Digital självhjälp kan vara enkel att använda. Ett program kan öppnas i mobilen, en arbetsbok kan sparas på datorn och reflektionsfrågor kan fyllas i när det passar. Men just det som gör digitala format smidiga skapar också en viktig fråga: vad händer med de uppgifter du lämnar efter dig?
Det kan handla om mer än namn och e-postadress. I ett självhjälpsprogram kanske du skriver om oro, sömn, relationer, nedstämdhet, stress, tidigare erfarenheter eller hur du mår just nu. Sådana uppgifter kan vara betydligt mer integritetskänsliga än vanliga kunduppgifter.
Syftet med den här artikeln är därför inte att göra digital självhjälp till något riskfyllt i sig. Målet är att ge dig ett mer praktiskt sätt att bedöma hur en digital tjänst hanterar information. Du behöver inte förstå hela GDPR för att kunna ställa bra frågor om vad som samlas in, varför det görs, hur länge uppgifterna sparas och vem som kan få tillgång till dem.
Integritet börjar med att förstå vilken typ av tjänst du använder
Två digitala självhjälpsprodukter kan se likadana ut för användaren men fungera helt olika tekniskt.
Ett program kan till exempel vara:
- en nedladdningsbar PDF som du sparar lokalt
- en webbsida utan konto
- ett inloggat medlemsområde
- en app som sparar dina svar
- en plattform med meddelanden eller professionell vägledning
- ett formulär där du registrerar symtom över tid
- ett AI-baserat verktyg där du skriver personliga frågor och får genererade svar
Vilka integritetsfrågor som är viktigast beror därför på formatet. Om materialet bara laddas ned och används lokalt kan mycket av innehållet stanna på din egen enhet. Om du däremot fyller i svar direkt i en webbtjänst kan informationen lagras och behandlas av flera tekniska aktörer.
Uppgifter om psykisk hälsa kan vara känsliga personuppgifter
GDPR ger vissa kategorier av personuppgifter ett starkare skydd. Uppgifter som rör fysisk eller psykisk hälsa räknas som känsliga personuppgifter, eller med GDPR:s terminologi särskilda kategorier av personuppgifter.
Integritetsskyddsmyndigheten, IMY, beskriver hälsouppgifter som känsliga och betonar att även andra uppgifter om en persons privata sfär kan vara särskilt skyddsvärda. Läs mer hos IMY om känsliga personuppgifter.
EU-kommissionen beskriver också uppgifter om hälsa som en särskilt skyddad kategori enligt GDPR. Läs EU-kommissionens information om känsliga personuppgifter.
Det betyder inte att varje besök på en sida om stress automatiskt blir en hälsouppgift. Men om en tjänst exempelvis samlar in svar om dina symtom, diagnoser, psykiska besvär eller behandlingar kan informationen vara mycket skyddsvärd.
Det första du bör kontrollera: samlas dina svar in?
Ett arbetsblad kan se likadant ut oavsett om dina svar sparas lokalt eller skickas till en server. Därför är detta en bra första kontrollfråga:
När jag skriver i materialet – sparas svaret bara hos mig, eller skickas det till tjänsteleverantören?
Om svaret inte framgår av tjänsten kan det vara värt att läsa integritetspolicyn eller fråga leverantören. Det är särskilt relevant innan du skriver sådant du inte skulle vilja dela med en okänd tredje part.
En integritetspolicy ska gå att förstå
En integritetspolicy behöver inte vara enkel juridik, men den ska ge användaren begriplig information. Enligt IMY ska information om personuppgiftsbehandling bland annat förklara vilka uppgifter som samlas in, varför de används, hur länge de sparas och vilka rättigheter den registrerade har.
IMY betonar också att informationen ska vara koncis, klar och tydlig och att användaren i förväg bör kunna förstå syftet med och konsekvenserna av behandlingen. Läs IMY:s vägledning om integritetspolicy.
När du granskar en digital självhjälpstjänst kan du därför leta efter svar på dessa frågor:
- Vem är personuppgiftsansvarig?
- Vilka personuppgifter samlas in?
- Varför samlas de in?
- Vilken rättslig grund anges?
- Hur länge sparas uppgifterna?
- Vilka andra företag eller leverantörer får tillgång till dem?
- Överförs uppgifter utanför EU/EES?
- Hur utövar du dina rättigheter?
