AVG

AVG

• Basisbeginselen en best practices

  De belangrijkste basisbeginselen voor omgang met persoonsgegevens zijn:

  • Niet meer gegevens verzamelen dan nodig voor het doel. 
  • Niet langer verzamelen dan nodig. 
  • Niet gebruiken voor een ander doel dan waarvoor de gegevens verzameld zijn.
  • Hou de gegevens vertrouwelijk, dus bescherm ze goed.
    

  Volg de volgende best practices om zorgvuldig om te gaan met persoonsgegevens:

  • Wijzig regelmatig je wachtwoord en deel dit nooit met derden.
  • Niet achter je computer? Vergrendel altijd je scherm.
  • Gebruik alleen een centrale opslagdienst van de VU voor het opslaan en delen van data en gegevens.
  • Bepaal vooraf welke gegevens je echt nodig hebt en bewaar deze nooit langer dan nodig. Houd rekening met (wettelijke) bewaartermijnen (website Autoriteit Persoonsgegevens).
  • Meld verlies van een laptop, tablet, smartphone of opslagapparaat meteen bij de IT Servicedesk via 020-598 00 00 of servicedesk.it@vu.nl. 

  Bekijk ook de veelgestelde vragen onderaan deze pagina voor concrete voorbeelden van zorgvuldige omgang met persoonsgegevens.

• Verzamelen en verwerken persoonsgegevens

  ACTA verwerkt uitsluitend persoonsgegevens wanneer de verwerking voldoet aan één (of meer) van de volgende grondslagen:

  • Een wettelijke verplichting;
  • Het vervullen van een taak van algemeen belang of openbaar gezag;
  • Noodzakelijkheid voor het uitvoeren van een overeenkomst;
  • Het beschermen van een vitaal belang;
  • Toestemming van de betrokkene(n); of
  • Een gerechtvaardigd belang van ACTA. Een voorbeeld hiervan is het verwerken van persoonsgegevens ten behoeve van de bedrijfsvoering of het geven van onderwijs. Voor deze grondslag wordt wel altijd een belangenafweging uitgevoerd tussen de belangen van ACTA en de belangen van de betrokkene.

  Persoonsgegevens mogen verwerkt worden in het geval van:

  1. Wettelijke verplichting

  Behalve een faculteit is ACTA een zorginstelling conform de WGBO en heeft daarmee de plicht medische dossiers bij te houden. ACTA werkt aan een aanvullend privacybeleid waarin deze verplichting transparant is weergegeven voor alle betrokkenen wiens gegevens worden verwerkt (voor bijzondere verwerkingen van ACTA die buiten het UvA- en VU-generieke beleid vallen).

  2. Overeenkomst

  ACTA verwerkt gegevens voor de faculteiten der Tandheelkunde van UvA en VU. In overleg met UvA en VU wordt de scheiding van verantwoordelijkheden t.a.v. privacy tussen UvA, VU en ACTA duidelijker vastgelegd.

  3. Gegevens waarvoor toestemming is gegeven

  In zorgverlening en voor onderzoek wordt gebruik gemaakt van toestemmingsformulieren (informed consent) die dienen worden ondertekend door patiënten en deelnemers aan onderzoek. Er is een handleiding (pdf) beschikbaar waar een goed toestemmingsformulier aan moet voldoen. Voor meer informatie: fg@acta.nl.
  Hoewel dit vaak wordt gedacht, is er voor een verwerking dus niet altijd toestemming vereist (bijvoorbeeld als er een wettelijke plicht is of uitvoering wordt gegeven aan een overeenkomst).

  Het is verboden om bijzondere persoonsgegevens te verwerken, tenzij...

  Bijzondere persoonsgegevens zijn gegevens die zo gevoelig zijn dat de verwerking ervan iemands privacy ernstig kan beïnvloeden. Dergelijke gegevens mogen daarom alleen onder zeer strenge voorwaarden worden verwerkt. Bijzondere persoonsgegevens zijn bijvoorbeeld gegevens die herleidbaar zijn tot iemands gezondheid, ras, godsdienst, strafrechtelijk verleden of seksuele voorkeuren. Ook aan de hand van foto’s zijn deze gegevens af te leiden.

