STAP 6 - Informeer de betrokkenen en weet wat hun rechten zijn

De GDPR kent daarnaast ook verschillende rechten toe aan de personen wiens gegevens worden verwerkt. In deze stap geven we aan welke rechten de betrokkene heeft en hoe u daarmee omgaat. De GDPR bepaalt geen specifieke procedure voor inzage in het patiëntendossier. U doet er dan ook best aan om wat betreft het patiëntendossier de regeling te volgen die voorzien is in de Wet Patiëntenrechten. Waar nodig wordt deze regeling hieronder besproken.

1. Hoe geeft u die informatie?
2. Welke rechten heeft de betrokkene?
3. Hoe gaat u om met de rechten van de betrokkenen?
4. Hoe wordt inzage gegeven in de gegevens?
5. Hoe omgaan met een verzoek tot wissen?
6. Wissen van gegevens in back-ups

1. Hoe geeft u die informatie?

Hoe u die informatie voorziet, bepaalt u in principe zelf. De GDPR stelt enkel dat die informatie beknopt, transparant, eenvoudig, duidelijk en gemakkelijk toegankelijk moet zijn. Als u de informatie verstrekt aan bijzondere categorieën van personen ( bejaarden, kinderen, …) moet u daar extra op letten.

We geven u alvast enkele richtlijnen mee:

• De informatie moet in principe schriftelijk worden gegeven
  • Worden de gegevens elektronisch verkregen ( bv. via de website), dan is het aangewezen de informatie via datzelfde medium te geven.
    Bijvoorbeeld: als u de gegevens verkrijgt via een online registratieformulier, dan plaats u de clausule op dat formulier
  • Worden de gegevens verkregen via een papieren formulier, dan is het aangewezen de informatie te verstrekken via een clausule op dat papier.
• In bepaalde gevallen kan de informatie ook mondeling worden meegegeven:
  • Volgens de GDPR mag dit echter alleen als de betrokkene hierom verzoekt én u de identiteit van de betrokkene kan bewijzen ( het volstaat dan uiteraard niet dat de betrokkene gewoon mondeling zegt dat hij is wie hij zegt te zijn).
  • Informeer uw medewerkers ( bijvoorbeeld baliepersoneel) over welke informatie ze in dat geval minstens moeten meegeven.
  • Hou er rekening mee dat mondelinge informatie geen sporen nalaat, waardoor het achteraf moeilijker te bewijzen is dat u de informatie heeft gegeven.
• Collectieve informatieverstrekking
  • In principe moet informatie aan elke betrokkene individueel worden gegeven. Dat neemt niet weg dat de informatie ook collectief kan worden voorzien.
    ​Bijvoorbeeld: u kan het privacybeleid uithangen in uw wachtzaal (zie hiervoor het model privacyverklaring uitgewerkt door het VAS i.s.m. Arcas Law).

terug

2. Welke rechten heeft de betrokkene?

De natuurlijke persoon wiens gegevens worden verwerkt heeft een hele waaier aan rechten met betrekking tot die gegevens. Zo heeft hij steeds het recht om inzage te krijgen in de gegevens die over hem verwerkt worden, die gegevens te laten corrigeren, te laten verwijderen, het gebruik ervan te beperken, … .

Het recht op transparante informatie

De persoon wiens gegevens worden verwerkt, heeft het recht om op een beknopte, duidelijke en gemakkelijk toegankelijke manier geïnformeerd te worden over de gegevens die u over hem verwerkt en de manier waarop u dat doet.

Het recht op inzage

De betrokkene heeft op grond van de GDPR het recht op inzage van zijn gegevens en de manier waarop die worden verwerkt ( bewaartermijn, doeleinden, juridische grondslag, doorgifte aan derde landen, ontvangers, … ).

Hou er rekening mee dat op grond van de Wet Patiëntenrechten, de patiënt steeds het recht heeft om inzage te krijgen in het patiëntendossier volgens de volgende regels:

Er wordt binnen de 15 dagen gevolg gegeven aan het verzoek.
De persoonlijke notities van de zorgverstrekker en gegevens die betrekking hebben op derden, zijn uitgesloten van het recht op inzage.
De patiënt kan zich laten bijstaan of zijn inzagerecht laten uitoefenen dooreen vertrouwenspersoon. Is deze laatste zelf een zorgverstrekker, dan heeft hij ook het recht op inzage in de persoonlijke notities van de behandelende zorgverstrekker.
De patiënt heeft recht op een afschrift van zijn patiëntendossier. Onder de huidige Wet Patiëntenrechten kan u daar een kost voor aanrekenen, onder de GDPR kan dat evenwel niet meer!

