Privacyverklaring

1. Bewustwording
2. Rechten van betrokkenen
3. Overzicht verwerkingen
4. Data protection impact assessment (DPIA)
5. Privacy by design en privacy by default
6. Functionaris voor de gegevensbescherming
7. Meldplicht datalekken
8. Verwerkersovereenkomsten
9. Leidende toezichthouder
10. Toestemming

Hieronder bespreken we deze stappen één voor één. Per stap leest u wat die voor onze praktijk betekent. Ook leest u hoe wij aan de AVG voldoen.

1. Bewustwording

Osteopaat De Klerk is de praktijk van A.J.A. (Allie) de Klerk. Hij behandelt volgens het osteopathisch concept. Voor dit werk verwerken wij in de dagelijkse bedrijfsvoering persoonsgegevens van patiënten.

Deze gegevens zijn namelijk privacygevoelig. Met deze gegevens kunnen we u direct of indirect herkennen. Daarom leggen we in deze privacyverklaring vast hoe wij de AVG toepassen. Daarbij volgen we het stappenplan van de AP.

Wij registreren uw persoonsgegevens, omdat u met ons een behandelovereenkomst sluit en de wet (WGBO) ons verplicht een dossier bij te houden (artikel 6 lid 1 b en c AVG). Gegevens over uw gezondheid mogen wij voor uw zorg gebruiken, omdat wij een beroepsgeheim hebben (artikel 9 lid 2 h AVG en artikel 30 lid 3 UAVG). Voor vragen via het formulier, e-mail, telefoon of WhatsApp gebruiken wij uw gegevens om uw vraag te beantwoorden (artikel 6 lid 1 f AVG).

2. Uw rechten op privacy

2.1 De AVG geeft u verschillende rechten. Zo zorgt de wet voor een zorgvuldige verwerking van uw gegevens. U kunt deze rechten bij ons uitoefenen. U heeft:

• het recht op informatie over de verwerking;
• het recht op inzage in uw gegevens;
• het recht op correctie als uw gegevens niet kloppen;
• het recht op verwijdering van uw gegevens (‘het recht om vergeten te worden’);
• het recht op beperking van de verwerking;
• het recht om bezwaar te maken tegen de verwerking;
• het recht op overdracht van uw gegevens (dataportabiliteit);
• het recht dat niet alleen een computer over u beslist (geen geautomatiseerde besluitvorming).

2.2 Bent u patiënt of oud-patiënt? Dan kunt u een verzoek doen per e-mail naar info@osteopaat-deklerk.nl. Daarbij moet u zich legitimeren. Zo weten wij zeker dat u de persoon bent die het verzoek doet.

2.3 Binnen één maand na ontvangst laten wij u weten wat we met uw verzoek doen. Bij een ingewikkeld verzoek of veel verzoeken mogen wij deze termijn met maximaal twee maanden verlengen. In dat geval laten we u dat weten. Bovendien geven we de informatie meestal schriftelijk.

Als wij een verzoek weigeren

2.4 Soms mogen wij een verzoek weigeren of er kosten voor rekenen. Dat geldt bij buitensporige of ongegronde verzoeken. Denk aan meerdere verzoeken achter elkaar om dezelfde gegevens. Ook kan een uitzondering uit de AVG gelden, bijvoorbeeld bij een (strafrechtelijk) onderzoek. Weigeren wij uw verzoek? Dan leggen we uit waarom. Ook wijzen we u op uw recht om te klagen bij de AP.

2.5 Wij beseffen dat een schriftelijke beslissing over uw rechten kan gelden als een besluit in de zin van de Algemene wet bestuursrecht.

2.6 Soms informeren wij u uit onszelf. Dat doen we als:

• we gegevens buiten u om krijgen;
• we gegevens willen gebruiken voor een ander doel dan waarvoor u ze gaf.

In die gevallen informeren wij u binnen één maand.

Hoe lang wij uw gegevens bewaren

2.7 Stopt uw behandeling? Dan bewaren wij uw gegevens nog een tijd. Volgens de WGBO bewaren wij een medisch dossier 20 jaar. Die termijn begint na de laatste wijziging in het dossier. Daarna vernietigen wij het dossier. In het dossier staan ook gegevens die niet medisch zijn.

