Persoonsgegevens bij Magis
Uw privacy is voor Magis van groot belang. Wij houden ons dan ook aan de Algemene Verordening Gegevensbescherming, waarin is geregeld hoe met uw persoonsgegevens moet worden omgegaan. Hierin staat ook dat wij moeten kunnen aantonen dat wij ons aan de wet houden. Wij hebben de privacy van onze cliënten, medewerkers en anderen hoog in het vaandel staan. In dit reglement hebben wij de verplichtingen van Magis en de rechten van onze cliënten (of hun vertegenwoordigers) beschreven.
1. Begrippen
In dit reglement worden de volgende begrippen gebruikt.
- Persoonsgegevens: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon.
- Bijzondere persoonsgegevens: persoonsgegevens die door de AVG als bijzondere categorie worden aangemerkt, waaronder gegevens over gezondheid.
- Verwerken: elke bewerking met betrekking tot persoonsgegevens, zoals verzamelen, vastleggen, raadplegen, gebruiken, verstrekken en verwijderen.
- U: de cliënt die zorg of begeleiding ontvangt van Magis.
- Vertegenwoordiger: degene die op grond van de wet of een schriftelijke volmacht namens u handelt (zie paragraaf 11).
- Magis: Magis Zorggroep B.V., de zorgaanbieder die dit reglement hanteert en in beginsel verwerkingsverantwoordelijke is.
2. Toepassingsbereik en doel
Dit reglement is van toepassing op de verwerking van persoonsgegevens door Magis, zowel op papier als digitaal. Het reglement beschrijft welke persoonsgegevens Magis verwerkt, voor welke doelen dit gebeurt, met wie gegevens kunnen worden gedeeld, hoe Magis gegevens beveiligt en welke rechten u heeft. Dit reglement ziet in het bijzonder op persoonsgegevens van u en, voor zover relevant, van uw vertegenwoordiger, contactpersonen, partner en/of familieleden en (huis)artsen of andere behandelaren.
3. Verwerkingsverantwoordelijke en contact
Magis Zorggroep B.V. is verwerkingsverantwoordelijke voor de persoonsgegevens die zij verwerkt in het kader van de zorg- en dienstverlening, de bedrijfsvoering en het voldoen aan wettelijke verplichtingen.
Contactgegevens Magis:
Zuidelijke Industrieweg 10 A, 8801 JB Franeker
Telefoon: 06-28687707
E-mail: info@magisambulantebegeleiding.nl
Website: www.magisambulantebegeleiding.nl
4. Welke persoonsgegevens verwerkt Magis en waarvoor
Magis verwerkt alleen persoonsgegevens die noodzakelijk zijn voor de zorg- en dienstverlening, uw ondersteuning, de bedrijfsvoering en het voldoen aan wettelijke verplichtingen.
a. Algemene persoonsgegevens en contactgegevens
Magis verwerkt onder meer uw naam, geboortedatum en contactgegevens. Ook kan Magis contactgegevens verwerken van een (wettelijk) vertegenwoordiger of contactpersoon. Daarnaast kan Magis verzekerings- en indicatiegegevens en gegevens over verleende zorgproducten verwerken. Voor zover relevant kan Magis gegevens verwerken over uw sociale netwerk. Deze gegevens gebruikt Magis voor uitvoering van de zorgovereenkomst, communicatie en voor verantwoording en declaratie.
b. Burgerservicenummer (BSN)
Magis kan uw BSN verwerken wanneer dit wettelijk is voorgeschreven, onder meer voor identificatie en voor uitwisseling van gegevens binnen de zorgketen. Het gebruik van het BSN in de zorg is geregeld in de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg en de Wet gebruik burgerservicenummer in de zorg.
c. Gezondheidsgegevens en begeleidingsgegevens
Magis verwerkt gezondheids- en begeleidingsgegevens over u voor het vaststellen, toetsen, volgen en uitvoeren van de individuele zorg- en dienstverlening.
d. Medicatiegegevens
Magis kan gegevens verwerken over voorgeschreven en toegediende medicatie, voor zover dit nodig is voor veilige zorg en verantwoording.
e. Incidenten, kwaliteit en veiligheid
Magis kan gegevens verwerken over incidenten, getroffen maatregelen en eventuele schade, voor kwaliteitsbewaking en het verbeteren van de veiligheid van cliënten en medewerkers.
f. (Seksueel) grensoverschrijdend gedrag of misbruik
Wanneer noodzakelijk voor zorg, nazorg, het voorkomen van herhaling of voor wettelijke verplichtingen, kan Magis gegevens verwerken over de toedracht en de ondernomen acties.
