Privacybeleid en Reglement cliëntendossiers

Privacyverklaring

Dit is de privacyverklaring van GrandCare, conform de AVG uit 2018. De Algemene verordening gegevensbescherming betekent dat in de hele Europese Unie (EU) dezelfde privacywetgeving geldt. De Wet bescherming persoonsgegevens (Wbp) geldt niet meer. Om u goed van dienst te zijn en om ons werk zo efficiënt en effectief mogelijk uit te voeren verwerken wij mogelijk uw persoonsgegevens.

We hebben in dit Privacyreglement voor u op een rijtje gezet hoe wij omgaan met uw persoonsgegevens. U kunt in dit Privacyreglement lezen welke persoonsgegevens wij van u verwerken, voor welke doeleinden, wie uw gegevens mogen inzien, hoe wij uw gegevens bewaren, aan wie wij uw gegevens doorgeven en welke invloed u daarop zelf kunt uitoefenen. Uw belang staat bij ons uiteraard voorop!

Wat zijn persoonsgegevens

Persoonsgegevens zijn alle gegevens die kunnen worden herleid tot een natuurlijk persoon en dat bent u. Bij persoonsgegevens kunt u denken aan: uw naam, adres, geboortedatum, telefoonnummer e-mailadres en biometrische gegevens. Dit soort gegevens verkrijgen wij van u als u bijvoorbeeld een formulier invult, een brief of e-mail stuurt, of met ons belt. Ook als u de website van GrandCare bezoekt, verstrekt u ons in sommige gevallen persoonsgegevens. Bijvoorbeeld in de vorm van een cookie. Op het moment dat uw persoonsgegevens door uzelf of door een derde met GrandCare worden gedeeld, verwerken wij deze. De betekenis van het begrip verwerken is ruim en houdt onder meer in: verzamelen, opslaan, raadplegen, verwijderen, gebruiken en het verstrekken van gegevens aan derde partijen.

Waarop is deze Privacyverklaring van toepassing?

Deze privacyverklaring is van toepassing op alle persoonsgegevens die GrandCare van u (op geheel of gedeeltelijk geautomatiseerde wijze) verwerkt in het kader van haar dienstverlening.

Van wie verwerkt GrandCare persoonsgegevens?

GrandCare verwerkt gegevens van cliënten. Dit zijn in ieder geval identificatiegegevens en factuurgegevens. Uw Burgerservicenummer (BSN) is noodzakelijk om de beschikking te koppelen aan de juiste persoon. In verband met de zorg die wij bieden is het ook mogelijk dat wij bijzondere gegevens vastleggen zoals gezondheidsgegevens, uw gezinssamenstelling, huisarts en sociaal netwerk.
We verzamelen tevens informatie over kinderen jonger dan 16 jaar wanneer dit nodig is voor de begeleiding van ouders en /of kinderen. Andere bijzondere gegevens, bijvoorbeeld gegevens met betrekking tot ras/etniciteit of godsdienst/ levensovertuiging mogen alleen als aanvulling op gezondheidsgegevens worden verwerkt als dat nodig is voor een goede hulp aan de betrokkene en dus niet systematisch bij elke cliënt. Bijvoorbeeld voor de inschakeling van een tolk/vertaler als dat voor de uitleg van de zorg aan cliënt nodig is.

GrandCare verwerkt persoonsgegevens van u als wij daarvoor een wettelijke grondslag hebben. De wettelijke grondslagen voor het verwerken van uw persoonsgegevens zijn:

• uw toestemming;
• de verwerking van uw gegevens is noodzakelijk voor de uitvoering van een overeenkomst;
• de verwerking van uw gegevens is noodzakelijk om een wettelijke verplichting na te komen;
• de verwerking van uw gegevens is noodzakelijk ter bestrijding van ernstig gevaar van uw gezondheid; en de verwerking van uw gegevens is noodzakelijk met het oog op het belang van GrandCare c.q. uw omgeving, waarbij uw belang niet prevaleert.

Hoe gaat GrandCare met uw persoonsgegevens om?

GrandCare neemt de bescherming van uw gegevens serieus en neemt passende maatregelen om misbruik, verlies, onbevoegde toegang, ongewenste openbaarmaking en ongeoorloofde wijziging tegen te gaan. Als u de indruk heeft dat uw gegevens niet goed beveiligd zijn of er aanwijzingen zijn van misbruik, neem dan contact op met info@grandcare.nl.

Inbreuk in verband met persoonsgegevens (datalek)

Bij een datalek gaat het om ongeoorloofde of onbedoelde toegang tot persoonsgegevens. Maar ook om het ongewenst vernietigen, verliezen, wijzigen en verstrekken van persoonsgegevens.

Het melden van een datalek bij de Autoriteit Persoonsgegevens (AP) is afhankelijk van de (potentiële) impact van het datalek op de bescherming van persoonsgegevens en de persoonlijke levenssfeer van betrokkenen. GrandCare informeert de betrokkenen alleen als een datalek waarschijnlijk een hoog risico voor hun rechten en vrijheden oplevert. Een datalek brengt een hoog risico met zich mee wanneer het kan leiden tot lichamelijke, materiele of immateriële schade voor de betrokken personen.

In dat geval meldt GrandCare het datalek binnen 72 uur aan de AP. Wanneer een datalek niet aan de AP gemeld hoeft te worden melden we het ook niet aan de betrokken personen.

