Op 25 mei 2018 is de nieuwe Privacywetgeving in werking getreden. Het gaat om de Privacy Richtlijn (95/46/EG) en de Richtlijn privacy en elektronische communicatie (2002/58/EG), de nationale wetten ter uitvoering van deze richtlijnen en/of, in voorkomend geval, de verordening (EU) 2016/679 (de "Algemene Verordening Gegevensbescherming" of AVG). Deze wetgeving zal de Wet Bescherming Persoonsgegevens vervangen. De AVG verwacht een meer proactieve rol van iedere organisatie die persoonsgegevens verwerkt. De meest relevante wijzigingen waar rekening mee dient te worden gehouden zijn:

- Versterking en uitbreiding van privacyrechten;

- Meer verantwoordelijkheden voor organisaties;

- Dezelfde, stevige bevoegdheden voor alle Europese privacytoezichthouders, zoals de bevoegdheid om boetes tot 20 miljoen euro op te leggen.

De Autoriteit Persoonsgegevens (hierna AP) blijft, net als voorheen onder de Wet Bescherming Persoonsgegevens, de autoriteit die controleert of organisaties zich aan de wetgeving houden.

Ter voorbereiding op de nieuwe regelgeving heeft de AP een stappenplan opgesteld:

Het AVG-10 stappenplan:

1. Bewustwording

2. Rechten van betrokkenen

3. Overzicht verwerkingen

4. Data protection impact assessment (DPIA)

5. Privacy by design & privacy by default

6. Functionaris voor de gegevensbescherming

7. Meldplicht datalekken

8. Verwerkersovereenkomsten

9. Leidende toezichthouder

10. Toestemming

Een nadere uitwerking van dit stappenplan en naleving in de praktijk daarvan dient ervoor te zorgen dat Osteopathie Septem zich zoveel mogelijk aan de nieuwe wetgeving AVG kan houden. Hieronder zullen de verschillende stappen worden besproken. Daarbij wordt nagegaan in hoeverre deze punten binnen Osteopathie Septem gelden, waar Osteopathie Septem tegen aan loopt en op welke wijze Osteopathie Septem op een verantwoorde manier aan de ‘nieuwe’ verplichtingen kan voldoen.

1. Bewustwording

1.1 Osteopathie Septem is een praktijk waarbinnen Alex Scheepers osteopathie als dienstverlening aanbiedt. Om dat doel te kunnen uitvoeren dient Osteopathie Septem persoonsgegevens van patiënten te verwerken en gebruiken binnen de dagelijkse bedrijfsvoering.

1.2 De gegevens die worden gedocumenteerd zijn privacygevoelig. Het gaat om persoonsgegevens, aan de hand waarvan de betrokkene zowel direct als indirect geïdentificeerd kan worden. Ten einde er zeker van te zijn dat met die gegevens wordt omgegaan op een wijze die verantwoord is en voldoet aan de privacywetgeving zoals die per 25 mei 2018 van kracht zijn heeft Osteopathie Septem ervoor gekozen met het onderhavige protocol in kaart te brengen, aan de hand van het AVG-stappenplan (zoals hiervoor opgesomd), op welke wijze invulling gegeven dient te worden aan de AVG.

1.3 Het betreft hier registratie van persoonsgegevens met een gerechtvaardigd belang. Immers de patiënten melden zichzelf aan bij Osteopathie Septem. Zij willen graag geholpen worden door de osteopaat voor hun klachten.

2. Rechten van betrokkenen

2.1 Om een eerlijke verwerking van persoonsgegevens te waarborgen geeft de Verordening diverse rechten aan de betrokkene. De betrokkene kan deze rechten uitoefenen tegen de verwerkingsverantwoordelijke. De betrokkene heeft:

- Het recht op informatie over de verwerkingen;

- Het recht op inzage in zijn gegevens;

- Het recht op correctie van de gegevens als deze niet kloppen;

- Het recht op verwijdering van de gegevens en ‘het recht om vergeten te worden’;

- Het recht op beperking van de gegevensverwerking;

- Het recht op verzet tegen de gegevensverwerking;

- Het recht op overdracht van zijn gegevens (dataportabiliteit);

- Het recht om niet onderworpen te worden aan geautomatiseerde besluitvorming.

2.2 Een patiënt of voormalig patiënt (de betrokkene) kan om bovenstaande gegevens verzoeken. De betrokkene kan zulks doen per mail naar info@osteopathieseptem.nl. De betrokkene dient zich daarbij te legitimeren, opdat Osteopathie Septem met voldoende zekerheid kan vaststellen dat degene die het verzoek doet daadwerkelijk de betrokkene is.

2.3 Osteopathie Septem zal binnen 1 maand na ontvangst van het verzoek betrokkene informeren over de uitvoering van het verzoek. Bij complexe, of een veelvoud aan verzoeken kan deze termijn verlengd worden met maximaal 2 maanden. De betrokkene zal in een dergelijk geval van verlengde termijn van uitvoering van het verzoek daaromtrent geïnformeerd worden. De informatie wordt in principe schriftelijk verstrekt.

