§ 4-6. Internkontroll ved behandling av helseopplysninger

Den dataansvarlige og databehandleren skal gjennomføre tekniske og organisatoriske tiltak for å sikre og påvise at behandlingen utføres i samsvar med personvernkravene, jf. EUs personvernforordning artikkel 24. Blant annet skal den dataansvarlige sørge for

1. å ha oversikt over kravene som gjelder for behandling av helseopplysninger
2. at det utarbeides og dokumenteres rutiner som setter ledere, medarbeiderne og annet personell i stand til å overholde kravene
3. at det utarbeides og dokumenteres rutiner for å motta meldinger om avvik og sikre at avvik rettes
4. systematisk overvåking og gjennomgang av internkontrollen for å sikre at den fungerer som forutsatt og bidrar til kontinuerlig forbedring i behandlingen av helseopplysninger i undersøkelsen.