Reglement privacybescherming cliënten MEE Zuid-Holland Noord
INHOUDSOPGAVE Inleidende bepalingen 2 Algemene bepalingen: doel, inhoud en toezicht 3 Verstrekken van persoonsgegevens en toegang tot de registratie 4 Rechten van cliënten 5 Bewaarplaats en bewaartermijn 6 Geheimhouding 6 Administratieplicht 7 Slotbepalingen 7 1
Inleidende bepalingen Artikel 1 A MEE Zuid-Holland Noord: de stichting welke zich ten doel stelt om al dan niet in samenwerking met andere instellingen en instanties ambulante maatschappelijke dienstverlening te bieden aan mensen met een handicap en/of chronische ziekte en hun omgeving, in alle levensfasen en op alle levensgebieden van de cliënt; B Wbp: de Wet bescherming persoonsgegevens; C College bescherming persoonsgegevens: het College bescherming persoonsgegevens (CBP) is het orgaan, dat belast is met het toezicht op de naleving van de Wbp; D Persoonsgegevens: gegevens die herleidbaar zijn tot een individuele natuurlijke persoon, ongeacht de wijze waarop de gegevens zijn vastgelegd; E Bijzondere persoonsgegevens: persoonsgegevens betreffende iemands godsdienst of levensovertuiging, ras, politieke gezindheid, gezondheid, seksuele leven, alsmede persoonsgegevens betreffende het lidmaatschap van een vakvereniging, strafrechtelijke persoonsgegevens over onrechtmatig of hinderlijk gedrag in verband met een opgelegd verbod naar aanleiding van dat gedrag; F Verwerking van persoonsgegevens: Onder verwerking van persoonsgegevens wordt verstaan elke handeling of elk geheel van handelingen met betrekking tot persoonsgegevens, waaronder in ieder geval het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiding of enige andere vorm van terbeschikkingstelling, samenbrengen, met elkaar in verband brengen, alsmede het afschermen, uitwissen of vernietigen van persoonsgegevens; G Persoonsregistratie: elk gesystematiseerd geheel van persoonsgegevens, dat volgens bepaalde criteria toegankelijk is en betrekking heeft op verschillende personen; H Wmo 2015: De Wet maatschappelijke ondersteuning zoals van kracht met ingang van 1 januari 2015. I Cliënt: persoon aan wie dienstverlening geboden wordt of werd en van wie persoonsgegevens in de persoonsregistratie zijn opgenomen; J Verantwoordelijke: de rechtspersoon die of het bestuursorgaan dat het doel en de middelen voor de verwerking van persoonsgegevens vaststelt en ervoor zorgt, dat aan de eisen die de Wbp en de WMO 2015 stellen t.a.v. het omgaan met persoonsgegevens, wordt voldaan. Binnen MEE Zuid Holland Noord heeft de Raad van Bestuur deze taak; K Beheerder: degene die onder verantwoordelijkheid van de verantwoordelijke is belast met het dagelijkse beheer van de persoonsregistratie of een gedeelte daarvan; L Verwerker: degene die in opdracht van de verantwoordelijke persoonsgegevens verwerkt; M Verstrekken van gegevens: het bekend maken of ter beschikking stellen van persoonsgegevens die in de persoonsregistratie zijn opgenomen, of die door verwerking daarvan, al dan niet in verband met andere gegevens zijn verkregen; 2
N Verstrekken van persoonsgegevens aan een derde: verstrekken van persoonsgegevens aan een persoon, instelling of instantie buiten de organisatie van de verantwoordelijke, met uitzondering van de verstrekking van persoonsgegevens aan de cliënt of diens (wettelijk) vertegenwoordiger; O Dossier: een dossier is een gestructureerde verzameling gegevens met betrekking tot een bepaalde cliënt en de aan die cliënt geboden dienstverlening; Artikel 2 Dit reglement is van toepassing op de persoonsregistratie van cliënten van MEE Zuid- Holland Noord, met regiokantoren in Delft, Den Haag en Leiden. Algemene bepalingen: doel, inhoud en toezicht Artikel 3 1. Het doel van de persoonsregistratie is het vastleggen van persoonsgegevens van cliënten van MEE, welke noodzakelijk zijn voor: a. de dienstverlening of de ondersteuning daarvan; b. het beleid en de (kwalitatief) verantwoorde bedrijfsvoering van de stichting; c. de registratie- en informatieverplichtingen voortvloeiend uit wettelijke verplichtingen; d. het (doen) verrichten van onderzoek ten behoeve van de dienstverlening; 2. In de persoonsregistratie worden slechts persoonsgegevens