Privacy-update

AVG implementeren in de tandartspraktijk

Sinds 2018 bezorgt de Algemene Verordening Gegevensbescherming (AVG) veel praktijkeigenaren hoofdbrekens. Er heerst vaak grote onzekerheid over hoe werkprocessen moeten worden aangepast. Moet ik een functionaris gegevensbescherming aanstellen? Moet ik bouwkundige aanpassingen doen in mijn praktijk? Welke gegevens mag ik überhaupt opslaan? Welke documenten moet ik invullen en bijhouden? Daarom hebben we hier een aantal nuttige tips samengevat om de naleving van de AVG in de tandartspraktijk te vergemakkelijken.

Geen enkele tandartspraktijk ontkomt eraan om na te denken over de implementatie en documentatie van de AVG. Het niet naleven van de voorschriften kan immers leiden tot hoge boetes en aansprakelijkheidsclaims. Het eerste aanspreekpunt voor tandartspraktijken bij vragen over de implementatie van de AVG zijn de relevante beroepsverenigingen en de bevoegde toezichthouders voor gegevensbescherming. Als extra hulpmiddel hebben de relevante instanties een uitgebreide praktijkgids over dit onderwerp gepubliceerd, die op hun websites te vinden is.

Gegevens beveiligen
Een van de belangrijkste punten voor de naleving van de AVG is dat gegevens worden beschermd tegen toegang door onbevoegden – zowel fysiek als virtueel. Dit betekent onder meer dat er geen documenten open en bloot in de praktijk mogen rondslingeren en dat desktop-pc's of mobiele apparaten adequaat beveiligd moeten zijn.

Onder onbevoegden vallen bijvoorbeeld schoonmaakpersoneel of andere patiënten, maar ook medewerkers van de tandartspraktijk die niet belast zijn met de verwerking van gegevens. In dit kader is het belangrijk dat alleen medewerkers toegangsrechten krijgen die daadwerkelijk met de gegevens werken. Toegangen voor vertrokken medewerkers moeten onmiddellijk worden verwijderd.

Om gegevens ook van buitenaf tegen toegang te beschermen en bijvoorbeeld hackeraanvallen af te weren, is het essentieel om veilige wachtwoorden te gebruiken en betrouwbare antivirussoftware en een firewall in te zetten. Bovendien mag alleen goedgekeurde praktijkbeheersoftware en gecertificeerde TI-hardware (eHealth-terminal, connector) worden gebruikt.

Functionaris gegevensbescherming aanstellen
Voor tandartspraktijken geldt sinds 27 juni 2019 een regeling voor 20 personen. Dit betekent dat praktijken pas een functionaris gegevensbescherming hoeven aan te stellen als ten minste 20 medewerkers zich constant bezighouden met de verwerking van persoonsgegevens. Bij de aanpassing van de wetgeving werd de oorspronkelijke regeling van mei 2018, waarbij een functionaris al vanaf tien personen vereist was, versoepeld. Het is echter nog niet zeker in hoeverre de regeling zou kunnen veranderen door de invoering van de telematica-infrastructuur. Mogelijk moet elke tandartspraktijk dan een gegevensbeschermingseffectbeoordeling uitvoeren, wat weer onvermijdelijk gekoppeld is aan de benoeming van een functionaris gegevensbescherming.


Gegevensopslag, -verwijdering en -verlies
Technische en organisatorische maatregelen

Voor de opslag en verwerking van persoonsgegevens is altijd toestemming vereist. Er moet dus een toestemmingsverklaring van de patiënten worden verkregen. Gegevens mogen onder bepaalde voorwaarden ook in de cloud worden opgeslagen. Dit mag echter alleen als de tandartspraktijk kan garanderen dat de AVG ook door de aanbieder en de bijbehorende diensten wordt nageleefd. Dat zal in de meeste gevallen niet zo eenvoudig zijn.

Als patiëntgegevens voor verwerking aan derden moeten worden doorgegeven, bijvoorbeeld aan een extern laboratorium voor het vervaardigen van gebitsprotheses, dan moet er een verwerkersovereenkomst aanwezig zijn. Voor de gegevensdoorgifte zelf geldt: als gezondheidsgegevens of andere persoonsgegevens van patiënten digitaal worden verzonden, moet dit versleuteld gebeuren. In alle andere gevallen staat het de tandartspraktijk vrij om al dan niet versleuteld te communiceren.

Om gegevensverlies te voorkomen, worden regelmatige back-ups op draagbare opslagmedia aanbevolen. Mochten er toch gegevens verloren gaan, dan moet het verlies binnen 72 uur worden gemeld bij de toezichthouder voor gegevensbescherming (zodra men op de hoogte is van de inbreuk op de beveiliging conform art. 33 en 34 AVG). Hetzelfde geldt bij diefstal van gegevens. Zodra een dergelijke inbreuk wordt vastgesteld, moet er melding worden gemaakt – idealiter eerst telefonisch en daarna schriftelijk.

Wie computers, apparaten of opslagmedia wil afvoeren waarop gegevens zijn opgeslagen, moet voor de afvoer zorgen voor de volledige verwijdering van de gegevens. Anders kan ook hier sprake zijn van een inbreuk op de gegevensbescherming.

Organisatie en documentatie
Er moeten regelmatige controles van de effectiviteit van de technische en organisatorische maatregelen volgens de PDCA-cyclus (Plan-Do-Check-Act) worden geïmplementeerd.

Praktijkeigenaren zijn verplicht een register van alle verwerkingsactiviteiten van persoonsgegevens bij te houden (voorheen "verwerkingsregister" of "bestandsbeschrijving"). Hierin wordt opgesomd wie precies verantwoordelijk is voor de verwerking, voor welk doel en door wie persoonsgegevens worden verzameld, en aan wie de gegevens door de praktijk worden doorgegeven (bijvoorbeeld het tandtechnisch laboratorium). De vorm waarin het register wordt bijgehouden, is niet voorgeschreven. Dit kan zowel handmatig als elektronisch gebeuren.

Over het algemeen moeten alle processen, maatregelen en inbreuken met betrekking tot gegevensbescherming volledig worden gedocumenteerd in een gegevensbeschermingsbeheersysteem, en moeten er regelmatig audits worden uitgevoerd conform art. 32 AVG voor de beveiliging van de verwerking.

Daarnaast moeten er regelmatig trainingen plaatsvinden om het bewustzijn te vergroten, bij voorkeur bij aanvang van een dienstverband.

Wij adviseren u graag uitgebreid over dit onderwerp.

‍