Grondslagen
Magis verwerkt persoonsgegevens op basis van wettelijke grondslagen. Voor gewone persoonsgegevens gaat het meestal om uitvoering van de zorgovereenkomst, wettelijke verplichtingen of een gerechtvaardigd belang (zoals veiligheid en kwaliteitsbewaking). Gezondheidsgegevens en andere bijzondere persoonsgegevens worden alleen verwerkt als de wet dit toestaat, bijvoorbeeld omdat verwerking nodig is voor het verlenen van zorg of begeleiding. Wanneer toestemming nodig is (bijvoorbeeld voor publicatie van foto’s) wordt dit expliciet gevraagd. Toestemming kan altijd worden ingetrokken; intrekking werkt voor de toekomst.
5. Overige (bijzondere) persoonsgegevens
Magis verwerkt in beginsel geen persoonsgegevens over godsdienst of levensovertuiging, seksuele gerichtheid, politieke opvattingen of ras. Als verwerking van dergelijke gegevens aantoonbaar noodzakelijk is voor de zorg of begeleiding, of als een wettelijke uitzondering geldt, kan verwerking toch plaatsvinden. Foto’s worden alleen vastgelegd of gepubliceerd als dit nodig is voor de dienstverlening of als daarvoor uitdrukkelijke toestemming is gegeven. Euthanasieverklaringen en reanimatieverklaringen worden alleen vastgelegd op uw verzoek, voor zover dit passend is binnen het dossier en de zorgverlening. Voor veiligheid kan Magis signaleringsinformatie vastleggen (zoals agressie- of veiligheidsincidenten) wanneer dit noodzakelijk is voor veilige zorg. Daarbij wordt zo min mogelijk vastgelegd en alleen wat relevant is.
6. Hoe verkrijgt Magis de persoonsgegevens
De meeste gegevens ontvangt Magis van u en/of uw vertegenwoordiger bij de start van de zorg en gedurende de zorgverlening. Daarnaast kan Magis, voor zover toegestaan, gegevens ontvangen van andere zorgaanbieders, verwijzers of ketenpartners. Het dossier en/of zorgplan vult zich gedurende de periode dat u bij Magis in zorg bent.
7. Met wie deelt Magis persoonsgegevens
Magis deelt uw persoonsgegevens niet met derden, tenzij dit nodig is voor de zorgverlening, de uitvoering van de zorgovereenkomst, het voldoen aan een wettelijke verplichting of wanneer toestemming is gegeven.
a. Intern gebruik
Intern worden persoonsgegevens alleen gebruikt door medewerkers die deze gegevens nodig hebben voor hun werkzaamheden. Magis richt haar systemen en werkwijze zodanig in dat medewerkers alleen toegang hebben tot gegevens die passen bij hun rol.
b. Delen binnen het zorgteam
Persoonsgegevens kunnen binnen het zorgteam worden gedeeld voor zover dit noodzakelijk is voor uw zorg en begeleiding of voor de organisatie van de zorg.
c. Verplichte doorgifte en wettelijke verplichtingen
Magis kan verplicht zijn gegevens te delen met zorgkantoor, zorgverzekeraar en gemeenten, bijvoorbeeld voor declaraties en verantwoording. In bijzondere situaties kan Magis verplicht zijn gegevens te verstrekken aan andere instanties, bijvoorbeeld op grond van een wettelijke verplichting of een rechterlijke uitspraak.
