08/11/2022

Privacyreglement ’t Boompje B.V.

Datum: 04/04/2019

Versie: 1.0

Doelstelling vanuit de AVG (2018):

Bewerkstelligen dat ’t Boompje B.V. voldoet aan haar verantwoordings- en informatieplicht jegens de betrokkenen wier gegevens zij verwerkt.

Inhoudsopgave

1. Privacyreglement

2. Definities

3. Verwerking van persoonsgegevens van cliënt en in overeenstemming met de AVG

   • 3.1 Beginselen inzake persoonsgegevensverwerking

   • 3.2 Rechtmatigheid van de verwerking

   • 3.3 Voorwaarden voor het verwerken van gezondheidsgegevens

   • 3.4 Gegevensverwerking door verwerker

   • 3.5 Aansprakelijkheid verwerkingsverantwoordelijke en/of verwerker

   • 3.6 Wanneer mogen andere bijzondere gegevens dan gezondheidsgegevens worden verwerkt?

   • 3.7 Geheimhoudingsplicht en verstrekking aan derden

   • 3.8 Wanneer mogen gegevens aan een ander worden verstrekt voor wetenschappelijk onderzoek en statistiek op het gebied van de volksgezondheid?

   • 3.9 Bewaren van persoonsgegevens

4. Rechten van de betrokkenen

   • 4.1 Voorwaarden met betrekking tot de uitvoering van de rechten van de betrokkenen

   • 4.2 Te verstrekken informatie

   • 4.3 Te verstrekken informatie wanneer de persoonsgegevens niet van de betrokkene zijn verkregen

   • 4.4 Inzage en afschrift/kopie

   • 4.5 Rectificatie (verbetering) of aanvulling van persoonsgegevens en beperking van de verwerking van persoonsgegevens

   • 4.6 Recht op gegevenswissing (vergetelheid)

   • 4.7 Recht van bezwaar

   • 4.8 Recht op gegevensoverdraagbaarheid (dataportabiliteit)

5. Vertegenwoordiging

6. Veilige verwerking van persoonsgegevens

   • 6.1 Verantwoordelijkheid van de verwerkingsverantwoordelijke

   • 6.2 Gegevensbescherming door ontwerp en standaardinstellingen (Privacy by design en default)

   • 6.3 Register van verwerkingen

   • 6.4 Medewerking verlenen aan / samenwerken met de Autoriteit Persoonsgegevens

   • 6.5 Beveiliging van de verwerking

   • 6.6 Melding van een inbreuk in verband met persoonsgegevens aan de Autoriteit Persoonsgegevens en datalekkenregister

   • 6.7 Melding van een inbreuk in verband met persoonsgegevens aan de betrokkenen

   • 6.8 Gegevensbeschermingseffectbeoordeling (Data Protection Impact Assessment, DPIA)

   • 6.9 Voorafgaande raadpleging van de Autoriteit Persoonsgegevens

7. Functionaris voor gegevensbescherming

   • 7.1 Aanwijzing van een functionaris voor gegevensverwerking

   • 7.2 Positie van de functionaris voor gegevensbescherming

   • 7.3 Taken van de functionaris voor gegevensverwerking

   • 7.4 Bij een klacht

   • 7.5 Wijzigingen en inzage van dit reglement

1. Privacyreglement

Dit reglement is van toepassing binnen ’t Boompje B.V. (’t Boompje) en heeft betrekking op de verwerking van gegevens van cliënten die bij ’t Boompje onder behandeling/begeleiding zijn.

2. Definities

• Autoriteit Persoonsgegevens (AP): De toezichthoudende autoriteit; de onafhankelijke instantie die erover waakt dat persoonsgegevens zorgvuldig en veilig worden verwerkt en zo nodig sancties kan opleggen als dat niet gebeurt.

• Algemene Verordening Gegevensbescherming (AVG): De Europese verordening die regels stelt voor gegevensverwerkingen en als doel heeft persoonsgegevens te beschermen.

• Bestand: Elk gestructureerd geheel van persoonsgegevens die volgens bepaalde criteria toegankelijk zijn.

• Betrokkene: Degene op wie de persoonsgegevens betrekking hebben, meestal de cliënt of zijn (wettelijk) vertegenwoordiger.

• Bijzondere categorieën persoonsgegevens: Persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijken, alsmede genetische gegevens, biometrische gegevens met het oog op de unieke identificatie van een persoon,gegevens over gezondheid, of gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid.

• Derde: Elke persoon of instantie die geen betrokkene, verwerkingsverantwoordelijke, verwerker, of een persoon onder rechtstreeks gezag van de verwerkingsverantwoordelijke of verwerker is die gemachtigd is persoonsgegevens te verwerken.

• Functionaris voor gegevensbescherming: Functionaris die door de zorgaanbieder moet of kan worden aangesteld voor het informeren en adviseren over en het toezicht houden op de toepassing en naleving van de AVG en andere gegevensbeschermingsbepalingen.

• Gezondheidsgegevens: Gegevens over de lichamelijke of geestelijke gezondheid van een persoon, waaronder gegevens over verleende gezondheidsdiensten waarmee informatie over zijn gezondheidstoestand wordt gegeven.

• Inbreuk in verband met persoonsgegevens (datalek): Een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens. Onder een ‘datalek’ valt dus niet alleen het vrijkomen (lekken) van gegevens, maar ook onrechtmatige verwerking van gegevens.

• Persoonsgegevens: Alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon (“de betrokkene”); als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon.

• Privacyverklaring: Een verklaring waarin ’t Boompje de cliënt en eventuele vertegenwoordigers van de cliënt informeert over de wijze waarop zij persoonsgegevens verwerkt (zie www.tboompje.nl).

• Pseudonimisering: Het verwerken van persoonsgegevens op zodanige wijze dat de persoonsgegevens niet meer aan een specifieke betrokkene kunnen worden gekoppeld zonder dat aanvullende gegevens worden gebruikt, mits deze aanvullende gegevens apart worden bewaard en technische en organisatorische maatregelen worden genomen om te waarborgen dat de persoonsgegevens niet aan een geïdentificeerde of identificeerbare natuurlijke persoon worden gekoppeld.

• Toestemming van de betrokkene: Elke vrije, specifieke, op informatie berustende en ondubbelzinnige wilsuiting waarmee de betrokkene door middel van een verklaring of een duidelijke actieve handeling aanvaardt dat hem betreffende persoonsgegevens worden verwerkt.

• Verwerker: Degene die in opdracht van en voor de verwerkingsverantwoordelijke persoonsgegevens verwerkt (bijvoorbeeld een externe hostingfirma, ICT-leverancier, kwaliteitsauditor of salarisadministratiekantoor).

• Verwerking van persoonsgegevens: Alle handelingen met betrekking tot persoonsgegevens, waaronder in ieder geval het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiding of op andere wijze ter beschikking stellen, samenbrengen, met elkaar in verband brengen, alsmede het afschermen, uitwissen of vernietigen van gegevens.

• Verwerkingsverantwoordelijke: Degene die, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt; meestal de bestuurder van de zorgaanbieder.

• Zorgaanbieder: ’t Boompje B.V.

3. Verwerking van persoonsgegevens van cliënt en in overeenstemming met de AVG

3.1 Beginselen inzake persoonsgegevensverwerking

De zorgaanbieder is verantwoordelijk voor de naleving van onderstaande beginselen bij de verwerking van persoonsgegevens en moet deze kunnen aantonen (“verantwoordingsplicht”).

Binnen ’t Boompje worden persoonsgegevens alleen verwerkt: a) Op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is;

b) Voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden en mogen vervolgens niet verder op een met die doeleinden onverenigbare wijze worden verwerkt (“doelbinding”);

c) Voor zover zij toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt (“dataminimalisatie”);

d) Indien de persoonsgegevens juist zijn en zo nodig worden geactualiseerd (“juistheid”);

e) Bewaard in een vorm die het mogelijk maakt de betrokkenen niet langer te identificeren dan noodzakelijk is (“opslagbeperking”);

f) Door het nemen van passende technische of organisatorische maatregelen zodat een passende beveiliging ervan gewaarborgd is (“integriteit en vertrouwelijkheid”).

3.2 Rechtmatigheid van de verwerking

De verwerking is alleen rechtmatig indien en voor zover aan ten minste één van de onderstaande voorwaarden is voldaan: a) De betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor één of meer specifieke doeleinden;

b) De gegevensverwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is;

c) De gegevensverwerking is noodzakelijk om een wettelijke verplichting na te komen (zoals de dossierplicht in de WGBO);

d) De gegevensverwerking is noodzakelijk ter bescherming van de vitale belangen van de betrokkene of een ander natuurlijk persoon;

e) De gegevensverwerking is noodzakelijk voor de goede vervulling van een taak van algemeen belang;

f) De gegevensverwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of een derde, mits de belangen of grondrechten van de betrokkene niet zwaarder wegen.

3.3 Voorwaarden voor het verwerken van gezondheidsgegevens

Gezondheidsgegevens behoren tot de bijzondere categorieën persoonsgegevens. Het verwerken hiervan is verboden, tenzij wordt voldaan aan uitzonderingsgronden, waaronder: a) Wanneer de verwerking noodzakelijk is voor doeleinden van preventieve of arbeidsgeneeskunde, medische diagnosen, het verstrekken van gezondheidszorg of sociale diensten, voor zover toegestaan in nationale wetgeving.

b) Gegevens over gezondheid worden verwerkt onder de verantwoordelijkheid van een beroepsbeoefenaar die aan het beroepsgeheim gebonden is of door een ander persoon die tot geheimhouding is gehouden.

3.4 Gegevensverwerking door verwerker

1. De zorgaanbieder kan de verwerking (extern) uitbesteden aan een verwerker en legt de verplichtingen uit de AVG vast in een verwerkersovereenkomst.

2. De overeenkomst omschrijft het onderwerp, de duur, de aard, het doel van de verwerking, het soort persoonsgegevens, de categorieën van betrokkenen en de rechten en verplichtingen van de zorgaanbieder.

3. De verwerker verwerkt persoonsgegevens uitsluitend in opdracht van de zorgaanbieder.

3.5 Aansprakelijkheid verwerkingsverantwoordelijke en/of verwerker

1. De zorgaanbieder is verantwoordelijk en aansprakelijk voor schade die voortvloeit uit het toerekenbaar tekortschieten of niet voldoende naleven van de AVG.

2. De verwerker kan daarnaast zelfstandig aansprakelijk zijn voor schade die rechtstreeks voortvloeit uit zijn werkzaamheden of het niet handelen conform de gemaakte afspraken.

3.6 Wanneer mogen andere bijzondere gegevens dan gezondheidsgegevens worden verwerkt?

Andere bijzondere gegevens (zoals ras/etniciteit of godsdienst) mogen alleen als aanvulling op gezondheidsgegevens worden verwerkt als dat noodzakelijk is voor een goede behandeling of verzorging van de betrokkene (bijvoorbeeld het inschakelen van een tolk).

3.7 Geheimhoudingsplicht en verstrekking aan derden

Persoonsgegevens verkregen in de uitoefening van een beroep in de gezondheidszorg vallen onder de geheimhoudingsplicht van de hulpverlener (o.a. WGBO, Jeugdwet, Wet BIG en beroepscodes).

3.8 Wanneer mogen gegevens aan een ander worden verstrekt voor wetenschappelijk onderzoek en statistiek?

1. Gegevensverwerking voor wetenschappelijk onderzoek of statistische doeleinden is onderworpen aan passende waarborgen (zoals pseudonimisering).

2. Verstrekking van niet-geanonimiseerde gegevens vereist in beginsel toestemming van de cliënt. Zonder toestemming kan dit uitsluitend onder strikte wettelijke voorwaarden (zoals onmogelijkheid van toestemming gevraagd te worden en gewaarborgde privacy).

3.9 Bewaren van persoonsgegevens

1. Persoonsgegevens worden op een veilige wijze bewaard en niet langer bewaard dan noodzakelijk is voor het doel waarvoor ze verzameld zijn, tenzij een wettelijke bewaartermijn geldt.

2. De zorgaanbieder stelt specifieke bewaartermijnen vast op basis van de geldende wet- en regelgeving.

4. Rechten van de betrokkenen

4.1 Voorwaarden met betrekking tot de uitvoering van de rechten

1. De zorgaanbieder informeert de cliënt over zijn rechten middels een Privacyverklaring.

2. De uitoefening van rechten geschiedt in beginsel kosteloos. Bij kennelijk ongegronde of buitensporige verzoeken mag een redelijke vergoeding worden gevraagd of het verzoek worden geweigerd.

