AVG-Helpdesk voor Zorgverleners en Zorgorganisaties

De AVG en de zorg zijn nauw met elkaar verbonden. Zorgaanbieders verwerken dagelijks persoonsgegevens die veel vertellen over iemands gezondheid, behandeling en persoonlijke situatie. Daarom gelden niet alleen algemene privacyregels, maar ook aanvullende regels uit de zorg. Deze uitleg laat zien wanneer verwerking is toegestaan, wanneer toestemming nodig kan zijn en hoe professionals gegevens zorgvuldig delen.

Zorgprofessionals bespreken in een overleg hoe patiëntgegevens veilig worden gedeeld

Wat betekent de AVG voor de zorg?

De Algemene Verordening Gegevensbescherming (AVG) geldt voor iedere zorgaanbieder. Dat geldt zowel voor een grote zorginstelling als voor een zelfstandig werkende professional of een groepspraktijk. De omvang van de organisatie of het soort zorgberoep maakt dus niet dat de AVG buiten toepassing blijft.

Gezondheidsgegevens zijn bijzondere persoonsgegevens. Het gaat bijvoorbeeld om informatie over klachten, diagnoses, behandelingen en geestelijke gesteldheid. De AVG verbiedt de verwerking van zulke gegevens in beginsel. Dat verbod kent uitzonderingen, bijvoorbeeld wanneer verwerking noodzakelijk is om zorg of hulp te verlenen en daarvoor een wettelijke basis bestaat.

Verwerken is een breed begrip. Het omvat onder meer verzamelen, vastleggen, raadplegen, delen, wijzigen, bewaren en vernietigen. Ook het openen van een digitaal dossier valt hieronder. De vraag is daarom niet alleen of een organisatie gegevens mag opslaan, maar ook of een medewerker deze gegevens voor dit doel mag inzien of doorgeven.

Welke regels gelden naast de AVG?

De AVG vormt het algemene kader, maar zorgprofessionals werken ook met Nederlandse en sectorspecifieke regels. De precieze combinatie hangt af van de taak, de betrokken organisatie en het soort gegevens. Belangrijke kaders zijn onder meer:

de Wet op de geneeskundige behandelingsovereenkomst (WGBO);
de Uitvoeringswet AVG (UAVG);
de Jeugdwet;
de Wet maatschappelijke ondersteuning 2015 (Wmo 2015);
de Wet langdurige zorg (Wlz);
de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz);
de Wet kwaliteit, klachten en geschillen zorg (Wkkgz);
de Zorgverzekeringswet;
de Wet marktordening gezondheidszorg (Wmg).

Deze wetten kunnen bepalen dat een dossier moet worden bijgehouden, welke informatie een organisatie voor haar taak nodig heeft en onder welke voorwaarden elektronische uitwisseling plaatsvindt. Een zorgorganisatie moet daarom niet alleen naar de AVG kijken. De sectorspecifieke regel kan bepalen wat in een concrete situatie mogelijk of verplicht is.

Wie de verschillende kaders naast elkaar wil leggen, kan de AVG regels zorg gebruiken als vertrekpunt voor verdere beoordeling.

Wanneer mogen gezondheidsgegevens worden verwerkt?

Een verwerking heeft een grondslag nodig. In de zorg ligt die grondslag voor veel gebruikelijke handelingen in een wet. Een arts houdt bijvoorbeeld een dossier bij om goede zorg te kunnen verlenen. Ook andere hulpverleners en zorginstellingen kunnen een wettelijke dossierplicht hebben.

Toestemming is daarom niet automatisch de standaard voor iedere verwerking. De AVG verlangt toestemming vooral wanneer geen andere grondslag beschikbaar is. Toestemming moet bovendien vrij, specifiek, geïnformeerd en ondubbelzinnig zijn. De organisatie moet kunnen aantonen waarvoor de patiënt toestemming gaf. Een algemene vraag om toestemming zonder duidelijk doel biedt daarvoor geen goede basis.

Bij gegevensdeling spelen daarnaast andere regels. Voor het doorbreken van het beroepsgeheim is toestemming van de patiënt bijvoorbeeld nodig wanneer een arts gezondheidsgegevens wil delen met hulpverleners die niet bij de behandeling betrokken zijn. Voor elektronische uitwisseling via een elektronisch uitwisselingssysteem kan de Wabvpz eveneens toestemming voorschrijven.

De volgende vragen helpen om een verwerking te beoordelen:

Om welke gegevens gaat het en zijn het gezondheidsgegevens?
Welk concreet doel heeft de verwerking?
Welke wettelijke grondslag past bij dat doel?
Is de informatie noodzakelijk of kan het met minder gegevens?
Is de ontvanger bevoegd en betrokken bij de zorg of wettelijke taak?
Is aanvullende toestemming volgens een andere wet vereist?
Hoe worden de verwerking en de rechten van de patiënt vastgelegd?

