Privacyreglement Uplands Physio Clinic.

Korte versie.

Lange versie.

Artikel 1. Begripsbepalingen

1. BEDRIJF: Uplands Physio Clinic (verder genoemd als UPC)
2. MANAGEMENT: de directie van UPC
3. PERSOONSGEGEVENS: elk gegeven over een geïdentificeerde of identificeerbare natuurlijke persoon.
4. VERWERKING VAN PERSOONSGEGEVENS: elke handeling of elk geheel van handelingen met betrekking tot persoonsgegevens, waaronder in ieder geval het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, raadplegen, verstrekken door middel van doorzending, verspreiding of enige andere vorm van ter beschikkingstelling, uitwissen of vernietigen van gegevens.
5. VERSTREKKEN VAN PERSOONSGEGEVENS: het bekend maken of ter beschikking stellen van gegevens.
6. VERZAMELEN VAN PERSOONSGEGEVENS: het verkrijgen van persoonsgegevens.
7. BESTAND: elk gestructureerd geheel van persoonsgegevens, ongeacht of dit geheel van gegevens gecentraliseerd is of verspreid is op een functioneel of geografisch bepaalde wijze, dat volgens bepaalde criteria toegankelijk is en betrekking heeft op verschillende personen.
8. VERANTWOORDELIJKE: het management.
9. VERWERKER: degene die ten behoeve van de verantwoordelijke persoonsgegevens verwerkt, zonder aan zijn rechtstreeks gezag te zijn onderworpen.
10. BETROKKENE: degene op wie een persoonsgegeven betrekking heeft.
11. DERDE PARTIJ: ieder, niet zijnde de betrokkene, de verantwoordelijke, de verwerker, of enig persoon die onder rechtstreeks gezag van de verantwoordelijke of de verwerker gemachtigd is om persoonsgegevens te verwerken.
12. ONTVANGER: degene aan wie de persoonsgegevens worden verstrekt.
13. TOESTEMMING VAN DE BETROKKENE: door betrokkene, op goede informatie berustende, specifieke, in vrijheid en ondubbelzinnig gegeven toestemming waarbij betrokkene hem betreffende verwerking van persoonsgegevens aanvaardt. Dat kan door middel van een schriftelijke of mondelinge verklaring of een ondubbelzinnige actieve handeling (zoals het elektronisch aanvinken van een hokje).
14. AUTORITEIT PERSOONSGEGEVENS (AP): de Autoriteit Persoonsgegevens. De autoriteit die tot taak heeft toe te zien of organisaties zich houden aan de wet- en regelgeving voor het gebruik van persoonsgegevens.
15. AVG: de Algemene Verordening Gegevensbescherming.
16. FG: de interne Functionaris gegevensbescherming die door UPC  kan worden aangesteld voor het informeren en adviseren over en het toezicht houden op de toepassing en naleving van het privacy beleid uit hoofde van de wetgeving AVG en andere gegevens-beschermingsbepalingen. De FG kan onafhankelijk gevraagd en ongevraagd advies geven over privacy-aangelegenheden.

Artikel 2. Reikwijdte

1. Dit reglement geldt voor alle verwerkingen van persoonsgegevens, geautomatiseerd of niet geautomatiseerd, die in een bestand zijn opgenomen of die bestemd zijn om daarin opgenomen te worden, gevoerd door medewerkers van UPC.
2. De persoonsgegevens die bij UPC  verwerkt worden, betreffen voornamelijk patiënt- en personeelsgegevens. Dit privacyreglement en de geheimhouding van persoonsgegevens is tevens van toepassing op alle medewerkers die in dienst zijn bij UPC.
3. Het privacyreglement en de totale geheimhouding van persoonsgegevens is tevens van toepassing op alle verwerkers en derde partijen waarbij UPC in het kader van de uitoefening van haar werkzaamheden diensten afneemt. Uitsluitend voor zover conform artikel 3, lid 2 geen verplichting bestaat.

