Welkom bij Bo College 19 APRIL 2018

Transcriptie

1 Welkom bij Bo College 19 APRIL mei 2018

2 WELKOM 1 mei 2018

3 Agenda Inloop Opening ACM Rosalin Storm van s Gravesande-Roelse en Remco Meihuizen Ten Holter Noordam Advocaten Sjoerd Warringa en Aram van Bunge Lunch Autoriteit persoonsgegevens Sofie van der Meulen Marxman advocaten Theo Stockmann en Janneke Braat Toelichting AVG handreiking Ralph Kruik Afsluiting 1 mei 2018

4 Toezicht ACM op de geboortezorg Alle informatie uit de presentatie is terug te vinden via Remco Meihuizen en Rosalin Storm 19 april

6 Governancecode Zorg 19 april 2018

7 Aram van Bunge Sjoerd Warringa Ten Holter Noordam Advocaten

8 Governance De wijze van besturen en het toezicht daarop

9 Corporate governance Commissie Peters 1998 Commissie Tabaksblatt 2003 Code Tabaksblatt 2004 Governance Code 2008 Herziene Governance Code 2016

10 Corporate Governance Code Bevat regels voor de verhoudingen tussen: bestuur raad van commissarissen algemene vergadering van aandeelhouders van beursgenoteerde bedrijven

11 Inhoud Corporate Governance Code verantwoording door bestuur toezicht op bestuur geen tegengestelde belangen vennootschap / bestuur de raad van commissarissen bepaalt beloning bestuur positie aandeelhouders helder interne audit functie externe accountant

12 Toezicht Corporate Governance interne audit extern via accountant monitoring Governance Code

13 Andere codes: Cultural Governance Code Governance Code Woningcorporaties Governance Code Welzijn & Maatschappelijke Dienstverlening Governancecode Kinderopvang Governance Code MBO onderwijs

14 Andere codes: Governance Code Hoge Scholen Governance Code Publieke Dienstverleners Gedragscode verzekeraars Code banken 2014 Code Goed Bestuur voor Goede Doelen Code Openbaar Bestuur

15 Andere codes Gedragscode goed bestuur en integriteit publieke omroep Code Primair Onderwijs Governancecode: NVP Gedrags en lidmaatschapscode Governance code: NCR code voor coöperatieve ondernemingen Governance Code Veiligheid in de Bouw

16 En jawel: Zorgbrede Governance Code (2017)

17 Governancecode Zorg Ingesteld 2006 Brancheorganisaties eisen naleving code voor lidmaatschap 2007 Governance Commissie Gezondheidszorg 2007 Zorgbrede Governancecode 2010 Adviesrapport: Een lastig gesprek 2013 Governancecode Zorg

18 BoZ De code biedt de sector een instrument om de governance zo in te richten dat die bijdraagt aan het waarborgen van goede zorg, aan het realiseren van haar maatschappelijke doelstelling en daarmee aan het maatschappelijk vertrouwen.

19 2017: Voorkom afvinkgedrag - Niet voldoen aan de regels omwille van de regels - Voordeel: het gaat om de beginselen - Nadeel: open norm lastig toetsbaar

20 Zeven principes 1. Bieden van goede zorg 2. Normen en waarden 3. Invloed belanghebbende 4. Inrichting governance 5. Goed bestuur 6. Verantwoord toezicht 7. Continue ontwikkeling

21 1. Goede zorg Goede zorg Private overeenkomst Publiek speelveld Professionele ruimte

22 2. Normen en waarden Zelf bepaalbaar Open aanspreekcultuur Leercultuur Inspraak, samenspraak en tegenspraak Signaleren misstanden belangentegenstellingen

23 3. Invloed belanghebbende Medezeggenschap, invloed en advies Andere belanghebbenden Transparantie en verantwoording Naleving code

24 4. Inrichting governance Verantwoordelijkheid voor governance en naleving code Verantwoordelijkheid ligt bij de raad van bestuur en de raad van toezicht

25 5. Goed bestuur Verantwoordelijkheid Bestuurdersverantwoordelijkheid Gerichtheid raad van bestuur Risicobeheersing Besluitvorming Informeren raad van toezicht

26 6. Verantwoord toezicht Verantwoordelijkheid raad van toezicht Benoeming en samenstelling van raad van toezicht Voordrachtsrecht Functioneren van de raad van toezicht Werkgever raad van bestuur Accountant

