Een huisartsenpraktijk moet patiëntgegevens beschermen én beschikbaar houden voor goede zorg. Daarbij werken de AVG, de geneeskundige behandelingsovereenkomst en regels over elektronische gegevensuitwisseling naast elkaar. Een toestemmingsformulier of een beveiligd huisartsinformatiesysteem lost niet alle vragen op: de praktijk moet ook bepalen wie gegevens mag gebruiken, hoe patiënten hun rechten uitoefenen en wat er gebeurt bij overdracht of een incident.
Deze gids behandelt de dagelijkse praktijk: dossiervoering, bewaartermijnen, inzage, het LSP, leveranciers en communicatie. Het uitgangspunt is steeds de concrete verwerking. Dezelfde patiëntgegevens kunnen nodig zijn voor behandeling, een administratieve verplichting of een afzonderlijk verzoek, maar dat geeft niet automatisch toestemming voor ieder ander gebruik. De bredere gids over AVG in de zorg behandelt het kader voor andere zorgorganisaties.
Gezondheidsgegevens vragen om twee juridische controles
Gezondheidsgegevens vallen onder artikel 9 AVG. Voor verwerking is zowel een passende grondslag uit artikel 6 als een toepasselijke uitzondering op het verbod van artikel 9 nodig. Voor noodzakelijke behandeling kan artikel 9 lid 2 onder h relevant zijn, binnen de vereisten over beroepsgeheim en nationaal recht. Een praktijk moet dus meer kunnen uitleggen dan alleen dat de patiënt ergens toestemming heeft gegeven.
Artikel 30 UAVG concretiseert onder meer verwerking door hulpverleners en zorgvoorzieningen voor zover noodzakelijk voor goede behandeling of verzorging, of het beheer van de instelling of beroepspraktijk. Daarbij gelden geheimhoudingsvoorwaarden. Dit is geen algemene vrijstelling voor alle gegevensverwerkingen van een huisarts. Denk afzonderlijk na over nieuwe apps, commerciële samenwerking of andere doelen buiten de gewone behandeling.
Toestemming voor een medische verrichting, toestemming voor beschikbaarstelling via een uitwisselingssysteem en toestemming als AVG-grondslag zijn verschillende vragen. Een weigering om gegevens via het LSP beschikbaar te stellen betekent bijvoorbeeld niet automatisch dat de huisarts geen noodzakelijk dossier meer mag bijhouden. Zorg dat formulieren en medewerkers deze beslissingen niet als één onlosmakelijk pakket presenteren.
Wat hoort in het medisch dossier?
Artikel 7:454 van het Burgerlijk Wetboek verplicht de hulpverlener een dossier in te richten. Daarin komen gezondheidsgegevens, verrichtingen en andere gegevens voor zover noodzakelijk voor goede hulpverlening. Leg relevante waarnemingen zorgvuldig vast en maak duidelijk waar informatie vandaan komt. Een vermoeden, een verklaring van de patiënt en een vastgestelde diagnose moeten niet ongemerkt dezelfde status krijgen.
Dataminimalisatie betekent hier niet dat het dossier zo kort mogelijk moet zijn. Het gaat om voldoende, relevante informatie voor de zorg, zonder overbodige persoonlijke details. Een losse notitie over familieomstandigheden kan medisch relevant zijn, maar die relevantie moet te verklaren zijn. De omstandigheid dat een systeem een vrij tekstveld biedt, maakt iedere inhoud nog niet noodzakelijk.
Maak werkafspraken over wie gegevens toevoegt en hoe correcties zichtbaar blijven. Een administratieve vergissing moet kunnen worden hersteld zonder de medische voorgeschiedenis onbegrijpelijk te maken. De patiënt kan ook vragen een eigen verklaring aan het dossier toe te voegen. Dat recht is iets anders dan een onbeperkt recht om het professionele oordeel van de arts door de eigen gewenste formulering te laten vervangen.
