SpotOnMedics = verwerker → ondersteunt technisch, voert niets zelfstandig uit.
Praktijk = verwerkingsverantwoordelijke → beslist wat er gebeurt.
Als praktijk moet u beleid hebben waarin staat hoe patiënten hun privacyrechten kunnen uitoefenen. Een onderdeel daarvan is de manier waarop iemand zich identificeert bij een verzoek privacyrechten.
Patiënten hebben recht op inzage in de persoonsgegevens die de praktijk van hen verwerken. Patiënten kunnen hiermee controleren of hun persoonsgegevens kloppen. Ook kunnen zij hiermee controleren of de praktijk zich aan de regels houdt bij het verwerken van hun gegevens.
Om goed voorbereid te zijn op de verzoeken die u kunt krijgen, moet u ervoor zorgen dat u:
Krijgt u een verzoek van een patiënt op basis van een van de privacyrechten? Neem dan de volgende stappen:
Doet iemand een verzoek bij u op basis van de privacyrechten uit de AVG? Zoals een inzageverzoek? Dan moet u checken of die persoon is wie diegene zegt te zijn. Daarmee voorkomt u dat u iemand toegang geeft tot de persoonsgegevens van een ander. U mag daarbij niet meer gegevens opvragen dan nodig is.
U mag voor dit doel nooit een volledige kopie van het identiteitsbewijs vragen. Dat is een kopie waarop alle persoonsgegevens zichtbaar zijn. U mag alleen een volledige kopie ID vragen als u daartoe wettelijk verplicht bent.
Anders mag u hooguit vragen om een kopie ID waarbij bepaalde gegevens zijn afgeschermd. Maar dit mag alleen als het echt niet anders kan. In de meeste gevallen zijn er namelijk minder ingrijpende manieren om iemands identiteit vast te stellen. U moet altijd zoveel mogelijk proberen iemands identiteit vast te stellen met de gegevens die u al heeft van deze persoon.
Ter inspiratie vindt u hierna een aantal manieren waarop u iemands identiteit kunt vaststellen. Het is aan u om te bepalen welke manier het meest passend is gelet op de situatie.
Heeft u iemands identiteit proberen vast te stellen op uw standaardmanier? Maar heeft u redenen om alsnog te twijfelen of iemand wel is wie diegene zegt te zijn? Dan mag u om aanvullende informatie vragen. Ook hier geldt dat u niet om meer gegevens mag vragen dan nodig is. U mag hooguit om een kopie ID vragen waarbij bepaalde gegevens zijn afgeschermd. Maar dit mag alleen als het echt niet anders kan.
U heeft 1 maand de tijd om het verzoek af te handelen. Binnen deze maand geeft u een reactie per e-mail of brief. Hierin laat u weten of u aan het verzoek voldoet. Zo ja, dan voert u het verzoek ook binnen 1 maand uit.
In uitzonderlijke gevallen mag u binnen 3 maanden reageren op een verzoek. Bijvoorbeeld wanneer een verzoek heel complex is. Of wanneer het aantal ontvangen verzoeken van dezelfde persoon heel hoog is. Maar ook dan geldt dat u wel binnen 1 maand moet reageren om te laten weten dat u meer tijd nodig heeft. Leg ook uit waarom dat zo is.
U mag een verzoek weigeren in de volgende gevallen:
Heeft u besloten het verzoek te weigeren? Of maar deels aan het verzoek te doen? Leg dan uit waarom. En wijs de aanvrager op de mogelijkheid om een klacht in te dienen bij de Autoriteit Persoonsgegevens of:
U mag in principe geen kosten berekenen. Maar kunt u bewijzen dat een verzoek ongegrond of buitensporig is? Bijvoorbeeld omdat iemand extreem veel verzoeken bij u indient? Dan mag u een redelijke administratieve vergoeding vragen. Dit mag ook als iemand extra kopieën wil bij het recht op inzage.
Let op: De totale hoeveelheid verzoeken die u krijgt (van verschillende patiënten) en de totale kosten die u maakt om deze verzoeken te beantwoorden, mag u niet laten meewegen bij uw beslissing of een verzoek ‘excessief’ is. De kosten zijn voor uw rekening en mag u niet verhalen op de patiënten van wie u gegevens verwerkt. Of gebruiken als argument om een verzoek af te wijzen.
Heeft u de betreffende persoonsgegevens aan andere organisaties verstrekt? Dan moet u soms ook aan deze organisaties laten weten dat u een verzoek heeft uitgevoerd. En deze organisaties vragen hetzelfde te doen.
Dit geldt bij:
Vraagt de aanvrager welke organisaties u op deze manier heeft geïnformeerd? Dan moet u dit aan deze persoon laten weten.
Voorbeeldverzoek patiënt: “Ik wil weten welke gegevens er van mij verwerkt worden” of “Mag ik een kopie van mijn dossier?”
Praktijk moet doen:
SpotOnMedics rol: Praktijk kan export/kopie via SpotOnMedics-software opvragen. Maak hiervoor een ticket aan via ons ticketsysteem.
Daarnaast zijn er in de volgende situaties wat punten om op te letten bij het recht op inzage.
Vraagt een patiënt om inzage, maar heeft u heel veel informatie over deze patiënt? Dan kunt u contact opnemen met deze patiënt om te vragen of diegene deze gegevens echt allemaal wil ontvangen. Misschien is er iets waarin diegene specifiek inzage wil en zijn alle persoonsgegevens niet nodig.
Let wel op dat u dit niet kunt afdwingen. Patiënten hebben in principe recht op inzage in al hun persoonsgegevens.
Bevestig altijd schriftelijk wat u heeft besproken. Zo voorkomt u misverstanden.
Geef een kopie van de persoonsgegevens waarin iemand inzage wil. Kopieën van hele documenten zijn meestal niet nodig. Het is vaak genoeg als u een overzicht maakt van de persoonsgegevens.
Met dit overzicht kan de aanvrager controleren welke persoonsgegevens u van deze persoon verwerkt, of die persoonsgegevens kloppen en of u de persoonsgegevens op de goede manier (volgens de regels) verwerkt.
In het overzicht kopieert u alle persoonsgegevens die u van de aanvrager verwerkt, tenzij anders met diegene afgesproken. U kopieert de persoonsgegevens uit de documenten waarin deze gegevens staan. Vervolgens zet u alle persoonsgegevens bij elkaar en stuurt u dit overzicht naar de aanvrager. Wilt u weten hoe zo’n overzicht eruitziet? Bekijk dan het Voorbeeldoverzicht inzage persoonsgegevens. Via de website van de autoriteit persoonsgegevens.
Het moet een compleet overzicht zijn. Daarom kunnen bepaalde persoonsgegevens vaker voorkomen. Bijvoorbeeld wanneer u iemands naam of adres op meerdere plekken heeft staan.
Misschien moet u ook informatie geven over het soort document waarin de persoonsgegevens staan. Bijvoorbeeld door te laten weten dat het persoonsgegeven in een e-mail staat, of door een bestandsnaam te noemen. Het gaat erom dat de persoon die het verzoek doet, goed kan begrijpen hoe u de persoonsgegevens verwerkt.
Soms moet u kopieën van hele documenten sturen in plaats van een overzicht met gekopieerde persoonsgegevens. Maar dat is een uitzondering.
Deze uitzondering geldt bijvoorbeeld wanneer degene die de aanvraag doet de hele documenten nodig heeft om privacyrechten uit de AVG te kunnen gebruiken. Zoals het recht op rectificatie of verwijdering.
Ook moet u hele documenten sturen wanneer degene die de aanvraag doet deze documenten nodig heeft om de context te begrijpen waarin uw praktijk de persoonsgegevens verwerkt.
Let op: Als u kopieën van hele documenten stuurt, moet u rekening houden met de privacy van andere mensen. Staan er in het document persoonsgegevens van andere mensen dan degene die de aanvraag doet? Dan moet u deze persoonsgegevens verwijderen of onleesbaar maken.
Patiënten hebben ook het recht om te weten wie binnen de praktijk toegang heeft gehad tot hun persoonsgegevens. Vraagt iemand die een inzageverzoek bij u doet hiernaar? Dan verstrekt u een overzicht van (categorieën van) medewerkers die toegang hebben gehad. U kunt via de patiëntenkaart naar het tabje ‘log’ gaan. Hier krijgt u een overzicht van zowel de agenda als de algemene loggegevens. Deze kunt u delen met de patiënt.
