Privacyreglement Stichting HGC Rijswijk

Transcriptie

1 Privacyreglement Stichting HGC Rijswijk Inhoud 1. Begripsbepalingen 2. Reikwijdte 3. Doel 4. Vertegenwoordiging 5. Voorwaarden voor rechtmatige verwerking 6. Verwerking van persoonsgegevens en informeren van betrokkene 7. Verstrekken van persoonsgegevens aan derden 8. Recht op inzage en afschrift van opgenomen persoonsgegevens 9. Aanvulling, correctie, afscherming of verwijdering/vernietiging 10. Bewaartermijn van gegevens 11. Beveiliging 12. Klachten 13. Doelstelling persoonsregistratie 14. Omschrijving werking van de persoonsregistratie 15. Technische en organisatorische beschermingsmaatregelen 16. Categorieën en herkomst van gegevens 17. Gebruikers van de persoonsregistratie 18. Bewaartermijnen 19. Wijzigingen, inwerkingtreding en inzage van dit reglement BIJLAGE: Handtekeningen medewerkers privacyreglement

2 1. Algemeen 1.1 Doelstelling Het doel van dit reglement is een praktische uitwerking te geven aan de bepalingen van de Wet Bescherming Persoonsgegevens. Dit reglement is van toepassing binnen HGC Rijswijk en heeft betrekking op alle verwerkingen van persoonsgegevens van cliënten, hun wettelijke vertegenwoordiger(s), hun partner en/of familieleden, alsmede van hun behandelend (huis)arts. 1.2 Toepassingsgebied Dit reglement is van toepassing binnen het gehele HGC Rijswijk en al haar medewerkers. Het is gericht op de verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen. Het gaat zowel om persoonsgegevens die op papier staan als om elektronisch opgeslagen persoonsgegevens. 1.3 Verantwoordelijkheden en bevoegdheden De kwaliteitsmanager is verantwoordelijk voor het schrijven, invoeren, nummeren en archiveren van deze procedure. De medisch directeur is eindverantwoordelijk voor de organisatorische en praktische uitvoering van dit protocol. 2. Inleiding Teneinde de verwerking van persoonsgegevens te voorzien van een rechtmatige basis zal HGC Rijswijk zich aan de volgende regels houden: Persoonsgegevens worden in overeenstemming met dit reglement op behoorlijke en zorgvuldige wijze verwerkt. Persoonsgegevens worden niet (verder) verwerkt op een wijze die onverenigbaar is met de doeleinden waarvoor ze zijn verkregen. Persoonsgegevens worden slechts verwerkt voor zover zij, gelet op de doeleinden waarvoor zij worden verzameld of vervolgens worden verwerkt, toereikend, ter zake dienend en niet bovenmatig zijn. Dit betekent dat de registratie van de persoonsgegevens moet passen binnen het voor die registratie omschreven doel, alsmede dat de aard en de omvang van de verzamelde gegevens dusdanig is, dat het doel van de registratie daarmee wordt bewerkstelligd. De verantwoordelijke is verantwoordelijk voor het goed functioneren van de verwerking van persoonsgegevens. Zijn handelwijze met betrekking tot de verwerking van de persoonsgegevens en de verstrekking van gegevens wordt beperkt door dit reglement. De verantwoordelijke is aansprakelijk voor de eventuele schade als gevolg van het niet naleven van dit reglement.

3 De verantwoordelijke heeft de plicht ervoor zorg te dragen dat een niet aan zijn rechtstreeks gezag onderworpen bewerker van de persoonsgegevens zich contractueel gebonden weet aan dit reglement. Begripsbepalingen Persoonsgegevens: alle gegevens die informatie kunnen verschaffen over een identificeerbare natuurlijke persoon. Verwerking van persoonsgegevens: elke handeling met betrekking tot persoonsgegevens Verstrekken van persoonsgegevens: het bekend maken of ter beschikking stellen van gegevens Verzamelen van persoonsgegevens: het verkrijgen van persoonsgegevens Medische of psychologische gegevens: persoonsgegevens, direct of indirect betrekking hebbend op de lichamelijke of geestelijke gesteldheid van geregistreerde, verzameld door een beroepsbeoefenaar op het gebied van de gezondheidszorg in het kader van zijn beroepsuitoefening, althans door een hulpverlener in het kader van een geneeskundige behandeling in de zin van de Wet op de Geneeskundige Behandelingsovereenkomst. Bestand: elk gestructureerd geheel van persoonsgegevens, ongeacht of dit geheel van gegevens gecentraliseerd is of verspreid is op een functioneel of geografisch bepaalde wijze, dat volgens bepaalde criteria toegankelijk is en betrekking heeft op verschillende personen Verantwoordelijke: de vennoten van HGC Rijswijk gezamenlijk Houder van de persoonsregistratie: Degene die de zeggenschap heeft over de persoonsregistratie en verantwoordelijk is voor de naleving van de bepalingen van het reglement Beheerder van de persoonsregistratie: Degene die onder verantwoordelijkheid van de houder is belast met de dagelijkse zorg van een persoonsregistratie of een gedeelte daarvan

