Patientdatalagen, ofta förkortad PDL, styr hur vårdgivare får behandla patientuppgifter och hur patientjournaler ska föras. Lagen gäller all hälso- och sjukvård i Sverige, offentlig som privat, och ställer konkreta krav på allt från journalföring och behörigheter till loggning och kontroll av åtkomst. Här sammanfattar vi vad patientdatalagen innebär, vilka rättigheter patienten har och vad kraven betyder i praktiken för er verksamhet och era system.
Patientdatalagen (2008:355) trädde i kraft den 1 juli 2008 och är den centrala lagen för behandling av personuppgifter inom hälso- och sjukvården. Den kompletterar GDPR med regler som är anpassade för vårdens behov, till exempel för vilka ändamål patientuppgifter får behandlas, hur journaler ska föras och vem som får ta del av uppgifterna.
Lagen kompletteras av patientdataförordningen och av Socialstyrelsens föreskrifter och allmänna råd om journalföring och behandling av personuppgifter i hälso och sjukvården, HSLF-FS 2016:40, som preciserar kraven på bland annat journalens innehåll, behörighetsstyrning och kontroll av loggar. Integritetsskyddsmyndigheten, IMY, utövar tillsyn över personuppgiftsbehandlingen.
Patientdatalagen gäller alla vårdgivare: regioner, kommuner och statliga myndigheter som bedriver hälso- och sjukvård samt företag och andra som yrkesmässigt bedriver vård, inklusive tandvård. Kraven gäller oavsett verksamhetens storlek, från universitetssjukhus till enskilda mottagningar.
Ansvaret ligger på vårdgivaren som personuppgiftsansvarig, men i praktiken påverkar lagen även de journalsystem och andra it-stöd som används. Systemen måste kunna styra behörigheter, logga åtkomst och hantera patientens rättigheter, annars kan vårdgivaren inte leva upp till lagen.
Vårdgivare är skyldiga att föra patientjournal för varje patient. Journalen ska främst bidra till en god och säker vård, men den är också en informationskälla för patienten och ett underlag för uppföljning, tillsyn och kvalitetsarbete.
Patientdatalagen och HSLF-FS 2016:40 anger vad journalen ska innehålla, bland annat uppgifter om patientens identitet, bakgrunden till vården, ställd diagnos, vidtagna och planerade åtgärder samt vem som har gjort anteckningen och när. Uppgifterna ska föras löpande och vara spårbara.
Den del av patientdatalagen som oftast prövas i praktiken handlar om vem som får ta del av patientuppgifter och hur åtkomsten följs upp. Här ställer lagen tre krav som hänger ihop.
Inre sekretess innebär att den som arbetar hos en vårdgivare bara får ta del av uppgifter om en patient om hen deltar i vården av patienten eller av annat skäl behöver uppgifterna för sitt arbete inom hälso- och sjukvården. Att ha teknisk möjlighet att öppna en journal är alltså inte detsamma som att ha rätt att göra det.
Vårdgivaren ska begränsa varje användares behörighet till vad som behövs för att kunna utföra arbetsuppgifterna. Behörigheterna ska bygga på en dokumenterad behovs- och riskanalys och följas upp löpande, till exempel när medarbetare byter roll eller slutar.
All elektronisk åtkomst till patientuppgifter ska dokumenteras i loggar, och vårdgivaren ska kontrollera åtkomsten. Enligt HSLF-FS 2016:40 ska kontrollerna av loggarna vara systematiska och återkommande. Det räcker alltså inte att logga, loggarna måste också granskas och uppföljningen dokumenteras.
Obehörig åtkomst, ofta kallad journalsnokning, är ett av de vanligaste integritetsproblemen i vården. Den som olovligen tar del av journaluppgifter kan drabbas av arbetsrättsliga åtgärder och i vissa fall åtalas för dataintrång, och för vårdgivaren kan brister i behörighetsstyrning och loggkontroll leda till sanktionsavgifter. Behörigheter och åtkomstkontroll hör också till de områden som IMY har granskat mest inom vården.
För många verksamheter är loggkontrollen det svåraste kravet att uppfylla manuellt. Loggmängderna är stora och avvikande mönster är svåra att hitta för hand. Vår produkt SALA används för systematisk logganalys och hjälper vårdgivare att granska loggarna strukturerat och dokumentera uppföljningen.
Patientdatalagen ger patienten flera rättigheter:
För er som vårdgivare betyder rättigheterna att både systemstöd och rutiner behöver finnas på plats, för direktåtkomst, spärrar, logginformation och hantering av patienternas begäranden.
GDPR är grunden för all behandling av personuppgifter inom EU, och patientdatalagen preciserar hur reglerna ska tillämpas i hälso- och sjukvården.
Uppgifter om hälsa räknas som känsliga personuppgifter enligt GDPR, och därför är kraven på skydd, behörighetsstyrning och uppföljning högre än i många andra branscher. I korthet: GDPR anger ramarna, medan patientdatalagen och HSLF-FS 2016:40 anger vad som konkret gäller i vården.
Sedan den 1 januari 2023 finns reglerna om sammanhållen journalföring inte längre i patientdatalagen. De har flyttats till lagen om sammanhållen vård- och omsorgsdokumentation, som gör det möjligt för vårdgivare och omsorgsgivare att dela dokumentation med varandra genom direktåtkomst eller annat elektroniskt utlämnande.
Parallellt bygger EU upp det europeiska hälsodataområdet EHDS, som från 2027 och framåt lägger ytterligare krav på hur hälsodata dokumenteras, delas och loggas. De tre regelverken hänger ihop: patientdatalagen är grunden, lagen om sammanhållen vård- och omsorgsdokumentation reglerar delningen i Sverige och EHDS lägger EU-nivån ovanpå.
Några punkter som brukar avgöra hur väl en verksamhet lever upp till patientdatalagen:
Gisys har lång erfarenhet av it-stöd till hälso- och sjukvården och vet vad patientdatalagen betyder i den dagliga driften. Vi utvecklar och förvaltar it-stöd, bygger integrationer mellan system och erbjuder SALA för systematisk logganalys, så att loggkontrollen blir ett strukturerat arbetssätt i stället för manuella stickprov.
Vill ni se över hur er verksamhet lever upp till kraven? Kontakta oss så berättar vi mer.
Patientdatalagen (2008:355) är den lag som styr hur vårdgivare får behandla personuppgifter inom hälso- och sjukvården. Den innehåller bland annat regler om journalföring, inre sekretess, behörigheter, loggning och patientens rättigheter, och den kompletterar GDPR.
All elektronisk åtkomst till patientuppgifter ska loggas, och vårdgivaren ska kontrollera åtkomsten. Enligt Socialstyrelsens föreskrifter HSLF-FS 2016:40 ska loggkontrollerna vara systematiska och återkommande, och syftet är att upptäcka och förebygga obehörig åtkomst.
Inre sekretess betyder att personal bara får ta del av patientuppgifter om de deltar i vården av patienten eller behöver uppgifterna för sitt arbete. Det gäller även om personen tekniskt sett har åtkomst till journalsystemet.
Obehörig åtkomst, ibland kallad journalsnokning, kan leda till arbetsrättsliga åtgärder för medarbetaren och i vissa fall åtal för dataintrång. För vårdgivaren kan brister i behörighetsstyrning och loggkontroll leda till sanktionsavgifter och kritik från tillsynsmyndigheterna.
Ja. Patientdatalagen gäller alla som yrkesmässigt bedriver hälso- och sjukvård, oavsett om verksamheten är offentlig eller privat och oavsett storlek. Även tandvården omfattas.