Helseorganisasjoner som opererer på tvers av Europa står overfor en juridisk forpliktelse til dataportabilitet for pasienter, ikke bare en teknisk ambisjon. Det som er mindre kjent, er at forpliktelsen ikke gjelder likt overalt. En privatklinikk i Amsterdam, et offentlig sykehus i Madrid og en leverandør med blandet modell i Berlin kan alle håndtere samme type pasientjournal, men likevel møte vesentlig forskjellige juridiske krav når en pasient ber om å ta med seg dataene sine et annet sted. Årsaken ligger i et strukturelt trekk ved EU-retten: databeskyttelsesregler fastsettes på overnasjonalt nivå, men helsetjenester forblir et nasjonalt ansvar. Det rettslige grunnlaget en leverandør behandler pasientdata på, avgjør hvilke portabilitetsrettigheter som faktisk gjelder. For beslutningstakere i helsesektoren med ansvar for etterlevelse, IT-infrastruktur eller kliniske operasjoner er forståelse av denne forskjellen et nødvendig grunnarbeid før tidsfrister for implementering av det europeiske helseområdet for data begynner å nærme seg. Forståelse av forpliktelser knyttet til datasikkerhet og personvern er en forutsetning for denne analysen.

Det juridiske rammeverket: hva EU-retten faktisk krever

Tre distinkte regulatoriske lag styrer dataportabilitet for pasienter i Europa. De samhandler ulikt avhengig av leverandørtype.

Det første er den generelle personvernforordningen (GDPR), som fastsetter den grunnleggende retten til dataportabilitet i henhold til artikkel 20, men inneholder en kritisk begrensning som betydelig innsnevrer dens anvendelse i offentlig helsevesen. Det andre er forordningen om det europeiske helseområdet for data (EHDS), forordning (EU) 2025/327, som trådte i kraft 26. mars 2025 og representerer den mest betydningsfulle strukturelle endringen i styring av helsedata i EUs historie. Det tredje laget er nasjonal implementeringslovgivning, som styrer hvordan offentlige helsesystemer håndterer journaltilgang og overføring, ofte gjennom sektorspesifikk helselovgivning snarere enn personvernlovgivning.

Disse lagene opererer ikke uavhengig av hverandre. GDPR forblir det primære rammeverket for databeskyttelse. EHDS introduserer sektorspesifikke forpliktelser som kommer i tillegg. Som Taylor Wessings analyse av EHDS-GDPR-forholdet påpeker, erstatter ikke EHDS GDPR, men bygger et sektorielt rammeverk oppå det, med trinnvis implementering fra mars 2027 for generelle bestemmelser og mars 2029 for regler om primær- og sekundærbruk. Beslutningstakere må forstå alle tre lagene for å vurdere sine forpliktelser nøyaktig.

GDPR artikkel 20: hvor skillet mellom offentlig og privat først dukker opp

GDPR artikkel 20 gir enkeltpersoner rett til å motta sine personopplysninger i et strukturert, alminnelig brukt, maskinlesbart format og til å overføre dem til en annen behandlingsansvarlig. Denne retten er ikke universell. Den gjelder kun der behandlingen er basert på samtykke (artikkel 6(1)(a) eller artikkel 9(2)(a)) eller på en kontrakt (artikkel 6(1)(b)). Der behandlingen er basert på en juridisk forpliktelse eller utførelsen av en offentlig oppgave, henholdsvis artikkel 6(1)(c) og 6(1)(e), gjelder ikke artikkel 20.

Dette er punktet der skillet mellom offentlig og privat først får operasjonell betydning. De fleste offentlige helsetjenesteleverandører behandler pasientdata i henhold til et lovpålagt mandat. En nasjonal helsetjeneste som behandler en pasient, gjør det ikke på grunnlag av en kontrakt med pasienten, og heller ikke typisk på grunnlag av samtykke. Den oppfyller en lovdefinert offentlig funksjon. Dette betyr at GDPR-portabilitetsretten ikke gjelder direkte for det meste av databehandlingen i offentlige helsesystemer i EU.

Den praktiske konsekvensen er at pasienter som ønsker å overføre journalene sine fra et offentlig sykehus til en privat spesialist, eller fra ett nasjonalt helsesystem til et annet, ikke kan støtte seg på GDPR artikkel 20. De må i stedet forholde seg til nasjonale helselovsbestemmelser, som varierer betydelig mellom medlemslandene.

