Wanneer heeft een kleine GGZ-instelling een FG nodig?

Een functionaris gegevensbescherming (FG) is een interne toezichthouder op de verwerking van persoonsgegevens. De AVG gebruikt de Engelse term Data Protection Officer (DPO). De FG heeft drie kerntaken: de organisatie informeren en adviseren over privacyverplichtingen, toezien op de naleving van de AVG, en fungeren als aanspreekpunt voor de Autoriteit Persoonsgegevens.

De FG heeft een onafhankelijke positie: hij of zij mag geen instructies ontvangen over hoe taken worden uitgevoerd en mag niet worden ontslagen of bestraft voor de uitoefening van die taken. U kunt een FG intern aanstellen of extern inhuren. In beide gevallen gelden dezelfde wettelijke eisen.

De FG is nadrukkelijk geen verwerkingsverantwoordelijke. De eindverantwoordelijkheid voor het naleven van de AVG blijft altijd bij de organisatie zelf.

Artikel 37 van de AVG noemt drie situaties waarin een FG verplicht is:

• Overheidsinstantie of publiekrechtelijk orgaan (een GGZ-instelling in de private sector valt hier doorgaans niet onder).
• Grootschalige, regelmatige en stelselmatige monitoring van betrokkenen als kerntaak.
• Grootschalige verwerking van bijzondere persoonsgegevens, waaronder gezondheidsgegevens vallen.

Voor GGZ-instellingen is de derde situatie het meest relevant. Gezondheidsgegevens zijn per definitie bijzondere persoonsgegevens (AVG artikel 9). De vraag is of de verwerking grootschalig is.

De Autoriteit Persoonsgegevens hanteert daarvoor geen exacte grens, maar kijkt naar een combinatie van factoren: het aantal betrokkenen in verhouding tot de bevolking, de hoeveelheid gegevens, de geografische reikwijdte, de duur van de verwerking en de ernst van de mogelijke gevolgen. Een solopraktijk of kleine groepspraktijk met enkele tientallen actieve cliënten valt in de meeste gevallen buiten de definitie van grootschalig.

Bent u niet verplicht een FG aan te stellen, dan zijn er toch goede redenen om de privacybewaking te structureren. De meest gangbare oplossing voor kleine GGZ-praktijken is het aanwijzen van een privacy-aanspreekpunt: een medewerker of externe adviseur die de AVG-taken bewaakt en als eerste contactpersoon fungeert bij vragen of incidenten.

Het verschil met een formele FG is wezenlijk. Een privacy-aanspreekpunt heeft geen wettelijke bescherming (ontslagbescherming, onafhankelijkheid), hoeft niet bij de Autoriteit Persoonsgegevens geregistreerd te worden en draagt geen wettelijke taken. Maar het geeft uw organisatie structuur, maakt de verantwoordingsplicht aannemelijk en verlaagt de kans op onbeheerde datalekken.

Praktisch gezien werkt dit goed voor een praktijk die:

• een beperkt aantal cliënten heeft en niet in de grootschaligheidszone valt,
• wel degelijk AVG-compliant wil zijn en dit wil kunnen aantonen,
• geen budget of noodzaak ziet voor een formele, extern geregistreerde FG.

U kunt dit aanspreekpunt intern beleggen bij de praktijkmanager of bij een externe privacy-adviseur die periodiek meekijkt. Vastleg wie het is, wat de taken zijn en hoe incidenten worden gemeld.

AI maakt de FG-vraag niet eenvoudiger, maar wel urgenter. Wanneer u AI inzet voor het verwerken van gezondheidsdossiers, spraakgestuurd rapporteren of risicoanalyse, veranderen drie dingen tegelijk:

• Het volume neemt toe. AI verwerkt gegevens over meer cliënten in kortere tijd, wat de schaal van de verwerking vergroot.
• De risico's worden groter. Fouten of lekken in een AI-systeem kunnen een groter aantal cliënten raken dan bij handmatige verwerking.
• Een DPIA wordt doorgaans verplicht. De AVG schrijft een gegevensbeschermingseffectbeoordeling voor bij hoog-risicoverwerkingen, waaronder nieuwe technologieën op bijzondere persoonsgegevens. Meer over DPIA leest u op de pagina AVG en AI: grondslagen, DPIA.

Dit betekent niet dat u AI moet vermijden. Het betekent dat u, voordat u een AI-toepassing invoert, helder moet hebben of de FG-grens van toepassing is, en zo ja, wie die rol vervult. De winst die AI oplevert bij administratielast is reëel; de kunst is die verantwoord te verzilveren.