Behörighetsstyrning innebär att varje användare bara får tillgång till de patientuppgifter som arbetsuppgifterna kräver. Kravet följer av patientdatalagen och preciseras i fjärde kapitlet i Socialstyrelsens föreskrifter HSLF-FS 2016:40, som gäller i uppdaterad lydelse sedan den 1 februari 2026.
Reglerna säger inte bara att behörigheterna ska begränsas, utan också hur de ska tas fram, dokumenteras och följas upp. Här går vi igenom vad som gäller och vad kraven betyder för era system.
Den som arbetar hos en vårdgivare får bara ta del av uppgifter om en patient om hen deltar i vården av patienten eller av annat skäl behöver uppgifterna för sitt arbete inom hälso och sjukvården. Regeln kallas inre sekretess och gäller oavsett vad systemet tekniskt tillåter.
Där uppstår hela problemet. Teknisk möjlighet och rättslig grund är två skilda saker, och behörighetsstyrningen är det som ska få dem att sammanfalla. Varje gång en behörighet är bredare än arbetsuppgifterna kräver flyttas ansvaret från systemet till medarbetarens omdöme.
Innan villkoren för behörighetstilldelning bestäms ska vårdgivaren klarlägga två saker. Den ena är vilka behov av uppgifter som finns för att kunna utföra arbetsuppgifter i hälso och sjukvården, och vilka behov som finns för olika verksamheter och yrkeskategorier. Den andra är vilka risker för patienternas personliga integritet som möjligheten till åtkomst medför. Risker vid åtkomst till skyddade personuppgifter ska beaktas särskilt.
Behovs och riskanalysen ska utgöra grunden för att fastställa villkoren. Ordningen är alltså bestämd. Analysen kommer först och villkoren följer av den, inte tvärtom.
Analysen är dessutom färskvara. Om behoven av åtkomst eller riskerna förändras ska den revideras. I praktiken betyder det att omorganisationer, nya verksamhetsområden och byte av journalsystem är tillfällen som utlöser en översyn.
Sedan februari är dokumentationskravet uttryckligt. Både de fastställda villkoren för behörighetstilldelning och de bedömningar i behovs- och riskanalysen som ligger till grund för dem ska dokumenteras.
Skillnaden mot tidigare är viktig i praktiken. Det räcker inte med en behörighetsmatris som visar vad olika roller får se. Resonemanget bakom matrisen ska också gå att läsa, alltså varför en viss yrkeskategori behöver en viss åtkomst och vilka risker bedömningen vägde in. Vid en granskning är det den delen som visar att villkoren är genomtänkta och inte ärvda från ett tidigare system.
Varje användare ska tilldelas behörighet med utgångspunkt från de fastställda villkoren, och tilldelad behörighet ska följas upp och vid behov ändras så att den stämmer med villkoren. Till det ska det finnas rutiner för ändring, borttagning och regelbunden uppföljning, så att behörigheterna är riktiga och aktuella.
Uppföljningen är oftare problemet än tilldelningen. Nya medarbetare får rätt behörighet från början, men den som byter avdelning behåller ofta den gamla åtkomsten vid sidan av den nya, och behörigheter för konsulter och vikarier ligger kvar långt efter att uppdraget tagit slut. Resultatet blir en behörighetsstruktur som växer åt ett håll.
Ansvaret stannar inte hos vårdgivaren. Hälso och sjukvårdspersonalen ska ansvara för att personliga lösenord och hjälpmedel för autentisering inte blir tillgängliga för någon annan, och för att datorer och andra enheter inte lämnas utan att uppgifterna är skyddade. Uppdragstagare och andra som arbetar för vårdgivaren ska förbinda sig till samma skydd, vilket är något att ha med i avtalen med leverantörer och underkonsulter.
Två bestämmelser handlar om vad som händer när användaren når utanför sin egen enhet.
Ospärrade uppgifter om en patient hos en annan vårdenhet, vårdprocess, vårdgivare eller omsorgsgivare får inte göras tillgängliga utan att den behöriga användaren tar ställning till om hen får ta del av dem. Systemet ska alltså tvinga fram ett aktivt beslut i stället för att visa uppgifterna direkt.
Har uppgifterna spärrats av en annan vårdenhet eller vårdprocess hos samma vårdgivare krävs ett aktivt val, föregånget av en prövning av om förutsättningarna för att häva spärren är uppfyllda.
Båda kraven landar i gränssnittet. En lösning som visar allt för alla behöriga uppfyller dem inte, oavsett hur väl behörighetsmatrisen är genomarbetad.
Behörighetsstyrning och loggkontroll löser samma problem från två håll. Behörigheterna begränsar åtkomsten i förväg, loggkontrollen följer upp den i efterhand.
Förhållandet mellan dem är direkt. Breda behörigheter innebär fler loggposter att granska och fler åtkomster som ser avvikande ut utan att vara det. En stram och aktuell behörighetsstruktur minskar både antalet avvikelser och mängden material som ska gås igenom. Vår produkt SALA analyserar journalöppningarna och flaggar misstänkt åtkomst, men ju bättre behörigheterna är satta, desto mindre arbete hamnar där.
Några punkter som brukar avgöra hur väl en verksamhet lever upp till kraven:
Behörighetsstyrning är sällan ett projekt med slutdatum. Villkoren åldras i takt med att verksamheten förändras, och arbetet handlar lika mycket om rutiner och uppföljning som om tekniska inställningar.
Vi utvecklar it-stöd i tätt samarbete med verksamheten som ska använda dem och bygger integrationerna mellan vårdinformationssystem. Med SALA ser ni dessutom hur behörigheterna faller ut i praktiken, eftersom logganalysen visar vilken åtkomst som faktiskt sker.