Victoriakliniken Integritetspolicy

Version: 13 oktober 2026

När du kontaktar Victoriakliniken, bokar en konsultation, genomgår en behandling eller använder våra digitala tjänster behandlar vi personuppgifter om dig. Här beskriver vi vilka uppgifter det gäller, varför vi använder dem, vilka som kan ta del av dem och vilka rättigheter du har.

Policyn omfattar våra kliniker i Saltsjöbaden och på Karlaplan, vår webbplats, digitala bokning och patientkommunikation samt nyhetsbrev och andra kontakter med oss. Patientuppgifter omfattas av ett särskilt skydd enligt patientdatalagen och reglerna om tystnadsplikt. För behandlingar som inte omfattas av vårdlagstiftningen gäller dataskyddsförordningen, GDPR, och andra tillämpliga regler.

1 Vem ansvarar för dina personuppgifter

AB Victoriakliniken, organisationsnummer 556633-4784, är personuppgiftsansvarig för den behandling av personuppgifter som vi bestämmer ändamålen och medlen för. Det innebär att vi ansvarar för hur uppgifterna används inom vår verksamhet, även när vi anlitar en leverantör som behandlar dem för vår räkning.

Du kan kontakta oss om dataskydd och dina rättigheter:

• E-post: info@victoriakliniken.com. Ange gärna att ärendet gäller personuppgifter.
• Telefon: 08-530 210 00.
• Post: AB Victoriakliniken, Rösundavägen 4, 133 36 Saltsjöbaden.

Skicka inte journaler, personnummer eller andra känsliga uppgifter med vanlig e-post. Kontakta oss först så hjälper vi dig att använda en lämplig säker kanal.

2 Vilka uppgifter vi behandlar och varifrån de kommer

Vilka uppgifter vi behöver beror på din kontakt med oss. Det kan vara:

• Identitetsuppgifter och kontaktuppgifter: namn, personnummer eller annan identifiering, adress, telefonnummer och e-postadress.
• Bokningar och kommunikation: önskad konsultation eller behandling, bokade tider, meddelanden, kontaktförfrågningar och information om uppföljningar.
• Patientuppgifter: hälsodeklaration, sjukdomshistoria, läkemedel, allergier, undersökningar, provsvar, medicinska bedömningar, behandlingar, recept, remisser och uppföljningar.
• Bilder och planeringsunderlag: fotografier före och efter behandling samt bilder, mått och 3D-simuleringar som används vid konsultation, planering eller dokumentation.
• Betalningsuppgifter: fakturauppgifter, genomförda betalningar och de uppgifter om finansiering eller försäkring som behövs för ärendet.
• Val och tekniska uppgifter: samtycken, prenumerationsinställningar, användning av digitala tjänster, IP-adress, enhetsinformation samt säkerhets- och åtkomstloggar, beroende på tjänsten och dina val.

Uppgifterna kommer främst från dig och från våra medarbetares dokumentation. Vid behov får vi också uppgifter från exempelvis en annan vårdgivare, ett laboratorium, ett försäkringsbolag eller en betalningsleverantör. Inhämtning och utlämnande av patientuppgifter måste ha stöd i tillämpliga regler, inklusive tystnadsplikten. När samtycke krävs ber vi om det. Om vi hämtar uppgifter från någon annan får du den information om källa och behandling som GDPR kräver.

Även en bokningsförfrågan eller uppgift om en önskad behandling kan avslöja information om din hälsa. Sådana uppgifter behöver ett starkare skydd än vanliga kontaktuppgifter.

3 Varför vi använder uppgifterna och med vilket rättsligt stöd

Vård och patientjournaler

Vi använder patientuppgifter för att bedöma, planera, genomföra och följa upp din vård och behandling. Vi dokumenterar de uppgifter som behövs för god och säker vård i din patientjournal. Journalföringsregler gäller även för estetiska kirurgiska ingrepp och injektionsbehandlingar som omfattas av lagen om estetiska kirurgiska ingrepp och estetiska injektionsbehandlingar.

Journalföringen grundas på en rättslig förpliktelse enligt artikel 6.1 c GDPR och patientdatalagen. Behandling som är nödvändig för att tillhandahålla vård grundas på uppgift av allmänt intresse enligt artikel 6.1 e, med stöd i tillämplig vårdlagstiftning. För hälsouppgifter används undantaget för hälso- och sjukvårdsändamål i artikel 9.2 h, under de förutsättningar om tystnadsplikt som anges i artikel 9.3.

Samtycke till behandling eller ett ingrepp är en annan fråga än rättslig grund för journalföring. Att du återkallar ett marknadsföringssamtycke innebär därför inte att din journal raderas.

Kontaktförfrågningar och bokningar

Vi använder de uppgifter som behövs för att svara på frågor, hantera önskemål om konsultation, administrera tider och skicka bokningsbekräftelser eller påminnelser.

När du ber om en tjänst eller offert kan behandlingen vara nödvändig för åtgärder inför ett avtal eller för att fullgöra avtalet, artikel 6.1 b. För allmänna frågor utan koppling till ett avtal använder vi intresseavvägning, artikel 6.1 f. Vårt berättigade intresse är att kunna svara på förfrågningar och ge service. För vårdrelaterad bokning och kommunikation används de rättsliga grunderna för vård ovan. Avtal eller intresseavvägning är i sig inte tillräckligt stöd för att behandla hälsouppgifter.

Betalning och bokföring

Vi behandlar uppgifter som behövs för att ta betalt och administrera avtal, artikel 6.1 b. Räkenskapsinformation sparas för att uppfylla bokföringslagens krav, artikel 6.1 c. En extern betalningsleverantör, kreditgivare eller försäkringsgivare kan vara självständigt ansvarig för sin egen behandling, exempelvis kreditprövning.

Patientsäkerhet och kvalitet

Patientuppgifter kan användas för att utreda avvikelser och klagomål, följa upp vården och utveckla och säkra kvaliteten i verksamheten. Behandling som krävs enligt patientsäkerhetslagen eller annan tillämplig vårdlagstiftning grundas på artikel 6.1 c och, för hälsouppgifter, artikel 9.2 h. Vi begränsar uppgifterna till det som behövs för uppgiften.

Rättsliga anspråk och säkerhet

När det behövs för att fastställa, göra gällande eller försvara rättsliga anspråk kan uppgifter bevaras och användas med stöd av artikel 6.1 f. Vårt berättigade intresse är att tillvarata våra rättigheter. För känsliga personuppgifter krävs dessutom stöd i artikel 9.2 f.

Tekniska uppgifter kan behandlas för att förebygga missbruk och skydda våra digitala tjänster. Vårt berättigade intresse enligt artikel 6.1 f är att upprätthålla tjänsternas säkerhet. Säkerhetsbehandling som omfattas av en lagstadgad skyldighet grundas i stället på artikel 6.1 c.

Nyhetsbrev, publicering av patientbilder och cookies beskrivs särskilt nedan.

4 Digital bokning och chatbotten på webbplatsen

Vi använder Adoreal för digital bokning och patientadministration, inklusive journalhantering. Chatbotten på vår webbplats tillhandahålls via Adoreal med hjälp av Boxly.

När du använder chatten behandlas det du skriver och de kontaktuppgifter du väljer att lämna. Uppgifterna används för att besvara din förfrågan och hjälpa dig vidare till rätt kontakt eller bokning. Behöriga medarbetare och leverantörer som arbetar på vårt uppdrag kan ta del av uppgifterna för detta ändamål. Behandlingen grundas på de grunder för kontaktförfrågningar och bokningar som beskrivs i avsnitt 3.

Chatbotten är en automatiserad tjänst och kan använda AI för allmän information och för att hantera kontaktförfrågningar. Du kan alltid välja att kontakta kliniken direkt. Chatten ersätter inte en medicinsk bedömning. Den fattar inte beslut om diagnos, behandlingslämplighet, tillgång till vård eller pris för ett individuellt medicinskt ärende.

Lämna inte personnummer, detaljerade hälsouppgifter, journalhandlingar eller känsliga bilder i chatten. Sådana uppgifter efterfrågas genom en lämplig säker kanal när de behövs för din vård. Om du ändå lämnar vårdrelaterade uppgifter hanteras förfrågan av behörig personal, och sådant som behövs för vården dokumenteras i journalen. Hälsouppgifter får inte användas för marknadsföring enbart för att de har lämnats i chatten.

För de chattuppgifter som behandlas på vårt uppdrag tillåter vi bearbetning endast för att leverera och säkra tjänsten och hantera din förfrågan. Vi tillåter inte att identifierbart chattinnehåll används för leverantörens egen marknadsföring eller för att träna allmänna AI-modeller. Eventuella AI-leverantörer i behandlingskedjan ska omfattas av motsvarande instruktioner och säkerhetskrav. Åtkomst, mottagare och internationella överföringar omfattas av avsnitt 8 och 9.

Att använda chatten eller lämna en bokningsförfrågan är inte ett samtycke till nyhetsbrev, marknadsförings-SMS eller andra reklamutskick. Sådana val görs separat, aktivt och utan förvalda kryssrutor. Ett nej påverkar inte vår hantering av din förfrågan. Lagringstiderna anges i avsnitt 10.

5 Kommunikation med dig

Vi kan kontakta dig via telefon, SMS, e-post och digitala patienttjänster för exempelvis bokningar, förberedelser och uppföljning. Vi använder Zivver för säker e-postkommunikation. Du kan behöva verifiera din identitet för att läsa ett skyddat meddelande.

Journaler, hälsodeklarationer, känsliga fotografier och andra skyddsvärda patientuppgifter skickas genom en säker patienttjänst eller skyddad kommunikation. Boknings-SMS och vanliga e-postpåminnelser innehåller endast den information som behövs för att förmedla tiden och kontakten. De ska inte innehålla diagnoser, detaljer om ingrepp eller känsliga bilagor.

Vanlig e-post och meddelanden i sociala medier är olämpliga för journaler och detaljerade hälsouppgifter. Om du kontaktar oss där med ett medicinskt ärende hjälper vi dig vidare till en säker kontaktväg. Uppgifter som är relevanta för din vård kan behöva dokumenteras i journalen. Sådan kommunikation behandlas enligt grunderna för vård i avsnitt 3.

Bokningspåminnelser och information om din behandling hanteras för det ändamålet och fortsätter när de behövs även om du har avregistrerat dig från nyhetsbrev. Vi spelar inte rutinmässigt in eller AI-transkriberar patienternas telefonsamtal eller videokonsultationer.

6 Nyhetsbrev och Mailchimp

Vi använder Mailchimp för våra nyhetsbrev. Om du väljer att prenumerera behandlar vi din e-postadress och, om du lämnar det, ditt namn, språk och allmänna utskicksval. Vi behandlar också dokumentation av ditt samtycke, exempelvis tidpunkt, hur det lämnades och vilken information du fick, samt leverans- och avregistreringsstatus.

Utskicken grundas på ditt samtycke enligt artikel 6.1 a GDPR. Samtycket lämnas genom ett aktivt val. Vid ny webbanmälan bekräftar du prenumerationen genom ett särskilt bekräftelsemeddelande innan reklamutskicken börjar. Det är frivilligt att prenumerera och valet påverkar inte din möjlighet att få vård eller behandling. En bokning eller chattförfrågan innebär inte automatiskt att du blir prenumerant.

Vi använder inte individuell öppningsspårning eller klickspårning i nyhetsbreven. Vi registrerar alltså inte vilka redaktionella länkar du klickar på eller om du öppnar ett visst nyhetsbrev. Funktionella händelser som att bekräfta en prenumeration, ändra ett utskicksval eller avregistrera sig kan däremot registreras för att administrera ditt val. Teknisk information som behövs för leverans, felhantering och missbruksskydd behandlas för dessa ändamål. Vårt berättigade intresse enligt artikel 6.1 f är att kunna administrera och skydda utskickstjänsten.

Vi använder inte journaluppgifter, diagnoser, bokningshistorik, genomförda behandlingar eller slutsatser om hälsa för att segmentera nyhetsbrev eller skapa annonsmålgrupper. Anpassning av nyhetsbrev begränsas till allmänna val som du själv har gjort. Vi lämnar inte patient- eller prenumerantlistor till Google eller Meta för målgruppsmatchning, retargeting eller liknande annonsering.

Du kan när som helst återkalla samtycket genom avregistreringslänken i utskicket eller genom att kontakta oss. Då upphör utskicken. Vi behåller endast den begränsade dokumentation som behövs för att respektera ditt val, visa hur samtycket hanterats och hantera eventuella anspråk, se avsnitt 10. Den dokumentationen grundas på vårt berättigade intresse enligt artikel 6.1 f av att förhindra oönskade utskick och tillvarata våra rättigheter.

Vi ber om en ny aktiv bekräftelse senast 24 månader efter din senaste anmälan eller bekräftelse av prenumerationen. Om du inte förnyar samtycket upphör utskicken och uppgifterna tas bort ur den aktiva utskickslistan. Ett automatiskt leveranskvitto eller ett öppnat mejl förnyar inte samtycket.

Mailchimps behandling och överföringar till USA beskrivs i avsnitt 8 och 9. Mer information finns i Mailchimps dataskyddsavtal.

7 Bilder och 3D samt utbildning och forskning

Fotografier och 3D-underlag som behövs för medicinsk bedömning, behandlingsplanering eller dokumentation behandlas som patientuppgifter enligt grunderna för vård i avsnitt 3. När de ingår i journalen gäller samma regler om åtkomst och bevarande som för andra journalhandlingar.

För webbplatsens frivilliga 3D-simulering används Crisalix. Om du väljer att använda tjänsten kan Crisalix behandla de bilder, kroppsmått, kontaktuppgifter och andra uppgifter som du lämnar för att skapa simuleringen och hantera tjänsten. För en självständig webbsimulering som du delar med oss använder vi ditt separata uttryckliga samtycke enligt artiklarna 6.1 a och 9.2 a för mottagande och användning av materialet före en vårdrelation. När underlaget behövs för din faktiska vård gäller grunderna för vård och journalföring i avsnitt 3.

För ditt eget Crisalix-konto och Crisalix egna tjänster är Crisalix självständigt personuppgiftsansvarig enligt sin integritetsinformation. Där beskrivs också utveckling och förbättring av tjänsten, bland annat med AI. Den behandlingen omfattas av Crisalix särskilda information och val; ett samtycke till våra nyhetsbrev omfattar den inte. Du kan kontakta Crisalix på privacy@crisalix.com om deras behandling. Läs Crisalix integritetspolicy innan du laddar upp material. Du kan få konsultation hos oss utan att använda webbverktyget. Vi publicerar inte material från din simulering genom en sådan anmälan.

Om vi vill publicera identifierbara bilder, filmer eller en patientberättelse om dig på exempelvis vår webbplats, i nyhetsbrev eller i sociala medier ber vi om ett separat och tydligt samtycke. Du får välja material och kanaler och får information om syftet. Behandlingen grundas på artikel 6.1 a och, om materialet avslöjar hälsouppgifter, uttryckligt samtycke enligt artikel 9.2 a. Samtycket gäller högst 24 månader. Fortsatt publicering därefter kräver ett nytt aktivt samtycke.

Du kan tacka nej utan att din vård påverkas och när som helst återkalla samtycket. Då upphör fortsatt användning för det aktuella ändamålet och vi tar bort materialet från de kanaler vi kontrollerar. Redan distribuerat tryckt material och kopior som andra har spridit kan vara svåra att återta. Vi vidtar de åtgärder som krävs enligt dataskyddsreglerna. Återkallelsen påverkar inte lagligheten av användningen före återkallelsen eller skyldigheten att bevara journalmaterial.

Att du taggar oss eller nämner oss i sociala medier innebär inte ett generellt samtycke till att vi återpublicerar ditt material.

Identifierbart patientmaterial används för undervisning eller kongresser endast efter ett separat uttryckligt samtycke som anger material, sammanhang, mottagare och användningstid. För varje forskningsprojekt lämnas särskild information om ansvarig aktör, ändamål, rättsligt stöd, mottagare, lagring och dina rättigheter. Forskning kan kräva etikprövning och ett annat rättsligt stöd än det som används för din vård. Pseudonymiserade uppgifter, där identiteten ersatts med en kod, är fortfarande personuppgifter.

8 Vilka som kan ta del av uppgifterna

Personal får ta del av patientuppgifter när de deltar i din vård eller behöver uppgifterna för sitt arbete inom hälso- och sjukvården. Tillgången begränsas efter arbetsuppgift och behov. Vårdpersonal omfattas av lagstadgad tystnadsplikt.

Externa mottagare kan, beroende på ärendet, vara:

• Adoreal och Boxly: Adoreal tillhandahåller bokning och patientadministration, inklusive journalhantering. Boxly används för chatbotten inom Adoreals erbjudande. För de uppgifter de behandlar på vårt uppdrag gäller biträdesavtal, instruktioner och begränsning till de ändamål som anges här. Det omfattar även underbiträden i behandlingskedjan.
• Zivver och IT-leverantörer: för säker kommunikation, drift, säkerhetskopiering och nödvändig support. Supportåtkomst till patientuppgifter begränsas och dokumenteras.
• Mailchimp: för de begränsade prenumerations- och kontaktuppgifter som behövs för nyhetsbrev. Journaler, behandlingshistorik och känsliga patientbilder lämnas inte till Mailchimp för utskick.
• Crisalix: när du väljer att använda eller dela underlag från 3D-tjänsten. Deras självständiga kontotjänst beskrivs i avsnitt 7.
• Webbleverantörer: för webbdrift och säkerhet, samt Google Analytics för den begränsade webbstatistik som beskrivs i avsnitt 11 efter ditt samtycke.
• Andra aktörer i vården: exempelvis mottagare av remisser, laboratorier, E-hälsomyndigheten och apotek när uppgifter behövs för din vård, såsom vid receptförskrivning.
• Betalningsaktörer och försäkringsgivare: när uppgifter behövs för betalning, finansiering eller ett försäkringsärende.
• Myndigheter och rättsliga rådgivare: när uppgiftsskyldighet följer av lag eller uppgifter behövs för exempelvis tillsyn, ett patientskadeärende eller ett rättsligt anspråk.

Utlämnande av patientuppgifter måste vara förenligt med reglerna om tystnadsplikt. En bokning eller ett godkännande av denna policy är inte ett generellt medgivande till utlämnande. Vi säljer inte patientuppgifter och tillåter inte att våra biträden använder dem för egen annonsering eller för att träna allmänna AI-modeller.

När en leverantör behandlar uppgifter för vår räkning ska behandlingen regleras genom ett personuppgiftsbiträdesavtal och dokumenterade instruktioner. Underleverantörer måste omfattas av motsvarande krav. För journaler och vårdrelaterade uppgifter beslutar vi om ändamålen; ett leverantörsbyte överför inte vårt vårdgivaransvar till leverantören.

När du själv skapar eller använder ett fristående konto eller en egen tjänst hos exempelvis Adoreal eller Crisalix kan leverantören vara självständigt ansvarig för den delen, såsom kontoregistrering och den egna användarrelationen. Den ska beskrivas i leverantörens egen integritetsinformation. Det är skilt från behandling på vårt uppdrag och ersätter inte vårt ansvar för vår egen behandling. Läs Adoreals integritetsinformation för deras självständiga kontobehandling.

9 Behandling utanför EU och EES

Användningen av internationella tjänster kan innebära att personuppgifter behandlas utanför EU/EES. Även supportåtkomst eller användning av en underleverantör utanför området kan innebära en överföring.

Mailchimp, The Rocket Science Group LLC, behandlar prenumerations- och kontaktuppgifter i USA. För den överföringen används Mailchimps dataskyddsavtal och det överföringsstöd som är tillämpligt enligt avtalet, inklusive EU–U.S. Data Privacy Framework när mottagaren omfattas av ett giltigt sådant skydd, och EU-kommissionens standardavtalsklausuler i de situationer där de gäller. Vi kontrollerar att överföringsstödet omfattar rätt mottagare och behandling. Se Mailchimps information om europeiska dataöverföringar och den underbiträdeslista som länkas där för ytterligare mottagare och behandlingsländer.

När du använder Crisalix kan dina uppgifter behandlas i Schweiz av Crisalix SA. Schweiz omfattas av ett beslut om adekvat skyddsnivå från EU-kommissionen. Crisalix beskriver sina egna eventuella vidareöverföringar och skyddsåtgärder i den integritetspolicy som länkas i avsnitt 7.

För de vård-, boknings-, chatt- och kommunikationsuppgifter som behandlas på vårt uppdrag kräver vi att leverantörerna redovisar lagring, supportåtkomst och underleverantörer. Överföringar till ett land utanför EU/EES får ske endast till dokumenterade och godkända mottagare och med ett tillämpligt överföringsstöd. Det kan vara ett adekvansbeslut, exempelvis för Storbritannien när beslutets villkor är uppfyllda, eller standardavtalsklausuler efter bedömning av överföringen och kompletterande skydd där det behövs. En allmän accept av denna policy ersätter inte sådant stöd.

Även webbstatistik kan innebära behandling hos Google i USA. För den används tillämpliga dataskyddsvillkor och ett giltigt överföringsstöd enligt samma principer. Journaluppgifter, bokningsinnehåll och andra hälsouppgifter ingår inte i den statistik vi skickar dit.

Du kan kontakta oss för att få uppgifter om mottagare och länder i våra egna leverantörskedjor samt en kopia av tillämpliga skyddsåtgärder. Om en förändring innebär nya överföringar eller nya behandlingsändamål lämnar vi den ytterligare information som krävs innan förändringen börjar tillämpas.

10 Hur länge uppgifterna sparas

Vi begränsar lagringen efter ändamål och skiljer journalmaterial från exempelvis chatt, administration och nyhetsbrev. Tiderna nedan gäller vår behandling och den behandling som leverantörer utför på vårt uppdrag. En fristående tjänsts egen användarrelation kan ha en annan tid enligt den ansvariga aktörens information.

Uppgifter kan behöva bevaras längre för ett pågående rättsligt ärende, en lagstadgad skyldighet eller nödvändig vårduppföljning. Det ska då dokumenteras och begränsas till det material som behövs. För bevisning och rättsliga anspråk används de grunder som anges i avsnitt 3; dataskyddsdokumentation som behövs för att visa att våra skyldigheter fullgjorts grundas på artikel 6.1 c. En lagstadgad journalfrist ger inte rätt att behålla samma information lika länge i ett marknadsföringsregister.

11 Cookies och digital marknadsföring

Vi använder nödvändiga tekniska funktioner för webbplatsens säkerhet, grundläggande funktion och de tjänster du aktivt begär. För statistik som kräver samtycke får du göra ett separat val innan tekniken startar. Samtyckesbaserad personuppgiftsbehandling grundas på artikel 6.1 a GDPR. Nödvändig drift och säkerhet grundas på vårt berättigade intresse enligt artikel 6.1 f av att tillhandahålla en säker och fungerande webbplats. Undantaget från cookie-samtycke används endast när teknikens faktiska ändamål uppfyller lagens krav.

För begränsad webbstatistik använder vi Google Analytics 4 efter ett aktivt statistikval. Det kan omfatta en pseudonym cookieidentifierare, tekniska uppgifter om enhet och webbläsare samt allmänna sidvisningar och interaktioner. Syftet är att förstå hur webbplatsens allmänna delar fungerar. Pseudonyma identifierare är fortfarande personuppgifter.

Patientportaler, bokning, chatt, formulär med patientinnehåll och vård- eller behandlingssidor där besök kan avslöja hälsouppgifter undantas från extern personbaserad analys. Vi skickar inte namn, e-postadresser, personnummer, fritext, bilder, bokningsuppgifter eller identifierbara behandlingsintressen till analysverktyget. URL:er, sidtitlar och händelser som kan avslöja sådana uppgifter ska inte skickas. Annonspersonalisering, Google Signals, patientmålgrupper och användarmatchning är avstängda i vår användning.

Vi använder inte Meta Pixel, Google Ads remarketingtaggar eller motsvarande annonsspårning för att följa individuella besökare på klinikens webbplats. Vi kan annonsera genom dessa plattformar, men förser dem inte med patientlistor eller individuella boknings- och behandlingshändelser från våra system. Plattformarnas egen behandling när du använder dem beskrivs i deras integritetsinformation.

Du kan neka valfri statistik och fortfarande använda webbplatsens grundläggande funktioner. Via länken Cookieinställningar i webbplatsens sidfot kan du ändra eller återkalla ditt val. Ett återkallat val stoppar fortsatt samtyckesbaserad insamling; befintliga uppgifter hanteras enligt tillämpliga rättigheter och lagringsregler.

Frivilliga externa tjänster, exempelvis 3D-simulering, laddas först efter ett informerat aktivt val och endast med den åtkomst som behövs för den begärda tjänsten. Teknik som också används för analys eller marknadsföring kräver ett separat giltigt val. Ett statistik- eller cookieval är inte i sig ett uttryckligt samtycke till att använda eller lämna ut hälsouppgifter.

