Säkerhet i Omsio: så skyddar vi känsliga personuppgifter i familjehemsvården

Familjehemsvården hanterar några av de mest känsliga personuppgifterna i hela socialtjänsten. Barnens journaler, hälsoinformation, familjehemsutredningar och kontaktloggar klassas som känsliga personuppgifter enligt GDPR och kräver ett skydd som går längre än vad generella verktyg erbjuder.

Ändå visar IVO:s granskningar att brister i dokumentation och åtkomstkontroll är bland de vanligaste problemen i familjehemsvården. I en granskning av 26 socialnämnder fann IVO att nästan samtliga hade brister kopplade till dokumentation och delaktighet. Och med Socialstyrelsens nya föreskrifter HSLF-FS 2025:58, som skärper kraven på behörighetsstyrning, spårbarhet och riskbedömningar, ökar pressen på verksamheter att ha system som lever upp till regelverket.

Här beskriver vi hur Omsio är byggt för att möta de kraven, med säkerheten som en del av plattformens arkitektur från början.

Stark autentisering med BankID

Det första försvarslagret i alla digitala system är inloggningen. I familjehemsvården, där en obehörig inloggning kan exponera ett barns hela historia, räcker det inte med användarnamn och lösenord.

I Omsio loggar användare in med BankID i stället för med lösenord. Samma identifiering används när avtal ska signeras, och signaturen utgör en avancerad elektronisk signatur enligt eIDAS-förordningen (EU 910/2014) och svensk lag (2016:561).

Det tar bort en hel kategori av risker på en gång. Ett lösenord som återanvänds från ett annat system, en delad inloggning på ett kontor, en anteckning på en post-it: inget av det fungerar som väg in. Det ligger i linje med vad HSLF-FS 2025:58 kräver, att elektronisk åtkomst till känsliga personuppgifter ska skyddas med stark autentisering.

Behörighetsstyrning: rätt person ser rätt information

En av de vanligaste bristerna IVO pekar ut handlar om att personal har tillgång till mer information än vad deras arbetsuppgifter kräver. Det är sällan illvilligt, utan beror oftast på att systemen saknar tillräckligt detaljerad åtkomstkontroll.

I Omsio är behörighetsstyrningen finmaskig och rollbaserad. Varje användare har en definierad roll (föreståndare, konsulent, familjehem) och ser enbart den information som är relevant för just den rollen. En familjehemskonsulent ser sina egna ärenden, inte kollegans. En familjehemsförälder ser kommunikation och dokument som rör det egna uppdraget, men inte andra placeringar. Vill ni dessutom styra varifrån inloggningen får ske finns IP-låsning som tillval.

Den här modellen bygger på principen om ändamålsbegränsning, en av GDPR:s grundpelare och ett krav som HSLF-FS 2025:58 förstärker genom att kräva dokumenterade behovs- och riskbedömningar innan behörigheter tilldelas.

Konkret innebär det att verksamhetschefen i Omsio kan styra exakt vilka moduler och vilken information varje medarbetare har åtkomst till. Behörigheter kan justeras när roller förändras, och ändringar loggas automatiskt.

Kryptering: data skyddas i vila och under överföring

Kryptering är en av de mest grundläggande säkerhetsåtgärderna, men den måste implementeras konsekvent för att göra skillnad. I Omsio krypteras data i två lager:

• Under överföring (in transit): All kommunikation mellan användarens webbläsare och Omsios servrar sker via TLS 1.2 eller högre. Det gäller oavsett om användaren laddar upp ett dokument, skriver i journalen eller skickar ett meddelande.

• I vila (at rest): Lagrad data som journalanteckningar, dokument och kontaktloggar krypteras på servernivå med AES-256. Det innebär att även om någon skulle få fysisk tillgång till lagringsmedia, förblir informationen oläsbar utan rätt nycklar.

TLS 1.2+ är redan ett explicit krav i de nya föreskrifterna för hälso- och sjukvården, och samma standard gäller för socialtjänsten när HSLF-FS 2025:58 träder i kraft fullt ut. Omsio tillämpar den standarden redan nu.

Spårbarhet: varje åtkomst loggas

I Omsio loggas alla väsentliga händelser i en revisionsspårning (audit log):

• Vem loggade in, när, och från vilken enhet
• Vilka journalanteckningar öppnades eller redigerades
• Vilka dokument laddades upp eller laddades ned
• Vilka behörigheter ändrades

Loggarna är skrivskyddade och kan inte ändras eller raderas av användare, inte ens av verksamhetens administratör. Det är ett medvetet designbeslut som säkerställer att spårningen alltid är tillförlitlig.

Vid en IVO-tillsyn, en Lex Sarah-utredning eller en intern kvalitetsgranskning kan verksamheten snabbt ta fram en komplett bild av vem som har gjort vad och när. Det sparar tid och skapar trygghet, både för medarbetarna och för de barn och familjer vars uppgifter hanteras.

Dataisolering: varje verksamhet är en egen enhet

I system som hanterar flera verksamheter finns alltid risken för dataläckage mellan organisationer. Det kan ske genom en felkonfigurerad sökfunktion, en delad databas utan tillräcklig avgränsning, eller helt enkelt genom att en användare byter roll utan att sessionen uppdateras.

Omsio löser det med dataisolering som upprätthålls på databasnivå. Varje verksamhet är en logiskt separerad enhet, och avgränsningen ligger i databasen själv i stället för i applikationskoden ovanpå. En förfrågan som skulle korsa verksamhetsgränsen returnerar inget, oavsett vilken roll användaren har och oavsett var i gränssnittet den ställs.

Det innebär att en konsulentverksamhet med flera uppdragsgivare kan vara trygg i att kommunernas data aldrig blandas, ett krav som många upphandlande kommuner ställer explicit i sina ramavtal.

Vad de nya föreskrifterna kräver i praktiken

HSLF-FS 2025:58 börjar gälla stegvis. För hälso- och sjukvården gäller reglerna sedan februari 2026. För socialtjänsten är den fulla ikraftträdandedagen satt till maj 2028. Men kraven speglar redan gällande GDPR-principer, och IVO granskar dokumentation och åtkomstkontroll redan idag.

De centrala kraven i föreskriften:

• Dokumenterade behovs- och riskbedömningar innan behörigheter tilldelas
• Stark autentisering för elektronisk åtkomst till känsliga personuppgifter
• Full spårbarhet i API:er och integrationer
• Rutiner för att informera de registrerade om hur deras uppgifter behandlas

För verksamheter som redan använder ett modernt system byggt med de här principerna innebär föreskriften ingen stor omställning. För verksamheter som fortfarande förlitar sig på kalkylark, delade mappar eller äldre system utan åtkomstkontroll blir omställningen mer krävande.

Säkerhet i hela arkitekturen

Det går inte att bygga säkerhet i efterhand. Ett system som inte designades med känsliga personuppgifter i åtanke kan inte lappas till att bli säkert genom att lägga till en inloggningssida eller aktivera kryptering. Säkerheten måste finnas i hela arkitekturen, från hur data lagras och överförs till hur behörigheter tilldelas och hur varje åtgärd spåras.

Omsio är byggt utifrån den principen, eftersom familjehemsvården behöver system som tar lika stort ansvar för barnens integritet som verksamheterna själva gör.

Vill ni se hur Omsio hanterar säkerhet och dataskydd i praktiken? Läs mer på vår säkerhetssida eller boka en genomgång med oss.