Vanliga frågor om hälsovård​​​​​​​​​​​​​​

Om det finns fel i dina patientuppgifter, kan du begära att de rättas. En begäran om korrigering ska framställas till den verksamhetsenhet inom hälso- och sjukvården i vars verksamhet uppgifterna antecknats. Vid behov kan du be om råd av dataskyddsombudet eller patientombudet vid enheten i fråga.

Du kan begära att de felaktiga uppgifterna rättas. Begäran ska framställas till den tillhandahållare av hälso- och sjukvårdstjänster i vars verksamhet uppgifterna antecknats. FPA kan inte rätta anteckningar som syns via Mina Kanta.

Läs mer om Mina Kanta på Kanta-tjänsternas webbplats. Se också vanliga frågor om Kanta-tjänster på tjänsternas sidor.

Nej, om den motsvarar den bedömning av din situation som gjorts av den läkare som vårdat dig.

Om en diagnos som antecknats i journalhandlingarna motsvarar läkarens bedömning behöver uppgiften inte korrigeras, eftersom den beskriver läkarens syn på patientens hälsotillstånd vid tidpunkten för anteckningen. Rättelse kan då inte heller göras på basis av ett läkarutlåtande från annat håll.

Även om patientens diagnos senare ändras innebär det inte att uppgiften om den ursprungliga diagnosen borde korrigeras. Det är viktigt att journalhandlingarna också innehåller information om patientens tidigare diagnoser för att man ska veta utifrån vilka uppgifter patienten har vårdats.

Om en läkare däremot till exempel av misstag har dokumenterat patientens diagnos fel eller om diagnosen har antecknats för fel patient, ska en sådan felaktig anteckning raderas eller korrigeras.

Det hör inte till dataombudsmannens behörighet att bedöma om läkaren har gjort en korrekt bedömning av patientens hälsotillstånd eller diagnos. Om patienten är missnöjd med den vård han eller hon fått eller med den verksamhet som en yrkesutbildad person inom hälso- och sjukvården utfört, kan patienten framställa en anmärkning enligt patientlagen till chefen för hälso- och sjukvårdsenheten i fråga. Patienten kan också anföra klagomål om läkarens yrkesverksamhet hos regionförvaltningsverket i området eller Valvira.

Du kan be att anteckningen ska kompletteras med din uppfattning om händelseförloppet eller med vad du berättat. Oftast kan en uppgift som registrerats i anteckningen dock inte avlägsnas eller ändras i en sådan situation. Detta är fallet om registreringen motsvarar den uppfattning som personen som gjort anteckningen har fått vid händelsen. En sådan uppgift anses i regel inte vara felaktig med tanke på patientuppgifternas användningsändamål, eftersom den yrkesutbildade personalen inom hälso- och sjukvården har en uttrycklig skyldighet att registrera sina egna iakttagelser i journalhandlingarna.

Dataombudsmannen har rekommenderat att anteckningen ska kompletteras med patientens uppfattning om händelseförloppet eller med saker som patienten berättat i synnerhet om en beskrivning enligt patientens syn skulle ha kunnat eller i fortsättningen kan påverka avgöranden gällande patientens vård. Uppgiften som anteckningen kompletteras med ska vara nödvändig med tanke på användningsändamålet för patientuppgifterna.

I journalhandlingarna ska det antecknas sådana uppgifter om alla patientuppgifter som är nödvändiga och tillräckliga med tanke på olika användningsändamål. Patientuppgifterna används för att ordna, planera, genomföra, följa upp och övervaka vården av en patient. Bestämmelser om dessa användningsändamål och uppgifternas förvaringstider finns i lagen om behandling av kunduppgifter inom social- och hälsovården (kunduppgiftslagen, 703/2023)

Patientuppgifterna ska vara tillgängliga när de behövs för dessa ändamål. Det kan också behövas olika uppgifter för att ordna och övervaka patientens vård. Utgångspunkten är att även den ursprungliga anteckningen ska vara tillgänglig åtminstone för övervakning av vården. I praktiken kan den ursprungliga anteckningen förvaras till exempel så att den inte är tillgänglig i patientens vårdsituation.

För bedömningen av ärendet behöver dataombudsmannens byrå följande uppgifter:

• Information om den tidpunkt då du har begärt rättelse av uppgifter till en aktör inom hälso- och sjukvården
• Berätta ordagrant​​​​​​​
  • vilka uppgifter du har begärt att ska ändras
  • vilka ändringar du har begärt i uppgifterna
  • vilka uppgifter du har begärt att ska kompletteras i handlingarna
• Motiveringar till varför du anser att uppgifterna i fråga är felaktiga eller bristfälliga med tanke på ordnandet, planeringen, genomförandet, uppföljningen eller övervakningen av din vård
• Din begäran till en aktör inom hälso- och sjukvården samt det svar som du fått på den, om de finns kvar

Nej, det kan du inte. Alla patientuppgifter om dig kan inte avlägsnas, eftersom skyldigheten att bevara patientuppgifter regleras i lag. Yrkesutbildade personer inom hälso- och sjukvården är skyldiga att göra anteckningar i journalhandlingarna om patientens alla servicehändelser. Dessa anteckningar ska bevaras så länge som lagen föreskriver. Närmare bestämmelser om förvaringstiden finns i lagen om behandling av kunduppgifter inom social- och hälsovården (kunduppgiftslagen).