Artikel 3. Algemene bepalingen

1. De verantwoordelijke is verantwoordelijk voor het vaststellen van de algemene doelstellingen van de verwerkingssystemen waarvan gebruik wordt gemaakt.
2. Onverminderd de door het management vastgestelde algemene doelstellingen, worden persoonsgegevens alleen verwerkt als daarvoor een wettelijke grondslag is.
3. Het verwerken van persoonsgegevens, is ten behoeve van een efficiënte en effectieve bedrijfsvoering.
4. De verantwoordelijke is er verantwoordelijk voor, dat bij de verwerking van de persoonsgegevens de normen in acht worden genomen die de wet daarvoor stelt en worden weergegeven in dit reglement.
5. De verantwoordelijke benoemt intern een functionaris gegevensbescherming (FG) die in het kader van de gegevensbescherming toeziet op de verwerking van persoonsgegevens overeenkomstig de wet- en regelgeving. Het management is daarbij gehouden aan de wettelijke bepalingen die van toepassing zijn. De FG voert de taken onafhankelijk uit en is hierbij tot geheimhouding/vertrouwelijkheid verplicht.

Artikel 4. Doel

1. Dit reglement is van toepassing binnen UPC en heeft betrekking op het door UPC op te stellen overzicht van verwerkingen van persoonsgegevens.
2. Binnen de doelstelling van dit reglement zullen geen andere gegevens worden opgenomen dan onder artikel 1 omschreven.
3. Doel van dit privacyreglement is praktische uitwerking te geven aan de bepalingen van de Algemene Verordening Gegevens bescherming (AVG), Wet bescherming persoonsgegevens (WBP) en voor zover van toepassing de Wet geneeskundige behandelovereenkomst (WGBO).
4. Het voorkomen dat persoonsgegevens onrechtmatig worden verwerkt of worden verwerkt voor andere doeleinden dan het doel waarvoor ze zijn verkregen en de rechten van personeel(sleden) te waarborgen.

Artikel 5. Voorwaarden voor rechtmatige verwerking

1. Persoonsgegevens worden in overeenstemming met de wet en op behoorlijke en zorgvuldige wijze verwerkt.
2. Persoonsgegevens worden enkel verwerkt door personen die uit hoofde van ambt, beroep of wettelijk voorschrift, dan wel krachtens een aanstellingsbesluit tot geheimhouding verplicht zijn.
3. Persoonsgegevens worden niet verder verwerkt op een wijze die onverenigbaar is met de doeleinden waarvoor ze zijn verkregen.
4. Persoonsgegevens worden slechts verwerkt voor zover zij, gelet op de doeleinden waarvoor zij worden verzameld of vervolgens worden verwerkt, toereikend, ter zake dienend en niet bovenmatig te zijn.
5. De verantwoordelijke is verantwoordelijk voor het goed functioneren van de verwerking van persoonsgegevens. De handelwijze met betrekking tot de verwerking van de persoonsgegevens en de verstrekking van gegevens wordt bepaald door dit reglement.
6. De verantwoordelijke onderhoudt een register waarin alle informatiemiddelen en verwerkingen zijn vastgelegd die onder haar verantwoordelijkheid plaatsvinden. Dit register bevat tenminste de volgende gegevens:
   • a. De naam en contactgegevens van de (verwerkings-)verantwoordelijke;
   • b. Eigenaar van de verwerking;
   • c. De verwerkingsdoelen;
   • d. Een beschrijving van de categorieën van betrokkenen en van de categorieën van persoonsgegevens;
   • e. Indien mogelijk de beoogde termijnen waarbinnen de verschillende categorieën van persoonsgegevens moeten worden verwijderd;
   • f. Indien mogelijk een algemene beschrijving van de technische en organisatorische beveiligingsmaatregelen.

Artikel 6. Grondslagen voor verwerking van persoonsgegevens

Persoonsgegevens mogen slechts worden verwerkt indien de verwerking gerechtvaardigd is door een of meer van de volgende grondslagen:

1. De betrokkenen heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor én of meer specifieke doeleinden, of;
2. De verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of;
3. De verwerking is noodzakelijk om een wettelijke verplichting na te komen die op de (verwerkings-)verantwoordelijke rust, of;
4. De verwerking is noodzakelijk om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen, of;
5. De verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag, of;
6. De verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van UPC of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen.

Artikel 7. Doeleinden van de gegevensverwerking

1. UPC zal enkel persoonsgegevens verwerken voor duidelijke omschreven doeleinden:  
   • a. Cursisten administratie.
   • b. Meten van curisten tevredenheid.
   • c. Identicatiegegevens contractpartijen.
   • d. Bankgegevens contractpartijen.
2. Iedere verwerking van persoonsgegevens, alsmede specifieke doeleinde(n) voor de verwerking zijn vastgelegd in het register.

