Privacybeleid
Hoe wij omgaan met uw persoonsgegevens
Om zorg te kunnen verlenen verwerken wij persoonsgegevens, waaronder gegevens over uw gezondheid. Op deze pagina leest u welke gegevens dat zijn, waarom wij ze verwerken, hoe wij ze beveiligen, hoe lang wij ze bewaren en welke rechten u heeft.
1. Inleiding, doel en reikwijdte
Hera Zorg B.V. verleent verpleging, persoonlijke verzorging, begeleiding, gespecialiseerde wondzorg en palliatief terminale zorg aan mensen thuis. Om die zorg te kunnen leveren verwerken wij persoonsgegevens, waaronder gegevens over uw gezondheid. Dat zijn bijzondere persoonsgegevens waarvoor extra bescherming geldt.
Dit beleid beschrijft welke gegevens wij verwerken, waarom wij dat doen, op welke juridische grondslag, hoe wij die gegevens beveiligen, hoe lang wij ze bewaren en welke rechten u heeft. Het is een uitwerking van artikel 24 van de Algemene verordening gegevensbescherming.
1.1 Voor wie en waarvoor
Dit beleid geldt voor de verwerking van persoonsgegevens van cliënten en hun naasten, van medewerkers, van sollicitanten en van contactpersonen bij samenwerkingspartners. Het geldt voor alle zorg die Hera Zorg levert, ongeacht het domein waaruit die wordt betaald: zorg geleverd als onderaannemer binnen de Wet langdurige zorg, zorg aan cliënten met een persoonsgebonden budget, en wijkverpleging binnen de Zorgverzekeringswet.
Het beleid geldt voor gegevens op papier en voor digitaal opgeslagen gegevens.
1.2 Wettelijk kader
| Regeling | Waarvoor van belang |
|---|---|
| Algemene verordening gegevensbescherming (AVG) | Grondslagen, rechten van betrokkenen, beveiliging, datalekken, verwerkers |
| Uitvoeringswet AVG (UAVG) | Nationale uitwerking, waaronder de uitzondering voor verwerking van gezondheidsgegevens door zorgverleners |
| Wet op de geneeskundige behandelingsovereenkomst (Wgbo) | Dossierplicht, beroepsgeheim, bewaartermijn, vertegenwoordiging |
| Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz) | Vaststelling van de identiteit en gebruik van het burgerservicenummer |
| Wet kwaliteit, klachten en geschillen zorg (Wkkgz) | Vergewisplicht, klachtdossiers, calamiteitenonderzoek |
| Wet langdurige zorg en de NZa-regelgeving | Administratie- en declaratievoorschriften, materiële controle door het zorgkantoor |
| Wet op de beroepen in de individuele gezondheidszorg (Wet BIG) | Verificatie van registratie van zorgverleners |
| Fiscale en sociale zekerheidswetgeving | Bewaartermijnen personeels- en financiële administratie |
2. Begrippen
| Begrip | Betekenis |
|---|---|
| Persoonsgegevens | Alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon |
| Bijzondere persoonsgegevens | Gegevens waarvoor extra bescherming geldt, waaronder gegevens over gezondheid. Het verwerken daarvan is verboden, tenzij een wettelijke uitzondering van toepassing is |
| Verwerking | Elke handeling met persoonsgegevens: verzamelen, vastleggen, bewaren, wijzigen, raadplegen, verstrekken, wissen of vernietigen |
| Verwerkingsverantwoordelijke | Degene die het doel en de middelen van de verwerking vaststelt. Dat is Hera Zorg B.V. |
| Verwerker | Een partij die in opdracht van Hera Zorg persoonsgegevens verwerkt, zoals de leverancier van het cliëntdossier. Met iedere verwerker sluit Hera Zorg een verwerkersovereenkomst |
| Betrokkene | Degene op wie de persoonsgegevens betrekking hebben |
| Derde | Een partij anders dan de betrokkene, Hera Zorg, een verwerker of iemand die onder hun gezag werkt |
| Ontvanger | Degene aan wie persoonsgegevens worden verstrekt |
| Toestemming | Een vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de betrokkene aanvaardt dat gegevens worden verwerkt. Voor bijzondere persoonsgegevens moet de toestemming uitdrukkelijk zijn |
| Datalek | Een inbreuk op de beveiliging die leidt tot vernietiging, verlies, wijziging of ongeoorloofde toegang tot persoonsgegevens |
| Autoriteit Persoonsgegevens | De Nederlandse toezichthouder op de naleving van de privacywetgeving |
| Verwerkingsregister | Het register waarin Hera Zorg vastlegt welke verwerkingen zij uitvoert, met welk doel, op welke grondslag en met welke bewaartermijn |
3. Wie is waarvoor verantwoordelijk
Hera Zorg is een kleine organisatie zonder tussenliggende managementlagen. De verantwoordelijkheden zijn daarom bij een beperkt aantal rollen belegd, zoals ook vastgelegd in ons AO/IC.
