AVG-Helpdesk voor Zorg en Welzijn over privacy in de zorg

De AVG in de zorg bepaalt hoe zorgaanbieders omgaan met patiënt- en cliëntgegevens. Gezondheidsgegevens vallen onder de bijzondere persoonsgegevens. Verwerken mag daarom niet zomaar. Er moet een geldige grondslag zijn, het doel moet duidelijk zijn en de organisatie moet passende maatregelen nemen om de gegevens te beschermen.

Voor professionals gaat het niet alleen om de vraag of informatie mag worden vastgelegd. Ook toegang tot een dossier, overleg met een andere hulpverlener, elektronische uitwisseling en het bewaren van gegevens vallen onder verwerking. In dit artikel leest u welke uitgangspunten in de praktijk richting geven aan zorgvuldig handelen.

Wat betekent de AVG in de zorg?

De Algemene verordening gegevensbescherming geldt voor alle zorgaanbieders. De regels zijn dus van toepassing op een ziekenhuis, jeugdhulporganisatie, wijkteam, zelfstandige zorgverlener en andere organisaties die persoonsgegevens verwerken. De AVG werkt daarbij samen met specifieke Nederlandse regels voor de zorg.

Belangrijke kaders zijn onder meer de Wet geneeskundige behandelingsovereenkomst (WGBO), de Uitvoeringswet AVG (UAVG), de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz), de Jeugdwet, de Wet maatschappelijke ondersteuning 2015 en de Wet langdurige zorg. Welke regels precies gelden, hangt af van de soort zorg, de betrokken organisaties en het doel van de verwerking.

Een praktisch overzicht van de privacyregels in Nederland helpt om de AVG te plaatsen naast deze aanvullende wettelijke kaders.

Gezondheidsgegevens verwerken mag alleen met een grondslag

De AVG verbiedt de verwerking van gegevens over gezondheid in beginsel. Op dat verbod bestaan uitzonderingen. Een zorgorganisatie moet kunnen uitleggen welke grondslag en welke uitzondering voor de verwerking gelden.

In de zorg komen vooral deze situaties voor:

• Uitvoering van een behandelovereenkomst: gegevens mogen worden verwerkt als dat noodzakelijk is voor de zorg die de organisatie op grond van de behandelingsovereenkomst verleent.
• Wettelijke verplichting: een wet kan voorschrijven dat gegevens worden vastgelegd, gebruikt of verstrekt. De dossierplicht is daar een voorbeeld van.
• Uitdrukkelijke toestemming: deze grondslag kan nodig zijn als een andere wettelijke basis ontbreekt, bijvoorbeeld bij het delen met een partij die niet bij de behandeling betrokken is.
• Een wettelijke taak: overheidsorganisaties kunnen gezondheidsgegevens verwerken wanneer dat noodzakelijk is voor een duidelijk omschreven publieke taak.

Een zorgverlener moet de grondslag vooraf bepalen. Alleen toestemming vragen om onzekerheid af te dekken is geen goede werkwijze. Toestemming moet vrijwillig, specifiek, geïnformeerd en ondubbelzinnig zijn. Bovendien moet de organisatie kunnen aantonen dat de toestemming is gegeven en moet intrekken mogelijk zijn.

Wanneer mogen zorgverleners medische gegevens delen?

Gegevens delen kan nodig zijn om passende zorg te verlenen, maar een behandelrelatie en een duidelijke taak zijn bepalend. Een hulpverlener mag niet automatisch het volledige dossier doorsturen omdat een andere professional daarom vraagt.

Binnen één behandelovereenkomst kunnen rechtstreeks betrokken zorgverleners informatie uitwisselen voor zover dat nodig is voor de behandeling. Werken meerdere zorgaanbieders vanuit één gezamenlijke behandelingsovereenkomst, dan kan uitwisseling binnen die relatie mogelijk zijn zonder afzonderlijke toestemming. Voor de patiënt moet wel duidelijk zijn met welke partijen de behandelrelatie bestaat.

Bij uitwisseling met een partij buiten de behandelrelatie moet de organisatie opnieuw beoordelen welke grondslag geldt. Ook het medisch beroepsgeheim speelt dan een zelfstandige rol. De AVG alleen geeft dus niet automatisch toestemming om medische informatie te verstrekken.

Bij elektronische uitwisseling gelden bovendien aanvullende regels. De Wabvpz bevat specifieke bepalingen voor elektronische gegevensuitwisselingssystemen in de zorg. In zulke situaties kan uitdrukkelijke toestemming van de patiënt vereist zijn, ook wanneer de verwerking voor de behandeling op zichzelf een andere grondslag heeft.

Meer over dit onderwerp leest u bij gezondheidsgegevens delen, inclusief de relatie tussen grondslag, toestemming en beroepsgeheim.

Het beroepsgeheim blijft een belangrijk toetsingspunt

De geheimhoudingsplicht beschermt informatie die een zorgverlener in het kader van zijn beroep ontvangt. De plicht kan voortkomen uit de wet, het beroep, de behandelingsovereenkomst of de arbeidsrelatie. Alleen bevoegde personen mogen toegang hebben tot gezondheidsgegevens en zij mogen deze gegevens niet voor een ander doel gebruiken.

Bij elk verzoek om informatie is het daarom verstandig om vier vragen te stellen:

1. Wie vraagt de gegevens op en welke rol heeft die persoon?
2. Is deze professional rechtstreeks betrokken bij de behandeling of ondersteuning?
3. Welke gegevens zijn strikt noodzakelijk voor het doel?
4. Is er een wettelijke basis, geldige toestemming of andere grond voor verstrekking?

Leg de afweging vast wanneer de situatie complex is. Dat maakt achteraf inzichtelijk waarom gegevens wel of niet zijn gedeeld. In een regionaal casusoverleg hoort bovendien duidelijk te zijn wie verantwoordelijk is voor de verwerking en welke deelnemers toegang krijgen.

Dataminimalisatie en toegang tot dossiers

De AVG verlangt dat een organisatie niet meer gegevens verwerkt dan nodig is. Dataminimalisatie betekent in de praktijk dat een professional gericht informatie opvraagt en geen compleet dossier deelt wanneer een samenvatting volstaat. Het doel van de verwerking bepaalt welke gegevens relevant zijn.

Toegang moet aansluiten bij de functie en de behandelrelatie. Medewerkers die geen rol hebben bij een patiënt of cliënt horen het dossier niet te kunnen openen. Organisaties kunnen dit ondersteunen met autorisaties per rol, logging, periodieke controles en een procedure voor tijdelijke toegang.

Beveiliging bestaat niet alleen uit techniek. Medewerkers moeten weten hoe zij dossiers, e-mail, mobiele apparaten en gesprekken behandelen. Scholing, duidelijke werkinstructies en toezicht zijn nodig om de regels in de dagelijkse praktijk toe te passen.

Rechten van patiënten en cliënten

Betrokkenen hebben rechten onder de AVG. Zij kunnen onder meer vragen om inzage in hun persoonsgegevens en informatie over de verwerking. Afhankelijk van de situatie kunnen ook correctie, beperking van de verwerking of bezwaar aan de orde zijn. Voor medische dossiers gelden daarnaast regels uit de WGBO.

Een organisatie moet verzoeken zorgvuldig beoordelen en binnen de wettelijke termijn reageren. Het recht op verwijdering is niet onbeperkt. Een wettelijke bewaarplicht of de noodzaak om de behandeling te documenteren kan betekenen dat gegevens niet direct mogen worden verwijderd.

De privacyverklaring moet begrijpelijk uitleggen welke gegevens worden verwerkt, met welk doel, op welke grondslag en met wie gegevens worden gedeeld. Transparantie begint dus niet pas wanneer een patiënt een vraag stelt.

Gegevensdeling organiseren in een zorgnetwerk

Samenwerking tussen zorg, gemeente en veiligheid vraagt om meer dan een algemene afspraak dat partners informatie mogen delen. Voor een werkbare inrichting zijn ten minste deze onderdelen nodig:

• beschrijf het gezamenlijke doel van de samenwerking;
• bepaal per deelnemer de rol en verantwoordelijkheid;
• leg vast welke grondslagen en beroepsgeheimen gelden;
• werk met duidelijke criteria voor noodzakelijkheid en proportionaliteit;
• spreek af wie welke gegevens mag zien en hoe toegang wordt gecontroleerd;
• bepaal hoe lang informatie wordt bewaard en wanneer deze wordt vernietigd;
• informeer betrokkenen over de verwerking, tenzij een wettelijke uitzondering geldt;
• evalueer de afspraken wanneer doelen, systemen of deelnemers veranderen.

