Functie FG verplicht bij “grootschalige gegevensverwerking” in de zorg

Het aanstellen van een Functionaris Gegevensbescherming (FG) is onder de AVG niet altijd verplicht. Maar wél als er sprake is van “grootschalige gegevensverwerking” van “bijzondere persoonsgegevens”. Bijvoorbeeld bij gegevens over iemands gezondheid door zorgaanbieders.
Op 31 mei 2018 heeft de Autoriteit Persoonsgegevens (AP) een verduidelijking gegeven over de vraag wat “grootschalige gegevensverwerking” in de zorg is.

Zorginstellingen die verplicht een FG moeten aanstellen:

De Autoriteit Persoonsgegevens (AP) verplicht de volgende organisaties tot het aanstellen van een Functionaris Gegevensbescherming (FG):

• Ziekenhuizen;
• Apotheken;
• Huisartsenposten;
• Zorggroepen.

Ook anderen met >10.000 patiënten

Huisartsenpraktijken en instellingen voor medisch-specialistische zorg die geen ziekenhuizen zijn, moeten een FG aanstellen als die praktijk of instelling meer dan 10.000 patiënten heeft ingeschreven óf als die gemiddeld meer dan 10.000 patiënten per jaar behandelt én als de gegevens van deze patiënten in één informatiesysteem staan.

Overige zorgaanbieders geen verplichting (vooralsnog)

Voor de overige zorgaanbieders geldt het criterium van 10.000 patiënten niet. De AP  hanteert wel 4 criteria, maar laat het vooralsnog aan deze zorgaanbieders zelf ter beoordeling of zij een FG aanstellen of niet.

De criteria van de Autoriteit Persoonsgegevens (AP):

• het aantal patiënten over wie gegevens worden verwerkt;
• de hoeveelheid persoonsgegevens die worden verwerkt;
• de duur van de gegevenswerking;
• de reikwijdte van de verwerking.

De Autoriteit Persoonsgegevens (AP) zal binnenkort meer duidelijkheid geven over de criteria voor de groep zorgaanbieders die de aanstelling van de FG zelf mogen bepalen.

Bent u al werkzaam als Functionaris Gegevensbescherming? Lees deze tips!