Kort sagt
Forordning (EU) 2025/327 om det europeiske helsedataområdet trådte i kraft 26. mars 2025 og gjelder fra 26. mars 2027. Kapittel IV om sekundærbruk gjelder fra 26. mars 2029. Den inneholder to ulike reservasjonsmekanismer: artikkel 10 er en mulighet som er overlatt til medlemsstatene, artikkel 71 er en rettighet som tilkommer personen.
Hva forordningen gjør
Forordningen skiller mellom to former for bruk av elektroniske helsedata. Primærbruk er formålet dataene ble samlet inn for: behandlingen. Sekundærbruk er alt det andre — forskning, innovasjon, offisiell statistikk, politikkutforming, regulatorisk virksomhet. For den første bygger forordningen personens tilgang til egne data og helsepersonells tilgang til data om pasienten under behandling, også over landegrensene. For den andre bygger den en infrastruktur av nasjonale organer som utsteder tilgangstillatelser.
Det er fire datoer, ikke én
- 26. mars 2025: ikrafttredelse, den tjuende dagen etter kunngjøringen i Den europeiske unions tidende 5. mars 2025.
- 26. mars 2027: alminnelig anvendelse av forordningen.
- 26. mars 2029: kapittel IV om sekundærbruk gjelder, og artikkel 3 til 15 gjelder for de prioriterte datakategoriene i artikkel 14 nr. 1 bokstav a, b og c.
- 26. mars 2031: de samme artiklene gjelder for kategoriene i bokstav d, e og f, blant dem prøvesvar og medisinsk bildediagnostikk.
De to reservasjonene
Det er her det er lettest å blande sammen, fordi ordet er det samme og den rettslige karakteren ikke er det.
Artikkel 10 gjelder primærbruk og begynner med at medlemsstatenes lovgivning kan fastsette en reservasjonsrett: en mulighet, ikke en plikt. En stat som benytter den, må sikre at reservasjonen kan omgjøres, og fastsette regler og garantier for ordningen, herunder muligheten for at helsepersonell likevel får tilgang når behandlingen er nødvendig for å verne vitale interesser hos personen eller en annen.
Artikkel 71 gjelder sekundærbruk og gir ingen noe valg: den fysiske personen har rett til når som helst, uten å oppgi noen grunn, å reservere seg mot behandling av sine elektroniske helsedata for sekundærbruk. Det er ikke en mulighet for statene, det er en rettighet som er gitt direkte.
Feilen man ikke skal gjøre
Forordningen erstatter ikke personvernforordningen og gjør ikke unntak fra den: den kommer i tillegg. Behandlingsgrunnlag, informasjon, protokoll og vurdering av personvernkonsekvenser er fortsatt de som følger av forordning 2016/679. Den som leser det europeiske helsedataområdet som et særregime som sluker resten, lager dokumentasjon som ikke besvarer spørsmålene fra noen av de to regelverkene.
Hva man bør gjøre nå, hvis man følger en helsekunde
- Vite hvilke prioriterte kategorier etter artikkel 14 kunden faktisk behandler: anvendelsesdatoen avhenger av bokstaven.
- Undersøke om og hvordan staten der kunden opererer har benyttet muligheten i artikkel 10, for svaret er ikke det samme i hele unionen.
- Se på systemene for elektronisk pasientjournal som brukes: kapittel III stiller krav til systemene, ikke bare til dem som bruker dem, og leverandøren må trekkes inn nå, ikke i 2027.
- Ikke vente til 2029 med sekundærbruk: den som utleverer data til forskning gjør det allerede i dag, og regelverket som kommer vil også spørre om det som ble bygget før.
Looking for a workspace for your DPO work?
DPO Workspace is built by a certified DPO. 30-day free trial.
Start free