1. Reikwijdte en Beleid AURORA.amsterdam staat voor optimale databeveiliging en waarborgt het recht op privacy.
Daarvoor treft AURORA.amsterdam alle noodzakelijke maatregelen om risico’s op schending daarvan beheersbaar te houden. Het bestuur is verantwoordelijk en stafmedewerkers kwaliteit en beleid en ICT nemen hierin het voortouw. Waar nodig schakelen we externe expertise in, o.a. als het gaat om het inschatten van risico’s. Jaarlijks wordt de risico-inventarisatie geactualiseerd en maatregelen/beleid zo nodig bijgesteld. Dit als onderdeel van de jaarlijkse managementbeoordeling die uitgevoerd wordt met het oog op certificering (zoals ISO 9001 en 27001). Het beleid is verwoord in dit privacyreglement en het verwerkingsregister. Beiden zijn openbaar en opvraagbaar. Intern toezicht wordt uitgevoerd door de Functionaris Gegevensbescherming. Dit reglement is van toepassing binnen AURORA.amsterdam en heeft betrekking op de verwerkingen van gegevens van hen die bij AURORA.amsterdam in begeleiding zijn, zijn geweest, zich hebben aangemeld of contact hebben gezocht. Dit reglement is van toepassing op zowel op papier als elektronisch verwerkte gegevens.
2. Definities
- Persoonsgegevens: Elk gegeven dat is te herleiden tot een persoon.
- Gezondheidsgegevens: Gegevens over de lichamelijke of geestelijke gezondheid van een persoon.
- Bijzondere gegevens: Gegevens over godsdienst of levensovertuiging, ras, politieke gezindheid, gezondheid, seksuele leven. Strafrechtelijke en aanverwante gegevens behoren hier ook toe.
- Verwerking van persoonsgegevens: Alle handelingen met betrekking tot persoonsgegevens, waaronder in ieder geval het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiding of in een andere vorm beschikbaar stellen, samenbrengen, met elkaar in verband brengen, alsmede het versleutelen, afschermen, uitwissen of vernietigen van gegevens.
- Bestand: Elk gestructureerd geheel van persoonsgegevens.
- Medewerker: Degene die betrokken is bij het betreffende dossier. Het betreft hier in alle gevallen een behandelaar, behandelcoördinator, hoofdbehandelaar en een medewerker van de zorgadministratie en/of secretariaat.
- Bewerker: Degene die voor AURORA.amsterdam zelfstandig en op eigen verantwoordelijkheid persoonsgegevens verwerkt (bijvoorbeeld een externe kwaliteitsauditor of een onderzoeksbureau).
- Betrokkene: Degene op wie een persoonsgegeven betrekking heeft, meestal de cliënt/fellow, of zijn (wettelijk) vertegenwoordiger.
- Derde: Elke persoon of instantie die geen betrokkene, bewerker, of een persoon is die namens AURORA.amsterdam of de bewerker persoonsgegevens verwerkt, zoals een hulpverlener of P&O-medewerker.
- Toestemming van de betrokkene: Door betrokkene in vrijheid gegeven, specifieke en op basis van goede informatie berustende toestemming voor de verwerking van zijn persoonsgegevens.
- Autoriteit Persoonsgegevens (AP): De toezichthouder, de onafhankelijke instantie die erover waakt dat persoonsgegevens zorgvuldig en veilig worden verwerkt en zo nodig sancties kan opleggen als dat niet gebeurt.
- Datalek: inbreuk op de beveiliging van persoonsgegevens (zoals bedoeld in de AVG). Bij een datalek zijn de persoonsgegevens blootgesteld aan verlies of onrechtmatige verwerking – dus aan datgene waartegen de beveiligingsmaatregelen bescherming moeten bieden. Bij een datalek gaat het om toegang tot of vernietiging, wijziging of vrijkomen van persoonsgegevens bij een organisatie zonder dat dit de bedoeling is van deze organisatie. Onder een datalek valt dus niet alleen het vrijkomen (lekken) van gegevens, maar ook onrechtmatige verwerking van gegevens.
- Cookie: een klein bestandje dat met pagina’s van deze website wordt meegestuurd en door uw browser op uw harde schrijf van uw computer wordt opgeslagen.
3. Goede en veilige verwerking van gegevens van cliënten
Voor welke doelen mogen gegevens worden verwerkt?
