Bewerkersovereenkomst ParkinsonInzicht (paramedici) DE ONDERGETEKENDEN: (naam zorginstelling) (plaats zorginstelling) Statutair gevestigd te Kantoorhoudend te Ingeschreven bij de Kamer van Koophandel onder nummer: (hierna Verantwoordelijke ), in deze rechtsgeldig vertegenwoordigd door (naam tekenbevoegde) (volledig adres zorginstelling) En Medical Research Data Management B.V., een besloten vennootschap met beperkte aansprakelijkheid, statutair gevestigd te Leiden, kantoorhoudend te 2333 AA Leiden aan de Rijnsburgerweg 10, ingeschreven bij de Kamer van Koophandel Den Haag onder nummer 55207448, hierbij rechtsgeldig vertegenwoordigd door haar directeur, A. P. P. Crauwels hierna te noemen MRDM;; Hierna gezamenlijk ook aan te duiden als: Partijen en afzonderlijk als Partij. VERKLAREN TE ZIJN OVEREENGEKOMEN ALS VOLGT: Artikel 1. Definities 1.1 Voor zover begrippen met een hoofdletter niet afzonderlijk zijn gedefinieerd in deze Bewerkersovereenkomst, geldt de betekenis die artikel 1 van de Wet bescherming persoonsgegevens ( Wbp ) aan die begrippen is gegeven, zoals verwerken, persoonsgegevens, verantwoordelijke. Daarnaast kunnen hier met een hoofdletter aangeduide begrippen zijn gedefinieerd in, voorzover dat het geval is, een tussen Verantwoordelijke en MRDM gesloten overeenkomst betreffende dienstverlening van MRDM en de op die overeenkomst toepasselijke algemene voorwaarden van een der Partijen, tenminste voorzover Partijen die toepassing zijn overeengekomen. Artikel 2. Onderwerp van deze Bewerkersovereenkomst 2.1 MRDM kan gedurende de looptijd van deze Bewerkersovereenkomst ten behoeve van Verantwoordelijke persoonsgegevens verwerken. Een overzicht van de categorieën Persoonsgegevens, de doeleinden waarvoor de persoonsgegevens worden verwerkt en een omschrijving van de bewerking(en) zijn opgenomen in Annex 1 bij deze Bewerkersovereenkomst. - 1 -
Artikel 3. Uitvoering verwerking 3.1 (naam tekenbevoegde) zal optreden als Verantwoordelijke en MRDM als Bewerker. 3.2 MRDM garandeert dat zij ten behoeve van Verantwoordelijke uitsluitend persoonsgegevens zal verwerken op een wijze die - en voor zover dit - noodzakelijk is de uitvoering van de in artikel 1 genoemde opdracht en zoals nader bepaald in Annex 1 van deze Bewerkersovereenkomst. Overige verwerkingen zullen uitsluitend worden uitgevoerd in expliciete opdracht van Verantwoordelijke of als daartoe een wettelijke verplichting bestaat. In geen geval zal MRDM persoonsgegevens verwerken voor eigen doeleinden. 3.3 MRDM zal alle redelijke instructies van Verantwoordelijke in verband met de verwerking van de persoonsgegevens opvolgen. MRDM stelt Verantwoordelijke onmiddellijk op de hoogte indien naar zijn oordeel instructies in strijd zijn met de toepasselijke wetgeving met betrekking tot de verwerking van persoonsgegevens of met een tussen partijen geldende overeenkomst dan wel in strijd komen met het veiligheidsbeleid van MRDM met betrekking tot de te bewerken persoonsgegevens. 3.4 MRDM zal de persoonsgegevens op behoorlijke en zorgvuldige wijze en in overeenstemming met de op hem als MRDM op grond van de Wet bescherming persoonsgegevens rustende verplichtingen verwerken. MRDM zal zich tevens houden aan de bepalingen die op grond van de Wet geneeskundige behandelingsovereenkomst (Wgbo) die van toepassing zijn op Verantwoordelijke. Partijen sluiten de overeenkomst om te profiteren van de expertise die MRDM heeft als het gaat om het beveiligen en het verwerken van Persoonsgegevens voor de doeleinden die uiteengezet zijn in Annex 1 bij deze Bewerkersovereenkomst. Het is MRDM toegestaan om naar eigen inzicht de middelen aan te wenden die zij noodzakelijk acht om die doeleinden na te streven. 