1. Doel en reikwijdte

SAMA Autisme Centrum verwerkt persoonsgegevens en bijzondere persoonsgegevens om goede en veilige zorg te kunnen bieden en om de organisatie verantwoord te kunnen voeren. Dit privacybeleid beschrijft hoe SAMA met persoonsgegevens omgaat en hoe de privacy van cliënten, ouders/verzorgers, medewerkers, sollicitanten en bezoekers wordt beschermd.

Het beleid geldt voor persoonsgegevens in digitale en papieren vorm en voor alle medewerkers, stagiaires, ingehuurde professionals en externe partijen die namens SAMA persoonsgegevens verwerken.

2. Begripsbepalingen

• Persoonsgegevens: gegevens die direct of indirect herleidbaar zijn tot een natuurlijke persoon.

• Bijzondere persoonsgegevens: gevoelige persoonsgegevens, waaronder gegevens over gezondheid.

• Betrokkene: degene op wie persoonsgegevens betrekking hebben, zoals een cliënt, ouder/verzorger, medewerker of bezoeker.

• Cliëntdossier: de verzameling van gegevens die nodig is voor behandeling, begeleiding, evaluatie, verantwoording en continuïteit van zorg.

• Verwerker: een externe partij die persoonsgegevens verwerkt in opdracht van SAMA Autisme Centrum.

• Datalek: een beveiligingsincident waarbij persoonsgegevens verloren zijn gegaan, vernietigd, gewijzigd of ongeoorloofd zijn ingezien, gedeeld of toegankelijk geworden.

3. Uitgangspunten bij verwerking

SAMA verwerkt persoonsgegevens zorgvuldig, transparant en alleen voor duidelijke doelen. Daarbij gelden de volgende uitgangspunten:

• alleen gegevens verwerken die noodzakelijk zijn voor zorg, bedrijfsvoering of een wettelijke verplichting;

• gegevens gebruiken voor het doel waarvoor zij zijn verzameld;

• gegevens juist en zo actueel mogelijk houden;

• toegang beperken tot personen die de gegevens voor hun functie nodig hebben;

• gegevens niet langer bewaren dan noodzakelijk of wettelijk verplicht;

• passende technische en organisatorische beveiligingsmaatregelen toepassen;

• gegevens alleen met derden delen wanneer daarvoor een geldige grondslag bestaat en, waar vereist, toestemming is gegeven.

4. Verantwoordelijkheid

Het bestuur van SAMA Autisme Centrum is eindverantwoordelijk voor privacy en informatiebeveiliging. De teamleider ziet toe op naleving in de dagelijkse praktijk. Medewerkers en stagiaires zijn persoonlijk verantwoordelijk voor zorgvuldig gebruik van persoonsgegevens, systemen en apparatuur en melden incidenten direct.

HR, cliëntadministratie en andere functionarissen krijgen uitsluitend toegang tot gegevens die zij voor hun werkzaamheden nodig hebben.

5. Doel en gebruik van persoonsgegevens

SAMA verwerkt persoonsgegevens onder andere voor:

• aanmelding, intake, behandeling, begeleiding en evaluatie;

• het opstellen en uitvoeren van behandelplannen;

• communicatie met ouders/verzorgers, verwijzers en andere betrokken professionals;

• cliëntadministratie, declaratie, contractuele en wettelijke verantwoording;

• kwaliteitsverbetering, audits en controles voor zover toegestaan;

• personeels- en salarisadministratie;

• informatievoorziening en contact met personen die informatie aanvragen;

• veiligheid van cliënten, medewerkers en bezoekers.

SAMA vraagt toestemming wanneer toestemming de passende grondslag is. Wanneer verwerking noodzakelijk is voor de uitvoering van de zorgovereenkomst of een wettelijke verplichting, is afzonderlijke toestemming niet altijd vereist.

6. Cliëntregistratie en dossier

SAMA houdt een digitaal cliëntdossier bij met gegevens die noodzakelijk zijn voor de uitvoering en continuïteit van de zorg. Alleen gegevens die relevant zijn voor het doel van de zorg worden opgenomen.

