Samarbejde/Datasikkerhed og persondata

Færre oplysninger. Klarere ansvar.

Når et administrativt system skal arbejde sammen med jeres eksisterende systemer, er det vigtigt at vide, hvilke oplysninger der er nødvendige, hvem der kan se dem, hvor de behandles, og hvad der sker med dem over tid.

Book et kort møde Se tjeklisten

VÆXTER · PRINCIPEn administrativ opgave skal kun bruge de oplysninger, der er nødvendige for at udføre den.Kliniske oplysninger skal så vidt muligt blive i jeres kernesystemer. Det er en designretning, ikke et løfte om, at Væxter aldrig kan modtage følsomme oplysninger. En person kan selv skrive dem i en besked.

Hvor langt er Væxter?

Væxter er under udvikling. Siden forklarer vores tilgang og det, der skal afklares. Den er ikke en privatlivspolitik, en databehandleraftale eller en juridisk vurdering.

PRINCIPFastlagt retningDataminimering, adskillelse mellem klinikker og ingen dobbeltregistrering skabt af Væxter.

LOKAL TESTAfprøvet med kunstige dataDele af adgang og adskillelse mellem klinikker. Det er ikke bevis for sikker drift hos kunder.

SKAL AFKLARESIkke kvalificeret til kundedriftLogin, leverandører, underdatabehandlere, datalokation, opbevaring, sletning og logning.

Spørgsmål og svar

Det, klinikker typisk spørger om

Hvor svaret afhænger af den konkrete opsætning, står der, hvad der skal undersøges.

01Skal Væxter have adgang til vores journal?+

Det er ikke udgangspunktet. Kliniske oplysninger skal så vidt muligt blive i jeres kernesystemer. Hvilke oplysninger der konkret er nødvendige for den aftalte arbejdsgang, afklares for jeres opsætning.PRINCIP

02Hvilke oplysninger har en administrativ opgave brug for?+

Kun det, opgaven kræver, fx en kontaktoplysning, tidspunktet for en henvendelse, status og hvem der har ansvaret for næste skridt. Det konkrete omfang afklares for hver arbejdsgang.PRINCIP

03Kan en administrativ besked indeholde helbredsoplysninger?+

Ja. En person kan selv skrive mere end forventet, og selv en kort besked kan afsløre noget om helbred, fx hvilken behandling en person har fået. Derfor skal beskeder begrænses til det nødvendige, og risikoen vurderes konkret.SKAL AFKLARES

04Hvad sker der, hvis en person sender et sundhedsfagligt spørgsmål?+

Spørgsmålet skal håndteres af jeres personale. Hvordan det kommer videre til dem, skal aftales og afprøves. Væxter kan ikke i dag automatisk klassificere, blokere eller sikkert behandle alle sådanne svar.SKAL AFKLARES

05Hvem kan få adgang til oplysningerne?+

Målet er, at adgang følger arbejdsopgaver og behov. Hvem der konkret kan se hvad, skal dokumenteres og afprøves i den endelige løsning.SKAL AFKLARES

06Kan en medarbejder hos en anden klinik se vores oplysninger?+

Adskillelse mellem klinikker er et krav. Dele af det er testet lokalt med kunstige data. Det er ikke bevis for, at den endelige løsning er kvalificeret til kundedrift.LOKAL TEST · IKKE KUNDEDRIFT

07Hvor ligger oplysningerne?+

Det er ikke fastlagt for kundedrift. Hvor oplysninger behandles og opbevares, også i backup og ved support, skal afklares og dokumenteres, før en løsning tages i brug.SKAL AFKLARES

08Hvilke leverandører bruger Væxter?+

Den juridiske liste over underdatabehandlere og de konkrete leverandøraftaler er endnu ikke færdige. Vi nævner ikke leverandører som godkendte, før det er dokumenteret.SKAL AFKLARES

09Hvor længe opbevares oplysningerne, også i logs og backup?+

Opbevaringsperioder, sletning og håndtering af backup og logs skal aftales, dokumenteres og afprøves for den konkrete løsning. Vi angiver ikke frister, før de er fastlagt.SKAL AFKLARES

