Personopplysninger: to samtykker, eksport og sletting
Hva portalen lagrer om deg, hvem som ser det, hvordan du laster ned alt i én fil, og hvordan du sletter det. Med knapper på kontoen, ikke ved å sende brev til hotellet.
Hotellets personvernerklæring passer ikke for portalen: den dekker verken helseopplysninger, brukerkontoer eller bærbare enheter. Derfor har portalen sin egen – tolv avsnitt på `#/privacy`, på alle grensesnittspråk.
Behandlingsansvarlig er navngitt med organisasjonsdetaljer og adresse, henvendelser om personvern går til en egen e-postadresse, og serveren står i Tyskland, altså i EU.
Portalens personvernerklæring: tolv avsnitt, tilgjengelig uten innlogging×
Det kreves to samtykker, og det er ingen formalitet
Det første er generelt, ved registrering. Det andre er et uttrykkelig samtykke til behandling av helseopplysninger, og du blir bedt om dette før spørreskjemaet.
De måtte skilles fordi helseopplysninger tilhører en særlig kategori: å bare «godta vilkårene» ved registrering er juridisk sett ikke nok.
Begge samtykker loggføres med versjonsnummeret til erklæringen. Når erklæringen endres vesentlig – for eksempel da vekten på rommet og kroppssammensetning ble lagt til – øker versjonsnummeret, og portalen ber alle om samtykke på nytt. Dette er det vinduet «én ting før vi fortsetter» som legger seg over skjermen.
«Mine data»: fire knapper
Under «Konto» finner du seksjonen «Mine data», og rettighetene etter personvernforordningen er lagt opp med knapper, ikke via e-post.
Eksport – alt som finnes om deg, i én enkelt fil.
HL7 FHIR-eksport – det samme på fagspråket til medisinske systemer: pasient og observasjoner med LOINC-koder. En slik fil kan leses av journalsystemer på sykehus, ikke bare av mennesker.
Trekk tilbake samtykke – samtidig som helseopplysningene slettes.
Slett konto – fullstendig.
«Mine data»: eksport, tilbaketrekking av samtykke, sletting×
Hva som slettes, og hva som blir værende
Sletting har to nivåer, og forskjellen er tydelig definert. Helseopplysninger – netter, turer, forordninger, veiinger, personalets notater om deg og legemeldinger stilet direkte til deg. Konto – alt dette pluss selve innloggingen.
Det som blir stående, er oppføringene hotellet har gjort om seg selv: loggen over utleverte sett, loggen over ansattes oppslag i gjestekontoer og felles kunngjøringer. Dette er ikke dine personopplysninger, men hotellets dokumentasjon på egne handlinger.
Merk: «Slett alle oppføringer» i resepsjonen er noe annet. Det tilbakestiller settet og Garmin-kontoen slik at neste gjest ikke ser tidligere netter, men kontoen din forblir urørt (les mer).
Hvem andre som ser skjermbildene dine
De ansatte kan åpne «Gjestens konto» – de samme sidene sett med dine øyne. For legen er dette kun lesetilgang: ethvert forsøk på å lagre noe i en slik økt avvises av serveren, ikke bare skjules i grensesnittet.
Hvert enkelt innsyn loggføres med hvem og når. Loggen er hotellets egen dokumentasjon, så den bevares selv om helseopplysningene slettes, og forsvinner først når selve kontoen slettes.
Notater de ansatte har skrevet om gjesten, er annerledes: de handler om deg og slettes sammen med helseopplysningene.
Slik fungerer det i praksis
Skal du reise og vil ta med deg alt – trykk «Eksport», og filen ligger på telefonen. Vil du gi opplysningene til fastlegen din – velg «HL7 FHIR-eksport», så kan legens system lese dem. Vil du at hotellet skal slette alt om deg – trykk «Slett konto», helt uten å måtte spørre noen.
Hva resepsjonen gjør
Resepsjonen sletter ikke data for gjesten og eksporterer dem ikke: det er dine knapper. Den gjør noe annet — den sletter settet når det leveres ut til neste gjest, alltid og automatisk (hvorfor).
