Regeringskansliets rättsdatabaser

Dir. 2026:99 Kommittédirektiv Ett mer ändamålsenligt regelverk för behandling av personuppgifter inom hälso- och sjukvården Beslut vid regeringssammanträde den 27 augusti 2026 Sammanfattning En särskild utredare ska göra en översyn av regelverket för behandling av personuppgifter inom hälso- och sjukvården. Syftet med uppdraget är att tydliggöra och utöka förutsättningarna att behandla personuppgifter för en effektivare hälso- och sjukvård och forskning. Utredaren ska bl.a. analysera på vilket sätt det nuvarande regelverket för behandling av personuppgifter inom hälso- och sjukvården hindrar behandling för andra ändamål än utförande av vård hos en vårdgivare samt mellan olika vårdgivare och föreslå åtgärder som förbättrar förutsättningarna för sådan personuppgiftsbehandling, analysera om det nuvarande regelverket för behandling av personuppgifter inom hälso- och sjukvården ger förutsättningar för användning av digitala beslutsstöd och vid behov föreslå åtgärder som möjliggör sådana beslutsstöd, föreslå åtgärder som förenklar för patienter som kan delta i forskning att komma i kontakt med forskare, och lämna nödvändiga författningsförslag Uppdraget ska redovisas senast den 30 november 2028. Åtgärder behöver vidtas för att förbättra och effektivisera behandling av personuppgifter inom hälso- och sjukvården Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) och Europaparlamentets och rådets förordning om det europeiska hälsodataområdet (EU) 2025/327, här förkortad EHDS, reglerar de grundläggande förutsättningarna för hälso- och sjukvårdens möjligheter att behandla patienters personuppgifter, särskilt uppgifter om hälsa. Patientdatalagen (2008:355), här förkortad PDL, kompletterar EU-regleringen. Genom lagen, som trädde i kraft den 1 juli 2008, infördes ett sammanhållet regelverk för behandling av personuppgifter inom hälso och sjukvården inklusive tandvården. I lagen finns också bestämmelser om vårdgivarens skyldighet att föra patientjournal. Lagen gäller för alla vårdgivare oavsett om verksamheten bedrivs i privat eller offentlig regi. Sedan den 1 januari 2023 gäller även lagen (2022:913) om sammanhållen vård- och omsorgsdokumentation, här förkortad SVOD. Denna lag reglerar förutsättningarna för vårdgivare och omsorgsgivare att ge och få tillgång till varandras personuppgifter om patienter respektive omsorgsmottagare. Det kan ske genom antingen direktåtkomst eller annat elektroniskt utlämnande. När det gäller tillgång till vårdgivares behandling av personuppgifter avses vårdgivares dokumentation för vården av patienter. Samhället har utvecklats i en mer datadriven riktning, där analys av stora mängder hälsodata spelar en större roll. Vårdens digitala infrastruktur och delning av hälsodata behöver gå i takt med teknikutvecklingen samtidigt som tilliten till all hälso- och sjukvård upprätthålls. En översyn av regelverket för behandling av personuppgifter inom hälso- och sjukvården har flera nyttor för både patienter, hälso- och sjukvård, omsorg och forskning. Det handlar bl.a. om att bidra till en moderniserad lagstiftning som är anpassad till dagens teknikutveckling och de behov av informationshantering som har utvecklats sedan regelverkets tillkomst. När det gäller hur data får användas i vården för olika ändamål handlar det om att öka tydligheten av när och hur hälsodata får användas samtidigt som den personliga integriteten värnas. Det handlar även om att tydliggöra personuppgiftsansvaret och informationssäkerhet vid behandling av känsliga personuppgifter. För att ytterligare förbättra och effektivisera behandling av personuppgifter inom hälso- och sjukvården bedömer regeringen att det finns behov av fler åtgärder. Det gäller bl.a. personuppgiftsbehandling för andra ändamål än