Persoonsgegevens in de zorg 2019 (AVG)

Transcriptie

1 Persoonsgegevens in de zorg 2019 (AVG) Inhoud Wat zijn persoonsgegevens? o Voorbeelden van persoonsgegevens o Bescherming van persoonsgegevens Bewaren van persoonsgegevens o Vernietiging of archiveren Verstrekken van persoonsgegevens o Verenigbaar met doel o Gronden voor verstrekking Gebruik van medische gegevens o Geheimhoudingsplicht o Gebruik buiten gezondheidszorg Medisch dossier o Dossierplicht o Beveiliging o Bewaartermijn o Rechten van patiënten Zorgverzekeraars o Formele controle o Materiele controle Secure werkhouding Vragen? Bron: Autoriteit Persoonsgegevens Wat zijn persoonsgegevens? De algemene verordening gegevensbescherming (AVG) geeft aan dat een persoonsgegeven alle informatie is over een geïndiceerde of identificeerbare natuurlijke persoon. Dit betekent dat informatie ofwel direct over iemand gaat, ofwel naar deze persoon te herleiden is. Gegevens van overleden personen of van organisaties zijn geen persoonsgegevens volgens de AVG. Voorbeelden van persoonsgegevens: Er zijn veel soorten persoonsgegevens. Voor de hand liggende gegevens zijn iemands naam, adres en woonplaats. Maar ook telefoonnummers en postcodes met huisnummers zijn persoonsgegevens.

2 Gevoelige gegevens als iemands ras, godsdienst of gezondheid worden bijzondere persoonsgegevens genoemd. Deze zijn door de wetgever extra beschermd. Bescherming van persoonsgegevens: Bescherming van de persoonlijke levenssfeer is een grondrecht. Dit recht is geregeld in: Artikel 20 lid 1 van de Grondwet; Artikel 8 van het Europees Verdrag inzake de rechten van de mens en de fundamentele vrijheden (EVRM); Artikel 7 van het Handvest van de Grondrechten van de Europese Unie; Artikel 17 van het Internationaal Verdrag inzake burgerrechten en politieke rechten (IVBPR); Daarnaast is in artikel 8 van het Handvest een expliciet recht op bescherming van de persoonsgegevens opgenomen. Deze artikelen geven aan dat er een wet moet zijn voor de bescherming van persoonsgegevens. Zodat ieders recht op privacy is gewaarborgd. Dat zijn in Nederland de Algemene verordening gegevensbescherming (AVG) en de Uitvoeringswet (UAVG). Bewaren van persoonsgegevens De inhoud van een digitaal of papieren dossier bevat veel informatie over een persoon. De huisarts weet bijvoorbeeld welke medicijnen zijn patiënt gebruikt. En de werkgever kan zien wanneer het salaris van een werknemer voor de laatste keer is verhoogd. Om een goede administratie te kunnen houden, moet een organisatie bepaalde persoonsgegevens een tijd bewaren. Maar organisaties mogen die gegevens niet langer bewaren dan noodzakelijk is. Vernietigen of archiveren Is de bewaartermijn van persoonsgegevens voorbij of zijn de gegevens niet meer noodzakelijk? Dan moeten organisaties de gegevens vernietigen. Zijn persoonsgegevens bestemd voor historische, statistische of wetenschappelijke doeleinden? Dan mogen organisaties de persoonsgegevens in een archief bewaren. Verstrekken van persoonsgegevens Een organisatie mag niet zomaar persoonsgegevens doorgeven aan personen of andere organisaties. De algemene regel is dat verstrekken van persoonsgegevens alleen mag als dat verenigbaar is met het doel waarvoor de gegevens zijn verzameld. Of dit het geval is, hangt af van de concrete omstandigheden. Dan kan dus per situatie verschillen.

3 Verenigbaar met doel Vindt verwerking van persoonsgegevens plaats door een ander doel dan dat waarvoor de persoonsgegevens zijn verzameld? En is hiervoor geen toestemming van de betrokkene verkregen. En is de verwerking ook niet gebaseerd op een wettelijke bepaling? Dan kan verwerking toch plaatsvinden wanneer het andere doel waarvoor de persoonsgegevens worden verwerkt verenigbaar is met het oorspronkelijke verwerkingsdoel. Bij de vraag of een verstrekking verenigbaar is, spelen verschillende factoren een rol. Bijvoorbeeld: Ieder verband met het doel van verzamelen; Het kader waarin de persoonsgegevens zijn verzameld (verhouding betrokkenen en verwerkingsverantwoordelijke); De aard van de gegevens (bijzondere persoonsgegevens en/of persoonsgegevens over strafrechtelijke veroordelingen en strafbare feiten) De (mogelijke) gevolgen van een verstrekking; Het bestaan van passende waarborgen (o.a. versleuteling of pseudonimisering); De verwachtingen van de betrokkene (degene van wie een organisatie persoonsgegevens gebruikt). Gronden voor verstrekking Naast de algemene regel van verenigbaarheid geldt dat het verstrekken van gegevens gebaseerd moet zijn op een van de 6 grondslagen uit artikel 6 van de Algemene verordening gegevensbescherming (AVG),. In plaats van grondslagen wordt ook wel de term gronden gebruikt. De 6 grondslagen zijn: Toestemming van de betrokkene; Uitvoeren van een overeenkomst; Wettelijke verplichting; Vitaal belang van de betrokkene; Uitvoeren van een publiekrechtelijke taak; Gerechtvaardigd belang van de organisatie (deze grond geldt niet voor overheidsinstanties als zij persoonsgegevens verwerken in het kader van uitoefening van hun taken). Gebruik van medische gegevens Gegevens over iemand gezondheid zijn gevoelig. De Algemene verordening gegevensbescherming (AVG) bepaalt dan ook dat dit bijzondere persoonsgegevens zijn. En dat organisaties deze gegevens alleen mogen gebruiken als aan bijzondere voorwaarden wordt voldaan. Deze voorwaarden zijn verder uitgewerkt in de Uitvoeringswet AVG (UAVG). Geheimhoudingsplicht

