Beleid plaatsen van foto's op FaceBook versoepeld?
Ik heb ergens gehoord/gelezen dat het beleid van het plaatsen van foto's op FaceBook zou zijn versoepeld zolang er maar geen namen worden vermeld. Klopt dat?



Ik ben uiteraard benieuwd naar de bron, maar ga er maar van uit dat die informatie niet juist is. Op de site van de AVG Helpdesk Zorg, Welzijn & Sport tref je informatie over wanneer je toestemming moet vragen om foto's te gebruiken en wanneer je ze mag doorsturen. 



Overigens voltrekken de ontwikkelingen op het gebied van gezichtsherkenning zich zo snel en zijn de databases van een aantal partijen inmiddels zo rijk gevuld, dat het vermelden van een naam tegenwoordig niet eens meer nodig is. Zie de informatie en een bijzonder informerend filmpje op deze themapagina.
nl
Ben ik als praktijk verplicht een FG aan te stellen?
11-12-2018 Update
In aanvulling op het bericht van 31-05-2018 heeft de Autoriteit een aanvullend bericht gepubliceerd over het begrip grootschaligheid.

Op 31-05-2018 heeft de Autoriteit Persoonsgegevens een nadere duiding gegeven aan het abstracte begrip 'grootschaligheid'. (Zie berichtgeving). Het is verstandig om bij het vaststellen van het aantal personen waarvan je (bijzondere) persoonsgegevens verwerkt ook rekening te houden met persoonsgegevens in je archieven.

De tekst van de AVG is op dit punt op dit moment (nog) niet geheel duidelijk. Aangegeven wordt dat een ziekenhuis wel verplicht is om een FG aan te stellen, maar een individuele huisarts niet. Over samenwerkingsverbanden van meerdere zorgprofessionals worden echter geen uitspraken gedaan. Een aantal criteria zijn van belang bij de toets of je als organisatie verplicht bent of niet. De aard van de gegevens (gegevens over gezondheid zijn bijzonder gevoelige gegevens), is de verwerking een kernactiviteit en vindt verwerking plaats op grote schaal. Een Europese richtlijn moet helderheid verschaffen maar doet dat niet echt. Via een speciale pagina van de Autoriteit Persoonsgegevens wordt iedereen geïnformeerd over de ontwikkelingen.
nl
Bestaat er een goedgekeurd certificeringsmechanisme of is er al een gedragscodes (AVG art. 24.3) voor de zorg? En zo ja waar kan ik die vinden?
De NEN Norm voor Informatiebeveiliging voor de Zorg (NEN7510) zou je als zodanig kunnen beschouwen. Zie ook de recentelijke publicatie (november 2017) in de Staatscourant. Je kunt die norm (sinds 2014 gratis) downloaden via de NEN normshop.
nl
Betreft het inzagerecht (artikel 15) ook persoonlijke notities?
Persoonlijke werkaantekeningen ook wel geheugensteuntjes genoemd zijn niet bedoeld voor andere ogen dan de de zorgverlener zelf. Ze maken dus geen deel uit van het medisch dossier en vallen dus buiten het inzagerecht van de patiënt.  Medische diagnoses (denk ook aan de authenticiteit - de bron) en conclusies van de zorgverlener op basis van eigen bevindingen maken wel deel uit van het dossier en daarvoor geldt dus wel het inzagerecht.
nl
Betreft het recht op gegevens (dataportabiliteit artikel 20) ook persoonlijke notities?
Nee. Zie ook het antwoord op de vraag over het inzagerecht (artikel 15).
nl
Een organisatie stelt er voor te kunnen zorgen dat ik aan de AVG voldoe. Kan dat?
“Voor een eenmalig startbedrag en/of een klein maandelijks bedrag zorgen wij er voor dat u AVG proof bent”. Partijen die dat beweren maken dankbaar gebruik van de matige affiniteit met ICT in bepaalde sectoren en misbruik van de angst voor een boete of imagobeschadiging. De rol van een verwerkingsverantwoordelijke is helder. Die verantwoordelijkheid kan niet door een andere partij worden overgenomen!
nl
Een zorgverlener vraagt naar mijn BSN. Ben ik verplicht om die te verstrekken?
Ja, maar wel op een veilige manier. Pas nadat gecontroleerd is of u degene bent die hoort bij het BSN mag het BSN in de administratie worden opgenomen. De zorgverlener controleert dit aan de hand van uw identiteitsbewijs. Als een behandelingsovereenkomst tot stand is gekomen, is iedere zorgaanbieder sinds 1 juni 2009 wettelijk verplicht om het Burgerservicenummer (BSN) in zijn administratie op te nemen en te gebruiken bij de uitwisseling van gegevens. Dit is geregeld in de Wet Aanvullende Bepalingen Verwerking Persoonsgegevens in de Zorg (WABVPZ).

De wetgever stelt wel voorwaarden aan het gebruik van het BSN. Via het Besluit elektronische gegevensverwerking door zorgaanbieders worden nadere regels gesteld over functionele, technische en organisatorische maatregelen bij elektronische gegevensverwerking door en tussen zorgaanbieders. Zorgaanbieders zijn verplicht om te voldoen aan de NEN normen voor informatiebeveiliging  (NEN 7510, 7511 en 7512).
nl
Hoe gedetailleerd moet de gegevensverwerking in het register omschreven worden?
Verwijzend naar deze sheets gaat het bij “categorieën van betrokkenen”  bijvoorbeeld over “(personeels)leden” of “patiënten”. Bij “categorieën van gegevens” over bijvoorbeeld: “naw gegevens (naam, adres, woonplaats)”, “gegevens over de gezondheid”, “gegevens benodigd voor personeelsadministratie” etc. Resultaat van de gegevens inventarisatie kan worden gebruikt voor het privacy/informatiebeveiligingsbeleid.
nl
Hoe kan ik aantonen dat iemand toestemming heeft gegeven?
Onderdeel van de verantwoordingsplicht is dat men moet kunnen aantonen dat een betrokkene zijn of haar toestemming heeft gegeven. Met het begrip toestemming wordt bedoeld op: elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de betrokkene door middel van een verklaring of een ondubbelzinnige actieve handeling de hem/haar betreffende verwerking van persoonsgegevens aanvaardt. Om een geldige toestemming aan te tonen kan dus niet worden volstaan met het zelf plaatsen van een vinkje. De woorden specifiek, geïnformeerd, en ondubbelzinnig spelen een cruciale rol bij de aantoonbaarheid. Volstrekt helder moet zijn op basis van welke informatie de betrokkene zijn/haar toestemming heeft gegeven. Bijvoorbeeld door deze te koppelen aan een kopie van de informatie die de betrokkene heeft ontvangen voorafgaand aan de gegeven toestemming. Artikel 7 regelt dat het intrekken van een toestemming even eenvoudig is als het geven daarvan.
nl
Hoe kan ik een FG aanmelden bij de Autoriteit Persoonsgegevens?
Tot voor kort kon je daarvoor een speciaal aanmeldformulier gebruiken. Vanaf 04-04-2018 moet dat via een daartoe ingerichte pagina op de site van de AP. Tegelijkertijd wordt het huidige FG register opgeschoond. In verband met de AVG wil de AP nu bijvoorbeeld ook weten of het aanstellen van de FG op vrijwillige basis geschied of dat sprake is van een verplichting tot aanmelding. Alle FG’s moeten daarom opnieuw worden aangemeld bij de AP (Art. 37 lid 7)

