Journalhandlingar befinner sig i skärningspunkten mellan två rättsliga skyldigheter som kan dra åt olika håll. Dataskyddsförordningen (GDPR) ger patienter meningsfulla rättigheter över sina personuppgifter, inklusive rätten att få felaktig information korrigerad och, under vissa omständigheter, raderad. Samtidigt kräver professionella och regulatoriska ramverk att kliniker upprätthåller fullständig, korrekt och oförändrad klinisk dokumentation av vården. För kliniska administratörer som ansvarar för att hantera dessa förfrågningar dagligen är det inte valfritt att förstå exakt var dessa skyldigheter börjar, slutar och överlappar. Det är ett grundläggande krav för GDPR-efterlevnad inom vården.

De två GDPR-rättigheter som är relevanta här: rättelse och radering

Två artiklar i GDPR är direkt relevanta när en patient ifrågasätter innehållet i sin journal.

Artikel 16, rätten till rättelse, ger individer rätten att få felaktiga personuppgifter korrigerade utan onödigt dröjsmål och att få ofullständiga personuppgifter kompletterade. Som Irish Data Protection Commission bekräftar gäller denna rättighet för faktiska personuppgifter, såsom ett felaktigt födelsedatum, en felaktig adress eller ett felstavat namn, relativt okomplicerat. Det blir betydligt mer komplext när uppgifterna i fråga är en klinisk bedömning, en diagnos eller en behandlingsanteckning.

Artikel 17, rätten till radering (även kallad rätten att bli bortglömd), ger individer rätten att begära radering av sina personuppgifter under specifika omständigheter: där uppgifterna inte längre är nödvändiga för det ändamål för vilket de samlades in, där samtycke har återkallats, eller där uppgifterna behandlades olagligt. Som Information Commissioner's Office (ICO) vägledning om rätten till radering klargör är denna rättighet inte absolut. Rättigheten gäller endast personuppgifter som för närvarande innehas av den personuppgiftsansvarige vid den tidpunkt då begäran tas emot.

Båda rättigheterna kan åberopas av varje identifierad registrerad, i detta sammanhang patienten vars journal innehas. Båda har en svarsfrist på en kalendermånad. Ingen av dem fungerar utan betydande begränsningar i en vårdmiljö.

När en patient begär en korrigering: vad GDPR faktiskt förpliktar dig att göra

När en patient lämnar in en begäran om rättelse kräver artikel 16 att den personuppgiftsansvarige, vanligtvis vårdorganisationen, bedömer huruvida uppgifterna i fråga verkligen är felaktiga eller ofullständiga och agerar därefter inom en månad.

För enkla faktafel som ett felaktigt NHS-nummer eller ett felaktigt födelsedatum är detta relativt okomplicerat. Posten korrigeras, ändringen loggas och patienten meddelas. Komplexiteten uppstår med kliniska poster, inklusive diagnoser, observationer, riskbedömningar och läkemedelsbeslut, där begreppet felaktighet inte är självklart.

ICO tar upp detta direkt. Dess vägledning om rättelse anger att om en patient får en diagnos som senare visar sig inte stämma, bör deras journalhandlingar dokumentera både den ursprungliga diagnosen och de slutliga fynden. Den ursprungliga posten raderas inte. Den kontextualiseras. Detta återspeglar en grundläggande princip för klinisk dokumentation: journalen finns för att visa vad som var känt och beslutat vid en given tidpunkt, inte bara vad som för närvarande förstås vara sant.

Korrigering i ett journalsammanhang innebär nästan alltid ett tillägg eller en kommentar, inte överskrivning. GDPR-Hub-kommentaren om artikel 16 bekräftar att rättelse kan uppnås genom att ändra uppgifter, genom partiell eller fullständig radering, eller genom komplettering, och att den registrerade i vissa situationer kan välja mellan att begära rättelse eller radering. I praktiken, för journalhandlingar, är komplettering via ett kompletterande uttalande det vanligaste och juridiskt försvarliga tillvägagångssättet.

När en patient begär radering: gränserna för artikel 17 inom vården

Rätten till radering är den begäran som kliniska administratörer mest sannolikt hanterar felaktigt, antingen genom att behandla den som automatiskt giltig eller genom att avslå den utan ordentlig bedömning. Inget av tillvägagångssätten är förenligt med regelverket.

