Een huisartsenpraktijk in Breda stapt over op een nieuw agendasysteem. Een fysiotherapeut in Tilburg laat patiënten voortaan online een intakeformulier invullen. Beide keuzes zijn handig, maar beide raken aan dezelfde vraag: waar staan de gegevens, wie kan erbij en wat is er afgesproken met de leverancier?
Gezondheidsgegevens zijn onder de AVG bijzondere persoonsgegevens. Daarom zoeken veel zorgondernemers naar software die helpt bij naleving. In dit artikel leest u wat software wel en niet voor u kan doen.
Welke software helpt bij voldoen aan de AVG in de zorg?
Geen enkel softwarepakket maakt een zorgverlener automatisch AVG-proof. Software ondersteunt wel: een goed elektronisch patiëntendossier met toegangsbeheer en logging, beveiligde communicatie, een register van verwerkingsactiviteiten en betrouwbare back-ups. De organisatie blijft zelf verantwoordelijk voor beleid, bewustzijn en afspraken met leveranciers.
Dat verschil is belangrijk. Een leverancier die “AVG-compliant” op de website zet, neemt uw verantwoordelijkheid als verwerkingsverantwoordelijke niet over. U moet kunnen aantonen dat u passende maatregelen heeft genomen, en software is daar één onderdeel van.
Welke soorten software heeft een zorgpraktijk nodig?
Een zorgpraktijk heeft vooral software nodig die gegevens afschermt, toegang vastlegt en veilig communiceert. Denk aan een elektronisch dossier, een beveiligde berichtendienst, wachtwoord- en toegangsbeheer en een plek om uw verwerkingen te documenteren. Welke combinatie past, hangt af van de grootte van uw praktijk.
De belangrijkste categorieën op een rij:
- Elektronisch patiëntendossier (EPD/HIS): met rolgebaseerde toegang, zodat een baliemedewerker niet bij alles kan wat een behandelaar ziet.
- Logging: een overzicht van wie wanneer een dossier heeft ingezien. Dit hoort bij de norm NEN 7513.
- Beveiligde communicatie: versleutelde e-mail of berichtendiensten voor contact met patiënten en collega-zorgverleners, in plaats van gewone e-mail met bijlagen.
- Toegangsbeheer: twee-staps-verificatie en een wachtwoordmanager voor alle systemen met patiëntgegevens.
- Register van verwerkingsactiviteiten: een overzicht van welke gegevens u waarom verwerkt, hoe lang u ze bewaart en met wie u ze deelt.
- Back-up en herstel: zodat een storing of ransomware-aanval geen dossiers kost.
Waar let u op bij een softwareleverancier in de zorg?
Controleer bij elke leverancier die patiëntgegevens verwerkt eerst of er een verwerkersovereenkomst is, waar de gegevens worden opgeslagen en welke beveiligingsmaatregelen gelden. Vraag ook hoe datalekken worden gemeld en wat er met uw gegevens gebeurt als u het contract beëindigt.
Vraag minimaal naar deze punten:
- Verwerkersovereenkomst: de AVG verplicht u deze af te sluiten met elke partij die namens u persoonsgegevens verwerkt.
- Opslaglocatie: bij voorkeur binnen de EU, met duidelijkheid over onderaannemers.
- Certificeringen: bijvoorbeeld NEN 7510 of ISO 27001, liefst met een recent certificaat of rapport.
- Datalekken: een datalek met risico voor betrokkenen moet u binnen 72 uur melden bij de Autoriteit Persoonsgegevens. Uw leverancier moet u dus snel informeren.
- Exit: hoe krijgt u uw gegevens terug en wordt alles aantoonbaar verwijderd?
Wat is de rol van NEN 7510 bij AVG in de zorg?
NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg. De AVG schrijft deze norm niet letterlijk voor, maar zorgverleners gebruiken hem veel om aan te tonen dat hun beveiliging passend is. Veel zorgverzekeraars en opdrachtgevers vragen er ook om.
De norm hoort bij een familie: NEN 7512 gaat over vertrouwen bij gegevensuitwisseling, NEN 7513 over het vastleggen van toegang tot dossiers. Een leverancier met NEN 7510-certificering heeft zijn beveiliging laten toetsen. Dat vervangt uw eigen beleid niet, maar het maakt uw leverancierskeuze beter te onderbouwen.
Wat betekent dit voor uw website, contactformulier en telefoon?
Ook buiten het dossier komen gezondheidsgegevens binnen: via een contactformulier, een afspraakmodule, WhatsApp of de telefoon. Zorg dat deze kanalen alleen verzamelen wat nodig is, versleuteld verlopen en vallen onder een verwerkersovereenkomst met de aanbieder.
Voor een website betekent dat: een formulier zonder medische details waar het niet hoeft, een heldere privacyverklaring en cookies pas na toestemming. Bij een AI-telefoniste zoals Emma, die telefoon en WhatsApp beantwoordt, geldt hetzelfde. Gebruik haar voor praktische zaken als openingstijden, afspraakverzoeken en terugbelnummers, en laat inhoudelijke medische vragen altijd doorverwijzen naar uw team. Leg vooraf vast welke gegevens worden bewaard en waar.
Wat regelt software niet voor u?
Software regelt niet uw organisatie. Een verwerkingsregister, een protocol voor datalekken, scholing van medewerkers en een gegevensbeschermingseffectbeoordeling (DPIA) bij risicovolle verwerkingen blijven eigen werk. Veel zorgverleners moeten bovendien een functionaris gegevensbescherming aanwijzen.
De meeste fouten ontstaan niet door ontbrekende software, maar door gewoonte: een dossier dat te breed wordt gedeeld, een bijlage die per gewone e-mail verdwijnt of een oud account van iemand die al weg is. Zet daarom naast uw software ook vaste afspraken en een jaarlijkse controle op.
Veelgestelde vragen
Is er een softwarepakket dat de AVG voor mij regelt? Nee. Software helpt bij beveiliging, toegangsbeheer en documentatie, maar de verantwoordelijkheid blijft bij u als zorgverlener. U moet zelf beleid, afspraken en aantoonbare maatregelen op orde hebben.
Heb ik altijd een verwerkersovereenkomst nodig? Ja, zodra een externe partij namens u persoonsgegevens verwerkt, bijvoorbeeld uw dossiersysteem, hostingpartij of telefoonoplossing. De AVG verplicht u dat schriftelijk vast te leggen.
Moet mijn software NEN 7510-gecertificeerd zijn? De AVG eist dat niet letterlijk, maar het is in de zorg een veelgebruikte manier om passende beveiliging aan te tonen. Vraag bij uw leverancier naar het certificaat en de reikwijdte ervan.
Wilt u weten wat een website en AI-telefoniste voor uw praktijk kunnen betekenen?
Aanloop AI bouwt websites en Emma, de AI-telefoniste voor telefoon en WhatsApp, voor het Nederlandse MKB. Plan een vrijblijvend gesprek via aanloopai.nl, dan bespreken we samen wat past bij uw praktijk en welke privacyafspraken daarbij horen.