3.5 MRDM zal, tenzij zij hiervoor uitdrukkelijke voorafgaande schriftelijke toestemming heeft verkregen van Verantwoordelijke en voldaan wordt aan alle wettelijke vereisten, geen persoonsgegevens doorgeven aan landen buiten de Europese Economische Ruimte ( EER ) zonder een passend beschermingsniveau. MRDM stelt de in Annex 2 genoemde medewerker van Verantwoordelijke onmiddellijk op de hoogte van alle (geplande) permanente of tijdelijke doorgiftes van persoonsgegevens naar een land buiten de Europese Economische Ruimte zonder passend beschermingsniveau en zal pas uitvoering geven aan dergelijke (geplande) doorgiftes na schriftelijke toestemming van Verantwoordelijke. Verantwoordelijke heeft te allen tijde het recht om aanvullende voorwaarden te verbinden aan haar toestemming voor een dergelijke verwerking. 3.6 Onverminderd enige andere contractuele geheimhoudingverplichting die op MRDM rust, garandeert MRDM dat zij alle persoonsgegevens als strikt vertrouwelijk zal behandelen en dat zij al haar werknemers, vertegenwoordigers en/of sub-bewerker(s) die betrokken zijn bij de verwerking van de Persoonsgegevens van de vertrouwelijke aard van dergelijke informatie en van de Persoonsgegevens op de hoogte zal stellen. MRDM zal waarborgen dat dergelijke personen en partijen een adequate geheimhoudingsovereenkomst hebben getekend en dat zij zich houden aan de bepalingen van deze Bewerkersovereenkomst en zal Verantwoordelijke op verzoek van kopieën van deze overeenkomsten voorzien. Het is MRDM niet toegestaan de Persoonsgegevens aan enige derde te tonen, verstrekken of anderszins ter beschikking te stellen, tenzij dit noodzakelijk of toegestaan is ingevolge de opdracht zoals neergelegd in de in lid 2 genoemde Annex 1 of in het geval hiervoor expliciete voorafgaande schriftelijke toestemming van Verantwoordelijke is verkregen. - 2 -
3.7 MRDM zal haar volledige medewerking verlenen aan Verantwoordelijke om (i) na goedkeuring van en in opdracht van Verantwoordelijke betrokkenen toegang te laten krijgen tot de hun betreffende persoonsgegevens, (ii) persoonsgegevens te verwijderen of te corrigeren, (iii) aan te tonen dat persoonsgegevens verwijderd of gecorrigeerd zijn indien zij incorrect zijn (of, ingeval Verantwoordelijke het er niet mee eens is dat persoonsgegevens incorrect zijn, het feit vast te leggen dat de betrokkene zijn persoonsgegevens als incorrect beschouwt) en (iv) Verantwoordelijke anderszins in de gelegenheid te stellen om aan haar verplichtingen onder de Wbp of andere toepasselijke wetgeving op het gebied van verwerking van persoonsgegevens te voldoen. 3.8 MRDM zal de persoonsgegevens betreffende Verantwoordelijke strikt gescheiden opslaan en verwerken van de persoonsgegevens die zij voor zichzelf of namens derde partijen verwerkt. Artikel 4. Beveiliging persoonsgegevens & controle 4.1 Onverminderd de beveiligingsnormen die Partijen elders zouden zijn overeengekomen, zal MRDM conform de NEN7510:2011 norm (norm voor Informatiebeveiliging voor de zorgsector in Nederland) en ISO 27001:2013 passende technische en organisatorische beveiligingsmaatregelen nemen, die gezien de huidige stand der techniek en de daarmee gemoeide kosten overeenstemmen met de aard van de te verwerken persoonsgegevens, ter bescherming van de persoonsgegevens tegen verlies, onbevoegde kennisname of onrechtmatige verwerking. Deze maatregelen omvatten in ieder geval: (a) maatregelen om te waarborgen dat enkel bevoegd personeel toegang heeft tot de persoonsgegevens voor de doeleinden die zijn uiteengezet in Annex 1; (b) maatregelen om de persoonsgegevens te beschermen tegen onopzettelijke of onrechtmatige vernietiging, onopzettelijk verlies of wijziging, onbevoegde of onrechtmatige opslag verwerking, toegang of openbaarmaking; (c) maatregelen om zwakke plekken te identificeren ten aanzien van de verwerking van persoonsgegevens in de systemen die worden ingezet voor het verlenen van diensten aan Verantwoordelijke. 