Een verwerkersovereenkomst in de zorgsector is een juridisch verplicht contract tussen een zorginstelling (verwerkingsverantwoordelijke) en een externe partij die namens haar persoonsgegevens verwerkt (verwerker). Dit contract regelt hoe gevoelige patiëntgegevens worden beschermd en verwerkt volgens de AVG en specifieke zorgwetgeving.
Voor zorginstellingen is dit document essentieel omdat zij werken met bijzondere persoonsgegevens, waaronder medische dossiers, behandelgegevens en BSN-nummers. De verwerkersovereenkomst zorgt ervoor dat externe partijen, zoals softwareleveranciers of administratiekantoren, dezelfde strenge privacynormen hanteren als de zorginstelling zelf. Hieronder beantwoorden we de belangrijkste vragen over verwerkersovereenkomsten in de zorg.
Wanneer is een verwerkersovereenkomst verplicht in de zorg?
Een verwerkersovereenkomst is verplicht zodra een zorginstelling persoonsgegevens laat verwerken door een externe partij. Dit geldt voor elke situatie waarin een derde partij toegang krijgt tot patiëntgegevens, ongeacht de omvang of duur van de samenwerking. De AVG schrijft dit dwingend voor, zonder uitzonderingen voor de zorgsector.
In de praktijk betekent dit dat vrijwel elke zorgorganisatie meerdere verwerkersovereenkomsten nodig heeft. Denk aan situaties zoals het uitbesteden van salarisadministratie waarbij personeelsgegevens worden gedeeld, het gebruik van een elektronisch patiëntendossier (EPD) via een externe leverancier, of het inschakelen van een ICT-beheerder die toegang heeft tot systemen met patiëntinformatie.
Ook minder voor de hand liggende situaties vallen hieronder:
- Cloudopslag van medische dossiers
- Externe facturatiediensten die declaratiegegevens verwerken
- Onderzoeksbureaus die geanonimiseerde data analyseren
- Schoonmaakbedrijven met toegang tot afgesloten ruimtes waar patiëntgegevens liggen
Het criterium is helder: zodra een externe partij de mogelijkheid heeft om persoonsgegevens in te zien of te verwerken, is een verwerkersovereenkomst wettelijk verplicht. Dit geldt ook wanneer die partij de gegevens niet daadwerkelijk bekijkt, maar technisch gezien wel toegang zou kunnen krijgen.
Welke partijen moeten een verwerkersovereenkomst tekenen?
De verwerkersovereenkomst wordt getekend door twee partijen: de verwerkingsverantwoordelijke (de zorginstelling die bepaalt waarom en hoe gegevens worden verwerkt) en de verwerker (de externe partij die de gegevens namens de zorginstelling verwerkt). Beide partijen hebben onderscheiden verantwoordelijkheden onder de AVG.
De verwerkingsverantwoordelijke
Dit is doorgaans de zorginstelling zelf: het ziekenhuis, de GGZ-instelling, de huisartsenpraktijk of de thuiszorgorganisatie. Als verwerkingsverantwoordelijke bepaal je het doel en de middelen van de gegevensverwerking. Je draagt de eindverantwoordelijkheid voor de bescherming van patiëntgegevens, ook wanneer een externe partij deze verwerkt.
De verwerker
De verwerker is de externe partij die in opdracht van de zorginstelling persoonsgegevens verwerkt. Voorbeelden zijn:
- EPD-leveranciers en softwarebedrijven
- Externe administratiekantoren
- ICT-dienstverleners en hostingpartijen
- Externe kwaliteitsauditors
- Transcriptiediensten voor medische verslaglegging
Let op: wanneer een verwerker op zijn beurt weer een andere partij inschakelt (een subverwerker), moet dit expliciet worden geregeld in de verwerkersovereenkomst. De zorginstelling moet hiervoor toestemming geven, en de subverwerker moet aan dezelfde verplichtingen voldoen.
Wat moet er in een verwerkersovereenkomst voor de zorg staan?
Een verwerkersovereenkomst voor de zorgsector moet minimaal de elementen bevatten die artikel 28 van de AVG voorschrijft, aangevuld met zorgspecifieke bepalingen. De overeenkomst beschrijft het onderwerp, de duur, de aard en het doel van de verwerking, het type persoonsgegevens en de categorieën betrokkenen.
