Beveiligingsmaatregelen, het (blijven) updaten van privacy documenten en het uitvoeren van DPIA’s, allemaal privacy gerelateerde onderwerpen waar mondzorgaanbieders zich mee bezig dienen te houden, maar die – zo leert de praktijk – toch al snel ‘onderaan het lijstje komen’. Dat terwijl de Autoriteit Persoonsgegevens (AP) toeziet op naleving van privacy wet- en regelgeving, waaronder de Algemene Verordening Gegevensbescherming (AVG). In dit artikel gaan wij in op het handhavingsbeleid van de AP, zoals op welke onderwerpen de AP zich focust en staan wij stil bij een boete die is opgelegd aan een orthodontiepraktijk.

Waar focust de AP zich op?

De AP publiceert ieder jaar een verslag, waarin zij verantwoording aflegt over hoe zij in het afgelopen jaar haar handhavingstaak heeft ingevuld en tevens vooruitblik doet op aankomend jaar. Recentelijk heeft de AP haar jaarverslag van 2024 gepubliceerd. Daarin wordt ingegaan op 2024 en aankomend jaar (2025).

In het jaar 2024 had de AP vijf focusgebieden, te weten:

• Algoritmes & AI;
• Big Tech;
• Vrijheid & veiligheid;
• Datahandel en;
• Digitale overheid.

Daarnaast heeft de AP in 2024 streng gehandhaafd bij grote partijen, zoals Meta, Uber, Booking.com en Netflix. Er is niet altijd gekozen om een boete op te leggen door de AP, maar er zijn ook andere handhavingsinstrumenten ingezet. Zo heeft de AP in 2024 ‘maar’ 6 boetes opgelegd, vier keer een last onder dwangsom en zeven berispingen. Ook heeft de AP in 2024 meer aandacht voor de positie van de Functionaris Gegevensbescherming (FG) op nationaal en Europees niveau gebracht, zoals de ontwikkeling van een nationaal kwaliteitsregister voor FG’s en de goedkeuring van EDPB voor certificeringscriteria van Brand Compliance.

Ook heeft de AP aangegeven nieuwe EU-regels als de AI-verordening en de Europese Digital Service ACT (DSA) te zullen gaan handhaven. De AI-verordening vereist risicoclassificatie van AI-systemen, verboden toepassingen (zoals real-time biometrische identificatie in de openbare ruimte) en extra conformiteitseisen voor hoog-risico AI. Het is dus belangrijk als organisatie om alvast stappen te zetten, zodat de organisatie compliant is met deze regelgeving. Organisaties die AI inzetten, doen er goed aan nu alvast te inventariseren van welke systemen hieronder vallen en welke aanpassingen nodig zijn.

Waar heeft de AP boetes voor uitgedeeld?

De AP is bevoegd om sancties op te leggen als een organisatie in strijd handelt met privacy wet- en regelgeving. De AP publiceert op haar website de boetes en andere sancties, zoals een waarschuwing of verwerkingsverbod, die zij oplegt. Dat zijn er overigens niet veel, het gaat om zo’n acht publicaties in het jaar 2024 en slechts twee in 2023. Hieronder wordt één van deze boetes uitgelicht, nu deze voor mondzorgaanbieders relevant is om kennis van te nemen.

Boete orthodontiepraktijk

Aan een orthodontiepraktijk werd in 2021 door de AP een boete van 12.000 euro opgelegd omdat de praktijk niet voldeed aan de AVG. Hoewel deze boete al van een tijdje geleden is, is de inhoud ervan nog steeds super actueel. De boete kwam na een klacht over de onveilige website van de praktijk, waar nieuwe patiënten zich online konden aanmelden. Via een onbeveiligde verbinding werden gevoelige gegevens, zoals het BSN van patiënten, verzonden. Doordat het formulier via een niet-versleutelde verbinding werd verstuurd, creëerde dit een aanzienlijk risico voor de privacy van de patiënten, aangezien criminelen deze gegevens relatief eenvoudig konden onderscheppen, wat zou kunnen leiden tot identiteitsdiefstal of oplichting.

