De AVG in de zorg regelt hoe zorgorganisaties (bijzondere) persoonsgegevens over gezondheid rechtmatig verwerken. Naast een grondslag (artikel 6) is een uitzondering op het verwerkingsverbod (artikel 9) nodig, aangevuld met het medisch beroepsgeheim uit de Wet BIG en de WGBO.
Kort samengevat
- Gezondheidsgegevens zijn bijzondere persoonsgegevens: verwerking mag alleen onder een uitzondering van artikel 9 AVG.
- De AVG geldt náást beroepsgeheim (WGBO, Wet BIG) en de UAVG; deze stapelen op elkaar.
- Bij inschakeling van verwerkers (ICT, EPD-leverancier) is een verwerkersovereenkomst verplicht.
- Zorgorganisaties zijn verwerkingsverantwoordelijke en moeten passende technische en organisatorische maatregelen treffen.
Wat is de AVG in de zorg?
De Algemene verordening gegevensbescherming (AVG) is de Europese privacywet die sinds 25 mei 2018 van toepassing is. In de zorg is de AVG bijzonder streng omdat vrijwel alle patiëntgegevensgegevens over gezondheidzijn en daarmee kwalificeren alsbijzondere persoonsgegevens. Voor het verwerken hiervan geldt in beginsel een verwerkingsverbod (artikel 9 lid 1 AVG), waarop de zorg gebruikmaakt van specifieke uitzonderingen.
Welke grondslag geldt voor het verwerken van gezondheidsgegevens?
Elke verwerking vraagt om twee lagen: een grondslag uit artikel 6 AVG én een uitzondering op het verbod uit artikel 9 AVG. In de zorg is de meest gebruikte uitzondering artikel 9 lid 2 sub h: verwerking is noodzakelijk voor doeleinden van geneeskundige aard, mits verricht onder verantwoordelijkheid van een beroepsbeoefenaar die aan het beroepsgeheim gebonden is. Toestemming (artikel 9 lid 2 sub a) is doorgaans géén geschikte grondslag voor de reguliere behandelrelatie, omdat toestemming vrij en intrekbaar moet zijn.
De Nederlandse Uitvoeringswet AVG (UAVG) werkt deze uitzonderingen nader uit in de artikelen 22 en 30. Daarnaast blijven sectorspecifieke wetten van kracht, zoals deWGBO(dossierplicht en bewaartermijn van in beginsel 20 jaar) en deWet BIG.
Hoe verhoudt de AVG zich tot het medisch beroepsgeheim?
Het medisch beroepsgeheim en de AVG bestaan naast elkaar en versterken elkaar. Het beroepsgeheim (artikel 88 Wet BIG en artikel 7:457 BW/WGBO) verbiedt het delen van patiëntgegevens zonder grondslag. De AVG voegt daar rechten van betrokkenen aan toe, zoals het recht op inzage, correctie en gegevensoverdraagbaarheid. Doorbreking van het beroepsgeheim mag alleen bij wettelijke plicht, toestemming of een conflict van plichten.
Wanneer is een verwerkersovereenkomst verplicht?
Zodra een externe partij persoonsgegevens verwerkt in opdracht van de zorgorganisatie zonder zelf verwerkingsverantwoordelijke te zijn, is eenverwerkersovereenkomst(artikel 28 AVG) verplicht. Denk aan EPD-leveranciers, hostingpartijen, salarisadministratie of een callcenter. De overeenkomst legt onder meer vast: doel en aard van de verwerking, beveiligingsmaatregelen, sub-verwerkers, meldplicht bij datalekken en teruggave of vernietiging na afloop.
| Rol | Voorbeeld | Instrument |
|---|---|---|
| Verwerkingsverantwoordelijke | Ziekenhuis, VVT-instelling | Bepaalt doel en middelen |
| Verwerker | EPD-leverancier, hoster | Verwerkersovereenkomst |
| Gezamenlijk verantwoordelijken | Samenwerkingsverband in netwerkzorg | Onderlinge regeling (art. 26) |
Welke organisatorische verplichtingen gelden voor zorgorganisaties?
Zorgorganisaties moeten passende technische en organisatorische maatregelen treffen (artikel 32 AVG), zoals autorisaties op basis van need-to-know, logging en encryptie. De aanwijzing van eenFunctionaris Gegevensbescherming (FG)is verplicht bij grootschalige verwerking van bijzondere gegevens (artikel 37 AVG), wat voor de meeste zorginstellingen geldt. Verder gelden een verwerkingsregister, eenData Protection Impact Assessment (DPIA)bij hoog-risicoverwerkingen en de meldplicht datalekken bij de Autoriteit Persoonsgegevens binnen 72 uur.
Voor arbeidsgerelateerde gegevens gelden aanvullende beperkingen: een werkgever mag doorgaans geen gezondheidsgegevens van medewerkers registreren bij verzuim, alleen de bedrijfsarts. Dit raakt de sturing opverzuimkostenenpersoneelsverloop. Meer hulpmiddelen vindt u bij derekentools.
Wat is de rol van de toezichthouder?
De Autoriteit Persoonsgegevens (AP) houdt toezicht op de AVG en kan boetes opleggen. De IGJ toetst de zorginhoudelijke kant, waaronder informatiebeveiliging via de norm NEN 7510 en de bijbehorende NEN 7512 en 7513. Certificering en periodieke audits zijn in de praktijk gangbaar om aantoonbaar compliant te zijn.
Veelgestelde vragen
Mag ik als zorgverlener patiëntgegevens delen met een collega buiten mijn organisatie?
Alleen als er een grondslag is: een behandelrelatie binnen dezelfde behandeling, uitdrukkelijke toestemming van de patiënt of een wettelijke plicht. Buiten die situaties geldt het beroepsgeheim en moet u gegevensuitwisseling onderbouwen en vastleggen.
Is toestemming van de patiënt altijd nodig om gezondheidsgegevens te verwerken?
Nee. Voor de reguliere behandeling is de uitzondering van artikel 9 lid 2 sub h AVG (geneeskundige doeleinden onder beroepsgeheim) de basis. Toestemming is juist ongeschikt binnen een behandelrelatie omdat die vrij en intrekbaar moet zijn.
Wanneer moet een zorgorganisatie een DPIA uitvoeren?
Bij verwerkingen met een waarschijnlijk hoog risico voor betrokkenen, zoals grootschalige verwerking van gezondheidsgegevens of nieuwe technologie. De AP heeft een lijst met verplichte DPIA-categorieën; grootschalige verwerking van bijzondere gegevens valt daaronder.