Dit privacybeleid beschrijft hoe Rainbow Care & Coaching persoonsgegevens verwerkt conform de Algemene Verordening Gegevensbescherming (AVG).

Wettelijke rangorde: Dwingendrechtelijke wettelijke bepalingen prevaleren boven dit beleid. Contractuele afspraken laten de rechten van betrokkenen onder de AVG onverlet.

1. VOOR WIE GELDT DIT BELEID?

Dit beleid is van toepassing op:

• Kinderen die zorg- en ondersteuningsdiensten ontvangen
• Ouders of wettelijke vertegenwoordigers van ingeschreven kinderen
• Werknemers, opdrachtnemers en partners van Rainbow Care & Coaching

2. DOELEINDEN VAN GEGEVENSVERWERKING

Rainbow Care & Coaching verwerkt persoonsgegevens en bijzondere persoonsgegevens voor de volgende doeleinden:

• Het leveren van therapeutische, gedragsmatige en ontwikkelingsgerichte zorg
• Naleving van Nederlandse en Europese wetgeving (UAVG, AVG, WGBO, Wkkgz)
• Interne administratie en facturatie
• Communicatie met ouders of wettelijke vertegenwoordigers
• Waarborgen van de veiligheid van kwetsbare kinderen door middel van toezicht en cameratoezicht (zie paragraaf 13)
• Intern gebruik van videobeelden voor therapiereview en coaching van medewerkers, uitsluitend op basis van expliciete toestemming (zie paragraaf 13 en het ouderlijk toestemmingsformulier)

3. RECHTSGRONDEN VOOR VERWERKING

Artikel 6 AVG: Gewone persoonsgegevens

• Art. 6(1)(a) Toestemming: gebruik van beeldmateriaal, samenwerking met derden, intern gebruik van videobeelden voor medewerkerstraining
• Art. 6(1)(b) Uitvoering overeenkomst: leveren van overeengekomen zorgdiensten
• Art. 6(1)(c) Wettelijke verplichting: rapportages aan bevoegde instanties, naleving van controles, meldcodes
• Art. 6(1)(f) Gerechtvaardigd belang: waarborging veiligheid van kinderen, beveiliging zorgomgeving, cameratoezicht

Artikel 9 AVG: Bijzondere persoonsgegevens (gezondheids- en gedragsdata)

• Art. 9(2)(h) verwerking noodzakelijk voor gezondheidszorg door beroepsbeoefenaren met geheimhoudingsplicht (UAVG art. 30)
• Art. 9(2)(b) verwerking noodzakelijk voor sociale bescherming, in samenhang met UAVG
• Art. 9(2)(a) expliciete toestemming voor optionele verwerkingen zoals gebruik van beelden voor training

4. BIJZONDERE CATEGORIEËN PERSOONSGEGEVENS

Rainbow Care & Coaching verwerkt medische of gedragsinformatie indien:

• Expliciete toestemming is verkregen (Art. 9(2)(a))
• Dit noodzakelijk is voor de uitvoering van zorg door beroepsbeoefenaren met een wettelijke geheimhoudingsplicht (Art. 9(2)(h) j° UAVG art. 30)
• Dit bijdraagt aan evidence-based en veilige therapeutische besluitvorming

Een verwerkingsregister conform Art. 30 AVG wordt bijgehouden en is beschikbaar voor de Autoriteit Persoonsgegevens op verzoek.

5. BEWAARTERMIJNEN

• Algemene persoonsgegevens: gedurende de zorgrelatie, aangevuld met wettelijke bewaarplichten
• Medische dossiers: minimaal 20 jaar na beëindiging van de behandeling, of langer indien noodzakelijk voor goede zorgverlening (WGBO art. 7:454, gewijzigd per 1 januari 2020)
• Camerabeelden: maximaal 30 dagen, tenzij bewaring vereist is in het kader van een lopend onderzoek, veiligheidsincident of wettelijke verplichting. In dat geval gelden aparte bewaartermijnen en toegangsrestricties
• Geanonimiseerde gegevens: kunnen langer worden bewaard ten behoeve van onderzoek, planning of statistische doeleinden
• Incidenten, klachten en waarborgingskwesties: kunnen langer worden bewaard ten behoeve van wettelijke verplichtingen, kwaliteitsbewaking of geschilbeslechting

6. GEGEVENSVERSTREKKING AAN DERDEN

Gegevens kunnen worden gedeeld met:

• Zorgprofessionals, therapeuten en gedragsdeskundigen
• Gemeenten, onderwijsinstellingen of overheidsinstanties, indien noodzakelijk op grond van wetgeving of overeenkomst
• IT-dienstverleners waarmee een verwerkersovereenkomst is afgesloten
• De installateur van het camerasysteem (Hi Security Services BV), uitsluitend voor technisch onderhoud op grond van een ondertekende verwerkersovereenkomst

Alle derden zijn contractueel gebonden aan geheimhouding en AVG-conforme verwerking.

Internationale doorgifte: Rainbow Care & Coaching streeft ernaar alle gegevensverwerking binnen de EER te houden. Voor zover IT-systemen of camerasoftware data buiten de EER verwerken of routeren, worden passende waarborgen (Standaardcontractbepalingen of adequaatheidsbesluit) geïmplementeerd en gedocumenteerd. Bij vragen over specifieke doorgifte: [email protected].

7. BEVEILIGINGSMAATREGELEN

• Lokale gegevensopslag met AES-versleuteling (geen cloudopslag)
• Pseudonimisering van gegevens waar technisch haalbaar (Art. 32(1)(a) AVG)
• Toegangsbeheer op basis van rollen en beveiligde inlogprocedures
• Regelmatige controle van toegangslogboeken, ook bij incidenten en veiligheidsgebeurtenissen
• Fysieke beveiliging van apparaten waarop gevoelige gegevens zijn opgeslagen

8. RECHTEN VAN BETROKKENEN

Als ouder, wettelijk vertegenwoordiger of betrokkene heeft u de volgende rechten:

• Inzage (Art. 15): u kunt een kopie van uw persoonsgegevens uit uw cliëntdossier opvragen. Het recht op inzage is uitdrukkelijk niet van toepassing op camerabeelden. Opnames bevatten de persoonsgegevens van meerdere betrokkenen tegelijkertijd, waaronder andere kinderen, medewerkers en bezoekers. Verstrekking van beelden aan een individuele betrokkene zou de rechten en privacy van andere betrokkenen schenden. Op grond van Art. 15(4) AVG en de aard van de verwerking is inzage in camerabeelden uitgesloten, ongeacht de grondslag van het verzoek. Opnames worden uitsluitend vrijgegeven op basis van een gerechtelijk bevel of een formeel verzoek van een bevoegde autoriteit (zie paragraaf 13)
• Rectificatie (Art. 16): u kunt correctie van onjuiste gegevens verzoeken
• Verwijdering (Art. 17): u kunt verwijdering verzoeken van niet-essentiële gegevens, voor zover geen wettelijke bewaarplicht geldt
• Beperking (Art. 18): u kunt bepaalde verwerkingen beperken
• Gegevensoverdraagbaarheid (Art. 20): u kunt uw gegevens in een gestructureerd, gangbaar en machineleesbaar formaat ontvangen, waar van toepassing
• Bezwaar (Art. 21): u kunt bezwaar maken tegen verwerking op basis van gerechtvaardigd belang. Wij beoordelen uw bezwaar en kunnen de verwerking alleen voortzetten op grond van dwingende gerechtvaardigde belangen
• Intrekking van toestemming (Art. 7(3)): u kunt verleende toestemming te allen tijde intrekken, zonder dat dit gevolgen heeft voor de rechtmatigheid van de verwerking vóór intrekking
• Klacht (Art. 77) : u kunt een klacht indienen bij de Autoriteit Persoonsgegevens (www.autoriteitpersoonsgegevens.nl)
• Reactietermijn (Art. 12(3)): Wij reageren op uw verzoek binnen één maand na ontvangst. Bij complexe of meervoudige verzoeken kan deze termijn met maximaal twee maanden worden verlengd; u ontvangt hiervan tijdig bericht.

Contact: [email protected]

Bepaalde gegevens kunnen niet worden verwijderd indien verwerking of bewaarplicht voortvloeit uit wettelijke verplichtingen, professionele standaarden, veiligheidswaarborging of geschilbeslechting.