En anteckning om ett enskilt läkarbesök eller en annan servicehändelse kan inte heller avlägsnas helt. Enskilda felaktiga uppgifter kan dock korrigeras. Bristfälliga uppgifter kan också kompletteras och onödiga uppgifter avlägsnas. 

Onödiga uppgifter kan avlägsnas från patientuppgifterna. Uppgifter som inte behövs för att ordna, planera, genomföra, följa upp och övervaka vården av en patient är onödiga. Dessa är de lagstadgade användningsändamålen för patientuppgifter för vilka patientuppgifter ska förvaras.

Behovet bedöms utifrån om uppgiften har varit nödvändig vid den tidpunkt då den har antecknats i patientens uppgifter. För att uppgiften ska kunna avlägsnas måste den ha varit onödig redan vid tidpunkten för upprättandet. Om det i patientuppgifterna har antecknats sådana omständigheter vars nödvändighet inte kan motiveras med patientuppgifternas användningsändamål, ska dessa uppgifter avlägsnas. Sådana uppgifter är till exempel uppgifter som stämplar patienten osakligt eller på annat sätt osakliga anteckningar.

Sådana uppgifter som en yrkesutbildad person inom hälso- och sjukvården har bedömt ha samband med patientens hälsotillstånd eller annars med ordnande, planering, genomförande eller uppföljning av vården är i regel inte onödiga. Sådana uppgifter kan i regel inte avlägsnas från patientuppgifterna även om de senare visar sig vara oriktiga (till exempel en ändrad diagnos).

Framför din begäran till den personuppgiftsansvarige för patientuppgifter så att det av begäran ordagrant framgår vilken punkt i dina patientuppgifter som du vill att ska avlägsnas. Motivera din begäran.

Du kan be om närmare anvisningar för att utöva rätten till avlägsnande av organisationens dataskyddsombud.

För bedömningen av ärendet behöver dataombudsmannens byrå följande uppgifter:

• Information om den tidpunkt då du har begärt att en aktör inom hälso- och sjukvården ska avlägsna uppgifterna
• Ange ordagrant de anteckningar och punkter i anteckningarna som du har begärt att ska avlägsnas
• Motiveringar till varför du anser att uppgifterna i fråga är onödiga för att ordna, planera, genomföra, följa upp eller övervaka din vård
• Din begäran till en aktör inom hälso- och sjukvården samt det svar som du fått på den, om de finns kvar

För utövande av rätten till insyn enligt dataskyddsförordningen får i regel ingen avgift tas ut, utan patienten får bekanta sig med sina patientuppgifter gratis. Till dessa uppgifter hör också bilder från magnetundersökningar och andra kopior av bilddiagnostiska undersökningar.

Patienten ska ha möjlighet att använda sin rätt till insyn i sina egna uppgifter med rimliga intervaller för att hålla sig informerad om behandlingen av sina uppgifter och kontrollera att behandlingen är lagenlig.

Om patientens begäran att ta del av uppgifterna från den bilddiagnostiska undersökningen är uppenbart oskälig eller ogrundad, kan en aktör inom hälso- och sjukvården ta ut en skälig avgift för genomförandet av begäran som grundar sig på administrativa kostnader, såsom arbetsinsats, material och postkostnader. Kunden som framställt begäran ska informeras om avgiften på förhand. Även avgiftens storlek ska beskrivas så noggrant som möjligt.

Begäran kan anses ogrundad eller oskälig särskilt om patienten upprepade gånger begär samma uppgifter och uppgifterna inte har ändrats sedan de senast har lämnats till patienten. Begäran kan också vara ogrundad till exempel om den personuppgiftsansvarige inte behandlar de begärda uppgifterna. Den personuppgiftsansvarige kan vägra att genomföra en oskälig eller ogrundad begäran, men detta är ett alternativ i sista hand. I en sådan situation ska den personuppgiftsansvarige informera patienten om vägran och motivera varför begäran är ogrundad eller oskälig.

Det är fråga om utlämnande av patientuppgifter när uppgifter lämnas ut till en annan utomstående part, det vill säga till en utomstående. Utlämnande av uppgifter är inte att patientuppgifter används för att ordna och genomföra patientens hälso- och sjukvårdstjänster eller för uppgifter i anslutning till dem inom samma aktör inom hälso- och sjukvården eller på uppdrag av aktören.

Däremot är det fråga om utlämnande till exempel om uppgifter lämnas ut för olika ändamål inom samma aktör, det vill säga till exempel i ett välfärdsområde lämnas uppgifter om socialvården ut till hälso- och sjukvården eller om man ämnar använda patientuppgifter för något annat ändamål än uppgifter i anslutning till ordnandet eller genomförandet av hälso- och sjukvårdstjänster.

