Gezondheidsgegevens verwerken volgens de AVG

Wie zoekt op de AVG, de wet en de zorg wil meestal weten wanneer gezondheidsgegevens mogen worden verwerkt of gedeeld. De hoofdregel is terughoudend: gegevens over gezondheid vallen onder een bijzondere categorie persoonsgegevens en mogen niet zomaar worden gebruikt. De AVG kent wel uitzonderingen, bijvoorbeeld wanneer verwerking noodzakelijk is voor zorgverlening of wanneer een wettelijke regeling dat toestaat.

In dit artikel leest u hoe die regels in de praktijk samenhangen. De aandacht ligt op de grondslag voor verwerking, toestemming, het beroepsgeheim en gegevensdeling tussen zorgprofessionals en andere partijen.

Wat betekent de AVG voor gezondheidsgegevens in de zorg?

Gezondheidsgegevens zijn gegevens over de lichamelijke of geestelijke gezondheid van een persoon. Het gaat bijvoorbeeld om klachten, diagnoses, behandelingen en informatie in een patiëntendossier. Ook het verzamelen, vastleggen, raadplegen, delen en vernietigen van deze gegevens is een verwerking.

De AVG verbiedt in beginsel het verwerken van gezondheidsgegevens. Dat verbod betekent niet dat zorgverlening onmogelijk is. De verordening bevat uitzonderingen voor situaties waarin verwerking noodzakelijk is en aan de overige AVG-eisen wordt voldaan. In de zorg ligt de basis vaak in een specifieke wet of in de behandelingsovereenkomst.

Voor professionals is het onderscheid belangrijk tussen:

• de algemene grondslag voor het verwerken van persoonsgegevens;
• de aanvullende voorwaarde voor bijzondere persoonsgegevens, zoals gezondheidsgegevens;
• eventuele regels over geheimhouding en het verstrekken van informatie aan derden.

Een verwerking is dus niet automatisch toegestaan omdat zij praktisch of nuttig is. Leg vast welk doel u heeft, welke gegevens daarvoor nodig zijn en op welke wettelijke basis u handelt.

Welke wettelijke grondslag geldt in de zorg?

De AVG vereist een grondslag voor het verwerken van persoonsgegevens. Voor gezondheidsgegevens is daarnaast een uitzondering op het verbod voor bijzondere persoonsgegevens nodig. In veel gewone zorgprocessen volgen die mogelijkheden uit de wet.

De Wet op de geneeskundige behandelingsovereenkomst, de WGBO, is een belangrijk voorbeeld. De arts moet een dossier bijhouden dat nodig is voor goede zorg. Ook voor andere hulpverleners, zorginstellingen en maatschappelijke dienstverleners kan een wettelijke dossierplicht gelden.

Andere wetten kunnen voor specifieke situaties relevant zijn, zoals:

• de Uitvoeringswet AVG;
• de Jeugdwet;
• de Wet maatschappelijke ondersteuning 2015;
• de Wet langdurige zorg;
• de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg;
• de Wet kwaliteit, klachten en geschillen zorg;
• de Zorgverzekeringswet.

Welke wet van toepassing is, hangt af van de taak, de organisatie en het doel van de verwerking. Een gemeente die ondersteuning organiseert, werkt niet automatisch vanuit dezelfde grondslag als een behandelend arts. Controleer daarom steeds de wettelijke taak en de concrete gegevensverwerking.

Meer achtergrond over het onderwerp staat in onze uitleg over AVG gegevensdeling zorg. Die informatie helpt om de grondslag te onderscheiden van andere voorwaarden voor gegevensuitwisseling.

Is toestemming altijd nodig?

Nee. Voor veel gebruikelijke verwerkingen in de zorg is toestemming op grond van de AVG niet nodig, omdat de verwerking op een wettelijke grondslag berust. Denk aan het bijhouden van een dossier voor de behandeling van een patiënt.

Toestemming kan wel nodig zijn als er geen andere passende grondslag is. De toestemming moet dan vrijwillig, specifiek, geïnformeerd en ondubbelzinnig zijn. Een algemene handtekening voor alle mogelijke toekomstige verwerkingen geeft niet vanzelf een geldige basis.

Let ook op het verschil tussen toestemming volgens de AVG en toestemming volgens andere wetten. Bij het doorbreken van het beroepsgeheim kan toestemming van de patiënt nodig zijn. Voor elektronische uitwisseling van gegevens kunnen bovendien regels uit de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg gelden.

Vraag niet standaard toestemming voor iedere verwerking. Onderzoek eerst welke wettelijke regels gelden. Een extra toestemmingsformulier lost een ontbrekende wettelijke basis niet op en kan voor de patiënt onduidelijkheid veroorzaken.

Wanneer mogen zorgprofessionals gegevens delen?

Delen is een vorm van verwerken. De vraag of informatie mag worden verstrekt, moet daarom afzonderlijk worden beoordeeld. Naast de AVG spelen het beroepsgeheim, de behandelrelatie en sectorspecifieke wetgeving een rol.

Een zorgprofessional kan gezondheidsgegevens doorgaans delen als:

1. de patiënt daarvoor toestemming heeft gegeven en de toestemming geldig is;
2. een wettelijke bepaling het delen verplicht of toestaat;
3. de ontvanger betrokken is bij de behandeling en de uitwisseling noodzakelijk is voor goede zorg, binnen de geldende regels.

De geheimhoudingsplicht vormt daarbij een belangrijke grens. Personen die bij de verwerking van gezondheidsgegevens betrokken zijn, kunnen aan geheimhouding gebonden zijn door hun beroep, de behandelingsovereenkomst, hun arbeidsovereenkomst of de wet. Alleen bevoegde personen mogen de informatie inzien.

Bij samenwerking tussen zorg, gemeente en veiligheid is extra zorgvuldigheid nodig. Een gezamenlijke casus of een maatschappelijk doel is op zichzelf geen reden om het volledige dossier te delen. Bespreek alleen de informatie die noodzakelijk is voor het omschreven doel en bepaal vooraf wie welke rol heeft.

Wie de basis van het begrip persoonsgegevens nog moet afbakenen, kan beginnen met deze uitleg over gevoelige persoonsgegevens. Dat helpt om te bepalen welke informatie extra bescherming nodig heeft.

Een praktisch stappenplan voor zorgorganisaties

Gebruik bij een nieuwe verwerking of een verzoek om gegevensdeling de volgende volgorde.

1. Bepaal het doel

Beschrijf concreet wat u wilt bereiken. Een doel als samenwerking verbeteren is te algemeen. Formuleer bijvoorbeeld dat u informatie nodig heeft om een behandeling af te stemmen of een wettelijke taak uit te voeren.

2. Breng de gegevens in kaart

Noteer welke gegevens nodig zijn en laat informatie weg die niet bij het doel past. Gezondheidsgegevens verdienen extra bescherming. Ook identificerende gegevens, zoals een burgerservicenummer, moeten volgens de toepasselijke zorgregels worden gebruikt.

3. Controleer de grondslag

Zoek de basis in de AVG en in de relevante zorgwet. Controleer ook of de organisatie bevoegd is voor de taak en of een wettelijke dossierplicht of uitwisselingsregel geldt.

4. Beoordeel geheimhouding en ontvangers

Bepaal wie de informatie mag ontvangen, welke beroeps- of wettelijke geheimhoudingsplicht geldt en of de patiënt moet worden geïnformeerd of toestemming moet geven. Een ontvanger buiten de behandelrelatie vraagt om een afzonderlijke beoordeling.

5. Beperk toegang en bewaartermijn

Geef alleen bevoegde medewerkers toegang. Leg vast hoe lang de gegevens nodig zijn en wanneer ze worden verwijderd of vernietigd volgens de toepasselijke regels.

6. Leg de keuze vast

Documenteer het doel, de grondslag, de afweging over noodzakelijkheid en de toegestane ontvangers. Zo is voor collega’s en toezichthouders zichtbaar waarom de verwerking passend is.

Veelgemaakte fouten bij de AVG in de zorg

Een aantal fouten komt terug in de dagelijkse praktijk:

• toestemming vragen zonder te controleren of een wet de verwerking al regelt;
• het beroepsgeheim behandelen als een algemene regel zonder uitzonderingen of wettelijke verplichtingen te onderzoeken;
• meer informatie delen dan nodig is voor het doel;
• aannemen dat iedere partner in een zorg- of veiligheidsoverleg dezelfde toegang heeft;
• niet vastleggen waarom gegevens zijn gedeeld;
• gezondheidsgegevens verwarren met algemene contact- of administratieve informatie, waardoor de beoordeling te beperkt blijft.

Een goede procedure begint niet met een formulier, maar met een heldere vraag. Welke gegevens zijn nodig, voor welk doel en op welke basis? Daarna kunt u bepalen welke informatie u deelt en met wie.

Veelgestelde vragen over de AVG en zorg

Mag een zorgverlener gezondheidsgegevens verwerken zonder toestemming?

Dat kan. De AVG vereist niet voor iedere verwerking toestemming. Als een wettelijke grondslag of een noodzakelijke verwerking binnen de behandelrelatie van toepassing is, kan toestemming volgens de AVG achterwege blijven. Voor het delen met derden kunnen andere regels alsnog toestemming verlangen.

Is een gezondheidsdossier altijd een verwerking volgens de AVG?

Ja. Zowel het aanleggen en bijhouden van een dossier als het raadplegen, wijzigen, delen en vernietigen van de informatie valt onder verwerken. Voor iedere handeling moet de organisatie binnen de geldende grondslag en beveiligingsregels blijven.

Mag een gemeente medische gegevens van een zorgaanbieder ontvangen?

Niet automatisch. De gemeente moet een eigen wettelijke basis en een duidelijk doel hebben. Daarnaast moeten de regels over beroepsgeheim en het verstrekken van gezondheidsgegevens worden gerespecteerd. Beoordeel dus de concrete taak, de noodzakelijkheid en de bevoegdheid van de ontvanger.

Wat is het verschil tussen de AVG en het beroepsgeheim?

De AVG regelt onder meer wanneer persoonsgegevens mogen worden verwerkt en welke eisen aan die verwerking worden gesteld. Het beroepsgeheim beperkt daarnaast welke informatie een professional aan anderen mag verstrekken. Beide kaders kunnen tegelijk van toepassing zijn.

Conclusie

De AVG, de zorgwetgeving en het beroepsgeheim bepalen samen hoe organisaties gezondheidsgegevens mogen verwerken. Toestemming is niet altijd nodig, maar iedere verwerking heeft wel een duidelijke grondslag, een specifiek doel en passende waarborgen nodig.

Voor een zorgvuldige werkwijze controleert u eerst het doel en de noodzakelijke gegevens. Daarna beoordeelt u de wettelijke basis, de geheimhoudingsplicht, de ontvangers en de beveiliging. Zo kunnen zorgprofessionals en ketenpartners samenwerken met respect voor de rechten van patiënten en cliënten.