U komt net terug van vakantie. Wat is er in de tussentijd allemaal gebeurd? Op 1 juli jl. is de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wvpz) in werking getreden. Deze wordt binnenkort aangevuld met een Uitvoeringsbesluit: het Besluit elektronische gegevensverwerking door zorgaanbieders (Begz). Op 25 mei 2018 wordt de Algemene verordening gegevensverwerking (Avg) van toepassing en zal de Wet bescherming persoonsgegevens (Wbp) vervangen.
Deze drie ontwikkelingen maken dat zorgaanbieders goed na moeten denken over hoe zij deze regelingen gaan implementeren. Dat moet goed gebeuren, want vanaf 25 mei 2018 moeten zij ook kunnen aantonen dat zij aan de privacywetgeving voldoen. Wij geven enkele tips over hoe zorgaanbieders dit kunnen doen.
Tip 1: maak een verwerkingsregister
De Wbp verplichtte zorgaanbieders om melding te doen aan de Autoriteit Persoonsgegevens van alle nieuwe verwerkingscategorieën binnen de organisatie. Er hoefde geen melding te worden gemaakt van gegevensverwerkingen die in het Vrijstellingsbesluit stonden. Voor gegevensverwerkingen met betrekking tot zorgverlening hoefde er niets gemeld te worden.
De Avg gooit het over een andere boeg. Er hoeft geen melding meer te worden gedaan aan de Autoriteit Persoonsgegevens, maar verwerkingscategorieën moeten wel allemaal in een register verwerkingsactiviteiten worden opgenomen. Dit kan een elektronisch register zijn. Deze verplichting geldt ook voor eerstelijnszorgaanbieders. De Avg beschrijft welke gegevens in het register moeten worden opgenomen. Op verzoek moet het register ter beschikking van de AP worden gesteld.
Het register van de verwerkingsverantwoordelijke bevat onder meer: a) de doeleinden van de gegevensverwerking; b) een beschrijving van de groep personen waarop de gegevens betrekking hebben en van de categorieën van persoonsgegevens; c) degenen aan wie de persoonsgegevens worden verstrekt (de ontvangers); d) een beschrijving van de technische en organisatorische beveiligingsmaatregelen die zijn getroffen.
Ontvangers kunnen zowel derden zijn als degene die als verwerker is ingeschakeld. Door het register in te vullen ontstaat een goed overzicht van welke persoonsgegevens binnen de organisatie worden verwerkt, door wie dit gebeurt, naar wie deze gegevens toegaan en hoe de beveiliging zowel technisch als organisatorisch is ingevuld. Daarmee is het halve werk al gedaan.
Tip 2: stel een functionaris gegevensbescherming (FG) aan
In een eerder nummer van ICT&health schreven wij er al over. De functionaris gegevensbescherming (FG) wordt verplicht in de zorg. Dit was al duidelijk door de formulering in de Avg. Deze stelt een FG verplicht als er grootschalig persoonsgegevens worden verwerkt die betrekking hebben op de gezondheid.
Voor wie nog zou menen dat dit voor de eigen organisatie niet opgaat, heeft onze eigen overheid bedacht dat de FG verplicht wordt voor elke organisatie die kwalificeert als instelling in de zin van de Wet kwaliteit, klachten en geschillen zorg (Wkkgz) en die is aangesloten op een elektronisch uitwisselingssysteem (of deze in stand houdt). Dit is nader uitgewerkt in het Begz, dat overigens nog niet is ingevoerd. Deze omschrijving is zo ruim dat feitelijk iedereen die zich beroepsmatig met gezondheidszorg bezighoudt eronder valt. Alleen solisten vallen buiten de omschrijving.
Vanwege de omschrijving die de Avg geldt, is de verwachting dat ook de meeste zorgaanbieders die niet aangesloten zijn op een elektronisch uitwisselingssysteem toch een FG zullen moeten aanstellen.
Een FG kan een goede bijdrage leveren aan het compliant maken van de organisatie. Het is namelijk zijn taak om daarover te adviseren. De FG moet zijn taken onafhankelijk kunnen uitvoeren en mag dus geen instructies ontvangen van zijn (formeel) leidinggevenden. Zijn positie binnen de organisatie is te vergelijken met een lid van de ondernemingsraad. De verwerkingsverantwoordelijke en de verwerker moeten de FG ondersteunen bij de vervulling van zijn taken.
De FG informeert en adviseert over de verplichtingen die volgen uit het privacyrecht in brede zin. Verder ziet hij toe op de naleving van het privacyrecht en kan hij hierover aanwijzingen geven (de verordening spreekt van ‘toewijzing van verantwoordelijkheden’) aan en bewustmaking en opleiding van het bij de verwerking betrokken personeel en de betreffende audits.
Daarnaast kan hij advies geven over een gegevensbeschermingseffectbeoordeling en toezien op de uitvoering daarvan. Hij werkt samen met de Autoriteit Persoonsgegevens (AP) en treedt ook als contactpersoon op bij alle aangelegenheden waarbij de AP betrokken is.
De FG hoeft geen onderdeel uit te maken van de instelling. Hij kan ook extern worden ingehuurd. Hij zou daardoor ook regionaal kunnen worden aangesteld voor een groep zorgaanbieders. Ook belangenorganisaties kunnen er een aanstellen om hun leden te bedienen. Op deze manier kunnen kleine zorgaanbieders ook gemakkelijker aan hun verplichtingen voldoen.
Zorg er wel voor dat de FG echt onafhankelijk is. Hij kan dus niet tevens ook privacy officer of security officer zijn. Dan zou hij immers zijn eigen ‘vlees’ keuren. Het is ook niet zo verstandig om gebruik te maken van bureaus die aan koppelverkoop doen. Bijvoorbeeld organisaties die eigen normen schrijven en daarop toetsen. Ook dan is een FG niet onafhankelijk meer.
Je kunt er ook voor kiezen om in eerste instantie een externe FG in te huren en dan ondertussen iemand van de eigen organisatie op te leiden om het later zelfstandig te kunnen doen. Dan kunnen er al grote stappen worden gemaakt in een vroeg stadium.
Tip 3: ga voldoen aan NEN 7510, NEN 7512 en NEN 7513
Deze NEN-normen geven voorschriften voor het organisatorisch en technisch beveiligen van persoonsgegevens voor instellingen. Zorginstellingen moeten nu eigenlijk al aan NEN 7510 voldoen. Als het Begz wordt ingevoerd zijn de andere twee ook verplicht. Zorginstellingen moeten dan ook kunnen aantonen dat ze eraan voldoen.
Aantoonbaar aan de regels voldoen is een plicht die ook de Avg stelt. Dat kan bijvoorbeeld door de zorginstelling NEN 7510 te laten certificeren. Maar eerst dient u ervoor te zorgen dat de zorginstelling er überhaupt aan voldoet. De (externe) FG kan u adviseren hoe dit moet.
Tip 4: doe een PIA
PIA staat voor privacy impact assessment. In de Avg wordt de PIA gegevensbeschermingseffectbeoordeling genoemd. Een PIA meet kort gezegd welke privacyrisico’s er zijn. Dit moet doorgaans vóór de verwerking van de gegevens worden gedaan.
In een aantal gevallen stelt de Avg dit straks verplicht: als een gegevensverwerking, gelet op de aard, de omvang, de context en de doeleinden daarvan, waarschijnlijk een hoog privacyrisico oplevert voor de betrokkenen. Dit is met name het geval wanneer een nieuwe technologie in gebruik wordt genomen, bijvoorbeeld nieuwe software of een nieuw EPD.
Een PIA kan bijvoorbeeld laten zien dat er nog organisatorische en/of technische beveiligingsmaatregelen getroffen moeten worden.
De Autoriteit Persoonsgegevens kan een PIA in een aantal gevallen (periodiek) verplicht gaan stellen. De verwachting is dat dit zal gebeuren bij (grootschalige) verwerkingen van gezondheidsgegevens van personen, bijvoorbeeld in een EPD. Daarom is het verstandig om, als de organisatie daar klaar voor is, minimaal één keer een PIA uit te voeren, zodat u weet waar de zorginstelling staat.
Op weg naar Algemene verordening gegevensverwerking
Deze vier tips helpen u om uw zorginstelling in overeenstemming te brengen met de Algemene verordening gegevensverwerking. Uiteraard bent u er dan nog niet, maar u bent dan wel al goed op weg. In het komende jaar zullen wij meer aandacht schenken aan dit onderwerp. Wij hopen dat uw vakantiegevoel inmiddels niet is verdwenen.
