• 1. Revisionshistorik

• 2. Framtagande av ramverk

• 3. Termer och begrepp

• 4. Inledning

• 5. Syfte

• 6. Avgränsningar

• 7. Förutsättningar

  • 7.1 Regulatoriska krav inom hälso- och sjukvården

  • 7.2 Dataskydd

  • 7.3 Ansvar

• 8. Hantering av nationell reservidentitet

  • 8.1 Utfärda NRID 

  • 8.2 Statiska uppgifter

    • 8.2.1 Kön 

    • 8.2.2 Födelsedatum 

  • 8.3 Identitetskontroll 

  • 8.4 Registrera id-handling 

  • 8.5 Registrera kontaktuppgifter 

  • 8.6 Registrera relation 

• 9. Reservidentiteter vid katastrof eller driftstopp 

• 10 Koppling av identitet till huvudidentitet 

• 11. Särkoppling av identitet och huvudidentitet 

• 12. Avregistrering av reservidentitet  

• 13. Personer med spärrade patientuppgifter 

• 14. Kopplade personidentiteter med skyddsmarkering 

  • 14.1 Skyddsmarkerade personuppgifter 

  • 14.2 Kopplade personidentiteter med skyddsmarkering 

  • 14.3 Systemkrav 

• 15. Spårbarhet/loggning 

• 16. Referenser 

1. Revisionshistorik

2. Framtagande av ramverk

Detta ramverk har ursprungligen baserats på insamlade lokala ramverk och regelverk som beskriver rutinerna för uttag och hantering av reservidentiteter i ett antal olika antal landsting och regioner.  

Ramverket har kompletterats genom intervjuer med personer som i sitt arbete i verksamheten i stor utsträckning kommer i kontakt med och hanterar reservidentiteter. Därefter har ramverket ytterligare kompletterats och fastställts av en referensgrupp sammansatt för ändamålet.  

Vi skulle vilja tacka följande personer som deltagit i intervjuer och i referensgruppen med sina kunskaper och erfarenheter: 

Sara Edlund, vårdsystemsamordnare, Akademiska Sjukhuset Uppsala,
Mervi Friberg, vårdsystemsamordnare, Akademiska Sjukhuset Uppsala,
Lena Jonsson, landstingsjurist, Landstinget Dalarna,
Josef Driving, landstingsjurist, Stockholms läns landsting,
Johan Reuterhäll, informationssäkerhetschef, Region Skåne,
Jessica Persson, samordnande objektspecialist verksamhet, Västra Götalandsregionen,
Per Mützell, lösningsarkitekt, Ineras Personuppgiftstjänst
Tomas Fransson, IT-specialist, Ineras Personuppgiftstjänst,
Manolis Nymark, jurist, Inera 

Under 2024 har ramverket förtydligats med vilka uppgifter som bör tillföras en nationell reservidentitet så att inte fler personuppgifter än vad som är nödvändigt behandlas. I samband med ett uppdaterat ramverk levereras även ett nytt grafiskt gränssnitt som är utformat efter de behov och krav som uppkommit. 

Ramverket förvaltas av Personuppgiftstjänstens förvaltning där fokus ligger på teknisk funktionalitet och infrastruktur baserat på de verksamhetsbehov som finns. Detaljerade verksamhetsfrågor ligger utanför Personuppgiftstjänstens kunskapsområde och bör därför hanteras av respektive verksamhet med ramverket som stöd.  

I ramverket finns några absoluta krav som måste följas. Samtliga regioner har gett sitt medgivande till dessa krav och accepterat att viss lokal anpassning kan behöva ske. 

3. Termer och begrepp

4. Inledning

Om en person som söker sig till hälso- och sjukvården i region och kommun och inte kan (eller i vissa fall inte vill) identifiera sig, exempelvis då person- eller samordningsnummer saknas eller är okänt, utfärdas en reservidentitet för att säkerställa vård för personen trots att identiteten inte är känd [7].  

