De NZa en uw privacy
Als toezichthouder hebben we volgens de Wet marktordening gezondheidszorg (Wmg) de taak om goed werkende zorgmarkten te maken en te bewaken. We houden daarvoor toezicht op het gedrag van zorgaanbieders en zorgverzekeraars. We kijken of zij zich aan de wet houden. Waar dat nodig is stellen we regels op en bepalen we de budgetten en tarieven. Ook stellen we de voorwaarden op voor marktwerking in de zorg.
Om deze taken uit te kunnen voeren hebben wij persoonsgegevens nodig. Die zijn een belangrijke voorwaarde voor het ontwikkelen van ons beleid en het uitvoeren van ons toezicht. Bij het verwerken van deze gegevens hebben we privacy hoog in het vaandel staan. We verwerken persoonsgegevens op een rechtmatige, behoorlijke en transparante manier. We houden ons daarbij aan de wetten en regels die daar voor zijn.
Uw persoonsgegevens
In deze privacyverklaring van de NZa leest u wat voor persoonsgegevens wij verwerken en wat uw rechten zijn als we gegevens over u hebben. Op de website van de Autoriteit Persoonsgegevens leest u meer over wat persoonsgegevens zijn.
Welke persoonsgegevens verwerkt de NZa?
Informatie voor het doen van onze wettelijke taken
Om onze taken als toezichthouder te kunnen uitvoeren, moeten we bijvoorbeeld kunnen zien welke behandelingen een zorgaanbieder heeft gegeven. Ook moeten we soms weten welk bedrag hiervoor aan de patiënt in rekening is gebracht. Of hoe lang de wachttijd voor een behandeling was. We krijgen die informatie onder andere van overheidsorganisaties, zorgaanbieders en verzekeraars.
Voor ons werk hoeven we in de meeste gevallen niet te weten dat het om uw gegevens gaat. Dit heeft ook onze voorkeur. Uw gegevens zijn daarom gepseudonimiseerd voordat we deze ontvangen. We kunnen daardoor niet meer zien over wie de gegevens gaan. Dit pseudonimiseren gebeurt twee keer. Eerst door de organisatie die de gegevens aanlevert, bijvoorbeeld het ziekenhuis. Daarna doet een onafhankelijke organisatie dit nog een keer. Pas na die twee stappen ontvangt de NZa de gegevens en mogen onze medewerkers deze gebruiken.
In sommige gevallen kunnen we wel zien dat de gegevens over u gaan. Dat is dan nodig om onze wettelijke taken uit te kunnen voeren. Voorbeelden hiervan zijn:
- als u een vraag aan ons stelt of een misstand bij ons meldt. Om u te helpen hebben we dan mogelijk informatie nodig over welke behandeling u van de zorgaanbieder kreeg of bijvoorbeeld informatie over uw zorgverzekering. U beslist daarbij zelf welke informatie u aan ons geeft;
- als een organisatie in de zorg zich mogelijk niet aan de regels houdt en we daar onderzoek naar doen. Soms moeten we daarvoor kijken in bijvoorbeeld informatie over de zorg die in rekening is gebracht, de boekhouding of andere systemen van die organisatie;
- wanneer we wetenschappelijk onderzoek doen. We werken dan alleen tijdens het onderzoek met de gegevens, en liefst met zo min mogelijk. Ook is in de resultaten van het onderzoek nooit te zien om welke individuele personen het gaat.
We maken geen gebruik van geautomatiseerde besluitvorming (profiling). We gebruiken databestanden dus niet om automatische beslissingen te nemen die gevolgen hebben voor individuele personen.
In alle gevallen krijgt een NZa-medewerker alleen die gegevens die nodig zijn voor het onderzoek waar hij of zij aan werkt. En dan ook alleen zolang de vraag in behandeling is of het onderzoek loopt. Daarna hebben we geen toegang meer.
Contactgegevens
In ons contact met u en met organisaties gebruiken we vaak contactgegevens. Denk hierbij aan gegevens zoals naam, adres en e-mailadres en wat u met ons besproken heeft. De NZa kan deze persoonsgegevens verwerken en opslaan, bijvoorbeeld:
- als u een vraag stelt of een verzoek aan ons doet. Bijvoorbeeld in een brief, e-mail, via de website of telefonisch. Met deze gegevens kunnen wij contact met u opnemen om uw vraag te beantwoorden. Ook houden we u op de hoogte over de voortgang van uw verzoek;
- als u met onze voorlichters belt. We kunnen dit gesprek dan opnemen om de kwaliteit van de dienstverlening te meten en voor het opleiden en coachen van onze voorlichters. U kunt voor het gesprek aangeven of u daar aan mee wilt werken. En u kunt uw toestemming voor een opname ook naderhand intrekken.
