Når behandler vi personopplysninger?

Helfo er Helsedirektoratets ytre etat. Helfo arbeider for at pasienter skal få oppfylt sine helserettigheter, og at behandlere, leverandører og tjenesteytere får økonomisk oppgjør i henhold til folketrygdlovens kapittel 5.

Helsedirektoratet er behandlingsansvarlig for behandling av opplysninger som gjøres i forbindelse med stønad for nødvendige utgifter til helsetjenester etter folketrygdlovens kapittel 5. Behandlingsansvaret fremgår av folketrygdloven § 21-11a, syvende ledd. Helsedirektoratet har delegert oppgaven til Helfo ved fullmakt og tildelingsbrev. Det er avdelingsdirektør i avdeling Helserefusjoner som har det daglige behandlingsansvaret.

De enkelte personopplysningene som behandles i de ulike løsningene som knytter seg til økonomisk oppgjør av helsetjenester er begrenset til formålet de er innhentet for. Helfo forvalter følgende ordninger:

Fristbruddportalen

Fristbruddportalen brukes blant annet til å holde oversikt over om spesialisthelsetjenesten er i stand til å overholde fristen for når helsehjelp senest skal gis.

Du som har fått en frist for helsehjelp og ikke har mottatt helsehjelpen innen denne fristen blir registrert her med blant annet personopplysninger (navn, adresse, navn på henviser, behandlings- og helseopplysninger, kode for diagnose mm). Opplysningene er nødvendige for å sjekke om fristen kan overholdes, og for å kontakte pasienten om alternativt behandlingssted dersom det første behandlingsstedet ikke kan tilby helsehjelp innen fastsatt frist.

Helfo er behandlingsansvarlig for helse- og personopplysningene i Fristbruddportalen, og Norsk Helsenett (NHN) er databehandler. Det er kun ansatte i Helfo som trenger opplysningene for å finne et alternativt behandlingstilbud til deg, som har tilgang til opplysningene.

Fyll ut og send inn følgende skjema: Innsyn i personopplysninger i fristbrudd (PDF) for å få tilgang til alle opplysningene nevnt under Fristbrudd. De vil bli sendt rekommandert til din folkeregistrerte adresse.

Dersom du har spørsmål kan du ta kontakt med Helfo på pasientformidling@helfo.no.

Stønad til helsetjenester etter folketrygdloven kapittel 5

Når du mottar en helsetjeneste sendes automatisk de personopplysningene om deg som er nødvendige for at oppgjørskrav etter direkteoppgjørsordningen skal utbetales til helseaktøren, jf. folketrygdloven § 22-2. Innenfor enkelte av stønadsområdene må du fremdeles sende søknad selv, men hovedregelen er at behandlerne gjør dette på vegne av pasienten.

Søknad om refusjon sendes i hovedsak inn elektronisk. Helfo registrerer og oppbevarer innsendte opplysninger som er nødvendige for å avgjøre om vilkårene for rettigheten er oppfylt. Søknaden kan behandles automatisk dersom det foreligger egen hjemmel for slik behandling, eller at den automatiske behandlingen er innenfor rammene gitt i folketrygdloven § 21-11 a andre ledd. Det er bare dersom et vedtak er lite inngripende overfor deg, at dine helseopplysninger eller andre personopplysninger utelukkende kan være basert på en automatisk behandling etter § 21-11 a andre ledd. Opplysningene oppbevares elektronisk som nødvendig dokumentasjon for senere revisjon og oppfølging.

Søknad om individuell stønad til legemidler eller næringsmidler på blå resept

Helsedirektoratet har ansvar for å fatte vedtak om individuell stønad til legemidler og næringsmidler etter blåreseptforskriften §§ 3 og 6, og etter folketrygdloven § 5-25 (yrkesskade).  Søknad om stønad skal fremmes av lege på innbyggers vegne, og Helfo fatter vedtak etter fullmakt fra Helsedirektoratet.

