Bijl. 4. DPIA-gegevensbeschermingseffectbeoordeling Gedeelde Zorg v22

Beheer van het dataplatform Omdat de Stichting niet zelf over de capaciteit beschikt om de infrastructuur op te zetten en/of beheren, wordt dit uitbesteed aan een leverancier. De Stichting zal afspraken met deze leverancier maken om een gedegen en betrouwbare dienst te leveren. Hiertoe worden er een dienstverleningsovereenkomst met een Service Level Agreement en een Verwerkersovereenkomst afgesloten met de leverancier. De beveiligingsnormen waaraan deze infrastructuur en het beheer daarvan dient te voldoen (waaronder ISO27001/NEN7510) zijn opgenomen in bijlage C. Het dataplatform zal daarom vanaf de omgeving van de beheerder toegankelijk moeten zijn. 6.3.6. Conclusie Door de genomen technische en organisatorische beveiligingsmaatregelen is de kans klein dat derden ongeoorloofd toegang zullen krijgen tot de gegevens die voor het onderzoek gebruikt zullen worden, dat er sprake zal zijn van verlies van vertrouwelijkheid van door het beroepsgeheim beschermde persoonsgegevens en/of dat betrokkenen (deels) hun rechten en vrijheden niet kunnen uitoefenen of worden verhinderd controle over hun persoonsgegevens uit te oefenen. In het geval een derde toch ongeoorloofd toegang krijgt tot de gegevens, dan is door de dubbele pseudonimisatie de kans bovendien klein dat de gegevens door deze derde te herleiden zijn tot de betrokkenen.

26

DPIA Stichting Dataplatform Midden-Holland

6.4.

Ongewenste wijziging

6.4.1. Het risico en de mogelijke gevolgen Het risico bestaat dat de gegevens die voor het onderzoek worden gebruikt, per ongeluk worden gewijzigd met als mogelijke gevolgen dat de persoonsgegevens niet (geheel) meer overeenkomen met de werkelijkheid en/of dat betrokkenen (deels) hun rechten en vrijheden niet kunnen uitoefenen of worden verhinderd controle over hun persoonsgegevens uit te oefenen. Een dergelijke wijziging zou voor de betrokkenen echter zeer geringe gevolgen hebben, omdat de gegevens tijdens het onderzoek geheel gescheiden zijn van de originele door de bron aangeleverde gegevens. Ongewenste wijziging van de gegevens zou gevolgen kunnen hebben voor de resultaten van het onderzoek en dan slechts wanneer de wijziging zou leiden tot significant andere resultaten. 6.4.2. Genomen maatregelen De in paragraaf 6.2 beschreven maatregelen zorgen er voor dat de kans dat ongewenste wijziging van de gegevens zich voordoet, klein is. En mochten er onverhoopt toch gegevens gewijzigd worden, dan kan dit opgelost worden door een nieuwe levering van gegevens bij de deelnemende partijen te vragen. 6.4.3. Conclusie Er is weliswaar een risico op ongewenste wijziging van de gegevens die voor het onderzoek worden gebruikt, maar indien dit risico zich zou verwezenlijken, zou dit slechts zeer geringe gevolgen hebben voor de betrokkenen.

Om de kans op ongewenste wijziging van gegevens te voorkomen, zijn bovendien diverse maatregelen getroffen. Mocht het risico zich desondanks verwezenlijken, dan kunnen de gewijzigde gegevens worden vervangen door een nieuwe levering uit het bronbestand.

6.5.

Verlies of vernietiging van gegevens

6.5.1. Het risico en de mogelijke gevolgen Het risico bestaat dat de gegevens die voor het onderzoek worden gebruikt, per ongeluk verloren gaan of vernietigd worden, met als mogelijk gevolg dat sprake is van verlies van vertrouwelijkheid van door het beroepsgeheim beschermde persoonsgegevens. Van dat gevolg zal echter geen sprake zijn,, omdat de gegevens die voor het onderzoek gebruikt worden, kopieën zijn van de originele door de bron aangeleverde gegevens. Verlies of ongewenste vernietiging van de gegevens zou alleen gevolgen kunnen hebben voor de resultaten van het onderzoek en dan nog slechts wanneer het verlies of de ongewenste vernietiging zou leiden tot significant andere resultaten. 6.5.2. Genomen maatregelen De in paragraaf 6.2 beschreven maatregelen zorgen er voor dat de kans dat ongewenste verdwijning van de gegevens zich voordoet, klein is. En mochten er onverhoopt toch gegevens verdwijnen, dan kan dit opgelost worden door een nieuwe levering van gegevens bij de deelnemende partijen te vragen.

27

DPIA Stichting Dataplatform Midden-Holland 6.5.3. Conclusie Er is weliswaar een risico op ongewenste verdwijning van de gegevens die voor het onderzoek worden gebruikt, maar indien dit risico zich zou verwezenlijken, zou dit geen gevolgen hebben voor de betrokkenen. Om de kans op ongewenste verdwijning van gegevens te voorkomen, zijn bovendien diverse maatregelen getroffen. Mochten het risico zich desondanks verwezenlijken, dan kunnen de verdwenen gegevens worden aangevuld met een nieuwe levering uit het bronbestand.

6.6.

