Privacy en gegevensbescherming spelen een cruciale rol in de zorgsector. Zorgverleners zijn verplicht om gezondheidsinformatie van patiënten te beschermen en de vertrouwelijkheid van patiëntgegevens te waarborgen.
De verwerking van persoonsgegevens
Medische gegevens zijn bijzondere persoonsgegevens in de zin van art. 9 AVG, waardoor gelet op hun gevoelige aard specifieke regels gelden voor de verwerking van deze gegevens. De verwerking van medische gegevens is in beginsel verboden, tenzij aan bepaalde voorwaarden is voldaan.
Naast de AVG zijn er nog andere wetten waarin regels zijn opgenomen over het verwerken van persoonsgegevens door zorginstellingen, zoals de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz) en de Wet op de geneeskundige behandelingsovereenkomst (Wgbo).
Het medisch beroepsgeheim
Een belangrijke pijler van privacy in de zorg is het medisch beroepsgeheim. Voor zorgverleners geldt op grond van art. 88 Wet Big de verplichting om de vertrouwelijkheid van medische informatie te waarborgen. Het beroepsgeheim kan strikter zijn dan de AVG en kan daarmee aanvullende verplichtingen opleggen aan medische professionals.
Verplichte elektronische gegevensuitwisseling (Wegiz)
Sinds 1 juli 2023 verplicht de Wet elektronische gegevensuitwisseling in de zorg (Wegiz) zorgaanbieders om bepaalde gegevensuitwisselingen elektronisch en gestandaardiseerd te laten verlopen. Dit vergroot de beschikbaarheid van gegevens, maar stelt ook hogere eisen aan privacy en informatiebeveiliging.
Dit gebeurt gefaseerd: per gegevensuitwisseling wordt vastgelegd wat, wanneer en hoe elektronisch moet worden gedeeld (bijv. medicatiegegevens).
Als gevolg hiervan wordt gegevensdeling vaker wettelijk verplicht (niet vrijblijvend), maar de privacy blijft leidend: alleen noodzakelijke gegevens, met goede autorisatie en logging worden gedeeld. Zorgaanbieders moeten hun IT‑systemen en interne procedures hierop inrichten.
Europese Health Data Space (EHDS)
In januari 2025 is de EHDS-verordening aangenomen. Deze bevordert (binnen Europa grensoverschrijdende) beschikbaarheid van gezondheidsgegevens, met behoud van AVG-bescherming.
Lidstaten moeten o.a. een instantie inrichten voor het secundair gebruik van zorgdata, met opt-outmogelijkheden voor patiënten.
AI in de zorg en de AI Act
De EU AI Act is gefaseerd in werking getreden. Medische AI-toepassingen worden doorgaans als hoog risico aangemerkt en moeten voldoen aan strenge eisen op het gebied van datakwaliteit, transparantie en menselijk toezicht. Voor zorginstellingen betekent dit dat gebruik van AI altijd moet aansluiten bij de AVG en dat aanvullende compliance vereist is. Zorgverleners blijven eindverantwoordelijk: AI mag ondersteunen, niet beslissen. Zorginstellingen hebben eigen verplichtingen als gebruiker van AI (o.a. controle op compliance van leveranciers).
Cybersecurity en NIS2
De zorgsector valt onder de NIS2-richtlijn, die in Nederland wordt omgezet in de Cyberbeveiligingswet (verwachte inwerkingtreding in 2026). Deze richt zich op cybersecurity en continuïteit van zorg. Dit brengt zwaardere verplichtingen mee op het gebied van informatiebeveiliging, governance en meldplichten, aanvullend op bestaande NEN 7510-verplichtingen.
Onze advocaten
Onze advocaten adviseren bij uiteenlopende onderwerpen op het gebied van privacy in de zorg. Zij kunnen u begeleiden bij de ontwikkeling van passende maatregelen om de privacy van patiëntgegevens te waarborgen, bijv. door het opstellen van het privacy beleid en verwerkersovereenkomsten. Daarnaast adviseren zij over de verplichting tot geheimhouding en de grenzen aan het beroepsgeheim.