4 Bewerker van de persoonsregistratie: degene die het geheel of een gedeelte van de faciliteiten onder zich heeft, waarmee een persoonsregistratie, waarvan hij niet de houder is, wordt gevoerd. Gebruiker van de persoonsregistratie: degene die geautoriseerd is gegevens in de persoonsregistratie in te voeren en/of te muteren, dan wel van enigerlei uitvoer van de persoonsregistratie kennis te nemen, en die - wanneer hij de hoedanigheid van hulpverlener in de zin van de Wet op de Geneeskundige Behandelingsovereenkomst heeft - met de houder mede verantwoordelijk is voor de naleving van de bepalingen in het reglement Betrokkene: degene op wie de persoonsgegevens betrekking hebben of diens wettelijk vertegenwoordiger Derde: ieder ander dan de betrokkene, de verantwoordelijke, of enig persoon die onder rechtstreeks gezag van de verantwoordelijke, of als opdrachtnemer gemachtigd is om persoonsgegevens te verwerken Ontvanger: degene aan wie de persoonsgegevens worden verstrekt Toestemming van de betrokkene: elke vrije, specifieke en op informatie berustende ondubbelzinnige toestemming waarmee de betrokkene aanvaardt dat hem betreffende persoonsgegevens worden verwerkt Het College bescherming persoonsgegevens: het College dat wettelijk tot taak heeft toe te zien op de verwerking van persoonsgegevens; WBP: Wet bescherming persoonsgegevens 3. Werkwijze algemeen 3. 1 Vertegenwoordiging Cliënten die niet in staat of bevoegd zijn om zelfstandig hun rechten uit te oefenen, worden bij de toepassing van dit reglement als volgt vertegenwoordigd: Indien de betrokkene jonger is dan twaalf jaar, treden de ouders, die het ouderlijk gezag uitoefenen dan wel de voogd in plaats van de betrokkene. Hetzelfde geldt voor de betrokkene die de leeftijd van twaalf jaar heeft bereikt, maar nog niet de leeftijd van achttien jaar en niet in staat kan worden geacht tot een redelijke waardering van zijn belangen ter zake. Indien de betrokkene in de leeftijdscategorie van twaalf tot zestien valt en in staat is tot een redelijke waardering van zijn belangen, treden naast de betrokkene zelf diens ouders op.

5 Indien de betrokkene in de leeftijdscategorie van zestien tot achttien valt en in staat is tot een redelijke waardering van zijn belangen dienen de ouder(s) te worden beschouwd als derden. Indien de betrokkene achttien jaar of ouder is en niet in staat kan worden geacht tot een redelijke waardering van zijn belangen ter zake, treedt, in volgorde als hier weergegeven, als vertegenwoordiger voor hem op: o de curator of mentor indien de betrokkene onder curatele staat of ten behoeve van hem het mentorschap is ingesteld; o de persoonlijk gemachtigde indien de betrokkene deze schriftelijk heeft gemachtigd, tenzij deze persoon niet optreedt; o de echtgenoot of andere levensgezel van de betrokkene, tenzij deze persoon dat niet wenst of ontbreekt; o een ouder, kind, broer of zus van de betrokkene, tenzij deze persoon dat niet wenst. o Ook indien de betrokkene die de leeftijd van achttien jaar heeft bereikt, wel in staat is tot een redelijke waardering van zijn belangen, heeft hij de mogelijkheid een andere persoon schriftelijk te machtigen in diens plaats als vertegenwoordiger te treden. o toestemming kan door de betrokkene of zijn vertegenwoordiger te allen tijde worden ingetrokken. De persoon, die in de plaats treedt van de betrokkene, betracht de zorg van een goed vertegenwoordiger. Hij is gehouden de betrokkene zoveel mogelijk bij de vervulling van zijn taken te betrekken. Indien een vertegenwoordiger optreedt namens de betrokkene, komt de verantwoordelijke zijn verplichtingen die voortvloeien uit de wet en dit reglement na jegens deze vertegenwoordiger. 3.2 Verwerking van persoonsgegevens en informeren van betrokkene Persoonsgegevens betreffende iemands gezondheid, handicap of beperking mogen slechts worden verwerkt indien de betrokkene voor deze verwerking zijn ondubbelzinnige toestemming heeft verleend. De verantwoordelijke informeert elke betrokkene die ingeschreven staat over de wijze waarop HGC Rijswijk met de persoonsgegevens omgaat. Voor uitwisseling van persoonsgegevens tussen medewerkers van HGC Rijswijk is geen expliciete toestemming van betrokkene vereist voor zover deze uitwisseling van belang is voor de uitvoering van de overeenkomst tussen betrokkene en HGC Rijswijk en noodzakelijk is voor een goede behandeling of verzorging aan betrokkene dan wel het beheer en management van HGC Rijswijk.

