Privacyreglement. Preambule. Deel I Algemene Bepalingen. Persoonsgegevens

Transcriptie

1 Privacyreglement Preambule De Wet bescherming persoonsgegevens geeft regels voor de verwerking van persoonsgegevens en beschermt in het bijzonder het recht op privacy van degene op wie een persoonsgegeven betrekking heeft. Daar waar de uitwisseling van gegevens het beroepsgeheim en de positie van de patiënt raakt zijn de bepalingen uit de Wet op de geneeskundige behandelingsovereenkomst (WGBO) leidend, de bepalingen uit de WBP vormen dan slechts een aanvulling. Deel I Algemene Bepalingen 1. Begripsbepalingen 1.1 Persoonsgegevens Gegevens van cliënten. 1.2 Verwerking van persoonsgegevens Alle handelingen met betrekking tot persoonsgegevens. 1.3 Bestand Alle persoonsgegevens die op wat voor wijze dan ook toegankelijk zijn of worden gemaakt voor derden en betrekking heeft op verschillende personen. 1.4 Verantwoordelijke De natuurlijke persoon of instantie dat het doel en/of de verwerking van persoonsgegevens vaststelt. Binnen het HDI is dit de directie, die de Stichting HDI rechtsgeldig vertegenwoordigd. 1.5 Bewerker Iedere hulpverlener in de zin van de WGBO en ieder ander die van de verantwoordelijke de bevoegdheid heeft gekregen om persoonsgegevens te verwerken. 1.6 Betrokkene Degene op wie een persoonsgegeven betrekking heeft. 1.7 Derde Iedereen die geen betrokkene, verantwoordelijke, bewerker, onder het rechtstreeks gezag van één van de eerdergenoemden valt of door één van de eerdergenoemden gemachtigd is volgens dit reglement de persoonsgegevens te verwerken. 1.8 Ontvanger Degene aan wie de persoonsgegevens worden verstrekt. 1.9 Toestemming van de betrokkene Elke vrijwillige, specifieke en op informatie berustende vorm van toestemming waarmee betrokkene toestemming geeft dat zijn/haar persoonsgegevens worden verwerkt Het College bescherming persoonsgegevens of het College Het College dat tot taak heeft toe te zien op de verwerking van persoonsgegevens Persoonsgegevens 1.11 Voorafgaand onderzoek Een onderzoek als bedoeld in artikel 31 van de Wet Bescherming Persoonsgegevens.

2 1.12 Verstrekken van persoonsgegevens Het bekend maken of ter beschikking stellen van persoonsgegevens Verzamelen van persoonsgegevens Het verkrijgen van persoonsgegevens Patiëntendossier Een op wat voor wijze dan ook verzamelde hoeveelheid medische-, psychosociale- en verzekeringsgegevens van cliënt ten behoeve van de hulpverlening Vertegenwoordiger Persoon of instantie die op grond van de wet of een machtiging van cliënt, deze vertegenwoordigt (in de uitoefening van de geneeskundige behandelingsovereenkomst) Klachtencommissie van IPSO (Instellingen Psychosociale Oncologie) Onafhankelijke commissie die op grond van de Wet Klachtrecht Cliënten zorgsector is ingesteld om klachten van cliënten van de instelling te behandelen HDI De stichting die tot doel heeft het verlenen van psychologische zorg aan mensen met kanker, het verrichten van wetenschappelijk onderzoek naar de psychologische zorg aan mensen met kanker, het geven van bij- en nascholing aan professionals in de oncologie en het verrichten van alle verdere handelingen die met vorenstaande in de ruimste zin verband houden of daartoe bevorderlijk kunnen zijn, rechtsgeldig vertegenwoordigd door de statutair directeur/de directie. Deel II Toepassingsgebied 2.1 Dit reglement is van toepassing binnen het HDI en wat daaraan gelieerd is met betrekking tot de verwerking van persoonsgegevens van betrokkenen. 2.2 De verwerking van persoonsgegevens vindt slechts plaats voor zover noodzakelijk voor de uitoefening van de taken van het HDI. Deel III VERWERKING VAN PERSOONSGEGEVENS 3. Doel van de verwerking van persoonsgegevens 3.1. Persoonsgegevens worden slechts voor specifieke en gerechtvaardigde doeleinden verwerkt Verwerking van persoonsgegevens binnen het HDI geschiedt alleen en slechts voor zover dit in overeenstemming is met de hiernavolgende doeleinden: (a) Ondersteuning van de hulp- en dienstverlening aan betrokkene. (b) Het voldoen aan wettelijke verplichtingen alsmede het voldoen aan verplichtingen in het kader van subsidieverlening. (c) ondersteuning van de bedrijfsvoering van het HDI alsmede kwaliteitsbevordering en het ontwikkelen van hulpvarianten en hulpmethodieken binnen de organisatie. (d) Ondersteuning dan wel het mogelijk maken van wetenschappelijk onderzoek.

