Zorg- en welzijnsorganisaties verwerken dagelijks veel gevoelige persoonsgegevens van patiënten en cliënten. Deze informatie is belangrijk voor het verlenen van goede zorg en ondersteuning. Voor een zorgvuldige omgang met persoonsgegevens zijn passende beveiligingsmaatregelen, duidelijke verantwoordelijkheden en aandacht voor privacy in de dagelijkse werkzaamheden noodzakelijk. Door de toenemende digitalisering, de uitwisseling van gegevens tussen zorgverleners en de inzet van AI worden privacy en informatiebeveiliging steeds belangrijker binnen de zorg- en welzijnssector.
De Functionaris Gegevensbescherming (FG) heeft binnen zorgorganisaties een belangrijke rol. De FG adviseert over gegevensbescherming, houdt onafhankelijk toezicht op de naleving van de AVG en signaleert privacyrisico’s. Een goede positionering van de FG helpt zorgorganisaties om privacy structureel onderdeel te maken van hun bedrijfsvoering.
Ook de samenhang met informatiebeveiliging verdient aandacht. De NEN 7510 biedt een belangrijk normenkader voor informatiebeveiliging in de zorg. Daarnaast krijgen organisaties die onder de Nederlandse implementatie van de NIS2-richtlijn vallen te maken met aanvullende verplichtingen rond cybersecurity en risicobeheersing.
Wat betekent dit voor de positie van de FG? Welke verantwoordelijkheden liggen bij het bestuur? En welke rol speelt de FG bij de samenwerking tussen privacy, informatiebeveiliging en zorgprofessionals?
Waarom is een goede positionering van de FG in de zorg belangrijk?
Binnen een zorgorganisatie zijn veel medewerkers betrokken bij het verwerken en beschermen van persoonsgegevens. Zo leggen zorgprofessionals gegevens vast in elektronische patiëntendossiers (EPD’s) en elektronische cliëntendossiers (ECD’s). ICT zorgt daarbij voor het beheer van systemen en toegangsrechten en draagt op die manier bij aan een veilige verwerking van persoonsgegevens.
De kwaliteitsafdeling richt zich op het bewaken en verbeteren van processen, terwijl de informatiebeveiligingsfunctionaris aandacht besteedt aan de digitale veiligheid. Op deze manier levert iedere afdeling vanuit de eigen verantwoordelijkheid een bijdrage aan de bescherming van persoonsgegevens.
Al deze werkzaamheden hebben raakvlakken met privacy en gegevensbescherming.
De FG beoordeelt vanuit een onafhankelijke positie of de organisatie zorgvuldig met persoonsgegevens omgaat en voldoet aan de AVG. Daarvoor moet de FG voldoende zicht hebben op relevante ontwikkelingen, risico’s en maatregelen.
Een duidelijke positionering zorgt ervoor dat de FG tijdig wordt betrokken, rechtstreeks toegang heeft tot het bestuur en voldoende informatie ontvangt om de toezichthoudende functie goed uit te voeren.
De FG houdt onafhankelijk toezicht op de AVG
De AVG bepaalt dat de FG onafhankelijk moet kunnen functioneren. De FG informeert en adviseert de organisatie, houdt toezicht op de naleving van de privacywetgeving en werkt samen met de Autoriteit Persoonsgegevens (AP).
De verantwoordelijkheid voor het naleven van de AVG ligt bij de zorgorganisatie zelf. Het bestuur moet zorgen voor passend privacybeleid, voldoende beveiligingsmaatregelen en een zorgvuldige uitvoering van de wettelijke verplichtingen.
De FG beoordeelt hoe de organisatie deze verantwoordelijkheden invult.
Denk bijvoorbeeld aan een zorgorganisatie die nieuwe software voor cliëntregistratie wil invoeren. De FG kan adviseren over de privacyrisico’s, de noodzaak van een DPIA en de afspraken met de leverancier. De verantwoordelijke medewerkers en het management zorgen vervolgens voor de beoordeling, besluitvorming en uitvoering. Zo blijft duidelijk wie verantwoordelijk is voor de uitvoering en wie onafhankelijk toezicht houdt.
De FG moet rechtstreeks toegang hebben tot het bestuur
De organisatorische positie van de FG is belangrijk voor effectief toezicht.
