Verwerkingsregister

1. Benoeming persoonsgegevens  

Van mijn cliënten leg ik de volgende persoonsgegevens vast: Naam, adres, postcode, woonplaats, telefoonnummer en e-mail, zorgverzekering en –nummer, geboortedatum, nummer van id-bewijs, geslacht, Burger Service Nummer (BSN). 

Indien dit in belang is van de begeleiding/behandeling, leg ik de volgende verdere gegevens vast: Eventueel eerdere doorlopen coaching- of therapietrajecten en zo ja, welke vorm van begeleiding en met welke doelstelling en resultaat. Indien er sprake is van een doorverwijzing van een huisarts, naam en telefoonnummer van huisarts. Indien er sprake is van een medische behandeling gelieerd aan de begeleiding, bijvoorbeeld medicijngebruik, welke behandeling en welke medicijnen.  

Opmerking over het vastleggen van bijzondere persoonsgegevens: Gegevens over godsdienst of levensovertuiging, gezondheid, zaken m.b.t. de seksualiteit, of strafrechtelijke gegevens worden bijzondere gegevens genoemd. 

Het verwerken van bijzondere persoonsgegevens is in principe verboden, tenzij u zich op een wettelijke uitzondering kunt beroepen. Indien de gegevens worden verwerkt in het kader van gezondheidszorg, hulpverlening, of sociale dienstverlening is verwerking toegestaan, maar alleen als dat gebeurt door een beroepsbeoefenaar met een beroepsgeheim of andere persoon die aan ge- heimhouding is gebonden. Deze uitzondering geldt dus op basis van de Wet op de geneeskundige behandelovereenkomst (WGBO) ook voor complementaire of alternatieve zorgverleners die zijn geregistreerd bij RBCZ.  

Indien dit in overduidelijk belang is van de hulpvraag, doelstelling en begeleiding/behandeling zoals door de cliënt zelf geformuleerd, leg ik mogelijk de volgende bijzondere persoonsgegevens vast:  

Godsdienst of levensovertuiging, gezondheid, zaken m.b.t. seksualiteit, mogelijke strafrechtelijke gegevens.  

De hulpvraag, de achtergrond van de hulpvraag en de doelstellingen van het coaching- of therapietraject worden door mij bewaard in de behandelovereenkomst.  

Overige persoonsgegevens:  

2. De doeleinden van de persoonsgegevens die door mij worden verwerkt  

Behalve de AVG, is de beroepscode van mijn beroepsvereniging het NVPA, het NVTA en het Register Beroepsbeoefenaren Complementaire Zorg (RBCZ) van toepassing op mijn werk. Deze zijn van invloed op de doeleinden waarvoor ik persoonsgegevens vastleg. Om die reden ga ik als volgt om met persoonsgegevens:  

1. Dossierplicht 

Op grond van de kwaliteitseisen van mijn beroepsverenigingen het NVPA en NVTA, houd ik een cliëntdossier bij. Hierin bewaar ik de getekende overeenkomsten en mijn persoonlijke aantekeningen.  

2. Bewaartermijn 

De bewaartermijn voor mijn cliënten die voor psychosociale hulpverlening komen en via hun aan- vullende verzekering een deel van de kosten vergoed krijgen, is 20 jaar, gerekend vanaf de datum van vastlegging van ieder afzonderlijk gegeven. De termijn kan langer zijn indien dit noodzakelijk is met het oog op de behandeling (bijvoorbeeld indien iemand een chronische ziekte heeft). Mijn cliënten kunnen zelf aangegeven wanneer ze een andere bewaartermijn wensen te hanteren.  

3. Beroepsgeheim 

Voor mij als therapeut geldt op grond van de beroepscode van mijn beroepsverenigingen, te weten het NVPA en het NVTA, een geheimhoudingsplicht. Subverwerkers van mijn praktijk zijn via een subverwerkersovereenkomst aan een geheimhoudingsplicht gebonden.  

