Bekendtgørelse om videregivelse af oplysninger om enkeltpersoners helbredsforhold og andre fortrolige oplysninger fra patientjournaler og andre systemer, der supplerer patientjournalen til brug for et konkret forskningsprojekt af væsentlig samfundsmæss

Bekendtgørelse om videregivelse af oplysninger om enkeltpersoners helbredsforhold og andre fortrolige oplysninger fra patientjournaler og andre systemer, der supplerer patientjournalen til brug for et konkret forskningsprojekt af væsentlig samfundsmæssig interesse, statistik eller planlægning

Sundheds- og Ældreministeriets bekendtgørelse nr. 1067 af 29/6 2020.

§ 1. Bekendtgørelsens kapitel 2 og 3 gælder for videregivelse af oplysninger som nævnt i sundhedslovens § 46, stk. 1, der videregives efter sundhedslovens § 46, stk. 2 og § 47, stk. 1.

Stk. 2. Bekendtgørelsens kapitel 3 og 4 gælder oplysninger som nævnt i sundhedslovens § 46, stk. 1, der indhentes efter sundhedslovens § 46, stk. 5.

§ 2. Der må kun videregives personoplysninger som nævnt i sundhedslovens § 46, stk. 1 til brug for et konkret forskningsprojekt af væsentlig samfundsmæssig interesse efter sundhedslovens § 46, stk. 2 og § 47, stk. 1, når der foreligger en godkendelse af videregivelsen fra et regionsråd, og når det er nødvendigt for den modtagne dataansvarliges udførelse af konkrete forskningsprojekter af væsentlig samfundsmæssig interesse, statistik eller planlægning.

Stk. 2. Oplysningerne må ikke senere behandles i andet end videnskabeligt eller statistisk øjemed, medmindre andet følger af lov eller bestemmelser fastsat i medfør af lov.

Stk. 3. Hvis den afgivne dataansvarlige over for den registrerede har oplyst, at oplysningerne ikke vil blive videregivet, må der ikke ske videregivelse.

Stk. 4. Ansøgninger om godkendelse af videregivelse af oplysninger efter sundhedslovens § 46, stk. 2, og § 47, stk. 1, skal ske ved anvendelse af Sundheds- og Ældreministeriets ansøgningsblanket.

§ 3. Videregivelse af oplysninger som nævnt i sundhedslovens § 46, stk. 1, skal ske i pseudonymiseret form, således at oplysningerne ikke er umiddelbart personhenførbare for den modtagne dataansvarlige, jf. dog stk. 2.

Stk. 2. Hvis det er strengt nødvendigt for udførelsen af den statistiske eller videnskabelige undersøgelse, at den enkelte registrerede kan identificeres, kan supplerende oplysninger videregives, således at personoplysningerne kan henføres til bestemte fysiske personer.

Stk. 3. Oplysninger som nævnt i stk. 2, skal i videst muligt omfang videregives adskilt fra personoplysningerne til en autoriseret person hos den modtagne dataansvarlige, jf. § 6.

§ 4. Hvis oplysningerne som nævnt i sundhedslovens § 46, stk. 1, videregives ved overførsel over internettet eller andet eksternt netværk, skal den afgivne dataansvarlige træffe passende sikkerhedsforanstaltninger.

Stk. 2. Ved transmission af oplysninger som nævnt i sundhedslovens § 46, stk. 1, over internettet eller eksterne netværk skal den dataansvarlige som minimum anvende passende kryptering.

Stk. 3. Den afgivne dataansvarlige skal i øvrigt i overensstemmelse med databeskyttelsesforordningens artikel 32 gennemføre passende tekniske og organisatoriske foranstaltninger under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostninger og den pågældende behandlings karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder med henblik på at sikre et sikkerhedsniveau, der passer til disse risici.

§ 5. Det skal inden videregivelsen påses, at oplysningerne udelukkende videreanvendes til statistiske eller videnskabelige undersøgelser, og at den modtagne dataansvarlige overholder bestemmelserne i §§ 6-10.

Stk. 2. Fra tidspunktet for videregivelsen skal det kunne dokumenteres, at stk. 1 er overholdt. Dokumentationen skal ske ved indhentelse af en skriftligt begrundet erklæring eller lignende fra den modtagne dataansvarlige.

