Personvernerklæring

1. Innledning

Allos Stiftelsen leverer institusjonsopphold, heldøgns helse- og omsorgstjenester, bolig med bemanning og tjenester til barn og ungdom. Allos leverer også tiltak som kan være knyttet til ungdomsstraff og oppfølging gjennom konfliktrådet.

For å kunne vurdere, planlegge, gjennomføre og dokumentere tjenestene må Allos behandle personopplysninger om tjenestemottakere. Vi behandler også enkelte personopplysninger om verger, foreldre, pårørende og andre kontaktpersoner.

Denne personvernerklæringen forklarer hvilke opplysninger vi behandler, hvorfor vi behandler dem, hvem opplysningene kan deles med, og hvilke rettigheter den registrerte har.

Erklæringen omfatter både:

• opplysninger om tjenestemottakeren, og
• opplysninger om verger, foreldre og pårørende selv.

Det å være verge, forelder eller pårørende innebærer ikke automatisk rett til innsyn i alle opplysninger om tjenestemottakeren. Innsyn og deling vurderes etter vergemandat, foreldreansvar, samtykke, taushetsplikt og øvrig relevant regelverk.

Barn og ungdom skal få informasjon om behandlingen tilpasset sin alder og modenhet.

2. Hvem er behandlingsansvarlig?

Allos Stiftelsen er behandlingsansvarlig etter personvernregelverket og dataansvarlig etter pasientjournalloven for personopplysninger og helseopplysninger som behandles i Allos’ egne systemer som ledd i tjenesteytingen.

Dette gjelder blant annet opplysninger som Allos:

• registrerer i egen pasientjournal,
• innhenter og bruker for å yte tjenestene,
• behandler som ledd i egne faglige vurderinger,
• bruker til sikkerhetsarbeid, avvikshåndtering og kvalitetsforbedring, og
• behandler for å oppfylle egne lovpålagte plikter.

Oppdragsgiverkommunen er selvstendig behandlingsansvarlig for kommunens vedtak, saksbehandling, oppfølging og behandling av opplysninger i kommunens egne systemer.

Når opplysninger utveksles mellom Allos og kommunen, er hver virksomhet ansvarlig for sin egen behandling av opplysningene.

3. Hvilke personopplysninger behandler vi?

Opplysninger om tjenestemottakere

Allos kan blant annet behandle følgende personopplysninger om tjenestemottakere:

• navn, fødselsnummer, adresse og kontaktopplysninger,
• opplysninger om identitet og kontaktpersoner,
• helseopplysninger, diagnose og sykehistorie,
• opplysninger om psykisk helse og rusmiddelbruk,
• legemiddelopplysninger og opplysninger om medisinsk oppfølging,
• funksjonsnivå, bistandsbehov og daglig fungering,
• pasientjournal, behandlingsplaner, tiltaksplaner og rapporter,
• opplysninger om risiko for vold, selvskading, rømning, utnyttelse eller kriminalitet,
• familieforhold, boforhold og sosial situasjon,
• økonomiske forhold,
• opplysninger om skole, arbeid, NAV og barnevern,
• opplysninger om straffbare forhold, politi, konfliktråd eller ungdomsstraff,
• opplysninger om romkontroller, beslag, rusmiddeltesting og andre sikkerhetstiltak,
• bilder, video- og lydopptak når dette er nødvendig og har rettslig grunnlag,
• adgangslogger, systemlogger og eventuelle kameraopptak,
• klager, avvik, uønskede hendelser og oppfølgingen av disse.

Hvilke opplysninger som behandles, avhenger av den enkelte tjenesten og tjenestemottakerens behov og situasjon.

Opplysninger om verger, foreldre og pårørende

Allos kan blant annet behandle følgende personopplysninger om verger, foreldre og pårørende:

• navn og kontaktinformasjon,
• relasjonen til tjenestemottakeren,
• opplysninger om hvem som er nærmeste pårørende,
• vergemandat, fullmakt og opplysninger om foreldreansvar,
• kommunikasjon og samarbeid med Allos,
• opplysninger som vergen, forelderen eller den pårørende gir om tjenestemottakeren,
• opplysninger om den pårørendes egen situasjon når dette er relevant og nødvendig for tjenestene.

4. Hvor får vi opplysningene fra?

Allos kan motta opplysninger fra:

• tjenestemottakeren selv,
• verge, foreldre, pårørende eller andre kontaktpersoner,
• oppdragsgiverkommunen,
• fastlege, legevakt og spesialisthelsetjenesten,
• apotek og andre helse- og omsorgstjenester,
• politi og nødetater,
• konfliktråd,
• barneverntjenesten,
• skole eller utdanningsinstitusjon,
• NAV,
• tidligere eller andre institusjoner og tjenesteytere,
• offentlige myndigheter,
• observasjoner og dokumentasjon som oppstår under oppholdet eller tjenesteytingen.

