Kort svar: Den fråga som avgör allt annat är inte kryptering utan roller. I samma samarbete är ni personuppgiftsbiträde åt kundföretaget för beställningar och fakturaunderlag, och själva personuppgiftsansvariga som vårdgivare för vårddokumentationen. Det betyder att ni behöver ett biträdesavtal för den ena delen och inget alls för den andra, och att arbetsgivaren aldrig ska nå den andra. Kryptering, loggning och lagring inom EU/EES är krav ni ska ställa — men ett system som håller dem och ändå visar fel uppgifter för chefen är inte förenligt med regelverket.

Företagshälsovården hanterar hälsouppgifter, sjukfrånvaro och rehabiliteringsärenden. Det är känsliga personuppgifter enligt artikel 9 i dataskyddsförordningen, och behandlingen är förbjuden som huvudregel — tillåten bara med stöd av ett undantag. För er är undantaget normalt hälso- och sjukvårdsändamål; för arbetsgivarens del handlar det i stället om arbetsrättsliga skyldigheter. Det är två olika ben, och de bär olika mycket.

De två rollerna, och varför de blandas ihop

Det här är den vanligaste bristen i branschen, och den syns tydligast när någon ställer frågan i en upphandling.

Ni som biträde. När ett kundföretag beställer en hälsoundersökning åt en namngiven medarbetare behandlar ni uppgiften för deras räkning. Kundföretaget bestämmer ändamålet; ni utför. Där behövs ett personuppgiftsbiträdesavtal enligt artikel 28, och er systemleverantör blir i sin tur underbiträde.

Ni som ansvariga. När medarbetaren väl är patient hos er är ni vårdgivare. Journalföringen sker enligt patientdatalagen, ändamålet bestäms av vårdgivaren, och kundföretaget har ingen bestämmanderätt över den behandlingen. Här är ni personuppgiftsansvariga, och ett biträdesavtal med kundföretaget vore direkt felaktigt.

Praktiska konsekvenser av att hålla isär dem:

Kundföretaget kan begära ut sina beställningsuppgifter. De kan inte begära ut journaler åt sina anställda.
En begäran om radering från en medarbetare kan inte träffa journalen, som har lagstadgade bevarandetider.
Ett biträdesavtal som formulerats så att det omfattar "alla personuppgifter i tjänsten" är fel, och en påläst upphandlare märker det.

Vad arbetsgivaren får se

Den enklaste regeln, och den som håller: arbetsgivaren får veta att något är beställt och genomfört, aldrig vad som framkom.

Konkret innebär det att chefen ser att en medarbetare har en bokad tid för en tjänst som ingår i avtalet, och att den är utförd så att den kan faktureras. Chefen ser inte anledningen, inte tidigare besvär, inte bedömningen.

Två ställen där det brukar läcka:

Fritextfält. Ett kommentarsfält på beställningen som är synligt för kunden fylls förr eller senare med något som inte borde stå där. Lösningen är två skilda fält — interna anteckningar och en kundsynlig tråd — inte en instruktion om att skriva försiktigt.
Chefer utan avgränsning. Om varje chef ser hela företagets beställningar ser de också vilka kollegor som ska på samtalsstöd. Avdelningsavgränsning är en integritetsfråga, inte en bekvämlighet. Vi går igenom rollerna i kravlistan för beställningsportaler.

Vid rehabilitering blir gränsen skarpare, inte suddigare. Arbetsgivaren behöver veta vilka anpassningar som krävs för att medarbetaren ska kunna arbeta — inte diagnosen som ligger bakom. Ett läkarutlåtande som går till arbetsgivaren ska formuleras i funktion och begränsningar. Flödet dag för dag går vi igenom i sjuk- och friskprocessen.

Var uppgifterna lagras

Kravet i praktiken är lagring inom EU/EES. Det som gör tredjelandsöverföringar besvärliga är inte att de är förbjudna utan att de kräver en rättslig grund som måste kunna redovisas, plus en bedömning av mottagarlandets lagstiftning — arbete de flesta leverantörer inte vill göra och kunder inte vill granska.

Var därför konkret och lova inte mer än ni håller. "Data lagras i Sverige" är ett starkt påstående i en upphandling, och ett anbud som säger det utan att det stämmer är ett problem senare. Om era uppgifter ligger hos en molnleverantör i Nederländerna eller Irland är det EU/EES och fullt gångbart — skriv det.

Frågan att ställa till en systemleverantör är inte "har ni svensk hosting" utan:

I vilket land ligger produktionsdatabasen och säkerhetskopiorna?
Vilka underbiträden finns, och var behandlar de uppgifter? Support och felsökning räknas.
Sker någon behandling utanför EU/EES — och i så fall med vilken grund?

Underbiträdesfrågan är den som oftast avslöjar något. En leverantör med produktionen i EU kan ändå ha en supportfunktion som når data från ett tredjeland.

