Juridiska krav - Patientdatalagen

Patientdatalag, 2008:355 (PDL) reglerar behandling av personuppgifter, journalföring, sekretess samt åtkomst till journalhandlingar i Sverige. Lagen kompletteras av Socialstyrelsens föreskrifter om journalföring och behandling av personuppgifter i hälso- och sjukvård (HSLF-FS 2016:40). De huvudsakliga lagkraven som instruktionen omfattar beskrivs nedan.

Generellt om Journalföring

Bestämmelsen om skyldighet till journalföring innebär att all information som en hälso- och sjukvårdspersonal tillför journalen ska journalföras på den vårdenhet där vården utförs. En användare kan därmed inte journalföra på en annan vårdenhet än där vårdkontakten skett. Vårdgivaren ska säkerställa att åtgärder kan härledas till en användare i informationssystem.

Stark Autentisering

Informationssystem som behandlar personuppgifter har krav på stark autentisering med användning av e-legitimation vid inloggning. Kravet gäller även den enskildes åtkomst till sina journalhandlingar.

Behörighetsstyrning och åtkomst

Den som arbetar hos en vårdgivare får ta del av dokumenterade uppgifter om en patient endast om denne deltar i vården av patienten eller av annat skäl behöver uppgifterna för sitt arbete inom hälso- och sjukvården, så kallad inre sekretess. Bestämmelserna innebär i stora drag att journalinformation om en patient ska lagras och vara åtkomlig på tre nivåer där användaren i första hand får åtkomst till information som tillhör den vårdenhet där vårdrelationen finns. Efter aktivt val kan information från annan vårdenhet hos samma vårdgivare göras åtkomlig. Slutligen kan användaren efter ytterligare aktivt val och med patientens samtycke få åtkomst till information, som inte är spärrad, hos annan vårdgivare via regelverket för sammanhållen journalföring. Vårdgivaren ansvarar för att det i loggar framgår vilka åtgärder som har vidtagits med uppgifter om en patient. Ett aktivt val för att få tillgång till uppgifter om en patient är ett exempel på en åtgärd som ska loggas. Åtkomst kan även tilldelas per vårdprocess där information inom en vårdprocess från flera vårdenheter kan ges inom samma vårdgivare utan föregående aktiva val.

Aktiva val enligt PDL

För att kunna utvärdera åtkomster till lagrad information ställs vissa krav på användarens sammanhang (context). En användare MÅSTE relateras till en vårdgivare, en vårdenhet samt ett syfte med behandlingen av uppgifterna (innehållet i medarbetareuppdraget). Utöver dessa uppgifter SKA aktiva val i systemet styra åtkomsten till viss patients information och vilket omfång av patientens information som är tillgängligt.

Open

Det aktiva valet fungerar som en tröskel i systemet där användaren aktivt måste ta ställning till om han eller hon har rätt att ta del av ytterligare uppgifter om patienten.

Handbok vid tillämpningen av Socialstyrelsens föreskrifter och allmänna råd (HSLF-FS 2016:40) om journalföring och behandling av personuppgifter i hälso- och sjukvården: https://www.socialstyrelsen.se/globalassets/sharepoint-dokument/artikelkatalog/handbocker/2017-3-2.pdf

Åtkomstkontroll och logguppföljning – säkerställa att åtkomster är rimliga

Vårdgivare ansvarar för att åtkomster till personuppgifter loggas och att det av loggarna framgår patient, användare som tagit del av uppgifterna, vilka åtgärder som vidtagits, vid vilken tidpunkt samt vårdenhet eller vårdprocess. Vårdgivaren ansvarar även för att systematiska och återkommande stickprovskontroller av loggar genomförs och dokumenteras.

Patientens rätt att se vem som läst sina uppgifter

Vårdgivare är skyldiga att på begäran lämna ut uppgifter om åtkomster till en patients information, där ska det framgå vid vilken tidpunkt, samt från vilken vårdenhet åtkomsten gjorts. Informationen ska vara utformad så att patienten kan bedöma om åtkomsten varit befogad eller inte. 

Patientens möjlighet att begränsa vårdens tillgång till sin information genom spärrar och samtycke

En patient kan motsätta sig att uppgifter om honom eller henne är tillgängliga genom elektronisk åtkomst för den som arbetar vid en annan vårdenhet eller inom en annan vårdprocess hos samma vårdgivare. I sådana fall ska uppgiften genast spärras. Uppgift om att det finns spärrade uppgifter får vara tillgänglig för andra vårdenheter eller vårdprocesser. En spärr får hävas av en behörig befattningshavare hos vårdgivaren om patienten samtycker till det. Spärren kan också hävas av en annan vårdenhet eller vårdprocess, till exempel akutmottagningen, om patientens samtycke inte kan inhämtas och informationen kan antas ha betydelse för den vård eller behandling som patienten oundgängligen behöver, så kallad nödöppning.

Systemet ska vara uppbyggt så att behörig användare i steg 1 får tillgång till information om vilken eller vilka vårdenheter eller vårdprocesser som har spärrade uppgifter om patienten. Steg två innebär att behörig användare, genom att denne kan se vid vilken eller vid vilka vårdenheter eller vårdprocesser uppgifter har spärrats, kan bedöma om de spärrade uppgifterna kan antas ha betydelse för vården av patienten. Endast uppgifter som kan antas ha en sådan betydelse får hävas.

Sammanhållen journalföring

Sammanhållen journalföring innebär att vårdgivare under vissa förutsättningar kan få direktåtkomst till varandras elektroniska journalhandlingar. Den sammanhållna journalföringen innebär alltså inte att hälso- och sjukvårdspersonal som arbetar hos en vårdgivare ska föra anteckningar i en annan vårdgivares journalhandlingar. Patienten har rätt att spärra åtkomst för andra vårdgivare. En sådan spärr får endast hävas av patienten själv eller vid en akut nödsituation. Om vårdgivaren bedömer att de spärrade uppgifterna kan antas ha betydelse för den vård som patienten oundgängligen behöver, ska en begäran om åtkomst göras hos den vårdgivare som har spärrat uppgifterna.

Kvalitetsregister

Med kvalitetsregister avses en automatiserad och strukturerad samling av personuppgifter som inrättats särskilt för ändamålet att systematiskt och fortlöpande utveckla och säkra vårdens kvalitet. Personuppgifter får inte behandlas i ett nationellt eller regionalt kvalitetsregister, om den enskilde motsätter sig det. Om den enskilde motsätter sig personuppgiftsbehandlingen sedan den påbörjats, ska uppgifterna utplånas ur registret så snart som möjligt.

Omhändertagande av journalhandlingar

Varje elektronisk journalhandling är knuten till en viss vårdgivare som ansvarar för de handlingar som upprättas eller inkommer i sin verksamhet. Om en verksamhet upphör eller om journal-handlingarna av annan anledning ska omhändertas, ska vårdgivaren se till att verksamhetens patientjournaler tas om hand på ett sådant sätt att obehöriga inte kan få del av uppgifter om patienterna. Det innebär bland annat att vårdgivaren behöver beakta de regler som gäller för att bevara journalhandlingar. Journalhandlingar som efter beslut ska arkiveras ska bevaras minst 10 år.

Begrepp

PDL-illustrationer

Open