  Het verwerken van bijzondere persoonsgegevens (hieronder valt ook het openbaar maken van foto’s met medische informatie tijdens een presentatie of via onderwijs binnen een faculteit) mag daarom alleen onder strikte voorwaarden plaatsvinden, bijvoorbeeld:

  • Als er sprake is van uitdrukkelijke toestemming voor het verwerken van de foto. Hierbij moet de betrokkene op een transparante wijze geïnformeerd worden over het doel waar de foto voor wordt gebruikt. Daarnaast moet de betrokkene erop worden gewezen dat de toestemming altijd kan worden ingetrokken.
  • Als de verwerking van de foto nodig is voor de uitvoering van rechten of plichten omtrent het arbeidsrecht of sociale zekerheidsrecht/sociale beschermingsrecht.
  • Als de verwerking van de foto nodig is voor de bescherming van vitale belangen van de betrokkene
  • Als de verwerking wordt verricht door een stichting/vereniging zonder winstoogmerk, op het gebied van politiek, levensbeschouwing, godsdienst of vakbond  
  • Als de foto kennelijk openbaar is gemaakt door de betrokkene
  • Als de verwerking van de foto noodzakelijk is voor een rechtsvordering  
  • Als de verwerking van de foto noodzakelijk is voor een zwaarwegend algemeen belang
  • Als de verwerking van de foto noodzakelijk is voor doeleinden van preventieve of (arbeids)geneeskundige aard. Zoals het beoordelen van arbeidsgeschiktheid en/of het verstrekken van gezondheidszorg;  
  • De verwerking noodzakelijk is om redenen van algemeen belang op het gebied van volksgezondheid
  • De verwerking noodzakelijk is met het oog op de archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden.

  In alle overige gevallen is het niet toegestaan om bijzondere persoonsgegevens zonder juiste grondslagen of voorwaarden te verwerken.

• Technische en organisatorische verplichtingen

  Voor ACTA volgen de volgende verplichtingen uit de AVG:

  1.  Melden van datalekken

  Er is een procedure voor het melden van datalekken bij de Functionaris Gegevensbescherming. Op 1 januari 2016 is de meldplicht datalekken ingegaan. Deze meldplicht houdt in dat organisaties direct een melding moeten doen bij de Autoriteit Persoonsgegevens zodra zij een ernstig datalek constateren.

  2.  Bijhouden van een register met alle verwerkingen van persoonsgegevens

  Op basis van de in gebruik zijnde systemen bij ACTA worden systeemeigenaren, eindverantwoordelijken en contactpersonen in kaart gebracht. Vanuit het project AVG van UvA volgt binnenkort een uitvraag om per systeem vast te leggen welke categorieën persoonsgegevens het verwerkt, met welk doel, wie de verantwoordelijke is, etc. Dit is een wettelijke plicht onder de AVG.

  3.  Opstellen van gegevensbeschermingsbeleid

  ACTA volgt waar mogelijk het VU-informatiebeveiligingsbeleid. Er wordt onderzocht waar aanvulling nodig is vanwege de samenwerking van UvA en VU en de status van ACTA als zorginstelling. ACTA heeft een privacystatement voor ACTA-patiënten opgesteld voor de verwerking van patiëntgegevens. Lees het kopje voor meer informatie. 

  4.  Maatregelen treffen voor (digitale) beveiliging

  Systemen die binnen het VU-domein worden aangeboden zijn veilig en worden continu gemonitord.

  ACTA gebruikt sinds augustus 2018 Zivver, een product waarmee berichten vanuit Outlook veilig kunnen worden verstuurd. Dit product is te gebruiken voor de hele faculteit: zowel voor medewerkers als studenten in het kader van zorgverlening, onderwijs, onderzoek en bedrijfsvoering.

  5.  Vergroten van bewustwording

  Er worden verschillende acties ondernomen om de bewustwording over privacy en informatiebeveiliging te vergroten. Enkele voorbeelden zijn:

  • In-house trainingen voor de managementteams bedrijfsvoering en zorg;
  • Een interview over privacy in Factaal;
  • Relevante informatie op acta.nl over rechten, plichten en gedragsregels;
  • Berichten via ACTAinfo,
  • Aansluiting bij projecten over privacy en AVG van UvA en VU, etc.
    

  Voor alle medewerkers zijn tevens online trainingsmodules over privacy (zie hieronder) beschikbaar.

• Maatregelen ter bevordering van zorgvuldigheid

  ACTA neemt de volgende maatregelen die een zorgvuldige omgang met persoonsgegevens continu verbeteren:

  1. Aanspreekpunt en advies bieden

  Vragen over privacy kunnen gesteld worden via fg@acta.nl, vragen over informatiebeveiliging via informatiebeveiliging@acta.nl.

  2. Aanstelling van een Functionaris Gegevensbescherming

  ACTA heeft een Functionaris Gegevensbescherming aangesteld, die als interne toezichthouder voor privacy functioneert.

