Op 25 mei 2018 is de Algemene Verordening Gegevensbescherming (AVG) in werking getreden. Martin Rozeboom en Milou Jansen van de KNMT gaven tijdens Praktijk Anno Nu een update van de stand van zaken rond de AVG.

Bekendheid AVG

Onderzoek door KPMG heeft uitgewezen dat vier maanden na invoering 98% van de Nederlanders opde hoogte was van de AVG. De Autoriteit Persoonsgegevens (AP), die toezicht houdt op de naleving van de privacywetgeving, heeft sinds de invoering van de AVG duizenden klachten en tips binnengekregen. Het aantal mensen dat een inzageverzoek wil gaan doen of een verzoek wil doen om persoonsgegevens bij hun zorgaanbieder te laten verwijderen, is echter klein.

Taken AP

De AP heeft verschillende taken, waaronder het bevorderen van de naleving van de AVG. Dit gebeurt door het geven van voorlichting en advies, de behandeling van klachten en wetgevingsadvies. Voor zorg is op de website van de AP een aparte pagina beschikbaar. De AP kijkt vooral naar klachten die erg ingrijpen op de privacy van de klager of grote groepen mensen betreft. Bij overtreding van de privacywet kan in het uiterste geval een boete of een last onder dwangsom worden opgelegd.

Risicogericht toezicht

De AP houdt ook risicogericht toezicht. Hierbij ligt in 2018-2019 de focus op de overheid, de zorg, de handel in persoonsgegevens en datalekken. Bij de zorg wordt er gelet op de beveiliging van patiëntgegevens. Een e-mail moet versleuteld aan patiënten gestuurd worden; er mag alleen een ‘gewone’ mail gestuurd worden als er geen gezondheidsgegevens in staan. Daarnaast wordt gekeken of de verwerking gebaseerd is op de juiste grondslag.

Voor tandartsen is dit meestal geen probleem, omdat er een behandelingsovereenkomst aan ten grondslag ligt. Ook wordt er gecontroleerd of een aantal verplichtingen uit de AVG worden nagekomen, zoals het hebben van een privacy-beleid, een privacy- en cookieverklaring en een ingevuld verwerkingsregister. En eventueel de aanstelling van een functionaris gegevensbescherming.

Onduidelijkheden

Er zijn nog een aantal onduidelijkheden in de AVG. Zo was niet duidelijk of voor het overdragen van declaraties aan een factoringbedrijf de toestemming van de patiënt nodig is. De AP heeft nu bevestigd dat dit niet het geval is; voor factoring is dus geen toestemming van de patiënt nodig. Over de verplichte aanstelling van een functionaris voor de gegevensbescherming (FG) heeft de AP onlangs een nadere duiding gegeven. De aanstelling van een FG is verplicht indien:

• de praktijk meer dan 10.000 patiënten heeft ingeschreven of als die gemiddeld meer dan 10.000 patiënten per jaar behandelt;
• en de gegevens van deze patiënten in één informatiesysteem staan.

Tandtechnische laboratoria

Over tandtechnische laboratoria heeft de AP aangegeven dat zij daar geen uitspraak over doen. Sommige tandtechnische laboratoria zien zichzelf wel als verwerker en sommige als verwerkingsverantwoordelijke. De KNMT gaat hierover nog in gesprek met vertegenwoordigers uit de tandtechnische branche om duidelijkheid te krijgen. Belangrijk is in ieder geval dat je een (hoofd)overeenkomst hebt.

Datalekken

Datalekken komen erg vaak voor. Als je een datalek heb gehad, moet je dit vastleggen in een datalekkenregister. Als het lek risico’s met zich meebrengt voor de rechten en vrijheden van de betrokkene, moet het binnen 72 uur bij de AP gemeld worden. Ook moet beoordeeld worden of het datalek ook aan de betrokkene gemeld moet worden. Melding van een datalek leidt bijna nooit tot een onderzoek. Je krijgt ook altijd de tijd om maatregelen te nemen. De AP richt zich op dit moment vooral op grote instellingen en zal zich naar verwachting meer met kleine praktijken bezighouden als ze signalen krijgt dat daar risico’s zijn.

In 2017 zijn er zo’n 3000 meldingen van datalekken binnengekomen. Voor het overgrote deel betrof dit berichten zoals e-mails die naar een verkeerd adres waren gestuurd.

