AVG en cliëntgegevens: waar let je als diëtist op?

Gezondheidsgegevens zijn bijzondere persoonsgegevens. Dat maakt de regels niet ingewikkelder dan ze zijn, maar het maakt slordigheid wel duurder.

Jij bent verantwoordelijke, je software is verwerker

Dat onderscheid bepaalt de rest. Jij beslist welke gegevens je verzamelt en waarom — dat maakt jou verwerkingsverantwoordelijke. Een softwareleverancier verwerkt die gegevens namens jou en is verwerker. Daarom sluit je met elke leverancier die cliëntgegevens aanraakt een verwerkersovereenkomst: je EPD, je begeleidingsplatform, je mailprovider als die cliëntgegevens bevat, je boekhoudpakket.

Praktische check: maak een lijst van alle plekken waar namen of gegevens van cliënten staan. Bijna elke praktijk vindt er één die niemand had bedacht — een WhatsApp-groep, een gedeeld Drive-mapje, een oude laptop.

Grondslag: waarom mag je het verwerken?

Gezondheidsgegevens vallen onder bijzondere persoonsgegevens en mogen in principe niet verwerkt worden, tenzij er een uitzondering geldt. Voor zorgverleners is dat meestal de uitzondering voor gezondheidszorg in het kader van de behandelrelatie. Voor alles wat daarbuiten valt — nieuwsbrieven, marketing, onderzoek, cijfers delen met derden — heb je een eigen grondslag nodig, in de praktijk vaak expliciete toestemming.

Belangrijk: toestemming moet vrij gegeven kunnen worden. "Akkoord met de nieuwsbrief" mag geen voorwaarde zijn om behandeld te worden.

Bewaartermijnen: twintig jaar, en tegelijk zo kort mogelijk

Voor dossiergegevens uit de behandelrelatie geldt de WGBO-bewaarplicht van twintig jaar, gerekend vanaf de laatste wijziging. Dat is een plicht, geen keuze — je mag een dossier niet eerder weggooien omdat een cliënt dat vraagt.

Tegelijk geldt voor alles wat géén dossier is dat je het niet langer bewaart dan nodig: oude mailwisselingen, aanmeldingen van mensen die nooit cliënt werden, foto's die je voor een eenmalig doel hebt gebruikt. Hier wordt in de praktijk het meest tegen gezondigd, omdat niemand iets weggooit zolang er ruimte is.

Rechten van je cliënt

• Inzage. Je cliënt mag zijn dossier inzien en er een kopie van krijgen.
• Correctie. Feitelijke onjuistheden corrigeer je. Je professionele oordeel hoef je niet te wijzigen omdat de cliënt het er niet mee eens is; die kan wel een eigen verklaring aan het dossier laten toevoegen.
• Vernietiging. Een cliënt kan vernietiging van zijn dossier vragen. Dat verzoek honoreer je, tenzij een wettelijke bepaling of een zwaarwegend belang van een ander zich ertegen verzet.
• Dataportabiliteit. Voor gegevens die hij zelf heeft aangeleverd en die digitaal worden verwerkt.

Datalek: wat telt en wat moet je doen

Een datalek is niet alleen een hack. Een mail met een bijlage naar de verkeerde ontvanger, een verloren usb-stick en een gestolen laptop zijn ook datalekken. Houd een intern register bij van álle datalekken, ook de kleine. Is er risico voor de betrokkenen, dan meld je het binnen 72 uur bij de Autoriteit Persoonsgegevens; is het risico hoog, dan informeer je ook de betrokkenen zelf.

Het praktische advies: regel vóórdat het gebeurt wie je belt en waar je het vastlegt. Tijdens een lek is 72 uur korter dan het lijkt.

Waar je bij een leverancier op let

• Is er een verwerkersovereenkomst, en staat daarin wat je verwacht?
• Waar staan de gegevens fysiek — binnen de EU, of ergens met een doorgiftevraag?
• Wie bij de leverancier kan er technisch bij, en wordt dat gelogd?
• Wat gebeurt er met je gegevens als je opzegt?
• Worden gegevens gebruikt voor iets anders dan jouw dienstverlening — advertenties, modeltraining, doorverkoop?

Voor Voedia zijn die antwoorden: verwerkersovereenkomst beschikbaar, hosting binnen de EU, toegang per rol met auditlogging (een secretaresse-account komt niet bij klinische gegevens), geen advertenties en geen verkoop of doorgifte van gegevens. Er wordt bewust geen BSN opgeslagen, en de cliënt kan zijn eigen account en gegevens vanuit de app verwijderen. Zie ook onze privacyverklaring.

AI en cliëntgegevens

Als je AI inzet voor samenvattingen of conceptteksten, verwerk je daarmee gezondheidsgegevens. Let dan op twee dingen: wat gaat er precies naar het model toe, en wordt dat materiaal gebruikt om modellen te trainen. In Voedia worden gegevens voor een AI-samenvatting gepseudonimiseerd aangeboden, en is elke uitkomst een concept dat jij controleert en goedkeurt voordat er iets mee gebeurt.

Dit artikel geeft algemene informatie en is geen juridisch advies. Voor jouw specifieke situatie — zeker bij onderzoek, samenwerkingsverbanden of gegevensdeling met derden — raadpleeg je een specialist of je beroepsvereniging.