Beskyttelse av helseopplysninger og GDPR-samsvar for helseprofesjoner

Helseopplysninger inntar en særskilt plass i det europeiske regelverket. Klassifisert som sensitive opplysninger av særlig art av GDPR (artikkel 9), er de gjenstand for et forsterket beskyttelsesregime som gjelder alle helseprofesjoner som behandler dem: sykehus, gjensidig forsikringsselskap, utgiver av helseprogramvare, laboratorier, hjemmesykepleietjenester, aktører innen e-helse og telemedisin. I 2026 har regelverket blitt enda mer omfattende — med den progressive implementeringen av det europeiske helsedataomrdet (EHDS), oppdaterte anbefalinger fra CNIL og rekordsanksjoner i EU, er samsvar ikke lenger valgfritt. Denne artikkelen beskriver punkt for punkt de gjeldende forpliktelsene og beste praksis for å sikre dine behandlinger.

Hva er en helseopplysning etter GDPR?

GDPR (forordning nr. 2016/679, artikkel 4 §15) definerer helseopplysninger som «personopplysninger relatert til den fysiske eller psykiske helsetilstanden til en fysisk person, inkludert levering av helseomsorgstjenester, som avslører opplysninger om denne personens helsetilstand».

Et større virkeområde enn det virker

Denne definisjonen omfatter langt mer enn klassiske pasientjournaler. Det gjelder:

• Medisinsk historie, diagnoser, resepter og analyseresultater;
• Opplysninger samlet av tilkoblede objekter (klokker, glukosemonitor, applikasjoner for menstruasjonsoppfølging);
• Administrative opplysninger som gjør det mulig å utlede helsetilstand (refusjonsgrad, hyppighet av konsultasjoner);
• Personnummeret (NIR) når det krysses med medisinsk informasjon.

I Frankrike har CNIL presisert, særlig i sin referansevedtak om helsedatalagringsarkiver (EDS), at begrepet skal tolkes bredt. Dermed faller et enkelt fotografi som avslører en synlig funksjonshemming eller en biometrisk opplysning (netthinneaftryk) innenfor virkeomrdet.

Hvorfor forsterket beskyttelse?

Den særlige sensitiviteten til helseopplysninger stammer fra diskrimineringspotensial. Avslring av en persons helsetilstand kan påvirke hennes tilgang til arbeid, forsikring, kreditt eller eksponere privatlivets fred. CNIL anslår at brudd som involverer helseopplysninger i 2024 representerte over 36 % av varslene den mottok — det første kategorien opplysninger som ble brutt.

Spesifikke rettsgrunnlag for behandling av helseopplysninger

Artikkel 9 §1 i GDPR etablerer et prinsipp om forbud mot behandling av sensitive opplysninger, med begrenset opplistede unntak. For helseprofesjoner er de viktigste rettsgrunnlagene:

Eksplisitt samtykke (art. 9 §2 a)

Samtykket må være fritt, spesifikt, informert og entydig, uttrykt gjennom en klar positiv handling. I helsesektoren er dette grunnlaget ofte uegnet for vanlig omsorg (maktforskjell lege/pasient), men er essensielt for behandlinger til forskningsformål, markedsføring eller bruk av offentlige helseprogrammer.

Best praksis 2026: bruke elektronisk signatur i helsetjenesten for å samle inn pasientsamtykke på en sporbar og tidsstemplet måte, noe som letter bevisføring under kontroll.

Omsorg og forebyggende medisin (art. 9 §2 h)

Dette er det viktigste rettsgrunnlaget for helseprofesjoner som behandler opplysninger i omsorgsforholdet. Det gjelder forutsatt at behandlingen gjøres av — eller under ansvar for — en profesjonell underlagt taushetsplikt.

Offentlig interesse og forskning (art. 9 §2 i og j)

Behandlinger for folkehelseformål (epidemiologisk overvåking, farmakovigilans) eller vitenskapelig forskning kan støttes på disse unntakene. I Frankrike definerer loven om informatikk og frihet (art. 65 til 68) og dekret som regulerer det nasjonale helsedatasystemet (SNDS) betingelsene for tilgang.