Utlämnandet av uppgifter ska grunda sig på lag eller patientens samtycke. Den aktör som lämnar ut uppgifterna ansvarar för att utlämnandet sker lagenligt. Det är skäl att vid behov fråga den som begär uppgifter för vilket ändamål och på vilka grunder uppgifterna begärs.

Lagen om behandling av kunduppgifter inom social- och hälsovården (kunduppgiftslagen) innehåller närmare bestämmelser om utlämnande av uppgifter inom hälso- och sjukvården. Enligt kunduppgiftslagen kan en tillhandahållare inom hälso- och sjukvården lämna ut patientuppgifter till en annan tillhandahållare inom hälso- och sjukvården, om den behöver uppgifter för att ordna och genomföra hälso- och sjukvårdstjänster. Mottagaren av uppgifterna ska ha rätt att använda de utlämnade uppgifterna. Behandlingen av uppgifterna ska alltså grunda sig på arbetsuppgifterna för en yrkesutbildad person inom hälso- och sjukvården eller någon annan person som behandlar uppgifterna och den service som patienten får. Även då är det endast tillåtet att behandla uppgifter som är nödvändiga för arbetsuppgifterna. 

I en typisk situation då uppgifter lämnas ut behövs patientuppgifterna för att vårda patienten vid den mottagande enheten. I praktiken lämnas uppgifterna ofta ut så att en yrkesutbildad person inom hälso- och sjukvården via Kanta-tjänsterna får en vy över uppgifter från andra aktörer inom hälso- och sjukvården. I kunduppgiftslagen förutsätts att uppgifterna i första hand ska lämnas ut via Kanta-tjänsterna. Vid behov kan uppgifter dock lämnas ut också på annat sätt, såsom på papper eller elektroniskt via datasystem.

En förutsättning för utlämnande av patientuppgifter är dessutom patientens tillstånd för utlämnande. Det är en viljeyttring genom vilken patienten godkänner att hans eller hennes uppgifter lämnas ut. Tillståndet kan ges till exempel i Kanta-tjänsterna.

Innan tillstånd för utlämnande beviljas ska patienten informeras om hur hans eller hennes personuppgifter behandlas inom social- och hälsovården och hur patienten kan påverka utlämnandet av sina uppgifter. Patienten kan med ett enda tillstånd för utlämnande tillåta att alla patientuppgifter om honom eller henne rör sig mellan de olika tillhandahållarna inom hälso- och sjukvården som vårdar patienten. Tillståndet för utlämnande gäller tills vidare, men det kan när som helst återkallas. Om man vill kan tillståndet också ges på nytt.

Om patienten inte vill att uppgifter från en viss tjänstetillhandahållare lämnas ut, kan patienten begränsa tillståndet med förbud mot utlämnande av uppgifter av olika omfattning. Med ett omfattande förbud mot utlämnande kan patienten förbjuda att alla patientuppgifter som gäller honom eller henne lämnas ut. Inom den offentliga hälso- och sjukvården och företagshälsovården kan patienten förbjuda att tjänstetillhandahållarens alla uppgifter eller uppgifter om en enskild servicehändelse lämnas ut. Inom den privata hälso- och sjukvården kan utlämnande av uppgifter förbjudas endast separat för varje servicehändelse.

Patientens tillstånd för utlämnande behövs dock inte till exempel om personen på grund av minnessjukdom eller utvecklingsstörning inte kan förstå betydelsen av tillståndet för utlämnande och inte har någon laglig företrädare som kan ge tillstånd för utlämnande för patientens räkning. Tillstånd för utlämnande krävs inte heller i situationer där vårdansvaret överförs. Då är det tillåtet att i remissen eller epikrisen lämna ut de patientuppgifter som är nödvändiga för att ordna vården till den tjänstetillhandahållare som fortsätter vården. Även vårdrespons kan lämnas ut till den tjänstetillhandahållare som skrivit remissen.

Ett undantag är också utlämnande av patientuppgifter mellan välfärdsområdena i Nyland, Helsingfors stad och HUS-sammanslutningen, där utlämnande av uppgifter är möjligt direkt med stöd av lagen utan tillstånd för utlämnande. Utlämnandet kan göras efter att patienten har informerats om behandlingen av hans eller hennes uppgifter inom social- och hälsovården och om möjligheten att påverka utlämnandet av sina uppgifter. Även i Nyland har patienten dock rätt att förbjuda att hans eller hennes patientuppgifter lämnas ut.

Utöver kunduppgiftslagen kan det också vara möjligt att lämna ut patientuppgifter med stöd av annan lagstiftning som berättigar till att få uppgifter. Patienten kan inte genom förbud mot utlämnande begränsa till exempel myndigheternas lagstadgade rätt att få information.

Läs mer om tillstånd för utlämnande, förbud mot utlämnande, utlämnande av uppgifter utan tillstånd samt undantagssituationer:

Kanta-tjänsternas webbplats: Hur rör sig mina uppgifter i välfärdsområdena?