utförande av vård, digitala beslutsstöd och kontakt för rekrytering till forskning. Patientdatalagen behöver ses över i syfte att säkerställa att regelverket är anpassat till den tekniska utvecklingen med en datadriven hälso- och sjukvård. Exempel på sådan teknikutveckling är automatiserade personuppgiftsbehandlingar med tillämpning av artificiell intelligens (AI), beslutsstöd och andra typer av automatiserad sammanställning, bearbetning och tolkning av stora mängder hälsodata. En sådan översyn bör inriktas på hur regelverket kan utvecklas för att underlätta och effektivisera informationsutbyte mellan berörda aktörer inom vården, samtidigt som patientens ställning och inflytande över sina personuppgifter tillvaratas. Uppdraget att analysera hur nuvarande regelverk hindrar behandling av personuppgifter hos vårdgivare för andra ändamål än utförande av vård Översynen behöver omfatta vilket utrymme som finns i dag respektive behövs för att behandla personuppgifter som avser hälsa för andra ändamål än utförande av vård, såsom kvalitetssäkring och verksamhetsutveckling. Personuppgiftsbehandling inom hälso- och sjukvården för ändamålet utförande av vård avser hantering av hälsodata i syfte att exempelvis förebygga, undersöka, diagnosticera, behandla eller lindra sjukdomar, följa upp behandling och ge medicinska råd. Hälso- och sjukvården bedrivs i dag i stor utsträckning genom samverkan mellan flera vårdgivare. Patienter får ofta vård från flera vårdgivare, såväl offentliga som privata utförare. För bl.a. ändamålet att upprätta dokumentation som behövs i och för vården av patienter finns i dag goda möjligheter att dela sådana personuppgifter mellan vårdgivare. Det rättsliga stödet för sådan behandling finns i lagen om sammanhållen vård- och omsorgsdokumentation (2 kap. 1 § SVOD). Delning av personuppgifter för andra ändamål än utförande av vård, såsom uppföljning och utveckling av vården, regleras däremot inte i den lagen. Patientdatalagen innehåller bestämmelser om ändamål för vilka personuppgifter får behandlas inom hälso- och sjukvården. Utöver behandling av personuppgifter som behövs i och för vården av patienter, 2 kap. 4 § 1 PDL, får personuppgifter under vissa förutsättningar även behandlas för bl.a. utveckling, kvalitetssäkring, uppföljning, administration och framställning av statistik, 2 kap. 4 § 4–6 PDL. Att ändamålen i patientdatalagen delvis kan överlappa varandra kan leda till otydliga gränsdragningar i fråga om för vilka ändamål som behandling av personuppgifter inom hälso- och sjukvården är tillåten. Utredningen om sekundäranvändning av hälsodata har bedömt att lagstiftningen är svårnavigerad och att det kan finnas anledning att se över vilket integritetsskydd det är lagstiftaren vill uppnå. Enligt utredningen framstår det som att det finns utrymme för valfrihet vad gäller vilket ändamål det är som används. Exempelvis kan samma verksamhet inom en region arbeta med såväl utveckling som uppföljning och den analys som görs av detta kan vara densamma. Ett sådant exempel är att följa upp ett patientflöde, vilket både kan vara uppföljning för att se om en förändring ger önskad effekt och en del av verksamhetsutvecklingen. Utredningen bedömer att det bör utredas om lagstiftningen bör ändras så att tillgången till personuppgifter är densamma för bl.a. ändamålen utveckling och uppföljning eftersom det i praktiken ofta är samma personuppgiftsbehandling som görs (Vidareanvändning av hälsodata för vård och klinisk forskning, SOU 2023:76 s. 954). Dessutom har Integritetsskyddsmyndigheten uttalat att det är osäkert om ändamålsbestämmelsen om kvalitetsutveckling och kvalitetssäkring även möjliggör utlämnanden som är till nytta för den egna verksamheten (Federerad maskininlärning mellan två vårdgivare, dnr. IMY-2023-2602, s. 