Høringssvar om forslag til lov om det europeiske helsedataområdet

Statens helsetilsyn (Helsetilsynet) viser til høringen fra Helse- og omsorgsdepartementet om forslag til lov om det europeiske helsedataområdet. Høringsfristen er 28. september 2026.

Høringsnotatet gir en gjennomgang av forordningen og av lovendringene som er foreslått i norsk rett. Forslaget skal gi bedre tilgang til og bruk av helsedata. Samtidig etableres det nye myndighetsfunksjoner og nye rammer for digital samhandling i helse- og omsorgstjenesten.

Helsetilsynets mandat er å styrke sikkerheten og kvaliteten i helse- og omsorgstjenesten, og befolkningens tillit til helsepersonell og til tjenesten, jf. helsetilsynsloven. Høringssvaret tar utgangspunkt i dette mandatet, og går særlig inn på de delene av forslaget som har betydning for forsvarlige helse- og omsorgstjenester, pasientsikkerhet og bruken av IKT-systemer i helsehjelpen.

Innledning

Helsetilsynet har merknader til tre forhold: etableringen av markedstilsyn med pasientjournalsystemer, der det vurderes om Helsetilsynet bør ha enkelte markedstilsynsoppgaver; forholdet til det helsefaglige tilsynet etter foreslått endring i pasientjournalloven § 26; og behovet for tydelig ansvarsdeling når nye tilsynsoppgaver innføres.

Helsetilsynet støtter at Direktoratet for medisinske produkter (DMP) har hovedansvaret for markedstilsynet, herunder de produkt-, leverandør- og markedsrettede oppgavene. Dersom Helsetilsynet skal ha ansvar for enkelte markedstilsynsoppgaver, bør disse være klart avgrenset til ytelsen av helsehjelp.

Samtidig er det viktig å holde det helsefaglige tilsynet etter pasientjournalloven § 26 atskilt fra markedstilsynet etter helsedataforordningen kapittel III. De to tilsynssporene har ulike formål, ulikt rettsgrunnlag og ulike tilsynsobjekter. Likevel kan en og samme hendelse i enkelte tilfeller gi grunnlag for oppfølging etter begge regelverkene.

Konkret om de foreslåtte tiltakene

Behov for tydelig skille mellom markedstilsyn og helsefaglig tilsyn

Helsetilsynet har erfaring med tilsyn på områder der flere myndigheter har utfyllende oppgaver, blant annet for medisinsk utstyr. Der er Helsetilsynets tilsyn rettet mot virksomhetenes håndtering og bruk av utstyret som del av tjenesteytingen, og DMP fører tilsyn med produktet og aktørene som bringer det i omsetning.

Helsetilsynet vil bemerke at vi har ulike erfaringer med et tilsynsansvar som deles mellom ulike tilsynsmyndigheter. Et delt tilsynsansvar kan skape gråsoner. Erfaringen er at det kan være krevende for tilsynsmyndighetene å avklare og avgrense ansvaret i disse gråsonene. Vår erfaring er også at det kan være vanskelig for virksomheter å forholde seg til et tilsyn der to tilsynsmyndigheter fører tilsyn med hver sin side av samme sak.

Dersom Helsetilsynet skal ha ansvar for enkelte avgrensede markedstilsynsoppgaver for pasientjournalsystemer, bør ansvarsdelingen være tydeligere avklart fra starten enn det som har vært tilfelle for medisinsk utstyr. Dette gjelder både hvordan grensen mot markedstilsynet skal forstås når en virksomhet selv har endret systemet slik at den kan anses som produsent etter artikkel 34, og hvilke oppgaver Helsetilsynet eventuelt selv skal ha. Dette bør gå tydelig frem av regelverket eller forarbeidene.

Helsetilsynet mener det også bør etableres gode rutiner for informasjonsdeling mellom markedstilsynsmyndigheten og Helsetilsynet i saker som kan ha betydning for sikkerheten og forsvarlig helsehjelp. Det bør avklares hvordan en hendelse skal følges opp når den skyldes både en svakhet ved selve systemet og hvordan virksomheten har brukt det, slik at ansvaret for oppfølgingen er klart, og ingen del av hendelsen faller mellom markedstilsynet og det helsefaglige tilsynet.