2.8 U moet goed kunnen zien hoe, waarom en op welke grondslag (zie punt 10) wij uw gegevens gebruiken. Daarom krijgt iedere patiënt bij de inschrijving toegang tot deze privacyverklaring en de bijbehorende documenten. Wij zetten deze op de website en wijzen u daarop.

3. Overzicht van verwerkingen

Wij verwerken persoonsgegevens van patiënten. Van al deze verwerkingen houden wij een register van verwerkingsactiviteiten bij. Daarin staan alle soorten persoonsgegevens die wij verwerken. Dient u een klacht in tegen de osteopaat? Dan verwerken wij ook die gegevens.

4. DPIA: effect op uw privacy

4.1 DPIA staat voor data protection impact assessment. Dat is een beoordeling van het effect op uw privacy. Een DPIA is alleen verplicht als een verwerking waarschijnlijk een hoog privacyrisico oplevert. De AVG noemt drie situaties met een verhoogd risico:

• persoonlijke aspecten systematisch en uitvoerig beoordelen;
• op grote schaal bijzondere persoonsgegevens verwerken;
• op grote schaal en systematisch mensen volgen in een openbaar gebied.

4.2 Daarnaast stelden de Europese privacytoezichthouders een lijst met negen criteria op. Voor osteopaten kunnen deze criteria gelden:

• gevoelige gegevensverwerking;
• grootschalige gegevensverwerking;
• gegevensverwerking over kwetsbare personen.

4.3 De toezichthouders zien de verwerking van bijzondere persoonsgegevens door een individuele arts niet als grootschalig. Een individuele arts hoeft dus geen DPIA uit te voeren. Voor een individuele osteopaat geldt naar onze mening hetzelfde. Daarom voeren wij geen DPIA uit.

4.4 Toch weten wij dat het om bijzondere persoonsgegevens gaat. Een medisch dossier is immers gevoelig en vraagt veel vertrouwelijkheid. Wij zetten ons daarom in om uw gegevens vertrouwelijk te houden.

4.5 Bovendien gebruiken wij uw gegevens alleen intern. Zo kunnen wij u zo goed mogelijk helpen: bij uw klachten, en bij de vergoeding door uw zorgverzekeraar.

4.6 De AP publiceert een lijst van verwerkingen waarvoor een DPIA verplicht is. Verandert die lijst? Dan bekijken wij opnieuw of extra maatregelen nodig zijn.

5. Privacy by design en privacy by default

Dit betekent: privacy al in het ontwerp en in de standaardinstellingen. Onze dienstverlening werkt namelijk met persoonsgegevens. Daarom houden wij bij de inrichting van die dienst rekening met uw recht op bescherming van persoonsgegevens. Ook zorgen wij, met de techniek van nu, dat iedereen die gegevens verwerkt aan de regels kan voldoen.

Wij letten daarbij op:

• zo weinig mogelijk persoonsgegevens verwerken;
• alleen het BSN noteren, en geen kopie maken van uw paspoort of ID-kaart;
• openheid over hoe wij persoonsgegevens verwerken;
• u de mogelijkheid geven om controle te houden over uw gegevens;
• goede beveiliging, die wij steeds verbeteren.

6. Functionaris voor de gegevensbescherming

Net als bij de DPIA ziet de AP de praktijk van een individuele osteopaat niet als grootschalige verwerker. Een functionaris voor de gegevensbescherming (FG) is daarom niet nodig, ook al gaat het om bijzondere persoonsgegevens. Bovendien verwerken wij uw gegevens op uw eigen verzoek, omdat u een zo goed mogelijke behandeling wilt. Wij gebruiken uw gegevens niet voor commerciële doelen. Ook volgen wij patiënten niet aan de hand van hun gegevens.

Wij beseffen dat uw gegevens zeer vertrouwelijk zijn. Daarom hebben wij maatregelen genomen. Zo gebruiken wij uw gegevens alleen voor het doel waarvoor ze bedoeld zijn.

7. Meldplicht datalekken

Een datalek is volgens de AVG een inbreuk op de beveiliging van persoonsgegevens. Daarbij gaan gegevens bijvoorbeeld verloren of raken ze beschadigd. Ook kan iemand er zonder recht toegang toe krijgen.

