Kort svar
Säkra loggarna och begränsa fortsatt åtkomst på ett proportionerligt sätt. Utred behovet av uppgifterna och samordna patientdata-, sekretess-, dataskydds-, säkerhets- och arbetsrättsbedömningen.
Gör detta först
De första åtgärderna
- Bevara relevanta åtkomstloggar och avgränsa berörda patienter och tidsperioder.
- Kontakta informationssäkerhet, dataskydd, juridik och HR enligt incidentrutinen.
- Bedöm om behörigheten behöver pausas eller begränsas under utredningen.
Kontroll före nästa steg
Chefens checklista
- 01Fanns en aktuell vårdrelation eller annan arbetsuppgift som motiverade åtkomsten?
- 02Vilka uppgifter har visats, exporterats, skrivits ut eller spridits?
- 03Är fler patienter eller konton berörda?
- 04Är händelsen en personuppgiftsincident och finns anmälningsplikt?
- 05När och hur ska patienten informeras?
- 06Visar händelsen en systematisk brist i behörigheter eller loggkontroll?
Undvik detta
- Att konfrontera någon innan bevisningen säkrats.
- Att sprida misstanken till fler än de som behöver känna till den.
- Att avsluta med en individåtgärd utan att rätta behörighets- och kontrollbrister.
När ska specialist kopplas in?
- Skyddade personer, kända personer eller många patienter berörs.
- Uppgifterna kan ha spridits eller använts privat.
- Chef, systemförvaltare eller utredare är berörd.
Vanliga frågor om situationen
Vad ska en chef göra först när misstänkt obehörig åtkomst till en patientjournal?
Bevara relevanta åtkomstloggar och avgränsa berörda patienter och tidsperioder. Kontakta informationssäkerhet, dataskydd, juridik och HR enligt incidentrutinen. Bedöm om behörigheten behöver pausas eller begränsas under utredningen.
Vilka kontroller är viktigast före nästa beslut?
Fanns en aktuell vårdrelation eller annan arbetsuppgift som motiverade åtkomsten? Vilka uppgifter har visats, exporterats, skrivits ut eller spridits? Är fler patienter eller konton berörda? Är händelsen en personuppgiftsincident och finns anmälningsplikt?
När ska specialist eller högre ledning kopplas in?
Skyddade personer, kända personer eller många patienter berörs. Uppgifterna kan ha spridits eller använts privat. Chef, systemförvaltare eller utredare är berörd.
Rättsliga utgångspunkter
Fördjupa bedömningen i de relaterade juridikguiderna och kontrollera alltid aktuell lydelse i primärkällan.
- Patientdatalag (2008:355)Officiell källa
- Socialstyrelsen: journalföring och personuppgifterOfficiell källa
- IMY: Myndigheters behandling av personuppgifterOfficiell källa
- IMY: Myndigheter och känsliga personuppgifterOfficiell källa
- Tryckfrihetsförordning (1949:105)Officiell källa
- Offentlighets- och sekretesslag (2009:400)Officiell källa
Avgränsning: Guiden är generell information och praktiskt beslutsstöd. Den ersätter inte bedömning av omständigheterna i det enskilda ärendet.
