Privacy-Policy beleid psychologenpraktijk de Sprong,

Transcriptie

1 Privacy-Policy beleid psychologenpraktijk de Sprong, Inleiding Dit is het privacy beleid van de Sprong. Dit privacy beleid heeft betrekking op het verwerken van de persoonsgegevens in het kader van de zorgverlening en de interne bedrijfsvoering van de Sprong. De Sprong heeft zijn hoofdvestiging in Veghel gevestigd en heeft daarnaast een locatie in Oss. Psychologenpraktijk de Sprong staat ingeschreven bij de kamer van Koophandel onder nummer: Joke in t Veld is de praktijkhoudster van de Sprong en is ook verwerkingsverantwoordelijke. Joke in t Veld bepaalt het doel en de middelen van de verwerking van persoonsgegevens. Dit document beschrijft de wijze waarop de Sprong met persoonsgegevens omgaat, zodat aan de vereisten van de Algemene Verordening Gegevensbescherming (A.V.G.) wordt voldaan. Aan bod komen de volgende onderwerpen: 1. Actualisatie en controle naleving privacy beleid 2. Categorieën persoonsgegevens en doelen 3. Organisatorische en technische maatregelen/ beveiliging 4. Informatieplicht 5. Verwerkingsregister 6. Verwerkers en ontvangers 7. Bewaartermijnen 8. Gegevensbeschermingseffectbeoordeling (DPIA) 9. Doorgifte buiten EER (Europese Economische Ruimte) 10. Functionaris voor gegevensbescherming 11. Beveiligingsincidenten 12. Rechten van betrokkenen

2 1. Actualisatie en controle naleving privacy-beleid De verwerking van persoonsgegevens binnen de psychologenpraktijk de Sprong dient in overeenstemming te blijven met de A.V.G. en met de verordening wet- en regelgeving die de A.V.G. aanvult, wijzigt of vervangt. Om die reden zal het privacy beleid periodiek worden geëvalueerd en zo nodig worden aangepast. Eveneens zal periodiek worden gecontroleerd of het privébeleid door medewerkers van de Sprong daadwerkelijk wordt nageleefd. 2. Categorieën persoonsgegevens en doelen De Sprong verwerkt persoonsgegevens van de volgende categorieën personen: a. (potentiële) Cliënten b. Bezoekers en deelnemers aan de praktijken van de Sprong c. Bezoekers van en van d. Medewerkers, ZZP ers, stagiaires en sollicitanten e. Alle overige personen die met de Sprong contact opnemen of van wie de Sprong persoonsgegevens verwerkt a. (potentiële) Cliënten: De medewerkers van de Sprong verwerken persoonsgegevens van (potentiële) cliënten, ten behoeve van de cliënt en de uitvoering van de behandeling. Voor identificatie gaat het om de naam, contacten adresgegevens, geboortedatum en het BSN. Voor de uitvoering van de behandelovereenkomst gaat het ook om andere persoonsgegevens van psychisch- medische aard. De opgenomen gegevens van de cliënt worden in een papieren dossier opgeslagen, evenals in het ICT-systeem van de Sprong. b. Bezoekers en deelnemers aan de praktijken van de Sprong: In principe worden van bezoekers en deelnemers aan de bijeenkomsten alleen een naam, evt. telefoonnummer en een adres genoteerd en indien dit van toepassing is, de aard van de relatie met het kind. Dit laatste wordt dan ook opgeslagen in het elektronisch patiëntdossier van de cliënt. c. Bezoekers van en van Tijdens een bezoek van een betrokkene aan de website van de Sprong, worden er gegevens gegenereerd. Dit zijn gegevens als het IP-adres, het surfgedrag op deze website (zoals gegevens over het eerste bezoek, vorig bezoek en huidige bezoek, de bekeken pagina s en de wijze waarop de website wordt genavigeerd) en op welke onderdelen de betrokkene klikt. d. Medewerkers, ZZP ers en stagiaires en sollicitanten Alleen in het personeelsdossier worden sollicitatiebrieven, arbeidsovereenkomsten, onderlinge correspondentie en salarisstroken bewaard. In het eigen ICT-systeem wordt e.e.a. bewaard. Van personen die bij de Sprong hebben gesolliciteerd worden de persoonsgegevens en de sollicitatiebrief verwerkt en beoordeeld op geschiktheid. De gegevens worden maximaal 6 maanden na de sollicitatie bewaard.