Opzet speelt daarbij geen rol. Denk naast hacken ook aan gegevens op een verloren laptop. Of bijvoorbeeld aan een beveiligde website met persoonsgegevens die per ongeluk openstaat. Het gaat om een incident dat echt heeft plaatsgevonden, en dat de maatregelen niet konden voorkomen. Een dreiging of een zwakke plek in de beveiliging alleen is nog geen datalek.

Wij melden ieder datalek aan de AP, tenzij het waarschijnlijk geen risico vormt voor de rechten en vrijheden van mensen. Dat doen we binnen 72 uur na ontdekking, ook als we nog niet alle informatie hebben.

Brengt het datalek een hoog risico met zich mee? Dan melden we het ook direct aan u. Of het risico hoog is, mogen we eerst onderzoeken.

Ieder datalek leggen wij vast in een overzicht van datalekken. Daarin staan de feiten, de gevolgen en de maatregelen die we hebben genomen.

8. Verwerkersovereenkomsten

8.1 Wij gebruiken het patiëntenplatform van Crossuite Nederland/België om persoonsgegevens te verwerken. Dit bedrijf is daarom een verwerker. Om die reden hebben wij met Crossuite een verwerkersovereenkomst gesloten. Zo weten wij zeker dat Crossuite zich aan de AVG houdt.

Wat er in de verwerkersovereenkomst staat

8.2 In deze overeenkomst staat in elk geval:

• het onderwerp en de duur van de verwerking;
• de aard en het doel van de verwerking;
• welke persoonsgegevens het betreft en van welke groepen mensen;
• de rechten en plichten van ons als verwerkingsverantwoordelijke;
• dat Crossuite gegevens alleen verwerkt op onze schriftelijke instructie, ook bij doorgifte aan een land buiten de EU of een internationale organisatie (tenzij de wet dat verplicht);
• dat alleen bevoegde personen toegang hebben tot de gegevens, en dat zij geheimhouding moeten bewaren;
• dat Crossuite minstens even goed beveiligt als wij;
• dat Crossuite ons helpt bij verzoeken over uw rechten;
• dat Crossuite ons helpt bij beveiliging en bij de meldplicht datalekken;
• dat Crossuite na afloop van de overeenkomst de gegevens wist of aan ons teruggeeft, en kopieën verwijdert;
• dat wij de informatie krijgen die nodig is om naleving aan te tonen en audits mogelijk te maken;
• welke afspraken Crossuite met subverwerkers maakt;
• welke goedgekeurde gedragscodes en certificeringen Crossuite gebruikt;
• dat Crossuite alle verplichtingen nakomt die de AVG aan een verwerker stelt.

Andere partijen

8.3 Voor het patiëntendossier werken wij alleen met Crossuite. Onze website en e-mail worden gehost door Cloud86; daar komen alleen berichten binnen die u ons zelf stuurt. Wel werken wij met een boekhouder. De boekhouder verwerkt geen patiëntgegevens, maar ziet wel een deel van de persoonsgegevens. Het gaat daarbij alleen om gegevens over betalingen. Daarom heeft de boekhouder een geheimhoudingsverklaring getekend. Die geldt ook voor medewerkers en anderen met wie de boekhouder werkt. Bovendien staat erin dat de boekhouder geen persoonsgegevens van patiënten verwerkt.

9. Leidende toezichthouder

Wij moeten bepalen onder welke toezichthouder wij vallen. Onze praktijk heeft één vestiging, in Apeldoorn. Ook ons werk vindt plaats in Nederland. Onze leidende toezichthouder is dus de Autoriteit Persoonsgegevens.

10. Grondslag en toestemming

Wij verwerken uw gegevens, omdat wij u behandelen. Daarvoor sluiten we samen een behandelovereenkomst. Bovendien verplicht de wet (de WGBO) ons om een dossier bij te houden. Gegevens over uw gezondheid zijn bijzondere persoonsgegevens. Toch vragen wij daarvoor geen aparte toestemming. De wet staat zorgverleners met een geheimhoudingsplicht toe om deze gegevens te gebruiken, voor zover dat nodig is voor uw behandeling.