Legen bruker søknadsløsningen Blåreseptsøknad for å fylle ut tilpasset søknad. Følgende helse- og personopplysninger behandles i løsningen  

• innbyggers fødselsnummer (kun FKRid som lagres)
• søkende leges fødselsnummer, HPR-nummer, spesialitet og arbeidssted
• legemiddel det søkes stønad for
• innbyggers diagnose/tilstand det aktuelle legemidlet skal benyttes for
• medisinsk vurdering av innbyggers behov inkludert eventuell relevant tidligere legemiddelbehandling

Helse- og personopplysninger fylles enten inn av legen, innhentes fra Felles kontaktregister (FKR), fastlegeordningen (oppslag på om søkende lege er pasientens fastlege) eller fra e-reseptoppgjørskontroll (tidligere legemiddelbehandling).

Formålet med Blåreseptsøknad er å

• tilby legene et dynamisk tilpasset skjema og veiledning som sikrer at legen kun fyller ut nødvendig informasjon for behandling av søknad
• sikre likebehandling og rettighetsoppfyllelse for innbyggerne
• legge til rette for automatisert saksbehandling av søknader som ikke krever skjønnsmessige vurderinger. Dette bidrar til raskere svar til pasienten og mer effektiv forvaltning

Behandlingsgrunnlaget er hjemlet i personvernforordningen artikkel 6 nr. 1 bokstav e) og artikkel 9 nr. 2 bokstav g), med supplerende rettsgrunnlag i Folketrygdloven §§ 5-14, 5-25 og 21-11a andre ledd.

Helsedirektoratet er behandlingsansvarlig for helse- og personopplysningene som behandles i Blåreseptsøknad. Saksbehandlingsløsningen driftes av Norsk Helsenett (NHN).

Blåreseptsøknad sender søknaden til Helfos saksbehandlingssystem (HESA) hvor krav opprettes, søknadsopplysninger lagres og vedtak fattes. Når vedtak er fattet blir vedtak sendt til innbygger, digitalt eller per post.

I Blåreseptsøknad lagres innbyggers FKRid, legemiddel og diagnose/tilstand det søkes for og informasjon om legen (navn, HPR-nummer og arbeidssted). De andre helse- og personopplysningene som innhentes mellomlagres i inntil en time, til søknaden er sendt til HESA. Helse- og personopplysningene slettes når formålet er opphørt eller Helsedirektoratet ikke lenger har en lovpålagt oppbevaringsplikt.

Spørretjeneste - har innbygger vedtak om stønad til legemidler eller næringsmidler på blå resept

Helsedirektoratet registrerer innbyggere som har et vedtak om stønad til legemidler eller næringsmidler på blåresept eller etter yrkesskade i en database. Databasen inneholder alle vedtak utstedt etter 2015, og innvilgede vedtak utstedt før 2015 som fortsatt er i bruk.

Aktører med tjenstlig behov kan gjøre oppslag mot Helsedirektoratets vedtaksdatabase, via den elektroniske spørretjenesten Blåreseptvedtak. Følgende helse- og personopplysninger er lagret i databasen og behandles i tjenesten:

• innbyggers FKRid
• status for saken (gyldig innvilget vedtak, avslått vedtak, utløpt vedtak, søknad under behandling eller vedtak ikke funnet).
• legemiddel (hvis legemiddelvedtak)
• for innvilgede vedtak: hjemmel for vedtak, refusjonskode (legemiddel)/sykdomspunkt (næringsmiddel), eventuelle begrensninger for vedtaket og vedtaksdokumentet (kryptert).
• for avslåtte søknader: hjemmel for vedtak og begrunnelse

Den som gjør spørringen oppgir innbyggers fødselsnummer og navn på legemiddel (hvis legemiddelvedtak). Helse- og personopplysningene Helsedirektoratet returnerer innhentes fra Felles kontaktregister (FKR) og Helsedirektoratets vedtaksdatabase.