10Hvad sker der med oplysningerne, når samarbejdet stopper?+

Det skal være tydeligt på forhånd og fremgå af jeres aftale. Vilkårene er endnu ikke fastlagt.SKAL AFKLARES

11Skal vi registrere de samme oplysninger to gange?+

Nej, ikke på grund af Væxter. En arbejdsgang, der kræver dobbeltregistrering på grund af Væxter, er ikke færdig.PRINCIP

12Hvem kan vi tale med, hvis vi har spørgsmål, eller noget går galt?+

Et menneske. I skal ikke gennem en AI-chatbot eller AI-visitation. Kontaktveje, ansvar og håndtering af en mulig sikkerhedshændelse aftales for det konkrete samarbejde.SKAL AFKLARES

To slags oplysninger

Administrativt eller klinisk afhænger af sammenhængen

Selv almindelige oplysninger kan afsløre noget om en persons helbred, fx hvis en bookingoplysning viser, hvilken behandling personen har fået. Eksemplerne er illustrationer, ikke en liste over, hvad Væxter behandler.

ADMINISTRATIVE OPLYSNINGER, FX

Navn eller en kontaktoplysning

Tidspunktet for en henvendelse

Status på en opfølgningsopgave

Hvem der har ansvaret for næste skridt

At en aftale skal flyttes

KLINISKE ELLER HELBREDSRELATEREDE, FX

Beskrivelser af symptomer eller reaktioner

Spørgsmål om medicin

Oplysninger om en behandling eller mulige komplikationer

Bør håndteres af jeres sundhedsfaglige personale og så vidt muligt blive i jeres kernesystemer.

HYPOTETISKEn person skriver for at flytte en aftale, men tilføjer samtidig et spørgsmål om en reaktion efter en behandling.

DEN ADMINISTRATIVE DELFlytningen kan have et næste skridt og en ansvarlig.

DET SUNDHEDSFAGLIGE SPØRGSMÅLSkal håndteres af jeres personale. Hvordan det kommer videre til dem, skal aftales for den konkrete arbejdsgang. Væxter kan ikke i dag automatisk opdage, filtrere eller overdrage den slags beskeder.

Dataminimering

Hvad har opgaven egentlig brug for?

En medarbejder kan have brug for at se, at en opfølgning kræver handling, uden at alle dermed skal kunne se kliniske detaljer. Færre oplysninger løser ikke alt, men det mindsker, hvad der kan gå galt.

Formål, adgang og ansvar skal stadig vurderes. Og Væxter må ikke skabe dobbeltarbejde, hvor I skal vedligeholde den samme oplysning flere steder.

01Hvad skal vi bruge oplysningen til?

02Er den nødvendig for netop denne opgave?

03Kan opgaven løses med færre detaljer?

04Hvem har faktisk brug for at se den?

05Skal den gemmes, eller er den kun nødvendig midlertidigt?

MYNDIGHEDDatatilsynets vejledning nævner dataminimering og at undlade at vise oplysninger, der ikke er nødvendige, som eksempler på databeskyttelse gennem design. Det er generel vejledning, ikke en vurdering af Væxter.Datatilsynet: Behandlingssikkerhed ↗

Det skal afklares

Syv forhold, der skal være på plads før kundedrift

For hvert område: hvorfor det er vigtigt, hvad der skal undersøges, og hvor Væxter er i dag.

Adgang

Hvem skal kunne se hvad, og hvordan holdes klinikker adskilt?

Adgang bør følge arbejdsopgaver og behov. Receptionen kan have brug for visse administrative oplysninger, mens sundhedsfagligt personale har brug for andre i jeres kernesystemer.

—Receptionen ser det, den administrative opgave kræver.

—Kliniske oplysninger tilgås i jeres kernesystemer.

—Den, der kun følger et samlet nøgletal, behøver ikke detaljer om enkeltpersoner.

—Oplysninger fra forskellige klinikker holdes adskilt.

