Informationssäkerhet och regelefterlevnad

01

Regelefterlevnad

Edith Care är utformad för att stödja vårdgivaren i att uppfylla alla relevanta regelverk för personuppgiftsbehandling inom hälso- och sjukvården.

Patientdatalagen (PDL, 2008:355)

Patientdatalagen reglerar all behandling av personuppgifter inom hälso- och sjukvården. PDL gäller för alla system som vårdgivaren använder för att behandla patientdata.

Personuppgiftsbehandling (2 kap.)

• •Behandling sker på uppdrag av vårdgivaren (personuppgiftsansvarig) med Edith Care som personuppgiftsbiträde
• •Uppgifter behandlas endast för ändamål som är tillåtna enligt PDL 2 kap. 4 § — dokumentation i samband med vård av patient

Inre sekretess och behörighetsstyrning (4 kap. 1–2 §§)

• •Individuella användarkonton — inga delade inloggningar
• •Rollbaserad behörighet begränsad till vad som behövs för arbetsuppgifterna
• •Stöd för att begränsa åtkomst till egna patienter/ärenden
• •Dokumenterad behörighetstilldelning i enlighet med vårdgivarens behovs- och riskanalys (HSLF-FS 2025:57)

Loggning och åtkomstkontroll (4 kap. 3 §)

• •All åtkomst till patientdata i Edith Care loggas automatiskt
• •Loggar inkluderar vem som gjort åtkomsten, tidpunkt, typ av åtgärd och vilken resurs som berördes
• •Loggdata tillgänglig för vårdgivarens systematiska och återkommande loggkontroll
• •Stöd för att generera loggutdrag vid patientbegäran (5 kap. 3 §)

Patientens rättigheter (5 kap.)

• •Patienten kan begära loggutdrag som visar vem som tagit del av dennes uppgifter i Edith Care
• •Edith Care stödjer vårdgivarens informationsskyldighet gentemot patienter

HSLF-FS 2016:40 (Journalföring och personuppgiftsbehandling)

Journalföring (2 kap.)

• •AI-genererat innehåll i Edith Care utgör utkast till journalunderlag
• •Ansvarig legitimerad psykolog granskar, redigerar och godkänner allt innehåll före överföring till journalsystemet
• •Den legitimerade psykolog som signerar journalanteckningen tar ansvar för innehållets korrekthet

Informationssäkerhet (3 kap.)

• •Individuell användaridentifiering och autentisering (3 kap. 7 §)
• •Behörighetsstyrning baserad på dokumenterad behovs- och riskanalys (3 kap. 8 §)
• •Fullständig åtkomstloggning (3 kap. 9 §)
• •Krypterad överföring av patientdata (3 kap. 10 §)

Dataskyddsförordningen (GDPR)

Hälsouppgifter utgör känsliga personuppgifter enligt GDPR artikel 9. Edith Care behandlar sådana uppgifter med stöd av GDPR artikel 9.2 h (behandling nödvändig för hälso- och sjukvård, under tystnadsplikt).

GDPR-principer som genomsyrar Edith Care

• •Laglighet och öppenhet — behandling sker på rättslig grund (PDL + GDPR art. 9.2 h)
• •Ändamålsbegränsning — patientdata används uteslutande för dokumentationsstöd
• •Uppgiftsminimering — endast nödvändiga uppgifter behandlas
• •Lagringsminimering — data raderas från Edith Care efter överföring till journalsystemet
• •Integritet och konfidentialitet — tekniska och organisatoriska skyddsåtgärder
• •Inbyggt dataskydd (privacy by design) — dataskydd integrerat i all utveckling

Personuppgiftsbiträdesavtal (GDPR art. 28)

• •Personuppgiftsbiträdesavtal (PUB-avtal) upprättas med varje vårdgivare som använder Edith Care
• •Avtalet reglerar ändamål, datakategorier, säkerhetsåtgärder, underbiträden, dataresidency, raderingsrutiner och revisionsmöjlighet

Konsekvensbedömning (DPIA)

• •Edith Care stödjer vårdgivarens skyldighet att genomföra konsekvensbedömning avseende dataskydd (GDPR art. 35)
• •Dokumentation av tekniska och organisatoriska åtgärder tillhandahålls som underlag

EU:s AI-förordning (2024/1689)

EU:s AI-förordning tillämpas stegvis: förbud mot oacceptabel risk gäller sedan februari 2025, krav på GPAI-modeller och myndighetsanvändning sedan augusti 2025, huvuddelen av reglerna (inklusive krav på högrisk-AI) från 2 augusti 2026. Edith Care följer aktivt tidsplanen.

Klassificering

Edith Care klassificeras som ett dokumentationsstöd som inte fattar eller påverkar kliniska beslut. Systemet gör ingen diagnostik, poängsättning av symtom eller behandlingsrekommendationer. Baserat på MDCG 2019-11 rev.1 (juni 2025) och AI-förordningens Bilaga III bedöms Edith Care inte utgöra ett högrisk-AI-system.