De lokala reservidentiteter, ofta kallade reservnummer, som används idag fungerar inte i nationella och interregionala samverkanslösningar. Samverkanslösningar kan t.ex. vara nationella e-tjänster som hämtar journal- och läkemedelsinformation från andra system och organisationer, som exempelvis Nationell Patientöversikt (NPÖ), Webcert, Svevac, Pascal m.fl. [2] Detta beror på att de lokala reservidentiteterna inte är nationellt unika, och inte heller kompatibla med varandra då de är på olika format. Att lokala reservidentiteter har olika format ger också upphov till svårigheter för personal som hanterar reservidentiteter i verksamheten. Det kan idag vara svårt för personal att tolka och förstå olika reservidentiteter. Detta kan leda till kommunikationssvårigheter och missförstånd mellan olika regioner, exempelvis vid remisser och fakturering. I värsta fall kan det påverka patientsäkerheten. Ambitionen är därför att växla över till användning av Nationell reservidentitet.  

I Personuppgiftstjänsten finns stöd för att ta ut, hantera och koppla ihop reservidentiteter. Stöd finns både för nationell reservidentitet enligt ett framtaget format liksom för de befintliga lokala reservidentiteter som används. Personuppgiftstjänsten kan dock inte skapa nya reservidentiteter från lokala nummerserier. Det finns även stöd för att koppla samman flera personidentifierare till en identitet. Exempelvis kan en reservidentitet kopplas till en personens huvudidentitet. På så sätt kan dokumentation, provsvar, mätdata osv. knytas samman till rätt individ, även om uppgifterna ursprungligen varit kopplade till olika personidentifierare i IT-systemen [2]. Mer information om Personuppgiftstjänsten och dess funktioner och innehåll hittas på PU förvaltningens Confluencesida, Öppen info: Personuppgiftstjänsten   

5. Syfte

Syftet med detta ramverk är att beskriva uttag, hantering och koppling av reservidentitet för att säkerställa att rutinen är densamma hos alla verksamheter som använder tjänsten.  

Ramverket beskriver även kortfattat de regulatoriska krav som påverkar identitetshantering inom hälso- och sjukvården i region och kommun. 

Syftet med själva reservidentiteten är att kunna tillföra en kombination av personuppgifter som gör det lättare att säkerställa en persons identitet. Verksamheter kan sedan använda reservidentiteten som en identifierare i sina egna verksamhetssystem för att där kunna tillföra verksamhetsrelaterad information. En reservidentitet kan även i Personuppgiftstjänsten kopplas samman med en annan unik identifierare till exempel personnummer eller samordningsnummer.  

Det är viktigt att reservidentiteten tillförs korrekta personuppgifter enligt de anvisningar som finnas. Det är också viktigt att inte tillföra mer information än vad som är absolut nödvändigt för att stärka en personens identitet, tänk uppgifter från Skatteverket, de innehåller ingen information som är unik för en enskild verksamhet utan endast generella personuppgifter som sedan kan användas av olika verksamheter för att uppfylla deras behov.  

Innan en verksamhet påbörjar användning av reservidentiteter är det viktigt att förstå och följa framtaget ramverk samt att egna system, bland annat tillämpar de tekniska begränsningar som beskrivs på PU förvaltningens Confluencesida, Hantering av Nationell reservidentitet (NRID)  - Öppen info: Personuppgiftstjänsten - Confluence

6. Avgränsningar

Ramverket ger stöd för användning och hantering av nationella reservidentiteter för personer, vid sidan av svenskt personnummer och samordningsnummer, i digitala samverkanslösningar över organisatoriska och systemmässiga gränser inom hälso- och sjukvården. 

I praktiken kan en nationell reservidentitet utfärdat av Personuppgiftstjänsten användas inom många olika verksamhetsområden. Hur den unika reservidentiteten används och vilken information som tillförs beror på verksamhetsområdet. Det är dock viktigt att i Personuppgiftstjänsten inte tillföra mer information än vad som är absolut nödvändigt för att uppfylla syftet med en reservidentitet. 

Det primära användningsområdet för nationell reservidentitet är idag för verksamheter inom hälso- och sjukvården men att annan verksamhet också kan ha möjlighet att nyttja funktionen så länge ramverket efterlevs.  

För hantering av nationell reservidentitet inom andra verksamhetsområden bör detta ramverk behöva utvecklas vidare. 

7. Förutsättningar

En unik identifierare är en förutsättning inom verksamheter för att kunna koppla verksamhetsrelaterad information till en enskild person. Hälso- och sjukvården är inget undantag utan regleras i än större utsträckning. 

