Bestemmelsen fastslår at det er forbudt å lese, søke etter eller på annen måte tilegne seg, bruke eller besitte opplysninger som nevnt i helsepersonelloven § 21 uten at det er begrunnet i helsehjelp til pasienten, administrasjon av slik hjelp eller har særskilt hjemmel 
i lov eller forskrift.

Formålet med bestemmelsen er å gi et klart forbud mot å tilegne seg pasientopplysninger uten tjenstlig behov og å kunne sanksjonere slik tilegnelse. Bestemmelsen skal styrke vernet om taushetsbelagte opplysninger. Det vil si opplysninger om folks legems- eller sykdomsforhold eller andre personlige forhold som helsepersonell får vite om i egenskap av å være helsepersonell, jf. helsepersonelloven § 21. Behovet for et slikt forbud er blitt mer aktuelt som følge av den tekniske utviklingens muligheter og av at behandling av helseopplysninger i stor grad skjer med elektroniske hjelpemidler.

Bestemmelsen kommer ikke til anvendelse i de tilfeller det foreligger særskilt hjemmel i lov eller forskrift for å kunne tilegne seg opplysningene. Det mest aktuelle eksemplet på lovlig tilgang til helseopplysninger, er når tilgangen er nødvendig for å yte helsehjelp, eventuelt administrasjon av slik hjelp til en pasient. Relevant lovhjemmel vil i slike tilfeller være helsepersonelloven §§ 25 og 45.

Det sentrale i vurderingen av om det er rettmessig å utveksle, videreformidle eller tilegne seg taushetsbelagte helseopplysninger i en behandlingssituasjon, vil være om opplysningene er nødvendige for at helsepersonellet skal kunne yte forsvarlig helsehjelp til pasienten. Dette vil være en konkret vurdering som blant annet avhenger av helsehjelpens karakter og arten av opplysninger. Innholdet i den konkrete helsehjelpen vil tilsi hvilke opplysninger og av hvilket omfang den enkelte har behov for opplysningene.

Det er ikke tillatt å lese i journalen til en pasient man ikke har noe ansvar for å yte helsehjelp til, eventuelt administrere slik hjelp til. Bestemmelsen innebærer at helsepersonell ikke kan lese i journalen til en tidligere pasient, hvis helsepersonellet ikke lenger har noe ansvar for helsehjelpen til pasienten, med mindre slik lesing er hjemlet i lov eller forskrift. Pasientens samtykke kan være eksempel på en slik hjemmel, jf. helsepersonelloven § 22. Et annet eksempel kan være helsepersonelloven § 26 første ledd som åpner for at opplysninger kan brukes for internkontroll og kvalitetssikring av tjenesten. Hjemmelen i § 26 forutsetter at formålet med bruken er ledelsesforankret som en del av virksomhetens kvalitetssikring og internkontroll.

På samme måte som erfaringsoverføring og kvalitetssikring er en viktig del av det å drive helsetjenestevirksomhet, vil undervisning være en viktig oppgave, særlig for universitetssykehusene. Bestemmelsen kan derfor neppe tolkes så strengt at helsepersonell ikke kan ta ut pasientopplysninger for å anonymisere dette til bruk i undervisning av studenter og elever.

Forbudet mot å besitte opplysninger innebærer at dersom man mottar en feilforsendelse enten i elektronisk form eller i papirform, så plikter man å tilbakelevere eller destruere opplysningene på betryggende måte. Ved klare feilsendinger bør man også gjøre avsender oppmerksom på at opplysningene er blitt sendt til feil person.

Statens helsetilsyn har i sine vurderinger av brudd på bestemmelsen lagt vekt på at pliktbruddet er egnet til å påføre pasienter en betydelig belastning, svekker tilliten til helsepersonellet og helsetjenesten, at det er misbruk av tilgangsrettigheter i elektronisk pasientjournal og et alvorlig brudd på den tillit helsepersonellet er gitt av arbeidsgiver og samfunnet. I de saker Statens helsetilsyn har konkludert med at § 21a er brutt, har helsepersonellet fått en advarsel. Reaksjonen har blitt gitt uavhengig av omfanget av "snokingen", se blant annet Statens helsetilsyns vedtak 4. november 2010.

Det følger av helsepersonelloven § 67 at det kreves forsettlig eller grov uaktsom overtredelse av forbudet for å kunne straffes. Brudd på § 21 a vil normalt være forsettlige, og uansett grovt uaktsomme, slik at skyldkravet i helsepersonelloven som regel vil være oppfylt. Se Statens helsetilsyns uttalelse i sak 2015/2105.