EU:s nya förordning om det europeiska hälsodataområdet (EHDS) förändrar förutsättningarna för sekundäranvändning av hälsodata. För läkemedelsföretag, MedTech och HealthTech öppnas nya möjligheter att använda data för forskning, AI och produktutveckling. Samtidigt kan företag som innehar hälsodata få nya skyldigheter att göra dem tillgängliga för andra. Vad innebär det för företagets data, produkter och kommersiella intressen – och vad behöver ni förbereda inför 2029?
Inledning
Tänk dig ett MedTech-företag som behöver patientdata för att utveckla och validera en AI-baserad diagnostikfunktion. Eller ett läkemedelsföretag som vill kombinera hälsodata från flera europeiska länder för att utvärdera behandlingseffekter.
Tillgången till relevanta hälsodata kan vara avgörande för forskning, produktutveckling och konkurrenskraft.
EHDS skapar en ny reglerad modell för tillgång till sådana data. Men reglerna innebär också att företag som själva innehar hälsodata, under vissa förutsättningar, kan behöva göra dem tillgängliga för andra aktörer.
Det väcker frågor som går långt utöver GDPR. Vem har rätt att använda uppgifterna? Hur skyddas företagshemligheter och forskningsresultat? Vilka krav gäller när hälsodata används för att träna AI? Och hur påverkas befintliga avtal, tekniska lösningar och interna ansvarsområden?
För många företag blir den största utmaningen därför inte att förstå ytterligare ett regelverk, utan att få dataskydd, forskning, produktutveckling, informationssäkerhet och kommersiella intressen att fungera tillsammans.
Här går vi igenom sju frågor som företag inom Pharma, MedTech och HealthTech bör börja arbeta med redan nu.
1. EHDS: Är företaget hälsodatainnehavare eller hälsodataanvändare?
EHDS inför nya roller för organisationer som innehar respektive vill använda hälsodata.
En hälsodatainnehavare (health data holder) kan under vissa förutsättningar vara skyldig att göra elektroniska hälsodata tillgängliga för sekundäranvändning.
- Det handlar inte bara om sjukhus, regioner och offentliga register.
- Även privata företag som utvecklar produkter eller tjänster inom hälsa, vård och omsorg kan omfattas.
- Det kan exempelvis gälla ett MedTech-företag som innehar data genererade av medicintekniska produkter eller ett läkemedelsföretag med data från klinisk forskning.
En hälsodataanvändare (health data user) är i stället en aktör som har fått laglig tillgång till data för ett godkänt ändamål.
Samma företag kan vara både innehavare och användare.
Det är dessutom viktigt att skilja mellan den som faktiskt omfattas av definitionen av hälsodatainnehavare och en teknikleverantör som enbart behandlar data på uppdrag av en vårdgivare.
Den första frågan är därför inte vilka nya skyldigheter EHDS innebär, utan vilken roll företaget faktiskt har.
Det finns även undantag. Enligt artikel 50 undantas bland annat mikroföretag från skyldigheterna för hälsodatainnehavare, men medlemsstaterna får besluta att dessa skyldigheter ändå ska gälla nationellt.
Att göra nu: Kartlägg om verksamheten kan vara hälsodatainnehavare, hälsodataanvändare eller båda. Bedöm varje relevant verksamhetsdel och datamängd, inte bara koncernen som helhet.
2. Vilka hälsodata omfattas av reglerna för sekundäranvändning?
EHDS omfattar betydligt fler datakategorier än traditionella patientjournaler.
Artikel 51 omfattar bland annat uppgifter från elektroniska patientjournaler, hälsoregister, medicintekniska produkter, hälsoapplikationer, biobanker och kliniska studier.
För ett teknikföretag kan det innebära att data som tidigare främst betraktats som en del av produktens funktionalitet också behöver analyseras utifrån EHDS. Men att organisationen tekniskt kan komma åt informationen betyder inte nödvändigtvis att den har den rättsliga ställning eller de rättigheter som förutsatts.
Ett HealthTech-företag kan exempelvis behandla patientdata åt flera vårdgivare i en gemensam SaaS-plattform. Då behöver företaget förstå vilka data som tillhör respektive behandling och vilka roller, rättigheter och skyldigheter som följer av lag och avtal.
Det blir också viktigt att kunna beskriva datamängderna: innehåll, ursprung, kvalitet, begränsningar och eventuellt skyddsvärd information.
EHDS innehåller krav på datasetbeskrivningar och nationella kataloger. Hälsodatainnehavare som omfattas av reglerna ska också kunna lämna relevanta data inom särskilda tidsfrister när ett behörigt organ begär det.
Det som saknas i organisationens datastyrning i dag kan därför bli ett praktiskt problem när en EHDS-begäran kommer.
