1. Home
2. Privacybeleid

Privacybeleid

Het belang van gegevensbescherming

Het Centrum voor Functionele Revalidatie vzw hecht grote waarde aan het juist beschermen van de gegevens die zij verwerkt en in het bijzonder aan persoonsgegevens. Middels dit beleid wil het revalidatiecentrum op strategisch niveau vastleggen op welke wijze gegevens beschermd worden, welke verantwoordelijkheden hierrond zijn toegewezen en welke prioriteiten het revalidatiecentrum heeft bepaald rond de bescherming van gegevens.

In het bijzonder wil het Centrum voor Functionele Revalidatie vzw de gegevens van klanten en de persoonsgegevens die zij ter beschikking stelt, beschermen tegen:

• verlies: gegevens zijn niet meer beschikbaar
• lekken: gegevens komen in verkeerde handen terecht
• fouten: gegevens zijn niet correct, bijvoorbeeld verouderd of onvolledig
• niet toegankelijk: op het moment van de zorg zijn gegevens niet toegankelijk
• onterecht inkijken: ingekeken door personen die hiertoe niet gemachtigd zijn
• het niet kunnen nagaan wie de gegevens inkeek, wijzigde of verwijderde
• verwerkingen die niet overeenstemmen met regelgeving, richtlijnen en normen

De directie wil in dit beleid een beroep doen op iedereen die betrokken is bij de verwerking van gegevens, zowel elektronisch als op papier, om samen vanuit een gemeenschappelijke visie én vanuit onze gezamenlijke wil:

• een kwaliteitsvolle dienstverlening aan te bieden
• de verwerking van persoonsgegevens correct te laten verlopen.

Dit beleidshandboek gaat dieper in op de bescherming van de persoonlijke levenssfeer van en meer in het bijzonder, de informationele privacy. Dit beleidshandboek dient als norm voor het verwerken van alle persoonsgegevens door het Centrum voor Functionele Revalidatie vzw . Het is een leidraad voor alle verwerkingsprocessen en biedt een referentienorm voor audit en controle. Het beleidshandboek biedt elke belanghebbende, medewerker of betrokken externe een inzage in het gegevensbeschermingsbeleid en de manier waarop we omgaan met gevoelige persoonsgegevens.

Het handboek is tevens geschreven voor iedereen die een functie heeft binnen het Centrum voor Functionele Revalidatie vzw waarbij persoonsgegevens verwerkt worden. Ze gebruiken (delen van) dit beleidshandboek voor het ontwerpen van procedures en richtlijnen voor medewerkers en externen, zoals ICT-leveranciers. De relevante onderdelen van dit beleidshandboek worden verwerkt in overeenkomsten met cliënten, personeel en leveranciers.

Toepassingsgebied

Het is de directie die bij de start van de arbeidsovereenkomst bepaalt tot welke applicaties en met welke rechten de medewerker toegang mag krijgen, dit conform met de voorhanden zijnde procedures.

Daarnaast is er een autorisatiematrix om de specifieke toegangen te beheren.

Cliënteninformatie:

• Cliëntenzorg: Het stellen van een diagnose, het verstrekken van (medische, paramedische, verpleegkundige en psycho-sociale) zorg, behandelingen aan de betrokkene of een verwant en het beheer van de dienstverlening in het belang van de betrokkene.
• Cliëntenregistratie: Het registreren van gegevens van cliënten voor interne doeleinden die door de overheid worden opgelegd, evenals voor onderzoeks-, behandelings- en beleidsdoeleinden alsook het opvolgen van de prestaties van cliënten met het oog op facturering.
• Geneesmiddelenbeheer: Verwerkingen met betrekking tot het voorschrijven, opvolgen en/of toedienen van geneesmiddelen.
• Cliëntenadministratie en zorgkwaliteit: Verzameling en verwerking van alle gegevens met betrekking diagnostische en therapeutische praktijken zowel medische als paramedische, die verstrekt werden aan de cliënten met als doel de zorgkwaliteit te verbeteren.
• Klachtenbehandeling: Het registreren van persoonsgegevens van cliënten en/of hun vertrouwenspersonen om klachten te kunnen registreren en ook om te kunnen bemiddelen bij aangebrachte klachten.