Hvordan offentlige helsetjenesteleverandører behandles under EU- og nasjonal lovgivning

Offentlige helsetjenesteleverandører over hele EU ivaretar rettigheter til tilgang til og overføring av pasientjournaler gjennom sektorspesifikk lovgivning, ikke GDPR-portabilitetsbestemmelser. Forpliktelsene eksisterer, men de er forankret i helselovgivning som varierer betydelig mellom jurisdiksjoner.

På tvers av sentrale europeiske markeder er bildet fragmentert:

• Nordiske modeller (Danmark, Finland, Sverige) har relativt modne nasjonale journalsysteminfrastrukturer og pasientportaler, med lovfestede rettigheter til journaltilgang forankret i helselovgivning. Finlands Kanta-system gir pasienter et sentralisert digitalt tilgangspunkt til journaler som holdes hos offentlige leverandører.

• Tyskland har innført en lovfestet rett for pasienter til å motta kopier av journalene sine i henhold til pasientrettighetsloven (Patientenrechtegesetz), der leverandører er pålagt å svare uten unødig opphold. Landet har også utviklet sin Telematikinfrastruktur (TI) som en nasjonal ryggrad for interoperabilitet.

• Frankrike har implementert Mon Espace Santé-plattformen som et pasientrettet helseområde for data, som gir tilgang til journaler fra offentlige leverandører under rammeverket for nasjonal digital helselovgivning.

• Søreuropeiske offentlige systemer (Spania, Italia, Portugal) har lovfestede tilgangsrettigheter, men møter større variasjon på regionalt nivå, med implementeringskvalitet tett knyttet til regional helseforvaltningskapasitet.

Nøkkelpunktet for beslutningstakere er at disse forpliktelsene er reelle og håndhevbare, men de administreres gjennom helsedepartementer, ikke datatilsynsmyndigheter. Dette betyr at tilsynsorgan, håndhevingsmekanisme og gjeldende tidslinje alle kan avvike fra det som gjelder for en privat leverandør under GDPR.

Hvordan private helsetjenesteleverandører behandles under GDPR

Private helsetjenesteleverandører som behandler pasientdata på grunnlag av samtykke eller kontrakt, er direkte underlagt GDPR artikkel 20. Dette gjelder de fleste privatklinikker, spesialistpraksiser og uavhengige diagnostiske tjenester som opererer i EU der ingen lovpålagt mandat styrer behandlingsforholdet.

I henhold til artikkel 20 kan pasienter be om:

• Sine personopplysninger i et strukturert, alminnelig brukt, maskinlesbart format

• Direkte overføring av disse dataene til en annen behandlingsansvarlig, der det er teknisk mulig

• Et svar innen én måned etter forespørselen, med mulighet for forlengelse med ytterligere to måneder der forespørsler er komplekse eller mange (med varsling til pasienten innen den første måneden)

Hva som regnes som «personopplysninger» for portabilitetsformål i en klinisk sammenheng, er bredere enn mange private leverandører antar. Det inkluderer data aktivt levert av pasienten (registreringsinformasjon, sykehistorie oppgitt ved inntak) og data generert gjennom tjenesteforholdet (timeavtaler, konsultasjonsnotater, testresultater). Det inkluderer ikke data utledet eller antatt av leverandøren, et skille som blir relevant når man vurderer AI-genererte kliniske koder eller risikoskårer.

«Maskinlesbart» under GDPR betyr et format som en datamaskin kan behandle automatisk, som JSON, XML eller CSV, snarere enn en skannet PDF eller et trykt dokument. I praksis kan mange private journalsystemer eksportere data i disse formatene, men å produsere en klinisk meningsfull, strukturert eksport som bevarer koding, terminologi og journalrelasjoner, er en separat teknisk utfordring.

Det europeiske helseområdet for data: å tette gapet mellom sektorer

EHDS-forordningen er den mest betydningsfulle utviklingen på dette området for beslutningstakere i helsesektoren å følge med på. Dens sentrale ambisjon er å etablere et konsistent rammeverk for tilgang til og portabilitet av helsedata som gjelder på tvers av både offentlige og private leverandører, og tette gapet skapt av GDPRs avhengighet av rettslig grunnlag.