22). Tolkningsutrymmet medför även att det är svårt för de registrerade att förstå på vilket sätt, av vem och för vad deras personuppgifter som avser hälsa kommer att behandlas. Sammanfattningsvis har patientdatalagen i viss mån stärkt vårdgivares möjligheter att utan patientens samtycke behandla och samköra patientuppgifter för t.ex. verksamhetsuppföljning. Trots det visar utmaningarna med bl.a. den tekniska utvecklingen och tillsynsmyndighetens analys att det alltjämt finns behov av att vidta åtgärder för att underlätta och ytterligare förbättra förutsättningarna för informationsdelning mellan vårdgivare för andra ändamål än utförande av vård, såsom uppföljning, kvalitetssäkring och verksamhetsutveckling. Utredaren ska därför analysera på vilket sätt det nuvarande regelverket för behandling av personuppgifter inom hälso- och sjukvården hindrar behandling för andra ändamål än utförande av vård hos en vårdgivare och mellan olika vårdgivare, föreslå åtgärder som förbättrar förutsättningarna för behandling av personuppgifter om patienter hos en enskild vårdgivare eller mellan flera vårdgivare för andra ändamål än utförande av vård, och lämna nödvändiga författningsförslag. Digitala beslutsstöd inom hälso- och sjukvård Den tekniska utvecklingen går snabbt och användningen av digitala beslutsstöd, inklusive system baserade på AI och avancerad dataanalys, ökar inom såväl offentlig som privat hälso- och sjukvård. Patientdatalagen och lagen om sammanhållen vård- och omsorgsdokumentation behöver fortsätta anpassas till användning av digitala beslutsstöd som bygger på omfattande behandlingar av stora mängder hälsodata genom automatiserade analyser. Bestämmelserna i patientdatalagen och lagen om sammanhållen vård- och omsorgsdokumentation reglerar journalföring och åtkomst till patientdata. Tillämpningar av AI och beslutsstöd handlar emellertid om personuppgiftsbehandling i större omfattning för sådana ändamål som inte direkt täcks av ändamålsbestämmelserna i 2 kap. 4 § PDL eller sekretessbestämmelserna i 25 kap. och 26 kap. offentlighets- och sekretesslagen (2009:400), här förkortad OSL (när det gäller hälso- och sjukvård respektive omsorg). Det kan handla om behandling av hälsodata för mönsterigenkänning, mängdträning av algoritmer och AI-modeller, automatiserad analys för att sammanställa patientdata till beslutsunderlag för medicinsk bedömning och beslut om eventuell vårdåtgärd. Regeringen anser att lagstiftningen bör ge rättsliga förutsättningar för att vårdgivare ska kunna använda digitala beslutsstöd. Utredaren ska därför analysera om det nuvarande regelverket för behandling av personuppgifter inom hälso- och sjukvården ger förutsättningar för användning av digitala beslutsstöd och vid behov föreslå åtgärder som möjliggör sådana beslutsstöd, och lämna nödvändiga författningsförslag. Effektiv och proportionerlig kontroll av åtkomst till personuppgifter som avser hälsa Regeringen genomför en principiell omläggning från en ordning som bygger på att samtycke krävs för behandling av personuppgifter till en ordning där behandling får ske om inte den enskilde motsätter sig det. Den tekniska utvecklingen och hälso- och sjukvårdens hantering av allt större mängder data har inneburit att personuppgifter alltmer behandlas genom automatiserade lösningar. Utöver det så ställs i dag allt större krav på hälso- och sjukvården att både samla in och dela data. Personuppgiftsbehandling som sker genom automatiserade lösningar kräver ett förtydligande av när och för vilka ändamål som ett samtycke från patienter är relevant att inhämta och i så fall vilken betydelse som ett lämnat samtycke eller en sådan viljeyttring spelar, t.ex. om det kan utgöra en rättslig grund eller en integritetshöjande åtgärd. Sammantaget medför detta både nya