Beskyttelse av helseopplysninger og GDPR-samsvar for helseprofesjoner

Helseopplysninger inntar en særskilt plass i det europeiske regelverket. Klassifisert som sensitive opplysninger av særlig art av GDPR (artikkel 9), er de gjenstand for et forsterket beskyttelsesregime som gjelder alle helseprofesjoner som behandler dem: sykehus, gjensidig forsikringsselskap, utgiver av helseprogramvare, laboratorier, hjemmesykepleietjenester, aktører innen e-helse og telemedisin. I 2026 har regelverket blitt enda mer omfattende — med den progressive implementeringen av det europeiske helsedataomrdet (EHDS), oppdaterte anbefalinger fra CNIL og rekordsanksjoner i EU, er samsvar ikke lenger valgfritt. Denne artikkelen beskriver punkt for punkt de gjeldende forpliktelsene og beste praksis for å sikre dine behandlinger.

Hva er en helseopplysning etter GDPR?

GDPR (forordning nr. 2016/679, artikkel 4 §15) definerer helseopplysninger som «personopplysninger relatert til den fysiske eller psykiske helsetilstanden til en fysisk person, inkludert levering av helseomsorgstjenester, som avslører opplysninger om denne personens helsetilstand».

Et større virkeområde enn det virker

Denne definisjonen omfatter langt mer enn klassiske pasientjournaler. Det gjelder:

• Medisinsk historie, diagnoser, resepter og analyseresultater;
• Opplysninger samlet av tilkoblede objekter (klokker, glukosemonitor, applikasjoner for menstruasjonsoppfølging);
• Administrative opplysninger som gjør det mulig å utlede helsetilstand (refusjonsgrad, hyppighet av konsultasjoner);
• Personnummeret (NIR) når det krysses med medisinsk informasjon.

I Frankrike har CNIL presisert, særlig i sin referansevedtak om helsedatalagringsarkiver (EDS), at begrepet skal tolkes bredt. Dermed faller et enkelt fotografi som avslører en synlig funksjonshemming eller en biometrisk opplysning (netthinneaftryk) innenfor virkeomrdet.

Hvorfor forsterket beskyttelse?

Den særlige sensitiviteten til helseopplysninger stammer fra diskrimineringspotensial. Avslring av en persons helsetilstand kan påvirke hennes tilgang til arbeid, forsikring, kreditt eller eksponere privatlivets fred. CNIL anslår at brudd som involverer helseopplysninger i 2024 representerte over 36 % av varslene den mottok — det første kategorien opplysninger som ble brutt.

Spesifikke rettsgrunnlag for behandling av helseopplysninger

Artikkel 9 §1 i GDPR etablerer et prinsipp om forbud mot behandling av sensitive opplysninger, med begrenset opplistede unntak. For helseprofesjoner er de viktigste rettsgrunnlagene:

Eksplisitt samtykke (art. 9 §2 a)

Samtykket må være fritt, spesifikt, informert og entydig, uttrykt gjennom en klar positiv handling. I helsesektoren er dette grunnlaget ofte uegnet for vanlig omsorg (maktforskjell lege/pasient), men er essensielt for behandlinger til forskningsformål, markedsføring eller bruk av offentlige helseprogrammer.

Best praksis 2026: bruke elektronisk signatur i helsetjenesten for å samle inn pasientsamtykke på en sporbar og tidsstemplet måte, noe som letter bevisføring under kontroll.

Omsorg og forebyggende medisin (art. 9 §2 h)

Dette er det viktigste rettsgrunnlaget for helseprofesjoner som behandler opplysninger i omsorgsforholdet. Det gjelder forutsatt at behandlingen gjøres av — eller under ansvar for — en profesjonell underlagt taushetsplikt.

Offentlig interesse og forskning (art. 9 §2 i og j)

Behandlinger for folkehelseformål (epidemiologisk overvåking, farmakovigilans) eller vitenskapelig forskning kan støttes på disse unntakene. I Frankrike definerer loven om informatikk og frihet (art. 65 til 68) og dekret som regulerer det nasjonale helsedatasystemet (SNDS) betingelsene for tilgang.

