Forskrift om innsamling og behandling av helseopplysninger i Kreftregisteret (Kreftregisterforskriften)

Kapittel 1. Generelle bestemmelser

§ 1-1. (Etablering av Kreftregisteret)

Denne forskriften etablerer et landsomfattende Kreftregister. Forskriften gir regler for innsamling og behandling av helseopplysninger i registeret.

Innsamling og behandling av helseopplysninger i Kreftregisteret kan skje manuelt og ved hjelp av elektroniske hjelpemidler.

§ 1-2. (Kreftregisterets innhold)

Kreftregisteret skal inneholde helseopplysninger om alle personer i Norge som har eller har hatt kreft. Kreftregisteret skal inneholde helseopplysninger om forstadier til kreft, og godartede svulster i sentralnervesystemet.

Kreftregisteret kan også inneholde helseopplysninger om berørte slektninger til personer i Norge som dokumentert er disponert for eller har en arvelig kreftsykdom som kan gjøres til gjenstand for oppsøkende virksomhet, dersom den berørte slektningen, etter å ha fått informasjon om hvordan slike opplysninger behandles i Kreftregisteret, ikke motsetter seg det.

Kreftregisteret kan videre inneholde helseopplysninger om personer som har deltatt i undersøkelsesprogram for tidlig diagnose, herunder nødvendige oppfølgende undersøkelser. Ved negativt funn kan direkte personidentifiserende opplysninger registreres permanent med mindre den registrerte motsetter seg det. For personer som har motsatt seg slik registrering kan direkte personidentifiserende opplysninger oppbevares midlertidig slik at opplysningene kan kvalitetssikres.

Endret ved forskrifter 19 des 2014 nr. 1734 (i kraft 1 jan 2015), 10 des 2021 nr. 3464 som endret ved forskrift 2 april 2022 nr. 529 (i kraft 1 mai 2022).

§ 1-2a. (Opphevet)

Tilføyd ved forskrift 15 juni 2018 nr. 876 (i kraft 20 juli 2018), opphevet ved forskrift 23 april 2021 nr. 1269 som endret ved vedtak 12 mai 2021 nr. 1902 (i kraft 1 juni 2021).

§ 1-3. (Kreftregisterets formål)

Formålet med Kreftregisteret er å:

1. innsamle og innenfor forskriftens rammer behandle data om krefttilfeller og kreftundersøkelser i Norge for å kartlegge kreftsykdommers utbredning i landet og belyse endringer over tid,
2. drive, fremme og gi grunnlag for forskning for å utvikle ny viten om kreftsykdommenes årsaker, diagnose, naturlige forløp og behandlingseffekter for å fremme og utvikle kvaliteten på forebyggende tiltak og helsehjelp som tilbys eller ytes mot kreftsykdom, herunder følge opp enkeltpasienter og pasientgrupper,
3. gi råd og veiledning om helsehjelp mot kreftsykdommer,
4. gi råd og informasjon til øvrig forvaltning og befolkningen om tiltak som kan forebygge utvikling av kreftsykdom.

Opplysninger i Kreftregisteret kan foruten til formål som nevnt i første ledd, behandles til styring, planlegging og kvalitetssikring av helse- og omsorgstjenesten og helse- og omsorgsforvaltningen, utarbeiding av statistikk og til forskning.

Endret ved forskrift 17 jan 2013 nr. 61.

§ 1-4. (Forbud mot bruk)

Opplysningene i Kreftregisteret kan ikke anvendes til formål som er uforenelig med formål som nevnt i § 1-3.

Endret ved forskrift 23 april 2021 nr. 1269 som endret ved vedtak 12 mai 2021 nr. 1902 (i kraft 1 juni 2021).

§ 1-5. (Dataansvarlig)

Folkehelseinstituttet er dataansvarlig for innsamling og behandling av helseopplysninger i Kreftregisteret.

Endret ved forskrifter 15 juni 2018 nr. 876 (i kraft 20 juli 2018), 20 des 2023 nr. 2165 (i kraft 1 jan 2024).

§ 1-6. (Databehandler)

Folkehelseinstituttet kan inngå skriftlig avtale med en databehandler om innsamling og behandling av helseopplysninger i Kreftregisteret, herunder om overvåking og forskning, jf. § 1-3, drift og kvalitetssikring av registeret, samt tilgjengeliggjøring av data til brukere.

Endret ved forskrifter 15 juni 2018 nr. 876 (i kraft 20 juli 2018), 20 des 2023 nr. 2165 (i kraft 1 jan 2024).

