Personvernerklæring for Sykehuset Østfold

Personvern er retten til et privatliv og retten til å bestemme over egne personopplysninger. Personopplysninger er opplysninger og vurderinger som kan knyttes til en enkeltperson.

Ved Sykehuset Østfold behandler vi personopplysninger for å kunne utføre alle våre samfunnsoppdrag. At vi behandler personopplysninger betyr egentlig at vi bruker personopplysningene til eller i vår virksomhet.

Sykehuset Østfold er forpliktet ved lov til å sikre en trygg lagring av dine personopplysninger, herunder at dine personopplysninger er underlagt taushaetsplikten (konfidensialitet), integritet, tilgjengelighet og kvalitet. Denne personvernerklæringen gir opplysninger om hvordan vi samler inn og bruker personopplysninger og hvilke rettigheter du har når personopplysninger om deg er registrert hos oss.

Etter den Europeiske menneskerettighetskonvensjonen art. 8 og Grunnloven § 102 har enhver rett til respekt for sitt privatliv. Med bakgrunn i dette er det utviklet konkrete og detaljerte regelverk for å ivareta personvern, og særlig den nye personopplysningsloven av 20.07.2018 og EUs personvernforordningen (også kalt GDPR) er sentral. I disse hjemmelsgrunnlagene oppstilles plikter for Sykehuset Østfold som behandler andre sine personopplysninger og rettigheter for den som får sine personopplysninger registrert.

De mest sentrale lovene som hjemler Sykehuset Østfolds behandling av personopplysninger er følgende: (listen er ikke uttømmende)

• Arbeidsmiljøloven
• Arkivloven
• Forvaltningsloven
• EUs personvernforordning/GDPR
• Helseforskningsloven
• Helsepersonelloven
• Helseregisterloven
• Offentlighetsloven
• Pasientrettighetsloven
• Pasientjournalloven
• Personopplysningsloven

Sykehuset Østfold samler inn og behandler personopplysninger enten fordi vi er pålagt det ved lov eller forskrift, eller fordi vi har fått ditt samtykke til å gjøre dette. Hvordan vi samler inn personopplysninger avhenger av det aktuelle hjemmelsgrunnlaget og hvor opplysningene stammer fra.

Fordi Sykehuset Østfold er et offentlig sykehus er vi pålagt å samle inn og behandle flere personopplysninger om deg som mearbeider hos oss eller fordi du er pasient. ​

Sykehuset Østfold behandler nødvendige personopplysninger om sine ansatte for å ivareta vår rolle som arbeidsgiver, herunder blant annet for å kunne administrere lønn og utøve personalansvar. Formålet med lagring av disse opplysningene er blant annet å ha en oversikt over ansettelsesforholdet, for å få ut lønn til riktig person, for å kunne kommunisere med andre offentlige instanser og registre. 

Sykehuset Østfold behandler relevante og nødvendige personopplysninger om pasienter og Sykehuset Østfold, herunder blant annet er vi pliktige til å føre journal på samtlige pasienter. Journalen vil inneholde sensitive personopplysninger fordi det er helseopplysninger. Informasjon i din pasientjournal kan bli samlet inn på ulike måter, enten gjennom dine samtaler med helsepersonell, gjennom undersøkelse og/eller behandling ved Sykehuset Østfold​, eller personopplysningene kan eventuelt samles inn fra andre som har behandlet deg, som for eksempel din fastlege eller et annet offentlig eller privat sykehus. En slik innsamling krever som hovedregel ditt samtykke. Personopplysningene dine brukes hovedsakelig for å kunne ytre forsvarlig helsehjelp og gi deg medisinsk behandling for din sykdom eller tilstand. Lagrede personopplysninger kan også brukes til forskning eller kvalitetssikring, og skal det brukes til andre formål kreves som hovedregel ditt samtykke til dette.​

Dersom du kontakter Sykehuset Østfold uten å ha vært pasient eller er/har vært ansatt hos oss, kan det også bli lagret relevante personopplysninger om deg, eksempelvis ved klagesaker eller der du har søkt jobb hos oss.

Ettersom Sykehuset Østfold er et offentlig forvaltningsorgan må sykehuset til en viss grad samle inn og behandle personopplysninger i forbindelse med blant annet saksbehandling, gjennomføring av møter og besøk, utveksling av e-poster og telefonsamtaler, samt ved offentlige anbud.

Det blir også registrert enkelte personopplysninger når du besøker våre nettsider.

Sykehuset Østfold kan bare behandle relevante personopplysninger innenfor de formål den aktuelle behandlingen av personopplysningen gjelder. Behandlingen må også være forholdsmessig, det vil si at vi ikke kan lagre mer eller flere personopplysninger enn det som er nødvendig.

Når du er pasient hos oss behandler vi informasjon om hvem du er (eks. navn og fødselsnummer) og din kontaktinformasjon (adresse, telefonnummer, e-post). I tillegg behandler vi sensitive personopplysninger knyttet til din helsetilstand. Samtlige opplysninger lagres enten på Sykehuset Østfold sine datasystemer, eller hos databehandlere som vi har avtale med. Det er Sykehuspartner som er Sykehuset Østfolds største databehandler.