4.2 Zoals ook volgt uit de NEN 7510 en ISO 27001 certificering heeft MRDM te allen tijde een passend, geschreven beveiligingsbeleid geïmplementeerd voor de verwerking van persoonsgegevens, waarin in ieder geval de in lid 1 van dit artikel 4 genoemde maatregelen uiteen zijn gezet. 4.3 Gelet op de NEN 7510 en ISO 27001 certificering van MRDM, gaat Verantwoordelijke er in beginsel van uit dat MRDM aan de bovenbeschreven veiligheidsmaatregelen voldoet. Niettemin zal Verantwoordelijke zelf kunnen toezien op de naleving van de veiligheidsmaatregelen indien Verantwoordelijke daar in redelijkheid gerede aanleiding toe heeft. Daarvan is in ieder geval sprake bij een (redelijk vermoeden van) informatie- of privacyincidenten. MRDM zal eventuele door Verantwoordelijke naar aanleiding van een dergelijke controle in redelijkheid gegeven instructies tot aanpassing van het beveiligingsbeleid binnen een redelijke termijn opvolgen. 4.4 MRDM zal in alle redelijkheid en op eigen kosten aan het onder 4.3 hiervoor bedoelde onderzoek haar medewerking verlenen. Indien meerdere Verantwoordelijken dezelfde in Annex 1 beschreven gegevensverwerking aan MRDM hebben toevertrouwd, zullen deze verantwoordelijken het onderzoek zoveel mogelijk met elkaar afstemmen opdat MRDM - 3 -
niet met opeenvolgende onderzoeken betreffende dezelfde of sterk vergelijkbare zorgen van verantwoordelijken omtrent de dataveiligheid wordt geconfronteerd. 4.5 Partijen erkennen dat beveiligingseisen voortdurend veranderen en dat een effectieve beveiliging frequente evaluatie en regelmatige verbetering van verouderde beveiligingsmaatregelen vereist. MRDM zal daarom de maatregelen zoals geïmplementeerd op basis van dit artikel 4 voortdurend evalueren en verscherpen, aanvullen of verbeteren om te blijven voldoen aan haar verplichtingen onder dit artikel 4. 4.6 MRDM is gehouden om Verantwoordelijke binnen twee weken te informeren indien de certificering van MRDM niet wordt gecontinueerd dan wel indien deze onder voorwaarden wordt gecontinueerd. Artikel 5. Monitoring, informatieplichten en incidentenmanagement 5.1 MRDM zal actief monitoren op inbreuken op de beveiligingsmaatregelen en over de resultaten van de monitoring in overeenstemming met dit artikel 5 rapporteren aan Verantwoordelijke binnen de daarvoor gestelde wettelijke termijnen. 5.2 Tot het veiligheidsbeleid van MRDM behoort het monitoren van het gebruik van aan de verantwoordelijke toegekende accounts, voorzover dat volgens de geldende technische standaarden in haar vermogen ligt. (Vermoedelijke) onregelmatigheden, zoals het onbevoegd gebruik maken van een functionaliteit van het gebruikersaccount of het account gebruiken voor doeleinden waarvoor het niet bedoeld is, worden geregistreerd. Bij constatering van (vermoedelijke) onregelmatigheden neemt MRDM passende maatregelen teneinde de veiligheid en integriteit van de aan MRDM toevertrouwde Persoonsgegevens te beschermen. Het gebruikersaccount wordt geblokkeerd. De blokkade wordt pas opgeheven na overleg met de Verantwoordelijke. MRDM stelt de Verantwoordelijke onverwijld op de hoogte (vermoedelijke) onregelmatigheden op een gebruikersaccount van de Verantwoordelijke. Indien het incident niet heeft geleid tot verlies of onbevoegde toegang tot de Persoonsgegevens, zal MRDM een dergelijk incident niet aan een