...
Dessa kontroller är villkor för att direktåtkomst över huvud taget ska medges. De ska alltså utföras automatiskt eller administrativt innan någon uppgift lämnas ut från den nationella läkemedelslistan.vem gör vilken respektive kontroll och på vilket sätt
- Förhandskontrollerna genomförs i samverkan mellan vårdgivarens eller apoteksaktörens behörighetssystem och E-hälsomyndighetens åtkomsttjänst:
- Vårdgivaren/apoteksaktören svarar för identifiering och behörighetsverifiering genom att tilldela och intyga korrekta användarroller (1–2).
- E-hälsomyndigheten svarar för teknisk åtkomstkontroll och spärrkontroll i realtid vid utlämnandet (4–5).
- Ändamålskontrollen sker gemensamt, där vårdgivarens system anger roll och vårdrelation och E-hälsomyndigheten endast verifierar att sådan åtkomsten ryms inom lagens tillåtna ändamål.
- Det innebär alltså att den som medger direktåtkomst (E-hälsomyndigheten) i realtid endast behöver utföra den momentana kontrollen av spärr, teknisk åtkomst och ändamålsöverensstämmelse, medan de mer omfattande kontrollerna av identitet och roll redan är genomförda av medarbetarens huvudman innan åtkomstbegäran sänds.
5.2.2 Kontroller som ska göras löpande eller i efterhand (efterhandskontroller)
...
Exemplet där uppgifter behövs från en annan vårdgivares patientjournal
- Lagen Patientdatalagen (2008:355) om patientdatalagen (”patientdatalagen”) reglerar behandling av personuppgifter inom hälso- och sjukvården och syftar till att tillgodose både patientsäkerhet och integritet. Lagen bygger på att varje vårdgivare är personuppgiftsansvarig för den behandling av uppgifter som sker inom den egna verksamheten.
- Tillgången till uppgifter i patientjournaler är starkt regleradhårt särreglerad. Ett grundläggande krav är att endast den som behöver uppgifterna för sitt arbete inom hälso- och sjukvården, eller för annat särskilt tillåtet ändamål, får ta del av dem. Kravet på behörighetskontroll är därför centralt för att säkerställa att åtkomst sker i enlighet med patientdatalagen, offentlighets- och sekretesslagen (2009:400) samt dataskyddsförordningen (GDPR).
- Av 6 kap. 5–7 §§ patientdatalagen framgår att vårdgivaren ska begränsa tillgången till personuppgifter så att endast den som behöver uppgifterna för sitt arbete får ha åtkomst. Behörighetsstyrningen ska ske individuellt och utifrån arbetsuppgifter, och vårdgivaren ska föra loggar som gör det möjligt att i efterhand kontrollera åtkomst. Enligt 3 kap. 2 och 9 §§ patientdataförordningen (2008:360) ska vårdgivaren ha tekniska och organisatoriska rutiner för behörighetsstyrning, loggning och uppföljning.
- Behörighetskontrollen enligt patientdatalagen ska säkerställa att:
användaren är korrekt identifierad,
användaren har behörighet grundad på roll och arbetsuppgift, och
åtkomsten sker för ett tillåtet ändamål enligt 4 kap. 2 § patientdatalagen, såsom vårddokumentation, kvalitetssäkring eller forskning.
- Enligt förarbetena (prop. 2007/08:126 s. 149 ff.) ska vårdgivaren säkerställa att åtkomst ges endast till personal med faktisk vårdrelation till patienten eller till annan personal som behöver uppgifterna för definierade uppgifter inom vårdgivarens verksamhet. Systemen ska därför utformas så att behörigheter tilldelas utifrån arbetsuppgifter och uppdateras löpande.
- I 6 kap. 7 § anges att alla åtkomster ska loggas och att loggarna ska användas för intern kontroll och tillsyn.
- Behörighetskontrollen enligt lagen består alltså av följande komponenter:
...
| Moment | Innehåll | Rättsligt stöd |
|---|---|---|
| Identifiering | Säker autentisering av individen som begär åtkomst, normalt genom SITHS eller annan e-legitimation med motsvarande säkerhetsnivå. | 6 kap. 5 § PDL; 3 kap. 2 § patientdataförordningen |
| Roll- och arbetsuppgiftsbaserad behörighet | Kontroll av att individen har en yrkesroll eller arbetsuppgift som kräver åtkomst till uppgifterna. | 6 kap. 5 § PDL; prop. 2007/08:126 s. 149 f. |
| Ändamålskontroll | Åtkomsten ska ske endast för tillåtet ändamål enligt 4 kap. 2 §, t.ex. vårddokumentation eller kvalitetssäkring. | 4 kap. 2 § PDL |
| Samtyckes- och spärrkontroll | Patienten kan spärra uppgifter enligt 4 kap. 3 §. Systemet ska kontrollera om spärr finns och om undantag (t.ex. nödöppning) gäller. | 4 kap. 3 § PDL |
| Loggning och uppföljning | All åtkomst ska loggas och kunna granskas i efterhand. | 6 kap. 7 § PDL; 3 kap. 9 § patientdataförordningen |
Slutsatser
Krav på behörighetskontroll följer uttryckligen av 6 kap. 5–7 §§ patientdatalagen.
Vårdgivaren ansvarar för att tekniskt och organisatoriskt säkerställa att endast behörig personal har åtkomst till patientuppgifter.
Behörigheten ska kopplas till individens roll, funktion och vårdrelation samt till lagens tillåtna ändamål.
En fungerande behörighetsinfrastruktur är nödvändig för att möjliggöra säker och rättsenlig åtkomst till patientuppgifter mellan olika vårdgivare.
Kontroller som krävs innan direktåtkomst ges (förhandskontroller)
| Kontrollmoment | Beskrivning | Rättsligt stöd |
|---|---|---|
| 1. Identifiering (autentisering) | Den som begär åtkomst måste styrka sin identitet genom en e-legitimation som uppfyller vårdgivarens säkerhetskrav (t.ex. SITHS). | 6 kap. 5 § PDL; 3 kap. 2 § patientdataförordningen |
| 2. Behörighetsverifiering (roll och arbetsuppgift) | Systemet ska verifiera att individen har den roll eller funktion som krävs för åtkomst till den aktuella informationen. | 6 kap. 5 § PDL; prop. 2007/08:126 s. 149 f. |
| 3. Ändamålskontroll (åtkomstens syfte) | Åtkomsten ska ske för ett tillåtet ändamål enligt 4 kap. 2 § PDL. | 4 kap. 2 § PDL |
| 4. Spärrkontroll (patientens val) | Systemet ska kontrollera om patienten spärrat sina uppgifter och om undantag (t.ex. nödöppning) är tillämpligt. | 4 kap. 3 § PDL |
| 5. Teknisk åtkomstkontroll (systemnivå) | Vårdgivaren ska ha rutiner och systemstöd som kontrollerar behörighetsattribut innan åtkomst medges. | 3 kap. 2 § patientdataförordningen |
...