Privacy Reglement Stimulans

De Wet Bescherming Persoonsgegevens vereist dat persoonsgegevens in overeenstemming met de wet op behoorlijke en zorgvuldige wijze dienen te worden verwerkt.
Het doel van dit reglement is een praktische uitwerking te geven aan de bepalingen van de
Algemene Verordening Gegevensbescherming, verder te noemen AVG

Reikwijdte
Dit reglement is van toepassing op alle diensten, afdelingen en cliënten van Stimulans alsmede op de personen en de organisaties waarmee Stimulans een samenwerkingsovereenkomst heeft gesloten voor zover dit reglement op de werkzaamheden van de bedoelde personen en organisaties van toepassing is verklaard.

Begripsbepalingen
In de AVG wordt een aantal begrippen gehanteerd. Ter verduidelijking staat in onderstaande lijst een uitleg van de begrippen.

Persoonsgegevens
Alle gegevens die informatie kunnen verschaffen over een identificeerbare natuurlijke persoon.

Gezondheidsgegevens
Alle gegevens die de geestelijke of lichamelijke gezondheid van een persoon betreffen.

Bestand
Gestructureerd geheel van gegevens dat betrekking heeft op verschillende personen.

Verwerken
Elke handeling of elk geheel van handelingen met betrekking tot persoonsgegevens, waaronder in ieder geval het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiding of enige vorm van terbeschikkingstelling, samenbrengen, met elkaar in verband brengen, alsmede het afschermen, uitwissen of vernietigen van gegevens.

Verantwoordelijke
Degene die (formeel-juridisch) het doel en de middelen van de verwerking vaststelt.

Betrokkene
De persoon wiens persoonsgegevens worden verwerkt.

Vertegenwoordiger
Wettelijke vertegenwoordiger (bijvoorbeeld een ouder) van een betrokkene die jonger is dan 16 jaar of onder curatele is gesteld.

Bewerker
Degene die ten behoeve van de verantwoordelijke persoonsgegevens verwerkt of onder zich heeft, zonder aan zijn rechtstreeks gezag te zijn onderworpen.

Ontvanger
Degene aan wie de persoonsgegevens worden verstrekt

Doel van de gegevensverwerking
Persoonsgegevens mogen alleen worden verwerkt voor een bepaald doel. Dit doel moet welbepaald, uitdrukkelijk omschreven en gerechtvaardigd zijn. De gegevensverwerking mag niet onverenigbaar zijn met het doel waarvoor de gegevens zijn verzameld.

Doelstellingen cliënten
De doelstellingen van de persoonsregistratie waarop dit reglement van toepassing is, zijn:

  • een goede uitvoering van de zorg-, hulp- en dienstverlening die door de organisatie wordt verleend;
  • het vastleggen en beschikbaar stellen van gegevens ten behoeve van een doelmatig beleid en beheer van de organisatie;
  • het stimuleren van een permanente vorm van kwaliteitscontrole;
  • het financieel afhandelen van de geboden zorg aan de cliënt met de cliënt dan wel met diens zorgverzekeraar;
  • het verantwoorden van de organisatie aan het zorgkantoor en aan de overheid conform dit reglement, de van kracht zijnde wettelijke verplichtingen;
  • het evalueren en onderzoeken van de zorg-, hulp- en dienstverlening.

Doelstellingen medewerkers
De doelstellingen van de persoonsregistratie waarop dit reglement van toepassing is, zijn:

  • een goede uitvoering van personeelsbeleid die door de organisatie wordt uitgevoerd;
  • het vastleggen en beschikbaar stellen van gegevens ten behoeve van een doelmatig beleid en beheer van de organisatie;
  • het stimuleren van een permanente vorm van kwaliteitscontrole;
  • het financieel afhandelen van salaris en overige vergoedingen;
  • het verantwoorden van de organisatie aan de ziektekostenverzekeraars, uitvoeringsinstanties, belastingdienst en aan de overheid conform dit reglement, de vigerende voorschriften en wettelijke verplichtingen;
  • het evalueren en onderzoeken van personeelsbeleid en arbeidsmarktontwikkelingen.

De verantwoordelijke zal geen persoonsgegevens opnemen of bewaren voor andere doeleinden dan hierboven genoemd.

Grondslagen voor de gegevensverwerking
Persoonsgegevens mogen slechts worden verwerkt indien aan een van de voorwaarden is voldaan:

  • de betrokkene heeft ondubbelzinnig toestemming verleend;
  • de verwerking is noodzakelijk voor de uitvoering van een overeenkomst;
  • de verwerking is noodzakelijk voor de uitvoering van een wettelijke plicht;
  • de verwerking is noodzakelijk ter vrijwaring van een vitaal belang van de betrokkene;
  • de verwerking is noodzakelijk voor de behartiging van een gerechtvaardigd belang.

Kwaliteit van de gegevensverwerking
De gegevens moeten gelet op het doel waarvoor ze worden verwerkt:

  • niet bovenmatig;
  • toereikend;
  • ter zake dienend; en
  • juist en nauwkeurig zijn.

Opgenomen gegevens
De persoonsregistratie(s) kan/kunnen ten hoogste de volgende gegevenscategorieën bevatten:

  • Personalia/identificatiegegevens
  • Financieel/administratieve gegevens
  • Gezondheidsgegevens
  • Foto’s en filmpjes van de ervaringen van de cliënten bij Stimulans

Bijzondere gegevens over ras, godsdienst of levensovertuiging mogen alleen worden geregistreerd wanneer de betrokkene uitdrukkelijk toestemming heeft gegeven.

Informatieverstrekking
De betrokkene dient geïnformeerd te worden over de verwerking van persoonsgegevens.

Cliënt
Stimulans informeert de cliënt voor het tekenen van de cliëntovereenkomst dat er persoonsgegevens worden geregistreerd en over het bestaan van het Privacyreglement. De cliënt ontvangt een exemplaar van het Privacyreglement.

Medewerker
Stimulans informeert de medewerker tijdens het aannamegesprek dat er persoonsgegevens worden geregistreerd. De medewerker ontvangt een exemplaar van het Privacyreglement.

Verstrekking van gegevens
Verstrekking van gegevens van cliënten of medewerkers binnen de organisatie
Binnen de organisatie van de verantwoordelijke kunnen zonder toestemming van de betrokkene persoonsgegevens worden verstrekt, voor zover voor hun taakuitoefening noodzakelijk.

Verstrekking van gegevens van cliënten buiten de organisatie
Buiten de organisatie van de verantwoordelijke kunnen zonder toestemming van de betrokkene persoonsgegevens worden verstrekt, voor zover hun taakuitoefening noodzakelijk, aan:

  • degenen, die rechtstreeks betrokken zijn bij de actuele zorg- of hulpverlening aan de betrokkene, tenzij laatstgenoemde kenbaar heeft gemaakt daartegen bezwaar te hebben;
  • aan organen genoemd in de WLZ en aan het ministerie van VWS, ten behoeve van de financiering van de hulpverlening;
  • aan behandelaars.

Betrokkenen kunnen bij de zorgondernemer altijd een verzoek indienen tot het verkrijgen van gegevens om deze door te kunnen geven aan een andere organisatie.

Verstrekking van gegevens van medewerkers buiten de organisatie
Buiten de organisatie van de verantwoordelijke kunnen zonder toestemming van de betrokkene persoonsgegevens worden verstrekt, voor zover hun taakuitoefening noodzakelijk, aan:

  • Pensioenfondsen
  • Uitvoerings- en uitkeringsinstanties
  • Belastingdienst
  • Arbodienst
  • Arbeidsinspectie
  • Centraal Bureau voor Statistiek (CBS)
  • Ziektekostenverzekeraars
  • Verzekeringsmaatschappijen ten behoeve van persoonlijke verzekeringen

Anonieme gegevens
Indien de persoonsgegevens zodanig zijn geanonimiseerd, dat zij redelijkerwijs niet tot de individuele persoon herleidbaar zijn, kan de verantwoordelijke beslissen deze te verstrekken ten behoeve van doeleinden die verenigbaar zijn met het doel van de registratie.

Verstrekking van gegevens ten behoeve van wetenschappelijk onderzoek
Persoonsgegevens kunnen alleen dan zonder toestemming van de betrokkene ten behoeve van wetenschappelijk onderzoek en statistiek op het gebied van de volksgezondheid worden verstrekt, indien aan tenminste één van de volgende voorwaarden is voldaan:

  • het vragen van de gerichte toestemming in redelijkheid niet mogelijk is en voorzien is in zodanige waarborgen, dat de persoonlijke levenssfeer van de betrokkene niet onevenredig wordt geschaad;
  • het vragen van toestemming, gelet op de aard en het doel van het onderzoek, in redelijkheid niet kan worden verlangd en de verantwoordelijke zorg heeft gedragen dat de gegevens in zodanige vorm worden verstrekt dat herleiding tot individuele personen redelijkerwijs wordt voorkomen.

Voorts is dit slechts mogelijk indien:

  • het onderzoek een algemeen belang dient;
  • het onderzoek niet zonder de desbetreffende gegevens kan worden uitgevoerd;
  • de betrokken cliënt tegen een verstrekking niet uitdrukkelijk bezwaar heeft gemaakt; en
  • het onderzoek wordt verricht door Centraal Bureau voor Statistiek.

Bij een verstrekking in overeenstemming met dit lid wordt daarvan aantekening gehouden in het dossier.

Toestemming voor verstrekking van gegevens
Voor het verstrekken van persoonsgegevens aan derden is de toestemming van betrokkene vereist, tenzij er sprake is van bovengenoemde situaties of wanneer het noodzakelijk is ter uitvoering van een wettelijk voorschrift. Indien verstrekking buiten de doelstelling van de gegevensverwerking valt, dient de toestemming schriftelijk verleend te worden.