Ook het te raadplegen register op de site van de AP verdwijnt. Op grond van de AVG zijn verantwoordelijken en verwerkers dan namelijk verplicht om zelf de contactgegevens van hun FG te publiceren.

Aanmelden is mogelijk via het aanmeldingsformulier functionaris voor de gegevensbescherming (FG). Let op: alle FG-aanmeldingen (ook die recentelijk zijn gedaan), komen dus per 25 mei 2018 te vervallen!
nl
Hoe kan ik iemand die geen Nederlands spreekt op zijn privacyrechten wijzen?
Ja dat kan lastig zijn. Sowieso is de tekst van de GDPR / AVG soms al lastig te volgen. En helaas zijn de teksten op B1 niveau over dit onderwerp (nog) niet overvloedig voor handen, laat staan in meerdere talen. Zo er al een familielid of tolk voorhanden is, zal die ook moeite hebben met het onderwerp. Ik heb zo snel dus geen oplossing. Maar wellicht kun je iets met de site EUR-Lex van de Europese Unie. Die biedt namelijk niet alleen de mogelijkheid om de Verordening te raadplegen, maar ook in verschillende talen naast elkaar te leggen. Het is overigens de bedoeling dat symbolen op termijn een oplossing moeten bieden, maar die is nu nog niet voorhanden.
nl
Hoe kan ik veilig met patiënten en gemeenten communiceren?
Is nog een uitdaging. Er zijn weliswaar een aantal oplossingen maar die hebben als nadeel dat ze "leveranciersgebonden" zijn. In het verlengde van een project "Veilige mail" onder auspiciën van het Informatieberaad Zorg heeft in december 2018 een groot aantal partijen een intentieverklaring ondertekend om te komen tot een veilige en gebruiksvriendelijke en leveranciersonafhankelijke berichtuitwisseling.
nl
Hoe lang blijft een eerder (door mij) gegeven toestemming geldig?
Hoe lang blijft een eerder door mij gegeven toestemming geldig? Is voorzien in een herijking? 



In de tekst van een document op de site van de Autoriteit Persoonsgegevens staat: "De AVG verschaft geen specifieke termijn voor  hoe lang  toestemming geldig blijft.  Hoe lang toestemming  geldig  blijft,  hangt af  van de context,  de werkingssfeer van de oorspronkelijke toestemming en de verwachtingen van de betrokkene.  Wanneer de  verwerkingsactiviteiten veranderen of  in aanzienlijke mate  transformeren, is de oorspronkelijke toestemming niet meer geldig. Indien dit het geval is, moet opnieuw toestemming worden verkregen.



Geadviseerd wordt om toestemming "met passende tussenpozen" te  vernieuwen. Ook  hier helpt het verstrekken van alle informatie om  ervoor te  zorgen dat de betrokkene goed geïnformeerd blijft over hoe zijn of haar gegevens worden gebruikt, en hoe zijn of haar rechten kunnen worden uitgeoefend.
nl
Hoe lang moet ik personeelsgegevens bewaren?
Personeelsgegevens vallen onder de fiscale bewaarplicht en die is 7 jaar. Als onverhoopt overgestapt wordt op een ander computerprogramma en de gegevens kunnen niet eenvoudig worden overgezet is het verstandig om afspraken te maken met de belastingdienst. Zie ook deze pagina.
nl
Hoe maak ik contact met collega's die al verder zijn?
Ben je in de zorg werkzaam en wil je kennis en ervaringen delen met collega's die voor dezelfde uitdagingen staan en zo mogelijk al iets verder zijn met het implementeren van de NEN7510, dan kun je wellicht je voordeel doen via een Siilo forum. Dit forum vervangt een eerder daarvoor ingericht LinkedIn forum. Ook jou meld ik daar graag voor aan. Heb je Siilo geïnstalleerd maar kun je mij of de groep zo snel niet vinden? <link>
nl
Ik ben eerder geïnformeerd over Idensys. Wat is nu de stand van zaken?
Als alternatief inlogmiddel naast DigiD is tot 31-12-2018 een pilot gedraaid met Idensys. Naast een aantal gemeenten en verzekeraars heeft een aantal zorgpartijen aan deze pilot deelgenomen. De ervaringen opgedaan tijdens deze pilot zijn van belang voor het programma Impuls eID dat moet voorzien in de brede uitrol van authenticatiemiddelen van voldoende hoog betrouwbaarheidsniveau door BZK. Zie deze pagina voor een uitgebreidere toelichting of direct naar de brief aan de 2e Kamer van Staatssecretaris Knops van BZK van 29-02-2019 over de voortgang en aanpak.
nl
Ik gebruik Siilo in plaats van WhatsApp. Is toch veiliger?
Net als WhatsApp maakt ook Siilo gebruik van end-to-end-encryptie. Er zijn wel wat verschillen. Siilo is ontwikkeld voor een veilige overdracht tussen zorgaanbieders. Het is dus niet mogelijk om met patiënten te communiceren. Siilo biedt een aantal extra maatregelen om gegevens te beveiligen. Bijvoorbeeld door een aparte map voor afbeeldingen, alle correspondentie versleuteld op te slaan en correspondentie na 30 dagen automatisch te wissen tenzij je daar zelf een stokje voor steekt. Volgens recente mededelingen (mei 2018) maken nu rond 70.000 zorgverleners van Siilo gebruik.  (Klik hier voor meer info over de beveiliging)
nl
Ik kan me niet vinden in de inhoud van een, mij aangeboden verwerkersovereenkomst. Wat nu?
Kun je je, als verwerkingsverantwoordelijke niet vinden in de inhoud van een verwerkersovereenkomst die je door een verwerker wordt aangeboden, ga dan niet akkoord. De AVG verwacht van een verwerkingsverantwoordelijke dat die de regie neemt. Dat kan door zelf het initiatief te nemen en gebruik te maken van de inmiddels zorg breed geaccepteerde modelovereenkomst. Als de beoogd verwerker zich niet kan vinden in de inhoud, is het zaak om de, met de verwerker gevoerde correspondentie goed vast te leggen (zie ook deze FAQ). Misschien is het ook goed om je te realiseren dat bij iedere verwerking sprake dient te zijn van rechtmatigheid en een verwerkingsverantwoordelijke die doel en middelen van de verwerking bepaalt. Dit ook in relatie tot de ruimte c.q. bewegingsvrijheid van een verwerker. De verantwoordelijke geeft antwoord op de vragen: welke gegevens worden verwerkt, hoe die worden verwerkt; wie er toegang tot die gegevens heeft en hoe lang ze worden bewaard (c.q. wanneer ze worden verwijderd). Als je zelf op al die vragen geen antwoord kunt geven of geen bepalende rol hebt, kun je de rol van verwerkingsverantwoordelijke niet vervullen en ligt die bij een ander. Zie ook deze FAQ op de site AVG helpdesk voor de Zorg
nl
Ik lees in mijn verwerkersovereenkomst dat onze gegevens op servers in de UK staan. Heeft de Brexit consequenties voor ons?
Update AP 13-02 met nadere toelichting 



