NOST lagrer ikke personopplysninger om pasienter eller helsepersonellet som blir observert.  Personopplysninger som lagres om de som registrerer (observatører/koordinatorer) er offentlige personopplysninger. Personvernombud hos FHI har derfor vurdert at det ikke er behov for personvernkonsekvensutredning (DPIA).

FHI har gjennomført en ROS-analyse for datasikkerhet i NOST, det ble ikke avdekket avvik som krever tiltak. 

Innlogging

For å ha en sikker pålogging til NOST for observatører og koordinatorer er det valgt å bruke HelseID fra Norsk Helsenett. Observatør eller koordinator bruker egen BankID eller ID-porten for pålogging. Det benyttes TDE-kryptering i Azure av databasen.

For mer om personvern i HelseID: https://www.nhn.no/tjenester/helseid/personvern-i-helseid

Dataoppbevaring 

Observatørene benytter håndholdte enheter (telefon eller iPad) under observasjon, og registrerer observasjonene fortløpende i NOST. Registreringene lagres lokalt på enheten under arbeidet.
Når observatøren videresender dataene til koordinator, oftest rett i etterkant av avsluttet observasjonssekvens (sesjon), sendes dataene til lagring på sentral FHI-server. Dataene på den håndholdte enheten blir da slettet. 

Datatilgang

Observatørene har mulighet til å redigere egne data frem til de er videresendt koordinator. Når en samling observasjoner (sesjon) er videresendt koordinator via FHI -server, kan ikke observatør lengre redigere dataene. De har fortsatt full tilgang til dataene med mulighet for nedlastning.

Koordinator har tilgang til alle data som er videresendt fra observatører. Koordinatorer kan både se, redigere og analysere dataene. Det er koordinator som beslutter hvilke data som skal inngå i det nasjonale datasettet og være tilgjengelig for FHI administrator. Når koordinator velger å tilgjengeliggjøre data (sesjoner) for FHI, kan ikke koordinator lengre endre data. De har fortsatt full tilgang til dataene, med mulighet for å sammenstille dem til rapporter og laste dem ned til Excel for videre databehandling.

Dataeierskap

Observasjonene (uten personopplysninger) som samles inn, eies av institusjonen og det er koordinator ved institusjonen som beslutter hvilke observasjoner som deles med FHI.  Når dataene er delt med FHI, kan FHI benytter dataene til sammenstilling og sammenligning på tvers av enheter. FHI vil ikke publisere data på en slik måte at de kan føres tilbake til den enkelte enhet, med mindre dette er avtalt med enheten på forhånd.