Detta avsnitt tar upp några av de krav som Hälso- och sjukvårdensverksamheter behöver beakta i sin verksamhetsutövning.  

Här beskrivs kortfattat ett antal lagar, föreskrifter och riktlinjer som påverkar hantering av en patientens personuppgifter.

Verksamheter som hanterar personuppgifter är skyldiga att följa tillämpliga dataskyddsregler.  

Utöver GPDR som är den övergripande lagstiftningen när det gäller personuppgiftsbehandling ska respektive verksamhet i sin användning av personuppgifter hämtade från Personuppgiftstjänsten tillämpa de kompletterande regelverk som styr aktuell verksamhetsutövning. 

Det är vanligtvis verksamhetschef eller motsvarande som ska se till att gällande policys och riktlinjer följs vid en personuppgiftsbehandling.  

Inom hälso- och sjukvården finns även riktlinjer för hur exempelvis journalanteckningar ska dokumenteras och vad som krävs för att koppla dessa till en identitet. Likaså finns det krav på hur läkemedel får doseras utifrån en identitet. Allt detta måste beaktas i respektive verksamhet vid användning av reservidentiteter.     

8. Hantering av nationell reservidentitet

Avsnittet beskriver hur en Nationell reservidentitet får utfärdas och hur relevanta personuppgifter bör tillföras.    

Personuppgiftsansvarig för de uppgifter som skapas eller ändras kring en reservidentitet är den verksamhet som senast har skapat eller ändrat uppgifterna.   

Det innebär att om verksamhet A tar ut en reservidentitet så blir verksamhet A personuppgiftsansvarig för denna identitet. Om verksamhet B därefter gör en ändring på denna identitet, exempelvis tillför eller ändrar uppgifter så blir verksamhet B personuppgiftsansvarig för denna ändring och därmed personuppgiftsansvarig för den uppdaterade versionen av personuppgifterna. 

För att säkerställa vård för en person som inte kan, eller i vissa fall inte vill identifiera sig, utfärdas en reservidentitet. I praktiken används reservidentiteter ofta för asylsökande, turister, och personer som av någon anledning inte kan legitimera sig, exempelvis om personen inte är vid medvetande. Verksamheterna avgör själva vilka som ska ha behöriga att ta ut en reservidentitet.  

Om reservidentitet nyttjas ska detta tydligt dokumenteras. Inom vården dokumenteras det i aktuellt patientadministrativt system, tillsammans med orsaken, oavsett om det är en lokal eller nationell reservidentitet.  

Innan en nationell reservidentitet tas ut bör en sökning i Personuppgiftstjänsten utföras, för att se om personen redan tilldelats en nationell reservidentitet. Personalen kan till sin hjälp söka med tillgänglig information, exempelvis för- och efternamn, någon form av ID-nummer. 

Vid träff, bör den nationella reservidentitet som först skapats användas såvida den inte är avregistrerad, saknar kön eller har felaktigt födelsedatum, i de fall kan det vara bättre att skapa en ny nationell reservidentitet och koppla ihop den nya reservidentiteten med den gamla.  

Det är viktigt att i den utsträckning det är möjligt kontrollera att personuppgifterna stämmer innan reservidentiteten används i verksamheten. Avvikande uppgifter kan tyda på att det är en annan person. Om ingen matchning eller osäkerhet kring identifieringen finns, skapas istället en ny reservidentitet.  

Vid skapandet av en ny reservidentitet är det viktigt att registrera relevant information i enlighet med vad verksamhetssystemet tillåter exempelvis namn, födelsedatum, kön och annan ID-handling. Med relevanta uppgifter blir det enklare att vid ett senare tillfälle söka upp och återanvända reservidentiteten samt säkerställa att det är samma person som återkommit. 

Efter att en reservidentitet har skapat finns det några uppgifter som absolut inte får förändras även om det är tekniskt möjligt. Uppgifterna det gäller för är, Kön och Födelsedatum. 

Personuppgiftstjänsten tillåter att skapa en nationell reservidentitet med tre olika utgångsvärden, Man, Kvinna och Okänt.  

Okänt används främst när det finns behov av att ta ut en större mängd identiteter (reservidentiteter) som sedan kan användas i händelse av exempelvis en katastrofsituation. Okänt kan även användas om kön inte går att avgöra eller inte är relevant för stunden. 

