Toepassing van het kader op diverse vormen van samenwerking

In de hierna volgende onderdelen komt het wettelijk kader ten aanzien van verschillende vormen van samenwerking aan bod waarbij de invloed op gegevensverwerking en de verantwoordelijkheid ten aanzien van de gegevensverwerking wordt besproken.

De declaratieregels van de NZa kunnen bepalend zijn voor de vormgeving van de samenwerking. Zie bijvoorbeeld de regels over verwijzing en onderlinge dienstverlening in de Regeling medisch-specialistische zorg – NR/REG-2103a, paragraaf 32, https://puc.overheid.nl/nza/doc/PUC_320022_22/.

Onderaanneming tussen zorgaanbieders

Bij onderaanneming schakelt een zorgaanbieder (‘hoofdaannemer’) een of meerdere andere partijen (‘onderaannemers’) in om een deel van de zorgverlening aan de cliënt te verlenen. Zoals uiteengezet in 4.5.1 is de (contractuele) verhouding tussen zowel de cliënt en elk van de samenwerkende partijen als tussen die partijen onderling geen uitgemaakte zaak. Dit heeft tevens invloed op de rechten en verplichtingen van partijen ten aanzien van de verwerking van persoonsgegevens.

Tussen hoofdaannemer en cliënt is in ieder geval sprake van een geneeskundige behandelingsovereenkomst. Tussen de onderaannemer en de hoofdaannemer komt een ‘gewone’ overeenkomst van opdracht tot stand.

Art. 7:400 BW.

De relatie tussen de onderaannemer en cliënt kan, zoals uit de vorige paragraaf blijkt, verschillend geduid worden.

De eerste optie, waarbij er een geneeskundige behandelingsovereenkomst tussen de onderaannemer en de cliënt tot stand komt die samen hangt met de geneeskundige behandelingsovereenkomst tussen de hoofdaannemer en de cliënt, wordt geïllustreerd aan de hand van het volgende voorbeeld.

Voorbeeld 1

Twee ziekenhuizen werken samen op het gebied van bepaalde chirurgische ingrepen. Alle poliklinische zorgverlening aan de betreffende cliëntengroep vindt plaats onder verantwoordelijkheid en op locatie van het ene ziekenhuis (A). De operatie wordt uitgevoerd in de OK van ziekenhuis B door personeel van ziekenhuis A. De klinische postoperatieve zorgverlening vindt plaats in ziekenhuis B met diens personeel; de poliklinische postoperatieve zorg wordt verleend in, en met personeel van ziekenhuis A. Deze declareert het gehele zorgtraject bij de zorgverzekeraar; B stuurt de rekening voor haar aandeel in de zorgverlening naar A.

Civielrechtelijke relatie tussen partijen

Ziekenhuis A heeft een geneeskundige behandelingsovereenkomst met de betreffende cliënt. Tussen ziekenhuis A en ziekenhuis B bestaat een overeenkomst van opdracht

Art. 7:400 BW.

ten aanzien van de operatie en de daaropvolgende klinische zorgverlening aan de cliënt.

De relatie tussen ziekenhuis B en de cliënt kan ook gezien worden als een geneeskundige behandelingsovereenkomst, die onderling samenhangt met de geneeskundige behandelingsovereenkomst tussen de cliënt en ziekenhuis A. Voor de cliënt onderscheiden beide situaties zich niet van elkaar: hij bezoekt in beide gevallen het ziekenhuis (van A of B) en daar wordt aan hem geneeskundige zorg verleend.

Grond doorbreking beroepsgeheim

In de situatie waarin wordt uitgegaan van twee (deels parallelle) behandelingsovereenkomsten die onlosmakelijk met elkaar verbonden zijn, zijn hoofd- en onderaannemer rechtstreeks betrokken bij de uitvoering van andermans overeenkomst.

