AVG regelement Tonos

Houdende vaststelling van een AVG-reglement voor de verwerking van persoonsgegevens door TONOS Care BV.

Artikel 1 Begripsbepaling

In dit reglement wordt verstaan onder:

AVG: Algemene Verordening Gegevensbescherming;
Persoonsgegeven: alle informatie over een geïdentificeerde of identificeerbare natuurlijke personen (“betrokkene”); als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd;
Verwerkingsverantwoordelijke: een rechtspersoon dat het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt;
Tonos: de rechtspersoon TONOS Care BV, ingeschreven bij de Kamer van Koophandel onder nummer 74802356 en die de verwerkersverantwoordelijke is;
Verwerken: een bewerking of een geheel van bewerkingen van persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens;
Functioneel beheerder: degene die verantwoordelijk is voor de instandhouding van de functionaliteit inclusief de te gebruiken gegevensverzameling;
Technisch beheerder: degene die verantwoordelijk is voor de technische werking inzake de verwerking van de gegevensverzameling.

Artikel 2 Doel en grondslag van de gegevensverwerking

Het welbepaalde doel van de verwerking van persoonsgegevens is om aan de hand van een geautomatiseerd procedé voor patronen en verbanden, met pseudonimisering van toegankelijke persoonsgegevens, op navolgbare wijze bij te dragen aan transparante, beheersbare en efficiënte afhandeling van vraaggestuurde zorg ter behartiging van het belang van gezondheidswelzijn.
De verwerking is noodzakelijk voor de behartiging van het gerechtvaardigde belang van de verwerkingsverantwoordelijke én van de zorgsector, waarbij de belangen of de grondrechten en de fundamentele vrijheden van de betrokkenen die tot bescherming van persoonsgegevens nopen, niet zwaarder wegen dan die belangen. De verwerking is daarmee gerechtvaardigd op grond van artikel 6, onder f, van de AVG.
De gegevensverwerking is toereikend, ter zake dienend en beperkt tot wat strikt noodzakelijk is voor de doeleinden en wordt niet verder verwerkt op een met de doeleinde onverenigbare wijze.
De gegevensverwerking leidt niet tot het opwerpen van barrières om vraaggestuurde zorg te kunnen afnemen of het volledig uitsluiten van personen van vraaggestuurde zorg of het aanbrengen van beschermde persoonskenmerken, zoals ras, seksualiteit of politieke overtuiging.

Artikel 3 Herkomst van de gegevens

De gegevens die in het geheel van verwerkingen zijn opgenomen, zijn in hoofdzaak afkomstig van:

Burgers met een zorgvraag.
Zorgprofessionals.
Zorginstellingen.

Artikel 4 Verwerking van gegevens

Uitsluitend de volgende directe persoonsgegevens worden verwerkt:

Voornaam en achternaam burgers met een zorgvraag.

Optioneel kan na toestemming van betrokkene via zijn/haar zorgorganisatie de geboortedatum worden verwerkt, als dit nodig is voor de betrokken zorgprofessional/verzorg(st)er om de betreffende cliënt te kunnen identificeren.
Uitsluitend de volgende indirecte gegevens worden verwerkt:
Kamernummer.
Gevraagde zorgbehandeling in termen van uit bed halen, wassen en medicatie toedienen.
Starttijd zorgbehandeling.
Optioneel kan na toestemming van betrokkene via zijn/haar zorgorganisatie een uniek cliëntnummer worden verwerkt, zijnde het cliëntnummer in het Elektronisch Cliënten Dossier van de zorgorganisatie.
Er vindt geen verwerking plaats van persoonsgegevens over iemands godsdienst of levensovertuiging, ras of gezondheid.

Artikel 5 Bewaartermijnen

De persoonsgegevens worden niet langer bewaard dan noodzakelijk is voor een ordelijke en aantoonbare werking van de conditionele vraaggestuurde zorg voor betrokkenen.
Persoonsgegevens worden automatisch vernietigd door verwijdering door de zorgorganisatie van de betrokkene uit het zorgrooster en bij wisseling of vervanging van de informatieverwerkende faciliteiten.

Artikel 6 Toegang tot de gegevens

Toegang tot de persoonsgegevens in de gegevensverwerking hebben:

De functioneel en technisch beheerders die binnen Tonos zijn geautoriseerd voor het verwerken van persoonsgegevens met daarbij aangegeven de voor hen daarbij geldende bevoegdheid.
Zorgprofessionals.
De personen die daartoe krachtens wettelijk voorschrift zijn gerechtigd.