Personeelsinformatie:

Alle medewerkers die in de uitoefening van hun functie in contact komen met persoonlijke gegevens, en in het bijzonder de HR medewerkers die met personeelsgegevens in contact komen, zullen een confidentialiteitsclausule ondertekenen als addendum aan hun contract.
Alle sollicitanten, vrijwilligers, stagiaires die met personeelsgegevens in contact komen, zullen een confidentialiteitsclausule ondertekenen als addendum.

De organisatie van gegevensbescherming

Bevoegdheid
De verantwoordelijkheid voor de verwerking van gegevens is een bevoegdheid van het Centrum voor Functionele Revalidatie vzw, vertegenwoordigd door de directie.
De directeur is verantwoordelijk voor het formuleren en vaststellen van, alsook voor het toezien op en de naleving van de beleidsprincipes binnen het Centrum voor Functionele Revalidatie vzw, hierbij ondersteund door de Raad van Bestuur en de Algemene Vergadering.

Het bestuur
Het bestuur fungeert als formeel beslissingsplatform voor gegevensbescherming. Het is bevoegd om beslissingen te nemen die betrekking hebben op volgende aspecten:

• de risicoanalyse en bijhorende methodiek
• het ontwikkelen van het gegevensbeschermingsbeleid en de bijhorende richtlijnen
• de implementatie van beveiligingsmaatregelen (= de inhoud van het veiligheidsplan)
• de structurele reactie op gegevensbeschermingsproblemen en –adviezen (binnen de 3 maanden)

Het aanspreekpunt informatieveiligheid
Het aanspreekpunt informatieveiligheid treedt op als contactpersoon voor de DPO en wordt aangesteld vanuit de Federatie.
Hij/zij draagt niet de eindverantwoordelijkheid i.v.m. het naleven van de AVG. Deze ligt bij de directie en het bestuur.
Het aanspreekpunt kent idealiter de aard van de data waarover het Centrum voor Functionele Revalidatie vzw beschikt alsook de datastromen.
Het aanspreekpunt helpt mee aan het bewustmakingsproces over hoe het Centrum voor Functionele Revalidatie vzw veilig moet omgaan met persoonsgegevens en hij/zij helpt mee om samen met de directie en het bestuur het informatieveiligheids- en privacybeleid toe te passen.
Daarnaast zal hij/zij de nodige documenten opstellen zoals b.v. het register van verwerkingsactiviteiten om aan te tonen dat het Centrum voor Functionele Revalidatie vzw aan de AVG voldoet en is hij/zij het eerste aanspreekpunt bij gegevenslekken.

De DPO
De inhoudelijke opvolging van het gegevensbeschermingsbeleid ligt bij de Data Protection Officer (DPO). De opdracht van DPO wordt ingevuld door een externe consultant, mevrouw Saskia Monseur. Zij voert deze taak uit volgens de bepalingen in de GDPR. Het Centrum voor Functionele Revalidatie vzw geeft de identiteit (en eventuele wijzigingen) van de DPO door aan de gegevensbeschermingsautoriteit. De DPO rapporteert aan de directeur van het Centrum voor Functionele Revalidatie vzw en is in het bijzonder belast met het:

• voorleggen van adviezen en aanbevelingen aan het bestuur;
• bevorderen van de bewustwording van alle actoren binnen het Centrum voor Functionele Revalidatie vzw
• toezien op de naleving van het gegevensbeschermingsbeleid binnen het Centrum voor Functionele Revalidatie vzw
• nodige documenteren rond gegevensbescherming zoals een veiligheidsplan en het verwerkingsregister
• uitvoeren van specifieke taken die aan de DPO zijn toegekend in het kader van de GDPR
• registreren van overtredingen en met een advies overmaken aan het bestuur.