Formålet med spørretjenesten er å

• hindre at lege unødvendig må fylle ut søknad om individuell stønad
• være en servicetjeneste for helseaktører når vedtak ikke kan framvises av innbygger/pårørende/verge
• legge til rette for kontroll av refusjonskrav fra apotek eller bandasjist

Følgende aktører er vurdert å ha et tjenstlig behov, og kan gjøre en elektronisk vedtaksspørring

• lege eller hjelpepersonell til lege i forbindelse med utfylling av søknad eller rekvirering av resept
• apotekansatte i forbindelse med utlevering av legemiddel/næringsmiddel etter samtykke fra innbygger
• bandasjist og klinisk ernæringsfysiolog i forbindelse med rekvirering eller utlevering av næringsmiddel etter samtykke fra innbygger
• Helfo i forbindelse med kontroll av refusjonskrav fra apotek eller bandasjist (e-reseptoppgjørskrav)

Innbyggeren kan få innsyn i hvem som har bedt om å få utlevert vedtaksinformasjon, og hvilken informasjon de har fått.

Behandlingsgrunnlaget for blåreseptløsningen er hjemlet i personvernforordningen artikkel 6 nr. 1 bokstav a) og bokstav e), med supplerende rettsgrunnlag i folketrygdloven §§ 5-14 og 5-25.

Helsedirektoratet er behandlingsansvarlig for helse- og personopplysningene som behandles i Blåreseptvedtak. Databasen og spørretjenesten driftes av Norsk Helsenett (NHN).

Personopplysningene skal slettes fra databasen når formålet er opphørt (men er fortsatt tilgjengelig i saksbehandlingsløsningen HESA). Helse- og personopplysninger vises i den elektroniske vedtaksspørringstjenesten så lenge et innvilget vedtak er gyldig. Hvis et vedtak er tidsbegrenset vises vedtaksinformasjon i 6 måneder etter utløpsdato. Avslag vises 3 år etter vedtaksdato.

Frikortordningen/egenandelsregisteret

Frikortordningen er en automatisert behandling av opplysninger om alle innbyggere over 16 år som har betalt en eller flere egenandeler. Ordningen mottar informasjon om oppgjør fra behandlende helsepersonell, apotek/bandasjist og Pasientreiser, og behandlingen fører frem til vedtak om frikort og eventuell refusjon av egenandeler over egenandelstaket.

Personopplysninger som behandles i løsningen er pasientens navn, fødselsnummer/sikker identifikasjon, adresse, bostedskommune, tjenesteyters navn og praksistype, tjenestetidspunkt, vedtaksdato, egenandelsbeløp, ID-nummer, kontaktinformasjon, kontonummer, egenandelsbeløp og eventuell status som minstepensjonist. Det behandles også opplysninger om det enkelte helsepersonellet og virksomheten der de jobber. Ut fra de samlede opplysningene vil det fremgå indirekte informasjon om hvilken type helsehjelp pasienten har mottatt.

Ordningen er hjemlet i egenandelsregisterforskriften § 1, og behandlingen av opplysningene følger denne forskriften. Helsedirektoratet er behandlingsansvarlig for behandlingen av opplysningene, Helfo forvalter ordningen, og NAV er databehandler for løsningen.

Helserettigheter i andre EØS-land 

Innbygger kan søke om helserettigheter eller stønad til helsetjenester, jf. Trygdeforordning (EF) nr. 883/2004. Dette gjelder europeisk helsetrygdkort eller andre rettighetsdokumenter. Ordningene krever at innbygger selv, eller person med fullmakt, sender søknad. Behandling av søknad kan etter samtykke behandles automatisk. 

Behandlingen fører frem til vedtak og eventuell overføring av informasjon om vedtak, enten til trygdemyndigheter i annet EØS-land, eller til kortleverandør som utleverer europeisk helsetrygdkort. 

Helsedirektoratet behandler også personopplysninger i forbindelse med økonomiske oppgjør mellom EØS-land på bakgrunn av Europeisk helsetrygdkort eller andre rettighetsdokumenter. 

Personopplysninger som behandles for å kunne ivareta dine rettigheter til helsehjelp er borgers navn, fødselsnummer, adresse, statsborgerskap, familierelasjoner, personstatus i folkeregisteret, opplysninger fra medlemskapsregisteret i NAV og opplysninger fra arbeidstakerregisteret. Dersom personen har mottatt en helsetjeneste behandles også opplysninger om kategori av helsetjeneste og behandlingsperiode. 