Vertrouwelijk
We gaan ervan uit dat uw gegevens altijd vertrouwelijk van aard zijn. Iedere medewerker van GrandCare gaat vertrouwelijk met uw gegevens om. Dit geldt eveneens voor derden die door GrandCare zijn ingehuurd of anderszins zijn aangesteld om werkzaamheden te verrichten. Personen die belast zijn met het uitvoeren van technische werkzaamheden op onze systemen zijn eveneens gehouden tot het vertrouwelijk omgaan met uw gegevens.

Hoe lang bewaren we uw gegevens?
GrandCare bewaart uw gegevens niet langer dan noodzakelijk is voor de doeleinden waarvoor uw gegevens worden verwerkt en dan wettelijk is toegestaan. Hoelang bepaalde gegevens worden bewaard is afhankelijk van de aard van de gegevens en de doeleinden waarvoor zij worden verwerkt. De bewaartermijn kan dus per doel verschillend zijn.

Wanneer GrandCare een gerechtvaardigd belang heeft om gegevens te verzamelen en vast te leggen, mag dit zonder toestemming worden gedaan. Denk hierbij aan camerabeelden van bewakingscamera’s op ons terrein.

Verstrekken aan derden

Wij verstrekken uw persoonsgegevens niet aan derden, tenzij dat noodzakelijk is in het kader van de uitvoering van de overeenkomst, indien dit wettelijk verplicht is of wanneer u ons hiervoor uw toestemming hebt gegeven. GrandCare kan ook verplicht zijn persoonsgegevens te verstrekken op basis van wet- of regelgeving, op basis van een uitspraak van een bevoegde rechter, of bij fraude of misbruik. Als dat het geval is verleent GrandCare haar medewerking. Met bedrijven die uw gegevens verwerken in onze opdracht, sluiten wij een verwerkersovereenkomst om te zorgen voor eenzelfde niveau van beveiliging en vertrouwelijkheid van uw gegevens. GrandCare blijft verantwoordelijk voor deze verwerkingen. GrandCare zal uw gegevens niet doorgeven aan een bedrijf of vestiging in een land buiten de Europese Unie.

Persoonlijk contact met GrandCare

Veel contacten tussen u en GrandCare verlopen telefonisch, via formulieren, e-mail of Whatsapp/Social media. Persoonsgegevens die u daarbij doorgeeft, leggen we alleen vast als dat nodig is voor onze dienstverlening. Onze telefoongesprekken worden niet opgenomen.

Wat doen we met cookies?

Wij maken op onze website gebruik van cookies. Een cookie is een eenvoudig klein bestandje dat met pagina’s van deze website wordt meegestuurd en door uw browser op uw harde schrijf van uw computer wordt opgeslagen. Via onze website wordt een cookie geplaatst van het Amerikaanse bedrijf Google, als deel van de “Analytics”- dienst.

Wij gebruiken deze dienst om bij te houden hoe bezoekers deze website gebruiken en ontvangen daarover rapportages. Google kan deze informatie aan derden verschaffen indien Google hiertoe wettelijk wordt verplicht, of voor zover derden de informatie namens Google verwerken. Wij hebben hier geen invloed op. De informatie die Google verzamelt wordt zo veel mogelijk geanonimiseerd. Uw IP-adres wordt nadrukkelijk niet meegegeven. De informatie wordt overgebracht naar en door Google opgeslagen op servers in de Verenigde Staten.

Het maken van geluidsopnamen

GrandCare heeft geen bezwaar tegen het maken van geluidsopnamen om een gesprek later nog eens terug te kunnen luisteren. We vinden het wel belangrijk dat u dit in alle openheid doet en met de opnamen zorgvuldig omgaat. U mag de opnamen niet gebruiken bij het zoeken van publiciteit op internet of in andere media. Dit schendt het onderlinge vertrouwen, is in strijd met het recht op privacybescherming en levert voor de betrokken kinderen een onveilige situatie op. Wanneer dit toch gebeurt, komt GrandCare op voor de rechten van allen (cliënten en medewerkers) die hierdoor in hun belangen geschaad worden.

VIR/minderjarigen

GrandCare behoort tot de instellingen die volgens de wet VIR jeugdigen in de Verwijsindex IR moeten aanmelden. De VIR is een landelijk digitaal systeem waarin professionele organisaties die zich met hulpverlening aan jeugdigen bezighouden, hun betrokkenheid melden. Alleen het BSN van een jeugdige wordt hierin gemeld.

Wanneer een jeugdige door meer dan één instelling wordt aangemeld, wordt er in de Verwijsindex zichtbaar welke andere hulpverlenende organisatie(s) betrokken is en wordt er een signaal naar hen afgegeven. Als er een signaal afgegeven wordt in de Verwijsindex vertelt de professional dit aan de ouders. Vanaf 16 jaar vertelt de professional het de jeugdige zelf. De hulpverleners kunnen vervolgens, in samenspraak met de cliënt, elkaar informeren en hun activiteiten op elkaar afstemmen.

Meldingen van betrokkenheid worden twee jaar bewaard in de Verwijsindex. De gemeenten zijn verantwoordelijk voor de uitvoering en het beheer van de verwijsindex. Als u een klacht heeft over de VIR kunt u zich wenden tot het College van Burgemeester en Wethouders in uw gemeente.

