Gezondheidsgegevens verwerken in de zorg

Privacywetgeving in de zorg bepaalt wat organisaties met gezondheidsgegevens mogen doen en onder welke voorwaarden zij die gegevens mogen delen. Voor professionals is vooral het onderscheid belangrijk tussen gegevens verwerken binnen de zorgrelatie, gegevens verstrekken aan andere partijen en gegevens uitwisselen in een keten.

De term privacywetgeving zorg omvat niet één regel. De Algemene verordening gegevensbescherming (AVG) vormt het algemene kader. Daar komen Nederlandse wetten bij, zoals de Wet geneeskundige behandelingsovereenkomst (WGBO), de Uitvoeringswet AVG (UAVG), de Jeugdwet, de Wet maatschappelijke ondersteuning 2015 (Wmo) en de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz). In dit artikel staat hoe u die kaders in de praktijk kunt toepassen.

Wat betekent privacywetgeving zorg voor gezondheidsgegevens?

Gezondheidsgegevens zijn persoonsgegevens over iemands lichamelijke of geestelijke gezondheid. De AVG beschouwt deze gegevens als bijzonder gevoelig. Verwerking is daarom in beginsel verboden, behalve wanneer een uitzondering uit de AVG van toepassing is en aan de overige eisen van de verordening wordt voldaan.

Verwerken is breder dan opslaan. Ook verzamelen, raadplegen, analyseren, uitwisselen, verstrekken en vernietigen vallen hieronder. Een zorgorganisatie moet dus niet alleen kijken naar het dossier, maar naar de hele levensloop van de gegevens.

Een zorgverlener kan gezondheidsgegevens bijvoorbeeld verwerken om zorg of hulp te verlenen binnen een behandelrelatie. Een wettelijke verplichting kan daarvoor ook de basis zijn. De WGBO bevat onder meer regels over de behandelingsovereenkomst en het medisch dossier. Andere zorg- en maatschappelijke dienstverleners kunnen eveneens een wettelijke dossierplicht hebben.

Welke wetten zijn relevant?

De juiste beoordeling begint met de vraag welke activiteit u uitvoert en welke partijen erbij betrokken zijn. In de zorg kunnen meerdere wetten tegelijk van toepassing zijn. De belangrijkste kaders zijn:

• AVG: regels voor persoonsgegevens, bijzondere persoonsgegevens, grondslagen, transparantie, beveiliging en rechten van betrokkenen.
• UAVG: Nederlandse uitvoeringsregels bij de AVG.
• WGBO: regels over de behandelovereenkomst, het medisch dossier en het beroepsgeheim.
• Wabvpz: aanvullende regels voor het verwerken en uitwisselen van persoonsgegevens in de zorg, waaronder elektronische uitwisseling.
• Jeugdwet, Wmo 2015 en Wlz: regels voor gegevensverwerking binnen de jeugdhulp, maatschappelijke ondersteuning en langdurige zorg.
• Wkkgz, Zorgverzekeringswet en Wmg: kaders voor kwaliteit, vergoedingen, toezicht en taken in de zorg.

Deze wetten geven niet automatisch toestemming om alle beschikbare informatie te delen. Per situatie blijft nodig: een duidelijk doel, een passende grondslag, noodzakelijkheid en een zorgvuldige afweging van de belangen van de betrokkene.

Wanneer mag een zorgorganisatie gegevens verwerken?

Een organisatie mag gezondheidsgegevens verwerken als daarvoor een grondslag bestaat. In de praktijk is die grondslag vaak geregeld in de wet. Denk aan het bijhouden van een dossier om goede zorg te kunnen verlenen, of aan verwerking die nodig is voor een wettelijke taak.

Toestemming is daarom niet altijd de standaardoplossing. De AVG verlangt toestemming alleen wanneer geen andere grondslag beschikbaar is. Als toestemming nodig is, moet zij onder meer vrij, specifiek, geïnformeerd en ondubbelzinnig zijn. Toestemming moet bovendien kunnen worden ingetrokken.

Let op het verschil tussen verwerking en verstrekking. Een zorgverlener kan gegevens nodig hebben voor de eigen behandeling, terwijl het delen met een andere hulpverlener onder aanvullende regels valt. Voor het doorbreken van het beroepsgeheim is in veel situaties toestemming van de patiënt nodig, tenzij een wettelijke uitzondering of verplichting geldt.

