Privacy reglement. Algemeen

Transcriptie

1 Privacy reglement Algemeen Doel Reglement met betrekking tot persoonsregistraties, ter bescherming van de persoonlijke levenssfeer van patiënten in Medisch Centrum de Veluwe Begrippen Persoonsgegevens Elk gegeven dat herleidbaar is tot een individuele, natuurlijke persoon. Gezondheidsgegevens Persoonsgegevens die direct of indirect betrekking hebben op de lichamelijke of geestelijke gesteldheid van de betrokkene. Verwerking van persoonsgegevens Elke handeling met betrekking tot persoonsgegevens, waaronder in ieder geval het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiding of enige andere vorm van ter beschikking stellen, samenbrengen, met elkaar in verband brengen, alsmede het afschermen, uitwissen of vernietigen van gegevens. Persoonsregistratie Elk gestructureerd geheel van persoonsgegevens dat systematisch toegankelijk is en betrekking heeft op verschillende personen. Verstrekken van gegevens uit de persoonsregistratie Het bekend maken of ter beschikking stellen van persoonsgegevens. Verantwoordelijke van de persoonsregistratie Degene die de zeggenschap heeft over de persoonsregistraties en verantwoordelijk is voor de naleving van de bepalingen van het reglement. In MCV is dit de directie. Betrokkenen Degene over wie persoonsgegevens in de persoonsregistratie zijn opgenomen. Beheerder van de persoonsregistratie

2 Degene die onder verantwoordelijkheid van de verantwoordelijke is belast met de dagelijkse zorg van de persoonsregistratie. Bewerker van de persoonsregistratie Degene die ten behoeve van de verantwoordelijke persoonsgegevens verwerkt, zonder aan zijn rechtstreeks gezag te zijn onderworpen. Gebruiker van de persoonsregistratie Degene die geautoriseerd is gegevens in de persoonsregistratie in te voeren, te wijzigen, te raadplegen of te verwijderen. College Bescherming Persoonsgegevens (CBP) Het college houdt toezicht op de naleving en toepassing van de Wet Bescherming Persoonsgegevens en ziet er op toe dat persoonsgegevens zorgvuldig worden gebruikt en beveiligd. Toepassingsgebied Dit reglement is van toepassing op alle persoonsregistraties en daarin opgenomen informatie in papieren of digitale vorm in Medisch Centrum de Veluwe uitgezonderd: de personeelsadministratie; persoonlijke patiëntenregistraties (hieronder wordt verstaan: registraties die voor persoonlijk gebruik bestemd zijn en slechts voor één persoon toegankelijk zijn, die in dat geval als verantwoordelijke wordt aangemerkt). Rechtmatige verwerking van persoonsgegevens Voorwaarden voor rechtmatige verwerking a) Persoonsgegevens worden in overeenstemming met dit reglement alleen verwerkt voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doelen en alleen voor zover ze toereikend, ter zake dienend en niet bovenmatig zijn. b) Persoonsgegevens worden niet verder verwerkt op een wijze die onverenigbaar is met de doeleinden waarvoor ze oorspronkelijk zijn verkregen. c) Persoonsgegevens worden op behoorlijke en zorgvuldige wijze verwerkt. Persoonsgegevens mogen slechts worden verwerkt indien aan één van onderstaande voorwaarden is voldaan: a) de betrokkene voor de verwerking zijn ondubbelzinnige toestemming heeft gegeven; b) de gegevensverwerking noodzakelijk is voor de uitvoering van een behandelingsovereenkomst waarbij de betrokkene partij is, of voor handelingen die op verzoek van de betrokkene worden verricht en die noodzakelijk zijn voor het sluiten van een behandelingsovereenkomst; c) de gegevensverwerking noodzakelijk is om een wettelijke verplichting na te komen waaraan de verantwoordelijke onderworpen is d) de gegevensverwerking noodzakelijk is ter bestrijding van ernstig gevaar voor de gezondheid van betrokkene; e) de gegevensverwerking noodzakelijk is voor de behartiging van het gerechtvaardigde belang van de verantwoordelijke of van een derde aan wie de gegevens worden verstrekt, tenzij het belang of de fundamentele rechten en vrijheden van de