opgenomen, welke noodzakelijk zijn voor het doel waarvoor de registratie is aangelegd; 3. Bijzondere persoonsgegevens mogen in de persoonsregistratie worden opgenomen als daar een algemene of specifieke wettelijke grondslag voor is. Gezien de doelstellingen van MEE is het verwerken van gegevens met betrekking tot de gezondheid van cliënten toegestaan. Voor het verwerken van alle andere soorten bijzondere persoonsgegevens is de uitdrukkelijke schriftelijke toestemming van de cliënt of diens (wettelijk)vertegenwoordiger nodig; 4. Opnames van de cliënt met audio/visuele apparatuur mogen slechts worden gemaakt, gebruikt en in de persoonsregistratie opgenomen, voor zover de cliënt dan wel diens (wettelijk) vertegenwoordiger daar uitdrukkelijke schriftelijke toestemming voor heeft gegeven; 5. De persoonsgegevens worden slechts gebruikt voor doeleinden die met het doel van de registratie verenigbaar zijn. Artikel 4 De persoonsregistratie bevat uitsluitend gegevens die zijn ontvangen van: a. de cliënt of zijn (wettelijk) vertegenwoordiger; b. direct bij de cliënt betrokken personen; c. verwijzers; d. andere hulpverleners en hulpverlenende instellingen en instanties; e. leerkrachten en onderwijsinstellingen. Artikel 5 1. De verantwoordelijke is eindverantwoordelijk voor het goed functioneren van de persoonsregistratie; 2. De verantwoordelijke draagt zorg voor de nodige voorzieningen van technische en organisatorische aard ter beveiliging van de persoonsregistratie tegen verlies of aantasting van de persoonsgegevens en tegen onbevoegde kennisneming, wijziging of verstrekking; 3
3. De verantwoordelijke is aansprakelijk voor eventuele schade of nadeel, voortvloeiend uit het niet-nakomen van de bepalingen van dit reglement; 4. De verantwoordelijke bepaalt wie beheerder is van de verschillende onderdelen van de persoonsregistratie en legt dat vast in een dossierbeleid. Verstrekken van persoonsgegevens en toegang tot de registratie Artikel 6 1. Onverminderd het bij of krachtens de wet bepaalde en hetgeen in de hiernavolgende artikelen 7, 8 en 14 is opgenomen, verstrekken de verantwoordelijke en de verwerker, aan anderen dan de cliënt geen inlichtingen over de cliënt, dan wel inzage in of afschrift van de persoonsgegevens, dan met toestemming van de cliënt. De toestemming kan te allen tijde bij voorkeur schriftelijk- worden ingetrokken; 2. Het gestelde in lid 1 is ook van toepassing op het interne gegevensverkeer tussen verschillende MEE regiokantoren, tussen verschillende afdelingen en op het externe gegevensverkeer tussen MEE Zuid-Holland Noord en de instellingen of publieke instanties waarmee MEE Zuid-Holland Noord een samenwerkingsverband is aangegaan of waarmee een overeenkomst is gesloten op basis waarvan zij medewerkers heeft gedetacheerd of diensten verleent; 3. Indien de cliënt minderjarig is en de leeftijd van 12 jaar nog niet heeft bereikt, is voor de verstrekking van persoonsgegevens de toestemming van zijn ouder(s) of voogd vereist. Dat is ook het geval, indien de minderjarige ouder dan 12 jaar, maar wilsonbekwaam is. Is de cliënt tussen de 12 en 16 jaren oud en wilsbekwaam, dan beslissen de cliënt en zijn ouder(s) of voogd samen. De cliënt van 16 jaar of ouder, beslist zelf, tenzij hij onder curatele of mentorschap staat of niet in staat kan worden geacht tot een redelijke waardering van zijn belangen ter zake. In die gevallen is toestemming van zijn (wettelijk) vertegenwoordiger vereist. Artikel 7 1. Binnen MEE kunnen zonder toestemming van de cliënt of zijn (wettelijk) vertegenwoordiger persoonsgegevens worden verstrekt dan wel inzage of afschrift worden verleend: a. aan degenen, die betrokken zijn bij dienstverlening aan de cliënt, voor zover voor hun taakuitoefening noodzakelijk; b. aan personen wier taak het is de dienstverlening aan te sturen, te controleren, te evalueren en te toetsen, voor zover voor hun taakuitoefening noodzakelijk; c. aan personen wier taak het is om vanuit een specifieke deskundigheid te adviseren ten aanzien van bepaalde onderdelen van de dienstverlening, voor zover voor hun taakuitoefening noodzakelijk; 2. Toegang tot de in de persoonsregistratie opgenomen persoonsgegevens hebben voorts de beheerder en de medewerkers, die in opdracht van de beheerder beheerstaken uitvoeren, e.e.a. slechts voor zover dat nodig is t.b.v. een adequate uitoefening van hun functie; 3. De verantwoordelijke heeft slechts toegang tot de persoonsgegevens, indien dit noodzakelijk is in verband met zijn algehele verantwoordelijkheid als verantwoordelijke; Artikel 8 1. Buiten MEE kunnen zonder toestemming van de cliënt of zijn (wettelijk) vertegenwoordiger persoonsgegevens worden verstrekt, aan het bedrijf dat beoordeelt of MEE in aanmerking komt voor (verlenging van) een kwaliteitscertificaat, voor zover voor die taakuitoefening noodzakelijk; 4
2. Indien persoonsgegevens zodanig zijn geanonimiseerd, dat zij redelijkerwijs niet tot individuele personen herleidbaar zijn, kan de verantwoordelijke beslissen deze aan derden te verstrekken voor historisch, statistisch of wetenschappelijk onderzoek; 3. Zonder toestemming van de cliënt kunnen ten behoeve van historisch, statistisch of wetenschappelijk onderzoek specifiek op het gebied van de volksgezondheid persoonsgegevens over de cliënt worden verstrekt indien het vragen van de toestemming in redelijkheid niet mogelijk is en met betrekking tot de uitvoering van het onderzoek is voorzien in zodanige waarborgen, dat de persoonlijke levenssfeer van de cliënt niet onevenredig wordt geschaad en a. het onderzoek het algemeen belang dient, b. het onderzoek niet zonder de desbetreffende persoonsgegevens kan worden uitgevoerd, en c. voor zover de betrokken cliënt tegen een verstrekking niet uitdrukkelijk bezwaar heeft gemaakt; 4. In geval toestemming van een cliënt of zijn (wettelijk) vertegenwoordiger is vereist, maar op grond van een noodsituatie de tijd voor het vragen van toestemming ontbreekt, mogen - alleen voor zover noodzakelijk voor de voortgang van de dienstverlening - persoonsgegevens aan derden worden verstrekt Rechten van cliënten Artikel 9 1. Voor aanvang van de dienstverlening stelt de verantwoordelijke van de persoonsregistratie iedere cliënt, dan wel diens (wettelijk) vertegenwoordiger door middel van een algemene kennisgeving van het bestaan van de registratie en van dit reglement op de hoogte en geeft tevens aan op welke wijze het reglement kan worden ingezien en verkregen en op welke wijze nadere informatie ter zake kan worden ingewonnen; Artikel 10 1. De cliënt heeft het recht kennis te nemen van de op zijn persoon betrekking hebbende gegevens en/of daarvan een afschrift te ontvangen. Het originele dossier blijft eigendom van MEE; 2. Ten aanzien van minderjarigen die de leeftijd van 12 jaar nog niet hebben bereikt, komt dit recht toe aan de gezaghebbende ouder(s) of voogd. Dat is ook het geval, indien de minderjarige ouder dan 12 jaar, maar wilsonbekwaam is. Is de cliënt tussen de 12 en 16 jaren oud en wilsbekwaam, dan oefenen de cliënt en zijn ouder(s) of voogd dit recht gezamenlijk uit. De cliënt van 16 jaar of ouder, beslist zelf, tenzij hij onder curatele of mentorschap staat. In dat geval komt dit recht toe aan de curator dan wel mentor. Ten aanzien van cliënten van 16 jaar of ouder, waarvoor in de contacten met MEE een nietwettelijk vertegenwoordiger is opgetreden, komt dit recht tevens toe aan de niet-wettelijk vertegenwoordiger, tenzij de cliënt zich daartegen verzet; 3. Een verzoek tot inzage of afschrift van (vrijwel) een geheel dossier moet de cliënt indienen bij de verantwoordelijke. Een verzoek tot inzage of afschrift van één of enkele onderdelen van het dossier kan ook bij de verwerker ingediend worden; 4. De verantwoordelijke geeft de cliënt op diens verzoek volledig overzicht van op zijn persoon betrekking hebbende gegevens. Dit gebeurt in begrijpelijke vorm, met een omschrijving van het doel of de doeleinden van de verwerking, alsmede de beschikbare informatie over de herkomst van de persoonsgegevens en over de verstrekking aan derden; 5. De verantwoordelijke dan wel verwerker kan een verzoek tot inzage of afschrift slechts weigeren indien dit noodzakelijk is in het belang van: 5