Correctie van opgenomen persoonsgegevens
De betrokkene kan de verantwoordelijke schriftelijk verzoeken de opgenomen persoonsgegevens te verbeteren, aan te vullen, te verwijderen, af te schermen of op een andere manier er voor te zorgen dat de onjuiste gegevens niet langer worden gebruikt, indien deze feitelijk onjuist zijn, voor het doel van de verwerking onvolledig of niet ter zake dienden zijn dan wel anderszins in strijd met een wettelijk voorschrift worden verwerkt. Het verzoek bevat de aan te brengen wijzigingen. De verantwoordelijke bericht de verzoeker binnen vier weken na ontvangst van het verzoek schriftelijk of en in hoeverre hij daaraan voldoet. Een gehele of gedeeltelijke weigering is steeds met redenen omkleed. De verantwoordelijke draagt zorg dat een beslissing tot correctie zo spoedig mogelijk wordt uitgevoerd. In geval van correctie van de gegevens zal de verantwoordelijke derden aan wie de (onjuiste) gegevens zijn verstrekt van de wijziging op de hoogte stellen, voor zover redelijkerwijs mogelijk is.

Inzage in de opgenomen persoonsgegevens
Betrokkene heeft het recht de opgeslagen persoonsgegeven in te zien.
Hiervoor kan deze contact opnemen met de zorgondernemer, welke inzage mogelijk zal maken.

Beveiliging van gegevensverwerking
De verantwoordelijke neemt passende technische en organisatorische maatregelen om het verlies van gegevens of onrechtmatige verwerking tegen te gaan.

Autorisaties
Er zijn per medewerker gebruikersrechten toegekend voor het gebruik van software van de organisatie door middel van een wachtwoord. Het wachtwoord is persoonsgebonden en mag niet worden doorgegeven. Medewerkers mogen alleen die persoonsgegevens inzien die voor hun taakuitoefening noodzakelijk zijn. Bij het verlaten van de werkplek moeten medewerkers gegevens afsluiten voor onbevoegden.
Back-up regeling
Er wordt wekelijks een back-up gemaakt van het automatiseringsprogramma zodat gegevens niet verloren gaan.
Dossierbeveiliging
De in de organisatie aanwezige dossiers worden achter slot en grendel bewaard.

Bewaartermijnen
Persoonsgegevens mogen niet langer worden bewaard dan noodzakelijk is voor het doel waarvoor de gegevens zijn verzameld of (verder) verwerkt.

Bewaartermijnen gegevens cliënten
Met inachtneming van eventuele wettelijke voorschriften stelt de verantwoordelijke vast hoelang de in de registratie(s) opgenomen persoonsgegevens bewaard blijven. Deze bewaartermijn is in beginsel vijftien jaren, te rekenen vanaf het tijdstip waarop zij zijn vervaardigd, of zoveel langer dan redelijkerwijs uit de zorg van een goed hulpverlener voortvloeit.

Bewaartermijnen gegevens medewerkers
Met inachtneming van eventuele wettelijke voorschriften stelt de verantwoordelijke vast hoelang de in de registratie(s) opgenomen persoonsgegevens bewaard blijven. Deze bewaartermijn is in beginsel zeven jaren, te rekenen vanaf het tijdstip waarop de medewerker uit dienst is getreden.

Vernietiging
Binnen 1 maand na het verstrijken van de vastgestelde bewaartermijn worden gegevens van cliënten en medewerkers door de verantwoordelijke verwijderd uit de systemen. Papieren documenten worden na het verstrijken van de bewaartermijn door de verantwoordelijke versnippert.

Verantwoordelijkheid van de bewerker
De verantwoordelijke verplicht de bewerker dit reglement na te leven. De verplichtingen van de bewerker worden door de verantwoordelijke schriftelijk vastgelegd. De bewerker is verantwoordelijk voor het goed functioneren van de onder zijn beheer staande faciliteiten. Hij treft de noodzakelijke maatregelen met betrekking tot de beveiliging van de gegevens.

Klachten
Indien de betrokkene van mening is dat de bepalingen van dit reglement niet worden nageleefd of andere reden heeft tot klagen, dient hij zich te wenden tot de zorgondernemer.

Klachtenafhandeling
Indien dit voor de betrokkene niet leidt tot een voor hem acceptabel resultaat, heeft de betrokkene de volgende mogelijkheden. De cliënt kan een officiële klacht indienen bij Klachtenportaal Zorg.

De manier waarop Stimulans omgaat met klachten staat beschreven in het klachtenreglement.

Een exemplaar van dit reglement is opgenomen in de informatieklapper Stimulans en te vinden op de website.

Medewerkers kunnen een klacht indienen conform de klachtenregeling voor medewerkers.
Deze klachtenregeling kan worden opgevraagd bij de zorgondernemer.

Wijziging, inwerkingtreding en inzage van dit reglement
Wijzigingen van dit reglement worden aangebracht door de verantwoordelijke. Dit reglement is per 1 januari 2017 in werking getreden.