Behandlingsgrunnlaget er personvernforordningen artikkel 6 (1) e. Ordningen er hjemlet i Trygdeforordning (EF) nr. 883/2004 (Grunnforordningen) og (EF) nr. 987/2009 (Gjennomføringsforordningen), Folketrygdloven §§ 21-2, 21-4, 21-4a og Statens økonomireglement. Helsedirektoratet er behandlingsansvarlig for behandlingen av opplysningene, Helfo forvalter ordningen, og kortleverandør er databehandler for løsningen. 

For å ivareta dine rettigheter til helsehjelp må personopplysninger i enkelte tilfeller deles med andre EØS-land. Dersom personopplysninger utleveres til trygdemyndigheter i andre EØS-land, vil trygdemyndigheten som mottar opplysningen være selvstendig dataansvarlig for behandling av opplysningene. 

Opplysninger om vedtak anses som grunnlag for utbetaling og vil bli oppbevart i 10 år etter at utbetaling er foretatt iht. økonomireglementets bestemmelser. 

Logger over telefonsamtaler med Veiledning helsenorge.no

De som ringer Helfo på Veiledning helsenorge.no blir registrert her med følgende opplysninger:

• telefonnummer (ikke navn eller annen ID)
• overordnet klassifisering av henvendelsen, som f. eks. "Bytte fastlege", "Bestille helsetrygdekort"
• Selve forespørselen blir ikke logget.

Felles kontaktregister (FKR) for Helfo

For å sikre at Helfos fagsystemer baserer seg på riktige kontaktopplysninger om privatpersoner og helseaktører henter Helsedirektoratet inn opplysninger fra Folkeregisteret og Kontakt- og reservasjonsregisteret (KRR) som lagres i en egen kopi, kalt Felles kontaktregister (FKR). Innhentingen av opplysninger skjer med hjemmel i folkeregisterloven § 10-1 og § 10-2. Dette gjør vi for at Helfo kan:

• identifisere personen/aktøren på en sikker måte
• kontakte personen/aktøren på ønsket adresse/kanal
• få oppdatert offentlig informasjon som har betydning for dine rettigheter til å få ulike typer stønader og dokumentasjon

Dette gjelder følgende kategorier personer:

• personer som selv har et aktivt stønadsforhold til Helfo (Helseøkonomiforvaltningen), dvs.
  • har søkt om forhåndstilsagn
  • har søkt om refusjon av utgifter
  • har betalt egenandeler i helsevesenet
  • har søkt om dokumentasjon av helserettigheter
  • som i egenskap av å være helseaktører sender inn søknad på vegne av innbygger
  • som i egenskap av å være helseaktører sender inn krav om oppgjør
  • eventuelt andre tilsvarende behov
• personer som ikke selv har et aktivt forhold til Helfo
  • pasienter som er grunnlag for refusjonssøknader fra helseaktører
  • personer som har handlet på apotek/bandasjist og dermed er grunnlag for refusjonssøknader
  • personer som har/skal ha fastlege, eller er reservert mot fastlegeordningen
  • som er fastleger
  • eventuelt andre tilsvarende behov

Personer som verken har et aktivt eller ikke-aktivt forhold til Helfo inngår ikke i FKR.

Opplysningene behandles med hjemmel i personvernforordningen artikkel 6 (1) e som bestemmer at behandlingen av personopplysninger må være "nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt".

Helfos rettslige forpliktelser som skal ivaretas av behandlingen av personopplysningene følger av:

• folketrygdloven § 21-11a (Saksbehandling m.m. etter kapittel 5 Stønad ved helsetjenester)
• folketrygdloven kapittel 5 (Stønad til helsetjenester)
• folketrygdloven § 21-4 (Innhenting av opplysninger og uttalelser) og § 21-4a (Innhenting av opplysninger fra tredjemann – stedlig kontroll)
• pasientjournalloven § 11 (Systemer for saksbehandling, administrasjon mv. av helsehjelp) med tilhørende forskrifter:
  • egenandelsregisterforskriften (FOR-2009-12-18-1639)
  • forskrift om utlevering av frikort og refusjon av betalte egenandeler uten at det er satt fram krav (FOR-2009-12-18-1690)
• helse- og omsorgstjenesteloven LOV-2011-06-24-30 § 3-2 og fastlegeforskriften FOR-2012-08-29-843 samt lov 2. juli 1999 nr. 63 om pasient- og brukerrettigheter (pasient- og brukerrettighetsloven) § 2-1c fjerde ledd og forskrift om pasient- og brukerrettigheter i fastlegeordningen FOR-2012-08-29-843
• pasient- og brukerrettighetsloven § 2-2 (rett til vurdering) jfr. § 2-1 c
• trygdeforordning (EF) nr. 883/2004 (Grunnforordningen) og (EF) nr. 987/2009 (Gjennomføringsforordningen), jf. folketrygdloven § 1-3, jf. forskrift om inkorporasjon av trygdeforordningene i EØS-avtalen

