De registers achter NEN 7510

Je documenten beschrijven wat je van plan bent. Je registers laten zien dat het ook gebeurt. Bij een beoordeling gaat het bijna altijd over dat tweede: niet of je beleid mooi is, maar of er onder dat beleid iets wordt bijgehouden. Dit zijn de zeven registers die er voor een kleine zorgaanbieder toe doen, met de grondslag erbij.

De zeven registers

• Verwerkingsregister (AVG artikel 30)
  Per verwerking: wat je doet, waarom, welke gegevens, wie ze te zien krijgt en hoe lang je ze bewaart. Begin met wat je dagelijks gebruikt: het cliëntdossier, de personeelsadministratie en de rapportage aan de gemeente.
• Informatiemiddelen (beheersmaatregel 5.9)
  Welke systemen, apparaten en papieren dossiers er zijn, wie ze beheert en of er cliëntgegevens in staan. Je kunt niet beschermen wat je niet in beeld hebt.
• Autorisatiematrix (beheersmaatregel 5.18)
  Wie heeft toegang tot welk systeem, op welk niveau, en wanneer is dat voor het laatst gecontroleerd. Rechten groeien mee met mensen maar krimpen zelden vanzelf.
• Leveranciers en verwerkersovereenkomsten (AVG artikel 28)
  Elke partij die voor jou persoonsgegevens verwerkt heeft een verwerkersovereenkomst nodig. Denk aan je cliëntdossier, je mail, je boekhouder en je salarisadministratie.
• Datalekregister (AVG artikel 33 lid 5)
  Elk incident met persoonsgegevens, ook de gevallen die je niet meldt bij de Autoriteit Persoonsgegevens. Met wat er is gebeurd, wat je eraan deed en of betrokkenen zijn geïnformeerd.
• Bewaartermijnen (Jeugdwet artikel 7.3.8, AWR artikel 52)
  Per soort gegevens hoe lang je het bewaart, vanaf welk moment die termijn loopt en waarop dat berust. Waar geen wettelijke termijn geldt, kies je zelf een termijn en leg je uit waarom.
• Vernietiging (AVG artikel 5 lid 2)
  Wat je hebt vernietigd, wanneer, waarom en hoe. Dit is het enige register dat laat zien dat je bewaartermijnen niet alleen op papier bestaan.

De twee termijnen die je het vaakst nodig hebt

Voor het cliëntdossier in de jeugdhulp geldt twintig jaar, te rekenen vanaf het tijdstip waarop de laatste wijziging in het dossier heeft plaatsgevonden, of zoveel langer als redelijkerwijs uit goed hulpverlenerschap voortvloeit. Dat staat in artikel 7.3.8 lid 3 van de Jeugdwet. Let op dat startmoment: het is niet vanaf de afsluiting van het dossier, en dat scheelt in de praktijk jaren.

Voor je administratie geldt zeven jaar. Artikel 52 lid 4 van de Algemene wet inzake rijksbelastingen verplicht administratieplichtigen hun gegevensdragers zeven jaar te bewaren, tenzij een belastingwet iets anders bepaalt.

Vraagt een cliënt om vernietiging van zijn gegevens, dan geldt artikel 7.3.9 van de Jeugdwet: je vernietigt, tenzij bewaring van aanmerkelijk belang is voor een ander dan de betrokkene of de wet zich ertegen verzet.

Hoe vaak je ze bijwerkt

Het datalekregister bij elk incident, direct. De autorisatiematrix bij elke wijziging in het team en verder periodiek, in de praktijk per kwartaal. Verwerkingen, informatiemiddelen, leveranciers en bewaartermijnen loop je een keer per jaar na, het handigst in dezelfde ronde als de risicoanalyse. De volgorde waarin je dit alles opbouwt staat in de checklist.