Socialstyrelsens föreskrifter och allmänna råd om socialtjänstens behandling av personuppgifter

Föreskrifterna ska tillämpas av personuppgiftsansvariga inom socialtjänsten vid helt eller delvis automatiserad behandling av personuppgifter. Bestämmelserna i 1–3 kap. ska tillämpas av personuppgiftsansvariga i verksamheter som omfattas av 2 § första stycket 1, 2, 5 och 6 lagen (2001:454) om behandling av personuppgifter i socialtjänsten.

Personuppgiftsansvariga i verksamheter som tillämpar sammanhållen vård- och omsorgsdokumentation enligt lagen (2022:913) om sammanhållen vård- och omsorgsdokumentation ska utöver vad som anges i 1 § även tillämpa bestämmelserna i 4 kap.

I denna författning avses med autentisering kontroll av uppgiven identitet. Med flerfaktorsautentisering avses kontroll av uppgiven identitet på flera av varandra oberoende sätt.

Av Socialstyrelsens föreskrifter och allmänna råd (SOSFS 2011:9) om ledningssystem för systematiskt kvalitetsarbete framgår det att den som bedriver socialtjänst eller verksamhet enligt LSS ansvarar för att det finns de processer och rutiner som behövs för att säkra verksamhetens kvalitet.

Bestämmelser om att personuppgiftsansvariga ska bestämma villkor för tilldelning och begränsning av behörighet för åtkomst till uppgifter om enskilda finns i 10 § lagen (2001:454) om behandling av personuppgifter inom socialtjänsten.

Innan villkor för tilldelning av behörighet för åtkomst till uppgifter om enskilda bestäms ska den personuppgiftsansvarige klarlägga vilka behov av uppgifter som finns för att kunna utföra arbetsuppgifter inom socialtjänsten samt vilka behov av uppgifter som finns för olika verksamheter och yrkeskategorier. Vidare ska de risker som möjligheten till åtkomst kan medföra för skyddet av enskildas personliga integritet identifieras. Risker vid åtkomst till skyddade personuppgifter ska särskilt beaktas. Behovs- och riskanalysen ska utgöra grunden för att fastställa villkoren för tilldelning av behörighet. Om behoven av åtkomsten och de risker som åtkomsten kan medföra förändras, ska behovs- och riskanalysen revideras.

De fastställda villkoren för tilldelning av behörighet för åtkomst samt de bedömningar i behovs- och riskanalysen som ligger till grund för dem ska dokumenteras.

Den personuppgiftsansvarige ska ansvara för att

1. varje användare ges behörighet för åtkomst till uppgifter om enskilda med utgångspunkt från de fastställda villkoren för tilldelning av behörighet, och

2. behörighet som har tilldelats följs upp och vid behov ändras så att den överensstämmer med de fastställda villkoren för behörighetstilldelning.

Den personuppgiftsansvarige ska se till att behöriga användare informeras om hur tilldelade behörigheter får användas.

Den personuppgiftsansvarige ska ta fram rutiner för ändring, borttagning och regelbunden uppföljning av användares behörighet för att säkerställa att behörigheter som har tilldelats är riktiga och aktuella.

Den personuppgiftsansvarige ska ansvara för att en användares elektroniska åtkomst till uppgifter om enskilda ges efter flerfaktorsautentisering.

Den personuppgiftsansvarige ska ansvara för att varje användares åtkomst till uppgifter om enskilda dokumenteras (loggas). Av loggarna ska användarens och den enskildes identitet samt tidpunkten för åtkomsten framgå.

Den personuppgiftsansvarige ska ansvara för att

1. systematiska och återkommande stickprovskontroller görs av den åtkomst som har förekommit, 2. kontroller görs vid misstanke om obehörig åtkomst, och 3. kontroller av loggar dokumenteras.

Den personuppgiftsansvarige ska fastställa lämplig bevarandetid för loggar.

Socialnämnden ska fastställa vilka insatser nämnden tillhandahåller som får ingå i system för sammanhållen vård- och omsorgsdokumentation enligt lagen (2022:913) om sammanhållen vård- och omsorgsdokumentation.

Bestämmelser om omsorgsgivares ansvar för att bestämma villkor för tilldelning och begränsning av behörigheter för åtkomst till personuppgifter som har gjorts tillgängliga för andra omsorgsgivare eller vårdgivare finns i 4 kap. 3 § lagen (2022:913) om sammanhållen vård- och omsorgsdokumentation.

Den som är omsorgsgivare ska ansvara för att det finns rutiner för hur omsorgsmottagare ska få information enligt 2 kap. 2 § lagen (2022:913) om sammanhållen vård- och omsorgsdokumentation innan uppgifter får göras tillgängliga för andra omsorgsgivare och vårdgivare.