- Vem kontaktar du om du har frågor?
Dataminimering: tjänsten bör inte samla in mer än den behöver
En av GDPR:s grundläggande principer är uppgiftsminimering. Den innebär att personuppgifter ska vara adekvata, relevanta och inte mer omfattande än vad som behövs för ändamålet.
IMY beskriver att personuppgifter bara ska samlas in för särskilda och berättigade ändamål och att användaren ska få veta varför uppgifterna behövs. Läs IMY:s grundläggande GDPR-principer.
För dig som användare kan principen översättas till en enkel fråga: behöver tjänsten verkligen den här uppgiften för att fungera?
Om en enkel digital arbetsbok exempelvis kräver fler personuppgifter än vad som verkar nödvändigt är det rimligt att vilja förstå varför.
Är konto nödvändigt?
Vissa tjänster behöver ett konto för att kunna spara framsteg mellan olika enheter. I andra fall kan materialet användas utan konto.
Det finns ingen generell regel om att ett alternativ alltid är bättre. Ett konto kan ge praktiska funktioner men innebär också att fler uppgifter kopplas till samma användare.
Fråga därför om du behöver:
- ange fullständigt namn
- använda din huvudsakliga e-postadress
- registrera telefonnummer
- ange födelsedatum
- skapa en profil
- låta tjänsten spara dina svar över tid
Ju mer personligt innehållet är, desto mer relevant blir det att förstå varför varje uppgift behövs.
Separera köpuppgifter från reflektionsinnehåll
En digital butik kan behöva behandla uppgifter för betalning, leverans, bokföring och kundservice. Det är något annat än att lagra vad du skriver i ett självhjälpsmaterial.
Det är därför värdefullt om tjänsten tydligt skiljer mellan administrativa kunduppgifter och det personliga innehåll du eventuellt skapar i själva programmet.
Som användare kan du också själv minska mängden integritetskänslig information genom att undvika att skriva fullständiga namn på andra personer eller onödigt detaljerade identifierande uppgifter i privata anteckningar.
Molntjänster kan innebära fler aktörer
Digitala tjänster använder ofta externa leverantörer för exempelvis lagring, e-post, betalningar, analys och teknisk drift. I GDPR-termer kan vissa av dessa aktörer vara personuppgiftsbiträden som behandlar uppgifter för den personuppgiftsansvarigas räkning.
IMY beskriver molntjänstföretag som ett vanligt exempel på personuppgiftsbiträden och anger att den personuppgiftsansvariga ska välja biträden som kan ge tillräckliga garantier för att dataskyddskraven uppfylls. Läs mer hos IMY om personuppgiftsbiträden.
För användaren betyder det att ”tjänsten” i praktiken kan bestå av flera tekniska leverantörer. Därför är det bra om integritetspolicyn beskriver mottagare eller kategorier av mottagare på ett begripligt sätt.
Var lagras uppgifterna?
Om en leverantör eller underleverantör utanför EU/EES får tillgång till personuppgifter kan det bli fråga om en så kallad tredjelandsöverföring.
IMY beskriver att en överföring till tredjeland kan ske när personuppgifter skickas till eller görs tillgängliga för en mottagare utanför EU/EES. Det kan även aktualiseras när en molntjänst eller ett personuppgiftsbiträde utanför EU/EES används. Sådana överföringar är tillåtna endast under vissa förutsättningar. Läs IMY:s information om tredjelandsöverföringar.
Du behöver inte själv bedöma alla juridiska överföringsmekanismer, men du kan kontrollera om integritetspolicyn förklarar var uppgifter behandlas och vad som gäller om leverantörer utanför EU/EES används.
Säkerhet handlar om mer än en låssymbol i webbläsaren
HTTPS är viktigt eftersom det skyddar överföringen mellan din webbläsare och webbplatsen, men det säger inte allt om hur informationen hanteras efter att den nått tjänstens system.
Informationssäkerhet omfattar bland annat åtkomstkontroll, behörigheter, lagring, säkerhetskopior och hur obehörig åtkomst förebyggs.
IMY beskriver kryptering som en möjlig skyddsåtgärd för känsliga och andra skyddsvärda personuppgifter och betonar att säkerhetsbehovet behöver analyseras utifrån situationen. Läs IMY:s vägledning om kryptering.