Om kön vid ett senare tillfälle fastställs bör en ny nationell reservidentitet skapas baserat på kön. Därefter bör även en koppling mellan de båda reservidentiteter skapas för att på så sätt få spårbarhet. 

Inte heller födelsedatum får ändras. Vid utfärdandet av en bulk/mängd reservidentiteter lämnas Födelsedatum tomt. Det innebär att när ett födelsedatum har fastställts bör en ny nationell reservidentitet skapas innehållande korrekta uppgifter, därefter bör en koppling mellan reservidentiteterna utföras. 

Självklart ska inte en massa reservidentiteter skapas i onödan utan skapandet sker efter de behov som finns.  

Inom hälso- och sjukvården finns speciella rutiner för hur en person genom hela vårdkedjan bör identifieras och hur personen får hanteras baserat på sin personidentifierare.   

Till exempel om personen inte redan är identifierad bör identitetskontroll ske genom att vederbörande får legitimera sig. Det sker vanligtvis mot uppvisande av en identitetshandling. Eftersom personens identitet ska säkerställas i hela vårdkedjan bör legitimering ske i varje enskilt moment av vårdprocessen [9] [10].  

Vid användandet av en nationell reservidentitet finns stöd för att registrera olika id-handlingar, till exempel LMA-kort, utländskt körkort eller utländskt pass. De registrerade uppgifterna på reservidentiteten kan vid ett senare tillfälle verifieras mot en uppvisad id-handling.  

Obs! historiskt har begreppet styrkt använts när kompletterande identitetsnummer har angivits på en reservidentitet. Rent juridisk så finns inga garantier för att det uppgivna identitetsnumret verkligen är knutet till personen ifråga. I Personuppgiftstjänstens grafiska gränssnitt används istället begreppet uppvisad identitetshandling. 

Vid vård av barn ska den vuxne som fört barnet till vårdenheten kunna legitimera sig. Om den vuxne inte är barnets vårdnadshavare måste denne också kunna göra det troligt att han eller hon har vårdnadshavarens uppdrag att ansvara för barnet. I akuta situationer måste barnet beredas vård även utan vårdnadshavarens medgivande.  Vid behov ska den vuxna personens kontaktuppgifter och liknande anges i det lokala verksamhetssystemet.    

Om en person vägrar eller inte kan styrka sin identitet kan hen fortfarande få vård i de fall då vård är nödvändigt. Vid vissa typer av medicinska ingrepp krävs alltid legitimering p.g.a. vissa formella krav som måste uppfyllas för att ingreppet ska få utföras. Detta gäller exempelvis sterilisering och abort [9] [10].  

Om en person inte har ett svenskt personnummer/samordningsnummer, inte kan, eller i vissa fall inte vill ange sin identitet, kan en Nationell reservidentitet tas ut och användas för patienten.

En person som inte kan eller i vissa fall inte vill, styrka sin identitet ska vid vård upplysas om [9]: 

• Varför vården begär att personen ska uppvisa ID-handling (medicinsk säkerhet, skydd för personens integritet, förebyggande av bedrägerier m.m.) 

• Att en anteckning om legitimationsvägran eller att det inte går att styrka identitet, kommer att ske 

• Att vissa behandlingar inte får företas, såsom till exempel sterilisering eller abort, och att vårdintyg eller annat intyg som ska användas i rättsligt sammanhang inte får utfärdas 

• Att reservidentitet kommer att tilldelas och att journalföring kommer att ske med denna reservidentitet  

I de fall en godkänd identitetshandling saknas måste varje vårdgivare fastställa riktlinjer gällande vad som är en acceptabel nivå för att en legitimering ska godtas. Vid användning av en nationell reservidentitet är det lämpligt att ange någon form av uppvisad id-handling för att på så vis få bättre spårbarhet. En registrerad id-handling blir därefter sökbar i Personuppgiftstjänsten.  

För att undvika utgivning av flera reservidentiteter till en och samma individ är rekommendationen att någon form av annan identitetshandling tillförs på reservidentiteten. Det kan till exempel vara utländskt körkortsnummer, passnummer eller LMA-nummer.  

