Klientregister för plattformen för digitala tjänster Lunna
Dataskydds- och registerbeskrivning
EU:s allmänna dataskyddsförordning (2016/679)
17.3.2025
Klientregister för plattformen för digitala tjänster Lunna
1. Personuppgiftsansvarig
Västra Nylands välfärdsområdesstyrelse
2. Ansvarig person för registret
Välfärdsområdets direktör
3. Kontaktperson för registret
Serviceområdenas förvaltningschefer
Kontaktuppgifter
Västra Nylands välfärdsområde
PB 33, 02033 Västra Nylands välfärdsområde
växelns telefonnummer 029 151 2000
4. Ändamålen med behandlingen av personuppgifter och den rättsliga grunden för behandlingen
Ändamålen med behandlingen
Den digitala servicekanalen till social- och hälsovårdens tjänster för Västra Nylands välfärdsområdes klienter heter Lunna. Syftet med behandlingen av personuppgifter är att ge den som uträttar ett ärende personlig vård- och servicehandledning, information som hänför sig till personens välbefinnande samt en möjlighet att uträtta administrativa ärenden. Den som uträttar ett ärende kan efter stark autentisering spara sina uppgifter, kommunicera med en yrkesperson inom social- och hälsovården, ta emot meddelanden som gäller tjänster samt uträtta administrativa ärenden.
Behandlingen av personuppgifter grundar sig på Västra Nylands välfärdsområdes lagstadgade skyldighet. Godkännande av användarvillkoren för den digitala servicekanalen är en förutsättning för att använda tjänsten. Användarvillkoren kan läsas i samband med registreringen och inloggningen. I applikationen Lunna hanteras uppgifter om hälsotillståndet och övriga uppgifter som klienten själv har dokumenterat, eller som en person med suomi.fi-auktorisering har dokumenterat åt en klient.
Informationen om tjänstens användning och verksamhet kan utnyttjas sekundärt i Västra Nylands välfärdsområdes informationsledning, utvärdering av verksamheten och utveckling av tjänsterna. Det material som används för detta ändamål pseudonymiseras före analys så att en enskild person inte kan identifieras direkt utifrån materialet med hjälp av rimliga medel som står till buds.
Pseudonymiserade uppgifter kan analyseras med analysverktyg som utnyttjar artificiell intelligens, till exempel för att identifiera hur tjänsterna används och deras funktion, vilka servicebehov och utvecklingsområden som finns samt för att bedöma tjänsternas kvalitet och effektivitet. I detta syfte lämnas inga klient- eller patientuppgifter som innehåller identifierande uppgifter ut till AI-verktyget.
Det material som erhålls efter analysen innehåller inga uppgifter som rör en identifierad eller identifierbar fysisk person och utgör därför inte personuppgifter i den mening som avses i EU:s allmänna dataskyddsförordning. Personuppgifter behandlas dock fram till dess att analysen av materialet har slutförts. Denna behandling omfattas av de rättsliga grunder för behandling av personuppgifter och de dataskyddskrav som beskrivs i denna beskrivning.
Behandlingen omfattar inte automatiserat beslutsfattande som gäller den registrerade eller sådan profilering som har rättsverkningar för den registrerade eller på liknande sätt i betydande grad påverkar den registrerade.
Rättslig grund för behandlingen
Till den del personuppgifter behandlas för informationsledning, utvärdering av verksamheten och utveckling av tjänsterna är den rättsliga grunden för behandlingen artikel 6.1 e i dataskyddsförordningen: behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Uppgifterna används inte för att träna AI-modeller.
Hälsouppgifter som hör till särskilda kategorier av personuppgifter behandlas med stöd av artikel 9.2 h i dataskyddsförordningen.
Central lagstiftning
- EU:s allmänna dataskyddsförordning (679/2016)
- Dataskyddslagen (1050/2018)
- Lagen om tillhandahållande av digitala tjänster (306/2019)
- Hälso- och sjukvårdslagen (1326/2010)
- Lagen om behandling av kunduppgifter inom social- och hälsovården (703/2023)
- Lagen om ordnande av social- och hälsovård (612/2021)
- Lagen om patientens ställning och rättigheter (785/1992)
- Lagen om elev- och studerandevård (1287/2013)
- Statsrådets förordning om rådgivningsverksamhet, skol- och studerandehälsovård samt förebyggande mun- och tandvård för barn och unga (338/2011)
- Mentalvårdslagen (1116/1990)
- Arkivlagen (831/1994)
- Lagen om ordnande av social- och hälsovården och räddningsväsendet i Nyland (615/2021)
- Lagen om yrkesutbildade personer inom hälso- och sjukvården (559/1994)
5. Registrets datainnehåll
Personuppgifterna som behandlas består av personuppgifter om den som uträttar ett ärende: namn, telefonnummer, adress, e-postadress, ålder, kön, födelsedatum, personbeteckning, en identifikationsuppgift för personen i registret, hälsouppgift, bild och kommunikationsuppgift inom tjänsten (kommunikation mellan en yrkesutbildad person inom hälso- och sjukvården och den som uträttar ärendet) samt innehåll som den som uträttar ärendet själv producerar.
