Personvernombud

Personvernombudet jobber på regionsnivå og kan se ting mer på tvers. Det gjør at arbeidet kan bli mer strategisk og sette helseforetakene i regionen i stand til å gi et enda bedre personvern til pasienter og ansatte.

Ordningen er muliggjort gjennom avtaler mellom helseforetakene i regionen og det regionale helseforetaket (Helse Sør-Øst RHF). 

Rapportering

Personvernombudet er ansatt i det regionale helesforetaket og rapporterer administrativt til administrerende direktør, Terje Rootwelt. 

På personvernområdet rapporteres det  direkte til øverste ledelse i helseforetakene og personvernombudet vil rådgi de administrerende direktørene i helseforetakene og deres ledergrupper når det gjelder  personvernspørsmål og beslutninger som innebærer personvernvurderinger.

Personvernombudets arbeidsoppgaver

Personvernombudsets arbeidsoppgaver er fastsatt i loven:

• Informere og gi råd om personvernforpliktelser 

• Kontrollere overholdelse av personvernforpliktelser, bl.a. gjennomføringen av personvernkonsekvensutredninger (DPIA) 

• Gi råd om vurderinger av personvernkonsekvenser når helseforetakene ber om det

• Være kontaktpunkt for ansatte og innbyggere som hører til helseforetakene i regionen 

• Samarbeide med og være kontaktpunkt for Datatilsynet, bl.a. ved å rådføre seg med tilsynet ved behov og være kontaktpunkt ved forhåndsdrøftinger. 

Les mer om ansvar og roller for personvern og informasjonssikkerhet i Helse Sør-Øst.  

Det er også lovbestemt  at personvernombudet skal prioritere sin innsats sett opp mot risikonivået for personvern i virksomheten. (Personvernforordningen art. 39, nr. 2: “Personvernombudet skal ved utførelsen av sine oppgaver ta behørig hensyn til risikoene forbundet med behandlingsaktivitetene, idet det tas hensyn til behandlingens art, omfang, formål og sammenhengen den utføres i.” )

Samarbeid med personvernlederne

Personvernlederne og personvernombudet kommer til å jobbe sammen om mer strategiske og overordnede personvernspørsmål, og skal sammen med den nye fagsjefen samarbeide i  Regionalt personvernråd. De kan selvfølgelig også ta kontakt fra sak til sak, og blant annet om personvernkonsekvensvurderinger (DPIA). 

Personvernombudene har gjort en solid jobb med personvern. Noen går tilbake til andre roller som de har hatt, mens mange fortsetter i en rolle som på regionsnivå kalles personvernleder. Det betyr at de har fagansvar for personvern i helseforetaket. Det viktigste er at de stort sett skal gjøre nesten samme jobb og fortsatt være det lokale kontaktpunktet om personvernspørsmål i det enkelte helseforetaket. 

Nei, det er helseforetakets ledelse som tar beslutninger som innebærer personvernvurderinger. 

Personvernombudet vil likevel fremme synspunkter og gi råd i beslutningsprosessen.

Graden av personvernrisiko vil være førende for arbeidet. Nye måter å jobbe på, nye systemer og graden av kompleksitet i en sak vil for eksempel være noen ting ombudet vil legge vekt på for å gå inn i saker. 

Nei, det er helseforetakene som har ansvar for at de har et godt personvern for pasienter og ansatte, og det er helseforetakets ledelse som må sørge for gjennomføringen. Helseforetaket bestemmer om og hvordan noe skal gjøres. 

Sett opp mot de andre helseforetakene vil Sykehuspartner i de fleste sammenhenger være databehandler for helseforetakene når det gjelder regionale løsninger. 

Selv om Sykehuspartner er databehandler vil de få et større ansvar for å gjøre gode personvernvurderinger som gjør det lettere og tydeligere for helseforetakene som skal ta nye løsninger i bruk og gjøre sine vurderinger som dataansvarlige.  

Sykehuspartner er likevel selv behandlingsansvarlig for sine egne ansattes opplysninger, så de er ikke alltid databehandler.  

Personvernledere og/eller personvernrådgivere og forskningsrådgivere vil bistå linja med å gjøre personvernkonsekvensvurderinger. Når helseforetakene har ferdigstilt DPIA-er sendes de til personvernombudet for uttalelse. Siden personvernombudet skal vurdere sin innsats[1] ut fra risikoene i helseforetakene vil også arbeidet med DPIA-er prioriteres i samsvar med risikoen i det som skal vurderes.  

Regionalt personvernråd vil samtidig jobbe med samordning av regionale DPIA-prosesser for å gjøre dem mer hensiktsmessige for helseforetakene, og for å innrette DPIA-arbeidet på en måte som gjenspeiler personvernrisikoen på en mer omforent måte på tvers av helseforetakene i regionen. 

[1] Personvernforordningen art. 39, nr. 2: “Personvernombudet skal ved utførelsen av sine oppgaver ta behørig hensyn til risikoene forbundet med behandlingsaktivitetene, idet det tas hensyn til behandlingens art, omfang, formål og sammenhengen den utføres i.”