Grijs AVG gebied. Moet een zorgboerderij of huisarts een Functionaris Gegevensbescherming aanstellen? Misschien…

De Landelijke Huisartsen Vereniging (LHV) zorgt voor verwarring rond de ‘verplichte’ aanstelling van een Functionaris Gegevensbescherming (FG) in de zorgsector.

Volgens een jurist die de LHV heeft geraadpleegd hoeven huisartsen met een eigen praktijk geen FG aan te stellen.

Dat is opmerkelijk. Want tot dusver leek de AVG heel duidelijk wat betreft de verwerking van medische persoonsgegevens.

Bijzondere persoonsgegevens

Medische persoonsgegevens zijn bijzondere persoonsgegevens en dan zou in alle gevallen een FG moeten worden aangesteld.

Sterker nog… huisartsen hadden vorig jaar al een FG moeten hebben, want er geldt voor hen ook nog een andere wet.

Persoonsgegevens in de zorg

Op 4 oktober 2016 is de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wvpz) aangenomen en sinds 1 juli 2017 is deze wet in werking.

Tegelijk met deze wet is bepaald dat alle zorginstellingen een functionaris moeten aanstellen voor bescherming van data.

Hiermee geeft de wetgever uiting aan het grote belang dat ze hecht aan een adequate en passende beveiliging van elektronische gegevensuitwisseling in de zorg.

De boodschap voor alle zorginstellingen in Nederland was daarom duidelijk; het aanstellen van een Functionaris Gegevensbescherming is vanaf 1 juli 2017 onontkoombaar.

Grootschalige verwerking

Volgens de jurist die de LHV raadpleegde staat er in de AVG echter dat er sprake moet zijn van grootschalige verwerking van persoonsgegevens. Een zelfstandige huisarts doet volgens de jurist niet aan grootschalige verwerking.

Wanneer is er dan wel sprake van grootschaligr verwerking?

Volgens de LHV boven de 10.000 patienten.

Zoveel patienten heeft mijn huisarts in ieder geval niet.

Maar hoe zit dat dan met andere zorginstellingen?

FG voor zorgboerderij?

Een van mijn klanten is eigenaresse van een zorgboerderij.

Ze is er van overtuigd dat ze een FG moet hebben.

Op basis van een verkorte PIA denk ik dat ook.

Een collega wijst echter op het artikel van de LHV. “Als een huisarts geen FG hoeft aan te stellen, dan hoeft een zorgboerderij dat zeker niet.”

Google FG Zorgboerderij

Wie op Google zoekt naar “zorgboerderij Functionaris Gegevensbescherming” ontdekt dat er een paar zorgboerderijen zijn die inmiddels een FG hebben aangesteld.

Heel veel zorgboerderijen hebben echter geen FG aangesteld.

Is dat een indicatie dat er geen FG nodig is?

Nee. Natuurlijk niet.

Heel veel organisaties hebben zich nog totaal niet verdiept in de AVG.

Bel de Autoriteit Persoonsgegevens

Bij twijfel is het verstandig om de Autoriteit Persoonsgegevens (AP) te raadplegen.

Op de site van de AP is niets te vinden over zorgboerderijen.

Dan maar even bellen.

Het is dinsdagmiddag kwart voor vijf. De AP is tot 17.00 uur bereikbaar, meldt de site.

”Er zijn nog vijf wachtenden voor u”, hoor ik.

Vijf minuten later ben ik al aan de beurt.

”Moet een zorgboerderij een FG aanstellen?”

Een vriendelijke vrouw zegt dat ze dat even zal uitzoeken.

Standaard vragenlijst FG

Ik hoor hoe ze de standaard vragenlijst doorloopt.

“…medische gegevens… Dat zijn bijzondere gegevens. Ja, er moet een FG worden aangesteld”, zegt ze.

Ik wijs haar op het oordeel van de LHV dat er bij huisartsen alleen bij grootschalige verwerking van bijzondere persoonsgegevens een FG hoeft te worden aangesteld. En dat dat onder de 10.000 patienten niet nodig zou zijn.

”De zorgboerderij heeft hooguit enkele tientallen clienten”, zeg ik.

Grijs gebied AVG

”De Autoriteit noemt geen aantallen als het gaat om grootschalige verwerking”, zegt ze. “Maar u heeft gelijk. Het betreft hier grijs gebied waar nog een uitspraak over moet worden gedaan.”

“Komt de zorgboerderij er mee weg als er voorlopig geen FG wordt aangesteld en dat besluit in het verwerkingsregister wordt gemotiveerd door te verwijzen naar het artikel van de LHV en dit telefoongesprek?”, vraag ik.

“Zo zou u het kunnen verantwoorden”, antwoordt de deskundige van de Autoriteit Persoonsgegevens.

Voorlopige oplossing

Ze zegt kortom niet dat ze daarmee akkoord gaat, maar ze zegt ook niet onomwonden dat de voorlopige oplossing goed is.

Ik wil weten hoe lang het nog kan duren dat er duidelijkheid komt.

Ze weet het niet.

Wel vertelt ze dat de definitie van grootschalige verwerking verduidelijkt zal worden. “En dan kan het best zijn dat zelfs een kleine praktijk met twintig patienten als grootschalig wordt gezien.”

De zorgboerderij heeft nog even uitstel wat betreft de FG.

Misschien is er straks helemaal geen FG nodig.

Dat betekent niet dat er op de zorgboerderij niets hoeft te worden gedaan met de AVG.

Ook zonder FG voldoen aan de AVG

Ook zonder FG moet de zorgboerderij de verwerking van persoonsgegevens door se eigen organisatie en andere partijen waarmee wordt samengewerkt met een PIA compleet doorlichten.

Waar nodig moet de ICT opnieuw worden ingericht. Er moeten protocollen worden vastgelegd. Verwerkingsovereenkomsten worden gesloten. Een awareness training voor het personeel, vrijwilligers en clientenraad worden georganiseerd.

Gelukkig heeft de organisatie al veel zaken goed op orde.

Wat dat betreft zou een FG ook geen probleem hoeven te zijn.

Het antwoord van de Autoriteit zit me ook nog niet lekker.

Dat antwoord is ook niet allesbepalend.

Rekening houden met andere wetgeving

Privacymanagers leren dat ze ook rekening moeten houden met andere wetten. De Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wvpz) is dan wel duidelijk. Er moet een FG komen.

Bij twijfel altijd controleren.

Dat zullen we morgen dan maar doen.

Wordt vervolgd.

Advies aan zorgboerderijen

P.S. Advies aan zorgboerderijen die nog niet met de AVG bezig zijn. U bent al te laat. U bent vanaf 25 mei in overtreding. Struisvogelpolitiek helpt niet. Kan duur uitpakken. Slimme zorgboeren slaan de handen ineen en stellen nu gezamenlijk een privacymanager aan. Zo kan kennis worden gedeeld en kosten worden bespaard.

En als die FG er toch moet komen kan die ook worden gedeeld.

Meer weten? Bel PrivacyZone: 06-31995740