Forskrift om innsamling og behandling av helseopplysninger i register over abort (abortregisterforskriften)

FOR-2007-12-14-1418 · Helse- og omsorgsdepartementet · I kraft 2008-01-01 · Sist endret i kraft 2025-06-01
⚖️ Fastsatt med hjemmel i: lov 2001-05-18-24, pasientjournalloven, helseregisterloven

Forskrift om innsamling og behandling av helseopplysninger i register over abort (abortregisterforskriften)

Kapittel 1. Generelle bestemmelser

§ 1-1. Hjemmelsgrunnlag for Abortregisteret

Denne forskriften gir hjemmelsgrunnlag for et landsomfattende avidentifisert register for abort etter abortloven (Abortregisteret). Forskriften gir regler for innsamling, lagring, tilgjengeliggjøring og annen behandling av opplysninger i registeret.

§ 1-2. Definisjoner

I forskriften forstås med:
  1. avidentifiserte helseopplysninger: helseopplysninger der navn, fødselsnummer og andre personentydige kjennetegn er fjernet, slik at opplysningene ikke lenger kan knyttes til en enkeltperson, og hvor identitet bare kan tilbakeføres ved sammenstilling med de samme opplysninger som tidligere er fjernet,
  2. anonyme helseopplysninger: opplysninger der navn, fødselsnummer og andre personentydige kjennetegn er fjernet, slik at opplysningene ikke lenger kan knyttes til en enkeltperson.

§ 1-3. Abortregisterets formål

Formålet med Abortregisteret er å samle inn og behandle opplysninger tilknyttet krav om abort for å:
  1. gi grunnlag for utarbeidelse av statistikk om praktisering av lov om abort,
  2. bidra til å evaluere tiltak mot uønskede svangerskap og abort,
  3. bidra til god ressursutnyttelse og kvalitet i behandlingen av kvinners reproduktive helse.
Opplysninger i Abortregisteret kan foruten til formål som nevnt i første ledd, behandles og brukes til styring, planlegging og kvalitetssikring av helse- og omsorgstjenesten og helseforvaltning, utarbeiding av statistikk og forskning.

§ 1-4. Forbud mot bruk

Opplysningene i Abortregisteret kan ikke anvendes til formål som er uforenlig med formål som nevnt i § 1-3.

§ 1-6. Databehandler

Folkehelseinstituttet kan inngå skriftlig avtale med en databehandler om innsamling og behandling av opplysninger i Abortregisteret, herunder om formålet med registeret, jf. § 1-3, drift og kvalitetssikring av registeret, samt tilgjengeliggjøring av data for brukere.

§ 1-7. Opplysninger i Abortregisteret

Abortregisteret inneholder opplysninger fra sykehus, offentlige og private helseinstitusjoner, og andre virksomheter som utfører abort eller nemndbehandling etter abortloven.
Abortregisteret kan uten samtykke fra den registrerte inneholde følgende opplysninger i den utstrekning det er relevant og nødvendig for å oppnå formålet med registeret:
  1. avidentifiserte personopplysninger;
    1. fødselsdato,
    2. bostedskommune,
    3. sivilstatus og
    4. arbeid/skolegang,
  2. administrative opplysninger;
    1. navn og organisasjonsnummer på virksomhet etter § 1-7 første ledd hvor krav om abort er behandlet,
    2. saksnummer,
    3. dato for krav,
    4. journalopptaksdato,
    6. om informasjon om aborten og mulige komplikasjoner er gitt kvinnen, jf. abortloven §§ 6 og 23,
  4. medisinske opplysninger;
    1. tidligere svangerskap,
    2. svangerskapets lengde og andre opplysninger om svangerskapets varighet,
    3. tidligere sykdommer/sykdomshistorie og
    4. prevensjonsbruk,
  5. opplysninger om nemndbehandling,
  6. opplysninger om fosterdiagnostikk,
  7. opplysninger om inngrep/behandling.
Abortregisteret kan, hvis kvinnen ikke motsetter seg det, etter å ha fått informasjon om hvordan slike opplysninger behandles i Abortregisteret, inneholde opplysninger om kvinnens røykevaner.