Omsorgsgivaren ska ansvara för att det finns rutiner för hur och när samtycke till att ta del av uppgifter genom sammanhållen vårdoch omsorgsdokumentation behöver hämtas in. Omsorgsgivaren ska även ansvara för att det finns rutiner för hur och när 1. bedömningar enligt 3 kap. 2 § andra stycket lagen (2022:913) om sammanhållen vård- och omsorgsdokumentation ska göras av om ett barn inte självt kan lämna samtycke, 2. bedömningar enligt 3 kap. 4 § första stycket lagen om sammanhållen vård- och omsorgsdokumentation ska göras om en omsorgsmottagare inte kan samtycka, och 3. klarlägganden enligt 3 kap. 4 § andra stycket 2 lagen om sammanhållen vård- och omsorgsdokumentation ska göras av den enskildes inställning.

Omsorgsgivaren ska ansvara för att ospärrade uppgifter om en omsorgsmottagare hos en annan omsorgsgivare eller vårdgivare inte kan göras tillgängliga utan att den behöriga användaren tar ställning till om han eller hon får ta del av dem med utgångspunkt från de förutsättningar som anges i 3 kap. 2 § lagen (2022:913) om sammanhållen vård- och omsorgsdokumentation.

Omsorgsgivaren ska ansvara för att ospärrade uppgifter om en omsorgsmottagare hos en annan omsorgsgivare inte kan göras tillgängliga utan att den behöriga användaren tar ställning till om han eller hon får ta del av dem med utgångspunkt från de förutsättningar som anges i 3 kap. 4 § lagen (2022:913) om sammanhållen vård- och omsorgsdokumentation.

Omsorgsgivaren ska, utöver vad som anges i 3 kap. 8 §, ansvara för att det av dokumentationen av åtkomst framgår från vilken vårdgivare eller annan omsorgsgivare som en användare har berett sig tillgång till uppgifter genom sammanhållen vård- och omsorgsdokumentation.

Informationen som en omsorgsgivare enligt 4 kap. 5 § lagen (2022:913) om sammanhållen vård- och omsorgsdokumentation på begäran ska lämna till en omsorgsmottagare om åtkomst till dennes uppgifter ska vara utformad på ett sådant sätt att omsorgsmottagaren kan bedöma om åtkomsten har varit befogad.

Omsorgsgivaren ska ansvara för att en omsorgsmottagares tillgång, genom direktåtkomst eller annat elektroniskt utlämnande, till uppgifter om sig själv och till dokumentation om åtkomst endast tillåts efter det att omsorgsmottagarens identitet har säkerställts genom flerfaktorsautentisering. Om omsorgsgivaren endast medger en begränsad tillgång till uppgifter, ska denne informera omsorgsmottagaren om detta. Omsorgsgivaren ska även informera omsorgsmottagaren om vart denne kan vända sig för att få hjälp med att förstå dokumentationen.

Dokumentation enligt socialtjänstlagen och enligt lagen om stöd och service till vissa funktionshindrade vid åtkomst till uppgifter

Av den dokumentation som förs enligt 14 kap. 3 § socialtjänstlagen (2025:400) och enligt 21 a § lagen (1993:387) om stöd och service till vissa funktionshindrade ska det framgå om en enskild har lämnat eller återkallat samtycke till att ta del av uppgifter enligt 3 kap. 2 § lagen (2022:913) om sammanhållen vård- och omsorgsdokumentation.

Om en enskild motsätter sig att uppgifter görs tillgängliga för en annan omsorgsgivare eller vårdgivare enligt 2 kap. 3 § lagen (2022:913) om sammanhållen vård- och omsorgsdokumentation, ska det framgå av dokumentationen som förs enligt 14 kap. 3 § socialtjänstlagen (2025:400) och enligt 21 a § lagen (1993:387) om stöd och service till vissa funktionshindrade. Om en enskild begär att en spärr enligt 2 kap. 3 § lagen om sammanhållen vård- och omsorgsdokumentation ska hävas, ska även det framgå av sådan dokumentation som avses i första stycket.

Av den dokumentation som förs enligt 14 kap. 3 § socialtjänstlagen (2025:400) och enligt 21 a § lagen (1993:387) om stöd och service till vissa funktionshindrade ska det framgå

1. vilka bedömningar som har gjorts enligt 3 kap. 2 § andra stycket lagen (2022:913) om sammanhållen vård- och omsorgsdokumentation av om ett barn inte kan samtycka till personuppgiftsbehandling, 2. vilka bedömningar som har gjorts enligt 3 kap. 4 § första stycket lagen om sammanhållen vård- och omsorgsdokumentation av en