§ 1-7. (Opplysninger om krefttilfeller i Kreftregisteret)

Kreftregisteret kan uten samtykke inneholde følgende opplysninger om personer som har eller har hatt kreft, forstadier til kreft, eller godartede svulster i sentralnervesystemet i den utstrekning det er nødvendig for å nå formålet med registeret:

1. personopplysninger:

- navn og fødselsnummer, - adresse og bostedskommune, - sivilstand, - fødekommune/fødeland,

1. administrative opplysninger:

- institusjon/virksomhet/avdeling der helsehjelpen tilbys og ytes, - behandlingsansvarlig lege, navn og adresse, eventuelt pasientansvarlig lege, - institusjonsopphold, innleggelsesdato, utskrivingsdato, eventuelt poliklinikk,

1. medisinske opplysninger:

- om årsak til at helse- og omsorgstjenesten er oppsøkt, tidspunkt og tidsforløp for symptomer, diagnose, behandling, kontroller og eventuelt tilbakefall, - om kreftsykdommen:

- kreftsykdommens utgangspunkt eller utspring, - sykdomskategori, - morfologisk diagnose, - utbredelse på diagnosetidspunktet, - metastaser, - tilbakefall, - om diagnosegrunnlag:

- klinikk, - bildediagnostikk, - histologisk undersøkelse, - cytologisk materiale, - annen type undersøkelse, - kreftbehandling den registrerte har mottatt, indikasjoner og kontraindikasjoner for behandlingen, behandlingsmetode, samt eventuelle komplikasjoner eller bivirkninger, - om eventuell resttumor etter behandling.

Kreftregisteret kan, hvis den registrerte ikke motsetter seg det, etter å ha fått informasjon om hvordan slike opplysninger behandles i Kreftregisteret, inneholde opplysninger om den registrertes

1. yrkesmessige forhold,
2. røykevaner,
3. eventuelt andre kjente risikofaktorer for kreft.

Endret ved forskrifter 17 jan 2013 nr. 61, 15 mai 2018 nr. 725.

§ 1-8. (Opplysninger om berørte slektninger til personer som har arvelig kreft)

Kreftregisteret kan på vilkår som nevnt i § 1-2 annet ledd inneholde følgende opplysninger om berørte slektninger til personer i Norge som dokumentert er disponert for eller har en arvelig kreftsykdom, som kan gjøres til gjenstand for oppsøkende virksomhet:

1. personopplysninger:

- navn og fødselsnummer, - adresse og bostedskommune, - sivilstand, - fødekommune/fødeland,

1. administrative opplysninger:

- virksomhet/avdeling, eventuelt institusjonsopphold, - tidspunkt for kontrollen (dato og år), - tidspunkt for planlagt oppfølging,

1. relevante medisinske opplysninger:

- diagnosegrunnlag, - diagnose,

1. bakgrunn for undersøkelsen.

Endret ved forskrift 15 mai 2018 nr. 725.

§ 1-9. (Opplysninger om personer som har deltatt i program for tidlig diagnose)

Kreftregisteret kan med de unntak som følger av annet og tredje ledd, inneholde følgende opplysninger om personer som har deltatt i undersøkelsesprogram for tidlig diagnose, herunder nødvendige oppfølgende undersøkelser:

1. personopplysninger:

- navn og fødselsnummer, - adresse og bostedskommune, - sivilstand, - fødekommune/fødeland,

1. administrative opplysninger:

- virksomhet/avdeling, eventuelt institusjonsopphold, - tidspunkt for kontrollen (dato og år), - tidspunkt for planlagt oppfølging,

1. relevante medisinske opplysninger:

- diagnosegrunnlag, - diagnose, - type undersøkelse, - bruk av medikamenter og andre forhold ved den registrertes helse som kan ha betydning for gjennomføring av undersøkelsen, - gjennomføring av undersøkelsen, - eventuelle komplikasjoner,

1. opplysninger om legen eller annet helsepersonell som utfører undersøkelsen eller stiller diagnosen:

- helsepersonellnummer eller annen personidentifikator, - hvorvidt spesifikke kompetansekrav er oppfylt,

1. bakgrunn for undersøkelsen:

- undersøkelsesprogram, - annen bakgrunn.

Ved negativt funn skal personopplysninger som nevnt i første ledd nr. 1, slettes etter at opplysningene er kvalitetssikret og senest seks måneder etter innsamlingen av opplysningene dersom den registrerte har motsatt seg at opplysningene registreres permanent. Dette gjelder også tidligere innsamlede data. Dersom den registrerte ber om det, skal Folkehelseinstituttet registrere opplysninger om navn, fødselsnummer og adresse i et eget reservasjonsregister.

