Privacy is voor AyganZorg van groot belang. AyganZorg hanteert dan ook de Algemene Verordening Gegevensbescherming, waarin is geregeld hoe met uw persoonsgegevens moet worden omgegaan. Hierin staat ook dat een organisatie moet kunnen aantonen dat zij zich aan de wet houden. In dit privacyreglement staan de verplichtingen van AyganZorg en de rechten van cliënten (of hun vertegenwoordigers) beknopt beschreven.
1. Begripsomschrijvingen
a. Persoonsgegevens
Elk gegevens, betreffende een geïdentificeerde of identificeerbare natuurlijke persoon.
b. Persoonsregistratie
Een onder verantwoordelijkheid van de organisatie aangelegde samenhangende verzameling van op cliënten betrekking hebbende persoonsgegevens.
c. Organisatie
AyganZorg
d. Houder
De directie wordt aangemerkt als houder van de persoonsregistratie.
e. Beheerder
De functionaris, die onder verantwoordelijkheid van de houder is belast met de dagelijkse zorg voor een persoonsregistratie of een gedeelte daarvan.
f. Zorgverlener
De zorgverlener is degene die onder verantwoordelijkheid van de directie van de organisatie rechtstreeks contact heeft of kan hebben met de cliënt en persoonsgegevens kan registreren.
g. Cliënt
Individuele natuurlijke persoon, die zich als zodanig heeft aangemeld of is aangemeld bij AyganZorg, of zijn/haar wettelijk vertegenwoordiger
h. Geregistreerde
De cliënt of zijn/haar wettelijk vertegenwoordiger
i. Verwerker
Degene die ten behoeve van AyganZorg de persoonsgegevens verwerkt
2. Reikwijdte
Dit reglement is van toepassing op de geheel of gedeeltelijke geautomatiseerde verwerking van persoonsgegevens, evenals de niet geautomatiseerde verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen. Tevens heeft dit reglement betrekking op het door ons op te stellen overzicht van genoemde verwerkingen van persoonsgegevens.
3. Doel
Het doel van dit reglement is een praktische uitwerking te geven van de bepalingen van de Algemene Verordening Gegevensbescherming, verder te noemen “AVG”. De registratie van de persoonsgegevens van cliënten van verantwoordelijke heeft tot doel het verzamelen en vervolgens systematisch verwerken van gegevens ten behoeve van een optimale zorgverlening en huisvesting en een passende dagbesteding van de cliënten.
4. Verwerking van persoonsgegevens
Persoonsgegevens mogen slechts worden verwerkt indien aan één van de onderstaande voorwaarden is voldaan:
• De cliënt heeft voor de verwerking vrijwillig toestemming verleend;
• Het is noodzakelijk voor het uitvoeren van een overeenkomst;
• Het is noodzakelijk om wettelijke verplichten na te komen;
• Het is voor vitaal belang van de cliënt;
• Het is noodzakelijk voor de vervulling van een publiekrechtelijke taak;
• Het is noodzakelijk voor een gerechtvaardigd (bedrijfs)belang.
4.1 Gegevensverzameling
De meeste gegevens van een cliënt ontvangen we rechtstreeks wanneer de zorgovereenkomst wordt afgesloten en de zorg wordt gestart. Daarnaast kunnen gegevens worden ontvangen van andere zorgaanbieders. Het dossier/zorgplan vult zich gedurende de periode dat de cliënt in zorg is.
Onderstaande gegevens worden standaard verzamelend en verwerkt in het dossier:
• Algemene persoonsgegevens (naam, geboortedatum, burgerlijke staat, etc.), contactgegevens (ook van wettelijk vertegenwoordiger), verzekeringsgegevens, verleende zorgproducten, sociaal profiel / netwerk, medische en gedragsgegevens.
• Burgerservicenummer (BSN)
• Medische, gedragsgerelateerde, sociaal-maatschappelijke en verpleegkundige/begeleidings- gegevens.
• Medicatielijsten (indien AyganZorg een rol heeft bij de medicatietoediening)
• Omschrijving en aard van incidenten met betrekking tot cliënten, getroffen maatregelen en schade/letsel.
• Omschrijving en toedracht van (seksueel) misbruik met betrekking tot een cliënt, en de ondernomen actie n.a.v. het misbruik
4.2 Voorwaarden rechtmatige verwerking
• Persoonsgegevens worden in overeenstemming met dit reglement op behoorlijke, transparante en zorgvuldige wijze verwerkt.
• Persoonsgegevens worden niet verder verwerkt op een wijze die onverenigbaar is met de doeleinden waarvoor ze zijn verkregen.
• Persoonsgegevens worden slechts verwerkt voor zover zij, gelet op de doeleinden waarvoor zij worden verzameld of vervolgens worden verwerkt, toereikend, ter zake dienend en niet bovenmatig zijn.
• AyganZorg is verantwoordelijk voor het goed functioneren van de verwerking van persoonsgegevens. Haar handelwijze met betrekking tot de verwerking van de persoonsgegevens en de verstrekking van gegevens wordt bepaald door dit reglement.
4.3 Verwerking van persoonsgegevens door verwerker
• De verwerker die wordt gekozen biedt voldoende waarborgen met betrekking tot de technische en organisatorische beveiliging.
• Met de verwerker wordt een overeenkomst gesloten of een regeling getroffen waardoor afdwingbare verbintenissen ontstaan.
• In deze overeenkomst of regeling moet de verantwoordelijke bedingen dat de verwerker de persoonsgegevens uitsluitend verwerkt in opdracht van de verantwoordelijke.
• AyganZorg moet bedingen dat de verwerker de beveiligingsverplichtingen nakomt die op de schouders rusten van de verantwoordelijke op grond van de AVG.
• AyganZorg moet daadwerkelijk toezien op de naleving van de beveiligingsverplichtingen
• De persoonsgegevens mogen alleen worden verwerkt in opdracht van AyganZorg.
• De verwerker is verantwoordelijk en aansprakelijk voor haar eigen handelen.
• De verwerker en degenen die onder diens gezag handelen zijn verplicht om persoonsgegevens waarvan zij kennisnemen geheim te houden.
5. Verstrekken van persoonsgegevens
AyganZorg beschikt over een privacyreglement waarin cliënten worden geïnformeerd over de gegevens die van hem worden verwerkt, de wijze waarop, en de redenen waarom dit gebeurt. Daarnaast worden betrokkenen actief geïnformeerd over hun rechten.
a. Aan de cliënt wordt medegedeeld aan wie zijn /haar persoonsgegevens kunnen worden verstrekt.
b. Binnen de organisatie en onder verantwoordelijkheid van de houder kunnen persoonsgegevens worden verstrekt aan zorgverleners, die direct betrokken zijn bij de hulpverlening aan de cliënt voor zover noodzakelijk voor de uitoefening van hun taak.
c. AyganZorg heeft de verplichting om gegevens over benodigde en geleverde zorg te delen met zorgkantoor, zorgverzekeraar en gemeenten (declaraties). Deze uitwisseling vindt plaats via beveiligde verbindingen. In bijzondere situaties kunnen wij ook aan andere instanties verplicht worden om gegevens over u te verstrekken; zoals aan kantonrechter in verband met de verantwoording over beheerde gelden of in geval van een justitieel onderzoek.
d. Voor het koppelen van gegevens uit afzonderlijke persoonsregistratie is steeds schriftelijke toestemming van de geregistreerde vereist.
6. Toegang tot persoonsgegevens
Om de privacy zoveel mogelijk te beschermen beperken we het intern gebruik van persoonsgegevens zoveel als mogelijk. Alleen medewerkers die op basis van hun functie uw gegevens moeten gebruiken, mogen dat. Dit wordt gewaarborgd door die medewerkers specifieke bevoegdheid te verlenen (autorisatie) voor toegang tot geautomatiseerde systemen. Daarnaast hebben de beheerder en de houder toegang tot de gegevens, voor zover noodzakelijk in het kader van beheer en uitoefening van de taak als houder.
7. Beveiliging van de persoonsgegevens
a. De houder draagt zorg voor de nodige voorzieningen van technische en organisatorisch aard ter beveiliging van een persoonsregistratie tegen verlies of aantasting van de gegevens en tegen onbevoegde kennisneming, wijziging of verstrekking daarvan.
b. Medewerkers van de organisatie, die krachtens hun functie kennis hebben van persoonsgegevens zijn verplicht tot geheimhouding ten opzichte van ieder ander, voor zover deze ingevolge hun functie geen kennis behoeven te dragen van de betreffende gegevens.
8. Algemene schriftelijke informatie aan cliënten over opname van persoonsgegevens
a. De houder heeft een algemene informatie over het bestaan en het doel van de persoonsregistratie, de werking daarvan en de positie van de cliënt daarbij.
b. De algemene schriftelijke informatie kan door de cliënt worden opgevraagd bij het kantoor, zoals het privacyreglement, klachtenprotocol en de leveringsvoorwaarden.
9. Recht van bezwaar tegen opname van persoonsgegevens
a. De cliënt heeft het recht bezwaar te maken tegen opname en vastlegging van op hem/haar betrekking hebbende persoonsgegevens. De medewerker aan wie dit bezwaar kenbaar wordt gemaakt, gaat slechts over tot het opnemen van de bedoelde gegevens indien en voor zover dit voor het verlenen van de zorg en de bedrijfsvoering noodzakelijk is of op grond van een wettelijk voorschrift vereist is.
b. Indien de organisatie aan het verzoek van de cliënt niet of slechts gedeeltelijk gehoor kan geven, wordt dit schriftelijk, binnen 30 dagen, en gemotiveerd door de houder medegedeeld.
10. Recht op inzage van persoonsgegevens
a. De geregistreerde heeft het recht op (schriftelijke) inzage van zijn persoonsgegevens. Hij zal zich hierbij dienen te legitimeren.
b. De volgende procedure wordt hierbij gevolgd:
• Een verzoek tot inzage wordt door de geregistreerde schriftelijk kenbaar gemaakt aan de houder.
• De houder informeert de beheerder.
• De beheerder verleent inzage binnen vier weken na ontvangst van het verzoek.
• De beheerder informeert vooraf een eventueel betrokken zorgverlener over het verzoek.
c. Inzage kan slechts geweigerd worden op grond van artikel 36 van de Wet Bescherming Persoonsgegevens. Deze weigering dient binnen vier weken met motivatie schriftelijke door de houder aan de geregistreerde te worden medegedeeld.
• De geregistreerde heeft recht op een afschrift van de geregistreerde persoonsgegevens. De houder kan voor het afschrift een vergoeding vragen.
• Het verzoek tot een afschrift wordt ingediend bij de houder. De houder verstrekt het afschrift binnen vier weken na ontvangst van het verzoek. Bij afgifte dient de geregistreerde zich te legitimeren.
d. Nabestaanden als bedoeld in artikel 1 van de Wkkgz hebben na overlijden desgevraagd recht op inzage in of een afschrift van gegevens uit het dossier van een overleden cliënt, indien:
• de cliënt hiervoor bij leven toestemming heeft gegeven;
• wanneer op grond van de Wkkgz een mededeling van een incident is ontvangen;
• wanneer zij een zwaarwegend belang hebben.
11. Recht op verbetering, aanvulling of verwijdering van persoonsgegevens
Als zorgorganisatie registreren we persoonsgegevens, maar de cliënt heeft wel het recht om deze persoonsgegevens in te zien, te corrigeren en over te laten dragen naar een andere organisatie. Daarnaast kan de cliënt het verzoek indienen tot het verwijderen van gegevens of bezwaar maken tegen de verwerking van gegevens.
a. De geregistreerde kan de houder schriftelijk verzoeken de hem betreffende persoonsgegevens te verbeteren, aan te vullen of te verwijderen, indien deze feitelijk onjuist, voor het doel van de registratie onvolledig of niet ter zake dienend zijn.
b. De houder bericht de geregistreerde binnen vier weken na ontvangst van het verzoek schriftelijk of dan wel in hoeverre hij daaraan kan voldoen.
c. De houder draagt zorg voor een deugdelijke vaststelling van de identiteit van de geregistreerde.
d. De houder is gehouden de beslissing tot verbetering, aanvulling of verwijdering zo spoedig mogelijk, echter binnen 30 dagen te laten uitvoeren.
e. De houder zal aan degenen buiten de organisatie aan wie hij in het jaar voorafgaand aan het verzoek en de sinds dat verzoek verstreken periode de betrokken gegevens heeft verstrekt, mededeling te doen.
