Algemene Verordening Gegevensbescherming Oude wijn in nieuwe zakken? Erwin Kemink ISMP Functionaris Gegevensbescherming

Transcriptie

1 Algemene Verordening Gegevensbescherming Oude wijn in nieuwe zakken? Erwin Kemink ISMP Functionaris Gegevensbescherming

2 De actualiteit Zo maar een aantal uitdagingen de afgelopen week: Toestemming voor alle patiënten Multidisciplinair overleggen mogen niet meer Verwerkersovereenkomst met alle huisartsen in de regio 1. Het mag niet meer door nieuwe Europese privacy wetgeving 2. Als we dat niet doen dan loop ik kans op een boete van 20 mio.

3 Privacy monster? Of toch genuanceerder?

4 Privacy kader in de zorg WGBO WBP 2001 Wabvpz (Privacy) rechten van betrokkenen Beschermingsplicht (geheimhoudingsplicht) Privacy rechten van betrokkenen Beschermingsplicht Meldplicht datalekken Verantwoordelijkheid dragen voor voor de beveiliging bij verwerkingsactiviteiten. Overzicht van gegevensverwerkingen. Functionaris Gegevensbescherming Toestemming van betrokkene Beschermingsplicht (NEN 7510 code voor informatiebeveiliging) Algemene Verordening Gegevensbescherming ( ) Naast bovenstaande verplichtingen: Uitbreiding van rechten van betrokkenen Verantwoordingsplicht (van rule based naar principle based) Risico gebaseerd Continue verbeteren Vooraf over nagedacht i.p.v. achteraf bijwerken Transparantie; waarom en waarvoor persoonsgegevens worden verwerkt

5

6 En hoe dan? Beperkte aandacht hoe borg je als organisatie dat je voldoet aan de AVG Vandaag een aantal onderwerpen: Informatieplicht Register van verwerkingsactiviteiten Functionaris Gegevensverwerking Meldplicht Datalekken Verwerkersovereenkomst

7 Informatieplicht

8 Informatieplicht Hoe informeer je, je patiënt waarom je zijn/haar persoonsgegevens nodig hebt? Folder(s) Uitleg op de website Is de informatie begrijpelijk voor je patiënt? Tip: Maak een Q&A waarop je de verplichting vanuit de wet beantwoord. Kan de patiënt eenvoudig achterhalen waarom je zijn persoonsgegevens nodig hebt? Voor welke doeleinden je deze gebruikt Wie de persoonsgegevens nog meer ontvangt Hoelang je de gegevens bewaart voordat je deze weggooit Waar en hoe de patiënt zijn rechten rondom inzage, afschrift en correctie kan uitoefenen en mocht de hij/zij een klacht hebben waar deze terecht kan?

9 Informatieplicht Binnen Rivas: Van een Privacy Reglement overgestapt naar een Privacy Verklaring. Moet je nog starten met de AVG? Tip: Gluur eens bij de buren. Veel grote (commerciële) organisaties hebben erg goede privacy verklaringen. Laat je ondersteunen door een communicatie professional.

10 Rechten van betrokkenen

11 Rechten van betrokkenen Ik heb een vraag over mijn persoonsgegevens. Zorg voor een contactpunt waar cliënten hun vragen rondom privacy kunnen stellen. Beschrijf een proces en/of werkinstructie hoe je binnen je organisatie omgaat met het beantwoorden van deze vragen. Registreer wanneer je een vraag binnen krijgt en wanneer je deze hebt beantwoord. Wanneer je binnen 4 weken niet kan reageren zorg dat de patiënt tijdig wordt geïnformeerd.

12 Register van verwerkingsactiviteiten

13 Register van verwerkingsactiviteiten Beoordeel of het noodzakelijk is op basis van de criteria Verplicht bij > 250 medewerkers, of Wanneer de verwerking niet incidenteel is Een hoog risico inhouden voor de rechten en vrijheden van personen Die vallen onder de categorie bijzondere persoonsgegevens Naast verantwoording kan het register helpen met:

14 Register van verwerkingsactiviteiten Nog niet gestart met documenteren van de gegevensverwerkingen Er zijn verschillende voorbeelden van het register van verwerkingsactiviteiten KNMP NVZ

15 Functionaris Gegevensbescherming

16 Functionaris Gegevensbescherming Beoordeel of het noodzakelijk is een FG aan te stellen op basis van de criteria: Overheidsinstanties en publieke organisaties zijn verplicht om een FG aan te stellen. Organisaties die vanuit hun kernactiviteiten op grote schaal individuen volgen (observatie). Op grote schaal bijzondere persoonsgegevens verwerken en dit een kernactiviteit is. Wanneer je een FG wilt aanstellen en je hebt er nog geen, houdt dan rekening met: schaarste op de markt kennisniveau van de FG-er

17 Functionaris Gegevensbescherming Je hoeft niet een volledige FG aan te stellen Je kan de functie FG bij iemand onder brengen als extra taak. Houdt hierbij wel rekening met zijn/haar positionering en onafhankelijkheid. Je kunt met meerdere partijen één FG aanstellen. Afnemen als dienst. Mocht je dit gaan doen dan de volgende tips: Ga na of de partij ook kennis heeft met de andere wet en regelgeving in de zorg. Wees voorzichtig met partijen die net zijn opgericht.

18 Meldplicht datalekken There are only two types of companies: those that have been hacked, and those that will be. (Mueller, 2012).

19 Meldplicht datalekken Beschrijf een werkinstructie of procedure voor het afhandelen van datalekken: Neem hierin o.a. op de criteria of er sprake is van een datalek of een privacy incident. Tip: KNMP heeft een overzicht van datalek voorbeelden. Wie mag melden aan de Autoriteit Persoonsgegevens. Hoe er gemeld moet worden aan betrokkenen. Tip: Ontwikkel voorbeeldbrieven. DDMA heeft o.a. voorbeeld communicatie strategieën die je kunt gebruiken. Houdt een registratie bij van je privacy incidenten / datalekken. (bijv. Excel overzicht) Oefen! Laat het je niet overkomen.

20 Verwerkerovereenkomst

21 Verwerkersovereenkomst Wat is een verwerker? De verwerker verwerkt persoonsgegevens in opdracht van en ten behoeve van de opdrachtgever. Er is sprake van een verwerker als zijn opdracht zich primair richt op het verwerken van persoonsgegevens. Als het verwerken van persoonsgegevens een bijkomende activiteit is die voortvloeit uit een andere hoofdtaak, dan wordt hij niet als verwerker beschouwd. Beslisboom verwerker KNMP BOZ verwerwerkersovereeenkomst

22 Klaar op 25 mei? In de media is er veel aandacht voor de vraag: Bent u klaar voor 25 mei? Kun je als organisatie klaar zijn met Privacy? 25 mei voor Rivas: De basis (het fundament) op orde. Na 25 mei verfijning en verdere professionalisering.

23 Klaar op 25 mei? Continue verbeteren d.m.v. kwaliteitsbeheersing Procedures en werkinstructies zijn kwaliteitsregistraties KPI s gedefinieerd voor o.a. afhandelen van rechten en datalekken. Framework voor samenhang van de onderwerpen

24 Klaar op 25 mei? Na 25 mei de Autoriteit Persoonsgegevens op bezoek? Rechten van betrokkenen Privacy verklaringen / reglementen Omgang met klachten Vindbaarheid van de FG Kenbaar bij het publiek (bijv. via de website) Kenbaar bij de AP Opleidingsniveau van de FG Register gegevensverwerkingen

25 Vragen