 

 

Reglement cliëntendossiers

Inhoud

• Inleiding
• Wettelijk kader
• Vastleggen van gegevens in het cliëntdossier
• Toegang tot cliëntdossiers
• Uitwisseling van cliëntgegevens
• Bewaartermijnen en vernietiging
• Rechten van de cliënt
• Beveiliging van het cliëntdossier
• Klachten over het cliëntdossier en privacy
• Beveiligingsincidenten en datalekken
• Verantwoordelijkheid voor en kwaliteit van het cliëntdossier
• Afsluiten en overdragen van cliëntdossiers
• Beheer en actualisatie

1. Inleiding

GrandCare biedt begeleiding en ondersteuning aan cliënten op grond van onder meer de Wet maatschappelijke ondersteuning 2015 (Wmo 2015) en de Jeugdwet. Voor iedere cliënt legt GrandCare een cliëntdossier aan.

Een zorgvuldig bijgehouden cliëntdossier is noodzakelijk om goede, veilige en samenhangende begeleiding en ondersteuning te kunnen bieden. In het dossier worden alleen persoonsgegevens vastgelegd die voor de begeleiding, ondersteuning en de daarbij behorende wettelijke en administratieve verplichtingen noodzakelijk zijn.

In dit reglement staat hoe GrandCare cliëntdossiers aanlegt, gebruikt, beveiligt, bewaart en verwijdert. Ook beschrijft het wie toegang mag hebben tot een dossier, wanneer gegevens met anderen mogen worden uitgewisseld en welke rechten cliënten hebben met betrekking tot hun dossier.

Voor jeugdige cliënten gelden op onderdelen bijzondere regels. Waar dat van toepassing is, wordt rekening gehouden met de positie van de jeugdige en van zijn of haar wettelijk vertegenwoordiger(s).

2. Wettelijk kader

GrandCare verwerkt persoonsgegevens en beheert cliëntdossiers binnen verschillende wettelijke kaders. Welke regels precies van toepassing zijn, hangt onder meer af van de vorm van begeleiding of ondersteuning die de cliënt ontvangt.

Voor de huidige dienstverlening van GrandCare zijn in ieder geval relevant:

• de Algemene verordening gegevensbescherming (AVG) en de Uitvoeringswet AVG (UAVG);
• de Wet maatschappelijke ondersteuning 2015 (Wmo 2015), voor begeleiding en ondersteuning die op grond van de Wmo wordt verleend;
• de Jeugdwet, voor jeugdhulp;
• overige wet- en regelgeving die op een specifieke cliënt, voorziening of gegevensverwerking van toepassing is.
• GrandCare verleent binnen de dienstverlening waarop dit reglement betrekking heeft begeleiding en ondersteuning op grond van de Wmo 2015 en jeugdhulp op grond van de Jeugdwet. GrandCare sluit binnen deze dienstverlening geen geneeskundige behandelingsovereenkomsten en verricht geen geneeskundige behandeling waarop de WGBO van toepassing is. De WGBO is daarom niet van toepassing op de cliëntdossiers waarop dit reglement betrekking heeft.
• Op de in dit reglement beschreven Wmo-ondersteuning en jeugdhulp is de Wkkgz niet van toepassing. Voor deze dienstverlening gelden de specifieke kwaliteits-, dossier- en klachtenregels uit de Wmo 2015 en de Jeugdwet.
• Wanneer GrandCare de dienstverlening in de toekomst uitbreidt of wijzigt, wordt opnieuw beoordeeld of de WGBO, Wkkgz of andere zorgwetgeving op die dienstverlening van toepassing wordt.

Toestemming is niet de standaardgrondslag voor het verwerken van persoonsgegevens in het cliëntdossier. GrandCare bepaalt per verwerking welke grondslag uit artikel 6 AVG van toepassing is en, wanneer bijzondere persoonsgegevens zoals gezondheidsgegevens worden verwerkt, welke uitzondering op het verwerkingsverbod uit artikel 9 AVG van toepassing is.

Voor het verstrekken of opvragen van cliëntgegevens kunnen daarnaast bijzondere regels uit de Wmo 2015, de Jeugdwet of andere wetgeving gelden. Wanneer voor een concrete gegevensuitwisseling toestemming nodig is, gebruikt GrandCare daarvoor een specifiek toestemmingsformulier.

3. Vastleggen van gegevens in het cliëntdossier

GrandCare legt in het cliëntdossier alleen persoonsgegevens vast die noodzakelijk zijn voor de begeleiding of ondersteuning van de cliënt en voor de verplichtingen die daarmee samenhangen. Welke gegevens nodig zijn, kan per cliënt en per wettelijke grondslag voor de dienstverlening verschillen.

Afhankelijk van de situatie kan het dossier onder meer bevatten:

• identificatie- en contactgegevens, zoals naam, adres, geboortedatum en contactgegevens;
• gegevens die noodzakelijk zijn voor de uitvoering van de Wmo-voorziening of jeugdhulp;
• het begeleidings- of ondersteuningsplan, doelen en afspraken;
• rapportages over de voortgang van de begeleiding;
• voor de begeleiding noodzakelijke gegevens over gezondheid, psychosociaal functioneren, medicatie of andere relevante omstandigheden;
• relevante correspondentie met de cliënt, wettelijk vertegenwoordiger(s), gemeente, hulpverleners of andere betrokken organisaties;
• vastgelegde toestemmingen voor specifieke gegevensuitwisselingen en eventuele intrekkingen daarvan;
• overige gegevens die noodzakelijk zijn voor uitvoering, verantwoording of wettelijke verplichtingen van GrandCare.