Jazeker heeft dat consequenties. Zowel voor jullie als voor de verwerker waarmee je een overeenkomst hebt.  De vraag is ook gesteld aan de Autoriteit Persoonsgegevens. De AP heeft toegezegd begin 2019 meer duidelijkheid te zullen verschaffen. Op de site van de AVG Helpdesk Zorg Welzijn & Sport zijn een aantal vragen en antwoorden toegevoegd. <link>
nl
Ik ontvang via mijn website alleen reacties van cliënten en evt. aanmeldingen. Dient er even goed dan een slotje op te zitten?
Als je cliënten via je site in staat stelt te communiceren liggen risico's op de loer. Dus om die reden had de persoon of organisatie die je website beheert al maatregelen moeten nemen of te adviseren om een SSL certificaat (een "slotje") te installeren. Maar het zijn niet alleen risico's.

 	De meeste browsers waarschuwen gebruikers als men een site benadert die niet van een slotje is voorzien. Dat is niet goed voor het vertrouwen in een organisatie.
 	Om bezoekers te beschermen toont Google in de eerste pagina's van een zoekresultaat uitsluitend sites met een SSL certificaat.

Kortom .. argumenten genoeg om die relatief eenvoudige en zeker niet kostbare maatregel te nemen.
nl
Ik sta op een foto, maar mij is nooit om toestemming gevraagd. Wat nu?
Op de site van de Autoriteit Persoonsgegevens lees ik heel veel over het gebruik van foto's en filmbeelden en vooral dat die alleen gebruikt mogen worden als ik daar toestemming voor heb gegeven. Mij is echter nooit om toestemming gevraagd. Wat nu? 



Het is een gegeven dat dagelijks zeer veel films en foto's gemaakt. Soms is daarvoor een aanleiding, maar soms is die er ook helemaal niet. Ook is het een gegeven dat als dat gebeurt, lang niet altijd nagedacht wordt over de wens van degene die wordt gefotografeerd of gefilmd. Laat staan dat om toestemming wordt gevraagd. Als dat je overkomt of overkomen is,  ga dan het gesprek aan met de persoon die de opname heeft gemaakt, of de contactpersoon (of, indien aangesteld de FG) van de betreffende organisatie en probeer in goed overleg met elkaar tot een bevredigende oplossing te komen. Bij dat overleg is het van belang is dat alle betrokken partijen zich bewust zijn van



het feit dat je de AVG zowel kunt beschouwen vanuit de letter (juridisch) als de geest (de bedoeling); die bedoeling richt zich op grondrechten m.b.t. de bescherming van privacyrechten van de betrokkene;dat er voor zowel de verantwoordelijke als betrokkene nog altijd veel uitdagingen bestaan om naar de letter en in de geest van de AVG te handelende impact van de te nemen maatregelen omvangrijk is en dat soms niet valt te ontkomen aan het stellen van prioriteiten
nl
Ik wissel vertrouwelijke gegevens uit via mail met leveranciers en gemeenten. Kan dat wel?
Nee, tenzij extra maatregelen genomen worden (zoals end-to-end encryptie) is het uitwisselen van vertrouwelijke gegevens via e-mail niet veilig. Organisaties die op deze wijze hun uitwisselingsprocessen hebben ingericht doen er verstandig aan om daar direct mee te stoppen en in gezamenlijkheid maatregelen te nemen om de samenhangende risico's het hoofd te bieden en naar alternatieven te zoeken voor een veilige uitwisseling van gevoelige gegevens. Als initiatieven van communicatiepartners uitblijven neem dan in het belang van je patiënten zelf het initiatief om dit aan de orde te stellen.
nl
In hoeverre bestaat een relatie tussen de Wet Cliëntenrechten bij elektronische verwerking van gegevens in de zorg (die vanaf juli 2017) van kracht is en de AVG?
Ja dat is de Wet Cliëntenrechten bij elektronische verwerking van gegevens in de zorg. In die wet worden de rechten van de patiënt en de plichten van de zorgverlener genoemd. (zie dit document en in het bijzonder de matrices). De in het document aangegeven termijn waarop de patiënt kan beschikken over een elektronische versie van zijn gegevens (2020) strookt niet met artikel 20 van de AVG die op 25-05-2018 van kracht wordt. Omdat in geval de verordening boven de wet gaat is snel duidelijkheid gewenst en aanleiding voor overleg op diverse niveau's.