Vraag niet routinematig toestemming zonder eerst vast te stellen waarom die nodig is. Een ongerichte toestemmingsvraag maakt de registratie zwaarder en kan bij de patiënt onduidelijkheid veroorzaken over wat er met de gegevens gebeurt.

Gezondheidsgegevens delen met ketenpartners

Gegevensdeling in de zorg- en veiligheidsketen vraagt een afzonderlijke beoordeling. Een overlegtafel, gemeente, zorginstelling of veiligheidshuis mag niet uitgaan van een algemene afspraak om informatie te delen. De betrokken organisaties moeten per doel vaststellen welke gegevens noodzakelijk zijn en wie ze nodig heeft.

Gebruik bij een casusoverleg deze vragen:

1. Wat is het doel? Beschrijf het concrete probleem dat u met de gegevens wilt aanpakken.
2. Welke gegevens zijn noodzakelijk? Beperk de informatie tot wat nodig is voor dat doel.
3. Welke grondslag geldt? Leg vast op welke wettelijke bepaling, taak of andere grondslag de verwerking berust.
4. Geldt een geheimhoudingsplicht? Controleer of een beroepsgeheim of contractuele geheimhouding aanvullende voorwaarden stelt.
5. Wie ontvangt de informatie? Maak duidelijk welke professional of organisatie toegang krijgt en waarom.
6. Hoe wordt de betrokkene geïnformeerd? Leg begrijpelijk uit wat er met de gegevens gebeurt, tenzij een wettelijke uitzondering geldt.
7. Hoe wordt de uitwisseling beveiligd? Spreek af hoe gegevens worden gedeeld, bewaard en verwijderd.

Een bredere aanpak van ketensamenwerking betekenis helpt om rollen, verantwoordelijkheden en werkafspraken vooraf helder te maken. Dat vervangt geen juridische beoordeling, maar voorkomt wel dat privacy pas aan de orde komt nadat informatie al is uitgewisseld.

Bij samenwerking rond jeugd en veiligheid is extra precisie nodig. De informatie delen jeugdveiligheid moet aansluiten op het doel van de aanpak en op de wettelijke positie van iedere deelnemer. Een convenant kan werkafspraken vastleggen, maar vormt op zichzelf geen grondslag voor iedere afzonderlijke gegevensverstrekking.

Welke verplichtingen heeft de zorgorganisatie?

Privacywetgeving vraagt niet alleen om toestemming of een grondslag. Zorgorganisaties moeten ook kunnen aantonen dat zij zorgvuldig werken. Dat betekent dat beleid, processen en technische maatregelen op elkaar aansluiten.

Register en privacybeleid

Een zorgaanbieder moet kunnen verantwoorden welke verwerkingen plaatsvinden. Een register van verwerkingsactiviteiten helpt om doelen, categorieën gegevens, ontvangers, bewaartermijnen en beveiligingsmaatregelen overzichtelijk vast te leggen. Voor organisaties die bijzondere persoonsgegevens verwerken, is passend privacybeleid een belangrijk onderdeel van die verantwoordingsplicht.

Beveiliging en autorisaties

Niet iedere medewerker heeft toegang nodig tot ieder dossier. Werk met rollen en autorisaties die aansluiten op de taak van de gebruiker. Controleer ook periodiek of toegangen nog nodig zijn. Beveiliging gaat daarnaast over veilige systemen, zorgvuldig omgaan met documenten en een procedure voor incidenten en datalekken.

Functionaris voor gegevensbescherming

In bepaalde situaties is een functionaris voor gegevensbescherming (FG) verplicht. Bij zorgorganisaties kan dat aan de orde zijn omdat het op grote schaal verwerken van gezondheidsgegevens een kernactiviteit is. De FG adviseert en houdt toezicht op de naleving, maar neemt niet de verantwoordelijkheid van het bestuur of de proceseigenaar over.

Gegevensbeschermingseffectbeoordeling

Een gegevensbeschermingseffectbeoordeling, ook wel DPIA genoemd, is verplicht wanneer een verwerking waarschijnlijk een hoog risico oplevert voor de rechten en vrijheden van mensen. Een DPIA brengt risico's vooraf in beeld en helpt om maatregelen te kiezen voordat een nieuw systeem, proces of gegevenskoppeling in gebruik wordt genomen.

Rechten van patiënten en cliënten

Betrokkenen hebben onder de AVG verschillende rechten. Zij kunnen onder meer informatie vragen over het gebruik van hun gegevens, inzage verzoeken en onjuiste gegevens laten corrigeren. De precieze toepassing hangt af van de situatie en van wettelijke uitzonderingen.