Kanta-tjänsternas webbplats: Tillstånd för utlämnande av patientuppgifter inom hälso- och sjukvården

Kanta-tjänsternas webbplats: Förbud mot utlämnande av patientuppgifter

Tillämpningsguide för kunduppgiftslagen (på finska på THL:s webbplats yhteistyötilat.fi)

Patientuppgifter är permanent sekretessbelagda och kan i regel inte lämnas ut till utomstående. Inom hälso- och sjukvården avses med utomstående sådana personer som inte på något sätt deltar i uppgifter i anslutning till patientens hälso- och sjukvårdstjänster i tjänsteanordnarens eller apotekets tjänst, för dess räkning eller på uppdrag av denna. Utomstående är alltså till exempel arbetstagare som arbetar i samma välfärdsområde och som inte deltar i ordnandet eller genomförandet av den ifrågavarande patientens hälso- och sjukvårdstjänster. De har inte rätt att behandla patientens uppgifter.

Till exempel i ett välfärdsområde är den sjukskötare eller läkare som vårdar patienten inte utomstående, utan denna har rätt att behandla patientuppgifter som är nödvändiga för att genomföra vården av patienten.

Ordnandet och genomförandet av tjänsten begränsas inte enbart till vården av patienten, utan uppgifter i anslutning till hälso- och sjukvårdstjänsterna kan också utföras av andra än yrkesutbildade personer. Sådana kan vara till exempel administrativa uppgifter, såsom fakturering. För administrativa uppgifter kan sådana uppgifter om patienten lämnas ut som är nödvändiga för att utföra uppgiften.

Patientuppgifterna är sekretessbelagda, och de får inte överlåtas till utomstående utan samtycke av patienten eller en bestämmelse i lagen vilken berättigar till överlåtelse. Också patientens anhöriga är utomstående, och inte heller de har i allmänhet rätt att få patientuppgifter utan samtycke av patienten.

Om en myndig person inte kan fatta beslut om den egna vården till exempel på grund av en psykisk störning, funktionsnedsättning eller en annan orsak, ska man innan ett viktigt vårdbeslut fattas höra patientens lagliga företrädare, en anhörig eller en annan närstående för att utreda hurudan vård som på bästa sätt skulle motsvara patientens vilja. I så fall ska ett samtycke av patientens lagliga företrädare, en anhörig eller en annan närstående inhämtas. För att en sådan person ska kunna bedöma ett samtycke, har han eller hon rätt att få nödvändiga uppgifter om patientens hälsotillstånd för hörandet eller för att givandet av samtycket.

Om en minderårig patient inte själv kan fatta beslut om vården, ska han eller hon vårdas i samråd med sin vårdnadshavare eller någon annan laglig företrädare. Denne har i så fall rätt att få en utredning om det egna barnets hälsotillstånd, vårdens betydelse, olika vårdalternativ och deras konsekvenser och övriga omständigheter i anknytning till hans eller hennes vård, vilka är av betydelse då beslut fattas om barnets vård.

Vården av en minderårig patient ska ske i samförstånd med patienten, om han eller hon med beaktande av ålder eller utveckling inte själv kan fatta beslut om vården. En minderårig patient kan i så fall förbjuda att uppgifter om det egna hälsotillståndet eller den egna behandlingen överlämnas till en vårdnadshavare eller en annan laglig företrädare.

Hälso- och sjukvårdsuppgifter om en död patient kan lämnas ut till personer som behöver dessa för att utreda eller tillgodose intressen eller rättigheter som är viktiga för dem i den mån uppgifterna är nödvändiga för detta ändamål.

Begäran om uppgifter ska framställas skriftligen jämte motiveringar till den berörda verksamhetsenheten eller yrkespersonen inom hälso- och sjukvården. I ett sådant fall kan uppgifter fås också av en annan person än en anhörig.

I lagen om utredande av dödsorsak finns det separata bestämmelser om rätten för en anhörig att få uppgifter ur handlingar som gäller utredande av dödsorsaken.

Av en tillhandahållare inom hälso- och sjukvården, Folkpensionsanstalten eller apoteket kan du få information om vem som har använt eller till vem patientuppgifter om dig har lämnats ut samt om orsaken till att de har använts eller lämnats ut (så kallade logguppgifter). Du ska lämna en skriftlig begäran. Utifrån de logguppgifter du fått kan du bedöma om dina patientuppgifter har behandlats lagligt och på behörigt sätt.

​​​​​​​Om du utifrån logguppgifterna misstänker att patientuppgifter om dig har använts eller lämnats ut utan tillräckliga grunder, kan du be den aktör som använt uppgifterna eller fått uppgifterna om en utredning om grunderna för användningen eller utlämnandet av uppgifterna. Dessutom ska aktören lägga fram en motiverad uppfattning om huruvida användningen eller utlämnandet av uppgifter har varit lagenligt. Om aktören bedömer att behandlingen av uppgifterna har varit lagstridig, ska den också på eget initiativ vidta nödvändiga åtgärder.

