Praktijkvoorbeeld
Waar moet een fysiotherapiepraktijk op letten bij gezondheidsgegevens in haar verwerkingsregister?
Een fysiotherapiepraktijk verwerkt gezondheidsgegevens, en dat maakt het verwerkingsregister meteen een stuk zwaarder dan bij een gemiddeld kantoor. Aan de hand van een geschetste praktijk met drie behandelkamers laten we zien welke regels erin komen, waar de bewaartermijnen vandaan komen en welke leveranciers je niet mag vergeten. Het gaat hier om een voorbeeldsituatie, niet om een bestaande klant.
De praktijk die we schetsen
Stel je een praktijk voor met drie behandelkamers, vier therapeuten, een praktijkmanager die halve dagen werkt en een oproepkracht voor de balie. Er is een elektronisch patientendossier, een afsprakensysteem met sms-herinneringen, een boekhouder, een salarisverwerker en een website met een contactformulier.
Dat is een gewone praktijk, en precies daarom een goed voorbeeld. Er is geen privacy officer, niemand heeft een juridische achtergrond, en het register moet er toch komen.
De verleiding is groot om te beginnen bij de systemen: het dossier, de agenda, de boekhouding. Dat is de kortste weg naar een register dat niet klopt, want een systeem is geen verwerking. Begin bij wat je met de gegevens doet en waarom.
Waarom gezondheidsgegevens de lat hoger leggen
Gegevens over de gezondheid van een patient zijn bijzondere persoonsgegevens in de zin van artikel 9 AVG. Voor die categorie geldt een verwerkingsverbod met uitzonderingen, waaronder de uitzondering voor gezondheidszorg door of onder verantwoordelijkheid van een beroepsbeoefenaar met een geheimhoudingsplicht.
Dat heeft twee gevolgen voor het register. Ten eerste vervalt de uitzondering van artikel 30 AVG voor organisaties met minder dan 250 medewerkers zodra er bijzondere persoonsgegevens in het spel zijn, dus de registerplicht staat vast. Waarom die uitzondering ook voor gewone bedrijven vrijwel nooit opgaat, staat uitgelegd in het stuk over de grens van 250 medewerkers in artikel 30 AVG.
Ten tweede moet je bij elke regel die gezondheidsgegevens raakt kunnen laten zien welke uitzondering van artikel 9 AVG je gebruikt en welke beveiligingsmaatregelen daarbij horen. Een register dat alleen zegt dat er patientgegevens worden verwerkt, is voor deze praktijk niet af.
De registerregels van deze praktijk
In de geschetste praktijk komen we op negen verwerkingen. Dat is een werkbaar aantal: genoeg om compleet te zijn, niet zoveel dat niemand het bijhoudt.
| Nummer | Verwerking | Betrokkenen | Bijzondere gegevens |
|---|---|---|---|
| 01 | Behandeling en dossiervorming | Patienten | Ja, gezondheid |
| 02 | Afspraken plannen en herinneren | Patienten | Indirect |
| 03 | Declareren bij zorgverzekeraars | Patienten | Ja, behandelcodes |
| 04 | Facturen aan patienten die zelf betalen | Patienten | Beperkt |
| 05 | Klachten en incidenten | Patienten | Mogelijk |
| 06 | Personeelsadministratie en salaris | Medewerkers | Nee |
| 07 | Verzuim en bedrijfsarts | Medewerkers | Beperkt, geen diagnose |
| 08 | Sollicitaties | Sollicitanten | Nee |
| 09 | Website en contactformulier | Bezoekers | Nee |
Regel 01: behandeling en dossiervorming
Dit is de zwaarste regel van het register en verdient de meeste aandacht. Het doel is de behandeling van de patient en de dossierplicht die daarbij hoort. De categorieen gegevens zijn ruim: naam, contactgegevens, geboortedatum, burgerservicenummer, verwijzing, klachten, onderzoeksbevindingen, behandelverslagen en voortgang.
De bewaartermijn komt hier niet uit de AVG maar uit de Wgbo: medische dossiers moeten twintig jaar worden bewaard, gerekend vanaf de laatste wijziging. Zet die reden er letterlijk bij in het register, want een termijn zonder motivering is een van de klassieke gebreken in privacyadministratie.
Regel 03: declareren bij zorgverzekeraars
Declaraties gaan buiten de deur en bevatten behandelcodes, en daarmee informatie over de gezondheid van de patient. Noteer per ontvanger wie het is en op welke grond de gegevens daarheen gaan. Het declaratieverkeer loopt vaak via een tussenpartij, en die tussenpartij hoort als ontvanger in het register.
Regel 06 en 07: personeel en verzuim
Bij personeel is de valkuil dat verzuim onder de gewone personeelsadministratie wordt gehangen. Doe dat niet, want voor verzuim gelden andere regels: de praktijk mag registreren dat iemand ziek is en wanneer hij weer aan het werk gaat, maar geen diagnose vastleggen. Dat oordeel hoort bij de bedrijfsarts.
Twee losse regels in het register maken dat verschil zichtbaar. Een gecombineerde regel verstopt het, en juist die verstopte regels leiden later tot fouten die niemand opmerkt tot er een vraag over komt.
Regel 09: website en contactformulier
Een contactformulier waarin patienten hun klacht beschrijven, levert ongemerkt gezondheidsgegevens op. Twee oplossingen liggen voor de hand: het formulier zo inrichten dat er alleen contactgegevens en een terugbelverzoek in passen, of de regel behandelen als een regel met bijzondere gegevens. Kies bewust en leg de keuze vast.