Att göra nu: Identifiera relevanta datamängder och dokumentera datakällor, rättigheter, datakvalitet, ansvariga parter och avtalsmässiga begränsningar.
3. AI och sekundäranvändning av hälsodata – vad är tillåtet?
En av de mest intressanta möjligheterna med EHDS är att förordningen uttryckligen omfattar användning av hälsodata för forskning och innovation. Artikel 53 inkluderar bland annat utveckling och innovation av produkter och tjänster samt träning, testning och utvärdering av algoritmer. Det gäller även algoritmer i medicintekniska produkter, in vitro-diagnostik, AI-system och digitala hälsoapplikationer.
För företag som utvecklar AI inom vården är det en betydande möjlighet. Men det innebär inte att hälsodata blir fritt tillgängliga för kommersiell AI-utveckling. Tillgången ska vara förenlig med förordningens tillåtna ändamål och de villkor som gäller för tillgången.
Det finns också uttryckliga förbud mot vissa användningar, exempelvis reklam och marknadsföring samt vissa beslut som missgynnar individer på grundval av deras hälsodata. Ett företag som utvecklar AI för diagnostik kan alltså befinna sig i en annan rättslig situation än ett företag som vill använda hälsodata för riktad marknadsföring.
Dessutom kvarstår andra tillämpliga regelverk.
- Ett AI-system som omfattas av AI-förordningen kan ha egna krav på bland annat riskhantering, datastyrning och dokumentation.
- Om AI-funktionen dessutom utgör en medicinteknisk produkt kan MDR eller IVDR aktualiseras.
Ett tillåtet forskningsändamål enligt EHDS innebär alltså inte automatiskt att hela den planerade AI-användningen uppfyller övriga regulatoriska krav.
Att göra nu: Beskriv det konkreta användningsfallet. Vilka data behövs? För vilket ändamål? Hur ska de användas i modellutveckling, testning eller validering? Och vilka regelverk gäller för den färdiga produkten?
4. Hur påverkar EHDS och GDPR företagets dataskyddsansvar?
EHDS ersätter inte GDPR. Tvärtom behöver organisationer förstå hur regelverken ska tillämpas tillsammans.
När personuppgifter behandlas inom ramen för EHDS måste relevanta krav enligt GDPR och förordningens särskilda dataskyddsregler beaktas. Det handlar bland annat om rättslig grund, behandling av känsliga personuppgifter, ändamålsbegränsning, dataminimering och ansvarsfördelning.
EHDS inför också en särskild rätt för individer att motsätta sig sekundäranvändning av sina personliga elektroniska hälsodata. Rätten är inte identisk med GDPR:s rätt att göra invändningar. EHDS innehåller egna regler om hur den ska utövas och vilka konsekvenser den får. Det finns dessutom möjlighet till vissa nationellt reglerade undantag för särskilda allmänintressen.
För företag som utvecklar produkter baserade på hälsodata skapar detta frågor som behöver hanteras tidigt.
Hur påverkas datamängdernas tillgänglighet och representativitet? Hur säkerställs att rätt data används? Vilka konsekvenser kan det få för forskningens kvalitet eller valideringen av en AI-modell?
Vilken roll har dataskyddsombudet?
Dataskyddsombudet, DPO, bör involveras i de delar som rör skyddet av personuppgifter. Men det innebär inte att DPO ska ansvara för hela EHDS-implementeringen. Beslut om forskning, produktutveckling, informationssäkerhet, regulatorisk strategi och affärsmodeller måste fortfarande hanteras av rätt funktioner inom organisationen.
En effektiv DPO-funktion behöver däremot förstå verksamheten tillräckligt väl för att kunna identifiera riskerna och ge relevant, oberoende rådgivning. Detta är särskilt viktigt inom MedTech och HealthTech, där samma produktbeslut ofta påverkar både patientdata, AI, informationssäkerhet och regulatoriska krav.
Hur dataskyddsarbetet kan integreras i produktutveckling, affärsprocesser och ledningens prioriteringar beskriver vi närmare i artikeln Lärdomar som extern DPO för IT-bolag inom hälsa
Läs mer om hur Sharp Cookie Advisors arbetar som extern DPO för MedTech och HealthTech.
5. Vilka säkerhetskrav gäller vid sekundäranvändning av hälsodata?
EHDS innebär inte att ett företag som får tillgång till hälsodata automatiskt kan ladda ned dem till sin egen utvecklingsmiljö. Förordningen bygger i stor utsträckning på att data ska användas i särskilda säkra behandlingsmiljöer. Tillgången ska vara kontrollerad och begränsad till behöriga personer och godkända ändamål.
