Kort antwoord
Een DPO is wettelijk verplicht voor zorginstellingen die op grote schaal patiëntgegevens verwerken, zoals ziekenhuizen en grote groepspraktijken (artikel 37 AVG). Een individuele huisarts- of tandartspraktijk verwerkt doorgaans niet “op grote schaal” en is daarom meestal niet verplicht, al blijft een vrijwillige DPO of een DPO-as-a-service-formule vaak verstandig. Patiëntgegevens zijn altijd een bijzondere categorie van gegevens (artikel 9 AVG), met extra beveiligingseisen ongeacht de grootte van de praktijk.
Inhoudsopgave
- Waarom zijn patiëntgegevens een bijzondere categorie onder de AVG?
- Wanneer is een DPO wettelijk verplicht in de zorgsector?
- Is een DPO ook verplicht voor een individuele huisarts- of tandartspraktijk?
- Wat leert de GBA-boete tegen een Belgisch ziekenhuis ons?
- Welke beveiligingsmaatregelen verwacht de AVG van een zorgpraktijk?
- Wat kost een DPO voor een zorgorganisatie?
- Checklist: 8 controlepunten voor een zorgpraktijk
- Veelgestelde vragen
Waarom zijn patiëntgegevens een bijzondere categorie onder de AVG?
Artikel 9, lid 1 van de AVG (Verordening (EU) 2016/679) somt gezondheidsgegevens expliciet op als een bijzondere categorie van persoonsgegevens, naast bijvoorbeeld genetische en biometrische gegevens. Verwerking ervan is in principe verboden, tenzij een van de uitzonderingen in artikel 9, lid 2 van toepassing is – voor een zorgpraktijk is dat meestal punt h): verwerking die noodzakelijk is voor de verstrekking van gezondheidszorg, op basis van het beroepsgeheim. Dat geeft een huisarts of tandarts een stevige rechtsgrond, maar het verlicht niets aan de beveiligingsverplichtingen: hoe gevoeliger de gegevens, hoe strenger artikel 32 AVG (passende technische en organisatorische maatregelen) in de praktijk wordt ingevuld.
Wanneer is een DPO wettelijk verplicht in de zorgsector?
Artikel 37, lid 1, punt c) van de AVG verplicht een functionaris voor gegevensbescherming wanneer de kernactiviteit van de verwerkingsverantwoordelijke bestaat uit verwerking op grote schaal van bijzondere categorieën van gegevens. Voor een ziekenhuis is dat zonder discussie het geval: patiëntendossiers verwerken is de kernactiviteit, en het volume is per definitie groot. Diezelfde logica geldt voor grote groepspraktijken, laboratoria en zorgkoepels.
Is een DPO ook verplicht voor een individuele huisarts- of tandartspraktijk?
Voor een solopraktijk ligt dat genuanceerder. “Grote schaal” wordt beoordeeld op basis van het aantal betrokkenen, het volume en de bewaarduur van de gegevens, en de geografische spreiding – een individuele huisarts met een beperkt patiëntenbestand haalt die drempel doorgaans niet, terwijl een ziekenhuis dat per definitie wel doet. Een harde, universele grens publiceert de Gegevensbeschermingsautoriteit niet: twijfel je, dan is een korte toets (eventueel via de DPO-beslissingshulp op de GBA-website) de veiligste weg, in plaats van zelf aan te nemen dat de verplichting niet geldt.
Ook zonder wettelijke verplichting kan een vrijwillige DPO voor een kleinere praktijk toch verstandig zijn: het dwingt tot een jaarlijkse doorlichting van je verwerkingsregister, je bewaartermijnen en je toegangsbeheer, nog voor er iets fout loopt.
Wat leert de GBA-boete tegen een Belgisch ziekenhuis ons?
De Geschillenkamer van de Gegevensbeschermingsautoriteit stelde in beslissing ten gronde nr. 166/2024 (17 december 2024) vier groepen inbreuken vast bij een Belgisch ziekenhuis (georganiseerd als vzw) na een datalek: geen gegevensbeschermingseffectbeoordeling voor de grootschalige verwerking van gezondheidsgegevens (artikel 35, lid 3 AVG), geen formeel informatieveiligheidsbeleid (artikelen 5.1.f en 32 AVG), geen effectief patchbeheer (artikelen 5.1.f, 24 en 32 AVG), en een reeks losse tekortkomingen: geen opleidingsprogramma voor personeel, geen adequaat logbeheer, geen systematische audits, en een wachtwoordbeleid van amper 6 tot 8 tekens voor het elektronisch patiëntendossier. Het Marktenhof verlaagde de opgelegde boete in beroep (arrest 2025/AR/74 van 3 september 2025) tot 50.000 euro; de Gegevensbeschermingsautoriteit heeft tegen dat arrest cassatieberoep ingesteld. De zaak illustreert dat een DPIA en een geactualiseerd veiligheidsbeleid geen formaliteit zijn, maar net de punten waarop toezichthouders concreet toetsen.
Welke beveiligingsmaatregelen verwacht de AVG van een zorgpraktijk?
