AVG in de praktijk: wat moet u echt regelen?

Patiëntgegevens zijn bijzondere persoonsgegevens: gezondheidsdata onder artikel 9 van de AVG. Zodra u een externe partij inschakelt die daarmee in aanraking komt — een telefoonassistent, een afsprakensysteem, een e-maildienst — moet dat goed geregeld zijn. Niet als papierwerk achteraf, maar als voorwaarde vooraf.

1. De verwerkersovereenkomst

Uw praktijk is verwerkingsverantwoordelijke; de leverancier is verwerker. Artikel 28 AVG verplicht een verwerkersovereenkomst die vastlegt wat er met de gegevens gebeurt, welke beveiliging geldt, wie de sub-verwerkers zijn en wat er gebeurt bij een datalek of einde contract. Een leverancier die geen kant-en-klare overeenkomst kan tonen, is nog niet klaar voor de zorg.

2. Waar staat mijn data?

Dé vraag die elke leverancier moet kunnen beantwoorden. Voor gezondheidsdata wilt u opslag én verwerking binnen de EU, zonder doorgifte naar landen daarbuiten. Let op: 'onze server staat in Frankfurt' is niet genoeg als de verwerking — bijvoorbeeld de AI-stap — alsnog buiten de EU gebeurt. Vraag door tot de hele keten in beeld is.

3. Bewaartermijnen en dataminimalisatie

Bewaar niet meer en niet langer dan nodig. Gespreksopnames en transcripties horen een korte, afgesproken bewaartermijn te hebben — bij Praktijkstem standaard 30 dagen, daarna automatisch verwijderd. En zet in bevestigingen nooit medische inhoud: een SMS met 'u heeft een afspraak op maandag 14:00' is prima, de reden van het bezoek hoort daar niet in.

4. Geen training op uw data

De belangrijkste vraag bij AI-leveranciers: worden gesprekken gebruikt om modellen te trainen? Het antwoord hoort een duidelijk 'nee' te zijn, zwart-op-wit in de overeenkomst. Uw patiëntgesprekken zijn geen trainingsmateriaal.

Checklist voor uw leverancier

• Kant-en-klare verwerkersovereenkomst (art. 28 AVG)?
• Opslag én verwerking volledig binnen de EU?
• Actuele sub-verwerkerslijst, uitsluitend EU, met meldplicht bij wijziging?
• Korte, instelbare bewaartermijnen en automatische verwijdering?
• Schriftelijke garantie: geen training op uw data?

Praktijkstem is vanaf de eerste regel code op deze eisen gebouwd: EU-opslag en -verwerking, standaard-verwerkersovereenkomst, korte bewaartermijnen en geen modeltraining op uw gesprekken.