1 Privacy reglement
Privacy reglement EHBDD
Inhoud
Contactgegevens EHBDD: 3
1. Begripsbepalingen 3
2. Toepassingsgebied 4
3. Doel 4
4. Vertegenwoordiging 4
5. Voorwaarden voor rechtmatige verwerking 5
6. Verwerking van persoonsgegevens binnen EHBDD en informeren van betrokkene 5
7. Verstrekken van persoonsgegevens aan derden 5
8. Recht op inzage en afschrift van opgenomen persoonsgegevens 6
9. Recht op aanvulling, correctie of verwijdering van opgenomen persoonsgegevens 6
10. Beveiliging 6
11. Datalekken 7
11.1 Wanneer is er sprake van een datalek in de zorg? 7
11.2 Melden aan de Autoriteit Persoonsgegevens 7
11.3 Melden aan de betrokken personen 7
11.4 Maatregelen die EHBDD genomen heeft om datalekken in de zorg te voorkomen 8
13. Klachten 8
14. Wijzigingen, inwerkingtreding en inzage van dit reglement 8
Contactgegevens EHBDD:
Adres : Bosstraat 65
Postcode en Plaats : 6942 HG Didam, The Netherlands
Telefoon : +31 (0)26 37 96 195
Directie : De heer Lars van Driel
Email : info@ehbdd.nl
Functionaris Gegevensbeheer : fg@ehbdd.nl
1. Begripsbepalingen
1.1. Persoonsgegevens: elk gegeven dat herleidbaar is tot een natuurlijke persoon.
1.2. Zorggegevens: persoonsgegevens die direct of indirect betrekking hebben op de
lichamelijke of geestelijke gesteldheid van betrokkene, verzameld door een
beroepsbeoefenaar in het kader van zijn beroepsuitoefening. Dit geldt ook voor
beroepsbeoefenaars in opleiding.
1.3. Verwerking van persoonsgegevens: elke handeling of elk geheel van handelingen
met betrekking tot persoonsgegevens, waaronder in ieder geval het verzamelen,
vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken,
verstrekken door middel van doorzending, verspreiding of enige andere vorm van
terbeschikkingstelling, samenbrengen, met elkaar in verband brengen, alsmede het
afschermen, uitwissen of vernietigen van gegevens.
1.4. Verstrekken van persoonsgegevens: het bekend maken of ter beschikking stellen van
gegevens.
1.5. Verzamelen van persoonsgegevens: het verkrijgen van persoonsgegevens.
1.6. Bestand: elk gestructureerd geheel van persoonsgegevens, ongeacht of dit geheel
van gegevens gecentraliseerd is of verspreid is op een functioneel of geografisch
bepaalde wijze, dat volgens bepaalde criteria toegankelijk is en betrekking heeft op
verschillende personen.
1.7. Verantwoordelijke: de natuurlijke persoon, rechtspersoon of het bestuursorgaan dat,
alleen of samen met anderen, doel en middelen voor de verwerking van
persoonsgegevens vaststelt.
1.8. Bewerker: degene die ten behoeve van de verantwoordelijke persoonsgegevens
verwerkt, zonder aan zijn rechtstreeks gezag te zijn onderworpen.
1.9. Betrokkene: degene op wie de persoonsgegevens betrekking hebben of zijn
vertegenwoordiger.
1.10. Derde: ieder, niet zijnde de betrokkene, die gemachtigd is om persoonsgegevens te
verwerken.
1.11. Ontvanger: degene aan wie de persoonsgegevens worden verstrekt (bijvoorbeeld bij
een verwijzing).
1.12. Toestemming van de betrokkene: elke vrije, specifieke en op informatie berustende
wilsuiting, waarmee de betrokkene aanvaardt dat op hem betrekking hebbende
persoonsgegevens worden verwerkt.
1.13. Het Autoriteit Persoonsgegevens: De Autoriteit dat door de landelijke overheid is
ingesteld om er op toe te zien dat de verwerking van persoonsgegevens conform de
wet geschiedt.
2. Toepassingsgebied
Dit reglement is van toepassing op de verwerking van persoonsgegevens voor
gerechtvaardigde doeleinden die in een bestand zijn opgenomen of die bestemd zijn
om daarin te worden opgenomen.
Het gaat zowel om persoonsgegevens die op papier staan als om elektronisch
opgeslagen persoonsgegevens.
3. Doel
3.1. Het doel van dit reglement is om een praktische uitwerking te geven aan de
bepalingen van de Algemene Verordening Gegevens Beheer, verder te noemen
AVG;
3.2. Dit reglement is van toepassing binnen EHBDD en heeft betrekking op alle
verwerkingen van persoonsgegevens van cliënten en medewerkers.