Medewerkers leggen geen persoonsgegevens vast die niet noodzakelijk zijn voor het doel van het cliëntdossier. Aantekeningen moeten feitelijk, relevant en zorgvuldig zijn geformuleerd.

3.1 Burgerservicenummer (BSN)

GrandCare verwerkt het BSN voor zover dit op grond van de Wmo 2015, Jeugdwet of andere toepasselijke wetgeving is toegestaan of voorgeschreven. Het BSN wordt uitsluitend gebruikt voor de doeleinden waarvoor het wettelijk mag worden gebruikt.

3.2 Gezondheidsgegevens en andere bijzondere persoonsgegevens

In het cliëntdossier kunnen gezondheidsgegevens of andere bijzondere persoonsgegevens worden opgenomen wanneer deze gegevens noodzakelijk zijn voor de begeleiding of ondersteuning en de verwerking daarvan wettelijk is toegestaan.

GrandCare legt dergelijke gegevens niet standaard vast. Per situatie wordt beoordeeld of het gegeven noodzakelijk is en of daarvoor een geldige AVG-grondslag en een toepasselijke uitzondering op het verbod van artikel 9 AVG bestaan.

3.3 Feiten, observaties en professionele beoordelingen

Medewerkers maken in rapportages zoveel mogelijk onderscheid tussen feiten, eigen waarnemingen, informatie die van anderen afkomstig is en professionele beoordelingen. Subjectieve kwalificaties die niet noodzakelijk of onvoldoende onderbouwd zijn, worden vermeden.

Wanneer informatie van een derde afkomstig is en dat voor de betekenis van de informatie relevant is, wordt de bron daarvan vermeld.

3.4 Toestemming voor gegevensuitwisseling

Wanneer voor het opvragen of verstrekken van cliëntgegevens toestemming nodig is, legt GrandCare vast wie toestemming heeft gegeven, voor welke gegevensuitwisseling toestemming is gegeven, met welk doel, voor welke periode en op welke datum de toestemming is verkregen.

Ook een intrekking van toestemming wordt in het cliëntdossier geregistreerd. Vanaf dat moment wordt de betreffende toestemming niet meer gebruikt voor nieuwe gegevensuitwisselingen. GrandCare gebruikt hiervoor het toepasselijke toestemmingsformulier voor de Wmo of de Jeugdwet.

4. Toegang tot cliëntdossiers

Cliëntdossiers bevatten vertrouwelijke en veelal bijzondere persoonsgegevens. Medewerkers van GrandCare hebben daarom alleen toegang tot cliëntgegevens voor zover dit noodzakelijk is voor de uitvoering van hun werkzaamheden.

GrandCare hanteert hierbij het need-to-know-beginsel: een medewerker krijgt niet méér toegang tot cliëntgegevens dan voor zijn of haar functie en concrete werkzaamheden noodzakelijk is.

De toegang tot ONS wordt ingericht aan de hand van rollen en autorisaties. GrandCare legt deze vast in een autorisatiematrix en beoordeelt periodiek of de toegekende autorisaties nog passend en noodzakelijk zijn.

Toegang tot een cliëntdossier betekent niet dat een medewerker het dossier zonder concrete aanleiding mag raadplegen. Een dossier mag alleen worden geopend wanneer dit noodzakelijk is voor de uitvoering van de werkzaamheden van de medewerker.

 

Begeleiders

Begeleiders die rechtstreeks betrokken zijn bij de begeleiding of ondersteuning van een cliënt hebben toegang tot de cliëntgegevens die zij voor die begeleiding nodig hebben.

Gedragsdeskundigen en andere inhoudelijk deskundigen

Zij hebben toegang voor zover zij daadwerkelijk betrokken zijn bij advisering, beoordeling of ondersteuning rondom de betreffende cliënt en inzage daarvoor noodzakelijk is.

Regiomanagers, leidinggevenden, directie en bestuur

Een leidinggevende heeft niet vanwege zijn of haar leidinggevende functie automatisch toegang tot alle cliëntdossiers. Inzage vindt alleen plaats wanneer dit voor een concrete taak noodzakelijk is, bijvoorbeeld voor inhoudelijke ondersteuning, een incident, klacht of kwaliteitsvraag, en voor zover daarvoor een geldige grond bestaat.

Administratieve medewerkers

Administratieve medewerkers hebben uitsluitend toegang tot de cliëntgegevens die noodzakelijk zijn voor hun administratieve en financiële werkzaamheden. Waar mogelijk worden hun autorisaties technisch beperkt tot die gegevens.

Medewerkers kwaliteit

Medewerkers die kwaliteitswerkzaamheden uitvoeren hebben niet standaard toegang tot volledige cliëntdossiers. Wanneer dossierinzage noodzakelijk is voor een concrete kwaliteitscontrole, audit, klachtbehandeling of onderzoek, wordt vooraf vastgesteld wat het doel van de inzage is, welke dossiers of gegevens noodzakelijk zijn en wie deze mag raadplegen. Waar het doel kan worden bereikt met geanonimiseerde, gepseudonimiseerde of beperkte gegevens, heeft dat de voorkeur boven inzage in het volledige cliëntdossier.