Skydda även din egen enhet
Integritet är inte bara leverantörens ansvar. Om du laddar ned en arbetsbok och sparar känsliga reflektioner på en dator som flera personer använder kan informationen bli tillgänglig även om leverantören aldrig har sett den.
Praktiska skydd kan vara:
- skärmlås på telefon och dator
- ett starkt och unikt lösenord för konton
- tvåstegsverifiering där tjänsten erbjuder det
- separat användarkonto på en delad dator
- att inte lämna öppna dokument på en gemensam skärm
- att tänka igenom var nedladdade arbetsblad sparas
- att radera lokala kopior som du inte längre vill ha kvar
Om du arbetar med mycket privata erfarenheter kan det också vara klokt att välja formuleringar som är användbara för dig utan att onödigt identifiera andra personer.
Autosparning kan vara praktisk – men bör vara tydlig
Många webbtjänster sparar automatiskt det du skriver. Det kan vara en stor fördel om du stänger sidan av misstag, men innebär också att text du trodde var tillfällig kan lagras.
Om ett arbetsverktyg innehåller fritextfält kan du därför kontrollera:
- sparas texten automatiskt?
- går det att radera ett svar?
- kan du exportera det?
- vem kan se innehållet?
- hur länge finns det kvar?
AI-funktioner kräver en extra kontrollfråga
Vissa digitala självhjälpstjänster använder generativ AI eller chattfunktioner. Då är det särskilt viktigt att förstå vad som händer med det du skriver.
Om du beskriver psykisk hälsa, relationer eller andra privata förhållanden kan texten innehålla känsliga eller mycket integritetskänsliga uppgifter. Innan du använder en sådan funktion kan du därför kontrollera om dina meddelanden sparas, om de används för att förbättra eller träna systemet, vilka underleverantörer som behandlar informationen och om du kan radera historiken.
IMY lyfter att principerna om ändamålsbegränsning och uppgiftsminimering gäller även när personuppgifter används i AI-system. Läs IMY:s vägledning om GDPR och AI.
Analysverktyg och spårning är en annan fråga än själva programmet
En webbplats kan använda statistik- eller marknadsföringsverktyg samtidigt som själva självhjälpsprogrammet fungerar separat. Det är därför bra att skilja mellan innehållet du aktivt skriver in och den tekniska information som kan samlas in när du använder webbplatsen.
Det kan exempelvis handla om IP-adress, webbläsartyp, enhet, besökta sidor eller hur du kom till webbplatsen. Vilken information som behandlas och på vilken grund bör framgå av webbplatsens information om personuppgifter och cookies där det är relevant.
Du har rätt till information om behandlingen
GDPR ger registrerade ett antal rättigheter. IMY beskriver bland annat rätt till information, tillgång, rättelse och i vissa situationer radering.
Den registrerade ska bland annat kunna få information om varför uppgifterna behandlas, vilken rättslig grund som används, hur länge uppgifterna sparas, vilka som tar del av dem och om uppgifter överförs till tredjeland. Läs mer om dina rättigheter hos IMY.
Rätten till radering är dock inte absolut. Det kan finnas rättsliga skyldigheter eller andra skäl som gör att vissa uppgifter måste sparas. Därför bör en seriös tjänst beskriva både rättigheterna och eventuella begränsningar.
Samtycke är inte den enda rättsliga grunden
Det är vanligt att användare tror att alla personuppgifter måste behandlas med samtycke. Så fungerar inte GDPR.
Personuppgiftsbehandling måste ha en rättslig grund, men vilken grund som är relevant beror på situationen. IMY beskriver bland annat avtal, rättslig förpliktelse, intresseavvägning och samtycke som möjliga grunder i olika situationer.
Om en behandling bygger på samtycke ställs särskilda krav på att samtycket bland annat ska vara frivilligt, begripligt och möjligt att återkalla. Läs IMY:s introduktion till GDPR.
Digital självhjälp är inte automatiskt hälso- och sjukvård
Det är viktigt att skilja mellan ett generellt självhjälpsmaterial och individuell hälso- och sjukvård. Ett digitalt program kan handla om psykisk hälsa utan att tjänsten i sig innebär att du får en individuell medicinsk eller psykoterapeutisk bedömning.