4. Vertegenwoordiging
Mensen met een ziekte of handicap of kinderen onder een bepaalde leeftijd zijn
mogelijk niet in staat zijn om zelfstandig hun rechten uit te oefenen, in welk geval
ruimte bestaat voor optreden door een vertegenwoordiger. De verantwoordelijke
houdt zich bij de toepassing van de AVG aan de volgende aan de WGBO (Wet op de
Geneeskundige behandelingsovereenkomst) ontleende regels:
4.1. Indien de betrokkene jonger is dan 12 jaar, treden de ouders of voogd, die het
ouderlijk gezag uitoefenen, in de plaats van de betrokkene;
4.2. Dit geldt eveneens voor de betrokkene die de leeftijd van 12 jaar tot 18 jaar heeft en
niet in staat kan worden geacht tot een redelijke waardering van zijn belangen;
4.3. Indien de betrokkene in de leeftijdscategorie van 12 tot 16 jaar valt en in staat is tot
redelijke waardering van zijn belangen, treden naast de betrokkene zelf diens ouders
of voogd op;
4.4. Een betrokkene van 16 jaar en ouder die in staat is tot een redelijke waardering van
zijn belangen is geheel handelingsbekwaam en hoeft zich niet te laten
vertegenwoordigen;
4.5. Indien de betrokkene ouder is dan 18 jaar en niet in staat kan worden geacht tot een
redelijke waardering van zijn belangen ter zake, treedt in volgorde als hieronder
weergegeven, als vertegenwoordiger op:
4.6. De curator of mentor: indien betrokkene onder curatele staat of er ten behoeve van
hem het mentorschap is ingesteld;
4.7. De persoonlijk gemachtigde: indien betrokkene een bepaalde persoon schriftelijk
gemachtigd heeft;
4.8. Echtgenoot of levensgezel: indien de persoonlijk gemachtigde ontbreekt of niet
optreedt;
4.9. Een kind, broer of zus van betrokkene: indien de echtgenoot of levensgezel ontbreekt
of niet wenst op te treden;
4.10. De persoon die in de plaats treedt van de betrokkene, betracht de zorg van een goed
vertegenwoordiger. Hij is gehouden de betrokkene zoveel mogelijk bij de vervulling
van zijn taken te betrekken;
4.11. Indien een vertegenwoordiger optreedt namens de betrokkene, komt de
verantwoordelijke zijn verplichtingen die voortvloeien uit de wet en dit reglement na
jegens deze vertegenwoordiger.
5. Voorwaarden voor rechtmatige verwerking
Teneinde de verwerking van persoonsgegevens van cliënten en medewerkers te
voorzien van een rechtmatige basis zal EHBDD zich aan de volgende regels houden:
5.1. Persoonsgegevens worden in overeenstemming met dit reglement op behoorlijke en
zorgvuldige wijze verwerkt (conform de AVG);
5.2. Persoonsgegevens worden niet verder verwerkt op een wijze die onverenigbaar is
met de doeleinden waarvoor ze zijn verkregen (conform de AVG);
5.3. Persoonsgegevens worden slechts verwerkt voor zover zij, gelet op de doeleinden
waarvoor zij worden verzameld of worden verwerkt, toereikend, ter zake dienend en
niet bovenmatig zijn (conform de AVG). Dit betekent dat de registratie van de
persoonsgegevens moet passen binnen het voor die registratie omschreven doel,
alsmede dat de aard en de omvang van de verzamelde gegevens dusdanig is, dat
het doel van de registratie daarmee wordt bewerkstelligd;
5.4. De verwerkingsverantwoordelijke is verantwoordelijk voor het goed functioneren van
de verwerking van persoonsgegevens. Zijn handelwijze met betrekking tot de
verwerking van de persoonsgegevens en de verstrekking van gegevens wordt
beperkt door dit reglement. De verantwoordelijke is aansprakelijk voor de eventuele
schade als gevolg van het niet naleven van dit reglement;
5.5. De verantwoordelijke heeft de plicht ervoor zorg te dragen dat een niet aan zijn
rechtstreeks gezag onderworpen bewerker van de persoonsgegevens zich
contractueel gebonden weet aan dit reglement.
6. Verwerking van persoonsgegevens binnen EHBDD en informeren van betrokkene
6.1. Persoonsgegevens betreffende iemands gezondheid, handicap of beperking mogen
slechts worden verwerkt indien de betrokkene voor deze verwerking zijn
ondubbelzinnige toestemming heeft verleend.
EHBDD maakt uitsluitend gebruik van persoonsgegevens waar de betrokkene
toestemming voor heeft gegeven.