De AP heeft deze feiten getoetst aan artikel 32 lid 1 AVG. Dit artikel regelt de vereisten voor de beveiligingsmaatregelen, maar betreft een erg open norm. Zo luidt het artikellid als volgt:

“Rekening houdend met de stand van de techniek, de uitvoeringskosten, alsook met de aard, de omvang, de context en de verwerkingsdoeleinden en de qua waarschijnlijkheid en ernst uiteenlopende risico’s voor de rechten en vrijheden van personen, treffen de verwerkingsverantwoordelijke en de verwerker passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen, die, waar passend, onder meer het volgende omvatten:
a) de pseudonimisering en versleuteling van persoonsgegevens;
b) het vermogen om op permanente basis de vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van de verwerkingssystemen en diensten te garanderen;
c) het vermogen om bij een fysiek of technisch incident de beschikbaarheid van en de toegang tot de persoonsgegevens tijdig te herstellen;
d) een procedure voor het op gezette tijdstippen testen, beoordelen en evalueren van de doeltreffendheid van de technische en organisatorische maatregelen ter beveiliging van de verwerking.”

Er dienen dus voldoende maatregelen te worden genomen met een passend beveiligingsniveau, zowel op organisatorisch als technisch vlak. De AP licht toe in haar boetebesluit dat ten aanzien van het gebruik van het BSN-nummer er voldaan moet worden aan de vereisten uit de NEN7510. Ten aanzien van het gebruik van een webpagina dient het protocol beveiligen verbinding internet te worden gevolgd waarvoor een TLS-certificaat wordt afgegeven. In dit geval waren geen beheersmaatregelen getroffen en was de beveiliging van de website onvoldoende: het formulier met persoonsgegevens werd via een niet-versleutelde verbinding verstuurd. Er is, aldus de AP, sprake van een onbeveiligde verbinding en daarmee een schending van artikel 32 lid 1 AVG.

De AP benadrukte dat zorgverleners, groot of klein, de privacy van hun patiënten serieus moeten nemen en voldoende beveiligingsmaatregelen moeten treffen. De AP benadrukte ook dat kinderen, die in deze praktijk vaak patiënten zijn, extra bescherming verdienen volgens de AVG, omdat zij als (nog) kwetsbaarder worden beschouwd.

Tot slot

Hoewel de AP in 2024 voornamelijk boetes heeft opgelegd aan grote bedrijven, wordt zij ook actiever in de handhaving van de AVG-verplichtingen richting kleine bedrijven. Afhankelijk van de mate van de inbreuk op de AVG kan er een sanctie – waaronder een forse boete – worden opgelegd. Het is dan ook raadzaam om als organisatie na te gaan of alle AVG-verplichtingen voldoende worden nageleefd én de ontwikkelingen op dit gebied te volgen.

Door: mr. Demi van Rossenberg en mr. Silke van Dijk – www.eldermans-geerts.nl
Advocaten | Zorgmakelaars | Juristen | Adviseurs in de zorg

Het voeren van een mondzorgpraktijk is meer dan een tandheelkundige aangelegenheid. Naast kwalitatieve zorgverlening krijgt de tandarts of andere bestuurder als ondernemer te maken met een breed scala aan juridische verplichtingen. Het niet voldoen aan de verplichtingen kan de reputatie én de financiële continuïteit van de mondzorgprofessional en de praktijk raken. In dit artikel gaan wij in op vijf cruciale aandachtspunten die voor de mondzorgprofessionals van belang zijn.

