Aandacht voor Privacy

Transcriptie

1 Aandacht voor Privacy Antwoorden op belangrijke privacy vragen voor zorgmedewerkers!

2 Power of 4 BV Noord IJsseldijk PG IJSSELSTEIN Dit boekje bevat vragen en antwoorden over de toepassing van privacywetgeving voor organisaties in de gezondheidszorg. Het kan verspreid worden onder medewerkers, maar houd er dan rekening mee dat misschien niet alle antwoorden gelden voor jouw organisatie. Mogelijk zijn bepaalde maatregelen niet doorgevoerd. Wil je om die reden een aangepast boekje? Of wil je advies over privacy en/of informatieveiligheid? Neem dan contact met ons op. Versie 1.0 feb

3 Bescherm persoonsgegevens van cliënten Dat zijn we aan hen verplicht! 3

4 Aandacht voor privacy Aandacht voor privacy is belangrijk. Onzorgvuldig- of nalatig handelen met gevoelige persoonsgegevens kan leiden tot schade voor betrokkenen. Misbruik van financiële gegevens kan leiden tot ontvreemding van geld. Verlies van gegevens over gezondheid kan voor cliënten bijzonder vervelende gevolgen hebben. Het kan zelfs leiden tot grote emotionele nood. Aandacht voor privacy is vanzelfsprekend in ons dagelijks handelen. Iedereen heeft recht op goede bescherming van zijn privacy. Het is daarom belangrijk dat medewerkers goed op de hoogte zijn van privacyregels. Zij kunnen dan hun verantwoordelijkheid nemen met het beschermen van de privacy van cliënten. En als het dan eens niet zo gaat, zoals we willen, dan is het belangrijk direct en zorgvuldig te handelen. Dan moeten we persoonsgegevens veiligstellen en datalekken direct melden bij de Autoriteit Persoonsgegevens. Als de cliënt ernstig nadeel kan hebben van het datalek, dan melden we dit ook aan de cliënt. Aandacht voor privacy is het thema, waaraan Power of 4 dagelijks met veel enthousiasme werkt. Wij hebben methodes ontwikkeld om risico s goed in kaart te brengen. We weten hoe we organisaties in de gezondheidszorg kunnen helpen met hun verantwoordelijkheid om cliëntgegevens goed te beschermen en daarbij te voldoen aan privacywetgeving. Dit boekje geeft antwoord op belangrijke privacy vragen, die dagelijks gesteld worden. De antwoorden geven een inleiding op het onderwerp privacy en laten zien hoe je zorgvuldig met persoonsgegevens van cliënten omgaat. Ook geven we enkele basisregels, die je helpen om aan de privacywetgeving te voldoen. Het privacy team van Power of 4 wenst je veel aandacht voor privacy. 4

5 Belangrijke vragen over privacy Wat is Algemene Verordening Gegevensbescherming? 6 Wat zijn persoonsgegevens? 6 Wat is het verwerken van persoonsgegevens? 8 Welke privacyrechten hebben cliënten? 8 Moet ik toestemming vragen om persoonsgegevens te verwerken? 10 Wat is een functionaris voor gegevensbescherming? 12 Hoe moeten cliënten een klacht indienen? 12 Wat zijn datalekken? 14 Waar meld je een datalek? 14 Wat is een privacy statement? 16 Waar bewaar je cliëntgegevens? 18 Hoe lang mag je cliëntgegevens bewaren? 18 Hoe wissel je cliëntgegevens uit? 20 Hoe gebruik je cliëntgegevens in sociale media? 20 Tien privacy tips 23 5