| Rol | Verantwoordelijkheid |
|---|---|
| Directeur-bestuurder | Eindverantwoordelijk voor de naleving van dit beleid. Stelt het beleid vast, beheert het verwerkingsregister, sluit verwerkersovereenkomsten, autoriseert toegang tot systemen, en besluit over de melding van datalekken |
| Privacycontactpersoon | Eerste aanspreekpunt voor vragen van cliënten en medewerkers over privacy. Ontvangt en registreert meldingen van mogelijke datalekken, adviseert de directie en bewaakt de opvolging van verbetermaatregelen |
| Wijkverpleegkundige | Verantwoordelijk voor de juistheid en volledigheid van het cliëntdossier en voor de zorgvuldige omgang met gegevens in de thuissituatie |
| Alle medewerkers | Gebonden aan het beroepsgeheim en aan een geheimhoudingsverklaring. Raadplegen uitsluitend dossiers van cliënten met wie zij een behandelrelatie hebben, en melden een mogelijk datalek onverwijld |
| Raad van Commissarissen | Bespreekt de naleving van dit beleid en eventuele datalekken als onderdeel van de kwartaalrapportage |
Waarom Hera Zorg een privacycontactpersoon heeft en geen functionaris gegevensbescherming
Een functionaris gegevensbescherming is verplicht wanneer een organisatie op grote schaal bijzondere persoonsgegevens verwerkt. Voor een thuiszorgorganisatie van de omvang van Hera Zorg is daarvan geen sprake.
De functionaris gegevensbescherming is bovendien een formele rol met wettelijke waarborgen: aanmelding bij de Autoriteit Persoonsgegevens, onafhankelijke taakuitoefening en geen instructies over de wijze waarop de taak wordt vervuld. Die rol laat zich niet verenigen met een leidinggevende positie binnen dezelfde organisatie.
Hera Zorg kiest daarom voor een privacycontactpersoon: een medewerker die aanspreekpunt is en die de directie adviseert, zonder de formele status en waarborgen van een functionaris gegevensbescherming te suggereren.
4. Welke gegevens wij verwerken
| Van wie | Welke gegevens |
|---|---|
| Cliënten | Naam, adres, woonplaats, geboortedatum, telefoonnummer en e-mailadres · burgerservicenummer · verzekeringsgegevens · indicatiebesluit en zorgtoewijzing · zorgleefplan · gegevens over gezondheid · medicatiegegevens en toedienlijsten · rapportages over de verleende zorg · gegevens over geleverde zorg ten behoeve van declaratie · bankrekeningnummer |
| Naasten en vertegenwoordigers | Naam, relatie tot de cliënt, telefoonnummer en e-mailadres · de grondslag van de vertegenwoordiging |
| Medewerkers | Naam, adres, woonplaats, geboortedatum en contactgegevens · burgerservicenummer · kopie identiteitsbewijs voor de loonadministratie · diploma’s en certificaten · BIG-registratie · Verklaring Omtrent het Gedrag · arbeidsovereenkomst en salarisgegevens · verzuimgegevens beperkt tot wat de wet toestaat · gespreks- en beoordelingsverslagen · registratie van gewerkte uren |
| Sollicitanten | Naam en contactgegevens · curriculum vitae en motivatie · gespreksverslagen |
| Contactpersonen bij partners | Naam, functie en zakelijke contactgegevens |
Wij verzamelen niet meer gegevens dan nodig is voor het doel waarvoor wij ze verwerken. Bij verzuim van medewerkers registreren wij uitsluitend gegevens die de wet toestaat; medische gegevens over de aard van de klachten worden door de arbodienst verwerkt en niet door Hera Zorg.