Opplysninger som nevnt i første ledd nr. 4.1 skal slettes seks måneder etter at opplysningene er samlet inn dersom den registrerte har motsatt seg at opplysningene registreres permanent.

Endret ved forskrifter 19 des 2014 nr. 1734 (i kraft 1 jan 2015), 15 mai 2018 nr. 725, 10 des 2021 nr. 3464 som endret ved forskrift 2 april 2022 nr. 529 (i kraft 1 mai 2022), 20 des 2023 nr. 2165 (i kraft 1 jan 2024).

§ 1-10. (Opplysninger om dødsårsak)

Kreftregisteret kan inneholde helseopplysninger om dødsårsak, obduksjon, dødsdag, klokkeslett, måned og år om alle som er registrert i registeret.

§ 1-11. (Koding og klassifisering av opplysningene i Kreftregisteret, krav til dokumentasjon)

Den dataansvarlige skal ved enhver registrering i registeret kunne dokumentere hvilke klassifikasjoner eller kodeverk som er benyttet.

Departementet kan gi nærmere bestemmelser om hvilke nasjonale eller internasjonale kodeverk og klassifikasjoner som skal benyttes ved registrering av opplysninger i Kreftregisteret.

Endret ved forskrifter 15 juni 2018 nr. 876 (i kraft 20 juli 2018), 20 des 2023 nr. 2165 (i kraft 1 jan 2024).

Kapittel 2. Melding av helseopplysninger til Kreftregisteret, kvalitetskontroll mv.

§ 2-1. (Helsepersonells dokumentasjons- og meldeplikt)

Klinikere, patologer, radiologer og andre laboratorieleger som gir helsehjelp ved kreftsykdom, skal uten hensyn til taushetsplikt melde opplysninger som nevnt i § 1-7 første ledd til Kreftregisteret. Opplysninger om yrkesmessige forhold, røykevaner mv. som nevnt i § 1-7 annet ledd skal meldes dersom den registrerte ikke motsetter seg det.

Klinikere, patologer, radiologer og andre laboratorieleger som undersøker for eventuell kreftsykdom, jf. § 1-2 tredje ledd, skal ved negativt funn melde opplysninger som nevnt i § 1-9 første ledd til Kreftregisteret uten hensyn til taushetsplikt. Det skal fremgå av meldingen om opplysninger om personens identitet skal registreres permanent eller slettes etter at opplysningene er kvalitetssikret.

Melding som nevnt i første og annet ledd, skal sendes fortløpende og senest to måneder etter at opplysningene er dokumentert i henhold til helsepersonelloven § 39 og § 40.

§ 2-2. (Meldingsskjema, formkrav mv.)

Melding av opplysninger som nevnt i § 2-1 første og annet ledd, skal skje på skjema eller på annen måte fastsatt av departementet.

Departementet kan gi pålegg om bruk av bestemte klassifikasjonssystemer og kodeverk ved registrering av opplysningene, og gi pålegg om bruk av standardiserte meldingsformater ved forsendelsen av opplysningene.

§ 2-3. (Virksomhetens plikter)

Helseinstitusjon, poliklinikk, helsesenter, patologilaboratorium, røntgenlaboratorium, klinisk kjemisk laboratorium eller annen virksomhet som er ansvarlig for registrering av opplysninger som skal meldes til Kreftregisteret, jf. § 1-7 og § 1-9, har ansvar for at pliktene som nevnt i § 2-1 og § 2-2 oppfylles, og skal sørge for at det finnes rutiner som sikrer dette, jf. forskriften § 4-2 og § 4-3.

§ 2-4. (Mottakers ansvar for kvalitetskontroll)

Den dataansvarlige skal sørge for at helseopplysninger som innsamles og behandles i Kreftregisteret, er korrekte, relevante og nødvendige for de formål de innsamles for, jf. § 1-3.

Dersom meldingsskjema er mangelfullt utfylt, skal avsenderen av skjema varsles, jf. helseregisterloven § 13 annet ledd annet punktum. Ved fortsatt mangelfull utfylling av skjema skal statsforvalteren varsles.