a. de veiligheid van de staat, b. de voorkoming, opsporing en vervolging van strafbare feiten, c. gewichtige economische en financiële belangen van de staat en andere openbare lichamen, d. het toezicht op de naleving van wettelijke voorschriften die zijn gesteld ten behoeve van de belangen, bedoeld onder b en c, of e. de bescherming van de cliënt of van de rechten en vrijheden van anderen; 6. De gevraagde inzage dan wel de verstrekking van het gevraagde afschrift dient binnen vier weken plaats te vinden; 7. Het inzagerecht wordt uitgeoefend in aanwezigheid van de verwerker. Artikel 11 1. De cliënt of diens (wettelijk) vertegenwoordiger kan verzoeken om verbetering of aanvulling van de op hem betrekking hebbende gegevens, dan wel om verwijdering, vernietiging of afscherming daarvan; 2. De cliënt of diens (wettelijk) vertegenwoordiger dient daartoe een schriftelijk en gemotiveerd verzoek in bij de verantwoordelijke; 3. De verantwoordelijke bericht de verzoeker binnen vier weken na ontvangst van het verzoek of dan wel in hoeverre hij aan het verzoek voldoet. Artikel 12 De verantwoordelijke dan wel verwerker draagt zorg voor een deugdelijke vaststelling van de identificatie van degene die gebruik wil maken van de rechten genoemd in art. 10 en 11. Bewaarplaats en bewaartermijn Artikel 13 1. Persoonsgegevens worden in digitale vorm bewaard in besloten computerbestanden van MEE Zuid-Holland Noord; 2. Aangezien MEE ZHN een aanbieder is, zoals bedoeld in artikel 3.5.4 lid 1 van de WMO 2015, bewaart MEE ZHN de persoonsgegevens in principe gedurende een periode van 15 jaar na beëindiging van de dienstverlening; 3. Indien de bewaartermijn is verstreken, worden de persoonsgegevens uit de registratie verwijderd, zulks binnen de termijn van twee maanden. Artikel 14 1. Voor zover er nog gewerkt wordt met persoonsgegevens op papier of op andere stoffelijke materialen, worden die persoonsgegevens bewaard in afsluitbare kasten in ruimtes die alleen voor de medewerkers van MEE ZHN toegankelijk zijn. 2. De persoonsgegevens op papier of op andere stoffelijke materialen worden gedigitaliseerd en/of vernietigd, zodra dat gezien de aard en inhoud van de betreffende persoonsgegevens in redelijkheid mogelijk is. Geheimhouding Artikel 15 Een ieder die betrokken is bij de uitvoering van dit reglement en daarbij tevens de beschikking krijgt over persoonsgegevens, waarvan hij het vertrouwelijk karakter kent of 6
redelijkerwijs moet vermoeden en voor wie niet reeds uit hoofde van ambt of beroep een geheimhoudingsplicht ter zake van die persoonsgegevens geldt, is verplicht tot geheimhouding daarvan, behoudens voor zover enig wettelijk voorschrift hem tot bekendmaking verplicht of uit zijn taak de noodzaak tot bekendmaking voortvloeit. Administratieplicht Artikel 16 Een ieder die onder verantwoordelijkheid van de verantwoordelijke persoonsgegevens uit de persoonsregistratie aan derden verstrekt is verplicht op deugdelijke wijze in die registratie bij te houden aan welke derden de persoonsgegevens zijn verstrekt, alsmede op grond waarvan deze persoonsgegevens zijn verstrekt. Slotbepalingen Artikel 17 Dit reglement kan worden aangehaald als Privacyreglement t.b.v. cliënten van MEE Zuid- Holland Noord en is zowel bij de verantwoordelijke als bij de regiokantoren van MEE Zuid- Holland Noord in te zien en op te vragen. Artikel 18 Een klacht omtrent de uitvoering van dit reglement kan door cliënten en hun (wettelijk) vertegenwoordigers worden ingediend bij de Provinciale klachtencommissie MEE Zuid- Holland. De afhandeling van de klacht vindt plaats volgens de bepalingen van de Provinciale Klachtenregeling en de Wet Klachtrecht Cliënten Zorgsector. De Provinciale Klachtenregeling is zowel bij de verantwoordelijke als bij de regiokantoren van MEE Zuid- Holland Noord in te zien en op te vragen. Naast gebruikmaking van het klachtrecht bestaat de mogelijkheid om bemiddeling van het College bescherming persoongegevens in te roepen of de rechter in te schakelen op grond van artikel 46 van de Wbp. Artikel 19 1. Dit reglement is na positief advies van de Cliëntenraad vastgesteld door de Raad van Bestuur van MEE ZHN op 5 januari 2015, treedt in werking met ingang van 1 januari 2015 en heeft een werkingsduur van 5 jaar; 2. Alle eerder vastgestelde versies komen hiermee te vervallen. 7