Gezondheidsgegevens verwerken volgens de AVG in de zorg

De AVG in de gezondheidszorg bepaalt onder welke voorwaarden zorgaanbieders gezondheidsgegevens mogen verwerken, bewaren en delen. Omdat het om bijzondere persoonsgegevens gaat, gelden hiervoor extra strenge regels. De juiste aanpak begint niet met de vraag of toestemming kan worden gevraagd, maar met het vaststellen van het doel, de wettelijke grondslag en de regels rond het beroepsgeheim.

In dit artikel leest u wat de belangrijkste uitgangspunten zijn voor zorginstellingen, hulpverleners en professionals die met patiënt- of cliëntgegevens werken. Ook komt aan bod wanneer toestemming nodig is, welke wetten naast de AVG een rol spelen en hoe u gegevensdeling in de praktijk zorgvuldig organiseert.

Zorgprofessionals bespreken een patiëntdossier tijdens een overleg aan tafel

Wat betekent de AVG in de gezondheidszorg?

Gezondheidsgegevens zijn gegevens over iemands lichamelijke of geestelijke gezondheid. De AVG beschouwt deze informatie als een bijzondere categorie persoonsgegevens. Het verwerken ervan is in principe verboden, tenzij een uitzondering uit de AVG van toepassing is en er een geldige grondslag bestaat.

Verwerken is breed. Het gaat niet alleen om het lezen van een medisch dossier of het versturen van een uitslag. Ook verzamelen, vastleggen, opslaan, raadplegen, wijzigen, delen en vernietigen vallen eronder. Daardoor heeft de AVG betrekking op vrijwel iedere handeling met patiënt- en cliëntgegevens.

Een zorgaanbieder moet dus steeds kunnen uitleggen:

welk doel de verwerking heeft;
welke grondslag daarvoor geldt;
welke gegevens noodzakelijk zijn;
wie toegang mag hebben;
hoe lang de gegevens worden bewaard;
welke beveiligingsmaatregelen zijn getroffen.

De AVG staat daarbij niet los van zorgspecifieke wetgeving. De privacyregels voor zorg en veiligheid bestaan uit meerdere kaders die samen bepalen wat professionals mogen doen.

Wanneer mogen zorgverleners gezondheidsgegevens verwerken?

Voor de meest voorkomende verwerkingen in de zorg ligt de grondslag vaak in een wet. De Wet op de geneeskundige behandelingsovereenkomst, de WGBO, verplicht een arts bijvoorbeeld om een dossier van de patiënt bij te houden. Dat dossier ondersteunt de behandeling en bevat informatie over klachten, onderzoek en behandeling.

Ook andere zorgverleners, instellingen en voorzieningen voor gezondheidszorg of maatschappelijke dienstverlening kunnen een wettelijke dossierplicht hebben. Daarnaast kunnen onder meer de volgende wetten relevant zijn:

de Uitvoeringswet AVG, de UAVG;
de Jeugdwet;
de Wet maatschappelijke ondersteuning 2015;
de Wet langdurige zorg;
de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg, de Wabvpz;
de Wet kwaliteit, klachten en geschillen zorg;
de Zorgverzekeringswet;
de Wet marktordening gezondheidszorg.

Welke wet van toepassing is, hangt af van de organisatie, de taak en het doel van de verwerking. Een gemeente die ondersteuning organiseert heeft niet automatisch dezelfde bevoegdheid als een behandelend arts. Ook een zorgverzekeraar, toezichthouder en zorgaanbieder hebben ieder hun eigen wettelijke rol.

Een publieke taak kan eveneens een grondslag bieden. In dat geval is toestemming van de patiënt niet altijd nodig. De patiënt kan onder omstandigheden wel bezwaar maken tegen de verwerking. Dit kan bijvoorbeeld spelen bij overheidsverwerkingen voor beleidsdoeleinden, planning of controle.

Is toestemming nodig voor medische gegevens?

Toestemming is niet standaard nodig voor iedere verwerking van gezondheidsgegevens. Als een wettelijke regel de verwerking al toestaat of verplicht stelt, is een extra toestemming op grond van de AVG meestal niet nodig. Toestemming vragen voor de zekerheid maakt het proces niet automatisch juridisch sterker.

Toestemming kan wel nodig zijn wanneer geen andere grondslag beschikbaar is. De toestemming moet dan aan strenge voorwaarden voldoen. Zij moet onder meer vrij, specifiek, geïnformeerd en ondubbelzinnig zijn. De organisatie moet kunnen aantonen dat de toestemming is gegeven en moet duidelijk maken hoe deze kan worden ingetrokken.

Daarbij is een belangrijk onderscheid nodig. De AVG-grondslag en de toestemming die op grond van een andere zorgwet nodig is, zijn niet hetzelfde. Bij het doorbreken van het beroepsgeheim kan bijvoorbeeld toestemming van de patiënt nodig zijn, ook wanneer de AVG-verwerking op zichzelf een grondslag heeft. Voor elektronische uitwisseling kunnen op grond van de Wabvpz aanvullende voorwaarden gelden.