27 7. Continue ontwikkeling raad van bestuur Raad van bestuur Evaluatie raad van bestuur door de raad van toezicht Raad van toezicht

28 Beginsel: pas toe: OF leg uit (2010) EN leg uit (2017)

29 Governance Commissie Gezondheidszorg Sinds uitspraken merendeel schendingen geconstateerd Gevolgen voor lidmaatschap belangenorganisatie Consequenties richting zorgverzekeraar

30 Governance Commissie Gezondheidszorg spraken-governancecommissie Sinds oprichting (2007) slechts 13 uitspraken Steeds meer schendingen geconstateerd Alleen schending wordt vermeld, niet de consequenties

31 Uitspraak januari 2018 Oud bestuurders ook ontvankelijk Ook als zij zelf betrokken waren Meerdere malen schijn van belangenverstrengeling

32 Consequenties schending code Verlies lidmaatschap BoZ Zorgverzekeraars stoppen financiering Ingrijpen door Rechtbank/Ondernemingskamer Bestuurdersaansprakelijkheid

33 PAUZE 1 mei 2018

35 Algemene Verordening Gegevensbescherming Bo Geboortezorg 19 april 2018 Sofie van der Meulen

36 Waarom en wanneer Kern van de AVG Guidance Functionaris gegevensbescherming Leidende autoriteit Dataportabiliteit Data Protection Impact Assessment Voorbereiden op de AVG

37 Voorbeelden Passant vindt onversnipperde dossiers kinderopvang met foto s van kinderen, overzichten van taxiritten, adressen, mobiele nummers van ouders letterlijk op straat Harde schijf met gegevens van kankerpatiënten ziekenhuis uit kofferbak gestolen Gemeente raakt dossiers met onder meer kopie paspoort, bankafschriften en salarisstroken inwoners kwijt Autoriteit Persoonsgegevens 38

38 Wat is privacy? Persoonsgegevens: alle informatie (dat kan tekst zijn, maar mag ook een voorwerp of een foto) waarmee direct of indirect een levend persoon kan worden geïdentificeerd. Enkele voorbeelden van persoonsgegevens zijn een naam, adres, een adres, een telefoonnummer, een unieke patiëntcode of een foto. - Arrest 19 oktober 2016 ( Breyer ): dynamisch IP-adres kan een persoonsgegeven zijn. Verwerken: elke handeling met betrekking tot persoonsgegevens. Daaronder vallen onder meer het verzamelen, bewaren, in de cloud plaatsen, wijzigen, raadplegen, gebruiken, verstrekken, afschermen en vernietigen van persoonsgegevens. Verantwoordelijke: (onder de AVG: verwerkingsverantwoordelijke) een natuurlijke of rechtspersoon die het doel van en de middelen voor de verwerking van persoonsgegevens (bijvoorbeeld medische gegevens) vaststelt. Dit kan alleen of samen met andere partijen zijn. Bewerker (Wbp) is verwerker onder de AVG. De verwerker verwerkt persoonsgegevens in opdracht van de verwerkingsverantwoordelijke. Autoriteit Persoonsgegevens 39

39 Waarom nieuwe privacywetgeving Digitale samenleving 1 Europese wet 1995 Europese privacyrichtlijn Autoriteit Persoonsgegevens 40

40 Wanneer treedt de AVG in werking EC 2012 Eerste voorstel AVG mei 2016 AVG gepubliceerd mei 2018 AVG van toepassing 2018 Uitvoeringswet AVG

41 Gegevens omtrent gezondheid Persoonsgegevens die verband houden met de fysieke of mentale gezondheid van een natuurlijke persoon, waaronder gegevens over verleende gezondheidsdiensten waarmee informatie over zijn gezondheidstoestand wordt gegeven Met inbegrip van informatie die voortkomt uit testen of onderzoeken van een lichaamsdeel, genetische gegevens en biologische monsters, maar ook bijvoorbeeld informatie over ziekte, handicap, ziekterisico, medische voorgeschiedenis, klinische behandeling of fysiologische of biomedische staat van betrokkene ongeacht de bron. Autoriteit Persoonsgegevens 42

42 Voorbeeld gegevens omtrent gezondheid Voorbeelden: Het medisch dossier Lifestyle apps die diverse gezondheidsgegevens verwerken - onderzoek van de AP naar Nike+ Running app Versturen verwijsbrief van huisarts naar specialist Autoriteit Persoonsgegevens 43

