Zorg voor uw patiënten én hun data

Hoe maakt u uw praktijk GDPR-conform?

Er is al veel inkt gevloeid over de impact van de GDPR op artsen. Artsen dienen de GDPR na te leven en zich in regel te stellen, zowel in hun privépraktijk als in ziekenhuiscontext.

De GDPR (General Data Protection Regulation) legt aan artsen evenwel een extra last op die vaak tot stress en onzekerheid leidt.

Wat houdt GDPR-conformiteit juist in?

Als arts bent u verwerkingsverantwoordelijke voor de persoonsgegevens van uw patiënten. Dat betekent dat u volgens de GDPR moet zorgen voor een correcte, veilige en transparante verwerking van deze gegevens.

Los van de basisprincipes die gelden bij elke verwerking van persoonsgegevens, zijn er ook een aantal concrete verplichtingen waaraan u als verwerkingsverantwoordelijke moet voldoen, zoals bijvoorbeeld:

• Beschikken over een wettelijke grond voor elke verwerking van persoonsgegevens.
• Patiënten informeren over hoe hun gegevens worden gebruikt (bijv. via een privacyverklaring).
• De rechten van patiënten respecteren, zoals bijvoorbeeld het recht op inzage, correctie en wissing.
• Gegevenslekken documenteren en, indien nodig, melden aan de Gegevensbeschermingsautoriteit.
• Een verwerkingsregister bijhouden met een overzicht van alle gegevensverwerkingen.
• Verwerkersovereenkomsten afsluiten met externe partijen die namens u gegevens verwerken (zoals labo’s of softwareleveranciers).
• Duidelijke afspraken maken in het geval van gezamenlijke verwerkingsverantwoordelijkheid.

Hoe groter uw praktijk, of hoe diverser de samenstelling, hoe ingewikkelder de GDPR-conformiteit meestal zal zijn.

Wat als ik niet conform ben of handel?

Bij gebrek aan bewijs van conformiteit, of bij inbreuken op de GDPR  in het algemeen, kan de Gegevensbeschermingsautoriteit sancties opleggen. Deze sancties kunnen verschillende vormen aannemen, waarbij een geldboete (tot 10 of 20 miljoen euro naargelang de inbreuk), inregelstelling of waarschuwingen de meest courante zijn.

Belangrijk hierbij is dat de Gegevensbeschermingsautoriteit ofwel op eigen initiatief procedures kan opstarten, ofwel kan gevat worden door een simpele klacht van een betrokkene die meent dat u inbreuk maakt op uw verplichtingen.

In het verleden zijn er al verscheidene spelers in de gezondheidszorgsector onderworpen aan controle door de Gegevensbeschermingsautoriteit, waaronder artsenpraktijken, ziekenhuizen en laboratoria, met geldboetes tot gevolg.

Als u inbreuk maakt op de GDPR, impliceert dit vaak ook dat u andere wettelijke, reglementaire en/of ethische bepalingen heeft overtreden.

Zo bevat de Code van medische deontologie ook bepalingen die impliciet de naleving van de GDPR opleggen. Een inbreuk op de GDPR kan dus ook aanleiding geven tot tuchtrechtelijke sancties.

Daarnaast zal een inbreuk op de GDPR in sommige gevallen eveneens een schending van uw beroepsgeheim uitmaken, in welk geval u ook het risico loopt om strafrechtelijk te worden gesanctioneerd.

Wanneer de schending van de GDPR een inbreuk uitmaakt op de Kwaliteitswet, is ook de Toezichtcommissie bevoegd om in te grijpen. Dat is bijvoorbeeld het geval indien u informatie deelt uit het patiëntendossier zonder dat u beschikt over de toestemming van uw patiënt, of wanneer u het patiëntendossier van een patiënt inkijkt zonder dat u een therapeutische relatie hebt.

Als laatste kan de benadeelde van uw inbreuk op de GDPR juridische stappen ondernemen om schade vergoed te zien. Er zal dan een procedure worden gestart bij de bevoegde burgerlijke rechtbank, waar de betrokkene dan de fout, de schade en het oorzakelijke verband tussen beide zal moeten aantonen.

GDPR-conformiteit is aldus niet vrijblijvend. 

Stappenplan naar conformiteit

Arcas Law heeft samen met BVAS een 10-stappenplan uitgewerkt, op basis waarvan artsen met een minimale inspanning toch maximaal kunnen inzetten op conformiteit. Tevens wordt voorzien in een aantal templates. Elke stap wordt gedetailleerd uitgelegd in een brochure die u hier kan bestellen. .

Aangezien uit de praktijk blijkt dat artsen vaak toch nog met een aantal praktische vragen zitten bij het invullen van de templates en het doorlopen van de stappen, organiseren Arcas Law en BVAS ook nog een aantal praktische werksessies.  In deze praktische sessies wordt stap voor stap het 10-stappenplan doorlopen en worden de belangrijkste GDPR-documenten samen ingevuld zodat u na afloop alles op orde hebt voor uw praktijk.

De eerstvolgende sessies vinden plaats op 5 november. Meer informatie en een inschrijvingsformulier vindt u hier. 

Jellina Buelens en Anton Van Spaendonck, Arcas Law