Det påverkar också vilka förväntningar du bör ha på tjänsten. Om materialet är psykoedukativt ska det vara tydligt vad det kan och inte kan göra. Om tjänsten däremot erbjuder individuell vård eller behandling kan andra krav och regelverk aktualiseras.
Integritet och klinisk nytta är två olika kvalitetsfrågor
Ett program kan ha bra integritetsskydd men svagt innehåll. Ett annat kan ha gediget psykologiskt material men otydlig information om personuppgifter.
Därför är det klokt att bedöma dessa frågor separat:
- Är materialet relevant och välstrukturerat?
- Är forskningspåståendena rimliga?
- Är målgruppen tydlig?
- Är integritet och databehandling transparent?
- Vet du vad som händer med det du skriver?
Om du vill fördjupa själva kvalitetsbedömningen kan du läsa Hur väljer man självhjälpsprogram för stress, oro eller relationer?.
För en fördjupning om evidens och vetenskapliga påståenden finns också Forskningsbaserad självhjälp – vad betyder det egentligen?.
En enkel integritetskontroll innan du börjar skriva
Innan du fyller i personliga arbetsblad eller fritextfält kan du använda den här korta kontrollen:
- Vet jag om mina svar stannar på min enhet eller skickas till en server?
- Vet jag vem som ansvarar för personuppgifterna?
- Förstår jag varför uppgifterna samlas in?
- Vet jag hur länge de sparas?
- Vet jag om andra leverantörer får tillgång?
- Finns information om eventuell behandling utanför EU/EES?
- Kan jag radera eller få tillgång till mina uppgifter?
- Är mitt konto och min egen enhet tillräckligt skyddade?
- Behöver jag verkligen skriva fullständiga namn eller andra identifierande detaljer?
Om flera av svaren är oklara kan det vara klokt att ta reda på mer innan du skriver mycket privat information.
Tre olika situationer – tre olika risknivåer
Situation 1: Du laddar ned en PDF med reflektionsfrågor och skriver ut den. Tjänsten behöver då inte nödvändigtvis få tillgång till dina svar. Den viktigaste integritetsfrågan efter köpet kan i stället vara hur du själv förvarar arbetsbladen.
Situation 2: Du använder en app där alla svar sparas i ditt konto och synkroniseras mellan telefon och dator. Då blir det viktigare att förstå lagring, behörigheter, underleverantörer och hur du kan radera uppgifter.
Situation 3: Du använder en AI-chatt och beskriver relationer, symtom och tidigare behandlingar i detalj. Då bör du vara särskilt noggrann med att förstå hur meddelandena behandlas och om den typen av information behöver lämnas alls.
Det viktiga är alltså inte att alltid välja den tekniskt enklaste lösningen. Det är att integritetsskyddet står i rimlig proportion till hur personligt innehållet är.
När bör du vara extra försiktig?
Var särskilt eftertänksam om ett digitalt verktyg ber dig skriva om:
- diagnoser eller medicinsk behandling
- suicidtankar eller självskada
- trauma eller utsatthet
- sexliv eller sexuell läggning
- andra personers hälsa eller privata förhållanden
- arbetsplatskonflikter där personer kan identifieras
- barn eller familjemedlemmar
- uppgifter du inte skulle vilja få spridda utanför tjänsten
I sådana situationer kan det vara klokt att använda så lite identifierande information som möjligt och att först förstå hur tjänsten behandlar innehållet.
Om du använder självhjälp via arbetet
Företagsfinansierade program eller digitala verktyg kan väcka en särskild fråga: kan arbetsgivaren se vad du gör?
Det går inte att svara generellt. Upplägget varierar mellan tjänster. Därför bör det framgå om arbetsgivaren bara får administrativ information, exempelvis antal licenser, eller om någon individdata behandlas eller rapporteras.
Om detta är oklart bör du fråga innan du skriver känsliga personliga reflektioner. Integritetsfrågan är särskilt viktig när det finns ett maktförhållande mellan användaren och den som finansierar tjänsten.
Vad kan du själv göra utan att bli överdrivet försiktig?
Målet är inte att du ska undvika digital självhjälp eller bli rädd för varje digital spårning. Ett mer proportionerligt mål är att göra medvetna val.
