Dine personlige data: to samtykker, eksport og sletning
Hvad portalen gemmer om dig, hvem der kan se det, hvordan du henter det hele i én fil, og hvordan du sletter det. Med knapper på din konto, ikke et brev til hotellet.
Hotellets privatlivspolitik rækker ikke til portalen: den indeholder ingen helbredsdata, ingen konto og ingen bærbare enheder. Derfor har portalen sin egen — tolv afsnit på `#/privacy`, på alle grænsefladesprog.
Den dataansvarlige er navngivet med virksomhedsoplysninger og adresse, der er en separat indbakke til spørgsmål om data, og serveren står i Tyskland, altså i EU.
Portalens politik: tolv afsnit, tilgængelig uden at logge ind×
Der er to samtykker, og det er ikke en formalitet
Det første er generelt ved oprettelsen. Det andet er udtrykkeligt til behandling af helbredsdata, og man bliver bedt om det før spørgeskemaet.
De måtte adskilles, fordi helbredsdata er en særlig kategori: her er det juridisk set ikke nok at «acceptere vilkårene» ved oprettelsen.
Begge samtykker registreres med politikkens versionsnummer. Når politikken ændres væsentligt — som da vægten på værelset og kropssammensætning blev tilføjet — stiger versionsnummeret, og portalen beder alle om accept igen. Det er det vindue med «én ting før vi fortsætter», der lægger sig over enhver skærm.
«Mine data»: fire knapper
Under «Konto» er der en blok med «Mine data», og rettighederne efter forordningen er implementeret som knapper, ikke som en e-mailadresse.
Eksport — alt, der findes om dig, i én fil.
HL7 FHIR-eksport — det samme på medicinske systemers sprog: patient og observationer med LOINC-koder. En hospitalsjournal kan læse den fil, ikke kun et menneske.
Tilbagetræk samtykke — sammen med sletning af helbredsdata.
Slet konto — det hele.
«Mine data»: eksport, tilbagetrækning af samtykke, sletning×
Hvad der slettes, og hvad der bliver stående
Sletning findes i to dybder, og forskellen er helt klar. Helbredsdata — nætter, vandreture, ordinationer, vejninger, personalets notater om dig, lægebeskeder stilet personligt til dig. Kontoen — alt dette plus selve adgangen.
Det, der bliver stående, er de registreringer, hotellet har lavet om sig selv: loggen over udlevering af udstyrssæt, loggen over personalets adgang til gæstens konto og fælles opslag. Det er ikke dine personoplysninger, men hotellets egen historik over udførte handlinger.
Bemærk: «Slet alle registreringer» i receptionen er ikke det samme. Den funktion nulstiller sættet og Garmin-kontoen, så den næste gæst ikke ser en andens nætter, og den rører ikke din konto (læs mere).
Hvem der ellers kan se dine skærmbilleder
Personalet kan åbne «gæstens konto» — de samme sider set med dine øjne. For en læge er dette skrivebeskyttet: ethvert forsøg på at gemme noget i en sådan session afvises af serveren, det skjules ikke bare i brugerfladen.
Hvert enkelt opslag logges: hvem og hvornår. Loggen er hotellets registrering om sig selv, så den bevares ved sletning af helbredsdata og forsvinder først sammen med kontoen.
Personalets notater om en gæst er det modsatte: de er skrevet om dig og slettes sammen med helbredsdataene.
Sådan fungerer det i praksis
Du skal rejse og vil have det hele med dig — «Eksport», og filen ligger på din telefon. Du vil give det til din egen læge derhjemme — «HL7 FHIR-eksport», så kan lægens system læse det. Du vil have, at hotellet glemmer alt om dig — «Slet konto», og du behøver ikke spørge nogen om lov.
Hvad receptionen gør
Receptionen sletter ikke gæstens data og eksporterer dem heller ikke: det er dine egne knapper. Receptionen gør noget andet — den nulstiller udstyrssættet, når det udleveres til den næste gæst, altid og automatisk (hvorfor).
Google Analytics viser os, hvilke sider der bliver læst – kun med dit samtykke. Dit sprog og dette valg bliver under alle omstændigheder i din browser.