Volgens artikel 38 van de AVG moet de FG rechtstreeks verslag kunnen uitbrengen aan het hoogste leidinggevende niveau van de organisatie. Daarnaast moet de FG voldoende middelen, informatie en ondersteuning krijgen om de werkzaamheden goed uit te voeren.
Binnen een zorgorganisatie betekent dit dat de FG belangrijke privacyrisico’s rechtstreeks met het bestuur moet kunnen bespreken.
Dat kan bijvoorbeeld nodig zijn wanneer:
- Medewerkers structureel toegang hebben tot meer patiëntgegevens dan noodzakelijk.
- Een zorgorganisatie onvoldoende inzicht heeft in de beveiliging van cliëntgegevens.
- Een leverancier persoonsgegevens verwerkt zonder passende contractuele afspraken.
- Een DPIA belangrijke risico’s laat zien waarvoor nog onvoldoende maatregelen zijn getroffen.
- Eerdere adviezen over gegevensbescherming onvoldoende worden opgevolgd.
Het bestuur moet deze signalen kunnen beoordelen en waar nodig maatregelen nemen.
Het is verstandig om vooraf afspraken te maken over de rapportage van de FG. Denk aan periodieke gesprekken met het bestuur, een jaarlijks FG-verslag en een procedure voor het melden van ernstige privacyrisico’s.
De FG en NEN 7510: privacy en informatiebeveiliging in samenhang
Informatiebeveiliging speelt een belangrijke rol bij de bescherming van patiënt- en cliëntgegevens.
De NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg. De norm beschrijft eisen voor het opzetten, onderhouden en verbeteren van een managementsysteem voor informatiebeveiliging.
Voor zorgorganisaties is het belangrijk om informatiebeveiliging structureel te organiseren. Denk aan toegangsbeveiliging, risicobeoordelingen, leveranciersbeheer, incidentmanagement en het beschermen van medische informatie. De AVG en NEN 7510 raken elkaar op verschillende onderdelen.
Artikel 32 van de AVG verplicht organisaties om passende technische en organisatorische beveiligingsmaatregelen te treffen. De NEN 7510 helpt zorgorganisaties om informatiebeveiliging gestructureerd vorm te geven.
Welke rol heeft de FG bij NEN 7510?
De FG kan vanuit de AVG toezicht houden op de bescherming van persoonsgegevens en beoordelen of de organisatie voldoende aandacht besteedt aan de beveiligingsrisico’s.
Bijvoorbeeld door te onderzoeken of:
- Toegangsrechten tot patiënt- en cliëntdossiers passend zijn ingericht.
- Medewerkers uitsluitend toegang hebben tot gegevens die zij voor hun werkzaamheden nodig hebben.
- Beveiligingsincidenten en mogelijke datalekken zorgvuldig worden beoordeeld en geregistreerd.
- De organisatie voldoende inzicht heeft in de beveiligingsmaatregelen van leveranciers.
- Privacyrisico’s worden meegenomen in informatiebeveiligingsbeleid en risicobeoordelingen.
De FG hoeft hiervoor geen technisch beveiligingsspecialist te zijn. Een goede samenwerking met de CISO, informatiebeveiligingsfunctionaris, ICT en kwaliteitsafdeling is wel belangrijk.
De FG beoordeelt de gevolgen voor de bescherming van persoonsgegevens. De verantwoordelijke functionarissen zorgen voor de uitvoering en het beheer van de beveiligingsmaatregelen.
NIS2 en cybersecurity: wat betekent dit voor de FG in de zorg?
De Europese NIS2-richtlijn stelt aanvullende eisen aan de cybersecurity van organisaties die onder de richtlijn vallen. De richtlijn is gericht op het versterken van de digitale weerbaarheid van essentiële en belangrijke organisaties, waaronder bepaalde zorgaanbieders.
In Nederland worden deze verplichtingen uitgewerkt in de Cyberbeveiligingswet. Welke verplichtingen gelden, hangt onder meer af van het type organisatie, de omvang en eventuele specifieke aanwijzingen of uitzonderingen.
Voor zorgorganisaties die onder de regelgeving vallen, krijgen onderwerpen zoals risicobeheersing, beveiligingsincidenten, bedrijfscontinuïteit, leveranciersrisico’s en bestuurlijke verantwoordelijkheid extra aandacht.