Det får praktiska konsekvenser för exempelvis företag som vill använda data för AI-utveckling. Anta att ett MedTech-företag tränar sina modeller i en egen molnbaserad utvecklingsmiljö. Om företaget vill använda data som tillgängliggörs genom EHDS behöver det bedöma hur den planerade utvecklingsprocessen kan fungera inom de tillåtna tekniska och organisatoriska ramarna. Frågor om behörigheter, verktyg, modellträning, testning, loggning och möjligheten att föra ut resultat behöver då hanteras redan i projektplaneringen.
Det är inte säkert att befintlig arkitektur eller ett etablerat forskningsarbetsflöde kan användas utan anpassningar.
En rätt att få tillgång till data är inte samma sak som frihet att behandla dem i valfri teknisk miljö. lagen.nu
Det innebär att EHDS-frågor måste hanteras tillsammans med produktutveckling, IT-arkitektur, informationssäkerhet och i förekommande fall regulatoriska produktfunktioner.
För utvecklingsorganisationer finns även närliggande frågor om hur AI-verktyg får hantera kundinformation, sekretess och tekniska dataflöden. Vi har tidigare analyserat detta i Kan vi använda Claude Code med kundkod och kunddata?
Att göra nu: Välj ett konkret forsknings- eller AI-projekt och undersök hur det skulle kunna genomföras med den åtkomstkontroll och de behandlingsbegränsningar som EHDS förutsätter.
6. Hur skyddas företagshemligheter, immateriella rättigheter och kommersiella intressen?
En av de viktigaste frågorna för läkemedelsföretag och andra forskningsintensiva verksamheter är hur vi skyddar investeringen i vår data. Det kan handla om data från kliniska studier, egenutvecklade databaser, forskningsresultat eller information som har kommersiellt värde därför att den inte är allmänt känd.
EHDS innehåller särskilda bestämmelser om immateriella rättigheter, företagshemligheter och vissa former av regulatoriskt dataskydd. Men skyddet är inte ett generellt undantag från skyldigheten att göra data tillgängliga.
Enligt artikel 52 ska skyddade intressen identifieras och lämpliga skyddsåtgärder bedömas. I vissa fall kan särskilda avtalsmässiga, organisatoriska eller tekniska villkor krävas.
Om en allvarlig risk för intrång inte kan hanteras på ett tillfredsställande sätt ska tillgång vägras. Det innebär att företag behöver kunna förklara vad som faktiskt är skyddsvärt och varför. Det räcker inte att generellt klassificera hela databaser som konfidentiella.
En ytterligare kommersiellt betydelsefull fråga är vad som händer med resultaten. Enligt artikel 61 ska hälsodataanvändare som huvudregel offentliggöra resultat eller utdata från sekundäranvändningen inom 18 månader efter avslutad behandling. Resultaten får endast innehålla anonymiserade uppgifter, och förlängning kan beviljas i motiverade fall.
Företag bör därför tidigt analysera förhållandet mellan planerat nyttjande av data, forskningsresultat, publicering och immaterialrättsligt skydd. Det är särskilt relevant i samarbeten mellan läkemedelsföretag, forskningsinstitutioner, vårdgivare och teknikleverantörer.
För teknikleverantörer är frågan om datarättigheter också en del av den bredare kommersiella riskfördelningen. Se vår genomgång av riskfördelning i SaaS-avtal och hur leverantörer kan hantera ansvar för kunddata, säkerhet och immateriella rättigheter.
Att göra nu: Granska hur befintliga forskningsavtal, licenser, samarbetsavtal och sekretessåtaganden förhåller sig till de nya reglerna om datatillgång och skyddade kommersiella intressen.
7. Vem ansvarar för företagets EHDS-implementering?
Det kanske största praktiska misstaget vore att behandla EHDS som ett isolerat GDPR-projekt.
Ett företag som berörs av sekundäranvändningen behöver sannolikt involvera flera funktioner.
- Legal behöver förstå datarättigheter, tillstånd och avtal. Privacy och DPO behöver hantera dataskyddsfrågorna.
- IT och Security behöver bedöma datamiljöer och åtkomstkontroll.
- Research och Regulatory behöver förstå vilka konsekvenser reglerna får för forskning och produktutveckling.
För företag som både innehar och vill använda hälsodata kan ansvarsfördelningen bli särskilt komplex.Det behöver inte innebära ett stort nytt compliance-program.
För många organisationer är en bättre start att välja ut de datamängder, produkter och forskningsprojekt där EHDS sannolikt får störst affärsmässig eller regulatorisk betydelse. Därefter kan arbetet prioriteras utifrån faktisk risk, möjligheter och tidsfrister.
När börjar EHDS gälla?
Förordningen trädde i kraft den 26 mars 2025, men bestämmelserna börjar tillämpas stegvis.