Logging en controle

GrandCare zorgt ervoor dat raadpleging en gebruik van cliëntgegevens in ONS, voor zover technisch mogelijk en passend bij de verwerking, worden gelogd. Logging wordt gebruikt voor beveiliging, controle op rechtmatige toegang en onderzoek naar mogelijke onbevoegde inzage.

Signalen van mogelijk onbevoegde dossierinzage worden onderzocht volgens de geldende privacy- en informatiebeveiligingsprocedures.

Wijzigen en beëindigen van toegang

Wanneer een medewerker van functie of werkzaamheden verandert, worden de autorisaties zo nodig aangepast. Bij uitdiensttreding of wanneer toegang niet langer noodzakelijk is, wordt de toegang tijdig beëindigd.

5. Uitwisseling van cliëntgegevens

GrandCare verstrekt of vraagt cliëntgegevens alleen op wanneer daarvoor een rechtmatige grond bestaat en de gegevensuitwisseling noodzakelijk is voor het betreffende doel.

Voor iedere gegevensuitwisseling wordt beoordeeld:

• wat het doel van de gegevensuitwisseling is;
• welke gegevens daarvoor noodzakelijk zijn;
• met welke persoon of organisatie de gegevens worden uitgewisseld;
• welke AVG-grondslag en, bij bijzondere persoonsgegevens, welke uitzondering van toepassing is;
• welke aanvullende regels uit de Wmo 2015, Jeugdwet of andere toepasselijke wetgeving gelden;
• of voor de gegevensuitwisseling toestemming nodig is.

GrandCare beoordeelt bij iedere externe gegevensverstrekking niet alleen of daarvoor een AVG-grondslag bestaat, maar ook of een specifieke geheimhoudings- of verstrekkingsregel uit de Wmo 2015, Jeugdwet of andere toepasselijke wetgeving geldt. Een AVG-grondslag betekent op zichzelf niet dat vertrouwelijke dossiergegevens zonder meer aan een derde mogen worden verstrekt.

Wanneer de wet de noodzakelijke gegevensuitwisseling al regelt, vraagt GrandCare niet alsnog toestemming. Wanneer voor een concrete gegevensuitwisseling wél toestemming nodig is, gebruikt GrandCare het daarvoor bestemde Wmo- of Jeugdwet-toestemmingsformulier. De toestemming en een eventuele intrekking worden in ONS geregistreerd.

Voor jeugdigen wordt daarnaast beoordeeld wie bevoegd is toestemming te geven. Bij twijfel over leeftijd, gezag, vertegenwoordiging of de toepasselijke wettelijke regeling vindt de gegevensuitwisseling niet op basis van toestemming plaats voordat dit is beoordeeld.

6. Bewaartermijnen en vernietiging

GrandCare bewaart cliëntdossiers niet langer dan noodzakelijk en houdt daarbij rekening met de wettelijke bewaartermijnen die gelden voor de betreffende dienstverlening.

6.1 Wmo 2015

Persoonsgegevens die GrandCare als Wmo-aanbieder op grond van de Wmo 2015 onder zich heeft, worden in beginsel 15 jaar bewaard, gerekend vanaf het tijdstip waarop de laatste wijziging van die persoonsgegevens is vastgelegd. Gegevens kunnen langer worden bewaard wanneer dit redelijkerwijs noodzakelijk is voor een zorgvuldige uitvoering van de taken op grond van de Wmo 2015.

6.2 Jeugdwet

Een cliëntdossier dat GrandCare als jeugdhulpverlener voert, wordt in beginsel 20 jaar bewaard, gerekend vanaf het tijdstip waarop de laatste wijziging in het dossier heeft plaatsgevonden. Het dossier kan langer worden bewaard wanneer dit redelijkerwijs uit de zorg van een goed jeugdhulpverlener voortvloeit.

Wanneer op een dossier of onderdeel daarvan een andere wettelijke bewaartermijn van toepassing is, wordt die termijn gevolgd.

GrandCare richt het cliëntsysteem en de interne werkprocessen zo in dat bewaartermijnen kunnen worden bewaakt en dat gegevens na het verstrijken van de toepasselijke bewaartermijn worden verwijderd of vernietigd, tenzij verdere bewaring noodzakelijk of wettelijk verplicht is.

6.3 Vernietiging op verzoek

Een cliënt kan verzoeken om vernietiging van gegevens uit het cliëntdossier. GrandCare beoordeelt een dergelijk verzoek aan de hand van de wettelijke regeling die op het dossier van toepassing is.

Voor cliëntdossiers die onder de Wmo 2015 vallen, geldt op grond van artikel 5.3.4 Wmo 2015 in beginsel een bewaartermijn van 15 jaar, gerekend vanaf het tijdstip waarop de laatste wijziging van de persoonsgegevens is vastgelegd. Gegevens kunnen langer worden bewaard wanneer dit redelijkerwijs noodzakelijk is voor een zorgvuldige uitvoering van de Wmo 2015.

Een cliënt kan ook vóór het verstrijken van deze bewaartermijn verzoeken om vernietiging van gegevens. Een dergelijk verzoek wordt beoordeeld overeenkomstig artikel 5.3.5 Wmo 2015. Indien het verzoek moet worden gehonoreerd, worden de betreffende gegevens binnen drie maanden na het verzoek vernietigd. Een verzoek hoeft niet te worden uitgevoerd wanneer een wettelijke uitzondering van toepassing is.

