a) Når en kommune tjenesteutsetter helse- og omsorgstjenester til en tjenesteyter, er det denne tjenesteyteren som blir dataansvarlig for de helse- og personopplysningene som tjenesteyteren behandler i deres pasientjournal.
Kommunen vil ha sitt selvstendige dataansvar for å sørge for at behandlinger av helse- og personopplysninger er i henhold til kravene i helselovgivningen og personvernforordningen.
Kommunen vil alltid ha ansvaret for at ytelsen av helse- og omsorgstjenester skjer forsvarlig.
b) For tjenesteyteren innebærer dette at det er tjenesteyteren i sin behandling av helse- og personopplysninger som må sørge for å ivareta de registrertes personvern (krav om innsyn, informasjon, retting og sletting av opplysninger mv.), lovverkets krav til informasjonssikkerhet, internkontroll, avvikshåndtering og øvrige krav i personvernforordningen.
c) For de registrerte (pasienter, bruker, tjenestemottakere) innebærer dette at de må forholde seg til tjenesteyteren, og ikke kommunen, ved krav om innsyn, informasjon, retting og sletting av opplysninger som behandles i tjenesteyterens behandlingsrettede helseregistre.
d) Hvis kommunen ikke inngår avtale om samarbeid om felles journal med virksomheten, vil ikke kommunen kunne sikre seg råderett gjennom en annen type avtale med tjenesteyter.
Ønsker kommunen å få utlevert helse- og personopplysninger fra tjenesteyters journalsystemer må dette skje iht. bestemmelsene om utlevering av helseopplysninger ifm helsehjelp etter bestemmelsene i helsepersonelloven (lovdata.no) §§ 25 og 45. Dette må baseres på en konkret vurdering i det enkelte tilfellet.
Kommunen bør merke seg at bestemmelsen medfører at pasienten har rett til å motsette seg overføring eller kreve overføring av sin journal til annet bestemt helsepersonell eller virksomhet.