§ 1-8. Koding og klassifisering

Folkehelseinstituttet skal ved enhver registrering i Abortregisteret kunne dokumentere hvilke klassifikasjoner eller kodeverk som er benyttet.

Kapittel 2. Innsending av opplysninger

§ 2-1. Plikt til innsending og forhold til taushetsplikt

Helsepersonell tilknyttet virksomhet hvor abort foretas eller nemndbehandling utføres, skal registrere opplysninger som nevnt i § 1-7 andre ledd. Sykehus eller institusjoner hvor abort foretas eller nemndbehandling utføres, skal sørge for å melde inn opplysninger etter § 1-7 andre ledd til Abortregisteret. Virksomheten skal sørge for at det finnes rutiner som sikrer dette.
Lovbestemt taushetsplikt er ikke til hinder for at opplysningene som følger av § 1-7 meldes inn til Abortregisteret.

§ 2-2. Rutiner for innsending mv.

Innsending av opplysninger skal følge de rutiner og tidsfrister som til enhver tid er fastsatt av Folkehelseinstituttet.

§ 2-3. Overføringsformat, kvalitetskontroll og innsending

Overføring av opplysninger fra virksomhet nevnt i § 2-1 til Abortregisteret skal skje i et format som bestemmes av Folkehelseinstituttet.
Virksomhet som nevnt i § 2-1 skal foreta en kvalitetskontroll av at opplysningene er i henhold til forskriftens bestemmelser.

§ 2-4. Ansvar for sikring av at opplysningene er korrekte og krav til dokumentasjon

Folkehelseinstituttet har ansvaret for at de opplysningene som blir samlet inn og behandlet i Abortregisteret, er relevante og nødvendige for bruk til formål som nevnt i § 1-3.
Folkehelseinstituttet skal sørge for at de opplysningene som er samlet inn og behandlet i Abortregisteret, er korrekte og fullstendige. Dersom de innsendte opplysningene er ufullstendige eller på annen måte mangelfulle, skal innsender av opplysningene varsles. Feil skal rettes og opplysningene eventuelt sendes på nytt fra innsender. Dersom det ikke er mulig for Folkehelseinstituttet å få korrekte data, kan Helsetilsynet varsles.

Kapittel 3. Behandling av opplysninger i Abortregisteret, sammenstilling og tilgjengeliggjøring

§ 3-1. Tilgjengeliggjøring og annen behandling av helseopplysninger

§ 3-3. Informasjonsstrategi rettet mot brukergrupper

For å fremme bruken av data fra Abortregisteret og for å bygge opp informasjon og kunnskap for formål som nevnt i § 1-3, skal Folkehelseinstituttet ha en informasjonsstrategi og -plan rettet mot så vel helseforvaltningen, helse- og omsorgstjenesten og øvrig forvaltning, som mot forskere innen medisinsk forskning, helsetjenesteforskning og samfunnsforskning.

Kapittel 4. Taushetsplikt, informasjonssikkerhet og internkontroll

§ 4-4. Plikt til å sørge for internkontroll

Folkehelseinstituttet skal gjennomføre tekniske og organisatoriske tiltak for å sikre og påvise at behandlingen utføres i samsvar med personvernforordningen, personopplysningsloven og helseregisterloven, jf. forordningen artikkel 24. Tiltakene skal tilpasses virksomhetens art, aktiviteter og størrelse i det omfang det er nødvendig for å etterleve reglene om behandling av helseopplysninger, med særlig vekt på bestemmelser gitt i medhold av helseregisterloven § 21.

