AVG en Privacy in de Zorg: Bescherming van Persoonsgegevens
Complete uitleg over de AVG in de zorg in 2026. Lees over grondslagen, rechten van cliënten, plichten van zorgaanbieders en het melden van datalekken.
De AVG in het kort
De Algemene Verordening Gegevensbescherming (AVG) is de Europese privacywetgeving die sinds 2018 geldt. De wet beschermt persoonsgegevens van burgers en stelt eisen aan organisaties die deze gegevens verwerken. In de zorg worden veel gevoelige gegevens verwerkt: medische informatie, diagnoses, behandelgeschiedenis. De AVG eist dat gegevens alleen worden verwerkt met een geldige grondslag en dat cliënten rechten hebben zoals inzage en correctie. Zorgaanbieders hebben plichten rond beveiliging en documentatie. Bij datalekken geldt een meldplicht bij de Autoriteit Persoonsgegevens. De Functionaris Gegevensbescherming (FG) houdt intern toezicht op de naleving.
De AVG vervangt de oude Wet bescherming persoonsgegevens (Wbp). De regels zijn strenger en de boetes hoger: tot €20 miljoen of 4% van de omzet.
Bijzondere persoonsgegevens in de zorg
De AVG onderscheidt gewone en bijzondere persoonsgegevens. In de zorg worden veel bijzondere gegevens verwerkt.
Wat zijn bijzondere persoonsgegevens?
Bijzondere persoonsgegevens zijn extra gevoelig en genieten extra bescherming. Het gaat om: gegevens over gezondheid, genetische gegevens, biometrische gegevens, gegevens over seksueel gedrag of geaardheid, en gegevens over ras, religie of politieke overtuiging.
Gezondheidsgegevens:
In de ambulante zorg worden vooral gezondheidsgegevens verwerkt: diagnoses, medicatie, behandelgeschiedenis, psychische klachten, beperkingen. Deze gegevens mogen alleen worden verwerkt met een specifieke grondslag.
Strafrechtelijke gegevens:
Bij justitiële cliënten worden soms ook strafrechtelijke gegevens verwerkt. Deze kennen nog strengere regels dan bijzondere persoonsgegevens.
BSN:
Het Burgerservicenummer (BSN) mag in de zorg worden gebruikt voor identificatie. Het mag niet voor andere doelen worden gebruikt en moet goed worden beveiligd.
LET OP: RISICO
Bijzondere persoonsgegevens in verkeerde handen kunnen grote schade veroorzaken: discriminatie, uitsluiting, identiteitsfraude. Behandel deze gegevens met de grootst mogelijke zorgvuldigheid.
Grondslagen voor gegevensverwerking
De AVG vereist dat elke verwerking van persoonsgegevens een geldige grondslag heeft. Zonder grondslag is verwerking verboden.
De zes grondslagen:
De AVG kent zes grondslagen: toestemming van de betrokkene, uitvoering van een overeenkomst, wettelijke verplichting, vitaal belang (levensbedreigende situatie), algemeen belang of openbaar gezag, en gerechtvaardigd belang.
Grondslagen in de zorg:
In de ambulante zorg zijn vooral relevant: uitvoering van de zorgovereenkomst (de zorg kan niet worden geleverd zonder gegevens), wettelijke verplichting (denk aan de Wet op de geneeskundige behandelingsovereenkomst), en toestemming (voor verwerking die niet onder andere grondslagen valt).
Bijzondere persoonsgegevens:
Voor bijzondere persoonsgegevens geldt een extra eis: naast de algemene grondslag is een specifieke uitzondering nodig. In de zorg is dit meestal “noodzakelijk voor de zorgverlening” of “toestemming”.
Toestemming:
Toestemming moet vrij, specifiek, geïnformeerd en ondubbelzinnig zijn. De cliënt moet actief instemmen (niet via een vooraf aangevinkt vakje). Toestemming moet kunnen worden ingetrokken.
