Forordningen er i sig selv direkte gældende i dansk lovgivning, men indeholder også muligheder for nationale fortolkninger, hvilket medfører, at der i praksis er tale om en blanding af forordning, dansk lovgivning og praksis. Da ordningen trådte i kraft i 2018 medførte det skærpede samtykkeregler, at offentlige myndigheder og visse private virksomheder skal udpege en databeskyttelsesansvarlig, at bødeniveauet for brud mod databeskyttelsesregler er højere end tidligere, og at der foreligger højere dokumentationskrav for, hvordan du behandler data i din klinik.
En personoplysning er ifølge Datatilsynet “enhver form for information, der kan henføres til en bestemt person, også selv om personen kun kan identificeres, hvis oplysningen kombineres med andre oplysninger.
Personoplysninger kan for eksempel være personnumre, registreringsnumre, et billede, et fingeraftryk, en stemme, lægejournaler eller biologisk materiale, når det i praksis er muligt at identificere en person ud fra oplysningerne eller i kombination med andre. Man siger, at oplysningen er “personhenførbar”.
En personfølsom oplysning er en oplysning om racemæssig eller etnisk baggrund, politisk, religiøs eller filosofisk overbevisning, fagforeningsmæssigt tilhørsforhold og oplysninger om helbredsmæssige og seksuelle forhold. Med den nye forordning omfattes også genetiske og biometriske data. Biometriske data er personoplysninger om fysiske karakteristika, såsom ansigtsbillede eller fingeraftryksoplysninger.
Dansk Psykolog Forening har afklaret med Datatilsynet, at det er en personfølsom oplysning at gå til psykolog, hvilket baseres på, at en helbredsoplysning – som ifølge GDPR er en personfølsom oplysning – omfatter oplysninger om personers psykiske tilstand.
Nej, ansvaret for at personfølsomme data ikke kommer i uvedkommendes kendskab ligger hos den dataansvarlige, dvs. i dette tilfælde psykologen, og kan ikke samtykkes væk af den, der er i behandling/bliver undersøgt.
Det er ikke nødvendigt med samtykkeerklæring i forbindelse med registrering af behandling af klienter, idet det reguleres af særlovgivning om pligten til at føre journal.
En dataansvarlig er en fysisk eller juridisk person (: en virksomhed), offentlig myndighed, institution eller andet organ, som alene eller sammen med andre afgør, til hvilke formål og med hvilke hjælpemidler der må foretages behandling af data/oplysninger. Den dataansvarlige er lovens primære pligtsubjekt, hvilket betyder, at det er den dataansvarlige, som har det overordnede ansvar, også for behandling af data, som foretages af tredjemand på vegne af den dataansvarlige.
En databehandler er enhver, som behandler oplysninger på vegne af en dataansvarlig. Som eksempler kan nævnes virksomheder, som varetager drift af kunders it-systemer, eller hostingvirksomheder som f.eks. tilbyder serverkapacitet til dig som psykolog, hvis du har en hjemmeside.
Teleselskaber er ifølge oplysninger fra Datatilsynet fritaget fra databehandleraftaler.
Ifølge Datatilsynet er revisionsselskaber selvstændigt dataansvarlig, og du skal som virksomhed derfor ikke have en databehandleraftale med din revisor.
Ifølge Datatilsynet skal der være lovhjemmel til ikke at indgå databehandleraftaler, alternativt en gyldig juridisk vurdering om det pågældende dataudvekslingsforhold.
Hvis du står i en situation, hvor du mener at du egentlig skal have en databehandleraftale, men din modpart ikke ønske at indgå en sådan, skal du kontakte Datatilsynet for konkret rådgivning.
Nej, en privatpraktiserende psykolog er ikke forpligtet til at tilmelde sig Datatilsynet i forbindelse med behandling af personfølsomme oplysninger. Dette følger af en undtagelsesbestemmelse i persondataloven, som medfører, at autoriserede psykologer, som arbejder indenfor sundhedsområdet, ikke omfattes af kravet om tilmelding, ligesom f.eks. læger heller ikke omfattes.
Nej, det er vores opfattelse, at Skype og FaceTime, eller lignende internetbaserede telefonkonferenceprogrammer, ikke er sikre nok. Dette skyldes, at data ikke er tilstrækkeligt beskyttet, blandt andet er serverne placeret udenfor EU, hvor der ikke gælder samme lovgivning omkring datasikkerhed.
Der findes nogle internetbaserede løsninger, der garanterer sikre forbindelser, men hvis man benytter sig at disse, skal man selv sikre sig, at sikkerheden lever op til de krav der er i Danmark.
Ansvaret for at personfølsomme data ikke kommer i uvedkommendes kendskab ligger hos den dataansvarlige, dvs. i dette tilfælde psykologen. Ansvaret for sikker håndtering af data/oplysninger kan – ligesom i forbindelse med at man som psykolog mailer med en klient – ikke samtykkes væk af den, der er i behandling.
Du kan have en egen server, som er sikret, ellers skal du have databehandleraftaler hele vejen ned til den sidste i databehandlerkæden, som kan dokumentere sikkerheden.
Logning er ifølge Datatilsynet ikke nødvendigt i en enkeltmandsvirksomhed, idet selve formålet med logning er, at man skal have styr på hvis der er flere personer der logger på et system. Hvis du har vikar på, er det heller ikke nødvendigt, idet vikaren så træder i stedet for dig som den eneste der logger på.
Ligesom ved internetbaseret terapi ligger ansvaret for at personfølsomme data ikke kommer i uvedkommendes kendskab hos den dataansvarlige, dvs. i dette tilfælde er det dig som psykolog som er ansvarlig. Ansvaret kan ikke samtykkes væk af den, der er i behandling. Det er dig som psykolog, som har ansvaret for, at mail og indholdet er tilstrækkeligt sikret ved end-to-end-kryptering.
Indholdet i korrespondance med klienter vil oftest være at betegne som personfølsomme oplysninger og skal derfor sikres. Dette gælder både oplysninger omkring klienter samt indholdet fra behandling.
Såfremt opgaven udføres på vegne af en kommune (en offentlig myndighed), er du som psykolog omfattet af sikkerhedsbekendtgørelsen, idet du i det tilfælde agerer som databehandler for kommunen. Dette medfører, at du skal sikre informationen med kryptering.
Såfremt du udfører opgaven privat, dvs. ikke på vegne af en offentlig myndighed, skal du stadig følge vilkårene i persondatalovens § 41. Der foreligger i den forbindelse ikke et udtalt krav, men en klar anbefaling fra Datatilsynet om, at personfølsomme oplysninger bør krypteres.
Når en klient kontakter dig via mail, kan du ikke være sikker på, om forbindelsen er krypteret. Ved besvarelse skal du derfor skrive en ny end-to-end-krypteret mail fra din egen sikre e-mailadresse som svar. Derfor skal du altså ikke svare direkte på den oprindelige mail.
Vi anbefaler desuden, at du minder klienten om ikke at sende personfølsomme oplysninger til dig via en ikke-krypteret e-mail.
Ja, det er bankens ansvar at sikre, at bankoplysninger behandles fortroligt, og det er derfor ikke noget problem, at klienter betaler dig for behandling via bankoverførsel eller MobilePay.
Nej. Ved at opbevare data på en internetserver gives der adgang til data for tredjeparter. Hvis data ikke opbevares i et europæisk land, er virksomheden ikke omfattet af den europæiske lovgivning for datasikkerhed (se også Datatilsynets hjemmeside). Dette betyder, at gratistjenester som DropBox ikke kan benyttes.
Ja, det er en personfølsom oplysning, at en klient går til en psykolog. Det skal derfor sikres, at dette ikke kan læses ud af din kalender. Har du en elektronisk kalender på din smartphone, iPad eller lignende, skal du derfor sikre dig, at f.eks. synkronisering ikke sker til en usikret internetserver, men kun til en sikret internetserver eller sikret computer.
En måde at holde kalender på er ved at skrive initialer, listenummer eller lignende i din kalender, og så have en liste med faktiske navne liggende et sikkert sted, eksempelvis lokalt på en computer, som kun du har adgang til.
Problemet med smartphones er, at mange apps beder om at få adgang til data på telefonen, hvilket gør, at eksterne aktører kan få fat i det data, der måtte være på telefonen. Til privat brug vil du derfor typisk have flere apps, der kan få adgang til de følsomme oplysninger, som ligger fra dit arbejde.
Kun hvis du sikkerhedskopierer til en sikret computer eller server. Du må f.eks. altså ikke gemme på en ”cloud”.
Du må ikke kommunikere med dine klienter over sociale medier som Facebook, da al data, som går igennem sådanne sider, tilhører ejerne af siderne. Dette betyder, at alt det, du skriver på Facebook, bliver gemt hos en tredjepart, der kan bruge det, som de har lyst. Dette gælder både private beskeder via sociale medier, samt kommentarer til andres opslag på sociale medier.