6 Wat is Algemene Verordening Gegevensbescherming? De AVG is de Nederlandse naam voor de Europese privacywet. Deze wet geldt voor alle organisaties die persoonsgegevens verwerken. Deze wet vervangt de Wet bescherming persoonsgegevens en geeft meer rechten aan betrokkenen, zoals cliënten en medewerkers. Zo is het recht op inzage, het recht op informatie en het recht op wissen van gegevens uitgebreid. Cliënten moeten eenvoudig kunnen beschikken over hun gegevens en deze kunnen doorgeven aan andere organisaties als zij dit willen. Organisaties krijgen meer verplichtingen voor het omgaan met persoonsgegevens. Zo moeten zij gedetailleerd vastleggen welke persoonsgegevens zij verwerken, hoe zij met deze persoonsgegevens omgaan en of dit volgens de AVG is toegestaan. Ook moeten zij een functionaris voor gegevensbescherming aanstellen, die toezicht houdt op de naleving van de privacywetgeving binnen de organisatie. Wat zijn persoonsgegevens? Een persoonsgegeven is alle informatie die over een persoon gaat, zoals naam, adres of een foto. Ook informatie die te herleiden is naar een persoon, is een persoonsgegeven. Je kunt bijvoorbeeld met postcode én huisnummer al achterhalen waar iemand woont. Gevoelige of bijzondere persoonsgegevens, zoals de privacywet deze noemt, krijgen extra bescherming. Informatie over gezondheid, ras, seksuele voorkeur en godsdienst zijn voorbeelden van gevoelige persoonsgegevens. Zorgorganisaties verwerken veel gezondheidsgegevens en hebben dus een grote verantwoordelijkheid om deze bijzondere persoonsgegevens goed te beschermen. Persoonsgegevens gaan alleen over natuurlijke personen. De privacywet geldt dus niet voor overleden personen of voor informatie over organisaties. 6

7 Ga zorgvuldig om met persoonsgegevens! 7

8 Wat is het verwerken van persoonsgegevens? De privacywetgeving is van toepassing als sprake is van het verwerken van persoonsgegevens. Hieronder valt iedere bewerking, zoals het opslaan, verzamelen, wijzigen, opvragen, raadplegen, wissen of verspreiden van persoonsgegevens. Je kunt ervan uitgaan dat de regels uit de AVG gelden als je, op welke manier dan ook, in aanraking komt met persoonsgegevens. Welke privacyrechten hebben cliënten? De privacywetgeving geeft cliënten een aantal rechten: Het recht op inzage in de persoonsgegevens die van hen verwerkt worden. Het recht op informatie over welke gegevens van hen verwerkt worden en hoe met deze gegevens wordt omgegaan. Het recht om hun persoonsgegevens eenvoudig over te dragen aan een andere zorgaanbieder. Het recht om hun gegevens te laten verwijderen, te corrigeren en af te schermen. Het recht om bezwaar in te dienen als zij van mening zijn dat hun persoonsgegevens niet juist worden verwerkt. De privacyrechten van cliënten staan beschreven in het privacystatement en worden gepubliceerd op internet. Tip: Cliënten hebben inzagerecht, houd de informatie in het cliëntdossier daarom altijd zakelijk! 8

9 Cliënten hebben inzage in hun gegevens. Houd daar rekening mee! 9

10 Moet ik toestemming vragen om persoonsgegevens te verwerken? In veel gevallen moet je toestemming vragen als je persoonsgegevens van medewerkers of cliënten wilt verwerken. Als er een wettelijke verplichting is om persoonsgegevens te verwerken, hoef je geen toestemming te vragen. Dit is bijvoorbeeld bij het aanleggen van een zorgdossier van cliënten. Ook hoef je geen toestemming te vragen als in de zorgovereenkomst al afspraken zijn gemaakt over het verwerken van persoonsgegevens. Het is dus belangrijk dat je goed op de hoogte bent van de inhoud van de zorgovereenkomst. Toestemming vraag je altijd schriftelijk. Hierbij geef je duidelijk aan waarvoor toestemming wordt gevraagd. Ook geef je aan dat de toestemming altijd mag worden ingetrokken en hoe cliënten dit kunnen doen. Het toestemmingsformulier moet voorzien zijn van een datum en in het dossier van de cliënt worden opgeslagen. Tip: Als je foto s of video s wilt maken van cliënten heb je altijd toestemming van de cliënt nodig. Als je twijfelt, overleg dan met de functionaris voor gegevensbescherming. 10

