Hoe werkt de AVG door in uw praktijk? - Deel 1

De AVG verplicht u patiënten te informeren over de verwerking van hun gegevens en hun rechten.  Dit moet u doen door middel van de overhandiging van het privacystatement dan wel een verwijzing naar deze verklaring op uw website. De AVG bepaalt dat de informatieplicht niet geldt tegenover een persoon die al bekend is met uw privacystatement. De informatieplicht op grond van de AVG is uitgebreider dan de Wet bescherming persoonsgegevens (Wbp). Het advies is dan ook het privacystatement onder de aandacht te brengen bij ingeschreven patiënten. Bijvoorbeeld bij contacten per mail of bezoek aan praktijk en op mededelingenbord.  

Meer zeggenschap van patiënt  

Een patiënt heeft ook onder de AVG het recht op een kopie van zijn dossier. Op grond van de AVG en de WGBO moet en hieruit gegevens van derden (privépersonen) die niet door de patiënt verstrekt zijn, uit het dossier worden verwijderd. Als u verwacht dat kennisname van het dossier bij patiënt tot vragen of onvrede leidt, dan is het raadzaam hem begeleiding bij inzage in het dossier aan te bieden. Daarmee beperkt u de kans op onvrede en verstoring van de behandelrelatie. Nieuw is dat u volgens de AVG geen kosten meer in rekening brengen voor het verstrekken van een kopie.   

Het recht op informatie van een patiënt omvat ook het recht op informatie over gegevensverwerking in uw praktijk, zoals logging. Als uit de logging blijkt dat personen uit de praktijk of waarnemers het dossier hebben gezien, zonder dat er sprake was van een behandelcontact met de patiënt, dan zal dit vragen bij hem oproepen. Omdat deze het vertrouwen in u als praktijkhouder raken, is het belangrijk de patiënt uitleg te geven en zo nodig maatregelen te treffen om onrechtmatige inzage in de patiëntengegevens te voorkomen. Doet u dat niet, dan kan de patiënt zich hierover beklagen bij de Autoriteit Persoonsgegevens (AP).  

Verwijderen van gegevens: AVG of WGBO?  

De WGBO bevat een specifieke regeling over het vernietigen van het dossier of wel het verwijderen van alle of een deel van de gegevens uit het dossier. Deze regeling van de WGBO  gaat voor het zogenoemde recht op vergetelheid, dat in de AVG wordt geregeld.  Het uitgangspunt van de WGBO is dat u het verzoek tot vernietiging van gegevens in het dossier moet inwilligen, tenzij dit in strijd is met een wettelijke verplichting of als het belang van een ander volgens u zwaarder moet wegen. Een voorbeeld van de eerste uitzondering is de bewaarplicht van dossiers van volgens Wet BOPZ  opgenomen patiënten. Bij het belang van een ander dan de patiënt moet u onder meer denken aan het belang van uzelf bij de gegevens, namelijk als u weet of concrete aanwijzingen heeft dat de patiënt een klacht tegen u gaat indienen. In het laatste geval mag u vernietiging weigeren, omdat u anders in uw verdediging geschaad zou kunnen worden. In uitzonderingsgevallen mag u een vernietiging ook weigeren, als de goede zorg in gevaar komt. 

Het is in alle gevallen belangrijk pas te gaan vernietigen, nadat u de patiënt geattendeerd heeft op de risico’s voor de zorg en na ontvangst van een schriftelijke bevestiging van het verzoek. Het schriftelijke verzoek slaat u op in het dossier om later te kunnen aantonen dat u gegevens op verzoek van de patiënt hebt verwijderd. Ook noteert u in het dossier de datum van de vernietiging.  

Verstrekken informatie aan een andere zorgverlener: wel of geen toestemming van de patiënt?  

Op grond van de AVG mag u gegevens met andere zorgverleners uitwisselen zonder toestemming van de patiënt, als dit nodig is ter uitvoering van de behandelingsovereenkomst. Dit wordt in de praktijk zo uitgelegd dat de informatieverstrekking nodig is voor een actuele zorgvraag, waar zowel de verstrekkende als de ontvangende zorgverlener bij betrokken zijn. Bijvoorbeeld het verstrekken van informatie bij een verwijzing of terugkoppeling na een verwijzing. De patiënt hoeft in die gevallen volgens de AVG niet expliciet geïnformeerd te worden. Wel moet uiteraard in het privacystatement staan dat u als zorgverlener informatie uitwisselt met andere zorgverleners en voor welk doel.   

Maar voldoet u daarmee ook aan de eisen van de AVG? Volgens een strikte uitleg van de WGBO is er toestemming nodig voor het uitwisselen van informatie tussen zorgverleners, tenzij het gaat om gegevensverstrekking aan een waarnemer/vervanger of zorgverleners in uw praktijk. De WGBO wordt in richtlijnen van beroepsorganisaties zo uitgelegd dat u in bepaalde gevallen op grond van toestemming van de patiënt mag aannemen. De uitleg kan alleen wel per segment van de zorg verschillen.   

Het advies bij het verstrekken van gegevens aan zorgverleners is om naast genoemde regels van de AVG - regelgeving van uw beroepsorganisatie te volgen en u te realiseren dat zorgverleners uit een andere beroepsgroep met een andere invulling te maken hebben. Ook als volgens de regels geldend voor uw beroepsgroep toegestaan is om zonder toestemming informatie te verstrekken, moet u alert zijn bij zeer gevoelige gegevens. Het is dan belangrijk dat u uw patiënten expliciet zegt dat u deze informatie meestuurt. Bij bezwaar mag u in beginsel de betreffende informatie niet verstrekken.  

Meer bewust over zorgvuldigheid   

De AVG werkt dus door in uw praktijk en de behandelrelatie. Al zal het verschil met de situatie voor 25 mei 2018 voor u vaak niet merkbaar zijn, omdat de regelgeving in de zorg over patiëntengegevens vaak domineert. Uw verantwoordelijkheid op grond van de AVG houdt in dat u zich nog meer bewust bent van het belang van het zorgvuldig omgaan met patiëntengegevens , hierover transparant bent in het privacystatement en het verwerkingsregister én dat u snel en open reageert op vragen en kritiek van de patiënten. Als u weet wat uw rechten en plichten zijn, dan is het verstandig advies in te winnen bij uw beroepsorganisatie, rechtsbijstandsverzekeraar, uw eventuele Functionaris Gegevensbescherming, of de Autoriteit Persoonsgegevens. 

Mr. Annemarie Smilde, senior specialist gezondheidsrecht bij VvAA.   

Verder lezen over informatieverstrekking via een elektronisch gegevensuitwisselingsysteem, toestemming van patiënten en datalekken ? Dat leest u in het vervolg van dit artikel.