Informatiebeveiliging

Je bent verplicht om passende technische en organisatorische maatregelen te treffen om alles binnen de praktijk op een goede manier te beveiligen. Dat is vastgelegd in de NEN-norm 7510 (Informatiebeveiliging in de zorg). Deze bevat een hele lijst met maatregelen, die je niet allemaal hoeft te nemen. Op basis van een risicoanalyse moet je een beleidsplan hebben hoe je er mee omgaat. Op de website van de KNMT is hiervoor een checklist opgenomen. Een andere NEN-norm is 7512: Vertrouwensbasis voor gegevensuitwisseling. Die gaat erover dat als je met iemand mailt, je ook zeker moet weten dat diegene is, wie hij zegt dat hij is. Je moet op basis van de inhoud van een mail bepalen hoe je die gaat beveiligen.

In NEN 7513 (Logging – vastleggen van acties op elektronische patiëntendossiers) gaat het erom dat je moet vastleggen wie wat gedaan heeft in de praktijk als het gaat om verwerking van persoonsgegevens. Een deel hiervan wordt gefaciliteerd door softwareleveranciers.

De AP zegt al langer dat e-mailen veilig moet, maar niemand weet precies hoe dat moet. Binnenkort komt daar een normenkader voor.

Wat komt er nog aan?

De tendens is dat er steeds meer gegevens worden uitgewisseld door zorgverleners onderling. Een voorbeeld hiervan is de richtlijn Overdracht van medicatiegegevens in de keten, waardoor je op de hoogte kan zijn van de medicatie die een patiënt gebruikt. De mogelijkheid wordt nu onderzocht om elektronisch gegevens uit te wisselen met bijvoorbeeld een huisarts of apotheek.

Andere ontwikkelingen zijn digitale inzage van het zorgdossier en het beschikken over een persoonlijke gezondheidsomgeving (PGO), waarmee een patiënt zijn eigen gezondheidsdossier kan beheren. Een patiënt kan dan bijvoorbeeld meetwaarden van zijn bloeddruk zelf opnemen in zijn PGO.

Wat kun je zelf doen?

Zelf kun je ook nog het een en ander doen aan de veiligheid. Wees bedacht op phishing-mails en zorg voor software waarmee kwaadaardige berichten worden tegengehouden. Ook het hebben van een goede back-up is belangrijk. Let ook op informatie op papier, laat geen dossiers liggen.

Verslag door Yvette in ’t Velt van de workshop Doe de AVG-check door Martin Rozeboom en Milou Jansen tijdens Praktijk Anno Nu 2018.

Martin Rozeboom (adviseur ICT en Mondzorg) en Milou Jansen (adviseur juridische zaken) zijn gespecialiseerd in de Algemene Verordening Gegevensbescherming (AVG). Beiden werken bij de KNMT.

In december 2016 heeft toenmalig minister Schippers een wetsvoorstel tot wijziging van de wet BIG ingediend. In juli 2018 is deze door de Eerste Kamer gekomen, en de wet zal naar verwachting in het voorjaar van 2019 in werking treden. Alle reden om de belangrijkste wijzigingen voor u als mondzorgaanbieder nog even op een rij te zetten.

BIG-registratie vermelden!

Met de wetswijziging wordt het vermelden van het BIG-nummer verplicht voor zover de zorgaanbieder zich in het kader van de beroepsbeoefening presenteert. Bijvoorbeeld via de website van de praktijk, maar ook in de correspondentie met patiënten. De Inspectie voor de Gezondheidszorg & Jeugd (IGJ) zal hier, zodra de wet in werking is getreden, actief op toezien. De exacte voorwaarden voor het melden van de registratie zullen worden uitgewerkt in een ministeriële regeling. De minister heeft wel al gesteld dat moet worden voorkomen dat de verplichting een te grote administratieve lastenverzwaring met zich brengt. Ondanks dat deze regeling er op het moment van schrijven (januari 2019) nog niet is, kunnen mondzorgprofessoinals alvast bekijken op welke manier de vermelding van de BIG-registraties kan worden geoptimaliseerd. U kunt deze bijvoorbeeld standaard in de elektronische handtekening van uw e-mails plaatsen.