Documenteren:
Leg vast welke grondslag geldt voor welke verwerking. Dit is onderdeel van het verwerkingsregister.
Rechten van de cliënt
De AVG geeft de cliënt (in AVG-termen: de betrokkene) diverse rechten over zijn of haar persoonsgegevens.
Recht op inzage:
De cliënt heeft het recht om te weten welke gegevens over hem of haar worden verwerkt. Op verzoek moet de zorgaanbieder binnen een maand een kopie van de gegevens verstrekken.
Recht op correctie:
Wanneer gegevens onjuist zijn, heeft de cliënt het recht op correctie. De zorgaanbieder past feitelijke onjuistheden aan.
Recht op verwijdering:
De cliënt kan in bepaalde gevallen verzoeken om verwijdering van gegevens. In de zorg is dit recht beperkt: medische gegevens moeten gedurende de bewaartermijn worden bewaard.
Recht op beperking:
De cliënt kan vragen om beperking van de verwerking, bijvoorbeeld tijdens een geschil over de juistheid van gegevens.
Recht op dataportabiliteit:
De cliënt heeft het recht om gegevens in een gangbaar formaat te ontvangen en over te dragen aan een andere partij.
Recht van bezwaar:
De cliënt kan bezwaar maken tegen verwerking op basis van gerechtvaardigd belang of algemeen belang.
Procedure:
De zorgaanbieder moet verzoeken binnen een maand afhandelen. Bij complexe verzoeken kan dit met twee maanden worden verlengd.
Lees meer over cliëntenrechten in Cliëntenrechten en Klachtenprocedures.
BELANGRIJK VOOR 2026
De Autoriteit Persoonsgegevens heeft in 2025-2026 verscherpte aandacht voor de zorgsector. Zorg dat de procedures voor het afhandelen van verzoeken van cliënten op orde zijn.
Plichten van de zorgaanbieder
De AVG legt diverse plichten op aan organisaties die persoonsgegevens verwerken.
Verwerkingsregister:
Elke zorgaanbieder moet een register bijhouden van verwerkingsactiviteiten. Dit register beschrijft welke gegevens worden verwerkt, voor welk doel, op basis van welke grondslag, hoe lang ze worden bewaard en met wie ze worden gedeeld.
Privacy by design:
Bij het ontwerpen van processen en systemen moet privacy vanaf het begin worden meegenomen. Niet achteraf repareren maar vooraf inbouwen.
Privacy by default:
De standaardinstelling moet de meest privacyvriendelijke zijn. Gegevens worden alleen verwerkt als het nodig is; niet meer dan noodzakelijk.
Beveiliging:
Persoonsgegevens moeten adequaat worden beveiligd tegen ongeoorloofde toegang, verlies of vernietiging. In de zorg geldt de NEN 7510 norm als standaard.
Functionaris Gegevensbescherming:
Zorgaanbieders die op grote schaal bijzondere persoonsgegevens verwerken, moeten een Functionaris Gegevensbescherming (FG) aanstellen. De FG adviseert en controleert de naleving van de AVG.
Bewustmaking:
Medewerkers moeten worden getraind in privacybewust werken. Zij moeten de regels kennen en toepassen in de dagelijkse praktijk.
Gegevensuitwisseling met derden
In de zorg worden regelmatig gegevens gedeeld met andere partijen. Dit mag alleen onder voorwaarden.
Met andere zorgverleners:
Gegevensuitwisseling tussen zorgverleners die bij dezelfde cliënt betrokken zijn, is toegestaan wanneer dit noodzakelijk is voor de zorgverlening. De cliënt moet hierover worden geïnformeerd en kan bezwaar maken.
Met de gemeente:
De gemeente ontvangt informatie voor indicatiestelling en verantwoording. Dit is geregeld in de Wmo. Alleen noodzakelijke informatie wordt gedeeld.
