AVG Wet in de zorg

• Privacy beleid: Heb je een duidelijk en actueel privacy beleid? Zorg ervoor dat je beleid alle vereiste onderdelen uit de AVG bevat.
• Rechtmatigheid van verwerking: De AVG benoemt 6 grondslagen om persoonsgegevens te mogen verwerken, zoals toestemming of wettelijke verplichting. Zorg ervoor dat je voor elke verwerking de juiste grondslag hebt vastgesteld, getoetst en geregistreerd in het verwerkingsregister.
• Informatieplicht: Verschaf je betrokkenen voldoende informatie over hun rechten en de manier waarop hun gegevens worden verwerkt?
• Rechten van betrokkenen: Kunnen betrokkenen hun rechten uitoefenen? De AVG zorgt ervoor dat betrokkenen meer controle hebben over hun persoonsgegevens. Deze rechten zijn onder meer het recht op inzage, rectificatie en bezwaar.
• Gegevensbeveiliging: Zijn jouw systemen en processen voldoende beveiligd tegen dreigingen zoals datalekken? Zorg ervoor dat zowel technische, organisatorische als juridische maatregelen zijn genomen om persoonsgegevens te beschermen. De samenwerking tussen privacy- en informatiebeveiliging teams is hierbij cruciaal.
• Functionaris gegevensbescherming (FG): Is er een FG aangesteld? Dit is onder andere verplicht voor organisaties die op grote schaal bijzondere persoonsgegevens verwerken en waarvan dit een kernactiviteit is. Daarnaast is het belangrijk om te beoordelen of de rol van de FG binnen je organisatie duidelijk is en of er structureel advies wordt ingewonnen.

• Identificeer risico’s: Bepaal welke risico’s verbonden zijn aan de verwerking van persoonsgegevens binnen jouw organisatie. Dat zijn zowel de bedrijfsrisico’s als, voor de privacy risico’s voor de mensen van wie je gegevens verwerkt (zoals patiënten).
• Beoordeel de impact en prioriteer: Beoordeel de mogelijke impact van deze risico’s op betrokkenen en op jouw organisatie. Op basis van de impact en waarschijnlijkheid bepaal je welke risico’s de hoogste prioriteit hebben.
• Mitigatie van risico’s: Implementeer maatregelen om de gesignaleerde risico’s te mitigeren en leg de restrisico’s vast. Zorg ervoor dat het voor de directie en andere betrokkenen duidelijk is wie verantwoordelijk is voor de bestaande risico’s. Door actief aan de slag te gaan met de risico’s, voldoe je aan de AVG en maak je jouw organisatie weerbaarder.

• Technische maatregelen: Implementeer technische maatregelen om de beveiliging van persoonsgegevens te verbeteren.  Denk aan encryptie, firewalls en toegangscontrole.
• Organisatorische maatregelen: Implementeer maatregelen die zich richten op de inrichting van de (privacy)organisatie en de verantwoordelijkheden, processen en het gedrag van medewerkers. Begrijpen medewerkers wat er van hun verwacht wordt om het proces waarvoor zij verantwoordelijk zijn zo veilig en privacy-vriendelijk mogelijk te laten verlopen?
• Juridische maatregelen: Zorg voor de juiste contractuele afspraken met partners en leveranciers omtrent het verwerken van persoonsgegevens.

• Regelmatige controles: Voer regelmatig controles uit om na te gaan of de geïmplementeerde maatregelen effectief zijn.
• Incidentmanagement: Stel een gedegen incidentmanagementplan op voor het melden, onderzoeken en afhandelen van datalekken en andere privacy gerelateerde incidenten.
• Continue verbetering: Evaluaties van de effectiviteit van je maatregelen mogen niet alleen als een controle worden gezien, maar als een essentiële stap in het proces van verantwoorde innovatie. Ga actief aan de slag met verbetering en scherp beheersmaatregelen aan waar nodig.

• Training: Zorg ervoor dat alle medewerkers op de hoogte zijn van de AVG en hun verantwoordelijkheden.
• Communicatie: Communiceer open en transparant met betrokkenen over de verwerking van hun persoonsgegevens.

We starten met een kick-off sessie, waarin we samen bespreken wat voor jouw organisatie belangrijk is en welke rol gegevensverwerking daarin speelt. In de vervolgstappen hanteren we een gestructureerde aanpak die erop gericht is om herhaalbaar te zijn en in de volle breedte de organisatie belicht. We onderzoeken hoe de organisatie is ingericht om als geheel verantwoord om te gaan met persoonsgegevens en compliant te zijn aan de AVG. Het eindproduct is een adviesrapport met daarin concrete en praktische aanbevelingen om aan de gestelde doelen te voldoen.

Er zijn verschillende moment waarop het (laten) uitvoeren van een AVG scan van toegevoegde waarde kan zijn. Je kunt dit bijvoorbeeld eenmalig doen om het startpunt van jouw organisatie te bepalen en een stappenplan op te stellen, maar je kan de scan ook periodiek herhalen om te toetsen of de genomen maatregelen ook daadwerkelijk het gewenste effect hebben.

