Declaratiedata bestaat uit privacygevoelige informatie. Het goed beveiligen van de data en het waarborgen van de privacy is dan ook onze eerste prioriteit. Wij werken altijd conform wet- en regelgeving op het gebied van privacy en mededingingsrecht. Daarnaast conformeren wij ons aan relevante standaarden op het gebied van informatiebeveiliging.
Vektis ontvangt van de zorgverzekeraars en zorgkantoren declaratiegegevens die door zorgverleners bij hen zijn ingediend. Wij maken deze data toegankelijk en verwerken het tot bruikbare zorginzichten. De zorgverzekeraars en zorgkantoren zijn in privacytermen de verwerkingsverantwoordelijke voor deze persoonsgegevens. Vektis is de verwerker.
Vóór we de informatie verwerken voor een opdrachtgever vragen wij altijd toestemming aan de zorgverzekeraars en/of zorgkantoor. Dit is in lijn met de rolverdeling tussen verwerkingsverantwoordelijke en verwerker.
Voor de registratie van zorgpartijen (AGB) is Vektis de verwerkingsverantwoordelijke in de zin van de privacywetgeving. Voor het verwerken van deze data hoeven we dus geen toestemming te vragen van andere partijen. Bij het uitleveren van data stellen we eisen en randvoorwaarden ten aanzien van het omgaan met privacygevoelige gegevens. Deze leggen we in een bewerkersovereenkomst vast.
Vóór wij informatie publiceren of beschikbaar stellen beoordelen we altijd of dit de marktwerking tussen (zorggerelateerde) partijen kan verstoren. Waar nodig werken we samen met opdrachtgevers alternatieven uit die de marktwerking niet in gevaar brengen. Ook toetsen we in hoeverre de op te leveren data concurrentiegevoelige informatie bevat. Als dat het geval is en de uitlevering is van belang, dan vragen we altijd toestemming van de betreffende partijen.
Vektis werkt conform algemeen geaccepteerde standaarden voor informatiebeveiliging en eisen die toezichthouders in dat verband stellen. We hebben alle eisen vertaald in een control framework en dit geïmplementeerd in onze werkwijze. Minimaal een keer per jaar herzien we ons informatiebeveiligingsbeleid. De externe auditor gebruikt dit beleid in de beoordeling van Vektis. Voor het uitwisselen van gegevens met andere partijen maken we gebruik van een beveiligd dataportaal.
Een externe accountant voert jaarlijks een ISAE-3000 assurance-onderzoek uit. Hierbij toetst de accountant productgerelateerde processen en algemene ICT processen op opzet, bestaan en werking. De rapportage wordt aan alle stakeholders ter beschikking gesteld en we bespreken deze jaarlijks met vertegenwoordigers van zorgverzekeraars. Ook op het gebied van het naleven van privacywetgeving laat Vektis zich toetsen door een gespecialiseerd extern juridisch adviesbureau.