§ 6. Videregivelse efter sundhedslovens § 46, stk. 2 og § 47, stk. 1, og indhentning efter sundhedslovens § 46, stk. 5, af oplysninger som nævnt i sundhedslovens § 46, stk. 1, skal ske til personer, som af den modtagne dataansvarlige er autoriseret til at have adgang til de pågældende oplysninger. Der må kun autoriseres personer, der er beskæftiget med oplysningerne. De enkelte personer må ikke autoriseres til anvendelser, som de ikke har behov for.

§ 7. Der skal gives den fornødne instruktion til de medarbejdere, som har adgang til oplysninger som nævnt i sundhedslovens § 46, stk. 1. Medarbejderne skal i den forbindelse gøres bekendt med, at oplysningerne alene må behandles med henblik på udførelse af statistiske eller videnskabelige undersøgelser, og at oplysningerne ikke senere må behandles i andet end videnskabeligt eller statistisk øjemed, jf. dog § 2, stk. 2 og § 11, stk. 2.

§ 8. Der må ikke behandles flere oplysninger, end hvad der er nødvendigt af hensyn til udførelsen af den statistiske eller videnskabelige undersøgelse. Efter modtagelsen af oplysningerne skal oplysninger som nævnt i sundhedslovens § 46, stk. 1, der ikke er nødvendige af hensyn til den statistiske eller videnskabelige undersøgelse, hurtigst muligt slettes, tilintetgøres eller tilbageleveres.

§ 9. Der skal i øvrigt i overensstemmelse med databeskyttelsesforordningens artikel 32 gennemføres passende tekniske og organisatoriske foranstaltninger under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostninger og den pågældende behandlings karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder med henblik på at sikre et sikkerhedsniveau, der passer til disse risici.

§ 10. Oplysninger som nævnt i sundhedslovens § 46, stk. 1, skal ved undersøgelsens afslutning slettes, anonymiseres, tilintetgøres eller tilbageleveres, således at det efterfølgende ikke er muligt at identificere fysiske personer ud fra oplysningerne eller i kombination med andre oplysninger. Alternativt kan oplysningerne overføres til opbevaring i arkiv efter reglerne i arkivlovgivningen.

§ 11. Der må kun indhentes oplysninger som nævnt i sundhedslovens § 46, stk. 1, når det er nødvendigt for udførelsen af forskningsprojekter, som har opnået tilladelse efter lov om videnskabsetisk behandling af sundhedsvidenskabelige forskningsprojekter og sundhedsdatavidenskabelige forskningsprojekter, eller til forskningsprojekter af væsentlig samfundsmæssig interesse, hvor videregivelsen af oplysningerne er godkendt af et regionsråd efter sundhedslovens § 46, stk. 2 og ledelsen på behandlingsstedet eller den dataansvarlige sundhedsmyndighed har givet tilladelse til indhentningen efter sundhedslovens § 46, stk. 5.

Stk. 2. Oplysningerne må ikke senere behandles i andet end videnskabeligt eller statistisk øjemed, medmindre andet følger af lov eller bestemmelser fastsat i medfør af lov.

Stk. 3. Hvis den afgivne dataansvarlige over for den registrerede har oplyst, at oplysningerne ikke vil blive indhentet eller videregivet, må der ikke ske indhentning.

§ 12. Indhentning som nævnt i § 11, stk. 1, må kun udføres af en autoriseret sundhedsperson, der er ansat i sundhedsvæsenet, og hvor forskningsprojektet, hvortil oplysningerne indhentes, gennemføres som led i den autoriserede sundhedspersons ansættelse, jf. dog stk. 2.

Stk. 2. Ledelsen på behandlingsstedet eller den dataansvarlige sundhedsmyndighed kan give tilladelse til, at en anden person, der efter lovgivningen er underlagt tavshedspligt, kan yde teknisk bistand til den autoriserede sundhedsperson i forbindelse med indhentning efter stk. 1. Oplysningerne indhentes under den autoriserede sundhedspersons ansvar.

Stk. 3. Der må kun indhentes oplysninger efter sundhedslovens § 46, stk. 5, når betingelserne i bekendtgørelsens §§ 6-10 er opfyldt.

§ 13. Ved transmission af oplysninger som nævnt i sundhedslovens § 46, stk. 1, over internettet eller eksterne netværk skal den dataansvarlige som minimum anvende passende kryptering.

Stk. 2. Den afgivne dataansvarlige skal i øvrigt i overensstemmelse med databeskyttelsesforordningens artikel 32 gennemføre passende tekniske og organisatoriske foranstaltninger under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostninger og den pågældende behandlings karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder med henblik på at sikre et sikkerhedsniveau, der passer til disse risici.

§ 15. Bekendtgørelsen træder i kraft den 1. juli 2020.