De AVG is van toepassing op iedereen die persoonsgegevens verwerkt, ongeacht de grootte van de organisatie. Dit geldt dus onder andere voor ziekenhuizen, huisartsenpraktijken, verpleeghuizen en andere zorg gerelateerde organisaties. Het doel is het waarborgen dat persoonsgegevens van patiënten op een verantwoorde en veilige manier worden verwerkt.

De AVG beschermt persoonsgegevens van individuen. In de AVG wordt het begrip persoonsgegevens als volgt gedefinieerd: “Alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon.”.

Het gaat om informatie die direct over iemand gaat of naar indirect naar deze persoon te herleiden is.

De AVG maakt onderscheid tussen gewone en bijzondere persoonsgegevens. Voorbeelden van gewone persoonsgegevens zijn iemands naam, adres, pasfoto maar ook personeelsnummers, IP-adressen of geluidsopnames. Bijzondere persoonsgegevens zijn zo privacygevoelig dat het grote(re) impact op iemand kan hebben als deze gegevens worden verwerkt. Deze gegevens krijgen extra bescherming in de AVG. Denk hierbij aan gezondheidsinformatie.

Het verwerken van persoonsgegevens houdt simpel weg in, alles wat een organisatie met persoonsgegevens kan doen. Volgens de AVG vallen in ieder geval de volgende handelingen onder verwerken: verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, doorzenden, verspreiden, beschikbaar stellen, samenbrengen, met elkaar in verband brengen, afschermen, wissen en vernietigen.

Zorginstellingen hebben door de AVG meer verantwoordelijkheden gekregen. Iedereen die persoonsgegevens verwerkt moet zich houden aan de 6 basisprincipes van de AVG en dit kunnen aantonen (de verantwoordingsplicht).

De 6 AVG-basisprincipes zijn:

• Rechtmatigheid, behoorlijkheid en transparantie;
• Doelbinding;
• Dataminimalisatie;
• Juistheid;
• Opslagbeperking;
• Vertrouwelijkheid en integriteit.

Jouw organisatie moet een duidelijk beeld hebben van de persoonsgegevens die worden verwerkt en beveiligingsmaatregelen treffen om deze gegevens te beschermen. Omdat in de zorgsector wordt gewerkt met bijzondere persoonsgegevens is het vaak verplicht om een Data Protection Impact Assessment (DPIA) uit te voeren of een Functionaris Gegevensbescherming (FG) aan te stellen.

Even sparren over de impact en verplichtingen van de AVG? Onze consultants staan voor je klaar!

Zorginstellingen die grootschalig bijzondere persoonsgegevens verwerken, moeten een FG aanstellen. Deze functionaris houdt toezicht op de naleving van de AVG, geeft gevraagd en ongevraagd advies én fungeert als contactpunt voor zowel de toezichthouder als voor betrokkenen.

De AVG schrijft voor dat een DPIA verplicht is wanneer de verwerking van persoonsgegevens waarschijnlijk een hoog privacy risico oplevert voor de rechten en vrijheden van de betrokkenen. Als organisatie moet je zelf bepalen of dit het geval is. Dit kan aan de hand van de AVG, die de criteria hiervoor bepaald. Ook heeft de Autoriteit Persoonsgegevens (AP) een lijst opgesteld met verwerkingen waarvoor het uitvoeren van een DPIA verplicht is. Op deze lijst staat onder andere grootschalige verwerking van gezondheidsgegevens. Dit is bij een zorginstelling al snel het geval.

Ja, naast de AVG zijn er ook andere wetten die specifiek van toepassing zijn op de zorgsector en iets zeggen over het verwerken van persoonsgegevens. De Wet op de geneeskundige behandelingsovereenkomst (WGBO) regelt de rechten en plichten van zowel zorgverleners als patiënten. Denk aan het recht op informatie, vastlegging van de behandeling en inzage in het medisch dossier, en bewaartermijnen van medische gegevens.

Daarnaast zijn ook de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz) en de Wet elektronische gegevensuitwisseling in de zorg (Wegiz) van toepassing. De Wabvpz regelt de verwerking en uitwisseling van gezondheidsgegevens, terwijl de Wegiz verplicht dat zorginstellingen elektronische gegevens veilig moeten uitwisselen. Deze wetten zijn aanvullend op de AVG en bieden specifieke richtlijnen voor de zorgsector.

Let wel, er zijn meer wetten die relevant zijn in de zorg en belangrijk kunnen zijn voor de verwerking van persoonsgegevens.

De Algemene verordening gegevensbescherming (AVG) en de Wet op de geneeskundige behandelingsovereenkomst (WGZO) zeggen allebei iets over privacy en de omgang met persoonsgegevens.

De AVG is een Europese privacywet die van toepassing is op alle sectoren. Deze wet stelt algemene regels voor de verwerking van persoonsgegevens, en stelt extra strenge eisen voor het verwerken van bijzondere persoonsgegevens, zoals medische gegevens.

De WGBO is een Nederlandse wet die specifiek geldt voor de zorgsector. Deze wet regelt de relatie tussen zorgverlener en patiënt en bevat bepalingen over het medisch dossier, het recht op informatie, het geven van toestemming en de bewaartermijn van medische gegevens.

De WGBO bepaalt vooral wat je als zorgverlener moet doen en de AVG beschrijft hoe je dat op een veilige en verantwoorde manier doet en geeft aanvullingen waar de zorgwetgeving niets heeft geregeld.