Algemene Verordening Gegevensbescherming (AVG)

Algemene Verordening Gegevensbescherming (AVG)

​Per 25 mei 2018 moet je praktijk voldoen aan de Europese privacywetgeving, de Algemene Verordening Gegevensbescherming (AVG). De AVG vervangt de Nederlandse Wet bescherming persoonsgegevens (Wbp). Als praktijkhouder heb je meer verplichtingen, waarbij je met documenten moet kunnen aantonen dat je hieraan voldoet. Ook zijn de privacyrechten van je patiënten versterkt en uitgebreid. Hieronder vind je de belangrijkste wijzigingen.
 

Over welke gegevens in je praktijk gaat de AVG?

De AVG ziet toe op de verwerking van alle patiëntengegevens, ook de niet-digitale. Daarnaast vallen andere persoonsgegevens onder de werking van de AVG, denk aan de personeelsdossiers van je medewerkers en sollicitanten.
 

Wat verandert er voor jou als vaktherapeut?

Een groot deel van de verplichtingen in de AVG stond al in de Wbp. Bovendien blijven de verplichtingen uit andere wetten over het omgaan met patiëntengegevens van kracht. De belangrijkste nieuwe verplichtingen voor jou zijn: 
 

1. Aanpassen van overeenkomsten met verwerkers
   Maak je gebruik van een verwerker die de beschikking krijgt over persoonsgegevens die onder jouw verantwoordelijkheid vallen? Bijvoorbeeld een ict-leverancier of iemand die de boekhouding verzorgt? Dan verplicht de AVG je met deze partij een verwerkersovereenkomst te sluiten. Werk je nu met een zogenoemde bewerkersovereenkomst conform de Wbp, dan moet je deze laten aanpassen aan de eisen van de AVG. 
    
2. Beschikbaar stellen en publiceren van privacyverklaring
   In een privacyverklaring informeer je patiënten schriftelijk en in begrijpelijke taal over onder meer het doel van de verwerking van hun gegevens, aan wie je deze verstrekt en hoe lang je deze bewaart. Dat doe je ook over de wijze waarop patiënten hun rechten kunnen uitoefenen. De privacyverklaring moet je zowel op papier als online beschikbaar stellen.
    
3. Registratie van alle datalekken
   Op grond van de Wbp was je verplicht de datalekken te registreren die bij de toezichthouder (de Autoriteit Persoonsgegevens) zijn gemeld. De AVG stelt echter de verplichting om álle datalekken te noteren.
    
4. Aanleggen en bijhouden van verwerkingsregister
   Je bent verplicht een zogenoemd verwerkingsregister aan te leggen. Hierin vermeld je alle soorten persoonsgegevens die  je in  je praktijk bewaart, de wijze waarop je deze verwerkt, voor welk doel enzovoort.
    
5. Uitvoering van Privacy Impact Assessment (PIA) voor toepassing van nieuwe verwerkingssystemen
   Wat zijn de risico’s van verwerkingssystemen? Die moet je vóór invoering analyseren. Denk aan de implementatie van een informatiesysteem, website of andere nieuwe software. Pas na uitvoering van de PIA en de implementatie van de assessment, kan de verwerking van de patiëntgegevens starten.
    
6. Aantonen dat je privacybeleid hebt, uitvoert en bijhoudt
   Kennis en bewustwording rondom de AVG is belangrijk voor iedereen binnen je praktijk. Alle medewerkers moeten hiervan dan ook op de hoogte zijn en blijven. Het gaat immers om de juiste manier van gegevens verwerken.
    
7. Naleven van nieuwe rechten van patiënten
   Jouw patiënten hebben nu al recht op inzage of correctie van hun gegevens, net als het verwijderen van gegevens in hun eigen dossier. Nieuw is onder andere het recht van een patiënt om de informatie uit zijn dossier te (laten) exporteren in een standaard sjabloon. Dit maakt de overdracht aan een andere zorgaanbieder mogelijk.

Stappenplan AVG voor vrijgevestigde vaktherapeuten

Als FVB hebben we samen met de Commissie VVT een aantal documenten uitgewerkt die je als vrijgevestigde vaktherapeut kunt gebruiken om aan je AVG-verplichtingen te voldoen. Het pakket bestaat uit de volgende documenten:

Stappenplan AVG

Met behulp van dit document kun je aan de hand van een aantal stappen vastleggen op welke manier je voldoet aan de AVG.

Voorbeeld privacyverklaring

Dit is een voorbeeld van een privacyverklaring die je op je website kunt zetten of kunt opnemen bij het intake- of aanmeldingsformulier dat de cliënt tekent bij aanmelding. Je informeert met dit document de cliënt uitdrukkelijk welke gegevens je opslaat in het cliëntendossier en wat je hier mee doet.

Voorbeeld verwerkersovereenkomst

Dit is een voorbeeld van een verwerkersovereenkomst die je moet afsluiten met andere partijen die je inschakelt om persoonsgegevens voor jou te verwerken. Met een verwerkersovereenkomst sluit je uit dat de andere partij de persoonsgegevens voor eigen doelen mag verwerken.

Onder handige documenten vindt je tevens documenten over het opslaan van patiënteninformatie in de cloud (Autoriteit Persoonsgegevens) en het uitwisselen van medische/vertrouwelijke informatie per e-mail en per post. Voor de Jeugdhulp is er een folder 'Vuistregels voor professionals voor gegevensuitwisseling en privacy'.

Handige documenten

• Handleiding AVG (autoriteit persoonsgegevens)
• Stappenplan AVG
• Voorbeeld privacyverklaring
• Voorbeeld verwerkersovereenkomst
• Uitwisselen medische informatie per e-mail of per post
• Praktijkgids patiënteninformatie in de cloud
• Vuistregels voor professionals Jeugdzorg voor gegevensuitwisseling en privacy
• Basisprincipes medisch beroepsgeheim (bevat overzicht wetten op basis waarvan uitwisseling persoonsgegevens verplicht is)
• Veel gestelde vragen AVG