Dersom du er ansatt hos oss behandler vi flere av dine personopplysninger som eksempelvis navn, personnummer, kontonummer, fagforeningstilhørighet, CV, kursdeltakelse, videreutdanning med mer. Opplysningene blir blant annet lagret i i egne datasystemer som Personalportalen og/eller GAT.

Hva gjelder personopplysninger som samles inn fra nettsiden til Sykehuset Østfold, så forvaltes nettsidene av vår kommunikasjonsavdeling.

Informasjonskapsler (også kalt cookies) er små tekstfiler som lagres i nettleseren din når du åpner en nettside. Etter lov om elektronisk kommunikasjon § 2-7b har du krav på å få vite og godkjenne hvilke opplysninger som lagres, hva opplysningene brukes til og hvem som benytter de. Du kan selv regulere hva du tillater av informasjonskapsler. For mer informasjon om hvilke informasjonskapsler som brukes på vår hjemmeside

Informasjon som du legger inn på kontaktskjema via vår hjemmeside eller henvendelser via vår felles e-post adresse på postmottak@so-hf.no blir videresendt per e-post til rette avdeling hos oss. Vi understreker at e-post ikke er en sikker kommunikasjonsmåte, og vi ønsker å unngå at dine personopplysninger skal kunne komme på avveie. Send derfor aldri sensitive personopplysninger på e-post.

Vær oppmerksom på at saksarkivet journalfører all e-post som sendes til postmottak@so-hf.no i henhold til gjeldende regler for saksbehandling. Personopplysninger som du oppgir i e-post til oss er omfattet av hva som er arkivverdig etter arkivloven og arkivforskriften, og slike henvendelser lagres i saksbehandlings- og arkivsystemet Public360. Her vil vi behandle personopplysninger som navn, adresse, telefonnummer, e-post og annen relevant informasjon i henhold til arkivlovens bestemmelser.

Innsynsbegjæring/mediehenvendelser til Sykehuset Østfold lagres i saksbehandlings- og arkivsystemet vårt Public 360 og det vil blant annet bli lagret navn på den som henvender seg og fra hvor henvendelsen kommer.

Sykehuset Østfold har rutiner knyttet til tilgangskontroll og hvem som har tilgang til hva og til hvilke personopplysninger.

De ansatte hos oss som har som arbeidsoppgave og/eller har et tjenstlig behov vil ha tilgang til personopplysninger fra aktuelle registre og/eller undersøkelser knyttet til den arbeidsoppgaven som skal utføres.

Sykehuset Østfold er pålagt å føre en protokoll som gir en samlet total oversikt over hvilke behandlinger av personopplysninger vi har.

Sykehuset Østfold lagrer personopplysninger i flere ulike databaser. Tilgangen til databasene er tilgangs- og behovsstyrt etter våre interne rutiner som følger av den digitale elektroniske kvalitetshåndboken (også kalt EK).

Våre ansatte er underlagt taushetsplikt, enten med hjemmel i lov fordi de er helsepersonell, etter forvaltningsloven eller med hjemmel i ansettelseskontrakten.

Vi behandler korrespondanse i form av blant annet muntlige henvendelser, brev, e-post og telefon, og saksbehandler og arkiverer i egne fag-, fil- og arkivsystemer. Som eksempel nevnes at Public360 vårt saksbehandlings- og arkivsystem, mens Dips er et av våre pasientjournalsystemer.

Lagringstid avhenger av hjemmelsgrunnlaget for at personopplysningene er lagret i utgangspunktet.

De forskjellige hjemmelsgrunnlagene er som regel lov, forskrift eller samtykke slik beskrevet over i punktet «Hvordan samler Sykehuset Østfold inn personopplysninger». Som eksempel vil det kunne være en lovbestemt lagringslengde, eller det kan bero på en konkret formål- og forholdsmessighetsvurdering på hva som er nødvendig og relevant lagringstid.

Personopplysninger samlet inn etter ditt samtykke lagres i henhold til det aktuelle samtykket.

Generelt er hovedregelen for et offentlig forvaltningsorgan som Sykehuset Østfold at dets saksdokumenter er offentlig tilgjengelig etter offentlighetsloven. Det betyr at alle som spør, presse og andre, vil kunne gjøre seg kjent med innholdet i dokumenter. Din henvendelse til oss vil også som den klare hovedregel være offentlig, enten det kommer per brev, e-post, fax eller SMS, og vi publiserer en liste over offentlige henvendelser på internett (postliste). Imidlertid er mye av informasjonen Sykehuset Østfold behandler taushetsbelagt og eksempelvis er pasientinformasjon unntatt offentligheten. Interne dokumenter kan også unntas fra offentligheten.

