Tilldelning av behörighet till uppgifter – för vårdgivare

Ni som vårdgivare ansvarar för att enskilda, som anställda eller andra som arbetar hos vårdgivaren, enbart har den behörighet att komma åt uppgifter om patienter som hen behöver för att kunna fullgöra sina arbetsuppgifter inom hälso- och sjukvården. Innan ni beslutar om anställdas behörighet ska ni göra en behovs- och riskanalys så att behörigheten blir rätt. En alltför omfattande eller felaktig behörighet riskerar att leda till en obefogad spridning av patientuppgifter.

Gör en behovs- och riskanalys innan behörigheter delas ut

Ni ska klarlägga vilka behov av uppgifter som finns för att kunna utföra arbetsuppgifter i hälso- och sjukvården samt vilka behov av uppgifter som finns för olika verksamheter och yrkeskategorier. Ni ska också identifiera de risker som möjligheten till åtkomst kan medföra för skyddet av patienters personliga integritet. Risker vid åtkomst till skyddade personuppgifter ska särskilt beaktas.

Det räcker inte att utgå från vilken yrkeskategori en viss anställd tillhör eller ge alla med en viss typ av legitimation en och samma behörighetsprofil i informationssystemet.

Om behoven av åtkomsten och de risker som åtkomsten kan medföra förändras, ska behovs- och riskanalysen revideras.

Vad innebär begränsad behörighet?

Ni som vårdgivare måste alltid göra en behovs- och riskanalys före tilldelningen av behörighet. Det är bara när ni har gjort en behovs- och riskanalys som ni kan uppfylla kravet på att begränsa behörigheten till vad som behövs för att den enskilde ska kunna fullgöra sina arbetsuppgifter inom hälso- och sjukvården.

Det är otillräckligt att:

• utbilda personalen om när de får ta del av patientuppgifter enligt den så kallade inre sekretessen
• låta personalen underteckna sekretessförbindelser
• ge personalen instruktioner i form av policydokument, riktlinjer eller annat informationsmaterial
• informera om och genomföra loggkontroller
• att patienter har en lagstadgad rätt att spärra åtkomst till uppgifter om dem. 

Goda exempel om grunderna för behovs- och riskanalys

Behovs- och riskanalys inom hälso- och sjukvården – en vägledning

IMY (då: Datainspektionen) genomförde under åren 2019–2020 tillsyn mot flera vårdgivare bland annat för att undersöka om behovs- och riskanalyser har föregått tilldelning av behörigheter i vårdgivarnas respektive journalsystem. Arbetet låg till grund för en vägledning om behovs- och riskanalys i hälso- och sjukvården. Observera att vägledningen är från år 2020 och att vissa bestämmelser har ändrats sedan dess.

Behovs- och riskanalys inom hälso- och sjukvården - en vägledning (pdf, 487 kB)