Uppvisat ID-numret ska tillföras under något av följande fält,  

• Pass – (passnummer)  

• LMA kort (kort utfärdat av Migrationsverket) 

• ID-handling – (annan ID handling, exempelvis utländskt körkort/pass) 

Vid registrering av kontaktuppgifter ska ett samtycke först informeras och accepteras innan uppgifterna får sparas i tjänsten.  

Samtyckets innebörd ska vara att kontaktuppgifterna kan komma att användas inom offentligt finansierad hälso-och sjukvård, tandvård och smittskydd i samband med att vårdgivare har ett verksamhetsbehov av att kontakta personen ifråga. 

I Personuppgiftstjänsten får endast ett telefonnummer och en e-postadress registreras. Finns andra behov ska det hanteras i de lokala verksamhetssystemen.   

En nationell relationskoppling på ett NRID bör endast användas inom förlossningsvården i de fall ett nyfött barn saknar personnummer men har blivit tilldelad en nationell reservidentitet. Relationen som skapas ska ha en koppling till moderns identitet. För att säkerställa moderns identitet bör slagning ske mot Personuppgiftstjänsten dels för att verifiera att själva identiteten för modern finns, dels för att visuellt verifiera moderns personuppgifter.    

När relationen registreras ska endast giltigt personidentifierare (personnummer, samordningsnummer eller nationellt reservID) användas samt namn på personen (modern).  

Om angiven identitet inte återfinns i Personuppgiftstjänsten får relationskoppling inte skapas i Personuppgiftstjänsten. Eventuella avvikelser får hanteras lokalt.       

9. Reservidentiteter vid katastrof eller driftstopp 

Alla verksamheter ska ha lokala rutiner för driftstopp, katastrof- och nödsituationer.  

I Personuppgiftstjänsten finns stöd att förskapa listor med tomma nationella reservidentiteter som senare kan användas i händelse av exempelvis driftstopp eller katastrof. De reservidentiteter som skapas innehåller varken kön eller födelsedatum vilket innebär att det inte går att utläsa på reservidentiteten om det är en man eller kvinna. 

Inom vissa regioner finns möjlighet att förskapa lokala reservidentiteter där kön är förbestämt men så är ej fallet med nationell reservidentitet. 

Vid användning av en förskapat reservidentitet är rekommendationen att vid en senare tidpunkt koppla samman reservidentiteten med en huvudidentitet (personnummer eller samordningsnummer) alternativt skapa en ny nationell reservidentitet innehållande korrekta personnummer så som kön och födelsedatum. På så vis går det att lättare identifiera personen vid ett eventuellt återbesök.  

10 Koppling av identitet till huvudidentitet 

 I matrisen nedan beskrivs vilka typer av kopplingar av personidentiteter som kan göras och av vem [12]:  

 *Koppling (Hänvisning) mellan Samordningsnummer och Personnummer görs enbart av Skatteverket 

Som visas i matrisen ovan så kan en lokal reservidentitet kopplas till en nationell reservidentitet, samordningsnummer eller ett personnummer. Den identitet man kopplar till blir då huvudidentiteten, se även Länkningar mellan personidentiteter   

En lokal reservidentitet kan inte kopplas till en annan lokal reservidentitet.  

All koppling av en reservidentitet bör utgå från huvudidentiteten. 

För att tillgängliggöra vårdinformation på en person med en lokal reservidentitet inom sammanhållen journalföring bör den lokala reservidentiteten kopplas till antingen en nationell reservidentitet, ett samordningsnummer eller ett personnummer. Utan en koppling till en huvudidentitet är det högs troligt att formatet på det lokala reservnumret inte kan hanteras över vårdgränser.  

En koppling mellan en reservidentitet och en huvudidentitet får ske först då personens identitet blir känd, då personen erhåller ett personnummer eller samordningsnummer, eller då en person begär att anonymiteten upphävs. Det är verksamhetens ansvar att vidta erforderliga åtgärder för att säkerställa att patientjournaler och annan dokumentation innehållandes reservidentitet kopplas ihop med personens huvudidentitet [11].  