EHDS introduserer flere mekanismer direkte relevante for portabilitet:

• En styrket portabilitetsrett for primærbruk i henhold til artikkel 3(8), som går utover GDPR artikkel 20 ved å fjerne restriksjonen på rettslig grunnlag og dekke data behandlet under ethvert rettslig grunnlag i henhold til artikkel 9 GDPR, ikke bare samtykke eller kontrakt. Imidlertid gjelder denne retten kun for datainnehavere fra helse- og trygdesektoren. Dette betyr at pasienter kan be om portabilitet av sine helsedata fra offentlige leverandører i denne sektoren som tidligere falt utenfor GDPR artikkel 20s virkeområde.

• MyHealth@EU-infrastrukturen, som muliggjør grensekryssende tilgang til pasienthelsedata på tvers av deltakende medlemsland, med nasjonale kontaktpunkter som koordinerer interoperabilitet.

• Standardiserte dataformater, med HL7 FHIR som fremvoksende interoperabilitetsgrunnlag for journalsystemer under EHDS-krav.

• Helsedata-tilgangsorganer (HDABs), som vil styre sekundærbruk av helsedata av forskere, industri og offentlige organer, underlagt et tillatelsessystem snarere enn individuelt samtykke.

Som Skaddens juridiske briefing om EHDS bekrefter, er alle EU-etablerte helsetjenesteleverandører, inkludert sykehus, klinikker og private praksiser, underlagt de samme EHDS-etterlevelsesforpliktelsene for datadeling, interoperabilitet og pasienttilgang. Manglende etterlevelse medfører bøter tilsvarende GDPR.

Den akademiske litteraturen peker på viktige uklarheter i EHDS-teksten. En fagfellevurdert analyse i Computer Law & Security Review bemerker en spenning mellom fortale 12, som krever at portabilitet skal gjelde for enhver privat eller offentlig behandlingsansvarlig, og artikkel 3(8) selv, som begrenser forpliktelsene til datainnehavere «fra helse- og trygdesektoren». Det presise omfanget av hvem som kvalifiserer som helsedatainnehaver i grensetilfeller (velværeapper, bedriftshelsetjenester, telemedisinplattformer) gjenstår å tolke.

Tidslinjer for journaloverføring: en sammenligning etter leverandørtype og marked

Svarfrister for portabilitets- og journaloverføringsforespørsler varierer betydelig avhengig av leverandørtype, gjeldende lovgivning og jurisdiksjon.

EHDS forventes å innføre mer harmoniserte frister på tvers av medlemslandene, men de spesifikke tidslinjene for pasientrettede portabilitetsforespørsler under EHDS primærbruksrammeverket vil bli bestemt gjennom gjennomføringsakter og nasjonal implementering. Beslutningstakere bør følge nøye med på nasjonale EHDS-implementeringsprosesser, da disse vil sette de operasjonelle rammene for etterlevelsesprogrammer.

Formatkrav: strukturerte data, interoperabilitet og hva systemer må støtte

GDPR krever at portable data leveres i et maskinlesbart format, men pålegger ikke en spesifikk teknisk standard. Dette har ført til betydelig variasjon i praksis, der noen leverandører leverer JSON- eller XML-eksporter og andre tilbyr CSV-filer som mangler strukturerte notater eller terminologikontekst.

EHDS adresserer dette direkte. Som bekreftet av A&O Shearmans analyse av EHDS journalsystemkrav, krever forordningen at helsedatainnehavere opprettholder strukturerte, interoperable data i formater kompatible med EHDS tekniske rammeverk, med HL7 FHIR som den fremvoksende standarden for klinisk datautveksling.

For journalsystemer som opererer på tvers av offentlige og private miljøer, skaper dette flere praktiske krav:

• Evnen til å eksportere strukturerte kliniske data i HL7 FHIR-kompatible formater, som bevarer SNOMED CT-koder, ICD-klassifikasjoner og medikasjonsterminologi

• Pasientrettede tilgangsportaler som lar enkeltpersoner se, laste ned og overføre journalene sine uten å kreve administrativ mellomkomst

• Revisjonslogging av alle datatilgangs- og eksporthendelser, for å demonstrere etterlevelse av både GDPR-ansvarlighetsforpliktelser og EHDS-tilgangskontroller