Säkerhetskraven som ska vara självklara

Dessa är inte det som skiljer leverantörer åt, men frånvaron av dem diskvalificerar:

Kryptering under överföring och i vila. TLS 1.2 eller senare för transport, AES-256 eller likvärdigt för lagring.
Rollbaserad behörighet, granulär nog att skilja på handläggare, behandlare och kundens chef.
Loggning av åtkomst till känsliga uppgifter, sökbar i efterhand. Vid tillsyn från IMY är det loggarna som visar vad som faktiskt hänt.
Säkerhetskopior som testats. En kopia ingen försökt återställa är en förhoppning.
Rutin för personuppgiftsincident. Anmälan till IMY ska göras utan onödigt dröjsmål och senast inom 72 timmar. Den som ska ringa er kl. 23 en fredag behöver veta att det är den rutinen som gäller.

Dataminimering och gallring — där de flesta brister

Kraven ovan är lätta att köpa. Det som kräver arbete är att inte samla på sig uppgifter, och att göra sig av med dem.

Samla inte in mer än ändamålet kräver. En beställning behöver veta vem, vilken tjänst och när. Den behöver inte veta varför. Ett formulär med ett fält för "bakgrund" gör en administrativ uppgift till en hälsouppgift.

Personnummer bara där det behövs. I journalen behövs det. På en deltagarlista till en ergonomiutbildning behövs det inte.

Olika bevarandetider för olika saker. Journalen har sina enligt patientdatalagen. Beställningar och fakturaunderlag lyder under bokföringsreglerna. En hälsoenkät som besvarats för en engångsundersökning har inget skäl att ligga kvar i tre år. Ett system som bara har "spara allt" gör gallringen till ett manuellt projekt som aldrig blir gjort.

Anonymisera statistiken på riktigt. Aggregerad frånvarostatistik till en skyddskommitté är bra och användbar. Aggregerad statistik på en avdelning med fyra personer är personuppgifter med extra steg. Sätt en undre gräns för gruppstorlek innan siffror visas, och håll den.

Checklista inför upphandling av system

Var ligger produktionsdata och säkerhetskopiorna, land för land?
Vilka underbiträden finns, och når någon av dem data utanför EU/EES?
Finns ett biträdesavtal som skiljer på beställningsdata och vårddokumentation?
Kan behörigheter avgränsas per kundföretag och per avdelning?
Loggas åtkomst till känsliga uppgifter, och går loggen att söka i?
Går det att sätta olika gallringstider för olika datatyper?
Finns en dokumenterad incidentrutin med 72-timmarskravet inbyggt?
Kan leverantören visa vad kundens chef ser, inte bara beskriva det?

Den sista frågan är den mest användbara. Be om en skärm, inte ett svar.

Så gör vi i Portway

Portway håller isär beställningsdata och vårddokumentation som två olika saker med olika åtkomst: kundens chefer avgränsas till sin egen avdelning, varje ärende har både interna anteckningar och en kundsynlig tråd, och åtkomst loggas. Uppgifterna behandlas hos certifierade molnleverantörer inom EU. Gruppstatistik visas först när gruppen är tillräckligt stor för att inte peka ut någon.

Vi driftar inte i Sverige och påstår det inte heller — produktionen ligger inom EU, och vi svarar gärna konkret på var, vilka underbiträden som finns och vad biträdesavtalet omfattar. Ta upp det i en genomgång eller läs mer om säkerheten i plattformen.

Vanliga frågor

Är vi personuppgiftsansvariga eller personuppgiftsbiträde? Båda, i olika delar av samma samarbete. För kundföretagets beställningar och fakturaunderlag är ni biträde åt arbetsgivaren. För vårddokumentationen är ni själva ansvariga som vårdgivare. Biträdesavtalet ska bara omfatta den första delen.

Får arbetsgivaren se resultatet av en hälsoundersökning? Nej. Arbetsgivaren får veta att undersökningen är genomförd, och vid medicinska kontroller det bedömningsutlåtande som lagstiftningen anger — i praktiken om personen är lämplig för arbetsmomentet, inte de medicinska fynden bakom.

Måste data lagras i Sverige? Nej. Kravet är EU/EES, och en överföring till tredjeland kräver en rättslig grund som ska kunna redovisas. Det som ofta menas med frågan är "hamnar våra uppgifter i USA", och det är den frågan ni ska kunna svara nej på.

Hur länge ska en journal sparas? Journalhandlingar bevaras i minst tio år efter den sista anteckningen enligt patientdatalagen. Beställningar och fakturaunderlag lyder under andra regler. Att de har olika bevarandetider är själva skälet att hålla dem i skilda system.

Vad räknas som en personuppgiftsincident? Varje obehörig åtkomst, förlust eller ändring av personuppgifter — inklusive ett mejl med hälsouppgifter till fel mottagare. Anmälan till IMY görs utan onödigt dröjsmål och senast inom 72 timmar om incidenten innebär en risk för de registrerade.

Behöver vi göra en konsekvensbedömning (DPIA)? Vid behandling av känsliga personuppgifter i större omfattning är utgångspunkten ja. Den behöver inte vara omfattande, men den ska finnas, vara daterad och beskriva vilka åtgärder ni vidtagit — det är den upphandlare frågar efter, inte formatet.

GDPR och säkerhet inom företagshälsovård — vad systemet måste klara