Pasientjournalloven § 26 – helsefaglig tilsyn med nasjonale e-helseløsninger

Nasjonale e-helseløsninger har i dag stor betydning for helsehjelpen, og svikt i slike løsninger kan påvirke pasientsikkerheten. Helsetilsynet støtter departementets forslag om å tydeliggjøre tilsynsrollen for e-helseløsninger av særlig betydning for ytelsen av helsehjelp. Dersom forskriftshjemmelen i pasientjournalloven § 26 tas i bruk, mener vi at det bør fremgå tydelig hvilke e-helseløsninger som omfattes, hvem tilsynet retter seg mot, hvilke forhold Helsetilsynet skal føre tilsyn med, og hvordan tilsynsansvaret avgrenses mot Datatilsynets oppgaver.

Det bør også avklares hvordan tilsynsansvaret etter bestemmelsen skal ses i sammenheng med digital sikkerhetslovgivning og annet regelverk som kan regulere de samme løsningene.

Rapportering av alvorlige hendelser

Helsetilsynet støtter at det legges til rette for at brukere kan rapportere alvorlige hendelser knyttet til pasientjournalsystemer. En slik ordning bør ses i sammenheng med eksisterende melde- og varslingsordninger i helse- og omsorgstjenesten. Det bør tydeliggjøres hvem som kan rapportere, hvilke hendelser som omfattes, hvor meldingen skal sendes, og hvordan relevant informasjon skal videreformidles dersom hendelsen også kan ha betydning for forsvarlig helsehjelp og pasientsikkerhet.

Grensekryssende hendelser

Helsedataforordningen legger opp til omfattende grensekryssende utveksling av helseopplysninger og samarbeid mellom myndigheter i EU/EØS. Helsetilsynet mener derfor det bør avklares hvordan informasjon om alvorlige hendelser, identifisert risiko og korrigerende tiltak som formidles gjennom de europeiske samarbeidsmekanismene, skal håndteres nasjonalt når forholdene også kan ha betydning for forsvarlig helsehjelp eller pasientsikkerheten i Norge. Relevant informasjon bør kunne deles med Helsetilsynet der det er nødvendig for å ivareta tilsynsansvaret.

Bruk av data fra helse- og livsstilsapplikasjoner

Helsetilsynet vil understreke at data fra helse- og livsstilsapplikasjoner ikke uten videre er egnet til bruk i pasientbehandling, selv om applikasjonen er interoperabel med et pasientjournalsystem. Dersom opplysninger fra applikasjoner, sensorer eller andre brukergenererte kilder gjøres tilgjengelige i pasientjournalsystemer, må det være tydelig for helsepersonell hvor opplysningene kommer fra. Det må også være tydelig hvilken kvalitet de har, og hvilke begrensninger som gjelder for klinisk bruk.

Etter Helsetilsynets vurdering bør opplysninger kunne skilles tydelig fra opplysninger registrert og vurdert av helsepersonell. En slik praksis vil redusere risikoen for feilvurderinger, og legge til rette for forsvarlig bruk av pasientopplysninger i helse- og omsorgstjenesten. Dette følger også av artikkel 5, som krever at informasjon lagt inn av pasienten selv eller dennes representant skal være tydelig merket, og at slike personer ikke skal kunne endre elektroniske helsedata som er lagt inn av helsepersonell.

Ressurser og kompetanse

Dersom Helsetilsynet får nye oppgaver etter helsedataforordningen eller pasientjournalloven § 26, må dette følges av tilstrekkelige ressurser, nødvendig kompetanse og organisatorisk kapasitet.

Departementet har anslått et samlet ressursbehov for de nye markedstilsynsoppgavene, men det er foreløpig ikke avklart hvor stor del av dette som eventuelt gjelder Helsetilsynet. Vi ber om at ressurs- og kompetansebehovet for Helsetilsynet vurderes og avklares særskilt, og at eventuelle nye oppgaver finansieres og dimensjoneres slik at de kan utføres på en forsvarlig måte.

Sekundærbruk av elektroniske helsedata

Helsetilsynet har ikke særskilte merknader til departementets forslag som gjelder sekundærbruk av elektroniske helsedata etter helsedataforordningen kapittel IV.

Med hilsen

Statens helsetilsyn