Binnen zorgorganisaties lopen regelmatig stagiairs, coassistenten en vrijwilligers rond die ieder op hun eigen manier betrokken zijn bij de zorgverlening aan patiënten. Voor een goede begeleiding en opleiding kan het noodzakelijk zijn dat stagiairs en coassistenten toegang krijgen tot (een deel van) het medisch dossier. Tegelijkertijd is terughoudendheid geboden, omdat medische dossiers gevoelige gezondheidsgegevens bevatten die niet zomaar mogen worden gedeeld. Wanneer mogen stagiairs en coassistenten toegang krijgen tot het medisch dossier en welke voorwaarden gelden daarbij? En hoe zit dit met vrijwilligers, die doorgaans geen toegang hebben tot patiëntgegevens? In dit artikel gaan we in op deze vragen.
Juridisch kader – algemeen
De toegang tot medische dossiers wordt beheerst door zowel de Wet op de geneeskundige behandelingsovereenkomst (“WGBO”) als de Algemene Verordening Gegevensbescherming (“AVG”).
WGBO
Op grond van de WGBO is een hulpverlener verplicht een medisch dossier bij te houden met betrekking tot de behandeling van de patiënt. De gegevens in dit dossier vallen onder het medisch beroepsgeheim, zoals neergelegd in artikel 7:457 WGBO. Dit artikel bepaalt dat de hulpverlener geen inlichtingen over de patiënt en geen inzage in of afschrift van de gegevens uit het dossier aan derden mag verstrekken zonder toestemming van de patiënt, tenzij een wettelijke uitzondering van toepassing is. Een belangrijke uitzondering betreft personen die rechtstreeks betrokken zijn bij de uitvoering van de behandelingsovereenkomst. Aan hen mogen patiëntgegevens worden verstrekt voor zover dit noodzakelijk is voor de uitvoering van hun werkzaamheden.
AVG
Naast de WGBO is de AVG van toepassing op de verwerking van persoonsgegevens die in het medisch dossier zijn opgenomen. Gezondheidsgegevens kwalificeren op grond van artikel 9 AVG als bijzondere categorieën persoonsgegevens. De verwerking daarvan is in beginsel verboden, tenzij aan één van de uitzonderingen van artikel 9 AVG wordt voldaan en tevens een grondslag voor de verwerking op grond van artikel 6 AVG bestaat. Binnen de zorg zal verwerking van gezondheidsgegevens bijvoorbeeld noodzakelijk kunnen zijn voor het verlenen van medische zorg, het beheren van de zorgverlening of het voldoen aan een wettelijke verplichting.
Voor de toegang tot medische dossiers is daarnaast het beginsel van gegevensminimalisatie uit artikel 5, eerste lid, onder c, AVG van belang. Dit beginsel houdt in dat persoonsgegevens toereikend en beperkt moeten zijn tot wat noodzakelijk is voor het doel waarvoor zij worden verwerkt. Dit betekent dat de toegang tot een medisch dossier niet ruimer mag zijn dan noodzakelijk voor de betreffende werkzaamheden en het daarmee samenhangende doel.
Ook verplicht artikel 32 AVG zorgaanbieders om passende technische en organisatorische maatregelen te treffen om persoonsgegevens te beveiligen. Dit omvat onder meer adequate toegangs- en autorisatiemaatregelen voor medische dossiers. Daarnaast moet inzichtelijk kunnen worden gemaakt wie toegang heeft gehad tot patiëntendossiers, bijvoorbeeld door middel van ‘logging’. Op die manier kan worden gecontroleerd of de toegang tot medische gegevens rechtmatig en noodzakelijk is geweest.
Hoe zit dit bij stagiairs, coassistenten en vrijwilligers?
Stagiairs en coassistenten
Voor stagiairs en coassistenten geldt dat toegang tot het medisch dossier onder omstandigheden gerechtvaardigd kan zijn wanneer zij in het kader van hun opleiding daadwerkelijk betrokken zijn bij de behandeling of begeleiding van de patiënt. De WGBO bepaalt dat naast de hulpverlener ook anderen bij de uitvoering van de behandelingsovereenkomst kunnen worden betrokken. Voor zover het noodzakelijk is dat deze personen toegang hebben tot patiëntgegevens om hun werkzaamheden uit te kunnen voeren, kan toegang tot het medisch dossier gerechtvaardigd zijn.
