Anne-Grete Strøm-Erichsen (Arbeiderpartiet), 2010-06-17:
Det skal ikke herske tvil om at lovvedtak fattet av Stortinget skal følges opp av regjering og underliggende etater. Derfor har det også helt siden krypteringskravet kom, vært arbeidet med å finne løsninger for å oppfylle lovens krav. Stortinget la imidlertid til grunn i innstillingen at kryptering allerede var gjort i helseregistrene. Da departementet gikk inn i dette, fant vi at det foreligger en rekke sikkerhetstiltak i registrene, men de var ikke kryptert i dagens forståelse av kravet. Da jeg ble helse- og omsorgsminister i oktober 2009, var krypteringsløsningene i drift i Norsk pasientregister og i vaksinasjonsregisteret. De øvrige registrene har en umoderne IT-arkitektur. De fleste registrene får inn mesteparten av meldingene på papir, og det er ikke mulig å bruke samme krypteringsmodell som for de elektroniske registrene. Derfor har det hele tiden vært arbeidet parallelt med krypteringsløsninger for de gamle registrene, og man har innført ulike krypteringstiltak underveis. Kryptering er en av flere teknikker som kan benyttes for å skjule identitet i registrene. Dette er en særlig ressurskrevende og komplisert prosess for registre som ikke er fullelektroniske. Det har vært spesielt utfordrende å finne en løsning for hvordan dette skulle gjennomføres for de gamle registrene som samtidig brukes i pasientrettet virksomhet der det er nødvendig å ha identitet. For eksempel brukes Meldingssystem for smittsomme sykdommer i smitteoppsporing ved utbrudd som skyldes E. coli- og legionellabakterien. I etterforskningen av utbrudd kan det være helt avgjørende å identifisere personer for å spore opp smittekilder. Departementet og de sentrale helseregistrene har lagt inn betydelige ressurser i arbeidet med å få alle registrene internt kryptert, i tråd med Stortingets vedtak. Men som jeg har påpekt, var dette krevende. Ellers viser jeg til det som tidligere helseminister Bjarne Håkon Hanssen sa i høringen – og som jeg sluttet meg til – om at når man ser det i ettertid, skulle man vurdert å gå til Stortinget med en egen proposisjon om utsatt iverksetting. Det er min vurdering at alle de sentrale helseregistrene nå er internt kryptert – med unntak av Dødsårsaksregisteret som ligger i Statistisk sentralbyrå. Dette vil bli kryptert om kort tid. Det at registrene oppfyller lovens krav, betyr likevel ikke at ting ikke kan gjøres bedre. Det er et langsiktig mål å gjøre alle registrene elektroniske. Elektroniske registre vil gjøre det langt enklere å få til gode krypteringsløsninger. Det er foreslått en tiårsplan for modernisering av helseregistrene gjennom Nasjonalt helseregisterprosjekt. Et grovt kostnadsanslag er at en slik modernisering vil koste 50–100 mill. kr. Det foreligger få rettskilder om intern kryptering i helseregistrene, og lovteksten kan åpne for ulike tolkninger. Etter en krevende prosess med registrene og Datatilsynet har jeg kommet frem til en forståelse av hva jeg mener lovens krav til kryptering innebærer. Det beror på en misforståelse at jeg skal ha endret oppfatning av hva som ligger i lovens krav. Det var først 10. mai i år at det ble foretatt en autoritativ fortolkning. Datatilsynet har en annen fortolkning. De mener at det ikke er tilstrekkelig å kryptere hele registeret. Det har de gitt uttrykk for i høringen og i brev til departementet. Brevet fra Datatilsynet endrer ikke min forståelse av hvilke minstekrav loven stiller til kryptering. Dette har jeg også gitt uttrykk for i brev til Datatilsynet av 11. juni 2010. Vi kan ikke ha en situasjon der tilsynsmyndigheten legger en annen lovfortolkning til grunn for sitt tilsyn enn det helsemyndighetene legger til grunn for forvaltningen av helseregistrene. Jeg er derfor innstilt på å komme tilbake til Stortinget med et lovforslag i denne saken for å få presisert min forståelse av lovens krav.