3 e. Alle overige personen die met de Sprong contact opnemen of van wie de Sprong persoonsgegevens verwerkt In het kader van de behandeling kan de sprong gebruik maken van persoonsgegevens die afkomstig zijn van andere hulpverleners/organisaties. 3. Organisatorische en technische maatregelen/ beveiliging Het uitgangspunt voor de Sprong is dat er niet meer persoonsgegevens verzameld worden dan noodzakelijk nodig is voor de uitvoering en verantwoording van de behandeling, zowel intern, als bij inschakeling van derde partijen. Voor beide gevallen heeft de Sprong organisatorische en technische maatregelen getroffen ter bescherming van de persoonsgegevens tegen verlies en of onrechtmatige verwerking. De volgende maatregelen zijn genomen: a. Het uitwisselen van vertrouwelijke informatie met andere zorgverleners dient uitsluitend via een beveiligde verbinding (versleuteld mailverkeer, via o.a. Zorgmail of Zilver) plaats te vinden. en met andere hulpverleners is alleen toegestaan voor algemene communicatie. Uitwisseling van vertrouwelijke informatie (zowel zakelijk als privé) via accounts of via applicaties als WhatsApp of We Transfer is niet toegestaan. b. Vertrouwelijke informatie dient uitsluitend te worden opgeslagen in het EPD (wat voldoet aan de AOV) en op de NAS (interne beveiligde harde schijf). Schriftelijke vertrouwelijke informatie dient opgeborgen te worden in de afgesloten dossierkasten. Het is niet toegestaan om vertrouwelijke informatie naar externe gegevensdragers te kopiëren, tenzij dit noodzakelijk is en de gegevens versleuteld zijn. c. Iedere medewerker draagt er zorg voor dat zijn wachtwoord voor het EPD periodiek wordt gewijzigd. d. Het is niet toegestaan om apparatuur zoals mobiele telefoons, laptops en tablets onbeheerd in de praktijk achter te laten. Toegang tot dergelijke apparatuur dient afgeschermd te zijn met een wachtwoord. e. Inloggegevens dienen vertrouwelijk te worden behandeld en dienen niet met derden te worden gedeeld. Uitsluitend in voorkomende gevallen mogen inloggegevens vertrouwelijk met collegae worden gedeeld, zoals in geval bij waarneming. f. Bij {dagelijks} vertrek van de praktijk dient iedere medewerker zijn/haar desktop computer volledig uit te loggen, af te sluiten en eventuele papieren dossiers volledig en veilig (gesloten) op te bergen. g. Het is niet toegestaan, zonder toestemming van de praktijkhoudster, software te downloaden en/of firewalls of virusscanners aan te passen of te verwijderen. h. Thuiscomputers van zowel de zorgaanbieder als die van een medewerker, waarmee verbinding wordt gemaakt met het netwerk van de praktijk (VPN-verbinding), dienen voorzien te zijn van een actieve wachtwoordbeveiliging, firewall en virusscanner. Veiligheids-updates dienen tijdig te worden uitgevoerd. Er mag geen verbinding worden gelegd via openbare wifi-netwerken. Het is niet toegestaan vertrouwelijke informatie op de thuiscomputer op te slaan of om papieren dossiers of

