AVG in de zorg
De toepassing van de Algemene verordening gegevensbescherming op zorgorganisaties, met aanvullende eisen aan informatiebeveiliging en logging.
Governance Woordenboek · Normenkaders, wetten en codes · juridische stand augustus 2026
De AVG geldt voor elke organisatie, maar in de zorg gaat het om bijzondere persoonsgegevens: gezondheidsgegevens genieten extra bescherming en mogen slechts op een beperkt aantal grondslagen worden verwerkt. Daar bovenop komt het medisch beroepsgeheim.
Voor zorgaanbieders is het Besluit elektronische gegevensverwerking door zorgaanbieders bepalend. Art. 3 verplicht de zorgaanbieder en de beheerder van een uitwisselingssysteem tot een veilig systeem overeenkomstig NEN 7510 en NEN 7512; art. 5 stelt eisen aan de logging op grond van NEN 7513. Anders dan bij de algemene AVG-normen zijn dit concrete, toetsbare normen — en zij zijn dus ook eenvoudig te handhaven.
De organisatie moet een functionaris voor gegevensbescherming aanstellen; voor zorgaanbieders die op grote schaal bijzondere persoonsgegevens verwerken is dat verplicht. Die functionaris heeft een onafhankelijke positie en rapporteert aan het hoogste leidinggevende niveau — wat in de praktijk betekent dat de raad van toezicht hem hoort te kennen.
Zie voor de meldplicht bij incidenten datalek.
Ook wel: AVG.
Op wie is dit van toepassing?
Rechtsvormen
- Van toepassing op elke organisatie die persoonsgegevens verwerkt, ongeacht rechtsvorm
- Gezondheidsgegevens zijn bijzondere persoonsgegevens met een beperkt aantal verwerkingsgrondslagen
- Zorgaanbieders zijn daarnaast gebonden aan NEN 7510, 7512 en 7513
- Een functionaris voor gegevensbescherming is verplicht bij grootschalige verwerking van gezondheidsgegevens
Sectoren
Deels sectorspecifiek. De AVG geldt breed, maar voor zorgaanbieders komt het Besluit elektronische gegevensverwerking door zorgaanbieders erbij: art. 3 verplicht tot een veilig systeem conform NEN 7510 en 7512, art. 5 stelt eisen aan logging conform NEN 7513. Daarnaast geldt het medisch beroepsgeheim.
Wat dit betekent in de praktijk
Vraag naar het aantal medewerkers dat toegang heeft tot dossiers van cliënten die zij niet behandelen. Dat getal is in vrijwel elke zorgorganisatie hoger dan het bestuur denkt, en het is het eerste dat een toezichthouder na een incident opvraagt.
Deze toelichting is algemene informatie en geen juridisch advies in een concreet geval. Voor een oordeel over uw eigen statuten, reglementen en besluitvorming is dossierkennis nodig.
Verwante begrippen
In het woordenboek
- AI-governance
- Cybersecurity-governance en NIS2
- Datalek
- Interne beheersing
- NEN 7510
- Risicomanagement
- Integriteit en gedragscode
- IGJ
Verder lezen op deze site
Bronnen
- Algemene verordening gegevensbescherming (Verordening (EU) 2016/679) Art. 9 (bijzondere persoonsgegevens) en art. 37 e.v. (functionaris gegevensbescherming).
- Besluit elektronische gegevensverwerking door zorgaanbieders Art. 3 en 5 (NEN 7510, 7512 en 7513).
Boeken zijn vermeld volgens de APA-richtlijn; wetteksten verwijzen naar de geconsolideerde tekst op wetten.overheid.nl. Terug naar de index van het Governance Woordenboek.
Twijfelt u of dit bij u op orde is?
De governance-scan toetst statuten, reglementen en besluitvorming van uw organisatie aan wet, code en praktijk. U krijgt geen advies in algemene termen maar bevindingen op uw eigen documenten.