Konkrete forpliktelser for behandlingsansvarlige

Enten det er en legekontor eller en utgiver av digital helseprogramvare, er forpliktelsene strukturert rundt fem søyler.

1. Register over behandlinger (art. 30)

Enhver behandlingsansvarlig eller databehandler må føre et register som dokumenterer hver behandling: formål, rettsgrunnlag, datakategorier, oppbevaringsperioder, mottakere, sikkerhetstiltak. CNIL krever at registeret er oppdatert og kan presenteres uten forsinkelse under kontroll.

2. Virkningsvurdering for datavern (DPIA / art. 35)

Behandlinger av helseopplysninger i stor skala eller for profilering krever obligatorisk DPIA. CNIL har publisert en liste over behandlinger som obligatorisk krever DPIA, inkludert helsedatalagringsarkiver, mobilapplikasjoner for helseovervåking og tilkoblede medisinsk utstyr.

Om den juridiske verdien av elektroniske dokumenter i denne sammenheng, må leverandører sikre at samlingmekanismene oppfyller bevisforvaltniningskrav.

3. Utnevnelse av datavernombud (DPO)

Utnevnelse av en DPO er obligatorisk for:

• Helseprofesjoner organisert i grupper (sykehus, sykehjem, omsorgsteder med mer enn 50 personer);
• Gjensidighetsselskap og helseforsikringsselskap;
• Utgiver av helseprogramvare som behandler opplysninger i stor skala.

Siden 2024 har CNIL styrket sine kontroller over DPO-rollen, og verifiserer spesielt hans virkelige uavhengighet og ressurser.

4. Sikkerhet for informasjonssystemer (art. 32)

Tekniske og organisatoriske tiltak må være proporsjonale til risikoen. CNIL anbefaler særlig:

• Ende-til-ende-kryptering av opplysninger både lagret og under overføring;
• Pseudonymisering når formlet tillater det;
• Etablering av strenge tilgangskontroller (flerfaktorgodkjenning);
• Regelmessige sikkerhetskopier testet og frakoblet hovednettverket;
• En forretningskontinuitetsplan (PCA) spesifikk for helseopplysninger.

Siden gjennomføringen av NIS 2-direktivet (omgjort til fransk rett ved lov av 26. mars 2025) er kritiske enheter i helsesektoren — inkludert sykehus, produsenter av medisinsk utstyr og visse laboratorier — underlagt enda strengere cybersikkerhetskrav, med obligatorisk varsling av større hendelser til ANSSI innen 24 timer.

5. Varsling om datenbryting (art. 33 og 34)

Enhver brudd på helseopplysninger må varsles til CNIL innen 72 timer etter oppdagelse. Hvis bruddet sannsynligvis vil medføre høy risiko for rettigheter og frihet for personer, må pasientene også informeres uten urimelig forsinkelse.

I 2024 ilegnet CNIL bøter for forsinket varsling, og minnet på at raskhet i seg selv er en samsvarforpliktelse.

Lagring av helseopplysninger: en spesifikt fransk forpliktelse

I Frankrike pålegger loven av 26. januar 2016 (art. L. 1111-8 i helselovvedtaket) at personlige helseopplysninger skal lagres hos en HDS-sertifisert lagringsleverandør (lagringsleverandør for helseopplysninger). Denne sertifiseringen, utstedt av COFRAC-akkrediterte organisasjoner basert på ISO 27001-standarden og HDS-referanserammen fra ANS, dekker seks distinkte aktiviteter.

Hvem er inkludert av HDS-sertifiseringen?

Alle aktører som lagrer, administrerer eller driver informasjonssystemer som inneholder helseopplysninger på vegne av andre er inkludert: skyleverandører, utgiver av DMP (delt pasientjournal), telemedisinplattformer, og — siden 2023 — utgiver av offentlige helseprogrammer så lenge de oppbevarer identifiserende opplysninger.

Bruk av en HDS-sertifisert lagringsleverandør frittar ikke den behandlingsansvarlige fra sine egne forpliktelser: han må obligatorisk formalisere en databehandleravtale i samsvar med artikkel 28 i GDPR, som detaljerer instruksjonene gitt lagringsleverandøren, sikkerhetsgaran­tier og revisjonsbetingelser.

