1. Informatiebeveiliging volgens NEN 7510 en 7512
Het Besluit elektronische gegevensverwerking door zorgaanbieders (Begz) verplicht zorgaanbieders in artikel 3 om voor het zorginformatiesysteem en het elektronisch uitwisselingssysteem te zorgen voor veilig gebruik overeenkomstig NEN 7510 en NEN 7512. Een leverancier die zo'n systeem voor u beheert, moet u in staat stellen daaraan te voldoen.
In de overeenkomst: dat de verwerker werkt volgens NEN 7510, voor welke diensten en locaties dat geldt (de reikwijdte van een certificaat), welke instelling dat vaststelt, en hoe u de actuele verklaring krijgt. "Leverancier beschikt over een certificaat" zonder instelling of reikwijdte zegt weinig.
2. Logging volgens NEN 7513
Artikel 5 van het Begz vraagt dat de logging van het systeem voldoet aan NEN 7513: vastleggen wie wanneer welk dossier heeft ingezien of gewijzigd. Dat is geen formaliteit. De Autoriteit Persoonsgegevens legde het HagaZiekenhuis in 2019 een boete op van € 460.000, en OLVG in 2020 een boete van € 440.000, onder meer omdat logbestanden niet regelmatig werden gecontroleerd en tweefactorauthenticatie ontbrak.
In de overeenkomst: wat de verwerker logt, hoe lang, hoe u de logging krijgt voor eigen controle, en wie de controle uitvoert.
3. Twintig jaar bewaren, en daarna vernietigen
De Wgbo (artikel 7:454 lid 3 BW) schrijft voor dat de hulpverlener het dossier twintig jaar bewaart, te rekenen vanaf de laatste wijziging, of langer als dat uit de zorg van een goed hulpverlener voortvloeit. Een leveranciersovereenkomst loopt zelden twintig jaar.
In de overeenkomst: wat er met de dossiers gebeurt bij het einde van de overeenkomst (artikel 28 lid 3 onder g AVG): teruggave in een bruikbaar formaat, binnen welke termijn, en aantoonbare vernietiging van kopieën pas nadat de overdracht is gecontroleerd.
4. Het BSN
In de zorg is het gebruik van het burgerservicenummer wettelijk geregeld, via de Wabvpz en de UAVG. Noem in de omschrijving van de verwerking of de verwerker het BSN verwerkt, met welk doel, en op welke grondslag. Een lijst met "NAW-gegevens, BSN" zonder doel is niet concreet.
5. Meldtermijn onder de Cyberbeveiligingswet
De Cyberbeveiligingswet noemt de gezondheidszorg als sector. Essentiële en belangrijke entiteiten moeten een significant incident binnen 24 uur vroegtijdig melden en binnen 72 uur een melding indienen (artikel 26 en 27), en ze moeten de beveiliging van hun toeleveringsketen beheren (artikel 21). Een leverancier die pas na enkele dagen meldt, maakt dat onmogelijk. Meer in de meldtermijn bij een datalek.
6. Bijstand bij inzage en toegang van cliënten
Cliënten hebben rechten op inzage en afschrift, en in de zorg komen daar de regels van de Wgbo en de Wabvpz over elektronische inzage bij. Spreek af hoe snel de leverancier helpt bij zo'n verzoek (artikel 28 lid 3 onder e AVG) en in welke vorm het afschrift beschikbaar komt.
Het model van de brancheorganisaties
De Brancheorganisaties Zorg hebben een model verwerkersovereenkomst met toelichting (2022). Net als bij de modellen voor gemeenten en corporaties geldt: het is een goed vertrekpunt, maar de bijlagen moeten per leverancier ingevuld zijn. De AP benadrukte in november 2025 dat afspraken moeten aansluiten op de inhoud en context van de verwerking. Zie wat de AP sinds november 2025 verwacht.
Wat Datavoogd hiermee doet
Datavoogd neemt de zorg mee als proefsector, naast gemeenten en woningcorporaties. Voor zorginstellingen toetst Datavoogd een verwerkersovereenkomst op artikel 28 AVG en de AP-aanbevelingen, plus tien zorgregels over onder meer NEN 7510 en 7512, logging, toegang met sterke authenticatie, bewaren, het BSN, de Cyberbeveiligingswet en elektronische inzage, elk met de bron erbij. Datavoogd signaleert; de functionaris gegevensbescherming beslist. Zorginstellingen die aan de pilot willen deelnemen, kunnen mailen naar info@datavoogd.nl.
Bronnen
- Besluit elektronische gegevensverwerking door zorgaanbieders (Begz), artikel 3, 4 en 5.
- Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz); Uitvoeringswet AVG (UAVG).
- Burgerlijk Wetboek boek 7, artikel 454 (Wgbo); Kamerstukken 34 994 over de verlenging van de bewaartermijn.
- Cyberbeveiligingswet, geldend vanaf 15 augustus 2026, artikel 21, 26 en 27.
- Autoriteit Persoonsgegevens, boetebesluit HagaZiekenhuis, 18 juni 2019; boetebesluit OLVG, 26 november 2020.
- Brancheorganisaties Zorg, Model verwerkersovereenkomst met toelichting (2022).
Dit artikel is informatie, geen juridisch advies. De beoordeling van een concrete situatie is aan de functionaris gegevensbescherming of jurist van uw organisatie.