3 betrokkene, in het bijzonder het recht op bescherming van de persoonlijke levenssfeer, prevaleert. Beschrijving van de persoonsregistraties De verantwoordelijke stelt per persoonsregistratie vast: a) het doel: de verantwoordelijke van de persoonsregistratie omschrijft de doelstelling van de persoonsregistratie nauwkeurig en duidelijk; b) categorieën van betrokkenen; c) categorieën van gegevens. De persoonsregistratie kan ten hoogste de volgende gegevens categorieën bevatten: - personalia/identificatiegegevens - gezondheidsgegevens - financiële/administratieve gegevens categorieën van ontvangers van gegevens uit de persoonsregistratie; beveiligingsmaatregelen; wie de eventuele bewerker is; hoe lang de persoonsgegevens blijven bewaard, met inachtneming van de geldende wettelijke voorschriften. Beheer van de persoonsregistraties a) De verantwoordelijke is verantwoordelijk voor het goed functioneren van de persoonsregistratie. b) De verantwoordelijke bepaalt wie de beheerder(s) is/zijn van de persoonsregistraties. c) De verantwoordelijke bepaalt wie de bewerker(s) van de persoonsregistratie is/zijn. De verantwoordelijke dient een bewerker te verplichten dit reglement na te leven. De taken, rechten en verplichtingen van een bewerker worden door de verantwoordelijke schriftelijk vastgelegd. Een bewerker is verantwoordelijk voor het goed functioneren van de onder zijn beheer staande faciliteiten. Hij treft de noodzakelijke maatregelen met betrekking tot de beveiliging van onder andere apparatuur, programmatuur en de gegevens waarmee de persoonsregistratie wordt uitgevoerd. Deze maatregelen zijn bij de desbetreffende bewerker in te zien. d) De verantwoordelijke draagt zorg voor de juistheid en volledigheid van de opgenomen gegevens en voor de technische en organisatorische voorzieningen om de persoonsregistratie te beveiligen tegen verlies of aantasting van de gegevens en tegen onbevoegde kennisneming, wijziging of verstrekking daarvan. De bewerker heeft dezelfde plichten voor het geheel of het gedeelte van de faciliteiten, dat hij onder zich heeft. Vertegenwoordiging a) Een betrokkene van zestien jaar en ouder die in staat is tot een redelijke waardering van zijn belangen is handelingsbekwaam en kan zich laten vertegenwoordigen. b) Indien de betrokkene ouder is dan achttien jaar en niet in staat kan worden geacht tot een redelijke waardering van zijn belangen ter zake, treedt in volgorde als hier weergegeven, als vertegenwoordiger voor hem op: indien de betrokkene onder curatele staat of ten behoeve van hem het mentorschap is ingesteld: de curator of mentor;