  3. Verwerkersovereenkomsten met leveranciers sluiten

  ACTA sluit waar nodig verwerkersovereenkomsten met leveranciers die persoonsgegevens verwerken waarvoor ACTA verantwoordelijk is, uit naam van UvA en VU.

  4. Gevoeligheid beoordelen

  Bij een verzoek voor gebruik van een nieuw systeem moet een aanvullende analyse gedaan worden om te onderzoeken of er persoonsgegevens (of andere vertrouwelijke gegevens) worden verwerkt. Uit deze analyse worden maatregelen voor informatiebeveiliging opgesteld (dataclassificatie en privacy impact assessment).

  Door het gebruikelijke aanvraagformulier voor nieuwe IT-systemen via askIT-dienstenportaal. in te vullen zal de coördinator informatiebeveiliging worden ingeschakeld. Waar nodig wordt afstemming gezocht met een jurist met expertise van gezondheidsrecht.

  5. Onafhankelijk toetsen

  VU heeft onlangs een audit uitgevoerd van SURF waaruit verbeterpunten volgen voor privacy en informatiebeveiliging. Tevens vindt regelmatig afstemming plaats met de dienst Juridische Zaken van VU en UvA over de omgang met privacy in specifieke situaties. Op basis van gesignaleerde verbeterpunten werkt ACTA aan een plan van aanpak dat binnenkort vanuit een werkgroep wordt uitgevoerd/opgepakt.

• Privacy-richtlijnen

  Voor het verzamelen en verwerken van gegevens van medewerkers, studenten en andere betrokkenen volgt ACTA de richtlijnen van UvA en VU.

  • Bekijk het UvA-beleid
  • Bekijk het VU-beleid

  Daarnaast ontwikkelt ACTA een aanvullend privacybeleid voor de verzameling en verwerking van patiëntgegevens. Er is een privacystatement voor patiënten (ACTA.nl) opgesteld. Lees het desbetreffende kopje voor meer informatie. 

• Veelgestelde vragen en basisbegrippen

  Om de bewustwording rondom privacy te bevorderen, communiceert ACTA doorlopend over casussen die medewerkers en studenten (kunnen) tegenkomen. Hieronder lees je de antwoorden en toelichtingen op een aantal veelgestelde vragen

  Mag ik fotograferen in het ACTA-gebouw?

  Het is niet toegestaan om film- of foto-opnames te maken in het ACTA-gebouw, omdat de kans groot is dat je (per ongeluk) patiënten, medewerkers of studenten vastlegt die daar geen toestemming voor hebben gegeven.
  Bij uitzondering wordt er door ACTA Marketing & Communicatie toestemming verleend om te fotograferen of te filmen. Hierbij gelden de regels:

  • Stoor patiënten, medewerkers en studenten niet, of als het niet anders kan zo min mogelijk.
  • Houd rekening met de privacy van onze patiënten, studenten en medewerkers;
  • Een fotograaf/filmploeg mag patiënten, medewerkers en studenten niet fotograferen/filmen in het pand, zonder dat ze daar toestemming voor hebben gegeven;
  • Als een behandeling wordt gefilmd/gefotografeerd dan moet er ook rekening worden gehouden met de hygiëneregels. Daarvoor vragen we onze HIP-deskundigen mee te kijken/denken.

  Welke patiëntgegevens zet ik op een envelop?

  Alleen gegevens die nodig zijn om de bezorging te garanderen, mogen zichtbaar zijn aan de buitenkant van een envelop. Dit zijn:

  • Naam (achternaam, eventueel tussenvoegsel, voorletters/voornaam, eventueel titel)
  • Adres (straatnaam, huisnummer, eventuele toevoeging)
  • Postcode (4 cijfers en 2 letters)
  • Woonplaats

  Het is niet toegestaan om andere persoonsgegevens te tonen, zoals:

  • Patiëntnummer
  • Geboortedatum
  • Burgerservicenummer (BSN)
  • Medische gegevens

  Daarnaast is het bij vensterenveloppen van belang dat je oplet dat deze gegevens niet zichtbaar zijn/te zien zijn door het raampje. Zorg er bovendien voor dat de envelop goed gesloten blijft tijdens vervoer.

  Wanneer moet een patiënt zich telefonisch legitimeren?

  Als een patiënt telefonisch contact heeft met ACTA om een afspraak te maken, wijzigen of annuleren, dient hij/zij zich altijd te legitimeren.

  Hoe kan een patiënt zich telefonisch legitimeren?