De wet Cliëntenrechten bij elektronische verwerking van gegevens van gegevens treedt op 1 juli 2017 in werking. Enkele wettelijke bepalingen zijn daarvan uitgezonderd: de bepalingen die patiënten het recht geven op elektronische inzage en elektronisch afschrift en het recht gespeci ceerd toestemming te geven. Deze wettelijke bepalingen treden op 1 juli 2020 in werking. Zorgverleners krijgen dus nog even de tijd om aan die specifieke wettelijke bepalingen te voldoen. zie voor een verdere toelichting rijksoverheid.nl
nl
Is WhatsApp veilig?
Sinds WhatsApp is overgestapt op het gebruik van end-to-end-encryptie (april 2016) is veel van de aanvankelijke bezwaren (over inzicht in de inhoud van berichten) weggenomen. End-to-end encryptie werkt als volgt. Door WhatsApp wordt  automatisch een publieke en geheime sleutel aan een account gekoppeld. Die publieke sleutel wordt naar de centrale server gestuurd. Als A een bericht naar B wil sturen wordt het bericht bij A versleuteld met de combinatie van de geheime sleutel van A en de publieke sleutel van B die op de server staat. Via de server gaat het bericht naar B . Het bericht is alleen te ontsleutelen met de geheime sleutel van B die zich dus alleen bij B bevindt. Bij end-to-end-encryptie is een berichtje dus van het ene eindpunt tot het andere – oftewel van zender tot ontvanger – versleuteld. Vandaar de term ‘end-to-end’. Is WA daarmee veilig? Hoewel de inhoud van de berichten is versleuteld, is het nog steeds mogelijk om op de centrale server te zien wie met wie communiceert en vanaf welk IP-adres. De leverancier van WhatsApp kan die informatie gebruiken om een profiel van A en B bij te houden. Van WhatsApp is bekend dat veel metadata van gebruikers wordt opgeslagen. Ook biedt WhatsApp de mogelijkheid om een backup van je (ontsleutelde) berichten te bewaren op Google Drive of iCloud van Apple. Langs die weg kunnen berichten ook in verkeerde handen vallen. Je bent voor de beveiliging van deze backups volledig overgeleverd aan Google of Apple. Meer over de end-to-end encryptie van WhatsApp lees je hier.
nl
Is elektronische overdracht van zorginhoudelijke gegevens eigenlijk wel toegestaan?
In een brief van de AP aan de NVZ stelt de AP op 7 oktober 2016, dat "bij de patiënt-authenticatie voor communicatie met en onder verantwoordelijkheid van de zorgaanbieder in beginsel dient te worden uitgegaan van een ‘hoog betrouwbaarheidsniveau’ en dat in gevallen waar het gaat om gegevens waarop het medisch beroepsgeheim van de zorgverlener rust het ‘hoogste betrouwbaarheidsniveau’ vereist is."



In de brief van de Autoriteit Persoonsgegevens aan de voorzitter van het Informatieberaad Zorg van 4 oktober 2018 wordt herhaald dat, "door het ontbreken van een brede beschikbaarheid van middelen die toezien op het vaststellen van betrouwbaarheidsniveau "substantieel" dan wel het voor de zorg vereiste "hoog", de elektronische uitwisseling van gegevens over de gezondheid tussen zorgaanbieders en patiënten in beginsel niet kan plaatsvinden omdat de bescherming van persoonsgegevens, waaronder gegevens over gezondheid, dan onvoldoende is gewaarborgd " In de brief wordt gesteld dat "brede beschikbaarheid van betrouwbaarheidsniveaus “substantieel” en “hoog” voor alle patiënten  nog enige tijd in beslag zal nemen. 



In de brief wordt niet gesproken over de uitwisseling tussen zorgverleners. Voor zover ik weet beschikken die ook niet over de middelen om een passend betrouwbaarheidsniveau toe te passen. Is dat dan volgens de AP wel toegestaan?   



Hoewel de focus in de brieven waaraan u refereert lijkt te liggen op het raadplegen (de toegang tot gegevens - ook wel pull genoemd), heeft u me in een gesprek duidelijk gemaakt dat uw vraag ook betrekking heeft op versleuteling van de inhoud van berichten op een zodanige wijze dat zekerheid bestaat over de verzender en dat alleen de ontvanger kennis kan nemen van die inhoud (end-to-end encryptie). Die middelen zijn inderdaad nu nog niet breed beschikbaar.  En ja, op dit moment is sprake is van uitwisseling van berichten zonder dat de vereiste zekerheid bestaat over verzender. En ja, het is niet uit te sluiten dat naast de beoogd ontvanger ook anderen van de inhoud van het bericht over u kennis nemen.   



Omdat het in de gezondheidszorg geen optie is om niet uit te wisselen, zullen verwerkingsverantwoordelijken dus moeten roeien met de riemen die men op dit moment heeft, waarbij ieder risico van onbevoegde kennisname zoveel mogelijk wordt uitgesloten. Of in AVG termen.. daartoe "passende technische en organisatorische maatregelen" moeten nemen. Met dat begrip passend wordt dus ook rekening gehouden met het ontbreken van die "breed beschikbare middelen" op dit moment.  



Zie voor aanvullende informatie ook deze pagina.
nl
Is er al meer nieuws over de verplichting om FG aan te stellen?
11-12-2018 Update
In aanvulling op het bericht van 31-05-2018 heeft de Autoriteit een aanvullend bericht gepubliceerd over het begrip grootschaligheid.

Op 31-05-2018 heeft de Autoriteit Persoonsgegevens een nadere duiding gegeven aan het abstracte begrip 'grootschaligheid'. (Zie berichtgeving). Het is verstandig om bij het vaststellen van het aantal personen waarvan je (bijzondere) persoonsgegevens verwerkt ook rekening te houden met persoonsgegevens in je archieven.
nl
Is er geen kort afvinklijstje beschikbaar?
Die vraag wordt heel vaak gesteld en heeft van doen met de uitgebreidheid en detaillering van de NEN7510. Dat roept soms weerstanden op en een gevoel door de bomen het bos niet meer te zien. Die detaillering van de NEN7510 is er echter niet voor niets.

Iedere organisatie is uniek. Om een metafoor te gebruiken: Wat voor de ene organisatie een open deur is, is voor de andere een blinde muur. Een eenvoudig afvinklijstje betekent elementen weglaten. Bij dat weglaten moeten keuzes worden gemaakt. Keuzes die juist bij specifieke situaties kunnen opbreken en tot zeer vervelende gevolgen kunnen leiden.

De NEN 7510 bevat veel hoofdstukken en kan voor iedere organisatie (van solist  tot zeer grote instelling) worden gebruikt. Een mogelijke prioritering tref je op deze pagina.
nl
Is er niet een voorbeeld van een verwerkersovereenkomst?
Ja die is er. Actiz, GGZ Nederland, NFU, NVZ en VGN verenigd in de Brancheorganisaties Zorg (BoZ) hebben een standaard modelverwerkersovereenkomst ontwikkeld.
nl
Is het mogelijk om 2 FA toe te passen voor de toegang tot mijn computer, laptop of tablet?
Tweefactor-authenticatie (2FA) is een extra beveiliging voor toegang tot gegevens via een netwerk. Zie deze pagina voor meer informatie.

Om meer zekerheid te krijgen over de identiteit van iemand die fysiek toegang zoekt tot een computer, laptop of tablet wordt doorgaans gebruik gemaakt van specifieke fysieke kenmerken: biometrische gegevens. Denk daarbij aan een irisscan of je vingerafdruk.

