De Algemene verordening gegevensbescherming (AVG) is de Europese privacywet die regels stelt voor de verwerking van persoonsgegevens, zoals naam, adres en gezondheidsgegevens. In de zorg is de AVG extra relevant, omdat zorgverleners dagelijks met gezondheidsgegevens van patiënten werken. Gezondheidsgegevens worden in de AVG aangemerkt als bijzondere (gevoelige) persoonsgegevens. Organisaties moeten daarom zorgen dat deze gegevens zorgvuldig, transparant en veilig worden verwerkt, en niet langer of meer dan nodig.
De AVG geldt voor iedereen die persoonsgegevens verwerkt: zowel voor individuele personen zoals zzp’ers in de zorg, als voor organisaties zoals zorginstellingen en huisartspraktijken. Voor gezondheidsgegevens gelden extra strenge regels, omdat het bijzondere persoonsgegevens zijn.
Belangrijke uitgangspunten van de AVG
- Verwerk zo min mogelijk gegevens (dataminimalisatie).
- Duidelijk doel: je gebruikt gegevens alleen voor een vooraf bepaald doel, zoals behandeling of begeleiding.
- Openheid (transparantie): patiënten moeten begrijpen wat er met hun gegevens gebeurt.
- Goede beveiliging: organisaties moeten passende technische en organisatorische maatregelen nemen om gegevens te beschermen
Wat betekent dit voor de zorgverlener?
- Een zorgverlener mag alleen persoonsgegevens verwerken als daar een geldige grondslag voor is, bijvoorbeeld uitvoering van een behandelovereenkomst, wettelijke plicht of toestemming.
- Er worden niet meer gegevens verwerkt dan nodig is voor het verlenen van goede zorg.
- Gegevens worden niet langer bewaard dan noodzakelijk is.
- Dossiers en digitale systemen moeten goed beveiligd zijn, bijvoorbeeld met sterke wachtwoorden, autorisaties en veilige manieren van gegevensuitwisseling.
- De rechten van patiënten moeten worden gerespecteerd, zoals het recht op inzage, kopie, correctie, beperking van verwerking en in sommige gevallen verwijdering van gegevens.
- Bij een datalek moet de organisatie beoordelen of dit gemeld moet worden bij de Autoriteit Persoonsgegevens (AP) en eventueel bij de betrokken patiënten.
Het is belangrijk dat zorgverleners duidelijke beleid maken over het bijhouden van dossiers, het delen van informatie met andere zorgverleners, het gebruik van e-mail en apps en het melden van incidenten, zodat iedere zorgverlener weet wat er van hem of haar wordt verwacht.
Geschiedenis privacy en AVG
Het recht op privacy is al langer vastgelegd in Europese en internationale verdragen en sinds 1983 ook in de Nederlandse Grondwet. Door digitalisering en wereldwijde handel en (gegevens)uitwisseling worden gegevens steeds vaker en makkelijker gedeeld, waardoor strengere en meer eenduidige regels nodig waren.
In Nederland gold eerst de Wet persoonsregistratie (1989). Later werd deze vervangen door de Wet bescherming persoonsgegevens (Wbp, 2001). Op Europees niveau kwam in 1995 een eerste richtlijn voor databescherming, waarop de Wbp was gebaseerd. De AVG is de opvolger van deze Europese richtlijn. De AVG werd van toepassing in 2018.
Implementatie in Nederlandse wetgeving
In Nederland is de AVG verder uitgewerkt in de Uitvoeringswet Algemene verordening gegevensbescherming (UAVG). In deze wet staan extra regels, bijvoorbeeld over de taken van de Autoriteit Persoonsgegevens (de toezichthouder) en over bijzondere persoonsgegevens. De AP controleert of organisaties zich aan de AVG houden en kan boetes geven als dat niet zo is.