Vraag dus niet standaard extra toestemming alleen omdat het om medische gegevens gaat. Bepaal eerst welke wettelijke grondslag geldt en controleer daarna of het beroepsgeheim, de WGBO, de Wabvpz of een andere regeling aanvullende eisen stelt.

Gegevens delen binnen de zorgketen

Samenwerking tussen zorgaanbieders, gemeenten en andere partners kan nodig zijn om passende ondersteuning te organiseren. Dat betekent niet dat iedere partner toegang krijgt tot het volledige dossier. Iedere organisatie blijft verantwoordelijk voor haar eigen rol, doel en wettelijke taak.

Een zorgvuldige werkwijze begint met een afgebakende casus en een duidelijke informatiebehoefte. Deel alleen wat de ontvanger nodig heeft voor de afgesproken taak. Controleer ook of de ontvanger bevoegd is, of de patiënt toestemming moet geven en of het beroepsgeheim wordt geraakt.

Leg in samenwerkingsafspraken minimaal vast:

welke partijen deelnemen en wie waarvoor verantwoordelijk is;
welk doel de gegevensdeling heeft;
welke categorieën gegevens mogen worden gedeeld;
welke grondslag en eventuele toestemmingsregel van toepassing zijn;
wie toegang heeft en hoe toegang wordt gecontroleerd;
hoe gegevens worden beveiligd, bewaard en verwijderd;
hoe vragen, correcties, incidenten en klachten worden afgehandeld.

Een gezamenlijk overleg is geen vrijstelling van de privacyregels. Deelnemers moeten per agendapunt kunnen uitleggen waarom informatie nodig is. Bij complexe situaties helpt een vast besluitvormingsformulier om doel, grondslag, noodzakelijkheid en toestemming zichtbaar vast te leggen. Voor verdere uitwerking van dit soort situaties is privacy bij complexe casussen een bruikbaar aanvullend onderwerp.

Beroepsgeheim en toegang tot dossiers

De geheimhoudingsplicht beschermt de vertrouwelijkheid van gezondheidsgegevens. Die plicht kan volgen uit het beroep, de behandelingsovereenkomst, een arbeidsovereenkomst of de wet. Gezondheidsgegevens mogen niet door onbevoegden worden ingezien, ook niet wanneer een systeem technisch toegang mogelijk maakt.

Een medewerker heeft dus niet automatisch recht op ieder dossier binnen de organisatie. De toegang moet passen bij de behandelrelatie, functie en taak. Organisaties kunnen dit ondersteunen met rollen en autorisaties in het informatiesysteem, logging en controles op opvallende raadplegingen.

Praktische maatregelen zijn onder meer:

gebruik persoonlijke accounts en deel geen wachtwoorden;
geef medewerkers alleen toegang die zij voor hun taak nodig hebben;
bespreek vertrouwelijkheid tijdens inwerken en periodieke scholing;
controleer logbestanden volgens een vast proces;
voorkom dat dossiers zichtbaar blijven op een onbeheerde werkplek;
spreek af hoe informatie mondeling, schriftelijk en digitaal wordt uitgewisseld.

Ook bij samenwerking met ketenpartners blijft het beroepsgeheim een zelfstandig aandachtspunt. Een algemene samenwerkingsovereenkomst vervangt geen individuele beoordeling van de voorgenomen verstrekking.

Rechten van patiënten en cliënten

De AVG vraagt om transparantie. Mensen moeten kunnen begrijpen welke persoonsgegevens een organisatie verwerkt, met welk doel en met wie gegevens eventueel worden gedeeld. Een duidelijke privacyverklaring ondersteunt dit, maar informatie moet ook in de praktijk vindbaar en begrijpelijk zijn.

Patiënten en cliënten hebben onder meer rechten rond inzage, correctie en bezwaar, voor zover die rechten in de concrete situatie van toepassing zijn. Voor medische dossiers kunnen aanvullende regels gelden. Ook kan iemand een eerder gegeven toestemming intrekken. Intrekken maakt eerdere rechtmatige verwerking niet automatisch onrechtmatig, maar de organisatie moet daarna wel opnieuw beoordelen wat nog mag.

Maak een verzoek niet onnodig ingewikkeld. Wijs een verantwoordelijke aan, controleer de identiteit van de verzoeker en leg vast welke beoordeling is gemaakt. Zorg er tegelijk voor dat medewerkers geen meer informatie ontvangen dan zij voor deze afhandeling nodig hebben.