5. Hvorfor behandler vi personopplysninger?

Allos behandler personopplysninger for å:

• vurdere inntak og om Allos kan tilby et forsvarlig tjenestetilbud,
• planlegge, gjennomføre, følge opp og evaluere tjenestene,
• yte forsvarlige helse- og omsorgstjenester,
• føre pasientjournal og annen lovpålagt dokumentasjon,
• håndtere legemidler og medisinsk oppfølging,
• ivareta tjenestemottakerens og andres helse og sikkerhet,
• vurdere og håndtere risiko,
• planlegge bemanning og nødvendige sikkerhetstiltak,
• samarbeide med oppdragsgiver og andre relevante tjenester,
• dokumentere tjenestene overfor oppdragsgiver og gjennomføre fakturering,
• rapportere i samsvar med lov, vedtak og avtale,
• behandle avvik, uønskede hendelser, klager og varslingssaker,
• gjennomføre kvalitetsforbedring og internkontroll,
• følge opp vold, trusler, skade, rusmidler eller mulige straffbare forhold,
• håndtere tilsyn og kontroll fra offentlige myndigheter,
• fastsette, gjøre gjeldende eller forsvare rettskrav.

6. Rettslig grunnlag

Allos behandler personopplysninger bare når det foreligger et rettslig grunnlag etter personvernforordningen.

Avhengig av formålet bygger behandlingen av alminnelige personopplysninger hovedsakelig på:

• personvernforordningen artikkel 6 nr. 1 bokstav c, når behandlingen er nødvendig for å oppfylle en rettslig forpliktelse som påhviler Allos, eller
• personvernforordningen artikkel 6 nr. 1 bokstav e, når behandlingen er nødvendig for å utføre en oppgave i allmennhetens interesse og oppgaven har grunnlag i lov.

For enkelte administrative formål, sikkerhetstiltak eller håndtering av rettskrav kan behandlingen bygge på artikkel 6 nr. 1 bokstav f, når behandlingen er nødvendig for å ivareta en berettiget interesse og den registrertes interesser og grunnleggende rettigheter ikke veier tyngre.

Når Allos behandler helseopplysninger eller andre særlige kategorier personopplysninger, må behandlingen i tillegg oppfylle et av vilkårene i personvernforordningen artikkel 9 nr. 2.

Slike personopplysninger behandles hovedsakelig når dette er nødvendig for å yte eller administrere helse- og omsorgstjenester, jf. artikkel 9 nr. 2 bokstav h. Opplysningene behandles av eller under ansvar av personer som er underlagt lovbestemt taushetsplikt.

Det nasjonale rettsgrunnlaget for behandlingen følger blant annet av helsepersonelloven §§ 39 og 40, pasientjournalloven § 6 og den lovgivningen som regulerer den konkrete helse- og omsorgstjenesten eller tiltaket.

Opplysninger om straffedommer, lovovertredelser og tilknyttede sikkerhetstiltak behandles bare når vilkårene i personvernforordningen artikkel 10, personopplysningsloven § 11 og relevant særlovgivning er oppfylt.

Når bruker vi samtykke?

Allos baserer ikke nødvendig tjenesteyting, journalføring eller annen lovpålagt dokumentasjon på samtykke etter personvernforordningen.

For enkelte særskilte og frivillige formål kan behandlingen bygge på samtykke, jf. personvernforordningen artikkel 6 nr. 1 bokstav a og, dersom særlige kategorier personopplysninger behandles, artikkel 9 nr. 2 bokstav a. Dette kan for eksempel gjelde frivillig bruk av bilder, video- eller lydopptak til et særskilt formål som ikke er nødvendig for tjenesteytingen eller den lovpålagte dokumentasjonen.

Et samtykke etter personvernforordningen kan når som helst trekkes tilbake. Tilbaketrekkingen påvirker ikke lovligheten av behandlingen som fant sted før samtykket ble trukket tilbake.

Tjenestemottakeren kan også samtykke til at taushetsbelagte opplysninger gis til bestemte pårørende eller andre personer. Et slikt samtykke opphever helt eller delvis taushetsplikten innenfor rammene av samtykket, jf. helsepersonelloven § 22. Dette er ikke nødvendigvis det samme som at samtykke er behandlingsgrunnlaget etter personvernforordningen.

7. Hvem kan opplysningene deles med?

Personopplysninger deles bare når delingen er nødvendig og har rettslig grunnlag. Taushetsplikten gjelder i tillegg til personvernreglene.

Opplysninger kan, når vilkårene er oppfylt, deles med:

• oppdragsgiverkommunen,
• fastlege, legevakt og spesialisthelsetjenesten,
• apotek og andre helse- og omsorgstjenester,
• nødetater,
• verge, foreldre og pårørende,
• politi og konfliktråd,
• barneverntjenesten,
• NAV og skole,
• Statsforvalteren, Helsetilsynet, Helsedirektoratet og andre offentlige myndigheter,
• forsikringsselskap,
• juridiske rådgivere, revisor eller andre profesjonelle rådgivere,
• leverandører som behandler opplysninger på vegne av Allos.