§ 4-5. Innholdet i internkontrollen

Internkontrollen innebærer at Folkehelseinstituttet skal ha kunnskap om gjeldende regler om behandling av helseopplysninger, tilstrekkelig og oppdatert dokumentasjon for gjennomføring av rutiner, og ha denne dokumentasjonen tilgjengelig for dem den måtte angå.
Dokumentasjonen av internkontrollen skal minst inneholde
  1. oversikt over hvordan virksomheten er organisert,
  2. oversikt over ansvars- og myndighetsforhold,
  3. oversikt over de krav i og i medhold av personvernforordningen, personopplysningsloven og helseregisterloven som gjelder for virksomheten,
  4. rutiner virksomheten følger for å sikre at kravene blir overholdt,
  5. rutiner virksomheten følger dersom avvik oppstår, og opplysninger om hvem som er ansvarlig for at rutinene blir overholdt,
  6. rutiner virksomheten følger for å hindre gjentakelse av avvik og opplysninger om hvem som er ansvarlig,
  7. rutiner for hvordan virksomheten systematisk og regelmessig gjennomgår sin internkontroll for å kontrollere at aktivitetene og resultatene av dem stemmer overens med det systemet virksomheten har fastlagt, og om det medfører oppfyllelse av personvernforordningen, personopplysningsloven og helseregisterloven, og
  8. rutiner for hvordan virksomheten sikrer at de ansatte har tilstrekkelig kompetanse til å overholde forskriftens krav.
Skriftlig dokumentasjon skal minst omfatte dokumentasjon av rutiner som nevnt i andre ledd nr. 1 til 8. Datatilsynet kan gi pålegg om skriftlig dokumentasjon ut over dette, dersom det anses påkrevd.

Kapittel 5. Bevaring av opplysninger i Abortregisteret

§ 5-1. Bevaring av opplysningene

Opplysninger i Abortregisteret skal bevares i ubegrenset tid, med mindre annet følger av denne forskriften eller helseregisterloven § 25. Saksnummer, virksomhetens navn og organisasjonsnummer, fødselsdag og -måned, jf. § 1-7, skal slettes senest 10 år etter registrering.

§ 5-2. Bevaring og bruk av opplysninger underlagt tidligere konsesjoner

Avidentifiserte opplysninger samlet inn fra perioden 1979 og frem til forskriftens ikrafttreden kan behandles i tråd med registerets daværende konsesjon og formål.

Kapittel 6. Avsluttende bestemmelser

§ 6-2. Ikrafttreden

Forskriften trer i kraft 1. januar 2008.

Merknader til forskrift om innsamling og behandling av helseopplysninger i register over svangerskapsavbrudd

Til § 1-1 Hjemmelsgrunnlag for Abortregisteret

I Norge har vi siden 1979 hatt et avidentifisert register for svangerskapsavbrudd. Dette registeret har hatt konsesjon fra Datatilsynet. Denne forskriften erstatter det konsesjonsbaserte registeret og § 5-2 slår fast at tidligere innsamlede opplysninger kan bevares og benyttes i tråd med registerets daværende konsesjon og formål.
Første ledd gir rettsgrunnlag for et avidentifisert Abortregister. Et ledende hensyn bak utformingen av forskriften har vært å sørge for en forsvarlig behandling av helseopplysninger i alle deler av de prosessene som leder frem til bruk av opplysningene.

Til § 1-2 Definisjoner

Til § 1-3 Abortregisterets formål

Denne bestemmelsen angir de ytre rammer for hvilke formål Abortregisteret kan benyttes, jf. § 1-4 som forbyr anvendelse av registrerte opplysninger til andre formål enn de som nevnes i § 1-3. Formålet med Abortregisteret er i hovedsak statistikkproduksjon i forbindelse med oppfølging av lov om svangerskapsavbrudd. Etter abortloven § 1 skal samfunnet så langt råd er: «sikre alle barn betingelser for en trygg oppvekst. Som et ledd i dette arbeidet skal samfunnet sørge for at alle får etisk veiledning, seksualopplysning, kunnskap om samlivsspørsmål og tilbud om familieplanlegging, for derved å skape en ansvarsbevisst holdning til disse spørsmål slik at antallet svangerskapsavbrudd blir lavest mulig.» Abortstatistikken er helt sentral i arbeidet med forebygging av uønskede svangerskap.

Til § 1-4 Forbud mot bruk

Bestemmelsen setter en klar grense for hva registerets opplysninger kan benyttes til, og innebærer i realiteten et forbud mot annen bruk av registeret enn det som fremkommer av § 1-3. Begrunnelsen for å begrense registerets bruksområde er hensynet til personvernet og den alminnelige tillit til at unødig og ukontrollert bruk ikke skal finne sted.
Forsettlig eller grovt uaktsom overtredelse av denne bestemmelsen straffes med hjemmel i § 6-1.

