De Algemene verordening gegevensbescherming (AVG) is een Europese privacywet. In deze wet staat hoe organisaties om moeten gaan met persoonsgegevens, zoals naam, adres en gezondheidsgegevens. De AVG is ook belangrijk in de zorg, omdat zorgverleners dagelijks werken met gezondheidsgegevens van patiënten. Gezondheidsgegevens zijn gevoelige gegevens en worden door de AVG bijzondere persoonsgegevens genoemd. De AVG verplicht organisaties om deze persoonsgegevens zorgvuldig, transparant, veilig en niet meer dan nodig te verwerken. 

De AVG geldt voor iedereen die persoonsgegevens verwerkt: zowel voor individuele personen zoals zzp’ers in de zorg, als voor organisaties zoals zorginstellingen en huisartspraktijken. Voor gezondheidsgegevens gelden extra strenge regels, omdat het bijzondere persoonsgegevens zijn.

Belangrijke uitgangspunten van de AVG

  • Verwerk zo min mogelijk gegevens (dataminimalisatie).
  • Duidelijk doel: je gebruikt gegevens alleen voor een vooraf bepaald doel, zoals behandeling of begeleiding.
  • Openheid (transparantie): patiënten moeten begrijpen wat er met hun gegevens gebeurt.
  • Goede beveiliging: organisaties moeten passende technische en organisatorische maatregelen nemen om gegevens te beschermen

Wat betekent dit voor de zorgverlener?

  • Een zorgverlener mag alleen persoonsgegevens verwerken als daar een geldige grondslag voor is, bijvoorbeeld uitvoering van een behandelovereenkomst, wettelijke plicht of toestemming.
  • Er worden niet meer gegevens verwerkt dan nodig is voor het verlenen van goede zorg.
  • Gegevens worden niet langer bewaard dan noodzakelijk is.
  • Dossiers en digitale systemen moeten goed beveiligd zijn, bijvoorbeeld met sterke wachtwoorden, autorisaties en veilige manieren van gegevensuitwisseling.
  • De rechten van patiënten moeten worden gerespecteerd, zoals het recht op inzage, kopie, correctie, beperking van verwerking en in sommige gevallen verwijdering van gegevens.
  • Bij een datalek moet de organisatie beoordelen of dit gemeld moet worden bij de Autoriteit Persoonsgegevens (AP) en eventueel bij de betrokken patiënten.

Het is belangrijk dat zorgverleners duidelijke beleid maken over het bijhouden van dossiers, het delen van informatie met andere zorgverleners, het gebruik van e-mail en apps en het melden van incidenten, zodat iedere zorgverlener weet wat er van hem of haar wordt verwacht.

Geschiedenis privacy en AVG

Het recht op privacy is al langer vastgelegd in Europese en internationale verdragen en sinds 1983 ook in de Nederlandse Grondwet. Door digitalisering en wereldwijde handel en (gegevens)uitwisseling worden gegevens steeds vaker en makkelijker gedeeld, waardoor strengere en meer eenduidige regels nodig waren.

In Nederland gold eerst de Wet persoonsregistratie (1989). Later werd deze vervangen door de Wet bescherming persoonsgegevens (Wbp, 2001). Op Europees niveau kwam in 1995 een eerste richtlijn voor databescherming, waarop de Wbp was gebaseerd. De AVG is de opvolger van deze Europese richtlijn. De AVG werd van toepassing in 2018.

Implementatie in Nederlandse wetgeving

In Nederland is de AVG verder uitgewerkt in de Uitvoeringswet Algemene verordening gegevensbescherming (UAVG). In deze wet staan extra regels, bijvoorbeeld over de taken van de Autoriteit Persoonsgegevens (de toezichthouder) en over bijzondere persoonsgegevens. De AP controleert of organisaties zich aan de AVG houden en kan boetes geven als dat niet zo is.