Art. 7:457 lid 2 BW. Hoewel dit artikellid doelt op betrokkenheid van zorgverleners binnen de juridische entiteit die de geneeskundige behandelingsovereenkomst heeft met de cliënt wordt het in de praktijk soms wat ruimer uitgelegd. Bijvoorbeeld ten aanzien van cliënten die behandelingsovereenkomsten hebben met zowel het ziekenhuis als met een vrijgevestigd medisch specialist werkzaam in het betreffende ziekenhuis, welke behandelingsovereenkomsten nauw met elkaar zijn verweven. Zie ook noot 64. Crijns, Hagendoorn en Van Wijck signaleren dit probleem ook en pleiten in het preadvies van de Vereniging voor Gezondheidsrecht 2022 getiteld ‘samenwerking in een complex zorgveld’ voor een wetswijziging waarbij lid 2 van art. 7:457 BW verruimd zou worden en (expliciete) toestemming voor informatieverstrekking aan ‘zorgverleners die zijn betrokken bij de uitvoering van de samenhangende behandeling’ niet nodig is.

Toestemming voor gegevensuitwisseling tussen hoofdaannemer en onderaannemer mag dan worden verondersteld.

Dossierplicht Wgbo

Op beide ziekenhuizen rust een dossierplicht in de zin van de Wgbo.

Art. 7:454 BW.

De verslaglegging van de preoperatieve en postoperatieve poliklinische zorgverlening vindt plaats in het ECD van ziekenhuis A. Verslaglegging van het klinische traject, inclusief verslaglegging met betrekking tot de operatie, vindt plaats in het ECD van ziekenhuis B. Hoewel verslaglegging van de operatie primair binnen de geneeskundige behandelingsovereenkomst tussen cliënt en ziekenhuis A valt, vindt deze verslaglegging vanwege de koppeling van OK-apparatuur met het ECD en de noodzakelijke directe beschikbaarheid van de gegevens voor de postoperatieve zorgverlening in het ziekenhuis van ziekenhuis B toch in diens ECD plaats. Partijen hebben afspraken gemaakt over de privacyrechtelijke rolverdeling ten aanzien van deze gegevens op grond van de AVG (zie hierna).

AVG-grondslag en privacyrechtelijke rolverdeling

Volgens de AVG dient voor de verwerking van persoonsgegevens van de cliënt een grondslag te bestaan en, bij verwerking van gezondheidsgegevens, dient er tevens een uitzondering mogelijk te zijn op het verbod dergelijke gegevens te verwerken. De grondslag voor gegevensverwerking van de cliënt door zowel ziekenhuis A als B kan gebaseerd worden op de uitvoering van de (met elkaar samenhangende behandelingsovereenkomsten).

Art. 6 lid 1 sub b AVG.

De uitzondering op het verwerkingsverbod kan gebaseerd worden op de grond dat dit noodzakelijk is voor goede behandeling of verzorging van de cliënt of voor het beheer van de praktijk of instelling.

Art. 9, tweede lid, sub h AVG jo art. 30, derde lid, sub a UAVG.

Beide ziekenhuizen zullen als verwerkingsverantwoordelijken passende technische en organisatorische maatregelen moeten treffen voor de elektronische gegevensverwerking, zoals nader omschreven in NEN 7510 en NEN 7513, waaronder een autorisatiebeleid, tweefactorauthenticatie, logging en controle van de logbestanden. Ten aanzien van de gegevens die betrekking hebben op de operatie en direct worden opgenomen in het ECD van ziekenhuis B kunnen beide ziekenhuizen worden beschouwd als gezamenlijk verwerkingsverantwoordelijken.

Conform art. 26 AVG.

Zij bepalen gezamenlijk het doel van de gegevensverwerking en de wijze waarop dat dient te gebeuren.

Toegang tot de gezondheidsgegevens van de cliënten is alleen geoorloofd voor zorgverleners die rechtstreeks betrokken zijn bij die zorgverlening aan de cliënten, dan wel (de medewerkers die betrokken zijn) bij de beheersmatige afwikkeling van die zorg, en dient beperkt te zijn tot de gegevens die noodzakelijk zijn voor de uitvoering van de taken van de zorgverlener/medewerker in kwestie. Zij dienen ook gebonden te zijn aan een geheimhoudingsplicht.

Art. 9 lid 3 AVG, art. 30 lid 4 UAVG, art. 7:457 lid 1 BW.

Wabvpz

Aangezien gezondheidsgegevens over het klinische traject, inclusief de operatie, worden vastgelegd in het ECD van ziekenhuis B rijst de vraag of bij uitwisseling van die gegevens met ziekenhuis A (voor de postoperatieve poliklinische zorgverlening) sprake is van een elektronisch uitwisselingssysteem zoals bedoeld in de Wabvpz. Zoals we hiervoor al zagen wordt een intern systeem binnen een zorgaanbieder niet als zodanig beschouwd. In dit voorbeeld is het ziekenhuis echter niet de zorgaanbieder, maar de onderaannemer. Onduidelijk is of deze uitzondering ook van toepassing is in de hoedanigheid van een onderaannemer. Praktisch gezien wordt het voor zorginstellingen overigens onwerkbaar om binnen een intern systeem een onderscheid te maken tussen zorgaanbieders- en onderaannemersrol.

Ander punt van aandacht bij dossiers van gezamenlijk verwerkingsverantwoordelijken in een intern systeem is de toestemmingsverlening voor uitwisseling met andere zorgaanbieders, bijvoorbeeld via OTV/Mitz. Voor deze dossiers moet aan beide verwerkingsverantwoordelijken toestemming worden verleend voor de uitwisseling met derden.

Rechten van betrokkenen

De cliënt kan rechtstreeks zeggenschap uitoefenen over de door partijen verwerkte gegevens door een verzoek met betrekking tot zijn rechten (op grond van de Wgbo en de AVG) rechtstreeks tot ziekenhuis A dan wel B te richten ten aanzien van de door de betreffende partij verwerkte persoonsgegevens. Over de effectuering daarvan tegenover de cliënt, in het bijzonder met betrekking tot de gegevens ten aanzien waarvan zij gezamenlijke verwerkingsverantwoordelijkheid dragen, hebben beide ziekenhuizen onderling afgesproken dat zij over en weer medewerking verlenen aan desbetreffende verzoeken van de cliënt.

Een variant op de samenwerking waarbij er tussen de onderaannemer en de cliënt geen formele geneeskundige behandelingsovereenkomst tot stand komt, schetsen we in de casus hieronder.

Wat betekent dit voor Robin?

Omdat de huisarts twijfelt over verwijzing naar het ziekenhuis vanwege de hartproblematiek van Robin, vraagt zij een teleconsult aan bij de cardioloog. Door middel van een teleconsult kan een huisarts via een digitaal beveiligd platform een medisch specialistische vraag stellen, zonder de cliënt daarvoor te hoeven verwijzen naar de specialist.

Civielrechtelijke relatie tussen partijen

De huisarts heeft, als hoofdaannemer, een geneeskundige behandelingsovereenkomst met Robin. Bij de uitvoering van de geneeskundige behandelingsovereenkomst schakelt de huisarts de cardioloog in, verbonden aan een ziekenhuis. De cardioloog wordt beschouwd als onderaannemer van de huisarts. Dat een aparte behandelingsovereenkomst tot stand komt tussen Robin en de cardioloog (en/of diens ziekenhuis) is niet aannemelijk. Robin heeft zelf geen contact met de cardioloog, dit verloopt via de huisarts en deze koppelt het resultaat van het consult terug aan Robin. Bepalingen uit de Wgbo kunnen evenwel van overeenkomstige toepassing zijn;

Conform art. 7:464 BW.

de advisering van de cardioloog vindt immers plaats in de uitoefening van een geneeskundig beroep of bedrijf

Waarvan sprake is hangt ervan af of de cardioloog in loondienst bij het ziekenhuis of vrijgevestigd is.

en de aard van de rechtsbetrekking tussen Robin en de cardioloog verzet zich niet tegen toepasselijkheid van bepalingen van de Wgbo.

Grond doorbreking beroepsgeheim

Het beroepsgeheim van de huisarts mag worden doorbroken om de noodzakelijke gezondheidsgegevens met de cardioloog te delen. De cardioloog wordt rechtstreeks betrokken bij de uitvoering van de behandelingsovereenkomst tussen huisarts en Robin; de cardioloog geeft een medisch advies op verzoek van de huisarts. Wel dient Robin voorafgaand aan de inschakeling van de cardioloog hierover te worden geïnformeerd en tegen de benodigde gegevensuitwisseling geen bezwaar te hebben gemaakt.