3 4. De verwerking van persoonsgegevens in het algemeen 4.1. Persoonsgegevens worden in overeenstemming met de wet, op behoorlijke en zorgvuldige wijze verwerkt, overeenkomstig de bepalingen van dit reglement Persoonsgegevens worden slechts verwerkt voor zover zij, gelet op de doeleinden waarvoor zij worden verzameld of worden verwerkt, toereikend, ter zake dienend en niet bovenmatig zijn Persoonsgegevens worden enkel verwerkt op een wijze die verenigbaar is met de doeleinden waarvoor ze zijn verkregen De verantwoordelijke ziet er op toe dat de wijze waarop persoonsgegevens worden verwerkt juist en nauwkeurig is De verantwoordelijke bepaalt wie de bewerker van de persoonsgegevens is. De verantwoordelijke verplicht de bewerker om de bepalingen uit dit reglement na te leven. 5. Verwerking van persoonsgegevens 5.1 Persoonsgegevens mogen slechts worden verwerkt indien: a) de betrokkene, of diens vertegenwoordiger voor de verwerking zijn ondubbelzinnige toestemming heeft verleend; b) dit noodzakelijk is voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of voor handelingen die op verzoek van de betrokkene worden verricht en die noodzakelijk zijn voor het sluiten van een overeenkomst; c) dit noodzakelijk is om een wettelijke verplichting na te komen; d) dit noodzakelijk is ter bestrijding van ernstig gevaar voor de gezondheid van betrokkene; e) dit noodzakelijk is en het belang van de verantwoordelijke, van een derde én het belang of de fundamentele rechten en vrijheden, in het bijzonder het recht op privacy van betrokkene van wie de gegevens worden verwerkt, niet in het geding komen. 5.2 De toestemming kan door de betrokkene of zijn wettelijk vertegenwoordiger te allen tijde worden ingetrokken. DEEL IV RECHTEN VAN DE BETROKKENE 6. Kennisgeving 6.1. De verantwoordelijke zal de betrokkene voordat de persoonsgegevens worden verkregen, voor het eerste behandelcontact informeren over: - zijn identiteit; - De doeleinden die met de verwerking van de persoonsgegevens worden nagestreefd, voor zover betrokkene hiervan niet reeds op de hoogte is; - Het privacyreglement van het HDI en de wijze waarop dit kan worden ingezien;