d. Inschakeling van verwerkers
Magis kan gebruikmaken van software en ICT-diensten van leveranciers. Als leveranciers persoonsgegevens verwerken in opdracht van Magis, sluit Magis een verwerkersovereenkomst met afspraken over beveiliging, geheimhouding en gebruik van persoonsgegevens.
e. Overige doorgifte
Als Magis gegevens wil verstrekken aan anderen, gebeurt dit alleen wanneer daarvoor een grondslag bestaat en, waar nodig, nadat toestemming is verkregen.
f. Doorgifte buiten de Europese Economische Ruimte
Door of namens Magis worden in beginsel geen gegevens verwerkt buiten de Europese Economische Ruimte. Als Magis toch persoonsgegevens doorgeeft naar landen buiten de Europese Economische Ruimte, gebeurt dit alleen wanneer de AVG dit toestaat en wanneer passende waarborgen zijn getroffen.
8. Beveiliging en geheimhouding
Magis neemt passende technische en organisatorische maatregelen om persoonsgegevens te beveiligen tegen verlies, onbevoegde toegang en onrechtmatige verwerking. Maatregelen kunnen onder meer zijn: persoonlijke accounts, tweestapsverificatie waar beschikbaar, logging, versleutelde overdracht waar passend en afgesloten opslag voor papieren dossiers. Iedereen die bij Magis met persoonsgegevens werkt (waaronder medewerkers, vrijwilligers, stagiaires en ingehuurde krachten) heeft een geheimhoudingsplicht. Magis zorgt ervoor dat deze personen passend worden geïnstrueerd over de omgang met persoonsgegevens.
9. Bewaartermijnen
Magis bewaart persoonsgegevens niet langer dan noodzakelijk is voor het doel waarvoor de gegevens zijn verzameld, tenzij een langere bewaartermijn voortvloeit uit een wettelijke verplichting of uit de zorg van een goed hulpverlener. Uw dossier: Magis hanteert een bewaartermijn van minimaal 20 jaar, te rekenen vanaf de laatste wijziging in het dossier, tenzij langer bewaren noodzakelijk is. Toedienlijsten en medicatieadministratie: gebruikte toedienlijsten worden in beginsel minimaal twee jaar bewaard. Als langer bewaren redelijkerwijs nodig is (bijvoorbeeld bij incidenten, klachten of lopende procedures), kan langer bewaren passend zijn. Overige gegevens worden verwijderd of vernietigd zodra ze niet meer nodig zijn, tenzij ook daarvoor een wettelijke bewaarplicht geldt.
10. Uw rechten
Op grond van de AVG heeft u verschillende rechten. Het gaat onder meer om het recht op inzage, rectificatie en aanvulling, het recht op wissing van persoonsgegevens, het recht op beperking van de verwerking, het recht op gegevensoverdraagbaarheid en het recht van bezwaar. Magis beoordeelt ieder verzoek zorgvuldig en kan een verzoek (gedeeltelijk) weigeren wanneer dit is toegestaan, bijvoorbeeld ter bescherming van de rechten en vrijheden van anderen of vanwege wettelijke bewaarplichten. U kunt uw verzoek indienen via de contactpunt privacy (zie paragraaf 3).
Magis reageert in beginsel binnen één maand na ontvangst van uw verzoek. Als uw verzoek complex is of als er meerdere verzoeken zijn, kan deze termijn met maximaal twee maanden worden verlengd. In dat geval ontvangt u binnen één maand bericht. Bij inzage verstrekt Magis in beginsel kosteloos een eerste kopie van de persoonsgegevens waarop uw verzoek betrekking heeft. Voor extra kopieën kan Magis een redelijke vergoeding vragen. Magis kan vragen om legitimatie of aanvullende verificatie om te voorkomen dat gegevens aan de verkeerde persoon worden verstrekt.
11. Vertegenwoordiging
Als u niet in staat of bevoegd bent om zelfstandig uw rechten uit te oefenen, handelt uw vertegenwoordiger namens u volgens de wettelijke regels. Magis kan vragen om bewijs van vertegenwoordiging (bijvoorbeeld gezag, een beschikking of een schriftelijke volmacht). Als u 18 jaar of ouder bent en niet in staat kan worden geacht tot een redelijke waardering van uw belangen, treedt als vertegenwoordiger op, in de volgende volgorde.