Op de site van de Autoriteit Persoonsgegevens tref je naast extra informatie ook antwoorden op vragen over biometrie.
nl
Is mijn zorgverlener verplicht een kopie van mijn identiteitsbewijs te maken?
Nee. Je zorgverlener is wel verplicht om je identiteit vast te stellen aan de hand van uw BSN nummer (zie ook deze vraag), maar kan dan volstaan met het overnemen van het nummer van het identiteitsbewijs zoals het nummer van je paspoort. In tegenstelling tot wat veel mensen denken, zijn er maar een paar organisaties die die wel verplicht zijn om een kopie van uw identiteitsbewijs te maken. Met het oog op risico's is het sterk af te raden om je paspoort of rijbewijs zomaar af te geven om een kopietje te laten maken! Als je zelf een kopie maakt en het BSN afdekt of goed doorstreept of de KopieID app gebruikt kun je de risico's op identiteitsfraude verkleinen. Zie ook dit filmpje en de informatie op deze pagina.
nl
Kan iemand uit onze eigen organisatie FG zijn?
Theoretisch kan dat. Praktisch gezien heeft dat wel een aantal consequenties. Uiteraard dient de FG te beschikken over de nodige competenties. Op de site van de Autoriteit Persoonsgegevens wordt aangegeven wat een FG moet weten en kunnen.  Een FG dient in staat te zijn/te worden gesteld om zijn rol als onafhankelijk toezichthouder en adviseur uit te voeren. Ook zijn positie binnen een organisatie dient onmiskenbaar aantoonbaar onafhankelijk te zijn.  Door de  toezichthouder worden ook een aantal voorwaarden genoemd waaraan moet worden voldaan om die onafhankelijkheid te borgen.

 	De FG mag geen instructies krijgen hoe hij zijn taken als FG moet uitvoeren.
 	De FG mag niet worden ontslagen of worden gestraft als gevolg van de uitoefening van zijn FG-taken.
 	Er mag geen belangenverstrengeling zijn tussen de FG-taken en de eventuele andere taken of functies van de FG.

Om die belangenverstrengeling te voorkomen, mag de FG binnen de organisatie niet ook een functie hebben waarin hij het doel en de middelen van een gegevensverwerking bepaalt. Dit kan bijvoorbeeld zo zijn als de FG een managementpositie vervult, zoals hoofd financiën, strategie, marketing, IT of HRM.

De praktijk leert, dat meer dan eens de signalen of adviezen van een FG  worden genegeerd of ondergeschikt worden gemaakt aan andere prioriteiten. Dat leidt soms tot spanningen en conflicten tussen een FG en het management van een organisatie. Daar moet het management mee om kunnen gaan, maar ook een FG.
nl
Kan ik de AP raadplegen als ik twijfels heb over een bepaalde verwerking?
Ja dat kan. Als je twijfels hebt of vermoedt dat risico's onvoldoende zijn afgedekt ben je dat zelfs verplicht. Je bent dan immers niet in staat om de vereiste adequate technische en organisatorische beveiligingsmaatregelen te treffen. Overeenkomstig Artikel 36 van de AVG ben je dan verplicht om een voorafgaande raadpleging aan te vragen bij de AP. Een FG kan je hierin adviseren. De wettelijk vastgestelde behandeltermijn voor een voorafgaande raadpleging is maximaal 14 weken. Tijdens deze procedure mag nog niet worden begonnen met de verwerking! Op de site van de AP tref je een pagina met aanvullende informatie, vragen en antwoorden en het formulier waarmee je om de voorafgaande raadpleging verzoekt. Na invulling dient dat te worden gericht aan:

Autoriteit Persoonsgegevens
Verzoek voorafgaande raadpleging
Postbus 93374
2509 AJ DEN HAAG
nl
Kan ik mij tegen risico's verzekeren?
Vrijwel ieder risico is te verzekeren. Verzekeringsproducten die worden aangeprezen om de risico's te dekken nemen snel in omvang toe. De premies zijn doorgaans hoog en een grondige bestudering van de  voorwaarden leert vaak dat de hoogte van een eventuele uitkering bij een incident sterk afhankelijk is van de maatregelen die de verwerkingsverantwoordelijke zelf heeft genomen maar met name verzuimd heeft te nemen.
nl
Kan ik mijn verantwoordelijkheid overdragen?
In tegenstelling van wat commerciële bedrijven beweren kan de (bestuurlijke) eindverantwoordelijkheid nooit worden overgedragen.
nl
Kan ik niet één document gebruiken voor alle toestemmingen?
De behoefte aan eenduidigheid en eenvoud is begrijpelijk, maar nee, dat zou strijdig zijn met artikel 7 van de AVG. Voor het verkrijgen (en registreren) van toestemming gelden strikte regels waaraan moet worden voldaan om de kwalificatie "rechtsgeldig" te verdienen. In verband met de vereiste specificiteit en ondubbelzinnigheid dienen toestemmingen dus afzonderlijk te worden verkregen en gedocumenteerd.
nl
Kan mijn koepel niets tegen die AVG doen? Ik betaal contributie genoeg!
Nee dat kan een koepel niet. Als je je verplaatst in de rol van betrokkene (patiënt, werknemer of lid van een vereniging) begrijp je misschien dat ook jouw belangen worden behartigd met deze verordening. Wat zorgkoepels kunnen doen is hun leden informeren en hen er van  te overtuigen dat ze er verstandig aan doen op dit punt snel hun verantwoordelijkheid te nemen. Het helpt misschien als je je realiseert dat dat feitelijk al veel eerder had moeten gebeuren.
nl
Mag naast het BSN ook het nummer van een paspoort of rijbewijs worden geregistreerd?
Zorgverleners moeten kunnen aantonen dat aan de identificatieplicht is voldaan. Om dat te doen wordt het het type en het nummer van het identiteitsbewijs in de administratie vastgelegd. Kopie of scan maken  (waarbij alle persoonsgegevens zichtbaar zijn) is niet toegestaan.  Zie ook de site van de Autoriteit Persoonsgegevens.
nl
Mij wordt gemeld dat ik geen kosten (meer) in rekening mag brengen voor het verstrekken van informatie over een patiënt. Is dat juist?
Sinds het van kracht worden van de AVG is er wel wat veranderd. Van belang is wie de informatie opvraagt en hoe (via welk medium) men de informatie wenst. Je kunt op de site van de LHV terecht voor uitvoerige informatie. Nog uitgebreidere informatie tref je in het document Omgaan met medische gegevens van de KNMG
nl
Mijn EPD leverancier stelt dat een verwerkersovereenkomst met hem niet nodig is omdat cliëntgegevens niet in de cloud worden opgeslagen. Klopt dat?
Als verwerkingsverantwoordelijke heb je vastgesteld op welke wijze je persoonsgegevens wilt verwerken. Voor dat doel heb je een overeenkomst gesloten met de EPD leverancier gesloten om die verwerking vorm te geven. Anders gesteld: de EPD leverancier stelt je in staat om persoonsgegevens te verwerken. Op de leverancier rusten dus de verplichtingen als verwerker.
nl
Mijn dossiergegevens staan online. Ik heb mijn zorgverlener zien inloggen met zijn gebruikersnaam en wachtwoord. Dat mag toch niet?
Nee dat mag inderdaad niet. Gegevens over gezondheid zijn “bijzondere” persoonsgegevens. Staan die gegevens online dan moet diegene die toegang zoekt moet iets extra's doen om meer zekerheid te hebben over degene die de gegevens benadert. Bijvoorbeeld door een QR code te scannen, of een code invoeren die via SMS is toegestuurd naar een bekend mobiel nummer. We spreken dan over een ander zekerheidsniveau. In dit geval door middel van 2 factor authenticatie of 2FA. Ga hierover in overleg met uw zorgverlener. Voor meer informatie over zekerheidsniveaus kun je terecht op deze pagina of dit document.
nl
Mijn zorgverlener vraagt om toestemming en zegt dat mijn gegevens anoniem worden verstrekt?
Geanonimiseerde gegevens zijn geen persoonsgegevens. Voor het verstrekken van anonieme gegevens hoeft uw zorgverlener dan ook geen toestemming te vragen. Als dat wel gebeurt, is dat dus met elkaar in tegenspraak. Er zijn echter onderzoeken bekend die met het verstrekken van anonieme gegevens zijn gestart, maar die, door het uitvragen van meer persoonsgegevens inmiddels wel tot een persoon herleidbaar zijn. Daarmee zijn het persoonsgegevens en is wel expliciete toestemming vereist.
nl
Moet een behandelingsovereenkomst schriftelijk worden aangegaan?
De Wet Geneeskundige Behandelingsovereenkomst (WGBO) is de wettelijke basis om (bijzondere) persoonsgegevens vast te leggen. De vorm is vrij. Hij hoeft dus niet schriftelijk te worden aangegaan. De WGBO verlangt dossiervoering en daarvoor is geen toestemming vereist. Samenvattend: de AVG verandert niets aan de bestaande situatie waarin de WGBO de basis vormt. De bijzondere omstandigheden die gelden voor minderjarigenen wilsonbekwame personen golden reeds voordat de AVG van toepassing werd en gelden dus nog steeds.