I det fall en person är helt oidentifierad måste två personer identifiera den oidentifierade personen innan en koppling utförs. Den inloggade personen som utför den administrativa kopplingen ska säkerställa att aktiviteten dokumenteras enligt lokala/regionala riktlinjer. Är personen identifierad sedan tidigare behöver bara en person identifiera personen innan kopplingen får utföras. Personuppgiftstjänsten loggar på systemnivå endast information om vem alternativt vilket verksamhetssystem som har utfört kopplingen samt tidpunkt för händelsen.   

Hur en identitetskontroll av personen görs beskrivs i avsnitt 9.3 Identitetskontroll. Om det finns någon tveksamhet kring personens identitet ska koppling inte utföras. Personen som utför kopplingen ska följa regionala riktlinjer och är ansvarig för att säkerställa att de hopkopplade identiteterna tillhör samma person och att korrekt identifiering är säkerställd för samtliga identiteter [7]. Uppgifter om vem som styrkt personens identitet samt identifieringssätt ska dokumenteras i journalen [10].  

I verksamheten måste det sedan finnas rutiner för hur de i Personuppgiftstjänsten kopplade identiteterna speglas i de lokala verksamhetssystemen. Det vill säga att i de fall där personen har olika identiteter i verksamhetssystemet ska det finnas rutiner för hur dessa handlingar kopplas samman till personens huvudidentitet.  

När en reservidentitet och huvudidentitet är kopplade blir båda identiteterna sökbara i det vårdadministrativa systemet (förutsatt att det vårdadministrativa systemet har stöd för detta).  

Obs! En koppling/särkoppling bör alltid utföras från huvudidentiteten och endast av betrodda medarbetare som är väl införstådda i hanteringen. 

11. Särkoppling av identitet och huvudidentitet 

Endast personer med god förståelse och förmåga att följa tydliga lokala instruktioner bör utföra särkoppling av reservidentiteter. Det är upp till respektive region att själva bestämma var i organisationen arbetsuppgiften ska hanteras. 

12. Avregistrering av reservidentitet  

Precis som för vilken personidentifierare som helst får en reservidentitet aldrig raderas. I de fall ett behov finns att tydliggöra vilken status ett NRID har ska följande statuskod användas, 

• AV – Avliden, innebär som det låter att individen inte är vid liv. När koden används ska det styrkas genom att intyg/dödsbevis återfinnas i journalsystemet. 

Det bör finns tydliga lokala instruktioner för hur en avregistrering får ske men även tekniska begränsningar till vilka roller som ska ha möjlighet att utföra en avregistrering.   

När en reservidentitet kopplas till en huvudidentitet blir huvudidentiteten den primära bärare av status och den identitet som sedan ska användas av verksamheten.  

13. Personer med spärrade patientuppgifter 

Inom hälso- och sjukvården har en person möjlighet att spärra information i sin patientjournal för att den inte ska kunna läsas av personal utanför den vårdenhet som spärren avser.  

Varje verksamhet ansvarar för att eventuella spärrar på en personidentifierare följer med kopplade identifierare till personens huvudidentitet.  

14. Kopplade personidentiteter med skyddsmarkering 

All behandling av personuppgifter ska ske i enlighet med gällande lagstiftning, riktlinjer och lokala rutiner. Det är den personuppgiftsansvarige som ska säkerställa att uppgifterna endast behandlas om rättslig grund finns. 

Det är av yttersta vikt att personer med skyddsmarkering behandlas varsamt och att åtkomsten till dessa uppgifter är strikt begränsad. Dokumenterade och kommunicerade riktlinjer underlättar hanteringen och minskar risken för oavsiktlig spridning av skyddsmarkerade personuppgifter. 

För vägledning kring hantering av skyddade personuppgifter läs mer på Skatteverket ”Vägledning för offentliga aktörers hantering av skyddade personuppgifter” 

Här följer ett exempel på hur Personuppgiftstjänsten är uppbyggd för att hjälpa anslutna konsumenter att inte behandla mer personuppgifter än vad som är nödvändigt.  

Genom att dela upp en persons uppgifter i fem olika profiler kan mängden personuppgifter som hämtas via tjänstekontrakt begränsas. Profil 1 är den mest begränsad och innehåller inte så mycket mer information än namn och födelsedatum medan profil 5 innehåller fullständiga personuppgifter hämtade från Skatteverket (Navet) inklusive historik samt eventuellt kompletterande kontaktuppgifter.  

