Dokumentation for behandling af personoplysninger efter persondataforordningens art. 30
For dataansvarlige
En virksomhed har en pligt til at udarbejde og løbende opdatere dokumentation for alle virksomhedens databehandlingsaktiviteter. Dokumentationen skal foreligge skriftligt og elektronisk, så den på anmodning kan udleveres til Datatilsynet. Dokumentationen skal ikke indsendes til Datatilsynet, med mindre tilsynet i en konkret sag anmoder om det.
Den dataansvarlige
Navn: Speciallæge Christian Bak
CVR-nummer: 28902603
Adresse: Toldboden 1, 5A, 8800 Viborg
Telefonnummer: 8662 0337
E-mail adresse: info@christianbak.dk
Hjemmeside: www.christianbak.dk
Behandlingen af personoplysninger
Behandlingens betegnelse: Indsamling og videregivelse af helbredsoplysninger om patienter.
Formålene med behandlingen: Hovedformålet med behandlingen af helbredsoplysninger er at muliggøre behandling af patienter. For at muliggøre patientbehandlingen, er det nødvendigt at der videregives helbredsoplysninger til forskellige aktører i sundhedssektoren.
Kategorier af registrerede personer og kategorierne af personoplysninger
Kategori: Patienter
Særlige kategorier af personoplysninger:
- Race eller etnisk oprindelse
- Helbredsoplysninger - ved helbredsoplysninger forstås: Journaloplysninger vedr. diagnostik, undersøgelse og behandling af patienten, medicin, prøvesvar, tests, røntgenbilleder og scannings-svar m.v.
- Seksuelle forhold eller orientering.
Almindelige kategorier af personoplysninger:
- Stamdata, dvs. patientens navn, personnummer, e-mail og hjemmeadresse samt telefonnummer.
Modtagere af personoplysningerne
Kategorier af modtagere (både selvstændigt dataansvarlige og databehandlere), som personoplysningerne overlades eller videregives til:
Patientbehandling
- Andre sundhedspersoner efter reglerne i sundhedsloven
- Myndigheder efter reglerne i sundhedsloven og anden særlovgivning
- Kliniske kvalitetsdatabaser efter reglerne om disse
- Det Danske Vaccinationsregister
- Styrelsen for Patientsikkerhed
- Det Fælles Medicinkort
- Politiet
- Sociale myndigheder
- Patienten selv i forbindelse med egen acces
Henvisning af patienter
- De sundhedspersoner, hvortil henvisningen er sendt
Laboratorieprøver til sygehuslaboratorier
- Sygehuslaboratorierne
Data til afregningsformål
- Regionale afdelingskontorer
Data vedr. recepter til apotekerne via receptserveren
- Landets apoteker og Lægemiddelstyrelsen.
Data, der indberettes til kliniske kvalitetsdatabaser
- Kliniske kvalitetsdatabaser
Epikriser
- Den henvisende læge og visse tilfælde det henvisende sygehus.
Sletning af personoplysninger
Forventede tidsfrister for sletning af forskellige kategorier af oplysninger.
Helbredsoplysninger indeholdt i patientjournaler
Oplysningerne slettes i overensstemmelse med lovgivningens krav. Som reglerne er nu, skal helbredsoplysninger indeholdt i en patientjournal opbevares mindst 10 år. Hvis der verserer en klage- eller erstatningssag skal oplysningerne opbevares, indtil sagen er afsluttet.
Generel beskrivelse af de tekniske og organisatoriske sikkerhedsforanstaltninger
Sikkerhed:Klinikkens systemhus (og evt. andre databehandlere) har i en databehandleraftale forpligtet sig til at sikre, at der træffes de fornødne tekniske og organisatoriske sikkerhedsforanstaltninger mod, at oplysninger hændeligt eller ulovligt tilintetgøres, fortabes eller forringes samt mod, at de kommer uvedkommende til kendskab, misbruges eller i øvrigt behandles i strid med lovgivningen.
Kommunikation af personoplysninger skal ske over sikre forbindelser. Personoplysninger, der overføres eller opbevares uden for et lukket netværk kontrolleret af Databehandleren, skal beskyttes med kryptering. Hvor det er passende og hensigtsmæssigt henset til oplysningernes karakter, skal oplysningerne desuden pseudonomiseres.
Adgangskontroller og –begrænsninger skal indføres i passende omfang. Fysisk materiale, der indeholder personoplysninger, opbevares aflåst.
Databehandleren skal sørge for løbende sikkerhedskopiering af personoplysningerne. Kopierne skal opbevares adskilt og forsvarligt og på en måde som sikrer mulighed for at oplysningerne kan genskabes.
Databehandleren har som led i databehandleraftalen forpligtet sig til én gang årligt at afgive en erklæring til mig (den dataansvarlige), der dokumenterer, at databehandleren handler i overensstemmelse med gældende persondataret. Erklæringen baseres på ISAE 3402 eller tilsvarende. Erklæringen skal være underskrevet af en kvalificeret, uvildig instans, fx databehandlerens revisor.