Nationella kvalitetsregister är definierade och lagreglerade i patientdatalagen. Detta innebär att

• nationella kvalitetsregister inrättas behandling av ansökan samt beslut av en centralt personuppgiftsansvarig myndighet (CPUA)
• dataskyddsombudet hos CPUA ansvarar för informationssäkerheten hos registret
• uppgifter i nationella kvalitetsregister skyddas av hälso- och sjukvårdssekretess
• patienter har definierade rättigheter, som förstärkts ytterligare efter införandet av dataskyddsförordningen (GDPR)
• utlämnande av data för forskning skyddas av både etikprövningslagen och hälso- och sjukvårdssekretess.

Personuppgiftsansvaret inom den allmänna hälso- och sjukvården ska generellt läggas på myndighetsnivå. I Region Stockholm är CPUA-myndigheterna för närvarande Karolinska Universitetssjukhuset, Södersjukhuset, Danderyds sjukhus samt Stockholms läns sjukvårdsområde (SLSO).

QRC stödjer CPUA-myndigheter i deras arbete och samlar dataskyddsombud (DsO) i nätverk för erfarenhetsutbyte och metodutveckling.