Wet- en regelgeving over de AVG in de zorg | AVG-Helpdesk voor Zorg en Welzijn

Wie zoekt naar de AVG-wet in de zorg, zoekt meestal naar een praktisch antwoord op één vraag: wanneer mag een zorgorganisatie gezondheidsgegevens verwerken of delen? De AVG is daarbij een belangrijk kader, maar niet het enige. De WGBO, UAVG, Wabvpz en andere zorgwetten bepalen mede wat in een concrete situatie mogelijk is. Deze uitleg zet de belangrijkste samenhang op een rij.

Gezondheidsgegevens zijn bijzondere persoonsgegevens. De AVG verbiedt de verwerking daarvan in beginsel, maar kent uitzonderingen. Zorgverlening binnen een behandelovereenkomst is bijvoorbeeld een grond om gegevens te verwerken. Ook kan een wettelijke verplichting of een wettelijke taak de basis vormen. De precieze beoordeling hangt af van het doel, de betrokken partijen en de wet die op de situatie van toepassing is.

Welke wetgeving geldt naast de AVG in de zorg?

De AVG geeft de algemene Europese regels voor de verwerking van persoonsgegevens. In de zorg wordt die verordening aangevuld met Nederlandse wet- en regelgeving. De belangrijkste kaders zijn:

• de Wet geneeskundige behandelingsovereenkomst, de WGBO;
• de Uitvoeringswet AVG, de UAVG;
• de Jeugdwet;
• de Wet maatschappelijke ondersteuning 2015, de Wmo 2015;
• de Wet langdurige zorg, de Wlz;
• de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg, de Wabvpz;
• de Wet kwaliteit, klachten en geschillen zorg, de Wkkgz;
• de Zorgverzekeringswet;
• de Wet marktordening gezondheidszorg, de Wmg.

Deze wetten regelen verschillende onderdelen van de zorgpraktijk. De WGBO hangt bijvoorbeeld samen met de behandelingsovereenkomst en de verplichting om een patiëntendossier bij te houden. De Wabvpz stelt regels voor gegevensverwerking in elektronische uitwisselingssystemen. De Zorgverzekeringswet en de Wmg geven regels voor taken van zorgverzekeraars en toezicht door de Nederlandse Zorgautoriteit.

Een professional moet daarom niet alleen vaststellen dat gegevens over gezondheid worden verwerkt. Ook moet duidelijk zijn welke taak wordt uitgevoerd, welke partijen betrokken zijn en welke sectorale regels gelden. Een AVG voor zorgverleners helpt om die beoordeling vanuit de dagelijkse praktijk te benaderen.

Wanneer mogen gezondheidsgegevens worden verwerkt?

Verwerken is een breed begrip. Het gaat niet alleen om het delen van een dossier, maar om iedere handeling met persoonsgegevens. Daaronder vallen onder meer verzamelen, vastleggen, raadplegen, gebruiken, verstrekken en vernietigen.

Voor gezondheidsgegevens is een grondslag nodig. In veel zorgsituaties ligt die grondslag in de wet. Een hulpverlener moet bijvoorbeeld een dossier bijhouden om goede zorg te kunnen verlenen. Ook zorginstellingen en andere voorzieningen voor gezondheidszorg of maatschappelijke dienstverlening hebben vaak een wettelijke dossierplicht.

De volgende situaties komen in de praktijk veel voor:

1. Zorg of hulp verlenen. Gegevensverwerking kan noodzakelijk zijn binnen een behandelovereenkomst.
2. Een wettelijke verplichting uitvoeren. Een wet kan voorschrijven dat een organisatie gegevens moet vastleggen of gebruiken.
3. Een publieke taak uitvoeren. Overheidsorganisaties in de zorg kunnen gezondheidsgegevens verwerken wanneer dat noodzakelijk is voor hun wettelijke taak.
4. Uitdrukkelijke toestemming gebruiken. Dit is een mogelijkheid wanneer geen andere grondslag beschikbaar is. Aan toestemming worden strenge eisen gesteld.

Een grondslag alleen is niet genoeg. De verwerking moet ook voldoen aan de overige eisen van de AVG. Denk aan een duidelijk doel, een passende inrichting van de toegang en een zorgvuldige omgang met de gegevens. Het doel van de verwerking bepaalt welke informatie nodig is. Meer gegevens verzamelen dan voor dat doel nodig is, past daar niet bij.