Zie voor details de huidige WGBO (Wet Geneeskundige Behandelingsovereenkomst)
nl
Moet een privacyverklaring echt zo formeel zijn?
Nee natuurlijk niet. Als er maar in staat wat er in staan moet. En als bijzondere persoonsgegevens, zoals gegevens over de gezondheid en een BSN worden geregistreerd is dat meer dan als dat niet het geval is. Maar een privacyverklaring heeft echt niet formeel te zijn. Als je eens op zoek gaat tref je soms zeer toegankelijke en inspirerende verklaringen. Zoals deze van een theatergezelschap die me onlangs werd toegespeeld door een collega en waarnaar ik ter inspiratie graag verwijs.
nl
Moet een verwerker ook aantoonbaar voldoen aan de AVG?
Jazeker. Voor een verwerker gelden dezelfde plichten als voor een verwerkingsverantwoordelijke.
nl
Moet ik als voormalig zorgverlener iets met AVG doen? Er worden in geen gegevens meer uitgewisseld, wel bewaard.
Dat er geen (in dit geval bijzondere) persoonsgegevens worden uitgewisseld doet niets af aan het feit dat je deze in beheer hebt. Ik zou me goed kunnen voorstellen dat in jouw situatie de maatregelen om de risico's te minimaliseren van beperkte omvang kunnen zijn, maar het antwoord is JA. Je hebt inderdaad de plicht om de passende technische en organisatorische maatregelen te nemen die van jou als verwerkingsverantwoordelijke verwacht worden om te kunnen waarborgen (en aantonen) dat aan de AVG wordt voldaan. Iets anders geformuleerd klinkt het misschien iets vriendelijker: je voormalig patiënten moeten er op kunnen vertrouwen dat hun (bijzondere) persoonsgegevens nog steeds veilig bij je zijn.
nl
Moet ik als zorgverlener een verwerkersovereenkomst sluiten met een zorgverzekeraar?
Nee. Het is niet nodig om een verwerkersovereenkomst met een zorgverzekeraar te sluiten. Het wettelijk kader dat toeziet op de interacties met een zorgverzekeraar is de Zorgverzekeringswet.
nl
Moet ik als zorgverlener met alle zorgverleners waarmee ik samenwerk een verwerkersovereenkomst afsluiten?
Nee. Een verwerkersovereenkomst sluit je met een persoon of organisatie die ten behoeve van jou (als de verwerkingsverantwoordelijke) persoonsgegevens verwerkt. Daarvan is geen sprake. De WGBO (Wet Geneeskundige Behandelingsovereenkomst) ziet toe op de samenwerking met iedere professional die een behandelrelatie heeft met de betreffende patiënt. De AVG verandert daar niets aan.
nl
Moet ik de medewerkers die ik in dienst heb i.v.m. de AVG een toestemmingsverklaring laten tekenen voor de verwerking van hun persoonsgegevens?
Als werkgever ben je wettelijk verplicht om persoonsgegevens te verwerken. Daarmee is die verwerking rechtmatig (Artikel 6) en is geen aparte toestemmingsverklaring nodig.
nl
Moet ik de privacyverklaring door cliënten laten ondertekenen?
Om achteraf onduidelijkheid te voorkomen, kan er voor worden gekozen om de cliënt schriftelijk te laten verklaren dat kennis is genomen van de privacyverklaring, dat de inhoud daarvan duidelijk is en dat men daarmee akkoord gaat. Feitelijk dus een bevestiging dat sprake is van informed consent. Het ondertekenen van een dergelijke verklaring is echter niet verplicht.
nl
Moet ik met elke leverancier die ik heb een overeenkomst opstellen?
Als je doelt op leveranciers die een rol vervullen bij de verwerking van persoonsgegevens is het antwoord JA. Die overeenkomst is nodig om je in staat te stellen aantoonbaar te voldoen aan de AVG. De AVG gaat in artikel 28.4 zelfs expliciet in op de inhoud van de overeen te komen afspraken.
nl
Moet ik nu, als gevolg van de AVG aan beide ouders toestemming vragen voor de behandeling van minderjarige kinderen?
De AVG verandert niets aan de bestaande situatie waarin de WGBO de basis vormt. Zie dit document op de site van de KNMG. Zie in dit verband ook deze vraag
nl
Moet ik reeds bestaande relaties (cliënten, medewerkers, leden) informeren?
Ja. Alle relaties waarvan u reeds persoonsgegevens hebt geregistreerd dient u te informeren. Dat kan door hen te verwijzen naar een privacyverklaring op de site. Om onduidelijkheid of problemen achteraf te voorkomen is het verstandig om vast te leggen dat men