4 - De wijze waarop betrokkene zijn rechten die voortvloeien uit dit reglement kan uitoefenen Indien de persoonsgegevens buiten betrokkene om verkregen worden. Dan dient betrokkene geïnformeerd te worden op het moment van vastlegging of van eerste verstrekking aan derden, tenzij deze kennisgeving onmogelijk blijkt, dan wel dit onevenredige inspanning kost Nadere informatie voor zover dat gelet op de aard van de gegevens, de omstandigheden waaronder zij worden verkregen of het gebruik dat ervan wordt gemaakt nodig is om tegenover de betrokkene een behoorlijke en zorgvuldige verwerking te waarborgen Het feit dat niet alleen voor zorgverlening en zorgondersteuning, maar ook voor wetenschappelijk onderzoek en statistiek gegevens verwerkt worden Indien andere doelen dan in 6.4 genoemd een doelstelling vormen van de verwerking van persoonsgegevens, heeft de verantwoordelijke de plicht de betrokkene vooraf gericht te informeren omtrent de aard van de gegevens, die over zijn persoon worden verwerkt, evenals de reden hiervoor. 7. Inzage en afschrift (art. 7:456 BW jo art. 35 Wbp) 7.1. De betrokkene heeft recht om kennis te nemen van de op zijn persoon betrekking hebbende verzamelde en verwerkte gegevens. Hij dient daartoe een verzoek in bij de verantwoordelijke. De gevraagde inzage dient binnen vier weken plaats te vinden Betrokkene heeft naast het recht op inzage ook recht op afschrift van diens persoonsgegevens. Betrokkene heeft recht op een kopie van het patiëntendossier of andere vastgelegde persoonsgegevens. Hiervoor mag een redelijke vergoeding in rekening worden gebracht Het verzoek om inzage dan wel het verzoek om afschrift mag alleen geweigerd worden indien dit noodzakelijk is voor de bescherming van de privacy van anderen, de verantwoordelijke daaronder begrepen. Slechts in uitzonderlijke gevallen zal hiervan sprake zijn Persoonlijke werkaantekeningen, het contactjournaal en rapporten die in bewerking zijn, zijn niet onderworpen aan het recht op inzage en afschrift. 8. Recht op aanvulling, correctie, verwijdering of afscherming van persoonsgegevens (Artikel 454, tweede lid WGBO en artikel 36 Wbp.) 8.1. Een verzoek tot aanvulling van de gegevens in het medische dossier van betrokkene kan niet worden geweigerd De betrokkene kan verzoeken om gedeeltelijke of volledige correctie en/of afscherming van op hem betrekking hebbende gegevens indien deze feitelijk onjuist, voor het doel van de verwerking onvolledig of niet van belang zijn, dan wel in strijd met een wettelijk voorschrift, in de verwerking voorkomen. Voor verbetering en (gedeeltelijke) verwijdering zijn, onverminderd het bepaalde in artikel 16 niet vatbaar die gegevens die voor de uitoefening van de goede hulpverlening van belang zijn De verantwoordelijke bericht de verzoeker binnen vier weken na ontvangst van het schriftelijk verzoek tot correctie of aanvulling schriftelijk of, dan wel in hoeverre hij daaraan voldoet. Een weigering moet worden beargumenteerd.

