlendinger tilknyttet diplomatiske eller lønnede konsulære representasjoner i riket, deres ektefeller eller samboere og forsørgede barn, bestemmer Kongen hvilke av lovens regler som skal gjelde. Kongen kan gi særlig forskrift for denne gruppen. Det samme gjelder ansatte i mellomstatlige organisasjoner, oppdragstakere for mellomstatlige organisasjoner eller konvensjonsorganer og personlig ansatte hos utenlandske representanter.

For utlendinger som skal ha opphold i riket i forbindelse med gjennomføring av en avtale om mellomstatlig samarbeid som Norge er bundet av, gjelder bestemmelsene om reisedokument, visum og oppholdstillatelse med de unntak som følger av avtalen.

Helseopplysninger skal behandles i samsvar med prinsippene for behandling i personvernforordningen artikkel 5.

Graden av personidentifikasjon skal ikke være større enn nødvendig for det aktuelle formålet. Graden av personidentifikasjon skal begrunnes. Tilsynsmyndigheten kan kreve at den dataansvarlige legger frem begrunnelsen.

Departementet kan gi forskrift om godkjenning av programvare, sertifisering og om bruk av standarder, klassifikasjonssystemer og kodeverk, samt hvilke nasjonale eller internasjonale standardsystemer som skal følges ved behandling av helseopplysninger etter denne loven.

Dersom ikke annet er bestemt, skal en utlending som kommer til riket, ha pass eller annet legitimasjonsdokument som er godkjent som reisedokument.

Departementet fastsetter kravet for å godta pass eller annet legitimasjonsdokument som gyldig for innreise og opphold i riket.

Utlendingsdirektoratet kan i særlige tilfeller frita en utlending fra kravet om pass eller godta annet dokument enn det som følger av de alminnelige reglene.

Utlendinger som har oppholdstillatelse utstedt av et land som deltar i Schengensamarbeidet (Schengenland), slik dette er definert i forskrift, og har gyldig reisedokument, er unntatt fra visumplikt.

Visum utstedt av et Schengenland gir rett til innreise og opphold i riket i den perioden visumet gjelder for, når denne retten fremgår av visumet.

Samlet oppholdstid på Schengenterritoriet for en utlending som er unntatt fra visumplikten i medhold av første eller annet ledd, eller som har adgang til innreise og opphold etter tredje ledd, kan ikke overstige tre måneder i løpet av en periode på seks måneder.

Kongen kan gi nærmere regler i forskrift, herunder om hvem som er unntatt fra visumplikt etter annet ledd og om tidsberegningen i fjerde ledd.

Beslutninger som treffes av Kongen i statsråd i medhold av første ledd bokstav a, skal fortrinnsvis gjelde for to uker og maksimalt seks uker. Det gjelder ikke plikt til forhåndsvarsling etter forvaltningsloven § 37. Beslutningene kan bare fornyes én gang, men ytterligere én gang dersom behovet oppstår når Stortinget ikke er samlet.

Avgjørelse om tillatelse til innreise etter første ledd bokstav a og b kan treffes av politiet og anses ikke som enkeltvedtak.

For øvrig må det være i samsvar med kriteriene for visumutstedelse som følger av Schengensamarbeidet å utstede visum. Kongen kan gi utfyllende bestemmelser i forskrift, herunder om krav til reise- og sykeforsikring som følger av Schengensamarbeidet.

Det kan gjøres unntak fra retten til visum etter første ledd dersom innvandringsregulerende hensyn taler mot at visum gis, eller det foreligger omstendigheter som ville gitt grunn til å nekte utlendingen adgang til riket eller opphold i medhold av andre bestemmelser i loven.

I avveiningen etter annet ledd skal det særlig legges vekt på barns behov for kontakt med foreldrene.

Visum kan nektes dersom det er sannsynlig at søkeren eller dennes særkullsbarn vil bli mishandlet eller grovt utnyttet.