Du kan exempelvis:
- läsa integritetspolicyn innan du skriver mycket privata uppgifter
- använda arbetsblad lokalt om det passar bättre
- undvika onödiga identifierande detaljer
- skydda din enhet och dina konton
- radera material du inte längre vill spara
- fråga leverantören om något är oklart
- välja en tjänst som är tydlig med sina begränsningar
En bra digital tjänst ska inte kräva att du är jurist för att förstå de grundläggande konsekvenserna av att använda den.
Om Gävleborgs Psykoterapi Akademis program
På sidan Om programmen kan du läsa mer om hur Gävleborgs Psykoterapi Akademis självhjälpsmaterial är uppbyggt och vilket syfte programmen har.
Du kan också läsa vidare i Kunskapsbanken innan du väljer ett programområde.
För olika problemområden finns bland annat program för ångest och oro, program för depression och nedstämdhet, program för självkänsla och självkritik och program för relationer och anknytning.
Vanliga frågor
Är det säkrare att ladda ned en PDF än att använda en app?
Inte alltid, men integritetsprofilen är annorlunda. En lokal fil kan innebära att dina svar inte behöver skickas till en tjänsteleverantör. Samtidigt behöver du själv skydda filen på din enhet. En app kan erbjuda starka tekniska skydd men innebär ofta mer central lagring. Du behöver därför titta på hela upplägget.
Är uppgifter om oro eller depression känsliga personuppgifter?
Uppgifter som rör en identifierbar persons fysiska eller psykiska hälsa kan omfattas av GDPR:s särskilda skydd för hälsouppgifter. Det är därför klokt att behandla detaljerade uppgifter om psykiskt mående som mycket integritetskänsliga.
Kan jag kräva att ett företag raderar mina uppgifter?
GDPR innehåller en rätt till radering i vissa situationer, men den är inte absolut. Om uppgifterna behöver sparas på grund av rättsliga skyldigheter eller andra tillämpliga undantag kan vissa uppgifter behöva finnas kvar. IMY beskriver när rätten till radering gäller och vilka undantag som kan finnas.
Måste en digital självhjälpstjänst lagra mina svar?
Nej, inte enbart för att tjänsten är digital. Det beror på hur verktyget är byggt och vilka funktioner som erbjuds. Om svaren sparas bör det framgå hur de behandlas och varför.
Är ett anonymt konto alltid anonymt?
Inte nödvändigtvis. Även om du inte anger ditt namn kan andra uppgifter ibland göra dig identifierbar, exempelvis e-postadress, IP-adress eller kombinationer av uppgifter. Anonymisering är därför mer än att bara ta bort namnet.
Vad ska jag göra om integritetspolicyn är otydlig?
Kontakta leverantören och fråga. Om du fortfarande inte kan förstå hur känsliga uppgifter behandlas kan du välja att inte skriva in dem, använda materialet på ett annat sätt eller välja en tjänst med tydligare information.
Källor och rekommenderad vidare läsning
Integritetsskyddsmyndigheten – Känsliga personuppgifter
Integritetsskyddsmyndigheten – Grundläggande principer enligt GDPR
Integritetsskyddsmyndigheten – Vad ska en integritetspolicy innehålla?
Integritetsskyddsmyndigheten – De registrerades rättigheter
Integritetsskyddsmyndigheten – Överföring av personuppgifter till tredjeland
Integritetsskyddsmyndigheten – Kryptering och informationssäkerhet
Europeiska kommissionen – Data protection information for individuals
Avslutande perspektiv
Digital självhjälp kan ge flexibilitet, struktur och möjlighet att arbeta i egen takt. Integritetsfrågan behöver därför inte vara ett argument mot digitala program. Den är snarare en del av kvalitetsbedömningen.
En bra tjänst gör det möjligt att förstå vilka uppgifter som behandlas, varför de behövs och vilka andra aktörer som kan få tillgång till dem. Som användare kan du samtidigt minska onödig exponering genom att tänka igenom vad du skriver, var du sparar materialet och hur du skyddar din egen enhet.
Den mest användbara frågan är därför inte ”är digital självhjälp säker eller osäker?”. Frågan är om mängden och känsligheten i informationen står i rimlig proportion till tjänstens syfte och om hanteringen är tillräckligt transparent för att du ska kunna göra ett informerat val.
Artikeln är avsedd som generell information om digital självhjälp, integritet och dataskydd. Den utgör inte juridisk rådgivning och ersätter inte individuell medicinsk, psykologisk eller psykoterapeutisk bedömning, diagnos eller behandling.