krav och förändrade förutsättningar för en effektiv och proportionerlig kontroll av åtkomst till personuppgifter som avser hälsa. Integritetsskyddsmyndigheten har 2020 publicerat en vägledning om behovs- och riskanalys inom hälso- och sjukvården efter att myndigheten uppmärksammat brister i hur vårdgivare styr personalens åtkomst till journaluppgifter. Regeringen har tidigare gjort bedömningen att det finns behov av att fortsätta stärka arbetet med informationssäkerhet inom hälso- och sjukvård och omsorg, bl.a. när det gäller åtkomstkontroll till hälsodata (skr. 2024/25:23 s. 9). Utvecklingen inom hälso- och sjukvården aktualiserar frågor om huruvida regelverket för behandling av personuppgifter inom hälso- och sjukvården som avser åtkomstkontroll och loggning är anpassat till dagens automatiserade behandlingar av personuppgifter. Det finns även behov av att ytterligare stärka informationssäkerheten vid användning av digitala beslutsstöd. Det bör exempelvis vara möjligt att säkerställa spårbarhet, loggning och andra åtgärder för att förhindra att obehöriga får åtkomst till uppgifter. Det bör även vara möjligt att i efterhand följa vilka uppgifter som har använts, vilka rekommendationer eller analyser som ett system har genererat samt hur dessa har påverkat beslut inom vården. Frågor om loggning och möjligheter till uppföljning och tillsyn är därför av central betydelse ur såväl integritets- som patientsäkerhetsperspektiv. * Utredaren ska därför analysera om regelverket för behandling av personuppgifter inom hälso- och sjukvården som avser åtkomstkontroll och loggning är anpassat till dagens automatiserade behandlingar av personuppgifter, vid behov föreslå åtgärder som möjliggör en effektiv och proportionerlig kontroll av åtkomst till personuppgifter, och lämna nödvändiga författningsförslag. Uppdraget att förenkla för forskare och invånare att få kontakt för att delta i forskning Det kan i dag vara svårt för patienter att få information om vilka kliniska studier som finns eller är planerade. Enligt artikel 81 Europaparlamentets och rådets förordning nr 536/2014 av den 16 april 2014 om kliniska prövningar av humanläkemedel och om upphävande av direktiv 2001/20/EG) ska kliniska läkemedelsstudier tillgängliggöras i EU-databasen Clinical Trial Information System (CTIS). Detta omfattar dock endast en bråkdel av alla kliniska forskningsstudier och utgör därför inte en heltäckande lösning som skulle fungera för all medicinsk forskning. För att ge en samlad och strukturerad överblick över den kliniska forskning som pågår i Sverige fick Etikprövningsmyndigheten 2023 i uppdrag att föra statistik över klinisk forskning (U2022/04047). Statistiken hämtas från de ansökningar som myndigheten har granskat och godkänt och ger möjlighet för t.ex. patienter att få information om vilka kliniska studier som finns eller är planerade. Det kan ändå vara svårt för patienter att få kontakt för att delta i forskning. Utmaningen gäller inte enbart patienter utan även forskare kan ha svårt att få åtkomst till kontaktuppgifter till dem som söker en möjlighet att delta i forskningsstudier. En forskare kan inför planerad klinisk forskning kontakta en vårdgivare för beräkning av hur många personer som uppfyller vissa i förväg uppställda kriterier och som därmed kan komma att omfattas av forskningen, s.k. antalsberäkning inför klinisk forskning (1 kap. 7 § PDL). Resultatet från antalsberäkningen får dock endast lämnas ut i form av uppgift om det antal personer som uppfyller kriterierna (5 kap. 7 § PDL). I patientdatalagen ges inte stöd för att vårdgivaren ska kontakta berörda patienter med information om den planerade forskningen, eller att tillfråga dessa om de är intresserade att delta. I dag förmedlas viss kontakt mellan forskare och patienter