• Interoperabilitet med nasjonal journalsysteminfrastruktur (som Tysklands TI, Frankrikes Mon Espace Santé eller Finlands Kanta) der det er aktuelt

Eldre systemer i offentlige institusjoner utgjør en spesiell utfordring. Mange nasjonale helsesystemer opererer på journalsystemplattformer som ikke ble designet med strukturert dataeksport i tankene. Kostnadene og kompleksiteten ved å oppgradere eller erstatte disse systemene er betydelige. Forskning på EHDS-kompatibel sikker infrastruktur fremhever at det å møte artikkel 50s krav til sikre behandlingsmiljøer og interoperabilitetsstandarder krever betydelige tekniske investeringer, spesielt i institusjoner som historisk har operert med isolerte, ikke-interoperable systemer.

Samtykkevilkår og rettslig grunnlag: hvorfor de endrer alt

Det rettslige grunnlaget en leverandør baserer seg på for behandling av pasientdata, er den enkelt viktigste variabelen for å bestemme hvilke portabilitetsforpliktelser som gjelder. Dette er ikke en teknisk detalj, men fundamentet for hele etterlevelsesanalysen.

For offentlige helsetjenesteleverandører er de relevante grunnlagene typisk artikkel 6(1)(c) (juridisk forpliktelse) og artikkel 6(1)(e) (offentlig oppgave), kombinert med artikkel 9(2)(h) (helse- eller sosialomsorgsformål) for særlige kategorier av data. Disse grunnlagene ekskluderer leverandøren fra GDPR artikkel 20, men eliminerer ikke alle portabilitetsrelaterte forpliktelser. Nasjonal helselovgivning styrer fortsatt journaltilgang og overføring.

For private helsetjenesteleverandører er situasjonen mer kompleks. Mange behandler data under en kombinasjon av grunnlag: samtykke for valgfrie databruk (markedsføring, forskningsdeltakelse), kontrakt for kjernebehandlingsforholdet, og i noen tilfeller juridisk forpliktelse for obligatorisk rapportering. Portabilitetsretten under GDPR artikkel 20 gjelder kun for data behandlet under samtykke eller kontrakt. Dette betyr at en privat leverandør må kunne identifisere, på journalnivå, hvilke data som ble behandlet på hvilket grunnlag.

Leverandører med blandet modell, som privatklinikker kontrahert til å levere tjenester innenfor et offentlig helsesystem, eller offentlige sykehus med private pasientavdelinger, møter den mest komplekse analysen. Arnold & Porters rådgivning om EHDS bemerker at EHDS-definisjonen av «helsedatainnehaver» gjelder for enhver juridisk person med rett eller plikt til å behandle personlige helsedata, uavhengig av om de er nominelt offentlige eller private. Fysiske personer og mikroforetak (færre enn 10 ansatte og en årlig omsetning eller balansesum som ikke overstiger 2 millioner euro) er ekskludert fra helsedatainnehaverforpliktelser som standard, selv om medlemslandene kan utvide forpliktelsene til dem.

En PubMed-indeksert analyse av EHDS sekundærbruksrammeverket bemerker at forordningens utforming reflekterer et bevisst politisk valg om å bevege seg bort fra samtykke som den primære mekanismen for styring av helsedata, og erstatte det med et tillatelsesbasert system administrert av helsedata-tilgangsorganer for sekundærbruk. For primærbruk omgår den styrkede portabilitetsretten under artikkel 3(8) avhengigheten av rettslig grunnlag, men først når de relevante EHDS-bestemmelsene trer i kraft i mars 2029.

Grensekryssende portabilitet: hva skjer når pasienter flytter mellom medlemsland

Grensekryssende journalportabilitet er området der fragmenteringen er mest akutt og der EHDS forventes å ha størst praktisk innvirkning. For øyeblikket har en pasient som flytter fra Frankrike til Nederland, eller en grensearbeider som mottar behandling i et annet medlemsland, ingen pålitelig mekanisme for å sikre at helsejournalene deres følger med dem. Nasjonale journalsystemer bruker ulike datamodeller, forskjellige kodingssystemer og ulike tilgangsprotokoller.

EHDS adresserer dette gjennom MyHealth@EU-infrastrukturen, som krever at medlemslandene deltar i grensekryssende helsedatautveksling gjennom nasjonale kontaktpunkter. Infrastrukturen bygger på det eksisterende epSOS/eHealth Digital Service Infrastructure (eHDSI)-rammeverket, men utvider betydelig dets omfang og juridiske mandat.

