Privacyverklaring

Inleiding

Contactgegevens Zorg Advies Twente
Adres: Puttenkampstraat 1
Postcode en Plaats: 7531 AC Enschede
Telefoonnummer: 053 – 43 430 88
Directie: Gökhan Celik
E-mail adres: gcelik@zorgadviestwente.nl.
Functionaris gegevensbescherming: info@zorgadviestwente.nl
1. Begripsbepalingen
1.1. Persoonsgegevens: elk gegeven dat herleidbaar is tot een natuurlijke persoon.
1.2. Zorggegevens: persoonsgegevens die direct of indirect betrekking hebben op de lichamelijke
of geestelijke gesteldheid van betrokkene, verzameld door een beroepsbeoefenaar in het
kader van zijn beroepsuitoefening. Dit geldt ook voor beroepsbeoefenaren in opleiding.
1.3. Verwerking van persoonsgegevens: elke handeling of elk geheel van handelingen met
betrekking tot persoonsgegevens, waaronder in ieder geval het verzamelen, vastleggen,
ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door
middel van doorzending, verspreiding of enige andere vorm van terbeschikkingstelling,
samenbrengen, met elkaar in verband brengen, alsmede het afschermen, uitwissen of
vernietigen van gegevens.
1.4. Verstrekken van persoonsgegevens: het bekend maken of ter beschikking stellen van
gegevens.
1.5. Verzamelen van persoonsgegevens: het verkrijgen van persoonsgegevens.
1.6. Bestand: elk gestructureerd geheel van persoonsgegevens, ongeacht of dit geheel van
gegevens gecentraliseerd is of verspreid is op een functioneel of geografisch bepaalde wijze,
dat volgens bepaalde criteria toegankelijk is en betrekking heeft op verschillende personen.
1.7. Verantwoordelijke: de natuurlijke persoon, rechtspersoon of het bestuursorgaan dat, alleen
of samen met anderen, doel en middelen voor de verwerking van persoonsgegevens
vaststelt.
1.8. Bewerker: degene die ten behoeve van de verantwoordelijke persoonsgegevens verwerkt,
zonder aan zijn rechtstreeks gezag te zijn onderworpen.
1.9. Betrokkene: degene op wie de persoonsgegevens betrekking hebben of zijn
vertegenwoordiger.
1.10. Derde: ieder, niet zijnde de betrokkene, die gemachtigd is om persoonsgegevens te
verwerken.
Privacybeleid V2.0 Aug 2024 3
1.11. Ontvanger: degene aan wie de persoonsgegevens worden verstrekt (bijvoorbeeld bij een
verwijzing).
1.12. Toestemming van de betrokkene: elke vrije, specifieke en op informatie berustende
wilsuiting, waarmee de betrokkene aanvaardt dat op hem betrekking hebbende
persoonsgegevens worden verwerkt.
1.13. Het Autoriteit Persoonsgegevens: De Autoriteit dat door de landelijke overheid is ingesteld
om er op toe te zien dat de verwerking van persoonsgegevens conform de wet geschiedt.

2. Toepassingsgebied
Dit reglement is van toepassing op de verwerking van persoonsgegevens voor gerechtvaardigde
doeleinden die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen.
Het gaat zowel om persoonsgegevens die op papier staan als om elektronisch opgeslagen
persoonsgegevens.

3. Doel
3.1. Het doel van dit reglement is om een praktische uitwerking te geven aan de bepalingen van
de Algemene Verordening Gegevens Beheer, verder te noemen AVG;
3.2. Dit reglement is van toepassing binnen Zorg Advies Twente en heeft betrekking op alle
verwerkingen van persoonsgegevens van cliënten en medewerkers.

