Privacy is een belangrijk onderwerp in de zorg. Patiëntgegevens zijn zeer gevoelig, en het is van wezenlijk belang dat zorgorganisaties zorgvuldig omgaan met deze informatie. Een van de manieren om privacyrisico’s te waarborgen is het uitvoeren van een Data Protection Impact Assessment (DPIA). Maar wanneer is het verplicht om zo’n DPIA uit te voeren? In deze blog bespreken we de situaties waarin zorgorganisaties verplicht zijn een DPIA te doen, en hoe dit helpt om de privacy van patiënten te beschermen. We geven praktische tips en laten zien hoe een DPIA kan bijdragen aan het bouwen van vertrouwen bij patiënten.
Wat houdt een DPIA in?
Een DPIA, ook wel bekend als een gegevensbeschermingseffectbeoordeling, is een proces waarmee de verwerkingsverantwoordelijke – degene die bepaalt waarom en hoe persoonsgegevens worden verwerkt – de privacyrisico’s van die verwerking in kaart brengt. Op basis van deze analyse kunnen vervolgens maatregelen worden genomen om de risico’s te verkleinen of te voorkomen. Het doel is simpel: zorgen dat je zorgvuldig omgaat met persoonsgegevens en voorkomt dat de privacy van betrokkenen in het gedrang komt.
Het is goed om te realiseren dat een DPIA geen standaardprocedure is die altijd hetzelfde verloopt. De invulling hangt sterk af van het type project. Dataverwerkingen voor patiëntendossiers in een ziekenhuis vragen bijvoorbeeld om andere aandachtspunten dan het monitoren van medicijngebruik via een gezondheidsapp. Elk project heeft zijn eigen uitdagingen en risico’s, waardoor een DPIA altijd moet worden afgestemd op de specifieke gegevensverwerking en de mogelijke impact op de betrokkenen.
Wanneer is het uitvoeren van een DPIA in de zorg verplicht?
Volgens de AVG is een zorgorganisatie – als verwerkingsverantwoordelijke – verplicht om een DPIA uit te voeren wanneer een gegevensverwerking waarschijnlijk een hoog risico vormt voor de rechten en vrijheden van betrokkenen. Maar wanneer is er precies sprake van zo’n risico? Daar zijn helaas geen strikte regels voor. Het is aan de organisatie om dit per situatie te beoordelen en in te schatten of de verwerking extra privacyrisico’s met zich meebrengt.
Let op: niet alleen patiënten kunnen als betrokkenen worden beschouwd onder de AVG, maar ook andere personen van wie persoonsgegevens worden verwerkt door de zorgorganisatie. Denk aan: medewerkers, familieleden, vrijwilligers, stagiairs en leveranciers.
Om te bepalen of een verwerkingsactiviteit een hoog risico vormt voor de rechten en vrijheden van betrokkenen, is het belangrijk om de activiteit goed te begrijpen. De zorgorgorganisatie moet weten wie de betrokkenen zijn, welke soorten persoonsgegevens worden verwerkt, wie de belanghebbenden zijn en wat de doelen van de verwerking zijn. Zo kan de organisatie beter inschatten of de verwerking aanzienlijke risico’s voor de betrokkenen met zich meebrengt.
Hulpmiddelen beoordeling DPIA
Hoewel de zorgorganisatie zelf verantwoordelijk is voor de beslissing of een DPIA nodig is, zijn er gelukkig enkele handige hulpmiddelen beschikbaar om deze beoordeling te ondersteunen. Het is in ieder geval verstandig om de volgende guidelines eens te bekijken:
- De lijst van de Autoriteit Persoonsgegevens met verschillende soorten gegevensverwerkingen waarvoor een DPIA verplicht is. Op de website van de AP vind je maar liefst 17 situaties waarin je in elk geval een DPIA moet uitvoeren.
- De 9 criteria voor een DPIA van de Europese privacytoezichthouders. Voldoet de verwerking aan 2 of meer van deze criteria, dan moet er een DPIA worden uitgevoerd. Voor de zorgsector zijn de volgende drie criteria in het bijzonder van belang:
- Gevoelige gegevens, zoals medische informatie, worden verwerkt.
- Het gaat om grootschalige verwerking.
- Het betreft gegevens van kwetsbare personen, zoals mensen met een mentale beperking.
Wie moet de DPIA uitvoeren?
De zorgorganisatie is – als verwerkingsverantwoordelijke – zelf bevoegd om de DPIA uit te voeren, maar kan ook een verwerker of externe partij inschakelen. De beste keuze hangt af van de beschikbare middelen, het kennisniveau binnen de zorgorganisatie en de complexiteit van de verwerking.
Bij het uitvoeren van de DPIA is het ook belangrijk om de Functionaris Gegevensbescherming (FG) te raadplegen. De zorgorganisatie moet het advies van de FG opnemen in het rapport en uitleggen hoe ze hiermee om zijn gegaan. De FG voert de DPIA niet zelf uit, maar controleert wel of de conclusies correct zijn. Als de organisatie of verwerker besluit om de adviezen van de FG niet op te volgen, moeten ze dat duidelijk toelichten in de DPIA.
Privacy officer voor in de zorg nodig?
Heb je als zorgorganisatie behoefte aan ondersteuning van een (interim) privacy officer? Neem dan gerust contact met ons op. Een privacy officer kan je helpen bij het uitvoeren van een DPIA en ervoor zorgen dat je de privacy van patiënten waarborgt en voldoet aan het privacyrecht. Samen zorgen we ervoor dat persoonsgegevens zorgvuldig worden behandeld en risico’s goed in kaart worden gebracht.