För sekundäranvändningen gäller i huvudsak följande:
- 26 mars 2027: Vissa förberedande bestämmelser börjar tillämpas, bland annat om organisation och tekniska specifikationer.
- 26 mars 2029: Huvuddelen av regelverket för sekundäranvändning börjar tillämpas.
- 26 mars 2031: Ytterligare datakategorier omfattas, bland annat genetiska och andra molekylära data samt vissa data från kliniska prövningar och forskningskohorter.
Den detaljerade tidsplanen finns i artikel 105 i EHDS-förordningen.
För företag innebär det att förberedelserna bör utgå från vilka datakategorier och verksamheter som faktiskt berörs.
Hur långt har Sverige kommit med EHDS under 2026?
Den svenska implementeringen pågår.
Socialstyrelsen har regeringens uppdrag att förbereda för rollen som samordnande organ för tillgång till hälsodata, ett så kallat Health Data Access Body (HDAB). En central funktion blir att hantera ansökningar om tillgång till hälsodata och utfärda datatillstånd. Socialstyrelsen arbetar också med förberedelser för bland annat nationella datasetkataloger och säkra behandlingsmiljöer.
IVO förbereder uppgifter kopplade till tillsyn och kontroll inom EHDS-systemet.
Samtidigt har E-hälsomyndigheten fått uppdrag att bidra till utvecklingen av ett svenskt system för sekundäranvändning och analysera hur befintlig nationell digital infrastruktur kan stödja EHDS. Det uppdraget ska slutredovisas senast den 30 april 2027.
Det återstår alltså viktiga nationella beslut och tekniska specifikationer.
EU:s förberedelsearbete ger dock redan praktisk vägledning. Under 2026 har exempelvis det europeiska samarbetsprojektet TEHDAS2 publicerat vägledningar om bland annat datatillgång, dataminimering, integritetsskydd och företagshemligheter. Vägledningarna är inte bindande lagstiftning, men kan hjälpa företag att förstå hur den kommande tillämpningen är tänkt att fungera.
För företag som utvecklar produkter eller bedriver forskning med långa utvecklingscykler finns därför goda skäl att börja förbereda sig redan nu.
Vad bör Pharma, MedTech och HealthTech göra redan nu?
För de flesta företag är det inte nödvändigt att påbörja ett omfattande EHDS-projekt innan den nationella implementeringen har klarnat.
Däremot finns det ett värde i att tidigt få kontroll över några grundläggande frågor:
- Vilken roll har organisationen enligt EHDS?
- Vilka relevanta hälsodata innehar eller använder verksamheten?
- Vilka forsknings- och produktutvecklingsmöjligheter kan EHDS skapa?
- Vilka dataskydds-, sekretess- och avtalsfrågor behöver analyseras?
- Kräver befintliga arbetssätt eller tekniska miljöer förändringar?
En sådan genomgång kan identifiera både risker och möjligheter utan att organisationen behöver lägga stora resurser på krav som ännu inte är fullt specificerade.
Den viktigaste förändringen med EHDS är kanske inte att mer hälsodata kommer att kunna användas. Det är att tillgången till och användningen av hälsodata blir en mer formaliserad del av verksamhetens regulatoriska och kommersiella styrning.
De företag som förstår konsekvenserna för sina egna data, produkter och affärsmodeller kommer att ha bättre förutsättningar att utnyttja möjligheterna.
Behöver ni juridisk rådgivning om EHDS, hälsodata och AI?
Sharp Cookie Advisors hjälper företag inom Digital Health, MedTech och andra teknikintensiva verksamheter med juridiska och regulatoriska frågor där hälsodata, AI, GDPR, produktutveckling och kommersiella avtal möts.
Ett första steg kan vara en avgränsad genomgång av exempelvis ett befintligt dataset, en planerad AI-funktion eller ett forskningssamarbete. Vi identifierar vilka regler och avtalsförhållanden som är relevanta, vilka frågor som bör prioriteras och vad som kan avvakta tills regelverket har konkretiserats ytterligare.
Läs mer om vår juridiska rådgivning inom hälsa och Digital Health eller kontakta Sharp Cookie Advisors för en första diskussion.
Av Sofia Edvardsen, LL.M., M.Sc., CIPP/E och AIGP. Sofia är grundare av Sharp Cookie Advisors och arbetar med affärsjuridiska och regulatoriska frågor inom teknik, AI, dataskydd och Digital Health. Hon är även co-chair för IAPP KnowledgeNet Stockholm.
Källor och vidare läsning
EU-förordning 2025/327 om det europeiska hälsodataområdet – EUR-Lex
Socialstyrelsen – Det europeiska hälsodataområdet, EHDS
TEHDAS2 – Vägledning om bedömning av tillåten och förbjuden sekundäranvändning