Voorbeeldverzoek patiënt: “Mijn adres klopt niet” of “Mijn geboortedatum staat verkeerd in het systeem.”
Praktijk moet doen:
SpotOnMedics rol: Software ondersteunt wijzigen van gegevens.
Voorbeeldverzoek patiënt: “Ik wil dat mijn dossier verwijderd wordt” of “Verwijder mijn account.”
Praktijk moet doen:
SpotOnMedics rol: Kan technisch account afsluiten of markeren, maar beslissing ligt bij u als praktijk. Maak hiervoor een ticket aan via ons ticketsysteem.
Voorbeeldverzoek patiënt: “Ik wil dat mijn gegevens tijdelijk niet gebruikt worden.”
Praktijk moet doen:
Voorbeeldverzoek patiënt: “Ik wil mijn gegevens digitaal ontvangen om mee te nemen naar een andere praktijk.”
Praktijk moet doen:
SpotOnMedics rol: Op verzoek kan export worden gemaakt. Maak hiervoor een ticket aan via ons ticketsysteem.
Voorbeeldverzoek patiënt: “Ik wil niet dat mijn gegevens gebruikt worden voor kwaliteitsonderzoek/marketing.”
Praktijk moet doen:
SpotOnMedics rol: Kan verwerking technisch beperken als praktijk dit besluit.
Voorbeeldverzoek patiënt: “Ik wil niet dat een computer zonder menselijk oordeel over mij beslist.”
Praktijk moet doen:
Deze handleiding beschrijft hoe u als praktijk moet omgaan met verzoeken van patiënten over hun persoonsgegevens. Op grond van de Algemene Verordening Gegevensbescherming (AVG) en de Wet op de geneeskundige behandelovereenkomst (WGBO) hebben patiënten specifieke rechten, zoals het recht op inzage, correctie of overdraagbaarheid van hun gegevens.
Als praktijk bent u de verwerkingsverantwoordelijke. Dat betekent dat u beslist wat er met patiëntgegevens gebeurt en dat u verplicht bent om zorgvuldig, transparant en tijdig te reageren op ieder verzoek. SpotOnMedics ondersteunt u hierbij als verwerker door de technische mogelijkheden te bieden, maar voert zelf geen verzoeken uit zonder uw opdracht.
Deze handleiding geeft per recht een overzicht van:
Het doel van deze handleiding is om alle verzoeken van patiënten op een juridisch correcte, uniforme en patiëntvriendelijke manier af te handelen, met respect voor hun rechten en voor uw wettelijke verplichtingen (zoals de bewaarplicht voor medische dossiers).
SpotOnMedics = verwerker → ondersteunt technisch, voert niets zelfstandig uit.
Praktijk = verwerkingsverantwoordelijke → beslist wat er gebeurt.
Als praktijk moet u beleid hebben waarin staat hoe patiënten hun privacyrechten kunnen uitoefenen. Een onderdeel daarvan is de manier waarop iemand zich identificeert bij een verzoek privacyrechten.
Patiënten hebben recht op inzage in de persoonsgegevens die de praktijk van hen verwerken. Patiënten kunnen hiermee controleren of hun persoonsgegevens kloppen. Ook kunnen zij hiermee controleren of de praktijk zich aan de regels houdt bij het verwerken van hun gegevens.
Om goed voorbereid te zijn op de verzoeken die u kunt krijgen, moet u ervoor zorgen dat u:
Krijgt u een verzoek van een patiënt op basis van een van de privacyrechten? Neem dan de volgende stappen:
Doet iemand een verzoek bij u op basis van de privacyrechten uit de AVG? Zoals een inzageverzoek? Dan moet u checken of die persoon is wie diegene zegt te zijn. Daarmee voorkomt u dat u iemand toegang geeft tot de persoonsgegevens van een ander. U mag daarbij niet meer gegevens opvragen dan nodig is.
U mag voor dit doel nooit een volledige kopie van het identiteitsbewijs vragen. Dat is een kopie waarop alle persoonsgegevens zichtbaar zijn. U mag alleen een volledige kopie ID vragen als u daartoe wettelijk verplicht bent.