4 indien er geen mentor of curator is, de persoon die betrokkene schriftelijk heeft gemachtigd: de persoonlijk gemachtigde; indien de persoonlijk gemachtigde ontbreekt of niet optreedt: de echtgenoot of partner van de betrokkene; indien deze persoon dat niet wenst of deze ontbreekt: een kind, broer of zus van de betrokkene. Kennisgeving De verantwoordelijke zal door middel van een algemene kennisgeving het bestaan van de persoonsregistraties en van dit reglement vermelden, alsmede daarin aangeven op welke wijze het reglement kan worden ingezien en verkregen en nadere informatie ter zake kan worden ingewonnen. Rechten van betrokkenen a) Recht op informatie. De verantwoordelijke informeert de betrokkene op zijn verzoek tijdig en volledig over de doelen waarvoor en de manieren waarop persoonsgegevens van hem worden verwerkt, over de regels die daarvoor gelden, over de rechten die de betrokkene ten aanzien daarvan heeft en hoe hij die kan uitoefenen. Daarbij wordt de betrokkene ook geïnformeerd over de plaats waar de documenten, waarin bedoelde regels zijn opgenomen, kunnen worden ingezien dan wel opgevraagd. b) Recht op inzage en afschrift. De betrokkene heeft het recht op inzage en/of afschrift van zijn persoonsgegevens. De gevraagde inzage en/of afschrift zal zo spoedig mogelijk, doch uiterlijk binnen vier weken, worden gegeven, na deugdelijke vaststelling van de identiteit van de verzoeker. Het geven van inzage en/of afschrift kan slechts plaatsvinden voor zover hiermee de persoonlijke levenssfeer van een derde niet wordt geschaad. c) Recht op correctie en aanvulling. Desgevraagd worden de opgenomen gegevens aangevuld met een door de betrokkene afgegeven verklaring met betrekking tot de opgenomen gegevens. De betrokkene kan verzoeken om correctie van de op hem betrekking hebbende gegevens indien deze: feitelijk onjuist zijn; voor het doel van de verwerking onvolledig of niet van belang zijn; in strijd met een wettelijk voorschrift zijn. d) De betrokkene ontvangt binnen vier weken na indiening van het schriftelijk verzoek tot correctie schriftelijk bericht of en in hoeverre de verantwoordelijke daaraan voldoet. Een weigering is met redenen omkleed. Een verzoek tot aanvulling wordt altijd ingewilligd. e) Recht op vernietiging De betrokkene kan verzoeken om vernietiging van de op hem betrekking hebbende gegevens. De betrokkene ontvangt binnen vier weken na indiening van het schriftelijk verzoek tot vernietiging schriftelijk bericht of en in hoeverre de verantwoordelijke daaraan voldoet. Een weigering is met redenen omkleed. De verantwoordelijke vernietigt de gegevens binnen 3 maanden na het schriftelijke verzoek, tenzij redelijkerwijs aannemelijk is dat de bewaring van aanmerkelijk belang is voor een ander dan de betrokkene. f) Verstrekking van gegevens

5 Voor verstrekking van persoonsgegevens aan derden is de hoofdregel dat gerichte toestemming van de betrokkene vereist is. Toestemming van de betrokkene kan worden verondersteld indien sprake is van een wettelijk voorschrift of indien verstrekking plaatsvindt in het kader van de artikelen 7.2. tot en met 7.5. g) Binnen Medisch Centrum de Veluwe kunnen zonder toestemming van de betrokkene persoonsgegevens worden verstrekt, voor zover voor hun taakuitoefening noodzakelijk, aan: degenen die rechtstreeks betrokken zijn bij de actuele zorg- of hulpverlening aan de betrokkene; personen en instanties die tot taak hebben de verleende zorg te controleren en te toetsen en die bevoegd zijn van de persoonsgegevens kennis te nemen. h) Buiten Medisch Centrum de Veluwe kunnen zonder toestemming van de betrokkene persoonsgegevens worden verstrekt, voor zover voor hun taakuitoefening noodzakelijk aan: degenen die rechtstreeks betrokken zijn bij de actuele zorg- of hulpverlening aan de betrokkene in Medisch Centrum de Veluwe, tenzij de betrokkene kenbaar heeft gemaakt daartegen bezwaar te hebben; voorbeelden hiervan zijn de (externe) patholoog-anatoom of laboratoriumarts die aanvullend onderzoek verricht op aanvraag van een arts ten behoeve van een behandeling in Medisch Centrum de Veluwe; degenen die rechtstreeks betrokken zijn bij de actuele zorg- of hulpverlening aan de betrokkene buiten Medisch Centrum de Veluwe, tenzij de betrokkene kenbaar heeft gemaakt daartegen bezwaar te hebben. Hierbij gaat het om het elektronisch patiëntendossier (EPD), bestaande uit verschillende onderdelen, zoals waarneemdossier huisartsen en medicatiedossier. Van dit elektronisch patiëntendossier maken hulpverleners van buiten MCV gebruik (onder andere de huisarts en de apotheker). Voor ieder onderdeel van het elektronisch patiëntendossier is/wordt een autorisatierichtlijn opgesteld. Hierin wordt vastgelegd wie er toegang heeft tot het dossier en wat de patiëntenrechten zijn. aan ziektekostenverzekeraars. Dit betreft een beperkt aantal gegevens conform art. 87 lid 5 van de Zorgverzekeringswet, de Ministeriële regeling, het addendum en het Protocol materiële controle. i) Indien persoonsgegevens zodanig zijn geanonimiseerd, dat zij redelijkerwijs niet tot de individuele persoon herleidbaar zijn, kan de verantwoordelijke beslissen deze te verstrekken ten behoeve van doeleinden die verenigbaar zijn met het doel van de persoonsregistratie. j) Persoonsgegevens (herleidbaar tot de betrokkene) ten behoeve van wetenschappelijk of statistisch onderzoek kunnen alleen zonder toestemming van de betrokkene worden verstrekt indien aan alle onderstaande voorwaarden is voldaan: het onderzoek dient een algemeen belang; het onderzoek kan zonder de gevraagde gegevens niet worden verricht; de betrokkene heeft geen uitdrukkelijk bezwaar gemaakt tegen de gegevensverwerking; er doet zich één van de twee volgende situaties voor: o toestemming vragen is redelijkerwijs niet mogelijk op gronden, gelegen in de betrokkene (bijvoorbeeld: de betrokkene is overleden, onbereikbaar door verhuizing, of de confrontatie met het onderzoek zou voor hem onnodig bezwarend zijn). Onder deze omstandigheden heeft de onderzoeker de plicht het onderzoek zo uit te voeren dat de privacy van de betrokkene zo min mogelijk wordt geschaad;

6 o toestemming vragen kan in redelijkheid niet worden verlangd vanwege de aard van het onderzoek (bijvoorbeeld: onderzoek waarbij zeer veel patiënten zijn betrokken of onderzoek waarbij een reële kans op selectieve respons bestaat). In deze gevallen moet de arts de gegevens zodanig coderen, dat de onderzoeker de gegevens niet kan herleiden tot de patiënt o de commissie ICHGCP (International Conference on Harmonization Good Clinical Practice) heeft hiervoor toestemming gegeven en tussen commissie ICHGCP en de onderzoeker zijn deugdelijke afspraken gemaakt ter bescherming van de persoonlijke levenssfeer van betrokkenen. k) De in j vermelde toestemming en afspraken worden schriftelijk vastgelegd en gedurende vijf jaar bewaard. Toegang tot persoonsgegevens De gebruikers van persoonsregistraties binnen Medisch Centrum de Veluwe hebben toegang tot persoonsgegevens, voor zover dit noodzakelijk is voor het uitoefenen van hun functie. Per persoonsregistratie wordt vastgesteld wie toegang heeft tot de persoonsregistratie en welke bevoegdheden deze functionarissen hebben. Een overzicht van deze toegangs- en bevoegdhedenregeling is in te zien via de zorgadministrateurs Bewaartermijnen a) Persoonsgegevens worden niet langer bewaard dan noodzakelijk is voor het doel waarvoor zij worden verwerkt. b) Persoonsgegevens mogen langer bewaard worden dan noodzakelijk voor het doel waarvoor zij worden verwerkt, indien zij geanonimiseerd worden. c) De verantwoordelijke stelt vast of en hoelang de opgenomen persoonsgegevens bewaard blijven. d) De bewaartermijn voor medische gegevens is 15 jaar, te rekenen vanaf het tijdstip van laatste behandeling of overlijden of zoveel langer als redelijkerwijs uit de zorg van een goed hulpverlener voortvloeit. e) Klachtenformulieren worden 2 jaar bewaard. Melding van persoonsregistraties Alle persoonsregistraties in Medisch Centrum de Veluwe worden gemeld bij het College Bescherming Persoonsgegevens (CBP) tenzij een vrijstelling van toepassing is. Het CBP houdt een openbaar register van de meldingen bij. Bepaalde verwerkingen waaraan bijzondere risico s zijn verbonden, moeten vooraf door het CBP worden onderzocht op rechtmatigheid. Een overzicht van de persoonsregistraties aangemeld bij het CBP is te vinden in bijlage 1 bij dit reglement. Klachten

7 a) Indien de betrokkene van mening is dat de bepalingen van dit reglement niet worden nageleefd of andere reden heeft tot klagen, dient hij zich te wenden tot de verantwoordelijke van de persoonsregistratie. b) Indien dit voor de betrokkene niet leidt tot een voor hem acceptabel resultaat, heeft de betrokkene de volgende mogelijkheden: De betrokkene kan zich wenden tot de klachtenfunctionaris of de klachtencommissie van Medisch Centrum de Veluwe. De betrokkene kan zich tot het College Bescherming Persoonsgegevens wenden met het verzoek te bemiddelen of te adviseren in zijn geschil met de verantwoordelijke. Eén en ander laat onverlet de mogelijkheid een beroep te doen op de rechter Overgangs- en slotbepalingen a) Looptijd van de persoonsregistratie Onverminderd eventuele wettelijke bepalingen is dit reglement van kracht gedurende de gehele looptijd van de persoonsregistraties die onder de reikwijdte van dit privacyreglement vallen. b) Wijziging van het reglement Wijzigingen van dit reglement worden aangebracht door de verantwoordelijke. De wijzigingen in het reglement zijn van kracht nadat ze bekend zijn gemaakt.. Bijlages 1. Registratie onderzoeksresultaten t.b.v. hepatitis B vaccinatie Toelichting: Registratie van vaccinatiegegevens over hepatitis B bij medewerkers van Medisch Centrum de Veluwe. Doel(en): Bescherming van medewerkers tegen hepatitis B Bescherming van patiënten tegen medewerkers die mogelijk hepatitis B zouden kunnen hebben. Categorieën van betrokkenen: Medewerkers van Medisch Centrum de Veluwe. Categorieën van gegevens: NAW-gegevens, geboortedatum, geslacht, burgerlijke staat Onderzoeksgegevens en uitslagen Categorieën van ontvangers:

8 Leden van het behandelend team (betrokken specialisten, paramedici, verpleegkundigen en ondersteunende staf zoals medisch secretaressen) Medewerkers van administratieve afdelingen die tot doel hebben de ondersteuning en financiële afhandeling van het zorgproces, zoals zorgadministratie en financiële administratie Arbodienst Bewaartermijn: De gegevens blijven voor onbeperkte tijd bewaard. 2. Zorgdossier Toelichting: Ten behoeve van de patiëntenzorg worden in Medisch Centrum de Veluwe een aantal medische en verpleegkundige gegevens over patiënten vastgelegd in verschillende persoonsregistraties. Al deze registraties tezamen vormen het zorgdossier. Doel(en): Goede zorg, verzorging en hulpverlening aan patiënt Financiële administratie Klachtenafhandeling Wetenschappelijk onderzoek en statistiek Beleid en management Kwaliteitsbewaking en intercollegiale toetsing Planning en sturing binnen het centrum Categorieën van betrokkenen: Patiënten Categorieën van gegevens: NAW-gegevens, geboortedatum, geslacht, burgerlijke staat Patiëntidentificatienummer (PIN-nummer) Medische, paramedische, verpleegkundige en overige zorggegevens Religie Verzekeringsgegevens Afspraakgegevens Naam huisarts/tandarts Uitleengegevens medische dossiers Categorieën van ontvangers: Huisartsen Behandelaars in andere instellingen Verzekeraar Leden van het behandelend team (betrokken specialisten, paramedici, verpleegkundigen en ondersteunende staf zoals medisch secretaressen en spreekuurassistenten) Medewerkers van administratieve afdelingen die tot doel hebben de ondersteuning en financiële afhandeling van het zorgproces, zoals zorgadministratie en financiële administratie Onderzoeksinstituten t.b.v. wetenschappelijk onderzoek

9 Externe laboratoria die onderzoeken verrichten t.b.v. patiënten van Medisch Centrum de Veluwe. Bewaartermijn: Vijftien jaar of zoveel langer als redelijkerwijs uit de zorg van een goed hulpverlener voortvloeit. 3. Apotheek systeem Toelichting: In dit systeem worden gegevens over geneesmiddelen vastgelegd. Aan de hand hiervan kan worden bewaakt dat patiënten de juiste medicatie krijgen toegediend. Doel(en): Goede zorg, verzorging en hulpverlening aan de patiënt Farmaceutische patiëntenzorg (geneesmiddelen/medicatie) Categorieën van betrokkenen: Patiënten Categorieën van gegevens: NAW-gegevens, geboortedatum, geslacht Farmaceutische gegevens (geneesmiddelen/medicijnen) Categorieën van ontvangers: Leden van het behandelend team (betrokken specialisten, paramedici, verpleegkundigen en ondersteunende staf zoals medisch secretaressen en spreekuurassistenten) Medewerkers van administratieve afdelingen die tot doel hebben de ondersteuning en financiële afhandeling van het zorgproces, zoals zorgadministratie en financiële administratie Bewaartermijn: Vijftien jaar of zoveel langer als redelijkerwijs uit de zorg van een goed hulpverlener voortvloeit. 4. Landelijke Medische Registratie Toelichting: Registratie waarin een beperkt aantal medische gegevens wordt vastgelegd over opgenomen patiënten ten behoeve van statistische verwerking. Doel(en): Beleid en management Wetenschappelijk onderzoek en statistiek Kwaliteitsbewaking van de zorg Intercollegiale toetsing Categorieën van betrokkenen: Patiënten

10 Categorieën van gegevens: NAW-gegevens Geboortedatum Medische gegevens Verzekeringsgegevens Naam behandelend specialisten Categorieën van ontvangers: Verzekeraar Medewerkers van administratieve afdelingen die tot doel hebben de ondersteuning en financiële afhandeling van het zorgproces, zoals zorgadministratie en financiële administratie Onderzoeksinstituten Prismant Betrokken specialisten Betrokken verpleegkundigen Bewaartermijn: De gegevens blijven voor onbeperkte tijd bewaard.. 6. Zwarte lijst patiënten en bezoekers (Persona non grata) Toelichting: Hulpverleners voelen zich bedreigd in de uitoefening van hun functie door de genoemde persoon, nadat er een vorm van onheuse bejegening heeft plaatsgevonden op het terrein van Medisch Centrum de Veluwe. Dit gevoel van angst kan alleen worden voorkomen door de betreffende persoon de toegang tot het terrein te ontzeggen met uitzondering van insturen door een (huis)arts of ambulancepersoneel ten behoeve van spoedeisende zorg. Doel(en): Zichtbaar maken aan geautoriseerde medewerkers van het ziekenhuis van personen die de toegang tot het terrein van het Medisch Centrum de Veluwe is ontzegd, met uitzondering van acute medische hulp indien aangemeld via een ambulancepost of (huis)arts. Categorieën van betrokkenen: Patiënten Bezoekers Categorieën van gegevens: NAW-gegevens Reden van ontzegging van toegang tot het terrein Categorieën van ontvangers: Leden van het behandelend team (betrokken specialisten, paramedici, verpleegkundigen en ondersteunende staf zoals medisch secretaressen en spreekuurassistenten). Medewerkers van administratieve afdelingen die tot doel hebben de ondersteuning en financiële afhandeling van het zorgproces, zoals zorgadministratie en financiële administratie.

11 Bewaartermijn: Na 5 jaar wordt de betreffende persoon van de lijst verwijderd.