1. Transparante communicatie – ook over kosten en vergoedingen

De zorgplicht van een mondzorgprofessional reikt verder dan medisch-tandheelkundig handelen; ook duidelijke informatieverstrekking aan de patiënt is onderdeel van de zorgplicht. Een belangrijk onderdeel van de informatieplicht zijn de eventuele risico’s van de uit te voeren behandeling. Indien de patiënt niet is geïnformeerd over het risico op bijvoorbeeld een bepaalde complicatie en deze complicatie doet zich vervolgens voor, kan een mondzorgprofessional aansprakelijk zijn voor de schade van de patiënt en/of kan de mondzorgprofessional tuchtrechtelijk verwijtbaar hebben gehandeld. Een belangrijke voorwaarde voor het recht op eventuele schadevergoeding door de patiënt is dat hij aannemelijk maakt dat hij van de behandeling zou hebben afgezien als de mondzorgprofessional wél aan de informatieplicht zou hebben voldaan.

Naast informeren over tandheelkundig-inhoudelijke zaken, moet ook over financiële zaken goed geïnformeerd worden. Dit volgt uit onder meer de Wet marktordening gezondheidszorg, de Wet kwaliteit, klachten en geschillen zorg en de Wet op de geneeskundige behandelingsovereenkomst. Ook hanteert de Nederlandse Zorgautoriteit (NZa) beleidsregels over informatieverplichtingen, zoals de Regeling mondzorg. De informatieverplichting weegt zwaarder naarmate de behandeling tandheelkundig niet of in geringe mate noodzakelijk is of er een groter prijskaartje aan de behandeling hangt. Informeren over de financiën is belangrijk, omdat er inmiddels een groot aantal uitspraken is waaruit blijkt dat de patiënt de nota niet hoeft te betalen, indien hij niet goed geïnformeerd is over de kosten die hij moet betalen.

2. Dossiervoering: ook een juridisch bewijsstuk

Het patiëntendossier is niet alleen van belang voor het verlenen van goede zorg aan de patiënt (denk aan de noodzaak voor een opvolgend tandarts of waarnemer om na te gaan wat de mondgezondheidssituatie van de patiënt is), maar kan voor de mondzorgprofessional ook van grote waarde zijn bij een materiële controle of aansprakelijkheids- of tuchtkwestie. Het patiëntendossier vormt in de meeste gevallen het primaire bewijsmiddel in dergelijke zaken.

De wet verplicht de mondzorgprofessional tot het bijhouden van een medisch dossier van de patiënt. Uit de praktijk blijkt dat dit geregeld te summier gebeurt. Zaken als indicaties voor bepaalde verrichtingen, mondelinge toestemming, tussentijdse wijzigingen in de behandelstrategie, of afwijkingen van richtlijnen worden vaak niet (voldoende) vastgelegd. Dat kan nadelige gevolgen hebben voor de mondzorgprofessional bij onder meer een schadeclaim van een patiënt of een materiële controle van een zorgverzekeraar.

Het is gelet daarop verstandig om de belangrijke elementen steeds zorgvuldig in het dossier te noteren, waarbij veelal getoetst wordt aan de KNMT Richtlijn Patiëntendossier.

3. Richtlijnen zijn belangrijk

De professionele standaard in de mondzorg wordt in belangrijke mate gevormd door richtlijnen, zoals die worden opgesteld door beroepsorganisaties als KNMT en ONT. Deze richtlijnen omvatten gedragsaanwijzingen, behandelprotocollen en kwaliteitsnormen. De (tucht)rechters beschouwen deze als de norm waaraan mondzorgprofessionals moeten voldoen om te handelen als redelijk handelend mondzorgverlener.

De richtlijnen hebben als belangrijk doel te waarborgen dat goede zorg aan de patiënt wordt verleend. De zorgplicht voor de patiënt brengt echter ook mee dat het in specifieke gevallen wenselijk en soms zelfs noodzakelijk is om in het belang van de patiënt van een richtlijn af te wijken. De beoordeling van de zorg die een patiënt in een specifiek geval nodig heeft, ligt bij de behandelaar.