Anders mag u hooguit vragen om een kopie ID waarbij bepaalde gegevens zijn afgeschermd. Maar dit mag alleen als het echt niet anders kan. In de meeste gevallen zijn er namelijk minder ingrijpende manieren om iemands identiteit vast te stellen. U moet altijd zoveel mogelijk proberen iemands identiteit vast te stellen met de gegevens die u al heeft van deze persoon.
Ter inspiratie vindt u hierna een aantal manieren waarop u iemands identiteit kunt vaststellen. Het is aan u om te bepalen welke manier het meest passend is gelet op de situatie.
Heeft u iemands identiteit proberen vast te stellen op uw standaardmanier? Maar heeft u redenen om alsnog te twijfelen of iemand wel is wie diegene zegt te zijn? Dan mag u om aanvullende informatie vragen. Ook hier geldt dat u niet om meer gegevens mag vragen dan nodig is. U mag hooguit om een kopie ID vragen waarbij bepaalde gegevens zijn afgeschermd. Maar dit mag alleen als het echt niet anders kan.
U heeft 1 maand de tijd om het verzoek af te handelen. Binnen deze maand geeft u een reactie per e-mail of brief. Hierin laat u weten of u aan het verzoek voldoet. Zo ja, dan voert u het verzoek ook binnen 1 maand uit.
In uitzonderlijke gevallen mag u binnen 3 maanden reageren op een verzoek. Bijvoorbeeld wanneer een verzoek heel complex is. Of wanneer het aantal ontvangen verzoeken van dezelfde persoon heel hoog is. Maar ook dan geldt dat u wel binnen 1 maand moet reageren om te laten weten dat u meer tijd nodig heeft. Leg ook uit waarom dat zo is.
U mag een verzoek weigeren in de volgende gevallen:
Heeft u besloten het verzoek te weigeren? Of maar deels aan het verzoek te doen? Leg dan uit waarom. En wijs de aanvrager op de mogelijkheid om een klacht in te dienen bij de Autoriteit Persoonsgegevens of:
U mag in principe geen kosten berekenen. Maar kunt u bewijzen dat een verzoek ongegrond of buitensporig is? Bijvoorbeeld omdat iemand extreem veel verzoeken bij u indient? Dan mag u een redelijke administratieve vergoeding vragen. Dit mag ook als iemand extra kopieën wil bij het recht op inzage.
Let op: De totale hoeveelheid verzoeken die u krijgt (van verschillende patiënten) en de totale kosten die u maakt om deze verzoeken te beantwoorden, mag u niet laten meewegen bij uw beslissing of een verzoek ‘excessief’ is. De kosten zijn voor uw rekening en mag u niet verhalen op de patiënten van wie u gegevens verwerkt. Of gebruiken als argument om een verzoek af te wijzen.
Heeft u de betreffende persoonsgegevens aan andere organisaties verstrekt? Dan moet u soms ook aan deze organisaties laten weten dat u een verzoek heeft uitgevoerd. En deze organisaties vragen hetzelfde te doen.
Dit geldt bij:
Vraagt de aanvrager welke organisaties u op deze manier heeft geïnformeerd? Dan moet u dit aan deze persoon laten weten.
Voorbeeldverzoek patiënt: “Ik wil weten welke gegevens er van mij verwerkt worden” of “Mag ik een kopie van mijn dossier?”
Praktijk moet doen:
SpotOnMedics rol: Praktijk kan export/kopie via SpotOnMedics-software opvragen. Maak hiervoor een ticket aan via ons ticketsysteem.
Daarnaast zijn er in de volgende situaties wat punten om op te letten bij het recht op inzage.
Vraagt een patiënt om inzage, maar heeft u heel veel informatie over deze patiënt? Dan kunt u contact opnemen met deze patiënt om te vragen of diegene deze gegevens echt allemaal wil ontvangen. Misschien is er iets waarin diegene specifiek inzage wil en zijn alle persoonsgegevens niet nodig.
Let wel op dat u dit niet kunt afdwingen. Patiënten hebben in principe recht op inzage in al hun persoonsgegevens.
Bevestig altijd schriftelijk wat u heeft besproken. Zo voorkomt u misverstanden.