5 8.4 De verantwoordelijke draagt zorg dat een beslissing tot correctie zo spoedig mogelijk wordt uitgevoerd. 9. Recht op vernietiging van persoonsgegevens 9.1. De betrokkene heeft het recht te verzoeken om vernietiging van op hem betrekking hebbende persoonsgegevens. Daartoe dient hij een gemotiveerd, schriftelijk verzoek in bij de verantwoordelijke De verantwoordelijke deelt betrokkene schriftelijke zijn beslissing hierover mede Het verzoek om vernietiging wordt slechts geweigerd indien bewaring op grond van een wettelijk voorschrift vereist is, dan wel redelijkerwijs kan worden aangenomen dat bewaring van aanmerkelijk belang is voor een ander dan betrokkene Indien artikel 9.2 niet van toepassing is zal de verantwoordelijke de gegevens binnen drie maanden na een daartoe strekkend verzoek van de betrokkene vernietigen. 10. Vertegenwoordiging Indien de betrokkene jonger is dan twaalf jaar, treden de ouders, die het ouderlijk gezag uitoefenen, dan wel de voogd in plaats van de betrokkene Hetzelfde geldt voor de betrokkene in de leeftijd van twaalf tot zestien jaar die niet in staat kan worden geacht tot een redelijke waardering van diens eigen belangen Indien de betrokkene in de leeftijdscategorie van twaalf tot zestien jaar valt en in staat is tot een redelijke waardering van zijn belangen ter zake, treden de betrokkene zelf en diens ouders of voogd gezamenlijk op Indien de betrokkene 16 jaar of ouder is en niet in staat kan worden geacht tot een redelijke waardering van diens eigen belang, treedt in volgorde als hier weergegeven, als vertegenwoordiger voor hem op: 1. Indien de betrokkene onder curatele staat of ten behoeve van hem het mentorschap is ingesteld: de curator of mentor. 2. Indien er geen mentor of curator is, de persoon die de betrokkene schriftelijk heeft gemachtigd: de persoonlijk gemachtigde. 3. Indien de persoonlijk gemachtigde ontbreekt of niet optreedt: de echtgenoot, de geregistreerde partner of andere levensgezel van de betrokkene. 4. Indien deze persoon dat niet wenst of ontbreekt: een ouder, kind, broer of zus van de betrokkene. DEEL V Gebruik van de persoonsgegevens 11. Toegang tot de persoonsgegevens Onverminderd eventuele wettelijke voorschriften ter zake hebben slechts toegang tot de persoonsgegevens de therapeut die deze gegevens heeft verzameld, diens waarnemer of opvolger. Andere beroepsbeoefenaren slechts voor zover zij rechtstreeks bij de behandeling van betrokkene zijn betrokken. Eventuele andere personen hebben toegang voor zover deze schriftelijk zijn benoemd door het HDI en slecht als het noodzakelijk is voor uitoefening van hun taken. De verantwoordelijke heeft slechts toegang tot de persoonsgegevens indien noodzakelijk voor de algemene verantwoordelijkheid of als verantwoordelijke voor de verwerking van persoonsgegevens.

6 12. Geheimhoudingsplicht De personen, als bedoeld in artikel 11.1, voor wie niet reeds uit hoofde van ambt, beroep of wettelijk voorschrift een geheimhoudingsplicht geldt, zijn verplicht tot geheimhouding van de persoonsgegevens, behoudens voor zover enig wettelijk voorschrift hen tot mededeling verplicht of dit noodzakelijk is voor een degelijke taakuitvoering. 13. Sanctie Bij overtreding van de in artikel voorgeschreven toegangsbevoegdheden en wanneer sprake is van onbevoegde raadpleging en/of wijziging van patiëntengegevens, kan sanctionering door de verantwoordelijke plaatsvinden. 14. Verstrekking van persoonsgegevens aan derden De bewerker en de verantwoordelijke zijn verplicht te zwijgen over alle informatie die zij van betrokkene hebben tegenover derden. Na overlijden van betrokkene blijft deze verplichting onverkort van kracht. De zwijgplicht kan slechts worden doorbroken indien: 1. Betrokkene of diens vertegenwoordiger schriftelijk en gericht toestemming heeft gegeven voor het verstrekken van de persoonsgegevens. 2. Een wettelijk voorschrift daartoe verplicht. 3. De derde een medebehandelaar is. 4. Als er sprake is van een conflict van plichten. De therapeut moet dan een afweging maken tussen het belang van het recht op privacy van betrokkene en een ander zwaarwegend belang Persoonsgegevens worden op grond slechts verstrekt aan een derde voor zover de privacy van een ander niet wordt geschaad Indien op grond van artikel persoonsgegevens worden verstrekt aan een derde zien de bewerker en verantwoordelijke erop toe dat niet meer persoonsgegevens worden verstrekt dan noodzakelijk is voor het doel waarvoor de persoonsgegevens worden verstrekt. 15. Verstrekking van persoonsgegevens ten behoeve van wetenschappelijk onderzoek Zonder toestemming van de betrokkene kunnen ten behoeve van statistiek of wetenschappelijk onderzoek op het gebied van de volksgezondheid persoonsgegevens van betrokkene aan een derde worden verstrekt indien: - Het vragen van toestemming in redelijkheid niet mogelijk is en met betrekking tot de uitvoering van het onderzoek is voorzien in zodanige waarborgen, dat de privacy van de patiënt/bewoner niet onevenredig wordt geschaad. - Het vragen van toestemming, gelet op de aard en het doel van het onderzoek, in redelijkheid niet kan worden verlangd en de hulpverlener zorg heeft gedragen dat de gegevens in zodanige vorm worden verstrekt dat herleiding tot individuele natuurlijke personen redelijkerwijs wordt voorkomen. Verstrekking is overigens pas mogelijk indien: - Het onderzoek het algemeen belang dient.