43 AVG en zorgsector De inhoud van bestaande zorgspecifieke weten regelgeving blijft ongewijzigd (o.a. Wkkgz, Wet BIG, WTZi, Wmg en WGBO). Soms is deze wetgeving strikter dan de AVG (beroepsgeheim). Verplichtingen voor de verwerkingsverantwoordelijke: Instellen van een Functionaris voor de Gegevensbescherming Uitvoeren van een PIA Meldplicht datalekken Bijhouden register verwerkingsactiviteiten Nieuwe rechten voor betrokkenen (verwerking beperken, dataportabiliteit) Autoriteit Persoonsgegevens 44

44 Verplichtingen verwerker Alleen handelen in opdracht van de verantwoordelijke; Bijhouden overzicht van alle categorieën persoonsgegevens die zij verwerken in opdracht van de verwerkingsverantwoordelijke; Verwerkers moeten passende technische en organisatorische beveiligingsmaatregelen nemen die een passend beschermingsniveau bieden met het oog op het risico van de gegevensverwerking voor betrokkenen. Geen sub-verwerkers inschakelen zonder toestemming van de verantwoordelijke; Verwerkingsverantwoordelijke onverwijld op de hoogte stellen van een datalek; Verwerkers zijn verplicht medewerking te verlenen bij een verzoek daartoe van de toezichthouder (in Nederland de AP) in het kader van de uitoefening van diens taken; In sommige gevallen voorafgaande raadpleging AP of uitvoeren van PIA (GEB); Aanstellen Functionaris Gegevensbescherming. Autoriteit Persoonsgegevens 45

45 Kern van de AVG Privacyrechten Verantwoordelijkheden Privacy toezichthouders EPDB

46 Wat betekent de wet voor burgers Versterking en uitbreiding privacyrechten Toestemming Klacht bij AP Autoriteit Persoonsgegevens 48

47 Rechten van betrokkenen Transparante informatie voor de uitoefening van rechten Informatie bij verzameling Recht van inzage Recht op rectificatie Recht op verwijdering Recht op beperking van de verwerking Kennisgevingsplicht rectificatie, verwijdering, beperking Dataportabiliteit Autoriteit Persoonsgegevens 49

48 Wat betekent de wet voor organisaties 1 wet in de hele EU Verantwoordelijkheid en accountability Documentatieplicht Data Protection impact assessment (DPIA) Functionaris gegevensbescherming Hulpinstrumenten Autoriteit Persoonsgegevens 51

49 Wat betekent de wet voor de toezichthouder Toezicht en handhaving privacywet Steviger boetebevoegdheden Internationale samenwerking Voorlichting algemeen publiek Voorlichting organisaties Autoriteit Persoonsgegevens 52

50 Voorlichting Elke burger die een vraag, advies of een klacht heeft over de verwerking van persoonsgegevens kan hiermee bij de AP terecht. Op bredere schaal behandelen van klachten Meer zichtbaar in (kleinere) sectoren en organisaties Autoriteit Persoonsgegevens

51 Boetebevoegdheid Max 10 miljoen of 2% wereldwijde jaaromzet VERPLICHTINGEN VERANTWOORDELIJKEN BEGINSELEN, GRONDSLAGEN, RECHTEN Max 20 miljoen of 4% wereldwijde jaaromzet Autoriteit Persoonsgegevens 55

52 Handhavingsinstrumenten Last onder dwangsom (Uitvoeringswet AVG) Bestuurlijke boete Waarschuwing Opleggen van een verwerkingsverbod Intrekking certificering Bevel tot het nemen van bepaalde maatregelen Autoriteit Persoonsgegevens 56

53 Guidance Functionaris Gegevensbeschermin g Leidende autoriteit Recht op dataportabiliteit Data Protection Impact Assessment

54 Functionaris Gegevensbescherming Verplicht in 3 situaties Overheden en publieke organisaties Bijzondere persoonsgegevens Observatie Autoriteit Persoonsgegevens

55 Functionaris Gegevensbescherming Niet verplicht, toch een FG Alternatief voor een FG Meerdere organisaties, 1 FG Wat moet een FG weten en kunnen Wat moet u regelen Hoe werkt een FG onafhankelijk Autoriteit Persoonsgegevens 62

56 Dataportabiliteit Recht op overdraagbaarheid van persoonsgegevens Recht om jouw persoonsgegevens te ontvangen Zelf opslaan of doorgeven aan andere organisaties Welke gegevens? Welk formaat? Autoriteit Persoonsgegevens 66