4 Mensen die vanwege hun beroep met medische gegevens werken, zijn gebonden aan een geheimhoudingsplicht. Dat betekent dat zij in principe geen gegevens van een patiënt aan anderen mogen verstrekken. Voor verschillende soorten beroepen gelden verschillende soorten geheimhoudingsplicht. Gebruik buiten gezondheidszorg Bij het gebruiken en verstrekken van medische gegevens hoeft niet altijd een arts betrokken te zijn. Ook organisaties buiten de gezondheidszorg kunnen medische gegevens gebruiken en uitwisselen, mits de AVG of een andere wet daarvoor de basis biedt. Medisch dossier Zorgverleners, zoals huisartsen, tandartsen en specialisten, leggen de medische gegevens van hun patiënten vast in een medische dossier. De rechten van patiënten en plichten van zorgverleners daarbij zijn wettelijke vastgelegd. Dossierplicht Op grond van de Wet op de geneeskundige behandelovereenkomst (WGBO) zijn zorgverleners verplicht een medisch dossier bij te houden. Beveiliging De Algemene verordening gegevensbescherming (AVG) schrijft voor dat zorgverleners medische dossiers goed beveiligen. Zij moeten er bijvoorbeeld voor zorgen dat alleen bevoegde personen toegang hebben tot het dossier van een patiënt. Bewaartermijn De hoofdregel voor het bewaren van medische dossiers staat in de WGBO. In de wet is bepaald dat de zorgverlener het medisch dossier in principe 15 jaar moet bewaren. Rechten van patiënten De rechten van patiënten bij hun medische dossier staan deels in de WGBO, deels in de AVG. Ook in de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg zijn bepalingen opgenomen over de rechten van patiënten. Patiënten hebben het recht hun medische dossier in te zien en om correctie, aanvulling, of vernietiging van hun dossier te vragen. Ook kunnen zij vragen hun gegevens over te dragen (recht op dataportabiliteit)

5 Zorgverzekeraars Zorgverzekeraars voeren een aantal (wettelijke) taken uit waarvoor zij informatie over hun verzekerden nodig hebben. Bijvoorbeeld gegevens die nodig zijn om declaraties af te handelen. Zorgverzekeraars mogen hiervoor persoonsgegevens verwerken, waaronder medische gegevens. Formele controle Zorgverzekeraars mogen controleren of de zorgnota klopt. Ook controleert de zorgverzekeraar of de zorgverlener de gedeclareerde zorg wel mag verlenen en of het gedeclareerde bedrag juist is. Als het nodig is, morgen zorgverzekeraars daarvoor medische gegevens gebruiken. Materiele controle Zorgverzekeraars mogen onder voorwaarden een materiële controle uitvoeren. Dit betekent dat zij controleren of een zorgverlener een gedeclareerde behandeling daadwerkelijk heeft uitgevoerd (rechtmatigheid). En of de behandeling paste bij de zorgvraag. (doelmatigheid). Er gelden strenge regels wanneer een zorgverzekeraar extra informatie vraagt aan de zorgverlener voor een materiele controle. Secure werkhouding Bij Nieuw Boschzicht werken we graag in een open cultuur, waarbinnen we met elkaar aan de richtlijnen van de AVG kunnen voldoen. Juist deze openheid vraagt van iedereen een secure werkhouding, vooral waar het gaat om het werken met Persoonsgegevens. Daarom nemen we vanuit de organisatie onze verantwoordelijkheid om de processen en programmatuur adequaat in te richten. Wanneer je in de organisatie merkt dat je twijfelt of dat de juiste werkwijze wel wordt toegepast dan vragen we je dit te melden. Neem dan contact op met de directie of met de Functionaris Gegevensbescherming. Melding maken van deze situatie helpt om met elkaar andere en betere procedures te kunnen opstellen. Zo maak tje het mogelijk dat Nieuw Boschzicht kan voldoen aan de wetgeving. Secuur werken volgens de juiste procedures voorkomt datalekken. Tips voor een juiste werkwijze: Sluit je computerscherm altijd af wanneer je je werkplek verlaat. Ruim altijd je bureau op wanneer je het kantoor of je werkplek verlaat. Laat geen draagbare computers, tablets of telefoons achter in onbeheerde ruimten, uw auto, een vergaderzaal of een openbare ruimte.

6 Geef je inlognaam en wachtwoord nooit door aan collega s, ook niet tijdens ziekte of vakantie. Sla geen persoonsgegevens of andere vertrouwelijke informatie op privé computers of USBsticks op. Werk secure als je met persoonsgegevens bezig bent. Vragen? Heb je vragen over je eigen werk in relatie tot persoonsgegevens of de gevolgen van de nieuwe wetgeving? Stel ze aan je directie of aan de Functionaris Gegevensbescherming: Aryan Jongeneel