Det europeiske helsedataomrdet (EHDS): hvilke konsekvenser i 2026?

Forordningen om EHDS (vedtatt sent 2025 og hvis første bestemmelser implementeres gradvis til 2027) etablerer rammeverket for grensekryssende tilgang til helseopplysninger for forskning, innovasjon og folkeheals. For franske profesjoner, to umiddelbare konsekvenser:

1. Forpliktelsen til å respektere styrket rett til dataportabilitet (strukturert format, maskinlesbar) for pasientjournaler;
2. Forbudet mot behandling av primære helseopplysninger for annonsemålformål, selv med samtykke — en strengere restriksjon enn GDPR alene.

Disse utviklinger gjør det nødvendig å oppdatere personvernerklæringer og databehandleravtaler før slutten av 2026. For profesjoner som bruker elektronisk signatur i samsvar med eIDAS, utgjør sporbarhet av samtykker og godkjennelser en betydelig fordel for å demonstrere samsvar under revisjon.

Pasientrettigheter og utøvelse av GDPR-rettigheter

Pasienter har alle GDPR-rettigheter (tilgang, korrigering, sletting, begrensning, portabilitet, innsigelse), med noen faglige justeringer.

Retten til tilgang til helseopplysninger

En pasient kan be om tilgang til hele sin pasientjournal (art. L. 1111-7 CSP). Den profesjonelle har en frist på 8 dager (48 timer for nylige opplysninger, nylige innleggelser) og 2 måneder for eldre opplysninger. CNIL og Ombudsmannen for menneskerettigheter har begge sanksjonert institusjoner som nekte eller forsinket slike anmodninger.

Retten til sletting og dens grenser

«Retten til å bli glemt» er begrenset av lovpålagte oppbevaringsperioder: 20 år for voksen pasientjournaler, 28 år hvis handlingen ble utført før fylte år. Disse lovpålagte periodene har prioritet over enhver anmodning om tidligere sletting — den behandlingsansvarlige må forklare dette klart til pasienten.

Håndtering av anmodninger via elektroniske kanaler

For institusjoner som har digitalisert prosessene, kan anmodninger om utøvelse av rettigheter sendes og behandles via sikre skjemaer. Kvalifisert elektronisk tidsstempel på anmodninger og svar er best praksis som gjør det mulig å bevise overholdelse av regulatoriske frister under CNIL-kontroll.

Gjeldende rettslig ramme for beskyttelse av helseopplysninger

Samsvaret hos helseprofesjoner og deres teknologipartnere bygger på en artikulering av europeiske og nasjonale tekster som må beherske.

GDPR — Forordning (EU) nr. 2016/679 av 27. april 2016: hjørnestenen i systemet, klassifiserer helseopplysninger som sensitive opplysninger (art. 4 §15), forbyr behandlingen unntatt begrenset opplistede unntak (art. 9 §2), pålegger DPIA (art. 35), utnevnelse av DPO (art. 37), varsling av brudd (art. 33-34) og proporsjonale sikkerhetstiltak (art. 32). Sanksjonene når 20 millioner euro eller 4 % av årlig verdensomsetning — høyeste beløp velges.

Loven om informatikk og frihet (lov nr. 78-17 av 6. januar 1978 endret): gjennomfrer GDPR i fransk rett, gir CNIL fullmakt til å vedta sektor-spesifikke referanserammer for helse og definerer betingelsene for tilgang til SNDS.

Helselovvedtaket — art. L. 1111-7 og L. 1111-8: befester pasientens rett til tilgang til sin pasientjournal og forpliktelsen til lagring hos en HDS-sertifisert leverandør.

HDS-referanserammen (lagringsleverandør for helseopplysninger): publisert av direktoratet for digitalisering i helse (ANS), definerer seks sertifiseringsaktiviteter som dekker fysisk infrastruktur, plattform og applikasjonsprogramvare.