Opplysningene brukes av Helfo i faglig baserte systemer for å ivareta rettigheter etter denne lovgivningen som befolkningen har til helsetjenester i Norge og i utlandet, og for å administrere fastlegeordningen. Opplysningene fra FKR behandles kun av personell i det enkelte fagsystem basert på tjenstlig behov.

Privatpersoner

Helfo innhenter data om privatpersoner fra folkeregisteret: personidentifikator, navneopplysninger, fødsel/dødsfall, kjønn, kontaktinformasjon (herunder adresser), sivilstand, familierelasjoner, representasjon, vergemål, status om opphold, statsborgerskap, registreringsstatus og historikk. Opplysningene om privatpersoner fra Folkeregisteret endres ikke av Helfo¸ men blir oppdatert automatisk når det skjer endringer i Folkeregisteret.  

Helfo henter også telefonnummer, epostadresse og språkvalg fra Kontakt- og reservasjonsregisteret (KRR). Opplysningene fra KRR endres ikke av Helfo¸ men blir oppdatert automatisk når det skjer endringer i KRR. 

I tillegg kan Helfo selv registrere, lagre og oppdatere opplysninger for å kunne utbetale til privatpersoner (kontonummer i Norge og utland). Helfo kan tilsvarende registrere, lagre og oppdatere telefonnummer og epostadresse på personer som ikke har registrert slikt i KRR.

Bankkontonummer og kontaktopplysninger legges inn av den registrerte selv på Helsenorge, som sender opplysningen til FKR. Dette er basert på frivillighet. Den registrerte kan også melde inn behov/ønske om endring av slike data direkte til Helfo, som oppdaterer endringer i FKR.

Den registrerte må selv sende inn oppdateringer og eventuelle feil/mangler i Folkeregisteret. Dette gjøres på skatteetatens nettside. Den registrerte kan ikke melde slike endringsbehov til Helfo.

Helseaktører

Mange privatpersoner er også helsepersonell som har et aktivt forhold til Helfo (helseaktører). Her oppdateres FKR med opplysninger fra Helsepersonellregisteret, FLO (Fastlegeordningen) og Legestillingsregisteret.

Helseaktøren registrerer avtale-/praksisopplysninger, bankkontonummer og kontaktopplysninger på Helseaktørportalen, som sender opplysningene til FKR. Den registrerte kan også melde inn behov/ønske om endring av slike data direkte til Helfo, som oppdaterer endringer i FKR. Helfo registrerer, lagrer og oppdaterer i tillegg selv opplysninger om den enkelte privatpraksis, virksomhet eller helseinstitusjon, herunder kontaktopplysninger.

For å kunne skille opplysninger som er avgjørende i samhandling med helseaktøren fra opplysningene om helseaktøren som privatperson, blir den enkelte tildelt ulik rolle alt etter som hun/han opptrer som helseaktør eller privatperson. Tilsvarende blir det sondret mellom helseaktørens ulike kontaktopplysninger dersom aktøren har flere praksiser, arbeidsforhold og øvrige funksjoner.

Sletting

Personopplysningene i FKR som ligger til grunn for behandling og vedtak i fagsystemene vil ikke bli slettet i personens levetid. Dette for at Helfo skal være sikker på å behandle den samme personen på tvers av fagsystemer og over tid. Opplysningene kan først bli slettet etter at personen Helfo har hatt kontakt med, har vært død i 10 år. Det er begrunnet i et krav i Statens økonomiregelverk om lagring av data til grunn for et vedtak i minst 10 år etter at vedtaket er truffet.