12. Bewaartermijnen en de daarop volgende vernietiging van persoonsgegevens
In het kader van de Wet Geneeskundige Behandelovereenkomst (WGBO) dient AyganZorg voor het cliëntendossier een bewaartermijn van minimaal 20 jaar te hanteren na beëindiging van de zorgovereenkomst. Voor medicatielijsten wordt een bewaartermijn van twee jaar gehanteerd. Voor overige gegevens geldt dat we de gegevens niet langer bewaren dan nodig is. Vernietiging vindt plaats binnen een termijn van een jaar na afloop van de bewaartermijn, tenzij er een klacht is ingediend waarbij de gegevens betrokken zijn of een gerechtelijke procedure een langere bewaarplicht oplegt of tenzij specifieke wetten anders vermelden. De bewaar- en vernietigingstermijn zijn niet van toepassing in geval van overdracht van de gehele persoonsregistratie aan een andere organisatie in het kader van de continuïteit van de hulpverlening. De bewaartermijn kan door de houder worden verlengd na toestemming van de geregistreerde.
13. Klachten inzake naleving van dit reglement
Een cliënt, die meent dat jegens hem is of zal worden gehandeld in strijd met dit reglement, kan hierover een klacht indienen. In afwijking van het ter zake in dat reglement gestelde, valt het einde van de termijn waarbinnen men een klacht kan indienen samen met het einde van de bewaartermijn zoals die genoemd in onderhavig reglement. Het is ook mogelijk een klacht indienen bij de toezichthouder, dit is de Autoriteit Persoonsgegevens.
14. Overdracht en overgang van de registratie
In geval van overdracht of overgang van de registratie naar een andere houder, dienen de geregistreerden van dit feit in kennis te worden gesteld, opdat hiertegen door de geregistreerde bezwaar kan worden gemaakt.
15. Meldplicht datalekken
Indien zich binnen de organisatie van de verantwoordelijke of bij een door de verantwoordelijke ingeschakelde verwerker een inbreuk op de beveiliging voordoet, waarbij een aanzienlijke kans bestaat op verlies of onrechtmatige verwerking van persoonsgegevens die door de verantwoordelijke worden verwerkt, dan wel dit verlies of onrechtmatige verwerking zich daadwerkelijk voordoet, zal de verantwoordelijke daarvan melding doen bij de Autoriteit Persoonsgegevens, tenzij kan worden aangetoond dat het onwaarschijnlijk is dat deze inbreuk risico’s voor de rechten en vrijheden van natuurlijke personen met zich meebrengt. Bij het vaststellen of er sprake is van een inbreuk op de beveiliging en of melding daarvan moet worden gedaan bij de Autoriteit Persoonsgegevens, hanteert de verantwoordelijke de procedure Datalekken. AyganZorg zal iedere inbreuk op de beveiliging als bedoeld in het voorgaande artikel documenteren, ongeacht of deze wordt gemeld bij de Autoriteit Persoonsgegevens. Indien de inbreuk een hoog risico voor de rechten en vrijheden van betrokkene inhoudt, stelt de verantwoordelijke ook betrokkene onverwijld in kennis van de inbreuk. Deze mededeling kan achterwege blijven indien:
a. de persoonsgegevens versleuteld zijn en niet toegankelijk voor derden;
b. er inmiddels maatregelen getroffen zijn die het hoge risico hebben weggenomen;
c. de mededeling een onevenredige inspanning vergt. Een openbare mededeling kan dan volstaan.
16. Inwerktreding
Het privacy beleid en protocol is afgestemd op de Wet Bescherming Persoonsgegevens en treedt in werking per 01-10-2021. De houder is verantwoordelijk voor het wijzigen en actualiseren van dit document waarbij de geldende wetgeving wordt gehanteerd.
15. Slotbepaling
In gevallen waarin dit document niet voorziet beslist de houder.