Konkrete forpliktelser for behandlingsansvarlige

Enten det er en legekontor eller en utgiver av digital helseprogramvare, er forpliktelsene strukturert rundt fem søyler.

1. Register over behandlinger (art. 30)

Enhver behandlingsansvarlig eller databehandler må føre et register som dokumenterer hver behandling: formål, rettsgrunnlag, datakategorier, oppbevaringsperioder, mottakere, sikkerhetstiltak. CNIL krever at registeret er oppdatert og kan presenteres uten forsinkelse under kontroll.

2. Virkningsvurdering for datavern (DPIA / art. 35)

Behandlinger av helseopplysninger i stor skala eller for profilering krever obligatorisk DPIA. CNIL har publisert en liste over behandlinger som obligatorisk krever DPIA, inkludert helsedatalagringsarkiver, mobilapplikasjoner for helseovervåking og tilkoblede medisinsk utstyr.

Om den juridiske verdien av elektroniske dokumenter i denne sammenheng, må leverandører sikre at samlingmekanismene oppfyller bevisforvaltniningskrav.

3. Utnevnelse av datavernombud (DPO)

Utnevnelse av en DPO er obligatorisk for:

• Helseprofesjoner organisert i grupper (sykehus, sykehjem, omsorgsteder med mer enn 50 personer);
• Gjensidighetsselskap og helseforsikringsselskap;
• Utgiver av helseprogramvare som behandler opplysninger i stor skala.

Siden 2024 har CNIL styrket sine kontroller over DPO-rollen, og verifiserer spesielt hans virkelige uavhengighet og ressurser.

4. Sikkerhet for informasjonssystemer (art. 32)

Tekniske og organisatoriske tiltak må være proporsjonale til risikoen. CNIL anbefaler særlig:

• Ende-til-ende-kryptering av opplysninger både lagret og under overføring;
• Pseudonymisering når formlet tillater det;
• Etablering av strenge tilgangskontroller (flerfaktorgodkjenning);
• Regelmessige sikkerhetskopier testet og frakoblet hovednettverket;
• En forretningskontinuitetsplan (PCA) spesifikk for helseopplysninger.

Siden gjennomføringen av NIS 2-direktivet (omgjort til fransk rett ved lov av 26. mars 2025) er kritiske enheter i helsesektoren — inkludert sykehus, produsenter av medisinsk utstyr og visse laboratorier — underlagt enda strengere cybersikkerhetskrav, med obligatorisk varsling av større hendelser til ANSSI innen 24 timer.

5. Varsling om datenbryting (art. 33 og 34)

Enhver brudd på helseopplysninger må varsles til CNIL innen 72 timer etter oppdagelse. Hvis bruddet sannsynligvis vil medføre høy risiko for rettigheter og frihet for personer, må pasientene også informeres uten urimelig forsinkelse.

I 2024 ilegnet CNIL bøter for forsinket varsling, og minnet på at raskhet i seg selv er en samsvarforpliktelse.

Lagring av helseopplysninger: en spesifikt fransk forpliktelse

I Frankrike pålegger loven av 26. januar 2016 (art. L. 1111-8 i helselovvedtaket) at personlige helseopplysninger skal lagres hos en HDS-sertifisert lagringsleverandør (lagringsleverandør for helseopplysninger). Denne sertifiseringen, utstedt av COFRAC-akkrediterte organisasjoner basert på ISO 27001-standarden og HDS-referanserammen fra ANS, dekker seks distinkte aktiviteter.

Hvem er inkludert av HDS-sertifiseringen?

Alle aktører som lagrer, administrerer eller driver informasjonssystemer som inneholder helseopplysninger på vegne av andre er inkludert: skyleverandører, utgiver av DMP (delt pasientjournal), telemedisinplattformer, og — siden 2023 — utgiver av offentlige helseprogrammer så lenge de oppbevarer identifiserende opplysninger.

Bruk av en HDS-sertifisert lagringsleverandør frittar ikke den behandlingsansvarlige fra sine egne forpliktelser: han må obligatorisk formalisere en databehandleravtale i samsvar med artikkel 28 i GDPR, som detaljerer instruksjonene gitt lagringsleverandøren, sikkerhetsgaran­tier og revisjonsbetingelser.