Gegevens kunnen worden verstrekt door de cliënt, ouders/verzorgers, verwijzers en andere betrokken professionals. Contactgegevens van ouders/verzorgers en andere relevante personen kunnen worden vastgelegd voor zover dit nodig is voor de zorg.

7. Toegang en autorisaties

Toegang tot cliënt- en personeelsgegevens is gebaseerd op functie, taak en noodzakelijkheid. Medewerkers hebben alleen toegang tot informatie die zij nodig hebben voor hun werkzaamheden.

• Iedere gebruiker werkt met een persoonlijk account;

• accounts en toegangsrechten worden periodiek gecontroleerd;

• rechten worden aangepast bij functiewijziging;

• accounts van uitdienstgetreden medewerkers worden uiterlijk op de laatste werkdag ingetrokken;

• multifactorauthenticatie wordt gebruikt voor systemen die dit ondersteunen en waarvoor dit passend is.

De nadere regels zijn vastgelegd in het Wachtwoord-, account- en toegangsbeleid van SAMA Autisme Centrum.

8. Geheimhouding

Medewerkers, stagiaires en ingehuurde professionals zijn gehouden aan geheimhouding ten aanzien van persoonsgegevens en andere vertrouwelijke informatie. De geheimhoudingsplicht blijft ook na beëindiging van de werkzaamheden van kracht.

9. Verwerkers en ICT-leveranciers

SAMA maakt voor de zorgverlening en bedrijfsvoering gebruik van externe leveranciers en digitale systemen. Wanneer een externe partij persoonsgegevens namens SAMA verwerkt, beoordeelt SAMA welke privacy- en beveiligingsafspraken nodig zijn en wordt waar vereist een verwerkersovereenkomst gesloten.

Kritieke leveranciers en verwerkers worden periodiek gecontroleerd op relevante afspraken over privacy, informatiebeveiliging, continuïteit en toegang tot gegevens.

10. Verstrekking van gegevens aan derden

Persoonsgegevens worden niet zonder reden aan derden verstrekt. Gegevens worden alleen gedeeld wanneer dit noodzakelijk en toegestaan is, bijvoorbeeld voor de uitvoering van de zorg, op basis van een wettelijke verplichting of met toestemming van de betrokkene of diens wettelijke vertegenwoordiger.

Bij gegevensuitwisseling wordt niet meer informatie gedeeld dan noodzakelijk. Waar gevoelige informatie digitaal wordt verzonden, gebruikt SAMA een passende beveiligde verzendmethode.

11. Foto- en video-opnamen

Voor het maken en gebruiken van foto- en video-opnamen van kinderen gelden afzonderlijke richtlijnen en toestemmingsafspraken. SAMA controleert vóór gebruik of de benodigde toestemming aanwezig is. Voor publicitaire doeleinden wordt vooraf contact opgenomen met ouders/verzorgers.

12. Cameratoezicht op de locatie

SAMA gebruikt cameratoezicht in openbare en gemeenschappelijke ruimtes ter ondersteuning van veiligheid en toezicht en om zo nodig snel te kunnen reageren op onveilige situaties.

• De camera’s bevinden zich uitsluitend in openbare/gemeenschappelijke ruimtes, zoals gangen en verkeersruimten.

• Er zijn geen camera’s in behandelgroepen/klaslokalen, toiletten, kleedruimten of andere ruimtes waar een hoge mate van privacy mag worden verwacht.

• De camera’s maken geen beeldopnamen en nemen geen geluid op.

• Er is geen opslag of beeldarchief; beelden kunnen niet worden teruggekeken.

• Er is uitsluitend livebeeld, te bekijken via een monitor in de meterkast.

• Toegang tot de meterkast en de livebeelden is beperkt tot geautoriseerde personen.

• De livebeelden worden alleen gebruikt voor veiligheid en toezicht en niet als structureel middel voor prestatiecontrole van medewerkers.

Ouders/verzorgers, medewerkers en bezoekers worden op passende wijze geïnformeerd over het cameratoezicht. De nadere afspraken zijn vastgelegd in het Protocol cameratoezicht openbare ruimtes.