Endret ved forskrifter 20 juni 2003 nr. 741 (i kraft 1 juli 2003), 7 des 2007 nr. 1389 (i kraft 15 april 2009), 16 des 2011 nr. 1396 (i kraft 1 jan 2012), 15 juni 2018 nr. 876 (i kraft 20 juli 2018), 8 okt 2021 nr. 2958 (i kraft 1 nov 2021), 19 nov 2021 nr. 3235, 20 des 2023 nr. 2165 (i kraft 1 jan 2024).

Kapittel 3. Behandling av helseopplysninger i Kreftregisteret

§ 3-1. Tilgjengeliggjøring og annen behandling av helseopplysninger

Helseopplysninger i Kreftregisteret skal behandles i samsvar med personvernforordningen, personopplysningsloven og de alminnelige vilkårene i helseregisterloven § 6 og reglene om taushetsplikt i helseregisterloven § 17, jf. helsepersonelloven §§ 21 flg.

Ved tilgjengeliggjøring og sammenstilling av opplysninger i registeret gjelder i tillegg helseregisterloven § 19 til § 19h.

Endret ved forskrifter 20 juni 2003 nr. 741 (i kraft 1 juli 2003), 2 sep 2005 nr. 1010 (i kraft 24 april 2006), 7 des 2007 nr. 1389 (i kraft 15 april 2009), 16 des 2011 nr. 1250 (i kraft 1 jan 2012), 15 juni 2018 nr. 876 (i kraft 20 juli 2018), 23 april 2021 nr. 1269 som endret ved vedtak 12 mai 2021 nr. 1902 (i kraft 1 juni 2021).

§ 3-2. (Informasjonsstrategi rettet mot brukergrupper)

For å fremme bruken av data fra Kreftregisteret og for å bygge opp informasjon og kunnskap, jf. forskriften § 1-3, skal den dataansvarlige ha en aktiv informasjonsstrategi og -plan rettet mot så vel helseforvaltningen, helse- og omsorgstjenesten og øvrig forvaltning, som mot forskere innen medisinsk forskning, helse- og omsorgstjenesteforskning og samfunnsforskning.

Endret ved forskrifter 17 jan 2013 nr. 61, 15 juni 2018 nr. 876 (i kraft 20 juli 2018), 23 april 2021 nr. 1269 som endret ved vedtak 12 mai 2021 nr. 1902 (i kraft 1 juni 2021, tidligere § 3-6), 20 des 2023 nr. 2165 (i kraft 1 jan 2024).

Kapittel 4. Taushetsplikt, informasjonssikkerhet, internkontroll

§ 4-1. (Taushetsplikt)

Enhver som behandler helseopplysninger etter denne forskriften har taushetsplikt etter helsepersonelloven.

Taushetsplikten etter første ledd gjelder også pasientens fødested, fødselsdato, personnummer, pseudonym, statsborgerforhold, sivilstand, yrke, bopel og arbeidssted.

Endret ved forskrift 15 juni 2018 nr. 876 (i kraft 20 juli 2018).

§ 4-2. (Informasjonssikkerhet)

Den dataansvarlige og databehandleren skal gjennomføre tekniske og organisatoriske tiltak for å oppnå et sikkerhetsnivå som er egnet med hensyn til risikoen, jf. personvernforordningen artikkel 32 og helseregisterloven § 21.

Endret ved forskrifter 15 juni 2018 nr. 876 (i kraft 20 juli 2018), 20 des 2023 nr. 2165 (i kraft 1 jan 2024).

§ 4-3. (Plikt til internkontroll)

Den dataansvarlige for Kreftregisteret skal gjennomføre tekniske og organisatoriske tiltak for å sikre og påvise at behandling av opplysninger utføres i samsvar med personvernforordningen, personopplysingsloven og helseregisterloven, jf. helseregisterloven § 22.

Databehandlere som behandler helseopplysninger på vegne av den dataansvarlige, skal behandle opplysninger i samsvar med rutiner dataansvarlig har oppstilt.

Endret ved forskrift 15 juni 2018 nr. 876 (i kraft 20 juli 2018).