Visum kan gis for en eller flere innreiser. Bestemmelsen i § 9 fjerde ledd gjelder tilsvarende.

Kongen kan i forskrift gi utfyllende regler om vilkårene for å innvilge visum etter første ledd og om varigheten og innholdet av slikt visum. Kongen kan også gi regler i forskrift om transittvisum og lufthavntransittvisum, og om visum til familiemedlemmer til utlendinger som er omfattet av EØS-avtalen eller EFTA-konvensjonen.

Når det er nødvendig av humanitære grunner, nasjonale hensyn eller på grunn av internasjonale forpliktelser, kan visum utstedes for inntil tre måneder selv om vilkårene i § 10 ikke er oppfylt. Bestemmelsen i § 9 fjerde ledd gjelder tilsvarende.

Visum som utstedes i henhold til denne paragrafen, er bare gyldige for innreise og opphold i Norge i den angitte tidsperioden.

Kongen kan gi nærmere regler i forskrift.

En utlending som gis oppholdstillatelse eller som har til hensikt å oppholde seg i riket fram til oppholdstillatelse er gitt, kan gis visum for innreise etter nærmere regler fastsatt av Kongen i forskrift.

Søknader om visum avgjøres av Utlendingsdirektoratet. Myndighet til å avgjøre søknader om visum i henhold til §§ 10 og 12 kan også legges til utenrikstjenesten og til Sysselmesteren på Svalbard. Myndighet til å avgjøre søknad om visum i henhold til § 10 kan dessuten legges til en utenrikstjeneneste tilhørende et annet Schengenland. Kongen kan gi nærmere regler i forskrift.

Kongen gir i forskrift nærmere regler om ny innreise og forlengelse av visumets gyldighetstid og om vedtaksmyndighet i slike saker.

Kongen kan i forskrift gi nærmere regler om utstedelse av visum, herunder om utstedelse av visum på grensen (nødvisum), fremgangsmåten ved søknad og behandlingen av søknader.

Sjøfolk eller blindpassasjer om bord på sjøfartøy som skal innreisekontrolleres etter grenseloven § 17, kan ikke forlate fartøyet før det er fastsatt hvor og når innreisekontrollen skal gjennomføres.

Kongen kan gi forskrift om vilkårene for sjøfolk og blindpassasjerers adgang til riket, blant annet om sjøfolks landlov, og om saksbehandlingen og klageadgangen i slike saker.

Enhver som behandler helseopplysninger etter denne loven, har taushetsplikt etter helsepersonelloven §§ 21 flg. Andre som får adgang eller kjennskap til helseopplysninger fra helseregistre, har samme taushetsplikt. For søknader om dispensasjon fra taushetsplikten for tilgjengeliggjøring av opplysninger i helseregistre gjelder § 19 e.

Det er forbudt å lese, søke etter eller på annen måte tilegne seg, bruke eller besitte helseopplysninger som behandles etter denne loven, uten særskilt hjemmel i lov eller forskrift.

Dataansvarlige for helseregistre kan utarbeide og offentliggjøre relevant statistikk basert på helseopplysninger i registeret og opplysninger som er sammenstilt etter § 19 c.

Dataansvarlige for helseregistre som er etablert med hjemmel i § 11 skal utarbeide og løpende offentliggjøre relevant statistikk som nevnt i første ledd. Departementet kan gi forskrift om at også andre dataansvarlige skal utarbeide statistikk.

Dataansvarlige for helseregistre skal på forespørsel utarbeide og tilgjengeliggjøre statistikk basert på opplysninger i registeret og opplysninger som er sammenstilt etter § 19 c, dersom statistikken skal brukes til formål som er innenfor registrenes formål.

Utarbeidet statistikk skal være anonym.

Det skal ikke tilgjengeliggjøres flere opplysninger enn det som er nødvendig for formålet. Opplysningene skal tilgjengeliggjøres uten navn, fødselsnummer eller andre personidentifiserende kjennetegn med mindre slike opplysninger av særlige grunner er nødvendige.