Den fullständiga texten i artikel 17(3) anger flera undantag som är direkt relevanta för journalhandlingar. Radering gäller inte där lagring är nödvändig:

• För att uppfylla en rättslig förpliktelse enligt unionsrätten eller medlemsstaternas nationella rätt

• Av skäl som rör allmänintresset på folkhälsoområdet enligt artikel 9(2)(h) och (i)

• För arkivändamål av allmänt intresse, eller för vetenskaplig eller historisk forskning

• För att fastställa, göra gällande eller försvara rättsliga anspråk

I praktiken faller de flesta journalhandlingar under minst ett av dessa undantag. Nationell lagstiftning i Europeiska unionens medlemsstater och Storbritannien ålägger lagstadgade minimala lagringsperioder för journalhandlingar, vanligtvis mellan åtta och trettio år beroende på typ av handling och jurisdiktion, vilket utgör en rättslig förpliktelse enligt artikel 17(3)(a). Secure Privacys vägledning för dataskyddsombud inom vården bekräftar att där en lagstadgad lagringsförpliktelse gäller kan begäran om radering lagligen avslås.

Dock fann den europeiska dataskyddsstyrelsens (EDPB) samordnade tillsynsåtgärd 2025, som analyserade svar från 764 personuppgiftsansvariga i hela Europa, att personuppgiftsansvariga ofta felaktigt tillämpade undantagen i artikel 17(3) genom att behandla dem som automatiskt tillämpliga utan att genomföra bedömningar från fall till fall. Nio dataskyddsmyndigheter inledde formella tillsynsutredningar som ett resultat. Lärdomen för kliniska administratörer är tydlig: att avslå en begäran om radering kräver dokumenterad motivering, inte en generell policy.

Även när en begäran om radering lagligen avslås måste organisationen fortfarande svara patienten inom en månad, förklara grunderna för avslaget och informera dem om deras rätt att klaga till relevant tillsynsmyndighet.

Kravet på revisionsspår: vad måste dokumenteras när en handling ändras

När en journalpost korrigeras, kommenteras eller flaggas som omtvistad måste organisationen upprätthålla ett fullständigt revisionsspår. Detta är både ett krav på ansvarsskyldighet enligt GDPR och en medicinskt-juridisk nödvändighet.

Ett regelkonformt revisionsspår för en ändring av en handling måste fånga:

• Identiteten på den person som gjorde ändringen

• Datum och tid för ändringen

• Anledningen till ändringen

• Innehållet i den ursprungliga posten, bevarat i sin helhet

• Ändringens karaktär (tillägg, korrigering eller tvisteflagga)

Allmänläkarpraktikens policy för tillgång till journalhandlingar i linje med NHS-vägledning anger uttryckligen: "Information kan tas bort från visning, men revisionsspåret kommer alltid att hålla journalen fullständig. Ändringar av handlingar kan göras förutsatt att ändringarna görs på ett sätt som anger varför ändringen gjordes, så att det är tydligt att handlingar inte har manipulerats."

Att skriva över eller radera ursprungliga poster utan spår är ett av de allvarligaste efterlevnadsfel en klinisk administratör kan göra. Det skapar samtidig GDPR-risk (misslyckande med ansvarsskyldighet enligt artikel 5(2)) och medicinskt-juridisk risk (potentiell bevisning om manipulation av handlingar i en utredning av klinisk vårdskada eller regulatorisk utredning). Revisionsspår måste vara manipuleringssäkra och bör fånga detaljerad information för varje interaktion, inklusive användaridentitet, tidsstämpel, IP-adress, enhetsidentifierare, dataklassificering och utförd åtgärd, enligt GDPR:s principer om ansvarsskyldighet och NHS-vägledning om hantering av journalhandlingar.

Hur professionella standarder och regulatoriska organ interagerar med GDPR-skyldigheter

GDPR sätter ett golv, inte ett tak. Nationella medicinska råd, professionella tillsynsmyndigheter och hälsosystemorgan lägger till ytterligare skyldigheter ovanpå, och i de flesta fall förstärker dessa snarare än motsäger GDPR:s tillvägagångssätt för handlingsintegritet.