9. DATALEKKEN

• Wordt de Autoriteit Persoonsgegevens binnen 72 uur geïnformeerd
• Worden betrokkenen geïnformeerd indien sprake is van hoog risico
• Wordt het incident intern gedocumenteerd en worden logboeken bewaard

10. BESCHERMING VAN KINDERDATA

• Gegevens van kinderen onder de 16 jaar worden uitsluitend verwerkt met toestemming van ouder/verzorger (UAVG art. 5)
• Extra waarborgen gelden voor alle kinderendossiers: beperkte toegang, encryptie en strikt afgebakend gebruik
• Bij het bereiken van de leeftijd van 16 jaar gaan de privacyrechten over op het kind zelf; de toestemming van ouders/verzorgers vervalt op dat moment. Rainbow Care & Coaching informeert gezinnen hierover tijdig

11. WIJZIGINGEN IN DIT BELEID

Rainbow Care & Coaching behoudt zich het recht voor dit beleid aan te passen bij operationele, juridische of technische wijzigingen. Materiële wijzigingen worden gepubliceerd en gedeeld met betrokken gezinnen. De meest actuele versie is beschikbaar via www.rainbowcentrum.nl of op aanvraag.

12. CONTACT & FUNCTIONARIS GEGEVENSBESCHERMING

Voor vragen, verzoeken of klachten:

Rainbow Care & Coaching
Duikerlaan 260, 2903 AC Capelle aan den IJssel
[email protected]

Functionaris Gegevensbescherming (FG): Rainbow Care & Coaching beoordeelt op dit moment de verplichting tot aanstelling van een FG krachtens Art. 37(1)(c) AVG, gezien de aard van de verwerking van bijzondere persoonsgegevens van kwetsbare kinderen. Zodra een FG is aangesteld, zijn zijn/haar contactgegevens hier beschikbaar.

13. CAMERATOEZICHT BINNEN DE ZORG

Rainbow Care & Coaching past cameratoezicht toe in therapieruimtes, groepsruimtes, gangen en kindtoegankelijke keukenruimtes.

Doel: bescherming van kwetsbare kinderen (waarvan velen non-verbaal zijn), objectieve reconstructie van incidenten, ondersteuning van het vierogenprincipe en versterking van professionele verantwoording.

Grondslag: gerechtvaardigd belang (Art. 6(1)(f) AVG) en, voor zover beelden gezondheids- of gedragsgerelateerde informatie bevatten over kinderen met neurodiverse kenmerken, tevens Art. 9(2)(h) AVG j° UAVG art. 30. Een GEB (DPIA) is uitgevoerd conform Art. 35 AVG.

Kader camerabeleid:

• Geen camera’s in privéruimtes (toiletten, verschoonruimtes)
• Zichtbare camerabewegwijzering aanwezig
• Beelden maximaal 30 dagen bewaard
• Toegang beperkt tot de Directeur en, indien nodig en gedocumenteerd, de Clinical & Operational Coordinator (Jeugdzorg)
• Alle toegang wordt gelogd en periodiek gecontroleerd
• Beelden worden niet gebruikt voor personeelsbeoordeling

Inzage in beelden: inzage door ouders of wettelijk vertegenwoordigers is geen standaardrecht en vindt uitsluitend plaats op grond van een wettelijke verplichting (gerechtelijk bevel of verzoek bevoegde autoriteit).

Therapieopnames via HiRasmus: therapeuten kunnen sessie-opnames maken die, samen met dagelijkse rapportages, worden geüpload naar het HiRasmus-zorgportaal. Deze opnames worden gebruikt voor kwaliteitsbewaking, therapiereview en het geven van professionele feedback aan therapeuten. Dit betreft een afzonderlijke verwerking van het vaste cameratoezicht. De grondslag is expliciete toestemming (Art. 9(2)(a) AVG), verleend via het ouderlijk toestemmingsformulier.

Toestemming kan te allen tijde worden ingetrokken. Bij intrekking van toestemming worden geen video- of foto-opnames meer gemaakt of gedeeld, en zullen dagelijkse rapportages aan ouders geen visueel materiaal meer bevatten. De zorgverlening zelf wordt hierdoor niet beëindigd, maar het visuele component van de rapportage vervalt.