En patientjournal kan ha rätt behörighetsinställningar och ändå öppnas för ett otillåtet ändamål. Vårdgivaren behöver därför både dokumentera åtkomsten och kontrollera vad loggarna visar. Att loggar finns hos systemleverantören är inte samma sak som att någon har granskat dem och följt upp avvikelser.
Den här rutinen hjälper verksamhetschef, systemägare och utsedd granskare att gå från loggdata till ett dokumenterat kontrollbeslut. Den avser vårdgivares helt eller delvis automatiserade behandling av patientuppgifter inom den tillämpliga regleringen. Ett ifyllt exempel visar hur en avvikande åtkomst kan utredas utan att kontrollanten på förhand antar att en anställd gjort fel.
1. Utgå från de nu gällande svenska kraven
Socialstyrelsens konsoliderade HSLF-FS 2016:40 är ändrad till och med HSLF-FS 2025:57, med senaste lydelse från den 1 februari 2026. I 4 kap. 9 § krävs dokumentation av varje användares åtkomst till uppgifter om en patient. Enligt 9 b § ska vårdgivaren göra systematiska och återkommande stickprov, kontrollera vid misstanke om obehörig åtkomst, dokumentera kontrollerna och spara loggar minst fem år. Se Socialstyrelsens aktuella föreskrifter, 4 kap. 9–11 §§.
Fem år är här ett uttryckligt minimikrav för loggarna, inte en generell rekommendation för alla säkerhetsloggar i alla branscher. Det är inte heller samma fråga som hur länge själva patientjournalen ska bevaras. Dokumentera separata regler och gallringsbeslut för journal, åtkomstlogg och kontrollärende. Krav från annan tillämplig reglering måste också beaktas.
Kontrollera föreskrifternas tillämpningsområde när ni utformar rutinen. I 1 kap. 2 § finns bland annat särskilda undantag för vissa bestämmelser i verksamhet med försäkringsmedicinska utredningar och estetiska ingrepp eller injektionsbehandlingar. Dessa undantag gör inte att all loggning faller bort. Den här arbetsgångens huvudexempel gäller en vanlig vårdmottagning, utan att något sådant sektorundantag används.
2. Kontrollera att loggen kan besvara rätt frågor
De fem uppgiftsgrupperna i 4 kap. 9 a § avser åtgärden, ursprunglig vårdenhet eller vårdprocess för åtkomsten, ursprunglig omsorgsgivare, tidpunkten samt användarens och patientens identitet. Uppgiften om omsorgsgivare blir särskilt relevant när åtkomst sker genom sammanhållen vård- och omsorgsdokumentation. Systemägaren behöver förstå skillnaden mellan dessa fält och exempelvis var journalen lagras.
Begär ett representativt logguttag med lämpliga testuppgifter och låt granskaren förklara varje kolumn. Kontrollera om användar-ID kan kopplas till rätt fysisk användare vid den aktuella tidpunkten, även efter ett namnbyte eller avslutad anställning. Ett kontonamn som återanvänds för en ny person kan annars försvåra en senare utredning.
En teknisk post kan innehålla koder för läsning, ändring, utskrift eller export. Dokumentera vad koderna betyder och vilka åtgärder systemet faktiskt fångar. Om en integration använder ett tekniskt konto behöver ni förstå hur användarens handling kan följas genom kedjan. En tom kolumn får inte utan undersökning tolkas som att åtkomsten var legitim eller att ingen användare fanns.
Utgå från rutinen för säkerhetsloggning för tekniska frågor om tidsstämplar, skydd och åtkomst till loggar. Anpassa den till patientdatalagens och Socialstyrelsens konkreta krav. Vårdens kontrolluppgift kan inte lösas enbart med en allmän driftlogg som visar att en server har svarat.
3. Besluta hur urvalet ska fungera
Planera både återkommande kontroller och en separat väg för misstankar. Återkommande stickprov kan inte ersättas med att vårdgivaren väntar på klagomål. Omvänt bör ett akut misstänkt intrång inte behöva vänta till nästa planerade granskningsomgång.