Onbedoeld gebruik

6.6.1. Het risico en de mogelijke gevolgen Het risico bestaat dat de gegevens die voor het onderzoek worden gebruikt, ook voor andere onderzoeken gebruikt zouden kunnen worden, met als mogelijke gevolgen dat de persoonsgegevens langer worden verwerkt en/of dat betrokkenen (deels) hun rechten en vrijheden niet kunnen uitoefenen of worden verhinderd controle over hun persoonsgegevens uit te oefenen. Wanneer de gegevens langer worden verwerkt zou bijvoorbeeld het risico op ongeoorloofde toegang gedurende een langere periode blijven bestaan. 6.6.2. Genomen maatregelen Om te voorkomen dat de gegevens voor andere verwerkingen dan het onderzoek worden gebruikt is het Onderzoeksprotocol opgesteld waarin beschreven staat welke verwerkingen de onderzoekers uitvoeren en welke vragen er met het onderzoek beantwoord worden. De organen benoemd in paragraaf 5.3.1 houden hierop toezicht. De in paragraaf 6.2 beschreven maatregelen zorgen er bovendien voor dat indien er toch sprake zou zijn van onbedoeld gebruik, het risico op nadelige gevolgen voor de betrokkenen wordt beperkt. 6.6.3. Conclusie Er is weliswaar een risico op onbedoeld gebruik van de gegevens die voor het onderzoek worden gebruikt, maar door toezicht op de onderzoekers wordt de kans dat dit risico zich verwezenlijkt, aanzienlijk verkleind.

Indien zich onverhoopt toch onbedoeld gebruik van de gegevens zou voordoen, beperken de in paragraaf 6.2 genomen maatregelen bovendien het risico op nadelige gevolgen voor de betrokkenen.

6.7.

Vermenging van gegevens

6.7.1. Het risico en de mogelijke gevolgen Aangezien de persoonsgegevens van betrokkenen uit verschillende bronnen afkomstig zijn, bestaat het risico dat er iets misgaat bij het samenvoegen van de gegevens, waardoor persoonsgegevens ten onrechte worden gekoppeld aan een bepaalde betrokkene, met als mogelijke gevolgen dat de persoonsgegevens niet (geheel) meer overeenkomen met de werkelijkheid en/of dat betrokkenen (deels) hun rechten en vrijheden niet kunnen uitoefenen of worden verhinderd controle over hun persoonsgegevens uit te oefenen. Een dergelijke vermenging zou voor de betrokkenen slechts zeer geringe gevolgen hebben, omdat de gegevens tijdens het onderzoek geheel gescheiden zijn van de originele door de bron aangeleverde gegevens. Ongewenste vermenging van de gegevens zou gevolgen kunnen hebben voor de resultaten van het onderzoek en dan slechts wanneer de vermenging zou leiden tot significant andere resultaten. 28

DPIA Stichting Dataplatform Midden-Holland

6.7.2. Genomen maatregelen De in paragraaf 6.2 beschreven maatregelen zorgen er voor dat de kans dat ongewenste vermenging van de gegevens zich voordoet, klein is. En mochten er onverhoopt toch gegevens vermengd worden, dan kan dit – mits dit onderkend wordt – opgelost worden door een nieuwe levering van gegevens bij de deelnemende partijen te vragen. 6.7.3. Conclusie Er is weliswaar een risico op ongewenste vermenging van de gegevens die voor het onderzoek worden gebruikt, maar indien dit risico zich zou verwezenlijken, zou dit slechts zeer geringe gevolgen hebben voor de betrokkenen. Om de kans op ongewenste vermenging van gegevens te voorkomen, zijn bovendien diverse maatregelen getroffen. Mochten het risico zich desondanks verwezenlijken, dan kunnen de vermengde gegevens worden vervangen door een nieuwe levering uit het bronbestand.

6.8.

Conclusie

De in dit hoofdstuk naar voren gebrachte risico’s kunnen door de eveneens in dit hoofdstuk beschreven maatregelen en waarborgen zodanig worden afgedekt dat er geen sprake is van hoge restrisico’s. Om die reden is er geen voorafgaande raadpleging van de Autoriteit Persoonsgegevens als bedoeld in artikel 36 AVG nodig.

29

DPIA Stichting Dataplatform Midden-Holland

7. Rol van de FG’s

In dit hoofdstuk wordt ingegaan op de rol van de FG’s van de verwerkingsverantwoordelijken.

7.1

Verplichtingen op grond van de AVG

7.2

Toezicht op de uitvoering van de DPIA

7.3

Advies van de FG’s

De verwerkingsverantwoordelijken beschikken allemaal over een FG. Op grond van artikel 35 lid 2 AVG dienen verwerkingsverantwoordelijken bij het uitvoeren van een DPIA advies in te winnen bij hun FG. Daarnaast dient de FG op grond van artikel 39 lid 1 onder c AVG toe te zien op de uitvoering van de DPIA. Alle FG’s van de verwerkingsverantwoordelijken zijn bij de totstandkoming van deze DPIA betrokken en hebben op die manier toezicht kunnen houden op de uitvoering van de DPIA. De adviezen van de FG’s met betrekking tot deze DPIA zijn als bijlage F aan deze DPIA gehecht.

30

DPIA Stichting Dataplatform Midden-Holland

8. Bijlagen A. B. C. D.

Dienstverleningsovereenkomst Def Visiedocument GZMH anoniem.pdf Factsheet_pseudonimisatie_ZorgTTP_2017.pdf v20200701_Adviesrapport__infrastructuur_Stichting_Dataplatform_Midden_Holland.p df (concept versie) E. Onderzoeksprotocol Gedeelde zorg F. Adviezen van de FG’s van verwerkingsverantwoordelijken G. Ingevulde DPIA vragenlijst

31