Lagring er nødvendig for å oppfylle virksomhetens arkivplikt
Virksomheten skal fortsette å lagre helse- og personopplysninger etter at formålet er oppnådd dersom opplysningene er underlagt arkivplikt, jf. pasientjournalloven § 25 Plikt til bevaring eller sletting, annet ledd (lovdata.no) og helsepersonelloven § 43 Sletting av journalopplysningerog arkivlova med forskrifter. Alle offentlige organer er underlagt arkivlova med forskrifter, og dermed underlagt arkivplikt. Regionale helseforetak og helseforetak regnes som offentlige organer etter arkivlova, og er dermed også underlagt arkivplikt.
Helse- og personopplysninger fra helse- og omsorgstjenesten skal som regel ikke arkiveres før etter at pasienten er død. På dette tidspunktet gjelder ikke personvernforordningens bestemmelser om behandling av personopplysninger da personvernforordningen ikke omfatter døde personer. Særlovgivningen for helse- og omsorgssektoren og arkivlovgivningen har imidlertid bestemmelser som gjelder avdøde personer.
Både offentlige og private virksomheter i spesialisthelsetjenesten skal bevare og avlevere pasientjournalarkivene sine til Norsk Helsearkiv, jf. spesialisthelsetjenesteloven § 3-2a og helsearkivforskriften kapittel 2. Pasientjournalarkivene skal avleveres til Norsk Helsearkiv tidligst ti år etter pasientens død, alternativt 110 år etter pasientens fødsel.
Fra elektroniske pasientjournaler skal følgende avleveres, jf. helsearkivforskriften § 11 Avlevering av informasjon fra elektroniske pasientjournaler (lovdata.no)
- alle opplysninger som registreres i henhold til helsepersonelloven §§ 39 Plikt til å føre journal (lovdata.no) og 40 Krav til journalens innhold m.m. (lovdata.no)
- pasientidentifikasjon og all informasjon som kan representeres som tekst, inkludert koder, tall og målte verdier mv.
- dokumenter som arkivskaper har digitalisert, som en del av den løpende journalføringen eller på et senere tidspunkt
Fra fysisk pasientarkiv skal følgende avleveres,
- legejournaler og epikriser
- korrespondanse som er lett tilgjengelig innenfor den enkelte journal
- dokumentasjon av vedtak om bruk av tvang
Alle virksomheter i spesialisthelsetjenesten skal avlevere alle fysiske pasientjournaler for pasienter som døde før 1. januar 1950 i sin helhet, I tillegg finnes det egne bestemmelser om avlevering av fysisk pasientarkiv for enkelte navngitte virksomheter, og fra virksomheter som yter eller har ytet nasjonale eller flerregionale behandlingstjenester,
Privatpraktiserende spesialister skal ikke avlevere pasientjournalarkivene sine til Norsk Helsearkiv med mindre Riksarkivaren treffer vedtak om det. Privatpraktiserende spesialister kan kassere pasientjournalarkivene ti år etter pasientens død, jf. helsearkivforskriften § 12. Avleveringsplikt for private virksomheter i spesialisthelsetjenesten (lovdata.no)
Visse tjenester i den kommunale og fylkeskommunale helse- og omsorgstjenesten skal bevare sine pasient- og journalopplysninger. jf. riksarkivarens forskrift § 7-29 Helse og omsorg (lovdata.no) Dette gjelder helsestasjonstjenester, skolehelsetjenesten og tannhelsetjenesten, samt tjenester innen rusomsorg og psykososial omsorg, Arkivene skal avleveres til kommunalt depot. Med pasient- og journalopplysninger menes all individbasert dokumentasjon som skapes av kommunale og fylkeskommunale tjenester som yter helsehjelp, Kommunen og fylkeskommunen trenger imidlertid ikke å bevare individbaserte opplysninger om vaksiner som er meldt til Nasjonalt vaksinasjonsregister (Sysvak).
Andre tjenester i den kommunale eller fylkeskommune helse- og omsorgstjenesten kan kassere sine pasient- og journalopplysninger minimum 20 år etter pasientens død, alternativt 120 år etter pasientens fødsel.
Riksarkivarens forskrift lister også opp andre sakstyper fra kommunens og fylkeskommunens helse- og omsorgstjeneste som skal bevares. Disse omtales ikke nærmere her.
Lagring er nødvendig for å oppfylle en annen rettslig plikt, for å utføre en oppgave i allmennhetens interesse eller for å utøve offentlig myndighet
Virksomheten skal fortsette å lagre helse- og personopplysninger dersom opplysningene er omfattet av andre oppbevaringsplikter (enn arkivplikt) i lov eller forskrift, eller dersom lagring er nødvendig for å utføre en oppgave i allmennhetens interesse eller for å utøve offentlig myndighet, jf. personvernforordningen artikkel 17 Rett til sletting («rett til å bli glemt») nr. 3 bokstav b (lovdata.no).
Lagring er nødvendig av hensyn til allmennhetens interesse på området folkehelse
Virksomheten kan fortsette å lagre helse- og personopplysninger etter at formålet er oppnådd dersom lagring er nødvendig av hensyn til allmennhetens interesse på området folkehelse, Unntaket gjelder for eksempel når behandlingen av personopplysninger er nødvendig for å bekjempe en epidemi eller pandemi.
Lagring er nødvendig for å oppnå nye og forenlige formål
Virksomheten kan fortsette å lagre helse- og personopplysninger etter at formålet er oppnådd dersom lagring er nødvendig for å oppnå nye formål som er forenlige med det opprinnelige formålet.
I vurderingen av forenlighet skal det blant annet tas hensyn til forbindelsen mellom opprinnelige og nye formål, sammenhengen personopplysningene ble samlet inn i (herunder relasjonen mellom virksomheten og den registrerte, og den registrertes forventninger), personopplysningenes art, mulige konsekvenser av behandlingen og eventuelle garantier for personvernet. De nye formålene kan være forenlige med den opprinnelige behandlingen, hvis de er en naturlig forlengelse av de opprinnelige formålene, og den nye behandlingen ikke medfører større konsekvenser for den registrerte.
Arkivformål i allmennhetens interesse, formål knyttet til vitenskapelig eller historisk forskning eller statistiske formål skal ikke anses som uforenlig med de opprinnelige formålene. Hva som ligger i disse begrepene, er ikke tydelig definert i personvernforordningen. Behandling av helse- og personopplysninger i helse- og omsorgssektoren er imidlertid ofte regulert av annen lovgivning.
Lagring er nødvendig for å fastsette, gjøre gjeldende eller forsvare rettskrav
Virksomheten kan fortsette å lagre personopplysninger etter at formålet er oppnådd dersom lagring er nødvendig for å fastsette, gjøre gjeldende eller forsvare rettskrav, Hva som skal regnes som et rettskrav er ikke definert i personvernforordningen. Begrepet er imidlertid også brukt i tvisteloven § 1-3 Søksmålsgjenstand, partstilknytning og søksmålssituasjon (lovdata.no), og tvistelovens forarbeider defineres rettskrav som krav som reguleres av rettsregler.
Unntaket kan for eksempel være relevant for virksomhetens behandling av personopplysninger om egne ansatte dersom det oppstår en tvist som gjør det nødvendig å oppbevare opplysninger etter at formålet er oppnådd for å oppklare tvisten.