 	is geïnformeerd
 	de inhoud van de verklaring heeft begrepen
 	en daarmee akkoord is gegaan
nl
Moet ik vastleggen dat mijn patiënten zich akkoord hebben verklaard voor de uitwisseling met hun (verwijzend) huisarts?
Op de site van de AVG Helpdesk Zorg, Welzijn en Sport wordt uitvoerig op het onderwerp toestemming ingegaan.
nl
Moet mijn zorgverlener mijn gegevens wissen als ik daarom vraag?
Hoewel artikel 17 van de AVG stelt dat een betrokkene dat van een verwerkingsverantwoordelijke mag verlangen (en dat de laatste daartoe verplicht is), geldt die verplichting niet onder alle omstandigheden. Artikel 17 lid 3 beschrijft dat het "recht op vergetelheid" niet van toepassing is als sprake is van een algemeen belang op het gebied van de volksgezondheid.

Dat algemeen belang wordt onder meer beschreven in Artikel 9 lid 2h: "de verwerking is noodzakelijk voor doeleinden van preventieve of arbeidsgeneeskunde, voor de beoordeling van arbeidsgeschiktheid van de werknemer, medische diagnosen, het verstrekken van gezondheidszorg

Op de site van de Autoriteit Persoonsgegevens wordt vermeld wanneer en hoe u een organisatie kunt vragen om uw persoonsgegevens te wissen en wanneer u dat recht niet kunt uitoefenen.

Zie in dit verband ook artikel 455 van de WGBO (Wet Geneeskundige Behandelingsovereenkomst)
nl
Moeten wij bij patiënten onder de 18 jaar een schriftelijke toestemming laten ondertekenen?
De AVG verandert niets aan de bestaande regels van de WGBO (Wet Geneeskundige Behandelingsovereenkomst). Bestaande regels voor minderjarigen blijven dus gewoon van toepassing.
nl
Moeten wij een verwerkersovereenkomst sluiten met onze accountant?
Dat hangt af van de opdracht. Maar daar zal de accountant je ook over kunnen informeren. Als hij de salarisadministratie verzorgt, vervult hij die rol als verwerker en moet je dus inderdaad een verwerkersovereenkomst te sluiten.  Meer informatie tref je op de site van de Koninklijke Nederlandse Beroepsorganisatie van Accountants
nl
Mogen.... moeten wij, nu de AVG van kracht is, dit of dat (nog) doen?
Er worden veel vragen gesteld die beginnen met het werkwoord “mogen” of “moeten“. Dus: Mogen … moeten wij, nu de AVG van kracht is, dit of dat (nog) doen? Misschien goed om je te realiseren dat  je veelal niet echt iemand anders nodig hebt om antwoord op vragen te krijgen als je jezelf consequent de volgende vragen voorlegt:

 	Is sprake van een rechtmatige verwerking?
 	Beschik ik over de expliciete toestemming van betrokkene(n) als dat wordt verlangd?  
 	Bestaan (of ontstaan) voor een betrokkene (patiënt, medewerker of lid) vermijdbare risico’s bij deze handeling of verwerking?
 	Heb ik voldoende inzicht in de eventuele gevolgen voor de betrokkene(n) en mijn organisatie?
 	Als het antwoord op vraag 3 JA luidt, kan/wil ik (ook ethisch gezien!) de betrokkene(n) en mijn organisatie aan die risico's blootstellen?
 	Ben ik ook bereid om de daaruit eventueel voortvloeiende consequenties (boetes, reputatie- of imagoschade) te aanvaarden?
nl
Over het aanstellen van een FG lees ik op de site van de Landelijke Huisartsen Vereniging iets anders dan wat jij beweert en wat ik op de site van de toezichthouder aantref. Hoe zit het nu?
Je doelt waarschijnlijk op het juridisch advies in dit bericht. Dat is inderdaad een verrassende stellingname. Verrassend omdat in het eerste deel van de tekst de focus wordt gelegd op een externe begrenzing. Daarmee wordt, wellicht onbedoeld, een belangentegenstelling gecreëerd. 
In het licht van de bedoeling van de AVG is dat niet verstandig.

Gelukkig wordt die belangentegenstelling in het laatste deel van de tekst genuanceerd door te benadrukken dat het belangrijk is dat iedere huisarts zelf zijn eigen professionele afweging dient te maken. Waarbij een appèl wordt gedaan op de eigen verantwoordelijkheid van de professional die er toe moet leiden dat niet het systeem maar de bedoeling leidend is. Dat heet Anders vasthouden.
nl
Waar vind ik de NEN normen?
De NEN 75* normen (van belang voor artikel 32 van de AVG) kun je gratis downloaden via de NEN normshop.
nl
Waarom is e-mail niet veilig voor uitwisseling met patiënten?
Tenzij extra maatregelen worden genomen zoals end-to-end encryptie kunnen onbevoegden kennis nemen van de inhoud van een bericht. Daarnaast is op mailservers zonder moeite na te gaan wie met wie communiceert. Om dit te voorkomen dient voor een verantwoorde en veilige uitwisseling gebruik te worden gemaakt van een omgeving die specifiek is ingericht voor veilige overdracht van vertrouwelijke gegevens. Binnen MedMij worden daarvoor de randvoorwaarden in kaart gebracht en wordt getest in proefomgevingen die voldoen aan de in de AVG gestelde randvoorwaarden. Ook heeft het Informatieberaad zorg het onderwerp 'Veilige mail' geadresseerd en tenslotte is het Ministerie van BZK bezig het het vinden van een alternatief voor DIGID als digitaal paspoort.
nl
Waarom is het hebben van een goede verwerkersovereenkomst zo belangrijk?
Artikel 28.3 (2e afbeelding op deze pagina) schrijft voor wat er in de bewerkersovereenkomst dient te zijn opgenomen. Het hebben van een goede verwerkersovereenkomst maakt onderdeel uit van de door de verwerkingsverantwoordelijke te treffen organisatorische maatregelen. Komt er geen verwerkersovereenkomst tot stand die voldoet aan de eisen die de AVG daaraan stelt, dan voldoe je niet aan de AVG en ben je strafbaar als je de persoonsgegevens verwerkt.
nl
Waarom is mijn SSL certificaat duurder dan dat van een collega?
Dat kan samenhangen met het type certificaat. Als je constateert dat je praktijknaam zichtbaar is, is het certificaat duurder dan wanneer je de praktijknaam niet ziet. Als het hetzelfde type certificaat is, zou ik die vraag in ieder geval aan de partij stellen die de site host.  Zie voor meer uitleg over de verschillen deze pagina van TransIP
nl
Wat is een PIA of DPIA?
Als verwerkingsverantwoordelijke heb je de wettelijke plicht om persoonsgegevens te beveiligen. Nadat je de verwerkingen in kaart hebt gebracht (zie 2e sheet op deze pagina)  is de volgende stap om vast te stellen aan welke eventuele risico's de gegevens worden blootgesteld (of zouden kunnen worden blootgesteld) en welke beveiligingsmaatregelen genomen moeten worden om ze tegen die risico's te beschermen. Een PIA (Privacy Impact Assessment) of ook wel Data Protection Impact Assessment genoemd brengt die risico's op een gestructureerde wijze in kaart. De norm voor informatiebeveiliging NEN7510 (die sinds juni 2009 verplicht is) helpt je daarbij.  Aanvullende informatie tref je op de site van de Autoriteit Persoonsgegevens.
nl
Wat is een zekerheidsniveau?
De term zekerheidsniveau heeft te maken met de zekerheid over iemands identiteit. Ook wordt wel de term betrouwbaarheidsniveau gehanteerd. Als iemand via een netwerk toegang wordt gegeven tot persoonsgegevens is het van belang om zeker te stellen dat alleen diegene toegang heeft die daartoe bevoegd is. Technologische ontwikkelingen, toenemende risico's en de toenemende gevolgschade, zorgen voor een evolutie, waardoor de eenvoudige combinatie van een gebruikersnaam en wachtwoord (niveau 1. basis) is vervangen door het scannen van een QR-code en invoer van een pincode (bij gebruik van een app) of met een sms bericht naar een geverifieerde mobiele telefoon (niveau 2. midden) wat ook wel 2 factor authenticatie of 2FA wordt genoemd.