Tilgjengeliggjøring kan bare skje når den registrerte har samtykket, tilgjengeliggjøringen omfattes av andre unntak fra taushetsplikten, eller det er gitt dispensasjon.

Den dataansvarlige kan sette som vilkår for tilgjengeliggjøring at mottakeren setter i verk særlige tiltak for å verne den registrertes grunnleggende rettigheter og interesser.

Opplysningene kan bare tilgjengeliggjøres dersom det er ubetenkelig ut fra etiske, medisinske og helsefaglige hensyn. For tilgjengeliggjøring til medisinsk og helsefaglig forskning skal mottakeren ha fått forhåndsgodkjenning fra den regionale komiteen for medisinsk og helsefaglig forskningsetikk, jf. helseforskningsloven § 33.

Dersom det er gitt dispensasjon fra taushetsplikten etter § 19 e, skal opplysningene tilgjengeliggjøres i samsvar med dispensasjonsvedtaket uten at den dataansvarlige skal vurdere om vilkårene i første til femte ledd i bestemmelsen her er oppfylt.

Departementet kan gi forskrift om den dataansvarliges plikt og adgang til å tilgjengeliggjøre opplysninger som er overført til løsningen etter § 20.

Taushetsplikten er ikke til hinder for tilgjengeliggjøring av indirekte personidentifiserbare helseopplysninger i registre som er etablert med hjemmel i § 11, dersom hensynet til den registrertes integritet og konfidensialitet er ivaretatt og behandlingen av opplysningene er av vesentlig interesse for samfunnet.

Helseopplysninger i helseregistre etablert med hjemmel i §§ 8 til 12 og demografiske og sosioøkonomiske personopplysninger i Folkeregisteret og andre offentlige registre, kan sammenstilles for å utarbeide statistikk som skal tilgjengeliggjøres etter § 19 eller for å tilgjengeliggjøre opplysninger etter § 19 a. Det skal ikke sammenstilles flere opplysninger enn det som er nødvendig for formålet.

Sammenstillingen skal være i samsvar med eventuelle samtykker eller reservasjoner. Opplysninger i helseregistre etablert med hjemmel i § 9 første ledd bokstav b kan bare sammenstilles dersom sammenstillingen skjer uten at den dataansvarlige har tilgang til navn, fødselsnummer eller andre personidentifiserende kjennetegn.

Sammenstillingen skal gjøres av den dataansvarlige for et av registrene eller en virksomhet som departementet utpeker.

Som ledd i kvalitetskontroll av opplysningene i registeret kan den dataansvarlige også gjennomføre rutinemessige sammenstillinger med tilsvarende opplysninger i helseregistre hjemlet i § 11 og § 12 og i Folkeregisteret.

Dataansvarlige kan tilgjengeliggjøre opplysninger for sammenstilling uten hinder av taushetsplikten.

Kongen i statsråd kan gi forskrift om at opplysningene i registeret som ledd i kvalitetskontroll også kan sammenstilles med opplysninger i originalkilden (pasientjournal mv.).

Helseopplysningene kan ikke gjøres tilgjengelige for påtalemyndigheten eller til bruk for arbeidsgivere eller forsikringsøyemed selv om den registrerte samtykker.

Det skal ikke tilgjengeliggjøres flere opplysninger enn det som er nødvendig for formålet. Opplysningene skal tilgjengeliggjøres uten navn, fødselsnummer eller andre personidentifiserende kjennetegn med mindre slike opplysninger av særlige grunner er nødvendige.

Departementet kan sette som vilkår for tilgjengeliggjøring at mottakeren setter i verk særlige tiltak for å verne den registrertes grunnleggende rettigheter og interesser.

Det kan bare gis dispensasjon dersom tilgjengeliggjøringen er ubetenkelig ut fra etiske, medisinske og helsefaglige hensyn. For tilgjengeliggjøring til medisinsk og helsefaglig forskning skal mottakeren ha fått forhåndsgodkjenning fra den regionale komiteen for medisinsk og helsefaglig forskningsetikk, jf. helseforskningsloven § 33.

Myndigheten etter første ledd kan delegeres til et underordnet forvaltningsorgan eller legges til den regionale komiteen for medisinsk og helsefaglig forskningsetikk.

Den dataansvarlige skal tilgjengeliggjøre helseopplysninger etter § 19 tredje ledd og § 19 a innen 30 virkedager fra en fullstendig søknad er mottatt. Dersom tilgjengeliggjøringen krever sammenstilling med opplysninger fra flere registre, er fristen 60 virkedager.

Tilgjengeliggjøringen kan utsettes dersom særlige forhold gjør det uforholdsmessig vanskelig å overholde fristen. Den dataansvarlige skal i så fall gi et foreløpig svar med informasjon om grunnen til forsinkelsen og tidspunktet for når tilgjengeliggjøring sannsynligvis vil skje.

Den dataansvarlige kan kreve betaling for tilrettelegging av statistikk og annen behandling av helseopplysninger etter § 19 til § 19 e. Betalingen kan ikke overstige de faktiske utgiftene knyttet til tilgjengeliggjøring av opplysninger fra registeret, inkludert utgifter knyttet til saksbehandling, uttrekk, tilrettelegging, sammenstilling og utarbeiding av statistikk.

Den dataansvarlige skal føre en oversikt over tilgjengeliggjøring av helseopplysninger fra registeret. Oversikten skal vise hvem som har fått opplysningene, og hva som er det rettslige grunnlaget for mottakerens bruk av opplysningene.

Oversikten skal oppbevares i minst ti år etter tilgjengeliggjøringen.

Departementet kan gi forskrift om en nasjonal organisatorisk og teknisk løsning for utarbeidelse av statistikk og for sammenstilling og tilgjengeliggjøring, av helseopplysninger fra helseregistre. Demografiske og sosioøkonomiske personopplysninger i Folkeregisteret og andre offentlige registre kan også inngå i løsningen.

Løsningen skal legges til et organ underordnet departementet. Organet skal ha dataansvaret for mottak, lagring, sammenstilling, tilgjengeliggjøring og annen behandling av helseopplysninger og andre personopplysninger som inngår i løsningen. Oppgaver knyttet til hele eller deler av løsningen kan utføres av en databehandler.

Opplysningene kan mottas, lagres og behandles på andre måter som et ledd i utarbeidelse av statistikk og tilgjengeliggjøring fra plattformen. Utarbeidelse av statistikk, tilgjengeliggjøring og sammenstilling skal skje i samsvar med vilkårene i §§ 19 til 19 h. Overføring av opplysninger til løsningen kan skje uten hinder av taushetsplikt.

Departementet kan gi forskrift om at kommuneleger kan få tilgjengeliggjort opplysninger fra Dødsårsaksregisteret uten hinder av taushetsplikt.

Den dataansvarlige og databehandleren skal gjennomføre tekniske og organisatoriske tiltak for å oppnå et sikkerhetsnivå som er egnet med hensyn til risikoen, jf. personvernforordningen artikkel 32. Den dataansvarlige og databehandleren skal blant annet sørge for tilgangsstyring, logging og etterfølgende kontroll. I registre som er etablert med hjemmel i §§ 10 eller 11, skal navn, fødselsnummer og andre personidentifiserende kjennetegn lagres kryptert.

Departementet kan i forskrift fastsette nærmere krav til informasjonssikkerhet ved behandling av helseopplysninger.

Den dataansvarlige skal gjennomføre tekniske og organisatoriske tiltak for å sikre og påvise at behandlingen utføres i samsvar med personvernforordningen, personopplysningsloven og denne loven, jf. forordningen artikkel 24.

Departementet kan i forskrift gi nærmere regler om tekniske og organisatoriske tiltak etter første ledd.

En dataansvarlig som behandler opplysninger etter forskrift i medhold av §§ 8 til 11, skal av eget tiltak informere allmennheten om hva slags behandling av helseopplysninger som foretas.

Den registrerte har rett til informasjon og innsyn i henhold til personvernforordningen artikkel 13 til 15. Retten til informasjon og innsyn gjelder ikke opplysninger som omfattes av unntakene i personopplysningsloven §§ 16 og 17.

Den registrerte har også rett til innsyn i hvem som har hatt tilgang til eller fått utlevert helseopplysninger som er knyttet til den registrertes navn eller fødselsnummer, fra helseregistre etter §§ 8 til 11. Departementet kan i særlige tilfeller gi den dataansvarlige en tidsbegrenset dispensasjon fra plikten til å gi innsyn etter dette leddet.

Når det er nødvendig for å vurdere innsynskrav, kan den dataansvarlige innhente personopplysninger fra Folkeregisteret. Dette gjelder uten hensyn til taushetsplikt.

Kongen kan i forskrift gi nærmere bestemmelser om retten til informasjon og innsyn.

Den registrerte kan kreve retting eller sletting etter personvernforordningen artikkel 16 og 17. Unntaket i personopplysningsloven § 17 andre og tredje ledd gjelder. Den registrerte kan også kreve at helseopplysninger som behandles etter §§ 8 til 11, skal slettes eller sperres, dersom behandling av opplysningene føles sterkt belastende for den registrerte, og det ikke finnes sterke allmenne hensyn som tilsier at opplysningene behandles. Krav om retting, sletting eller sperring av opplysninger rettes til den dataansvarlige for opplysningene.

Datatilsynet kan, etter at Riksarkivaren er hørt, treffe vedtak om at retten til sletting etter første ledd går foran reglene i arkivloven §§ 9 og 18. Hvis dokumentet som inneholdt de slettede opplysningene, gir et åpenbart misvisende bilde etter slettingen, skal hele dokumentet slettes.

Datatilsynet fører tilsyn med overholdelsen av loven og forskrifter gitt i medhold av loven. Dette gjelder ikke for tilsynsoppgaver som påligger Statens helsetilsyn eller statsforvalteren etter helsetilsynsloven.

Ved behandling av helseopplysninger i strid med loven eller forskrifter gitt i medhold av loven, kan Datatilsynet ilegge overtredelsesgebyr etter personvernforordningen artikkel 83 og personopplysningsloven §§ 26 og 27.

Overtredelse av § 17 om taushetsplikt straffes etter straffeloven § 209, likevel slik at medvirkning straffes.

Den som forsettlig eller grovt uaktsomt overtrer forbudet mot urettmessig tilegnelse av helseopplysninger i § 18, straffes med bøter eller fengsel i inntil 1 år.

Grov urettmessig tilegnelse av helseopplysninger straffes med fengsel i inntil 3 år.

Den dataansvarlige og databehandleren skal erstatte skader som er oppstått som følge av at helseopplysninger er behandlet i strid med personvernforordningen, etter forordningen artikkel 82 og personopplysningsloven § 30. Ansvaret gjelder tilsvarende ved brudd på denne loven eller forskrifter gitt i medhold av loven.

Loven trer i kraft fra den tid Kongen bestemmer. Fra samme tid oppheves lov 18. mai 2001 nr. 24 om helseregistre og behandling av helseopplysninger.

Kongen kan bestemme at de enkelte bestemmelsene i loven skal tre i kraft til ulik tid.

Forskrifter gitt i medhold av lov 18. mai 2001 nr. 24 om helseregistre og behandling av helseopplysninger gjelder også etter at loven her har trådt i kraft. Dette gjelder selv om forskriften ikke har alle bestemmelser som kreves etter § 8 fjerde ledd.