Til § 1-5 Databehandlingsansvarlig

Forskriften utpeker Nasjonalt folkehelseinstitutt som ansvarlig for innsamling og behandling av helseopplysninger i Abortregisteret.

Til § 1-7 Opplysninger i Abortregisteret

Abortregisteret kan inneholde opplysninger som kan utledes de nærmere angitte punktene i § 1-7. Dette er en videreføring av det avidentifiserte Abortregisteret som har hatt ulike konsesjoner siden 1979. Opplysningene som registreres skal være relevante og nødvendige for å nå formålene for Abortregisteret, jf. § 1-3.
Med offentlig og private helseinstitusjoner eller annen virksomhet menes i denne forskriften sykehus og andre institusjoner som har godkjenning etter lov om svangerskapsavbrudd § 3 til å utføre abortinngrep.

Til § 2-1 Plikt til innsending og forhold til taushetsplikt

Helsepersonell skal registrere opplysninger i forbindelse med svangerskapsavbrudd. Sykehusene og institusjonene har plikt til å sørge for at opplysningene som nevnt i § 1-7 andre ledd meldes inn til Abortregisteret.

Til § 2-2 Rutiner for innsending mv.

Nasjonalt folkehelseinstitutt bidrar ved opplæring av personell i virksomhetene som skal melde i henhold til denne forskrift.

Til § 2-3 Overføringsformat, kvalitetskontroll og innsending

Nasjonalt folkehelseinstitutt har utarbeidet et meldeskjema/elektronisk meldesystem for de opplysninger som skal sendes inn i henhold til § 1-7 andre ledd.

Til § 2-4 Ansvar for sikring av at opplysningene er korrekte og krav til dokumentasjon

Nasjonalt folkehelseinstitutt skal kvalitetssikre dataene gjennom rutinemessige kontroller av alle data som kommer inn. Helseforetak, offentlige og private helseinstitusjoner, eller annen virksomhet er pliktig til å gi opplysninger eller sende nye data når de blir gjort oppmerksomme på feil og mangler.

Til § 3-1 Utarbeidelse og utlevering av statistikk fra Abortregisteret

Nasjonalt folkehelseinstitutt skal årlig utarbeide offentlig tilgjengelige statistikker. Nasjonalt folkehelseinstitutts abortstatistikk skal basere seg på opplysninger fra Abortregisteret og anonyme og/eller avidentifiserte data som Abortregisteret mottar fra Norsk pasientregister. Norsk pasientregister kan utlevere avidentifiserte opplysninger og statistikk om svangerskapsavbrudd til Abortregisteret i henhold til Norsk pasientregisterforskriften § 3-2, jf. § 3-4 og § 3-1, jf. § 3-5. Disse opplysningene vil være relevante for Abortregisteret blant annet for sammenligning med egne data. Det vil ikke være mulig å sammenstille opplysninger fra Norsk pasientregister med opplysninger i Abortregisteret i henhold til denne bestemmelsen. Dette fordi opplysningene i Norsk pasientregister er i personidentifiserbar form, mens opplysningene i Abortregisteret er avidentifiserte. Siden opplysningene i Abortregisteret foreligger i avidentifisert form, kjenner man ikke identiteten på de registrerte. Ved utlevering av for eksempel statistikk fra Norsk pasientregister til Abortregisteret, vil det derfor ikke være mulig å vite om opplysninger fra kvinne x i Norsk pasientregister tilsvarer kvinne y i Abortregisteret.
Forvaltning eller forskere som ikke får alle nødvendige data fra de offentlige statistikker, kan etter andre ledd kunne søke om mer spesifikt datamateriale for fremstilling av statistikk.
Nasjonalt folkehelseinstitutt skal vurdere om all utarbeidelse av statistikk er i tråd med Abortregisterets formål, jf. § 1-4.

Til § 3-2 Utlevering av opplysninger fra Abortregisteret

Bestemmelsen gir Nasjonalt folkehelseinstitutt hjemmel for utlevering av opplysninger i registeret og mottaker får rettsgrunnlag for behandling av opplysningene gjennom melding til Datatilsynet. Dette fremkommer konkret gjennom meldeplikten i tredje ledd. Bestemmelsen er en oppfølging av NOU 1997:26 Tilgang til helseregistre for å sikre tilgang til registerdata.
Første ledd oppstiller fem vilkår for at en utlevering av opplysninger til en bestemt bruk (for eksempel i et forskningsprosjekt) skal kunne skje etter bestemmelsen. Alle vilkårene skal være oppfylt for at utlevering kan skje. Mottaker skal overfor Nasjonalt folkehelseinstitutt godtgjøre at kravene er oppfylt, og Nasjonalt folkehelseinstitutt skal før utlevering skjer vurdere om vilkårene er oppfylt. Mottakeren har et selvstendig ansvar for å sørge for at behandling av opplysninger skjer i henhold til vilkårene. Dersom Nasjonalt folkehelseinstitutt avslår en søknad om utlevering av opplysninger, vil et avslag kunne bringes inn for overordnet forvaltningsorgan som er Helse- og omsorgsdepartementet.
Det første vilkåret er at mottaker skal behandle opplysningene til et uttrykkelig angitt formål innenfor Abortregisterets formål (§ 1-3). Det følger av helseregisterloven § 11 at enhver behandling av helseopplysninger skal være formålsbestemt. Mottaker av opplysninger fra Abortregisteret skal konkret angi det formål opplysningene skal benyttes til, for eksempel til forskningsprosjekter eller for kvalitetssikring av helsetjeneste eller helseforvaltning. Mottakeren skal tilstrebe klare og presise formålsangivelser. Dersom en forsker ønsker tilgang til opplysninger til andre formål, for eksempel samfunnsforskning, vil det kreves hjemmelsgrunnlag i konsesjon. Videre vil § 1-4 om forbud mot bruk fungere som en sperre mot utlevering av opplysninger til formål i strid med Abortregisterets formål.
Det andre vilkåret er at opplysningene er relevante og nødvendige for formålet med behandlingen. I likhet med kravet om formålsbestemthet er det et grunnkrav ved behandling av helseopplysninger at opplysningene som behandles skal være relevante og nødvendige for å nå formålet med behandlingen. Med nødvendig menes at en ikke skal behandle flere opplysninger enn formålet krever. Kravet om at opplysningene skal være relevante setter grense for hvilke opplysninger som kan trekkes med i behandlingen.
Det tredje vilkåret krever at mottakeren bare skal behandle avidentifiserte opplysninger. Avidentifiserte helseopplysninger er definert som helseopplysninger der navn, fødselsnummer og andre personentydige kjennetegn er fjernet, slik at opplysningene ikke lenger kan knyttes til en enkeltperson, og hvor identitet bare kan tilbakeføres ved sammenstilling med de samme opplysninger som tidligere ble fjernet. Avidentifiserte opplysninger skal være anonyme på mottakerens hånd.
De er imidlertid juridisk sett ikke anonyme så lenge det finnes en instans som beholder en nøkkelfil (også kalt en koblingsbro), som gjør at personidentifikasjon kan tilbakeføres, eller det avidentifiserte datasettet kan tilføres nye opplysninger. Selv om det i fra Abortregisteret kun er aktuelt å utlevere avidentifiserte opplysninger, vil det likevel være en begrensning i forhold til hva mottakeren skal behandle for de tilfeller der mottaker innehar egne opplysninger fra andre kilder, som gjør at opplysninger fra Abortregisteret sammen med egne opplysninger til sammen kan bli personidentifiserbare og gi tilkjenne enkeltpersoner. Slik utlevering vil kreve eget behandlingsgrunnlag etter § 3-3, det vil si konsesjon fra Datatilsynet. Utlevering av avidentifiserte data til mottakere som skal behandle opplysninger innenfor Abortregisterets formål er ikke i strid med helsepersonellovens eller forvaltningslovens bestemmelser om taushetsplikt.
Det fjerde vilkåret er at behandlingen av opplysningene blir vurdert som ubetenkelig ut fra etiske hensyn. Ubetenkelig henspiller blant annet på om forskningsprosjektet er berettiget og forsvarlig. Bruk av anonyme opplysninger fra registre fastsatt i henhold til helseregisterloven § 8 er unntatt fra fremleggelsesplikten for de regionale komiteer for medisinsk forskningsetikk (REK). Det er den ansvarlige for prosjektet som er ansvarlig for at behandlingen av opplysningene og bruken av dem er ubetenkelig, men Norsk pasientregister skal også vurdere dette før utlevering av anonyme og avidentifiserte opplysninger fra registeret.
Det femte vilkåret er at behandlingen av opplysningene tilfredsstiller kravene i personopplysningsloven § 8 og § 9. Det er særlig bestemmelsene i § 8 d og § 9 h som er aktuelle. § 8 d krever at behandlingen er nødvendig for å «utføre en oppgave av allmenn interesse» og § 9 h at «behandlingen er nødvendig for historiske, statistiske eller vitenskapelige formål, og samfunnets interesse i at behandlingen finner sted klart overstiger ulempene den kan medføre for den enkelte». Datatilsynet og Personvernnemndas praksis vil være relevante for forståelsen av disse vilkårene.
Annet ledd fastslår at Nasjonalt folkehelseinstitutt kan stille vilkår ved utlevering av opplysninger som er nødvendig for å begrense ulempene behandlingen ellers kan medføre for de registrerte. De vilkår som settes må være i samsvar med god forvaltningspraksis og være saklig begrunnet i de hensyn som etter forskriften og overordnet lovgivning skal ivaretas. Aktuelle vilkår kan for eksempel gjelde en bestemt bruk av opplysninger, oppbevaring, rapportering og tidsfrist for sletting. Vilkårene som kan settes til en utlevering skal begrunnes ut fra personvernhensyn. Personopplysningsloven § 35 gir en likelydende mulighet for Datatilsynet til å stille vilkår når det gis konsesjoner, og praksis etter den bestemmelsen vil være relevant også for utlevering etter denne bestemmelse.
Etter tredje ledd får mottakeren av de avidentifiserte opplysningene det nødvendige hjemmelsgrunnlag for den aktuelle behandlingen gjennom melding til Datatilsynet etter helseregisterloven § 29. Mottaker behøver ikke ha dispensasjon fra taushetsplikten for å motta avidentifiserte opplysninger etter § 3-2.
Ved utlevering av opplysninger fra Abortregisteret menes utlevering både til forskere internt ved Nasjonalt folkehelseinstitutt og eksterne forskere og forskere tilknyttet andre institusjoner.

