AVG en zorgverleners in zorg en welzijn

Wie werkt met patiënt- of cliëntgegevens, krijgt dagelijks met de Algemene verordening gegevensbescherming (AVG) te maken. Wie zoekt op wat betekent AVG in de zorg, zoekt meestal naar een praktisch antwoord: welke gegevens mag ik verwerken, wanneer mag ik informatie delen en wat moet ik doen om dossiers goed te beveiligen?

De AVG beschermt persoonsgegevens en stelt extra eisen aan gezondheidsgegevens. De wet verbiedt goede zorg niet. Wel moet iedere verwerking een duidelijk doel hebben, noodzakelijk zijn voor dat doel en passend worden beveiligd. In dit artikel lees je wat dat betekent voor zorgverleners, zorgaanbieders en samenwerking met andere partijen.

Wat betekent de AVG in de zorg precies?

De AVG is Europese privacywetgeving voor het verwerken van persoonsgegevens. Verwerken omvat onder meer verzamelen, vastleggen, opslaan, bekijken, gebruiken en delen. De regels gelden voor individuele zorgverleners, zoals zelfstandigen, en voor organisaties zoals huisartspraktijken, zorginstellingen en ziekenhuizen.

Gezondheidsgegevens vallen onder de bijzondere persoonsgegevens. Dat betekent dat de zorg extra zorgvuldig moet omgaan met informatie over bijvoorbeeld een diagnose, behandeling, medicatie of lichamelijke en psychische klachten. Ook contactgegevens, een BSN en informatie over de leefsituatie kunnen persoonsgegevens zijn wanneer zij naar een cliënt of patiënt te herleiden zijn.

De kern is eenvoudig: verwerk niet meer gegevens dan nodig is, gebruik ze alleen voor een vooraf bepaald doel en zorg dat onbevoegden er geen toegang toe krijgen. Meer voorbeelden staan in het overzicht over gevoelige persoonsgegevens.

Welke regels gelden voor patiëntgegevens?

Een zorgorganisatie moet vóór de verwerking kunnen uitleggen waarom gegevens nodig zijn. De belangrijkste uitgangspunten zijn:

• Doelbinding: leg vooraf vast waarvoor je gegevens gebruikt. Gegevens die voor behandeling zijn verzameld, gebruik je niet zonder meer voor een ander doel.
• Dataminimalisatie: vraag alleen gegevens op die nodig zijn voor goede zorg, begeleiding, administratie of een andere duidelijk omschreven taak.
• Juistheid: houd gegevens actueel en herstel fouten wanneer dat nodig is.
• Beperkte bewaartermijn: bewaar informatie niet langer dan noodzakelijk. Voor sommige dossiers gelden daarnaast specifieke wettelijke bewaartermijnen.
• Transparantie: informeer patiënten en cliënten over de gegevens die je verwerkt, het doel daarvan en hun rechten.
• Beveiliging: neem technische en organisatorische maatregelen die passen bij de gevoeligheid van de informatie.

Deze uitgangspunten gelden zowel in een elektronisch patiëntendossier als in e-mail, papieren dossiers, apps, spreadsheets en mondeling overleg. Een losse notitie met een naam en medische informatie verdient dus dezelfde aandacht als een dossier in het EPD.

Wanneer mag een zorgverlener persoonsgegevens verwerken?

Voor iedere verwerking is een geldige grondslag nodig. In de zorg kan dat bijvoorbeeld de uitvoering van een behandelovereenkomst zijn, een wettelijke verplichting of toestemming van de betrokkene. Welke grondslag passend is, hangt af van het doel, de betrokken partijen en de toepasselijke zorgwetgeving.

Toestemming is daarom niet automatisch nodig voor iedere handeling. Een zorgverlener die gegevens nodig heeft om een afgesproken behandeling uit te voeren, baseert de verwerking niet per definitie op toestemming. Voor het delen van informatie met een derde kan de situatie anders zijn. Beoordeel dan ook regels zoals de WGBO, het beroepsgeheim en eventuele sectorspecifieke voorschriften.

Leg de gemaakte keuze vast. Noteer niet alleen welke gegevens worden verwerkt, maar ook met welk doel, op basis van welke grondslag en wie toegang nodig heeft. Dat maakt een beslissing controleerbaar en helpt collega’s om dezelfde werkwijze te volgen.