Het recht op rectificatie

De betrokkene heeft het recht om onverwijld rechtzetting te krijgen van onjuiste gegevens.

Het recht van bezwaar

In sommige gevallen heeft de betrokkene het recht om vanwege ‘met zijn specifieke situatie verband houdende redenen’ bezwaar te maken tegen het gebruik van zijn gegevens. De zorgverstrekker moet dan de verdere verwerking stoppen, tenzij hij kan aantonen dat gerechtvaardigde gronden die aan de basis liggen het voortzetten van de verwerking zwaarder wegen dan de belangen of rechten van de betrokkene.

Recht op wissing van gegevens

In bepaalde gevallen kan de betrokkene eisen dat u zijn gegevens binnen een redelijke termijn wist:

• De persoonsgegevens zijn niet langer nodig voor de doeleinden waarvoor ze verzameld of verwerkt zijn;
• De betrokkene trekt zijn toestemming in en er is geen andere juridische grondslag voor de verwerking;
• De betrokkene maakt bezwaar tegen de verwerking;
• De gegevens zijn onrechtmatig verwerkt;
• De gegevens moeten gewist worden om te voldoen aan een wettelijke verplichting

 

In geval van gegevens van kinderen die werden verzameld in verband met een dienst die langs elektronische weg op afstand wordt verricht (zoals online dienstverlening, …).

Dit recht is evenwel niet van toepassing voor zover de verwerking nodig is in het kader van algemeen belang (zoals gezondheidszorg). Beroepsbeoefenaars die gebonden zijn aan het beroepsgeheim zullen dit recht dus in de praktijk niet moeten laten gelden. Andere zorgverstrekkers (die gezondheidsgegevens verwerken op grond van toestemming) moeten wel rekening houden met dit recht. 

Recht op beperking van de verwerking

In een aantal gevallen heeft de betrokkene het recht om het verder gebruik van zijn gegevens te beperken. Het gaat vooral om situaties, in afwachting van een beslissing over een ander recht (bijvoorbeeld: de betrokkene vraagt om zijn gegevens te wissen, en tot u dat heeft bevestigd, het gebruik van zijn gegevens te beperken).

Recht op overdraagbaarheid

De betrokkene kan steeds vragen om de gegevens die hij u heeft verstrekt, in een’ gestructureerde, gangbare en machineleesbare vorm’ te verkrijgen en vervolgens die gegevens over te dragen aan een andere partij, wanneer:

• De verwerking gebaseerd is op toestemming of op een overeenkomst, en
• De verwerking gebeurt via geautomatiseerde procédés. 

 

Specifiek voor zorgverstrekkers is het belangrijk dat u dergelijke overdraagbaarheid makkelijk toepasbaar maakt voor de patiënt, zodat die op een eenvoudige manier het patiëntendossier kan overdragen naar een andere zorgverstrekker.

Let wel: het recht op overdraagbaarheid geldt enkel voor gegevens die u van de patiënt zelf heeft verkregen (of die u indirect van de patiënt heeft gekregen via een dienst of apparaat zoals een pacemaker of bloeddrukmeter). Gegevens die u zelf heeft afgeleid op basis van de gegevens die de patiënt u heeft verstrekt (zoals diagnoses, vermoedens of behandelplannen) vallen niet onder dit recht.

terug

3. Hoe gaat u om met de rechten van de betrokkenen?

Antwoord voldoende snel
Wanneer de betrokkene één van de bovenstaande rechten wenst uit te oefenen, moet u hem ook laten weten of u dat verzoek inwilligt. Bovendien moet u dat voldoende snel doen. In beginsel moet op zo’n verzoek binnen de maand worden geantwoord. Wanneer een patiënt inzage vraagt in het patiëntendossier of hiervan een kopie opvraagt, moet u daar op basis van de Wet Patiëntenrechten binnen de 15 dagen gevolg aan geven.

Centraliseer alle vragen
De vragen die verband houden met de verwerking en bescherming van persoonsgegevens, worden bij voorkeur gecentraliseerd bij één enkele dienst of persoon. Dat zorgt niet alleen voor consistentie in uw antwoorden, maar ook voor een zekere ‘know how’ bij die medewerker, zodat hij of zij weet welk recht juist wordt uitgeoefend, en hoe daar best op geantwoord wordt.