Afwijken van richtlijnen mag dus en moet soms zelfs. De mondzorgprofessional doet er echter verstandig aan om dit duidelijk vast te leggen en te motiveren in het dossier van de patiënt. Dit kan de mondzorgprofessional niet alleen helpen bij een eventuele schadeclaim of tuchtklacht, maar kan ook van essentieel belang zijn bij een materiële controle. Zorgverzekeraars nemen namelijk geregeld het standpunt in dat indien iets niet in het dossier is vermeld met motivering, de betreffende zorg niet is uitgevoerd, of dat een afwijking van de richtlijn niet kan indien dat niet is gemotiveerd.

4. Algemene voorwaarden: regel ze goed én bewijs de terhandstelling

Algemene voorwaarden kunnen, in combinatie met een goede schriftelijke zorgovereenkomst met de patiënt, een goed hulpmiddel vormen om verwachtingen te structureren en risico’s te beperken. Belangrijk is dat de algemene voorwaarden met de patiënt zijn overeengekomen én correct aan de patiënt ter hand gesteld zijn. Het uitgangspunt daarbij is dat de algemene voorwaarden feitelijk ter hand worden gesteld aan de patiënt. Het is aan de mondzorgprofessional om, indien dit wordt betwist, aannemelijk te maken dat de algemene voorwaarden ter hand zijn gesteld. Dit kan bijvoorbeeld door de patiënt door ondertekening te laten verklaren dat hij deze (en eventueel andere belangrijke) documenten heeft ontvangen.

De patiënt wordt daarnaast bij de algemene voorwaarden beschermd door de ‘zwarte lijst’ en de ‘grijze lijst’, die geldt voor consumenten. Uit deze lijsten volgt dat een bepaling in de algemene voorwaarden onredelijk bezwarend kan zijn. Dergelijke bepalingen zijn dan nietig of vernietigbaar, afhankelijk van of ze op de zwarte of grijze lijst staan vermeld. De aansprakelijkheid van de mondzorgprofessional kan op grond van de Wet geneeskundige Behandelingsovereenkomst overigens in zijn geheel niet worden uitgesloten of beperkt. Deze bepaling is, indien deze in de algemene voorwaarden voor de patiënten is opgenomen, nietig en dus niet geldig.

5. Verzeker het onzekere: beroepsaansprakelijkheid

Hoewel aansprakelijkheid van de mondzorgprofessional richting de patiënt niet kan worden uitgesloten, kan het risico op aansprakelijkheid wel worden verzekerd. Een beroepsaansprakelijkheidsverzekering kan daarom erg belangrijk zijn voor de mondzorgprofessional. Letselschade die is ontstaan bij de behandeling van de patiënt kan (indien de mondzorgprofessional hiervoor aansprakelijk is) grote schadeposten met zich brengen. De praktische en financiële afhandeling van een schadeclaim kan door een beroepsaansprakelijkheidsverzekeraar uit handen worden genomen.

Het is wel van belang goed te bekijken welke risico’s door een bepaalde verzekering worden gedekt: vallen de belangrijkste risico’s onder de dekking van de af te sluiten verzekering? En hoe zit het met de inzet van collega’s (zowel zzp als in loondienst)? Het is verstandig na te gaan wat precies verzekerd is en of dit voldoende is.

Sommige verzekeringen bieden dekking voor het inloop- en/of uitlooprisico, dit betreft schade vóór of ná de looptijd van de verzekering. Dit kan onder meer van belang zijn bij een overdracht of overname van een praktijk; de patiënt die een claim indient na de overdacht of overname voor schade door een behandeling die daarvóór heeft plaatsgevonden kan onder de dekking van zo een inlooprisico of uitlooprisico vallen. De omvang van de dekking van de ene verzekeringspolis kan dus wezenlijk verschillen van de andere.

Door:
mr. Emma Boonstra, advocaat bij Eldermans|Geerts Advocaten in de zorg.