Översikt
Ett svenskt teknikföretag utvecklar en digital meddelandetjänst för vårdsektorn. Tjänsten möjliggör säker kommunikation mellan vårdpersonal och patienter genom krypterade textmeddelanden och bilagor. Exempelvis kan en sjuksköterska skicka provsvar till en patient tillsammans med instruktioner för uppföljning, eller en patient kan bifoga en bild på ett sår inför ett digitalt vårdbesök. Tjänsten används även för att personal från olika yrkesgrupper lättare ska kunna samarbeta och samordna sina vårdinsatser.
| Produktbeskrivning | En digital kommunikationstjänst som möjliggör säker textmeddelandehantering och filöverföring. Tjänsten används främst för att utbyta information mellan interna användare eller mellan organisation och externa kontakter (t.ex. kunder eller patienter). Kommunikationen kan till exempel handla om instruktioner till patienter inför vårdbesök eller information till vårdpersonal om patienters hälsotillstånd. |
| Målgrupp för produkten | Företag, myndigheter och organisationer inom hälso- och sjukvården |
| Aktuella regelverk |
Dataskyddsförordningen (GDPR) Patientdatalagen HSLF-FS 2016:40 |
| Företagets roller utifrån regelverk | Personuppgiftsbiträde (GDPR) |
| Centrala juridiska frågeställningar |
Data
|
| Vägledningar |
Kryptering och åtkomstkontroll
Eftersom tjänsten behandlar känsliga personuppgifter, tillämpas end-to-end-kryptering. All metadata och alla bilagor lagras krypterat, med TLS-skyddad överföring. Tvåfaktorsautentisering och åtkomstloggning säkerställer att endast behöriga kan ta del av informationen. Detta uppfyller kraven på säkerhet i behandlingen enligt artikel 32 i GDPR och 3 kap. 15 § HSLF-FS 2016:40.
Personuppgiftsbiträde och PUB-avtal
Eftersom det är vårdgivaren som bestämmer syftet med behandlingen, är det denne som är personuppgiftsansvarig. Företaget agerar som personuppgiftsbiträde och ett avtal enligt artikel 28 i GDPR upprättas. Där regleras vilka typer av uppgifter som får behandlas, hur dessa lagras, samt hur rättigheter och incidenter hanteras.
En juridisk avvägning gäller valet av underleverantörer. Företaget kan välja att endast använda underleverantörer inom EU/EES för att förenkla juridiskt. Om företaget använder en underleverantör som innebär att personuppgifter förs över till ett land utanför EU/EES, måste företaget säkerställa att överföringen uppfyller kraven i GDPR. (Länk fråga & svar). Företaget väljer att begränsa sig till EU/EES.
Lagringsminimering och loggning
För att minska lagringsrisker och uppfylla principen om lagringsminimering enligt GDPR artikel 5.1(e), rensas meddelanden, bilagor och metadata automatiskt inom 24 timmar. Det innebär att innehåll som inte uttryckligen behöver bevaras tas bort permanent från systemet.
Samtidigt säkerställs efterlevnad av krav på loggning enligt Patientdatalagen (PDL) och HSLF-FS 2016:40, vilka innebär att åtkomst till patientuppgifter måste loggas och bevaras i minst fem år. Därför sparas loggar över vem som har fått åtkomst till informationen, tidpunkten för åtkomst samt vilka åtgärder som utförts. Loggarna hanteras separat och skyddas med strikta åtkomstbegränsningar för att säkerställa integritet, spårbarhet och möjlighet till kontroll. Efter fem år gallras även dessa loggar i enlighet med gällande regelverk.
Rättigheter för registrerade
Enligt GDPR artiklarna 15–18 ska registrerade kunna få tillgång till sina uppgifter, få dem rättade, raderade eller behandlingen begränsad. Tjänsten innehåller därför funktioner för att radera enskilda konversationer, anonymisera användare och automatiskt rensa data.
Konsekvensbedömning (DPIA)
Eftersom behandlingen omfattar patientuppgifter, inklusive känsliga personuppgifter, och eventuellt sker i större omfattning, behöver kunden genomföra en konsekvensbedömning (DPIA), enligt artikel 35 i GDPR. Företaget tillhandahåller därför strukturerade underlag: beskrivningar av systemets syfte, dataflöden, identifierade risker samt föreslagna skyddsåtgärder. Det ger kunden ett konkret stöd för att fatta informerade beslut om systemets godkännande.
Slutsatser
Tydliga roller mellan vårdgivare och biträde, kombinerat med kryptering, åtkomstkontroller och loggning, visar hur juridiska krav och datasäkerhet kan förenas i praktiken. Genom automatiserad rensning av data, stöd för patienters rättigheter och proaktiv riskhantering, exempelvis via DPIA, skapas både förtroende och trygg efterlevnad.