NIS 2-direktivet — Direktiv (EU) 2022/2555, gjennomført i Frankrike ved lov av 26. mars 2025: underlegger kritiske enheter i helsesektoren (sykehus med mer enn 30 000 pasienter/år, produsenter av medisinsk klasse IIb og III utstyr, referanselaboratorier) forsterket cybersikkerhetskrav, særlig varsling til ANSSI innen 24 timer ved betydelig hendelse, og gjennomføring av årlig testede hendelsesresponsplaner.

eIDAS-forordning nr. 910/2014 og eIDAS 2.0 (Forordning (EU) 2024/1183): regulerer den juridiske verdien av elektroniske signaturer brukt for samtykker, digitalisert medisinsk praksis og kontrakter med leverandører. Avansert eller kvalifisert elektronisk signatur anbefales for enhver handling hvis beviskraft kan bestridt.

EHDS-forordningen (Europisk helsedataomrde-forordning, 2025): styrker pasientenes rettigheter over deres primære opplysninger og regulerer bruk av sekundære opplysninger for forskning, med opprettelse av helsedatatilgangsorganismer i hver medlemsstat.

Konkrete juridiske risiko: utover CNIL-administrative bøter, risikerer behandlingsansvarlige sivilt ansvar (art. 82 GDPR), straffeansvar (art. 226-17 i straffeloven, maksimalt 5 års fengsel og 300 000 € bøte for juridiske personer), og reputasjonsskader hvis økonomisk impact ofte overstiger bøtens beløp.

Illustrerende bruksscenarier: GDPR-samsvar og helsedata

Scenario 1 — En gruppe private klinikker med cirka 1 200 senger

Disse scenariene er illustrerende: de beskriver typiske situasjoner og rapporterer ingen målte resultater hos en kunde. En gruppering av mellomstore private klinikker (omtrent 1 200 senger fordelt på tre steder) behandlet pasientsamtykker på papirskjemaer, lagret i dårlig sikrede fysiske permer. Under en intern revisjon i forkant av en CNIL-kontroll ble flere mangler avdekket: umulig å raskt finne frem et samtykke som var over to år gammelt, manglende sporbarhet for samtykker knyttet til medisinsk videoovervåking og overføringer til tredjeparter (forsikringsselskaper, henvisende leger).

Ledelsen kan implementere en kvalifisert elektronisk signaturløsning integrert i sykehusets informasjonssystem. Samtykker som signeres og arkiveres på en strukturert måte, gjenfinnes raskere, og behandlingstiden for innsynsbegjæringer kan forkortes. Spørsmålet om HDS-sertifisering for applikasjonslaget behandles parallelt, sammen med vertsleverandøren. Omfanget av gevinsten må måles på grupperingens reelle omfang, før og etter et pilotprosjekt.

Scenario 2 — En utgiver av telemedisinløsning for spesialist-privatpraktiserer

Et selskap som ga ut en konsultasjonsplattform på avstand for spesialist-privatpraktiserer (cirka 4 000 aktive leger) var eksponert for stor risiko: serverne ble liggende hos en amerikansk skyleverandør uten kontraktklausul i samsvar med artikkel 28 i GDPR, og uten HDS-sertifisering. Plattformen samlet likevel konsultasjonsrapporter, resepter og kliniske bilder.

Etter en konsekvensutredning (DPIA) gjennomført med en ekstern personvernombud kan virksomheten migrere til en HDS-sertifisert vertsleverandør etablert i Frankrike, gjennomgå samtlige avtaler med underleverandører og innføre en mekanisme for tidsstemplet informert samtykke før hver konsultasjon. Den kan også etablere en intern rutine for hendelsesvarsling, rask nok til å overholde den lovpålagte fristen for varsling til CNIL. Kostnaden ved denne tilpasningen må sammenlignes med risikoen for en sanksjon fra CNIL, hvis størrelse avhenger av virksomhetens reelle situasjon.

Scenario 3 — Et nettverk av uavhengige apotek

En gruppering av rundt førti uavhengige apotek bruker et sentralisert administrasjonssystem som behandler reseptjournaler og lojalitetsdata (knyttet til implisitte helseprofiler). Uten utnevnt personvernombud og uten oppdatert behandlingsprotokoll er grupperingen ikke i stand til å besvare en pasients forespørsel om utøvelse av rettigheter innen den lovpålagte fristen.