Twintig jaar bewaren: controleer het startmoment
De WGBO bepaalt dat het dossier twintig jaar wordt bewaard vanaf het tijdstip van de laatste wijziging, of langer voor zover dat redelijkerwijs uit goede hulpverlening voortvloeit. Het is dus niet zonder meer twintig jaar na het eerste consult of na inschrijving. Breng bij een bewaarbeleid het startmoment en de relevante dossierstructuur in kaart, zodat de praktijk en de leverancier hetzelfde bedoelen.
De mogelijkheid van langere bewaring is geen automatische opdracht alles onbeperkt te houden. Een concrete zorgbehoefte kan langere bewaring rechtvaardigen; leg de beoordeling vast. De formulering over goed hulpverlenerschap geeft evenmin een algemene bevoegdheid de wettelijke termijn naar eigen voorkeur te verkorten. Een eerder vernietigingsverzoek heeft een eigen wettelijke grondslag en uitzonderingen, zoals hieronder uitgelegd.
Niet ieder document in de praktijk is onderdeel van het medische dossier. Personeelsgegevens, sollicitaties, financiële administratie en technische logbestanden kunnen andere regels hebben. Gebruik daarom geen algemene instelling die alles na twintig jaar verwijdert of alles minimaal twintig jaar vasthoudt. Het overzicht over AVG-bewaartermijnen helpt deze doelen en documentsoorten uiteen te houden.
Een patiënt kan ook eerder om vernietiging vragen
Artikel 7:455 BW voorziet in vernietiging na een schriftelijk of elektronisch verzoek van de patiënt. De patiënt hoeft daarvoor niet eerst de twintigjarige termijn af te wachten. Onderzoek wel of een uitzondering geldt: voor zover bewaring van aanmerkelijk belang is voor iemand anders dan de patiënt, of voor zover een wettelijke bepaling zich tegen vernietiging verzet, geldt de vernietigingsplicht niet.
Vraag bij onduidelijkheid welke gegevens het verzoek betreft en leg de gevolgen begrijpelijk uit. Die toelichting mag niet veranderen in een onterechte eis dat de patiënt toestemming van de arts nodig heeft om überhaupt een verzoek te doen. Een algemene wens om het dossier compleet te houden is ook niet zonder meer dezelfde wettelijke uitzondering als een aanmerkelijk belang van een ander.
Betrek bij de uitvoering de plaatsen waar de betrokken gegevens staan, zoals het HIS, lokale kopieën en relevante leveranciers. Maak duidelijk welke gegevens zijn verwijderd en welke op een concrete grond blijven bestaan. Een back-up vraagt een passende technische afhandeling; vermijd dat verwijderde gegevens bij herstel ongemerkt weer regulier worden gebruikt. De praktijk moet de beslissing kunnen uitvoeren en uitleggen.
Inzage, afschrift en een begrijpelijke reactie
De WGBO geeft de patiënt recht op inzage en afschrift van dossiergegevens. De verstrekking blijft achterwege voor zover dat noodzakelijk is om de persoonlijke levenssfeer van een ander te beschermen. Dit rechtvaardigt geen automatische weigering van het hele dossier zodra daarin een familielid wordt genoemd. Beoordeel welke informatie beschermd moet worden en of gerichte afscherming de rest toegankelijk laat.
De Wabvpz regelt daarnaast op verzoek elektronische inzage en afschriften met redelijke tussenpozen, kosteloos binnen de wettelijke regeling. Zij kent ook informatie over wie gegevens beschikbaar heeft gesteld of heeft geraadpleegd en wanneer. Maak daarom duidelijk onderscheid tussen de inhoud van het dossier en relevante informatie over de raadpleging ervan. De exportmogelijkheden van het HIS moeten deze rechten praktisch ondersteunen.
