PDL: Kort guide för praktiker

En praktisk sammanfattning av Patientdatalagen (2008:355) med fokus på vad som berör dig i klinisk vardag och hur ett journalsystem bör stödja lagens krav.

Snabbt: vad du behöver veta

Syfte: PDL säkerställer patientsäkerhet, god vårdkvalitet och skydd för patienters integritet.
Journalplikt: Patientjournal ska föras för varje patient och innehålla uppgifter som behövs för vård.
Behörighet: Endast personal med vårdskäl får ta del av journaluppgifter; behörigheter ska vara begränsade och dokumenterade.
Spårbarhet: All elektronisk åtkomst måste loggas - vem, när och varför.
Bevarande: Journalhandlingar ska bevaras minst 10 år, med särskilda bestämmelser för vissa fall.
Utlämnande: Utlämnande kräver lagstöd eller patientens samtycke, med undantag för viss direktåtkomst enligt lag.
Säkerhet i system: Tekniska och organisatoriska åtgärder (kryptering, åtkomstkontroll, backuper, rutiner) krävs för att uppfylla PDL.

Praktiskt råd: Ha skriftliga rutiner för behörighetsgivning, åtkomstgranskning och incidenthantering.

Officiell lagreferens

Lag: Patientdatalag (2008:355), Svensk författningssamling.
SFS-nummer: 2008:355.
Utfärdad: 2008-05-29.
Senast ändrad: t.o.m. SFS 2024:241.
Departement: Socialdepartementet.
Källa: Regeringskansliet (konsoliderad fulltext).
Läs originaltexten: Riksdagen — Patientdatalag (2008:355)

Kapitelöversikt: vad varje kapitel betyder i praktiken

1 kap. Lagens tillämpningsområde och syfte

Lagen gäller vårdgivares behandling av personuppgifter inom hälso- och sjukvården. Syftet är patientsäkerhet, god kvalitet och att skydda patientens integritet.

2 kap. Bestämmelser om behandling

Reglerar ändamålen för personuppgiftsbehandling (vård, administration, statistik och forskning under villkor). Anger också personuppgiftsansvar och begränsningar för känsliga uppgifter som sökbegrepp.

3 kap. Skyldighet att föra patientjournal

Konkreta krav på journalinnehåll: identitet, väsentliga uppgifter om vård och åtgärder, signaturer och tidpunkter. Journalens främsta syfte är att stödja vård och patientsäkerhet.

4 kap. Inre sekretess och elektronisk åtkomst

Endast personal med vårdskäl får ta del av journaluppgifter. Vårdgivaren måste reglera behörigheter, dokumentera åtkomst och utföra kontroller för obehörig åtkomst.

5 kap. Utlämnande

Styr när uppgifter får lämnas ut till andra aktörer. Hänvisar till relationen med offentlighets- och sekretesslagen och reglerar myndigheters skyldighet att lämna uppgifter i vissa fall.

7 kap. Kvalitetsregister

Regler för nationella och regionala register som används för kvalitetsutveckling och forskning - särskilda krav på information och gallring.

8 kap. Rättigheter för den enskilde

Patientens rätt att ta del av sina uppgifter, begära rättelse och få information om hur uppgifter används. Regler om förstörande och andra rättsmedel ingår också.

9 kap. Omhändertagande och återlämnande

När myndighet kan omhänderta journaler och hur återlämnande ska ske - viktigt för hantering vid överlämning och arkivering.

Bevarande och övergångsbestämmelser

Bevarandekrav: vanligtvis minst 10 år. Övergångsbestämmelser hanterar ikraftträdanden och ändringar i lagen.

Praktiska åtgärder för din verksamhet

Dokumentera behörigheter och ha tydliga rutiner för åtkomst och granskning.
Säkerställ att journalsystemet loggar all åtkomst och erbjuder robust säkerhet (kryptering, MFA, backuper).
Skapa rutiner för signering, arkivering och gallring i enlighet med lagen.
Utbilda personal i inre sekretess och hantering av utlämnandeförfrågningar.
Förbered rutiner för incidentrapportering och återställning vid dataintrång eller förlust.

Velamen hjälper till att uppfylla många av dessa krav tekniskt, men verksamhetsrutiner och policydokument måste också vara på plats.

Stark autentisering och revisionsloggar

PDL ställer krav på skydd genom flerfaktorsautentisering och på att all elektronisk åtkomst loggas och kan spåras i efterhand. De konkreta kraven på autentiseringsmetoder och loggarnas utformning specificeras i Socialstyrelsens föreskrifter.

Läs mer om stark autentisering och auditloggning enligt HSLF-FS 2016:40, eller om vad som loggas och hur länge loggarna sparas.