Bij een coassistent kan hiervan bijvoorbeeld sprake zijn wanneer hij of zij deelneemt aan het spreekuur, anamnese afneemt, lichamelijk onderzoek verricht of betrokken is bij de diagnostiek en behandeling van een patiënt. Of denk aan een verpleegkunde-stagiair die betrokken is bij de dagelijkse verzorging en observatie van een patiënt en daarvoor informatie over de voorgeschiedenis, diagnose, medicatie of het actuele behandelplan nodig heeft. In dergelijke situaties kan toegang tot het dossier noodzakelijk zijn voor de uitvoering van deze werkzaamheden.
Een belangrijk uitgangspunt is dat de toegang beperkt blijft tot de informatie die noodzakelijk is voor de werkzaamheden van de stagiair of coassistent. Er moet steeds een verband bestaan tussen de werkzaamheden van de persoon en de behandeling van de betreffende patiënt. In de praktijk kan dit bijvoorbeeld betekenen dat een coassistent die betrokken is bij de behandeling van een patiënt toegang heeft tot de relevante medische voorgeschiedenis, onderzoeksresultaten en het behandelplan, terwijl andere informatie die niet relevant is voor de betreffende behandeling buiten beschouwing moet blijven. Op dezelfde manier kan een stagiair die slechts bij een bepaald onderdeel van de zorg betrokken is, voldoende hebben aan toegang tot de gegevens die voor dat onderdeel noodzakelijk zijn.
Een tweede belangrijke voorwaarde is dat de stagiair of coassistent aan een geheimhoudingsplicht is gebonden. Hoewel stagiairs en coassistenten geen zelfstandige wettelijke geheimhoudingsplicht hebben, geldt voor hen een zogenoemd afgeleid beroepsgeheim wanneer zij in het kader van hun werkzaamheden toegang hebben tot patiëntgegevens of daarvan kennisnemen. Dit houdt in dat zij, ook zonder zelf onder het wettelijke beroepsgeheim te vallen, gehouden zijn tot dezelfde geheimhouding als de zorgverlener onder wiens verantwoordelijkheid zij werkzaam zijn. Dit volgt uit de KNMG-richtlijn Omgaan met medische gegevens. Het kan overigens, ondanks het bestaan van dit afgeleide beroepsgeheim, verstandig zijn om de stagiair of coassistent bij aanvang van de werkzaamheden een afzonderlijke geheimhoudingsverklaring te laten ondertekenen.
Een ander aandachtspunt ziet op de situatie waarin een stagiair of coassistent vanuit zijn of haar opleiding patiëntendossiers wil raadplegen van patiënten bij wie hij of zij niet rechtstreeks betrokken is geweest, bijvoorbeeld omdat een bepaalde casus relevant is voor het onderwijs of omdat de stagiair een medisch probleem wil bestuderen. Ook in die situatie moet worden beoordeeld of de inzage noodzakelijk en rechtmatig is. Het enkele feit dat een dossier interessant of leerzaam is, betekent niet automatisch dat de stagiair of coassistent dit dossier mag inzien.
Vrijwilligers
Voor vrijwilligers ligt dit anders. Hun werkzaamheden zijn in beginsel ondersteunend van aard, waardoor zij doorgaans niet rechtstreeks betrokken zijn bij de uitvoering van de behandelingsovereenkomst. Het gaat bijvoorbeeld om het gezelschap houden van patiënten, het begeleiden van patiënten of het verstrekken van maaltijden. Voor deze werkzaamheden is toegang tot het medisch dossier niet noodzakelijk. Een vrijwilliger heeft daarom in beginsel geen recht op inzage in of toegang tot het medisch dossier. Dit kan anders zijn wanneer de patiënt hiervoor uitdrukkelijk toestemming heeft gegeven.