Förberedande åtgärder

• •Riskhanteringssystem med dokumenterade risker och åtgärder (artikel 9)
• •Teknisk dokumentation av systemets design och funktion (artikel 11)
• •Transparens — tydlig förklaring av AI:ns kapacitet och begränsningar (artikel 13)
• •Mänsklig tillsyn — alla förslag granskas av legitimerad vårdpersonal (artikel 14)
• •AI-kompetens — utbildningsmaterial och löpande support för användare (artikel 4)

Medicinteknisk klassificering

Edith Care är ett dokumentationsverktyg, inte en medicinteknisk produkt enligt EU MDR 2017/745. Systemets avsedda användning är att stödja psykologer med textstrukturering, språkkvalitet och formatering av utredningsrapporter. Systemet utför ingen diagnostik, ingen poängsättning av symtom, inga behandlingsrekommendationer. Alla kliniska bedömningar görs uteslutande av legitimerad psykolog.

I enlighet med MDCG 2019-11 rev.1 (juni 2025) kvalificeras inte programvara som lagrar, arkiverar eller kommunicerar data utan klinisk tolkning som medicinteknisk produkt. En självbedömning enligt artikel 6.3 har genomförts och dokumenterats.

Edith Care övervakar aktivt Läkemedelsverkets pågående granskning av AI-assistenter i vården (mars 2026) och anpassar vid behov sin klassificering och efterlevnad.

02

Dataskydd och kryptering

Datalagring i Sverige

All patientdata — databas, AI-behandling och fillagring — lagras och behandlas i Sverige via Microsoft Azure Sweden Central (datacenter i Sandviken/Gävle och Staffanstorp), i enlighet med Microsofts EU Data Boundary-åtaganden.

Stödtjänster för produktanalys (PostHog) och AI-övervakning (Langfuse) behandlar enbart anonymiserad metadata inom EU/EES och har aldrig tillgång till patientdata. Microsofts EU Data Boundary-program garanterar att kunddata behandlas och lagras inom EU/EES. Azure Sweden Central är ISO 27001- och SOC 2-certifierat.

Alternativ med helsvensk infrastruktur

Edith Care har arkitekturell beredskap för att i framtiden erbjuda en fullt svensk infrastrukturlösning med svenska moln- och AI-leverantörer. Vi vill vara transparenta med att svenska AI-modeller i dagsläget inte uppnår samma kvalitetsnivå som de internationella modeller vi använder via Azure Sweden Central. Vi följer utvecklingen aktivt och utvärderar löpande svenska alternativ i takt med att de mognar.

Kryptering

Ingen okrypterad patientdata lagras eller överförs.

Åtkomstkontroll

03

Spårbarhet och loggning

Full spårbarhet är avgörande för att stödja vårdgivarens lagstadgade skyldighet att kontrollera åtkomst till patientdata (4 kap. 3 § PDL).

Vad loggas

Logghantering

• •Loggar lagras säkert och skyddas mot manipulation
• •Loggdata innehåller aldrig kliniskt patientinnehåll — endast metadata och ID-nummer
• •Vårdgivaren kan begära loggutdrag för internkontroll och vid patientbegäran (5 kap. 3 § PDL)
• •Automatiska varningar vid avvikande åtkomstmönster
• •Loggar bevaras i enlighet med vårdgivarens policy och gällande lagkrav

04

AI och mänsklig kontroll

Edith Care använder AI för att stödja legitimerade psykologer i deras dokumentationsarbete — aldrig för att ersätta professionell klinisk bedömning. Detta är en grundläggande designprincip.

AI som dokumentationsstöd, inte kliniskt beslutsfattande

• •AI ger förslag på textstruktur, formuleringar och sammanfattningar
• •AI gör ingen diagnostik, ingen poängsättning av symtom, inga behandlingsrekommendationer
• •Alla kliniska bedömningar görs uteslutande av legitimerad psykolog
• •AI-genererat innehåll markeras tydligt som förslag som kräver professionell granskning

Transparens och förklarbarhet

När AI genererar ett förslag framgår alltid att:

• •Det är ett utkast som kräver granskning av legitimerad psykolog
• •Det är psykologen som ansvarar för det slutgiltiga journalinnehållet
• •AI har begränsningar och kan producera felaktiga eller ofullständiga förslag
• •Verktyget är ett dokumentationsstöd, inte ett kliniskt beslutstöd

Information till patienter

Edith Care rekommenderar att vårdgivare informerar patienter om att AI-assisterad dokumentation används. Stöd för detta tillhandahålls genom:

• •Rekommenderad informationstext för klinikens integritetspolicy
• •Vägledning för muntlig information vid utredningens start
• •Tydlig information om att AI inte påverkar den kliniska bedömningen

Säker AI-infrastruktur

05

Datalivscykel och gallring

Edith Cares roll i dokumentationsflödet

Edith Care hanterar patientdata som journalunderlag — utkast som bearbetas och granskas av psykologen innan de överförs till klinikens officiella journalsystem. Edith Care är inte journalsystemet.

