GDPR i hälso- och sjukvården innebär att hälsouppgifter omfattas av det principiella förbudet i artikel 9. För nödvändig vård kan bland annat undantaget i artikel 9.2 h användas tillsammans med rättslig grund enligt artikel 6 och tillämpliga svenska regler. Patientdatalagen (2008:355) reglerar bland annat journalföring och inre sekretess. Sammanhållen vård- och omsorgsdokumentation regleras numera i lagen (2022:913). Vårdgivaren behöver både fastställa stöd för behandlingen och begränsa åtkomsten till det personalen behöver för sina arbetsuppgifter.
Viktigaste punkterna
- Patientuppgifter är känsliga personuppgifter (art. 9). Rättslig grund för vård är normalt art. 6.1 c/e i förening med undantaget i art. 9.2 h.
- Patientdatalagen (2008:355) kompletterar GDPR med regler om journalföring, inre sekretess och behörighetsstyrd åtkomst.
- Inre sekretess kräver att personal bara får ta del av de patientuppgifter de behöver för sitt arbete – teknisk behörighet ger inte rätt att läsa uppgifter av privat nyfikenhet.
- Dataskyddsombud krävs bland annat för myndigheter och offentliga organ samt när kärnverksamheten består av behandling i stor omfattning av känsliga personuppgifter (art. 37.1). Kravet ska bedömas för den faktiska verksamheten.
- IMY:s vårdärenden behöver läsas tillsammans med senare domstolsavgöranden; en ursprunglig sanktionsavgift kan ha ändrats eller upphävts.
Vilken rättslig grund gäller för patientdata
Hälsodata omfattas av förbudet i artikel 9.1 mot behandling av känsliga personuppgifter. För hälso- och sjukvård bryts förbudet av artikel 9.2 h, som tillåter behandling som är nödvändig av skäl som hör samman med förebyggande hälso- och sjukvård, medicinska diagnoser och tillhandahållande av vård – förutsatt att uppgifterna behandlas under tystnadsplikt. Detta ska kombineras med en rättslig grund i artikel 6, för offentliga vårdgivare oftast myndighetsutövning eller uppgift av allmänt intresse (art. 6.1 e), för privata ofta rättslig förpliktelse (art. 6.1 c) enligt patientdatalagen. Samtycke är ofta olämpligt eller svårt att använda som GDPR-grund i vården, men kan användas i undantagsfall om kraven är uppfyllda. Skilj detta från samtycke som behövs av andra skäl, exempelvis för viss åtkomst inom sammanhållen vård- och omsorgsdokumentation. Se IMY:s frågor och svar för vårdgivare.
Patientdatalagen ovanpå GDPR
Patientdatalagen preciserar GDPR för vården. Reglerna om sammanhållen vård- och omsorgsdokumentation finns i lagen (2022:913). De viktigaste områdena:
| Område | Tillämpliga svenska regler |
|---|---|
| Journalföring | Skyldighet att föra patientjournal; bestämt innehåll |
| Inre sekretess | Personal får bara ta del av uppgifter de behöver för sitt arbete |
| Behörighetsstyrning | Åtkomst ska tilldelas utifrån arbetsuppgifter |
| Loggkontroll | Åtkomst till journaler ska loggas och följas upp systematiskt |
| Sammanhållen vård- och omsorgsdokumentation | Regleras i lagen (2022:913), med särskilda villkor för tillgängliggörande och åtkomst |
| Bevarande | Journaler bevaras som huvudregel i minst tio år |
Kombinationen GDPR och patientdatalag betyder att en vårdgivare inte kan nöja sig med att ha rättslig grund – den måste också bygga in åtkomstbegränsning enligt principen om inbyggt dataskydd.
Åtkomstkontroll: där tillsynen slår till
Vårdgivaren ska bestämma behörigheter utifrån vad personalen behöver för sina arbetsuppgifter och följa upp åtkomsten. Onödigt breda behörigheter kan innebära brister i åtkomststyrningen, men bedömningen ska göras utifrån den faktiska verksamheten och riskerna. Skilj den prövningen från frågan om en viss användare faktiskt har tagit del av uppgifter utan ett tillåtet arbetsrelaterat behov.
Capio S:t Görans ärende visar varför överklagandestatus måste kontrolleras. IMY beslutade om 30 miljoner kronor 2020; förvaltningsrätten sänkte beloppet till 10 miljoner den 26 maj 2021. Kammarrätten upphävde därefter både domen och IMY:s beslut den 16 maj 2022 i mål 4548-21. Högsta förvaltningsdomstolen meddelade inte prövningstillstånd den 30 juni 2023, så upphävandet står fast. Den ursprungliga avgiften ska därför inte beskrivas som ett gällande sanktionsutfall. Se IMY:s aktuella ärendehistorik för Capio S:t Göran.
Konsekvensen för en vårdgivare är konkret. Behörighet ska tilldelas efter arbetsuppgifter och behov, inklusive vårdrelation när den är relevant. Även andra nödvändiga arbetsuppgifter kan motivera åtkomst enligt tillämpliga regler. Loggarna över vem som öppnat vilka journaler ska följas upp systematiskt och stickprovsvis, inte bara sparas passivt. Och när en anställd byter tjänst eller slutar ska behörigheten ändras eller dras in omgående. En konkret risk är att personal behåller åtkomst till system de inte längre behöver i arbetet. Åtkomststyrning är därför lika mycket en löpande förvaltningsuppgift som en teknisk inställning.
Gör logguppföljningen till en dokumenterad arbetsrutin med ansvarig granskare och beslut om avvikelser. Vår guide till patientjournalens loggkontroll och svenska minimikrav visar aktuella loggfält, riskbaserat urval och ett ifyllt kontrollärende.
MedHelp/1177-fallet
MedHelp-ärendet gäller inspelade samtal till 1177 som fanns oskyddade på internet. Efter överklaganden fastställde Kammarrätten i Stockholm den sammanlagda sanktionsavgiften till 11,3 miljoner kronor den 12 februari 2024 i mål 4058-22. Enligt IMY stod beslutet från den 7 juni 2021 fast utom beslutspunkt d med tillhörande avgift och föreläggande. Se IMY:s ärendehistorik för MedHelp. Bedöm roller och ansvar för varje behandling i leverantörskedjan; beteckningen underleverantör avgör inte ensam dataskyddsrollen. Ett personuppgiftsbiträdesavtal behövs när en aktör behandlar uppgifter för vårdgivarens räkning i egenskap av biträde.
Forskning, kvalitetsregister och sekundäranvändning
Vård genererar data som ofta återanvänds för forskning, kvalitetssäkring och statistik. Här måste vårdgivaren hålla isär ändamålen. Att en patients uppgifter samlats in för vård betyder inte att de fritt får användas för forskning – bedöm rättsligt stöd, ändamålsförenlighet och tillämpliga villkor. Vid förenlig vidarebehandling behövs inte automatiskt en ny separat rättslig grund; artikel 6.4 och skäl 50 måste läsas tillsammans med artikel 9 och särskild reglering. För forskning finns särskilda undantag i artikel 9.2 j i förening med svensk forskningslagstiftning, och etikprövning kan krävas.
Nationella kvalitetsregister har egna författningar i patientdatalagen som reglerar när uppgifter får föras in och hur patienten ska informeras och kan motsätta sig registrering. Den praktiska konsekvensen är att en vårdgivare inte kan behandla sekundäranvändning som en bisak: varje sådan behandling ska in i registerförteckningen med dokumenterat rättsligt stöd, bevarande eller gallring och tillämplig information till patienten. Om kvalitetsregister och forskningsuttag hanteras utanför den ordinarie dokumentationen blir det svårare att visa hur tillämpliga villkor har uppfyllts. För behandlingar med hög risk – till exempel stora forskningsdatabaser med hälsouppgifter – ska en konsekvensbedömning göras innan behandlingen inleds.
Vad vårdgivare måste ha på plats
Sammanfattande checklista för en vårdgivare:
- Dataskyddsombud – bedöm skyldigheten enligt artikel 37, utse ombud när det krävs och lämna kontaktuppgifterna till IMY. Osäker på när kravet gäller? Se när dataskyddsombud krävs.
- Registerförteckning som täcker journalföring, tidsbokning, kallelser, forskning och kvalitetsregister – se registerförteckning.
- Behörighetsstyrning i journalsystemet efter arbetsuppgifter, med regelbunden loggkontroll.
- Biträdesavtal med aktörer som faktiskt är personuppgiftsbiträden; säkerställ tillämpliga villkor för underbiträden och bedöm andra aktörers roller separat.
- Gallringsrutiner som respekterar patientdatalagens bevarandekrav men gallrar övriga uppgifter enligt lagringsminimering.
Vanliga frågor
Får all vårdpersonal se alla patientjournaler?
Nej. Patientdatalagens inre sekretess innebär att personal bara får ta del av de uppgifter de behöver för sitt arbete. Åtkomsten ska vara behörighetsstyrd och loggarna ska följas upp. Behörigheterna behöver därför bedömas mot verksamhetens behov och risker; en teknisk åtkomstmöjlighet gör inte varje användning tillåten.
Behöver en vårdgivare dataskyddsombud?
Myndigheter och offentliga organ ska ha dataskyddsombud enligt artikel 37.1 a, med förordningens undantag för domstolars dömande verksamhet. För privata vårdgivare kan kravet bland annat följa av att kärnverksamheten innebär behandling av hälsouppgifter i stor omfattning enligt artikel 37.1 c. Alla privata vårdgivare behandlar inte automatiskt uppgifter i stor omfattning; bedöm den faktiska verksamheten och övriga tillämpliga kriterier.
Är samtycke rätt grund för att behandla patientdata?
Ofta används andra rättsliga grunder, exempelvis artikel 6.1 c eller e, tillsammans med ett tillämpligt undantag i artikel 9. Samtycke som GDPR-grund kan vara möjligt i undantagsfall men måste vara giltigt och frivilligt. Skilj det från patientens samtycke till vård och från särskilda samtyckesvillkor för åtkomst enligt reglerna om sammanhållen vård- och omsorgsdokumentation.
Vad är inre sekretess i patientdatalagen?
Inre sekretess innebär att personal hos samma vårdgivare bara får ta del av de patientuppgifter de behöver för att fullgöra sina arbetsuppgifter. Det räcker alltså inte att man arbetar hos vårdgivaren – åtkomsten ska vara behovsstyrd, tilldelas efter roll och följas upp genom loggkontroll. Åtkomst kan vara tillåten för den som deltar i vården eller av annat skäl behöver uppgifterna för sitt arbete inom hälso- och sjukvården. Privat nyfikenhet är inte ett sådant behov.
Slutsats
Vårdgivaren behöver dokumentera rättsligt stöd, styra behörigheter efter arbetsuppgifter och följa upp åtkomsten. Bedöm kravet på dataskyddsombud, fastställ leverantörernas faktiska roller och håll behandlingsregistret aktuellt. Läs alltid vårdärenden med deras senare överklaganden och domstolsavgöranden. Grunden finns i GDPR, bland annat artiklarna 6, 9 och 37, patientdatalagen och den särskilda reglering som gäller för behandlingen.