I Storbritannien kräver både General Medical Council (GMC) och Nursing and Midwifery Council (NMC) att kliniker för tydliga, korrekta och samtida handlingar. NHS-vägledning om hantering av handlingar specificerar lagringsscheman som bestämmer den minimiperiod för vilken olika typer av handlingar måste bevaras. Dessa skyldigheter interagerar direkt med artikel 17(3)(a): där ett lagstadgat eller regulatoriskt lagringskrav finns, ger det den rättsliga grunden för att avslå en begäran om radering.

I EU-medlemsstaterna är bilden liknande men varierande. Nationella lagstiftningsramverk i Sverige, Storbritannien och Tyskland speglar i stort sett GDPR samtidigt som de erbjuder olika ytterligare mekanismer för att hantera fel i journalsystem. Det kommande europeiska hälsodatarummet (EHDS) förväntas positionera rättelseprocessen inom digitala hälsotjänster, potentiellt möjliggöra patientinmatning i systemet, även om detta förblir prospektivt vid tidpunkten för detta skrivande.

Kliniska administratörer som arbetar över gränser, eller i organisationer som omfattas av både brittisk GDPR och EU GDPR, bör vara medvetna om att medlemsstaternas regler kan vara strängare än GDPR-baslinjen och bör söka jurisdiktionsspecifik juridisk rådgivning där det tillämpliga ramverket är oklart.

Den korrekta processen för att hantera en begäran om rättelse steg för steg

Följande arbetsflöde återspeglar kraven i artiklarna 16 och 19 GDPR, svarsfristen på en månad och bästa praxis för hantering av journalhandlingar.

Steg 1: Ta emot och logga begäran. Registrera mottagningsdatumet. Klockan på en månad börjar omedelbart, oavsett hur begäran lämnades in (brev, e-post, onlineformulär eller muntlig begäran följt av skriftlig bekräftelse).

Steg 2: Verifiera patientens identitet. Behandla inte begäran förrän identiteten är bekräftad. Detta skyddar mot obehöriga ändringar av tredje parts handlingar.

Steg 3: Identifiera de specifika uppgifterna i fråga. Be patienten att specificera exakt vilken post eller poster de anser vara felaktiga eller ofullständiga, och vilken korrigering de söker.

Steg 4: Konsultera den ansvariga klinikern. NHS-anpassad handlingspolicy är tydlig: "Där tvisten rör en medicinsk post bör klinikern som gjorde posten konsulteras och övervägande ges om huruvida det är lämpligt att ändra den." Detta steg är inte valfritt.

Steg 5: Bestäm lämplig åtgärd. Baserat på klinikerns bedömning och uppgifternas karaktär:

• Om posten innehåller ett tydligt faktafel (fel datum, fel namn): korrigera det och bevara originalet i revisionsspåret

• Om posten är en klinisk bedömning som klinikern står fast vid: lägg till en kompletterande anteckning som registrerar patientens tvist utan att ändra originalet

• Om posten verkligen är ofullständig: lägg till ett kompletterande uttalande

Steg 6: Uppdatera handlingen regelkonformt. Bevara den ursprungliga posten, datera och tillskriv ändringen tydligt, och dokumentera anledningen till ändringen.

Steg 7: Meddela patienten om resultatet. Svara inom en kalendermånad från den ursprungliga begäran. Om begäran avslås helt eller delvis, förklara grunderna och informera patienten om deras rätt att klaga till tillsynsmyndigheten.

Steg 8: Dokumentera beslutsprocessen. Registrera vad som övervägdes, vem som konsulterades, vilket beslut som fattades och varför. Denna dokumentation är organisationens bevis på efterlevnad om beslutet senare ifrågasätts.

Vad man ska göra när du inte håller med om patientens version av händelserna

En patient kan hävda att en klinisk post är felaktig när klinikern som gjorde posten står fast vid dess riktighet. Detta är ett av de vanligaste och mest missförstådda scenarierna i hantering av journalhandlingar.

GDPR kräver inte att vårdgivare accepterar en patients föredragna version av händelserna som fakta. Irish Data Protection Commissions vägledning är uttrycklig om att varken rätten till rättelse eller rätten till radering gäller lätt för medicinska bedömningar, diagnoser och kliniska behandlingsanteckningar, just eftersom dessa representerar professionella bedömningar snarare än objektiva fakta.