Een praktische beoordeling bestaat daarom uit twee afzonderlijke vragen:

Heeft de organisatie volgens de AVG een grondslag voor de verwerking?
Mogen de gegevens op grond van het beroepsgeheim en andere zorgwetgeving aan deze ontvanger worden verstrekt?

Pas als beide vragen positief zijn beantwoord, is gegevensdeling verantwoord. Bij twijfel is het verstandig de functionaris gegevensbescherming of privacyadviseur te betrekken.

Wat betekent het beroepsgeheim voor gegevensdeling?

Professionals in de gezondheidszorg hebben een geheimhoudingsplicht. Die plicht kan voortkomen uit hun beroep, de behandelingsovereenkomst, een arbeidsovereenkomst of een wettelijke regel. De plicht blijft ook van belang wanneer een organisatie technisch toegang tot een dossier kan geven.

Gezondheidsgegevens mogen in beginsel alleen aan anderen worden verstrekt met toestemming van de patiënt of wanneer een wettelijke verplichting daarvoor bestaat. Bovendien mogen onbevoegden de gegevens niet inzien. Een medewerker die uit nieuwsgierigheid een dossier opent, handelt dus niet rechtmatig, ook als het systeem die toegang technisch mogelijk maakt.

Bij samenwerking tussen zorg, gemeente en veiligheid moet iedere partij daarom vooraf vastleggen:

welke partij welke rol heeft;
voor welk doel gegevens worden gedeeld;
welke gegevens noodzakelijk zijn;
wie de ontvangers zijn;
welke wettelijke basis en eventuele toestemming gelden;
hoe de verstrekking wordt geregistreerd.

Een gezamenlijke casusbespreking maakt niet vanzelf iedere deelnemer bevoegd om alle informatie te ontvangen. De noodzaak van de uitwisseling en de positie van iedere deelnemer moeten afzonderlijk worden beoordeeld. Meer uitleg over dit onderscheid staat in het artikel over privacy bij gegevensdeling.

Welke gegevens mogen worden gedeeld?

De AVG vraagt om terughoudendheid. Deel niet meer gegevens dan nodig zijn voor het vastgestelde doel. Een professional die alleen moet weten welke ondersteuning nodig is, hoeft niet zonder meer het volledige medische dossier te ontvangen.

Een bruikbare werkwijze is om vóór iedere verstrekking vier punten te controleren:

Doel: welk concreet doel moet met de uitwisseling worden bereikt?
Noodzaak: kan dat doel met minder of minder gedetailleerde gegevens worden bereikt?
Ontvanger: heeft deze persoon of organisatie een passende taak en bevoegdheid?
Vastlegging: is duidelijk waarom, wanneer en op basis waarvan is gedeeld?

Pseudonimisering of anonimisering kan het risico beperken wanneer identificatie niet nodig is. Anonimiseren betekent dat de informatie niet meer naar een persoon te herleiden is. Bij pseudonimiseren blijft herleiding onder voorwaarden mogelijk. De organisatie moet dan nog steeds zorgvuldig omgaan met de resterende persoonsgegevens.

Beveiliging en toegang tot patiëntgegevens

Zorgorganisaties moeten gezondheidsgegevens passend beveiligen tegen verlies, onbevoegde toegang, wijziging en vernietiging. Beveiliging bestaat niet alleen uit technische maatregelen. Ook autorisaties, logging, instructies, toezicht en periodieke controles zijn nodig.

Alleen de behandelaar en medewerkers die voor hun taak toegang nodig hebben, mogen een dossier bekijken. Een organisatie moet daarom toegangsrechten aansluiten op functies en werkzaamheden. Een medewerker die van afdeling verandert, mag niet automatisch dezelfde toegang houden. Het is ook nodig om na te gaan of medewerkers dossiers daadwerkelijk raadplegen voor een legitiem doel.

De Autoriteit Persoonsgegevens kondigde in december 2025 aan steekproefsgewijs zorgaanbieders te bezoeken om te controleren hoe zij omgaan met patiënt- en cliëntgegevens. De toezichthouder wees daarbij op toegangscontrole, beveiliging tegen hacks en datalekken en zorgvuldige elektronische uitwisseling.

De omvang van het risico blijkt ook uit het aantal meldingen. De AP ontving in 2024 ruim 6.800 datalekmeldingen van organisaties in de sectoren gezondheid en welzijn. Dat is geen reden om alleen op incidenten te reageren. Beveiliging hoort onderdeel te zijn van de dagelijkse inrichting van zorgprocessen.