Om en enskild yrkesutbildad person inom hälso- och sjukvården har handlat i strid med lagen och arbetsgivarens anvisningar är det fråga om ett brott som polisen ska utreda. Dataombudsmannens byrå övervakar att organisationens verksamhet är lagenlig och kan rikta påföljder endast mot organisationen. Därför utreder dataombudsmannens byrå i regel inte enskilda yrkesutbildade personers felaktiga verksamhet. Dataombudsmannen kan börja utreda ärendet om de skyddsåtgärder som organisationen använder har varit bristfälliga. Detta kan vara fallet till exempel om arbetsgivaren inte har gett sina anställda ändamålsenliga anvisningar om behandlingen av patientuppgifter.

Enligt patientskadelagen har Patientförsäkringscentralen rätt att få sådana uppgifter som behövs för att fastställa grunden för en ersättning och omfattningen om ersättningsskyldigheten. Rätten påverkas inte av övriga bestämmelser om sekretessen eller utlämnande av uppgifter i personregister.

Det är inte tillåtet att till Patientförsäkringscentralen lämna ut uppgifter som är onödiga i behandlingen av patientskadeärendet. Till exempel får hela journalhandlingen lämnas ut till Patientförsäkringscentralen enbart i undantagsfall.

Bestämmelser om spärrmarkering och behandlingen av personuppgifter om en person som omfattas av spärrmarkering finns i lagen om befolkningsdatasystemet och de certifikattjänster som tillhandahålls av Myndigheten för digitalisering och befolkningsdata. Uppgifter om hemkommun och bostad samt adress och andra kontaktuppgifter som gäller den person som omfattas av spärrmarkeringen får lämnas ut ur befolkningsdatasystemet endast till en myndighet som har rätt att behandla uppgifterna på grund av lagstadgade uppgifter eller åtgärder eller för skötsel av rättigheter eller skyldigheter för personen som omfattas av spärrmarkeringen.

Sådana uppgifter i befolkningsdatasystemet som omfattas av spärrmarkering och som lämnats ut till en myndighet får inte överlåtas vidare av myndigheten, och myndigheten får inte heller låta en utomstående ta del av eller behandla dem, om inte något annat bestäms i lag.

Spärrmarkeringen gäller utlämnande av personuppgifter som omfattas av spärrmarkeringen ur befolkningsdatasystemet samt möjligheterna för myndigheter som fått dessa uppgifter att överlåta dem vidare. Spärrmarkeringen gäller inte utlämnande av uppgifter i andra situationer. Spärrmarkeringen påverkar inte heller behandlingen av de uppgifter som lämnats ut ur befolkningsdatasystemet innan spärrmarkeringen beviljats, eller uppgifter som någon annan redan har sparat.

Spärrmarkeringen gäller också utlämning ur befolkningsdatasystemet av uppgifter som specificerar och lokaliserar sådana fastigheter, byggnader, lägenheter eller lokaler som personen äger eller innehar, om uppgifterna inte kan behandlas separat från de uppgifter som omfattas av spärrmarkeringen.

Dataombudsmannen kan inte bevilja en spärrmarkering. Den behöriga myndigheten i frågor som gäller spärrmarkering är Myndigheten för digitalisering och befolkningsdata.

Uppgifter som uppkommit inom hälso- och sjukvården kan användas för vetenskaplig undersökning, alltså för så kallade sekundära ändamål.

Användningen av uppgifterna för forskningsändamål sker i regel så att forskaren inte direkt kan identifiera personer vars uppgifter finns i forskningsmaterialet. Om det i en vetenskaplig undersökning framkommer ett betydande fynd som skulle göra det möjligt att förebygga en hälsorisk för en viss människa eller avsevärt förbättra vårdens kvalitet, kan man ta reda på patientens identitet och från hälso- och sjukvården kan man vara i kontakt med patienten.

Patienten har rätt att förbjuda kontakt som tas på basis av ett sådant kliniskt betydande fynd. Förbudet kan meddelas i MittKanta och inom den offentliga hälso- och sjukvården. Närmare information om kontaktförbud på Kanta-tjänsternas webbplats:

Kontaktförbud som gäller fynd i registerundersökningar (kanta.fi)

Bestämmelser om användning av uppgifter för detta ändamål samt om kontaktförbud finns i 55 § i lagen om sekundär användning av personuppgifter inom social- och hälsovården.

Vanliga frågor om lagen om sekundär användning

Den personuppgiftsansvarige är i vissa situationer skyldig att anmäla personuppgiftsincidenter upptäckt till tillsynsmyndigheten samt till de personer som blivit föremål för personuppgiftsincidenten. Den personuppgiftsansvarige ska bedöma nivån på risken som personuppgiftsincidenten leder till för dem som blivit föremål för incidenten. Risknivån bestämmer om den personuppgiftsansvarige bör anmäla personuppgiftsincidenten till dataombudsmannens byrå och de registrerade. Den personuppgiftsansvarige ska internt dokumentera alla personuppgiftsincidenter.

