Een apotheek heeft gezondheidsgegevens nodig om geneesmiddelen veilig te verstrekken, interacties te beoordelen en patiënten te begeleiden. De AVG verbiedt die zorg niet. Zij vraagt wel dat de apotheek per handeling kan uitleggen welke gegevens nodig zijn, wie ze mag gebruiken en welke waarborgen gelden. Daarbij komen de WGBO, het beroepsgeheim en Nederlandse regels voor elektronische zorginformatie. Een algemene privacyverklaring of toestemming bij inschrijving dekt niet automatisch alle toepassingen.
Deze gids onderscheidt het medicatiedossier, uitwisseling via het LSP, afhalen en bezorgen, digitale diensten en incidenten. Voor de gemeenschappelijke regels voor andere zorgverleners is er de uitleg over AVG in de gezondheidszorg. Hieronder staan wettelijke verplichtingen naast praktische manieren om die in een apotheek uit te voeren; organisatorische voorbeelden zijn geen verplicht voorgeschreven softwarekeuzes.
Welke rechtsgrond geldt voor het medicatiedossier?
Gezondheidsgegevens vallen onder artikel 9 AVG. Voor noodzakelijke farmaceutische zorg kan de uitzondering van artikel 9 lid 2 onder h gelden, met de geheimhoudingsvoorwaarden van lid 3. Artikel 30 UAVG werkt de Nederlandse mogelijkheden voor hulpverleners en zorginstellingen uit. Daarnaast is een grondslag uit artikel 6 nodig: bijvoorbeeld noodzakelijke uitvoering van de behandelingsovereenkomst of een wettelijke verplichting voor de betreffende dossierhandeling. Leg beide beoordelingen vast; een uitzondering op het verbod voor gezondheidsgegevens vervangt artikel 6 niet.
Voor noodzakelijke dossiervorming is daardoor niet standaard afzonderlijke AVG-toestemming nodig. Dat betekent niet dat de patiënt niets te zeggen heeft over de behandeling of over verstrekking aan anderen. Toestemming voor een medische handeling, doorbreking van het beroepsgeheim, elektronische beschikbaarstelling en toestemming als AVG-grondslag hebben verschillende functies. Wie alles samenvoegt in één vinkje, kan later moeilijk aantonen waarvoor de patiënt werkelijk koos.
Neem alleen informatie op die nodig is voor goede farmaceutische zorg. Een relevante allergie of nierfunctiewaarde kan noodzakelijk zijn; een volledig verslag van sociale problemen is dat niet vanzelf. Controleer de bron en actualiteit van medicatiegegevens, leg onzekerheden herkenbaar vast en corrigeer een verkeerd gekoppeld dossier snel. De uitleg over bijzondere persoonsgegevens helpt om het strengere regime te onderscheiden van gewone contactadministratie. De nationale basis staat in artikel 30 UAVG.
Maak het dossier bruikbaar zonder iedereen toegang te geven
De zorgbehoefte bepaalt wie toegang nodig heeft. Een assistent die een recept verwerkt, heeft andere informatie nodig dan iemand die alleen de bezorgplanning maakt. Richt functies en vervanging daarop in. Een gedeeld account maakt achteraf onduidelijk wie een dossier heeft bekeken en bemoeilijkt onderzoek naar fouten. Persoonlijke toegang, passende authenticatie en controle van autorisaties ondersteunen zowel patiëntveiligheid als vertrouwelijkheid.
Bij een apotheekketen is de juridische organisatie eveneens relevant. Een gezamenlijke handelsnaam bewijst niet dat elke vestiging alle dossiers voor hetzelfde doel mag openen. Bepaal welke rechtspersoon verantwoordelijk is, welke zorgrelatie bestaat en wanneer toegang tussen vestigingen noodzakelijk is. Laat een medewerker bij een onverwachte inzagevraag kunnen terugvallen op een verantwoordelijke apotheker. Een technische mogelijkheid om een dossier te openen is op zichzelf geen rechtvaardiging om dat te doen.
Wat vraagt uitwisseling via het LSP?
Voor beschikbaarstelling via een elektronisch uitwisselingssysteem geldt artikel 15a Wabvpz: de zorgaanbieder stelt gegevens alleen beschikbaar nadat de patiënt daarvoor uitdrukkelijk toestemming heeft gegeven. Dit is relevant voor het LSP. De patiënt moet begrijpelijke informatie krijgen over de uitwisseling, de rechten daarbij en hoe toestemming kan worden gewijzigd of ingetrokken. Leg aantoonbaar vast wat is uitgelegd en waarvoor toestemming is verkregen.