  Een patiënt kan zich telefonisch legitimeren door een aantal controlevragen te beantwoorden. Voor legitimatie moet een patiënt de onderstaande gegevens kunnen verschaffen:

  • Naam (achternaam, eventueel tussenvoegsel, voorletters/voornaam)
  • Huisadres (straatnaam, huisnummer, eventuele toevoeging)
  • Postcode
  • Geboortedatum
  • Patiëntnummer

  Het is niet toegestaan om een patiënt telefonisch te vragen om zijn/haar:

  • Burgerservicenummer (BSN)
  • Paspoort-/Identiteitsbewijs-/Rijbewijsnummer

  Hoe ga ik veilig om met persoonsgegevens op mijn werkplek?

  • Vergrendel je computer/laptop/tablet altijd, als je je (flex)werkplek (even) verlaat.
  • Als je tijdens of aan het einde van de werkdag je (flex)werkplek verlaat, berg dan alle vertrouwelijke informatie die op je bureau ligt op, zodat deze informatie ontoegankelijk is voor onbevoegde werknemers.
  • Zorg ervoor dat papieren documenten met persoonsgegevens, die niet meer noodzakelijk zijn, versnipperd worden, of in een veilige, daarvoor bestemde container worden gedeponeerd. Dergelijke containers vind je in ieder geval in de liftruimte.
  • Blijf bij de printer als documenten met gevoelige informatie worden geprint, totdat de printopdracht is voltooid.
  • Archiefruimten, waar documenten met vertrouwelijke informatie worden opgeslagen, moeten standaard op slot zijn.
  • Probeer documenten zoveel mogelijk elektronisch te bewaren en in te scannen (mits het bewaren echt nodig is) en de papieren kopieën veilig te vernietigen.
  • Zorg ervoor dat aan het einde van een vergadering de borden worden gewist en eventuele papieren aantekeningen uit de vergaderruimte worden meegenomen.
  • Schrijf nooit gebruikersnamen en wachtwoorden op papier op.
  • Zorg ervoor dat de beveiliging van je computer/laptop/tablet bijgewerkt is, door de installatie van updates van antivirusprogramma’s en firewalls regelmatig uit te voeren.
  • Plak de camera van je computer/laptop/tablet af om te voorkomen dat hackers toegang kunnen hebben tot je camerafunctie.

  Wat moet ik doen als iemand mij vraagt om zijn/haar gegevens in te zien of te wijzigen?

  Wanneer je een verzoek van een betrokkene ontvangt op jouw sectie of dienst, kun je deze per direct doorsturen naar de Functionaris Gegevensbescherming via: fg@acta.nl.

  Onder de AVG hebben personen verschillende rechten die zij kunnen uitoefenen, dit zijn de zogeheten rechten van betrokkenen. Personen kunnen een verzoek indienen tot uitoefening van deze rechten bij een organisatie die hun persoonsgegevens verwerkt. Dit betekent dat ACTA ook dergelijke verzoeken kan ontvangen van betrokkenen. ACTA is in alle gevallen verplicht aan een dergelijk verzoek te voldoen, tenzij er een zwaarwegende reden is om hiervan af te zien.

  Betrokkenen hebben de volgende rechten:

  • Het recht op informatie en transparantie geeft een betrokkene het recht om geïnformeerd te worden over hoe diens persoonsgegevens worden verwerkt, via bijvoorbeeld een privacyverklaring op een website.
  • Het recht op inzage is het recht van een betrokkene om de persoonsgegevens die een organisatie van hem/haar verwerkt in te zien.
  • Met het recht op rectificatie kan iemand een verzoek indienen om diens persoonsgegevens te laten wijzigen of aanvullen.
  • Het recht op gegevenswissing of recht op vergetelheid houdt in dat een organisatie de persoonsgegevens die ze van iemand verwerken moeten verwijderen wanneer diegene dat verzoekt.
  • Met het recht op beperking van de verwerking verzoekt een betrokkene een organisatie om bepaalde verwerkingen niet meer uit te voeren of het gebruik ervan te beperken.
  • Het recht op overdraagbaarheid van gegevens of recht op dataportabiliteit geeft een betrokkene de mogelijkheid om diens persoonsgegevens over te (laten) dragen aan een andere organisatie.
  • Een betrokkene heeft het recht om bezwaar te maken tegen het verwerken van diens persoonsgegevens.
  • Ook heeft een betrokkene het recht om niet onderworpen te worden aan geautomatiseerde besluitvorming zoals profilering, waarbij er beslissingen worden genomen over diegene door middel van automatische processen zonder menselijke tussenkomst.
  • Tenslotte heeft een betrokkene het recht op mededeling van een datalek wanneer diens persoonsgegevens zijn betrokken bij het datalek en de gebeurtenis waarschijnlijk een hoog risico inhoudt voor diens rechten en vrijheden.