Videre er hovedregelen at Sykehuset Østfold ikke kan utlevere dine personopplysninger uten ditt samtykke. I noen tilfeller er vi likevel lovpålagt til å utlevere personopplysninger uten ditt samtykke, herunder blant annet til (ikke uttømmende liste):

1. Den registrertes arbeidsgiver: I den grad personopplysningene gjelder arbeidstakerens sikkerhet til et bestemt arbeid eller oppdrag,
2. Forskning: I tilfeller der forskningsprosjektet har fått innvilget unntak fra taushetsplikten fra Regional Etisk Komite etter helseforskningsloven § 35 eller helseregisterloven § 19.
   
3. Kvalitetssikring: Som regel gjelder dette til avdelinger ved Sykehuset Østfold som har behov for å kvalitetssikre pasientbehandling og den helsehjelpen som utes på Sykehuset Østfold, med hjemmel i helsepersonelloven § 26 og pasientjournalloven § 6. Du har rett til å reservere deg mot å bli lagret i kvalitetsregistre. I flere tilfeller krever også innlemmelse i kvalitetsregister ditt samtykke.
4. NAV: Etter folketrygdloven har NAV rett til å innhente personopplysninger, blant annet i kontrolløyemed.
5. Nærmeste pårørende: Har rett til informasjon for å kunne ta avgjørelser på vegne av slektning som ikke er i stand til å gjøre det selv etter pasient- og brukerrettighetsloven.
6. Foresatte eller verge: Har rett til informasjon om barn mellom 12 og 16 år med mindre barnet ikke ønsker dette av grunner som bør respekteres, jf. pasient- og brukerrettighetsloven. Er barnet under 12 år har foreldre ubetinget rett til informasjon.
7. Nasjonale helseregistre: Sykehuset Østfold er pålagt å utlevere personopplysninger til flere nasjonale helseregistre som har hjemmel i lov eller forskrift, herunder blant annet Norsk pasientregister, Medisinsk fødselsregister, Kreftregisteret med flere, jf.  helseregisterloven.
   

Generelt er hovedregelen for et offentlig forvaltningsorgan som Sykehuset Østfold at dets saksdokumenter er offentlig tilgjengelig etter offentlighetsloven. Det betyr at alle som spør, presse og andre, vil kunne gjøre seg kjent med innholdet i dokumenter. Din henvendelse til Sykehuset Østfold vil også være offentlig, enten det kommer per brev, e-post, fax eller SMS. Sykehuset Østfold publiserer en liste over offentlige henvendelser på internett (postliste). Imidlertid er mye av informasjonen Sykehuset Østfold behandler taushetsbelagt og eksempelvis er pasientinformasjon unntatt offentligheten. Interne dokumenter kan også unntas fra offentligheten. 

Databehandlere, underdatabehandlere, leverandører, samarbeidsparter og revisjonsmyndigheter vil også kunne ha tilgang til personopplysninger. For å sikre personvernet i slike tilfeller skal det alltid enten være enten inngått en formell databehandleravtale og/eller vedkommende part er underlagt en streng taushetsplikt. Det er Sykehuspartner som er Sykehuset Østfolds primære databehandler og som drifter sykehusets datasystemer med mer.

Du kan som hovedregel kreve innsyn i hvilke opplysninger Sykehuset Østfold har registrert om deg. Ved innsyn i behandlingsrettede registre, sånn som eksempelvis din pasientjournal, har du også krav på innsyn i loggen over hvem av våre ansatte som har vært inne og sett på dine personopplysninger.

Du har rett til å be oss om å overføre samtlige av dine personopplysninger til andre (såkalt retten til dataportabilitet).

Dersom du mener opplysningene som er registrert om deg er mangelfulle eller feil, kan du som hovedregel kreve dem rettet og/eller eventuelt slettet. For å rette og/eller slette, ta kontakt med oppgitt behandlingsansvarlig lege, prosjektleder for forskningsprosjektet eller eventuelt med personvernombudet ved Sykehuset Østfold (se kontaktinfo i eget punkt).

Dersom du ikke er fornøyd med svarene du får, kan du klaget til Datatilsynet. Informasjon om hvordan du kan klage til Datatilsynet 

Dersom du har gitt ditt samtykke til at vi behandler dine personopplysninger, kan du når som helst trekke samtykket tilbake. Du kan også kreve at Sykehuset Østfold sletter dine personopplysninger fra sine systemer, forutsatt at personopplysningene ikke allerede er anonymisert, bearbeidet eller inngått i utførte analyser. Til orientering vil ikke et samtykke som trekkes tilbake påvirke lovligheten av den behandlingen av personopplysninger som allerede har funnet sted frem til samtykket trekkes.

Personvernombudet kan kontaktes på e-post personvernombudet@so-hf.no, telefon 69 86 00 00 eller ved å skriv brev til:

Sykehuset Østfold
Personvernombudet
Postboks 300
1714 Grålum.

Personvernombudet skal som hovedregel svare på din henvendelse innen 30 dager.

Informasjon om hva et personvernombud er og hvilke oppgaver som tilligger personvernombudet​