Personuppgiftsincidenten måste anmälas till dataombudsmannens byrå när incidenten sannolikt leder till en risk för den registrerade. Om personuppgiftsincidenten sannolikt leder till en hög risk för dem som är föremål för incidenten, ska den personuppgiftsansvarige anmäla personuppgiftsincidenten även till dem.

Läs mer om personuppgiftsincidenter, riskbedömning och anmälningsskyldighet

Exempel på situationer inom social- och hälsovården, där en personuppgiftsincident ska anmälas till både dataombudsmannens byrå och de personer som blivit föremål för incidenten:

• Arbetstagaren har per e-post eller brev skickat en klients/patients hälsoinformation till en felaktig adress (exempelvis plan för missbruksrehabilitering eller intyg för sjukledighet). Informationen har kommit i en utomståendes händer.
• På ett möte hade ljudenhetens högtalare via Bluetooth varit i kontakt med enheterna i rummet bredvid. Detta ledde till att en utomstående hörde samtalet. På mötet behandlades klientens/patientens information. Det är inte känt hur länge den utomstående var del av samtalet.
• Sjukhusets patientuppgifter är otillgängliga i 30 timmar på grund av en nätattack.
• Den personuppgiftsansvarige har i samband med driftövervakning observerat att en anställd vid enheten  i egenskap av utomstående har behandlat (m.a.o. snokat i) en enskild patients/klients uppgifter för egna syften.
• En anställd har laddat upp ett foto på sociala medier där även en viss patients uppgifter syns. Med ett bildhanteringsprogram är det möjligt att fokusera på patientens uppgifter, även om bilden är oskarp. Det är inte känt om någon utomstående har laddat ner bilden.
• En anställd har på parkeringsplatsen tappat bort en klientlista som innehåller information om klienters hälsotillstånd. Arbetstagaren märkte misstaget, men hittade inte listan. Det är inte känt om klientlistan har kommit utomståendes händer. 
• En del av patientuppgifterna i ett system förstördes slutgiltigt på grund av ett mänskligt misstag. Någon säkerhetskopia fanns inte, och uppgifterna kan inte återställas.
• En klient som kom från läkarens mottagning meddelade i receptionen att hen hade fått en sjukdagpenningsblankett som tillhörde en annan person.
• I specifikationen till en faktura från företagshälsovården hade orsaken till arbetstagarens besök angetts, vilket i onödan avslöjade uppgifter om hälsotillstånd. Arbetsgivarens representant mottog fakturan.
• En anställd inom hemvården hade av misstag lämnat en blankett med en annan klients (B) uppgifter i en klients (A) hem. Klientens (A) anhöriga hade hittat informationen bland sin anhörigas papper. 
• En yrkesperson inom hälso- och sjukvården antecknade av misstag informationen om patient A:s medicinallergi i patient B:s uppgifter. I patient A:s uppgifter antecknades alltså inga allergiuppgifter alls. Patient B har inga allergier. En annan yrkesperson inom hälso- och sjukvården (omedveten om A:s allergi) ger i sjukvården till patient A den medicin som A är allergisk mot. A orsakas hälsomässig skada. 
• Misstanke har väckts om att person A har uppgett sig vara person B (identitetsstöld), gjort en tidsbokning i dennes namn och kommit till läkarens mottagning. Läkaren har behandlat klienten med de angivna personuppgifterna och har gjort en anteckning i B:s patientuppgifter. Person B har själv tagit kontakt med den personuppgiftsansvarige. Den personuppgiftsansvarige raderade de felaktiga uppgifterna ur B:s uppgifter.
• I en hälso- och sjukvårdsorganisation görs journalanteckningar i ett häfte. Häftet blir stulet i samband med ett inbrott.

Den personuppgiftsansvarige ska bedöma nivån på risken som personuppgiftsincidenten leder till för dem som blivit föremål för incidenten. Risknivån bestämmer om den personuppgiftsansvarige bör anmäla personuppgiftsincidenten till dataombudsmannens byrå och de registrerade. Den personuppgiftsansvarige ska internt dokumentera alla personuppgiftsincidenter.

Personuppgiftsincidenten måste anmälas till dataombudsmannens byrå när incidenten sannolikt leder till en risk för den registrerade. Om personuppgiftsincidenten dock sannolikt inte leder till en hög risk för dem som är föremål för incidenten, behöver incidenten inte anmälas till personer vars uppgifter blivit föremål för personuppgiftsincidenten. 

En anmälan till de registrerade krävs inte till exempel om den personuppgiftsansvarige har vidtagit lämpliga säkerhetsåtgärder eller ytterligare åtgärder för att säkerställa att den höga risken sannolikt inte längre kommer att uppstå.