Contactgegevens externe DPO: Mevrouw Monseur Saskia
Tel: 0496/945297
Email: gdpr@federatie.be

De medewerker
Iedereen (intern of extern) die gegevens verwerkt (bijvoorbeeld inkijkt, registreert, wijzigt, …), doet dit volgens de beleidsprincipes uit dit beleidshandboek. De gebruiker verwerkt gegevens in overeenstemming met de discretieplicht, en conform onderstaande principes.

hij/zij:

• is verantwoordelijk voor de persoonsgegevens die hij/zij verwerkt
• voert de veiligheidsrichtlijnen uit tijdens zijn/haar verwerkingsopdracht
• verwerkt enkel die gegevens die horen bij zijn/haar taak
• draagt zorg voor de gegevens
• meldt inbreuken
• leeft artikel 458 van het Strafwetboek na en respecteert het (gedeeld) beroepsgeheim

ICT-medewerker (of key user)
De ICT-medewerker of key user zijn, bovenop de verantwoordelijkheden voor de gebruiker, ook verantwoordelijk voor:

• de implementatie van de technische maatregelen
• het implementeren van de veiligheidsinstellingen conform dit beleidshandboek
• het melden bij het aanspreekpunt van de veiligheidsproblemen die ontstaan voor, tijdens of na de implementatie van ICT-middelen
• het fungeren als expert; vanuit deze rol neemt hij/zij deel aan de identificatie en de remediëring van de gegevensbeschermingsrisico’s.

ICT-leverancier
De ICT-leverancier heeft dezelfde verantwoordelijkheden als deze van een ICT-medewerker.

Bijkomend:

• wijst hij op veiligheidsrisico’s van geleverde toepassingen
• wijst de instelling op de op te nemen veiligheidstaken
• streeft hij/zij naar een transparant gegevensbeschermingsbeleid door te communiceren over het eigen actuele veiligheidsniveau en het afhandelen van veiligheidsincidenten.

Scope van het gegevensbeschermingsbeleid

Dit beleid is van toepassing voor de gehele levensduur van informatie binnen het Centrum voor Functionele Revalidatie vzw, Het geldt In het bijzonder vanaf het verkrijgen van informatie tot de uiteindelijke verwijdering van informatie binnen de organisatie en dit voor:

• alle personeelsleden, zowel interne medewerkers als externen voor bepaalde of onbepaalde duur
• alle bedrijfsmiddelen en informatie-verwerkende systemen beheerd door Centrum voor Functionele Revalidatie vzw, evenals systemen beheerd door externen ten behoeve van informatieverwerkingen voor het CAR zoals databases, informatie ongeacht de drager ervan, netwerken, datacenters, etc.
• alle verwerkingsactiviteiten, zowel als verwerkingsverantwoordelijke als voor verwerker.

Voor bepaalde domeinen of processen binnen het Centrum voor Functionele Revalidatie vzw kunnen aanvullende richtlijnen of procedures worden uitgewerkt die in detail omschrijven welke maatregelen genomen worden om het gewenste niveau van gegevensbescherming te bereiken. Dit beleid is de overkoepelende factor waar alle andere richtlijnen of procedures onder vallen.
Gezien de belangrijke rol van de ICT-leveranciers bij het opzetten van de ICT-omgeving om gegevens te verwerken, legt het beleidshandboek hiervoor ook de beleidsprincipes vast.

Bewerkers van cliëntenbestanden en hun bevoegdheden

Alle medewerkers van het Centrum voor Functionele Revalidatie vzw die voor de uitvoering van hun taken toegang nodig hebben tot persoonsgegevens, zijn verplicht het vertrouwelijk karakter van de betrokken gegevens strikt in acht te nemen.

De volgende personen zijn belast met de bewerking van de persoonsgegevens van cliënten binnen de inhoud van hun opdracht en binnen de doeleinden eigen aan deze opdracht (niet limitatief):

• De medewerkers zijn verantwoordelijk voor de verzameling en de verwerking van de persoonsgegevens van de cliënten in de afdelingen waarin zij werkzaam zijn. Zij zijn eveneens verantwoordelijk voor de door hen gemachtigden (b.v. stagiaires).
• De personeelsleden van het secretariaat en de administratie staan in voor het verwerken van de persoonsgegevens in de cliëntenbestanden. Er is aandacht voor het doorsturen van attesten, verslagen, …. Deze kunnen enkel naar de patiënt zelf worden verstuurd of naar die zorgverstrekkers die de patiënt schriftelijk heeft doorgegeven.
• De personeelsleden van de dienst onthaal, facturatie en boekhouding staan in voor het verwerken van de persoonsgegevens in de cliëntenbestanden, voor factureringsdoeleinden, medische registratie, debiteurenopvolging en beleidsinformatie.
• De personeelsleden van de dienst ICT staan in voor de technische verwerking van persoonsgegevens tot geanonimiseerde gegevens met het oog op door de overheid opgelegde doeleinden. Daarnaast komen zij in contact met persoonsgegevens in het kader van probleemoplossende werkzaamheden, interne efficiëntieverhoging of gelijkaardige toepassingen.
• De personeelsleden verbonden aan een patiëntbegeleidende dienst staan in voor de verwerking van de persoonsgegevens.
• De personeelsleden van de ombudsdienst staan in voor de verwerking van de persoonsgegevens in de cliëntenbestanden die kaderen binnen de ombudsfunctie.