- de curator of mentor (indien een maatregel is ingesteld);
- de persoonlijk gemachtigde (schriftelijk aangewezen);
- de echtgenoot, geregistreerd partner of andere levensgezel;
- een ouder, kind, broer of zus, grootouder of kleinkind.
De vertegenwoordiger betracht de zorg van een goed vertegenwoordiger en betrekt u zoveel mogelijk bij beslissingen.
12. Datalekken en meldplicht
Een datalek is een inbreuk op de beveiliging die leidt tot vernietiging, verlies, wijziging, ongeoorloofde verstrekking van of ongeoorloofde toegang tot persoonsgegevens. Als Magis een datalek constateert, neemt Magis direct maatregelen om het datalek te stoppen en de gevolgen te beperken. Magis registreert ieder datalek in een intern datalekregister. Als melding bij de Autoriteit Persoonsgegevens verplicht is, doet Magis dit zonder onredelijke vertraging en, waar mogelijk, uiterlijk binnen 72 uur. Een melding blijft achterwege als het niet waarschijnlijk is dat het datalek een risico inhoudt voor uw rechten en vrijheden. Als het datalek waarschijnlijk een hoog risico inhoudt, informeert Magis u onverwijld. Magis heeft een Datalek protocol opgesteld waarin een en ander verder is uitgewerkt.
13. Klachten
Als u vindt dat Magis niet op de juiste manier omgaat met uw persoonsgegevens, kunt u contact opnemen met de contactpunt privacy (zie paragraaf 3). Ook kunt u een klacht indienen via de klachtenregeling van Magis, zoals vermeld op de website. Daarnaast heeft u het recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens.
14. Wijzigingen en inzage
Magis kan dit reglement aanpassen wanneer wet- en regelgeving of de werkwijze daarom vraagt. De meest recente versie wordt gepubliceerd op de website van Magis: https://www.magisambulantebegeleiding.nl/. Op verzoek kan een papieren versie worden verstrekt.
Privacyreglement Magis, juli 2026
BIJLAGE: DATALEK-PROTOCOL 1
Bij een datalek geldt het volgende protocol:
- Zorg voor overzicht op de situatie.
- Neem onmiddellijk maatregelen om het datalek te stoppen en de schade van het datalek te beperken. Schat daarbij ook de risico's in.
- Bepaal of het datalek wel of niet moet worden gemeld aan de Autoriteit Persoonsgegevens (“AP”). Zo ja, dan doen we dit zo snel mogelijk.
- Bepaal of de betrokkenen wel of niet geïnformeerd moeten worden. Zo ja, dan doen we dit zo snel mogelijk.
- Registreer het datalek in het interne datalekregister.
Een uitwerking van dit protocol is hieronder opgenomen:
Stap 1: Overzicht krijgen bij datalek
De eerste stap bij een datalek is zorgen voor overzicht op de situatie, zodat de juiste vervolgstappen genomen kunnen worden. Daarvoor moet allereerst duidelijk zijn om wat voor soort datalek het gaat.
Zodra bekend is om wat voor soort datalek het gaat, dan helpen de volgende vragen om verder overzicht te krijgen op de situatie:
- Wat is de oorzaak van het datalek?
- Wanneer is het datalek ontstaan? En is het datalek nog steeds gaande?
- Hoe lang na het ontstaan van het datalek is het ontdekt? En hoe is het ontdekt?
- Wat voor soort persoonsgegevens zijn gelekt? Bijvoorbeeld naam, adres, e-mailadres en/of bijzondere persoonsgegevens.
- Hoeveel persoonsgegevens zijn er (bij benadering) gelekt? Om hoeveel personen gaat het?
- Om wat voor groepen mensen gaat het?
- Hoeveel onbevoegden hadden of hebben bij benadering (mogelijk) toegang tot de gelekte persoonsgegevens?