Artikel 32 AVG vraagt “passende” maatregelen, afgestemd op het risico – voor patiëntgegevens ligt de lat hoog. Denk aan versleuteling van het patiëntendossier, sterke wachtwoorden en waar mogelijk tweestapsverificatie, een duidelijk toegangsbeleid (wie mag welk dossier raadplegen), regelmatige back-ups, en een intern proces voor het geval van een datalek: wie meldt binnen 72 uur aan de Gegevensbeschermingsautoriteit (artikel 33 AVG), en wie informeert de betrokken patiënten als het risico hoog is (artikel 34 AVG).
Wat kost een DPO voor een zorgorganisatie?
De prijs van een externe DPO hangt sterk af van de grootte van de organisatie, het aantal verwerkingen en de vraag of een DPIA al dan niet nodig is. Een volledig overzicht van prijsmodellen en wat daarin zit, vind je in mijn gids over een externe DPO inhuren. Voor een individuele praktijk zonder wettelijke DPO-plicht is een beperkte, periodieke doorlichting vaak voldoende in plaats van een permanente DPO-aanstelling.
Checklist: 8 controlepunten voor een zorgpraktijk
| # | Controlepunt |
|---|---|
| 1 | Afgetoetst of de praktijk onder de DPO-plicht van artikel 37 AVG valt (kernactiviteit + grote schaal) |
| 2 | Verwerkingsregister aanwezig en vermeldt expliciet dat patiëntgegevens een bijzondere categorie zijn |
| 3 | Patiëntendossier versleuteld, met een wachtwoordbeleid van minstens 12 tekens |
| 4 | Toegang tot dossiers beperkt tot wie de zorgrelatie effectief uitvoert |
| 5 | DPIA uitgevoerd bij grootschalige verwerking van gezondheidsgegevens (artikel 35 AVG) |
| 6 | Back-ups van het patiëntendossier versleuteld en regelmatig getest |
| 7 | Intern proces voor datalekmelding binnen 72 uur aan de Gegevensbeschermingsautoriteit |
| 8 | Verwerkersovereenkomst met elke externe softwareleverancier die het patiëntendossier host |
Wil je weten of jouw praktijk een DPO nodig heeft, en wat een externe DPO in jouw situatie kost? Bekijk mijn aanpak als externe DPO, of lees de volledige gids over een externe DPO inhuren met kostenoverzicht.
Veelgestelde vragen
Is een DPO verplicht voor elke huisartsenpraktijk?
Niet automatisch. De verplichting geldt wanneer de kernactiviteit bestaat uit grootschalige verwerking van gezondheidsgegevens (artikel 37 AVG). Een ziekenhuis valt daar doorgaans onder, een individuele huisartsenpraktijk meestal niet, al blijft een vrijwillige DPO vaak zinvol.
Mag ik patiëntgegevens zomaar verwerken zonder toestemming?
Voor de zorgverlening zelf is toestemming meestal niet de rechtsgrond: artikel 9, lid 2, punt h) AVG laat verwerking toe die noodzakelijk is voor gezondheidszorg, op basis van het beroepsgeheim. Voor andere doelen, zoals marketing, is wel een aparte rechtsgrond nodig.
Wat gebeurt er als patiëntgegevens lekken?
Dan geldt de meldplicht van artikel 33 AVG: in principe binnen 72 uur melden aan de Gegevensbeschermingsautoriteit. Bij een hoog risico voor de patiënten moet je hen ook zelf informeren (artikel 34 AVG).
Hoeveel bedroeg de boete voor het Belgische ziekenhuis dat zijn beveiliging niet op orde had?
De Geschillenkamer van de Gegevensbeschermingsautoriteit legde een boete op (beslissing 166/2024), die het Marktenhof in beroep verlaagde tot 50.000 euro. De Gegevensbeschermingsautoriteit heeft tegen die verlaging cassatieberoep ingesteld.
Volstaat een gratis of goedkope softwaretool om patiëntendossiers bij te houden?
Niet automatisch. Beoordeel elke tool op versleuteling, toegangsbeheer en de aanwezigheid van een verwerkersovereenkomst, ongeacht de prijs. Een goedkope tool zonder deze waarborgen verschuift het risico naar jouw praktijk, niet naar de leverancier.
Over de auteur: Stijn Belmans is EADPP-gecertificeerd Data Protection Officer en beheert als extern DPO de privacy- en beveiligingsdossiers van meer dan 100 organisaties, waaronder zorgpraktijken. Hij bouwt en onderhoudt websites sinds meer dan 15 jaar en combineert die technische achtergrond met zijn werk als DPO.
Twijfel je of jouw praktijk een DPO nodig heeft, of wil je een externe DPO die zowel de AVG als je technische beveiliging kent? Bekijk mijn aanpak als externe DPO of lees de volledige gids met kostenoverzicht.
Feiten in dit artikel zijn gebaseerd op de AVG (Verordening (EU) 2016/679), artikelen 9, 32, 33, 34, 35 en 37, en op beslissing ten gronde nr. 166/2024 van de Geschillenkamer van de Gegevensbeschermingsautoriteit (17 december 2024), herzien door het Marktenhof op 3 september 2025. Dit artikel is algemene informatie en geen juridisch advies over jouw specifieke situatie.
Externe DPO, webstrateeg en lesgever aan Thomas More. Meer over mij