Het kan echter voorkomen dat een vrijwilliger tijdens het uitvoeren van zijn of haar werkzaamheden bedoeld of onbedoeld medische informatie opvangt, bijvoorbeeld omdat dossiers zichtbaar zijn in ruimtes waar vrijwilligers aanwezig zijn of omdat een vrijwilliger gesprekken hoort over de medische situatie van een patiënt. Ook vrijwilligers zijn in dat geval gebonden aan een afgeleid medisch beroepsgeheim. De informatie die zij in het kader van hun werkzaamheden ontvangen, mogen zij niet met anderen delen. Het is belangrijk dat zorgorganisaties vrijwilligers vooraf informeren over deze (afgeleide) geheimhoudingsplicht. Bij voorkeur worden hierover duidelijke afspraken gemaakt en schriftelijk vastgelegd, bijvoorbeeld in een vrijwilligersprotocol.
Praktische aandachtspunten
Leg beleid en verantwoordelijkheden vast
Zorgaanbieders doen er goed aan om het beleid rondom de toegang tot patiëntendossiers door stagiairs, coassistenten en vrijwilligers duidelijk vast te leggen in beleid en protocollen. Daarbij moet worden bepaald welke personen, op basis van hun functie en werkzaamheden, toegang mogen hebben tot patiëntgegevens. Het uitgangspunt is steeds dat uitsluitend toegang wordt verleend voor zover dit noodzakelijk is voor de uitvoering van de betreffende werkzaamheden.
Maak afspraken over geheimhouding
Voorafgaand aan de toegang tot patiëntgegevens is het belangrijk om met coassistenten en stagiairs duidelijke afspraken te maken over het gebruik en de verwerking van deze gegevens. Het is daarbij aan te raden om hen een geheimhoudingsverklaring te laten ondertekenen. Daarnaast moeten stagiairs, coassistenten en vrijwilligers worden geïnformeerd over hun (afgeleide) geheimhoudingsplicht en over de wijze waarop zij zorgvuldig en vertrouwelijk met patiëntgegevens dienen om te gaan.
Beperk de toegang technisch
De toegang tot patiëntendossiers moet zoveel mogelijk technisch worden beperkt op basis van functie en taak. Een stagiair of coassistent hoeft bijvoorbeeld niet dezelfde autorisaties te hebben als een behandelend arts of verpleegkundige. De autorisaties moeten worden afgestemd op de dossiers en gegevens die voor de betreffende werkzaamheden noodzakelijk zijn. Daarbij is het van belang om de autorisaties regelmatig te evalueren en aan te passen wanneer de werkzaamheden veranderen. De toegang tot patiëntendossiers moet namelijk worden beëindigd zodra de stagiair, coassistent of vrijwilliger stopt met de werkzaamheden waarvoor de toegang is verleend. Dit geldt ook wanneer iemand tussentijds van functie of afdeling verandert en de eerdere toegang niet langer noodzakelijk is.
Controleer de toegang
Het is belangrijk dat toegang tot patiëntendossiers automatisch wordt gelogd en actief wordt gecontroleerd. ‘Logging’ maakt inzichtelijk wie een dossier heeft geraadpleegd en draagt bij aan de controleerbaarheid van de toegang. Het is verstandig om een procedure vast te leggen voor het periodiek controleren van deze logs. Bij opvallende of onrechtmatige raadplegingen, bijvoorbeeld wanneer een stagiair een dossier inziet van een patiënt bij wie hij of zij niet betrokken is, moet nader onderzoek plaatsvinden.
Privacyverklaring
Ook raden wij aan om in de privacyverklaring van zorgorganisaties die werken met coassistenten, stagiairs en/of vrijwilligers, expliciet op te nemen dat medische gegevens, wanneer dit noodzakelijk is voor de uitvoering van hun werkzaamheden, kunnen worden ingezien door coassistenten en stagiairs. Voor vrijwilligers geldt dat medische gegevens uitsluitend met hen mogen worden gedeeld indien de patiënt hiervoor uitdrukkelijk toestemming heeft gegeven, ook dit kan worden opgenomen in de privacyverklaring.
Tot slot
Het is als zorgaanbieder verstandig om na te gaan of de toegang tot patiëntendossiers voor stagiairs, coassistenten en vrijwilligers goed is geregeld. Naast duidelijke afspraken over toegang en geheimhouding, is het belangrijk om autorisaties te beperken, regelmatig te evalueren en tijdig in te trekken. Zo voorkomen zorgaanbieders onrechtmatige toegang tot patiëntgegevens en zorgen zij voor een zorgvuldige omgang met medische gegevens.