6 3.3 Verstrekken van persoonsgegevens aan derden Voor de verwerking van persoonsgegevens die bestaat uit het verstrekken van persoonsgegevens aan personen buiten HGC Rijswijk of aan andere instellingen is de toestemming van betrokkene vereist. Voor de gevallen waarin aan dit vereiste niet behoeft te voldaan volgt HGC Rijswijk de regeling in de WGBO (art. 7:457 BW). Dit betekent dat geen toestemming is vereist indien de verstrekking plaatsvindt op grond van een wettelijk voorschrift (lid 1), aan de vertegenwoordiger van de betrokkene (lid 3) of aan anderen binnen een zorgverleningteam die rechtstreeks zijn betrokken bij de uitvoering van de overeenkomst met betrokkene als bedoeld in lid 2 van art. 7:457 BW. 3.4 Recht op inzage en afschrift van opgenomen persoonsgegevens De betrokkene heeft het recht kennis te nemen van-, alsmede het recht op verstrekking van de op zijn persoon betrekking hebbende verwerkte persoonsgegevens. De gevraagde inzage en of het gevraagde afschrift zal zo spoedig mogelijk, doch uiterlijk binnen vier weken, plaatsvinden, respectievelijk worden verstrekt. Inzage en afschrift van deze gegevens kan worden geweigerd of beperkt op grond van gewichtige belangen van anderen dan de verzoeker. Een besluit tot weigering of beperking van inzage en afschrift wordt genomen door de directie van HGC Rijswijk. Voor de verstrekking van een afschrift mag een redelijke vergoeding in rekening worden gebracht. 3.5 Aanvulling, correctie, afscherming of verwijdering/vernietiging Op uitdrukkelijk verzoek van de betrokkene worden de verzamelde persoonsgegevens aangevuld, gecorrigeerd, afgeschermd voor derden of verwijderd/vernietigd. De betrokkene kan verzoeken om correctie van op hem betrekking hebbende gegevens indien deze feitelijk onjuist, voor het doel van de verwerking onvolledig of niet ter zake dienend zijn, dan wel in strijd met een wettelijke voorschrift, in de verwerking voorkomen. Correcties moeten door HGC Rijswijk worden doorgegeven aan derden, indien zij de onjuiste gegevens hebben ontvangen. De verantwoordelijke bericht de verzoeker binnen vier weken na ontvangst van het schriftelijke verzoek tot aanvulling, correctie, afscherming of verwijdering/vernietiging in hoeverre hij daaraan wil voldoen. Niet gehonoreerde verzoeken worden schriftelijk gemotiveerd. Een gehonoreerd verzoek tot verwijdering/vernietiging van gegevens wordt binnen drie maanden na honorering uitgevoerd.

