Algemene Verordening Gegevensbescherming (AVG) = General Data Protection Regulation (GDPR) = Europese Privacy Verordening

Transcriptie

1 Algemene Verordening Gegevensbescherming (AVG) = General Data Protection Regulation (GDPR) = Europese Privacy Verordening Transparantie over de genomen maatregelen om het V E R T R O U W E N te borgen De bescherming van natuurlijke personen bij de verwerking van persoonsgegevens is een grondrecht Rob Stadt IT coördinator, DPO (FG) Koninklijk Nederlands Genootschap voor Fysiotherapie 1

2 Algemene Verordening Gegevensbescherming (AVG) = General Data Protection Regulation (GDPR) = Europese Privacy Verordening Transparantie over de genomen maatregelen om het V E R T R O U W E N te borgen harmoniseren van de bescherming van de grondrechten en de fundamentele vrijheden van natuurlijke personen bij de verwerking van persoonsgegevens. snelle technologische ontwikkelingen en globalisering vereisen een krachtig en coherenter kader voor gegevensbescherming gesteund door strenge handhaving, omdat zulks van belang is voor het vertrouwen dat nodig is om de digitale economie zich in de hele interne markt te laten ontwikkelen. natuurlijke personen dienen controle over hun eigen persoonsgegevens te hebben. er dient meer rechtszekerheid en praktische zekerheid te worden geboden aan natuurlijke personen, marktdeelnemers en overheidsinstanties. 2

3 Algemene Verordening Gegevensbescherming (AVG) = General Data Protection Regulation (GDPR) = Europese Privacy Verordening Transparantie over de genomen maatregelen om het V E R T R O U W E N te borgen Kernwoorden Rekenschap (accountability) Informed consent Privacyverklaring certificering - inhoud overeenkomst tussen verantwoordelijke en (be)verwerker Informed consent Nagaan of de betrokkene alles goed heeft begrepen en weet welke gevolgen een besluit zal hebben. Betrokkene verklaart (door ondertekening) dat hij / zij alles heeft begrepen en akkoord is/instemt. 3

4 Algemene Verordening Gegevensbescherming (AVG) Accountability bestaat voor de zorg reeds langer. Sinds juni 2009 wet gebruik BSN in de zorg wordt verlangd dat Informatiebeveiliging (gedocumenteerde maatregelen gebaseerd op een risicoanalyse) onderdeel uit maakt van de beleidscyclus (Norm voor Informatiebeveiliging voor de Zorg - NEN 7510) Wet Bescherming Persoonsgegevens (Wbp) BSN verplicht (inclusief Norm voor Informatiebeveiliging voor de Zorg - NEN Aanscherping Wbp (meldplicht datalekken) Wet cliëntenrechten bij elektronische verwerking van gegevens in de zorg Algemene Verordening Gegevensbescherming (AVG) 4

5 Wet Bescherming Persoonsgegevens (Wbp) Verwerking van persoonsgegevens alleen onder voorwaarden toegestaan (rechtmatigheid). als sprake is van ondubbelzinnige toestemming, indien noodzakelijk als onderdeel van overeenkomst en/of onderdeel van wettelijke plicht (art. 8) Wet stelt eisen aan verzameling/verwerking: toereikend, ter zake dienend en niet bovenmatig (art. 11) De verantwoordelijke dient zorg te dragen voor passende technische en organisatorische maatregelen om persoonsgegevens te beveiligen tegen verlies of onrechtmatige verwerking. (art. 13). Voor bijzondere persoonsgegevens (godsdienst, gezondheid, levensovertuiging, ras, politieke gezindheid, seksuele leven, vakbond lidmaatschap geldt ander regiem m.b.t. verwerking, geheimhouding, verstrekking (art. 16 t/m 24 ) Sinds meer plichten verantwoordelijke (art. 33 t/m 34a), meer rechten van betrokkene (art. 35 t/m 42) De verantwoordelijke informeert de betrokkene onder meer over de doeleinden van de verwerking en de getroffen maatregelen om een zorgvuldige verwerking te waarborgen (privacyverklaring) stelt de Autoriteit Persoonsgegeven en betrokkene onverwijld in kennis van een inbreuk op de beveiliging die leidt tot de aanzienlijke kans op ernstige nadelige gevolgen (meldplicht datalekken) 5