derde melden, noch enige uitlatingen daarover aan derden doen, tenzij: (a) MRDM daartoe op grond van de wet of een rechterlijk bevel verplicht zou zijn; (b) door het uitblijven van een adequate reactie van de Verantwoordelijke het melden van het incident in verband met de bescherming van de persoonlijke levenssfeer van de patiënten en mede gelet op het bepaalde in artikel 34a van de Wbp aan de toezichthoudende autoriteiten bepaaldelijk noodzakelijk maakt. MRDM gaat hier pas toe over nadat overleg met de Verantwoordelijke terzake niet tot resultaat heeft geleid. 5.2 Onverminderd het bepaalde in het vorige lid, is MRDM verplicht om, zodra zich een incident met betrekking tot de verwerking van de persoonsgegevens voordoet, heeft voorgedaan of zou kunnen voordoen met betrekking tot beveiligingsmaatregelen, Verantwoordelijke daarvan onverwijld in kennis te stellen en daarbij alle relevante informatie te verstrekken omtrent de aard van het incident, het risico dat gegevens onrechtmatig verwerkt zijn of kunnen worden en de maatregelen die getroffen zijn of zullen worden om het incident op te lossen dan wel de gevolgen/schade zoveel mogelijk te beperken. 5.3 MRDM zal Verantwoordelijke te allen tijde haar medewerking verlenen en zal de instructies van Verantwoordelijke opvolgen, met als doel Verantwoordelijke in staat te stellen een deugdelijk onderzoek te verrichten naar het incident, een correcte respons te formuleren en passende vervolgstappen te nemen ten aanzien van het incident. - 4 -
5.4 Onder incident wordt in elk geval het volgende verstaan: (a) een klacht of (informatie)verzoek van een natuurlijk persoon met betrekking tot de bewerking van persoonsgegevens door MRDM; (b) een onderzoek naar of beslaglegging door overheidsfunctionarissen op de persoonsgegevens of een vermoeden dat dit gaat plaatsvinden; (c) iedere ongeautoriseerde toegang, verwerking, verwijdering, verlies of enige vorm van onrechtmatige verwerking van de persoonsgegevens; (d) een doorbreking van de beveiliging en/of de vertrouwelijkheid, zoals uiteengezet in artikel 3 en 4 van deze Bewerkersovereenkomst, die leidt tot onopzettelijke of onrechtmatige vernietiging, verlies, wijziging, onbevoegde openbaarmaking van of toegang tot de persoonsgegevens, of enige aanwijzing dat een dergelijke inbreuk zal plaatsvinden of heeft plaatsgevonden. 5.5 MRDM zal te allen tijde geschreven procedures voorhanden hebben die haar in staat stellen om Verantwoordelijke van een onmiddellijke reactie over een incident te voorzien, en om effectief samen te werken met Verantwoordelijke om het incident af te handelen en zal Verantwoordelijke voorzien van een exemplaar van dergelijke procedures indien Verantwoordelijke daarom verzoekt. 5.6 Meldingen die worden gedaan op grond van dit artikel worden gericht aan de in Annex 2 opgenomen werknemer van Verantwoordelijke of, indien relevant, aan een andere door Verantwoordelijke tijdens de duur van deze Bewerkersovereenkomst schriftelijk bekendgemaakte andere werknemer van Verantwoordelijke. 5.7 Verantwoordelijke zal, indien naar haar oordeel en mede gelet op artikel 34a Wbp noodzakelijk, betrokkenen, toezichthouders en andere derden informeren over incidenten. Het is MRDM niet toegestaan informatie te verstrekken over incidenten aan betrokkenen of andere derde partijen, behoudens voor zover MRDM daartoe wettelijk verplicht is. Gelet op diens afgeleide verantwoordelijkheid voor de bescherming van de aan de MRDM toevertrouwde persoonsgegevens mag een dergelijke verplichting worden aangenomen indien de verantwoordelijke naar het redelijke oordeel van MRDM op grond van artikel 34a Wbp gehouden zou zijn om het