Voor een AVG-inzageverzoek geldt artikel 12: zonder onredelijke vertraging en uiterlijk binnen één maand reageren. Bij noodzakelijke verlenging wegens complexiteit of aantal verzoeken kan maximaal twee maanden bijkomen, maar de patiënt moet binnen de eerste maand over de verlenging en reden worden geïnformeerd. Bij niet-handelen moeten binnen uiterlijk één maand redenen en informatie over klacht en beroep worden verstrekt.
Controleer de identiteit evenredig aan het risico. Een reeds veilig geïdentificeerde portaalgebruiker hoeft niet automatisch opnieuw een volledige identiteitskopie te sturen. Bij twijfel kan aanvullende informatie nodig zijn, maar verzamel niet meer dan noodzakelijk. Noteer ontvangst, beoordeling en antwoord, zodat een verzoek niet blijft liggen tussen de assistente, huisarts en externe systeembeheerder.
Familie, vertegenwoordigers en waarnemers
Een partner of volwassen kind krijgt niet uitsluitend door de familieband toegang tot medische gegevens. Controleer toestemming, machtiging of de toepasselijke wettelijke vertegenwoordiging. Artikel 7:465 BW bevat regels voor minderjarigen en patiënten die hun belangen ter zake niet redelijk kunnen waarderen. Bij meerderjarigen speelt onder meer de positie van curator of mentor, een schriftelijk gemachtigde en vervolgens de wettelijke volgorde van andere vertegenwoordigers.
Een vertegenwoordiger moet als goed vertegenwoordiger handelen en de patiënt zoveel mogelijk betrekken. De huisarts houdt bovendien rekening met de grens van goed hulpverlenerschap. Maak medewerkers duidelijk dat een naam in de contactlijst voor noodgevallen niet automatisch hetzelfde is als een bevoegdheid om het gehele dossier op te vragen. Bij ingewikkelde gezinsverhoudingen is een zorgvuldige, vastgelegde beoordeling nodig.
Voor rechtstreeks bij de behandeling betrokken personen en de vervanger van de hulpverlener kent artikel 7:457 BW een gerichte uitzondering op het delen met anderen: alleen voor zover gegevens noodzakelijk zijn voor hun werkzaamheden. Dat is geen algemene toegang voor alle medewerkers in een gezondheidscentrum. Richt rechten in naar de taak en controleer of tijdelijke toegang na de waarneming weer wordt aangepast.
LSP: beschikbaarstelling is een afzonderlijke beslissing
Artikel 15a Wabvpz verlangt dat de zorgaanbieder vaststelt dat de patiënt uitdrukkelijk toestemming heeft gegeven voordat gegevens via een elektronisch uitwisselingssysteem beschikbaar worden gesteld. Voor de huisartsenzorg beschrijft VZVZ onder meer het delen van een professionele samenvatting met de huisartsenpost en het opvragen van medicatiegegevens. Presenteer dit niet als onbeperkte toegang van iedere aangesloten partij tot het volledige dossier.
De patiënt moet informatie krijgen over rechten en de werking van het gebruikte systeem. Bij relevante wijzigingen, zoals nieuwe categorieën aangesloten zorgaanbieders of een substantiële wijziging van de werking, moet ook de mogelijkheid om toestemming aan te passen of in te trekken duidelijk zijn. Leg vast welke keuze is gemaakt en zorg dat een wijziging daadwerkelijk doorwerkt in de beschikbaarstelling.
Deze toestemming vervangt niet de overige voorwaarden voor rechtmatige verwerking en het medisch beroepsgeheim. Zij is ook niet automatisch de uitzondering van artikel 9 lid 2 onder a waarop alle behandeling rust. Geef medewerkers daarom aparte instructies voor directe informatieverstrekking aan een betrokken behandelaar, beschikbaarstelling via het LSP en een verzoek van bijvoorbeeld een verzekeraar. Het toepasselijke juridische kader verschilt.