Til § 3-3 Annen behandling av data fra Abortregisteret

Bestemmelsen åpner for at opplysninger fra Abortregisteret etter Datatilsynets tillatelse kan sammenstilles med andre opplysninger om de registrerte personene fra andre kilder. Siden registeret ikke inneholder personentydige data, må virksomheten som skal sammenstille dataene, få de personentydige dataene fra virksomhetene. Utlevering av helseopplysninger kan kreve at Helsedirektoratet gir dispensasjon fra taushetsplikten jf. helsepersonelloven § 29 eller at den opplysningene kan knyttes til, samtykker.

Til § 3-6 Frister for utlevering

Utlevering av informasjon skal som hovedregel skje innen 30 dager etter at en forespørsel har kommet inn. Fristbestemmelsen forutsetter at det dreier seg om opplysninger som vil kunne produseres rutinemessig innenfor eksisterende systemer. Oversittelse av fristen vil ikke i seg selv medføre særskilte rettsvirkninger.

Til § 4-1 Informasjon til den registrerte

Helsepersonell skal informere den registrerte om innsending av opplysninger til Abortregisteret. Nasjonalt folkehelseinstitutt utarbeider egnet skriftlig informasjonsmateriell som helsepersonell, helseforetak og andre institusjoner kan disponere til dette formål.