4. Vertegenwoordiging
Mensen met een ziekte of handicap of kinderen onder een bepaalde leeftijd zijn mogelijk niet in staat
zijn om zelfstandig hun rechten uit te oefenen, in welk geval ruimte bestaat voor optreden door een
vertegenwoordiger. De verantwoordelijke houdt zich bij de toepassing van de AVG aan de volgende
aan de WGBO (Wet op de Geneeskundige behandelingsovereenkomst) ontleende regels:
4.1. Indien de betrokkene jonger is dan 12 jaar, treden de ouders of voogd, die het ouderlijk
gezag uitoefenen, in de plaats van de betrokkene;
4.2. Dit geldt eveneens voor de betrokkene die de leeftijd van 12 jaar tot 18 jaar heeft en niet in
staat kan worden geacht tot een redelijke waardering van zijn belangen;
4.3. Indien de betrokkene in de leeftijdscategorie van 12 tot 16 jaar valt en in staat is tot redelijke
waardering van zijn belangen, treden naast de betrokkene zelf diens ouders of voogd op;
4.4. Een betrokkene van 16 jaar en ouder die in staat is tot een redelijke waardering van zijn
belangen, is geheel handelingsbekwaam en hoeft zich niet te laten vertegenwoordigen;
Privacybeleid V2.0 Aug 2024 4
4.5. Indien de betrokkene ouder is dan 18 jaar en niet in staat kan worden geacht tot een
redelijke waardering van zijn belangen ter zake, treedt in volgorde als hieronder
weergegeven, als vertegenwoordiger op:
4.6. De curator of mentor: indien betrokkene onder curatele staat of er ten behoeve van hem het
mentorschap is ingesteld;
4.7. De persoonlijk gemachtigde: indien betrokkene een bepaalde persoon schriftelijk gemachtigd
heeft;
4.8. Echtgenoot of levensgezel: indien de persoonlijk gemachtigde ontbreekt of niet optreedt;
4.9. Een kind, broer of zus van betrokkene: indien de echtgenoot of levensgezel ontbreekt of niet
wenst op te treden;
4.10. De persoon die in de plaats treedt van de betrokkene, betracht de zorg van een goed
vertegenwoordiger. Hij is gehouden de betrokkene zoveel mogelijk bij de vervulling van zijn
taken te betrekken;
4.11. Indien een vertegenwoordiger optreedt namens de betrokkene, komt de verantwoordelijke
zijn verplichtingen die voortvloeien uit de wet en dit reglement na jegens deze
vertegenwoordiger.

5. Voorwaarden voor rechtmatige verwerking
Teneinde de verwerking van persoonsgegevens van cliënten en medewerkers te voorzien van een
rechtmatige basis zal Zorg Advies Twente zich aan de volgende regels houden:
5.1. Persoonsgegevens worden in overeenstemming met dit reglement op behoorlijke en
zorgvuldige wijze verwerkt (conform de AVG);
5.2. Persoonsgegevens worden niet verder verwerkt op een wijze die onverenigbaar is met de
doeleinden waarvoor ze zijn verkregen (conform de AVG);
5.3. Persoonsgegevens worden slechts verwerkt voor zover zij, gelet op de doeleinden waarvoor
zij worden verzameld of worden verwerkt, toereikend, terzake dienend en niet bovenmatig
zijn (conform de AVG). Dit betekent dat de registratie van de persoonsgegevens moet passen
binnen het voor die registratie omschreven doel, alsmede dat de aard en de omvang van de
verzamelde gegevens dusdanig is dat het doel van de registratie daarmee wordt
bewerkstelligd;
5.4. De verwerking verantwoordelijke is verantwoordelijk voor het goed functioneren van de
verwerking van persoonsgegevens. Zijn handelwijze met betrekking tot de verwerking van de
persoonsgegevens en de verstrekking van gegevens wordt beperkt door dit reglement. De
verantwoordelijke is aansprakelijk voor de eventuele schade als gevolg van het niet naleven
van dit reglement;
Privacybeleid V2.0 Aug 2024 5
5.5. De verantwoordelijke heeft de plicht ervoor zorg te dragen dat een niet aan zijn rechtstreeks
gezag onderworpen bewerker van de persoonsgegevens zich contractueel gebonden weet
aan dit reglement.

6. Verwerking van persoonsgegevens en informeren van betrokkene
6.1. Persoonsgegevens betreffende iemands gezondheid, handicap of beperking mogen
slechts worden verwerkt indien de betrokkene voor deze verwerking zijn ondubbelzinnige
toestemming heeft verleend.
6.2. Zorg Advies Twente maakt uitsluitend gebruik van persoonsgegevens waar de betrokkene
toestemming voor heeft gegeven.
6.3. De verantwoordelijke informeert elke betrokkene die ingeschreven staat over de wijze
waarop Zorg Advies Twente met de persoonsgegevens omgaat. Voor uitwisseling van
persoonsgegevens tussen medewerkers van Zorg Advies Twente is geen expliciete
toestemming van betrokkene vereist voor zover deze uitwisseling van belang is voor de
uitvoering van de overeenkomst tussen betrokkene en Zorg Advies Twente.
6.4. De volgende gegevens worden vastgelegd door Zorg Advies Twente:
Cliënten (nieuwe) Medewerkers
NAW gegevens
NAW gegevens contactpersoon
Client/ relatienummer 
Bankrekeningnummer
Burgerservicenummer
Zorgpolis nummer
Gegevens over gezondheid
Medicatielijsten
Rapportages over verleende zorg
NAW gegevens
CV
Motivatiebrief
Inkomensgegevens zoals loonstrook en jaaropgave
Opleiding/certificaten
VOG
Gegevens over functioneren en beoordelen