Interne en externe raadpleging van de cliëntenbestanden, rechten en plichten van de bewerkers

Intern:

• De interne raadpleging en bewerking van de cliëntenbestanden wordt uitgevoerd door de personen zoals omschreven in voorgaande alinea. Dit recht is echter beperkt tot hun opdracht en de verwerkers hebben geen toegang tot de persoonsgegevens die niet noodzakelijk zijn voor de uitvoering van deze opdracht.
• Bij de verwerking van de persoonsgegevens hebben de verwerkers de plicht om de persoonsgegevens eerlijk en rechtmatig te verwerken. Ze hebben de plicht om de persoonsgegevens enkel te verwerken voor de doeleinden zoals vermeld in voorgaande alinea van dit regelement.
• Interne auditoren kunnen met het oog op kwaliteitscontrole cliëntendossiers of applicaties inkijken. Dit is gekoppeld aan een geheimhoudingsverklaring.
• Bovendien zijn de verwerkers bij het omgaan met de persoonsgegevens betreffende de gezondheid verplicht tot geheimhouding en staan ze onder het toezicht van de directeur, de medisch directeur en het aanspreekpunt informatieveiligheid.

Extern:

Binnen het kader van art. 7, lid 4 W.B.P.L. zijn volgende categorieën van instanties gerechtigd tot het verkrijgen van gegevens uit de cliëntenbestanden:

• verzekeringsinstellingen voor zover opgelegd door of krachtens de wet of met toestemming van de patiënt
• de betrokken cliënten of hun aangestelde mits ondertekend "aanvraagformulier inzage en afschrift cliëntendossier"
• overheidsinstanties die door een overheidsbeslissing daartoe gemachtigd zijn
• externe zorgverstrekkers van de patiënt met toestemming van de patiënt
• andere instanties voor zover opgelegd door of krachtens de wet of met toestemming van de patiënt
• leveranciers van ondersteunende software en hardware waarvoor een specifieke verklaring wordt ondertekend (gegevensverwerkersovereenkomst) om de privacy van deze data te garanderen

De aard van de verwerkte gegevens en de wijze waarop ze verkregen worden

De aard van de gegevens wordt als volgt vastgelegd:

- identificatiegegevens, waaronder het rijksregisternummer
- financiële en administratieve gegevens met betrekking tot opname en facturatie waaronder het lidmaatschap van het ziekenfonds
- medische, paramedische en verpleegkundige gegevens opgesplitst volgens:

• medische gegevens
• verpleegkundige gegevens
• paramedische gegevens
• medicatie
• psychosociale en relevante familiale gegevens
• andere gegevens noodzakelijk voor het uitvoeren van de doeleinden bepaald of opgelegd door de wet (b.v. gerechtelijke gegevens)

Het beheer van risico’s

Het Centrum voor Functionele Revalidatie vzw brengt de risico’s inzake gegevensbescherming in kaart aan de hand van een risicoanalyse. Deze werd uitgevoerd op basis van volgende criteria (toetsingskader):

• de richtlijnen met betrekking tot de informatiebeveiliging van persoonsgegevens zoals deze werden gepubliceerd door de Commissie voor de Bescherming van de Persoonlijke Levenssfeer
• de Algemene Verordening Gegevensbescherming
• de ISO 27001 norm rond informatiebeveiliging

De analyse brengt operationele, tactische en technische risico’s in kaart. De bevindingen uit de risicoanalyse werden besproken en werden opgenomen in een actieplan om de gevonden risico’s te behandelen. Hierin onderkent het Centrum voor Functionele Revalidatie vzw vier mogelijk risicobehandelingen:

• Accepteren: Een risico wordt geaccepteerd. Er worden geen aanvullende maatregelen genomen. Het Centrum voor Functionele Revalidatie vzw streeft er naar zo weinig mogelijk risico’s te accepteren.
• Overdragen: Een risico wordt overgedragen waardoor de verantwoordelijkheid ten aanzien van het risico niet langer bij het Centrum voor Functionele Revalidatie vzw ligt.
• Beperken: Het Centrum voor Functionele Revalidatie vzw neemt de noodzakelijke maatregelen om een risico te beperken zodat het risico wordt teruggebracht tot een niveau waarop het te accepteren is.
• Uitsluiten: Het Centrum voor Functionele Revalidatie vzw neemt maatregelen om te voorkomen dat een risico zich überhaupt kan voordoen.

Alle nodige voorzieningen worden getroffen ter bevordering van de juistheid en volledigheid van de opgenomen gegevens. Tevens worden de nodige technische en organisatorische maatregelen getroffen ter beveiliging van de cliëntenbestanden tegen verlies of aantasting van de gegevens en tegen ongeoorloofde kennisneming, wijziging of verstrekking daarvan.
Het doel is dat de risicoanalyse jaarlijks wordt herzien.
Elk jaar zullen ook sensibiliseringscampagnes worden gehouden voor de medewerkers van het Centrum voor Functionele Revalidatie vzw.
Aangezien het Centrum voor Functionele Revalidatie vzw over een grote hoeveelheid gevoelige data beschikt, heeft de ICT dienst een autorisatiematrix uitgewerkt waarin per departement en per dienst is aangegeven welke rol welke bevoegdheid heeft op vlak van digitale toegangen.

Bewaartermijnen

Met inachtneming van eventuele wettelijke voorschriften geldt, te rekenen vanaf het laatste ontslag of de laatste behandeling van de patiënt, voor de persoonsgegevens die identificatie toelaten een bewaartermijn van (niet limitatief):

• 10 jaar voor de facturatiegegevens uit de cliëntenbestanden die dienen als boekhoudkundig verantwoordingsstuk
• 30 jaar voor de medische gegevens
• 1 jaar voor de afgehandelde dossiers van de ombudsdienst (na opmaak jaarverslag)

Indien de bewaartermijn is verstreken, worden de betreffende persoonsgegevens uit de bestanden verwijderd en vernietigd binnen een termijn van één jaar.

Vernietiging blijft evenwel achterwege wanneer:

• de bewaring vereist is op grond van een wettelijk voorschrift
• de bewaring voldoende belangrijk wordt geacht vanuit medisch oogpunt of vanuit de levensverwachting van de patiënt en vanuit de verdediging van zijn rechtmatige belangen of die van zijn rechtverkrijgenden
• over de bewaring overeenstemming bestaat tussen de patiënt en de behandelende arts of de medisch directeur.

Indien betreffende gegevens zodanig bewerkt zijn dat herleiding tot individuele personen redelijkerwijze onmogelijk is, kunnen zij in geanonimiseerde vorm bewaard blijven.

Rechten en mogelijkheden van verweer van de patiënt in het kader van de bescherming van de persoonlijke levenssfeer

De patiënt die zijn identiteit bewijst, heeft het recht vanwege de verantwoordelijke voor de verwerking kennis te krijgen van:

• het al dan niet bestaan van verwerkingen die betrekking hebben op zijn gegevens
• de doeleinden van deze verwerkingen
• de categorieën van gegevens waarop deze verwerkingen betrekking hebben
• de categorieën van ontvangers aan wie de gegevens worden verstrekt
• de gegevens zelf die worden verwerkt en alle beschikbare informatie over de oorsprong van die gegevens tenzij de inzage van deze gegevens via de wet van het recht op inzage worden uitgesloten

Iedereen mag zich kosteloos en zonder enige motivering verzetten tegen het verwerken van gegevens met het oog op direct marketing.

Bij de verzameling van persoonsgegevens die op de patiënt betrekking hebben, wordt deze omtrent de in art. 4 W.B.P.L. vermelde topics geïnformeerd via o.a. de website van het Centrum voor Functionele Revalidatie vzw.

