GDPR och SMS till patienter – det här behöver kliniken veta

När en tandklinik skickar SMS efter ett besök behöver patienten förstå vad meddelandet gäller. En enkel modell är att fråga i receptionen om personen vill få en länk för att lämna en recension. Frågan bör vara frivillig, neutral och lätt att tacka nej till. Den ska inte kopplas till vård, pris eller förmåner.

Samtycket bör avse just detta SMS-flöde: ett tackmeddelande med länk till klinikens Google-sida och eventuell möjlighet att avstå från fler meddelanden. Om kliniken vill använda telefonnumret till något annat krävs en separat bedömning och tydligare information. Blanda inte ihop recensioner med nyhetsbrev, kampanjer eller andra utskick.

Receptionen behöver kunna förklara flödet med en enda enkel mening. Patienten ska förstå vem som skickar meddelandet, varför det kommer och att det är frivilligt att delta. Undvik förkryssade val eller formuleringar som får SMS:et att låta nödvändigt för vården. Dokumentera också vilken rutin kliniken använder, så att frågan ställs konsekvent även när bemanningen växlar.

Dataminimering betyder att kliniken bara ska behandla de uppgifter som behövs för syftet. För ett recensions-SMS räcker det normalt med mobilnummer, tidpunkt för registrering och status för utskick eller öppnad länk. Det finns ingen anledning att lägga in journaluppgifter, behandling, personnummer eller anteckningar om besöket i ett sådant system.

Det är också klokt att ha en tydlig raderingsrutin. Om mobilnumret bara behövs för att skicka SMS och hantera en kort uppföljning bör det raderas efter en begränsad tid. Statistik kan sparas utan personuppgifter, till exempel antal utskick, klick och recensioner, så länge den inte går att koppla till en enskild patient.

Bestäm vem som får se uppgifterna och begränsa åtkomsten till personer som behöver den i sitt arbete. Receptionen kan behöva registrera ett nummer, medan sammanställd statistik kan visas för klinikledningen utan att enskilda patienter går att identifiera. Regelbunden kontroll av behörigheter är särskilt viktig när personal börjar, byter roll eller slutar.

Kliniken är normalt personuppgiftsansvarig för patientuppgifter. Leverantören som hjälper till med SMS, kontrollpanel och rapporter agerar personuppgiftsbiträde. Det betyder att leverantören bara får behandla uppgifterna enligt klinikens instruktioner och att ett personuppgiftsbiträdesavtal ska finnas innan första SMS:et skickas.

Avtalet bör beskriva syftet, vilka uppgifter som behandlas, hur länge de sparas, vilka underbiträden som används och vilka säkerhetsåtgärder som gäller. Det behöver inte vara långt för att vara tydligt, men det ska vara konkret nog för att kliniken ska förstå vad som händer med uppgifterna.

Patienten ska kunna säga nej redan i receptionen, men bör också kunna avstå efter att ett SMS har skickats. Därför är det bra att varje meddelande innehåller en enkel avregistrering eller en tydlig väg för att stoppa fler SMS. Det visar respekt och minskar risken för irritation.

Avregistreringen ska inte kräva inloggning eller onödiga steg. När någon väljer att avstå bör det sparas så att kliniken inte skickar fler recensionspåminnelser till samma nummer. Även här gäller dataminimering: spara bara det som behövs för att respektera valet.

Kliniken bör även ha en manuell väg för den som hellre ringer eller svarar direkt. Personalen behöver veta hur ett sådant önskemål registreras och hur det förs vidare om flera system används. Testa avregistreringen innan start och med jämna mellanrum därefter, så att patientens val får effekt utan dröjsmål.

När AI används för att föreslå svar på Google-omdömen måste kliniken tänka på att recensioner är offentliga. Svaret ska aldrig nämna behandlingar, journaluppgifter eller bekräfta att personen är patient. Även ett välmenande svar kan bli problematiskt om det avslöjar för mycket.

En säker rutin är att låta AI skriva korta, generella utkast och låta kliniken godkänna särskilt känsliga eller negativa svar. Då får teamet hjälp med ton och formulering utan att tappa kontrollen. Den här texten är en praktisk översikt och inte juridisk rådgivning. Vid osäkerhet bör kliniken rådgöra med jurist eller dataskyddskunnig rådgivare.