Partijen die werkzaam zijn in de zorg krijgen te maken met een grote verscheidenheid aan wet- en regelgeving, gedragscodes en richtlijnen. De hoeveelheid is enorm en de bepalingen zijn vaak aan verandering onderhevig. Dit leidt ertoe dat er veel onduidelijkheid bestaat over de interpretatie van de relevante regels en handreikingen. In deze blogserie behandelen we daarom veelgestelde vragen uit het zorgveld (klik hier voor blog #1 over het gebruik van e-mail tussen arts en patiënt). Deze week: intrekking van toestemming en de bewaarplicht.
Vraag #2: Hoe verhoudt de intrekking van toestemming voor het verwerken van persoonsgegevens tot de bewaarplicht van het medisch dossier?
In de Wet op de geneeskundige behandelingsovereenkomst (WGBO) is bepaald dat zorgaanbieders, in deze wet aangeduid als “hulpverleners”, een medisch dossier moeten inrichten. In dit dossier moet de hulpverlener onder andere aantekening maken van de gegevens van de patiënt en de ten aanzien van de patiënt uitgevoerde verrichtingen. Het gevolg hiervan is dat een medisch dossier ook persoonsgegevens van de betrokken patiënt bevat. De hulpverlener is in principe op grond van de WGBO verplicht om dit medisch dossier gedurende vijftien jaren te bewaren. Voor de verwerking (waaronder ook opslaan wordt verstaan) van de persoonsgegevens in het medisch dossier is een uitzonderingsgrond en grondslag vereist. Het verwerken van medische gegevens is op grond van de Algemene Verordening Gegevensbescherming (AVG) namelijk verboden, tenzij er sprake is van een uitzondering op dit verbod. Daarnaast moet er een verwerkingsgrondslag aanwezig zijn. In de AVG zijn de uitzonderingsgronden op het verwerkingsverbod en de grondslagen limitatief opgesomd.
Een van de uitzonderingsgronden en grondslagen onder de AVG voor het verwerken van persoonsgegevens is de uitdrukkelijke toestemming van de betrokkene. Onder de AVG is de betrokkene gerechtigd om zijn toestemming weer in te trekken. Het gevolg is dat de verwerking van de persoonsgegevens waarvoor toestemming is gegeven, gestaakt dient te worden. Maar hoe verhoudt deze bevoegdheid van de betrokkene zich tot de bewaarplicht van de hulpverlener?
Een veelgemaakte denkfout is dat de uitzonderingsgrond en de grondslag voor het aanleggen van een medisch dossier de toestemming van de betrokkene is. Dit is echter niet het geval. Het aanleggen van een medisch dossier en het gedurende vijftien jaar bewaren van het medisch dossier is namelijk een wettelijke plicht. Onder de AVG is het verwerkingsverbod niet van toepassing indien de verwerking noodzakelijk is voor het uitvoeren van een wettelijke plicht. Ook de grondslag voor de verwerking is het voldoen aan deze plicht. Dat betekent dat de hulpverlener géén toestemming hoeft te verkrijgen voor het aanleggen van het medisch dossier en het bewaren daarvan. De patiënt kan dus ook geen toestemming voor het aanleggen en bewaren van een medisch dossier intrekken. Wel kan hij een verzoek tot verwijdering van (specifieke) persoonsgegevens of vernietiging van het medisch dossier indienen.