- Is er zicht op wie die onbevoegden zijn? En is het waarschijnlijk dat de onbevoegden kwade bedoelingen hebben met de gegevens? Of gaat het om een bekende, betrouwbare ontvanger?
- Welke maatregelen zijn vooraf getroffen waardoor de gelekte persoonsgegevens (deels) ontoegankelijk zijn voor onbevoegden? Bijvoorbeeld omdat de gegevens versleuteld zijn?
Stap 2: Beperken schadelijke gevolgen datalek
Hoe de gevolgen van een datalek beperkt kunnen worden, hangt volledig af van de situatie. Ten eerste moet het datalek onmiddellijk gestopt worden als het nog bestaat. Daarnaast moeten er maatregelen worden genomen om de negatieve gevolgen te beperken.
1 Bij het opstellen van dit protocol is gebruik gemaakt van de informatie van de Autoriteit Persoonsgegevens over wat te doen bij datalekken.
Voorbeelden van maatregelen om schade bij een datalek te beperken zijn:
- Een laptop, tablet of smartphone op afstand wissen of versleutelen.
- Een gepubliceerd bestand offline halen.
- Een verkeerde ontvanger vragen om een bevestiging dat de gegevens uit een brief of e-mail zijn vernietigd. Hoewel op basis van zo’n bevestiging niet 100% zeker is dat de gegevens gewist zijn, kan het wel worden meegenomen in de risico-inschatting.
- De toegang tot een account of clouddienst op afstand blokkeren.
- Wanneer de verplichting bestaat om de betrokkenen te informeren, dan aangeven wat zij zelf kunnen doen om de schade te beperken.
Diepgaand onderzoek bij complexe datalekken
Soms is er sprake van een complex datalek. Dan is het vaak nodig om een diepgaand digitaal forensisch onderzoek uit te voeren om de ernst en omvang van het lek vast te stellen. En vervolgens te bepalen welke maatregelen genomen moeten worden om de gevolgen van het datalek te beperken en om nieuwe, soortgelijke datalekken te voorkomen. Als er sprake is van een complex datalek, bijvoorbeeld een datalek door ransomware, en binnen de organisatie is niet bekend wat te doen, dan wordt een expert ingeschakeld. Bijvoorbeeld een digitaal forensisch expert.
Stap 3: Melden datalek en informeren betrokkenen
Er kan een verplichting zijn om het datalek binnen 72 uur te melden bij de AP. Ook kan er een verplichting zijn om de betrokkenen te informeren over het datalek. Er moet worden beoordeeld of dit het geval is, zie daarvoor de handleiding van de AP op hun website.
Stap 4: Registreren datalek in datalekregister
Volgens de AVG is het opstellen en bijhouden van een datalekregister verplicht. Hierin wordt bijgehouden welke datalekken er in de organisatie zijn geweest. In het register moeten alle datalekken worden vastleggen die zich binnen de organisatie hebben afgespeeld. Ook de datalekken die niet aan de AP zijn gemeld. Het doel van het datalekregister is dat de organisatie (i) leert van eerdere datalekken en bewust is van datalekken die in het verleden hebben plaatsgevonden, (ii) effectieve maatregelen neemt om de kans op nieuwe, soortgelijke datalekken te verminderen en (iii) met het datalekregister aan de AP kan laten zien dat de organisatie zich houdt aan de meldplicht datalekken.
Vorm en inhoud datalekregister
Er is geen eis aan de vorm van het register, zolang het maar de wettelijk verplichte informatie bevat. Over elk datalek wordt ten minste de volgende informatie vermeld: (i) de feiten over het datalek, zoals de oorzaak, wat er precies is gebeurd en om welke persoonsgegeven het gaat, (ii) de gevolgen van het datalek en (iii) de corrigerende maatregelen die zijn genomen. De datalekregistratie wordt meegenomen bij de organisatiebeoordeling die jaarlijks plaatsvindt, om zo als onderdeel van een 'plan-do-check-act'-cyclus te worden gebruikt om te leren van fouten.