Artikel 8. Kennisgeving aan de betrokkene

1. Indien bij de betrokkene zelf de persoonsgegevens worden verkregen, deelt de medewerker of UPC die de gegevens verzamelt, voor het moment van verkrijging de betrokkene mede:
   1. De identiteit van de verwerkende organisatie en geeft aan met welke doeleinden de persoonsgegevens worden verwerkt, tenzij de betrokkene daarvan reeds op de hoogte is;
   2. Nadere informatie voor zover dat gelet op de aard van de gegevens, de omstandigheden waaronder zij worden verkregen of het gebruik dat ervan wordt gemaakt nodig is om tegenover de betrokkene een behoorlijke en zorgvuldige verwerking te waarborgen.

Artikel 9. Vertegenwoordiging van persoonsgegevens

De verplichtingen uit dit reglement worden nagekomen jegens de betrokkenen of zijn vertegenwoordiger.

1. Indien de betrokkene jonger is dan twaalf jaar treden de ouders die de ouderlijke macht uitoefenen dan wel de voogd in de plaats van de betrokkene.
2. Hetzelfde geldt voor de betrokkene van twaalf tot zestien jaar die niet in staat is tot een redelijke waardering van zijn belangen ter zake.
3. Indien de betrokkene in de leeftijdscategorie van twaalf tot zestien jaar valt en tot redelijke waardering van zijn belangen in staat is, treedt naast de betrokkene de ouders die de ouderlijke macht uitoefenen of de voogd op.                                                               
4. Als de betrokkene zestien jaar of ouder is en niet in staat is zijn belangen op redelijke wijze te waarderen dan treden de volgende personen in zijn plaats op in volgorde: curator, mentor, schriftelijke gemachtigde, levensgezel, ouder, kind, broer of zus.

Artikel 10. Toegang tot persoonsgegevens

1. De verantwoordelijke legt passende technische en organisatorische maatregelen ten uitvoer om persoonsgegevens te beveiligen tegen verlies, vernietiging, en onrecht-matige toegang, wijziging, verwerking en openbaring. Deze maatregelen garanderen rekening houdend met de stand van de techniek en de kosten van de tenuitvoerlegging, een passend beveiligingsniveau gelet op de risico's die de verwerking en de aard van de te beschermen gegevens met zich meebrengen. Bescherming van digitale persoons-gegevens wordt geregeld in het informatiebeveiligingsbeleid.
2. Gebruikers mogen toegang hebben tot persoonsgegevens voor zover dit noodzakelijk is voor het uitoefenen van hun functie.

Artikel 11 Verstrekking van gegevens aan derden

1. Tenzij dit geschiedt ter uitvoering van een wettelijke bepaling, een overeenkomst, ter vervulling van een publiekrechtelijke taak of het een geval betreft zoals genoemd in de volgende leden van dit artikel, is voor verstrekking van persoonsgegevens aan derden  de gerichte toestemming van de betrokkene vereist.
2. Binnen UPC  kunnen zonder toestemming van de betrokkene persoonsgegevens worden verstrekt, voor zover dit voor hun taakuitoefening noodzakelijk is, aan:
   • a. Degenen die betrokken zijn bij de financiële en administratieve afhandeling van betrokkenen.
3. De verantwoordelijke geeft in beginsel geen persoonsgegevens door aan een land buiten de Europese Economische Ruimte (EER), tenzij er adequate maatregelen zijn getroffen.
4. Indien persoonsgegevens worden doorgegeven aan een land buiten de EER staat dit opgenomen in het register.

