Personuppgifter i hälsotest

Ett provsvar säger något om din kropp, och räknas därför som en särskilt skyddsvärd typ av personuppgift. Innan du beställer ett blodprov eller hemtest kan det vara bra att veta vilka kontrollpunkter som är rimliga att titta på, utan att det kräver juridisk expertis av dig som konsument.

Varför hälsodata är en särskild kategori

IMY, Integritetsskyddsmyndigheten, definierar personuppgifter om hälsa som alla uppgifter som ger information om en persons tidigare, nuvarande eller framtida fysiska eller psykiska hälsotillstånd. Det omfattar bland annat provsvar, diagnoser och testresultat. Den här typen av uppgifter, som kallas känsliga personuppgifter, får enligt GDPR som huvudregel bara behandlas om det finns ett tydligt rättsligt stöd för det, till skillnad från många andra typer av personuppgifter.

Vad som brukar framgå av en integritetspolicy

Test- och hälsokontrolltjänster ska enligt GDPR publicera en egen integritetspolicy som beskriver vem som är personuppgiftsansvarig, var uppgifterna lagras och behandlas, och hur länge de sparas. En del tjänster är vårdgivare i lagens mening för delar av sin verksamhet, medan andra enbart förmedlar provtagning som sedan analyseras av ett anslutet laboratorium. Skillnaden kan påverka vilket regelverk som gäller för just den informationen, vilket är en anledning till att läsa leverantörens egen policy snarare än att anta att alla tjänster hanterar data på samma sätt.

Kakor och spårning på hälsosidor

Utöver själva provsvaret är det värt att tänka på hur en webbplats eller tjänst hanterar kakor och besöksstatistik, särskilt på sidor som rör en specifik hälsofråga. Post- och telestyrelsen anger att icke nödvändiga kakor kräver ett aktivt samtycke som går att återkalla, med undantag för kakor som krävs för att en tjänst ska fungera tekniskt. En seriös aktör bör alltså skilja mellan nödvändiga funktioner och till exempel marknadsföringskakor, och göra det tydligt vilket val du gör.

Frågor värda att ställa innan du beställer

Fyra punkter brukar vara rimliga att kontrollera: vem som är personuppgiftsansvarig för dina uppgifter, var informationen lagras och behandlas, om och i så fall med vem den delas – till exempel en ansluten vårdgivare vid uppföljning – samt hur länge uppgifterna sparas och hur du begär rättelse eller radering. Socialstyrelsen påminner om att hälso- och sjukvården omfattas av särskilda regler för personuppgiftsbehandling utöver GDPR, vilket kan göra att en vårdgivares rutiner skiljer sig från en renodlad testleverantörs.

Rätten till insyn och radering

Som registrerad har du enligt dataskyddsförordningen rätt att begära tillgång till, rättelse av och i vissa fall radering av dina personuppgifter. IMY, tillsynsmyndigheten för dataskydd i Sverige, beskriver dessa rättigheter på sin webbplats. I praktiken innebär det att du kan kontakta en testleverantör och fråga vilka uppgifter som finns om dig, samt begära att de rättas eller raderas. Rätten till radering är inte absolut: den kan till exempel begränsas om en vårdgivare är skyldig att bevara patientdokumentation enligt hälso- och sjukvårdslagstiftningen, eller om det finns annan rättslig grund för fortsatt lagring.

Ska du dela ett testsvar med en vårdgivare i efterhand finns mer om hur det brukar gå till under dela testsvar med vårdgivare. Funderar du specifikt på DNA-data finns även en genomgång av samtycke och radering av DNA-data.

Vill du jämföra hela paletten av privata blodprovstjänster utifrån vad de erbjuder, snarare än hur de hanterar data, finns den samlade genomgången under privat blodprov.