- wanneer u een abonnement heeft op één van onze nieuwsbrieven, informatie van ons per post wil ontvangen. Wij gebruiken uw contactgegevens niet om u andere informatie toe te zenden. Ook delen wij uw gegevens niet zonder uw toestemming met andere organisaties;
- om met u te overleggen over bijvoorbeeld onze adviezen en besluiten, wanneer u daar belang bij heeft. We praten daarvoor met vakspecialisten en mensen met relevante ervaring in de zorg.
Met wie delen wij persoonsgegevens?
In een aantal gevallen mag de NZa gegevens uitwisselen met andere (overheids)organisaties. Soms zijn we dit zelfs verplicht. We wisselen alleen gegevens uit met organisaties waarvan in wetten en regels staat dat dit mag. We bekijken dan elke keer of de gegevens ook echt nodig zijn voor wat die organisatie ermee wil doen. En we delen dan alleen precies die informatie die nodig is en die we mogen geven. Wij leveren geen persoonsgegevens aan internationale organisaties of aan landen buiten de Europese Unie.
Staat nergens in de wet of in regels dat een organisatie van de NZa persoonsgegevens mag krijgen? Dan geven we geen persoonsgegevens aan die organisatie.
Hoe gaat de NZa om met persoonsgegevens?
Goed omgaan met persoonsgegevens is een belangrijke voorwaarde voor ons dagelijks werk. We zorgen er daarom voor dat:
- we alleen persoonsgegevens gebruiken als dat noodzakelijk is voor de taken die we volgens de wet hebben. We gebruiken dan alleen gegevens die we volgens wetten en regels ook mogen verwerken. Van elke verzameling van persoonsgegevens bekijken we waarom we deze gegevens bijhouden. We controleren dan of dit aansluit bij onze taken. Wanneer mogelijk gebruiken we minder of zelfs geen gegevens over personen;
- we van tevoren onderzoeken wat de privacyrisico’s zijn van de te verwerken persoonsgegevens. Daarna nemen we maatregelen om de risico’s zo klein mogelijk te maken. Die beoordeling vooraf en de maatregelen zijn binnen de NZa een verplichte voorwaarde om persoonsgegevens te mogen verwerken;
- we de persoonsgegevens passend beveiligen. Daarbij houden we ons in elk geval aan de regels en standaarden van de rijksoverheid voor informatiebeveiliging. Waar nodig maken we afspraken over de beveiliging van persoonsgegevens met organisaties zoals onze softwareleveranciers en datacentra. En we controleren ook of ze zich aan deze afspraken houden;
- we persoonsgegevens vertrouwelijk behandelen. Alleen medewerkers die de gegevens nodig hebben voor hun werk, krijgen toegang. Al onze medewerkers tekenen daarnaast een geheimhoudingsverklaring en moeten een verklaring omtrent gedrag (VOG) overleggen;
- we persoonsgegevens nooit langer bewaren dan nodig is. Daarbij kijken we naar waarom we de gegevens nodig hebben. Ook bekijken we hoe lang we de gegevens van de wet mogen gebruiken of moeten bewaren. Daarna vernietigen we deze gegevens.
Uw rechten
Op basis van de Algemene Verordening Gegevensbescherming (AVG) heeft u een aantal rechten. Per geval kan verschillen wat er mogelijk is. U mag:
- om toelichting vragen over de persoonsgegevens die we over u verwerken;
- de persoonsgegevens bekijken die we over u hebben;
- vragen om aanpassing of om het verwijderen van uw gegevens;
- vragen dat we tijdelijk stoppen met het bijhouden van uw gegevens;
- uw gegevens door ons over laten dragen aan een andere organisatie;
- vragen dat we geen automatische besluiten nemen op basis van wat we over u weten;
- bezwaar maken tegen de verwerking van uw persoonsgegevens door ons.
Meer over uw rechten vindt u in de uitleg over de rechten van betrokkenen van de Autoriteit Persoonsgegevens. Wilt u gebruik maken van de rechten hierboven? Dan moeten wij daar volgens de wet aan meewerken. Toch zijn er gevallen waarin we dat niet kunnen doen. Daarvoor zijn een aantal uitzonderingen in de AVG. We toetsen elk verzoek aan de wetten en regels die daar voor zijn, zoals de AVG.
Heeft u vragen?
Wilt u meer weten over de manier waarop wij met persoonsgegevens omgaan? Of ons een verzoek doen over uw persoonsgegevens? Wij helpen u graag verder. U kunt contact opnemen met ons via info@nza.nl of op werkdagen bellen met 088 - 770 8 770 (lokaal tarief).
De NZa heeft ook een functionaris voor de gegevensbescherming (FG). Die controleert onafhankelijk of we ons houden aan de regels in de AVG. U kunt onze FG bereiken via fg@nza.nl of per post: NZa, tav De Functionaris voor de Gegevensbescherming, Postbus 3017, 3502 GA in Utrecht. U kunt ook altijd contact opnemen met de Autoriteit Persoonsgegevens.