Artikel 12. Afhandelen Incidenten en de Meldplicht datalekken

1. Indien een inbreuk in verband met persoonsgegevens heeft plaatsgevonden, meldt de verantwoordelijke dit zonder onredelijke vertraging en, indien mogelijk, uiterlijk 72 uur nadat hij er kennis van heeft genomen, aan de Autoriteit Persoonsgegevens, tenzij het niet waarschijnlijk is dat de inbreuk in verband met persoonsgegevens een risico inhoudt voor de rechten en vrijheden van natuurlijke personen. Indien de melding aan de Autoriteit Persoonsgegevens niet binnen 72 uur plaatsvindt, wordt de vertraging toegelicht (gemotiveerd).
2. In de melding aan de Autoriteit Persoonsgegevens wordt ten minste het volgende omschreven of meegedeeld:
   1. De aard van de inbreuk in verband met persoonsgegevens, waar mogelijk onder vermelding van de categorieën van betrokkenen en persoonsgegevensregisters in kwestie en, bij benadering, het aantal betrokkenen en persoonsgegevens-registers in kwestie;
   2. De naam en de contactgegevens van de FG of een ander contactpunt waar meer informatie kan worden verkregen;
   3. De waarschijnlijke gevolgen van de inbreuk in verband met persoonsgegevens;
   4. De maatregelen die de aanbieder heeft voorgesteld of genomen om de inbreuk in verband met persoonsgegevens aan te pakken, waaronder, in voorkomend geval, de maatregelen ter beperking van de eventuele nadelige gevolgen daarvan.
3. Indien en voor zover het niet mogelijk is om alle informatie gelijktijdig te verstrekken, kan de informatie zonder onredelijke vertraging in stappen worden verstrekt.
4. De verantwoordelijke houdt alle inbreuken in verband met persoonsgegevens bij in een overzicht, met inbegrip van de feiten omtrent die inbreuk, de gevolgen daarvan en de genomen corrigerende maatregelen. Die documentatie stelt de Autoriteit Persoons-gegevens in staat de naleving van dit artikel te controleren.
5. Wanneer de inbreuk in verband met persoonsgegevens waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen, deelt de zorgaanbieder de betrokkene de inbreuk in verband met persoonsgegevens onverwijld mee.
6. De bedoelde mededeling aan de betrokkene bevat een omschrijving, in duidelijke en eenvoudige taal, van de aard van de inbreuk in verband met persoonsgegevens en ten minste de dit artikel (tweede lid, onder b, c en d), bedoelde gegevens en maatregelen.
7. De mededeling aan de betrokkene is niet vereist wanneer een van de volgende voorwaarden is vervuld:
   1. De verantwoordelijke heeft passende technische en organisatorische beschermingsmaatregelen genomen en deze maatregelen zijn toegepast op    de persoonsgegevens waarop de inbreuk in verband met persoonsgegevens betrekking heeft, met name die welke de persoonsgegevens onbegrijpelijk maken voor onbevoegden, zoals versleuteling;
   2. De verantwoordelijke heeft achteraf maatregelen genomen om ervoor te zorgen dat het hoge risico voor de rechten en vrijheden van betrokkenen zich waarschijnlijk niet meer zal voordoen;
   3. De mededeling zou onevenredige inspanningen vergen. In dat geval komt er in de plaats daarvan een openbare mededeling of een soortgelijke maatregel waarbij betrokkenen even doeltreffend worden geïnformeerd.

Artikel 13. Recht op inzage en afschrift van opgenomen persoonsgegevens

1. De betrokkene heeft het recht om kennis te nemen van de op zijn persoon betrekking hebbende geregistreerde gegevens.
2. De gevraagde inzage en/of het gevraagde afschrift zal zo spoedig mogelijk, doch uiterlijk binnen een maand na ontvangst van het verzoek worden gehonoreerd.
3. Verzoeken tot inzage of afschrift worden schriftelijk ingediend bij de verantwoordelijke. Dit verzoek wordt ondertekend door de betrokkene en gaat vergezeld van een kopie  van een wettelijk identificatiebewijs.
4. De verantwoordelijke bepaalt wie belast wordt met de uitvoering van de inzage of het verstrekken van een afschrift.

Artikel 14. Recht op aanvulling, correctie of verwijdering van opgenomen persoonsgegevens