Det europeiske helsedataomrdet (EHDS): hvilke konsekvenser i 2026?

Forordningen om EHDS (vedtatt sent 2025 og hvis første bestemmelser implementeres gradvis til 2027) etablerer rammeverket for grensekryssende tilgang til helseopplysninger for forskning, innovasjon og folkeheals. For franske profesjoner, to umiddelbare konsekvenser:

1. Forpliktelsen til å respektere styrket rett til dataportabilitet (strukturert format, maskinlesbar) for pasientjournaler;
2. Forbudet mot behandling av primære helseopplysninger for annonsemålformål, selv med samtykke — en strengere restriksjon enn GDPR alene.

Disse utviklinger gjør det nødvendig å oppdatere personvernerklæringer og databehandleravtaler før slutten av 2026. For profesjoner som bruker elektronisk signatur i samsvar med eIDAS, utgjør sporbarhet av samtykker og godkjennelser en betydelig fordel for å demonstrere samsvar under revisjon.

Pasientrettigheter og utøvelse av GDPR-rettigheter

Pasienter har alle GDPR-rettigheter (tilgang, korrigering, sletting, begrensning, portabilitet, innsigelse), med noen faglige justeringer.

Retten til tilgang til helseopplysninger

En pasient kan be om tilgang til hele sin pasientjournal (art. L. 1111-7 CSP). Den profesjonelle har en frist på 8 dager (48 timer for nylige opplysninger, nylige innleggelser) og 2 måneder for eldre opplysninger. CNIL og Ombudsmannen for menneskerettigheter har begge sanksjonert institusjoner som nekte eller forsinket slike anmodninger.

Retten til sletting og dens grenser

«Retten til å bli glemt» er begrenset av lovpålagte oppbevaringsperioder: 20 år for voksen pasientjournaler, 28 år hvis handlingen ble utført før fylte år. Disse lovpålagte periodene har prioritet over enhver anmodning om tidligere sletting — den behandlingsansvarlige må forklare dette klart til pasienten.

Håndtering av anmodninger via elektroniske kanaler

For institusjoner som har digitalisert prosessene, kan anmodninger om utøvelse av rettigheter sendes og behandles via sikre skjemaer. Kvalifisert elektronisk tidsstempel på anmodninger og svar er best praksis som gjør det mulig å bevise overholdelse av regulatoriske frister under CNIL-kontroll.

Gjeldende rettslig ramme for beskyttelse av helseopplysninger

Samsvaret hos helseprofesjoner og deres teknologipartnere bygger på en artikulering av europeiske og nasjonale tekster som må beherske.

GDPR — Forordning (EU) nr. 2016/679 av 27. april 2016: hjørnestenen i systemet, klassifiserer helseopplysninger som sensitive opplysninger (art. 4 §15), forbyr behandlingen unntatt begrenset opplistede unntak (art. 9 §2), pålegger DPIA (art. 35), utnevnelse av DPO (art. 37), varsling av brudd (art. 33-34) og proporsjonale sikkerhetstiltak (art. 32). Sanksjonene når 20 millioner euro eller 4 % av årlig verdensomsetning — høyeste beløp velges.

Loven om informatikk og frihet (lov nr. 78-17 av 6. januar 1978 endret): gjennomfrer GDPR i fransk rett, gir CNIL fullmakt til å vedta sektor-spesifikke referanserammer for helse og definerer betingelsene for tilgang til SNDS.

Helselovvedtaket — art. L. 1111-7 og L. 1111-8: befester pasientens rett til tilgang til sin pasientjournal og forpliktelsen til lagring hos en HDS-sertifisert leverandør.

HDS-referanserammen (lagringsleverandør for helseopplysninger): publisert av direktoratet for digitalisering i helse (ANS), definerer seks sertifiseringsaktiviteter som dekker fysisk infrastruktur, plattform og applikasjonsprogramvare.