Zie 3.3.4.

Dossierplicht Wgbo

De huisarts heeft op grond van haar behandelingsovereenkomst met Robin een dossier- en bewaarplicht; het antwoord van de cardioloog wordt opgeslagen in het huisartsendossier. Als een rechtstreekse betrokkenheid van de cardioloog bij de uitvoering van die behandelingsovereenkomst kan worden aangenomen, dan levert dit nog geen eigenstandige dossierplicht voor de cardioloog op. De bepaling over de rechtstreekse betrokkenheid ziet immers op het beroepsgeheim, en brengt op zichzelf geen overeenkomstige toepassing van andere bepalingen van de Wgbo mee, zoals de dossierplicht. Mogelijk kan overeenkomstige toepassing van de dossierplicht voor de cardioloog worden aangenomen via de schakelbepaling van de Wgbo, als verdedigd kan worden dat de rechten van Robin als cliënt hierdoor worden versterkt, dat wil zeggen als dat voor de goede hulpverlening aan Robin noodzakelijk is.

Zie 4.5.1.

Dat is eerder aan te nemen als Robin al in het ziekenhuis wordt behandeld of is behandeld, of de kans bestaat dat behandeling daar alsnog zal gaan plaatsvinden (Robin woont in het adherentiegebied van het ziekenhuis). Omgekeerd is die noodzakelijkheid voor een goede hulpverlening minder waarschijnlijk als er een grote geografische afstand is tussen de woonplaats van Robin en het ziekenhuis, of als het niet om zeer specialistische expertise gaat welke in dat ziekenhuis is geconcentreerd.

Een andere, striktere redenering is dat de informatie over het cardiologisch consult pas noodzakelijke informatie wordt voor de cardioloog of andere zorgverlener in het ziekenhuis in het geval van een verwijzing door de huisarts. Tot die tijd blijft de informatie uitsluitend in het huisartsendossier vastgelegd.

AVG-grondslag en privacyrechtelijke rolverdeling

Zowel de huisarts (c.q. de praktijk) als cardioloog (c.q. het ziekenhuis) zijn hier aan te merken als verwerkingsverantwoordelijken; elk bepaalt zelf op welke manier zij het doel (patiëntenzorg) probeert te verwezenlijken.

Voor de verwerking van persoonsgegevens van Robin dient een grondslag te bestaan. De grondslag voor gegevensverwerking door de huisarts is uitvoering van de behandelingsovereenkomst.

Art. 6 lid 1 sub c jo. art. 9 lid 2 sub h AVG jo. art. 30 lid 3 sub a UAVG.

Het is echter de vraag of de cardioloog zich daar ook op kan beroepen. Voorwaarde voor toepasselijkheid van de grondslag ‘uitvoering van een overeenkomst’ is namelijk dat de betrokkene, Robin in dit geval, partij is bij die overeenkomst. Is daarvan ook sprake als de Wgbo van overeenkomstige toepassing is? In literatuur en jurisprudentie is dat geen uitgemaakte zaak. Vanuit het perspectief van de bescherming van de persoonsgegevens van de cliënt bezien (doelstelling van de AVG) ligt het niet voor de hand om de uitvoering van de overeenkomst als grondslag aan te nemen als Robin niet weet wie nog meer partij is bij die overeenkomst, m.a.w.: dat de huisarts de betreffende cardioloog heeft ingeschakeld.

Specifiek ten aanzien van het aanleggen van een dossier c.q. vastleggen van het cardiologisch consult daarin een beroep kan worden gedaan op de grondslag dat dit noodzakelijk is ter voldoening aan een wettelijke verplichting. Dit geldt zowel voor de huisarts, op wie de Wgbo rechtstreeks van toepassing is, als voor de cardioloog, aangenomen dat de Wgbo van overeenkomstige toepassing is op de relatie tussen cardioloog en Robin.

Kamerstukken II, 1990/91, 21 561, nr. 6, p. 9 – 13 (MvA).