57 Data Protection Impact Assessement Verplicht bij verwerkingen die hoog privacyrisico opleveren Systematisch en uitvoerig persoonlijke aspecten evalueren Grote schaal bijzondere persoonsgegevens Grote schaal systematisch mensen volgen in publiek toegankelijk gebied Autoriteit Persoonsgegevens 68

58 Wanneer een DPIA uitvoeren Beoordelen van mensen op basis van persoonskenmerken Geautomatiseerde beslissingen Stelselmatige en grootschalige monitoring Gevoelige gegevens Grootschalige gegevensverwerkingen Gekoppelde databases Gegevens over kwetsbare personen Gebruik van nieuwe technologieën Doorgifte van persoonsgegevens buiten de EU Blokkering van een recht, dienst of contract Autoriteit Persoonsgegevens 70

59 Hoe kunnen organisaties zich voorbereiden Bewustwording FG Rechten van betrokkenen Meldplicht datalekken Breng uw gegevensverwerkingen in kaart Bewerkersovereenkomsten DPIA Leidende Autoriteit Privacy by design & default Toestemming Autoriteit Persoonsgegevens 73

60

62 De nieuwe Europese privacywetgeving Theo Stockmann Janneke Braat Marxman Advocaten

63 Uw partner in privacy Introductie 35 dagen

64 Introductie Uw partner in privacy

65 Introductie Uw partner in privacy

66 Uw partner in privacy Introductie Bron: Jaarrapportage Gezondheid en welzijn 2017, Autoriteit Persoonsgegevens

67 Uw partner in privacy Introductie Kosinski et al. 2013, respondenten

68 Zorgspecifieke regelgeving Uw partner in privacy

69 Overzicht belangrijke zorgspecifieke regelgeving Uw partner in privacy Besluit elektronische gegevensverwerking door zorgaanbieders Regeling gebruik burgerservicenummer in de zorg Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg Wet op de beroepen in de individuele gezondheidszorg Wet op de geneeskundige behandelingsovereenkomst Zorgverzekeringswet

70 Uw partner in privacy Zorgspecifieke regelgeving Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg Besluit elektronische gegevensverwerking door zorgaanbieders

71 Uw partner in privacy Functionaris voor gegevensbescherming Nu: Besluit elektronische gegevensverwerking door zorgaanbieders Gegevensverwerking op grote schaal Straks: Besluit elektronische gegevensverwerking door zorgaanbieders + AVG Vereisten/kwaliteiten Zelfde FG met meerdere zorgaanbieders?

72 Uw partner in privacy Informatiesystemen Elektronisch uitwisselingssysteem: een systeem waarmee zorgaanbieders op elektronische wijze dossiers, gedeelten van dossiers, of gegevens uit dossiers voor andere zorgaanbieders raadpleegbaar kunnen maken. Zorginformatiesysteem: een elektronisch systeem van een zorgaanbieder, waarmee persoonsgegevens in een dossier worden verwerkt.

73 Uw partner in privacy Elektronisch uitwisselingssysteem Melding aan AP + auditrapport Toestemming van patiënt Informeren patiënt over wijzigingen (toegang nieuwe zorgaanbieders) Zorgverzekeraar mag geen toegang hebben Verantwoordelijke dient FG aan te stellen Verplicht NEN 7510, 7512 & 7513 Verplichte up to date kennis over informatiebeveiliging & privacywetgeving

74 Uw partner in privacy Zorginformatiesysteem Verplicht NEN 7510, 7512 & 7513 Verplichte up to date kennis over informatiebeveiliging & privacywetgeving

75 Uw partner in privacy Implementatie Waar te beginnen?

76 Uw partner in privacy Persoonsgegevens Persoonsgegevens Alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon Naam/geboortedatum/adres etc.; Foto s en video s van/met mensen; Medische informatie (informatie over allergieën, verleende zorg, zorgbehoefte etc.); Betalingsgedrag; Registratielijst bijeenkomst; Overzicht likes van Facebook-account. Zolang de informatie maar te koppelen valt aan een bepaald persoon. Oplossing: Anonimisering

77 Uw partner in privacy Inventarisatie van persoonsgegevens Maak een overzicht van persoonsgegevens & informatiestromen. Belangrijkste vragen waar eerst antwoord op moet zijn: Welke persoonsgegevens heb ik? Waarom heb ik die persoonsgegevens? Met wie worden de persoonsgegevens nu gedeeld? Hoe lang worden de persoonsgegevens nu bewaard? Werk bovenstaande vragen eerst uit (bv. Word/Excel) en vergeet nog even het juridische deel.

