Zorg en Privacywetgeving

Wat we doen

In de Algemene Verordening Gegevensbescherming (AVG) is opgenomen dat zorginstellingen bij het verwerken van persoonsgegevens aan extra regels moeten voldoen. Daarnaast zijn specifieke wet- en regelgeving voor de zorg extra regels opgenomen met betrekking tot privacy. Voorbeelden van wetten zijn de Wet op de geneeskundige behandelingsovereenkomst, de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg of de Wet algemene bepalingen Burgerservicenummer.

De verwerking van persoonsgegevens dient binnen een zorginstelling / zorgorganisatie op orde te zijn en te voldoen aan de wet- en regelgeving. Binnen onze praktijkgroep privacy en gegevensbescherming kunnen wij hierin voorzien van juridisch advies.

Vragen omtrent zorg en privacy? Neem dan contact met ons op.

Privacy en gegevensbescherming in de zorg: het juridisch kader

Deze pagina maakt onderdeel uit van onze expertise Privacy en gegevensbescherming. Binnen die hoofdexpertise vraagt de zorg om een eigen benadering. Naast de Algemene Verordening Gegevensbescherming (AVG) en de Nederlandse Uitvoeringswet AVG (UAVG) geldt in de zorg een laag aan sectorale wetgeving die strenger is dan de algemene regels. Gezondheidsgegevens zijn onder artikel 9 AVG namelijk bijzondere persoonsgegevens: de verwerking daarvan is in beginsel verboden, tenzij een specifieke uitzondering van toepassing is. Voor elke verwerking moet een zorgorganisatie dus zowel een grondslag (artikel 6 AVG) als een uitzondering op het verwerkingsverbod (artikel 9 AVG) kunnen aanwijzen.

Onze gemengde teams van advocaten en bedrijfsjuristen kennen zowel het privacyrecht als het gezondheidsrecht. Of u nu een academisch ziekenhuis, een ggz-instelling, een zorggroep of een zelfstandige huisarts of fysiotherapeut bent: van internationaal concern tot de bakker op de hoek vertalen wij complexe regelgeving naar werkbaar beleid.

Medisch beroepsgeheim en de WGBO

Het medisch beroepsgeheim is geregeld in de Wet op de geneeskundige behandelingsovereenkomst (WGBO), die is opgenomen in Boek 7, Titel 7, Afdeling 5 van het Burgerlijk Wetboek (artikelen 7:446 tot en met 7:468 BW). De geheimhoudingsplicht van de hulpverlener volgt uit artikel 7:457 BW: zonder toestemming van de patiënt mogen geen inlichtingen of inzage in het dossier worden verstrekt aan anderen dan de patiënt. Daarnaast regelt de WGBO onder meer de dossierplicht (artikel 7:454 BW), het inzagerecht van de patiënt (artikel 7:456 BW) en het recht op vernietiging van gegevens (artikel 7:455 BW).

Het medisch beroepsgeheim staat naast de AVG en wordt daardoor niet gewijzigd. Bij samenloop geldt dat het beroepsgeheim als lex specialis voorrang heeft; de AVG vult de regels over rechtmatige verwerking verder in. Wij adviseren hulpverleners en zorgorganisaties over de reikwijdte van het beroepsgeheim, over wanneer doorbreking is toegestaan (toestemming, wettelijke plicht of conflict van plichten) en over de positie van waarnemers en rechtstreeks betrokken hulpverleners.

Gezondheidsgegevens delen met derden

Het uitwisselen van patiëntgegevens is een veelvoorkomend knelpunt. Hoofdregel is dat zorgverleners gegevens onderling mogen delen voor zover dat noodzakelijk is voor de uitvoering van hun eigen behandelingsovereenkomst met de patiënt; voor rechtstreeks bij de behandeling betrokken personen geldt het beroepsgeheim niet (artikel 7:457 lid 2 BW). Wordt informatie gedeeld met partijen daarbuiten, dan is in beginsel uitdrukkelijke toestemming van de patiënt vereist, tenzij er een wettelijke plicht is (bijvoorbeeld melding van een infectieziekte). Voor elektronische uitwisseling stelt de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz) bovendien aanvullende eisen, waaronder gespecificeerde toestemming voor het beschikbaar stellen van gegevens via een elektronisch uitwisselingssysteem en het gebruik van het burgerservicenummer (BSN) op grond van de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg en de Wet algemene bepalingen burgerservicenummer. Wij toetsen samenwerkingsverbanden, ketenzorg en registraties aan deze regels en leggen afspraken vast.