Deze bijzondere wettelijke toestemming mag niet automatisch worden gelijkgesteld aan artikel 9 lid 2 onder a AVG als enige grondslag voor alle achterliggende zorgverwerkingen. Beoordeel de zorgverlening en de elektronische beschikbaarstelling afzonderlijk. Intrekking van toestemming voor beschikbaarstelling wist het eigen medicatiedossier niet automatisch en beëindigt evenmin zonder meer de wettelijke dossierplicht. Pas wel de toekomstige beschikbaarstelling aan waarop de intrekking betrekking heeft.
Ook een geldige opt-in geeft geen onbeperkte toegang aan iedere aangesloten partij. Beroepsgeheim, noodzakelijkheid en toegangsrechten blijven gelden. Rechtstreekse informatieverstrekking aan iemand die bij de uitvoering van dezelfde behandelingsovereenkomst betrokken is, kan onder de WGBO anders worden beoordeeld dan beschikbaarstelling via een uitwisselingssysteem. Documenteer daarom de feitelijke route. De Wabvpz, artikelen 15a tot en met 15f, en de algemene uitleg over geldige AVG-toestemming helpen die beslissingen uit elkaar te houden.
Medicatie afhalen, bezorgen en bespreken met naasten
Een partner of mantelzorger heeft niet alleen door die relatie recht op het hele dossier. Controleer of de patiënt instemt met het afhalen en welke informatie daarbij mag worden gegeven. Maak onderscheid tussen noodzakelijke gebruiksinstructies bij een toegestane aflevering en een verzoek om de volledige medicatiegeschiedenis. Bij twijfel kan de apotheek de patiënt via een bekend contactkanaal benaderen. De controle moet passend zijn; verzamel niet zonder noodzaak kopieën van identiteitsdocumenten.
Voor vertegenwoordiging van een patiënt die zijn belangen niet zelf kan beoordelen, gelden bijzondere WGBO-regels. Een afhaalafspraak is niet hetzelfde als een wettelijke vertegenwoordigingsbevoegdheid. Bij kinderen spelen leeftijd, gezag en de concrete behandeling mee. Geef daarom niet automatisch alle gegevens aan de persoon die betaalt of met het kind meekomt. Zorg dat medewerkers dergelijke vragen kunnen laten beoordelen in plaats van zelf een vaste familierangorde te bedenken.
Bij bezorging blijven wettelijk vereiste etikettering en veilige geneesmiddelenverstrekking noodzakelijk. Beperk daarbuiten wat een buitenstaander kan zien. Spreek af wat gebeurt als niemand opendoet, of aflevering bij buren is toegestaan en hoe een verkeerd adres wordt herkend. Een bezorger heeft doorgaans geen volledig medicatieoverzicht nodig. Beveilig routegegevens en voorkom dat papieren lijsten na de rit onbeheerd achterblijven. Dit zijn praktische maatregelen waarvan de uitvoering afhangt van de bezorgdienst en de risico’s.
Bewaren: twintig jaar vanaf de laatste dossierwijziging
Artikel 7:454 BW verlangt dat de hulpverlener een dossier bijhoudt en dit in beginsel twintig jaar bewaart vanaf de laatste wijziging in het dossier. De termijn begint dus niet simpelweg bij het laatste bezoek of de laatste aflevering. Langer bewaren kan nodig zijn als goed hulpverlenerschap dat redelijkerwijs vereist. Onderbouw zo’n verlenging concreet; de mogelijkheid om langer te bewaren is geen opdracht om ieder dossier onbeperkt te houden.
De bewaarplicht moet samen worden gelezen met artikel 7:455 BW. Een patiënt kan schriftelijk of elektronisch om vernietiging vragen, ook voordat twintig jaar zijn verstreken. De wettelijke uitzonderingen betreffen onder meer een aannemelijk aanmerkelijk belang van een ander dan de patiënt en regels die vernietiging verhinderen. Onderzoek daarom welke dossieronderdelen het verzoek raakt en welke specifieke bewaarplichten daarop van toepassing zijn. Wijs een verzoek niet uitsluitend af met de mededeling dat twintig jaar nog niet voorbij zijn.