Läs mer om personuppgiftsincidenter, riskbedömning och anmälningsskyldighet

Exempel på situationer inom social- och hälsovården, där en personuppgiftsincident ska anmälas till dataombudsmannens byrå, men där en anmälan till de personer som blivit föremål för incidenten inte krävs:

• En städare tömde ovarsamt bäddavdelningens sopkärl i fel kärl, som personalen på avdelningen använde för tillfällig förvaring av pappersmaterial som skulle förstöras. Kärlet fördes till ett oövervakat utrymme. Den personuppgiftsansvarige hade inte vetskap om vilka patienters uppgifter det var fråga om. Den personuppgiftsansvarige försäkrade sig i samarbete med avfallshanteringen om att uppgifterna förstördes och att informationen inte kom i utomståendes händer.
• En verksamhetsenhet inom hälso- och sjukvården (A) skickade information om ett flertal patienters operativa vård till en annan verksamhetsenhet inom hälso- och sjukvården (B). Syftet med sändningen av informationen var vetenskaplig forskning. Inget avtal var ännu upprättat mellan enheterna,. Det var möjligt att identifiera en del av patienterna genom att kombinera uppgifterna. Uppgifterna nådde endast yrkespersoner inom hälso- och sjukvården som utförde studien och som har sekretessplikt. Mottagaren förstörde uppgifterna. Samtycke hade inte inhämtats hos patienterna för deltagande i studien, vilket särskilt påverkar bedömningen av risknivån.
• Från ett apotek levererades en beställning innehållande flera patienters mediciner som var avsedd för organisation A till organisation B. Apoteket samarbetar med båda organisationerna, men man hade inte kommit överens om tillbörliga tillvägagångssätt för sådana situationer. Medicinerna kunde levereras i tid till rätt patienter.​​​​​​​
  • Om apoteket har kommit överens med B om tillbörliga tillvägagångssätt för sådana situationer och B bekräftar att de följt tillvägagångssätten, är apotekets interna dokumentation om personuppgiftsincidenten sannolikt tillräcklig. Tillvägagångssätten kan omfatta till exempel en skyldighet att underrätta apoteket om incidenten, återställa eller radera uppgifterna säkert samt ge en skriftlig bekräftelse på dessa åtgärder.

Om personuppgiftsincidenten sannolikt inte är förknippad med en risk, behöver den inte anmälas till tillsynsmyndigheten eller dem som blivit föremål för incidenten. Övriga situationer där en anmälan till den registrerade inte krävs fastställs i artikel 34.3 i dataskyddsförordningen. Enligt dataskyddsförordningen behöver en personuppgiftsincident inte anmälas till den registrerade personligen, om den personuppgiftsansvarige till exempel har vidtagit lämpliga säkerhetsåtgärder och ytterligare åtgärder med vilka den kan säkerställa att den höga risken sannolikt inte längre uppstår. Den personuppgiftsansvarige ska internt dokumentera alla personuppgiftsincidenter.

Läs mer om personuppgiftsincidenter, riskbedömning och anmälningsskyldighet

Till exempel i följande situationer inom hälso- och sjukvården behöver en anmälan inte göras:

• Till en pålitlig mottagare, som man har en samarbetsrelation till, har delats patientuppgifter inom samma avdelning. Mottagaren har en lagstadgad sekretessplikt och behandlar informationen för sina arbetsuppgifter. I situationen finns det ingen orsak att misstänka att uppgifterna har använts eller kommer att behandlas i strid med lagstiftning eller den personuppgiftsansvariges anvisningar.
• På grund av ett systemfel hade patientens (A) remiss till en åtgärd för ett ögonblick lagrats i fel patients (B) uppgifter. Felet var lokalt och den felaktiga uppgiften överfördes inte till Kanta. Laboratoriet som tog emot remissen var medvetet om felet. Felet samt uppgifternas integritet korrigerades snabbt. Patienten orsakades ingen skada.

• En anställd hos den personuppgiftsansvariges skickar personuppgifter i en oskyddad e-post. Det finns ingen anledning att misstänka att uppgifterna har kommit i utomståendes händer.

• Personuppgiftsincidenten har riktats endast mot uppgifter om en död person.

• På grund av en systemfunktion har administratören haft möjlighet att höja sin behörighetsnivå till så att den blir för omfattande, varvid administratören skulle ha fått tillgång till onödig information med tanke på sina uppgifter. Den personuppgiftsansvarige kunde genom tekniska åtgärder säkerställa att administratören inte höjde sin behörighetsnivå.

• Den personuppgiftsansvarige har sparat en hemlig säkerhetskopia av ett arkiv som innehåller klientuppgifter på ett USB-minne. USB-minnet blir stulet i samband med ett inbrott i lokalerna. Informationen är krypterad med en algoritm enligt den senaste tekniken, det finns säkerhetskopior av informationen, den individuella krypteringsnyckeln äventyras inte och informationen kan återställas i tid.

• Ett textmeddelande om en tidsbokning hade gått till fel telefonnummer. Meddelandet innehöll inga identifierbara personuppgifter och inte heller hälsouppgifter.