7. Verstrekken van persoonsgegevens aan derden
7.1. Voor de verwerking van persoonsgegevens die bestaan uit het verstrekken van
persoonsgegevens aan personen buiten Zorg Advies Twente of aan andere instellingen is de
toestemming van betrokkene vereist. Voor de gevallen waarin aan dit vereiste niet behoeft te
voldoen, volgt Zorg Advies Twente de regeling in de WGBO (art. 7:457 BW). Dit betekent dat
geen toestemming is vereist indien de verstrekking plaatsvindt op grond van een wettelijk
voorschrift (lid 1) aan de vertegenwoordiger van de betrokkene of aan anderen die
rechtstreeks zijn betrokken bij de uitvoering van de overeenkomst met betrokkene als
bedoeld in lid 2 van art. 7:457 BW.
7.2. Zorg Advies Twente verstrekt geen persoonsgegevens aan partijen die gevestigd zijn buiten de
EU.
Privacybeleid V2.0 Aug 2024 6

8. Recht op inzage en afschrift van opgenomen persoonsgegevens
8.1. De betrokkene heeft het recht kennis te nemen van de op zijn persoon betrekking hebbende
verwerkte gegevens (recht op inzage);
8.2. De gevraagde inzage en/of het gevraagde afschrift zal zo spoedig mogelijk, doch uiterlijk
binnen vier weken, plaatsvinden respectievelijk worden verstrekt;
8.3. Recht op inzage kan worden geweigerd of beperkt als het een onevenredig nadeel voor een
derde met zich meebrengt (bijvoorbeeld wanneer zich in het dossier ook persoonsgegevens
van familieleden bevinden). Een besluit tot weigering of beperking van inzage en afschrift
wordt genomen door de directie van Zorg Advies Twente.

9. Recht op aanvulling, correctie of verwijdering van opgenomen
persoonsgegevens
9.1. Op uitdrukkelijk verzoek van de betrokkene worden de verzamelde persoonsgegevens
aangevuld, gecorrigeerd, afgeschermd voor derden of verwijderd/vernietigd;
9.2. De betrokkene kan verzoeken om correctie van op hem betrekking hebbende gegevens
indien deze feitelijk onjuist, voor het doel van de verwerking onvolledig of niet ter zake
dienend zijn, dan wel in strijd met een wettelijk voorschrift, in de verwerking voorkomen.
Correcties moeten door Zorg Advies Twente worden doorgegeven aan derden, indien zij de
onjuiste gegevens hebben ontvangen;
9.3. De betrokkene kan het verzoek om inzage, aanvulling, correctie of verwijdering indienen door
een mail te sturen naar de functionaris gegevensbescherming, info@zorgadviestwente.nl.
9.4. De verantwoordelijke bericht de verzoeker binnen vier weken na ontvangst van het
schriftelijke verzoek tot aanvulling, correctie, afscherming of verwijdering/vernietiging in
hoeverre hij daaraan wil voldoen. Niet gehonoreerde verzoeken worden schriftelijk
gemotiveerd;
9.5. Een gehonoreerd verzoek tot verwijdering/vernietiging van gegevens wordt binnen drie
maanden na honorering uitgevoerd.

10.Bewaartermijn
10.1. Zorg Advies Twente bewaart persoonsgegevens niet langer dan noodzakelijk voor het doel
waarvoor deze zijn verstrekt dan wel op grond van de wet is vereist.
Privacybeleid V2.0 Aug 2024 7
10.2. Bewaartermijn van persoonsgegevens:
Processen Maximale bewaartermijn
Sollicitatie procedure 4 weken
Indiensttreding arbeidsovereenkomst 2 jaar
Verzuimbeheer 2 jaar
Cliënten administratie 20 jaar
Processen Minimale bewaartermijn
Salarisafspraken en arbeidsvoorwaarden 7 jaar
Loonbelasting en identiteitsbewijzen 5 jaar
Debiteuren- en crediteurenadministratie 7 jaar

11.Beveiliging
De AVG verplicht de verantwoordelijke technische- en organisatorische maatregelen te nemen om
persoonsgegevens tegen onbevoegde inzage te beschermen.
De volgende bepalingen gelden ter beveiliging van persoonsgegevens:
11.1. Er worden niet meer persoonsgegevens verzameld dan nodig zijn voor het doel van de
verzameling;
11.2. Alleen direct betrokken medewerkers hebben inzage in persoonsgegevens;
11.3. Alle persoonsgegevens zijn opgeborgen in afsluitbare kasten, laden, ruimten;
11.4. Elektronisch opgeslagen persoonsgegevens zijn alleen na ingeven van een persoonlijk
wachtwoord in te zien;
11.5. Elektronisch opgeslagen gegevens worden versleuteld verzonden;
11.6. Medewerkers hebben een geheimhoudingsplicht betreffende persoonsgegevens.
In dit kader wordt onder de term ‘medewerkers’ eveneens begrepen: invalkrachten en
stagiaires. Hierbij geldt de aanvullende bepaling dat op de verantwoordelijke de
verantwoordelijkheid rust deze categorie medewerkers expliciet en nadrukkelijk bekend
te maken met het van kracht zijn van dit reglement.

12.Datalekken
Vanaf 1 januari 2016 is de meldplicht datalekken van kracht. Deze meldplicht houdt in dat
zorgorganisaties een datalek van persoonsgegevens verplicht moeten melden aan de Autoriteit
Persoonsgegevens (voorheen Autoriteit Persoonsgegevens) en in sommige gevallen ook aan de
Privacybeleid V2.0 Aug 2024 8
betrokken personen. Bij een datalek vallen gegevens (data) in handen van derden die daar geen
toegang tot zouden mogen hebben. Wanneer er sprake is van een datalek maakt Zorg Advies Twente
vervolgens een afweging of daarvan een melding gemaakt moet worden bij de Autoriteit
Persoonsgegevens.
12.1. Allereerst bekijkt Zorg Advies Twente of er sprake is van een datalek van persoonsgegevens.
Wanneer het alleen om gegevens van de organisatie gaat hoeft er namelijk niet gemeld te
worden. Bij persoonsgegevens moet er sprake zijn van een kans op nadelige gevolgen voor
de bescherming van deze persoonsgegevens.
12.2. Zorg Advies Twente kijkt vervolgens om wat voor soort gegevens het gaat. Er moet een
melding gemaakt worden als er sprake is van veel gegevens en/of er sprake is van gevoelige
informatie. Bijvoorbeeld data over iemands geloof, financiële gegevens, medische gegevens,
psychologische gegevens, wachtwoorden en gegevens die gebruikt kunnen worden voor
identiteitsfraude (zoals biometrische gegevens, BSN-nummer). Melden bij de Autoriteit
Persoonsgegevens wordt gedaan binnen 72 uur.
12.3. Zorg Advies Twente maakt een aparte afweging voor het melden aan de betrokken personen.
Wanneer er melding gedaan wordt aan de betrokken personen, moet men ook altijd een
melding doen aan de Autoriteit Persoonsgegevens. Een melding aan de betrokken personen
is nodig als er misbruik gemaakt kan worden van de gegevens. Bijvoorbeeld wanneer
medische gegevens van een beroemd persoon gelekt zijn en deze mogelijk gepubliceerd
zullen worden. De persoon kan zich hier dan goed op voorbereiden en eventueel
maatregelen nemen. Zorg Advies Twente meldt dit dan ook zo snel mogelijk!
Maatregelen om datalekken binnen Zorg Advies Twente te voorkomen
Een goede beveiliging van gevoelige gegevens door versleuteling (encryptie). Daarmee wordt
voorkomen dat er gegevens na een lek te herleiden zijn tot een persoon.
Voorkomen dat medewerkers persoonsgegevens verspreiden via de e-mail en/of
Clouddiensten waar geen contract mee is afgesloten zoals Dropbox.
Medewerkers informeren die met persoonsgegevens omgaan over de meldplicht
persoonsgegevens.
Zorg Advies Twente heeft afspraken over voorkomen datalek met andere organisaties
waarmee wordt samengewerkt en persoonsgegevens worden uitgewisseld.
Zorg Advies Twente beschikt over een draaiboek voor het moment dat zich een datalek
voordoet.
Verantwoordelijke aangewezen voor het besluit over het melden en de melding zelf van een
mogelijk datalek.

13.Klachten /bezwaarmogelijkheden
Indien de betrokkene van mening is dat de bepalingen van dit reglement niet worden nageleefd of
andere reden heeft tot klagen, kan hij zich wenden tot:
Privacybeleid V2.0 Aug 2024 9
13.1. De verantwoordelijke;
13.2. De leidinggevende van de verantwoordelijke, waarbij de interne klachtenregeling van
Zorg Advies Twente van toepassing is;
13.3. De Autoriteit Persoonsgegevens, met een verzoek een onderzoek in te stellen of de wijze
van gegevensverwerking door de verantwoordelijke in overeenstemming is met de Wet
bescherming persoonsgegevens, dan wel gebruik te maken van de AVG neergelegde
beroepsmogelijkheden.
(https://autoriteitpersoonsgegevens.nl/nl/contact-met-de-autoriteit-persoonsgegevens/informatieen
-meldpunt-privacy )

14.Wijzigingen, inwerkingtreding en inzage van dit reglement
14.1 Wijzigingen van het reglement worden aangebracht door verantwoordelijke;
14.2 De wijzigingen in het reglement zijn van kracht vier weken nadat ze bekend zijn gemaakt aan
betrokkenen;
14.3 Dit reglement is van kracht per bestuursbesluit en bij de verantwoordelijke in te zien.
Privacybeleid V2.0 Aug 2024 10