NEN 7510 is wettelijk verankerd, certificering is een andere vraag
Het Besluit elektronische gegevensverwerking door zorgaanbieders verlangt voor het betrokken gebruik van zorginformatie- en uitwisselingssystemen naleving van NEN 7510 en NEN 7512. Voor logging verwijst het naar NEN 7513. Dit zijn in deze context geen vrijblijvende aanbevelingen die uitsluitend afhangen van de omvang van de praktijk. Daarnaast blijft artikel 32 AVG passende beveiliging vereisen.
De IGJ verduidelijkt dat ook kleine zorgaanbieders aantoonbaar volgens de norm moeten werken. Een NEN 7510-certificaat is daarvoor niet wettelijk verplicht. De inspectie verwacht wel een werkende organisatie van informatiebeveiliging en onafhankelijke beoordeling. Alleen verklaren dat de ICT-leverancier gecertificeerd is, toont niet aan dat de eigen praktijkprocessen aan de eisen voldoen.
Controleer welke uitgave volgens de toepasselijke bekendmaking geldt en welk deel van uw systemen en dienstverlening wordt beoordeeld. Een certificaat kan een afgebakende dienst of vestiging betreffen. Vraag daarom naar de reikwijdte en relevante bevindingen in plaats van uitsluitend naar een logo. De technische inrichting en de dagelijkse werkwijze moeten aantoonbaar op elkaar aansluiten.
Toegang, logging en herstel in de dagelijkse praktijk
Maak gebruikersrechten herleidbaar tot personen en taken. Een gedeeld account maakt het moeilijk te reconstrueren wie een dossier heeft geraadpleegd. Controleer instroom, functiewijzigingen en vertrek, ook bij waarnemers en externe ondersteuning. Bij noodtoegang moet duidelijk zijn wanneer die is toegestaan en hoe achteraf wordt beoordeeld of zij terecht is gebruikt.
Logging is pas bruikbaar als de praktijk weet welke handelingen worden vastgelegd en hoe afwijkingen worden onderzocht. Het bewaren van een bestand waar niemand ooit naar kan kijken, is geen volledige beheersing van toegang. Maak afspraken over beschikbaarheid van logs, onderzoek door de leverancier en inzageverzoeken. Beperk tegelijkertijd de toegang tot de loggegevens zelf.
Bespreek daarnaast herstel: welke informatie is bij uitval nodig voor verantwoorde zorg en hoe krijgt de praktijk die terug? Beveiligde back-ups, herstelcontroles en passende authenticatie kunnen belangrijke maatregelen zijn. De precieze uitvoering volgt uit risico’s en toepasselijke normen; een algemene lijst met drie techniekwoorden bewijst geen naleving. Leg vast wie controleert dat de gekozen maatregelen daadwerkelijk werken.
Veilige communicatie begint bij de juiste ontvanger
Kies voor medische berichten een passend beveiligde communicatiemethode en controleer de ontvanger. Een beveiligd portaal kan verkeerd gekoppeld zijn, en versleutelde e-mail beschermt niet tegen een verkeerd geselecteerd adres. Spreek af hoe adressen worden gewijzigd, hoe een patiënt hulp krijgt bij toegang en welke informatie in een gewone afspraakherinnering terechtkomt.
De voorkeur van een patiënt voor een eenvoudig kanaal neemt de eigen beveiligingsplicht van de praktijk niet weg. Beoordeel inhoud, identificatie, toegang en risico, en bied zo nodig een werkbaar alternatief. Ook bij telefonisch contact moet de assistente weten welke informatie zij mag geven. Voorkom dat medische details hoorbaar worden voor andere patiënten bij de balie.
Beoordeel leveranciers op hun werkelijke rol
Een leverancier die dossiergegevens uitsluitend namens de praktijk host of beheert, kan verwerker zijn. Een andere zorgverlener met eigen behandeldoeleinden is niet daarom een verwerker. Beoordeel telefonie, beeldbellen, administratie en software dus afzonderlijk. Het gebruik van één standaardcontract voor iedere ontvanger kan verantwoordelijkheden verhullen in plaats van regelen.