3a Meldcode huiselijk geweld of kindermishandeling 

Voor mij als therapeut geldt dat ik verplicht ben het nationale stappenplan te volgen wanneer er vermoedens zijn van huiselijk geweld of kindermishandeling. 

3b. Hoe ik cliënten informeer over de vastlegging van persoonsgegevens 

Deze informatie leg ik vast in een schriftelijke behandelovereenkomst. Bovendien staat op mijn website ook informatie over mijn werkwijze, de dossierplicht en de beroepscode. 

4. Wie heeft er toegang tot de cliëntdossiers?  

Ik heb als enige toegang tot de dossiers. Vanuit de beroepscode van het NVPA heb ik een beroepsgeheim. Ik bespreek wel eens met collega’s of intervisiegroepen casuïstiek uit de praktijk. Dat gaat altijd anoniem en onherkenbaar. In geval van ernstige, langdurige ziekte of overlijden, worden mijn cliënten hierover geïnformeerd door een collega-therapeut. 

5. De beveiliging van persoonsgegevens  

Ik werk met een digitaal cliëntendossier. Dit is beveiligd met een wachtwoord. 

Ik maak regelmatig een back-up van mijn bestanden via een beveiligde externe harde schijf. Doordat ik regelmatig de laatste versie van mijn software installeer, zorg ik ervoor dat mijn soft- ware optimaal beveiligd is.  

6. De volgende externe personen of bedrijven behoren tot de groep verwerkers behoren waarmee ik een verwerkersovereenkomst heb afgesloten:  

Leveranciers waarmee ik een verwerkersovereenkomst heb afgesloten zijn:  

Digitaal dossier softwareleverancier: Medicore 

Websitebeheerder: Novosite 

7. Datalekken : 

Toelichting op deze stap:  

Sinds 1 januari 2016 geldt de meldplicht datalekken. Deze meldplicht houdt in dat organisaties (dus ook therapeuten) direct (binnen 72 uur na het datalek) een melding moeten doen bij de Autoriteit Persoonsgegevens zodra zij een ernstig datalek hebben. 

Soms moeten zij het datalek ook melden aan de betrokkenen (de mensen van wie de persoons- gegevens zijn gelekt).  

Voorbeelden van datalekken zijn: een kwijtgeraakte USB-stick met persoonsgegevens, een gestolen laptop of een inbraak in een databestand door een hacker.  

Wanneer moet u een datalek melden?  

U hoeft een datalek alleen te melden aan de Autoriteit Persoonsgegevens, als dit leidt tot ernstige nadelige gevolgen voor de bescherming van persoonsgegevens, of als een aanzienlijke kans bestaat dat dit gebeurt. Dat is het geval als er bij het datalek ofwel persoonsgegevens verloren zijn gegaan (ze zijn voor u niet meer terug te halen en er was geen back-up) ofwel onrechtmatige ver- werking van de persoonsgegevens niet is uit te sluiten (iemand heeft mogelijk toegang (gehad) tot de persoonsgegevens terwijl diegene daartoe niet bevoegd was en u hebt geen controle over wat diegene met de gegevens heeft gedaan of nog zal doen).  

U hoeft de betrokkenen (de cliënten van wie u gegevens verwerkt) alleen te informeren als een datalek waarschijnlijk ongunstige gevolgen heeft voor hun persoonlijke levenssfeer. Dat kan het geval zijn als er gegevens van gevoelige aard zijn gelekt (bijvoorbeeld gezondheidsgegevens) die door derden kunnen worden misbruikt.  

Ik begrijp wanneer ik een datalek moet melden en zal daarnaar handelen.  

Ik heb afspraken gemaakt in de verwerkersovereenkomst met leveranciers en ik word daardoor tijdig geïnformeerd als er een datalek is geweest.  

Dorien van Lindenberg 

Twello, januari 2019