11 Altijd vooraf toestemming vragen. Ook als je een foto of video wilt maken! 11

12 Wat is een functionaris voor gegevensbescherming? De nieuwe privacywet stelt de functionaris voor gegevensbescherming verplicht voor zorgorganisaties. De functionaris voor gegevensbescherming: - helpt cliënten en medewerkers met vragen over het verwerken van persoonsgegevens - handelt klachten van cliënten en verwanten af - zorgt voor meer bekendheid over privacywetgeving - houdt toezicht op het verwerken van persoonsgegevens - maakt een overzicht van alle gegevensverwerkingen - zorgt dat risicoanalyses worden uitgevoerd voor de meest privacygevoelige gegevensverwerkingen - houdt meldingen van datalekken bij - ontwikkelt interne privacyregelingen - levert input voor het opstellen of aanpassen van gedragscodes De functionaris voor gegevensbescherming is onafhankelijk en is vraagbaak voor alle privacy gerelateerde vragen uit de organisatie. Hoe moeten cliënten een klacht indienen? Klachten over privacybescherming mail je naar de functionaris voor gegevensbescherming. Deze reageert binnen vijf werkdagen. Hij kan extra informatie opvragen of aangeven hoe de klacht wordt afgehandeld. De klacht kan mondeling worden toegelicht. Uiteraard blijft je privacy gewaarborgd bij behandeling van de klacht. De procedure geldt voor cliënten en medewerkers. 12

13 De functionaris voor gegevensbescherming kun je aanspreken voor al je privacy vragen! 13

14 Wat zijn datalekken? Een datalek is een incident, waarbij persoonsgegevens zijn betrokken. Voorbeelden van datalekken zijn: - dossier met cliëntgegevens is kwijtgeraakt - kopie van paspoort is zoek - gestolen laptop met persoonsgegevens - behandelrapportage is naar verkeerd adres verstuurd - verkeerd adres is gebruikt bij mailen persoonsgegevens - een buitenstaander luistert mee naar een gesprek over een cliënt Waar meld je een datalek? Denk je dat er sprake is van een datalek? Meld dit dan direct bij de functionaris voor gegevensbescherming van je organisatie. Veel organisaties hebben hiervoor een speciale mailbox beschikbaar. De functionaris voor gegevensbescherming beoordeelt of het datalek moet worden gemeld aan de Autoriteit Persoonsgegevens. Als dit het geval is, meldt hij het datalek binnen 72 uur. Als het datalek nadelige gevolgen heeft voor cliënten en/of medewerkers, wordt dit ook aan hen gemeld. Zij kunnen dan maatregelen nemen om erger te voorkomen. Zij kunnen bijvoorbeeld wachtwoorden aanpassen of bankpasjes blokkeren, voordat daarvan misbruik wordt gemaakt. Ook werkt de functionaris voor gegevensbescherming eraan om de gevolgen van het datalek zoveel als mogelijk te beperken. Het melden van datalekken is een uitgelezen kan om het beschermen van de persoonsgegevens van betrokkenen te verbeteren. Schroom dus niet om een melding te doen als je denkt dat er sprake is van een datalek. 14

15 Meld een datalek zo snel mogelijk, dan wordt tijdig actie ondernomen! 15

16 Wat is een privacy statement? In het privacystatement staat informatie over het verwerken van persoonsgegevens en de belangrijkste privacyrechten van cliënten. Dit zijn bijvoorbeeld het inzagerecht en de klachtenregeling. Ook staat er waar cliënten terecht kunnen met vragen of klachten. Cliënten moeten altijd op de hoogte worden gebracht over de gegevens die van hen verwerkt worden, waarom dit wordt gedaan en welke rechten de cliënt heeft. Cliënten moet je hierover ook informeren door middel van het privacystatement. Informeer cliënten over het privacystatement, voordat je hun gegevens verwerkt. Dit gebeurt bijvoorbeeld als een cliënt zich aanmeldt of een zorgovereenkomst afsluit. 16