4 externe gegevensdragers (zoals een laptop, tablet of externe harde schijf) met vertrouwelijke informatie onbeheerd in een auto of elders buiten de praktijk achter te laten. i. Bij vertrek van de praktijk dient iedere medewerker te controleren of er nog andere medewerkers in het pand aanwezig zijn. De laatste aanwezige medewerker zorgt ervoor dat alle vertrouwelijke informatie veilig opgeborgen is en dat alle ramen en deuren zijn gesloten (ook de toegangsdeur in Oss). 4. Informatieplicht De praktijkhoudster, Joke in t Veld, informeert betrokkenen over hoe er met persoonsgegevens wordt omgegaan. 5. Verwerkingsregister De praktijkhoudster houdt een verwerkingsregister bij. Dit register bevat een beschrijving van onder meer de verwerkingsdoeleinden, categorieën betrokkenen en ontvangers, bewaartermijnen en beveiligingsmaatregelen. In het verwerkingsregister worden verwerkingsactiviteiten per categorie betrokkenen en per categorie persoonsgegevens bijgehouden. Het verwerkingsregister is opgenomen in het ICT-systeem van de praktijk. 6. Verwerkers en ontvangers Verwerkers De praktijkhoudster kan bij het verwerken van persoonsgegevens gebruikmaken van externe dienstverleners. Deze dienstverleners werken uitsluitend persoonsgegevens op instructie van de praktijkhoudster. Met deze partijen heeft de praktijkhoudster verwerkingsovereenkomsten gesloten. Voor een aantal partijen moet dit nog vastgelegd worden in een verwerkingsovereenkomst. In deze overeenkomsten zijn afspraken vastgelegd over onder meer de aard en de doeleinden van de verwerking, het soort persoonsgegevens dat wordt verwerkt, geheimhoudingsplicht, instructies over de verwerking, beveiligingsmaatregelen, het al dan niet inschakelen van sub verwerkers, privacy rechten van betrokkenen, audits en controle, alsook het retourneren en/of verwijderen van persoonsgegevens door de verwerker. Ontvangers De praktijkhoudster verstrekt persoonsgegevens van betrokkenen aan derden wanneer dat noodzakelijk is in het kader van de uitvoering van de behandelovereenkomst, de uitvoering van een (arbeids)overeenkomst of in geval van een wettelijke verplichting. Daarbuiten worden geen persoonsgegevens, zonder voorafgaande uitdrukkelijke toestemming van de betrokkene of diens wettelijke vertegenwoordiger, aan derden verstrekt. 7. Bewaartermijnen

5 De praktijkhoudster vernietigt de persoonsgegevens die niet langer noodzakelijk zijn voor het doel waarvoor ze zijn verzameld en tevens niet op grond van andere wetgeving bewaard moeten worden. De persoonsgegevens worden in dat geval in zijn geheel verwijderd. De bewaartermijnen zijn: a. Medische gegevens ten minste 15 jaar na het einde van de behandelovereenkomst. b. (Financieel-) administratieve gegevens: 7 jaar na vastleggen van de gegevens. c. Personele gegevens van medewerkers en ZZP ers, anders dan financieel-administratieve gegevens: 5 jaar na uitdiensttreding, respectievelijk na het einde van de overeenkomst van opdracht. d. Gegevens van sollicitanten: 6 maanden na afronding van de sollicitatieprocedure. e. Bezoekers van de website: 5 jaar na het laatste bezoek aan de website, tenzij eerder bezwaar wordt gemaakt in welk geval tot vernietiging zal worden overgegaan. 8. Gegevensbeschermingseffectbeoordeling (DPIA) Vooralsnog wordt er binnen de Sprong geen gegevensbeschermingseffectbeoordeling (DPIA) uitgevoerd. In uitzonderingsgevallen zou er wel sprake kunnen zijn van het uitvoeren van een DPIA. In dat geval voert de praktijkhoudster voor elke nieuwe verwerking van persoonsgegevens een DPIA uit, indien deze een hoog risico voor de rechten en vrijheden van natuurlijke personen inhoudt, gelet op de aard, de omvang, de context en de doeleinden daarvan. 9. Doorgifte buiten EER (Europese Economische Ruimte) Praktijkhoudster geeft in beginsel geen persoonsgegevens door aan landen buiten de Europese Economische Ruimte (EER). Indien dit toch noodzakelijk mocht zijn, draagt de praktijkhoudster er zorg voor dat de doorgifte alleen plaatsvindt als de Europese Commissie heeft aangegeven dat het betreffende land een passend beschermingsniveau biedt of als er sprake is van passende waarborgen in de zin van de AVG. 10. Functionaris voor gegevensbescherming Een verwerkingsverantwoordelijke dient een functionaris voor gegevensbescherming (FG) aan te wijzen, onder meer in geval deze hoofdelijk is belast met grootschalige verwerking van bijzondere persoonsgegevens (zoals medische gegevens). Hoofdelijk belast heeft betrekking op de kernactiviteiten van de verwerkingsverantwoordelijke. De artikel 29-werkgroep definieert kernactiviteiten als processen die essentieel zijn om de doelen van de organisatie te bereiken, of die tot de hoofdtaken van de organisatie horen. Vooralsnog heeft de praktijkhouder geen functionaris voor gegevensbescherming aangesteld. 11. Beveiligingsincidenten Praktijkhoudster heeft passende technisch- en organisatorische maatregelen genomen die tot doel hebben de kans op verlies van of onrechtmatige verwerking van persoonsgegevens zo veel mogelijk te beperken. Ondanks deze maatregelen bestaat de kans dat zich toch een incident met betrekking