Een organisatie moet kunnen uitleggen welke gegevens zij gebruikt, voor welk doel en op welke basis. Transparante informatie is geen administratieve bijzaak. Zij helpt patiënten en cliënten om hun positie te begrijpen en helpt professionals om verwachtingen over gegevensdeling goed te bespreken.

Pseudonimiseren is geen volledige anonimisering

Voor onderzoek, kwaliteitsverbetering of beleidsanalyse kan pseudonimisering risico's beperken. Daarbij worden identificerende kenmerken vervangen door een pseudoniem. Met aanvullende informatie kan de koppeling met een persoon echter nog worden hersteld. Pseudonimiseren betekent dus niet automatisch dat gegevens anoniem zijn of buiten de AVG vallen.

Beoordeel daarom ook na pseudonimisering het doel, de toegang tot de sleutel, de beveiliging en de mogelijkheid tot herleiding. Gebruik alleen gegevens die voor de analyse nodig zijn en beperk de toegang tot medewerkers met een gerechtvaardigde taak.

Veelgemaakte fouten bij privacy in de zorg

• Alles delen omdat samenwerking belangrijk is. Een gezamenlijk doel maakt niet iedere gegevensverstrekking noodzakelijk of toegestaan.
• Altijd toestemming vragen. Eerst moet duidelijk zijn of een wettelijke grondslag geldt en of andere regels toestemming voorschrijven.
• Een convenant als zelfstandige grondslag zien. Een convenant beschrijft afspraken, maar vervangt geen wettelijke grondslag.
• Alleen naar de AVG kijken. Sectorale wetten en het beroepsgeheim kunnen aanvullende voorwaarden bevatten.
• Toegang te ruim instellen. Autorisaties horen aan te sluiten op taken en verantwoordelijkheden.
• Pseudonimiseren gelijkstellen aan anonimiseren. Herleidbaarheid kan blijven bestaan.
• Privacy pas na de start regelen. Bij nieuwe systemen of samenwerkingsvormen hoort de beoordeling vooraf plaats te vinden.

Veelgestelde vragen over privacywetgeving in de zorg

Is het verwerken van gezondheidsgegevens altijd verboden?

Nee. De AVG verbiedt de verwerking van gezondheidsgegevens in beginsel, maar kent uitzonderingen. Verwerking kan bijvoorbeeld nodig zijn voor zorgverlening binnen een behandelrelatie of voortvloeien uit een wettelijke verplichting. Ook moeten de overige AVG-eisen worden nageleefd.

Is toestemming altijd nodig om gezondheidsgegevens te verwerken?

Nee. Voor veel gebruikelijke verwerkingen in de zorg staat de grondslag in de wet. Voor het delen met derden, het doorbreken van het beroepsgeheim of elektronische uitwisseling kunnen andere wetten wel aanvullende toestemmingseisen stellen.

Mag een gemeente gezondheidsgegevens ontvangen van een zorgaanbieder?

Dat kan alleen als de verstrekking voor een duidelijk doel noodzakelijk is en er een passende grondslag bestaat. Daarnaast moet rekening worden gehouden met het beroepsgeheim en specifieke regels die voor de betrokken zorg- of gemeentelijke taak gelden. Een algemene samenwerkingsafspraak is niet voldoende.

Wanneer is een DPIA nodig?

Een DPIA is nodig wanneer een verwerking waarschijnlijk een hoog risico oplevert voor de rechten en vrijheden van natuurlijke personen. Beoordeel dit voordat een nieuwe verwerking, koppeling of technologie wordt ingevoerd.

Conclusie

Privacywetgeving in de zorg vraagt om meer dan een toestemmingsformulier. Begin met het doel van de verwerking, bepaal welke gegevens noodzakelijk zijn en leg de wettelijke grondslag vast. Controleer daarna het beroepsgeheim, de rol van iedere ketenpartner, de informatie aan de patiënt of cliënt en de beveiliging.

Voor professionals in zorg, gemeente en veiligheid ligt de kern in aantoonbaar zorgvuldig handelen. Een helder register, passende autorisaties, tijdig privacyadvies en een DPIA bij hoge risico's maken gegevensdeling beter uitlegbaar en uitvoerbaar. Gebruik voor verdere verdieping de handreikingen en tools van Samen voor Zorg en Veiligheid.

Bronnen en verdere verdieping: Autoriteit Persoonsgegevens, Gezondheidsgegevens verwerken; De Nederlandse ggz, Privacy; Zorginstituut Nederland, Privacy.