GDPR og journalsystem: avklar dette før avtale
Gjør personvernspørsmålene konkrete: hvilke data behandles, hvem har tilgang, og hva skjer når avtalen avsluttes?
Notl-redaksjonen · Kildekontroll 25.10.2026
Innhold i guiden
«GDPR-vennlig» er for upresist som kjøpsgrunnlag for et journalsystem. Be om dokumentasjon som passer klinikkens behandling av helseopplysninger. En påstand om sikker lagring besvarer ikke spørsmålene om tilgang, leverandører eller videre bruk av data.
Kartlegg tjenesten dere faktisk skal bruke
Lag en enkel oversikt over hvor journalopplysninger, vedlegg, logger, sikkerhetskopier og supporthenvendelser behandles. Skill mellom kjernefunksjonen og tilleggstjenester. En klinikk kan ha gode rutiner i journalen, men likevel dele for mye gjennom en feilrapport til support.
| Tema | Spør leverandøren |
|---|---|
| Roller | Hvem er dataansvarlig, og hvilke oppgaver utfører leverandøren? |
| Avtale | Hvilken databehandleravtale gjelder for den konkrete tjenesten? |
| Leverandørkjede | Hvilke underleverandører brukes, til hva og hvor? |
| Tilgang | Hvordan avgrenses ansatte, administratorer og support? |
| Hendelser | Hvordan og når varsles klinikken om sikkerhetshendelser? |
| Avslutning | Hvordan leveres data tilbake og hva skjer med gjenværende kopier? |
Datatilsynets veiledning om databehandleravtaler er et utgangspunkt for avtalegjennomgangen. Uavklarte roller må avklares før avtalen brukes som bevis på at ansvaret er fordelt.
Lagringssted er bare ett spørsmål
Undersøk både fysisk lagring, mulig tilgang fra andre land og underleverandørenes oppgaver. Be om en forklaring av eventuelle overføringer og vurderingsgrunnlaget. Ikke legg til grunn at en norsk nettside eller faktura betyr at alle data bare behandles i Norge.
Sikkerhetskopier, teknisk logging og fjernbistand bør inngå i gjennomgangen. Dere trenger ikke offentliggjøre tekniske detaljer, men dere må få tilstrekkelig informasjon til å vurdere tjenesten.
Vurder risiko i egen klinikk
Bruk konkrete hendelser: feil pasientkobling, mistet enhet, for bred tilgang, utilgjengelig journal og feil mottaker av et uttrekk. Beskriv konsekvens, tiltak og hvem som følger opp. Avklar også om behandlingen utløser behov for en vurdering av personvernkonsekvenser.
Be om å se tiltakene i funksjon. Tilgangsstyring og logging er egne arbeidsområder, ikke bare vedlegg til kontrakten.
Ikke bruk samtykke som en samleforklaring
Samtykke til helsehjelp, behandling av journalopplysninger og deling av opplysninger er ulike spørsmål. Et avkrysset samtykkefelt erstatter ikke vurdering av journalplikt eller grunnlaget for en konkret utlevering. Se samtykke og journal.
Hva må være avklart før oppstart?
Få svar på avgjørende spørsmål skriftlig. Hvis klinikken ikke vet hvor data kan hentes ut, hvem som får supporttilgang eller hvordan en hendelse meldes, er det et åpent punkt i beslutningen. En presentasjon med generelle sikkerhetsord lukker ikke punktet.
Dette gjelder også når dere vurderer Notl. Ingen omtale på dette nettstedet skal forstås som sertifisering eller bekreftelse på at løsningen dekker klinikkens samlede plikter.
Kilder
Kildekontroll: 25. oktober 2026. Arbeidseksemplene og systemtestene er Notl-redaksjonens forslag.