AVG en patiëntgegevens
AVG-checklist voor privéklinieken
Gepubliceerd op door ClinicGrow
Een privékliniek verwerkt gezondheidsgegevens en moet daarom extra zorgvuldig zijn onder de AVG. De basis: weet welke gegevens je verwerkt en waarom, sluit verwerkersovereenkomsten met leveranciers, beveilig de gegevens, meld datalekken op tijd en help patiënten bij hun rechten.
Wat staat er op de checklist?
- Een register van verwerkingen: welke gegevens, waarom, hoe lang en met wie gedeeld.
- Een verwerkersovereenkomst met elke leverancier die gegevens voor je verwerkt (artikel 28 AVG).
- Beveiliging: sterke wachtwoorden, toegang per rol, versleuteling.
- Een procedure voor datalekken, inclusief melden bij de Autoriteit Persoonsgegevens binnen 72 uur waar dat nodig is (artikel 33 AVG).
- Een privacyverklaring voor patiënten op je website.
- Een werkwijze voor verzoeken om inzage, correctie of verwijdering.
- Bij grootschalige verwerking van gezondheidsgegevens: toetsen of een DPIA nodig is.
Wie is verantwoordelijk voor de patiëntgegevens?
De kliniek is de verwerkingsverantwoordelijke. Een softwareleverancier die de gegevens voor je opslaat, is verwerker en handelt alleen in jouw opdracht.
Waar begin je als je nog niets hebt?
Begin met het register en een lijst van leveranciers. Daarmee zie je direct waar verwerkersovereenkomsten ontbreken en waar gegevens buiten beveiligde systemen staan.