...

Behörighetskontrollen enligt lagen består alltså av följande komponenter:

Slutsatser

1. 1. Behörighetskontroll är ett uttryckligt lagkrav enligt läkemedelslistelagen.

   2. E-hälsomyndigheten ansvarar för att tekniskt och organisatoriskt säkerställa att åtkomst endast ges till behöriga, men

   3. det är vårdgivaren respektive apoteksaktören som ansvarar för att ange korrekt behörighet för sina användare och att hålla denna information aktuell.

Kontroller som krävs innan direktåtkomst ges (förhandskontroller)

Dessa kontroller är villkor för att direktåtkomst över huvud taget ska medges. De ska alltså utföras automatiskt eller administrativt innan någon uppgift lämnas ut från den nationella läkemedelslistan.

...

5.2.2 Kontroller som ska göras löpande eller i efterhand (efterhandskontroller)

Exemplet där uppgifter behövs från en annan vårdgivares patientjournal

1. Patientdatalagen (2008:355) reglerar behandling av personuppgifter inom hälso- och sjukvården och syftar till att tillgodose både patientsäkerhet och integritet. Lagen bygger på att varje vårdgivare är personuppgiftsansvarig för den behandling av uppgifter som sker inom den egna verksamheten.
2. Tillgången till uppgifter i patientjournaler är hårt särreglerad. Ett grundläggande krav är att endast den som behöver uppgifterna för sitt arbete inom hälso- och sjukvården, eller för annat särskilt tillåtet ändamål, får ta del av dem. Kravet på behörighetskontroll är därför centralt för att säkerställa att åtkomst sker i enlighet med patientdatalagen, offentlighets- och sekretesslagen (2009:400) samt dataskyddsförordningen (GDPR).
3. Av 6 kap. 5–7 §§ patientdatalagen framgår att vårdgivaren ska begränsa tillgången till personuppgifter så att endast den som behöver uppgifterna för sitt arbete får ha åtkomst. Behörighetsstyrningen ska ske individuellt och utifrån arbetsuppgifter, och vårdgivaren ska föra loggar som gör det möjligt att i efterhand kontrollera åtkomst. Enligt 3 kap. 2 och 9 §§ patientdataförordningen (2008:360) ska vårdgivaren ha tekniska och organisatoriska rutiner för behörighetsstyrning, loggning och uppföljning.
4. Behörighetskontrollen enligt patientdatalagen ska säkerställa att:

   1. användaren är korrekt identifierad,

   2. användaren har behörighet grundad på roll och arbetsuppgift, och

   3. åtkomsten sker för ett tillåtet ändamål enligt 4 kap. 2 § patientdatalagen, såsom vårddokumentation.

5. Enligt förarbetena (prop. 2007/08:126 s. 149 ff.) ska vårdgivaren säkerställa att åtkomst ges endast till personal med faktisk vårdrelation till patienten eller till annan personal som behöver uppgifterna för definierade uppgifter inom vårdgivarens verksamhet. Systemen ska därför utformas så att behörigheter tilldelas utifrån arbetsuppgifter och uppdateras löpande.
6. I 6 kap. 7 § anges att alla åtkomster ska loggas och att loggarna ska användas för intern kontroll och tillsyn.
7. Behörighetskontrollen enligt lagen består alltså av följande komponenter:

Slutsatser

• Krav på behörighetskontroll följer uttryckligen av 6 kap. 5–7 §§ patientdatalagen.

• Vårdgivaren ansvarar för att tekniskt och organisatoriskt säkerställa att endast behörig personal har åtkomst till patientuppgifter.

• Behörigheten ska kopplas till individens roll, funktion och vårdrelation samt till lagens tillåtna ändamål.

Kontroller som krävs innan direktåtkomst ges (förhandskontroller)

1. Vid direktåtkomst mellan vårdgivare gäller ett delat ansvar där båda parter har självständiga skyldigheter enligt patientdatalagen.
   
   1. Den begärande vårdgivaren (A) ansvarar för att endast behöriga medarbetare begär åtkomst, att identiteten är verifierad, att rätt behörighetsattribut sänds med åtkomstbegäran och att behandlingen sker för ett lagligt ändamål inom den egna verksamheten.
   2. Den utlämnande vårdgivaren (B) ansvarar för att pröva om åtkomsten är förenlig med PDL, att patientens spärrar respekteras, samt att utlämnandet loggas och skyddas med tekniska kontroller innan uppgifterna lämnas ut.
2. Detta innebär att varje åtkomst mellan vårdgivare måste stödjas av ett ömsesidigt tillitsförhållande och en standardiserad överföring av behörighetsattribut.
   1. Här är det alltså fråga om en hårt särreglerad speciallösning för direktåtkomst inom hälso- och sjukvårdsområdet.

Kontroller som ska göras löpande eller i efterhand (efterhandskontroller)

Preliminär bedömning

Allmänt

...

1. Digg har uppfattat sitt uppdrag så att en nationell – och därmed generellt användbar – infrastruktur för kontroll av juridisk behörighet ska tas fram och att den ska baseras på modern teknik, inte direktåtkomst. 
2. Regeringen har emellertid knutit leveransen till ett område där behörighetskontroller är hårt särreglerade och där det som innefattas i en behörighetskontroll går långt utanför den ovan beskrivna inledande formella kontrollen innan ett ärende börjar handläggas i sak.
3. Om vårt arbete inte knyts till en annan pilot där den sedvanliga tolkningen av begreppet behörighetskontroll gäller kommer leveransen från Digg bara fungera inom de områden där det är fråga om hälso- och sjukvård.
4. Vi behöver analysera detta närmare samtidigt som det står klart att de ovan beskrivna exemplen i avsnitten 3.1 och 3.2 behöver justeras.
5. För att få fram detta så här snabbt har AI haft en betydande roll. Det måste därför kontrolleras att inget i texten ovan är hallucinerad.
6. Rent praktiskt bör den infrastruktur vi tar fram kunna stödja även här beskriver hantering, men det behöver diskuteras och övervägas närmare.

Beskrivning av två helt olika lösningsmönster