Det deles ikke flere opplysninger enn det som er nødvendig for formålet.

Verger, foreldre og pårørende mottar bare opplysninger i den utstrekning det følger av samtykke, fullmakt, vergemandat, foreldreansvar eller lov.

8. Leverandører og databehandlere

Allos benytter eksterne leverandører til blant annet:

• pasientjournalsystem,
• kvalitets- og avvikssystem,
• IT-drift og skylagring,
• sikker kommunikasjon og telefoni,
• alarm-, adgangs- og sikkerhetssystemer,
• eventuell kameraovervåking,
• elektronisk signering.

Allos benytter blant annet DocY som journalsystem, TQM som kvalitetssystem og Mobit til IT-tjenester.

Leverandører som behandler personopplysninger på vegne av Allos, kan bare behandle opplysningene etter instruks fra Allos. Det skal inngås databehandleravtale med slike leverandører.

Opplysningene behandles innenfor Norge eller EØS. Dersom dette endres, skal Allos sørge for at overføringene har gyldig rettslig grunnlag og nødvendige garantier.

9. Informasjonssikkerhet

Allos skal beskytte personopplysningene mot ulovlig eller uautorisert tilgang, endring, tap og spredning.

Vi benytter blant annet:

• rolle- og behovsbasert tilgangsstyring,
• personlig autentisering,
• logging av oppslag og bruk av systemer,
• tekniske sikkerhetstiltak,
• internkontroll og risikovurderinger,
• avvikshåndtering,
• opplæring av ansatte,
• taushetsplikt,
• rutiner for sikker oppbevaring, deling og sletting.

Bare ansatte og andre personer med tjenstlig behov skal ha tilgang til opplysningene.

10. Oppbevaring og sletting

Personopplysninger oppbevares ikke lenger enn det som er nødvendig for formålet, med mindre Allos har plikt eller rett til videre oppbevaring etter lov.

Pasientjournaler og annen lovpålagt dokumentasjon oppbevares i samsvar med reglene i helsepersonelloven, pasientjournalloven og tilhørende forskrifter. Avslutning av et opphold eller en tjeneste innebærer ikke nødvendigvis at journalopplysningene slettes.

Andre opplysninger oppbevares så lenge de er nødvendige for:

• å yte og dokumentere tjenestene,
• å oppfylle lovpålagte eller avtalte plikter,
• å behandle klager, avvik eller tilsynssaker,
• å fastsette, gjøre gjeldende eller forsvare rettskrav.

Kameraopptak, adgangslogger og andre sikkerhetslogger oppbevares i begrensede perioder etter egne rutiner. Opplysningene kan oppbevares lenger dersom de er nødvendige for å undersøke eller dokumentere en konkret hendelse.

Når opplysningene ikke lenger skal oppbevares, skal de slettes, anonymiseres eller på annen måte håndteres i samsvar med gjeldende regelverk.

11. Dine rettigheter

Den registrerte kan, på de vilkårene som følger av personvernregelverket og helselovgivningen, ha rett til:

• informasjon om hvordan opplysningene behandles,
• innsyn i egne personopplysninger,
• kopi av opplysningene,
• innsyn i egen pasientjournal,
• informasjon om hvem som har hatt tilgang til journalopplysningene,
• retting av uriktige eller ufullstendige opplysninger,
• retting eller sletting av journalopplysninger etter særreglene i helsepersonelloven,
• begrensning av behandlingen,
• sletting av opplysninger,
• å protestere mot enkelte behandlinger,
• dataportabilitet når vilkårene er oppfylt,
• å trekke tilbake et samtykke.

Rettighetene er ikke absolutte. Allos kan blant annet være lovpålagt å oppbevare journalopplysninger selv om den registrerte ønsker dem slettet.

En verge eller annen representant kan utøve rettigheter på vegne av tjenestemottakeren innenfor rammene av vergemandat, fullmakt eller annet rettslig representasjonsgrunnlag.

Pårørende har rettigheter knyttet til opplysninger om seg selv, men har ikke automatisk rett til innsyn i tjenestemottakerens opplysninger.

12. Kontakt og klage

Spørsmål om behandling av personopplysninger eller anmodninger om å utøve rettigheter kan rettes til Allos Stiftelsen.

Allos kan be om nødvendige opplysninger for å kontrollere identiteten til den som fremsetter en anmodning.

Den registrerte har rett til å klage på behandlingen av personopplysninger til Datatilsynet.

13. Endringer

Allos kan oppdatere personvernerklæringen når behandlingen, tjenestene eller regelverket endres.

Den til enhver tid gjeldende versjonen skal være tilgjengelig for tjenestemottakere, verger, foreldre og pårørende.