De FG heeft hierbij een aanvullende rol vanuit de AVG
Cybersecurityincidenten kunnen gevolgen hebben voor de bescherming van persoonsgegevens. Denk aan ransomware waardoor patiëntendossiers tijdelijk niet beschikbaar zijn, onbevoegde toegang tot cliëntgegevens of een beveiligingsincident bij een externe ICT-leverancier.
Bij dergelijke situaties komen verschillende verantwoordelijkheden samen.
De CISO of informatiebeveiligingsfunctionaris richt zich op de beveiligingsrisico’s en de maatregelen om deze te beheersen. Het bestuur is verantwoordelijk voor de organisatie en de naleving van de toepasselijke verplichtingen. De FG adviseert over de gevolgen voor persoonsgegevens en houdt toezicht op de naleving van de AVG.
Een cybersecurityincident kan daarnaast een datalek zijn waarvoor een meldplicht onder de AVG geldt. Afhankelijk van de toepasselijke cybersecuritywetgeving kunnen ook andere meldverplichtingen bestaan.
Het is daarom belangrijk dat zorgorganisaties duidelijke afspraken maken over de samenwerking tussen de FG, CISO, ICT, juridische zaken en het bestuur.
Betrek de FG tijdig bij nieuwe systemen en digitale zorg
Zorgorganisaties maken steeds meer gebruik van digitale toepassingen. Denk aan elektronische patiëntendossiers, digitale cliëntportalen, beeldzorg, monitoring op afstand en toepassingen die zorgprofessionals ondersteunen bij hun werkzaamheden.
Ook AI krijgt een steeds grotere rol binnen de zorg. Bij de invoering van nieuwe technologie is het belangrijk om vroegtijdig te beoordelen welke persoonsgegevens worden verwerkt en welke risico’s daarmee samenhangen. De FG moet tijdig worden betrokken bij ontwikkelingen die gevolgen hebben voor de bescherming van persoonsgegevens.
Een voorbeeld is een zorgorganisatie die een AI-toepassing wil gebruiken om gesprekken met patiënten samen te vatten en automatisch conceptverslagen op te stellen.
Daarbij spelen verschillende vragen. Welke gegevens ontvangt de leverancier? Worden de gegevens gebruikt voor het trainen van AI-modellen? Waar vindt de verwerking plaats? Welke beveiligingsmaatregelen zijn getroffen? Is een DPIA verplicht? En welke aanvullende eisen kunnen vanuit de AI-verordening gelden?
De FG kan adviseren over deze privacyvraagstukken en toezicht houden op de manier waarop de organisatie de risico’s beoordeelt en beheerst. Door de FG vroegtijdig te betrekken, kan de zorgorganisatie privacy en gegevensbescherming meenemen bij de ontwikkeling en invoering van nieuwe toepassingen.
De samenwerking tussen FG, Privacy Officer en CISO
Binnen grotere zorgorganisaties zijn vaak verschillende professionals betrokken bij privacy en informatiebeveiliging. Daarbij heeft iedere professional eigen taken en verantwoordelijkheden.
Zo ondersteunt de Privacy Officer de organisatie bij het uitvoeren van DPIA’s, het beoordelen van verwerkersovereenkomsten, het bijhouden van het verwerkingsregister en het ontwikkelen van privacybeleid. De CISO of informatiebeveiligingsfunctionaris houdt zich op zijn beurt bezig met het informatiebeveiligingsbeleid, het beheersen van beveiligingsrisico’s en het versterken van de digitale weerbaarheid van de organisatie.
De Functionaris Gegevensbescherming (FG) vervult binnen deze samenwerking een onafhankelijke rol. Vanuit deze positie adviseert de FG over gegevensbescherming en houdt toezicht op de naleving van de AVG. Hierbij beoordeelt de FG onder meer of de organisatie haar verantwoordelijkheden op het gebied van privacy voldoende invult.
Een duidelijke taakverdeling en goede onderlinge afstemming zijn daarom belangrijk. Hierdoor weten professionals wanneer zij elkaar moeten betrekken en kunnen privacy- en beveiligingsvraagstukken zorgvuldig worden behandeld. Bovendien draagt deze samenwerking bij aan een effectieve bescherming van patiënt- en cliëntgegevens.
