Data

Fortroligheden er ikke en indstilling

Den her side er skrevet, så den kan sendes videre til en databeskyttelsesrådgiver uden at skulle oversættes først.

Lyden

Talegenkendelsen sker på enheden

En samtale i klinikken transskriberes på behandlerens egen iPad. Lyden forlader ikke enheden, og der er ingen lydfil at hente, aflytte eller lække. Det, der sendes videre, er tekst.

Ved videomøder optages der kun det, klienten har sagt ja til i sit samtykke på stamkortet — ikke på behandlerens foranledning alene. Er mødet knyttet til klienten på forhånd, går optagelsen i gang af sig selv, synligt for begge og med grunden på klientens skærm; klienten kan stoppe den når som helst og spørges, før der optages igen. Optagelser ligger krypteret på klinikkens eget område og slettes af klinikken, ikke af os og ikke automatisk.

Et videomøde på nettet skrives ud i behandlerens egen browser: en dansk talemodel kører på computeren selv, og lyden forlader den ikke. Mens den venter på at blive skrevet ud, ligger lyden i browserens lager på den computer — og slettes, i samme øjeblik teksten er lavet. Kun teksten går til journalen. Modellen hentes fra klinikkens egen server, ikke fra en tjeneste, og den kan ikke sende noget nogen steder hen.

Navnene

Pseudonymisering før noget forlader serveren

Før en udskrift bruges til at skrive et notatudkast, erstattes klientens og behandlerens navne, CPR-numre, telefonnumre, e-mailadresser og adresser af pladsholdere. Sprogmodellen ser [KLIENT], ikke et navn. Pladsholderne sættes tilbage lokalt, efter teksten er kommet retur.

Detalje, der har kostet os en fejl: den almindelige måde at finde ordgrænser på i JavaScript genkender ikke Å som et bogstav. Et efternavn som «Åkjær» slap derfor igennem den første udgave. Prøven, der fangede det, ligger i systemets faste prøvesæt og bliver kørt hver gang.

Kryptering

Én nøgle pr. behandler

Journal og optagelser ligger krypteret med AES-256-GCM. Nøglen udledes af behandlerens egen adgangsnøgle og et tilfældigt salt og står aldrig på disken.

Konsekvensen er, at to behandlere i samme klinik ikke kan læse hinandens materiale — og at vi ikke kan læse nogen af delene. Det betyder også, at en glemt nøgle ikke kan nulstilles af os. Det er en ulempe, vi accepterer med vilje.

Placering

Hvor det ligger, og hvem der behandler det

Servere Tyskland, inden for EU/EØS.
Sprogmodel Anthropic, under databehandleraftale. Udskrifter er pseudonymiserede før afsendelse.
SMS GatewayAPI, dansk leverandør med europæisk datalagring. Beskeder indeholder ikke helbredsoplysninger, og afsendernavnet røber ikke klinikkens fag.
Indberetning Sygeforsikringen «danmark», når klienten skal have tilskud. Det er en videregivelse, og den skal stå i klinikkens fortegnelse.

Listen her er den fulde. Findes der en underdatabehandler, vi ikke har nævnt, er det en fejl — skriv til os, så retter vi siden.

Enhederne

Telefonen, iPad'en og uret

Appen låser sig selv, når den forlades, og åbnes med Face ID eller kode. Krypteringsnøglen ligger i enhedens sikre enklave og forlader den ikke; journalen hentes, når den skal læses, og gemmes ikke på enheden bagefter. Optagelsen og talegenkendelsen sker på telefonen eller iPad'en — lyden ligger dér og kun dér, og den slettes efter klinikkens frist.

Apple Watch er en fjernbetjening. Der ligger ingen nøgle, ingen journal og ingen udskrift på det; det viser klokkeslæt, fornavn og forbogstav for dagens aftaler og sender «start», «stop» og «markér» til telefonen. Mister man uret, har man mistet et ur.

GDPR

Rollerne, retsgrundlaget og fristerne

Klinikken er dataansvarlig, Anotera er databehandler. Databehandleraftalen indgås ved oprettelsen og står på /vilkaar/. Anotera kan ikke læse journalen — nøglen er behandlerens — og behandler kun det, klinikken beder om, til det, klinikken beder om.

Retsgrundlag. Journalføringen er en pligt efter autorisationsloven og journalføringsbekendtgørelsen; helbredsoplysninger behandles efter databeskyttelsesforordningens artikel 9, stk. 2, litra h. Optagelse af samtaler kræver klientens samtykke, som tages én gang, på stamkortet, med dato og hvem der tog det — og som kan trækkes tilbage.
Opbevaring og sletning. Journalen skal opbevares i fem år efter sidste notat; derfor kan en klient med journal ikke slettes, kun afsluttes. Optagelser slettes efter klinikkens egen frist. Beskeder, henvendelser og bookinger uden journal kan slettes af klinikken.
De registreredes rettigheder. Indsigt og dataportabilitet opfyldes med eksporten — hele journalen i almindelige filer, uden vores software. Berigtigelse sker i journalen, med spor af, hvad der blev rettet og hvornår.
Spor. Åbning af en journal, eksport, supervisionsark og indberetning logges med tid og bruger. Sporet er en del af journalen, ikke en indstilling.
Sikkerhedskopi. Der tages daglig kopi af de krypterede filer. Kopien er lige så ulæselig for os som originalen.
Brud. Opdager vi et brud på persondatasikkerheden, får klinikken besked uden ugrundet ophold og med det, den skal bruge til sin anmeldelse til Datatilsynet inden for 72 timer.
Underdatabehandlere. Den fulde liste står ovenfor under Placering. Kommer der en til, får klinikken besked, før den tages i brug.

Udgangen

Eksport, I kan tage med

Hele journalen kan hentes ned som en zip med almindelige filer: ét notat pr. HTML-side i en mappe pr. klient, klientliste og aftaler som CSV, det hele som JSON ved siden af, og checksummer, så I kan godtgøre, at det, I fik, er det, I har.

Intet af det kræver vores software. Det er ikke en bekvemmelighed: en psykologklinik har fem års opbevaringspligt, og pligten er klinikkens. Kan I ikke få journalen ud i en brugbar form, kan I ikke overholde loven ved at opsige os.

Vejen ind er lige så åben: klienter, aftaler og journalnotater fra Terapeutbooking/EasyPractice eller et andet system kan flyttes ind med en API-nøgle eller eksportfiler — sådan flytter I ind.