7 - Het onderzoek niet zonder de desbetreffende gegevens kan worden uitgevoerd. - Voor zover de betrokken cliënt tegen een verstrekking niet uitdrukkelijk bezwaar heeft gemaakt Bij verstrekking overeenkomstig dit artikel wordt hiervan een aantekening gehouden in het dossier. 16. Bewaartermijnen De bewaartermijn voor persoonsgegevens is in beginsel 15 jaar of langer als redelijkerwijs uit de zorg van een goed hulpverlener voortvloeit. Deze termijn vangt aan op het moment van het laatste behandelcontact Indien de bewaartermijn is verstreken worden de desbetreffende persoonsgegevens verwijderd en vernietigd binnen een termijn van een jaar. Vernietiging blijft achterwege wanneer redelijkerwijs aannemelijk is dat bewaring van aanmerkelijk belang is voor een derde, op grond van een wettelijk voorschrift vereist is of als daarover tussen de betrokkene en de bewerker overeenstemming bestaat. Indien de betreffende gegevens zodanig zijn bewerkt, dat privacy van betrokkenen niet in het geding komt, kunnen zij in geanonimiseerde vorm langer bewaard blijven. 17. Beveiliging De verantwoordelijke legt passende maatregelen ten uitvoer om persoonsgegevens te beveiligen tegen verlies of tegen enige vorm van onrechtmatige verwerking. Deze maatregelen garanderen een passend beveiligingsniveau gelet op de risico's en de aard van te beschermen gegevens met zich meebrengen. De maatregelen zijn er mede op gericht onnodige verzameling en verdere verwerking van persoonsgegevens te voorkomen. 18. Klachten 18.1 Indien de betrokkene van mening is dat de bepalingen van dit reglement niet worden nageleefd of andere reden heeft tot klagen met betrekking tot de verwerking van persoonsgegevens, dient hij zich te wenden tot de verantwoordelijke. Het Helen Dowling Instituut t.a.v. Dr. A.J. Kuiper, directeur Prof. Bronkhorstlaan 20, 3723 MB Utrecht Indien dit voor de betrokkene niet leidt tot een voor hem acceptabel resultaat, heeft de hij de mogelijkheid om op grond van dit reglement een klacht in te dienen bij de Klachtencommissie van IPSO Indien de afhandeling van de klachtenprocedure niet tot een oplossing leidt kan de betrokkene zich eventueel tot het College Bescherming Persoonsgegevens wenden met het verzoek te bemiddelen of te adviseren in zijn geschil met de verantwoordelijke. DEEL VI OVERGANGS-EN SLOTBEPALINGEN 19. Looptijd, overdracht en overgang van de registratie Onverminderd eventuele wettelijke bepalingen is dit reglement van kracht gedurende de gehele looptijd van de verwerking van persoonsgegevens De betrokkene wordt tijdig in kennis gesteld van het voornemen tot overdracht of overgang van de verwerking van de op hem/haar toepas persoonsgegevens naar een andere verantwoordelijke, zodat betrokkene hier bezwaar op kan maken.

8 20. Wijziging van het reglement Wijziging of aanvulling van het reglement vindt slechts plaats met inachtneming van de door de wetgever gestelde regels Wijzigingen van dit reglement worden aangebracht door de verantwoordelijke of de door de verantwoordelijke gemachtigde persoon. Verantwoordelijke blijft onverminderd diens verantwoordelijkheid behouden. 21. Inwerkingtreding Dit reglement is per 24 september 2015 in werking getreden en bij de verantwoordelijke in te zien. Desgewenst kan een afschrift van dit reglement worden verkregen.