4.1 Burgerservicenummer en identiteit
Op grond van de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg zijn wij verplicht het burgerservicenummer van onze cliënten te gebruiken en bij aanvang van de zorg hun identiteit vast te stellen aan de hand van een geldig identiteitsbewijs. Wij registreren daarvan het documentnummer. Van cliënten bewaren wij geen kopie van het identiteitsbewijs; van medewerkers zijn wij daartoe op grond van de fiscale wetgeving wel verplicht.
5. Op welke grondslag wij verwerken
Elke verwerking van persoonsgegevens heeft een juridische grondslag nodig. Voor gegevens over gezondheid geldt daarbovenop dat het verwerken daarvan in beginsel verboden is, tenzij een wettelijke uitzondering van toepassing is. Hieronder staat welke grondslagen Hera Zorg gebruikt.
| Verwerking | Grondslag |
|---|---|
| Zorgverlening aan cliënten | Uitvoering van de zorgovereenkomst (artikel 6 lid 1 onder b AVG). Voor de gegevens over gezondheid geldt de uitzondering voor verwerking door zorgverleners met een beroepsgeheim, met het oog op goede zorgverlening (artikel 9 lid 2 onder h AVG in samenhang met de Uitvoeringswet AVG) |
| Dossiervoering | Wettelijke verplichting op grond van de Wgbo (artikel 6 lid 1 onder c AVG) |
| Registratie en declaratie van geleverde zorg | Wettelijke verplichting op grond van de Wlz-administratie- en declaratievoorschriften en de Zorgverzekeringswet |
| Verstrekking van gegevens bij een materiële controle door het zorgkantoor | Wettelijke verplichting, binnen de grenzen die de regelgeving daaraan stelt |
| Personeelsadministratie | Uitvoering van de arbeidsovereenkomst en wettelijke verplichtingen op fiscaal en sociaalzekerheidsgebied |
| Controle op Verklaring Omtrent het Gedrag en BIG-registratie | Wettelijke verplichting op grond van de Wkkgz en de Wet BIG |
| Verstrekking aan derden buiten de behandelrelatie | Uitdrukkelijke toestemming van de cliënt, tenzij een wettelijk voorschrift anders bepaalt |
| Gebruik van beeldmateriaal voor voorlichting of website | Uitdrukkelijke toestemming, die te allen tijde kan worden ingetrokken |
Toestemming is niet de grondslag voor uw zorg
Wij vragen u geen toestemming om uw gegevens te mogen verwerken voor de zorg die wij u verlenen. Dat lijkt vreemd, maar het beschermt u.
Zou toestemming de grondslag zijn, dan zou u die toestemming ook kunnen intrekken — en dan zouden wij uw dossier moeten verwijderen. Dat mag niet: de wet verplicht ons het dossier twintig jaar te bewaren en verplicht ons de geleverde zorg te kunnen verantwoorden. Bovendien is toestemming alleen geldig wanneer die volledig vrij wordt gegeven, en in een zorgrelatie is dat niet altijd het geval.
Wij verwerken uw gegevens daarom op de grondslag die de wet voor zorgverleners heeft bedoeld: het is noodzakelijk voor uw zorg, en wij zijn gebonden aan het beroepsgeheim. Toestemming vragen wij wél voor zaken die daarbuiten vallen, zoals het delen van gegevens met iemand die niet bij uw zorg betrokken is.
6. Vertegenwoordiging
Kan een cliënt zijn belangen niet zelf behartigen, dan oefent een vertegenwoordiger de rechten uit dit beleid namens hem uit. Wij volgen daarbij de regeling uit de Wgbo.
- Is de cliënt jonger dan twaalf jaar, dan treden de ouders of de voogd op.
- Is de cliënt tussen twaalf en zestien jaar, dan treden de ouders of voogd én de cliënt zelf op.
- Is de cliënt zestien jaar of ouder en in staat tot een redelijke waardering van zijn belangen, dan handelt hij zelf.
- Is de cliënt achttien jaar of ouder en niet in staat tot een redelijke waardering van zijn belangen, dan treedt achtereenvolgens op: de curator of mentor, de schriftelijk gemachtigde, de echtgenoot of levensgezel, of een kind, broer of zus.
Wij stellen bij aanvang van de zorg vast wie als vertegenwoordiger optreedt en op welke grondslag, en leggen dat vast in het dossier. Wij betrekken de cliënt zoveel mogelijk zelf bij beslissingen, ook wanneer een vertegenwoordiger optreedt.
