Persondataforordningen for patienter

i Lægehuset Fyrvej

Dokumentation for behandling af personoplysninger efter persondataforordningens art. 30

En virksomhed har pligt til at udarbejde og løbende opdatere dokumentation for alle virksomhedens databehandlingsaktiviteter. Dokumentationen skal foreligge skriftligt og elektronisk, så den på anmodning kan udleveres til Datatilsynet. Dokumentationen skal ikke indsendes til Datatilsynet, med mindre tilsynet i en konkret sag anmoder om det.Bruun & Hjejle Advokatpartnerselskab og PLO påtager sig intet ansvar for medlemmernes anvendelse af dette materiale og kan ikke gøres ansvarlige for senere regelændringer, der måtte få betydning for indholdet og behov for opdatering deraf. Medlemmernes tilegnelse og anvendelse af materialet sker på medlemmernes eget ansvar og Bruun & Hjejle Advokatpartnerselskab og PLO kan således ikke gøres ansvarlig for fejl og mangler i indholdet der måtte opstå som følge af medlemmernes anvendelse af materialet. Bruun & Hjejle rådgiver ikke om IT eller sikkerhed og medlemmerne opfordres derfor til at søge særskilt rådgivning herom.Nedenstående standarddokumentation vedrører primært patienternes helbredsoplysninger. Lægen er imidlertid også dataansvarlig i forhold til sine medarbejdere, hvorfor fortegnelsens sidste linjer opfylder fortegnelseskravene i relation til ansatte. Praktiserende Lægers Arbejdsgiverorganisation har i øvrigt udarbejdet vejledningsmateriale om lægens rolle som dataansvarlig arbejdsgiver.I dokumentet er der endvidere gjort plads til at klinikken selv kan udfylde flere linjer, hvis der deles data med andre modtagere end dem, der er nævnt i denne standarddokumentation

Den dataansvarlige
Navn	Lægehuset Fyrvej
CVR-nummer	76672628
Adresse	Fyrvej 22, 6710 Esbjerg V
Telefonnummer	75153088
E-mail adresse	laegerne-fyrvej@esenet.dk
Hjemmeside	www.fyrvej22.dk

Behandlingen af personoplysninger
Behandlingens betegnelse	Indsamling og videregivelse af helbredsoplysninger om patienter
Formålene med behandlingen	Hovedformålet med behandlingen af helbredsoplysninger er at muliggøre behandling af patienter. For at muliggøre patientbehandlingen, er det nødvendigt at der videregives helbredsoplysninger til forskellige aktører i sundhedssektoren, herunder til afregningsformål.

Kategorier af registrerede personer og kategorierne af personoplysninger
Kategori:Patienter	Særlige kategorier af personoplysninger (sæt kryds i boksene)
☒ Race eller etnisk oprindelse☒ Religiøs overbevisning☒ Fagforeningsmæssigt tilhørsforhold	☒ HelbredsoplysningerVed helbredsoplysninger forstås:Journaloplysninger vedr. diagnostik, undersøgelse og behandling af patienten, medicin, prøvesvar, tests, røntgenbilleder, scanningssvar, attester, henvisninger m.v.☒ Seksuelle forhold eller orientering☒ Strafbare oplysninger
☒ Almindelige kategorier af personoplysninger: Stamdata, dvs. patientens navn, personnummer, e-mail og hjemmeadresse samt telefonnummer.