6 De Wet cliëntenrechten bij elektronische verwerking van gegevens in de zorg Deze wet schept de randvoorwaarden waaronder medische gegevens veilig elektronisch mogen worden uitgewisseld of ingezien. Iedere zorgverlener is vanaf juli 2017 verplicht om de cliënt te informeren over de elektronische gegevensuitwisseling en toestemming te vragen voor het beschikbaar stellen van de cliëntgegevens via een elektronisch uitwisselingssysteem aan andere zorgverleners Vanaf 2020 kan uw cliënt aangeven welke gegevens wel of niet door welke (categorieën van) zorgverleners met een behandelrelatie mogen worden ingezien (gespecificeerde toestemming). Wellicht ten overvloede: niemand anders dus ook zorgverleners zonder behandelrelatie mag toegang hebben tot de de gegevens. heeft uw cliënt recht op (gratis) elektronische inzage in het eigen dossier en recht op een elektronisch afschrift daarvan. dient u (uw EPD leverancier) er voor te hebben gezorgd dat het elektronisch uitwisselingssysteem vastlegt wie gegevens beschikbaar heeft gesteld en wie ze heeft ingezien (logging). 6

7 7

8 8

9 Informatie en toegang tot persoonsgegevens AVG - Artikel 13 Te verstrekken informatie wanneer persoonsgegevens bij de betrokkene worden verzameld 1. De verwerkingsverantwoordelijke verstrekt betrokkene de volgende informatie: a) identiteit en contactgegevens van de verwerkingsverantwoordelijke dan wel diens vertegenwoordiger; b) als een Functionaris voor de Gegevensbescherming is aangesteld, diens contactgegevens; c) de verwerkingsdoeleinden waarvoor de persoonsgegevens zijn bestemd en rechtsgrond voor verwerking; d) de (categorieën van) ontvangers van de persoonsgegevens; e) verklaring dat de gegevens binnen de grenzen van de EU blijven 9

10 Informatie en toegang tot persoonsgegevens AVG - Artikel 13 Te verstrekken informatie wanneer persoonsgegevens bij de betrokkene worden verzameld 2. Daarnaast aanvullende informatie om een behoorlijke en transparante verwerking te waarborgen: a) de periode gedurende welke de persoonsgegevens zullen worden opgeslagen, of indien dat niet mogelijk is, de criteria ter bepaling van die termijn; b) dat de betrokkene het recht heeft de verwerkingsverantwoordelijke te verzoeken om inzage van en rectificatie of wissing van de persoonsgegevens of beperking van de hem betreffende verwerking, alsmede het recht tegen de verwerking bezwaar te maken en het recht op gegevensoverdraagbaarheid; c) dat de eerder gegeven toestemming van betrokkenen te allen tijde kan worden ingetrokken; d) dat de betrokkene het recht heeft klacht in te dienen bij een toezichthoudende autoriteit; 10

11 Als de verwerkingsverantwoordelijke een verwerker inschakelt (AVG) Overweging 81 pagina 16 Teneinde te waarborgen......mag de verwerkingsverantwoordelijke, wanneer hij een verwerker verwerkingsactiviteiten toevertrouwt, alleen een beroep doen op verwerkers die voldoende garanties bieden, met name op het gebied van deskundigheid, betrouwbaarheid en middelen, om ervoor te zorgen dat de technische en organisatorische maatregelen beantwoorden aan de voorschriften van deze verordening, mede wat de beveiliging van de verwerking betreft. Het feit dat de verwerker zich aansluit bij een goedgekeurde gedragscode of bij een goedgekeurde certificeringsregeling kan worden gebruikt als een element om aan te tonen dat aan de verplichtingen van de verwerkingsverantwoordelijke wordt voldaan. Overweging 81 pagina 16 Om de naleving van deze verordening aan te kunnen tonen, dient de verwerkingsverantwoordelijke of de verwerker een register bij te houden van verwerkingsactiviteiten die onder zijn verantwoordelijkheid hebben plaatsgevonden. 11

12 Verwerker AVG-Artikel Wanneer een verwerking namens een verwerkingsverantwoordelijke wordt verricht, doet de verwerkingsverantwoordelijke uitsluitend een beroep op verwerkers die afdoende garanties met betrekking tot het toepassen van passende technische en organisatorische maatregelen bieden.opdat de verwerking aan de vereisten van deze verordening voldoet en de bescherming van de rechten van de betrokkene is gewaarborgd. 2. De verwerker neemt geen andere verwerker in dienst zonder voorafgaande specifieke of algemene schriftelijke toestemming van de verwerkingsverantwoordelijke. 3. In het geval van algemene schriftelijke toestemming licht de verwerker de verwerkingsverantwoordelijke in over beoogde veranderingen inzake de toevoeging of vervanging van andere verwerkers, waarbij de verwerkingsverantwoordelijke de mogelijkheid wordt geboden tegen deze veranderingen bezwaar te maken. 12

