Inleiding
De Algemene Verordening Gegevensbescherming (AVG) is op 25 mei 2018 van kracht gegaan. Ongeacht de invoering van deze verordening is gegevensbescherming altijd een topprioriteit binnen Accuralis – Zorgoptimalisatie.
Door middel van een jaarlijks geactualiseerd privacybeleid wil Accuralis aan alle verplichtingen op basis van de AVG voldoen.
Het gebruik van persoonsgegevens is noodzakelijk voor de bedrijfsprocessen van Accuralis. Opslag en verwerking van deze persoonsgegevens dient met de grootste zorgvuldigheid te gebeuren, omdat misbruik van persoonsgegevens grote schade kan berokkenen aan medewerkers en andere betrokkenen.
Met de maatregelen beschreven in dit beleidsdocument neemt Accuralis haar verantwoordelijkheid om de kwaliteit van de verwerking en de beveiliging van persoonsgegevens te optimaliseren en daarmee te voldoen aan de relevante privacywet- en regelgeving.
Reikwijdte en doelstelling van het privacybeleid
Het privacybeleid is van belang voor alle medewerkers, onderzoekers en andere relaties van Accuralis. Het heeft consequenties voor het werk van alle medewerkers die met persoonsgegevens werken. Het privacybeleid heeft betrekking op het verwerken van persoonsgegevens van alle betrokkenen binnen Accuralis, waaronder in ieder geval alle medewerkers, klanten en andere externe relaties.
Het privacybeleid betreft niet het verwerken van persoonsgegevens voor persoonlijk of huishoudelijk gebruik, zoals persoonlijke werkaantekeningen. Het betreft de geheel of gedeeltelijk geautomatiseerde en/of systematische verwerking van persoonsgegevens die plaatsvindt onder de verantwoordelijkheid van Accuralis alsmede de daaraan ten grondslag liggende (al dan niet elektronische) documenten. Eveneens is het privacybeleid van toepassing op niet-geautomatiseerde verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen.
Het privacybeleid heeft als doel om de kwaliteit van de verwerking en de beveiliging van persoonsgegevens te optimaliseren waarbij wordt gestreefd naar een goede balans tussen privacy, functionaliteit en veiligheid.
Beoogd wordt de persoonlijke levenssfeer van de betrokkene zoveel mogelijk te respecteren. De gegevens, die betrekking hebben op een betrokkene, dienen beschermd te worden tegen onwettelijk en ongeautoriseerd gebruik en tegen verlies dan wel misbruik op basis van het fundamenteel recht op bescherming van zijn/haar persoonsgegevens. Dit brengt met zich mee dat het verwerken van persoonsgegevens dient te voldoen aan relevante wet- en regelgeving en dat persoonsgegevens veilig zijn bij Accuralis.
Het doel van het privacybeleid is:
Beleidsprincipes verwerking persoonsgegevens
Het algemene uitgangspunt van hetprivacybeleid is dat persoonsgegevens in overeenstemming met de relevante wet-en regelgeving worden verwerkt. Hierbij dient een goede balans te wordengevonden tussen het belang van Accuralis om persoonsgegevens te verwerken enhet belang van betrokkenen om in een vrije omgeving eigen keuzes te maken metbetrekking tot zijn/haar persoonsgegevens.
Om aan bovenstaand uitgangspunt tevoldoen gelden de volgende aan de AVG ontleende principes:
Wet en regelgeving
Voor Accuralis zijn in het kader van de gegevensbescherming de volgende wetten enregelingen relevant:
Rollen en verantwoordelijkheden m.b.t. verwerking persoonsgegevens
Het creëren van bewustwording en de naleving van het privacybeleid is onderdeel van de integrale bedrijfsvoering en is belegd bij de co-founders van Accuralis door:
- de medewerkers op de hoogte te brengen van (de voor hun relevante aspecten van) het privacybeleid
- ervoor te zorgen dat het privacy bewustzijn van de medewerkers toereikend is,
toe te zien op de naleving van het privacybeleid door de medewerkers en periodiek het onderwerp privacy onder de aandacht brengen in werkoverleggen.
Verantwoordelijke
De co-founders van Accuralis zijn eindverantwoordelijk voor de rechtmatige en zorgvuldige verwerking van persoonsgegevens binnen Accuralis en zij stellen het beleid, de maatregelen en de procedures op het gebied van verwerking vast.
Functionaris gegevensbescherming
De AVG verplicht Accuralis zelf een ‘toezichthouder’ op de verwerking van persoonsgegevens aan te stellen. Deze toezichthouder wordt de Functionaris voor de Gegevensbescherming (FG) genoemd.
De FG heeft als taken:
- ervoor zorgen dat de gegevensverwerkingen worden bijgehouden
- zorgdragen voor bewustwording in de organisatie
- vragen beantwoorden omtrent privacy
- betrokken zijn bij de afhandeling van datalekken en andere incidenten
- het jaarlijks herzien van het privacybeleid om aan te sluiten bij nieuwe ontwikkelingen.
Applicatie eigenaar
De applicatie eigenaar is ervoor verantwoordelijk dat de applicatie(s) en bijbehorende ICT-faciliteiten voldoen aan het privacybeleid. Dit betekent dat de applicatie eigenaar ervoor zorgt dat zowel nu als in de toekomst de applicatie(s) beantwoorden aan de eisen en wensen van de gebruikers en aan wet- en regelgeving.
Implementatie privacybeleid
De co-founders van Accuralis zijn verantwoordelijk voor verwerkingen van de persoonsgegevens, waarvan zij het doel en de middelen voor de verwerking vaststellen. Zij worden aangemerkt als eindverantwoordelijken in de zin van de AVG. De feitelijke verwerking van persoonsgegevens wordt echter op allerlei plekken binnen Accuralis uitgevoerd.
