Overeenkomsten
Om (medische) persoonsgegevens te mogen verwerken, is het volgens de AVG verplicht om een (verwerkers-) overeenkomst af te sluiten tussen de Verantwoordelijke van de persoonsgegevens en de Verwerker. MRDM is als verwerker verantwoordelijk voor het uitsluitend op basis van een geschreven instructie op behoorlijke en zorgvuldige wijze verwerken van de persoonsgegevens.
Onder welke voorwaarden de persoonsgegevens verwerkt mogen worden, staat vastgelegd in de verwerkersovereenkomst en bijbehorende bijlagen. De opdrachtovereenkomst kan daarbij een verwijzing geven naar een reglement of deelnameovereenkomst tussen de verantwoordelijke en de organisator van de registratie. In bijlagen kan er worden verwezen naar een reglement of deelnameovereenkomst. Het reglement of de deelnameovereenkomst beschrijft o.a. de precieze doeleinden en de grondslag- of slagen op basis waarvan de persoonsgegevens worden verwerkt.
Verwerkersovereenkomst
In de verwerkersovereenkomst staat vastgelegd dat MRDM de persoonsgegevens zal verwerken in opdracht van en op basis van geschreven instructies van de verwerkingsverantwoordelijke. Kort gezegd is de verwerkingsverantwoordelijke degene die verantwoordelijk is voor de persoonsgegevens. De verantwoordelijke kan zowel een natuurlijke persoon als ook een rechtspersoon (bijv. B.V., N.V., of een Stichting) zijn. MRDM is in dit geval de verwerker van de data.
Hoofdovereenkomst
Naast de verwerkingsovereenkomst wordt een hoofdovereenkomst opgesteld. Deze aparte overeenkomst bevat alle generieke en algemene afspraken over de verplichtingen tussen MRDM en zorgorganisaties, zoals de algemene voorwaarden.
Reglement
In het reglement wordt beschreven met welk doeleinde(n) de verwerking van persoonsgegevens plaatsvindt. Dit kan bijvoorbeeld een wetenschappelijk doeleinde zijn of het verbeteren van de kwaliteit van de zorg. Het Reglement wordt opgesteld door de registratiehouder, of de onderzoeker die verantwoordelijk is voor de verwerking van persoonsgegevens. Dit reglement is inzichtelijk voor alle betrokken partijen.
Nadere instructie
In een nadere instructie kan door de verantwoordelijke van de persoonsgegevens opdracht gegeven worden om verzamelde persoonsgegevens ook voor een ander doel te verwerken. Dit doel mag niet onverenigbaar zijn met het oorspronkelijke doel, welke is beschreven in de verwerkersovereenkomst tussen de verantwoordelijke en de verwerker.
Een voorbeeld van het gebruik van een nadere instructie is wanneer er DBC-gegevens opgenomen zijn in de kwaliteitsregistratie en een zorginstelling opdracht geeft aan haar verwerker van DBC-gegevens om deze gegevens door te leveren aan MRDM