IMY rekommenderar att flera parametrar används och att omfattning och intervall framgår av den skriftliga rutinen. Något generellt antal loggposter som alltid är tillräckligt finns inte. Anpassa urvalet efter verksamhet, användare, patienter och kontrollens systematik. Se IMY:s vägledning om kontroll av åtkomst.
I en fiktiv mottagning väljer verksamhetschefen en dokumenterad månatlig kontrollomgång som ett lokalt upplägg. Granskaren kombinerar ett varierat stickprov från den aktuella perioden med riktade kontroller av utvalda riskmönster. Misstankar hanteras omedelbart i en separat arbetskö. Månadsintervallet är ett exempel på organisationens beslut, inte en allmän tidsfrist i föreskrifterna.
Riskmönstren måste sättas i verksamhetens sammanhang. Åtkomst sent på kvällen kan vara normal under jour, medan samma tidpunkt är oväntad för en roll som bara arbetar dagtid. Även åtkomst över enhetsgränser kan ha en saklig förklaring. Skriv vad som räknas som ett väntat mönster och vilka fakta granskaren behöver för att bedöma ett avvikande mönster.
4. Ge granskaren ett tydligt och begränsat uppdrag
Utse vem som väljer urvalet, vem som granskar, vem som utreder en avvikelse och vem som fattar beslut om åtgärd. Ordna en ersättare och en väg för jäv eller intressekonflikt. En person bör inte ensam avsluta en granskning av sin egen åtkomst.
Granskaren behöver tillgång till relevant kontext, men uppdraget innebär inte fri rätt att läsa alla journaluppgifter. Börja med loggen och nödvändig information om arbetsuppgift, vårdkontakt eller tilldelat ärende. Begär ytterligare underlag när det behövs för att avgöra frågan och dokumentera varför. Kontrollen ska inte skapa en onödigt omfattande parallell samling av patientuppgifter.
Informera personalen om åtkomstreglerna och att kontroller görs. Koppla detta till informationen till anställda och utbildningsplanen. Medarbetarna behöver förstå att en teknisk behörighet inte i sig ger rätt att öppna en journal av privat nyfikenhet.
5. Ifyllt kontrollärende med en ännu oklar åtkomst
I det fiktiva exemplet visar ett riskbaserat urval att en användare vid mottagning B har öppnat en patients uppgifter vid mottagning A. Loggen visar läsning men ingen ändring. Granskaren hittar inte direkt en bokad kontakt som förklarar åtkomsten. Det är ett skäl att utreda, inte ett färdigt konstaterande om obehörig behandling.
| Kontrollpunkt | Ifylld anteckning |
|---|---|
| Urval | Åtkomst över enhetsgräns under aktuell kontrollperiod |
| Känd händelse | Användare vid mottagning B öppnade patientens uppgifter |
| Första kontroll | Ingen förklaring hittad i tillgänglig bokningsöversikt |
| Komplettering | Begär uppgift om arbetsuppgift och eventuell konsultation |
| Utredningsresultat | Ansvarig bekräftar dokumenterad konsultation samma dag |
| Slutsats | Åtkomsten bedöms befogad utifrån verifierat uppdrag |
| Förbättring | Beskriv hur konsultationsuppdrag ska kunna återfinnas vid kontroll |
Om kompletteringen i stället hade visat privat nyfikenhet skulle slutsatsen och åtgärderna blivit andra. Spara därför observation, inhämtade fakta och bedömning som separata delar. Anteckningen ”kontrollerat, okej” räcker dåligt för att en annan granskare senare ska förstå varför ärendet avslutades.
Be användaren förklara vilket arbete åtkomsten avsåg och vilken information som behövdes. Kontrollera förklaringen mot relevanta uppgifter. Undvik både att godta varje muntlig förklaring utan kontroll och att tolka ett tekniskt avvikelselarm som ett bevis på avsiktlig överträdelse.