De volgende onderdelen zijn wettelijk verplicht:
- Instructiegebondenheid: De verwerker mag gegevens uitsluitend verwerken volgens schriftelijke instructies van de zorginstelling
- Geheimhouding: Alle medewerkers van de verwerker die toegang hebben tot gegevens moeten gebonden zijn aan geheimhouding
- Beveiligingsmaatregelen: Concrete technische en organisatorische maatregelen om gegevens te beschermen
- Subverwerkers: Voorwaarden voor het inschakelen van subverwerkers
- Rechten van betrokkenen: Hoe de verwerker meewerkt aan verzoeken van patiënten (inzage, correctie, verwijdering)
- Meldplicht datalekken: Termijnen en procedures voor het melden van beveiligingsincidenten
- Audits: Het recht van de zorginstelling om controles uit te voeren
- Beëindiging: Wat er met de gegevens gebeurt na afloop van de overeenkomst
Voor zorginstellingen is het verstandig om aanvullende bepalingen op te nemen over NEN 7510-certificering, de specifieke bewaartermijnen die gelden voor medische gegevens, en de wijze waarop wordt omgegaan met het medisch beroepsgeheim.
Hoe verschilt een verwerkersovereenkomst van een geheimhoudingsverklaring?
Een verwerkersovereenkomst regelt de volledige relatie tussen verwerkingsverantwoordelijke en verwerker onder de AVG, terwijl een geheimhoudingsverklaring (NDA) alleen de plicht tot geheimhouding vastlegt. De verwerkersovereenkomst is juridisch verplicht bij gegevensverwerking; een geheimhoudingsverklaring is dat niet.
Het belangrijkste verschil zit in de reikwijdte. Een geheimhoudingsverklaring zegt alleen: “je mag niet doorvertellen wat je te weten komt.” Een verwerkersovereenkomst gaat veel verder en regelt hoe gegevens verwerkt mogen worden, welke beveiligingsmaatregelen nodig zijn, wat er moet gebeuren bij een datalek, en welke rechten de zorginstelling heeft om te controleren.
In de praktijk vullen beide documenten elkaar aan. Een geheimhoudingsverklaring kan onderdeel zijn van een verwerkersovereenkomst, of als apart document naast de verwerkersovereenkomst bestaan. Maar een geheimhoudingsverklaring alleen is nooit voldoende wanneer er sprake is van gegevensverwerking door een externe partij.
Een veelgemaakte fout is denken dat een getekende NDA voldoende bescherming biedt. Bij een controle door de Autoriteit Persoonsgegevens of bij een datalek blijkt dan dat de wettelijk verplichte verwerkersovereenkomst ontbreekt, met alle gevolgen van dien.
Wat zijn de risico’s zonder geldige verwerkersovereenkomst?
Zonder geldige verwerkersovereenkomst riskeert een zorginstelling boetes tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, reputatieschade bij datalekken, en persoonlijke aansprakelijkheid van bestuurders. De Autoriteit Persoonsgegevens beschouwt het ontbreken van een verwerkersovereenkomst als een directe overtreding van de AVG.
De risico’s zijn in de zorgsector extra groot vanwege de gevoeligheid van medische gegevens:
- Financiële sancties: De AP kan substantiële boetes opleggen, ook zonder dat er daadwerkelijk een datalek heeft plaatsgevonden
- Aansprakelijkheid: Bij een datalek is de zorginstelling volledig aansprakelijk voor schade, ook als de fout bij de verwerker lag
- Verlies van vertrouwen: Patiënten en verwijzers kunnen hun vertrouwen verliezen wanneer blijkt dat privacy niet serieus wordt genomen
- Contractuele problemen: Zorgverzekeraars en samenwerkingspartners kunnen eisen dat verwerkersovereenkomsten op orde zijn
Daarnaast speelt de NIS2-wetgeving een steeds grotere rol. Deze Europese richtlijn voor cybersecurity stelt aanvullende eisen aan zorginstellingen en maakt bestuurders persoonlijk aansprakelijk voor tekortkomingen in informatiebeveiliging. Een ontbrekende of onvolledige verwerkersovereenkomst kan een signaal zijn van bredere tekortkomingen in het privacybeleid.
Het is daarom essentieel om niet alleen verwerkersovereenkomsten af te sluiten, maar deze ook periodiek te reviewen en te actualiseren wanneer de samenwerking verandert of wetgeving wordt aangescherpt.
Hoe Vandaag® helpt met verwerkersovereenkomsten en privacywetgeving in de zorg
Bij Vandaag® begrijpen we dat privacywetgeving en informatiebeveiliging voor veel zorgorganisaties complexe materie zijn. We helpen zorginstellingen grip te krijgen op hun verplichtingen rondom gegevensverwerking, zodat bestuurders aantoonbaar in control zijn.