Bij een verwerkersrelatie is een schriftelijke, ook elektronische overeenkomst volgens artikel 28 AVG of een andere bindende rechtshandeling naar Unierecht of lidstatelijk recht nodig. Controleer instructies, geheimhouding, beveiliging, ondersteuning bij rechten en incidenten en de voorwaarden voor subverwerkers. Vraag ook waar gegevens verwerkt worden en wie vanuit andere landen toegang kan hebben.
Regel de beëindiging van de dienst: volgens de keuze van de praktijk terugbezorgen of wissen van de gegevens, met verwijdering van bestaande kopieën, tenzij toepasselijk Unie- of lidstatelijk recht de verwerker tot opslag verplicht. Bespreek hoe dit technisch gebeurt, inclusief back-ups. Bij overstap moeten dossierinhoud, relevante context en bruikbare toegang behouden blijven zonder onnodige oude toegang te laten voortbestaan.
Een incident vraagt meer dan herstel van het HIS
Een verkeerd verstuurd dossier, ongeoorloofde raadpleging of verlies van beschikbaarheid kan een inbreuk in verband met persoonsgegevens zijn. Beperk direct de gevolgen en beoordeel parallel het risico voor patiënten. Documenteer iedere dergelijke inbreuk, ook als zij niet wordt gemeld. De aanwezigheid van gezondheidsgegevens is relevant, maar vervangt de beoordeling van de concrete omstandigheden niet.
De praktijk meldt zonder onredelijke vertraging en waar mogelijk uiterlijk binnen 72 uur na kennisneming aan de bevoegde toezichthouder, tenzij risico voor rechten en vrijheden onwaarschijnlijk is. Een latere melding vraagt een motivering; ontbrekende informatie kan zonder onredelijke vertraging worden aangevuld. Melden bij de AP staat los van communicatie aan patiënten bij waarschijnlijk hoog risico, waarvoor artikel 34 eigen voorwaarden en uitzonderingen kent.
Laat een verwerker zonder onredelijke vertraging aan de praktijk melden. Een contractuele termijn geeft geen algemene vrijbrief om eerst 24 of 48 uur te wachten. Controleer bij een verloren apparaat zowel bescherming tegen lezen als de beschikbaarheid van noodzakelijke zorginformatie. Encryptie alleen bewijst niet dat iedere mogelijke schade is uitgesloten.
Houd de praktijkorganisatie controleerbaar
Een verwerkingsregister helpt patiëntenzorg, personeel en administratie te onderscheiden. De uitzondering voor organisaties met minder dan 250 medewerkers geldt niet voor de betreffende verwerking wanneer die niet incidenteel is, waarschijnlijk risico oplevert of gegevens uit artikel 9 of 10 omvat. Structurele verwerking van gezondheidsgegevens kan dus niet op grond van een klein personeelsbestand buiten het register blijven.
Wijs iemand aan die verzoeken, wijzigingen en openstaande verbeteringen volgt, zonder daarmee de wettelijke verantwoordelijkheid ongemerkt te verplaatsen. Of een formele functionaris voor gegevensbescherming nodig is, vraagt een afzonderlijke beoordeling van de toepasselijke criteria; alleen een functienaam invoeren is geen oplossing. Zorg vooral dat medewerkers weten welke besluiten zij zelf mogen nemen en wanneer zij moeten opschalen.
Controleer bij praktijkoverdracht of een systeemwissel de volledigheid, toegang en afgesproken bestemming van dossiers. Informeer patiënten op de passende manier en beoordeel de juridische voorwaarden voor verstrekking. Goede afspraken met de opvolger en leverancier voorkomen dat onduidelijk blijft wie verzoeken over oude gegevens behandelt. Voor samenwerking rond medicatie zijn de specifieke aandachtspunten voor apotheken aanvullend relevant.