De Autoriteit Persoonsgegevens (AP) verduidelijkt voor zorgaanbieders wanneer er sprake is van grootschalige gegevensverwerking in het kader van privacywet AVG. Er heerste bij kleinschalige zorgaanbieders zoals huisartsen en apotheken onzekerheid over of zij onder deze definitie vallen. dat verplicht namelijk tot het aanstellen van een functionaris gegevensbescherming (FG) en soms tot een privacy-assessment (risico-inschatting).
Voor huisartsenpraktijken en instellingen voor medisch specialistische zorg (maar niet ziekenhuizen), beschouwt de AP een verwerking grootschalig bij meer dan 10.000 patiënten, zo stelt de toezichthouder nu. De verwerking van persoonsgegevens van ziekenhuizen, apotheken (geen solistisch werkende zorgverlener), huisartsenposten en zorggroepen is altijd grootschalig. De AP probeert op korte termijn ook voor andere zorgaanbieders nadere duiding te geven.
Zorg: meestal grootschalige verwerking
In de nieuwe privacywet AVG wordt aangegeven dat organisaties die aan grootschalige verwerking van persoonsgegevens doen, verplicht zijn tot het aanstellen van een Functionaris Gegevensbescherming (FG). Dit is iemand die binnen de organisatie toezicht houdt op de toepassing en naleving van de Algemene verordening gegevensbescherming. Ook moet er in sommige gevallen een DPIA (data protection impact assessment) uitgevoerd worden. Dat is een instrument om vooraf de privacy-risico’s van een gegevensverwerking in kaart te brengen en vervolgens maatregelen te kunnen nemen om de risico’s te verkleinen. In de zorg hebben organisaties vrijwel altijd als kerntaak het verwerken van bijzondere persoonsgegevens omdat zij medische gegevens verwerken.
Als een organisatie niet grootschalig gegevens verwerkt, kan het volgens de AP nog steeds nuttig zijn om een FG aan te stellen. Een FG kan een organisatie helpen een organisatie AVG-proof in te richten. De AP adviseert ook andere zorgaanbieders om een FG aan te stellen. Een FG kan worden ‘gedeeld’ met andere zorgaanbieders of extern (voor een beperkt aantal uren) worden ingehuurd, zodat de organisatorische lasten beperkt kunnen blijven. Dit geldt zowel voor de vrijwillige als de verplichte FG.