Daarnaast moet er een uitzondering op het verwerkingsverbod aanwezig zijn om gezondheidsgegevens te kunnen verwerken, niet alleen door de huisarts maar ook door de cardioloog. De verwerking kan voor de huisarts gebaseerd worden op de uitzonderingsgrond dat dit noodzakelijk is voor goede behandeling of verzorging van de cliënt.

Art. 9 lid 2 sub h AVG.

Naast de doorbrekingsgrond en grondslag/uitzonderingsgrond die van toepassing moeten zijn, dienen de gegevens die beide zorgverleners verwerken (waaronder het vastleggen in een dossier) ook te voldoen aan het noodzakelijkheidsbeginsel. Dit volgt niet alleen uit de Wgbo, maar ook de (U)AVG.

Art. 7:454 lid 1 BW, art. 6 lid 1 (noodzakelijkheidsgrondslagen) en art 9 lid 2 onder h AVG jo art 30 lid 3 onder a UAVG.

Dat een dossierplicht kan worden aangenomen op grond van de Wgbo impliceert immers nog niet dat ook alle gegevens mogen worden vastgelegd.

Zie Hoofdstuk 2.

Een ander punt is of het cardiologisch consult, als dat door de cardioloog is vastgelegd in een dossier, ook geraadpleegd mag worden door andere zorgverleners c.q. medewerkers in het ziekenhuis. Dit is alleen geoorloofd als deze rechtstreeks betrokken zijn bij de zorgverlening of beheersmatige afwikkeling van de betreffende zorgverlening aan Robin en voor zover het consult noodzakelijk is voor de uitvoering van hun taken.

Rechten van betrokkenen

Het hiervoor genoemde argument voor een dossierplicht van de cardioloog, dat daarmee de rechten van Robin als cliënt worden versterkt, impliceert ook dat Robin geïnformeerd moet worden over dat dossier om zijn rechten ter zake ook te kunnen effectueren. Robin kan rechtstreeks zeggenschap uitoefenen over de door de cardioloog verwerkte gegevens. Omdat Robin zelf geen direct contact heeft met de cardioloog (het ziekenhuis) en dus geen weet heeft van de gegevensverwerking door de cardioloog, zal hij door de huisarts hierover geïnformeerd moeten worden, via een brief of mondelinge melding met verwijzing naar informatie op de website. Robin kan vervolgens een verzoek met betrekking tot zijn rechten (op grond van de Wgbo en de (U)AVG) ten aanzien van zijn dossier rechtstreeks tot de cardioloog c.q. het ziekenhuis richten.

Verwijzing tussen zorgaanbieders

Samenwerking in de zorg kan ook plaatsvinden doordat partijen afspraken maken over voorkeursverwijzing naar elkaar. Uiteraard dient de keuzevrijheid van de cliënt daarbij geborgd te zijn. Het is immers de cliënt die uiteindelijk beslist naar welke partij hij verwezen wil worden.

De mededingingsrechtelijke aspecten van deze samenwerking blijven hier buiten beschouwing.

Indien samenwerking een structureel karakter heeft, verdient het aanbeveling om hierover afspraken te maken en om de cliënten die binnen de doelgroep van het samenwerkingsverband vallen voorafgaand aan de start van de zorgverlening duidelijk te informeren over de samenwerking en de gevolgen daarvan voor de verwerking van hun persoonsgegevens.

Samenwerking middels een verwijsrelatie kan soms lastig te onderscheiden zijn van de onderaanneming die hiervoor aan bod kwam. In de eenvoudige versie van een verwijzing wordt een cliënt naar een andere zorgaanbieder doorgestuurd voor opvolgende zorgverlening. Mogelijk wordt de cliënt na afronding daarvan weer terugverwezen naar de oorspronkelijk verwijzer, denk aan de huisarts en medisch specialistische zorg.

In de praktijk bestaan ook andere varianten, mogelijk ingegeven door de declaratiesystematiek welke voorwaarden stelt aan verwijzing respectievelijk onderaanneming (“onderlinge dienstverlening”).

Zie de regeling medisch-specialistische zorg, NR/REG-2103a, paragraaf 32.