17 Lees het privacystatement goed door, zodat je vragen van cliënten goed kunt beantwoorden! 17

18 Waar bewaar je cliëntgegevens? Cliëntgegevens worden opgeslagen in het elektronisch cliëntendossier. Dit is de enige plaats waar je cliëntgegevens mag opslaan en waar ze afdoende worden beveiligd. Een papieren archief is moeilijk actueel te houden en gevoelig voor verlies. Dit mag je daarom niet toepassen. Hetzelfde geldt voor algemeen toegankelijke netwerkschijven. Alleen met goed beveiligde opslag kun je verantwoording afleggen over het zorgvuldig omgaan met persoonsgegevens van cliënten. Tip: Als cliëntinformatie niet in het officiële elektronische cliëntdossier zit, plaats dit daar dan alsnog. Vernietig de oude (papieren) versie. Twijfel je? Overleg dan met je manager of de functionaris voor gegevensbescherming. Hoe lang mag je cliëntgegevens bewaren? De wettelijke termijn voor het bewaren van medische gegevens is 15 jaar, nadat het cliëntendossier is afgesloten of de behandelrelatie is beëindigd. Deze termijn kan verschillen per zorgorganisatie. Vraag dit na. Als de bewaartermijn is verlopen, worden de gegevens vernietigd. Voor de overige gegevens geldt dat deze niet langer dan noodzakelijk mogen worden bewaard. Veel organisaties hebben een overzicht van de voor hun organisatie vastgestelde bewaartermijnen. 18

19 Berg vertrouwelijke documenten goed op en vernietig ze als ze niet meer nodig zijn! 19

20 Hoe wissel je cliëntgegevens uit? Uitwisselen van cliëntgegevens gaat via het elektronisch cliëntendossier. Is het noodzakelijk om cliëntinformatie te mailen? Dan gebruik je beveiligde mail. Cliëntgegevens verstuur je nooit via WhatsApp of andere sociale media. Ook zijn onbeveiligde mail en fax niet toegestaan. In sommige gevallen worden cliëntgegevens per post uitgewisseld. Denk er dan wel aan dat deze post het kenmerk persoonlijk krijgt en aangetekend moet worden verzonden. Controleer bij het verzenden van mail altijd of het adres van de geadresseerde correct is en dat de juiste bijlagen zijn bijgevoegd. Tip: Overweeg altijd eerst of het echt noodzakelijk is dat je de gevoelige gegevens per mail verstuurt. Soms zijn er goede alternatieven. Hoe gebruik je cliëntgegevens in sociale media? Sociale media, zoals WhatsApp, Facebook, Twitter, Instagram en Snapchat, gebruik je niet om informatie over cliënten te delen. Je communiceert op sociale media niet over cliënten. Wil je toch graag een foto van een cliënt op sociale media plaatsen? Vraag dan altijd eerst vooraf schriftelijk toestemming aan de cliënt of zijn wettelijke vertegenwoordiger. Zonder toestemming mag je geen foto s plaatsen. Let op, de cliënt kan de toestemming weer intrekken. Je moet de foto dan weer verwijderen. Tip: Beoordeel goed of het delen van de foto nadelige gevolgen kan hebben voor de cliënt. 20

21 Let goed op als je vertrouwelijke mail verstuurt! 21

22 22 Ga zorgvuldig om met persoonsgegevens!

23 Tien privacy tips Praat nooit in een openbare ruimte over cliënten. Ga naar een 1. afgesloten ruimte, dan blijft het gesprek vertrouwelijk. Gebruik geen sociale media (Facebook, WhatsApp, Instagram, etc) om 2. informatie over je werk en/of cliënten te delen. Vraag vooraf én schriftelijk toestemming aan de cliënt als je een foto 3. of film waar de cliënt op staat, wilt publiceren. Denk je een datalek te herkennen, geef dit dan direct door aan de 4. functionaris voor gegevensbescherming. Lees het privacystatement goed door, zodat je vragen van cliënten 5. goed kunt beantwoorden. Gebruik unieke wachtwoorden. Deel je wachtwoord niet. Een 6. wachtwoordkluis helpt als je veel wachtwoorden moet onthouden. Vergrendel je computer als je even van je werkplek wegloopt (Ctrl-altdel-enter). 7. Koppel geen andere apparaten, zoals USB-sticks, diskdrives en 8. camera s aan je computer. Laat nooit een afdruk onbeheerd bij de printer achter. Haal het direct 9. op. 10. Raadpleeg intranet als je meer vragen hebt of neem contact op met de functionaris voor gegevensbescherming. 23

24 EXPERTS IN PRIVACY EN INFORMATIEVEILIGHEID IN DE ZORG Power of 4 b.v. Noord IJsseldijk PG IJSSELSTEIN T: E: info@po4.nl W: Tekeningen: ABCartoons Copyright: Power of 4 BV 2018