De Algemene Verordening Gegevensbescherming (AVG) geldt voor alle sectoren, dus ook voor de gezondheidszorg. Toch krijgt de zorgsector binnen de AVG een bijzondere positie. Dat komt doordat gezondheidsgegevens worden aangemerkt als een bijzondere categorie van persoonsgegevens (artikel 9 AVG). Hierdoor gelden strengere regels en extra waarborgen voor de verwerking van deze gegevens. Tegelijkertijd blijft de AVG een uniform kader: de basisbeginselen, rechten van betrokkenen en beveiligingsverplichtingen zijn in de hele EU hetzelfde, ongeacht de sector.
Strengere eisen door artikel 9 AVG
Artikel 9 AVG bepaalt dat verwerking van gezondheidsgegevens in principe verboden is, tenzij een specifieke uitzondering van toepassing is. Voor de zorg is de belangrijkste uitzondering dat verwerking noodzakelijk is voor het verlenen van medische zorg, diagnose of behandeling, mits deze plaatsvindt onder verantwoordelijkheid van een beroepsbeoefenaar die aan geheimhouding is gebonden. Dit artikel zorgt ervoor dat gezondheidsgegevens alleen verwerkt mogen worden wanneer dit echt nodig is en altijd onder strikte waarborgen.
Uniforme werking van de AVG
Hoewel gezondheidsgegevens extra bescherming genieten, is de AVG als geheel uniform. Zorgaanbieders vallen onder dezelfde verplichtingen als andere organisaties: zij moeten voldoen aan de algemene beginselen zoals rechtmatigheid, doelbinding, dataminimalisatie en transparantie. Deze uniforme toepassing zorgt ervoor dat ook in de zorg de bescherming van persoonsgegevens in lijn is met die in andere sectoren.
Meerwaarde ten opzichte van bestaande zorgwetten
In Nederland kennen we al sectorale wetten zoals de WGBO, Wkkgz en Wabvpz, die specifieke regels bevatten voor het omgaan met medische gegevens. Deze wetten voorzien in een juridische basis voor veel verwerkingen, zoals het bijhouden van patiëntendossiers of het melden van incidenten. Toch voegt de AVG hier belangrijke elementen aan toe:
- Beveiligingsvereisten (art. 32 AVG): deze gelden voor alle verwerkingen, inclusief de primaire gegevensverwerking binnen de behandelrelatie. Zonder de AVG zouden zulke uniforme beveiligingsnormen ontbreken en zouden zorginstellingen moeten terugvallen op gefragmenteerde bepalingen.
- Rechten van betrokkenen: de AVG versterkt bestaande patiëntenrechten, bijvoorbeeld door het recht op gegevenswissing, dataportabiliteit en beperking van verwerking – rechten die in sectorale zorgwetten niet volledig zijn geregeld.
- Toezicht en sancties: de Autoriteit Persoonsgegevens ziet toe op naleving van de AVG en kan handhaven met boetes, ook bij schendingen in de zorg.
- Harmonisatie binnen de EU: de AVG zorgt ervoor dat dezelfde normen gelden in alle lidstaten, wat belangrijk is bij grensoverschrijdende zorg en digitale gegevensuitwisseling.
Toegevoegde waarde van open normen
De AVG werkt met open normen – zoals “passende technische en organisatorische maatregelen” of “verwerking in verhouding tot het risico”. Dit biedt ruimte om deze normen in de zorg specifiek in te vullen. Sectorale wetten, richtlijnen van toezichthouders en beroepscodes geven concrete invulling aan deze open normen, waardoor de AVG in de zorgpraktijk niet alleen streng maar ook werkbaar is.
Conclusie
De AVG behandelt gezondheidsgegevens apart door artikel 9, met strengere eisen en extra bescherming. Tegelijkertijd blijft de AVG een uniform juridisch kader dat ook in de zorg onverkort geldt. Wat de AVG toevoegt aan bestaande zorgwetten, is onder meer een risicogerichte beveiligingsplicht voor alle gegevensverwerkingen, versterkte patiëntenrechten, effectief toezicht en EU-brede harmonisatie. Dankzij de open normen kan de AVG flexibel worden toegepast in de zorg, terwijl zij de bescherming van patiëntgegevens aanzienlijk versterkt.
Kortom: de gezondheidszorg functioneert binnen het uniforme kader van de AVG, maar profiteert van de strengere eisen én de aanvullende waarborgen die deze wet met zich meebrengt.
