Algemene verordening gegevensbescherming (AVG)

Geldend van 27 april 2016 t/m heden

Bron: AVG

Relevante artikelen Artikel 2 Materieel toepassingsgebied Artikel 4 Definities, lid 5, 7 en 8 Artikel 5 Beginselen inzake verwerking van persoonsgegevens Artikel 6 Rechtmatigheid van de verwerking Artikel 9 Verwerking van bijzondere categorieën van persoonsgegevens Artikel 14 Te verstrekken informatie wanneer de persoonsgegevens niet van de betrokkene zijn verkregen Artikel 26 Gezamenlijke verwerkersverantwoordelijken Artikel 28 Verwerker

Toepassing voor de afspraken

• Artikel 2 beschrijft wat het (materieel) toepassingsgebied is van deze Europese Verordening. Voor de volgende verwerkingen in het kader van KIK-V is de AVG relevant:
  • De aggregatie van (persoons)gegevens tot de aanbiedergegevensset en de selecties voor uitwisselprofielen;
  • De verstrekking van (persoons)gegevens door een aanbieder aan een afnemer;
  • De logging van (persoons)gegevens van gebruikershandelingen in zorginformatiesystemen door medewerkers bij de aggregatie en verstrekking van gegevens.
• Artikel 4 lid 5 beschrijft wat onder psuedonimisering van persoonsgegevens wordt verstaan (met name relevant voor het Zorginstituut). Bij pseudonimisering is nog steeds sprake van van persoonsgegevens. De voorwaarden en regels van de AVG blijven gewoon van toepassing. Pseudonimisering is enkel een maatregel om herleidbaarheid te voorkomen/verminderen.
• Artikel 4 lid 7 en 8 beschrijven wat een verwerkingsverantwoordelijke en verwerkers zijn
• Artikel 5 beschrijft de basisbeginselen voor het werken met persoonsgegevens.
• Artikel 6 beschrijft in algemene zin onder welke condities een verwerking rechtmatig is. Uit artikel 6 lid 1 onder c volgt tevens de grondslag voor aanbieders om persoonsgegevens te verwerken in het kader van logging. Logging van verwerkingen door de zorgaanbieder is wettelijk verplicht gesteld via het besluit elektronische gegevensverwerking door zorgaanbieders.
• Artikel 9 regelt het verbod op de verwerking van gezondheidsgegevens en de mogelijke uitzonderingsgronden om deze met voldoende waarborgen voor de privacy van de betrokkene toch te verwerken. Met name uitzonderingsgronden h en i zijn relevant voor KIK-V. Ook uitzonderingsgrond j is eventueel relevant voor een partij als het CBS.
• Artikel 14 regelt de rechten van de betrokkene bij het uitwisselen van persoonsgegevens tussen twee organisaties. Artikel 14 lid 5 regelt daarbij de situaties wanneer de rechten uit dit artikel niet van toepassing zijn (bij het uitvoeren van een wettelijke taak, wanneer het verstrekken van informatie onmogelijk blijkt of een onevenredige inspanning vergt).
• Artikel 26 beschrijft de plichten van twee partijen bij een gezamenlijke verwerkingsverantwoordelijkheid. Indien binnen KIK-V persoonsgegevens worden uitgewisseld, dan zijn de afnemer en de aanbieders gezamenlijk verantwoordelijk. De afnemer bepaalt de benodigde gegevens, voor welk doel, evenals de middelen voor veilige verwerking. De aanbieder van de gegevens beslist voor welk doel (bijvoorbeeld voor onderzoek, beleid en/of diagnostisering) hij gegevens ter beschikking stelt en hoe hij dat doet.
• Artikel 28 lid 3 beschrijft dat de verwerker t.a.v. de verwerkingsverantwoordelijke is gebonden d.m.v. een overeenkomst. Hierin staat welke rechten en plichten de verwerkingsverantwoordelijke en de verwerker t.o.v. elkaar hebben.