Persoonsgegevens: twee toestemmingen, exporteren en verwijderen
Wat het portaal over u bewaart, wie dat kan inzien, hoe u alles in één bestand downloadt en hoe u het verwijdert. Gewoon met knoppen in uw account, zonder brieven aan het hotel.
Het privacybeleid van het hotel volstaat niet voor het portaal: daarin staan geen gezondheidsgegevens, geen account en geen wearables. Daarom heeft het portaal een eigen beleid — twaalf hoofdstukken op `#/privacy`, in elke interfacetaal.
De verwerkingsverantwoordelijke wordt met naam, bedrijfsgegevens en adres genoemd; voor vragen over gegevens is er een apart e-mailadres; en de server staat in Duitsland, oftewel binnen de EU.
Het privacybeleid van het portaal: twaalf hoofdstukken, te lezen zonder in te loggen×
Er zijn twee toestemmingen, en dat is geen formaliteit
De eerste is algemeen, bij de registratie. De tweede is expliciet, voor de verwerking van gezondheidsgegevens, en wordt vóór de vragenlijst gevraagd.
Die scheiding was nodig omdat gezondheidsgegevens een bijzondere categorie zijn: «akkoord gaan met de voorwaarden» bij registratie is daarvoor juridisch niet voldoende.
Beide toestemmingen worden vastgelegd met het versienummer van het beleid. Verandert het beleid inhoudelijk — zoals toen de weegschaal op de kamer en lichaamssamenstelling werden toegevoegd — dan gaat het versienummer omhoog en vraagt het portaal iedereen opnieuw. Dat is het venster «nog één ding voor we doorgaan» dat over elk scherm heen verschijnt.
«Mijn gegevens»: vier knoppen
In «Account» vindt u het blok «Mijn gegevens», waar uw rechten volgens de privacywetgeving zijn ingericht als knoppen, niet via een e-mailadres.
Exporteren — alles wat er over u is vastgelegd, in één bestand.
HL7 FHIR-export — hetzelfde, maar dan in de taal van medische systemen: een patiënt en observaties met LOINC-codes. Zo'n bestand kan door een ziekenhuissysteem worden gelezen, niet alleen door een mens.
Toestemming intrekken — inclusief het wissen van de gezondheidsgegevens.
Account verwijderen — het hele account in één keer.
Wissen kent twee niveaus, en het verschil is helder benoemd. Gezondheidsgegevens — nachten, wandelingen, voorschriften, wegingen, notities van het personeel over u, persoonlijke berichten van de arts. Het account — dit alles plus de toegang zelf.
Wat bewaard blijft, zijn de registraties die het hotel over zichzelf heeft bijgehouden: het uitgiftejournaal van kits, het logboek van medewerkers die een gastaccount openen, en algemene hotelberichten. Dat zijn geen persoonsgegevens van u, maar het geheugen van het hotel over de eigen handelingen.
Daarnaast: «Alle gegevens wissen» bij de receptie is niet hetzelfde. Dat wist de kit en het bijbehorende Garmin-account zodat de volgende gast geen nachten van een ander te zien krijgt, maar raakt uw account niet (toelichting).
Wie uw schermen nog meer kan zien
Medewerkers kunnen het «Gastaccount» openen — dezelfde pagina's door uw ogen. Voor een arts is dit alleen-lezen: elke poging om in zo'n sessie iets op te slaan wordt door de server geweigerd, en dus niet alleen verborgen in de interface.
Elk bezoek wordt vastgelegd in een logboek: wie en wanneer. Dat logboek is een registratie van het hotel over zichzelf; daarom blijft het bewaard na het wissen van medische gegevens en verdwijnt het pas samen met het account.
Voor notities van medewerkers over een gast geldt het omgekeerde: die gaan over u en worden samen met de gezondheidsgegevens gewist.
Hoe dit in de praktijk werkt
U vertrekt en wilt alles meenemen — «Exporteren», en het bestand staat op uw telefoon. U wilt het aan uw eigen arts thuis geven — «HL7 FHIR-export», en het systeem van uw arts kan het direct inlezen. U wilt dat het hotel u vergeet — «Account verwijderen», zonder dat u iemand om toestemming hoeft te vragen.
Wat de receptie doet
De receptie verwijdert of exporteert geen gegevens voor gasten: die knoppen zijn van uzelf. De receptie doet iets anders: zij wist de kit voordat deze aan de volgende gast wordt uitgereikt, altijd en automatisch (waarom dat zo is).