En personoplysning er et overordnet begreb, der omfatter alle oplysninger, som kan henføres til en bestemt fysisk person, såsom navn og alder, men også personfølsomme oplysninger såsom helbredsoplysninger. Det gælder også oplysninger, som først i kombination med andre oplysninger kan henføres til en bestemt person. Enkeltmandsvirksomheder omfattes også af begrebet, idet de oplysninger kan henføres til en ejer.
Som medlem af Dansk Psykolog Forening har du nu mulighed for at indgå en aftale om sikker mail med RMail (danastar) eller Permido – to forskellige virksomheder som tilbyder kryptering og håndtering af mails i lukkede systemer.
Der har været stor efterspørgsel på en løsning vedrørende sikker mail, og vi har arbejdet intenst med at finde en både teknisk og økonomisk fordelagtig løsning for vores selvstændige medlemmer.
Dansk Psykolog Forening vurderer, at produkterne har høj kvalitet og brugervenlighed. Vi kan dog ikke udelukke, at der også findes andre ligeværdige produkter, da vi ikke har fuldt markedsoverblik. Vejledning mv. henter du hos Danastar hhv Permido.
Fakta:
Du skal som selvstændig huske at tilpasse indholdet til din databehandleraftale til den situation, du konkret skal bruge den til. På Datatilsynets hjemmeside finder du en detaljeret version, du kan tage udgangspunkt i.
Som udgangspunkt er du som selvstændig psykolog ikke forpligtet til at have en datasikkerhedsrådgiver.
For at du skal være forpligtet til at have en datasikkerhedsrådgiver, skal du/din virksomhed opfylde samtlige af følgende tre af Datatilsynets opstillede kriterier:
Generelt vil du som selvstændig psykolog ikke opfylde kriterium nr. 2, at “behandle personoplysninger i et stort omfang”. Datatilsynet har i sin vejledning blandt andet konstateret, at behandling af patientdata i en lægepraksis med et begrænset antal læger tilknyttet kan som følge af den begrænsede mængde oplysninger, der behandles, heller ikke anses for at behandle personoplysninger i et stort omfang.
Sådan håndterer du GDPR i din praksis
Er du selvstændig psykolog skal du holde styr på en lang række GDPR-krav, der skal sikre, at du behandler data om dine klienter korrekt. Prøv vores onlineforløb, hvor du kan danne dig overblik over GDPR-reglerne og få styr på databehandleraftaler, cookies, sikker sletning og opbevaring.
Se modulerneHvis du har en it-leverandør/hostingvirksomhed, som håndterer dine data, skal du have en databehandleraftale med vedkommende. Af databehandleraftalen skal det fremgå hvordan ansvaret for it-sikkerheden er fordelt, og du skal sikre – uanset at du som dataansvarlig har det overordnede ansvar – at ansvaret også ligger hos leverandøren.
Det er vigtigt, at din leverandør kan fremvise en tilstrækkelig privatlivspolitik. Det betyder, at privatlivspolitikken blandt andet skal omfatte de tilfælde hvor leverandøren/hostingvirksomheden casher (indsamler) data når dine klienter f.eks. bruger en kontaktformular på din hjemmeside eller der bruges cookies vid tidsbestilling via nettet.
Du skal høre om din leverandør sikrer din data, når den transporteres og opbevares.
Du skal spørge hvor og hvordan din leverandør opbevarer din data, herunder om din data opbevares indenfor EU, eller i så kaldte ”sikre 3. lande” uden for EU.
Du skal som dataansvarlig sikre, at – udover at dine journaler opbevares sikkert – der også jævnligt laves back-up.
Hvis du f.eks. har en vikar i din klinik, skal du have styr på følgende:
1) Logning: Hvis flere personer har adgang til dine journaler, skal dette kunne spores på den vis at der skal logges hvem der har læst i hvilke journaler.
2) Styring af journaladgang: Adgangen skal være begrænset på baggrund af nødvendighedskriterium, dvs adgangen skal være saglig, og din vikar skal ikke have adgang til flere journaler end nødvendigt.
Din leverandørs mulighed for sletning skal være i overensstemmelse med din egen kliniks slettepolitik.
Det betyder, at din leverandør teknisk blandt andet bør kunne tilbyde et system, som finder frem journaler som er blevet opbevaret i 5 år efter sidste journalnotat, og som – såfremt ikke særlige omstændigheder foreligger for den konkrete journal – derfor skal slettes.