For behandlere · Regelverk

GDPR og Normen i praksis: personvern for behandlere

Personvern i en liten behandlerpraksis handler sjelden om store systemer. Det handler om e-posten, mobilen, papirbunken og hva som høres gjennom veggen i venterommet. Denne gjennomgangen tar for seg hvorfor helseopplysninger er en egen kategori, hvorfor samtykke ofte er feil behandlingsgrunnlag i helsetjenesten, hva Normen krever, og hva du faktisk gjør de første timene ved mistanke om avvik.

Oppdatert august 2026 14 min lesetid 9 kilder

Helseopplysninger er «særlige kategorier»

Personvernforordningen deler personopplysninger i to. De fleste opplysninger kan behandles når du har et gyldig grunnlag. Ni typer opplysninger er derimot i utgangspunktet forbudt å behandle, og kan bare behandles hvis et av unntakene i artikkel 9 nr. 2 kommer til anvendelse. Helseopplysninger er en av dem. Det samme er genetiske og biometriske opplysninger og opplysninger om seksuelle forhold.

Praktisk betyr det tre ting for deg. For det første trenger du ikke bare ett grunnlag, men to: et alminnelig behandlingsgrunnlag etter artikkel 6, og et unntak fra forbudet etter artikkel 9. For det andre skjerpes kravene til sikkerhet, fordi konsekvensen av et brudd er større. For det tredje faller flere av forenklingene som gjelder små virksomheter bort – blant annet fritaket fra å føre protokoll.

Merk også hvor bredt begrepet er. Det er ikke bare diagnoser. At en navngitt person har time hos en psykolog, er en helseopplysning. At en person står på ventelisten din, er en helseopplysning. Et avsendernavn i en SMS kan være en helseopplysning.

Behandlingsgrunnlag: hvorfor samtykke ofte er feil

Dette gjøres feil av svært mange, og feilen er lett å forstå: samtykke virker som det ryddigste og mest respektfulle. I helsetjenesten er det som regel ikke riktig grunnlag – og et ugyldig samtykke er verre enn ikke noe samtykke, fordi det gir en falsk trygghet.

Hvorfor det ikke passer

Et samtykke etter personvernforordningen skal være frivillig, spesifikt, informert og utvetydig – og det skal være like lett å trekke tilbake som å gi. Prøv å anvende det på journalen din. Trekker pasienten samtykket i morgen, må du da slette journalen? Nei. Du har journalføringsplikt, og opplysningene skal oppbevares. Et samtykke du ikke kan etterleve konsekvensen av, er ikke et gyldig samtykke.

Hva som er riktig i stedet

For helsehjelp bygger behandlingen av opplysningene normalt på at du har en rettslig forpliktelse og at behandlingen er nødvendig for helseformål. Artikkel 9 nr. 2 bokstav h åpner for behandling som er nødvendig blant annet for medisinsk diagnostikk og for yting av helse- og sosialtjenester, når behandlingen skjer ved eller under ansvar av en fagperson med taushetsplikt. Det nasjonale grunnlaget finner du i helsepersonelloven og pasientjournalloven. Andre bokstaver i artikkel 9 nr. 2 er aktuelle i andre sammenhenger, blant annet ved rettskrav og ved vitale interesser.

Normen: ikke lov, men fasit

Normen – Norm for informasjonssikkerhet og personvern i helse- og omsorgstjenesten – er en bransjenorm som beskriver hvordan kravene i regelverket skal etterleves i praksis i helsesektoren. Den er ikke lov, og den har ikke egne sanksjoner. Den blir bindende gjennom avtale: typisk ved tilknytning til Norsk helsenett, gjennom krav fra oppdragsgiver eller gjennom databehandleravtaler.

Likevel er den i praksis fasiten. Grunnen er enkel: den er skrevet av og for sektoren, den er konkret der lovteksten er generell, og den er det både leverandører og tilsynsmyndigheter forholder seg til. Skal du velge mellom to journalsystemer, er «dokumentert samsvar med Normen» et langt mer meningsfullt kriterium enn «vi er GDPR-kompatible».

Normen har egne veiledere rettet mot små helsevirksomheter, med sjekklister som er laget for nettopp den situasjonen du er i. De er lenket nederst, og de er verdt en time.