Hera Zorg verleent zorg aan cliënten van achttien jaar en ouder. De bepalingen over minderjarigen zijn opgenomen omdat de Wgbo daarin voorziet, maar zijn in de praktijk niet aan de orde.
7. Verstrekking aan anderen
7.1 Binnen Hera Zorg
Medewerkers van Hera Zorg raadplegen uitsluitend dossiers van cliënten met wie zij een behandelrelatie hebben. Voor uitwisseling tussen medewerkers die bij uw zorg betrokken zijn, is geen afzonderlijke toestemming nodig; dat is inherent aan de zorgverlening.
7.2 Buiten Hera Zorg
Voor verstrekking aan personen of organisaties buiten Hera Zorg is uw toestemming vereist. Die toestemming is niet nodig wanneer de verstrekking plaatsvindt op grond van een wettelijk voorschrift, aan uw vertegenwoordiger, of aan personen die rechtstreeks bij uw zorg betrokken zijn.
In de praktijk gaat het om de volgende situaties:
| Aan wie | Waarvoor | Toestemming nodig |
|---|---|---|
| Uw huisarts, apotheek en andere behandelaars | Afstemming over uw zorg en medicatie | Nee, zij zijn rechtstreeks bij uw zorg betrokken |
| De hoofdaannemer voor wie wij als onderaannemer werken | Verantwoording van de geleverde zorg | Nee, wettelijke en contractuele verantwoordingsplicht |
| Het zorgkantoor of de zorgverzekeraar | Declaratie en, waar aan de orde, materiële controle | Nee, wettelijke grondslag |
| Uw mantelzorger of naaste | Inzage in het dossier of de planning | Ja, uitdrukkelijk |
| Andere organisaties | Bijvoorbeeld bij overdracht naar een andere zorgaanbieder | Ja, uitdrukkelijk, tenzij de wet anders bepaalt |
| De Inspectie Gezondheidszorg en Jeugd | Toezicht en calamiteitenonderzoek | Nee, wettelijke grondslag |
Hera Zorg verstrekt geen persoonsgegevens aan partijen buiten de Europese Economische Ruimte, tenzij daarvoor een geldige overdrachtsgrondslag bestaat. Waar wij gebruikmaken van cloudleveranciers toetsen wij bij het aangaan van de overeenkomst waar de gegevens worden opgeslagen en verwerkt.
8. Verwerkers
Wij schakelen leveranciers in die namens ons persoonsgegevens verwerken. Met iedere verwerker sluiten wij een verwerkersovereenkomst waarin is vastgelegd welke gegevens worden verwerkt, met welk doel, welke beveiligingsmaatregelen gelden, hoe met datalekken wordt omgegaan en wat er met de gegevens gebeurt bij beëindiging van de overeenkomst.
| Verwerker | Waarvoor |
|---|---|
| Nedap | Cliëntdossier, zorgregistratie, medicatiemodule, wondzorgmodule en het cliëntportaal |
| Leverancier personenalarmering | Alarmering, meldkamer en opvolging |
| Leverancier medicatiedispenser | Signalering van niet-ingenomen medicatie |
| Leverancier kantoorautomatisering en e-mail | E-mail, documentopslag en samenwerking |
| Administratie- en salarisadministratiekantoor | Financiële administratie en salarisverwerking |
9. Uw rechten
U heeft op grond van de AVG een aantal rechten. U kunt daarop een beroep doen door contact op te nemen met de privacycontactpersoon. Wij reageren binnen één maand na ontvangst van uw verzoek. Is uw verzoek complex of ontvangen wij meerdere verzoeken tegelijk, dan kunnen wij die termijn met ten hoogste twee maanden verlengen; wij laten u dat binnen de eerste maand weten, met vermelding van de reden.
| Recht | Wat het inhoudt |
|---|---|
| Inzage | U mag zien welke gegevens wij van u verwerken en daarvan een kopie ontvangen |
| Rectificatie | U mag onjuiste gegevens laten corrigeren en onvolledige gegevens laten aanvullen |
| Verwijdering | U mag verzoeken uw gegevens te wissen. Dit recht is beperkt: wij mogen en moeten uw dossier bewaren zolang de wettelijke bewaartermijn loopt |
| Beperking van de verwerking | U mag verzoeken de verwerking tijdelijk stil te leggen, bijvoorbeeld terwijl de juistheid van gegevens wordt onderzocht |
| Bezwaar | U mag bezwaar maken tegen een verwerking die berust op een gerechtvaardigd belang |
| Overdraagbaarheid | U mag de gegevens die u zelf heeft aangeleverd in een gangbaar bestandsformaat ontvangen of laten overdragen aan een andere partij |
| Intrekken van toestemming | Heeft u ergens toestemming voor gegeven, dan mag u die te allen tijde intrekken. Dat geldt voor de toekomst en tast eerdere verwerkingen niet aan |
| Menselijke tussenkomst | U mag niet worden onderworpen aan een besluit dat uitsluitend op geautomatiseerde verwerking berust. Hera Zorg neemt geen zulke besluiten |
| Klacht bij de toezichthouder | U mag een klacht indienen bij de Autoriteit Persoonsgegevens |
| Vernietiging van het dossier | U mag op grond van de Wgbo verzoeken uw medisch dossier te laten vernietigen. Wij voldoen daaraan binnen drie maanden, tenzij een wettelijk voorschrift of een aanmerkelijk belang van een ander zich daartegen verzet |
Wijzen wij een verzoek geheel of gedeeltelijk af, dan lichten wij dat schriftelijk en met redenen omkleed toe. Wij wijzen u daarbij op de mogelijkheid een klacht in te dienen.
Inzage kan worden beperkt wanneer daardoor de persoonlijke levenssfeer van een ander onevenredig zou worden geschaad, bijvoorbeeld wanneer in uw dossier gegevens over een familielid staan. Een besluit daartoe wordt genomen door de directie en schriftelijk gemotiveerd.
10. Bewaartermijnen
Wij bewaren persoonsgegevens niet langer dan noodzakelijk voor het doel waarvoor wij ze hebben verkregen, en niet korter dan de wet ons voorschrijft. Voor het medisch dossier geldt een wettelijke bewaarplicht die zwaarder weegt dan een verzoek om verwijdering.
| Gegevens | Termijn | Gerekend vanaf | Grondslag |
|---|---|---|---|
| Cliëntdossier, medisch deel | 20 jaar, of zoveel langer als goede zorg vereist | De laatste wijziging in het dossier | Wgbo |
| Zorgovereenkomst en indicatiebesluit | 7 jaar | Einde zorgverlening | Wgbo en contractuele afspraken |
| Registratie van geleverde zorg en declaratiegegevens | 7 jaar | Einde van het boekjaar | Wlz-regelgeving en fiscale bewaarplicht |
| Financiële administratie, debiteuren en crediteuren | 7 jaar | Einde van het boekjaar | Fiscale bewaarplicht |
| Klachtdossier | 7 jaar | Afsluiting van de klacht | Wkkgz |
| Incidentregistratie | 7 jaar | Afsluiting van de melding | Wkkgz |
| Loonadministratie en kopie identiteitsbewijs medewerkers | 5 jaar | Einde van het dienstverband | Fiscale wetgeving |
| Arbeidsovereenkomst en personeelsdossier | 2 jaar | Einde van het dienstverband | Richtlijn Autoriteit Persoonsgegevens |
| Verzuimgegevens | 2 jaar | Einde van het dienstverband | Richtlijn Autoriteit Persoonsgegevens |
| Sollicitatiegegevens | 4 weken, of 1 jaar met toestemming | Afronding van de procedure | Richtlijn Autoriteit Persoonsgegevens |
| Datalekregister | 5 jaar | Registratie van het lek | AVG artikel 33 lid 5 |
Na afloop van de bewaartermijn vernietigen wij de gegevens of maken wij ze onherleidbaar. Gegevens die wij uitsluitend voor statistiek of kwaliteitsverbetering gebruiken, worden geanonimiseerd.
11. Beveiliging
Wij nemen technische en organisatorische maatregelen om persoonsgegevens te beschermen tegen verlies en tegen onbevoegde toegang. De maatregelen hieronder sluiten aan op de autorisatie- en toegangsparagrafen van ons AO/IC.
11.1 Toegang tot gegevens
- Toegang wordt verleend op basis van functie en op basis van het beginsel van minimale rechten: een medewerker heeft uitsluitend toegang tot wat voor zijn taak noodzakelijk is.
- Toegang tot een cliëntdossier is beperkt tot medewerkers die een behandelrelatie met die cliënt hebben.
- Toegang wordt verleend bij indiensttreding, aangepast bij functiewijziging en uiterlijk op de laatste werkdag ingetrokken bij uitdiensttreding.
- Halfjaarlijks vergelijken wij de lijst met actieve accounts met de loonlijst, zodat accounts van vertrokken medewerkers niet blijven bestaan.
- Handelingen in het cliëntdossier worden vastgelegd en zijn herleidbaar tot de individuele medewerker.
11.2 Medewerkers
- Alle medewerkers zijn gebonden aan het beroepsgeheim en ondertekenen bij indiensttreding een geheimhoudingsverklaring. Dit geldt eveneens voor stagiairs, vrijwilligers en ingehuurde krachten.
- Medewerkers ontvangen bij indiensttreding instructie over de omgang met persoonsgegevens en over het melden van een mogelijk datalek.
- Medewerkers gebruiken uitsluitend de door Hera Zorg verstrekte systemen voor het verwerken van cliëntgegevens. Het gebruik van privé-e-mail of niet-goedgekeurde clouddiensten voor cliëntgegevens is niet toegestaan.
11.3 Techniek
Cliëntgegevens worden vastgelegd in het cliëntdossier van Nedap. Zorgverleners die in het veld werken gebruiken daarvoor een beveiligde app en loggen in met tweefactorauthenticatie. Zij hebben bewust geen toegang tot de kantooromgeving: de informatie in de app is voldoende om zorg te verlenen en te rapporteren.
Toegang tot de kantooromgeving is beperkt tot een klein aantal functies, met rollen die in het systeem zijn vastgelegd. De directie kan die rollen toekennen en apparaten op afstand wissen. Het beheer en de beveiliging van onze e-mailomgeving zijn belegd bij een externe ICT-partij, die daarvoor een beveiligingsvoorziening tegen phishing en virussen inzet. Van het systeem wordt dagelijks een back-up gemaakt, die op een andere locatie wordt bewaard.
Hera Zorg beschikt niet over een papieren administratie; alle gegevens worden digitaal opgeslagen.
11.4 Verwerkingsregister
Hera Zorg houdt een verwerkingsregister bij zoals de AVG voorschrijft. Daarin staat per verwerking het doel, de categorieën betrokkenen en gegevens, de ontvangers, de bewaartermijn en de beveiligingsmaatregelen. Het register wordt jaarlijks geactualiseerd en beheerd door de directeur-bestuurder. De laatste versie op het computersysteem is altijd de actuele versie.
12. Datalekken
Een datalek is een inbreuk op de beveiliging die leidt tot verlies, wijziging of ongeoorloofde toegang tot persoonsgegevens. Denk aan een verloren telefoon, een e-mail met cliëntgegevens naar een verkeerde ontvanger, of onbevoegde toegang tot het dossier.
| Stap | Wat gebeurt er | Termijn | Wie |
|---|---|---|---|
| 1 | De medewerker die een mogelijk datalek constateert, meldt dit onverwijld bij de privacycontactpersoon en onderneemt niets op eigen initiatief | Direct, uiterlijk binnen 24 uur | Iedere medewerker |
| 2 | Registratie in het datalekregister, met datum, aard, betrokken gegevens en aantal betrokkenen | Bij melding | Privacycontactpersoon |
| 3 | Maatregelen om het lek te dichten en verdere schade te beperken | Direct | Directie |
| 4 | Beoordeling of sprake is van een datalek en of dit een risico voor betrokkenen oplevert | Binnen 24 uur na melding | Directie met privacycontactpersoon |
| 5 | Melding aan de Autoriteit Persoonsgegevens, tenzij het onwaarschijnlijk is dat het lek een risico oplevert | Binnen 72 uur na ontdekking | Directie |
| 6 | Informeren van de betrokkenen wanneer het lek een hoog risico voor hen oplevert | Onverwijld | Directie |
| 7 | Analyse van de oorzaak en vaststelling van een verbetermaatregel, opgenomen in het verbeterregister | Binnen ⟨TERMIJN INVULLEN⟩ | Privacycontactpersoon |
| 8 | Melding aan de Raad van Commissarissen | Eerstvolgende vergadering | Directie |
Alle datalekken worden vastgelegd
De AVG verplicht ons ieder datalek te documenteren, ook wanneer wij besluiten het niet te melden bij de Autoriteit Persoonsgegevens. In het datalekregister leggen wij daarom ook de afweging vast waarom een melding achterwege is gebleven. Bij een controle is dat register het bewijs dat wij de afweging hebben gemaakt.
