BIJLAGE 8: ADDENDUM VERWERKING PERSOONSGEGEVENS ADDENDUM BIJ DE (RAAM)OVEREENKOMST TUSSEN GEMEENTE(N) EN ZORGAANBIEDER Overwegende dat: Binnen het dynamisch aankoopsysteem voor de inkoop in het sociaal domein Regio Centraal Gelderland gebruik wordt gemaakt van digitale (raam)overeenkomsten, waarbij Zorgaanbieder door het per perceel/subperceel digitaal aanvinken van de gewenste producten/diensten en Gemeente(n) aangeeft met welke Gemeente en op welk gebied hij een (raam)overeenkomst wenst aan te gaan; De Gemeente ter uitvoering van diverse producten en diensten op het gebied van het Sociaal Domein Zorgaanbieder een (raam)overeenkomst heeft gegund; Dit addendum en hetgeen daarin is overeengekomen onlosmakelijk onderdeel uitmaakt van de tussen Gemeente en Zorgaanbieder gesloten (raam)overeenkomst. Partijen komen overeen over de verwerking van persoonsgegevens in het kader van de uitvoering van deze overeenkomst conform de geldende privacyregelgeving, de Algemene Verordening Gegevensbescherming (AVG): 1. Zorgaanbieder verwerkt in het kader van de uitvoering van de overeenkomst persoonsgegevens, in overeenstemming met de geldende privacyregelgeving en van toepassing zijnde bijzondere wetgeving, waaronder de vereisten op het gebied van technische en organisatorische maatregelen. 2. Persoonsgegevens die in het kader van de uitvoering van de overeenkomst door Zorgaanbieder worden verwerkt, worden uitsluitend in dat kader verwerkt, of indien de wet daartoe verplicht. 3. Zorgaanbieder zal de persoonsgegevens in geen geval en op geen enkele wijze verstrekken aan derden, tenzij deze verstrekking nodig is in het kader van de uitvoering van de overeenkomst of wanneer Zorgaanbieder daartoe wettelijk verplicht is. 4. Zorgaanbieder zal de persoonsgegevens geheim houden en alle nodige maatregelen treffen om geheimhouding van de persoonsgegevens te verzekeren. 5. Indien Zorgaanbieder bij de uitvoering van de overeenkomst gebruik wenst te maken van derde(n) die kennis kan nemen van persoonsgegevens, deelt Zorgaanbieder dit mede aan de Gemeente. 6. Zorgaanbieder zal de verplichting tot het voldoen aan de geldende privacy regelgeving en de geheimhouding opleggen aan alle personen die voor haar werkzaam zijn en door hem ingeschakelde derden die toegang krijgen tot de persoonsgegevens. 7. Zorgaanbieder zal zorgen dat de persoonsgegevens niet buiten de EER worden verwerkt, tenzij daarvoor passende maatregelen zijn genomen conform de geldende privacyregelgeving. 8. In geval van een beveiligingsincident waarbij persoonsgegevens die in het kader van de Overeenkomst worden verwerkt verloren zijn gegaan of waartoe onbevoegde toegang hebben kunnen krijgen zullen partijen elkaar zo snel mogelijk informeren en in overleg treden over de aanpak en afhandeling van het incident. De aanpak zal geschieden met inachtneming van de op dat moment geldende regelgeving met betrekking tot beveiligingsincidenten en de meldplicht datalekken. Regio Centraal Gelderland Inkoop Sociaal Domein is een module van de MGR sociaal domein centraal Gelderland 1
9. Zorgaanbieder zal alle op de uitvoering van de overeenkomst betrekking hebbende persoonsgegevens op een nader te bepalen wijze vernietigen na beëindigen van de overeenkomst, tenzij het college een andere handelwijze verlangt. 10. Partijen zullen ieder voor zich betrokkenen informeren over de verwerkingen van hun persoonsgegevens, in ieder geval conform artikel 13 en 14 AVG, waarbij partijen betrokkenen tevens zullen informeren over de onderlinge uitwisseling van de persoonsgegevens. 11. Partijen zullen ieder voor zich een verzoek, klacht of een bezwaar van een betrokkene conform de geldende privacyregelgeving behandelen. Indien het verzoek, klacht of bezwaar tevens betrekking heeft op de door de andere partij verwerkte persoonsgegevens zullen partijen in overleg treden over de reactie op een dergelijk verzoek of bezwaar. 12. Het addendum treedt in werking op de datum van ondertekening ervan en eindigt van rechtswege bij beëindiging van de overeenkomst, met uitzondering van het bepaalde omtrent geheimhouding; deze verplichting blijft ook na beëindiging van de overeenkomst voortbestaan. 13. Partijen zullen elkaar in voorkomend geval onmiddellijk op de hoogte te brengen van enig onderzoek van een toezichthouder of andere aanleiding die zou kunnen leiden tot een voornemen van een toezichthouder tot het opleggen van een boete of last onder dwangsom met betrekking tot de verwerking van de persoonsgegevens in het kader van de uitvoering van de overeenkomst. 14. In geval van wijzigingen in de verwerking van de persoonsgegevens, privacyregelgeving of andere relevante omstandigheden die van invloed zijn op de verwerking van de persoonsgegevens zullen partijen in overleg treden over de eventueel benodigde wijziging van dit addendum omtrent persoonsgegevens. De wijzigingen worden schriftelijk overeengekomen. 2018 MGR SDCG, MODULE REGIO CENTRAAL GELDERLAND INKOOP SOCIAAL DOMEIN PUBLICATIEDATUM: 1 JULI 2018 Q&A / TOELICHTING ADDENDUM VERWERKING PERSOONSGEGEVENS Op basis van opmerkingen, toevoegingen en vragen vanuit Zorgverleners en adviezen van privacy-deskundigen. Huidige versie d.d. 6-9-2018 OVERWEGINGEN Het is belangrijk te beseffen dat de Gemeente en de Zorgaanbieder beiden verwerkingsverantwoordelijken zijn. De Gemeente is verantwoordelijk voor zover zij deze zelf verwerkt tot en met de verstrekking aan de Zorgaanbieder. De Zorgaanbieder is verantwoordelijk voor alle verwerkingen daarna tot en met de verstrekking aan de Gemeente. CORRECTIE BIJ OVERWEGINGEN BULLET 3 Hier stond tussen Gemeente en verwerker.., dat moest vanzelfsprekend zijn tussen Gemeente en Zorgaanbieder en dient in het originele Addendum als zodanig te worden gelezen. Dit is in bovenstaande tekst al gecorrigeerd. Regio Centraal Gelderland Inkoop Sociaal Domein is een module van de MGR sociaal domein centraal Gelderland 2
ALGEMEEN WELKE VOORWAARDEN ZIJN VAN TOEPASSING? Als het gaat om de verwerking van persoonsgegevens zijn zowel het addendum verwerking persoonsgegevens als de algemene bepalingen IAS Sociaal Domein RCG van toepassing. Daarbij gaat het om de relatie opdrachtgever-opdrachtnemer en ook de relatie hoofdaannemer-onderaannemers. Wat betreft persoonsgegevens staat in art.12.e van de Algemene bepalingen IAS Sociaal Domein RCG het volgende: e. Indien Opdrachtnemer met onderaannemers werkt, zal Opdrachtnemer het onder c. en d. bepaalde ook opleggen aan de onderaannemers. In c. en d. gaat het dan om de beveiliging, vertrouwelijkheid en het gehouden zijn aan de het werken binnen de voorwaarden en instructies van de opdrachtgever. WIE IS DE VERWERKINGSVERANTWOORDELIJKE? Zowel de Zorgaanbieder als de Gemeente hebben een eigen verantwoordelijkheid in de zin van de AVG. De Zorgaanbieder is geen zuivere verwerker voor de Gemeente. De Zorgaanbieder bepaalt vanuit een brede opdracht zelf doel en middelen en is dus zelf verantwoordelijk. WAAROM HET ADDENDUM? Omdat de Zorgaanbieder geen verwerker is, wordt er geen verwerkersovereenkomst gesloten. Maar de Zorgaanbieder heeft wel een opdrachtgever-opdrachtnemer relatie met de Gemeente. In dat kader worden persoonsgegevens verstrekt. Het Addendum dient ertoe in het kader van de AVG de spelregels nader te duiden. ARTIKEL 1 Artikel 1 is eigenlijk een open deur. Voor zowel de Zorgaanbieder (als de Gemeente) is de wet van toepassing. ARTIKEL 2 T/M 7 In artikel 1 staat dat de toepasselijke wetten al eisen stellen, waaronder vereisten op het gebied van technische en organisatorische maatregelen. Wat genoemd wordt in artikel 2 t/m 7 valt daaronder. Het is nader gespecificeerd in aparte artikelen zodat eenieder zich bewust is van de belangrijkste vereisten. ARTIKEL 5 In artikel 5 staat "Indien Zorgaanbieder bij de uitvoering van de overeenkomst gebruik wenst te maken van derde(n) die kennis kan nemen van persoonsgegevens, deelt Zorgaanbieder dit mede aan de Gemeente." De volgende vragen kwamen naar voren. ALS DE ZORGAANBIEDER ZELF VERANTWOORDELIJK IS, WAAROM MOET INSCHAKELEN VAN DERDEN DAN GEMELD WORDEN? Zorgaanbieders ontvangen (= verwerken) wel persoonsgegevens van de Gemeente(n). Bij de Gemeente, die de publieke taak heeft de Jeugdwet, Wmo etc. uit te voeren, en die publiekelijk moet kunnen verantwoorden dat dit goed gebeurt, is er vanzelfsprekend wel de noodzaak te weten wat er gebeurt met de data van inwoners in de zorgverlening. Regio Centraal Gelderland Inkoop Sociaal Domein is een module van de MGR sociaal domein centraal Gelderland 3
Daarnaast gelden de eisen uit de Algemene Bepalingen IAS Sociaal Domein. Daarin staat (art.15): Opdrachtnemer mag de uit de Opdracht voortvloeiende rechten en verplichtingen niet zonder voorafgaande schriftelijke toestemming van de Opdrachtgever aan derden overdragen. Opdrachtgever kan aan deze toestemming nadere voorwaarden verbinden. Kortom, het vooraf informeren van Gemeenten bij het inschakelen van derden hangt niet alleen samen met de AVG en de interpretatie van verwerkingsverantwoordelijke, maar ook met de overeenkomst zelf. WAT MOET DE ZORGAANBIEDER MELDEN BIJ DE GEMEENTE? Het gaat niet om het melden van ieder overleg of iedere e-mail of in welke database informatie wordt verwerkt. Daarvoor is de Zorgaanbieder zelf verantwoordelijk. Het gaat om cliëntgegevens verstrekt door de Gemeente die in het kader van de uitvoering van de opdracht door een derde partij, zoals een onderaannemer, worden verwerkt. Deze situatie doet zich bijvoorbeeld voor op het moment dat u ten behoeve van de zorg van een cliënt een andere zorgpartij inschakelt. Dit laat onverlet dat u vanuit uw eigen verantwoordelijkheid met die derde partij moet regelen dat voldaan wordt aan de wetgeving, waaronder de eisen vanuit de AVG. HOE ZIT HET MET PERSOONSGEGEVENS VAN ONZE MEDEWERKERS? Voor uw eigen bedrijfsvoering, dus ook uw personeel, bent u zelf de verwerkingsverantwoordelijke in de zin van de AVG. Als u voor de verwerking daarvan met derden werkt hoeft u dat niet te melden. ARTIKEL 6 HOE MOET IK GEHEIMHOUDING OPLEGGEN? Binnen de eigen organisatie is het aan te bevelen om alle medewerkers een geheimhoudingsverklaring te laten tekenen. NB: dat geldt voor iedereen die toegang heeft tot persoonsgegevens, dus ook voor mensen in tijdelijke dienst, via payrolling of een uitzendbureau, en ok voor stagiaires en vrijwilligers. Bij een derde partij zult u de geheimhouding in de overeenkomst moeten regelen. ARTIKEL 7 WAT IS DE EER? De EER is de Europese Economische Ruimte. Die bestaat uit alle landen van de Europese Unie (EU), plus Liechtenstein, Noorwegen en IJsland. In deze landen is de AVG van toepassing (territoriaal toepassingsgebied). ARTIKEL 8 WIE MOET EEN DATALEK REGISTREREN OF MELDEN? Zowel een verwerkingsverantwoordelijke als een verwerker (als u derden als verwerken heeft ingeschakeld en het lek daar plaatsvond) moet een datalek registreren. De verwerkingsverantwoordelijke maakt de afweging of het lek meldingsplichtig is en doet eventueel de melding bij de Autoriteit Persoonsgegevens (AP), de toezichthouder. Omdat het soms gaat over gegevens afkomstig van de Gemeente is het zaak om die te informeren en dan af te spreken wie in deze de verantwoordelijke is. Regio Centraal Gelderland Inkoop Sociaal Domein is een module van de MGR sociaal domein centraal Gelderland 4
ARTIKEL 9 HOE ZIT HET MET VERNIETIGEN EN BEWAARPLICHT VAN GEGEVENS? In artikel 9 staat: "Zorgaanbieder zal alle op de uitvoering van de overeenkomst betrekking hebbende persoonsgegevens op een nader te bepalen wijze vernietigen na beëindigen van de overeenkomst, tenzij het college een andere handelwijze verlangt." Het gaat hierbij om persoonsgegevens die samenhangen met de overeenkomst en persoonsgegevens die zijn overgedragen maar geen deel zijn gaan uitmaken van het cliëntdossier, of daar niet noodzakelijk deel van hoeven uit te maken. Als de overeenkomst is beëindigd dan is voor de Zorgaanbieder de grondslag voor het verwerken van persoonsgegevens niet langer aanwezig. Het is dan aan de opdrachtgever om te bepalen wat daarmee moet gebeuren, dat ze worden overgedragen en hoe lang ze worden bewaard. Als module Inkoop Sociaal Domein van de MGR, die slechts faciliteert tussen Gemeenten en Zorgaanbieders, die geen partij is in de zin van de AVG (wij verwerken niet de persoonsgegevens van uw cliënten) kunnen wij geen concrete uitspraken doen over wat u als Zorgaanbieder moet doen met welke gegevens. Bovendien gelden naast de AVG ook andere wettelijke regels (zoals geheimhoudingsplicht en bewaartermijnen), zie ook hieronder. Het belangrijkste advies dat we u kunnen geven bij onduidelijkheid na beëindiging van de overeenkomst met een Gemeente: treedt met haar in overleg. MAAR DE ZORGAANBIEDER MOET ZICH TOCH HOUDEN AAN DE WETTELIJKE BEWAARTERMIJN? De Zorgaanbieder is zelf verantwoordelijk voor het voldoen aan de eisen van de AVG en andere toepasselijke wetten. Het gaat dan ook om bewaartermijnen. Voor de dossiers geldt een wettelijke bewaartermijn. Daartoe is in de VNG Selectielijst 2017 (8.1.2) en in Jeugdwet (artikel 7.3.8 en 7.3.9) bepaald dat de jeugdhulpverlener het dossier bewaart gedurende vijftien jaar, te rekenen vanaf het tijdstip van ontvangst of waarop zij door de jeugdhulpverlener is vervaardigd, of zoveel langer als redelijkerwijs uit de zorg van een goed jeugdhulpverlener voortvloeit. In de WMO (Wet maatschappelijke ondersteuning 2015; art. 5.3.4 en 5.3.5) staat ook die termijn van 15 jaar. Voor de fiscus geldt een bewaartermijn van 7 jaar, maar daarbij dient u zich wel af te