Protokoll over behandlingsaktivitet

Dette dokumentet beskriver behandlingsaktivitetene som utføres i tjenesten Pasientens rekvisisjoner, inkludert formål, behandlingsgrunnlag, kategorier av personopplysninger, lagring og sikkerhetstiltak.

Sist oppdatert: 09.07.2026

Kontakt NHN - Pasientens rekvisisjoner

Navn: Norsk helsenett SF

Organisasjonsnummer: 994 598 759

Adresse: Postboks 6123, 7435 Trondheim

Kontaktperson: Øyvind Kvennås

E-post: provesvar@nhn.no

Personvernombud: personvernombud@nhn.no

Behandlingsaktivitet i Norsk helsenett SF

Pasientens rekvisisjoner overfører rekvisisjonsinformasjon digitalt mellom rekvirent og prøvetaker. Norsk helsenett SF er databehandler for avgivende dataansvarlig (rekvirentvirksomheten) ved å tilgjengeliggjøre forhåndsvurderte helseopplysninger (rekvisisjonen) for andre dataansvarlige helsevirksomheter (prøvetaker). Norsk helsenett SF er også databehandler for mottakende dataansvarlig (rekvirentvirksomheten) ved å tilgjengeliggjøre forhåndsvurderte helseopplysninger fra andre helsevirksomheter (rekvisisjonen) til sitt eget helsepersonell.

Beskrivelse av behandlingen

• Samle inn og lagre rekvisisjoner fra en rekvirent gjennom et eget API og en egen database.
• Tilgjengeliggjøre rekvisisjonene for pasienten selv via Helsenorge, inkludert varsle pasienten når det nærmer seg dato for ønsket prøvetaking.
• Tilgjengeliggjøre samtlige av pasientens rekvisisjoner for helsepersonell som skal gjennomføre prøvetaking. Motta oppdateringer fra prøvetaker og varslerekvirent når prøvetaking er gjennomført. Tilgjengeliggjøre oppdatert rekvisisjon for rekvirent.
• Slette rekvisjoner som er prøvetatt.
• Loggfører for kilde og konsument i henhold til aktørenes ansvar for etterkontrollformål og deres rettslige grunnlag.
• Loggfører for kilde og konsument i henhold til ansvar for at pasient får innsyn i bruk av opplysninger om seg.

Formål

• Tilgjengeliggjøre digitale rekvisisjoner for innbygger og helsepersonell med tjenstlig behov, dvs helsepersonell som skal gjennomføre prøvetaking på innbygger.

Kategorier av registrerte

• Innbyggere
• Helsepersonell
• Teknisk personell

Kategorier av personopplysninger

• Medisinske opplysninger som framgår av en rekvisisjon, dvs hvilke typer prøver som skal tas, samt ønsket tidsrom for prøvetaking
• Navn og fødselsnummer / D-nummer på pasient
• Identifikator (HPR-nummer / HERID eller fødselsnummer) og navn på rekvirent, prøvetaker og utførende laboratorium eller radiologisk virksomhet som skal analysere prøvene.
• Tidspunkt for helsepersonell tilgang til personopplysninger
• Øvrige ustrukturerte personopplysninger kan forekomme

Behandlingsgrunnlag

• GDPR art. 6 (1) bokstav c
• GDPR art. 9 (2) bokstav h (helsehjelp og lovpålagt dokumentasjon)
• Helsepersonelloven §25
• Pasientjournalloven § 22 tredje ledd

Mottakere

• Innbygger (den registrerte) gjennom Helsenorge, herunder også fullmaktshavere og representanter for den registrerte.
• Helsepersonell gjennom direkte integrasjon fra eget EPJ-system (rekvirent- og/eller prøvetakingssystem)

Overføring til tredjeland

Nei

Sletting

• Rekvisisjonen skal slettes 30 dager etter at rekvisisjonen er prøvetatt, alternativt 100 dager etter siste ønskede prøvetakingsdato.
• Rekvisisjonen slettes 30 dager etter at pasienten dør. Utlevering og mottak av rekvisisjoner stoppes umiddelbart.
• Rekvisisjonen slettes 30 dager etter at pasienten får adressesperre. Utlevering og mottak av rekvisisjoner stoppes umiddelbart.

Sikkerhetstiltak

• Tjenesten er sikret med HelseID, autentiseringsnivå 4 kreves
• Rekvisisjoner (kliniske opplysninger) og pasientens identitet er lagret i to separate databaser

For mer detaljert informasjon se dashboard for ROS-vurdering i Azure DevOps.