In 2024 meldde een huisartsenpraktijk een datalek bij de Autoriteit Persoonsgegevens. Een medewerker had medische gegevens van patiënten in een AI-chatbot ingevoerd, tegen de afspraken in. Voor een kantoor met een klantenbestand is zoiets vervelend. In de zorg raakt het drie verschillende regels tegelijk.
Gezondheidsgegevens vallen onder een verwerkingsverbod
De AVG noemt gegevens over gezondheid een bijzondere categorie persoonsgegevens. Artikel 9 verbiedt de verwerking daarvan, tenzij een van de uitzonderingen in dat artikel van toepassing is. Een zorgverlener mag gezondheidsgegevens verwerken voor de behandeling. Een chatbot een verwijsbrief laten herschrijven valt daar niet vanzelf onder, zeker niet als de aanbieder de tekst bewaart.
Het beroepsgeheim geldt los van de AVG
Elke zorgverlener heeft ook een medisch beroepsgeheim. Dat staat in artikel 7:457 van het Burgerlijk Wetboek en artikel 88 van de Wet BIG. Informatie over een patiënt mag niet zonder toestemming naar iemand die niet bij de behandeling betrokken is. Een AI-aanbieder is zo'n partij. Een schending van het beroepsgeheim kan tot een tuchtzaak leiden, ook als er volgens de AVG geen datalek is.
De beveiligingsnorm is wettelijk verplicht
De derde laag is minder bekend. Het Besluit elektronische gegevensverwerking door zorgaanbieders verplicht zorgaanbieders om te werken volgens NEN 7510, de norm voor informatiebeveiliging in de zorg. Volgens NEN 7513 moet worden vastgelegd wie welk patiëntdossier heeft ingezien.
Voor AI betekent dat iets concreets. Wordt een dossier door een AI-systeem gelezen, dan hoort ook die inzage herleidbaar te zijn. Bij een externe chatbot is dat vrijwel onmogelijk: de praktijk ziet niet wat er aan de kant van de aanbieder met het dossier gebeurt.
Wat dit vraagt van een AI-systeem in de zorg
Een AI-systeem dat met patiëntgegevens werkt, moet dus op drie punten kloppen. De verwerking moet passen binnen een uitzondering van artikel 9. Er mag geen partij buiten de behandelrelatie meelezen. En toegang en inzage moeten volgens NEN 7510 en NEN 7513 geregeld en vastgelegd zijn.
Draait het systeem binnen de eigen praktijk, dan blijft de tweede vraag buiten beeld en liggen de andere twee in eigen hand. KennisKluis is op die manier ingericht: de patiëntgegevens blijven op de KennisKluis-unit in de praktijk.
Dit artikel geeft algemene achtergrondinformatie en is geen juridisch advies. De exacte eisen verschillen per zorgsector en instelling. Raadpleeg bij twijfel de eigen functionaris gegevensbescherming of een gespecialiseerde jurist.
Bronnen
- Algemene verordening gegevensbescherming, artikel 9
- Burgerlijk Wetboek Boek 7, artikel 7:457
- Wet op de beroepen in de individuele gezondheidszorg (Wet BIG), artikel 88
- Besluit elektronische gegevensverwerking door zorgaanbieders, Staatsblad 2017, 446
- Autoriteit Persoonsgegevens, Caution: use of AI chatbot may lead to data breaches, augustus 2024
Wil je dit onderwerp voor je eigen organisatie bespreken? Een gesprek van 30 minuten plan je via de contactpagina.