NIS 2-direktivet — Direktiv (EU) 2022/2555, gjennomført i Frankrike ved lov av 26. mars 2025: underlegger kritiske enheter i helsesektoren (sykehus med mer enn 30 000 pasienter/år, produsenter av medisinsk klasse IIb og III utstyr, referanselaboratorier) forsterket cybersikkerhetskrav, særlig varsling til ANSSI innen 24 timer ved betydelig hendelse, og gjennomføring av årlig testede hendelsesresponsplaner.

eIDAS-forordning nr. 910/2014 og eIDAS 2.0 (Forordning (EU) 2024/1183): regulerer den juridiske verdien av elektroniske signaturer brukt for samtykker, digitalisert medisinsk praksis og kontrakter med leverandører. Avansert eller kvalifisert elektronisk signatur anbefales for enhver handling hvis beviskraft kan bestridt.

EHDS-forordningen (Europisk helsedataomrde-forordning, 2025): styrker pasientenes rettigheter over deres primære opplysninger og regulerer bruk av sekundære opplysninger for forskning, med opprettelse av helsedatatilgangsorganismer i hver medlemsstat.

Konkrete juridiske risiko: utover CNIL-administrative bøter, risikerer behandlingsansvarlige sivilt ansvar (art. 82 GDPR), straffeansvar (art. 226-17 i straffeloven, maksimalt 5 års fengsel og 300 000 € bøte for juridiske personer), og reputasjonsskader hvis økonomisk impact ofte overstiger bøtens beløp.

Bruksscenarier: GDPR-samsvar og helseopplysninger i praksis

Scenario 1 — En gruppe private klinikker med cirka 1 200 senger

En gruppe private klinikker av mellomstørrelse (cirka 1 200 senger fordelt over tre steder) behandlet pasientsam­tykker på papirskjemaer, lagret i lite sikre arkiver. Under intern revisjoner før forventet CNIL-kontroll ble flere mangler identifisert: umulighet å raskt finne samtykke fra for over to år siden, manglende sporbarhet for samtykker vedr. videoovervåking og overføring til tredjepart (forsikringsselskap, henvisende leger).

Ledelsen distribuerte en løsning med kvalifisert elektronisk signatur integrert i sykehussystemet. Resultater målt etter seks måneder: behandlingstid for tilgangsanmodninger falt fra 14 til 4 arbeidsdager (71 % reduksjon), søketiden for samtykke falt under 2 minutter mot gjennomsnittlig 45 minutter tidligere, og gruppen oppnådde sin HDS-sertifisering for applikasjonslaget.

Scenario 2 — En utgiver av telemedisinløsning for spesialist-privatpraktiserer

Et selskap som ga ut en konsultasjonsplattform på avstand for spesialist-privatpraktiserer (cirka 4 000 aktive leger) var eksponert for stor risiko: serverne ble liggende hos en amerikansk skyleverandør uten kontraktklausul i samsvar med artikkel 28 i GDPR, og uten HDS-sertifisering. Plattformen samlet likevel konsultasjonsrapporter, resepter og kliniske bilder.

Etter en virkningsvurdering (DPIA) utført med ekstern DPO migrerte selskapet til en HDS-sertifisert leverandør basert i Frankrike, gjennomgikk alle databehandleravtaler og integrerte en tidsstemplet mekanisme for informert samtykke før hver konsultasjon. Den etablerte også en prosedyre for intern varsling av hendelser innen 12 timer, noe som tillater overholdelse av 72-timers regulatorisk frist til CNIL. Kostnaden for samsvaret anslås til 180 000 € — sammenlignet med 400 000 € bøte ilagt av CNIL mot en lignende sektor-aktør samme år.

Scenario 3 — Et nettverk av uavhengige apotek

En gruppe på cirka 40 uavhengige apotek brukte sentralisert administrasjonsprogramvare som behandlet ordinasjonshistorie og loyalitetsdata (knyttet til implisitte helseprofiler). Uten utnevnt DPO og uten oppdatert behandlingsregister var gruppen ute av stand til å svare på en anmodning om utøvelse av rettigheter fra en pasient innen 30 dager.

Et samsvarsprosjekt fordelt over åtte måneder gjorde det mulig å utnevne en mutualisert DPO (vanlig og tillatt løsning for grupper av SMB), dokumentere 23 distinkte behandlinger i registeret, gjennomgå policyer for oppbevaringsperioder (loyalitetsopplysninger ble oppbevart 10 år uten begrunnelse), og trene alt apotek-personalet på gode reflekser ved anmodning fra pasient eller revisor. Den estimerte risikoen for bøte før-arbeidet oversteg 150 000 €.

Vanlige spørsmål

Er helseopplysninger samlet av en mobilapplikasjon underlagt GDPR?

Ja, så snart applikasjonen samler inn opplysninger som gjør det mulig å utlede en persons helsetilstand (pulsfrekvens, menstruasjonsoppfølging, blodsukkernivå, ernæring) er disse opplysningene helseopplysninger i henhold til artikkel 4 §15 i GDPR. Utgiveren er behandlingsansvarlig og må innhente eksplisitt samtykke, lagre opplysninger hos en HDS-sertifisert leverandør og gjennomføre en DPIA hvis behandlingen er i stor skala.

Må en privatpraktisering lege alene utnevne en DPO?

Nei, utnevnelse av en DPO er ikke obligatorisk for en privatpraktisering lege som arbeider alene eller i kontor med noen få leger, unntatt hvis behandlinger av helseopplysninger er i stor skala. Likevel forblir denne legen behandlingsansvarlig og må føre register over behandlinger, anvende minimaliserings­prinsippet og kunne svare på pasienters anmodninger om utøvelse av rettigheter innen regulatoriske frister.

Hvilke sanksjon kan CNIL ilegne ved brudd på helseopplysninger?

CNIL har administrativ sanksjonsmyndighet som kan nå 20 millioner euro eller 4 % av årlig verdensomsetning, høyeste beløp velges. Utover bøten kan den ilegge ordre om samsvars­gjennomføring med tvangsbot eller gjøre avgjørelsen offentlig. På straffeplan foreskriver artikkel 226-17 i straffeloven opptil 5 års fengsel og 300 000 € bøte for juridiske personer.

Er en databehandler (programvare, sky) ansvarlig ved lekkasje av helseopplysninger?

Ja. GDPR (art. 28 og 82) etablerer felles ansvar for behandlingsansvarlig og databehandler overfor berørte personer. Databehandleren er direkte ansvarlig hvis han handlet utenfor instruksjonene til behandlingsansvarlig eller ikke overholdt egne GDPR-forpliktelser. Det er derfor essensielt å formalisere en presise databehandleravtale og sikre at lagringsleverandøren er HDS-sertifisert for helseopplysninger.

Er HDS-sertifiseringen obligatorisk for alle digitale helse-aktører?

HDS-sertifiseringen er obligatorisk for enhver leverandør som lagrer, administrerer eller driver informasjonssystemer som inneholder personlige helseopplysninger på vegne av andre. Den pålegges derfor skyleverandører, utgivere av medisinsk SaaS og telemedisinplattformer. Derimot er en helseprofe som lagrer sine egne opplysninger (uten å overlate dem til andre) ikke direkte underlagt dette kravet, men forblir underlagt sikkerhetstiltakene i artikkel 32 i GDPR.

Konklusjon

Beskyttelse av helseopplysninger utgjør i 2026 en av de mest komplekse og overvåkede regulatoriske utfordringene i digitalsektoren. Mellom GDPR, loven om informatikk og frihet, HDS-lagringskravet, NIS 2-direktivet og fremveksten av det europeiske helsedataomrdet, må fagfolk opprettholde permanent overvåking og strukturere samsvaret rundt fem søyler: behandlingsregister, DPIA, DPO, teknisk sikkerhet og forvaltning av pasientrettigheter.

Certyneo assisterer helse-aktører i sikker digitalisering av prosessene: innsamling av tidsstemplede samtykker, kvalifisert elektronisk signatur av kontrakter med leverandører, sporbar bevisføring av hver handling. Oppdag hvordan vår løsning kan styrke din GDPR-samsvar ved å besøke vårt område for helseprofesjoner eller ved å starte kostnadsfritt på Certyneo.