Behandel recepten, logging, declaraties en tijdelijke bezorgbestanden als herkenbare categorieën. De KNMP-richtlijn Patiëntendossier van januari 2024 bespreekt de apotheekpraktijk en bijzondere aandachtspunten voor recepten. Controleer de toepasselijke wettelijke bewaarregel voordat u zulke documenten vernietigt. Zet niet op de hele administratie automatisch dezelfde termijn als op het behandeldossier. In een schema voor AVG-bewaartermijnen horen de categorie, het startmoment, de reden en eventuele blokkades voor vernietiging afzonderlijk thuis.
Zorg ook dat een vernietigingsbesluit uitvoerbaar is. Controleer exportbestanden, oude applicaties en kopieën bij leveranciers. Beschrijf hoe gegevens in back-ups afgeschermd blijven tot de normale vervangingscyclus en hoe een herstelactie voorkomt dat eerder verwijderde gegevens opnieuw actief worden gebruikt. Een algemene verwijzing naar technische onmogelijkheid is onvoldoende. De hoofdregels voor dossier, vernietiging, inzage en geheimhouding staan in Boek 7 BW, artikelen 454 tot en met 457.
NEN 7510 is voor zorginformatiesystemen wettelijk relevant
Voor apotheken die persoonsgegevens in een zorginformatiesysteem verwerken, is NEN 7510 geen vrijblijvende aanbeveling. Artikel 3 van het Besluit elektronische gegevensverwerking door zorgaanbieders verlangt veilig en zorgvuldig gebruik overeenkomstig NEN 7510 en NEN 7512. Artikel 5 verbindt de logging aan NEN 7513. Deze nationale verplichtingen gelden naast artikel 32 AVG over passende beveiliging. Controleer bij normwijzigingen ook de bekendgemaakte toepassingsdatum; een nieuwe uitgave en haar juridische toepasselijkheid moeten zorgvuldig worden onderscheiden.
De IGJ-uitleg over NEN 7510 maakt een belangrijk verschil: aantoonbaar werken volgens de norm is verplicht, een NEN 7510-certificaat is niet algemeen wettelijk verplicht. Een certificaat kan bewijs leveren, maar vervangt de eigen werking van beveiligingsbeleid niet. Evenmin is het voldoende dat alleen de softwareleverancier aan de norm voldoet. De apotheek bepaalt bijvoorbeeld zelf wie toegang krijgt, hoe incidenten worden behandeld en wat er bij uitval gebeurt.
Werk vanuit een risicoanalyse aan toegangsbeheer, veilige communicatie, herstelbaarheid en controle van logging. Controleer of een herstelde back-up daadwerkelijk bruikbare medicatiegegevens oplevert. Leg vast wie afwijkende inzagepatronen beoordeelt en hoe verbeteringen worden opgevolgd. Beoordeel e-mail en patiëntenportalen op de concrete beveiliging, ontvangercontrole en informatiegevoeligheid; een kanaalnaam alleen bewijst geen veiligheid. De juridische verwijzingen naar de normen staan in het Besluit elektronische gegevensverwerking door zorgaanbieders.
Apps en leveranciers: beoordeel de werkelijke rol
Een herhaalservice kan noodzakelijke zorg ondersteunen, maar ook commerciële functies bevatten. Beoordeel afzonderlijk welke gegevens voor herinneringen nodig zijn en of de aanbieder gegevens voor eigen analyses, reclame of productontwikkeling gebruikt. Laat een patiënt niet ongemerkt instemmen met gezondheidsmarketing om een gewone zorgfunctie te krijgen. Een bestaande behandelingsovereenkomst rechtvaardigt geen onbeperkt hergebruik van medicatiegegevens.
Een leverancier die persoonsgegevens namens de apotheek verwerkt, kan verwerker zijn. Dan is een bindende regeling volgens artikel 28 AVG nodig, met onder meer instructies, geheimhouding, beveiliging, subverwerkers, ondersteuning en controlemogelijkheden. Een andere zorgverlener of een partij die eigen doeleinden bepaalt, is niet door het label ‘leverancier’ automatisch verwerker. De uitleg over de verwerkersovereenkomst volgens artikel 28 helpt om het contract op de werkelijke dienstverlening af te stemmen.
Regel bij beëindiging de keuze van de apotheek tussen teruggeven en wissen van persoonsgegevens en het wissen van bestaande kopieën, tenzij Unie- of lidstatelijk recht de verwerker tot opslag verplicht. Onderzoek daarnaast opslaglocaties en toegang vanuit derde landen. Een contract met een Europese leverancier sluit internationale doorgiften niet uit. Bepaal het toepasselijke hoofdstuk V-mechanisme en eventuele aanvullende maatregelen voordat dergelijke toegang wordt toegestaan; gezondheidsgegevens vragen daarbij een zorgvuldige risicoanalyse.
