Autoriteit Persoonsgegevens legt grootschalige gegevensverwerking uit

De Autoriteit Persoonsgegevens (AP) heeft onlangs verduidelijkt voor zorgaanbieders wanneer er nu precies sprake is van grootschalige gegevensverwerking.

Bij zo’n verwerking is een eis van de nieuwe privacywet, de AVG, dat een Functionaris Gegevensbescherming (FG) nodig is en dat er in bepaalde gevallen een Data Protection Impact Assessment (DPIA) moet worden gedaan. 

Grootschalig als.....

De AP vindt een verwerking bij huisartsenpraktijken en instellingen voor medisch-specialistische zorg (ziekenhuizen uitgesloten)  grootschalig bij meer dan 10.000 patiënten. Bijkomende eis is dat de gegeven van deze 10.000 of meer patiënten in één informatiesysteem staan. De verwerking van persoonsgegevens van ziekenhuizen, apotheken, huisartsenposten en zorggroepen is altijd grootschalig.
Naast de hierboven genoemde zorgaanbieders zijn er natuurlijk nog andere soorten zorgaanbieders. Deze moeten aan de hand van vier factoren (aantal patiënten over wie gegevens worden verwerkt, hoeveelheid persoonsgegevens die worden verwerkt, duur van de gegevensverwerking en de geografische reikwijdte van de verwerking) zelf beoordelen of zij grootschalig gegevens verwerken en beargumenteren of zij verplicht zijn een FG aan te stellen en onder omstandigheden een DPIA te doen. 

Gegevens verwerking op grote schaal

De AVG-eisen ten aanzien van FG en DPIA zijn verplicht voor organisaties die op grote schaal bijzondere persoonsgegevens verwerken en dit als kerntaak hebben. In de zorg hebben organisaties die kerntaak vrijwel altijd omdat zij medische gegevens verwerken. De verduidelijking vanuit de AP is gedaan om de grootschaligheid te kwantificeren. Op korte termijn zal de AP ook voor andere zorgaanbieders nadere invulling aan de regels uit de AVG te geven.   

Het aanstellen van een FG wordt door de AP ook voor organisaties die niet grootschalig gegevens verwerken als nuttig bestempeld. Een FG kan helpen de organisatie AVG-proof in te richten. Het ‘delen’ van een FG met andere zorgaanbieders of externen behoort tot de mogelijkheden. Inhuur voor een beperkt aantal uren ook. Wij kunnen je daarmee helpen. Wil je daar meer over weten dan kun je onze ICT-adviseur mailen op patrick.van.lonkhuijzen@intrakoop.nl 

Bron: Nieuwsbericht Autoriteit Persoonsgegevens 31 mei 2018