Voor cliëntdossiers die onder de Jeugdwet vallen, geldt op grond van artikel 7.3.8 Jeugdwet in beginsel een bewaartermijn van 20 jaar, gerekend vanaf het tijdstip waarop de laatste wijziging in het dossier heeft plaatsgevonden. Het dossier kan langer worden bewaard wanneer dit redelijkerwijs voortvloeit uit de zorg van een goed jeugdhulpverlener.

Ook bij een Jeugdwetdossier kan om eerdere vernietiging worden verzocht. Een dergelijk verzoek wordt beoordeeld overeenkomstig artikel 7.3.9 Jeugdwet. De AVG termijnen (1 maand na indienen verzoek) zijn hier van toepassing. Het verzoek wordt uitgevoerd, tenzij een wettelijke uitzondering van toepassing is, bijvoorbeeld wanneer bewaring van aanmerkelijk belang is voor een ander of wanneer een wettelijke bepaling zich tegen vernietiging verzet.

Voor Wmo-dossiers geldt dat een verzoek tot vernietiging overeenkomstig artikel 5.3.5 Wmo 2015 wordt behandeld. Indien het verzoek moet worden gehonoreerd, vindt vernietiging binnen de in die bepaling genoemde termijn plaats.

Voor Jeugdwetdossiers geldt de specifieke vernietigingsregeling van artikel 7.3.9 Jeugdwet.

Een verzoek tot vernietiging wordt niet automatisch toegewezen. Er kunnen wettelijke redenen zijn om gegevens te bewaren, bijvoorbeeld wanneer bewaring van aanmerkelijk belang is voor een ander of wanneer een wettelijke bepaling zich tegen vernietiging verzet. GrandCare legt de beoordeling en afhandeling van het verzoek vast.

Na afloop van de begeleiding wordt een dossier niet onbeperkt actief toegankelijk gehouden. GrandCare beoordeelt welke medewerkers gedurende de bewaartermijn nog toegang nodig hebben en beperkt de toegang waar mogelijk.

7. Rechten van de cliënt

Cliënten hebben rechten met betrekking tot hun persoonsgegevens en cliëntdossier. Welke regels precies gelden, hangt af van de toepasselijke wetgeving, waaronder de AVG, UAVG, Wmo 2015 en Jeugdwet.

GrandCare heeft een procedure voor de behandeling van verzoeken van cliënten en wettelijk vertegenwoordigers. Een verzoek wordt zo spoedig mogelijk en binnen de toepasselijke wettelijke termijn behandeld.

Voor Wmo-dossiers past GrandCare bij verzoeken om inzage, afschrift en correctie in het bijzonder de specifieke dossierregels van de Wmo 2015 toe. Voor Jeugdwetdossiers gelden in het bijzonder de dossierregels van paragraaf 7.3 Jeugdwet.

7.1 Inzage en afschrift

Een cliënt kan GrandCare vragen om inzage in het cliëntdossier en om een afschrift van gegevens uit het dossier. GrandCare controleert voorafgaand aan de verstrekking de identiteit en, wanneer iemand namens de cliënt optreedt, de bevoegdheid van die persoon.

Bij het behandelen van het verzoek wordt rekening gehouden met de rechten en persoonlijke levenssfeer van anderen. Gegevens over andere personen worden niet zonder meer verstrekt wanneer daardoor hun persoonlijke levenssfeer wordt geschaad.

7.2 Correctie en aanvulling

Wanneer persoonsgegevens feitelijk onjuist of onvolledig zijn, kan de cliënt verzoeken deze te corrigeren of aan te vullen.

Een verzoek om correctie betekent niet dat een professionele beoordeling, observatie of rapportage waarmee de cliënt het niet eens is automatisch moet worden verwijderd of herschreven. GrandCare beoordeelt in dat geval of de vastlegging feitelijk juist en zorgvuldig is en of aanvulling van het dossier passend is.

7.3 Eigen verklaring bij een Jeugdwetdossier

De betrokkene kan GrandCare verzoeken een eigen verklaring aan het Jeugdwetdossier toe te voegen. Dit kan bijvoorbeeld van belang zijn wanneer de betrokkene een andere visie heeft op informatie die in het dossier is vastgelegd.

7.4 Verwijdering en vernietiging

Een cliënt kan verzoeken om verwijdering of vernietiging van persoonsgegevens uit het cliëntdossier. GrandCare beoordeelt een dergelijk verzoek aan de hand van de AVG en de specifieke wettelijke regeling die op het dossier van toepassing is. Een wettelijke bewaarplicht, het belang van een ander of een andere wettelijke reden kan zich tegen verwijdering of vernietiging verzetten.

7.5 Overige privacyrechten

Afhankelijk van de aard en grondslag van de verwerking kan de cliënt daarnaast rechten hebben op grond van de AVG, waaronder het recht op beperking van de verwerking, het recht van bezwaar en het recht op overdraagbaarheid van gegevens. GrandCare beoordeelt per verzoek of en in hoeverre het betreffende recht van toepassing is.