Controleer de identiteit van de vraagsteller
Wanneer iemand een verzoek bij u indient, moet u er ook zeker van zijn dat degene die de vraag stelt, wel degelijke degene is die hij beweert te zijn. Is dat niet zo, dan geeft u gegevens door aan iemand die die gegevens niet mag krijgen, en heeft u te maken met een datalek! Zeker als 

zorgverstrekker loopt u dus een groot risico als u niet op voorhand de identiteit van de vraagsteller controleert.

Als een verzoek wordt ingediend op papier, dient er een (recto) kopie van de identiteitskaart te worden bijgevoegd. In de mate dat op de e-ID het adres niet meer voorkomt, kan eraan gedacht worden om aan de betrokkene te vragen om een afdruk van de gegevens die op de e-ID voorkomen (en waar ook altijd het adres op voorkomt), mee te bezorgen.

Wordt het verzoek elektronisch ingediend, moet gezorgd worden voor een manier waarbij kan worden nagegaan of iemand wel de persoon is die hij of zij beweert te zijn. Het is aangewezen om hiervoor contact op te nemen met de IT-afdeling of de IT-partner.

terug

4. Hoe wordt inzage gegeven in de gegevens?

De GDPR bepaalt dat inzage wordt gegeven door aan de betrokkene een kopie te verstrekken van de persoonsgegevens die worden verwerkt. U bepaalt zelf op welke manier u inzage verleent:

• Zo kan u aan de betrokkene een kopie geven van alle documenten waarin gegevens van en over de betrokkene voorkomen (let er dan wel op dat u gegevens over andere personen verwijdert of onleesbaar maakt).
• U  kan bijvoorbeeld ook voor kiezen om een overzicht van de gegevens die over de betrokkene worden verwerkt, te verstrekken, bijvoorbeeld in een template die daartoe wordt uitgewerkt.
• Daarnaast zijn er nog andere alternatieven, zoals het verstrekken van een overzicht met basisgegevens dat wordt aangevuld met een mondelinge toelichting van en bij andere gegevens.
• U kan er bijvoorbeeld ook voor kiezen de betrokkene te vragen een specifiek verzoekformulier in te vullen. Op dit formulier kan gevraagd worden van welke gegevens er specifiek inzage wordt gewenst of welke de redenen van het verzoek zijn.

 

Specifiek ten aanzien van het patiëntendossier bepaalt de Wet Patiëntenrechten dat de patiënt recht heeft op afschrift van het geheel of een gedeelte van het patiëntendossier.

terug

5. Hoe omgaan met een verzoek tot wissen?

Het is niet omdat een betrokkene verzoekt om zijn of haar gegevens te wissen dat deze gegevens ook (onmiddellijk) moeten worden gewist. Het is mogelijk dat u er belang bij heeft om de gegevens nog enige tijd te bewaren. Dat zal zeker het geval zijn als de relatie met de betrokkene is beëindigd, maar de verjarings- of verplichte bewaartermijn nog niet is verstreken. Zoals in Stap 3 al aangehaald, is het dan wel aangewezen dit mee te delen aan de betrokkene (en aan te geven wanneer de gegevens dan wel worden gewist) en die gegevens op een of andere manier te blokkeren of af te schermen. U doet er ook best aan enkel die gegevens verder te bewaren die u echt nodig heeft. Dat moet waarborgen dat de gegevens niet voor andere doeleinden worden bewaard. Op die manier kan er maximaal aan het verzoek van de betrokkene worden tegemoetgekomen.

terug

6. Wissen van gegevens in back-ups

Als een betrokkene vraagt om zijn gegevens te wissen, geldt dat voor alle gegevens, ook voor de gegevens die zijn opgenomen in back-ups. Het wissen van individuele gegevens in back-ups is evenwel een kostelijke aangelegenheid die niet onmiddellijk een toegevoegde waarde heeft.

Daarom wordt voorgesteld om in dat geval niet over te gaan tot wissing, maar om de gegevens op te nemen in een afzonderlijk bestand. Dit bestand wordt dan standaard opgenomen in de procedure die moet worden gevolgd bij het terugplaatsen van een back-up, zodat de gegevens van de personen die hierin voorkomen, uit de back-up worden verwijderd.

terug

terug naar het overzicht