Databehandleravtale: når, og med hvem

Du er behandlingsansvarlig. En databehandler er enhver som behandler personopplysninger på dine vegne. Med hver av dem skal det være en skriftlig databehandleravtale. Kravet utløses oftere enn folk tror, fordi det ikke er begrenset til journalsystemet.

Avtalen skal minst regulere formål og varighet, hvilke typer opplysninger og kategorier av registrerte som omfattes, sikkerhetstiltak, bruk av underleverandører, bistand ved henvendelser fra registrerte, varsling ved brudd, og hva som skjer med dataene når avtalen opphører. De fleste seriøse leverandører har en standardavtale klar. Har de ikke det, er det i seg selv informasjon.

Hvor opplysningene flyter – og lekker

Å tegne opp flyten er den enkleste måten å oppdage hull på. Kartet under viser en typisk liten praksis.

Risikopunktene i en liten praksis

E-post og SMS

Vanlig e-post og SMS er åpne kanaler. Normen er tydelig på at diagnose, resept- og behandlingsopplysninger ikke skal sendes slik, og at heller ikke avsendernavn som røper fagområde – som «psykiatrisk poliklinikk» – skal brukes. Praktisk regel: en påminnelse kan inneholde tidspunkt, sted, virksomhetsnavn og avbestillingsfrist. Ingenting mer. Se færre avbestillinger og no-shows for formuleringer som fungerer.

Kontaktskjemaet på nettsiden

Det vanligste hullet av alle. Et fritekstfelt der pasienten kan skrive hva som helst, blir i praksis et helsefelt – og på mange nettsider videresendes innholdet automatisk til en vanlig e-postadresse. Enten må skjemaet håndteres i en sikker kanal, eller så må du skrive tydelig ved feltet at det ikke skal brukes til helseopplysninger, og be om kun navn og telefonnummer. Se nettsiden som gir timebestillinger.

Mobiltelefonen

Skjermlås, automatisk låsing, ingen forhåndsvisning av meldingsinnhold på låst skjerm, og ingen bilder av journalnotater i kamerarullen. Bruker du samme telefon privat og i jobb, er dette ikke valgfritt.

Papir og hjemmekontor

Papirjournal og utskrifter skal oppbevares innelåst, og ikke ligge framme mellom to pasienter. Har du hjemmekontor, gjelder de samme kravene der – også overfor familiemedlemmer. Det betyr låsbart skap, låst skjerm når du forlater rommet, og makulering framfor papirkurv.

Innredning og lyd

To fysiske forhold som overses: skjermen i resepsjonen som er synlig for den som står ved skranken, og lydlekkasje fra behandlingsrommet til venterommet. Begge lar seg som regel løse enkelt – med skjermvinkel eller personvernfilter, og med en radio, en dør til, eller en møbelplassering som flytter samtalen lenger fra veggen. Gjør testen selv: sett deg i venterommet mens en kollega snakker i normalt toneleie inne på rommet.

Protokoll, risikovurdering og DPIA

Protokoll over behandlingsaktiviteter

Det finnes et forenklingsunntak for virksomheter med under 250 ansatte – men det gjelder ikke når du behandler særlige kategorier av personopplysninger. Det gjør du. En solopraksis skal derfor ha protokoll. Den trenger ikke være komplisert: en oversikt over hvilke opplysninger du behandler, til hvilke formål, med hvilket grunnlag, hvem som mottar dem, hvor lenge de lagres og hvilke sikkerhetstiltak som er på plass. Ett regneark holder. Oppdater den når noe endres, og gå gjennom den én gang i året.

Risikovurdering

En vurdering av hva som kan gå galt, hvor sannsynlig det er, hva konsekvensen blir, og hva du gjør med det. Den skal gjøres når du tar i bruk ny teknologi eller endrer en prosess – nytt journalsystem, videokonsultasjon, ny SMS-leverandør, hjemmekontor. Skriv den ned. En vurdering du bare har gjort i hodet, finnes ikke i en tilsynssak.