Forskning på EHDS helsedata-tilgangsorganers implementering identifiserer flere vedvarende utfordringer for grensekryssende sekundærbruk av helsedata: inkonsistent modenhet i digitale helsesystemer på tvers av medlemslandene, varierende datakvalitetsstandarder og fraværet av harmoniserte styringsrammeverk for helsedata-tilgangsorganer. Disse utfordringene gjelder med lik eller større tyngde for primærbruk av grensekryssende portabilitet, der den tekniske og juridiske infrastrukturen for sømløs journaloverføring forblir underutviklet i de fleste medlemsland.

For leverandører som opererer i grenseregioner, som den tysk-franske grensen, Benelux-korridoren eller det nordiske grensekryssende arbeidsmarkedet, eller som betjener internasjonalt mobile pasientpopulasjoner, innebærer den nåværende praktiske tilnærmingen pasientholdte journaler (papir eller digitalt) som en midlertidig løsning inntil EHDS-infrastrukturen er operativ.

Praktiske implikasjoner for IT-infrastruktur i blandede offentlig-private miljøer

For beslutningstakere som forvalter IT på tvers av både offentlige og private omsorgsinnstillinger, oversettes den juridiske analysen ovenfor til et sett med konkrete operasjonelle krav.

Å støtte flere rettslige grunnlag innenfor en enkelt plattform er den mest umiddelbare utfordringen. Et journalsystem brukt i et miljø med blandet modell må kunne registrere og håndtere forskjellige behandlingsgrunnlag for ulike datakategorier og pasientpopulasjoner, og kunne generere portabilitetseksporter som korrekt reflekterer hvilke data som kvalifiserer under GDPR artikkel 20, og hvilke data som vil dekkes av EHDS artikkel 3(8) når den trer i kraft.

Revisjons- og loggingsforpliktelser gjelder på tvers av begge rammeverk. GDPR-ansvarlighetsforpliktelser (artikkel 5(2)) krever at behandlingsansvarlige demonstrerer etterlevelse, noe som i praksis betyr logging av alle datatilgangs-, eksport- og overføringshendelser. EHDS legger til ytterligere loggingskrav for helsedata-tilgangsorganinteraksjoner og grensekryssende utvekslinger.

Interoperabilitetsarkitekturbeslutninger tatt nå vil avgjøre etterlevelsesberedskap i 2027 til 2029. EU-dataloven (forordning (EU) 2023/2854), som ble gjeldende 12. september 2025, legger til ytterligere datadelingsforpliktelser for tilkoblede medisinske enheter og digitale helseverktøy, og skaper et ekstra etterlevelseslag for private leverandører som bruker IoT-aktivert klinisk utstyr eller bærbare helsemonitoreringsenheter. For en bredere oversikt over det regulatoriske landskapet, se vår guide til EU-helseforskrifter for AI.

Pasientrettede tilgangsportaler er i økende grad et etterlevelseskrav. Både GDPR (gjennom retten til innsyn under artikkel 15) og EHDS (gjennom primærbrukstilgangsretten) krever at pasienter kan få tilgang til dataene sine på en rettidig og tilgjengelig måte. Leverandører som fortsatt benytter manuelle forespørselsprosesser, som papirskjemaer, administrative team eller postlevering, møter både etterlevelsesrisiko og operasjonell ineffektivitet ettersom forespørselsvolumet øker.

Sentrale etterlevelseshull å vurdere før EHDS-implementering

De vanligste områdene der offentlige og private leverandører for øyeblikket ikke oppfyller den fremvoksende etterlevelsesstandarden, kan identifiseres fra den juridiske og tekniske analysen ovenfor. For IT- og etterlevelseteam som bygger veikart foran EHDS-trinnvise frister, representerer følgende de høyest prioriterte hullene:

• Ikke-maskinlesbare journalformater: Mange leverandører, spesielt i offentlige systemer, genererer fortsatt klinisk dokumentasjon i formater som skannede PDF-er eller proprietære eldre formater som ikke kan behandles automatisk. Å møte EHDS-formatkrav vil kreve enten systemutskifting eller mellomvareløsninger som kan transformere eldre utdata til HL7 FHIR-kompatible eksporter.