Met familieleden:
Gegevens mogen niet zonder toestemming met familieleden worden gedeeld. De cliënt bepaalt wie wat mag weten.
Met politie en justitie:
Alleen bij wettelijke verplichting of dringende noodzaak mogen gegevens met politie of justitie worden gedeeld. Dit geldt bijvoorbeeld bij een gerechtelijk bevel of bij acuut gevaar.
Verwerkersovereenkomst:
Wanneer een externe partij (zoals een ICT-leverancier) toegang heeft tot persoonsgegevens, moet een verwerkersovereenkomst worden afgesloten. Hierin staan afspraken over beveiliging en geheimhouding.
Lees meer over geheimhouding in Beroepscode en Geheimhouding.
De Overgang: Van 18- naar 18+ (Regels 2026)
De overgang naar volwassenheid heeft consequenties voor privacy en gegevensverwerking.
Eigen regie over gegevens:
Tot 18 jaar hebben ouders mede-zeggenschap over de gegevens van hun kind. Na 18 jaar is de jongere volledig zelf verantwoordelijk. Ouders hebben zonder toestemming geen inzagerecht meer.
Overdracht van dossier:
Bij de overgang van jeugdhulp naar Wmo kan het dossier niet automatisch worden overgedragen. De jongere (nu meerderjarig) moet expliciet toestemming geven. Zonder toestemming start de volwassenenzorg met een leeg dossier.
Bewaartermijnen:
Voor dossiers van minderjarigen begint de bewaartermijn van 15 jaar te lopen op de 18e verjaardag, niet op de datum van het laatste contact.
Wilsonbekwaamheid:
Bij jongeren die door hun beperking niet zelf kunnen beslissen over gegevens, moet een wettelijk vertegenwoordiger (mentor) dit doen. Dit moet tijdig worden geregeld.
Communiceren over privacy:
Bespreek met de jongere wat er verandert. De jongere heeft nu zelf de controle over wie wat mag weten.
Lees meer over de transitie in Jeugdwet versus Wmo.
Datalekken: voorkomen en melden
Een datalek is een beveiligingsincident waarbij persoonsgegevens onbedoeld worden blootgesteld, verloren of gestolen.
Voorbeelden van datalekken:
Een laptop met cliëntgegevens wordt gestolen. Een e-mail met gevoelige informatie wordt naar de verkeerde ontvanger gestuurd. Een systeem wordt gehackt en gegevens worden gelekt. Een dossier wordt per ongeluk bij het verkeerde huisadres bezorgd.
Voorkomen:
Preventie is beter dan melden. Gebruik sterke wachtwoorden, versleutel apparaten, verstuur gevoelige informatie via beveiligde kanalen, en wees alert op phishing.
Melden bij de Autoriteit Persoonsgegevens:
Datalekken waarbij risico bestaat voor de rechten van betrokkenen, moeten binnen 72 uur worden gemeld bij de Autoriteit Persoonsgegevens.
Melden aan de betrokkene:
Wanneer het datalek waarschijnlijk leidt tot een hoog risico voor de betrokkene, moet ook de betrokkene worden geïnformeerd.
Intern melden:
Medewerkers moeten weten waar zij datalekken intern kunnen melden. De FG of een aangewezen persoon beoordeelt of externe melding nodig is.
Consequenties:
Bij ernstige nalatigheid kan de Autoriteit Persoonsgegevens boetes opleggen. Daarnaast kan reputatieschade optreden.
Officiële bronnen:
Eenvoudige samenvatting
De AVG beschermt de persoonsgegevens van cliënten. Gegevens mogen alleen worden verwerkt met een geldige grondslag. Cliënten hebben rechten zoals inzage en correctie. Zorgaanbieders moeten gegevens goed beveiligen en datalekken melden. Na de 18e verjaardag heeft de cliënt zelf volledige zeggenschap over de eigen gegevens.