Det GDPR-konforma svaret i ett scenario med omtvistad klinisk post är att lägga till en anteckning i handlingen som anger att patienten bestrider posten, samtidigt som klinikerns ursprungliga dokumentation lämnas intakt. Detta tillvägagångssätt:

• Bevarar integriteten hos den ursprungliga kliniska handlingen

• Erkänner patientens rätt att få sin åsikt registrerad

• Skapar ett transparent revisionsspår som visar att tvisten hanterades

• Kräver inte att organisationen dömer mellan konkurrerande versioner

Svarsfristen på en månad gäller fortfarande. Patienten måste informeras om resultatet, inklusive det faktum att den ursprungliga posten har behållits, och om deras rätt att eskalera till tillsynsmyndigheten om de förblir missnöjda.

Meddelanden till tredje part: måste du berätta för någon annan om ändringen?

Artikel 19 i GDPR kräver att personuppgiftsansvariga meddelar varje tredje part till vilken uppgifterna lämnades ut om en rättelse eller radering, såvida det inte är omöjligt eller innebär oproportionella ansträngningar att göra det. Där meddelande till tredje part har ägt rum måste den personuppgiftsansvarige också informera den registrerade om dessa mottagare om de ber om det.

I ett kliniskt sammanhang har denna skyldighet direkta operativa konsekvenser. Om en patients handling har ändrats och den handlingen tidigare delades med en specialistvårdgivare efter en remiss, en specialist som fick ett remissbrev, en försäkringsgivare eller arbetsgivare (där patienten samtyckte till utlämnande), eller ett socialt vårdteam, bör i princip var och en av dessa mottagare meddelas om ändringen. I praktiken kräver detta att kliniska administratörer upprätthåller tydliga register över vem som fick vilken information och när.

Undantaget för oproportionella ansträngningar ger viss lättnad där meddelande är genuint opraktiskt, till exempel där uppgifter delades för många år sedan med flera parter och kontaktuppgifter inte längre är tillgängliga. Detta undantag kräver dock dokumenterad motivering. Det kan inte åberopas som standard.

Vanliga misstag som kliniska administratörer gör när de hanterar dessa begäranden

EDPB:s tillsynsresultat från 2025 identifierade systematiska misslyckanden hos personuppgiftsansvariga i hur raderingsrättigheter hanteras. I ett journalsammanhang inkluderar de vanligaste efterlevnadsmisslyckandena:

• Att missa fristen på en månad. Klockan börjar på mottagningsdatumet, inte det datum då begäran formellt loggas eller tilldelas. Förseningar i intern dirigering är inte en giltig anledning till ett sent svar.

• Att skriva över ursprungliga poster. Att ersätta en ursprunglig post utan att bevara den i ett revisionsspår är både ett misslyckande med GDPR-ansvarsskyldighet och en potentiell medicinskt-juridisk ansvarsskyldighet.

• Att misslyckas med att dokumentera beslutsprocessen. Att besluta att inte ändra en handling, eller att besluta att lägga till ett tillägg snarare än en korrigering, kräver dokumenterad motivering. Ett odokumenterat beslut är ett oförsvarbart beslut.

• Att behandla alla begäranden om radering som automatiskt giltiga. Att acceptera begäranden om radering utan att bedöma om ett undantag gäller, särskilt undantaget för lagstadgad lagring, utsätter organisationen för risken att förstöra handlingar som den är juridiskt skyldig att behålla.

• Att behandla alla begäranden om radering som automatiskt ogiltiga. EDPB identifierade reflexmässigt avslag av alla begäranden om radering utan bedömning från fall till fall som ett vanligt och sanktionerbart misslyckande.

• Att inte eskalera till dataskyddsombudet (DPO). Komplexa begäranden, tvister som involverar känsliga uppgifter, eller fall där den rättsliga grunden för lagring är genuint oklar bör gå till DPO snarare än att lösas på administrativ nivå.

När man ska eskalera: ditt dataskyddsombud, ditt juridiska team och din tillsynsmyndighet

Inte varje begäran om rättelse eller radering kan eller bör lösas på klinisk administrativ nivå. Följande scenarier motiverar eskalering till dataskyddsombudet, juridiskt team, eller i vissa fall tillsynsmyndigheten:

• Begäranden som involverar minderåriga. Samspelet mellan föräldrarättigheter, Gillick-kompetens (i brittiska jurisdiktioner) och barnets egna datarättigheter kräver juridisk input.

• Handlingar som delas över nationsgränser. Där uppgifter har överförts till personuppgiftsbiträden eller mottagare i andra jurisdiktioner kan de tillämpliga lagrings- och raderingsreglerna skilja sig åt.

• Genuin osäkerhet om den rättsliga grunden för lagring. Om det inte är klart om en lagstadgad lagringsförpliktelse gäller, eller om ett undantag för allmänintresse är engagerat, är detta en juridisk fråga, inte en administrativ.

• Begäranden som verkar relatera till ett potentiellt rättsligt anspråk. Där det finns någon indikation på att patienten överväger eller har inlett rättsliga förfaranden har handlingen potentiellt bevisvärde och varje ändring kräver juridisk rådgivning.

• Upprepade eller eskalerandetvister. Om en patient redan har klagat till tillsynsmyndigheten, eller har indikerat att de avser att göra det, måste dataskyddsombudet involveras.

Enligt artikel 37 GDPR är de flesta EU-vårdorganisationer som behandlar hälsodata i stor skala skyldiga att utse ett dataskyddsombud. Secure Privacys vägledning för vården bekräftar att processer måste finnas på plats för att patienter ska kunna utöva alla registrerades rättigheter, och att dataskyddsombudets roll inkluderar att ge råd om begäranden som strider mot lagstadgade skyldigheter. Kliniska administratörer bör veta vem deras dataskyddsombud är, hur man kontaktar dem och vilken tröskel som utlöser en remiss, innan en komplex begäran anländer, inte efter.

Vanliga frågor

Har patienter rätt att korrigera sina journalhandlingar enligt GDPR?

Ja, men med viktiga begränsningar. Artikel 16 i dataskyddsförordningen ger patienter rätten att få felaktiga personuppgifter korrigerade. För enkla faktafel (ett felaktigt födelsedatum eller ett felstavat namn) är korrigering relativt okomplicerat. För kliniska poster som diagnoser, riskbedömningar eller behandlingsanteckningar är begreppet felaktighet mer komplext. En klinikers professionella bedömning är inte detsamma som ett objektivt faktum, och Irish Data Protection Commission bekräftar att rätten till rättelse inte gäller lätt för medicinska bedömningar och kliniska behandlingsanteckningar.

Kan en patient begära radering av sina journalhandlingar enligt GDPR?

Patienter kan lämna in en begäran om radering enligt artikel 17 i GDPR, men denna rättighet är inte absolut i en vårdmiljö. De flesta journalhandlingar faller under minst ett av undantagen i artikel 17(3), inklusive efterlevnad av en rättslig förpliktelse, allmänintresse inom folkhälsa, eller fastställande eller försvar av rättsliga anspråk. Nationell lagstiftning i EU-medlemsstater och Storbritannien sätter lagstadgade minimala lagringsperioder för journalhandlingar, vanligtvis mellan åtta och trettio år, vilket utgör en rättslig förpliktelse som tillåter organisationer att lagligen avslå begäranden om radering. Avslag kräver dock dokumenterad motivering från fall till fall, inte en generell policy.

Vad är det korrekta sättet att ändra en journalhandling när en patient bestrider en post?

Det korrekta tillvägagångssättet är att lägga till ett tillägg eller en kommentar till handlingen, inte att skriva över eller radera den ursprungliga posten. Om en patient bestrider en klinisk bedömning som den ansvariga klinikern står fast vid, bör en kompletterande anteckning läggas till som registrerar patientens tvist, samtidigt som den ursprungliga dokumentationen lämnas intakt. Om posten innehåller ett genuint faktafel bör det korrigeras med originalet bevarat i revisionsspåret. Information Commissioner's Office bekräftar att där en diagnos senare visar sig vara felaktig bör handlingen visa både den ursprungliga diagnosen och de slutliga fynden.

Vad måste ett revisionsspår inkludera när en journalhandling ändras?

Ett regelkonformt revisionsspår måste fånga identiteten på den person som gjorde ändringen, datum och tid för ändringen, anledningen till ändringen, det fullständiga innehållet i den ursprungliga posten och ändringens karaktär. NHS-vägledning är uttrycklig om att information kan tas bort från visning, men revisionsspåret måste alltid hålla handlingen fullständig. Att skriva över ursprungliga poster utan spår skapar både ett misslyckande med GDPR-ansvarsskyldighet enligt artikel 5(2) och en medicinskt-juridisk risk, inklusive potentiell bevisning om manipulation av handlingar i en utredning av klinisk vårdskada.

Hur lång tid har en vårdorganisation på sig att svara på en begäran om rättelse eller radering?

Både rätten till rättelse enligt artikel 16 och rätten till radering enligt artikel 17 har en svarsfrist på en kalendermånad. Klockan börjar på det datum då begäran tas emot, inte det datum då den formellt loggas eller tilldelas internt. Om begäran avslås helt eller delvis måste organisationen fortfarande svara inom den månaden, förklara grunderna för avslaget och informera patienten om deras rätt att klaga till relevant tillsynsmyndighet.

Kräver GDPR att vårdgivare accepterar en patients version av händelserna som fakta?

Nej. GDPR kräver inte att vårdgivare accepterar en patients föredragna version av händelserna som fakta. Irish Data Protection Commission är uttrycklig om att rätten till rättelse inte gäller lätt för medicinska bedömningar, diagnoser och kliniska behandlingsanteckningar, eftersom dessa representerar professionella bedömningar snarare än objektiva fakta. Där en kliniker står fast vid sin ursprungliga post är det GDPR-konforma svaret att lägga till en anteckning som registrerar att patienten bestrider posten, samtidigt som den ursprungliga dokumentationen lämnas intakt. Patienten måste sedan informeras om resultatet och om deras rätt att eskalera till tillsynsmyndigheten.

Utlöser ändring av en journalhandling en skyldighet att meddela tredje parter?

Ja. Artikel 19 i GDPR kräver att personuppgiftsansvariga meddelar varje tredje part till vilken uppgifterna lämnades ut om en rättelse eller radering, såvida det inte är omöjligt eller innebär oproportionella ansträngningar att göra det. I ett kliniskt sammanhang kan detta inkludera specialistvårdgivare som fick en remiss, specialister som fick ett remissbrev eller sociala vårdteam. Kliniska administratörer behöver upprätthålla tydliga register över vem som fick vilken information och när. Undantaget för oproportionella ansträngningar kan gälla där meddelande är genuint opraktiskt, men det kräver dokumenterad motivering och kan inte användas som standard.

Vilka är de vanligaste misstagen när man hanterar patienters begäranden om rättelse och radering?

Den europeiska dataskyddsstyrelsens samordnade tillsynsresultat från 2025 identifierade flera återkommande misslyckanden. Dessa inkluderar att missa svarsfristen på en månad, att skriva över ursprungliga poster utan att bevara dem i ett revisionsspår, att misslyckas med att dokumentera motiveringen bakom beslut, att behandla alla begäranden om radering som automatiskt giltiga, och att behandla alla begäranden om radering som automatiskt ogiltiga utan bedömning från fall till fall. EDPB fann att nio dataskyddsmyndigheter inledde formella tillsynsutredningar som ett resultat av att personuppgiftsansvariga felaktigt tillämpade undantagen i artikel 17(3) utan ordentlig individuell bedömning.

När bör en klinisk administratör eskalera en begäran om rättelse eller radering till dataskyddsombudet?

Flera scenarier motiverar eskalering snarare än lösning på administrativ nivå. Dessa inkluderar begäranden som involverar minderåriga, där föräldrarättigheter och barnets egna datarättigheter korsar varandra. Handlingar som delas över nationsgränser, där olika lagringsregler kan gälla. Fall där det finns genuin osäkerhet om den rättsliga grunden för lagring. Begäranden som kan relatera till ett potentiellt rättsligt anspråk, där handlingen har bevisvärde. Och situationer där patienten redan har klagat till tillsynsmyndigheten eller indikerat att de avser att göra det. Enligt artikel 37 i GDPR är de flesta EU-vårdorganisationer som behandlar hälsodata i stor skala skyldiga att utse ett dataskyddsombud, och kliniska administratörer bör veta vem deras är innan en komplex begäran anländer.