• Fravær av pasientrettede datatilgangsportaler: Leverandører som ennå ikke har tatt i bruk selvbetjeningsportaler for pasienter, vil måtte bygge eller anskaffe denne kapasiteten. EHDS primærbruksrammeverket forutsetter digital tilgang som standard.

• Uklar samtykkedokumentasjon i private omgivelser: Private leverandører som baserer seg på samtykke som rettslig grunnlag for noe behandling, må kunne dokumentere at samtykke ble gitt fritt, var spesifikt, informert og utvetydig, og må kunne koble samtykkeregistre til spesifikke datakategorier for portabilitetsformål.

• Eldre journalsystemer som ikke kan eksportere strukturerte data: Dette er det mest betydelige infrastrukturhullet i offentlige helsesystemer. IMPaCT-Data-forskning på EHDS-kompatibel infrastruktur viser at det å møte EHDS artikkel 50 sikkerhets- og interoperabilitetskrav krever betydelige tekniske investeringer, og at mange eksisterende offentlige journalsystemutrullinger mangler arkitekturen for å støtte dette uten omfattende oppgraderinger.

• Uklar klassifisering av behandling med blandet modell: Leverandører som opererer på tvers av offentlige og private modaliteter uten en klar kartlegging av hvilke aktiviteter som baserer seg på hvilket rettslig grunnlag, er utsatt for både GDPR- og EHDS-etterlevelsesrisiko. En dokumentert kartlegging av behandlingsaktiviteter, oppdatert for å reflektere EHDS helsedatainnehaverforpliktelser, er en grunnleggende forutsetning.

En genuin begrensning i dagens kunnskapsgrunnlag er verdt å anerkjenne. Akademisk analyse av EHDS-portabilitetsbestemmelsene identifiserer uløste uklarheter i forordningens tekst som bare vil bli avklart gjennom gjennomføringsakter, nasjonal implementering og til slutt tilsynsmyndighetsveiledning eller rettspraksis. Beslutningstakere bør behandle nåværende etterlevelsesanalyser som arbeidshypoteser som kan revideres etter hvert som det regulatoriske rammeverket modnes, snarere enn som faste konklusjoner.

Utviklingen av helsedatabegrepet på tvers av GDPR, dataforvaltningsloven og EHDS reflekterer en bevisst politisk retning mot større datatilgang og portabilitet på tvers av sektorer. Tempoet i implementeringen, og graden av harmonisering oppnådd i praksis, vil avhenge sterkt av nasjonale implementeringsvalg som fortsatt tas på tvers av EU-medlemslandene.

Ofte stilte spørsmål

Gir GDPR pasienter rett til å overføre helsedataene sine fra enhver leverandør?

Nei. Den generelle personvernforordningens rett til dataportabilitet i henhold til artikkel 20 gjelder kun der behandlingen er basert på samtykke eller kontrakt. De fleste offentlige helsetjenesteleverandører behandler pasientdata i henhold til et lovpålagt mandat, noe som betyr at artikkel 20 ikke gjelder for dem. Pasienter som ønsker å overføre journaler fra et offentlig sykehus, må i stedet forholde seg til nasjonal helselovgivning, som varierer betydelig mellom EU-medlemslandene.

Hva er det europeiske helseområdet for data og når gjelder det?

Det europeiske helseområdet for data (EHDS) er en EU-forordning (forordning (EU) 2025/327) som trådte i kraft 26. mars 2025. Den introduserer et sektorspesifikt rammeverk for tilgang til og portabilitet av helsedata som kommer i tillegg til den generelle personvernforordningen snarere enn å erstatte den. Generelle bestemmelser gjelder fra mars 2027, med regler om primær- og sekundærbruk som følger i mars 2029. Den gjelder for alle EU-etablerte helsetjenesteleverandører, inkludert både offentlige sykehus og privatklinikker.

Hvordan endrer EHDS portabilitetsrettigheter sammenlignet med GDPR?

EHDS introduserer en styrket portabilitetsrett under artikkel 3(8) som fjerner restriksjonen på rettslig grunnlag som finnes i GDPR artikkel 20. Dette betyr at pasienter vil kunne be om portabilitet av sine helsedata fra offentlige leverandører som tidligere falt utenfor GDPRs virkeområde. Imidlertid gjelder denne retten kun for datainnehavere fra helse- og trygdesektoren, og den trer ikke i kraft før mars 2029.

Hvilket format må leverandører bruke når de svarer på en portabilitetsforespørsel?

Under GDPR må portable data leveres i et strukturert, alminnelig brukt, maskinlesbart format som JSON, XML eller CSV. En skannet PDF eller et trykt dokument oppfyller ikke dette kravet. EHDS går lenger ved å kreve at helsedatainnehavere opprettholder strukturerte, interoperable data i formater kompatible med EHDS tekniske rammeverk, med HL7 FHIR som den fremvoksende standarden for klinisk datautveksling.

Hvor lang tid har en privat leverandør på seg til å svare på en dataportabilitetsforespørsel?

Under GDPR artikkel 20 må en privat leverandør som behandler data på grunnlag av samtykke eller kontrakt svare innen én måned etter mottak av forespørselen. Der forespørsler er komplekse eller mange, kan dette forlenges med ytterligere to måneder, forutsatt at leverandøren varsler pasienten innen den første måneden. Offentlige leverandører styres av nasjonal helselovgivning, og tidslinjer varierer mellom medlemsland.

Hvilke portabilitetsforpliktelser gjelder for leverandører med blandet modell?

Leverandører med blandet modell, som privatklinikker kontrahert til å levere tjenester innenfor et offentlig helsesystem, møter den mest komplekse etterlevelsesanalysen. EHDS definerer en «helsedatainnehaver» som enhver juridisk person med rett eller plikt til å behandle personlige helsedata, uavhengig av om de er nominelt offentlige eller private. Dette betyr at leverandører med blandet modell trenger en klar kartlegging av hvilke aktiviteter som baserer seg på hvilket rettslig grunnlag for å vurdere sine forpliktelser nøyaktig under både GDPR og EHDS.

Hvordan fungerer grensekryssende portabilitet for pasienter som flytter mellom EU-medlemsland?

For øyeblikket finnes det ingen pålitelig mekanisme for pasienter som flytter mellom medlemslandene for å sikre at helsejournalene deres følger med dem. Nasjonale journalsystemer bruker ulike datamodeller, kodingssystemer og tilgangsprotokoller. EHDS adresserer dette gjennom MyHealth@EU-infrastrukturen, som krever at medlemslandene deltar i grensekryssende helsedatautveksling gjennom nasjonale kontaktpunkter. Inntil denne infrastrukturen er operativ, forblir pasientholdte journaler den praktiske midlertidige løsningen for internasjonalt mobile pasienter.

Hva er de vanligste etterlevelseshullene leverandører bør adressere før EHDS-frister?

De høyest prioriterte hullene identifisert i artikkelen er: klinisk dokumentasjon lagret i ikke-maskinlesbare formater som skannede PDF-er, fraværet av pasientrettede selvbetjeningsdatatilgangsportaler, uklar samtykkedokumentasjon i private omgivelser, eldre journalsystemer som ikke kan eksportere strukturerte data i HL7 FHIR-kompatible formater, og fraværet av en dokumentert kartlegging av behandlingsaktiviteter som skiller offentlig oppgavebehandling fra samtykke- eller kontraktsbasert behandling.

Gjelder EHDS for små private praksiser og mikroforetak?

Fysiske personer og mikroforetak, definert som organisasjoner med færre enn 10 ansatte og en årlig omsetning eller balansesum som ikke overstiger 2 millioner euro, er ekskludert fra helsedatainnehaverforpliktelser under EHDS som standard. Imidlertid har medlemslandene mulighet til å utvide disse forpliktelsene til dem gjennom nasjonal implementeringslovgivning, så leverandører i denne kategorien bør følge nøye med på hvordan dette løses i sitt eget land.

Hva betyr EHDS for journalsystemer i offentlige institusjoner?

Offentlige institusjoner står overfor en betydelig infrastrukturutfordring. Mange nasjonale helsesystemer opererer på journalsystemplattformer som ikke ble designet med strukturert dataeksport i tankene. Å møte EHDS artikkel 50-krav til sikre behandlingsmiljøer og interoperabilitetsstandarder krever betydelige tekniske investeringer. Forskning sitert i artikkelen bekrefter at mange eksisterende offentlige journalsystemutrullinger mangler arkitekturen for å støtte EHDS-etterlevelse uten omfattende oppgraderinger.