De verantwoordelijke informeert elke betrokkene die ingeschreven staat over de wijze
waarop EHBDD met de persoonsgegevens omgaat. Voor uitwisseling van
persoonsgegevens tussen medewerkers van EHBDD is geen expliciete toestemming
van betrokkene vereist voor zover deze uitwisseling van belang is voor de uitvoering
van de overeenkomst tussen betrokkene en EHBDD.
7. Verstrekken van persoonsgegevens aan derden
7.1. Voor de verwerking van persoonsgegevens die bestaat uit het verstrekken van
persoonsgegevens aan personen buiten EHBDD of aan andere instellingen is de
toestemming van betrokkene vereist. Voor de gevallen waarin aan dit vereiste niet
behoeft te voldaan volgt EHBDD de regeling in de WGBO (art. 7:457 BW). Dit
betekent dat geen toestemming is vereist indien de verstrekking plaatsvindt op grond
van een wettelijk voorschrift (lid 1), aan de vertegenwoordiger van de betrokkene of
aan anderen die rechtstreeks zijn betrokken bij de uitvoering van de overeenkomst
met betrokkene als bedoeld in lid 2 van art. 7:457 BW.
8. Recht op inzage en afschrift van opgenomen persoonsgegevens
8.1. De betrokkene heeft het recht kennis te nemen van de op zijn persoon betrekking
hebbende verwerkte gegevens (recht op inzage);
8.2. De gevraagde inzage en/of het gevraagde afschrift zal zo spoedig mogelijk, doch
uiterlijk binnen vier weken, plaatsvinden respectievelijk worden verstrekt;
8.3. Recht op inzage kan worden geweigerd of beperkt als het een onevenredig nadeel
voor een derde met zich meebrengt (bijvoorbeeld wanneer zich in het dossier ook
persoonsgegevens van familieleden bevinden). Een besluit tot weigering of beperking
van inzage en afschrift wordt genomen door de directie van EHBDD.
9. Recht op aanvulling, correctie of verwijdering van opgenomen persoonsgegevens
9.1. Op uitdrukkelijk verzoek van de betrokkene worden de verzamelde
persoonsgegevens aangevuld, gecorrigeerd, afgeschermd voor derden of
verwijderd/vernietigd;
9.2. De betrokkene kan verzoeken om correctie van op hem betrekking hebbende
gegevens indien deze feitelijk onjuist, voor het doel van de verwerking onvolledig of
niet ter zake dienend zijn, dan wel in strijd met een wettelijk voorschrift, in de
verwerking voorkomen. Correcties moeten door EHBDD worden doorgegeven aan
derden, indien zij de onjuiste gegevens hebben ontvangen;
9.3. De verantwoordelijke bericht de verzoeker binnen vier weken na ontvangst van het
schriftelijke verzoek tot aanvulling, correctie, afscherming of verwijdering/vernietiging
in hoeverre hij daaraan wil voldoen. Niet gehonoreerde verzoeken worden schriftelijk
gemotiveerd;
9.4. Een gehonoreerd verzoek tot verwijdering/vernietiging van gegevens wordt binnen
drie maanden na honorering uitgevoerd.
10. Beveiliging
De AVG verplicht de verantwoordelijke technische- en organisatorische maatregelen
te nemen om persoonsgegevens tegen onbevoegde inzage te beschermen.
De volgende bepalingen gelden ter beveiliging van persoonsgegevens:
10.1. Er worden niet meer persoonsgegevens verzameld dan nodig zijn voor het doel van
de verzameling;
10.2. Alleen direct betrokken medewerkers hebben inzage in persoonsgegevens;
10.3. Alle persoonsgegevens zijn opgeborgen in afsluitbare kasten, laden, ruimten;
10.4. Elektronisch opgeslagen persoonsgegevens zijn alleen na ingeven van een
persoonlijk wachtwoord in te zien;
10.5. Elektronisch opgeslagen gegevens worden versleuteld verzonden;
10.6. Medewerkers hebben een geheimhoudingsplicht betreffende persoonsgegevens.
In dit kader wordt onder de term ‘medewerkers’ eveneens begrepen: invalkrachten en
stagiaires. Hierbij geldt de aanvullende bepaling dat op de verantwoordelijke de
verantwoordelijkheid rust deze categorie medewerkers expliciet en nadrukkelijk
bekend te maken met het van kracht zijn van dit reglement.
11. Datalekken
Vanaf 1 januari 2016 is de meldplicht datalekken van kracht. Deze meldplicht houdt in
dat zorgorganisaties een datalek van persoonsgegevens verplicht moeten melden
aan de Autoriteit Persoonsgegevens (voorheen Autoriteit Persoonsgegevens) en in
sommige gevallen ook aan de betrokken personen.