Geef een kopie van de persoonsgegevens waarin iemand inzage wil. Kopieën van hele documenten zijn meestal niet nodig. Het is vaak genoeg als u een overzicht maakt van de persoonsgegevens.
Met dit overzicht kan de aanvrager controleren welke persoonsgegevens u van deze persoon verwerkt, of die persoonsgegevens kloppen en of u de persoonsgegevens op de goede manier (volgens de regels) verwerkt.
In het overzicht kopieert u alle persoonsgegevens die u van de aanvrager verwerkt, tenzij anders met diegene afgesproken. U kopieert de persoonsgegevens uit de documenten waarin deze gegevens staan. Vervolgens zet u alle persoonsgegevens bij elkaar en stuurt u dit overzicht naar de aanvrager. Wilt u weten hoe zo’n overzicht eruitziet? Bekijk dan het Voorbeeldoverzicht inzage persoonsgegevens. Via de website van de autoriteit persoonsgegevens.
Het moet een compleet overzicht zijn. Daarom kunnen bepaalde persoonsgegevens vaker voorkomen. Bijvoorbeeld wanneer u iemands naam of adres op meerdere plekken heeft staan.
Misschien moet u ook informatie geven over het soort document waarin de persoonsgegevens staan. Bijvoorbeeld door te laten weten dat het persoonsgegeven in een e-mail staat, of door een bestandsnaam te noemen. Het gaat erom dat de persoon die het verzoek doet, goed kan begrijpen hoe u de persoonsgegevens verwerkt.
Soms moet u kopieën van hele documenten sturen in plaats van een overzicht met gekopieerde persoonsgegevens. Maar dat is een uitzondering.
Deze uitzondering geldt bijvoorbeeld wanneer degene die de aanvraag doet de hele documenten nodig heeft om privacyrechten uit de AVG te kunnen gebruiken. Zoals het recht op rectificatie of verwijdering.
Ook moet u hele documenten sturen wanneer degene die de aanvraag doet deze documenten nodig heeft om de context te begrijpen waarin uw praktijk de persoonsgegevens verwerkt.
Let op: Als u kopieën van hele documenten stuurt, moet u rekening houden met de privacy van andere mensen. Staan er in het document persoonsgegevens van andere mensen dan degene die de aanvraag doet? Dan moet u deze persoonsgegevens verwijderen of onleesbaar maken.
Patiënten hebben ook het recht om te weten wie binnen de praktijk toegang heeft gehad tot hun persoonsgegevens. Vraagt iemand die een inzageverzoek bij u doet hiernaar? Dan verstrekt u een overzicht van (categorieën van) medewerkers die toegang hebben gehad. U kunt via de patiëntenkaart naar het tabje ‘log’ gaan. Hier krijgt u een overzicht van zowel de agenda als de algemene loggegevens. Deze kunt u delen met de patiënt.
Voorbeeldverzoek patiënt: “Mijn adres klopt niet” of “Mijn geboortedatum staat verkeerd in het systeem.”
Praktijk moet doen:
SpotOnMedics rol: Software ondersteunt wijzigen van gegevens.
Voorbeeldverzoek patiënt: “Ik wil dat mijn dossier verwijderd wordt” of “Verwijder mijn account.”
Praktijk moet doen:
SpotOnMedics rol: Kan technisch account afsluiten of markeren, maar beslissing ligt bij u als praktijk. Maak hiervoor een ticket aan via ons ticketsysteem.
Voorbeeldverzoek patiënt: “Ik wil dat mijn gegevens tijdelijk niet gebruikt worden.”
Praktijk moet doen:
Voorbeeldverzoek patiënt: “Ik wil mijn gegevens digitaal ontvangen om mee te nemen naar een andere praktijk.”
Praktijk moet doen:
SpotOnMedics rol: Op verzoek kan export worden gemaakt. Maak hiervoor een ticket aan via ons ticketsysteem.
Voorbeeldverzoek patiënt: “Ik wil niet dat mijn gegevens gebruikt worden voor kwaliteitsonderzoek/marketing.”
Praktijk moet doen:
SpotOnMedics rol: Kan verwerking technisch beperken als praktijk dit besluit.
Voorbeeldverzoek patiënt: “Ik wil niet dat een computer zonder menselijk oordeel over mij beslist.”
Praktijk moet doen: