Er zijn veel onderaannemers actief in de zorg. Dit zijn zorgorganisaties of solisten die worden ingeschakeld door een andere zorgaanbieder (de hoofdaannemer), opdat deze zorgaanbieder feitelijk de zorg aan de cliënt kan verlenen. Onderaannemers sluiten zelf geen overeenkomst met de zorgfinancier (bijvoorbeeld een zorgverzekeraar of zorgkantoor) en sluiten evenmin een overeenkomst met de patiënt. Onderaannemers hebben alleen een overeenkomst met de hoofdaannemer. De hoofdaannemer sluit vervolgens de overeenkomsten met de zorgfinanciers en patiënten. In dergelijke onderaannemingsconstructies is het belangrijk diverse aspecten te regelen met het oog op de privacy van patiënten. In dit artikel bespreken wij de aandachtspunten in geval van onderaanneming ten aanzien van het privacyrecht.
Met welke partij heb ik te maken?
In de Algemene verordening gegevensbescherming (“AVG”) wordt een onderscheid gemaakt tussen verwerkingsverantwoordelijke, verwerker en intern beheer. Afhankelijk van de rol die een zorgaanbieder vertolkt, brengt dit ook verschillende aandachtspunten met zich.
De verwerkingsverantwoordelijke bepaalt zelf het doel en de middelen van de verwerking van de persoonsgegevens. De hoofdaannemer is altijd een verwerkingsverantwoordelijke. Als verwerker verwerk je de persoonsgegevens in opdracht van een andere organisatie en is het doel van je werkzaamheden dan ook het verwerken van de persoonsgegevens. In de praktijk zal een zorgverlener vrijwel nooit als verwerker worden aangemerkt. Deze wordt vaak ingeschakeld om zorg te verlenen en niet om gegevens te verwerken. Dat bij de zorgverlening ook gegevens worden verwerkt, is onvermijdelijk, maar is een bijkomstigheid.
Er kan ook sprake zijn van intern beheer. In dat geval heeft de zorgorganisatie de verwerking van persoonsgegevens in intern beheer. Er is dan sprake van een hiërarchische relatie, zoals bijvoorbeeld met een werknemer. Een zzp’er die werkt op basis van een overeenkomst van opdracht zal doorgaans ook onder het eigen beheer vallen.
Afhankelijk van de omstandigheden van het geval is er in de situatie van een onderaannemer sprake van (gezamenlijk of afzonderlijk) verwerkingsverantwoordelijke(n) of intern beheer.
Welke AVG-documenten zijn verplicht?
De AVG schrijft een aantal verplichte documenten voor. Aan de hand van de activiteiten van de zorgaanbieder, kan worden bepaald of een document verplicht is voor die specifieke zorgaanbieder. Doorgaans zijn de documenten verplicht voor de meeste zorgaanbieders, omdat er in de zorg wordt gewerkt met medische gegevens. Dit zijn bijzondere persoonsgegevens in de zin van de AVG, waar extra voorzichtig mee moet worden omgegaan. Dit geldt ook voor onderaannemers, indien je als onderaannemers zelf eindverantwoordelijk bent voor het leveren van zorg. Het gaat om de volgende documenten:
- Privacyverklaring;
- Privacybeleid;
- Verwerkingsregister;
- Verwerkersovereenkomst (voor zover de onderaannemer ook verwerkers inschakelt);
- Datalekregister
In dit artikel gaan wij verder in op de inhoud van deze documenten.
Welke afspraken moeten er worden gemaakt tussen een hoofd- en onderaannemer?
Het is raadzaam om afspraken omtrent bepaalde privacyaspecten vast te leggen. Normaliter worden afspraken tussen een verwerkingsverantwoordelijke en de verwerker in een verwerkersovereenkomst vastgelegd. Echter, in het geval van een hoofd- en onderaannemer zal over het algemeen geen sprake zijn van een verwerker, maar eerder van zelfstandige of gezamenlijke verwerkingsverantwoordelijken. Ook in dat geval is het echter goed om afspraken te maken en deze vast te leggen in (bijvoorbeeld) een samenwerkingsovereenkomst. Indien er sprake is van intern beheer zal er doorgaans geen samenwerkingsovereenkomst worden gesloten, maar zal het gaan om bijvoorbeeld een arbeidsovereenkomst of overeenkomst van opdracht. Ook daarin is het natuurlijk belangrijk afspraken met elkaar te maken over geheimhouding.
- Dossiervoering
Er dienen afspraken worden gemaakt omtrent de dossiervoering. In veel gevallen blijft de hoofdaannemer verantwoordelijk voor het zorgdossier. Werkt de onderaannemer in de medische dossiers van de hoofdaannemer of houd de onderaannemer een eigen (sub)dossier van de patiënten bij? Indien de onderaannemer zelfstandig medische dossiers bijhoudt, komen hier ook andere verplichtingen bij kijken, zoals het in acht nemen van de wettelijke bewaartermijn. Daarnaast dienen dossiers goed beveiligd te zijn en dienen hiervoor voldoende technische en organisatorische maatregelen te worden genomen.
Afhankelijk van het besluit omtrent de dossiervoering zullen ook punt 3 en 5 hieronder al dan niet van belang zijn.
- Geheimhouding
Zorgverleners – en dus ook onderaannemers – zijn gebonden aan het medisch beroepsgeheim. Daarnaast kan het goed zijn om geheimhouding ten aanzien van de samenwerkingsrelatie af te spreken. Het is raadzaam om expliciet in de overeenkomst afspraken op te nemen omtrent geheimhouding en wat er gebeurt als een van de partijen in strijd met de geheimhouding handelt.
- Autorisatiebeleid
Indien er door de onderaannemer in de medische dossiers van de hoofdaannemer wordt gewerkt, dient het autorisatiebeleid goed te worden ingeregeld. De hoofdaannemer blijft meestal verantwoordelijk voor het beheer van de toegangsrechten tot centrale systemen, zoals het EPD. Immers mag niet iedere medewerker zomaar toegang verkrijgen tot de medische dossiers van alle patiënten. Ook is het raadzaam om de logging en de technische beveiliging goed te regelen. Dit laatste kan bijvoorbeeld door tweefactor-authenticatie. Ook de onderaannemer dient passende technische en organisatorische maatregelen te nemen, die in lijn zijn met de normen van de hoofdaannemer.
- Datalek
Een verwerkingsverantwoordelijke is verplicht om een datalek te melden bij de Autoriteit Persoonsgegevens (“AP”). Indien er twee verwerkingsverantwoordelijken zijn, is het goed om afspraken te maken wie – indien er sprake is van een datalek – daarvan melding te doen bij de AP. Daarnaast dient er ook te worden opgenomen dat het datalek bij de andere verwerkingsverantwoordelijke gemeld dient te worden. Dit om te voorkomen dat geen van beide partijen een datalek meldt, en een van beide partijen of zelfs beide, daarvoor kunnen worden beboet.
- Uitvoeren rechten patiënten
Ook dienen er afspraken gemaakt te worden, indien een patiënt zijn/haar rechten wil uitoefenen zoals het recht op inzage of verwijdering. Het moet voor de patiënten, maar ook voor de hoofd- en onderaannemer duidelijk zijn wie het aanspreekpunt voor de patiënten is. Daarnaast is het goed om op te nemen dat de hoofd- en onderaannemer verplicht zijn om binnen een afgesproken termijn mee te werken aan het verzoek van de cliënt, zodat de wettelijke termijnen in acht worden genomen.
Tot slot
Onderaannemers in de zorgsector hebben een belangrijke verantwoordelijkheid op het gebied van privacy. Het is van belang om dit goed vast te leggen in een overeenkomst met de hoofdaannemer. Door de juiste organisatorische en technische maatregelen te treffen, kan een onderaannemer voldoen aan zijn privacyverplichtingen en bijdragen aan goede en veilige zorg.