Binnen AURORA.amsterdam worden persoonsgegevens alleen verwerkt:
- met een duidelijk doel en niet meer dan nodig: persoonsgegevens worden alleen verwerkt voor welbepaald, uitdrukkelijk omschreven en gerechtvaardigde doeleinden en moeten toereikend, relevant en niet bovenmatig zijn;
- met toestemming van betrokkene;
- nodig voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, bijvoorbeeld de begeleidingsovereenkomst;
- nodig om een wettelijke verplichting na te komen;
- nodig om ernstig gevaar voor de gezondheid van betrokkene te bestrijden, bijvoorbeeld overdrachtsinformatie aan derden bij crisis;
- nodig voor de goede vervulling van een publiekrechtelijke taak door een bestuursorgaan, bijvoorbeeld de informatie die de gemeente nodig heeft in verband met een herindicatie van ondersteuning op grond van de Wmo of Jeugdwet;
- noodzakelijk voor de belangen van AURORA.amsterdam of van een derde én het belang van degene van wie de gegevens worden verwerkt niet prevaleert;
Welke beveiligingsmaatregelen worden getroffen?
AURORA.amsterdam beveiligt persoonsgegevens tegen verlies of enige vorm van onrechtmatige of onnodige verwerking. Bij het treffen van beveiligingsmaatregelen wordt een afweging gemaakt tussen enerzijds de stand van de techniek en de kosten van de tenuitvoerlegging en anderzijds de risico’s die de verwerking en de aard van te beschermen gegevens met zich meebrengen. Voor de verstrekking van gegevens via e-mail wordt zo mogelijk gebruik gemaakt van de beveiligde e-mailverbinding.
Wie mag gezondheidsgegevens verwerken?
Hulpverleners en medewerkers van AURORA.amsterdam mogen alleen gezondheidsgegevens verwerken die voor een goede behandeling of verzorging van de betrokkene of het beheer van AURORA.amsterdam noodzakelijk zijn. Iedere medewerker binnen AURORA.amsterdam heeft voor geheimhoudingsplicht getekend in de arbeidsvoorwaarden. Mochten er stagiaires of andere externen (tijdelijk) werkzaam zijn, dient er ook getekend te worden voor geheimhouding.
Gegevensverwerking door (extern) Bewerker
AURORA.amsterdam kan de verwerking (extern) uitbesteden aan een bewerker. De bewerker, waaraan een deel van gegevensverwerking is uitbesteed, is daarnaast zelfstandig aansprakelijk voor schade of een deel van de schade die voortvloeit uit zijn werkzaamheden. Hoe die aansprakelijkheid wordt verdeeld, wordt beoordeeld door de schadeverzekeraar of de rechter. AURORA.amsterdam heeft goede afspraken vastgelegd in een bewerkersovereenkomst.
Aansprakelijkheid AURORA.amsterdam en/of bewerker / bewerkersovereenkomst
AURORA.amsterdam is in beginsel verantwoordelijk en aansprakelijk voor schade die voortvloeit uit het toerekenbaar tekortschieten of niet voldoende naleven van de AVG, waaronder de beveiligingseisen.
Wanneer mogen bijzondere gegevens worden verwerkt?
Bijzondere gegevens mogen alleen als aanvulling op gezondheidsgegevens worden verwerkt als dat nodig is voor goede behandeling of verzorging van de betrokkene.
Wanneer mogen gegevens aan een ander worden verstrekt voor wetenschappelijk onderzoek en statistiek op het gebied van de volksgezondheid?
Als de gegevens geanonimiseerd zijn, waarmee deze gegevens niet tot de betrokkene herleidbaar zijn en dan alleen met toestemming van betrokkene, tenzij: a. het vragen van toestemming in redelijkheid niet mogelijk is maar bij de uitvoering van het onderzoek zodanige waarborgen gelden, dat de persoonlijke levenssfeer van de patiënt niet onevenredig wordt geschaad, of b. het vragen van toestemming, gelet op de aard en het doel van het onderzoek, in redelijkheid niet kan worden verlangd en de hulpverlener ervoor zorgt dat gegevens in zodanige vorm worden verstrekt dat herleiding tot individuele natuurlijke personen redelijkerwijs wordt voorkomen. Verder moet: het onderzoek een algemeen belang dienen en aangetoond zijn dat het onderzoek niet zonder de gegevens kan worden uitgevoerd.
Afspraken met de onderzoeker
AURORA.amsterdam en de onderzoeker maken schriftelijke afspraken over de maatregelen die de onderzoeker neemt om de privacy van de betrokkene te beschermen.
Geheimhoudingsplicht
Persoonsgegevens worden alleen verwerkt door personen met een plicht tot geheimhouding op grond van de wet of overeenkomst. Bij de verstrekking van gegevens aan derden worden de voorschriften van GGZ Nederland gevolgd: Wegwijzer Beroepsgeheim in samenwerkingsverbanden en Handreiking Beroepsgeheim.
Hoe worden persoonsgegevens bewaard?
AURORA.amsterdam bewaart gegevens op een veilige wijze, die in overeenstemming is met de geldende wet- en regelgeving.
Hoe lang worden persoonsgegevens bewaard?
Persoonsgegevens worden niet langer bewaard dan noodzakelijk is om de doelen te bereiken waarvoor de gegevens worden verwerkt, tenzij a. zij geanonimiseerd worden of b. voor zover ze uitsluitend voor historische, statistische of wetenschappelijke doeleinden worden bewaard. In de Wgbo geldt als algemene regel dat gegevens twintig jaren na beëindiging van de behandeling worden bewaard. AURORA.amsterdam hanteert dit tevens als maximum. Camerabeelden gemaakt voor de beveiliging en beelden gemaakt in de waakkamer zijn bedoeld om live te bekijken en worden uiterlijk binnen 1 week gewist.
Meldplicht datalekken
AURORA.amsterdam is verplicht een datalek te melden aan de AP als het datalek/de inbreuk leidt tot ernstige nadelige gevolgen voor de bescherming van persoonsgegevens. Of als een aanzienlijke kans bestaat dat dit gebeurt. Dit gebeurt via het meldloket datalekken. AURORA.amsterdam is verplicht de betrokkene(n) over een datalek te informeren als het datalek waarschijnlijk ongunstige gevolgen zal hebben voor diens/hun persoonlijke levenssfeer. Bij het bepalen of sprake is van ernstige nadelige gevolgen voor de algemene privacy of in het bijzonder de privacy van betrokkene(n), worden de Beleidsregels meldplicht datalekken van de AP gebruikt.
4. Rechten van de betrokkenen
Informatieplicht
Als AURORA.amsterdam gegevens bij de betrokkene zelf opvraagt, informeert hij de betrokkene voorafgaand aan het verkrijgen van zijn persoonsgegevens over: a. de identiteit van de verzoeker; b. de doelen waarvoor zijn gegevens zijn bestemd en c. waarom het nodig is dat de verzochte gegevens verwerkt. d. extra informatie als dat voor goede zorg nodig is. e. de rechten van de betrokkene en op welke wijze de betrokkene deze rechten kan inroepen. Als AURORA.amsterdam (medewerker) gegevens van de betrokkene opvraagt bij een ander, informeert hij de betrokkene, voor zover deze dat nog niet weet, over zijn identiteit en de doeleinden van de verwerking en geeft hem de nodige nadere informatie: a. op het moment van vastlegging van de hem betreffende gegevens, of b. wanneer de gegevens bestemd zijn om te worden verstrekt aan een derde, uiterlijk op het moment van de eerste verstrekking. AURORA.amsterdam hoeft de betrokkene niet te informeren als het informeren van betrokkene onmogelijk blijkt of een onevenredige inspanning kost of als de verstrekking op grond van wet- en regelgeving verplicht is. In dat geval moet AURORA.amsterdam de betrokkene op diens verzoek informeren over het wettelijk voorschrift dat hem tot de vastlegging of verstrekking van de hem betreffende gegevens verplicht.
Inzage en afschrift/kopie
De betrokkene van 12 jaar of ouder heeft het recht op inzage en een kopie van de op zijn persoon betrekking hebbende verwerkte gegevens. Het gaat hier om informatie in zowel het digitale als het papieren cliëntdossier. Aantekeningen van behandelaar vallen hier niet onder. Hetzelfde geldt voor degene die als wettelijk vertegenwoordiger toestemming moet geven voor de begeleidingsovereenkomst. De gevraagde inzage en/of de gevraagde kopie moet zo spoedig mogelijk, doch uiterlijk binnen vier weken, plaatsvinden respectievelijk worden verstrekt. Voor de verstrekking van een kopie kan AURORA.amsterdam een vergoeding in rekening brengen. Inzage of afschrift kan worden geweigerd als dat noodzakelijk is in het belang van het kind of wanneer de persoonlijke levenssfeer van een ander wordt geschaad, bijvoorbeeld bij een vermoeden van kindermishandeling kan een ouder inzage in het kinddossier worden geweigerd en gescheiden ouders hebben geen inzage in informatie over elkaar.
Aanvulling, verbetering of verwijdering, vernietiging en afscherming van persoonsgegevens
De betrokkene kan schriftelijk of per e-mail via info@aurora.amsterdam vragen om: a. zijn gegevens aan te vullen of van een eigen verklaring toe te voegen aan zijn dossier, b. correctie van zijn gegevens als deze onjuist, onvolledig of niet relevant zijn, of in strijd met de wet, in de verwerking voorkomen, c. bepaalde gegevens voor bepaalde personen af te schermen en hen de toegang tot die gegevens te laten blokkeren, d. om vernietiging van op hem betrekking hebbende gegevens. Het vernietigingsrecht geldt alleen voor de gegevens die in het kader van de dossierplicht vanuit de Wgbo/WMO zijn opgeslagen en geldt niet voor financiële en administratieve gegevens. De verzoeker wordt gevraagd het documentnummer van zijn Identiteitsbewijs door te geven, zodat wij de identiteit van de verzoeker kunnen verifiëren. Het verzoek tot vernietiging wordt opgeslagen in het dossier voor een eventuele materiële controle of fraude-onderzoek door een zorgverzekeraar. AURORA.amsterdam informeert de verzoeker binnen vier weken na ontvangst van een schriftelijk verzoek tot aanvulling, correctie of vernietiging van zijn gegevens, of en op welke manier aan het verzoek voldaan wordt, met opgave van redenen. De beslissing tot verwijdering en/of vernietiging van gezondheidsgegevens wordt geregistreerd in het dossier van de cliënt. Een verzoek tot gegevensvernietiging mag alleen worden geweigerd als: a. de wet zich tegen de vernietiging verzet; b. een derde een aanmerkelijk belang heeft bij bewaring van die gegevens; c. de cliënt heeft een procedure tegen de hulpverlener aangespannen of het is waarschijnlijk dat hij dit zal doen; d. in het dossier gegevens over (vermoedens van) kindermishandeling staan, dan kunnen deze op grond van de Meldcode Huiselijk Geweld en Kindermishandeling alleen op verzoek van het kind zelf worden vernietigd en uitsluitend als het kind de leeftijd van 16 jaar heeft bereikt en wilsbekwaam kan worden geacht.
Recht van verzet
Betrokkene kan verzet aantekenen tegen een verwerking als nodig voor de goede vervulling van een publiekrechtelijke taak door een bestuursorgaan, of in het belang van AURORA.amsterdam of van een derde, tenzij het wettelijke openbare registers zijn. AURORA.amsterdam beoordeelt binnen vier weken na ontvangst van het verzet of het verzet gerechtvaardigd is. Indien het verzet gerechtvaardigd is, beëindigt hij onmiddellijk de verwerking.
5. Vertegenwoordiging
De wilsbekwame jeugdige van twaalf jaar of ouder oefent zelfstandig zijn rechten over zijn persoons- en gezondheidsgegevens uit. Vernietiging van gegevens over (vermoedens van) kindermishandeling vindt uitsluitend plaats met toestemming van een wilsbekwame jeugdige van zestien jaar en ouder. Is de betrokkene ouder dan achttien jaar en wilsonbekwaam, dan treedt als vertegenwoordiger voor hem op: de curator of mentor; indien er geen curator of mentor is; de persoon die de betrokkene schriftelijk heeft gemachtigd; indien er geen gemachtigde is, de echtgenoot of levensgezel van de betrokkene en indien deze ook ontbreekt een kind, broer of zus van de betrokkene. In het uiterste geval zorgt AURORA.amsterdam ervoor dat er zo snel mogelijk een wettelijk vertegenwoordiger voor betrokkene optreedt. Zo nodig, als familie of naaste dat niet kan of wil, verzoekt hij de rechter om een vertegenwoordiger te benoemen.
6. Verplichte melding van gegevensverwerkingen Verwerkingen van persoons- en gezondheidsgegevens binnen AURORA.amsterdam worden gemeld bij de AP voor zover dit vereist is.
7. Online gegevens
Hoe gaan wij om met cookies?
AURORA.amsterdam plaatst “analytics cookies” van Google op uw computer. Wij gebruiken deze dienst om bij te houden en rapportages te krijgen over hoe bezoekers de website gebruiken en of onze site naar behoren werkt. Google kan deze informatie aan derden verschaffen indien Google hiertoe wettelijk wordt verplicht, of voor zover derden de informatie namens Google verwerken. Wij hebben hier geen invloed op. De informatie die Google verzamelt, wordt zo veel mogelijk geanonimiseerd. Uw IP-adres wordt nadrukkelijk niet meegegeven. De informatie wordt overgebracht naar en door Google opgeslagen op servers in de Verenigde Staten. Voor ingevoegde content uit sociale medianetwerken kan het zijn dat uw akkoord voor marketing cookies nodig is.
Hoe gaan wij om met formulieren?
Bij het versturen van dit formulier geeft u toestemming dat deze gegevens mogen worden gebruikt ten behoeve van het doel van het formulier. Dat kan zijn de aanmelding voor begeleiding, het contactformulier, het klachtenformulier of een formulier om u aan te melden voor een informatiebijeenkomst. Deze gegevens zullen niet worden gebruikt voor andere doeleinden dan waarvoor u toestemming heeft gegeven en niet worden verstrekt aan derden. De gegevens zullen niet langer worden bewaard dan nodig is voor een goede afhandeling van het ingevulde formulier en de opvolging hiervan. De gegevens kunnen te allen tijde weer worden verwijderd als u ons hiertoe verzoekt.