Hvordan samler vi inn dine personopplysninger?
Salutis HMS leverer mange ulike tjenester. Informasjonen vi samler inn om deg avhenger av hvilke tjenester du bruker, abonnerer på eller kjøper, samt hvilke opplysninger du gir oss ved arbeidshelsekontroll, kjøp av våre on-line tjenester eller i andre sammenhenger.
Vi samler inn følgende sensitive og alminnelige personopplysninger og formålet er
-
Kontaktinformasjon for å opprette bedriftsjournal og pasientjournal (f.eks. navn, fødselsnummer, adresse og telefonnummer, hvilken bedrift du er ansatt i)
-
Vi ber bl.a om å få ditt personnummer fordi det er nødvendig for å innhente nødvendig fra annet helsepersonell.
-
Administrasjon av timeavtaler
-
Helseopplysninger knyttet til din arbeidshelse. Formålet med å samle inn og behandle helsepersonopplysninger om deg, er å bruke informasjonen til å tilby en best mulig tjeneste i samsvar med ditt behov.
-
Stille diagnoser
-
Skrive resepter
-
Oppgjørsformål og øvrige forpliktelser under bedriftshelse-avtalen.
-
Data du oppgir til oss for eksempel når du kjøper eller registrerer deg for våre tjenester, abonnerer på våre nyhetsbrev eller kontakter oss med spørsmål
-
Vi vil kun samle inn og bruke de personopplysninger som er nødvendige.
-
Anonymisert rapportering.
Det kan være situasjoner, hvor vi håndterer informasjon som ikke er oppført i listen ovenfor.
Det rettslige grunnlaget finnes bl.a i:
-
GDPR artikkel 6 og 9
-
Arbeidsmiljøloven
-
Helseregisterloven
-
Helsepersonelloven
-
Pasientjournalloven
-
Forskrift om utførelse av arbeid
-
Forskrift om pasientjournal
Kontroll på data
Salutis HMS, som dataansvarlig, er forpliktet til å beskytte personopplysninger vi behandler om kunder og klienter
Våre IT-baserte helsesystemer med tilhørende databaser forenkler gjenfinning, bidrar til en bedre internkontroll og sikrer personvernet for våre kunders ansatte.
Helseopplysninger behandles og lagres henhold til gjeldende lovgiving (bl.a Helsepersonelloven og Pasientjournalloven) Det benyttes egne systemer med streng tilgangsbegrensning, og behandles bare av en svært begrenset krets ansatte som har tjenstlig behov.
Ansatt i Salutis HMS benytter i tillegg e-post i alminnelig dialog med interne og eksterne kontakter. Sensitive personopplysninger, som helseopplysninger, skal ikke sendes med e-post.
Vi gjør deg oppmerksom på at vanlig e-post er ukryptert. Vi oppfordrer deg derfor ikke til å sende taushetsbelagte, sensitive eller andre fortrolige opplysninger via vanlig e-post. Vi kan veilede i forhold til hvilke opplysninger som kan sendes og hvordan disse opplysninger kan sendes oss kryptert via e-post.
Innsyn
Registrerte ansatte hos våre kunder kan, på egne vegne, be om å få informasjon om hvilke personopplysninger vi behandler og hvordan vi håndterer disse.
Dette inkluderer den ansattes rett til innsyn i egen pasientjournal, hvem som har hatt tilgang til denne og hvem som har fått utlevert opplysninger herfra. Pasientjournalen er en taushetsbelagt informasjon og vil ikke bli delt med andre, med mindre den ansatte/pasienten samtykker til dette.
Leder og HR-funksjoner kan få oversendt lister over deltagere ved lovpålagte leveranser (f.eks. arbeidshelseundersøkelser og yrkesvaksinering) og deltagelse ved helsesertifiseringer med konklusjon på skikkethet av helsen (f.eks røyk- og kjemikaliedykkere mv).
Databehandling av personopplysninger i Salutis HMS
Salutis HMS systematiserer innhentet bedriftshelseinformasjon i en database, der innsamlede data lagres sikkert enten i bedriftsjournal eller i pasientjournal. Salutis HMS kvalifiserte ansatte har autorisert tilgang til bedriftsjournal med opplysninger om bedriften.
Når våre kunders ansatte mottar bedriftshelsetjenester fra Salutis HMS, har vårt helsepersonell plikt til å føre en pasient-journal iht bl.a pasientjournalforskriften. I pasientjournalen registrerer vi de opplysningene som er nødvendige for å gi riktig tjeneste eller behandling, f.eks. sykdomshistorikk, tidligere behandlinger, medikamentbruk, resepter, diagnoser, prøveresultater, opplysninger fra andre behandlingssteder m.m.
Tilgang til pasient-journal er begrenset til helsepersonell og medhjelpere som leverer helsetjenester til ansatte og pasienter. Helselovgivningen gir klar føring på begrensning av innsyn i pasientjournal til helse-personell med behandlerfunksjon.