6 tot persoonsgegevens voordoet. Om ervoor te zorgen dat er zo snel mogelijk opgetreden kan worden om het incident te beëindigen en de schade zoveel mogelijk te beperken, dient als volgt te worden gehandeld: Bij elk incident met betrekking tot persoonsgegevens zal de praktijkhoudster beoordelen: of er sprake is van een incident dat betrekking heeft op (bijzondere) persoonsgegevens, welke maatregelen genomen moeten worden om het incident te beëindigen en de gevolgen ervan te beperken, of inschakeling van een externe partij nodig is om bij de oplossing van het incident te assisteren, of het incident aan de AP dient te worden gemeld, of degenen op wie de persoonsgegevens betrekking hebben, over het incident ingelicht dient te worden, welke maatregelen er genomen moeten worden om herhaling van het incident te voorkomen. De praktijkhoudster documenteert alle inbreuken in verband met persoonsgegevens in het datalekkenregister. In de verwerkingsovereenkomst is bepaald dat, een door de praktijkhoudster aangestelde verwerker, de praktijkhoudster zo snel mogelijk bericht over een (potentieel) incident, waarvan deze eerder op de hoogte is dan de praktijkhoudster. Daarnaast zijn er afspraken gemaakt over het oplossen van het incident en het verstrekken van nadere gegevens. 12. Rechten van betrokkenen Rechten die een betrokkene volgens de AVG in zijn algemeenheid heeft, zijn het recht van inzage, het recht van rectificatie, het recht op gegevenswissing, het recht op beperking van de verwerking, het recht op overdraagbaarheid, het recht van bezwaar, en het recht niet te worden onderworpen aan geautomatiseerde individuele besluitvorming. De praktijkhoudster heeft zodanige technische maatregelen genomen dat aan een gerechtvaardigde uitoefening van deze rechten gevolg kan worden gegeven. Verzoeken van betrokkenen met betrekking tot persoonsgegevens worden door de praktijkhoudster afgewikkeld. Verzoeken en afhandelingen daarvan worden opgeslagen in een afzonderlijke map in het ICT systeem. Na ontvangst van een verzoek zal de praktijkhoudster eerst de identiteit van de verzoeker vaststellen aan de hand van naam, contact- en adresgegevens, identiteitsbewijs en geboortedatum. Nadat de identiteit van de verzoeker is vastgesteld zal de praktijkhoudster aan de verzoeker bevestigen dat er binnen één maand op het verzoek zal worden gereageerd. Als blijkt dat het verzoek complex is, kan deze termijn maximaal met 2 maanden worden verlengd. Over verlenging van de termijn informeert de praktijkhoudster de verzoeker binnen de eerste maand. De praktijkhoudster stelt vast welk recht de verzoeker inroept en verzamelt in het kader hiervan de benodigde gegevens. De praktijkhoudster beoordeelt of aan het verzoek kan worden voldaan, mede gelet op het beroepsgeheim en de wettelijke bewaarplicht. De behandelaar legt zijn bevindingen in een verslag vast. Het verslag wordt opgeslagen in een map van het ICT-systeem van de praktijk, dat speciaal voor het verzoek is aangelegd.

7 In beginsel worden aan de verzoeker voor de behandeling van het verzoek geen kosten in rekening gebracht. Niettemin kan de verzoeker een redelijke vergoeding op basis van de administratieve kosten in rekening worden gebracht, bijvoorbeeld in geval van herhaalde (ongegronde) verzoeken of wanneer er meer dan één kopie van een dossier wordt verlangd. Als het verzoek wordt gehonoreerd en het verzoek heeft betrekking op rectificatie, wissing of beperking van de verwerking, dienen ook de externe partijen die de persoonsgegevens hebben ontvangen, van het verzoek in kennis te worden gesteld. De praktijkhoudster stelt vast of daarvan sprake is en noteert de derde partijen in haar verslag. Dergelijke kennisgevingen aan externe partijen laat de praktijkhoudster achterwege als dit onmogelijk of onevenredig veel inspanning vergt.