LOKAL TEST · IKKE KUNDEDRIFTDele af adgang og adskillelse mellem klinikker er testet lokalt med kunstige data. Den endelige loginløsning, rollemodel, tofaktorgodkendelse og kryptering er ikke kvalificeret til kundedrift.

MYNDIGHEDDatatilsynet beskriver en risikobaseret tilgang, hvor den dataansvarlige og databehandleren vurderer risici og vælger passende foranstaltninger. Kun medarbejdere med behov skal have adgang. Adgangsbegrænsning og logning nævnes som eksempler. Det dokumenterer ikke, at Væxter har implementeret dem.Datatilsynet: Behandlingssikkerhed ↗

Beskeder og følsomme oplysninger

En kort besked bør kun indeholde det nødvendige.

En besked om en aftale eller næste handling behøver ikke indeholde detaljer om behandling eller helbred. Men konteksten og modtageren betyder noget, og en person kan selv svare med mere end forventet.

—Begræns indholdet til det, beskeden skal opnå.

—Opfordr ikke til at sende følsomme oplysninger via almindelig SMS.

—Aftal, hvordan uventede helbredsoplysninger i et svar håndteres.

—Aftal, hvordan sundhedsfaglige spørgsmål kommer videre til personalet.

SKAL AFKLARESVæxter kan ikke i dag automatisk klassificere, blokere eller sikkert behandle alle svar med følsomme oplysninger. Håndteringen skal aftales og afprøves for den konkrete arbejdsgang.

MYNDIGHEDDatatilsynet skriver, at følsomme eller fortrolige oplysninger normalt ikke kan sendes sikkert som SMS. Opfordrer man nogen til at sende sådanne oplysninger, skal man stille en anden, sikker mulighed til rådighed.Datatilsynet: Følsomme oplysninger på SMS ↗

Leverandører og ansvar

Roller, aftaler, instrukser og tilsyn for den konkrete løsning.

En dataansvarlig fastlægger formålene med og de væsentlige rammer for en behandling. En databehandler behandler oplysninger på den dataansvarliges vegne og efter dennes instrukser. En underdatabehandler er en anden leverandør, som databehandleren bruger. Rollerne afhænger af den konkrete behandling.

—Hvem er dataansvarlig og databehandler for den konkrete behandling?

—Hvilken aftale og hvilke instrukser gælder?

—Hvilke underdatabehandlere indgår?

—Hvordan føres der tilsyn?

SKAL AFKLARESDen juridiske underdatabehandlerliste og de konkrete aftale- og leverandørforhold er endnu ikke færdige. Et internt systemoverblik er ikke en juridisk leverandørliste.

MYNDIGHEDDatatilsynet beskriver, at en dataansvarlig, der bruger en databehandler, skal sikre en databehandleraftale og føre passende tilsyn med databehandleren.Datatilsynet: Tilsyn med databehandlere ↗

Hvor oplysninger behandles

Lokation, adgang fra andre lande, backup og support.

Det samlede billede omfatter ikke kun den daglige løsning, men også underleverandører, backup, logning og supportadgang.

—Hvor behandles og opbevares oplysningerne?

—Har en leverandør adgang fra et andet land?

—Kan data eller supportadgang betyde overførsel uden for EU/EØS?

—Hvordan påvirker backup, logning og support billedet?

SKAL AFKLARESLokationer og leverandørvilkår skal afklares og dokumenteres for hele leverancen, før en kundeløsning tages i brug. Vi angiver ikke, at data ligger i Danmark eller EU, før det er dokumenteret.

Opbevaring, sletning og backup

At slette fra daglig brug er ikke det samme som at alle kopier er væk.

Det er nyttigt at skelne mellem, hvor længe oplysninger er tilgængelige i den daglige løsning, hvad der kan ligge i en backup, og hvad der sker, hvis noget gendannes fra en backup.

—Hvor længe er oplysninger tilgængelige i daglig brug?

—Hvad kan ligge i en backup, og hvor længe?

—Hvad skal afklares om fysisk sletning og kopier?

—Hvad sker der med oplysningerne, når samarbejdet ophører?