Salutis HMS loggfører innsyn i pasientjournaler, og det gjennomføres regelmessig kontroll av loggen for å sikre korrekt innsyn i journalene. Sammen med våre systemleverandører arbeider vi med å få gode og sikre personvernløsninger i våre helsesystemer.
Overføring av personlige opplysninger
Retten til å ta med deg dine opplysninger fra en virksomhet til en annen gjelder kun for opplysninger som du selv har gitt til Salutis HMS og det gjelder bare behandling av personopplysninger skjer på bakgrunn av et samtykke eller en kontrakt.
Databehandleravtale med kunder
Salutis HMS er behandlingsansvarlig for personopplysninger fra ansatte hos våre kunder etter inngått avtale, både i forbindelse med leveranse av bedriftshelsetjenester og øvrige helsetjenester. Salutis HMS behandler personopplysningene selvstendig som en del av tjenesteleveransene og ikke på vegne av eller etter instruks fra våre kunder. Salutis HMS inngår derfor ikke data-behandleravtaler med sine kunder. Dette er også i henhold til Datatilsynets vurdering av ansvar for levering av bedriftshelsetjenester. Det at Salutis HMS mottar ansattlister med navn, fødselsnummer, mailadresse og avdelingstilhørighet fra kundene, fordrer i seg selv ingen data-behandleravtale, fordi dette anses som en overføring av data mellom to selvstendige behandlings-ansvarlige.
Salutis HMS skal ha en fri og uavhengig stilling i arbeidshelsespørsmål og er ansvarlig for å operere i tråd med de krav som følger av lov og forskrift.
Databehandleravtale med leverandører – overføring av personlig informasjon
Vi overfører dine personlige opplysninger til enkelte underleverandører, inkludert IT-leverandører, etc., som behandler og lagrer personlig informasjon på vegne av Salutis HMS. Salutis HMS har inngått avtaler våre underleverandører om behandling av dine data. Disse avtalene regulerer alle personopplysninger som deles med våre leverandører. Våre leverandører kan ikke bruke opplysningene til andre formål enn det de er innhentet til.
Mer informasjon om dette kan fås ved henvendelse til Salutis HMS sitt personvernombud
Sikkerhet og risikovurdering
Salutis HMS tar ansvar for å vurdere sikkerhetsrisiko og konfidensialitet i forhold til personvernet. Det er viktig for oss at informasjonen vi sitter på blir behandlet i tråd med gjeldende lovverk og forskrifter. Ingen registrerte personopplysninger skal være tilgjengelig for uvedkommende. Ansatte i Salutis HMS, som gis tilgang til beskyttelsesverdige personopplysninger, må underskrive en taushetserklæring og skal ha et tjenestebehov for å åpne en pasientjournal. Salutis HMS er underlagt Bransjenorm for informasjonssikkerhet og personvern i helse- og omsorgstjenesten, Normen er en bransjenorm for informasjonssikkerhet og personvern og utarbeidet og forvaltet av organisasjoner og virksomheter i helsesektoren jmf https://ehelse.no/normen/normen-for-informasjonssikkerhet-og-personvern-i-helse-og-omsorgstjenesten .
For å ivareta sikkerheten i registrerte personhelseopplysninger er det viktig at også all kommunikasjon er trygg. Helseopplysninger og andre sensitive opplysninger skal ikke sendes via e-post eller på andre (inklusive sosiale) medier som ikke ivaretar konfidensialiteten.
Et eventuelt sikkerhetsbrudd vil bli varslet innen kort tid i henhold til GDPRs strenge krav til avvikshåndtering. Innhold i varslet og hvem som skal varsles er gjort kjent i vår organisasjon.
Personvernombud
Salutis HMS har opprettet et eget personvernombud som er bindeleddet mellom våre virksomhets-kunder, kundens registrerte ansatte, Datatilsynet, Salutis HMS ledelse og egne ansatte.Hvis du har spørsmål eller kommentarer angående behandling av dine personopplysninger kan du vårt personvernombud.
Retting og sletting
Våre kunders ansatte kan, på egne vegne, kreve at vi retter eller sletter personopplysninger hvis disse er mangelfulle eller unødvendige. Retting og sletting av personopplysninger etter GDPR skjer i Salutis HMS uten ugrunnet opphold.
Retting av personopplysninger i pasientjournal følger bestemmelser om retting etter pasientjournalloven. Personopplysninger som samles inn i forbindelse med behandling av pasienter i helsetjenesten omfattes av helsepersonellets journalføringsplikt etter helsepersonelloven, og vil ikke kunne slettes selv om den registrerte ber om det.
Salutis HMS bedriftshelse sletter registrerte personopplysninger når de ikke lenger er nødvendige for å oppfylle formålet de ble innhentet for. For pasientjournaler gjelder egne regler om oppbevaring.
Salutis HMS kan beholde personopplysninger knyttet til behandling i 10 år fra den siste behandlingen, jmf bl.a Forskrift om pasientjournal § 14.(Krav til oppbevaring og oppbevaringstid). Hvis det av behandlingsgrunner kan være behov for å holde informasjonen lenger, kan dette tyde på en lengre lagringstid.