Til § 4-2 Informasjonssikkerhet

Bestemmelsen pålegger Nasjonalt folkehelseinstitutt å sørge for tilfredsstillende informasjonssikkerhet ved behandling av helseopplysninger. Dette omfatter blant annet et ansvar for at tilstrekkelig sikkerhetsfaglig kompetanse er tilgjengelig. I tillegg til ansvar for sikkerheten i egen organisasjon, må Nasjonalt folkehelseinstitutt også forsikre seg om at informasjonssikkerheten er tilfredsstillende hos kommunikasjonspartnere og leverandører. Begrepet informasjonssikkerhet omfatter blant annet:
  • sikring av konfidensialitet, dvs. beskyttelse mot at uvedkommende får innsyn i opplysningene, herunder sikkerhet for at reglene om taushetsplikt overholdes, jf. blant annet helseregisterloven § 13,
  • sikring av integritet, dvs. beskyttelse mot utilsiktet endring av opplysningene,
  • sikring av tilgjengelighet, dvs. å sørge for at tilstrekkelige og relevante opplysninger er til stede,
  • sikring av kvalitet, dvs. å sørge for at opplysningene er riktige.
Tilfredsstillende informasjonssikkerhet skal oppnås ved hjelp av planlagte og systematiske tiltak. Dette innebærer at anerkjente teknikker og standarder for kvalitetsstyring, internkontroll og informasjonssikkerhet skal legges til grunn ved sikkerhetsarbeidet. De tiltak som etableres, skal være både organisatoriske og tekniske. Sikkerhetstiltakene og selve informasjonssystemet skal kunne dokumenteres. Personopplysningsforskriften § 2-1 til § 2-16 om informasjonssikkerhet gjelder også for Abortregisteret.

Til § 4-4 Taushetsplikt

Alle som får tilgang til eller på annen måte behandler opplysninger i eller fra Abortregisteret, har taushetsplikt både etter forvaltningsloven og helsepersonelloven. Taushetsplikten gjelder for eksempel for teknisk personell som oppgraderer datasystemene, ansatte ved instituttet som arbeider med registeret og forskere som får utlevert opplysninger.
Den databehandlingsansvarlige er ifølge forvaltningsloven § 13c forpliktet til å sørge for at enhver som taushetsplikten gjelder for, skal gjøres uttrykkelig kjent med reglene om dette, og kan avkreve vedkommende en skriftlig erklæring om at de kjenner og vil respektere reglene.

Til § 5-1 Bevaring av opplysningene

Opplysningene anonymiseres etter 10 år ved å slette saksnummer, sykehusets navn, fødselsdag og -måned. Dette fordi det da ikke lenger er behov for avidentifiserte opplysninger, og i et avidentifisert register kan man ikke følge pasienter over tid.

Til § 5-2 Bevaring og bruk av opplysninger underlagt tidligere konsesjoner

Bestemmelsen presiserer at opplysningene samlet inn fra perioden 1979 og frem til denne forskriftens ikrafttreden bare kan benyttes i tråd med det avidentifiserte registerets konsesjon og formål.

Til § 6-1 Pålegg, tvangsmulkt og straff

Første ledd viser til helseregisterloven § 32 og § 33. Helseregisterloven § 32 gir Datatilsynet adgang til å gi pålegg ved brudd på bestemmelser om behandling av helseopplysninger og Helsetilsynet adgang til å gi pålegg dersom det må antas behandlingen av helseopplysningene i tillegg kan ha skadelige følger for pasienter. Helseregisterloven § 33 gir Datatilsynet adgang til å fastsette tvangsmulkt.
Bestemmelsens andre ledd må sammenholdes med helseregisterloven § 34 som gir hjemmel for straff av overtredelser av lovens egne bestemmelser. Videre må bestemmelsen sammenholdes med aktuelle straffebestemmelser i andre lover, for eksempel straffeloven § 121 om brudd på taushetsplikt. Brudd på bestemmelsene om utlevering i kapittel 3 sanksjoneres ikke med straff i denne forskrift, men utlevering i strid med vilkårene i kapittel 3 vil samtidig være brudd på taushetsplikten, og således være straffbart i medhold av helseregisterloven § 34 og straffeloven § 121.
Det at enkeltbestemmelser i denne forskrift ikke er belagt med straff i form av bøter eller fengsel, betyr ikke at brudd på bestemmelsen ikke sanksjoneres. For eksempel når det gjelder brudd på krav om informasjonssikkerhet, plikt til å sørge for internkontroll og internkontrollens innhold, jf. § 4-2, § 4-4 og § 4-5, mener departementet at Datatilsynet er nærmere til å avdekke og sanksjonere brudd på bestemmelsen enn politi- og påtalemyndighet.
Tekst: Lovdata (offentleg eigedom, jf. åndsverkloven § 14), gjengitt uendret per siste tilgjengelige versjon. Rettsregels lovkommentarer er tydelig merket og er våre egne.