Hieronder volgt een variant op voorbeeld 1 in deze paragraaf, ter illustratie van de samenwerking op basis van voorkeursverwijzing.

Voorbeeld 2

Het ene ziekenhuis (A) verzorgt ook hier de preoperatieve poliklinische zorgverlening aan de betreffende cliëntengroep en de poliklinische postoperatieve zorg. De operatieve ingreep vindt nog steeds plaats in het andere ziekenhuis (B), maar deze wordt ook uitgevoerd door personeel van ziekenhuis B, niet onder verantwoordelijkheid van A. Beide ziekenhuizen declareren hun eigen aandeel in het gehele zorgtraject bij de zorgverzekeraar.

Civielrechtelijke relatie tussen partijen

Ziekenhuis A heeft een geneeskundige behandelingsovereenkomst met de betreffende cliënt. Bij verwijzing van de cliënt naar ziekenhuis B komt er ook een geneeskundige behandelingsovereenkomst met deze partij tot stand. Na ontslag van de cliënt uit ziekenhuis B en terug verwijzing naar ziekenhuis A herleeft die behandelingsovereenkomst tussen ziekenhuis A en de cliënt. Tussen ziekenhuizen A en B bestaat een samenwerkingsovereenkomst ten aanzien van de voorkeursverwijzing.

Grond doorbreking beroepsgeheim

In de situatie waarin wordt uitgegaan van over en weer verwijzen naar elkaar mag toestemming voor gegevensverstrekking door de ene partij bij verwijzing naar de andere partij worden verondersteld indien de cliënt over de verwijzing is geïnformeerd en daarmee akkoord gaat.

Dossierplicht Wgbo

Op beide ziekenhuizen rust een dossierplicht in de zin van de Wgbo.

Art. 7:454 BW.

De verslaglegging van de preoperatieve en postoperatieve poliklinische zorgverlening vindt plaats in het ECD van Ziekenhuis A. Verslaglegging van het klinische traject, inclusief verslaglegging met betrekking tot de operatie, vindt plaats in het ECD van ziekenhuis B.

AVG-grondslag en privacyrechtelijke rolverdeling

Meestal hebben partijen wel een gezamenlijk doel, maar zijn zij vrij om zelf te bepalen op welke manier zij dat doel proberen te verwezenlijken. Beide zorgaanbieders zijn dan zelfstandig verwerkingsverantwoordelijken. Indien partijen tevens afspraken maken over de wijze waarop en met welke middelen zij dat doel willen verwezenlijken is sprake van gezamenlijke verwerkingsverantwoordelijkheid.

De grondslag voor gegevensverwerking van de cliënt door beide ziekenhuizen kan gebaseerd worden op de uitvoering van de eigen behandelingsovereenkomst. De uitzondering op het verwerkingsverbod kan gebaseerd worden op de grond dat dit noodzakelijk is voor goede behandeling of verzorging van de cliënt of voor het beheer van de praktijk of instelling.

Art. 9, lid 2, sub h AVG jo art. 30, lid 3, sub a UAVG.

Beide ziekenhuizen zullen als zelfstandig verwerkingsverantwoordelijken passende technische en organisatorische maatregelen moeten treffen voor de elektronische gegevensverwerking, zoals nader omschreven in NEN 7510 en NEN 7513, waaronder een autorisatiebeleid, tweefactorauthenticatie, logging en controle van de logbestanden.

Toegang tot de gezondheidsgegevens van de cliënten is alleen geoorloofd voor zorgverleners van beide ziekenhuizen die rechtstreeks betrokken zijn bij die zorgverlening aan de cliënten, dan wel (de medewerkers die betrokken zijn) bij de beheersmatige afwikkeling van die zorg, en dient beperkt te zijn tot de gegevens die noodzakelijk zijn voor de uitvoering van de taken van de zorgverlener/medewerker in kwestie. Zij dienen ook gebonden te zijn aan een geheimhoudingsplicht.

Art. 9 lid 3 AVG, art. 30 lid 4 UAVG, art. 7:457 lid 1 BW.