De verwerkers die je niet mag overslaan
Een praktijk besteedt meer uit dan ze denkt. Elke partij die in opdracht van de praktijk persoonsgegevens verwerkt, is verwerker en vraagt om een verwerkersovereenkomst volgens artikel 28 AVG. In de geschetste praktijk gaat het minstens om deze partijen.
- De leverancier van het elektronisch patientendossier, inclusief de hostingpartij daarachter.
- Het afsprakensysteem, en de partij die de sms-herinneringen verstuurt.
- De partij die het declaratieverkeer met de zorgverzekeraars verzorgt.
- De salarisverwerker.
- De boekhouder, voor zover die in opdracht gegevens verwerkt.
- De partij die de website host en de formulierinzendingen ontvangt.
- De leverancier van de back-up of de digitale archiefopslag.
Let bij zorgsoftware op subverwerkers. De dossierleverancier host zelden zelf; er zit meestal een cloudpartij achter. Die keten hoort in de verwerkersovereenkomst te staan en de bijbehorende namen horen in je register. Welke afspraken daarin thuishoren, staat in de antwoorden op de vragen over verwerkersovereenkomsten.
Beveiliging beschrijven zonder handleiding te worden
Artikel 30 AVG vraagt om een algemene beschrijving van de technische en organisatorische maatregelen. Algemeen is hier het sleutelwoord: het register is geen inbraakhandleiding en bevat geen wachtwoorden, geen ip-adressen en geen namen van servers.
Voor een praktijk volstaat een korte opsomming per regel, in de trant van: toegang alleen voor behandelaars met een persoonlijk account, tweestapsverificatie op het dossier, versleutelde verbinding, dagelijkse back-up, een scherm dat na enkele minuten vergrendelt en een sleutelbeheer voor de kast met papieren stukken.
Papier verdient een aparte zin. Veel praktijken hebben nog verwijsbrieven of oude kaarten in een kast. Die vallen ook onder het register, en de maatregel is dan een afsluitbare kast met een beperkte kring die de sleutel heeft.
Wat je doet als er toch iets misgaat
In een praktijk is het meest voorkomende incident klein en menselijk: een brief naar het verkeerde adres, een e-mail met de verkeerde bijlage, een laptop die uit een auto verdwijnt. Elk van die gevallen is een mogelijk datalek en moet intern worden geregistreerd.
Melden bij de Autoriteit Persoonsgegevens moet binnen 72 uur na ontdekking, tenzij het onwaarschijnlijk is dat het lek een risico oplevert. Bij gezondheidsgegevens is dat onwaarschijnlijk zelden vol te houden, dus houd er rekening mee dat je meldt. De stappen voor de eerste 72 uur na een datalek zijn daarbij het draaiboek.
Het register helpt in die uren op een concrete manier. Je ziet meteen welke regel bij het getroffen systeem hoort, welke categorieen gegevens erin zitten, hoeveel betrokkenen het raakt en welke verwerker erbij betrokken is. Zonder register begint dat uitzoekwerk op het slechtst denkbare moment.
Hoe je dit register bijhoudt in een drukke praktijk
Een register in de zorg veroudert snel, want er verandert veel: een nieuw declaratiepakket, een andere sms-dienst, een therapeut erbij, een oefenapp die patienten thuis gebruiken.
- Geef elke regel een eigenaar. In de geschetste praktijk is dat de praktijkmanager voor de meeste regels en een van de therapeuten voor het dossier.
- Zet twee vaste controlemomenten per jaar in de agenda, bijvoorbeeld in januari en in juli.
- Spreek af dat een nieuw systeem pas in gebruik gaat als de registerregel en de verwerkersovereenkomst er zijn.
- Leg elke vastgestelde versie vast met datum, zodat je kunt tonen wat er gold op het moment van een incident.
- Neem het register een keer per jaar door in het teamoverleg, zodat iedereen weet wat er staat.
Die laatste stap is de belangrijkste. Een register dat alleen bij de praktijkmanager op de schijf staat, verdwijnt zodra zij vertrekt. Een register dat het team kent, blijft leven.
Praktijken die de vaste velden, de eigenaars en de verwerkers in een centrale omgeving willen bijhouden, kunnen daarvoor het verwerkingsregister van AVG Register Pro gebruiken, met sjablonen voor zorg en een gekoppeld datalekregister. Wie dit voorbeeld heeft uitgewerkt, lees je op de pagina over de auteur van deze site.
Conclusie: negen regels, twee bewaartermijnen en zeven verwerkers
De geschetste praktijk komt uit op negen verwerkingen, een dossierbewaartermijn van twintig jaar uit de Wgbo naast de gewone administratieve termijnen, en zeven partijen die in opdracht gegevens verwerken. Dat is te overzien, mits je begint bij de doelen en niet bij de systemen, en mits verzuim en behandeling niet in dezelfde regel belanden.
AVG Register Pro is gebouwd voor organisaties zonder eigen privacy officer: vaste velden per regel, een aparte markering voor bijzondere persoonsgegevens uit artikel 9 AVG, verwerkers gekoppeld aan de regels, herinneringen per eigenaar en een export als pdf met datum en versienummer. Wil je je eigen praktijk een keer op deze manier doorlopen, meld je situatie dan via het contactformulier en vermeld met hoeveel therapeuten je werkt.