Wat betekent de AVG voor gegevens delen in de zorg?

Gegevens delen met een andere zorgverlener of ketenpartner kan nodig zijn voor goede ondersteuning. De AVG vraagt daarbij om een gerichte afweging. Een algemene afspraak dat alle betrokken organisaties alles met elkaar delen, is niet voldoende.

Gebruik bij elk verzoek om informatie deze vragen:

1. Wat is het doel? Beschrijf concreet welke zorg, begeleiding of bescherming je wilt organiseren.
2. Welke gegevens zijn nodig? Deel alleen de informatie die rechtstreeks bij dat doel hoort.
3. Wie moet deze informatie ontvangen? Controleer de rol en bevoegdheid van de ontvanger.
4. Welke grondslag geldt? Kijk naar de AVG en naar relevante regels voor de zorg en het sociaal domein.
5. Is delen noodzakelijk en proportioneel? Bepaal of het doel ook met minder of minder gevoelige informatie kan worden bereikt.
6. Hoe informeer je de cliënt of patiënt? Leg uit wat je deelt en waarom, behalve wanneer een wettelijke uitzondering geldt.

Een casusoverleg is dus geen vrijbrief om volledige dossiers rond te sturen. Bespreek vooraf het doel, wijs deelnemers aan die de informatie nodig hebben en leg vast welke informatie wel en niet wordt gedeeld. De pagina over AVG en zorg en veiligheid geeft meer context bij grondslagen en samenwerking.

Hoe moeten zorgorganisaties gegevens beveiligen?

Beveiliging gaat verder dan een wachtwoord op het EPD. De maatregelen moeten passen bij de risico’s van de verwerking. Denk in de praktijk aan:

• persoonlijke accounts en sterke, unieke wachtwoorden;
• toegangsrechten die aansluiten bij de functie en actuele werkzaamheden;
• vergrendelde schermen en een opgeruimde werkplek;
• veilige kanalen voor het versturen van medische informatie;
• controle op leveranciers en verwerkers die namens de organisatie gegevens verwerken;
• instructies en periodieke training voor medewerkers;
• een procedure voor incidenten en vermoedelijke datalekken;
• regelmatige controle van autorisaties, apparaten en gegevensstromen.

Gewone e-mail is niet vanzelf geschikt voor bijzondere persoonsgegevens. Beoordeel de inhoud en kies bij gevoelige informatie een beveiligde, passende uitwisselingsmethode. Een afspraakbevestiging zonder medische details vraagt om een andere afweging dan een behandelverslag.

Een organisatie moet daarnaast kunnen aantonen dat zij de verwerking beheerst. Afhankelijk van de omvang en aard van de activiteiten kan dat onder meer betekenen dat zij een verwerkingsregister bijhoudt, verwerkersovereenkomsten sluit, een privacyverklaring publiceert en een procedure voor datalekken heeft. Bij grootschalige verwerking van bijzondere persoonsgegevens kan ook een functionaris gegevensbescherming nodig zijn. Laat de precieze verplichtingen beoordelen voor de eigen organisatie.

Wat zijn de rechten van patiënten en cliënten?

De AVG geeft betrokkenen verschillende rechten. Een patiënt of cliënt kan onder meer vragen om:

• inzage in de persoonsgegevens;
• een kopie van de gegevens;
• correctie van onjuiste informatie;
• beperking van de verwerking in bepaalde situaties;
• bezwaar tegen een verwerking wanneer daarvoor ruimte bestaat;
• verwijdering, voor zover andere wettelijke verplichtingen zich daar niet tegen verzetten.

Een verzoek moet zorgvuldig worden beoordeeld. Niet ieder verzoek kan volledig worden ingewilligd, bijvoorbeeld wanneer een wettelijke bewaarplicht geldt of wanneer de rechten van anderen worden geraakt. Reageer wel binnen de toepasselijke termijn en leg de beslissing uit.

Transparantie begint al bij het eerste contact. Zorg dat een privacyverklaring goed vindbaar is en in begrijpelijke taal beschrijft welke gegevens worden verwerkt. Een cliënt hoeft niet voor iedere verwerking een formulier te ondertekenen, maar moet wel weten wat er met de gegevens gebeurt.

Wat moet je doen bij een datalek?