3. De zorgaanbieder reageert onverwijld en uiterlijk binnen één maand op een verzoek.

4.2 Te verstrekken informatie

1. Bij het rechtstreeks verzamelen van gegevens informeert de zorgaanbieder de betrokkene vooraf over de identiteit van de organisatie, contactgegevens, verwerkingsdoelen, rechtsgrond en eventuele ontvangers.

2. Tevens wordt informatie verstrekt over bewaartermijnen, de rechten van de betrokkene, het recht om toestemming in te trekken en het recht om een klacht in te dienen bij de AP.

4.3 Informatie wanneer gegevens niet van de betrokkene zijn verkregen

Wanneer gegevens via derden worden verkregen, wordt de betrokkene binnen een redelijke termijn (uiterlijk binnen één maand) geïnformeerd over de categorieën gegevens en de bron waaruit ze afkomstig zijn.

4.4 Inzage en afschrift/kopie

1. Betrokkenen van 12 jaar en ouder hebben recht op inzage in en een afschrift van hun dossier, voor zover de privacy van anderen daardoor niet wordt geschaad.

2. Wettelijke vertegenwoordigers van kinderen onder de 16 jaar of wilsonbekwame volwassenen hebben eveneens inzagerecht, mits dit in het belang van de cliënt is.

4.5 Rectificatie, aanvulling en beperking

Betrokkenen kunnen verzoeken om correctie van onjuiste persoonsgegevens of het toevoegen van een eigen verklaring aan het dossier.

4.6 Recht op gegevenswissing (vergetelheid)

Betrokkenen kunnen verzoeken om verwijdering van hun persoonsgegevens, mits dit niet strijdig is met wettelijke bewaarplichten (zoals de medische bewaarplicht).

4.7 Recht van bezwaar

Betrokkenen hebben het recht om vanwege specifieke redenen bezwaar te maken tegen de verwerking van hun persoonsgegevens.

4.8 Recht op gegevensoverdraagbaarheid

Betrokkenen hebben het recht hun persoonsgegevens in een gestructureerd, gangbaar en machinaal leesbaar formaat te ontvangen om deze over te dragen aan een andere organisatie.

5. Vertegenwoordiging

Voor minderjarigen of wilsonbekwame cliënten treden de wettelijk vertegenwoordigers (ouders met gezag, voogd of curator) op volgens de wettelijke regels die gelden binnen de zorg- en privacywetgeving.

6. Veilige verwerking van persoonsgegevens

• 6.1 Verantwoordelijkheid: De verwerkingsverantwoordelijke treft passende technische en organisatorische maatregelen.

• 6.2 Privacy by design & default: Bij de opzet van systemen en diensten wordt standaard maximale bescherming georganiseerd.

• 6.3 Register van verwerkingen: ’t Boompje B.V. bijhoudt een intern register van alle verwerkingsactiviteiten.

• 6.4 Samenwerking AP: Er wordt medewerking verleend aan de Autoriteit Persoonsgegevens.

• 6.5 Beveiliging: Passende beveiligingsmaatregelen worden genomen om datalekken en onbevoegde toegang te voorkomen.

• 6.6 & 6.7 Datalekken: Datalekken worden geregistreerd en indien nodig binnen 72 uur gemeld aan de AP en de betrokkenen.

• 6.8 & 6.9 DPIA & Voorafgaande raadpleging: Bij hoog-risico gegevensverwerkingen wordt een effectbeoordeling uitgevoerd.

7. Functionaris voor gegevensbescherming & Slotbepalingen

• 7.1 – 7.3 Functionaris: Indien van toepassing ziet een Functionaris voor Gegevensbescherming toe op de naleving van de wetgeving.

• 7.4 Klachten: Vragen of klachten over privacy kunnen worden gericht aan ’t Boompje B.V. of aan de Autoriteit Persoonsgegevens.

• 7.5 Wijzigingen: Dit reglement kan worden aangepast aan nieuwe wettelijke vereisten en is op te vragen via de zorgaanbieder.