Praktijkvoorbeeld
Een zorgorganisatie wil een nieuw elektronisch cliëntendossier invoeren. De projectleider is verantwoordelijk voor de invoering en stemt de werkzaamheden af met de betrokken professionals. Daarbij beoordelen ICT en informatiebeveiliging de technische beveiliging en de aansluiting op de NEN 7510. De Privacy Officer ondersteunt vervolgens bij het beoordelen van de verwerkersovereenkomst en het uitvoeren van een DPIA, wanneer deze verplicht is.
Ook wordt de Functionaris Gegevensbescherming (FG) tijdig betrokken om te adviseren over de DPIA en de bijbehorende privacyrisico’s. Vanuit de onafhankelijke positie houdt de FG toezicht op de naleving van de AVG. Het management en bestuur nemen vervolgens de noodzakelijke besluiten en zorgen ervoor dat de verantwoordelijke medewerkers passende maatregelen uitvoeren.
Door deze samenwerking zijn de verantwoordelijkheden duidelijk verdeeld en worden privacy en informatiebeveiliging vanaf het begin meegenomen bij de invoering van het nieuwe cliëntendossier.
Voorkom belangenconflicten bij de FG
De onafhankelijkheid van de FG vraagt om een zorgvuldige verdeling van taken.
Een FG mag andere werkzaamheden uitvoeren, zolang deze geen belangenconflict veroorzaken. Dat betekent dat de FG geen functie mag vervullen waarin deze zelf de doeleinden en middelen van persoonsgegevensverwerkingen bepaalt waarop vanuit de FG-functie toezicht moet worden gehouden.
Binnen zorgorganisaties vraagt dit om aandacht wanneer de FG-functie wordt gecombineerd met bijvoorbeeld managementtaken, kwaliteitsmanagement, ICT-verantwoordelijkheden of privacywerkzaamheden. De feitelijke werkzaamheden zijn daarbij bepalend.
Wie beslist over de inrichting van gegevensverwerkingen? Welke beveiligingsmaatregelen moet je regelen? Wie stelt beleid vast en wie controleert vervolgens of de organisatie aan de AVG voldoet?
Door deze verantwoordelijkheden goed vast te leggen, beschermt de organisatie de onafhankelijke positie van de FG.
Voldoende tijd en middelen voor de FG
De hoeveelheid werkzaamheden van een FG hangt samen met de omvang, aard en complexiteit van de zorgorganisatie. Zo heeft een ziekenhuis met meerdere locaties, omvangrijke gegevensverwerkingen en complexe ICT-systemen andere toezichtsvraagstukken dan een kleinschalige zorg- of welzijnsorganisatie. Ook kleinere organisaties verwerken regelmatig gevoelige persoonsgegevens en moeten daarom voldoende aandacht besteden aan gegevensbescherming.
Om de functie goed te kunnen uitvoeren, moet de FG beschikken over voldoende tijd, middelen en toegang tot relevante informatie. Hierbij gaat het bijvoorbeeld om het verwerkingsregister, DPIA’s, datalekregistraties, auditrapportages, beleidsdocumenten en informatie over leveranciers.
Daarnaast moet de FG gesprekken kunnen voeren met medewerkers en verantwoordelijken binnen de organisatie. Op die manier krijgt de FG beter inzicht in de dagelijkse praktijk en de manier waarop de organisatie met persoonsgegevens omgaat.
Een periodiek toezichtplan helpt vervolgens om prioriteiten vast te stellen en de beschikbare tijd gericht in te zetten. Daarbij kan de FG rekening houden met de belangrijkste privacyrisico’s, eerdere bevindingen en nieuwe ontwikkelingen binnen de organisatie. Ook de mate waarin de organisatie voldoet aan de AVG speelt hierbij een belangrijke rol. Zo ontstaat een gestructureerde aanpak voor het onafhankelijke toezicht op gegevensbescherming.
Interne of externe FG in de zorg?
Zorgorganisaties kunnen kiezen voor een interne of externe Functionaris Gegevensbescherming.
Een interne FG kent vaak de dagelijkse organisatieprocessen en heeft direct contact met medewerkers. Een externe FG brengt specialistische kennis en ervaring vanuit verschillende organisaties mee en kan vanuit een onafhankelijke positie toezicht houden.