Een datalek ontstaat wanneer persoonsgegevens verloren gaan, onbedoeld worden ingezien of bij de verkeerde persoon terechtkomen. Voorbeelden zijn een verkeerd geadresseerde e-mail met een bijlage, een kwijtgeraakte laptop of onbevoegde toegang tot een dossier.

Meld een incident direct volgens de interne procedure. Wacht niet af of de gevolgen vanzelf meevallen. De organisatie moet het incident onderzoeken, vastleggen en beoordelen of melding bij de Autoriteit Persoonsgegevens nodig is. In sommige situaties moeten ook de betrokken patiënten of cliënten worden geïnformeerd.

Een goede procedure beschrijft wie het incident ontvangt, welke informatie moet worden verzameld, wie de risicoanalyse uitvoert en hoe herstelmaatregelen worden gekozen. Gebruik elk incident om werkinstructies, autorisaties of technische beveiliging te verbeteren.

Veelgemaakte fouten bij AVG in de zorg

De meeste problemen ontstaan niet doordat professionals privacy onbelangrijk vinden, maar doordat afspraken te algemeen of te voorzichtig zijn. Let vooral op deze valkuilen:

• Alles delen uit gemak: een volledig dossier is zelden nodig voor ieder overleg.
• Niets delen uit angst: de AVG vraagt om een onderbouwde afweging, niet om een automatisch verbod.
• Toestemming als standaardoplossing: bepaal eerst welke grondslag bij het doel past.
• Toegang niet intrekken: pas autorisaties aan wanneer iemand van functie verandert of uit dienst gaat.
• Onveilige communicatie: controleer ontvanger, bijlage en verzendkanaal voordat je informatie verstuurt.
• Geen vastgelegde werkwijze: mondelinge afspraken zijn kwetsbaar wanneer collega’s wisselen.
• Datalekken niet registreren: ook een incident dat uiteindelijk niet gemeld hoeft te worden, kan aanleiding zijn voor verbetering.

De juiste aanpak is doelgericht en aantoonbaar. Maak per veelvoorkomende situatie een korte werkinstructie. Zo weten medewerkers wanneer zij informatie mogen inzien, delen, bewaren en verwijderen.

Veelgestelde vragen over de AVG in de zorg

Geldt de AVG ook voor een zelfstandige zorgverlener?

Ja. De AVG geldt voor iedereen die persoonsgegevens verwerkt, dus ook voor een zelfstandig werkende zorgverlener. De omvang van de praktijk verandert niets aan de plicht om patiëntgegevens rechtmatig, zorgvuldig en veilig te verwerken.

Mag een zorgverlener medische gegevens per e-mail versturen?

Dat hangt af van de inhoud, de ontvanger en de beveiliging. Bij bijzondere persoonsgegevens is gewone e-mail in beginsel niet passend. Gebruik een beveiligd kanaal en controleer vooraf of de ontvanger bevoegd is.

Is altijd toestemming nodig om gegevens te delen?

Nee. De noodzakelijke grondslag kan bijvoorbeeld samenhangen met de behandelovereenkomst of een wettelijke verplichting. Voor delen met derden kan toestemming of een andere specifieke rechtvaardiging nodig zijn. Beoordeel iedere situatie aan de hand van het doel, de noodzaak en de geldende zorgregels.

Hoe lang mogen zorggegevens worden bewaard?

Bewaar gegevens niet langer dan nodig, maar houd rekening met wettelijke bewaartermijnen die voor bepaalde zorgdossiers gelden. Leg het bewaarbeleid vast en zorg dat medewerkers weten wanneer gegevens niet meer bewaard mogen worden.

Conclusie

Wat betekent AVG in de zorg? De AVG verplicht zorgverleners en zorgorganisaties om persoonsgegevens doelgericht, minimaal, transparant en veilig te verwerken. Goede zorg en privacy staan daarbij niet tegenover elkaar. Het gaat om een onderbouwde keuze: welke informatie is nodig, wie moet die weten, welke grondslag geldt en hoe bescherm je de gegevens?

Maak die afweging onderdeel van het dagelijks werk. Met duidelijke autorisaties, veilige communicatie, vaste afspraken voor gegevensdeling en een werkbare datalekprocedure kunnen professionals samenwerken zonder patiëntbelangen uit het oog te verliezen. Wie meer wil weten over medische gegevens delen, vindt daar aanvullende uitleg over privacyregels en gegevensuitwisseling.