Is toestemming altijd nodig in de zorg?

Nee. Voor veel gebruikelijke verwerkingen in de zorg is toestemming op grond van de AVG niet nodig, omdat de wet al een andere grondslag biedt. Een extra toestemmingsformulier voor iedere handeling maakt het proces niet automatisch zorgvuldiger.

Toestemming kan wel nodig zijn op grond van een andere wet of bij een andere handeling. Vooral bij het verstrekken van gezondheidsgegevens aan derden moet de zorgverlener afzonderlijk nagaan welke regels gelden. Ook het doorbreken van het beroepsgeheim vraagt in beginsel om toestemming van de patiënt, tenzij de wet een uitzondering of verplichting bevat.

Er is daarnaast een verschil tussen toestemming voor de AVG en toestemming die voortvloeit uit bijvoorbeeld de WGBO, Wabvpz, Wmo of Jeugdwet. Die begrippen mogen niet zonder meer als hetzelfde worden behandeld. Leg daarom eerst vast:

• welke gegevens worden gebruikt of gedeeld;
• met welke partij dat gebeurt;
• voor welk doel;
• welke wettelijke grondslag van toepassing is;
• of een beroepsgeheim of sectorale toestemmingsregel geldt.

Pas daarna kan worden bepaald of de patiënt toestemming moet geven en aan welke voorwaarden die toestemming moet voldoen. Vraag niet alleen uit voorzichtigheid om toestemming als niet duidelijk is waarvoor die nodig is. Dat kan de administratie verzwaren en maakt de uitleg aan de patiënt minder helder.

Wat betekent het beroepsgeheim voor gegevensdeling?

Zorgprofessionals die gezondheidsgegevens verwerken, hebben een geheimhoudingsplicht. Die kan voortkomen uit hun beroep, de behandelingsovereenkomst, hun arbeidsovereenkomst of de wet. De plicht betekent dat gegevens niet vrijelijk aan anderen mogen worden verstrekt.

Bij samenwerking is daarom een gerichte beoordeling nodig. Is de andere professional betrokken bij de behandeling? Is er een wettelijke verplichting? Is toestemming nodig om het beroepsgeheim te doorbreken? Een beveiligd systeem verandert die juridische vragen niet. Technische beveiliging zorgt ervoor dat onbevoegden minder makkelijk toegang krijgen, maar maakt een verstrekking op zichzelf nog niet toegestaan.

Voor ketenpartners is het nuttig om afspraken niet te beperken tot de vraag of een systeem gegevens kan uitwisselen. Bespreek ook welke informatie noodzakelijk is, wie toegang heeft en hoe wordt vastgelegd waarom gegevens zijn geraadpleegd. Wie zoekt naar zorgvuldige gegevensdeling vindt daarvoor een praktisch vertrekpunt.

Hoe beschermt u gezondheidsgegevens in de dagelijkse praktijk?

De AVG in de zorg vraagt om juridische én organisatorische maatregelen. De volgende werkwijze helpt teams om een gegevensverwerking concreet te beoordelen:

1. Bepaal het doel

Omschrijf waarvoor de gegevens nodig zijn. Een dossier voor behandeling, een wettelijke rapportage en een beleidsanalyse hebben niet automatisch hetzelfde doel.

2. Kies de juiste grondslag

Controleer welke wet de verwerking ondersteunt. Kijk naast de AVG naar de WGBO, UAVG, Wabvpz, Jeugdwet, Wmo, Wlz, Wkkgz, Zorgverzekeringswet en Wmg als die bij de situatie passen.

3. Controleer de toegang

Beperk toegang tot medewerkers die deze voor hun taak nodig hebben. Het Zorginstituut beschrijft als praktijkmaatregelen onder meer geautoriseerde toegang, beveiligde systemen en het opvragen van alleen gegevens die nodig zijn voor wettelijke taken.

4. Weeg delen en geheimhouding af

Een verzoek van een samenwerkingspartner is niet automatisch een reden om een dossier te verstrekken. Beoordeel doel, noodzaak, grondslag, beroepsgeheim en eventuele toestemming samen.

5. Leg de werkwijze uit aan de patiënt

De betrokkene heeft recht op informatie over de verwerking. Ook bestaan er rechten op inzage en correctie. Heldere uitleg maakt zichtbaar welke gegevens worden gebruikt en waarom.

Pseudonimiseren is niet hetzelfde als anonimiseren

Voor onderzoek, beleid en landelijke analyses kan het nodig zijn gegevens uit verschillende bronnen te combineren. Pseudonimisering kan de privacy bevorderen doordat gegevens niet direct aan een bekende persoon worden gekoppeld. De gegevens blijven echter persoonsgegevens wanneer ze met een sleutel opnieuw aan een persoon kunnen worden verbonden.

Pseudonimisering is in principe omkeerbaar en vraagt daarom om strikte voorwaarden. Het is geen reden om de overige eisen van de AVG buiten beschouwing te laten. Kijk steeds naar de toegang tot de sleutel, de beveiliging en het doel waarvoor de gegevens worden gebruikt.

Het Zorginstituut beschrijft in dit verband een afweging tussen het algemeen belang van goede, toegankelijke en passende zorg en de privacy van burgers. Betrouwbare data kan bijdragen aan beleid en kwaliteitsverbetering, maar dat rechtvaardigt geen onbeperkte verzameling of deling.

Veelgemaakte vergissingen over de AVG in de zorg

De AVG is de enige relevante wet

De AVG vormt het algemene kader, maar zorgwetten vullen dat kader aan. Een beoordeling die alleen naar de AVG kijkt, kan de WGBO, het beroepsgeheim of sectorale regels missen.

Voor elke verwerking is een handtekening nodig

Toestemming is niet de standaardgrondslag voor iedere zorgactiviteit. Bepaal eerst of een wettelijke grondslag of behandelingsovereenkomst van toepassing is. Controleer daarna of een andere wet toch toestemming voorschrijft.

Beveiliging maakt iedere gegevensdeling toegestaan

Een goed beveiligd systeem is noodzakelijk, maar lost de vraag naar doel, grondslag en geheimhouding niet op. Juridische toelaatbaarheid en informatiebeveiliging horen bij elkaar, maar zijn niet hetzelfde.

Pseudonimiseren maakt gegevens anoniem

Als een sleutel herleidbaarheid mogelijk maakt, blijft sprake van persoonsgegevens. Ook gepseudonimiseerde gezondheidsgegevens vereisen passende bescherming.

Veelgestelde vragen over de AVG-wet in de zorg

Wat is de AVG-wet in de zorg?

De AVG is de Europese privacyverordening die bepaalt hoe organisaties persoonsgegevens verwerken. Voor gezondheidsgegevens gelden extra voorwaarden. Nederlandse zorgwetten, zoals de WGBO en de Wabvpz, werken de regels voor specifieke situaties verder uit.

Mag een zorgverlener gezondheidsgegevens verwerken zonder toestemming?

Dat kan. Toestemming op grond van de AVG is niet nodig wanneer een andere geldige grondslag bestaat, bijvoorbeeld een wettelijke verplichting of noodzakelijke verwerking binnen een behandelovereenkomst. Voor het delen met derden of het doorbreken van het beroepsgeheim kan op grond van andere regels wel toestemming nodig zijn.

Welke gegevens mag een zorgorganisatie delen?

Alleen gegevens waarvoor een duidelijk doel, een geldige grondslag en een passende noodzaak bestaan. De zorgorganisatie moet ook rekening houden met de geheimhoudingsplicht en de regels die gelden voor de ontvanger.

Welke rechten heeft een patiënt?

Een patiënt heeft onder meer recht op informatie over de verwerking en kan verzoeken om inzage of correctie van persoonsgegevens. De organisatie moet zulke verzoeken behandelen volgens de geldende regels.

Conclusie

De vraag naar de AVG-wet in de zorg kan niet met één toestemmingsregel worden beantwoord. De AVG vormt samen met de WGBO, UAVG, Wabvpz en andere zorgwetten een samenhangend kader. Begin bij het doel van de verwerking, bepaal de wettelijke grondslag en toets daarna de geheimhoudingsplicht, toegang, noodzaak en eventuele toestemming. Zo blijft gegevensdeling mogelijk waar die nodig is, zonder de privacy van patiënten uit het oog te verliezen. Bekijk ook de bredere privacyregels zorg en veiligheid voor de samenhang tussen de verschillende kaders.