HÃ¥ndbok for medisinske kvalitetsregistre - Helse Nord

5. Organisering5.1 Faglig ledelseHelt fra starten må registeret ha en ansvarligfagperson som faglig leder. Faglig leder må haklinisk relevant kompetanse, støtte i fagmiljøet,og enten selv eller ved nært samarbeid medandre ha analyse- og metodekompetanse.5.2 ProsjektstyringUtvikling av et kvalitetsregister er tidkrevende,med mange involverte aktører og styringslinjer.Det stilles store krav til koordinering ogoppfølging av milepæler, tidsfrister m.v. Detanbefales at det på et tidlig tidspunkt defineresen prosjektleder for utvikling av registeret,som gjerne må være den faglige lederen, og atprosjektleder har eller skaffer seg kunnskap omprosjektledelse i praksis.5.3 DatabehandlingsansvarEthvert register må ha en databehandlingsansvarliginstans, og det er denne instansensom har plikt til å ivareta registerets konsesjon.Databehandlingsansvarlig er etter helseregisterloven§ 2 definert som: «… den sombestemmer formålet med behandlingen avhelseopplysningene og hvilke hjelpemidler somskal brukes, hvis ikke databehandlingsansvareter særskilt angitt i loven eller i forskrift i medholdav loven». Begrepet databehandlingsansvarliger her definert på samme måte sombehandlingsansvarlig i EUs personverndirektivartikkel 2.Databehandlingsansvarlig er da den sombestemmer formålet med behandlingen avhelseopplysningene og hvilke hjelpemidler somskal brukes, og kan være en fysisk eller enjuridisk person. Når databehandlingsansvareter tillagt en juridisk person, vil ansvaret for ågjennomføre den databehandlingsansvarligesoppgaver ligge hos virksomheten representertved virksomhetens ledelse. Databehandlingsansvarligekan delegere det daglige ansvaretfor behandlingen av opplysningene. En slikdelegasjon forutsetter imidlertid at databehandlingsansvarligehar instruksjonsmyndighetoverfor den som ansvaret delegeres til. Detjuridiske ansvaret vil likevel tilligge databehandlingsansvarligeselv. Databehandlingsansvarligepålegges i loven en rekke plikter iforbindelse med behandling av helseopplysninger.Databehandlingsansvarlig har en rekke plikter:• Oppfylle kravene i personopplysningslovenog helseregisterloven.• Sørge for at helseopplysningene sombehandles, er relevante og nødvendige forformålet (§ 11).• Sikre at det bare den databehandlingsansvarlige,databehandler og den somarbeider under den databehandlingsansvarligesinstruksjonsmyndighet som skalha tilgang til helseopplysningene i registeret(§ 13).• Sørge for (sammen med databehandler)tilfredsstillende informasjonssikkerhet medhensyn til konfidensialitet, integritet,kvalitet og kvalitet gjennom planlagte ogsystematiske tiltak. For å oppnå detteplikter databehandlingsansvarlige ådokumentere informasjonssystemene ogsikkerhetstiltakene. Databehandlingsansvarligeplikter også å sørge for at dennedokumentasjonen er tilgjengelig fortilsynsmyndighetene (§ 16).• Sørge for tilfredsstillende internkontroll.Databehandlingsansvarlige plikter videre åetablere og holde ved like planlagte tiltaksom er nødvendige for å oppfylle kravenei helseregisterloven samt å sikre helseopplysningeneskvalitet. For å oppnå detteplikter databehandlingsansvarlige ådokumentere tiltakene og sørge for at disseer tilgjengelige for medarbeiderne.Databehandlingsansvarlige plikter også åsørge for at denne dokumentasjonen ertilgjengelig for tilsynsmyndighetene (§ 17).• Svare på henvendelser om innsyn ellerandre rettigheter uten ugrunnet opphold ogsenest innen 30 dager fra den daghenvendelsen kom (§ 19).• Å gi enhver som ber om det rett til generellinformasjon om registeret og behandlingenav helseopplysningene (§ 21)Det kan også inngås spesifikk avtale medannen databehandler, dette må gjøres hvisdatabehandlingsansvarlig instans ikke hardirekte instruksjonsmyndighet overfordatabehandler.Databehandlingsansvaret skal som hovedregelknyttes til den virksomheten som faktiskdrifter registeret og som har systemer somsikrer at databehandlingsansvaret kan ivaretaspå en god måte. Dette vil for de fleste kvalitetsregistrenevære et helseforetak (HF).12 Håndbok for medisinske kvalitetsregistre