12 Återkoppling och offentliga recensioner

Återkoppling som behövs för att följa upp din vård och kvaliteten behandlas enligt avsnitt 3. En inbjudan att lämna en offentlig recension på exempelvis Google eller Reco hanteras separat.

Om du aktivt har valt att få en sådan inbjudan kan vi skicka en enstaka förfrågan, normalt tidigast dagen efter besöket. Samtycket är frivilligt, separat från vård och nyhetsbrev och kan återkallas. För användningen av kontaktuppgifterna används artikel 6.1 a. När användningen av patientrelationen innebär behandling av hälsouppgifter kräver vi också ditt uttryckliga samtycke enligt artikel 9.2 a.

Inbjudan skickas av oss eller av vår leverantör på vårt uppdrag genom en lämplig kanal. Vi lämnar inte ut journaluppgifter, behandlingstyp eller patientlistor till en offentlig recensionsplattform för att den ska skicka inbjudan. Meddelandet innehåller en allmän länk; vi lägger inte in personliga identifierare, behandlingsuppgifter eller spårning av ditt svar i länken. Uppgifterna för att administrera inbjudan sparas enligt avsnitt 10.

Om du själv väljer att besöka plattformen eller publicera en recension behandlar plattformen uppgifterna enligt sin egen integritetsinformation. Tänk på att det du skriver kan bli offentligt. Deltagandet är frivilligt och påverkar inte din vård. Vi bekräftar inte och röjer inte skyddade patientuppgifter i ett offentligt svar.

13 Hur patientuppgifter skyddas

Patientuppgifter omfattas av lagstadgad tystnadsplikt och särskilda regler om behörighet, elektronisk åtkomst och kontroll. Vi begränsar behörigheter efter arbetsuppgift och behov och använder individuella konton. Delade personliga användarkonton tillåts inte. Behörighet tas bort när den inte längre behövs, och åtkomst genom öppna nät skyddas med stark autentisering.

I patientadministrationen kan sökning ske med uppgifter som behövs för att hitta rätt patient eller ärende, exempelvis namn, personnummer, patientidentifierare och bokningsuppgifter. En teknisk möjlighet att söka innebär inte en rätt att läsa journalen. Sökning och läsning måste ha ett tillåtet arbetsändamål och begränsas efter behov.

Elektronisk åtkomst till patientuppgifter dokumenteras i loggar som visar användare, patient, tidpunkt och vidtagna åtgärder samt berörd enhet eller vårdprocess. Vi gör dokumenterade återkommande stickprovskontroller minst en gång per månad och ytterligare kontroller vid misstanke om obehörig åtkomst. Kontrollernas omfattning anpassas till riskerna.

Direktåtkomst ges inte till marknadsföringsverktyg eller annonsplattformar. Leverantörsåtkomst för drift och support begränsas till dokumenterade uppdrag och nödvändiga uppgifter. När du får tillgång till egna uppgifter genom en patienttjänst krävs identifiering och åtkomsten begränsas till dina uppgifter. Detaljer om vilka handlingar som visas lämnas i den tjänsten.

Elektroniskt utlämnande av journaler, bilder och andra patientuppgifter sker till en verifierad mottagare genom en lämplig skyddad kanal, exempelvis en patienttjänst eller säker e-post. Vi kontrollerar rättsligt stöd, tystnadsplikt och mottagarens behörighet. Verksamhet enligt lagen om estetiska kirurgiska ingrepp och estetiska injektionsbehandlingar får inte använda sammanhållen vård- och omsorgsdokumentation för att ta del av andra vårdgivares uppgifter; det är skilt från ett lagligt utlämnande av en journalhandling.

Vi följer upp behörigheter och leverantörer samt skyddar lagring, kommunikation och återställning. Om en personuppgiftsincident medför hög risk för dina rättigheter och friheter får du information utan onödigt dröjsmål, om inte ett tillämpligt undantag gäller. Du kan kontakta oss om du misstänker att dina uppgifter har hanterats felaktigt eller vill få information om åtkomsten till dem.

14 Dina rättigheter

Du har rättigheter enligt GDPR och särskilda rättigheter enligt patientdatalagen. Vilka rättigheter som kan användas beror bland annat på uppgiftens art och den rättsliga grunden.