7 3.6 Beveiliging De WBP verplicht de verantwoordelijke technische en organisatorische maatregelen te nemen om persoonsgegevens tegen onbevoegde inzage te beschermen. De volgende bepalingen gelden ter beveiliging van persoonsgegevens: Er worden niet meer persoonsgegevens verzameld dan nodig zijn voor het doel van de verzameling; Alleen direct betrokken medewerkers hebben inzage in persoonsgegevens; Alle persoonsgegevens zijn opgeborgen in afsluitbare kasten, laden, ruimten; Elektronisch opgeslagen persoonsgegevens zijn alleen na ingeven van een persoonlijk wachtwoord in te zien; Elektronisch opgeslagen gegevens worden versleuteld verzonden; Medewerkers hebben een geheimhoudingsplicht betreffende persoonsgegevens; In dit kader wordt onder de term 'medewerkers' eveneens begrepen invalkrachten en stagiaires. Hierbij geldt de aanvullende bepaling dat op de verantwoordelijke de verantwoordelijkheid rust deze categorie medewerkers expliciet en nadrukkelijk bekend te maken met het van kracht zijn van dit reglement. 3.7 Klachten Indien de betrokkene van mening is dat de bepalingen van dit reglement niet worden nageleefd kan hij zich wenden tot: De auteur; De leidinggevende van de verantwoordelijke, waarbij de interne klachtenregeling van HGC Rijswijk van toepassing is; Het College bescherming persoonsgegevens, met een verzoek een onderzoek in te stellen of de wijze van gegevensverwerking door de verantwoordelijke in overeenstemming is met de Wet bescherming persoonsgegevens, dan wel gebruik te maken van de in hoofdstuk 8 van de WBP neergelegde beroepsmogelijkheden. 3.8 Doelstelling persoonsregistratie De persoonsregistratie heeft tot doel: 1 Medicatiebewaking. Uit te voeren in samenspel tussen patiënt, behandelende artsen (waaronder medisch specialisten); 2 Het ondersteunen bij de vervulling va de bij de Wet op de Geneeskundige Behandelingsovereenkomst aan hulpverleners opgelegde plichten, alsmede de ondersteuning bij de uitvoering van de behandelovereenkomsten door de in hoofdstuk 17 genoemde gebruikers.

8 3 Het ondersteunen van de interne organisatie en de financiële administratie van de bij de organisatie van de houder aangesloten gebruikers als genoemd in hoofdstuk De informatieverstrekking aan de betrokken lokale artsen (waaronder medisch specialisten) en apothekers om hen ten aanzien van de farmacotherapie te ondersteunen. 5 De informatieverstrekking aan huisartsen over de verstrekking van geneesmiddelen aan hun patiënten, voorgeschreven door andere behandelende artsen. 6 Het ondersteunen van de wettelijke verplichtingen in het kader van de geneesmiddelenvoorziening. 7 Ondersteuning bij de vervulling van de wettelijke verplichtingen, voortvloeiende uit de Wet op de Geneesmiddelenvoorziening en de Wet op de Geneeskundige Behandelingsovereenkomst. 8 Het verzamelen van gegevens die, geanonimiseerd, kunnen worden gebruikt ten behoeve van wetenschappelijk onderzoek, geneesmiddelengebruikonderzoek, publicaties, beleid in het kader van de farmacotherapie, voorlichting, publicaties, beleid in het kader van de farmacotherapie, voorlichting en nascholing. 3.9 Omschrijving werking van de persoonsregistratie Deze persoonsregistratie functioneert ten behoeve van de hieronder genoemde arts en leden van de medische staf. De registratie is voor onbepaalde tijd ingesteld. Houder van de persoonsregistratie is: Naam Drs. R.D. Bol Raap (Medisch Directeur) Vestigingsplaats: Rijswijk Adres Treubstraat 5a Postcode 2288 EG Telefoon : Technische en organisatorische beschermingsmaatregelen De houder is verplicht de technische en organisatorische maatregelen te nemen, die nodig zijn om de volledigheid en juistheid van de persoonsregistratie verzekerd te houden en tegen ongeautoriseerde toegang te beschermen. Hij is verantwoordelijk voor de juiste uitvoering van de volgende maatregelen: De computer en terminals zullen in goed af te sluiten ruimten worden opgesteld. De beheerder van de persoonsregistratie draagt zorg voor het goed opbergen van de informatiedragers in een afgesloten ruimte. De beheerder verstrekt op verzoek van de leverancier per geval een goedkeuring voor medewerkers van de computerleverancier.