incident aan de toezichthouder te melden en Verantwoordelijke daartoe ook na een schriftelijke aanmaning (die ook per e mail kan worden gedaan) van de MRDM niet overgaat. Artikel 6. Gebruik onderaannemers 6.1 MRDM zal haar activiteiten die (deels) bestaan uit het verwerken van persoonsgegevens of vereisen dat persoonsgegevens verwerkt worden niet uitbesteden aan een derde partij (sub-bewerker) zonder voorafgaande schriftelijke toestemming van Verantwoordelijke 6.2 MRDM zal aan de door hem ingeschakelde sub-bewerker dezelfde of strengere verplichtingen opleggen als voor hemzelf uit deze Bewerkersovereenkomst en de wet voortvloeien en ziet toe op de naleving daarvan door de derde. 6.3 Niettegenstaande de toestemming van Verantwoordelijke voor het inschakelen van een derde partij blijft MRDM volledig aansprakelijk jegens Verantwoordelijke voor de gevolgen van het uitbesteden van werkzaamheden aan een sub-bewerker. De toestemming van Verantwoordelijke voor het uitbesteden van werkzaamheden aan een sub-bewerker laat onverlet dat voor de inzet van sub-bewerkers in een land buiten de Europese Economische Ruimte zonder een passend beschermingsniveau toestemming vereist is in overeenstemming met artikel 3.5 van deze Bewerkersovereenkomst. - 5 -
Artikel 6. Aansprakelijkheid 6.1 MRDM vrijwaart Verantwoordelijke en stelt Verantwoordelijke schadeloos voor alle claims, acties, aanspraken van derden en voor verliezen, schade of kosten die Verantwoordelijke maakt of lijdt en die rechtstreeks of indirect voortvloeien uit of tot stand komen in verband met een tekortkoming door MRDM of sub-bewerker in de nakoming van hun verplichtingen onder deze Bewerkersovereenkomst en/of enige schending door MRDM of sub-bewerker van de van toepassing zijnde wetgeving op het gebied van verwerking van persoonsgegevens in verband met de in artikel 1 genoemde Annex 1, waaronder in elk geval de Wbp. Artikel 7. Duur en beëindiging 7.1 Deze Bewerkersovereenkomst wordt ingegaan op (datum) De looptijd van deze bewerkersovereenkomst is totdat een der Partijen deze Bewerkersovereenkomst ontbindt, dan wel, indien van toepassing, de in artikel 1.1 genoemde overeenkomst tussen Verantwoordelijke en MRDM wordt ontbonden of van rechtswege eindigt. 7.2 Een mededeling betreffende de ontbinding dient door de desbetreffende Partij tenminste drie maanden voor de ingangsdatum van de ontbinding schriftelijk aan de andere Partij te worden gedaan. De Verantwoordelijke zal deze Bewerkersovereenkomst met onmiddellijke ingang kunnen ontbinden, zonder toe enige schadevergoeding te zijn gehouden, na een beveiligingsincident waarop MRDM niet adequaat heeft gereageerd dan bij wel een zodanig ernstig beveiligingsincident dat door Verantwoordelijke de in Annex 1 beschreven persoonsgegevens niet langer redelijkerwijs aan MRDM kunnen worden toevertrouwd. 7.3 Ontbinding zal door een Partij ook met onmiddellijke ingang kunnen worden aangezegd, zonder tot enige schadevergoeding te zijn gehouden, indien: (a) de andere Partij surseance van betaling heeft aangevraagd dan wel failliet wordt verklaard; (b) andere Partij wordt ontbonden dan wel ophoudt te bestaan of, ingeval van een natuurlijke persoon, is overleden. 7.3 Verplichtingen welke naar hun aard zijn bestemd om ook na beëindiging van deze Bewerkersovereenkomst voort te duren, blijven na beëindiging van de Bewerkersovereenkomst gelden. Tot deze bepalingen behoren onder meer die welke voortvloeien uit de bepalingen betreffende geheimhouding, aansprakelijkheid en toepasselijk recht. Artikel 8. Bewaartermijnen, teruggave en vernietiging van Persoonsgegevens 8.1 MRDM bewaart de persoonsgegevens niet langer dan strikt noodzakelijk en in geen geval langer dan tot het einde van deze Bewerkersovereenkomst of, indien tussen partijen een bewaartermijn is overeengekomen, niet langer dan deze termijn. 8.2 Bij beëindiging van de Bewerkersovereenkomst, of indien van toepassing aan het einde van de overeengekomen bewaartermijnen, of op schriftelijk verzoek van Verantwoordelijke zal MRDM de persoonsgegevens vernietigen of teruggeven aan Verantwoordelijke, naar keuze van Verantwoordelijke. Op verzoek van Verantwoordelijke verstrekt MRDM - 6 -