SKAL AFKLARESOpbevaringsperioder, sletteprocedurer, backup og vilkår ved ophør skal aftales, dokumenteres og afprøves. Vi angiver ikke frister eller garantier for sletning, før de er fastlagt.

Logs

Logning har forskellige formål og indeholder selv oplysninger.

Logning kan selv indebære behandling af personoplysninger. Derfor skal indhold, adgang og opbevaring vurderes.

—Tekniske logs: hjælper med at forstå fejl og drift.

—Auditlogs: registrerer relevante handlinger eller adgange, så ansvar og hændelser kan følges.

—Slettelog: dokumentation knyttet til sletning eller en sletteanmodning.

—For alle: hvad står der i dem, hvem kan se dem, og hvor længe gemmes de?

SKAL AFKLARESKategorierne er krav, der skal afklares. De er ikke garantier for færdig overvågning eller en færdig slettejournal i drift.

Hvis noget går galt

Kontaktveje, ansvar og håndtering skal aftales på forhånd.

Det skal være klart, hvordan I gør opmærksom på et problem, og hvad der sker derefter. Væxters kundeservice er tænkt menneskelig. I skal ikke gennem en AI-chatbot eller AI-visitation.

—Hvordan gør I opmærksom på et problem?

—Hvem undersøger det?

—Hvad sker der med en opgave, hvis en forbindelse eller oplysning mangler?

—Hvordan vurderes og håndteres en mulig sikkerhedshændelse?

SKAL AFKLARESKontaktveje, ansvarsfordeling og håndtering af hændelser aftales for det konkrete samarbejde. Åbningstider, frister og serviceaftaler er ikke fastlagt.

Tjekliste

14 spørgsmål til ethvert nyt administrativt system

En hjælp til dialog og afklaring med en leverandør, også os. Spørgsmålene er ikke en garanti for, at en løsning opfylder alle juridiske krav.

01Hvilken konkret opgave skal systemet hjælpe med?

02Hvilke oplysninger er nødvendige for den opgave?

03Kan kliniske oplysninger blive i de eksisterende kernesystemer?

04Hvad sker der, hvis en person selv sender helbredsoplysninger i en besked?

05Hvem skal have adgang til hvilke oplysninger?

06Hvordan holdes oplysninger fra forskellige klinikker adskilt?

07Hvilke leverandører og eventuelle underleverandører indgår?

08Hvor behandles og opbevares oplysningerne, inklusive backup og support?

09Hvilke aftaler og instrukser skal være på plads?

10Hvor længe opbevares oplysninger, og hvordan håndteres sletning og backup?

11Hvilke oplysninger kan fremgå af logs, og hvem kan se dem?

12Hvem kontaktes ved fejl eller en mulig sikkerhedshændelse?

13Hvad sker der med oplysningerne, hvis samarbejdet ophører?

14Kan arbejdsgangen fungere uden dobbeltregistrering?

DET GØR VÆXTER IKKEVæxter er ikke et journalsystem, et bookingsystem eller en generisk chatbot. Væxter diagnosticerer ikke, anbefaler ikke behandling, vurderer ikke behandlingsegnethed og giver ikke individuel sundhedsfaglig rådgivning.

VÆXTER ER UNDER UDVIKLINGIntegrationer, leverandørforhold og sikkerhedsforanstaltninger i drift skal fortsat kvalificeres. Lokal test med kunstige data er ikke bevis for sikker drift, en godkendt leverandør eller efterlevelse af GDPR.

KILDER PÅ SIDEN

Datatilsynet: Behandlingssikkerhed og databeskyttelse gennem design og standardindstillinger (2018) ↗Datatilsynet: Vejledning om tilsyn med databehandlere (2021) ↗Datatilsynet: Bed ikke dine kunder sende følsomme eller fortrolige oplysninger på SMS (2024) ↗

Læs ogsåImplementering og onboarding →Sådan virker Væxter →Nye henvendelser →Genbooking og opfølgning →Priser →

Book et kort møde

Fortæl os om jeres arbejdsgange, jeres systemer og jeres spørgsmål om oplysninger og ansvar.

Book et kort møde

Mødet forpligter jer ikke til noget.