Et samsvarsprosjekt kan gjøre det mulig å utnevne et delt personvernombud (en vanlig og lovlig løsning for grupperinger av SMB-er), dokumentere hver behandling i protokollen, gjennomgå retningslinjene for oppbevaringstid (lojalitetsdata skal ikke oppbevares uten begrunnelse) og lære opp alt apotekpersonalet i riktige rutiner ved forespørsler fra en pasient eller en kontrollør. Risikoen for bot må vurderes før prosjektet, ut fra grupperingens reelle situasjon.

Vanlige spørsmål

Er helseopplysninger samlet av en mobilapplikasjon underlagt GDPR?

Ja, så snart applikasjonen samler inn opplysninger som gjør det mulig å utlede en persons helsetilstand (pulsfrekvens, menstruasjonsoppfølging, blodsukkernivå, ernæring) er disse opplysningene helseopplysninger i henhold til artikkel 4 §15 i GDPR. Utgiveren er behandlingsansvarlig og må innhente eksplisitt samtykke, lagre opplysninger hos en HDS-sertifisert leverandør og gjennomføre en DPIA hvis behandlingen er i stor skala.

Må en privatpraktisering lege alene utnevne en DPO?

Nei, utnevnelse av en DPO er ikke obligatorisk for en privatpraktisering lege som arbeider alene eller i kontor med noen få leger, unntatt hvis behandlinger av helseopplysninger er i stor skala. Likevel forblir denne legen behandlingsansvarlig og må føre register over behandlinger, anvende minimaliserings­prinsippet og kunne svare på pasienters anmodninger om utøvelse av rettigheter innen regulatoriske frister.

Hvilke sanksjon kan CNIL ilegne ved brudd på helseopplysninger?

CNIL har administrativ sanksjonsmyndighet som kan nå 20 millioner euro eller 4 % av årlig verdensomsetning, høyeste beløp velges. Utover bøten kan den ilegge ordre om samsvars­gjennomføring med tvangsbot eller gjøre avgjørelsen offentlig. På straffeplan foreskriver artikkel 226-17 i straffeloven opptil 5 års fengsel og 300 000 € bøte for juridiske personer.

Er en databehandler (programvare, sky) ansvarlig ved lekkasje av helseopplysninger?

Ja. GDPR (art. 28 og 82) etablerer felles ansvar for behandlingsansvarlig og databehandler overfor berørte personer. Databehandleren er direkte ansvarlig hvis han handlet utenfor instruksjonene til behandlingsansvarlig eller ikke overholdt egne GDPR-forpliktelser. Det er derfor essensielt å formalisere en presise databehandleravtale og sikre at lagringsleverandøren er HDS-sertifisert for helseopplysninger.

Er HDS-sertifiseringen obligatorisk for alle digitale helse-aktører?

HDS-sertifiseringen er obligatorisk for enhver leverandør som lagrer, administrerer eller driver informasjonssystemer som inneholder personlige helseopplysninger på vegne av andre. Den pålegges derfor skyleverandører, utgivere av medisinsk SaaS og telemedisinplattformer. Derimot er en helseprofe som lagrer sine egne opplysninger (uten å overlate dem til andre) ikke direkte underlagt dette kravet, men forblir underlagt sikkerhetstiltakene i artikkel 32 i GDPR.

Konklusjon

Beskyttelse av helseopplysninger utgjør i 2026 en av de mest komplekse og overvåkede regulatoriske utfordringene i digitalsektoren. Mellom GDPR, loven om informatikk og frihet, HDS-lagringskravet, NIS 2-direktivet og fremveksten av det europeiske helsedataomrdet, må fagfolk opprettholde permanent overvåking og strukturere samsvaret rundt fem søyler: behandlingsregister, DPIA, DPO, teknisk sikkerhet og forvaltning av pasientrettigheter.

Certyneo assisterer helse-aktører i sikker digitalisering av prosessene: innsamling av tidsstemplede samtykker, kvalifisert elektronisk signatur av kontrakter med leverandører, sporbar bevisføring av hver handling. Oppdag hvordan vår løsning kan styrke din GDPR-samsvar ved å besøke vårt område for helseprofesjoner eller ved å starte kostnadsfritt på Certyneo.