vragen of de fiscus alle gegevens moet kunnen inzien, voor hem gaat het om financiële informatie, niet noodzakelijkerwijs zorginformatie. Het betekent dat u onder de AVG de persoonlijke dossiers 15 jaar bewaart. KAN DE CLIËNT OM VERNIETIGING VRAGEN EN MOETEN WE DAT DAN UITVOEREN? Een cliënt kan altijd om vernietiging vragen (dat is een van de zogenoemde Rechten van Betrokkenen), maar ook dan kan er voor de verantwoordelijke een reden zijn (zoals wettelijke bewaartermijn) om ze (al dan niet deels) nog niet te mogen vernietigen. ARTIKEL 10 WIE MOET NU WIE INFORMEREN? Deze bepaling hangt samen met het hierboven gestelde over art.5, namelijk wie is de verantwoordelijke of zijn beide partijen dat. Dan geldt het ieder voor zich de betrokkene informeren. Wat betreft het informeren van betrokkenen zijn art. 13 en 14 van de AVG heel duidelijk. Als u (art.13 AVG) persoonsgegevens bij betrokkene verzamelt moet u (even kort door de bocht) hem/haar informeren over wie de verantwoordelijke is, voor welk doel en op basis van welke grondslag u verzamelt en of er doorgifte aan derden en dan weer wie en waarom plaatsvindt. Als u (art.14 AVG) de persoonsgegevens niet van betrokkene hebt gekregen moet u betrokkene Regio Centraal Gelderland Inkoop Sociaal Domein is een module van de MGR sociaal domein centraal Gelderland 5
binnen een maand informeren over dezelfde zaken en onmiddellijk als ze aan derden worden verstrekt. Als de Zorgaanbieder als verantwoordelijke gegevens verwerkt van de Gemeente geldt voor dat deel van de gegevens art.14. MOETEN BETROKKENEN TOESTEMMING GEVEN VOOR HET UITWISSELEN VAN PERSOONSGEGEVENS TUSSEN DE GEMEENTE EN DE ZORGAANBIEDER? Toestemming is géén geldige grondslag als het gaat om diensten van of namens de overheid waarbij de inwoner geen mogelijkheid heeft om die dienst bij een ander bedrijf aan te vragen. Bij zorg is (vanuit de overheid) de grondslag voor de verwerking i.h.a. algemeen belang, d.w.z. een publiekrechtelijke taak (zorg en ondersteuning) waarvoor de Gemeente persoonsgegevens verstrekt. Als een cliënt zijn recht van betrokkene om die verwerking te staken uitoefent kan de overheid, kunt u, die taak niet langer uitvoeren. En het is in het kader van die taak dat u een overeenkomst sluit met een cliënt en dat u zorg verleent. Kortom, daar waar toestemming in de Wbp vaak werd gevraagd als basis, is het onder de AVG een grondslag die u i.h.a. pas gebruikt als een andere niet mogelijk is. ARTIKEL 11 WIE MOET REAGEREN OP BEROEP OP RECHTEN VAN BETROKKENEN OF OP KLACHT? Dat is de verwerkingsverantwoordelijke. Dat zal meestal de Zorgaanbieder zijn. We constateerden echter dat er sprake van kan zijn van dat zowel de Gemeente als de Zorgaanbieder verantwoordelijke zijn. Dan is het zaak om met de Gemeente te overleggen hoe en door wie er wordt gereageerd. ARTIKEL 14 WAT ZIJN WIJZIGINGEN IN DE VERWERKING VAN PERSOONSGEGEVENS? Het gaat hierbij niet om wijzigingen binnen de huidige overeengekomen dienstverlening of in de uitvoering daarvan. Hier worden bedoeld majeure wijzigingen in de manier waarop de Gemeenten hun diensten contracteren, die tot gevolg hebben dat ook voor de verwerking van persoonsgegevens het Addendum gewijzigd zal moeten worden. NOG VRAGEN? MAIL NAAR PRIVACY@REGIOCENTRAALGELDERLAND.NL. Regio Centraal Gelderland Inkoop Sociaal Domein is een module van de MGR sociaal domein centraal Gelderland 6