Verdeling van verantwoordelijkheden
De co-founders van Accuralis zijn eindverantwoordelijk voor alle gegevensverwerkingen van Accuralis, waarbij iedere medewerker overeenkomstig zijn rol een eigen verantwoordelijkheid heeft.
Privacy is ieders verantwoordelijkheid. Van medewerkers en derden wordt verwacht dat ze zich integer gedragen en zorgvuldig omgaan met persoonsgegevens.
Bewustwording
Naast het beleid en de maatregelen krijgt bewustwording met betrekking tot privacy en veiligheid regelmatig aandacht bij Accuralis door dit periodiek terug te laten komen in werkoverleggen.
Rechtmatige en zorgvuldige verwerking van persoonsgegevens
Grondslag, doelbinding en belangenafweging
Het verwerken van persoonsgegevens moet gebaseerd zijn op een van de wettelijke gronden zoals beschreven in artikel 6 AVG. De verwerkingsverantwoordelijke omschrijft vooraf de doeleinden voor de verwerking. Deze doeleinden zijn concreet en specifiek geformuleerd. Bij elke verwerking wordt getoetst in hoeverre het verwerken van persoonsgegevens noodzakelijk is. Hierbij worden verschillende belangen afgewogen en wordt gekeken naar de doelmatigheid, proportionaliteit en subsidiariteit.
Persoonsgegevens worden niet verder verwerkt op een wijze die onverenigbaar is met de doeleinden waarvoor ze zijn verkregen. Past een verwerking niet binnen de wettelijke taakuitoefening van Accuralis of ontbreekt een gerechtvaardigd belang, dan is de uitdrukkelijke toestemming van de betrokkene vereist.
Accuralis treft de nodige maatregelen om te zorgen dat persoonsgegevens, gelet op de doeleinden waarvoor zij worden verzameld of vervolgens worden verwerkt, juist en nauwkeurig zijn.
Melden en documenteren van verwerkingen
Een geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens dient gemeld te worden bij de FG van Accuralis. De FG beoordeelt de rechtsgeldigheid van de registratie en draagt zorg voor adequate documentatie.
De organisatie van de beveiliging
Accuralis draagt zorg voor een adequaat beveiligingsniveau en legt passende technische en organisatorische maatregelen ten uitvoer om persoonsgegevens te beveiligen tegen verlies of tegen enige vorm van onrechtmatige verwerking. Deze maatregelen zijn er mede op gericht onnodige c.q. onrechtmatige verzameling van persoonsgegevens te voorkomen.
Geheimhouding
Bij Accuralis worden alle persoonsgegevens als vertrouwelijk geclassificeerd. Eenieder behoort de vertrouwelijkheid van persoonsgegevens te kennen en daarnaar te handelen. Voor alle medewerkers en betrokkenen van Accuralis geldt dat zij verplicht zijn tot geheimhouding van de persoonsgegevens waarvan zij kennis nemen, behoudens voor zover enig wettelijk voorschrift hen tot mededeling verplicht of uit hun taak de noodzaak tot mededeling voortvloeit.
Bewaartermijnen/vernietigingstermijnen per soort gegeven
Persoonsgegevens worden niet langer bewaard dan noodzakelijk voor de doeleinden waarvoor zij zijn verzameld of worden gebruikt. Persoonsgegevens dienen na het verlopen van de bewaartermijn buiten het bereik van de actieve administratie gebracht te worden. Accuralis zal de persoonsgegevens na het verlopen van de bewaartermijn vernietigen of, indien de persoonsgegevens bestemd zijn voor historische, statistische of wetenschappelijke doeleinden, in een archief bewaren.
Bijzondere persoonsgegevens
Het verwerken van bijzondere persoonsgegevens is in beginsel verboden, tenzij er sprake is van een wettelijke grondslag, uitdrukkelijke toestemming van de betrokkene of een zwaarwegend algemeen belang. Tevens gelden zwaardere eisen voor de beveiliging van deze persoonsgegevens. Daar waar de basisbescherming niet voldoende is moeten voor elk informatiesysteem individueel afgestemde extra maatregelen worden genomen.
Onder bijzondere persoonsgegevens vallen gegevens betreffende iemand godsdienst of levensovertuiging, ras, politieke gezindheid, gezondheid, seksuele leven, lidmaatschap van een vakvereniging en strafrechtelijke gegevens.
Doorgifte persoonsgegevens aan derden
De persoonsgegevens blijven altijd in het bezit van de desbetreffende organisatie waar deze personen werkzaam zijn. Accuralis gebruikt de gegevens voor analysedoeleinden en verstrekt de gegevens niet aan derden.
Incidenten met betrekking tot persoonsgegevens
Iedere klacht of melding met betrekking tot de verwerking van persoonsgegevens binnen Accuralis is een privacy incident. De bekendste vorm van zo’n incident is een datalek.
Melding en registratie
Medewerkers van Accuralis zijn verplicht om een (vermoedelijk) datalek en andere privacy incidenten direct te melden. Meldingen worden vertrouwelijk behandeld. De melder kan er op vertrouwen dat het doen van een melding geen persoonlijke consequenties heeft voor de melder.
Afhandeling
De afhandeling heeft als doel het probleem op te lossen, de schade te beperken en de wetgeving na te leven. Wanneer het informeren van de betrokkenen verplicht is conform de regels van de Autoriteit Persoonsgegevens of anderszins gewenst is wordt dit door de FG verzorgd.
Evaluatie
Accuralis heeft als doel te leren van incidenten. Deze worden dan ook geregistreerd en geëvalueerd om dergelijke incidenten in de toekomst te voorkomen.
.png)
