Is een Functionaris Gegevensbescherming in de zorg wel of niet verplicht?

Sinds 25 mei jongstleden is de nieuwe Privacywet officieel van kracht. Zeker voor organisaties in de zorg zijn er belangrijke veranderingen. Direct is er echter ook weer verwarring over wat er nou écht moet en wat ruis is. Bijvoorbeeld over de vraag of een Functionaris Gegevensbescherming binnen zorgorganisaties nou wel of niet verplicht is. Over deze vraag geven wij graag meer duidelijkheid in dit blog.

Aanstellen Functionaris Gegevensbescherming (FG)

Het Besluit elektronische gegevensverwerking door zorgaanbieders (10 nov. 2017) verplicht zorgverleners om een Functionaris Gegevensbescherming aan te stellen indien zij gebruik maken van een elektronisch uitwisselingssysteem, zoals een HIS, EPD of eHealth applicatie. Dit staat los van de vraag of er meer of minder dan 10.000 patiënten worden behandeld. Aanvullend daarop verplicht de AVG het aanstellen van een FG indien er grootschalig bijzondere persoonsgegevens (waaronder medische dossiers) worden verwerkt of er observatie wordt toegepast. Hieruit blijkt dus dat de meeste zorginstellingen ook al vóór 25 mei een functionaris gegevensbescherming hadden moeten aanstellen.
Deze verplichting geldt dus voor vrijwel alle zorgverleners, ook als u minder dan 10.000 patiënten behandeld maakt u vrijwel zeker gebruik van een elektronisch systeem voor gegevensuitwisseling met andere zorgverleners. Daarnaast werkt u met zeer gevoelige gegevens en wilt u dit uiteraard ook veilig doen.
De FG houdt intern toezicht op de naleving van de AVG en dient altijd te worden aangemeld bij de Autoriteit Persoonsgegevens. De AVG stelt daarnaast ook inhoudelijke eisen aan de Functionaris Gegevensbescherming. De belangrijkste zijn:
• Er mag geen sprake zijn van belangenverstrengeling tussen taken als FG en eventuele reguliere taken. Hierdoor is een zorgverlener (huisarts, psycholoog), praktijkmanager of assistent voor deze functie dan ook niet geschikt. De FG mag in geen geval ook de verantwoordelijke zijn voor de gegevensverwerking (hoofd ICT of een lid van de directie).
• De FG dient onafhankelijk zijn/haar rol te kunnen vervullen.
• De FG moet kennis hebben van nationale en Europese privacywetgeving, van IT en informatiebeveiliging (in het geval van de zorg b.v. de NEN7510).
• De FG moet beschikken over vaardigheden om binnen de organisatie een cultuur van gegevensbescherming te ontwikkelen.

PrivacyHelder biedt u de mogelijkheid om een externe FG aan te stellen. Zo hoeft u geen eigen personeel op te leiden en garandeert u dat de FG onafhankelijk zijn werk doet. Klik hier voor meer informatie over deze dienstverlening.