• Information och tillgång: Du kan begära information om behandlingen och en kopia av dina personuppgifter. Den första kopian enligt GDPR lämnas normalt kostnadsfritt. Du kan också begära att få ta del av din patientjournal, med de begränsningar som följer av lag.
• Rättelse: Du kan begära att felaktiga eller ofullständiga uppgifter rättas. En journaluppgift får normalt inte raderas eller göras oläslig vid rättelse. Om du anser att en journaluppgift är felaktig eller missvisande ska din invändning antecknas i journalen.
• Radering: Du kan begära radering när förutsättningarna är uppfyllda. Uppgifter som måste bevaras enligt patientdatalagen eller bokföringslagen kan normalt inte raderas på begäran. Förstöring av journalhandlingar kan i vissa fall prövas av Inspektionen för vård och omsorg, IVO.
• Begränsning: Du kan i vissa fall begära att användningen begränsas, exempelvis medan uppgifternas riktighet utreds.
• Invändning: Du kan invända av skäl som rör din situation när behandlingen grundas på intresseavvägning eller uppgift av allmänt intresse. Du har alltid rätt att invända mot behandling för direktmarknadsföring, inklusive profilering för det ändamålet. Då ska den behandlingen upphöra.
• Återkalla samtycke: Du kan när som helst återkalla ett samtycke. Det påverkar inte lagligheten av den behandling som skett före återkallelsen.
• Dataportabilitet: När behandlingen sker automatiserat och grundas på samtycke eller avtal kan du ha rätt att få ut de uppgifter du själv lämnat i ett maskinläsbart format och överföra dem till en annan ansvarig. Rätten gäller inte automatiskt hela patientjournalen.
• Spärr och åtkomstinformation: I de situationer patientdatalagen anger kan du begära spärr mot elektronisk åtkomst mellan vårdenheter eller vårdprocesser hos samma vårdgivare. Du kan också begära information om den elektroniska åtkomst som förekommit till dina patientuppgifter. En spärr innebär inte att uppgifterna raderas. Kontakta oss för information om vad som gäller i din situation.
• Klagomål och ersättning: Du kan lämna klagomål till Integritetsskyddsmyndigheten, IMY, på www.imy.se. Du kan också ha rätt till ersättning för skada som orsakats av en behandling i strid med tillämpliga dataskyddsregler.

Kontakta oss enligt avsnitt 1 för att använda dina rättigheter. Vi kan behöva kontrollera din identitet innan uppgifter lämnas ut. Vi svarar på rättighetsbegäranden enligt GDPR utan onödigt dröjsmål och normalt inom en månad. Om tiden behöver förlängas enligt GDPR informerar vi dig inom den första månaden och förklarar varför.

15 Automatisering och uppgifter som behöver lämnas

Vi använder automatiska funktioner för allmänna chattsvar, bokningsbekräftelser, påminnelser, valda utskick och gallring. Sådana funktioner fattar inte beslut om diagnos, behandling, tillgång till vård eller andra beslut om dig med rättsliga eller motsvarande betydande följder. Medicinska bedömningar görs av behörig vårdpersonal. Vi använder inte automatiserad hälsoprofilering för marknadsföring.

En extern kreditgivare kan göra en egen kreditprövning enligt sin integritetsinformation. Den behandlingen omfattas av kreditgivarens ansvar och rättighetsinformation.

För säker vård, journalföring, bokning och betalning behöver du lämna vissa uppgifter. Om nödvändiga uppgifter saknas kan vi inte alltid genomföra konsultationen eller behandlingen, hantera bokningen eller uppfylla våra skyldigheter. I den aktuella tjänsten informerar vi om vilka uppgifter som är obligatoriska och varför. Samtycke till nyhetsbrev, valfri statistik, en fristående webbsimulering, recensionsinbjudan eller publicering av patientmaterial är frivilligt.

16 Ändringar i policyn

Vi uppdaterar policyn när våra tjänster, personuppgiftsflöden eller tillämpliga regler förändras. Den aktuella versionen finns på vår webbplats. Om uppgifter ska användas för ett nytt ändamål får du den information och möjlighet att ta ställning som krävs innan den nya behandlingen påbörjas.