§ 4-4. (Internkontrollens innhold)

Internkontroll innebærer at den dataansvarlige skal ha kunnskap om gjeldende regler om behandling av helseopplysninger, tilstrekkelig og oppdatert dokumentasjon for gjennomføring av rutiner, samt ha denne dokumentasjonen tilgjengelig for dem den måtte angå. Internkontrollen skal blant annet inneholde:

1. oversikt over hvordan virksomheten er organisert,
2. oversikt over ansvars- og myndighetsforhold,
3. oversikt over de krav i og i medhold av personvernforordningen, personopplysningsloven og helseregisterloven som gjelder for virksomheten,
4. rutiner virksomheten følger for å sikre overholdelse av kravene, herunder rutiner for:

- oppfyllelse av krav om at personidentifiserende opplysninger bare behandles når dette er nødvendig for å fremme formålet med behandlingen av opplysningene, og i tråd med gjeldende bestemmelser om taushetsplikt, jf. helseregisterloven § 6 og § 17, - dokumentasjon og kvalitetskontroll av helseopplysningene, jf. forskriften § 1-11 og § 2-4, - oppfyllelse av begjæringer om informasjon og innsyn, jf. helseregisterloven § 24, samt forskriften § 5-1, - hvordan virksomhetene oppfyller bestemmelsene om tilgjengeliggjøring av opplysninger fra helseregistre, jf. forskriften § 3-1,

1. rutiner virksomheten følger dersom avvik oppstår og opplysninger om hvem som er ansvarlig,
2. rutiner virksomheten følger for å hindre gjentakelse av avvik og opplysninger om hvem som er ansvarlig,
3. rutiner for hvordan virksomheten systematisk og regelmessig gjennomgår sin internkontroll for å kontrollere at aktivitetene og resultatene av dem stemmer overens med det system virksomheten har fastlagt, og om det medfører oppfyllelse av personvernforordningen, personopplysningsloven og helseregisterloven,
4. rutiner for hvordan virksomheten sikrer seg at alle aktuelle og kun gjeldende rutiner blir benyttet, og
5. rutiner for hvordan virksomheten sikrer at de ansatte har tilstrekkelig kompetanse til å overholde forskriftens krav.

Skriftlig dokumentasjon skal minst omfatte dokumentasjon av rutiner som nevnt i første ledd nr. 1 til 8. Tilsynsmyndighetene kan gi pålegg om skriftlig dokumentasjon ut over dette dersom det anses påkrevet. Tilsynsmyndighetene kan dispensere fra hele eller deler av dette kapittel når særlige forhold foreligger.

Endret ved forskrifter 15 juni 2018 nr. 876 (i kraft 20 juli 2018), 19 nov 2021 nr. 3235.

Kapittel 5. Den registrertes rett til informasjon og innsyn

§ 5-1. (Den registrertes rett til informasjon og innsyn)

Registrerte har rett til informasjon om Kreftregisteret og innsyn i behandling av helseopplysninger om seg selv i samsvar med personvernforordningen artikkel 13 til 15, jf. helseregisterloven § 24.

Innsyn i helseopplysninger om en selv skal fortrinnsvis gis gjennom den registrertes sist behandlende lege og helseinstitusjon. Informasjonen skal gis i en forståelig form.

Endret ved forskrift 15 juni 2018 nr. 876 (i kraft 20 juli 2018).

§ 5-2. (Informasjon og innsyn når den registrerte er mindreårig)

Foreldrene eller andre med foreldreansvar har rett til innsyn etter regler tilsvarende dem i pasient- og brukerrettighetsloven § 3-4.

Endret ved forskrift 17 jan 2013 nr. 61.

§ 5-3. (Frist for å svare på henvendelser om innsyn)

Begjæringer om innsyn etter § 5-1 skal besvares uten ugrunnet opphold og senest én måned etter henvendelsen kom inn, jf. personvernforordningen artikkel 12 nr. 3.

Dersom særlige forhold gjør det umulig å svare på henvendelsen innen én måned, kan gjennomføringen utsettes med ytterligere to måneder. Den dataansvarlige skal i så fall gi et foreløpig svar med opplysninger om grunnen til forsinkelsen og sannsynlig tidspunkt for når svar kan gis.

Endret ved forskrift 15 juni 2018 nr. 876 (i kraft 20 juli 2018).

Kapittel 6. Bevaring av helseopplysninger i Kreftregisteret

§ 6-1. (Bevaring av helseopplysninger)

Opplysninger i Kreftregisteret skal oppbevares i ubegrenset tid, med mindre annet følger av denne forskriften eller helseregisterloven § 25.

Endret ved forskrift 15 juni 2018 nr. 876 (i kraft 20 juli 2018).

Kapittel 7. (Opphevet)

Opphevet ved forskrift 15 juni 2018 nr. 876 (i kraft 20 juli 2018).

§ 7-1. (Opphevet)

Opphevet ved forskrift 15 juni 2018 nr. 876 (i kraft 20 juli 2018).

Kapittel 8. Avsluttende bestemmelser

§ 8-1. (Ikraftsetting)

Forskriften trer i kraft 1. januar 2002.