DPIA – vurdering av personvernkonsekvenser

En DPIA kreves når en behandling sannsynligvis vil medføre høy risiko for de registrertes rettigheter og friheter. For en vanlig solopraksis som fører journal i et etablert system, er dette normalt ikke utløst. Det endrer seg hvis du innfører noe nytt og inngripende: automatisk transkribering av konsultasjoner, systematisk bruk av kunstig intelligens på pasientdata, omfattende sammenstilling av opplysninger, eller behandling i stor skala. Datatilsynet har en liste over behandlinger som alltid krever DPIA – sjekk den før du innfører noe nytt, ikke etterpå.

Personvernombud: når kreves det?

Personvernombud er påkrevd blant annet når kjernevirksomheten består i behandling i stort omfang av særlige kategorier av personopplysninger. Spørsmålet er derfor hva «stort omfang» betyr.

Her er fortalen til forordningen konkret: behandling av pasientopplysninger utført av én enkelt lege eller annet helsepersonell regnes ikke som behandling i stort omfang. En solopraksis eller en liten klinikk vil derfor normalt ikke ha plikt til å utpeke personvernombud. En større klinikk med mange behandlere, eller en virksomhet som samler opplysninger på tvers av flere enheter, må vurdere spørsmålet konkret.

Merk to ting. Ingen plikt betyr ikke at det er forbudt – du kan utpeke et ombud frivillig, og gjør du det, gjelder de samme reglene om uavhengighet og oppgaver. Og selv uten ombud har du alle de andre pliktene i behold. Det er ombudet som faller bort, ikke ansvaret.

Avvik og brudd: 72-timersfristen

Et brudd på personopplysningssikkerheten er ethvert sikkerhetsbrudd som fører til utilsiktet eller ulovlig tilintetgjøring, tap, endring, ulovlig spredning av eller tilgang til personopplysninger. Feilsendt e-post er et brudd. Mistet minnepenn er et brudd. Journalsystemet nede i tre dager uten sikkerhetskopi er også et brudd.

Hovedregelen: brudd skal meldes til Datatilsynet uten ugrunnet opphold og senest 72 timer etter at du fikk kjennskap til det, med mindre det er lite sannsynlig at bruddet vil medføre risiko for fysiske personers rettigheter og friheter. Rekker du ikke fristen, skal årsaken til forsinkelsen oppgis. Uansett om bruddet meldes eller ikke, skal det dokumenteres internt.

Ha kontaktinformasjonen til Datatilsynet og til journalleverandøren din et sted du finner den uten å lete. Skriv en halv side med denne rekkefølgen og legg den i samme perm som protokollen. Den halve siden er hele beredskapsplanen din, og den er nok for en liten praksis.

Pasientens rettigheter

• Innsyn. Pasienten har rett til innsyn i journalen og til kopi. Ha en rutine for hvordan kopien sendes forsvarlig – ikke på vanlig e-post.
• Informasjon. Du skal ha en personvernerklæring som forteller hvilke opplysninger du behandler, hvorfor, hvor lenge, hvem som mottar dem og hvilke rettigheter pasienten har. Den hører hjemme på nettsiden.
• Retting. Feilaktige eller mangelfulle opplysninger skal rettes – men i en journal skjer retting ved tilføyelse, ikke ved at det opprinnelige fjernes.
• Sletting. Her stopper det. Retten til sletting gjelder ikke når behandlingen er nødvendig for å oppfylle en rettslig forpliktelse, og journalføringsplikten er en slik forpliktelse. Sletting av journalopplysninger følger de strenge vilkårene i helsepersonelloven § 43. Dette er gjennomgått i pasientjournal: lovkrav, systemvalg og oppbevaring.
• Innsigelse og dataportabilitet. Disse rettighetene har begrenset rekkevidde når grunnlaget er rettslig forpliktelse. Du trenger ikke love mer enn regelverket gir.

Et poeng som er verdt å ta med: taushetsplikten etter helsepersonelloven § 21 er strengere enn personvernregelverket på flere punkter, og gjelder ved siden av. Den er grunnen til at du ikke engang kan bekrefte at en person er pasient hos deg – noe som har konsekvenser for hvordan du kan opptre offentlig. Se sosiale medier og taushetsplikt og pasientomtaler og anmeldelser.

Det som faktisk avslører helseopplysninger i en liten praksis, er sjelden et datainnbrudd. Det er en feilsendt e-post, en skjerm med feil vinkel, og en samtale som bæres gjennom en tynn vegg.

Spørsmål og svar