Onze aanpak omvat:
- Inventarisatie van verwerkersrelaties: We brengen in kaart met welke externe partijen persoonsgegevens worden gedeeld en waar verwerkersovereenkomsten ontbreken of verouderd zijn
- Opstellen en reviewen van verwerkersovereenkomsten: We zorgen dat overeenkomsten voldoen aan de AVG én aansluiten bij zorgspecifieke normen zoals NEN 7510
- Integrale aanpak van informatiebeveiliging: Verwerkersovereenkomsten zijn onderdeel van een breder privacybeleid dat we helpen inrichten, inclusief voorbereiding op NIS2
- Praktische implementatie: Geen dikke rapporten, maar werkbare processen die passen bij de dagelijkse praktijk van jouw organisatie
Wil je weten of jouw verwerkersovereenkomsten op orde zijn, of heb je hulp nodig bij het inrichten van informatiebeveiliging die voldoet aan NEN 7510 en NIS2? Neem contact met ons op voor een vrijblijvend gesprek over hoe we jouw zorgorganisatie kunnen ondersteunen.
Veelgestelde vragen
Hoe vaak moet ik mijn verwerkersovereenkomsten herzien en actualiseren?
Het is aan te raden om verwerkersovereenkomsten minimaal jaarlijks te reviewen en bij elke significante wijziging in de samenwerking. Denk aan uitbreiding van diensten, nieuwe subverwerkers, of veranderingen in wetgeving zoals NIS2. Stel een reminder in je agenda en neem de review op in je jaarlijkse privacy-audit om te voorkomen dat overeenkomsten verouderen.
Wat doe ik als een leverancier weigert een verwerkersovereenkomst te tekenen?
Als een leverancier weigert, heb je twee opties: onderhandelen of de samenwerking beëindigen. Leg schriftelijk vast dat je een verwerkersovereenkomst hebt aangeboden en dat de leverancier weigert. Zoek vervolgens een alternatieve leverancier die wel bereid is te tekenen. Het risico van samenwerken zonder verwerkersovereenkomst is simpelweg te groot voor zorginstellingen.
Kan ik een standaard verwerkersovereenkomst gebruiken of moet deze op maat worden gemaakt?
Een standaardtemplate kan als basis dienen, maar voor de zorgsector is maatwerk essentieel. Zorgspecifieke elementen zoals NEN 7510-eisen, bewaartermijnen voor medische gegevens (minimaal 20 jaar), en bepalingen over het medisch beroepsgeheim moeten worden toegevoegd. Controleer ook of de standaardovereenkomst van leveranciers voldoende bescherming biedt voor jouw specifieke situatie.
Hoe ga ik om met buitenlandse leveranciers en cloudopslag buiten de EU?
Bij verwerking buiten de EU zijn aanvullende waarborgen nodig, zoals Standard Contractual Clauses (SCC’s) of een adequaatheidsbesluit. Controleer waar data wordt opgeslagen en verwerkt, en leg dit expliciet vast in de verwerkersovereenkomst. Voor medische gegevens adviseren we waar mogelijk te kiezen voor leveranciers die data binnen de EU houden om juridische complexiteit te vermijden.
Wat moet ik doen als ik ontdek dat een bestaande leverancier geen verwerkersovereenkomst heeft?
Handel direct: neem contact op met de leverancier en stel een verwerkersovereenkomst op. Documenteer wanneer je het ontbreken ontdekte en welke stappen je hebt ondernomen. Breng in kaart welke gegevens zijn verwerkt en beoordeel of er risico’s zijn geweest. Bij twijfel over datalekken in het verleden, overweeg een melding bij de Autoriteit Persoonsgegevens.
Hoe controleer ik of mijn verwerkers zich daadwerkelijk aan de verwerkersovereenkomst houden?
Maak gebruik van je auditrecht dat in de verwerkersovereenkomst is opgenomen. Vraag jaarlijks om bewijs van beveiligingsmaatregelen, zoals een NEN 7510-certificaat, SOC 2-rapport of penetratietestresultaten. Plan periodieke gesprekken met key-leveranciers over hun informatiebeveiliging en vraag om een actueel overzicht van subverwerkers.
Moet ik ook een verwerkersovereenkomst afsluiten met ZZP'ers of uitzendkrachten in de zorg?
Dit hangt af van de juridische relatie. ZZP’ers die onder jouw directe instructie werken en toegang hebben tot je systemen vallen meestal onder je eigen verantwoordelijkheid als werkgever-achtige, waardoor een geheimhoudingsverklaring volstaat. Werkt de ZZP’er echter zelfstandig met eigen middelen en bepaalt deze zelf hoe gegevens worden verwerkt, dan is een verwerkersovereenkomst nodig. Bij twijfel: sluit beide af.
Gerelateerde artikelen
- Wat is FWG en hoe werkt het in de zorgsector?
- Wat regelt de cao zorg en welzijn over weekenddiensten?
- Hoe draagt een externe vertrouwenspersoon bij aan patiëntveiligheid?
- Wat zijn bestuurlijke gevolgen van fouten in de jaarverantwoording zorg?
- Wanneer vormt de jaarverantwoording zorg een risico voor governance?