Wabvpz

In dit voorbeeld vindt verslaglegging plaats in het eigen interne systeem van elk ziekenhuis afzonderlijk. Indien gegevens tussen beide worden uitgewisseld via een elektronisch uitwisselingssysteem als bedoeld in de Wabvpz, dan is voor de wijze van uitwisseling uitdrukkelijke toestemming van de cliënt nodig. Omdat de informatiestroom hier is gebaseerd op een verwijsrelatie (push-verkeer) ligt uitwisseling via een dergelijk systeem overigens niet voor de hand, juist vanwege het extra toestemmingsvereiste.

Rechten van betrokkenen

Tenzij de samenwerkingspartners een andere afspraak hebben gemaakt en de betreffende cliënten daarover hebben geïnformeerd, kunnen cliënten hun rechten met betrekking tot gegevensverwerking uitoefenen ten aanzien van elk van beide ziekenhuizen afzonderlijk, waarbij zij elk verantwoordelijk zijn voor hun eigen deel.

Detachering

Bij detachering leent een zorgaanbieder zorgverleners die werkzaam zijn voor een andere zorgaanbieder ten behoeve van uitvoering van haar zorgverlening aan cliënten. Een inleenconstructie kan ook voorkomen in combinatie met onderaanneming of verwijzing tussen zorgaanbieders. De uitlenende partij en de inlenende partij zullen afspraken maken over geheimhouding en het voldoen aan wet- en regelgeving door het gedetacheerde personeel. De inlenende zorgaanbieder is verwerkingsverantwoordelijke ten aanzien van de verwerking van persoonsgegevens bij de zorgverlening aan de cliënt. Cliënten kunnen zich bij klachten over de zorgverlening of voor de uitoefening van hun rechten ten aanzien van de verwerking van hun persoonsgegevens wenden tot de inlenende zorgaanbieder. De uitlener speelt geen rol ten aanzien van de cliënt.

Oprichting nieuwe juridische entiteit

Het oprichten van een nieuwe juridische entiteit om de zorg die twee of meerdere zorgaanbieders in samenwerking verlenen onder te brengen, kan om diverse redenen aantrekkelijk zijn. Uit het oogpunt van privacy zijn er minder barrières. Binnen de nieuwe entiteit mag informatie over cliënten immers vrij gedeeld worden, mits noodzakelijk en mits de zorgverleners rechtstreeks betrokken zijn bij de zorgverlening. Informatie over de zorgverlening kan direct worden opgenomen in het dossier van de cliënt. Zoals besproken in 4.5.2 kan het best een uitdaging zijn om informatie tussen samenwerkende zorgaanbieders op adequate wijze te delen waardoor de dossiers bij de betreffende zorgaanbieders up-to-date zijn. Elke extra schakel kan leiden tot risico’s ten aanzien van de beschikbaarheid, integriteit en vertrouwelijkheid van de informatie.

BIV-classificatie.

Daarnaast is de verantwoordelijkheid ten aanzien van de gegevensverwerking in geval van een nieuwe juridische entiteit bij één verwerkingsverantwoordelijke belegd. Hierdoor zijn er geen afspraken nodig over bijvoorbeeld de honorering van rechten van betrokkenen of het delen van persoonsgegevens ten aanzien van het onderzoeken van incidenten of klachten over de zorgverlening.

Als het zorg is die de betreffende zorgaanbieders al (in samenwerking) aanbieden, dan dienen de bestaande dossiers wel overgeheveld te worden naar de nieuwe entiteit. Daarvoor dient toestemming van de cliënten te bestaan.

Voor grotere organisaties zoals ziekenhuizen kan het onderbrengen van bepaalde zorgpaden in een nieuwe entiteit tevens als nadeel meebrengen dat de zorgverlening niet volledig plaats kan vinden zonder gebruikmaking van faciliteiten en diensten van het ziekenhuis. Denk bijvoorbeeld aan ondersteunende specialismen zoals radiologie of klinische chemie maar ook de verslaglegging van de zorgverlening. Voor die aspecten van de zorgverlening is dan nog steeds samenwerking nodig tussen de nieuwe entiteit en het ziekenhuis die de ondersteunende diensten levert. Uit het oogpunt van privacy leidt de oplossing van het ene probleem dan tot het ontstaan van een ander probleem.