• En anställd vid ett apotek gav kund B ett dokument där kunden A:s namn och personbeteckning kunde ses. Kund B märkte genast det skedda och gav genast tillbaka dokumentet till den anställda.

• Patient A meddelade till hälso- och sjukvården att patientuppgifter om en annan person (B) hade skrivits in i A:s patientuppgifter. A kan inte på basis av de antecknade uppgifterna sluta sig till vem B är. När saken bekräftades raderades B:s uppgifter ur A:s patientuppgifter och uppgifterna antecknades i B:s patientuppgifter. Man hann inte göra några avgöranden i anslutning till A:s vård på basis av informationen som gällde person B, och det skedda hade ingen inverkan på B:s vård.

• Ett brev innehållande patientuppgifter har gått sönder på sorteringscentralen. Posten har informerat den avsändande organisationen om att brevet gått sönder samt returnerat brevet. Det är möjligt att Postens anställda har kunnat se patientuppgifterna.

  • Det är sannolikt frågan om en så kallad pålitlig mottagare. Den personuppgiftsansvarige kan rimligtvis förvänta sig att parten inte läser eller eventuellt använder de avslöjade uppgifterna, utan följer de gällande anvisningarna om att returnera dem. Det bör observeras att om fallet vid sidan av eventuell förlust av konfidentialitet även har andra verkningar för den registrerade, ska alla dessa beaktas när en riskbedömning görs. Om händelsen till exempel inverkar negativt på den registrerades vård, är risken för den registrerades rättigheter och friheter sannolikt hög.

Den som betalar fakturan, det vill säga arbetsgivaren, ska kunna förvissa sig om att företagshälsovårdstjänster anlitats av en arbetstagare som arbetar för arbetsgivaren och att de tjänster som tillhandahållits omfattas av avtalet om företagshälsovård. Patientuppgifter är dock sekretessbelagda. Det finns skäl att i avtalet om företagshälsovård tillräckligt entydigt fastställa hur sekretesskraven beaktas i faktureringsförfarandet.

Dataskyddsombudsmannen rekommenderar att företagshälsovården, i syfte att säkerställa att fakturering är korrekt, till fakturan fogar en separat namnlista över de arbetstagare som under faktureringsperioden anlitat företagshälsovårdstjänster och en separat lista med antalet vidtagna åtgärder (t.ex. 5 blodtrycksmätningar eller antalet läkarbesök och laboratoriebesök som typuppgift). Åtgärdsuppgifterna borde inte kunna kopplas till en viss arbetstagare. Det är motiverat att förlänga faktureringsperioden om bara en eller några arbetstagare anlitat företagshälsovårdstjänster under faktureringsperioden och uppgifter som gäller en viss person kan kopplas till åtgärderna.

Alternativt kan företagshälsovården lämna ut uppgifter om arbetstagaren på så sätt att fakturan redogör enbart för typuppgiften om prestationen (t.ex. läkarbesök, laboratoriebesök), då den inte avslöjar sjukdomens eller problemets art. Också datumet för besöket på mottagningen kan antecknas, om det för att säkerställa att faktureringen är korrekt och med tanke på de rättigheter och skyldigheter som är förknippade med anställningsförhållandet är nödvändigt.

Om en arbetsgivare lämnar ut ett läkarintyg ur personaladministrationsregistret till företagshälsovården, handlar det om en ändring av användningssyftet och utlämnande av uppgifter från en personuppgiftsansvarig till en annan. Arbetsgivaren får överlåta ett läkarintyg eller -utlåtande om en egen anställd, vilket en anställd hos företagshälsovården överlåtit, förutom om arbetstagaren gjort en invändning mot överlåtelsen. Annars kan sekretessbelagda uppgifter lämnas ut enbart utifrån ett specificerat samtycke av den registrerade. En arbetstagare måste på förhand informeras om rätten att göra en invändning mot behandlingen av uppgifter.

Dataskyddslagstiftningen begränsar inte muntliga samtal mellan patienten och hälso- och sjukvårdspersonalen. På samtalen tillämpas bestämmelserna om tystnadsplikt. Personer som behandlar sekretessbelagda patientjournaler har tystnadsplikt och får inte röja patientjournaler för utomstående.

Behandlingen av patienter på hälsovårdscentraler, sjukhus eller andra verksamhetsenheter inom sjukvården ställer vissa begränsningar på patientens privatliv. Upprätthållande av den allmänna ordningen och säkerheten på verksamhetsenheten eller till exempel andra personers krav får dock inte leda till att patientens integritetsskydd glöms bort. Man bör sträva efter att beakta patientens privatlivsbehov till exempel genom olika arrangemang för mottagning av besökare och genom att anordna möjligheter till privata samtal. 

Dataombudsmannens byrå tar inte ställning till vilka resurser eller till exempel vilka lokalarrangemang som krävs för att konfidentiella samtal ska vara möjliga. Du kan kontakta patientombudsmannen eller dataskyddsombudet i hälso- och sjukvårdsorganisationen om du anser att integritetsskyddet inte har tillgodosetts tillräckligt.