Datalekken en informatieveiligheid

Een datalek kan ontstaan door verlies, verkeerde verzending, onbevoegde toegang of het ongewenst wijzigen of vernietigen van patiëntgegevens. Ook een incident bij elektronische gegevensuitwisseling vraagt om directe aandacht. De organisatie moet het incident stoppen, de gevolgen beperken en beoordelen welke vervolgstappen nodig zijn.

Een werkbaar intern proces bevat ten minste:

een meldpunt dat medewerkers gemakkelijk kunnen vinden;
een eerste beoordeling van de aard en omvang van het incident;
maatregelen om verdere toegang of verspreiding te stoppen;
vastlegging van feiten, besluiten en tijdstippen;
beoordeling of melding aan de Autoriteit Persoonsgegevens nodig is;
beoordeling of betrokken patiënten of cliënten moeten worden geïnformeerd;
maatregelen om herhaling te voorkomen.

Wacht niet met melden totdat alle feiten bekend zijn. Verzamel informatie tijdens de beoordeling en betrek de functionaris gegevensbescherming of privacyverantwoordelijke volgens het interne beleid. Beveiliging is niet alleen een technische kwestie. Scholing, duidelijke procedures en toezicht op toegang horen er ook bij.

Praktische controle voor zorgorganisaties

Gebruik onderstaande controle bij een nieuwe verwerking of een verzoek om gegevens te delen:

Doel: is het doel concreet en rechtmatig beschreven?
Gegevens: worden niet meer gegevens gebruikt dan noodzakelijk?
Grondslag: is de juiste wettelijke grondslag vastgesteld?
Toestemming: is toestemming volgens de relevante wet werkelijk nodig?
Beroepsgeheim: mag deze professional of partner de informatie ontvangen?
Toegang: zijn rollen, autorisaties en controles passend ingericht?
Transparantie: weten patiënten en cliënten wat er met hun gegevens gebeurt?
Bewaren: is duidelijk hoe lang gegevens nodig zijn en wanneer ze worden verwijderd?
Incidenten: weten medewerkers waar zij een datalek of privacyvraag melden?
Vastlegging: kan de organisatie achteraf uitleggen waarom zij zo heeft gehandeld?

De uitkomst van deze controle moet aansluiten op het eigen beleid en de toepasselijke wet. Bij twijfel is juridisch of privacyadvies nodig, zeker wanneer meerdere domeinen en wettelijke taken samenkomen.

Veelgestelde vragen over AVG en de zorg

Geldt de AVG voor iedere zorgverlener?

Ja. De AVG geldt voor zorgaanbieders van verschillende omvang en voor uiteenlopende beroepsgroepen. De manier waarop de regels worden uitgevoerd kan verschillen, maar geen zorgverlener is alleen vanwege de omvang van de praktijk uitgezonderd.

Is altijd toestemming nodig voor het verwerken van medische gegevens?

Nee. Voor veel reguliere verwerkingen in de zorg biedt de wet al een grondslag. Toestemming kan wel nodig zijn voor specifieke vormen van gegevensdeling, bijvoorbeeld wanneer het beroepsgeheim wordt doorbroken of wanneer een wettelijke regeling dat voorschrijft.

Mag iedereen binnen een zorginstelling een patiëntdossier bekijken?

Nee. Toegang moet passen bij de functie, behandelrelatie en taak van de medewerker. Een medewerker zonder geldige reden mag een dossier niet raadplegen, ook niet uit nieuwsgierigheid of omdat het systeem die toegang technisch toestaat.

Wat moet een organisatie doen bij een mogelijk datalek?

Meld het incident direct volgens de interne procedure. Beperk verdere verspreiding, leg de feiten vast en beoordeel of melding aan de Autoriteit Persoonsgegevens en informatie aan betrokkenen nodig is. Neem daarna maatregelen om herhaling te voorkomen.

Conclusie

De AVG en de zorg vragen om meer dan een toestemmingsformulier. Zorgorganisaties moeten per verwerking het doel, de grondslag, de noodzakelijkheid, het beroepsgeheim en de toegang beoordelen. De AVG vormt daarbij het algemene kader, terwijl onder meer de WGBO, UAVG, Wabvpz, Jeugdwet, Wmo en Wlz aanvullende regels geven.

Een vaste werkwijze helpt professionals om gegevens zorgvuldig te delen zonder samenwerking onnodig te blokkeren. Leg beslissingen vast, beperk toegang en zorg dat medewerkers weten hoe zij privacyvragen en datalekken melden. Zo wordt bescherming van persoonsgegevens onderdeel van goede zorg en betrouwbare ketensamenwerking. Meer over gegevensdeling ketenpartners helpt om ook de samenwerkingskant praktisch in te richten.