2.4 In sommige gevallen mag Osteopathie Septem weigeren tot uitvoering van het verzoek om gegevensverstrekking over te gaan, dan wel daarvoor kosten in rekening brengen. Het moet dan gaan om de situatie dat de betrokkene buitensporige of ongegronde verzoeken doet (Bijvoorbeeld meerdere verzoeken achter elkaar om dezelfde gegevens. Dan wel wanneer sprake is van een van de beschermende bepalingen opgenomen in artikel 23 AVG.).

3. Overzicht verwerkingen

3.1 De patiënten, voormalig patiënten en potentiële patiënten van Osteopathie Septem zullen enkel gegevens verschaffen die van belang zijn voor het diagnostisch en therapeutisch handelen van de osteopaat. Deze gegevens worden vastgelegd in een elektronisch patiëntendossier, dat uitsluitend toegankelijk is voor Alex Scheepers. Deze gegevens zijn niet toegankelijk voor derden.

3.2 De persoonsgegevens worden op een rechtmatige wijze verwerkt. Immers de gegevensverwerking is noodzakelijk voor het behartigen van de gerechtvaardigde belangen van Osteopathie Septem, zijnde de behandeling van patiënten. Hierbij wordt rekening gehouden met de belangen en grondrechten van de betrokkene en worden passende waarborgen getroffen. Er wordt getracht zoveel als mogelijk met de patiënt in overleg te treden over de wijze waarop met de gegevens omgegaan wordt.

4. Data protection impact assessment (DPIA)

4.1 Een Data Protection Impact Assessment (DPIA) is een instrument om vooraf de privacyrisico’s van een gegevensverwerking in kaart te brengen. Osteopathie Septem is van mening dat een DPIA niet nodig is voor haar praktijkvoering. De gegevensverwerking is beperkt tot die gegevens die noodzakelijk zijn voor de behandeling van de patiënt en betreft veelal ‘gewone’ persoonsgegevens. Er wordt geen grootschalige verwerking van bijzondere persoonsgegevens verricht. Osteopathie Septem heeft er dan ook bewust voor gekozen geen DPIA uit te voeren.

5. Privacy by design & privacy by default

5.1 Privacy by design betekent dat er al bij het ontwerpen van producten en diensten rekening wordt gehouden met privacy. Voor Osteopathie Septem betekent dit dat er al in een vroeg stadium is nagedacht over de noodzaak om persoonsgegevens vast te leggen en op welke wijze dat zo privacyvriendelijk mogelijk gedaan kan worden.

5.2 Privacy by default betekent dat er standaard zo min mogelijk persoonsgegevens worden verwerkt en gedeeld. Alleen die gegevens die noodzakelijk zijn voor het doel worden verwerkt. Dit houdt in dat Osteopathie Septem bij het verstrekken van informatie standaard uitgaat van minimale verstrekking van persoonsgegevens.

6. Functionaris voor de gegevensbescherming

6.1 Op grond van de AVG moet een organisatie een functionaris voor de gegevensbescherming (FG) aanstellen als ze vanuit haar kernactiviteiten op grote schaal individuen volgt. Osteopathie Septem volgt patiënten niet op grote schaal en derhalve acht Osteopathie Septem de aanstelling van een FG niet noodzakelijk.

7. Meldplicht datalekken

7.1 Een datalek is een inbreuk op de beveiliging van persoonsgegevens. Bij een datalek zijn de persoonsgegevens blootgesteld aan verlies of onrechtmatige verwerking. Osteopathie Septem is van mening dat de kans op datalekken beperkt is en dat deze van geringe impact zullen zijn.

7.2 Bij een datalek zal Osteopathie Septem de betrokkene en de Autoriteit Persoonsgegevens onverwijld in kennis stellen. Osteopathie Septem heeft hiertoe een procedure opgesteld.

8. Verwerkersovereenkomsten

8.1 Op het moment dat een organisatie een deel van haar gegevensverwerking uitbesteedt aan een andere partij (de verwerker) is een verwerkersovereenkomst verplicht. Voorbeelden van verwerkers zijn ICT-leveranciers, salarisadministrateurs en externe adviseurs. Osteopathie Septem besteedt de gegevensverwerking niet uit aan derden. Er is dan ook geen noodzaak om verwerkersovereenkomsten op te stellen.

9. Leidende toezichthouder

9.1 Osteopathie Septem valt onder de Autoriteit Persoonsgegevens.

10. Toestemming

10.1 In sommige gevallen is het verwerken van persoonsgegevens alleen toegestaan met toestemming van de betrokkene. Osteopathie Septem zal de betrokkene om toestemming vragen wanneer dit noodzakelijk is. De betrokkene kan de toestemming te allen tijde intrekken.

10.2 Het vragen om toestemming gebeurt op een dusdanige wijze dat de betrokkene de toestemming vrijelijk kan geven, intrekken of weigeren.