Uppgifter som är väsentliga för klientens vård och tjänster dokumenteras i Västra Nylands välfärdsområdes klient- och patientdatasystem.
På serviceplattformen behandlas även personuppgifter om anställda vid Västra Nylands välfärdsområde till följande delar: namn, arbets-e-postadress, en individuell identifikationsuppgift för användaren, yrkesbeteckning och som tekniska identifikationer IP-adress och uppgifter om apparaten samt logguppgifter som plattformen skapar.
I AI-assisterade analyser för informationsledning, utvärdering av verksamheten och utveckling av tjänsterna används pseudonymiserade uppgifter. Analysmaterialet innehåller i regel inte personbeteckningar, namn, kontaktuppgifter eller andra sådana identifierare eller kombinationer av uppgifter som gör det möjligt att direkt identifiera en enskild person.
6. Regelmässigt utlämnande av personuppgifter
Registrets uppgifter lämnas i regel inte ut. Uppgifter kan lämnas ut endast med uttryckligt samtycke från den registrerade eller till en myndighet som har rätt till tillgång till uppgifter som grundar sig på lagen.
Dessutom kan välfärdsområdet på basis av ett avtal lämna ut uppgifter till tjänsteproducenter som verkar för Västra Nylands välfärdsområdes räkning. Tjänsteleverantörer som producerar analys- och informationsledningstjänster med hjälp av artificiell intelligens kan behandla personuppgifter som personuppgiftsbiträden på uppdrag av välfärdsområdet och uppgifterna behandlas inte för andra ändamål än för att producera en överenskommen tjänst.
Uppgifter från registret överförs i regel inte utanför EU eller EES. Personuppgifterna kan dock överföras till sådana länder utanför EU eller EES som Europeiska kommissionen anser att har en tillräcklig dataskyddsnivå. Dessutom kan personuppgifter överföras till länder utanför EU eller EES när de skyddsåtgärder som avses i den allmänna dataskyddsförordningen har uppfyllts, såsom de standardavtalsklausuler rörande dataskydd som ska bifogas till avtalet, och dessutom har Europeiska dataskyddsstyrelsens rekommendationer om kompletterande åtgärder vid behov använts.
7. Uppgifternas lagringstider
Personuppgifternas lagringstid bestäms enligt lagen om behandling av kunduppgifter inom social- och hälsovården (702/2023).
Uppgifter som är väsentliga för klientens vård och tjänster dokumenteras i Västra Nylands välfärdsområdes klient- och patientdatasystem. Lagringstiden bestäms enligt personuppgiftsansvarigas lagstadgade skyldigheter.
Den registeransvarige har fastställt följande lagringstider för andra handlingar än sådana som avses i kunduppgiftslagen:
- Loggdata om användare och överlåtelser, samt säkerhetskopior som fogats till dem: Lagringstid på plattformen 12 år.
- Chattdiskussioner och icke-brådskande meddelanden: Lagringstid på plattformen 3 år.
- Digitala vårdstigar och blanketter: Lagringstid på plattformen 5 år.
- Övriga personuppgifter och uppgifter som hänför sig till ärenden: Klientens basuppgifter lagras på plattformen tills användaren tar bort sitt konto.
En användare av applikationen Lunna har rätt att radera sitt konto från serviceplattformen. Användarens samtliga uppgifter (personuppgifter, ärendeuppgifter och notifikationer) i applikationen raderas i samband med att kontot raderas.
De uppgifter som används i AI-assisterade analyser lagras i systemet i högst två veckor före behandlingen. Lagrade uppgifter förstörs omedelbart efter analysen på ett sätt som gör det omöjligt att återställa dem. Eftersom analysresultaten inte utgör personuppgifter omfattas de inte av dataskyddsförordningens krav på lagring av personuppgifter.
De uppgifter som används i AI-assisterade analyser består av konversationer i Lunna-tjänsten och tillhörande tekniska uppgifter.
8. Personuppgifternas informationskällor
Klientens identifierings- och kontaktuppgifter, såsom namn och adress, fås i regel av Myndigheten för digitalisering och befolkningsdata.
Uppgifterna i patientregistret och socialvårdens klientregister som hänför sig till ordnandet av vård fås och upprätthålls utgående från de uppgifter som klienten/patienten eller hens representant tillhandahåller samt utifrån uppgifter som uppstår vid hälso- och sjukvårdsenheter.
Uppgifterna om anställda vid Västra Nylands välfärdsområde erhålls från arbetsenheterna.