Hvad der sker med dine oplysninger, når du har sendt formularen

Helbredsoplysninger er en særlig kategori

Databeskyttelsesforordningen, GDPR, skelner mellem almindelige personoplysninger og særlige kategorier. Helbred hører til de sidste efter artikel 9, og de må kun behandles, hvis en af undtagelserne i artiklen gælder.

Den undtagelse, vi bygger på, er dit udtrykkelige samtykke (artikel 9, stk. 2, litra a). Afkrydsningsfeltet i formularen er altså ikke pynt, og det er ikke sat på forhånd. Uden det er der intet grundlag, og henvendelsen kan ikke behandles.

Du behøver ikke skrive en diagnose, før reglen slår igennem. At du vælger »hel kæbe« på listen, er nok.

I Danmark er Datatilsynet tilsynsmyndighed. GDPR gælder også for virksomheder uden for EU, når de retter deres tilbud mod personer i EU (artikel 3, stk. 2), og det gør vi med en side på dansk. Vi skal altså følge de samme regler som en dansk aktør. Det ærlige forbehold hører med: at håndhæve en afgørelse over for en virksomhed uden for EU er sværere i praksis end over for en dansk. Den begrænsning kender du også fra selve behandlingen, og den er beskrevet i tandbehandling i Tyrkiet: hele billedet.

Tyrkiet er et tredjeland

Når personoplysninger sendes ud af EU og EØS, kaldes det en overførsel til tredjeland, og GDPR's kapitel V stiller særlige krav.

Den enkle vej er, at EU-Kommissionen har fastslået, at landet beskytter oplysninger tilstrækkeligt. Den afgørelse har Tyrkiet ikke. Så må overførslen hvile på et andet grundlag: enten standardkontraktbestemmelser mellem parterne eller en af undtagelserne i artikel 49, hvor den mest oplagte er dit udtrykkelige samtykke til netop denne overførsel, efter at du er blevet oplyst om risikoen.

Og risikoen er denne: tyrkisk databeskyttelse bygger på lov nr. 6698, forkortet KVKK, med Kişisel Verileri Koruma Kurumu som tilsyn. Loven ligner GDPR i opbygningen, men den er ikke den samme, og dine retsmidler er tyrkiske. Vil du forfølge en sag om dine oplysninger, foregår det i Tyrkiet, på tyrkisk.

Vej det mod det, du faktisk sender. Navn og telefonnummer sammen med, at du overvejer tandbehandling, er ret lidt. En komplet journal, en røntgenserie og billeder af dit ansigt er noget andet. Du bestemmer selv, hvor på den skala du lægger dig, og du kan sagtens tage det i trin.

Hvem der ser hvad

Her tager folk oftest fejl, og det afgør, hvor mange der ender med dit nummer.

Henvendelsen kommer først til os. Den gemmes i vores system og sendes som besked til vores team på mail, så nogen kan svare hurtigt. Derefter svarer vi dig i den kanal, du har valgt.

Intet går videre til en klinik, medmindre du beder om det. Vi lægger ikke henvendelsen ud, så flere klinikker kan byde på dig, og vi sælger ikke dine oplysninger. Det mærker du de følgende dage: formularer, der deler en henvendelse med flere på én gang, er grunden til, at nogle får ti opkald efter én udfyldning.

Beder du om kontakt til en bestemt klinik, deles det, klinikken skal bruge for at kunne svare dig. Fra det øjeblik er klinikken selvstændigt dataansvarlig for sin del, med sine egne rutiner og sin egen privatlivspolitik. Bed om den i samme besked, som du beder om klinikkens registrering; fremgangsmåden står i sådan kontrollerer du en klinik hjemmefra. Går du i stedet gennem et bureau, er der endnu et led, der modtager dine oplysninger.

Dine rettigheder, og hvordan du bruger dem

Rettighederne i GDPR gælder, uanset hvor vi sidder:

• indsigt: en kopi af alt, vi har registreret om dig
• berigtigelse: forkerte oplysninger skal rettes
• sletning: du kan bede om, at alt slettes
• begrænsning: oplysningerne bruges ikke videre, mens noget afklares
• dataportabilitet: oplysningerne i et maskinlæsbart format
• tilbagetrækning af samtykke: når som helst, uden begrundelse

En anmodning skal besvares uden unødig forsinkelse og normalt inden for en måned. Send den til kontaktadressen på siden, sammen med det telefonnummer, du skrev i formularen, så vi kan finde henvendelsen.

Du kan også klage til Datatilsynet. Tag det gerne op med os først, fordi det oftest går hurtigere; din klageret afhænger ikke af det.

Sådan trækker du samtykket tilbage

En enkelt sætning er nok: du trækker dit samtykke tilbage og beder om sletning. Du skal ikke give en grund.

To ting er gode at vide. Tilbagetrækningen virker fremad; det, der allerede er sket, bliver ikke ulovligt med tilbagevirkende kraft (artikel 7, stk. 3). Og har du allerede bedt os om kontakt til en klinik, skal du selv skrive til klinikken om deres del. Vi kan ikke slette noget hos dem.

Har du kun sendt formularen og intet andet, er det enkelt: sig til, så slettes henvendelsen.

Gem i øvrigt selv al korrespondance, uanset hvor du er i forløbet. Det er den samling, du kommer til at lede efter, hvis du senere skal dokumentere, hvad der blev aftalt om for eksempel et depositum, og hvad der sker, hvis du fortryder.

Hvorfor vi skriver det så detaljeret

En side om, at dine helbredsoplysninger sendes ud af EU, er ikke et salgsargument. Den står her alligevel, af samme grund som resten: vi tjener penge på henvendelser, der kommer ind gennem siden, og det kan kun forsvares, hvis du ved, hvad du går ind til. Hvordan modellen hænger sammen, står i hvem vi er, og hvordan vi tjener penge.

Vil du hellere læse dig frem uden at oplyse noget som helst, så gør det. Siderne kan bruges uden, at du sender noget ind.