bewijs van het feit dat de gegevens vernietigd of verwijderd zijn. Indien teruggave, vernietiging of verwijdering niet mogelijk zijn, stelt MRDM Verantwoordelijke daarvan onmiddellijk op de hoogte. In dat geval garandeert MRDM dat zij de persoonsgegevens vertrouwelijk zal behandelen en niet langer zal verwerken. 8.3 Bij het einde van de Bewerkersovereenkomst zal MRDM alle derden die betrokken zijn bij het verwerken van persoonsgegevens op de hoogte stellen van de beëindiging van de Bewerkersovereenkomst en zal waarborgen dat alle betrokken derden de persoonsgegevens vernietigen of aan Verantwoordelijke overdragen, naar keuze van Verantwoordelijke. Artikel 9. Slotbepalingen 9.1 In het geval van strijdigheid tussen de bepalingen uit deze Bewerkersovereenkomst en bepalingen uit de in artikel 1 genoemde Annex 1, dan zullen de bepalingen van de Bewerkersovereenkomst leidend zijn. 9.2 Op deze Bewerkersovereenkomst is het Nederlands recht van toepassing. Geschillen over of in verband met deze Bewerkersovereenkomst worden uitsluitend voorgelegd aan de bevoegde rechter in het arrondissement Den Haag. (naam zorginstelling) MRDM Plaats: Plaats: Deventer Datum: Datum: 10-11-2015 (Handtekening tekenbevoegde) Naam: Naam: A.A.P. Crauwels Functie: Functie: Directeur - 7 -
Annex 1 paramedici ParkinsonInzicht 1 Aard van de te verwerken Persoonsgegevens 1.1 Naam- Adres- Woonplaats gegevens (NAW) van de patiënten/cliënten en contactgegevens zoals nummer mobiele telefoon of email adres van de patiënt. 1.2 De door de zorgverlener geregistreerde gegevens die betrekking hebben op de gegeven zorg/het gegeven advies. 1.3 De door de patiënt/mantelzorger gegeven antwoorden op vragenlijsten die verandering meten in de gezondheid zoals de patiënt/mantelzorger deze ervaart en die de pati- ent/mantelzorger zelf rapporteert. 2 Doelen van de te verwerken persoonsgegevens 2.1 De onder 1a genoemde gegevens worden ten behoeve van ParkinsonInzicht verwerkt om: 2.1.1 persoonsverwisseling te voorkomen; 2.1.2 aan de hand van door Bewerker aangeleverde validatierapporten correcties te kunnen aanbrengen in de over de betreffende patiënt geregistreerde gegevens; 2.1.3 het koppelen van door paramedici geregistreerde gegevens aan de geregistreerde klinische gegevens 2.2 De onder 1.1 bedoelde Persoonsgegevens worden verwerkt ten behoeve van de lande- lijke kwaliteitsregistratie die is opgezet om meer inzicht te krijgen in de kwaliteit van de multidisciplinaire zorg voor Parkinsonpatiënten 2.3 De onder 1.3 bedoelde Persoonsgegevens worden verwerkt ten behoeve van: 2.3.1 patiënt/mantelzorger feed- back aan de Verantwoordelijke betreffende de kwali- teit van leven en/of tevredenheid van diens patiënten/cliënten en eventuele al- gemene benchmark gegevens over het gemiddelde van alle deelnemende praktij- ken, dan wel 2.3.2 het desbetreffende onderzoek naar de kwaliteit van (keten- ) zorg. 3 Bijzondere bepalingen De gegevens als bedoeld onder 1.3 worden uitsluitend verwerkt voor zover de Verantwoordelijke daarvoor additioneel opdracht heeft gegeven. Die opdracht kan verschillen voor de 2.3.1 en 2.3.2 onderscheiden doelen. - 8 -