Een casusoverleg zorg en veiligheid werkt beter wanneer deelnemers deze punten vooraf hebben uitgewerkt. Zo voorkomt het team dat een overleg automatisch leidt tot brede verspreiding van gevoelige informatie.

Bij een nieuwe of omvangrijke gegevensverwerking kan een data protection impact assessment (DPIA) nodig zijn. Een DPIA brengt privacyrisico's in kaart en helpt om maatregelen te kiezen voordat een nieuwe werkwijze of koppeling in gebruik wordt genomen.

Wat doet u bij een datalek?

Een datalek kan ontstaan door een verkeerd geadresseerde e-mail, verlies van een apparaat, onbevoegde toegang of het onjuist aanpassen of verwijderen van gegevens. De organisatie moet een incident snel beoordelen, de gevolgen beperken en vastleggen wat er is gebeurd.

Beoordeel in elk geval:

• welke persoonsgegevens zijn betrokken;
• van hoeveel personen de gegevens afkomstig zijn;
• of het om gezondheidsgegevens of andere gevoelige informatie gaat;
• welke risico's de betrokkenen lopen;
• welke maatregelen direct nodig zijn;
• of melding aan de Autoriteit Persoonsgegevens en aan betrokkenen verplicht is.

Een vaste meldprocedure en een bereikbaar aanspreekpunt helpen om geen tijd te verliezen. Ook een incident dat uiteindelijk niet hoeft te worden gemeld, moet volgens de interne procedure worden geregistreerd en geëvalueerd.

Veelgestelde vragen over AVG in de zorg

Is toestemming altijd nodig om gezondheidsgegevens te verwerken?

Nee. Voor veel verwerkingen in de zorg biedt de wet een grondslag, bijvoorbeeld de behandelovereenkomst, een dossierplicht of een andere wettelijke verplichting. Toestemming is wel nodig wanneer geen andere grondslag beschikbaar is of wanneer een specifieke zorgwet dat voorschrijft, zoals bij bepaalde elektronische uitwisselingen.

Mag een huisarts het volledige dossier met een andere zorgverlener delen?

Niet automatisch. De huisarts moet nagaan of de andere zorgverlener rechtstreeks betrokken is, welke informatie noodzakelijk is en of het beroepsgeheim de verstrekking toelaat. Een beperkte, doelgerichte overdracht is vaak passender dan het delen van het volledige dossier.

Is pseudonimiseren hetzelfde als anonimiseren?

Nee. Bij pseudonimiseren kunnen gegevens met aanvullende informatie nog aan een persoon worden gekoppeld. Bij echte anonimisering is identificatie niet meer redelijkerwijs mogelijk. De beoordeling hangt af van de beschikbare middelen en de context. Ook het proces waarmee gegevens worden geanonimiseerd moet zorgvuldig worden ingericht.

Wanneer is een FG betrokken bij privacy in de zorg?

Een functionaris voor gegevensbescherming adviseert, houdt toezicht en bevordert deskundigheid binnen de organisatie. Of een organisatie verplicht een FG moet hebben, hangt af van de wettelijke criteria en de aard en omvang van de verwerkingen. Zorgorganisaties doen er goed aan deze verplichting afzonderlijk te beoordelen.

Conclusie

AVG in de zorg betekent dat gezondheidsgegevens alleen doelgericht, noodzakelijk en veilig worden verwerkt. De juiste aanpak begint met het bepalen van de grondslag en het doel. Daarna volgen de toets aan het beroepsgeheim, dataminimalisatie, passende autorisaties en duidelijke afspraken over delen.

Zorgvuldige privacybescherming hoeft samenwerking niet te blokkeren. Met een onderbouwde werkwijze kunnen professionals relevante informatie delen waar dat nodig is, terwijl zij de rechten en belangen van patiënten en cliënten blijven beschermen. Gebruik voor uw eigen situatie altijd de toepasselijke wet- en regelgeving en leg complexe afwegingen vast.