6. Följ upp obehörig åtkomst och systemfel
Vid konstaterad eller misstänkt obehörig åtkomst behöver vårdgivaren begränsa fortsatt exponering och bedöma incidenten. Bevara relevant underlag med kontrollerad åtkomst så att en utredning inte förstörs genom en rutinmässig gallring. Anpassa behörigheter efter konstaterat behov och utred varför den tidigare tilldelningen eller användningen kunde leda till händelsen.
En personuppgiftsincident kan kräva en bedömning av anmälan till IMY och information till patienten. Det är separata riskprövningar enligt GDPR, med olika trösklar. Följ arbetsgången för information till drabbade när hög risk ska bedömas. Alla loggavvikelser är inte personuppgiftsincidenter, men ett bekräftat obehörigt röjande ska inte avfärdas som enbart en personalfråga.
Om problemet är en logglucka behöver systemägaren hantera själva bevisförmågan. Fastställ vilka perioder, system eller åtgärder som saknar dokumentation och vilka kompensatoriska åtgärder som behövs. En rapport med få träffar kan annars bero på bristande insamling i stället för en låg nivå av otillåten åtkomst.
7. Bevara loggar så att de går att använda senare
Minst fem års lagring kräver mer än en inställning som heter ”retention”. Kontrollera att loggar kan sökas fram, läsas och kopplas till historiska användar- och enhetsuppgifter under hela den beslutade perioden. Planera för systembyten, avvecklade leverantörer och ändrade kodlistor.
Skydda loggar mot obehörig läsning och manipulation. Dokumentera vem som får exportera dem och hur en export för en utredning hanteras. Kopior på en granskares dator ska inte bli en okontrollerad permanent samling. Beskriv återställning och kontroll av loggarkivet i återställningsplanen, med en verifiering av att innehållet fortfarande är begripligt efter återläsning.
Vid ett leverantörsbyte bör mottagningskontrollen omfatta äldre loggar och deras förklarande metadata. Prova ett gammalt ärende innan den tidigare lösningen stängs. Om den nya tjänsten bara importerar själva patientjournalen kan vårdgivaren annars förlora möjligheten att förklara tidigare åtkomst trots att journaltexten finns kvar.
Ledningens uppföljning bör visa både genomförda kontroller och öppna åtgärder. Rapportera exempelvis vilka system som omfattats, om planerat urval faktiskt granskats och vilka tekniska luckor som väntar på rättelse. Undvik att enbart räkna antalet granskade rader. En genomförd kontroll som återkommande lämnar samma behörighetsproblem utan åtgärd ger begränsad förbättring. Ange därför en ansvarig och ett uppföljningsdatum för varje beslutad förändring.
8. Ge patienten begriplig information om åtkomsten
En patient kan begära information om åtkomst till sina uppgifter. Enligt 4 kap. 10 § ska informationen bland annat visa från vilken vårdenhet och omsorgsgivare åtkomsten skett samt tidpunkten, med beaktande av tillämpliga undantag. Utformningen ska göra det möjligt för patienten att bedöma om åtkomsten varit befogad. En oförklarad lista med interna systemkoder uppfyller inte det praktiska syftet.
Ange vart patienten kan vända sig för att få hjälp att förstå dokumentationen. Skilj informationen om åtkomst från vårdgivarens interna kontrollprotokoll, som kan innehålla andra uppgifter och bedömningar. Vid elektronisk tillgång till egna uppgifter och åtkomstdokumentation kräver 4 kap. 11 § att identiteten säkerställs genom flerfaktorsautentisering.
I mottagningens exempel kompletteras loggutdraget med begripliga enhetsnamn och en kontaktväg för frågor. Om patienten ifrågasätter en viss åtkomst registreras frågan för riktad kontroll. Den ordinarie stickprovsrutinen och patientens möjlighet att ställa en konkret fråga förstärker därmed varandra, utan att den ena ersätter den andra.