Executive summary
Svenska vårdportaler faller sällan på själva idén. De faller oftare på att integritet, dokumentation och ansvar läggs på i slutet som ett “compliance-lager” ovanpå redan valda flöden, leverantörer och tekniska genvägar.
Det fungerar dåligt i vården. En vårdportal behandlar ofta hälsodata, journaluppgifter, kontaktuppgifter, loggar, bokningar, meddelanden och ibland även samtycken, videobesök eller direktåtkomst till journal. Just sådana behandlingar omfattas av GDPR, patientdatalagen, lagen om sammanhållen vård- och omsorgsdokumentation samt Socialstyrelsens föreskrifter.
IMY betonar dessutom att dataskydd ska byggas in från början, inte läggas till i efterhand.
Mönstret i svenska tillsyner är tydligt. När GDPR kommer in sent uppstår återkommande fel: för breda behörigheter, otillräcklig loggkontroll, osäker e-post som reservkanal, otydligt personuppgiftsansvar i leverantörskedjan, obevakade tredjelandsöverföringar och analysverktyg som samlar in mer än verksamheten förstått.
Resultatet blir inte bara juridisk risk. Det leder också till sämre produktval, dyra ombyggnader, förseningar och förlorat förtroende hos patienter.
Regelverket i Sverige
För svenska vårdgivare räcker det inte att “följa GDPR” i allmän mening. IMY:s vägledning för vården betonar att hälso- och sjukvården också styrs av patientdatalagen, lagen om sammanhållen vård- och omsorgsdokumentation och Socialstyrelsens föreskrifter HSLF-FS 2016:40.
Patientdatalagen anger för vilka ändamål personuppgifter får behandlas inom vården. Det handlar bland annat om journalföring, administration som rör patienter, kvalitetssäkring och verksamhetsuppföljning. Lagen reglerar också patientens direktåtkomst, exempelvis via internet, till vårddokumentation och loggar.
GDPR kräver rättslig grund enligt artikel 6. För hälsodata krävs dessutom ett undantag från förbudet mot behandling av känsliga personuppgifter enligt artikel 9.
IMY anger att vårdgivare typiskt använder rättslig förpliktelse eller uppgift av allmänt intresse. Samtycke i vårdsituationer är ofta olämpligt eftersom relationen mellan vårdgivare och patient är asymmetrisk. För känsliga personuppgifter inom vården pekar IMY särskilt på artikel 9.2 h och kravet i artikel 9.3 på behandling av, eller under ansvar av, yrkesutövare med tystnadsplikt.
Det här påverkar portaldesignen direkt. En patientportal måste byggas runt tydliga ändamål, minimerade datamängder, dokumenterade rättsliga grunder, styrda behörigheter, loggning, återkommande åtkomstkontroller och säkra standardinställningar.
Socialstyrelsen påminner dessutom om att journalhandlingar som huvudregel ska sparas minst tio år efter sista anteckningen. Det betyder att “rätt till radering” i portalen inte slentrianmässigt kan översättas till radering av journaldata.
Därför kraschar vårdportaler när GDPR kommer in för sent
Det tekniska felet är nästan alltid att produkten hinner sätta sina default-lägen innan dataskyddsanalysen är klar.
Då väljer teamet gärna bredare datainsamling, fler loggar än nödvändigt, analyspixlar, generiska e-postflöden, för bred supportåtkomst eller molnleverantörer vars underbiträden och supportkedjor inte är kartlagda.
IMY:s vägledning om säker applikationsutveckling säger uttryckligen att säkerhet behöver beaktas redan från början och under hela utvecklingsprocessen. Annars blir både inbyggt dataskydd och dataskydd som standard svårare att uppnå.
Det organisatoriska felet är att portalprojekt ofta drivs som ett IT- eller verksamhetsprojekt, medan jurist, dataskyddsombud, informationssäkerhet och upphandling kopplas in för sent.
Då upptäcks det sent att ingen har gjort DPIA, att det saknas beslutad rättslig grund per funktion, att biträdeskedjan är oklar eller att man inte ens vet vilken personuppgiftsansvarig som äger vilken del av patientresan.
IMY understryker att konsekvensbedömning är en pågående process vid högriskbehandlingar, inte en engångs-PDF. Den kan också behöva göras när befintlig behandling förändras genom nya tekniska lösningar eller fler uppgifter.
Det juridiska felet är att man blandar ihop vårdrättsliga samtycken med GDPR-samtycke, eller antar att ett biträdesavtal “löser” alla frågor. Så är det inte.
Vårdgivaren är personuppgiftsansvarig för sin behandling, måste själv välja rättslig grund, säkerställa tillåtna ändamål och bedöma om molnanvändning eller support utanför EU/EES innebär tredjelandsöverföring. IMY är tydlig med att tillgång från någon utanför EU/EES kan vara en överföring, även om data rent tekniskt ligger lagrad inom EU.
Det sista felet är förtroenderisken.
En vårdportal är inte ett vanligt kundkonto. 1177 beskriver portalen som ett ställe där patienten kan boka tider, läsa journal och hantera vårdärenden efter inloggning. När samma typ av tjänst samlar in för mycket, använder osäkra reservkanaler eller inte kan förklara vem som sett uppgifterna, skadas patientens tillit snabbt.
I vården är det i praktiken ett verksamhetsproblem, inte bara ett dataskyddsproblem.
Svenska exempel och senaste signaler från tillsynen
De senaste svenska siffrorna visar att riskbilden inte minskar.
IMY tog emot 12 276 anmälningar om personuppgiftsincidenter under 2025, jämfört med 6 514 under 2024. Myndigheten anger också att större incidenter hos personuppgiftsbiträden med många kunder var en viktig förklaring, och att de större incidenterna sammanlagt berörde mer än 1,5 miljoner registrerade.
För vården är det särskilt relevant att IMY:s senaste sektorsrapport med fördjupning visar att hälso- och sjukvården stod för ungefär en femtedel av incidenterna inom offentlig sektor redan 2022.
Samma rapport visar att 63 procent av alla anmälda incidenter kunde kopplas till obehörigt röjande och att den mänskliga faktorn angavs som orsak i 59 procent av fallen.
Det betyder att portalrisker inte bara handlar om hacking. De handlar lika mycket om fel flöden, fel mottagare, dåliga standardinställningar och svag styrning.
Svenska tillsyner ger flera konkreta lärdomar.
I 1177-incidenten låg inspelade samtal oskyddade på internet efter felkonfiguration av lagring utan krypterad kommunikation. IMY pekade också ut otydliga ansvarsförhållanden och ett upplägg där MedHelp hade lagt ut vårduppdrag och personuppgiftsbehandling till ett thailändskt bolag som inte omfattades av svensk hälso- och sjukvårdslagstiftning eller lagreglerad tystnadsplikt.
Kammarrätten fastställde 2024 en sammanlagd sanktionsavgift på 11,3 miljoner kronor mot MedHelp.
Region Uppsala fick 2022 två sanktionsavgifter om 300 000 kronor respektive 1,6 miljoner kronor för brister kring e-post med patientuppgifter, bland annat i tredjelandssituationer.
I en senare granskning 2025 riktade IMY dessutom en reprimand mot regionens sjukhusstyrelse efter att patientuppgifter om hälsa under lång tid hade skickats och lagrats i Outlook.
Region Skåne fick 2023 sanktionsavgift efter att ett okrypterat USB-minne med patientuppgifter förlorats.
I december 2024 fick Kry en reprimand sedan hashade kontaktuppgifter oavsiktligt hade förts över till Meta via Meta-pixel i en krypterad videotjänst för vård och hälsa.
GDPR-checklista för svenska vårdgivare
Nedan är en praktisk kontrollista för kliniker, vårdgivare och företag som hanterar känsliga hälsodata i patientnära portaler.
1. Rättslig grund och ändamål
Besluta och dokumentera rättslig grund per funktion: journal, bokning, meddelanden, video och kvalitetsuppföljning.
Använd inte GDPR-samtycke som standardlösning för ordinarie vårdbehandling.
2. DPIA
Gör en konsekvensbedömning tidigt och uppdatera den när funktioner, datamängd eller teknik ändras.
Högriskbehandling i en vårdportal bör behandlas som ett levande styrdokument.
3. Dataminimering
Kartlägg exakt vilka data varje vy, integration och API faktiskt behöver.
Separera “måste ha” från “bra att ha”. IMY betonar principer, nödvändighet och minimering.
4. Behörighet och åtkomst
Genomför behovs- och riskanalys innan behörigheter beslutas.
Behörighet ska begränsas till vad användaren behöver för sina arbetsuppgifter.
5. Loggning och uppföljning
Logga åtkomst till patientuppgifter och gör systematiska, återkommande loggkontroller.
Patienten ska kunna få information om åtkomsthistorik.
6. Kryptering och säkerhet
Kryptera data i vila och under överföring.
Undvik okrypterade bärbara medier, segmentera nätverk och säkra reservkanaler som e-post och filutskick.
7. Analys, pixel och spårning
Lägg inte in webbtaggar, analytics-SDK:er eller pixelspårning i patientnära flöden utan uttrycklig analys av nödvändighet, säkerhet och mottagare.
Kry-fallet visar varför detta är avgörande.
8. Personuppgiftsbiträden och avtal
Kartlägg huvudbiträde, underbiträden, supportåtkomst och incidentansvar.
Biträdesavtalet ska uttryckligen stödja rättigheter, incidenthantering och instruktioner.
9. Moln och tredjeland
Undersök om någon utanför EU/EES kan få åtkomst, även via support eller administration.
Dokumentera överföringsmekanism och kompletterande skyddsåtgärder innan driftstart.
10. Patienträttigheter, bevarande och radering
Sätt upp rutiner för tillgång, rättelse, loggutdrag, spärrar och information.
Var tydlig med att journaldata normalt inte kan raderas fritt på grund av lagstadgat bevarande.
11. Pseudonymisering
Använd pseudonymisering i test, analys och sekundära arbetsflöden där full identitet inte behövs.
Kom ihåg att pseudonymiserade uppgifter fortfarande är personuppgifter.
12. DSO och styrning
Säkerställ att dataskyddsombud, jurist, säkerhet, arkitekt och verksamhetsägare deltar innan krav låses.
Vårdgivare som behandlar känsliga uppgifter i stor omfattning behöver normalt dataskyddsombud.
Vanliga portalfunktioner och typiska GDPR-risker
Inloggning med e-legitimation
Typisk risk: För mycket kopplad profilinformation eller onödiga attribut i sessionsflödet.
Praktisk motåtgärd: Begär bara nödvändiga attribut och separera identitetsbevisning från övrig profilering.
Journalvisning
Typisk risk: För bred intern åtkomst eller otillräcklig loggkontroll.
Praktisk motåtgärd: Använd minsta behörighet, loggning, återkommande logggranskning och patientvänligt loggutdrag.
Bokning och påminnelser
Typisk risk: För mycket hälsodata i sms eller e-post.
Praktisk motåtgärd: Skicka neutrala notifieringar och låt känslig information ligga bakom säker inloggning.
Säkra meddelanden och video
Typisk risk: Reservkanaler, tredjepartsverktyg eller metadataflöden som inte granskats.
Praktisk motåtgärd: Granska video- och meddelandeplattformens spårning, loggning, kryptering och biträdeskedja.
Webbanalys och marknadsföring
Typisk risk: Pixel eller taggar som överför kontaktdata till externa aktörer.
Praktisk motåtgärd: Förbjud marknadsföringsskript i patientnära flöden om inte en mycket tydlig behovs- och riskbedömning visar annat.
Cloud drift och support
Typisk risk: Oplanerad åtkomst från underbiträden eller utanför EU/EES.
Praktisk motåtgärd: Dokumentera driftland, supportvägar, underbiträden och tredjelandsbedömning.
Införandeplan, tidslinje och praktiska artefakter
Det finns inga officiella svenska normpriser för “GDPR-säkring av vårdportal”. Budget i kronor är därför i praktiken öppen och måste estimeras utifrån integrationsgrad, journalnärhet, antal leverantörer, behov av IAM och logghantering, säkerhetsgranskning och eventuell ombyggnad av befintlig portal.
Som resursbild kan en mindre e-tjänst ofta hanteras som ett förstudie- och designspår på några veckor med verksamhetsägare, arkitekt, säkerhet och jurist på deltid.
En journalnära portal med video, meddelanden, externa integrationspunkter och molntjänster kräver däremot ofta ett fler-månadersprogram.
Det är just därför IMY betonar inbyggt dataskydd, säker applikationsutveckling och tidig konsekvensbedömning.
Föreslagen projekttidslinje
En praktisk tidslinje för ett portalprojekt kan struktureras så här:
- Datakartläggning och ändamål
- DPIA start
- Rättslig grund per funktion
- Behörighetsmodell och loggkrav
- Biträden, moln och avtal
- Säker arkitektur och kryptering
- Privacy-by-default i UI och API
- Säkerhetsgranskning och fixar
- Incidentövning och rättighetsflöden
- Driftgodkännande och kontrollplan
Arbetet bör delas in i fyra övergripande faser:
- Förstudie
- Design
- Bygg och test
- Go-live
Målet är att integrera GDPR tidigt i portalprojektet, inte att försöka reparera riskerna när produkten redan är färdig.
Incidentprocess före go-live
En incidentprocess bör vara färdig före go-live.
IMY kräver som utgångspunkt anmälan inom 72 timmar från vetskap om personuppgiftsincident. Information till registrerade ska lämnas utan onödigt dröjsmål när hög risk föreligger.
Ett praktiskt incidentflöde kan se ut så här:
- Incident upptäcks
- Stoppa läckage och säkra bevis
- Bedöm om det är en personuppgiftsincident
- Om nej: dokumentera och stäng som säkerhetsincident
- Om ja: dokumentera fakta, omfattning, kategorier och orsaker
- Bedöm risk för registrerades rättigheter och friheter
- Om ingen sådan risk finns: dokumentera skäl och följ upp
- Om risk finns: anmäl till IMY inom 72 timmar
- Bedöm om det finns hög risk för registrerade
- Om hög risk finns: informera berörda utan onödigt dröjsmål
- Gör intern uppföljning och korrigerande åtgärder
- Uppdatera rotorsaksanalys, avtal, teknik och rutiner
Mallar och primärkällor att lägga i projektmappen
Använd i första hand IMY:s vägledning vid konsekvensbedömning och tillhörande mall, IMY:s checklista för personuppgiftsincidenter, IMY:s vägledningar för tilldelning av behörighet och kontroll av åtkomst för vårdgivare, IMY:s sidor om personuppgiftsbiträdesavtal och tredjelandsöverföring samt Socialstyrelsens juridiska stöd och HSLF-FS 2016:40.
För patientkommunikation och patientperspektiv är 1177:s sidor om journal, loggar och samtycken ett bra komplement.
Källor och primärmaterial
Artikeln bygger på följande centrala källor:
- IMY, Grundläggande principer och rättslig grund – för vårdgivare
- IMY, Personuppgifter inom hälso- och sjukvården
- IMY, Tilldelning av behörighet till uppgifter – för vårdgivare
- IMY, Kontroll av åtkomst till uppgifter – för vårdgivare
- IMY, Konsekvensbedömning enligt GDPR och Vägledning vid konsekvensbedömning
- IMY, Personuppgiftsincidenter och Checklistor vid personuppgiftsincidenter
- IMY, Överföring av personuppgifter till tredjeland och Överföringar till USA
- IMY, Årsredovisning 2025 samt nyheten om rekordmånga incidenter under 2025
- IMY, Anmälda personuppgiftsincidenter 2022
- IMY, Granskning klar av 1177-incident och Tillsyn: MedHelp Sjukvårdsrådgivning AB
- IMY, Region Uppsala, gällande hantering av e-post och Beslut: Region Uppsala, personuppgiftsincidenter
- IMY, Sanktionsavgift mot Region Skåne
- IMY, Kry gällande Meta-pixel
- Socialstyrelsen, Vårdgivarens ansvar för personuppgiftsbehandling och journalföring samt HSLF-FS 2016:40
- Sveriges riksdag, Patientdatalag (2008:355)
- 1177, Din journal, Läs din journal, Samtycken i vården, Spärra journal och begär loggutdrag
Slutsats
Svenska vårdportaler behöver inte mer GDPR i slutet. De behöver bättre dataskydd från början.
När rättslig grund, ändamål, behörigheter, loggning, biträdeskedjor, tredjelandsfrågor och incidentrutiner behandlas tidigt blir portalen både säkrare och lättare att bygga rätt.
När samma frågor skjuts upp till slutet blir resultatet ofta det motsatta: dyrare teknik, svagare styrning, fler tillsynsrisker och lägre patientförtroende.
För vårdgivare är den viktigaste lärdomen därför enkel: bygg inte först och säkra sedan. Bygg vårdportalen som om integritet, ansvar och patientförtroende är kärnfunktioner från dag ett.