Voor uw BSN geldt ook een wettelijke plicht. Wij verwerken het, omdat de Wet gebruik burgerservicenummer in de zorg dat verplicht. Daarom noteren wij uw BSN in uw dossier, en gebruiken wij het in contact met andere zorgverleners.

Uw toestemming vragen wij wel als wij gegevens met anderen willen delen, bijvoorbeeld in een brief aan uw huisarts. Dat geldt ook als wij uw ervaring of een foto op de website willen plaatsen. Geeft u toestemming, dan leggen we dat vast. U kunt uw toestemming altijd weer intrekken.

Wij bespreken het verwerken van uw gegevens altijd vooraf met u. Dat doen we zo. Bij de intake maken we een behandelplan en een overzicht van de afspraken. Vervolgens bespreken we dat overzicht met u. Daarna geven of mailen we het u, als bevestiging van de afspraken. We vragen u de ontvangst te bevestigen.

In deze opdrachtbevestiging staat wat u van de osteopaat kunt verwachten:

• dat we persoonsgegevens verwerken, en welke;
• waarom we dat doen, en wanneer we uw toestemming vragen;
• dat u rechten heeft, en dat u die en onze werkwijze kunt nalezen in deze privacyverklaring op de website;
• hoe lang wij uw gegevens bewaren;
• dat u met een klacht terechtkunt bij de klachtenfunctionaris van het NRO, en daarna bij de Geschillencommissie Osteopathie;
• wat het consulttarief is.

11. Website, cookies en contact

Deze website gebruikt alleen cookies die nodig zijn om de website goed te laten werken. We gebruiken geen cookies voor statistieken of advertenties, en geen trackers van advertentiepartijen. De lettertypen staan op onze eigen server. Uw browser maakt daarvoor dus geen verbinding met Google.

Op de homepage, de contactpagina en de pagina over voor wie osteopathie is, staat een kaart van Google Maps. Die kaart wordt pas geladen als u zelf op Kaart tonen klikt. Pas dan maakt uw browser verbinding met Google. Google kan dan cookies plaatsen en uw IP-adres ontvangen. Daarvoor geldt het privacybeleid van Google.

Op sommige pagina’s staat een video van YouTube. Ook die video wordt pas geladen als u zelf op afspelen klikt. We gebruiken daarvoor de privacyvriendelijke variant youtube-nocookie.com. Na uw klik maakt uw browser verbinding met YouTube (Google), en geldt het privacybeleid van Google.

Stuurt u ons een bericht via een formulier op de website? Dan ontvangen wij uw naam, e-mailadres, telefoonnummer en uw bericht per e-mail. We gebruiken die gegevens alleen om uw vraag te beantwoorden. Onze website en e-mail worden gehost door Cloud86. Leidt een bericht niet tot een afspraak? Dan verwijderen we het na 3 maanden. Deel in een formulier liever geen medische details. Die bespreken we tijdens het consult.

Online afspraken maakt u via het afsprakensysteem van Crossuite. Met Crossuite hebben wij een verwerkersovereenkomst. Neemt u contact op via WhatsApp? WhatsApp is van Meta. Uw berichten zijn versleuteld, maar Meta ziet wel met wie u appt en wanneer, en kan die gegevens ook buiten de Europese Unie verwerken. Deel daarom liever geen medische details via WhatsApp.

Het oefenportaal op deze website bevat alleen algemene oefeningen en uitleg, en geen gegevens van u. Uw dossier staat alleen in Crossuite.

Kinderen

Is uw kind jonger dan 16 jaar? Dan geeft u als ouder met gezag de gegevens van uw kind door. U kunt de rechten in deze verklaring dan ook voor uw kind gebruiken, zoals inzage. Van 12 tot 16 jaar beslist uw kind mee. Vanaf 16 jaar beslist uw kind zelf over zijn of haar gegevens.

Tot slot

Met dit privacybeleid voldoen wij naar onze mening aan alle eisen van de AVG. Wel kunnen regels en uitleg nog veranderen. Daarom volgen wij de besluiten en het nieuws van de AP. Zo kunnen wij dit beleid op tijd aanpassen.

Onze verwerkersovereenkomst met Crossuite kunt u bij ons opvragen.

Osteopaat De Klerk is een handelsnaam van de eenmanszaak van de heer Allie de Klerk (KvK 32139625).