Openbaarmaking maatregelen

Met ingang van de nieuwe wet BIG zullen berispingen niet meer automatisch openbaar worden gemaakt, maar alleen wanneer de tuchtrechter dit in het belang van de individuele gezondheidszorg acht. In het huidige systeem wordt elke berispring in beginsel openbaar gemaakt, waarbij niet werd geoordeeld of de openbaarmaking ook een doel dient. Dit zou zorgen voor onnodige naming & shaming.

Uitbreiding tweede tuchtnorm

Met dit wetsvoorstel wordt de zogenoemde ‘tweede tuchtnorm’ uitgebreid. Met deze wijziging wordt uitdrukkelijk geregeld dat ook gedragingen die niet zijn begaan in de hoedanigheid van BIG-geregistreerde tandarts, tuchtrechtelijk getoetst kunnen worden. Zo kan ongewenst privé-gedrag ook tuchtrechtelijk worden getoetst wanneer het van ‘dien aard en ernst is’. Volgens de wetgever moet er bijvoorbeeld worden gedacht worden aan levens-, gewelds- en zedendelicten, zoals seksueel misbruik of ernstige mishandeling. In de jurisprudentie wordt de tweede tuchtnorm op dit moment al vrij ruim uitgelegd, de wetgeving sluit hier nu ook bij aan.

Verbreding maatregelen

Dit wetsvoorstel maakt het voor het tuchtcollege mogelijk een nieuwe maatregel op te leggen; het zogeheten algeheel beroepsverbod. Met dit beroepsverbod is het de zorgaanbieder niet alleen verboden voorbehouden handelingen te verrichten, maar behandeling van patiënten of patiëntgroepen in bredere zin kan worden verboden. De IGJ krijgt met dit wetsvoorstel daarnaast de mogelijkheid een zorgaanbieder direct op non-actief te stellen, zonder een tussenkomst van de tuchtrechter. Dit wordt de “Last tot Onmiddellijke Beëindiging beroepsactiviteiten” genoemd. Kritisch zal moeten worden bekeken of IGJ niet te lichtzinnig zonder rechterlijke toetsing overgaat tot het op non-actief stellen van tandartsen en andere zorgaanbieders. Dat zou een onwenselijke situatie opleveren. Bovenstaande maatregelen zijn dan ook alleen bedoeld voor uitzonderlijke situaties, waarin er sprake is van ernstig normschendend gedrag van de zorgaanbieder.

Procedurele veranderingen

De wetgever probeert door middel van een aantal maatregelen de capaciteit van het tuchtcollege efficiënter te benutten en alleen de juiste klachten door het college te laten behandelen. Zo kan de klager gebruik maken van een tuchtklachtfunctionaris, die helpt met het formuleren en indienen van een klacht bij het tuchtcollege, maar bijvoorbeeld ook kan adviseren eerst de reguliere klachtenprocedure te doorlopen. Kennelijk niet-ontvankelijke of kennelijk ongegronde klachten kunnen in de nieuwe wet BIG door een zogenaamde voorzittersbeslissing worden afgedaan, in plaats van dat ze door een voltallig college worden behandeld. Ook wordt in het voorstel voortaan griffierecht gevraagd van de klager; een betaling van 50 euro. Volgens de wetgever een belangrijke bijdrage om de klager te laten nadenken of de zaak zich in redelijkheid wel leent voor een tuchtrechtelijk proces.
Met bovenstaande ‘filters’ wil de wetgever ervoor zorgen dat de capaciteit van het tuchtcollege zo efficiënt en effectief mogelijk wordt ingezet, en dat het tuchtrecht echt wordt gebruikt voor de ‘zwaardere’ zaken.

Grote veranderingen?

De meeste wijzigingen in de wet zijn alleen voor de mondzorgaanbieder van belang op het moment dat deze in aanraking komt met het tuchtrecht. Het vermelden van de BIG-registratie is echter een wijziging waar elke mondzorgaanbieder mee te maken krijgt. Het is afwachten op welke manier de ministeriele regeling het vermelden van het BIG nummer zal verplichten.

Bovenstaande is een weergave van de belangrijkste wijzigingen, maar niet uitputtend. Voor alle relevante stukken kunt u hier kijken.

Door: Daniël Post & Céline Peersman – www.eldermans-geerts.nl
Advocaten | Zorgmakelaars | Juristen| Adviseurs in de zorg