Artikel 7 Verstrekking van persoonsgegevens buiten de organisatie

Buiten de organisatie van de verwerkingsverantwoordelijke kunnen op aanvraag persoonsgegevens worden verstrekt indien voldaan wordt aan een van de volgende voorwaarden:

Indien de aanvrager daartoe krachtens wettelijk voorschrift is gerechtigd en de verwerkingsverantwoordelijke onverkort tot afgifte is gehouden.
Indien de aanvrager een bevoegd functionaris is voor inspectie, controle en toezicht door bestuursorganen.
Voor andere verzoeken tot verstrekkingen van persoonsgegevens buiten de organisatie dan die bedoeld in het eerste en tweede lid, zal de verwerkingsverantwoordelijke het verzoek beoordelen tegen de criteria inzake zorgvuldigheid, proportionaliteit en subsidiariteit.
Van het verstrekken van persoonsgegevens buiten de organisatie houdt de verwerkingsverantwoordelijke een registratie bij waarin staat vermeld aan wie, op welk tijdstip welke persoonsgegevens zijn verstrekt.

Artikel 8 Verzoeken tot toepassing en naleving van rechten

Een betrokkene, indien en voor zover direct of indirect identificeerbaar, kan de verwerkingsverantwoordelijke verzoeken om:

Inzage, zoals bedoeld en vastgelegd in artikel 15 van de AVG, in alle persoonsgegevens die over hem/haar in de gegevensverwerking is opgeslagen.
Persoonsgegevens die feitelijk onjuist zijn, te rectificeren, overeenkomstig het bepaalde in artikel 16 van de AVG.
Zonder onredelijke vertraging uitwissing van hem betreffende persoonsgegevens te verkrijgen, mits daarbij is voldaan aan het daartoe bepaalde in artikel 17 van de AVG.
Beperking van de verwerking, als bedoeld in artikel 18 van de AVG.
Een verzoek, als bedoeld in het eerste, tweede, derde en vierde lid van dit artikel, wordt gericht aan de verwerkingsverantwoordelijke en zal worden beoordeeld tegen de tegen de criteria als bepaald in de AVG in samenhang met de beginselen van redelijkheid, billijkheid en proportionaliteit.
De verwerkingsverantwoordelijke is bij verzoeken, als bedoeld in het eerste, tweede, derde en vierde lid van dit artikel, gehouden om de identiteit van betrokkene vast te stellen.

Artikel 9 Beveiliging en meldplicht datalekken

De verwerkingsverantwoordelijke heeft voor de beveiliging van de gegevensverwerking in alle redelijkheid en billijkheid een passend en proportioneel beveiligingsniveau in acht genomen waarbij de aangebrachte controls zijn ontleend aan de ISO 27002. Zie bijlage 1 (bedrijfsvertrouwelijk).
De informatie over de beveiliging van informatie is als bedrijfsvertrouwelijk geclassificeerd. Verstrekking van deze informatie blijft achterwege omdat openbaarmaking niet opweegt tegen de juridische, economische en financiële belangen van Tonos.
Indien een inbreuk in verband met persoonsgegevens heeft plaatsgevonden, dan meldt de verwerkingsverantwoordelijke deze zonder onredelijke vertraging en, indien mogelijk, uiterlijk 72 uur nadat hij er kennis van heeft genomen, aan de Autoriteit Persoonsgegevens tenzij het niet waarschijnlijk is dat de inbreuk in verband met persoonsgegevens een risico inhoudt voor de rechten en vrijheden van natuurlijke personen.

Artikel 10 Geheimhouding

Iedereen die handelt onder het gezag van de verwerkingsverantwoordelijke is verplicht tot geheimhouding van de persoonsgegevens, behalve voor zover enig wettelijk voorschrift hem tot mededeling verplicht.

Artikel 11 Autoriteit Persoonsgegevens

De Autoriteit Persoonsgegevens kan altijd haar wettelijk voorgeschreven bevoegdheden uitoefenen. De Autoriteit Persoonsgegevens kan zich daartoe laten bijstaan door personen die door haar zijn aangewezen.

Artikel 12 Openbaarheid

Dit reglement is voor iedereen ter inzage beschikbaar via de website van Tonos.
De verwerking van persoonsgegevens is aangemeld bij de Autoriteit Persoonsgegevens.

Artikel 13 Klachten

Indien betrokkene van mening is dat de bepalingen van dit reglement niet worden nageleefd, dan kan betrokkene een schriftelijke klacht indienen bij de verwerkingsverantwoordelijke of zich rechtstreeks wenden tot de Autoriteit Persoonsgegevens.

Artikel 14 Inwerkingtreding

Dit reglement treedt in werking na ondertekening door de verwerkingsverantwoordelijke van Tonos.