13. Informatiebeveiliging

SAMA neemt passende technische en organisatorische maatregelen om persoonsgegevens te beschermen tegen verlies, onbevoegde toegang, ongeoorloofde wijziging en andere beveiligingsincidenten.

• toegangsbeperking op basis van functie en noodzakelijkheid;

• persoonlijke accounts en wachtwoord- en MFA-maatregelen waar passend;

• beveiligingssoftware en tijdige updates;

• beveiligde verzending van gevoelige informatie;

• afgesloten bewaring van papieren dossiers en vertrouwelijke documenten;

• regels voor veilig gebruik van e-mail, mobiele apparaten en werkapparatuur;

• periodieke beoordeling van informatiebeveiligingsrisico’s.

De nadere maatregelen zijn uitgewerkt in het Beleid informatiebeveiliging, het Wachtwoord-, account- en toegangsbeleid en het Beleid veilig gebruik ICT, e-mail, internet en mobiele apparaten.

14. Datalekken en informatiebeveiligingsincidenten

Iedere medewerker meldt een vermoedelijk datalek of informatiebeveiligingsincident onmiddellijk volgens de Procedure datalekken en informatiebeveiligingsincidenten. SAMA registreert en beoordeelt incidenten, beperkt waar mogelijk de gevolgen en bepaalt of melding aan de Autoriteit Persoonsgegevens en/of betrokkenen nodig is.

15. Rechten van betrokkenen

Betrokkenen kunnen, voor zover de wet dit toelaat, verzoeken om inzage, correctie, beperking, verwijdering of overdracht van hun persoonsgegevens. Ook kunnen zij bezwaar maken tegen bepaalde verwerkingen of een eerder gegeven toestemming intrekken.

Een verzoek kan schriftelijk of per e-mail bij SAMA worden ingediend. SAMA kan om aanvullende informatie vragen om de identiteit van de verzoeker vast te stellen.

16. Bewaartermijnen

SAMA bewaart persoonsgegevens niet langer dan noodzakelijk en houdt rekening met de wettelijke bewaartermijnen die op de betreffende gegevens van toepassing zijn.

• Het zorgdossier wordt in beginsel 20 jaar bewaard, gerekend vanaf de laatste wijziging in het dossier, tenzij een andere wettelijke termijn of een gemotiveerde uitzondering van toepassing is.

• Financiële en fiscale gegevens worden bewaard volgens de daarvoor geldende wettelijke bewaartermijnen; voor de financiële administratie hanteert SAMA in beginsel 7 jaar.

• Gegevens waarvoor geen wettelijke of inhoudelijke noodzaak meer bestaat, worden verwijderd of veilig vernietigd.

17. Onderzoek, kwaliteit en statistiek

Voor kwaliteitsdoeleinden, onderzoek en statistiek gebruikt SAMA waar mogelijk geanonimiseerde of niet direct herleidbare gegevens. Verstrekking van herleidbare gegevens vindt alleen plaats wanneer daarvoor een passende grondslag bestaat.

18. Klachten en vragen

Vragen over privacy of de verwerking van persoonsgegevens kunnen worden gesteld aan SAMA Autisme Centrum via info@samaautismecentrum.nl.

Een klacht over de uitvoering van dit privacybeleid kan worden ingediend volgens de klachtenregeling van SAMA. Betrokkenen behouden daarnaast het recht om een klacht voor te leggen aan de Autoriteit Persoonsgegevens.

19. Evaluatie en wijziging

Dit privacybeleid wordt minimaal jaarlijks en bij relevante wijzigingen in wetgeving, systemen, werkwijzen of huisvesting geëvalueerd. Wijzigingen worden door het bestuur vastgesteld en waar nodig gecommuniceerd aan cliënten, ouders/verzorgers, medewerkers en andere betrokkenen.

Vastgesteld door het bestuur van SAMA Autisme Centrum op 7 september 2026.

Privacybeleid

SAMA Autisme Centrum

Versie 2.0 | 7 september 2026