Opleiding FG. Juridische kaders en beveiliging. Mr. dr. Luuk Arends

Transcriptie

1 Opleiding FG Juridische kaders en beveiliging Mr. dr. Luuk Arends

2 Beveiliging

3 Functionaris gegevensbescherming Soms verplicht Interne toezichthouder Zonder last of ruggespraak Samenwerking met externe toezichthouder en contactpunt

4 Wanneer een FG in de zorg? 1. elektronisch uitwisselingssysteem 2. Instelling Wkkgz én grote schaal

5 Beveiligingsvoorschriften Passende en organisatorische maatregelen Parameters: techniek, kosten, type verwerkingen, en risico s

6 Beveiligingseisen Begz - zorginformatiesysteem en uitwisselingssysteem voldoen aan NEN 7510, NEN 7512 en NEN 7513 Per 1 januari 2018: - verantwoordelijke uitwisselingssysteem werkt met zorgserviceprovider die voldoet aan NEN Continu verbeteren van de informatiebeveiliging

7 Beveiligingseisen Begz (2) Bewaartermijn voor logging nog niet bekend NEN 7521? Toezicht door zowel de AP als de IGJ

8 Beveiliging is ook Pseudonimisering en versleuteling, waar passend Garantie vertrouwelijkheid en betrouwbaarheid Herstelmogelijkheden Procedure voor testen, beoordelen en evalueren beveiliging Aansluiten bij gedragscode of certificeringsmechanisme

9 Verwerkersovereenkomst Geen verwerking zonder schriftelijke instructies Geheimhoudingsplicht Alle beveiligingsmaatregelen nemen Regeling inschakeling subverwerkers Bijstand aan verwerkingsverantwoordelijke bij verplichtingen aan betrokkene en bij beveiliging medewerkingsplicht ter voldoening bewijsplicht verwerkingsverantwoordelijke Wissen of teruggave volgens wens verwerkingsverantwoordelijke bij einde overeenkomst

10 Verwerkersovereenkomst Essentieel voor nakoming verplichtingen Avg Model helpt bij overleg met verwerkers

11 BoZ-overeenkomst Het belangrijkste van de overeenkomst staat er (nog) niet in Artikel 3.2. Bijlage 1 Nadere schriftelijke instructies

12 BoZ-overeenkomst en beveiliging Beveiliging persoonsgegevens NEN 7510, 7512 en 7513 Certificaten Controlemogelijkheden voor verwerkingsverantwoordelijke Plicht tot periodieke evaluatie en verbetering Keuze voor schriftelijke toestemming subverwerkers

13 Gezamenlijke verantwoordelijkheid 1. Verschillende verantwoordelijken, echter één gemeenschappelijke verantwoordelijke 2. Verschillende verwerkingen zijn geïntegreerd zonder gemeenschappelijke verantwoordelijke, zonder dat er gemeenschappelijke verantwoordelijke is ( ieder voor zich ) 3. Verschillende verwerkingen zijn geïntegreerd zonder dat er gemeenschappelijke verantwoordelijke is (gezamenlijke verantwoordelijkheid en aansprakelijkheid)

14 Zorggroepen sluiten met zorgverzekeraars overeenkomsten om multidisciplinaire zorg te verlenen aan chronische patiënten (bijvoorbeeld suikerziekte). Zorggroepen huren ketenzorgpartners in zoals de eigen huisarts, een diabetesverpleegkundige, een praktijkondersteuner, een diëtist, een podotherapeut en een oogarts. De zorggroep factureert de zorg aan de zorgverzekeraar. De feitelijke zorg wordt verleend door de ketenzorgpartners. 1. Wie beheert het dossier van de suikerpatient en 2. waarom? 3. Wat heeft dit voor gevolgen voor de afspraken die partijen met elkaar moeten maken?

15 Gezamenlijke verantwoordelijkheid? Ook een overeenkomst Wie heeft welke plichten? Rechten betrokkene Informatieverstrekking Wie is aanspreekpunt voor betrokkene Wezenlijke inhoud afspraken beschikbaar Hoofdelijke aansprakelijkheid

16 Beveiliging van (bijzondere) persoonsgegevens Passende technische en organisatorische maatregelen Versleuteling en pseudonimisering (D)PIA

17 Gegevensbeschermingseffectbeoordeling ((D)PIA) Al verplicht voor overheidsinstanties nieuwe wetgeving Nieuwe technologieën Grote databestanden Artikel 35 schrijft voor wanneer AP moet lijst publiceren

18 Uitvoering (D)PIA Beschrijving kenmerken gegevensverwerkingen Beoordeling rechtmatigheid gegevensverwerkingen Beschrijving en beoordeling van de risico s voor de betrokkenen Beschrijving van de voorgenomen maatregelen

19 Datalek in Avg Inbreuk op de beveiliging Per ongeluk of expres vernietiging, verlies, wijziging, ongeoorloofde verstrekking of ongeoorloofde toegang

20 Wat is een datalek? malwarebesmetting

21 Het USB-incident Janine doet indicaties voor het CIZ op locatie. Omdat zij vaak vanuit huis werkt en bovendien in een buitengebied woont met een hele slechte internetverbinding, schrijft zij relevante gegevens op een usb-stick die zij vervolgens mee naar haar werk neemt om te kunnen verwerken ten behoeve van het definitieve indicatiebesluit. Op zekere dag valt de USB-stick in de toilet. Moet er gemeld worden? 1. Als een kopie beschikbaar is? 2. De USB-stick encrypted is? 3. Er alleen NAW-gegevens opstaan?

22 Wat te doen bij datalekken? Melden, tenzij geen risico

23 Hoe melden? Melding aan AP: Wat is er aan de hand? Waarschijnlijke gevolgen Naam FG Maatregelen Waar meer informatie verkrijgbaar? Stapsgewijze infoverstrekking is toegestaan Eventueel melding aan betrokkene

24 Sancties Avg Aanwijzing, Waarschuwing, Berisping Aanwijzing Opleggen boete

25 aantoonbaar voldoen aan privacywetgeving Verwerkingsregister Voldoen aan relevante NEN PIA (laten) uitvoeren gedragscode certificering FG aanstellen

26 Actuele kennis van wet- en regelgeving Jurisprudentie Contactpersoon: mr. dr. L.A.P. (Luuk) Arends Telefoon Dirkzwager zorgt dat u het weet. Kantoor Arnhem Postbus AC Arnhem Velperweg BZ Arnhem Kantoor Nijmegen Postbus AB Nijmegen Van Schaeck Mathonsingel AN Nijmegen T +31 (0) F +31 (0) E info@dirkzwager.nl I