1. Privacy

Acupunctuur Olst-Wijhe en de Algemene Verordening Gegevensbescherming (AVG)

Opgesteld op 28 april 2018

Inleiding

Vanaf 25 mei 2018 is de Algemene Verordening Gegevensbescherming (AVG) van toepassing. Dit is de privacywetgeving die in heel Europa van kracht is. Met de invoering van deze wetgeving zijn alle instanties die persoonsgegevens verzamelen verplicht om zich aan deze wetgeving te houden.

Onderdeel van de wetgeving is z.g. verantwoordingsplicht. Dit houdt in dat het bedrijf of de instelling aan zowel personen van wie persoonsgegevens worden verzameld en verwerkt als aan de Autoriteit Persoonsgegevens (AP) moet kunnen verantwoorden hoe persoonsgegevens worden verzameld, verwerkt en beschermd.

Concreet noemt de AP de volgende maatregelen en acties die een bedrijf moet (onder)nemen:

• het bijhouden van een register van verwerkingsactiviteiten;
• het uitvoeren van een data protection impact assessment (DPIA) voor gegevensverwerkingen met een hoog privacyrisico;
• het bijhouden van een register van datalekken die zijn opgetreden;
• het aantonen dat een betrokkene daadwerkelijk toestemming heeft gegeven voor een gegevensverwerking wanneer u dit  voor een verwerking toestemming nodig heeft.
• wanneer onduidelijk is of u verplicht bent om een Functionaris voor gegevensbescherming aan te stellen, moet u goed kunnen onderbouwen waarom u ervoor gekozen hebt  om al dan niet een FG aan te stellen.

Hieronder wordt toegelicht op welke manier Acupunctuur Olst-Wijhe invulling geeft aan haar verantwoordingsplicht.

Register verwerkingsactiviteiten

Verzamelen

Binnen Acupunctuur Olst-Wijhe worden de volgende persoonsgegevens verzameld

• Aanmeldgegevens (voor zover via mail): Met welke reden overweegt iemand om in behandeling te komen.
• NAW-gegevens: Zijn nodig om contact met patiënt te kunnen onderhouden en dienen op factuur vermeld te staan
• Verslagen van behandeling (inclusief intakes)
• (eventueel) mailverkeer m.b.t. de behandeling

Verwerking

Geen van de bovengenoemde gegevens wordt met derden zonder uitdrukkelijke toestemming van de patiënt (of bij minderjarigen) diens wettelijk vertegenwoordiger:

• De aanmeldgegevens worden opgenomen in het dossier mocht het tot een behandeling komen. In andere gevallen worden binnen twee maanden of wanneer de persoon in kwestie hiertoe verzoekt vernietigd.
• NAW-gegevens worden opgenomen in het digitale adressenbestand en in het dossier van een patiënt en ze worden vermeld op facturen. Deze facturen worden rechtstreeks aan de klant meegegeven/verzonden en niet aan derden (ook niet zorgverzekeraars) verstrekt. De patiënt is zelf verantwoordelijk voor de declaratie. Een digitaal afschrift van de factuur worden opgeslagen in de bedrijfsvoering van het bedrijf en de factuur wordt onder vermelding van het de naam en het factuurnummer alsmede de behandeldatum opgenomen in het kasboek.
• Verslagen van behandeling worden opgeslagen in het dossier van de patiënt. Dit dossier of delen hiervan kunnen alleen met uitdrukkelijke toestemming van de patiënt worden gedeeld met derden (bijv. andere hulpverleners w.o. een huisarts). Bij voorkeur ontvangt de patiënt zelf een (digitaal) afschrift van het dossier of onderdelen daaruit, zodat deze ze zelf aan de betreffende derde kan doen toekomen. In gevallen waarin dit niet mogelijk is dient de patiënt of diens wettelijk vertegenwoordiger een toestemmingsverklaring te ondertekenen waarin staat vermeld welke informatie met welk doel aan welke derde mag worden verstrekt. Een afschrift van deze toestemmingsverklaring wordt gearchiveerd in het dossier van de patiënt.
• (eventueel) mailverkeer m.b.t. de behandeling wordt opgenomen in het dossier van de patiënt en daarna verwijderd uit de mailbox.

Bescherming

• Alle voornoemde gegevens worden opgeslagen op een computer (laptop). Deze is beveiligd met een wachtwoord. De computer wordt (buiten praktijkuren) uit de praktijk gehaald en uit het zicht in het woonhuis van de praktijkhouder bewaard.
• Inkomende mail komt alleen binnen op de laptop er is bijv. geen account op een smartphone.
• Er worden geen persoons- c.q. dossiergegevens “in the cloud” bewaard.
• Alleen de acupuncturist/praktijkhouder heeft toegang tot de gegevens.

Uitvoeren Data Protection Impact Assessment (DPIA)

Op basis van de criteria die worden genoemd is een DPIA voor Acupunctuur Olst-Wijhe niet aan de order.

Bijhouden register datalekken

Mocht een datalek worden vastgesteld dan zal dit worden bijgehouden in een register en gemeld aan de AP.

Functionaris gegevensbescherming

Gezien de omvang van het bedrijf (Acupunctuur Olst-Wijhe is een eenmanszaak) en de relatief beperkte complexiteit van verzamelen, verwerken en beschermen van persoonsgegevens is een aparte functionaris persoonsgegevens niet vereist.

Meer weten?

De uitgebreide versie van het verwerkingsregister is op te vragen bij Acupunctuur Olst-Wijhe.

2        Klachten

Acupunctuur Olst-Wijhe handelt volgens professionele en ethische richtlijnen. Wij streven naar een optimale behandeling voor onze cliënten. Mocht u desondanks niet tevreden zijn over de manier waarop op behandeld wordt dan horen wij dat graag van u. Wij zullen dan proberen om uw klacht op te lossen. Mocht dit niet naar uw tevredenheid lukken dan kunt u met u klacht ook altijd terecht bij de Koepel Alternatieve Behandelwijzen (KAB, Klachtenprocedure, KAB). Zij zullen uw klacht dan in behandeling nemen.