78 Uw partner in privacy Register van verwerkingsactiviteiten Register van verwerkingsactiviteiten (art. 30 AVG) Naam + contactgegevens / evt. contactgegevens FG Beschrijving categorieën van persoonsgegevens Beschrijving categorieën van betrokkenen Doeleinden Bewaartermijnen Categorieën van ontvangers (verwerkers en andere derden) Algemene omschrijving genomen beveiligingsmaatregelen Eventueel: Gegevensopslag buiten EU + waarborgen

79 Uw partner in privacy Privacyscan voor de zorg Nulmeting

80 Privacyscan voor de zorg Uw partner in privacy

83 Uw partner in privacy Privacyscan voor de zorg

84 Verwerkers Uw partner in privacy Verwerkers (art. 28) Verwerkersovereenkomst

85 Uw partner in privacy Verwerkersovereenkomst Verwerkersovereenkomst (art. 28 AVG) Soort persoonsgegevens, doel verwerking, betrokkenen Uitsluitend opvolgen instructies van verantwoordelijke Geheimhouding Garantie dat beveiliging op orde is Hulp bieden bij verplichtingen verantwoordelijke op gebied van rechten van betrokkenen, beveiliging, datalekken en PIA Na afloop persoonsgegevens wissen of teruggeven Toestaan audits Verstrekken documentatie waaruit blijkt dat verwerker voldoet aan de verplichtingen uit art. 28 AVG

86 Uw partner in privacy Algemeen privacybeleid Algemeen privacybeleid (art. 24 lid 2 AVG)

87 Uw partner in privacy Vragen Vragen?

88 Uw partner in privacy Contactgegevens Marxman Advocaten B.V. Amersfoort Apeldoorn Theo Stockmann Janneke Braat

90 AVG; Lastig maar behapbaar Toelichting stappenplan Bo 1 mei 2018

91 Opgestuurde vraag: Welke documenten zijn verplicht en welke zijn niet relevant (bijv. het toestemmingsformulier, het protocol inspectie op bezoek, het datalek register, verwerkingsregister, etc.)? 1 mei 2018

92 Opgestuurde vraag: In hoeverre is een klein kraambureau met minder dan 50 medewerkers in dienst verplicht zich aan de nieuwe AVG te houden? 1 mei 2018

93 Stap 1: Bewustwording Collega s op de hoogte? DOEN: Plan een bijeenkomst 1 mei 2018

94 Stap 2: Voldoe aan de verantwoordingsplicht AVG; laat maar zien dat u het goed doet. DOEN: Stel een logboek op 1 mei 2018

95 Stap 3: Stel (indien nodig) een FG aan Verplicht FG: Bijzondere persoonsgegevens Kernactiviteit Gegevensverwerking op grote schaal DOEN: Aanstellen en aanmelden FG. 1 mei 2018

96 Stap 4: Breng verwerkingen van persoonsgegevens in kaart Bewustwording DOEN: Inzichtelijk maken verwerking van persoonsgegevens 1 mei 2018

97 Stap 5: Voer een DPIA uit Test DOEN: Voer DPIA uit TIP: DPIA Tool van CNIL 1 mei 2018

98 Stap 6: Stel een dataminimalisatiebeleid op Niet meer dan noodzakelijk DOEN: Stel beleid op 1 mei 2018

99 Stap 7: Houdt uw verwerkingen bij in een register Aantonen aan AP DOEN: Vul verwerkingsregister in 1 mei 2018

100 Stap 8: Stel een nieuwe privacyverklaring op Informeren DOEN: Opstellen verklaring TIP: Gebruik tool 1 mei 2018

101 Stap 9: Stel een protocol datalekken op en vul een datalek formulier in Actieplan ingeval van datalek DOEN: Protocol opstellen DOEN: Bij datalek protocol uitvoeren 1 mei 2018

102 Stap 10: Pas de wijze waarop u toestemming krijgt van de cliënt aan Vrij, geïnformeerd, specifiek en ondubbelzinnig DOEN: Toestemming vragen 1 mei 2018

103 Stap 11: Verwerkersovereenkomsten afsluiten Met wie? DOEN: Verwerkersovereenkomsten afsluiten 1 mei 2018

104 KEEP CALM and PREPARE FOR AVG 1 mei 2018

105 BEDANKT 1 mei 2018