Lover og forskrifter

Det er anskaffende kommune og leverandørers ansvar å påse at alle lover og forskrifter følges. Det er krav at systemet etableres innenfor gjeldende rett, bl.a.

• Personopplysningsloven
• Lov om medisinsk utstyr
• Helsepersonelloven
• Pasientjournalforskriften
• Pasientjournalloven
• Helse- og omsorgstjenesteloven
• Pasient og brukerrettighetsloven
• Helseregisterloven
• Forskrift om universell utforming av informasjons- og kommunikasjonsteknologiske (IKT)-systemer
• Forskrift om standarder og nasjonale e-helsesystemer
• Forordning om kunstig intelligens (KI-forordningen)
• etc

Dette er ikke en uttømmende liste over lover og forskrifter som gjelder.

Det er anskaffende kommune som har ansvar å gjøre tilpasninger i henhold til endringer i lovverket, og vurdere hvordan det kan kravstilles overfor leverandører.

Spesielt vil det komme endringer i lovverk som følge av forordninger fra EU knyttet til EHDS, se endringer i regelverk og andre forhold som kan påvirke krav til systemer og tjenester, og kunstig intelligens (KI) i journalsystemer.

Beskyttelse av personopplysninger er viktig. Helseopplysninger er sensitive og hvordan de behandles er regulert gjennom personvernforordningen, i tillegg til blant annet lovene nevnt i punktet over. At lover og forskrifter følges, er avgjørende for tilliten mellom pasient/bruker og behandler, i tillegg til at brudd på regelverket medfører betydelige sanksjoner.

Leverandøren bør utvikle systemet med innebygget personvern, jf. personopplysningsloven § 25.

Kommunene bør i anskaffelsen be leverandør:

• vise hvordan leverandør integrerer sikkerhet og personvern i ulike faser av utviklingen
• vise til rutiner, organisatoriske og/eller teknisk tiltak for å oppdage, håndtere og varsle om hendelser, brudd og avvik som kan få konsekvenser for informasjonssikkerhet eller personvern
• vise hvordan sikker autentisering av brukere og sterke autentiseringsmekanismer støttes, inkludert høyt sikkerhetsnivå
• dokumentere hvordan aktiviteter knyttet til bruk og innsyn i pasientinformasjon loggføres i henhold til normen

EHDS (European Health Data Space): Forordning trådte i kraft i EU 25. mars 2025. Den har som hovedformål å forbedre delingen og bruken av helsedata på tvers av EU-landene.  European Health Data Space Regulation (EHDS) - European Commission

EHDS innebærer at EHR-systemer må oppfylle krav til interoperabilitet- Det vil si at systemet er i stand til å utveksle data og samspille. Alle leverandører av EHR-systemer må utvikle en interoperabilitetskomponent i henhold til krav som fastsettes gjennom EHDS. Tilsvarende må EHR-systemer oppfylle krav til sikkerhet og personvern ved at leverandørene utvikler en loggkomponent. Loggen skal være digitalt tilgjengelig. Spesifikasjoner for begge komponentene vil bli klare som del av gjennomføringsrettsakter. Leverandører vil ha betydelig frihet til å bestemme hvordan disse komponentene skal bygges, så lenge spesifikasjonene er oppfylt.  

Kommunene bør be leverandør beskrive hvordan de vil tilpasse systemet til å oppfylle krav som fastsettes gjennom EHDS.