Alle nyheter
Regelverk 3. september 2026 7 min

Det europeiske helsedataområdet gjelder om drøyt seks måneder, og de to reservasjonene det inneholder er ikke det samme

Forordning (EU) 2025/327: anvendelse fra 26. mars 2027, sekundærbruk fra 26. mars 2029. Artikkel 10 lar statene velge om de vil innføre en reservasjon ved primærbruk; artikkel 71 gir personen rett til å reservere seg mot sekundærbruk, når som helst og uten begrunnelse

Kort sagt

Forordning (EU) 2025/327 om det europeiske helsedataområdet trådte i kraft 26. mars 2025 og gjelder fra 26. mars 2027. Kapittel IV om sekundærbruk gjelder fra 26. mars 2029. Den inneholder to ulike reservasjonsmekanismer: artikkel 10 er en mulighet som er overlatt til medlemsstatene, artikkel 71 er en rettighet som tilkommer personen.

Hva forordningen gjør

Forordningen skiller mellom to former for bruk av elektroniske helsedata. Primærbruk er formålet dataene ble samlet inn for: behandlingen. Sekundærbruk er alt det andre — forskning, innovasjon, offisiell statistikk, politikkutforming, regulatorisk virksomhet. For den første bygger forordningen personens tilgang til egne data og helsepersonells tilgang til data om pasienten under behandling, også over landegrensene. For den andre bygger den en infrastruktur av nasjonale organer som utsteder tilgangstillatelser.

Det er fire datoer, ikke én

  • 26. mars 2025: ikrafttredelse, den tjuende dagen etter kunngjøringen i Den europeiske unions tidende 5. mars 2025.
  • 26. mars 2027: alminnelig anvendelse av forordningen.
  • 26. mars 2029: kapittel IV om sekundærbruk gjelder, og artikkel 3 til 15 gjelder for de prioriterte datakategoriene i artikkel 14 nr. 1 bokstav a, b og c.
  • 26. mars 2031: de samme artiklene gjelder for kategoriene i bokstav d, e og f, blant dem prøvesvar og medisinsk bildediagnostikk.

De to reservasjonene

Det er her det er lettest å blande sammen, fordi ordet er det samme og den rettslige karakteren ikke er det.

Artikkel 10 gjelder primærbruk og begynner med at medlemsstatenes lovgivning kan fastsette en reservasjonsrett: en mulighet, ikke en plikt. En stat som benytter den, må sikre at reservasjonen kan omgjøres, og fastsette regler og garantier for ordningen, herunder muligheten for at helsepersonell likevel får tilgang når behandlingen er nødvendig for å verne vitale interesser hos personen eller en annen.

Artikkel 71 gjelder sekundærbruk og gir ingen noe valg: den fysiske personen har rett til når som helst, uten å oppgi noen grunn, å reservere seg mot behandling av sine elektroniske helsedata for sekundærbruk. Det er ikke en mulighet for statene, det er en rettighet som er gitt direkte.

Feilen man ikke skal gjøre

Forordningen erstatter ikke personvernforordningen og gjør ikke unntak fra den: den kommer i tillegg. Behandlingsgrunnlag, informasjon, protokoll og vurdering av personvernkonsekvenser er fortsatt de som følger av forordning 2016/679. Den som leser det europeiske helsedataområdet som et særregime som sluker resten, lager dokumentasjon som ikke besvarer spørsmålene fra noen av de to regelverkene.

Hva man bør gjøre nå, hvis man følger en helsekunde

  • Vite hvilke prioriterte kategorier etter artikkel 14 kunden faktisk behandler: anvendelsesdatoen avhenger av bokstaven.
  • Undersøke om og hvordan staten der kunden opererer har benyttet muligheten i artikkel 10, for svaret er ikke det samme i hele unionen.
  • Se på systemene for elektronisk pasientjournal som brukes: kapittel III stiller krav til systemene, ikke bare til dem som bruker dem, og leverandøren må trekkes inn nå, ikke i 2027.
  • Ikke vente til 2029 med sekundærbruk: den som utleverer data til forskning gjør det allerede i dag, og regelverket som kommer vil også spørre om det som ble bygget før.
Offisiell kilde:Forordning (EU) 2025/327 — fulltekst på EUR-Lex

Ser du etter et verktøy for arbeidet ditt som personvernombud?

DPO Workspace er bygget av et sertifisert personvernombud. 30 dager gratis.

Kom i gang gratis

Relaterte artikler

Regelverk
nullaavgjørelsen om arbeidstakeren som algoritmen tar alene, fra 23. oktober

Oppsigelsen algoritmen bestemmer er ugyldig: fra 23. oktober i Italia

Kunngjort i lovtidend nr. 234 av 8. oktober 2026 og i kraft fra 23. oktober fastsetter dekret nr. 179/2026 at endelige avgjørelser om arbeidsforholdet ikke kan bygge utelukkende på automatisert behandling, at arbeidstakeren kan be om en forståelig begrunnelse, og at avgjørelser tatt i strid med dette er ugyldige. Parallelt går KI-systemer som påvirker arbeidsorganiseringen inn i risikovurderingen etter artikkel 28 i dekret 81/2008. For et personvernombud er dette det sjeldne tilfellet der følgen ikke er økonomisk, men sivilrettslig.

08. okt. 2026Nytt 8 min
Regelverk
3signaler som utløser meldeplikt

Polen, UODO: ikke alle avvik skal meldes. Opplysninger fra offentlig register på den ene siden, PESEL, helse og økonomi på den andre

Lekker faktureringssystemet bare navn, foretaksnavn, skattenummer og forretningsadresse til et enkeltpersonforetak, som allerede er offentlige i registeret, er risiko normalt lite sannsynlig. Lekker også det nasjonale identifikasjonsnummeret, kjøpsdetaljer som avslører helse, eller økonomiske opplysninger, skal det meldes. Uansett skal beslutningen inn i den interne avviksprotokollen.

05. okt. 2026Nytt 5 min
Regelverk
120dager til å anklage, ikke til å ilegge gebyr

De 120 dagene er ikke fristen for å ilegge gebyr, men fristen for å rette anklagen mot deg

Den som har bygget en innsigelse på tilsynets treghet, bør lese kalenderen på nytt. Høyesterett klargjør tre ting: klagesaken og sanksjonssaken er selvstendige, så overskridelse av de ni til tolv månedene opphever ikke sanksjonsmyndigheten; de 120 dagene gjelder varsling av anklagen, ikke ileggelse av gebyret; og de løper fra den «endelige konstateringen», som ikke er den første meldingen, men det tidspunktet tilsynet kan vurdere alle elementer — inkludert kontradiksjon med deg. Etter anklagen gjenstår bare den femårige foreldelsen.

20. sep. 2026 7 min