Verplichtingen voor zorgorganisaties

De AVG legt zorgorganisaties concrete verplichtingen op die wij praktisch invullen:

• Functionaris voor gegevensbescherming (FG) – verplicht bij grootschalige verwerking van gezondheidsgegevens, wat in de praktijk geldt voor onder meer ziekenhuizen, apotheken, zorggroepen en huisartsenposten. Lees meer over de functionaris gegevensbescherming (FG).
• DPIA – bij verwerkingen met een hoog risico is een gegevensbeschermingseffectbeoordeling verplicht. Zie onze pagina over de DPIA.
• Verwerkersovereenkomsten – met ICT-leveranciers, EPD-aanbieders en andere verwerkers leggen wij de juiste afspraken vast.
• Beleid en protocollen – privacybeleid, autorisatiebeheer en bewaartermijnen.
• Datalekken – inrichten van het meld- en registratieproces. Zie datalekken.

Met een privacy-audit brengen wij in kaart waar uw organisatie staat.

Toezicht: Autoriteit Persoonsgegevens en IGJ

Op de naleving van de AVG en de UAVG ziet de Autoriteit Persoonsgegevens (AP) toe; de AP kan bij overtredingen forse boetes opleggen. In de zorg houdt daarnaast de Inspectie Gezondheidszorg en Jeugd (IGJ) toezicht op kwaliteit en veiligheid, waaronder informatiebeveiliging. Wij staan zorgorganisaties bij in toezichtonderzoeken, bij handhaving en bij datalekken die mogelijk gemeld moeten worden, en treden zo nodig op als advocaat in bezwaar- en beroepsprocedures.

Nieuwe ontwikkelingen: elektronische uitwisseling en AI

De digitalisering van de zorg brengt nieuwe verplichtingen mee. De Wet elektronische gegevensuitwisseling in de zorg (Wegiz) verplicht stapsgewijs tot gestandaardiseerde, veilige elektronische uitwisseling tussen zorgaanbieders. Daarnaast worden AI-toepassingen voor diagnose en behandelondersteuning steeds vaker ingezet; daarop zijn naast de AVG ook de Europese AI-verordening en, voor medische hulpmiddelen, de Medical Device Regulation (MDR) van belang. Wij houden deze ontwikkelingen bij en adviseren over een toekomstbestendige inrichting.

Veelgestelde vragen over zorg en privacywetgeving

Gaat het medisch beroepsgeheim voor op de AVG?

Het medisch beroepsgeheim uit de WGBO (artikel 7:457 BW) blijft naast de AVG gewoon gelden en wordt door de AVG niet gewijzigd. In de praktijk vullen beide regimes elkaar aan; bij samenloop heeft het beroepsgeheim als bijzondere regeling voorrang.

Wanneer is een FG verplicht in de zorg?

Een functionaris voor gegevensbescherming is verplicht wanneer op grote schaal bijzondere persoonsgegevens worden verwerkt. Voor onder meer ziekenhuizen, apotheken, zorggroepen en huisartsenposten geldt dit in de regel.

Mag ik patiëntgegevens delen met een andere zorgverlener?

Met rechtstreeks bij de behandeling betrokken zorgverleners mag dat voor zover noodzakelijk voor uw eigen behandelingsovereenkomst. Voor delen daarbuiten is in beginsel uitdrukkelijke toestemming nodig, of een wettelijke grondslag.

Vragen over zorg en privacywetgeving?

Onze advocaten en bedrijfsjuristen helpen zorgorganisaties van groot tot klein om hun gegevensverwerking aantoonbaar op orde te krijgen. Privacy en gegevensbescherming is onze thuisbasis; voor de zorg leveren wij advies op maat. Neem gerust contact met ons op.