Identificatie en het BSN in de zorg

In de gezondheidszorg geldt een identificatieplicht. Een hulpverlener controleert de identiteit van een patiënt aan de hand van een identiteitsbewijs. Een kopie of scan van dat bewijs maken mag niet. De soort en het nummer van het identiteitsbewijs mogen wel in de administratie worden opgenomen.

Zorgverleners zijn daarnaast wettelijk verplicht het burgerservicenummer te gebruiken. Zij leggen het BSN vast en gebruiken het bij het uitwisselen van patiëntgegevens met andere zorgaanbieders en zorgverzekeraars. Dat betekent niet dat het BSN vrijelijk voor ieder doel mag worden gebruikt. Ook hier blijven doelbinding, noodzakelijkheid, toegang en beveiliging van belang.

Wat doet een functionaris gegevensbescherming?

Een functionaris gegevensbescherming, de FG, adviseert over de toepassing van de privacyregels en houdt toezicht op de naleving. In zorgorganisaties waar de verwerking van bijzondere persoonsgegevens een kerntaak is, kan een FG verplicht zijn. Dat geldt ook voor overheidsinstanties en publieke organisaties.

De FG kan onder meer helpen bij:

het beoordelen van verwerkingen en grondslagen;
het opstellen of toetsen van privacybeleid;
het geven van advies over gegevensdeling;
het organiseren van bewustwording en scholing;
het beoordelen van risico's en beveiligingsmaatregelen;
het opvolgen van incidenten en datalekken.

De FG vervangt niet de verantwoordelijkheid van het bestuur of de zorgaanbieder. De organisatie blijft verantwoordelijk voor rechtmatige verwerking, passende beveiliging en aantoonbare naleving.

Praktische checklist voor AVG in de gezondheidszorg

Gebruik deze controle voordat u een nieuwe verwerking of gegevensuitwisseling start:

Beschrijf het doel in concrete termen.
Bepaal welke gegevens strikt noodzakelijk zijn.
Leg de AVG-grondslag vast.
Controleer aanvullende regels uit bijvoorbeeld de WGBO, Wabvpz, Jeugdwet, Wmo of Wlz.
Beoordeel of het beroepsgeheim wordt geraakt.
Controleer de bevoegdheid van iedere ontvanger.
Regel passende autorisaties en logging.
Informeer patiënten of cliënten begrijpelijk over de verwerking.
Leg toestemming aantoonbaar vast als die nodig is.
Spreek af hoe u verzoeken, bezwaren en incidenten behandelt.
Evalueer de werkwijze wanneer het doel, systeem of samenwerkingsverband verandert.

Deze checklist is een startpunt. De concrete beoordeling blijft afhankelijk van de feiten, de betrokken partijen en de toepasselijke wetgeving.

Veelgestelde vragen over AVG in de gezondheidszorg

Mag een zorgverlener medische gegevens zonder toestemming verwerken?

Vaak wel, als een wettelijke grondslag de verwerking toestaat of verplicht stelt. Voor de verstrekking aan derden of het doorbreken van het beroepsgeheim kunnen aanvullende regels gelden. Beoordeel daarom zowel de AVG-grondslag als de zorgspecifieke regels.

Mag een gemeente medische gegevens van een zorgaanbieder ontvangen?

Dat hangt af van de taak, het doel, de wettelijke basis, de noodzakelijkheid en het beroepsgeheim. Een gemeente heeft niet door haar rol automatisch recht op een volledig medisch dossier. Alleen informatie die voor een rechtmatige taak noodzakelijk is, kan in aanmerking komen.

Wie mag een patiëntendossier inzien?

De behandelaar en medewerkers die de gegevens voor hun taak nodig hebben. Organisaties moeten toegang beperken, controleren en waar passend loggen. Nieuwsgierigheid of algemene organisatorische toegang is geen rechtmatige reden om een dossier te openen.

Wat moet een zorgorganisatie doen bij een datalek?

Beoordeel het incident direct, beperk de gevolgen, leg de feiten vast en bepaal of melding aan de Autoriteit Persoonsgegevens en aan betrokkenen nodig is. Volg daarbij het interne datalekkenproces en neem maatregelen om herhaling te voorkomen.

Conclusie

De AVG in de gezondheidszorg verbiedt het verwerken van gezondheidsgegevens niet absoluut. De kern is dat iedere verwerking een passende grondslag, een duidelijk doel en voldoende bescherming nodig heeft. Toestemming is slechts één mogelijkheid en is voor veel reguliere zorgtaken niet de primaire basis.

Voor zorgaanbieders ligt de praktische opdracht in het verbinden van de AVG met de WGBO, het beroepsgeheim, de Wabvpz en andere toepasselijke wetten. Door toegang te beperken, alleen noodzakelijke gegevens te delen en beslissingen vast te leggen, kunnen professionals privacy en goede samenwerking combineren. Bij complexe ketensamenwerking helpt een gezamenlijke werkwijze om verantwoordelijkheden en gegevensstromen vooraf helder te maken.