Patientdatalagen reglerar hälso- och sjukvårdens behandling av personuppgifter

Patientdatalagen (PDL) gäller för alla vårdgivare inom hälso- och sjukvården, offentliga såväl som privata. Den kompletterar dataskyddsförordningen (GDPR) med regler för hur vårdgivare får behandla personuppgifter.

Områden som regleras i Patientdatalagen är:

• Direktåtkomst, patienten kan få digital åtkomst till sin vårddokumentation, samt uppgift om vem som utfört personuppgiftsbehandlingen hos vårdgivaren. Inloggning till 1177 med BankID är exempel på direktåtkomst.
• Inre sekretess, endast den som för sitt arbete inom hälso- och sjukvården behöver uppgifter om patienten får ta del av dessa. Patientdatalagen innehåller krav på behörighetstilldelning och åtkomstkontroll för tillämpning av inre sekretess.
• Sammanhållen journalföring, innebär att olika vårdgivare kan ha direktåtkomst till varandras journaler. Båda parter måste uppfylla patientdatalagens krav.
• Spärr av uppgifter, patienten kan spärra uppgifter i en enskild vårdgivares journalsystem och också för andra vårdgivare vid sammanhållen journalföring.

Vårdgivare är skyldiga att föra patientjournal, även om patienten motsätter sig det. Vidare har patienten rätt att ta del av vårddokumentationen, genom direktåtkomst eller annan förmedling, till exempel pappersutskrift.

Vårdgivare har alltså möjlighet, men inte skyldighet, att ge patienten direktåtkomst till sin vårddokumentation hos vårdgivaren. Vid direktåtkomst måste säker identifiering av patienten ske genom tekniska säkerhetsåtgärder.

Patienten har även rätt att begära information om vilka vårdenheter som haft åtkomst till patientens information, samt vid vilken tidpunkt. Även här finns möjlighet att ge direktåtkomst om säker identifiering kan ske.

Det är endast de medarbetare inom hälso- och sjukvården som genom sitt arbete deltar i vården och behandlingen av patienten som får ta del av patientuppgifter. Det är vårdgivaren som har ansvar för att behörigheten begränsas till dem som behöver patientuppgifterna för att utföra sitt arbete. Inre sekretess ska upprätthållas genom tekniska lösningar för tilldelning av behörighet och åtkomstkontroll.

Sammanhållen journalföring innebär att en vårdgivare kan ge andra vårdgivare tillgång till patienters vårddokumentation. Innan uppgifterna görs åtkomliga för andra vårdgivare ska patienten få information om vad sammanhållen journalföring är, om vilka möjligheterna är att motsätta sig att uppgifter blir tillgängliga och att i det fallet är vårdgivaren skyldig att spärra uppgifterna.

I nästa steg krävs det av en vårdgivare som avser att ta del av patientuppgifter som gjorts tillgängliga genom sammanhållen journalföring följande.

Vårdgivaren har en aktuell patientrelation med personen.
Patientuppgifterna behövs för att förebygga, utreda eller behandla sjukdomar eller skador hos patienten.
Patienten har gett sitt samtycke.
En medarbetare hos vårdgivaren får ta del av patientuppgifterna efter ett aktivt val i journalsystemet som bekräftar att medarbetaren bedömt att kraven ovan är uppfyllda. Vårdgivare som får tillgång till patientuppgifter genom sammanhållen journalföring blir personuppgiftsansvarig för behandling av dessa uppgifter i den egna verksamheten och att uppgifterna hanteras i enlighet med patientdatalagen.

Samtliga patientuppgifter kan spärras på begäran av en patient. Det innebär att andra vårdgivare inte kan få direktåtkomst till uppgifterna. Det som framgår är endast att det finns spärrade uppgifter och vilken vårdgivare som har lagt in spärren.

Spärren kan hävas av den vårdgivare som gjort spärren i det fall patienten begärt det. En vårdgivare som vårdar en patient där det föreligger fara för patientens liv och hälsa kan genom ett aktivt val se vilka spärrade uppgifter som finns hos andra vårdgivare. Genom ytterligare ett aktivt val kan vårdgivaren begära att spärren hävs hos den andra vårdgivaren. Det är endast den vårdgivare som gjort spärren som kan häva den. Det kan ske vid ett enskilt tillfälle och för de uppgifter som behövs för oundgänglig vård av patienten.

I vissa fall behöver den som vill behandla genetiska personuppgifter i ett nationellt eller regionalt kvalitetsregister ett medgivande från Integritetsskyddsmyndigheten (IMY). I dataskyddsförordningen (GDPR) klassas genetiska uppgifter som känsliga personuppgifter och definieras i artikel 4.13 dataskyddsförordningen (GDPR) som:

” Alla personuppgifter som rör nedärvda eller förvärvade genetiska kännetecken för en fysisk person, vilka ger unik information om denna fysiska persons fysiologi eller hälsa och vilka framför allt härrör från en analys av ett biologiskt prov från den fysiska personen i fråga.”

Eftersom uppgifter om hälsa får behandlas i kvalitetsregister utan medgivande från IMY har IMY bedömt att även genetiska uppgifter som är kopplade till en persons hälsotillstånd, exempelvis blodprover eller andra biologiska prov, får registreras i kvalitetsregister utan medgivande från IMY.

Kvalitetsregister som inte har koppling till personens hälsa måste söka medgivande från IMY.

Läs mer hos IMY.

När hälso- och sjukvården behandlar personuppgifter med syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder är det brottsdatalagen som ska tillämpas och inte dataskyddsförordningen (GDPR) och patientdatalagen. Dock kan det i vissa fall bli aktuellt att tillämpa både patientdatalagen och brottsdatalagen, till exempel inom rättspsykiatrisk vård kan det fattas beslut avseende både den rättspsykiatriska vården och tvångsåtgärder.

Läs mer:

Patientdatalagen (2008:335)

Patientdataförordningen (2008:360)

Socialstyrelsens föreskrifter och allmänna råd om journalföring och behandling av personuppgifter i hälso- och sjukvården (HSLF-FS 2016:40)