11.1 Wanneer is er sprake van een datalek in de zorg?
Wat is een datalek? Bij een datalek vallen gegevens (data) in handen van derden die
daar geen toegang toe zouden mogen hebben. Een datalek is het gevolg van een
probleem in de beveiliging. Meestal gaat het om digitale gegevens maar het kan
natuurlijk ook gaan om een medisch dossier dat uit de kast wordt gestolen of een
printje met daarop patiëntengegevens dat iemand verliest. Een datalek kan ontstaan
als er een USB-stick op straat komt te liggen, het systeem gehackt wordt en ook als
er per ongeluk persoonsgegevens gewist worden zonder dat daar een back-up van
beschikbaar is.
11.2 Melden aan de Autoriteit Persoonsgegevens
Wanneer er sprake is van een datalek maakt EHBDD vervolgens een afweging of
daarvan een melding gemaakt moet worden bij de Autoriteit Persoonsgegevens.
Allereerst kijkt EHBDD of er sprake is van een datalek van persoonsgegevens.
Wanneer het alleen om gegevens van de organisatie gaat hoeft er namelijk niet
gemeld te worden. Bij persoonsgegevens moet er sprake zijn van een kans op
nadelige gevolgen voor de bescherming van deze persoonsgegevens. Als dat het
geval is kijkt EHBDD nog om wat voor soort gegevens het gaat. Er moet een melding
gemaakt worden als er sprake is van veel gegevens en/of er sprake is van gevoelige
informatie. Bijvoorbeeld data over iemands geloof, financiële gegevens, medische
gegevens, psychologische gegevens, wachtwoorden en gegevens die gebruikt
kunnen worden voor identiteitsfraude (zoals biometrische gegevens, BSN-nummer).
Melden bij de Autoriteit Persoonsgegevens moet binnen 72 uur!
11.3 Melden aan de betrokken personen
EHBDD maakt een aparte afweging voor het melden aan de betrokken personen.
Wanneer er melding gedaan wordt aan de betrokken personen moet er ook altijd een
melding doen aan de Autoriteit Persoonsgegevens. Een melding aan de betrokken
personen is nodig als er misbruik gemaakt kan worden van de gegevens.
Bijvoorbeeld wanneer medische gegevens van een beroemd persoon gelekt zijn en
deze mogelijk gepubliceerd zullen worden. De persoon kan zich hier dan goed op
voorbereiden en eventueel maatregelen nemen. EHBDD meldt dit dan ook zo snel
mogelijk!
11.4 Maatregelen die EHBDD genomen heeft om datalekken in de zorg te voorkomen
- Een goede beveiliging van gevoelige gegevens door versleuteling (encryptie). Daarmee wordt voorkomen dat er gegevens na een lek te herleiden zijn tot een persoon.
- Voorkomen dat medewerkers persoonsgegevens verspreiden via de e-mail en/of Clouddiensten waar geen contract mee is afgesloten zoals Dropbox.
- Medewerkers geïnformeerd die met persoonsgegevens omgaan over de meldplicht persoonsgegevens.
- EHBDD heeft afspraken over voorkomen datalek met andere organisaties waarmee wordt samengewerkt en persoonsgegevens worden uitgewisseld.
- EHBDD beschikt overeen draaiboek voor het moment dat zich een datalek voordoet.
- Verantwoordelijke aangewezen voor het besluit over het melden en de melding zelf van een mogelijk datalek.
13. Klachten
Indien de betrokkene van mening is dat de bepalingen van dit reglement niet worden
nageleefd of andere reden heeft tot klagen, kan hij zich wenden tot:
13.1. De verantwoordelijke;
13.2. De leidinggevende van de verantwoordelijke, waarbij de interne klachtenregeling van
EHBDD van toepassing is;
13.3. Het Autoriteit Persoonsgegevens, met een verzoek een onderzoek in te stellen of de
wijze van gegevensverwerking door de verantwoordelijke in overeenstemming is met
de Wet bescherming persoonsgegevens, dan wel gebruik te maken van de AVG
neergelegde beroepsmogelijkheden.
14. Wijzigingen, inwerkingtreding en inzage van dit reglement
14.1 Wijzigingen van het reglement worden aangebracht door verantwoordelijke;
14.2 De wijzigingen in het reglement zijn van kracht vier weken nadat ze bekend zijn
gemaakt aan betrokkenen;
14.3 Dit reglement is van kracht per bestuursbesluit en bij de verantwoordelijke in te zien;