7.6 Jeugdigen en wettelijk vertegenwoordigers

Bij een Jeugdwetdossier beoordeelt GrandCare wie bevoegd is een dossierverzoek te doen. Daarbij wordt rekening gehouden met de leeftijd van de jeugdige, het gezag, de wettelijke vertegenwoordiging, de aard van het verzoek en de toepasselijke regels uit de Jeugdwet en UAVG.

GrandCare verstrekt een Jeugdwetdossier daarom niet automatisch aan een ouder uitsluitend omdat deze de ouder van de jeugdige is. Eerst wordt vastgesteld of de ouder gezag heeft of op een andere wettelijke grond recht heeft op bepaalde informatie.

Wanneer een ouder zonder gezag om informatie vraagt, wordt afzonderlijk beoordeeld of deze ouder op grond van artikel 1:377c BW recht heeft op informatie. Een dergelijk informatierecht betekent niet automatisch dat recht bestaat op inzage in of een afschrift van het volledige cliëntdossier.

Bij minderjarigen wordt per verzoek of gegevensuitwisseling beoordeeld welke wettelijke regeling van toepassing is, wie het betreffende recht kan uitoefenen en wie bevoegd is de jeugdige te vertegenwoordigen.

Bij twijfel over gezag, vertegenwoordiging, de positie van de jeugdige of de rechten van andere betrokkenen wordt het dossier niet verstrekt voordat dit is beoordeeld.

8. Beveiliging van het cliëntdossier

GrandCare treft passende technische en organisatorische maatregelen om cliëntgegevens te beschermen tegen verlies, onbevoegde toegang, ongeoorloofde wijziging, vernietiging of verstrekking aan onbevoegden.

De beveiligingsmaatregelen worden afgestemd op de aard en gevoeligheid van de gegevens, de risico’s van de verwerking en de geldende eisen op het gebied van privacy en informatiebeveiliging.

Cliëntdossiers worden in beginsel verwerkt in het daarvoor aangewezen cliëntinformatiesysteem ONS. Medewerkers gebruiken voor cliëntgegevens uitsluitend door GrandCare goedgekeurde systemen, applicaties en communicatiemiddelen.

8.1 Toegang en authenticatie

Medewerkers maken uitsluitend gebruik van hun eigen persoonlijke account. Inloggegevens worden niet gedeeld met anderen. Autorisaties worden toegekend volgens de vastgestelde autorisatiematrix en het need-to-know-beginsel zoals beschreven in hoofdstuk 4.

8.2 Logging en controle

Voor zover passend en technisch beschikbaar, wordt het gebruik van cliëntgegevens gelogd. GrandCare kan logging controleren wanneer dit noodzakelijk is voor beveiliging, controle op rechtmatige toegang, onderzoek naar een incident of andere gerechtvaardigde controledoeleinden. Medewerkers worden geïnformeerd over het gebruik van logging en de doeleinden waarvoor loggegevens kunnen worden gecontroleerd.

8.3 Exporteren en opslaan buiten ONS

Cliëntgegevens worden niet zonder noodzaak uit ONS geëxporteerd, gedownload, gekopieerd of lokaal opgeslagen. Wanneer verwerking buiten ONS voor een werkproces noodzakelijk is, wordt uitsluitend gebruikgemaakt van een door GrandCare goedgekeurde en beveiligde omgeving. Tijdelijke bestanden en kopieën worden verwijderd zodra deze niet meer noodzakelijk zijn.

Cliëntgegevens worden niet opgeslagen op privéapparatuur, persoonlijke cloudopslag of andere niet door GrandCare goedgekeurde locaties.

8.4 Versturen van cliëntgegevens

Bij het verzenden van cliëntgegevens controleert de medewerker vooraf de ontvanger en beoordeelt de medewerker welke gegevens daadwerkelijk noodzakelijk zijn. Voor vertrouwelijke of bijzondere persoonsgegevens wordt gebruikgemaakt van een door GrandCare goedgekeurde veilige communicatiemethode. Bij twijfel worden cliëntgegevens niet verzonden voordat is vastgesteld dat de wijze van versturen voldoende veilig is.

8.5 Mobiel en buiten de locatie werken

Bij het raadplegen of verwerken van cliëntgegevens buiten een locatie van GrandCare zorgt de medewerker ervoor dat onbevoegden de gegevens niet kunnen zien, horen of raadplegen. Apparatuur waarop cliëntgegevens kunnen worden geraadpleegd, wordt beveiligd overeenkomstig het informatiebeveiligingsbeleid van GrandCare en bij het verlaten van de werkplek vergrendeld.

8.6 Papieren documenten en werkaantekeningen

Papieren documenten met cliëntgegevens worden veilig opgeborgen en niet onbeheerd achtergelaten. Tijdelijke werkaantekeningen met persoonsgegevens worden zo spoedig mogelijk verwerkt in het daarvoor bestemde dossier wanneer de informatie daarin thuishoort. Daarna worden de tijdelijke aantekeningen op veilige wijze vernietigd.

Er worden geen afzonderlijke schaduwdossiers bijgehouden buiten het officiële cliëntdossier.

Wanneer een medewerker vermoedt dat cliëntgegevens verloren zijn gegaan, bij een verkeerde persoon terecht zijn gekomen, door een onbevoegde zijn ingezien of anderszins onvoldoende zijn beveiligd, meldt de medewerker dit onmiddellijk volgens de interne procedure voor beveiligingsincidenten en datalekken.