DOKUMENTATIONSFLÖDET

1. 1.Inspelning av samtal — Ljudinspelning i Edith Care
2. 2.Transkribering — Ljud omvandlas till text
3. 3.AI-stödd rapportskrivning — AI assisterar med struktur och formuleringar
4. 4.Granskning av psykolog — Legitimerad psykolog granskar och redigerar
5. 5.Överföring till journalsystem — Godkänt innehåll överförs
6. 6.Signering i journalsystem — Psykologen signerar journalanteckningen
7. 7.Radering från Edith Care — Patientdata raderas från Edith Care

Datahantering per fas

Gallringsansvar

• •10-årig bevarandeplikt (3 kap. 17 § PDL) gäller journalhandlingar — detta ansvar faller på journalsystemet, inte på Edith Care
• •Edith Care raderar patientdata efter överföring till journalsystemet, i enlighet med konfigurerad gallringsfrist
• •Vårdgivaren bestämmer gallringsfrist i Edith Care (rekommendation: 30 dagar efter överföring)
• •Raderingen är permanent och verifierbar

Uppgiftsminimering

• •Ljudfiler raderas direkt efter framgångsrik transkribering
• •Transkriptioner och utkast raderas efter överföring till journalsystemet
• •Endast de uppgifter som behövs för aktuellt dokumentationsändamål behandlas
• •Inga personuppgifter bevaras längre än nödvändigt i Edith Care

06

Infrastruktur och leverantörer

Infrastrukturöversikt

Not: Webbapplikationen levereras via Vercel (CDN/edge-nätverk). I Edith Cares arkitektur fungerar Vercel enbart som reverse proxy för statiska frontend-filer och API-anrop som vidarebefordras till Azure Sweden Central. Inga edge functions, serverless functions eller log drains som behandlar patientdata är aktiverade. All persistent datalagring och AI-behandling sker i Azure Sweden Central.

Nätverkssäkerhet

• •Krypterad kommunikation mellan alla komponenter (TLS 1.3)
• •Brandväggsskydd på applikations- och nätverksnivå
• •Regelbunden säkerhetsskanning
• •Penetrationstestning planerad Q3 2026 som del av certifieringsarbete

Krav på molnleverantörer

Samtliga infrastrukturleverantörer uppfyller följande minimikrav:

• •Datacenter i Sverige (Azure Sweden Central)
• •ISO 27001-certifiering (informationssäkerhet)
• •GDPR-efterlevnad och databehandlingsavtal enligt artikel 28
• •Stöd för kryptering vid lagring och överföring
• •Möjlighet till revision och insyn

Underleverantörer (underbiträden)

Alla underleverantörer som behandlar personuppgifter omfattas av:

• •Personuppgiftsbiträdesavtal med specifika krav för hälsodata
• •Förbud mot behandling utanför EU/EES utan godkännande
• •Explicit förbud mot användning av patientdata för modellträning
• •Krav på att meddela Edith Care vid förändringar som påverkar datasäkerheten

07

Incidenthantering

Vid en säkerhetsincident eller personuppgiftsincident följer Edith Care etablerade rutiner:

08

Ytterligare regulatorisk efterlevnad

NIS2 och Cybersäkerhetslagen (2025:1506)

Sveriges cybersäkerhetslag, som implementerar EU:s NIS2-direktiv, trädde i kraft den 15 januari 2026. Hälso- och sjukvård klassificeras som samhällsviktig verksamhet. Edith Care stödjer vårdgivarens efterlevnad genom:

• •Robust incidenthantering med förmåga att rapportera säkerhetsincidenter inom 24 timmar
• •Systematiskt säkerhetsarbete med dokumenterade riskbedömningar
• •Säkerhet i leverantörskedjan — alla underleverantörer genomgår säkerhetsgranskning
• •Kontinuitetsplanering och rutiner för driftkontinuitet

EU:s dataförordning (Data Act)

• •Fullständig dataexport i standardformat
• •Stöd för byte av tjänsteleverantör utan tekniska hinder
• •Dokumenterade API:er och dataformat
• •Assistans vid migrering till annan leverantör

Tillgänglighet

WCAG 2.1 nivå AA — kontinuerlig förbättring baserat på användarfeedback.

eIDAS 2.0

Edith Care följer utvecklingen av den europeiska digitala identitetsplånboken (EUDI Wallet) och förbereder för integration när svenska lösningar blir tillgängliga. Nuvarande autentisering stödjer svenska e-legitimationer.

09

Aktuell status

Säkerhetsnivå

All hantering av patientdata sker med produktionsfärdig säkerhetsnivå. Kryptering, åtkomstkontroll, loggning och regelefterlevnad (PDL, GDPR, HSLF-FS) är implementerade och aktiva.

Funktioner under utveckling

Följande funktioner är under aktiv utveckling:

• •Validering av AI-genererat innehåll mot källmaterial — beräknas klart inom en månad (Q2 2026)
• •Penetrationstestning — planerad Q3 2026

10

Kontaktinformation

För frågor om informationssäkerhet och dataskydd, kontakta: