Handleiding voor een procedure voor gegevensbescherming

Transcriptie

1 Handleiding voor een procedure voor gegevensbescherming Studiedag Europese Verordening Gegevensbescherming, 9 maart 2017 Peter Degadt, gedelegeerd bestuurder

2

3 1. Waarover gaat het? 2. Wat zijn gegevens? 3. Hoe omgaan met persoonsgegevens 3.1. Vooraf een procedure vastleggen 3.2. Rechten 3.3. Wie staat ervoor in? 4. Welk beschermingsniveau? 4.1. Patiënten/bewoners/cliënten 4.2. Medewerkers 4.3. Bezoekers en derden 5. Besluit 6. To do

4 1. Waarover gaat het? Transparantie bij omgang met persoonsgegevens

5 1. Waarover gaat het? Europese Verordening Gegevensbescherming 27 april 2016 Procedure omgang met persoonsgegevens 25 mei 2018

6 2. Wat zijn gegevens?

7 2. Wat zijn gegevens? Data -> Informatie -> Persoon -> Uniek Elektronisch, handmatig Medisch, sociaal Patiënten, medewerkers Data en dataverwerking Datastromen moeten in een register dat een overzicht geeft van de verwerkingsactiviteiten

8 2. Wat zijn gegevens? Beroepsgeheim? Deontologie Ethische adviezen Strafrecht Discretieplicht? Wet patiëntenrechten?

9 3. Hoe omgaan met persoonsgegevens?

10 3. Hoe omgaan met persoonsgegevens? 3.1. Vooraf een procedure vastleggen

11 3. Hoe omgaan met persoonsgegevens? > 3.1. Vooraf een procedure vastleggen Welke gegevens worden opgeslagen en verwerkt? Om welke reden: gerechtvaardigd doel Enkel de noodzakelijke gegevens i.f.v. het doel Niet langer dan noodzakelijk Zie verjaringstermijnen Geactualiseerde gegevens

12 3. Hoe omgaan met persoonsgegevens? 3.2. Rechten betrokkene

13 3. Hoe omgaan met persoonsgegevens? > 3.2. Rechten betrokkene Recht op afschrift (kosteloos vanaf 25 mei 2018) Recht op doorgifte (vgl. wet patiëntenrechten) Recht opvragen logingegevens Functie, niet noodzakelijk persoon Enkel de behandelende beroepsbeoefenaars Voor anderen, bv. IT: motiveringsplicht

14 3. Hoe omgaan met persoonsgegevens? > 3.2. Rechten betrokkene Recht op verbetering en verwijdering Recht om vergeten te worden In praktijk enkel niet-medische gegevens Plicht informatieveiligheidsbeleid

15 3. Hoe omgaan met persoonsgegevens? > 3.2. Rechten betrokkene Verordening niet toepasselijk op Geanonimiseerde gegevens, d.w.z. onomkeerbaar versleuteld Verordening wél toepasselijk op Gepseudonimiseerde gegevens, d.w.z. omkeerbaar versleuteld; apart bewaarde codes, sleutels en data; is eerder beschermingsmaatregel; toch mogelijk indien vb wetenschappelijk onderzoek

16 3. Hoe omgaan met persoonsgegevens? 3.3. Wie staat ervoor in?

17 3. Hoe omgaan met persoonsgegevens? > 3.3. Wie staat ervoor in? Verantwoordelijke voor de verwerking De (rechts)persoon die het doel van de verwerking bepaalt Medisch dossier: in ZH : hoofdarts Privé : behandelend arts = aansprakelijk

18 3. Hoe omgaan met persoonsgegevens? > 3.3. Wie staat ervoor in? De verwerker vb softwarebedrijf, interimkantoor, hogeschool (stagiairs) = overeenkomst met de verantwoordelijke voor de verwerking De functionaris voor gegevensbescherming (Data Protection Officer DPO) Overheidsorganen, Ook private rechtspersonen indien grootschalige gezondheidsgegevens vb ZH Aanspreekpunt

19 3. Hoe omgaan met persoonsgegevens? > 3.3. Wie staat ervoor in? De veiligheidsconsulent Moet onafhankelijk zijn?! Aanspreekpunt

20 4. Welk beschermingsniveau?

21 4. Welk beschermingsniveau? 4.1. Patiënten/bewoners/cliënten Verwerken van gezondheidsgegevens OF schriftelijke toestemming OF noodzakelijk voor de doeleinden van de geneeskunde -> Omschrijven waarom noodzakelijk Informatieplicht Hoe? Omschrijven in de procedure vb vermelding in de opnameverklaring

22 4. Welk beschermingsniveau? > 4.1. Patiënten/bewoners/cliënten Welke informatie? Aan wie? ontvangers van gegevens, gedeeld beroepsgeheim Mits toestemming patiënt: vertrouwenspersoon Klachtrecht bij de Privacycommissie Gegevensbeschermingseffectbeoordeling door verwerkingsverantwoordelijke

23 4. Welk beschermingsniveau? 4.2. Medewerkers OF toestemming OF noodzakelijk voor de uitvoering AO Akkoord vereist om gegevens met derden te delen Inzagerecht Informatieplicht

24 4. Welk beschermingsniveau? 4.3. Bezoekers en andere derden Indien geregistreerd: gerechtvaardigd belang, dan informatieplicht over gegevensverwerking 4.4. Informatie over derden via patiënt/bewoner - enkel indien noodzakelijk (need to know) - geen informatieplicht over gegevensverwerking aan deze derden

25 5. Besluit

26 5. Besluit Europese Verordening schept kader voor privacybescherming bij gegevensverwerking. Samengevat: Waarover gaat het? Wat zijn gegevens? Hoe omgaan met persoonsgegevens? Rechten betrokkene Wie is verantwoordelijk? Beschermingsniveau per doelgroep

27 6. To do tegen 25 mei 2018 Elke voorziening werkt een procedure uit waaruit blijkt dat de regels van de Verordening worden gerespecteerd Bewustwordingscampagne Veiligheidsrisico in kaart brengen, evt af te toetsen bij Privacycommissie Verwerkingsovereenkomsten indien externe verwerkers

28 6. To do: stappenplan Privacycommissie

29 Bedankt voor uw aandacht!