9. Klachten over het cliëntdossier en privacy

Een cliënt die vragen of klachten heeft over de inhoud of het gebruik van het cliëntdossier kan deze bespreken met de betrokken medewerker of indienen volgens de klachtenprocedure van GrandCare.

Wanneer de klacht betrekking heeft op de verwerking van persoonsgegevens of de uitoefening van privacyrechten, wordt de klacht behandeld volgens de daarvoor geldende privacyprocedure.

De cliënt kan daarnaast een klacht indienen bij de Autoriteit Persoonsgegevens. Het indienen van een klacht bij GrandCare is geen voorwaarde om zich tot de Autoriteit Persoonsgegevens te kunnen wenden.

Wanneer GrandCare een Functionaris voor Gegevensbescherming heeft aangewezen, kan de cliënt deze eveneens benaderen over de verwerking van persoonsgegevens en de uitoefening van zijn of haar rechten.

10. Beveiligingsincidenten en datalekken

Een medewerker die constateert of vermoedt dat cliëntgegevens verloren zijn gegaan, bij een onbevoegde terecht zijn gekomen, door een onbevoegde zijn ingezien of op een andere manier onvoldoende zijn beveiligd, meldt dit onmiddellijk volgens de interne procedure voor beveiligingsincidenten en datalekken.

GrandCare beoordeelt het incident overeenkomstig de AVG en de interne datalekprocedure. Daarbij wordt onder meer beoordeeld welke persoonsgegevens betrokken zijn, wat de mogelijke gevolgen voor de cliënt zijn en welke maatregelen nodig zijn om verdere gevolgen te voorkomen.

Indien sprake is van een meldplichtig datalek, draagt GrandCare zorg voor tijdige melding aan de Autoriteit Persoonsgegevens en, wanneer dit wettelijk vereist is, voor informatie aan de betrokken cliënt(en).

Medewerkers melden een mogelijk incident altijd intern. Zij beoordelen niet zelfstandig of melding aan de Autoriteit Persoonsgegevens noodzakelijk is.

11. Verantwoordelijkheid voor en kwaliteit van het cliëntdossier

GrandCare is verantwoordelijk voor een zorgvuldige inrichting en beveiliging van het cliëntdossier en voor het vaststellen van regels over toegang, gebruik, bewaring en vernietiging.

Iedere medewerker die gegevens in een cliëntdossier vastlegt of raadpleegt, is binnen zijn of haar werkzaamheden verantwoordelijk voor een zorgvuldige omgang met die gegevens.

Medewerkers zorgen ervoor dat dossierinformatie tijdig, relevant, begrijpelijk en zo veel mogelijk actueel wordt vastgelegd. Zij maken, zoals beschreven in hoofdstuk 3, waar nodig onderscheid tussen feiten, eigen waarnemingen, informatie van derden en professionele beoordelingen.

Onjuistheden worden volgens de geldende procedure gecorrigeerd. Een bestaande dossierregistratie wordt niet achteraf zodanig gewijzigd dat niet meer kan worden vastgesteld wat oorspronkelijk is geregistreerd, wanneer behoud daarvan voor een betrouwbare dossiervoering noodzakelijk is.

12. Afsluiten en overdragen van cliëntdossiers

Wanneer de begeleiding of ondersteuning eindigt, wordt het cliëntdossier afgesloten overeenkomstig de interne werkwijze van GrandCare.

Na afsluiting wordt de toegang tot het dossier beperkt tot medewerkers die deze toegang nog nodig hebben voor een gerechtvaardigd doel, bijvoorbeeld voor administratieve afhandeling, behandeling van een verzoek of klacht, wettelijke verantwoording of beheer van het dossier gedurende de bewaartermijn.

Wanneer cliëntgegevens in verband met voortzetting of overdracht van begeleiding aan een andere organisatie moeten worden verstrekt, beoordeelt GrandCare vooraf welke gegevens noodzakelijk zijn en op welke wettelijke grond de verstrekking kan plaatsvinden. Wanneer daarvoor toestemming vereist is, wordt deze vooraf rechtsgeldig verkregen en geregistreerd.

Er wordt niet automatisch een volledig cliëntdossier aan een opvolgende organisatie verstrekt. GrandCare beperkt de overdracht tot de gegevens die voor het betreffende doel noodzakelijk zijn, tenzij een wettelijke regeling anders bepaalt.

13. Beheer en actualisatie

GrandCare zorgt ervoor dat dit reglement actueel blijft en aansluit bij de dienstverlening, toepasselijke wet- en regelgeving en de inrichting van de cliëntdossiers.

Het reglement wordt periodiek en in ieder geval bij relevante wijzigingen geëvalueerd. Aanleiding voor tussentijdse beoordeling kan onder meer zijn:

• wijziging van wet- of regelgeving;
• uitbreiding van de dienstverlening, bijvoorbeeld naar een ander wettelijk zorg- of ondersteuningskader;
• wijziging van ONS of ingebruikname van een ander cliëntinformatiesysteem;
• relevante bevindingen uit audits, klachten, datalekken of dossiercontroles;
• wijzigingen in de wijze waarop cliëntgegevens met andere organisaties worden uitgewisseld.

Wijzigingen in het reglement worden vastgesteld volgens de binnen GrandCare geldende governance- en besluitvormingsprocedure.