Rechten van patiënten praktisch afhandelen
Een patiënt kan inzage in persoonsgegevens vragen zonder een speciaal AVG-formulier te gebruiken. Herken zo’n verzoek ook aan de balie of in een bericht. Verifieer de identiteit op passende wijze en stuur geen dossier naar een onbevestigd adres. De WGBO en Wabvpz bieden aanvullende regels voor dossierinzage en elektronische kopieën. De Wabvpz voorziet ook in informatie over wie gegevens beschikbaar heeft gesteld en wie ze heeft ingezien.
Voor AVG-verzoeken geldt reactie zonder onredelijke vertraging en uiterlijk binnen één maand. Een noodzakelijke verlenging met maximaal twee maanden wegens complexiteit of aantal verzoeken moet binnen de eerste maand gemotiveerd worden meegedeeld. Bescherm rechten van anderen bij een kopie, maar gebruik dat niet als algemene reden om het hele dossier te weigeren. Een feitelijke fout kan correctie vergen; een professioneel oordeel wordt niet automatisch onjuist doordat de patiënt het ermee oneens is. Onderzoek de juistheid en bied waar passend ruimte voor diens eigen verklaring in het dossier.
Een datalek beoordelen zonder automatische conclusies
Een verkeerd bezorgd medicatiepakket, onbevoegde dossierinzage of verlies van noodzakelijke gegevens kan een persoonsgegevensinbreuk zijn. Ook tijdelijke onbeschikbaarheid kan gevolgen hebben voor veilige zorg. Beperk de schade meteen, stel relevante informatie veilig en beoordeel aard, omvang en mogelijke gevolgen. De gevoeligheid van gezondheidsgegevens is zwaarwegend, maar betekent niet dat iedere gebeurtenis automatisch aan zowel toezichthouder als patiënt moet worden gemeld.
Artikel 33 AVG verlangt melding zonder onredelijke vertraging en waar mogelijk binnen 72 uur na kennisname, tenzij het onwaarschijnlijk is dat de inbreuk een risico voor rechten en vrijheden oplevert. Een melding na 72 uur vergt redenen; ontbrekende informatie kan gefaseerd worden aangevuld. Een verwerker informeert de apotheek zonder onredelijke vertraging en krijgt geen eigen algemene wachttijd van 72 uur. Documenteer alle persoonsgegevensinbreuken, ook wanneer geen melding wordt gedaan, met feiten, gevolgen, maatregelen en onderbouwing.
Bij waarschijnlijk hoog risico volgt daarnaast communicatie aan de patiënt zonder onredelijke vertraging, behoudens de uitzonderingen van artikel 34. Versleuteling kan relevant zijn, maar moet werkelijk effectief zijn; zij lost bijvoorbeeld gevolgen van onbeschikbare gegevens niet automatisch op. Gebruik de werkwijze voor datalekken melden bij de AP om beslissingen en aanvullingen te organiseren. Herstel van de dienstverlening, melding en onderzoek kunnen naast elkaar lopen.
Wie houdt de uitvoering op orde?
Wijs binnen de apotheek iemand aan die wijzigingen in systemen, leveranciers en werkprocessen beoordeelt. Houd het verwerkingsregister actueel: voor de reguliere verwerking van gezondheidsgegevens moet de apotheek haar verwerkingen registreren, ook bij een klein personeelsbestand. Laat een nieuwe app of samenwerking vóór ingebruikname toetsen op noodzakelijkheid, rollen, beveiliging en eventuele hoge risico’s. Een gegevensbeschermingseffectbeoordeling is nodig wanneer de verwerking waarschijnlijk een hoog risico oplevert, niet automatisch voor iedere kleine softwarewijziging.
Bespreek met medewerkers concrete situaties: een bekende patiënt aan de telefoon, een familielid met een afhaalverzoek, een ontslagmedicatieoverzicht en een fout bezorgadres. Daarmee wordt zichtbaar of de afspraken werken. Bij samenwerking met huisartsen moeten beide partijen hun verantwoordelijkheden en informatieverstrekking afstemmen; de gids voor AVG in de huisartsenpraktijk behandelt die andere kant van dezelfde zorgketen.