Bij de keuze spelen verschillende factoren een rol, zoals de omvang van de organisatie, de complexiteit van de gegevensverwerkingen, de beschikbare interne deskundigheid en de gewenste continuïteit.
Voor kleinere en middelgrote zorgorganisaties kan externe FG-dienstverlening een passende oplossing zijn. Ook grotere zorgorganisaties kunnen gebruikmaken van een externe FG wanneer behoefte bestaat aan specialistische deskundigheid en structureel onafhankelijk toezicht.
Belangrijk is dat de externe FG voldoende toegang heeft tot informatie, medewerkers en het bestuur. Ook moeten er duidelijke afspraken zijn over de werkzaamheden, bereikbaarheid, rapportage en betrokkenheid bij privacyvraagstukken.
Externe FG-dienstverlening van De Privacy Experts voor zorg en welzijn
Een goed georganiseerde FG-functie draagt bij aan de bescherming van persoonsgegevens en helpt zorgorganisaties om privacyrisico’s tijdig te herkennen.
De Privacy Experts biedt externe FG-dienstverlening aan zorg- en welzijnsorganisaties. Wij ondersteunen organisaties bij het professioneel invullen van de wettelijke FG-functie en beschikken over ervaring met privacyvraagstukken binnen de zorg- en welzijnssector.
Onze FG-dienstverlening wordt aangeboden op abonnementsbasis. Daarbij maken we afspraken over de werkzaamheden, de beschikbare inzet en de samenwerking met het bestuur en de verantwoordelijke medewerkers.
Onze dienstverlening kan onder meer bestaan uit:
- Onafhankelijk toezicht op de naleving van de AVG.
- Advisering over privacyvraagstukken.
- Advisering over DPIA’s en gegevensverwerkingen met verhoogde privacyrisico’s.
- Beoordeling van de wijze waarop de organisatie omgaat met datalekken en privacyincidenten.
- Advisering over de samenwerking tussen privacy en informatiebeveiliging, waaronder raakvlakken met NEN 7510 en NIS2.
- Rapportage van bevindingen en aanbevelingen aan het bestuur.
- Advisering over nieuwe digitale toepassingen, gegevensuitwisseling en AI.
Wij werken samen met bestuurders, Privacy Officers, CISO’s, ICT-professionals en andere betrokken medewerkers. Daarbij staat een heldere rolverdeling centraal, zodat de FG onafhankelijk kan blijven adviseren en toezicht houden.
Onze ervaring binnen zorg en welzijn helpt ons om privacyvraagstukken te beoordelen vanuit de dagelijkse praktijk van zorgorganisaties.
Een goed gepositioneerde FG versterkt gegevensbescherming in de zorg
De bescherming van patiënt- en cliëntgegevens vraagt om duidelijke verantwoordelijkheden, passende beveiligingsmaatregelen en structurele aandacht voor privacy. Hierin vervult de Functionaris Gegevensbescherming (FG) een belangrijke rol. Vanuit zijn onafhankelijke positie adviseert de FG de organisatie, signaleert privacyrisico’s en houdt toezicht op de naleving van de AVG. Op deze manier draagt de FG bij aan een zorgvuldige omgang met persoonsgegevens binnen de zorgorganisatie.
Daarnaast vragen de NEN 7510, NIS2 en nieuwe digitale ontwikkelingen om een goede samenwerking tussen privacy, informatiebeveiliging en het bestuur. Hierdoor wordt het steeds belangrijker om verantwoordelijkheden helder vast te leggen en relevante deskundigen tijdig bij ontwikkelingen te betrekken.
Een zorgorganisatie die de FG vanaf het begin betrekt, voldoende tijd en middelen beschikbaar stelt en zorgt voor een duidelijke taakverdeling, creëert daarmee de voorwaarden voor effectief onafhankelijk toezicht. Zo draagt een goed gepositioneerde FG bij aan een zorgvuldige bescherming van persoonsgegevens en een professionele omgang met privacyrisico’s binnen de organisatie.
Wil je weten wat externe FG-dienstverlening voor jouw zorg- of welzijnsorganisatie kan betekenen?
De Privacy Experts denkt graag mee over een passende invulling van de FG-functie, afgestemd op de omvang, werkzaamheden en privacyrisico’s van jouw organisatie.
Neem contact met ons op om de mogelijkheden van onze FG-dienstverlening te bespreken.