9 De houder bewaart de geheimhoudingsverklaringen, afgelegd door medewerkers van de computerleverancier. De computerleverancier rapporteert aan de houder over inzage door zijn medewerkers in de persoonsregistratie, De terminals zijn uitgerust met een identificatiecode per gebruiker die gekoppeld is aan de door middel van deze terminal uit te voeren taken. De geanonimiseerde gegevens worden op gescheiden media opgeslagen. Deze media zullen als zodanig worden gekenmerkt en mogen niet voor de normale dagelijkse verwerking worden toegepast. De beheerder draagt er zorg voor dat de procedure voor de technische beveiliging van de persoonsregistratie volgens schema wordt uitgevoerd. Voor het bewaren van een periodieke kopie van de persoonsregistratie buiten het pand waar de computerinstallatie is opgesteld, zorgt de beheerder voor een tegen diefstal en ongeautoriseerde toegang beveiligde plaats. Gegevens uit de persoonsregistratie worden op zorgvuldige wijze opgeborgen, zodat alleen geautoriseerde personen daadwerkelijk toegang hebben tot deze gegevens Gegevens uit de persoonsregistratie, welke tijdelijk worden gebruikt voor de uitvoering van werkzaamheden, zowel door de gebruikers van de persoonsregistratie als door de medewerkers van de computerleverancier, worden na gebruik zorgvuldig vernietigd Categorieën en herkomst van gegevens Omschrijving categorieën van gegevens: Onder demografische gegevens wordt verstaan naam, adres, en woonplaats gegevens en gegevens betreffende de burgerlijke stand van de geregistreerde. Het gaat hierbij met name om naam, adres, postcode, woonplaats, correspondentieadres, telefoonnummer en geboortedatum. Onder financiële en administratieve gegevens wordt verstaan gegevens noodzakelijk voor de financiële en administratie afwikkeling van de consult- en behandelingsregistratie. Het gaat hierbij voornamelijk om de volgende gegevens: Uzovi nummer en naam van de zorgverzekeraar en inschrijfnummer van de verzekerde, type consult/behandeling, aanvullend onderzoek, evenals de behandelingsdatum, behandelend arts (waaronder medisch specialist) en de verrichtinggegevens zoals verstrekkingsdatum, soort verrichting en betalingsinformatie. Onder (para)medische en psychologische gegevens wordt verstaan

10 persoonsgegevens, direct of indirect betrekking hebbend op lichamelijke of geestelijke gesteldheid van geregistreerden, verzameld door een beroepsoefenaar op het gebied van de gezondheidszorg in het kader van zijn beroepsuitoefening. Het gaat hierbij met name om: ziektebeelden of indicaties, uit geneesmiddelengebruik af te leiden ziektebeelden en vrije medische informatie met betrekking tot de geregistreerde, en informatie die noodzakelijk is voor behoorlijke nakoming van geneeskundige behandelingsovereenkomsten. Onder farmacotherapeutische gegevens wordt verstaan persoonsgegevens, direct of indirect betrekking hebbend op de verstrekte geneesmiddelen. Herkomst van gegevens: De herkomst van de in de persoonsregistratie opgenomen gegevens is als volgt: Demografische gegevens kunnen worden verstrekt door de geregistreerde en voorts worden verkregen uit openbare registers en uit administraties van bejaardeninstellingen, verpleegtehuizen en ziekenhuizen. Met betrekking tot de verzekerden kunnen bedoelde gegevens worden verkregen uit de registratie(s) van de zorgverzekeraar(s). Financiële en administratieve gegevens worden verkregen door prijsberekening uit de verwerkte consulten, de aangeboden recepten, door mondelinge of schriftelijke informatie van zorgverzekeraars, vanuit bank-, giro- of kasbetalingsoverzichten en van de geregistreerden zelf. (Para)Medische en psychologische gegevens worden verkregen door mondelinge of schriftelijke informatie van de geregistreerde of van de bij de medische behandeling van de geregistreerde betrokken gebruiker, als genoemd in hoofdstuk 17, of worden door apotheker en/of arts afgeleid uit het geneesmiddelengebruik. Farmacotherapeutische gegevens met betrekking tot geneesmiddelen worden verkregen door verwerking van recepten aangeboden door of vanwege geregistreerden of door informatie van geregistreerden Gebruikers van de persoonsregistratie Gebruikers binnen de Stichting hyperbaar geneeskundig centrum. De apotheker die zorg draagt voor de controle op en levering van geneesmiddelen. Artsen die contractueel verbonden zijn aan de Stichting hyperbaar geneeskundig centrum.

11 Gebruikers binnen de aangesloten praktijken van medische specialisten. Medewerkers van de computerleverancier 3.13 Bewaartermijnen De bewaartermijnen voor (para)medische en psychologische gegevens, alsmede voor farmacotherapeutische gegevens bedraagt vijftien jaar.