Aatos Kuntoutus Oy:s dataskyddsbeskrivning 

Detta dokument innehåller den information som ska lämnas till den registrerade i enlighet med EU:s allmänna dataskyddsförordning (2016/679). 

1. 1. Den personuppgiftsansvariges kontaktuppgifter
   Personuppgiftsansvarig är: Aatos Kuntoutus Oy
   FO-nummer 2925677-1
   Antti Chydeniuksen katu 71 A, 167100 Karleby
   Kontaktuppgifter till dataskyddsansvarig: Leena Kärki, leena.karki@aatoskuntoutus.fi, 045 2199115 
2. Ändamålet med och grunden för behandlingen av personuppgifter samt mottagargrupper Grunden för och ändamålet med behandlingen av personuppgifter är att upprätthålla ett patient- och klientregister i enlighet med lagen om behandling av kunduppgifter inom social- och hälsovården, den så kallade kunduppgiftslagen, lag 703/2023. Behandlingsgrunden är artikel 6.1 c i EU:s allmänna dataskyddsförordning: behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige. För övriga personuppgifter är behandlingsgrunden artikel 6.1 b i förordningen: behandlingen är nödvändig för att fullgöra ett avtal. Patientregistret omfattar bland annat patientens namn, personbeteckning, hemadress, övriga kontaktuppgifter samt alla handlingar eller tekniska upptagningar som används, upprättas eller inkommer i samband med ordnandet och genomförandet av vården och som innehåller uppgifter om klientens hälsotillstånd eller andra personliga uppgifter. De uppgifter som samlas in på detta sätt används för att producera hälso- och sjukvårdstjänster och för funktioner som är nära förknippade med dessa tjänster. Klientens kontaktuppgifter kan, i den utsträckning lagen tillåter, även användas för marknadsföring av tjänster. Elektronisk direktmarknadsföring till konsumentkunder förutsätter separat samtycke. Den personuppgiftsansvarige kan anlita underleverantörer vid behandlingen av patientuppgifter, såsom företag som tillhandahåller elektroniska patientdatasystem eller andra producenter av hälso- och sjukvårdstjänster. I sådana fall ingås ett avtal om behandling av personuppgifter med avtalspartnern i enlighet med artikel 28 i EU:s dataskyddsförordning och den ovan nämnda kunduppgiftslagen. Patientuppgifter omfattas av lagstadgad tystnadsplikt enligt 4 § och 5 § i kunduppgiftslagen samt 38 kap. 1 och 2 § i strafflagen. Patientuppgifter lämnas inte ut till utomstående utan laglig grund eller klientens uttryckliga och separat inhämtade samtycke. Med utomstående avses andra personer än sådana som vid den berörda verksamhetsenheten eller på dess uppdrag deltar i vården av patienten eller i uppgifter som anknyter till vården. 
3. Lagringstid för personuppgifter Patientuppgifter lagras så länge som den ovan nämnda kunduppgiftslagen och dess bilaga om lagringstider förutsätter. Som huvudregel lagras patientuppgifter enligt förordningen i 12 år efter patientens död eller, om uppgift om dödsfallet saknas, i 120 år efter patientens födelse. 
4. Den registrerades rättigheter Som registrerad har du enligt dataskyddsförordningen rätt att begära att få ta del av de uppgifter som samlats in om dig samt rätt att begära att dessa uppgifter rättas, raderas eller att behandlingen av dem begränsas. Du har även rätt att invända mot behandlingen av uppgifterna. Om det är fråga om elektroniskt producerade uppgifter vars behandling grundar sig på ett avtal, har du även rätt att få de automatiskt behandlade uppgifter som samlats in om dig överförda elektroniskt från ett system till ett annat. I den mån lagringen av uppgifterna grundar sig på lag har den registrerade inte en ovillkorlig rätt att kräva att patientuppgifter raderas, eller rätt att invända mot eller begränsa den lagstadgade behandlingen av uppgifterna på det sätt som dataskyddsförordningen annars tillåter. De obligatoriska uppgifter som ska lämnas i samband med vården anges i 27 § i den ovan nämnda kunduppgiftslagen.
5. Rätt att återkalla samtycke Behandlingen av patientuppgifter grundar sig inte på den registrerades samtycke, utan är en lagstadgad skyldighet för den personuppgiftsansvarige. När behandlingen av andra uppgifter än lagstadgade patientuppgifter grundar sig på samtycke har du som registrerad rätt att återkalla ett sådant samtycke när som helst. Återkallandet av samtycke innebär dock inte nödvändigtvis att behandlingen av personuppgifter upphör, om det finns någon annan grund för behandlingen enligt artikel 6 i dataskyddsförordningen eller enligt annan lagstiftning. 
6. Som registrerad har du rätt att lämna in klagomål om behandlingen av dina uppgifter till tillsynsmyndigheten. Behörig tillsynsmyndighet i Finland är Dataombudsmannens byrå: www.tietosuoja.fi.
7. Tillhandahållande av personuppgifter, såsom namn, kontaktuppgifter, hemort och personbeteckning, är en förutsättning för att hälso- och sjukvårdstjänster ska kunna tillhandahållas och grundar sig på lagen och förordningen om patientens ställning och rättigheter. Information om lagring av patientuppgifter i det lagstadgade nationella Kanta-arkivet ges på det sätt som den ovan nämnda kunduppgiftslagen förutsätter, antingen genom FPA:s eget material om Kanta-tjänsterna eller muntligen. Den Kanta-information som har getts antecknas alltid direkt i Kanta-tjänsterna, separat från tjänsteproducentens patientregister. 
8. Behandlingen av personuppgifter som administreras av den personuppgiftsansvarige omfattar inte automatiserat beslutsfattande eller profilering. 
9. Klienten ska informeras om ändring av ändamålet med användningen av uppgifter Om den personuppgiftsansvarige avser att vidarebehandla personuppgifter för något annat ändamål än det för vilket personuppgifterna ursprungligen samlades in, ska den personuppgiftsansvarige enligt dataskyddsförordningen informera den registrerade om detta andra ändamål innan vidarebehandlingen sker samt lämna all relevant tilläggsinformation i enlighet med dataskyddsförordningen. Därtill ska det beaktas att ändamålet med användningen av lagstadgade patientuppgifter även efter en ändring ska vara förenligt med den lagstiftning som gäller patientsekretess.