Dat was voldoende voor de toegang tot medische gegevens, maar inmiddels volstaat ook dat niet meer en wordt feitelijk het hoogste niveau, niveau 4. hoog verlangd. Klik hier voor een overzicht met voorbeelden van vereiste betrouwbaarheidsniveau's bij een aantal verschillende diensten.

Omdat de daarvoor noodzakelijke middelen nog niet grootschalig en gebruiksvriendelijk voor handen zijn - en er bovendien een ander systeem (Idensys) is ontwikkeld - volstaat voorlopig nog niveau 2 (dus 2 FA) voor de toegang tot bijzondere persoonsgegevens zoals gegevens over gezondheid. Zie deze pagina voor meer informatie.
nl
Wat is het verschil tussen zekerheidsniveau en betrouwbaarheidsniveau?
Geen. Met zekerheidsniveau en betrouwbaarheidsniveau wordt hetzelfde bedoeld.
nl
Wat is twee factor authenticatie of 2FA?
Twee factor authenticatie, ook wel 2FA genoemd is een manier om meer zekerheid te krijgen over de identiteit van iemand die toegang zoekt tot een omgeving met vertrouwelijke gegevens. Het is een uitbreiding van het gebruik van gebruikersnaam en wachtwoord. 2FA is wettelijk verplicht als vertrouwelijke gegevens (zoals een zorgdossier) online staan. Er zijn verschillende oplossingen (zekerheidsniveau's) om de mate waarin die zekerheid is gewenst (over iemands elektronische identiteit) te borgen. Zie meer uitleg op deze thema pagina en eventueel aanvullende informatie op deze pagina.
nl
Wat moet een FG weten en kunnen?
Op de site van de Autoriteit Persoonsgegevens wordt aangegeven wat de competenties (dienen te) zijn van een Functionaris voor de Gegevensbescherming, onder welke condities deze zijn werkzaamheden moet kunnen vervullen en wordt de onafhankelijke rol van een FG benadrukt.
nl
Wat moet er in een privacyverklaring staan?
In Artikel 13 van de AVG wordt aangegeven wat in een privacyverklaring dient te zijn opgenomen.  Zie het overzicht op deze pagina. Die verklaring bevat veel elementen uit het verwerkingsregister (Artikel 30). Er is een gratis tool beschikbaar om deze samen te stellen.
nl
Wat moet er in een verwerkingsregister staan?
In artikel 30 van de AVG staat wat er in het "Register van de verwerkingsactiviteiten" moet staan. Als de toezichthouder (Autoriteit Persoonsgegevens) daarom verzoekt dient die te worden overlegd. Veel van de inhoud kun je overigens gebruiken voor de privacyverklaring.
nl
Wat moet ik invullen bij vraag 3 (verplichting FG) van de regelhulp AVG?
Vraag 3 van de Regelhulp AVG   luidt:

3. Heeft u een functionaris gegevensbescherming nodig?
Onder de AVG kunt u verplicht zijn om een functionaris voor de gegevensbescherming (FG) aan te stellen. Dit is iemand die binnen uw organisatie toezicht houdt op de toepassing en naleving van de AVG. Als u één of meerdere van onderstaande vragen met ‘ja’ beantwoordt, bent u in elk geval verplicht om een FG aan te stellen.


Verwerkt u bijzondere en/of strafrechtelijke persoonsgegevens op grote schaal en is dit een kernactiviteit van uw organisatie? 

Als zorgverlener verwerkt u bijzondere persoonsgegevens. Echter is onduidelijk wat met "op grote schaal" wordt bedoeld. Verwijzend naar een andere vraag moet ik het antwoord (nog) schuldig blijven.

Update: zie de meest recente berichtgeving over het begrip 'grootschaligheid' van de Autoriteit Persoonsgegevens.
nl
Zijn mijn medewerkers ook verwerkingsverantwoordelijke?
Medewerkers hebben uiteraard hun eigen verantwoordelijkheid om de privacy van betrokkenen te borgen, maar het management van de organisatie waar men werkzaam is, heeft de rol van verwerkingsverantwoordelijke. In hoofdstuk 7  van de NEN7510 (deel II Beheersmaatregelen) in een maatregel (7.2.2) opgenomen om medewerkers passende bewustzijnsopleiding en training te geven. In het kader van de AVG en voor een betrokkene of toezichthouder dient echter helder te zijn wie de eindverantwoordelijke is. Die wordt ook genoemd in de privacyverklaring.
nl
Zoveel informatie ... wat heeft prioriteit? Is er niet een kort lijstje?
Wellicht biedt dit lijstje met verwijzingen uitkomst?

Zo niet ... laat het me dan gerust even weten.
nl