via hälso- och sjukvården, förutsatt att det står klart att ett utlämnande av kontaktuppgifter inte är till skada eller men respektive men för patienter eller närstående (24 kap. 8 § och 25 kap. 1 § OSL). Utifrån de få domstolsavgöranden där den frågan har prövats är det emellertid svårt att avgöra om nuvarande reglering är tillfredställande. Annars behöver patienter i normalfallet själva söka information om vilka studier som finns. Detta begränsar möjligheterna att genomföra kliniska studier och annan patientnära forskning samt riskerar att minska patienters faktiska möjlighet att bidra till utvecklingen av vård, diagnosticering, behandling och prevention samt omsorg. I promemorian Förslag på åtgärder för att skapa bättre förutsättningar för kliniska prövningar – för en bättre välfärd och en starkare life science-sektor (Ds 2023:8) föreslås att det bör utredas om vårdgivaren bör ges rättsligt stöd för att utan samtycke kunna kontakta och informera patienter som uppfyller inklusionskriterier för en klinisk prövning. I promemorian föreslås även att man bör utreda ett nationellt prövningsregister för svenska invånare som skulle motsvara lagstiftningen för ett kvalitetsregister och därmed innebära en s.k. opt-out funktion (s. 245–247). En tänkbar lösning är att skapa ett register som en statlig myndighet ansvarar för, där patienter genom samtycke kan styra om de önskar bli kontaktade av forskare och i så fall för vilka typer av studier. En annan ordning, som också behöver analyseras om och i så fall i vilka delar den skulle kunna vara möjlig och lämplig, är om patienter ges en s.k. opt-out, dvs. en möjlighet att motsätta sig att bli kontaktade om deltagande i forskning. Oavsett lösning måste regelverket vara förenligt med det grundlagsfästa skyddet för den personliga integriteten i 2 kap. 6 § andra stycket regeringsformen, Sveriges internationella åtaganden och gällande dataskyddsregelverk. Sammanfattningsvis finns det behov av att förenkla för både forskare och patienter att kunna få kontakt med varandra. Patienten behöver ges möjlighet att styra vilka typer av studier den vill bli kontaktad för. Utredaren ska därför föreslå åtgärder som förenklar för forskare att få kontakt med patienter som kan delta i forskning, föreslå åtgärder som förenklar för patienter som kan delta i forskning att komma i kontakt med forskare, analysera om, och i så fall i vilka delar, en ordning där patienter ges möjlighet att motsätta sig att bli kontaktade om deltagande i forskning är möjlig och lämplig, och lämna nödvändiga författningsförslag. Konsekvensbeskrivningar Utredaren ska redovisa konsekvenserna av förslagen i enlighet med förordningen (2024:183) om konsekvensutredningar. Om förslagen innebär offentligfinansiella kostnader ska förslag till finansiering lämnas i enlighet med 15 § kommittéförordningen (1998:1474). Utredaren ska genomgående ha ett barnrätts-, funktionshinders- och jämställdhetsperspektiv i de analyser och konsekvensbeskrivningar som görs. Kontakter och redovisning av uppdraget Utredaren ska hålla sig informerad om och beakta relevant arbete som pågår inom Regeringskansliet, andra myndigheter och utredningsväsendet samt utredningar som följer av och är direkt hänförliga till EHDS. Utredaren ska föra dialog med Socialstyrelsen, E-hälsomyndigheten, Etikprövningsmyndigheten, Integritetsskyddsmyndigheten, lärosäten, Sveriges Kommuner och Regioner, Tandvårds- och läkemedelsförmånsverket samt med utredningen (S 2024:A) med uppdraget att möjliggöra en nationell digital infrastruktur för hälsodata. Utredaren ska även, i den utsträckning som bedöms lämplig, ha en dialog med övriga aktörer, inklusive branschorganisationer, som berörs av aktuella frågor. Uppdraget ska redovisas senast den 30 november 2028. (Socialdepartementet)