  Wat doet de Autoriteit Persoonsgegevens?

  Elk land in de Europese Unie (EU) heeft een eigen nationale toezichthouder die toeziet op de naleving van de privacywetgeving. In Nederland is dat de Autoriteit Persoonsgegevens (AP).

  De taken van de AP bestaan uit:

  • het onderzoeken van gemelde datalekken;
  • het controleren of organisaties zich houden aan de privacywetgeving;
  • het geven van advies;
  • het afhandelen van klachten;
  • het opleggen van sancties aan organisaties die de privacywetgeving hebben overtreden (boetes tot 20 miljoen euro of 4% van de jaaromzet);

  De AP kan bij de uitvoering van controles:

  • een organisatie verplichten informatie te verstrekken;
  • toegang verkrijgen tot bedrijfsruimten van organisaties, zo nodig met assistentie van de politie;
  • kopieën maken van zakelijke documenten en tijdelijk meenemen;
  • woningen betreden zonder toestemming van de bewoner;

  De AP heeft in het afgelopen jaar niet stilgezeten. In 2018 controleerde zij bij 91 ziekenhuizen en 33 zorgverzekeraars of zij een Functionaris voor de gegevensbescherming (FG) hadden aangemeld. Daarnaast is de AP in december 2018 gestart met onderzoek naar het privacybeleid van een aantal IVF-klinieken en bloedbanken. Ook in 2019 zal de AP zich blijven focussen op de zorgsector: met name onderwerpen als de beveiliging van persoonsgegevens en het rechtmatig uitwisselen van persoonsgegevens staan hoog op de agenda.

  Sinds de Algemene Verordening Gegevensbescherming (AVG) van kracht is geworden op 25 mei 2018 heeft de AP verschillende boetes uitgedeeld aan organisaties die de privacywetgeving hebben overtreden. In november 2018 heeft de AP vervoersdienst Uber bijvoorbeeld een boete van 600.000 euro opgelegd voor het te laat melden van een datalek. De hoogste boete van alle landen in de EU is een boete van 50 miljoen euro aan Google. Deze boete kreeg Google begin 2019 van de Franse toezichthouder (CNIL), omdat Google de AVG had overtreden door haar gebruikers onvoldoende te informeren over de manieren waarop hun persoonsgegevens werden verwerkt.

  Op de site van de AP kun je meer lezen over hun werkzaamheden en vind je informatie over de AVG en andere privacywetten.

  Basisbegrippen

  In de AVG zijn er enkele basisbegrippen die voortdurend naar voren komen: persoonsgegevens, betrokkenen en het verwerken van persoonsgegevens.

  Volgens de AVG is een persoonsgegeven alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon. Een persoonsgegeven kan direct of indirect herleid worden naar een persoon. Aan de hand van een naam is zonder veel omwegen vast te stellen om welke persoon het gaat. Maar ook als er meerdere persoonsgegevens gecombineerd moeten worden om vast te stellen om wie het gaat, kan er sprake zijn van een persoonsgegeven. Zo kan een postcode gecombineerd met een huisnummer indirect naar een persoon worden herleid. Ook een patiëntnummer is een voorbeeld van een persoonsgegeven omdat het nummer indirect kan worden gekoppeld aan een persoon.

  Betrokkenen zijn de personen van wie persoonsgegevens worden verwerkt. Een voorbeeld van een betrokkene is een medewerker van een organisatie. Een betrokkene moet op een transparante wijze geïnformeerd worden door organisaties voor welke doeleinden zij persoonsgegevens verwerken. Dit kan bijvoorbeeld door middel van een privacyverklaring op een website.

  Als persoonsgegevens op een bepaalde wijze worden gebruikt door organisaties, wordt dit het verwerken van persoonsgegevens genoemd. Het begrip 'verwerken' is erg ruim, een paar voorbeelden van het verwerken van persoonsgegevens zijn: het opslaan, het inzien, het verzenden, het verwijderen, het kopiëren en het wijzigen van persoonsgegevens. Het is belangrijk om er bewust van te zijn dat de rechten en plichten van de AVG gelden wanneer u persoonsgegevens verwerkt.

  Voor meer informatie over de verwerking van persoonsgegevens door ACTA, raden wij aan de privacyverklaring voor ACTA-patiënten te lezen bij het desbetreffende kopje.