Loggkontroll innebär att vårdgivaren följer upp vem som har tagit del av patientuppgifter och bedömer om åtkomsten var befogad. Kravet följer av patientdatalagen och preciseras i Socialstyrelsens föreskrifter HSLF-FS 2016:40, som skärptes den 1 februari 2026.
Reglerna säger inte bara att åtkomsten ska loggas, utan också att loggarna ska granskas, att granskningen ska dokumenteras och att loggarna ska sparas i minst fem år. Här går vi igenom vad som gäller och hur kontrollen byggs upp i praktiken.
Journalsystemet registrerar varje gång en användare öppnar en journal, och loggkontrollen är vårdgivarens granskning av de registreringarna. Bakgrunden är den inre sekretessen.
Den som arbetar hos en vårdgivare får bara ta del av uppgifter om en patient om hen deltar i vården eller av annat skäl behöver uppgifterna för sitt arbete. Teknisk möjlighet räcker inte som grund, och kontrollen är det som gör skillnaden mellan en regel på pappret och en regel som följs upp.
Obehörig åtkomst, ofta kallad journalsnokning, hör till de vanligaste integritetsproblemen i vården. För medarbetaren kan det leda till arbetsrättsliga åtgärder och i vissa fall åtal för dataintrång. För vårdgivaren kan brister i loggkontrollen leda till sanktionsavgifter och kritik från tillsynsmyndigheterna.
Sedan den 1 februari 2026 gäller en uppdaterad lydelse av HSLF-FS 2016:40, ändrad genom HSLF-FS 2025:57. Enligt 9 b § ska vårdgivaren ansvara för att
Själva loggen ska enligt 9 a § visa vilka åtgärder som har vidtagits med uppgifterna, från vilken vårdenhet eller vårdprocess och från vilken omsorgsgivare användaren har berett sig tillgång till dem, vid vilken tidpunkt det skedde samt användarens och patientens identitet.
Uppgiften om omsorgsgivare blir aktuell när åtkomst sker genom sammanhållen vård- och omsorgsdokumentation, och den innebär att loggen behöver skilja på åtkomst inom den egna organisationen och åtkomst från andra aktörer.
Femårskravet påverkar mer än en lagringsinställning. Loggarna behöver gå att söka fram, läsa och koppla till historiska uppgifter om användare och enheter under hela perioden, också efter ett system eller leverantörsbyte. Patienten har dessutom rätt att på begäran få veta vilken åtkomst som har förekommit, presenterad så att hen själv kan bedöma om den var befogad.
Reglerna förutsätter två spår som arbetar parallellt. Det ena är de återkommande stickproven, som görs oavsett om någon har klagat. Det andra är de riktade kontrollerna, som startar vid misstanke om obehörig åtkomst eller på begäran av en patient.
Spåren går inte att byta ut mot varandra. En verksamhet som bara utreder åtkomst när någon slår larm uppfyller inte kravet på systematik, eftersom de flesta fall av journalsnokning aldrig upptäcks av den berörda patienten.
Urvalet blir mer träffsäkert om bredd kombineras med riskmönster. Åtkomst över enhetsgränser, åtkomst till medarbetares egna journaler eller till personer med samma efternamn och adress, åtkomst till skyddade personuppgifter och åtkomst utanför ordinarie arbetstid brukar motivera en närmare titt.
Ett mönster är dock bara en indikation, och bedömningen behöver göras av någon som känner verksamheten. Någon fast frekvens anges inte i föreskriften. I de allmänna råden anges i stället att frekvensen bör anpassas efter antalet behöriga användare, personuppgiftsbehandlingens omfattning, villkoren för behörighetstilldelning och hur omfattande kontrollerna är.
En stor vårdgivare med breda behörigheter behöver alltså kontrollera oftare än en liten mottagning med avgränsad åtkomst. Behörighetsstyrningen avgör därmed hur mycket arbete som hamnar i loggkontrollen, och en stram och aktuell behörighetsstruktur minskar både antalet avvikelser och mängden loggposter som behöver granskas.
Själva regelverket är överblickbart. Svårigheten ligger i volymen. En vårdgivare med några hundra användare genererar snabbt hundratusentals loggposter i månaden, och i det materialet är avvikande mönster mycket svåra att hitta för hand.
Resultatet blir ofta stickprov som är för små för att vara representativa, kontroller som skjuts upp när verksamheten är belastad och en dokumentation som är svår att återsöka vid tillsyn.
Vår produkt SALA analyserar åtkomstloggarna automatiskt och flaggar misstänkta journalöppningar i ett webbgränssnitt där fallen kan granskas. Kontrollen görs mot kriterier som om patienten har en vårdkontakt med användarens enhet och om användaren har dokumenterat i journalen.
Lösningen fungerar mot alla vårdinformationssystem och används av regioner, kommuner och privata vårdgivare. Bedömningen görs fortfarande av verksamheten, men underlaget blir hanterbart.
Några punkter som brukar avgöra hur väl en verksamhet lever upp till kraven:
Gisys har lång erfarenhet av it-stöd till hälso och sjukvården och vet vad kraven på åtkomstkontroll innebär i den dagliga driften.
Vi hjälper er att sätta upp ett arbetssätt för systematisk loggkontroll, anpassa systemen så att loggarna innehåller det som föreskriften kräver och bygga de integrationer som behövs när loggar samlas in från flera system.
Vill ni se över hur er loggkontroll fungerar i praktiken? Kontakta oss så berättar vi mer.