1. De betrokkene kan gebruik maken van dit recht op basis van een schriftelijk ingediend verzoek bij de verantwoordelijke. Dit verzoek wordt ondertekend door de betrokkene en gaat vergezeld van een kopie van een wettelijk identificatiebewijs
2. De betrokkene heeft het recht om persoonsgegevens te rectificeren als deze onjuist, onvolledig, niet relevant zijn voor het doel waarvoor deze worden verwerkt of in strijd met een wettelijk voorschrift zijn verwerkt.
3. De betrokkene heeft het recht om bepaalde persoonsgegevens te laten verwijderen wanneer deze niet langer nodig zijn voor de doeleinden waarvoor deze waren verstrekt, bezwaar is tegen de verwerking of wanneer deze onrechtmatig zijn verwerkt.
4. De betrokkene heeft het recht op beperking van de verwerking van persoonsgegevens indien de betrokkene de juistheid van deze gegevens betwist, deze gegevens niet langer nodig zijn voor de doeleinden of dat de verwerking van deze onrechtmatig is.
5. De betrokkenen heeft het recht op bezwaar indien betrokkene van mening is dat de persoonsgegevens worden gebruikt voor andere doeleinden dan noodzakelijk voor de uitvoering van een overeenkomst of noodzakelijk voor het nakomen van een wettelijke verplichting.
6. De verantwoordelijke draagt zorg voor een schriftelijk bericht aan de verzoeker, binnen vier weken na ontvangst van het schriftelijk verzoek tot rectificatie, gegevenswissing/vergetelheid, beperking van de verwerking en bezwaar, waarin vermeld staat of, dan wel in hoeverre aan het verzoek wordt voldaan. Een weigering is met redenen omkleed. De termijn kan met twee maanden verlengd worden, indien betrokkene hiervan op de hoogte wordt gesteld.
7. De verantwoordelijke draagt er zorg voor dat een beslissing tot rectificatie, gegevenswissing/vergetelheid, beperking van de verwerking en bezwaar zo spoedig mogelijk wordt uitgevoerd.
8. De verantwoordelijke zal de derde(n) die de persoonsgegevens hebben ontvangen op de hoogte stellen van een eventuele rectificatie, tenzij dit onmogelijk is of onevenredig veel inspanning vraagt. De verantwoordelijke biedt betrokkenen de mogelijkheid om een verklaring toe te voegen aan een medisch dossier, wanneer de verantwoordelijke het inhoudelijk niet eens is met de correctie.
9. De verantwoordelijke draagt zorg voor het verwijderen of (tijdelijk) beperken van de persoonsgegevens binnen drie maanden na een daartoe strekkend verzoek van de betrokkene, tenzij redelijkerwijs aannemelijk is dat de bewaring van aanmerkelijk  belang is voor een ander dan de betrokkene, alsmede voor zover bewaring op grond van een wettelijk voorschrift vereist is.

Artikel 15. Bewaren van gegevens

1. Met inachtneming van de wettelijke voorschriften stelt de verantwoordelijke vast hoe lang de in verwerking opgenomen persoonsgegevens bewaard blijven, waar mogelijk zijn de bewaartermijnen opgenomen in het register. Hoe lang bepaalde gegevens worden bewaard, is afhankelijk van de aard van de gegevens en de doeleinden waarvoor zij worden verwerkt. De bewaartermijn verschilt per doel:
   • Voor administratieve en financiële doeleinden gelden de wettelijke termijnen.
   • Voor persoonsgegevens van niet-medische aard: niet langer dan noodzakelijk voor de  verwezenlijking van de doeleinden waarvoor zij worden verzameld of vervolgens worden verwerkt, tenzij geanonimiseerd, indien en voor zover zij uitsluitend voor historische, statistische of wetenschappelijke doeleinden worden bewaard.
2. Indien de bewaartermijn is verstreken, worden de betreffende persoonsgegevens vernietigd.
3. Vernietiging blijft evenwel achterwege wanneer redelijkerwijs aannemelijk is dat de bewaring van aanmerkelijk belang is voor een ander dan de betrokkene, alsmede bewaring op grond van een wettelijk voorschrift vereist is of indien daarover tussen de betrokkene en de verantwoordelijke overeenstemming bestaat.

Artikel 16. Klachten

1. Indien de betrokkene van mening is dat de bepalingen van dit reglement niet worden nageleefd of hij een andere reden heeft om aan te nemen dat de AVG en de WBP niet correct wordt uitgevoerd door de verantwoordelijke dan dient de betrokkene zich te wenden tot bij UPC aangewezen verantwoordelijke functionaris gegevensbescherming.
2. Indien dit voor de betrokkene niet leidt tot een acceptabel resultaat, heeft de betrokkene de volgende mogelijkheden:
   1. De binnen de instelling functionerende regeling voor onafhankelijke klachtenbehandeling, of in geval van personeelsgegevens, het management;
   2. De AP verzoeken een onderzoek in te stellen of de wijze van gegevens-verwerking door de verantwoordelijke in overeenstemming is met de AVG;
   3. Gebruik te maken van de in de WBP neergelegde beroepsmogelijkheden.

Artikel 17. Wijzigingen, inwerkingtreding en inzage van dit reglement

1. In gevallen waarin dit reglement niet voorziet, beslist de verantwoordelijke met inacht-neming van de toepasselijke wet– en regelgeving en zo veel als mogelijk in het belang van betrokkenen.
2. Dit reglement is vastgesteld door de verantwoordelijke en treedt in werking op de dag na publicatie op de website.