I de fall en person är skyddsmarkerad enligt Skatteverket lämnas endast profil 1 ut oavsett vilken profil som begärs, (se kapitel 8 Aktuella profiler i TKB:n). I praktiken betyder det att adresser, kontaktuppgifter med mera utelämnas. Trots att endast ett minimum av uppgifter utlämnas, bör verksamheten ändå noggrant överväga om de uppgifter som tillhandahålls i respektive profil verkligen är nödvändiga för utförd behandling.

Finns behov av att ta del av ytterligare personuppgifter avseende en person med skyddsmarkering kan speciella utökade tjänstekontrakt (unrestricted) användas. Vi användning av dessa tjänstekontrakt är det än viktigare att relevanta dataskyddsprinciper tillämpas. Det är verksamheten och i slutändan den personuppgiftsansvarige som har det yttersta ansvaret för att en personuppgiftsbehandling utförs korrekt. Det rekommenderas starkt att innan beslut tas om användning av utökade tjänstekontrakt bör minst en behovs- och riskanalys genomföras. Först därefter bör verksamheten/den personuppgiftsansvarige begära tillgång till de tjänstekontrakt som stödjer behandling av skyddsmarkerade personuppgifter. 

Värt att notera är att en reservidentitet inte kan skyddsmarkeras. Det är därför viktigt att förstå att kontaktuppgifter kan bli tillgängliga utifall det senare tillkommer en koppling till ett personnummer som är skyddsmarkerad. I PU Webb har en begränsning införts som gör att om en reservidentitet kopplas till ett skyddsmarkerat personnummer döljs eventuella kontaktuppgifter även för reservidentiteten. 

En person kan ha flera personidentifierare (lokal reservidentitet, nationell reservidentitet, samordningsnummer och personnummer) vilka alla kan vara kopplade till en huvudidentitet.  

• När en huvudidentiteten är ett personnummer med en skyddsmarkering ska kopplade personidentiteter “ärva” skyddsmarkeringen, dvs personuppgifterna som finns registrerade ska av verksamheten hanteras på likvärdigt sätt.  

• Om ett personnummer har en skyddsmarkering och inte är en huvudidentitet, gäller skyddsmarkeringen endast för den specifika personidentiteten.

• Skyddsmarkering kan bara förekomma på personnummer och sätts av Skatteverket. 

• Observera att själva hänvisningen till en annan personidentitet också kan vara skyddsvärd.   

• I de fall där tillgången till personuppgifter är begränsad på grund av behörighet ska användaren upplysas om det. 

Verksamheten har ansvar att följa regionala, kommunala och nationella styrande dokument, till exempel verksamhetsramverk och Skatteverkets vägledning för hantering av skyddade personuppgifter i svensk förvaltning, liksom eventuella lokala rutiner. 

Ett system (verksamhetssystem/e-tjänst) som är anslutet till Personuppgiftstjänsten ska kunna hantera följande användningsfall: 

• Vid sökning på en reservidentitet skall systemet kontrollera om det finns en koppling till en huvudidentitet med skyddsmarkering. Om det finns en koppling till en huvudidentitet med en skyddsmarkering ska endast personuppgifter som användaren är behörig att ta del av visas.  

• Personuppgifter på reservidentitet ska ej gå att uppdatera om det finns en koppling till en huvudidentitet som har en skyddsmarkering. 

• Koppling och särslagning av personidentiteter bör endast utföras av person med särskild behörighet enligt regionens/kommunens fastslagna rutiner. 

Verksamhetssystemet ska via sitt användargränssnitt tydligt beskriva för användaren de begränsningar som kan uppträda då användaren hanterar identiteter som har kopplade personidentiteter med skyddsmarkering.

Tips: Ta gärna del av Personuppgiftstjänstens användargränssnitt (PU Webb) för att testa de olika användningsfallen som anges ovan. 

15. Spårbarhet/loggning 

Spårbarhet är avgörande för att uppfylla lagkrav och är också värdefullt vid incidenter eller när det finns osäkerhet kring informationens riktighet. För system anslutna till Personuppgiftstjänsten bör det finnas inbyggd spårbarhet, för att på så sätt kunna säkerställa vem som har gjort vad. Personuppgiftstjänsten i sig loggar alla händelser i databasen på systemnivå.  

16. Referenser