Bovendien heeft elke patiënt het recht om hetzij op rechtstreekse wijze of hetzij met behulp van een beroepsbeoefenaar in de gezondheidszorg, kennis te krijgen van de persoonsgegevens die betreffende zijn gezondheid worden verwerkt. Deze aanvraag tot inzage of afschrift dient gericht te worden tot de algemene directie.

Indien de patiënt van mening is dat de bepalingen van dit reglement niet worden nageleefd of andere redenen tot klagen heeft omtrent de bescherming van diens persoonlijke levenssfeer, kan deze zich steeds wenden tot de in §5 vermelde perso(o)n(en) en tot de directie.

Ongeacht alle hierboven opgesomde interne rechts- en verweermiddelen, kan de patiënt zich overeenkomstig de art. 13, 14 en 63 e.v. W.B.P.L. respectievelijk wenden tot de Voorzitter van de Rechtbank van Eerste Aanleg en tot de Commissie voor de bescherming van de Persoonlijke Levenssfeer, Hoogstraat 139 – 1000 BRUSSEL.

Het Centrum voor Functionele Revalidatie vzw zowel in haar rol als verwerkingsverantwoordelijke als verwerker

1. Is transparant over de persoonsgegevens die het verwerkt en het verwerkingsdoel, zowel naar de betrokkenen of de cliënten als naar de toezichthouders. De gevoerde communicatie is eerlijk, eenvoudig, toegankelijk en begrijpelijk. Het transparantieprincipe is ook van toepassing wanneer de persoonsgegevens worden uitgewisseld.
2. Verwerkt enkel de gegevens die relevant zijn voor het uitvoeren van haar taken. Elke taak waarbij persoonsgegevens worden verwerkt, is rechtmatig. Dit betekent onder meer dat de verwerking in overeenstemming is met de wettelijke en statutaire doelen van het Centrum voor Functionele Revalidatie vzw. Dit wordt telkens geëvalueerd bij een nieuw verwerkingsdoel indien nodig aan de hand van een DPIA (= Data Protection Impact Assessment), zijnde een effectenbeoordeling van gegevensbescherming.
3. Verwerkt enkel de persoonsgegevens die strikt noodzakelijk voor de uitvoering van de activiteiten. Zo worden identificatoren die horen bij de persoonsgegevens tot een minimum herleid.
4. Kijkt toe op de integriteit van de persoonsgegevens gedurende de ganse verwerkingscyclus.
5. Bewaart gegevens niet langer dan noodzakelijk. Hierbij wordt rekening gehouden met wettelijke verplichtingen en de rechten en vrijheden van de betrokkene.
6. Voorkomt inbreuken die voortvloeien uit het verwerken van persoonsgegevens. Informatieveiligheid, gegevensbescherming bij ontwerp en privacy-vriendelijke standaardinstellingen zijn hiervoor hulpmiddelen. Wanneer een inbreuk plaatsvindt, wordt dit gerapporteerd in overeenstemming met de regelgeving ter zake.
7. Is in staat om alle geldende rechten van een betrokkene zoals het recht op inzage, afschrift en eventueel ook schrapping uit te voeren. Het Centrum voor Functionele Revalidatie vzw houdt rekening met de eventuele beperkingen die op deze rechten van toepassing zijn.
8. Waakt er actief over dat bij het verwerken van de persoonsgegevens voor een welbepaald doel, de rechten en vrijheden (bijvoorbeeld recht op verzekerbaarheid, recht op zorg) van de betrokkene gevrijwaard blijven.
9. Verwerkt gegevens overeenkomstig de rechten en vrijheden die gelden in de Europese Economische Ruimte en controleert de toepassing hiervan wanneer de gegevens worden uitgewisseld daarbuiten. Het Centrum voor Functionele Revalidatie vzw leeft bijgevolg alle wettelijke en normerende kaders na (i.e. zowel Vlaamse, Federale als Europese regels) bij het verwerken van persoonsgegevens en heeft daartoe haar verantwoordelijkheid over de persoonsgegevens en die van andere duidelijk in kaart gebracht.
10. Kan aantonen dat het alle beleidsdoelstellingen naleeft, conform de wettelijke bepalingen. Deze verantwoordingsplicht wordt bewaakt door interne toezicht en controle en is uitvoerbaar volgens de wettelijk geldende principes.

Inwerkingtreding en wijzigingen
Deze versie van het privacybeleid treedt in werking op 25 mei 2018.