13 Verwerker AVG-Artikel De verwerking door een verwerker wordt geregeld in een overeenkomst of andere rechtshandeling. Die overeenkomst of andere rechtshandeling bepaalt met name dat de verwerker: b) waarborgt dat de tot het verwerken van de persoonsgegevens gemachtigde personen zich ertoe hebben verbonden vertrouwelijkheid in acht te nemen of door een passende wettelijke verplichting van vertrouwelijkheid zijn gebonden; c) alle overeenkomstig artikel 32 vereiste (op risico s afgestemde) maatregelen neemt; d) voldoet aan voorwaarden voor het in dienst nemen van een andere verwerker; e) rekening houdend met de aard van de verwerking, de verwerkingsverantwoordelijke door middel van passende technische en organisatorische maatregelen, voor zover mogelijk, bijstand verleent bij het vervullen van diens plicht (plicht van de verantwoordelijke) om verzoeken om uitoefening van de in hoofdstuk III vastgestelde rechten van de betrokkene te beantwoorden; f) rekening houdend met de aard van de verwerking en de hem ter beschikking staande informatie de verwerkingsverantwoordelijke bijstand verleent bij het doen nakomen van de verplichtingen uit hoofde van de artikelen 32 tot en met 36 (meldplicht datalekken); 13

14 Verwerker AVG-Artikel De verwerking door een verwerker wordt geregeld in een overeenkomst of andere rechtshandeling. Die overeenkomst of andere rechtshandeling bepaalt met name dat de verwerker: g) na afloop van de verwerkingsdiensten, naargelang de keuze van de verwerkingsverantwoordelijke, alle persoonsgegevens wist of deze aan hem terugbezorgt, en bestaande kopiee n verwijdert, tenzij opslag van de persoonsgegevens Unierechtelijk of lidstaatrechtelijk is verplicht; h) de verwerkingsverantwoordelijke alle informatie ter beschikking stelt die nodig is om de nakoming van de in dit artikel neergelegde verplichtingen aan te tonen en audits, waaronder inspecties, door de verwerkingsverantwoordelijke of een door de verwerkingsverantwoordelijke gemachtigde controleur mogelijk maakt en eraan bijdraagt. 14

15 Vragen die ter voorbereiding van dit webinar aan leveranciers zijn gesteld - aan hen is verzocht om de vragen te beantwoorden in een kortdurend filmpje - 1. Welke passende technische en organisatorische beveiligingsmaatregelen zijn genomen om de te verwerken persoonsgegeven te beschermen tegen verlies, onbevoegde kennisname, verminking of onrechtmatige verwerking? 2. Welke maatregelen zijn genomen om tijdige beschikbaarheid van de gegevens te garanderen? 3. Verwacht u nog aanvullende maatregelen te zullen nemen in de aanloop naar ? 4. Bent u gecertificeerd volgens ISO of NEN 7510? Zijn die te raadplegen? Maakt het certificaat deel uit van de bewerkersovereenkomst? 5. Op welke wijze wordt de identiteit van de klanten geborgd? 6. In de aanloop naar de AVG is de Wbp vanaf uitgebreid met de meldplicht datalekken. Zijn nadere afspraken met klanten gemaakt om hen in staat te stellen bij een ernstig incident tijdig (dus binnen 72 uur) de Autoriteit Persoonsgegevens in kennis te stellen? En zo ja welke zijn dat? 7. Worden ook specifieke eisen aan klanten gesteld? Zo ja welke? 8. Is sprake van een beperking van aansprakelijkheid en zo ja, hoe hoog is dat bedrag? 15

16 Videopresentaties en aanvullende informatie leveranciers Videopresentatie AVG webinar KNGF SpotOnMedics voorbereiding AVG Startpagina aanvullende informatie Aanvullende informatie SpotOnMedics Incura BV Abakus BV voorbereiding AVG Aanvullende informatie Incura BV Abakus BV Fysiomanager voorbereiding AVG Aanvullende informatie Fysiomanager IntraMed voorbereiding AVG Aanvullende informatie Intramed 16

17 Interactief deel - gelegenheid voor het stellen van vragen Het informele deel is afgesloten met een interactief deel met gelegenheid tot het stellen van vragen. Geen gelegenheid gehad om dit webinar te volgen? Benieuwd naar de voorbereidingen van andere leveranciers? Klik dan op deze pagina. Wilt u mee weten over de voorbereidingen die u zelf moet nemen? Er volgen meer webinars. U kunt zich aanmelden via deze pagina Dank voor uw aandacht! 17