Gegevensverwerking

Om Spiegelinformatie te kunnen bieden, verwerkt Stichting KiBG gegevens over behandeluitkomsten en -effecten. KiBG ontvangt die gegevens langs twee wegen:

• van de zorgaanbieder, via het verplichte en/of vrijwillige deel van de Zelfevaluatie voor het Keurmerk (t.b.v. de Spiegeldashboards)
• van de gegevensmakelaar, in opdracht van de zorgaanbieder (op vrijwillige basis t.b.v. de Spiegelrapportages)

De gegevens die KiBG ontvangt en beheert, zijn niet herleidbaar naar personen. Wij ontvangen alléén gegevens op organisatieniveau (zogenaamde 'geaggregeerde gegevens'). De gegevens worden voor de volgende doeleinden gebruikt: Spiegelinformatie voor zorgaanbieders (dashboards en rapportages), openbare algemene rapportages over de GGZ-keten en beheer en ontwikkeling van het Keurmerk Kortdurende GGZ. 

Data voor Spiegeldashboards

De data voor de Spiegeldashboards worden verzameld met de Zelfevaluatie voor het Keurmerk. Voor de gegevens voor het basis dashboard geldt dat Keurmerkdragers verplicht zijn deze aan te leveren (en hierop te reflecteren) om het Keurmerk toegekend te krijgen of te behouden. Voor het uitgebreide dashboard kunnen Keurmerkdragers op vrijwillige basis gegevens aanleveren via een optioneel stuk deel van de zelfevaluatie. Zie: Spiegeldashboards.

De Zelfevaluatie is een digitaal formulier dat wordt gehost door Formdesk. Formdesk heeft uitgebreide fysieke, elektronische en beheerprocedures om de gegevens te beveiligen. Het achterliggende datacenter is ISO 27001, ISO 9001 en NEN 7510 gecertificeerd.

Data voor Spiegelrapportages

Keurmerkdragers die zich aansluiten bij het Netwerk Spiegelrapportages krijgen, naast het Spiegeldashboard, ook een Spiegelrapportage. Om de gegevens hiervoor te verkrijgen, wordt een koppeling gelegd met de (ROM-)systemen van de zorgaanbieders. KiBG werkt hiervoor samen met InfinitCare: een TTP (Third Trusted Party). InfinitCare verzamelt voor ons de ROM-gegevens, verwerkt ze tot onherleidbare geaggregeerde gegevens op organisatieniveau en levert ze aan ons door ten behoeve van de Spiegelrapportages.

Zorgaanbieders leveren de gegevens gepseudonimiseerd aan bij InfinitCare met behulp van de Privacy Verzend Module. InfinitCare is gecertificeerd conform de eisen van de internationale norm van informatiebeveiliging: ISO/IEC 27001 (NEN 7510). Meer informatie over hoe ze met informatiebeveiliging omgaan lees je hier.  

Ook de omgeving waar gegevens worden getoond als rapportages is beveiligd conform de AVG-vereisten.

Maatregelen informatiebeveiliging bij KiBG

In aanvulling op de beveiliging bij het verzamelen en tonen van de data, heeft KiBG ook zelf maatregelen getroffen ten behoeve van de informatiebeveiliging. KiBG volgt hierbij de AVG (Algemene Verordening Gegevensbescherming).

Omdat KiBG geen persoonsgegevens beheert, is certificering niet nodig. Wel wordt geregeld een externe audit uitgevoerd om te toetsen in hoeverre we aan de ISO27001 norm voldoen. Komen hier verbeterpunten uit? Dan worden die direct opgepakt en in de daaropvolgende audit opnieuw getoetst.

KiBG heeft de volgende maatregelen getroffen om de informatiebeveiliging te borgen:

• We hebben met alle betrokken partijen een Bewerkersovereenkomst afgesloten waarin de rechten en plichten met betrekking tot de gegevensverwerking zijn uitgewerkt.
• Alle medewerkers van KiBG tekenen een geheimhoudingsverklaring en maken verplicht gebruik van Multi Factor Authenticatie.
• KiBG heeft een informatiebeveiligingsbeleid en een autorisatiematrix.
• Er is een uitgebreid veiligheidsprotocol met betrekking tot de ICT-diensten en servers waar KiBG gebruik van maakt.
• Als we rapportages of inzichten daaruit versturen via email, maken we gebruik van ZIVVER - een tool voor beveiligd mailverkeer.

De gegevens zullen door Stichting KiBG niet langer worden bewaard dan noodzakelijk is voor de verwerking van doeleinden en maximaal zeven jaar. In geval van beëindiging van de overeenkomst kunnen de gegevens, op verzoek van de Zorgaanbieder, (eerder) worden vernietigd.