Modtagere af personoplysningerneAf nedenstående fremgår en samlet liste over modtagere (både selvstændigt dataansvarlige og databehandlere), som personoplysningerne overlades eller videregives til, systemer, typer af oplysninger og hjemmel
Formål	Modtager	System	Type oplysninger	Hjemmel
Patientbehandling	CGM (leverandør af klinikkens systemhus)	Journalsystem og klinikkens app	Helbredsoplysninger	Databehandleraftale med systemhus
PLSP A/S	Praksisleverandørernes serviceplatform	Helbredsoplysninger	Databehandleraftale(Via systemhus)
MultiMED	Henvisningshotellet	Henvisninger	Databehandleraftale(Via systemhus)
Danish Medical Data Distribution(DMDD)	WebReq & WebPatient	Bestilling af laboratorieprøver & opbevaring af borgerens spørgeskemasvar	Databehandleraftale
DAK-E	Sundhedsmappen (Digitale Forløbsplaner)	Helbredsoplysninger	Databehandleraftale
Offentlige myndigheder (regioner, kommuner)	Sundhedsdatanet og VANS (MedCom-beskeder)	Helbredsoplysninger	Sundhedslovens §43
Andre sundhedsaktører (speciallæger, privathospitaler mv)	Sundhedsdatanet og VANS (MedCom-beskeder)	Helbredsoplysninger	Sundhedslovens §41
Sundhedsdatastyrelsen	Det Fælles Medicinkort	Medicinoplysninger	Sundhedslovens §157
Sundhedsdatastyrelsen	Det Danske Vaccinationsregister	Vaccinationer	Sundhedsloven §157
Patienten selv i forbindelse med aktindsigt i helbredsoplysninger	Lægens journalsystem	Helbredsoplysninger	Sundhedslovens §37 og Persondataforordningens artikel 15 om indsigtsret
Forskning	Kliniske kvalitetsdatabaser (RKKP)	Dansk Voksen Diabetes Database	Helbredsoplysninger	Sundhedslovens §196
Administration og kvalitetsudvikling	Sundhedsdatastyrelsen	Statens elektroniske indberetningssystem (SEI)	Oplysninger om dødsfald	Bekendtgørelse nr. 1046 af 20. oktober 2016, jf. sundhedslovens §190
Sundhedsdatastyrelsen	DPSD2	Utilsigtede hændelser	Sundhedslovens §§198-199
Styrelsen for Patientsikkerhed (STPS)	STPS indberetningsløsning	Helbredsoplysninger(ifm. praksislukning)	Ved samtykke fra patienten
Styrelsen for Patientsikkerhed (STPS)	STPS indberetningsløsning	Helbredsoplysninger(ifm. mulig inddragelse af kørekort)	Autorisationslovens §44
Styrelsen for Patientsikkerhed/Patienterstatningen	Patienterstatningens indberetningsløsning	Helbredsoplysninger	Sundhedslovens §43, jf. lov om klage-og erstatningsadgang inden for sundhedsvæsenet
Regioner	Sygesikrings-og afregningssystemet	Ydelsesoplysninger	Sundhedslovens §60
Forsikring og pension	DMDD (It-leverandør)	Helbredsoplysninger og attester	Journalføringsbekendtgørelsen §20
Politi og domstole	N/A	Helbredsoplysninger	Enten ved samtykke, sundhedslovens §179 eller retsplejeloven
Sociale myndigheder (fx kommune og Udbetaling Danmark)	EG Kommuneinformation A/S	Helbredsoplysninger og attester	Ved samtykke fra patienten eller efter retningslinjer i det socialt lægelige samarbejde
Netværkskommunikation	MedCom	Sundhedsdatanet	Helbredsoplysninger	Databehandleraftale(Via systemhus)
VANS-leverandører	VANS-net	Helbredsoplysninger	Databehandleraftale(Via systemhus)
TDC Erhverv	Tele- og IT system	Alle kategorier af personoplysninger	Databehandleraftale (evt. som led i kontrakten)
Klinikadministration	Bluegarden	Lønsystem	Oplysninger om løn	Databehandleraftale
DATCOM	Administrationssystem	HR-oplysninger inkl. CPR-nummer	Databehandleraftale
Danske Regioner	Praksis- og afregningsportalen (sundhed.dk)	Praksisdeklarationer og tilmelding til yderregisteret	Persondataforordningens artikel 6, 1b og 1e om behandling mhp. opfyldelse af kontrakt og samfundsmæssig interesse
SKAT	MitVirk	Skatteoplysninger	Kildeskatteloven
Kommunen	MitVirk/NemRefusion	Ansøgning om sygedagpenge, barsel mv.	Sygedagpengeloven
Revisor	N/A	Oplysninger om HR, løn og skat	Hvis revisor anviser løn for klinikken indgås databehandleraftale.Ift. regnskabsaflæggelse er revisor dataansvarlig efter årsregnskabsloven.
Nordic Backup	IT backup	Alle kategorier af personoplysninger	Databehandleraftale
CENTEX IT	Administrationssystem	HR-oplysninger inkl. CPR-nummer	Databehandleraftale

NOTE: Kolonnen ”System” dækker over forskellige elektroniske systemer. I visse tilfælde, fx i relation til arbejdsgivere og forsikringsselskaber, kan kommunikation dog også foregå ved almindelig postforsendelse.

Sletning af personoplysninger
Forventede tidsfrister for sletning af forskellige kategorier af oplysninger	Helbredsoplysninger indeholdt i patientjournaler	Oplysningerne slettes i overensstemmelse med lovgivningens krav, se journalførinsgsbekendtgørelsens §§15-16 (Bekendtgørelse nr. 990/2017). Som reglerne er nu, skal helbredsoplysninger indeholdt i en patientjournal opbevares mindst 10 år, billeddiagnostik dog 5 år. Hvis der verserer en klage- eller erstatningssag skal oplysningerne opbevares, indtil sagen er afsluttet.

Generel beskrivelse af de tekniske og organisatoriske sikkerhedsforanstaltninger

Sikkerhed

Klinikkens systemhus (og evt. andre databehandlere) har i en databehandleraftale forpligtet sig til at sikre, at der træffes de fornødne tekniske og organisatoriske sikkerhedsforanstaltninger mod, at oplysninger hændeligt eller ulovligt tilintetgøres, fortabes eller forringes samt mod, at de kommer uvedkommende til kendskab, misbruges eller i øvrigt behandles i strid med lovgivningen.Kommunikation af personoplysninger skal ske over sikre forbindelser. Personoplysninger, der overføres eller opbevares uden for et lukket netværk kontrolleret af Databehandleren, skal beskyttes med kryptering. Hvor det er passende og hensigtsmæssigt henset til oplysningernes karakter, skal oplysningerne desuden pseudonomiseres.Adgangskontroller og –begrænsninger skal indføres i passende omfang. Fysisk materiale, der indeholder personoplysninger, opbevares aflåst.Databehandleren skal sørge for løbende sikkerhedskopiering af personoplysningerne, hvis der er indgået aftale herom. Hvis systemhuset ikke foretager backup, skal der indgås aftale herom med en anden leverandør.   Kopierne skal opbevares adskilt og forsvarligt og på en måde som sikrer mulighed for at oplysningerne kan genskabes.Databehandleren har som led i databehandleraftalen forpligtet sig til én gang årligt at afgive en erklæring til os (den dataansvarlige), der dokumenterer, at databehandleren handler i overensstemmelse med gældende persondataret. Erklæringen baseres på ISAE 3402 eller tilsvarende. Erklæringen skal være underskrevet af en kvalificeret, uvildig instans, f.eks. databehandlerens revisor.