Betreft het lek gegevens die door een verwerker worden verwerkt, dan meldt die verwerker het lek onverwijld bij ons; dat is vastgelegd in de verwerkersovereenkomst. De verantwoordelijkheid voor de melding aan de Autoriteit Persoonsgegevens blijft bij Hera Zorg.
13. Toezicht op naleving
Naleving van dit beleid is geen eenmalige handeling. Wij toetsen die als onderdeel van de interne controle die in ons AO/IC is beschreven.
| Wat wordt getoetst | Frequentie | Wie |
|---|---|---|
| Vergelijking van actieve systeemaccounts met de loonlijst | Halfjaarlijks | Directie |
| Volledigheid van geheimhoudingsverklaringen in personeelsdossiers | Halfjaarlijks | Directie |
| Actualiteit van het verwerkingsregister en van de verwerkersovereenkomsten | Jaarlijks | Directie |
| Datalekregister en de opvolging van verbetermaatregelen | Per kwartaal | Privacycontactpersoon |
| Naleving van dit beleid als onderdeel van de interne audit | Jaarlijks | Kwaliteitsfunctionaris |
| Bespreking van privacy en informatiebeveiliging in de kwartaalrapportage | Per kwartaal | Directie en Raad van Commissarissen |
Hera Zorg werkt aan de implementatie van ISO 27001 voor informatiebeveiliging. Zodra die implementatie is afgerond, worden de maatregelen uit dit beleid daarbinnen geborgd en jaarlijks extern getoetst.
13.1 Gegevensbeschermingseffectbeoordeling
Wanneer wij een nieuwe verwerking overwegen die waarschijnlijk een hoog risico voor betrokkenen oplevert, voeren wij vooraf een gegevensbeschermingseffectbeoordeling uit. Dat is bijvoorbeeld aan de orde bij grootschalige verwerking van gezondheidsgegevens of bij de inzet van nieuwe technologie waarvan de gevolgen nog niet bekend zijn. Ook bij de invoering van een nieuwe zorgtechnologie beoordelen wij vooraf of zo’n beoordeling nodig is.
14. Vragen en klachten
Heeft u een vraag over de verwerking van uw gegevens, of bent u het niet eens met de manier waarop wij daarmee omgaan, dan kunt u achtereenvolgens:
- contact opnemen met de privacycontactpersoon van Hera Zorg;
- een klacht indienen bij de directie, waarop onze klachtenregeling van toepassing is;
- zich wenden tot de onafhankelijke klachtenfunctionaris, zoals beschreven in onze klachtenregeling;
- een klacht indienen bij de Autoriteit Persoonsgegevens.
Een klacht over privacy heeft geen gevolgen voor de zorg die u van ons ontvangt.
Hera Zorg B.V.
Generaal Eisenhowerplein 111, Unit 1.2, 2288 AG Rijswijk
070 222 80 89 · info@herazorg.nl · www.herazorg.nl
Privacycontactpersoon
Te bereiken via het algemene telefoonnummer en e-mailadres van Hera Zorg.
Onafhankelijke klachtenfunctionaris
Quasir (vertrouwenspersoon), Postbus 1021, 7940 KA Meppel
085 487 4012 · info@quasir.nl · www.quasir.nl
Autoriteit Persoonsgegevens
Postbus 93374, 2509 AJ Den Haag · autoriteitpersoonsgegevens.nl
15. Wijziging en inwerkingtreding
Dit beleid wordt vastgesteld door de directie. Wijzigingen worden doorgevoerd wanneer de wet, de bedrijfsvoering of de uitkomsten van de interne controle daartoe aanleiding geven, en ten minste eens per twee jaar beoordeeld.
Het beleid is gepubliceerd op www.herazorg.nl en op verzoek in te zien op ons kantoor. Cliënten ontvangen bij aanvang van de zorg een privacyverklaring waarin in kort bestek staat welke gegevens wij van hen verwerken en welke rechten zij hebben.