Verwerkers

Hoe bereid ik me als verwerker voor op de nieuwe eisen Wkkgz?

Hoewel de nieuwe Wkkgz pas najaar 2024 in werking zal treden, kunt u nu al een aantal stappen zetten. Hierdoor bent u straks op tijd klaar om te kunnen voldoen aan de eisen. Hieronder leest u welke stappen dat zijn en hoe het SSC-DG hierbij ondersteunt. 

Aanvullen…ur rol verandert naar die van verwerkingsverantwoordelijke

Het wetsvoorstel

In het wetsvoorstel wordt een wettelijke grondslag gecreëerd voor kwaliteitsregistraties om gepseudonimiseerde (bijzondere) persoonsgegevens te mogen verwerken. Deze grondslag geldt alleen voor kwaliteitsregistraties die Zorginstituut Nederland heeft opgenomen in het, ook bij dit wetsvoorstel te regelen, nieuwe landelijk register voor kwaliteitsregistraties. Bij een unaniem positief advies van zowel de Inhouds-governancecommissie (IGC) als de Data-governancecommissie (DGC) is de kans groot dat de kwaliteitsregistratie in het register wordt opgenomen. 

Wanneer een kwaliteitsregistratie is opgenomen in het register, hebben alle zorgaanbieders de wettelijke plicht de gevraagde gegevens aan te leveren aan de desbetreffende kwaliteitsregistratie. Ook krijgt de in het register opgenomen kwaliteitsregistratie een wettelijke grondslag voor de verwerking van gepseudonimiseerde (bijzondere) persoonsgegevens. De kwaliteitsregistratie maakt bovendien aanspraak op structurele financiering. Zodra meer bekend is over de procesgang van deze aanvraag, wordt dit gedeeld op deze website.

Verschuivingen in rollen

De wet zorgt voor verschuivingen in rollen  voor de kwaliteitsregistraties die in het register worden opgenomen: 

  • Voor kwaliteitsregistraties wordt een uitzondering gecreëerd op het verwerkingsverbod van artikel 9 lid 1 van de AVG. Hiermee krijgen kwaliteitsregistraties een wettelijke grondslag voor het verwerken van (bijzondere) persoonsgegevens, waar zij die nu niet hebben.
  • Verwerkers die gegevens verwerken voor kwaliteitsregistraties doen dat nu doorgaans in opdracht van de zorgaanbieder (die ‘Verwerkingsverantwoordelijke’ is). Na invoering van de wetswijziging wordt de zorgaanbieder ‘verstrekker’ van gegevens en de registratiehouder ‘verwerkingsverantwoordelijke’. De kwaliteitsregistratie bepaalt dan het doel en de middelen van de verwerking. De Verwerker wordt vervolgens verwerker voor de registratiehouder.


De verantwoordelijkheid voor de (persoons)gegevensverwerking komt daarmee bij de registratiehouder te liggen (in plaats van bij de zorgaanbieder). Zorgaanbieders worden ‘verstrekkers’ van (persoons)gegevens en hebben (na verstrekken), in de zin van de AVG, geen enkele verantwoordelijkheid voor de nadere verwerking van die gegevens door de registratiehouder ten behoeve van de kwaliteitsregistraties. Er ontstaat dus
geen gezamenlijke verwerkingsverantwoordelijkheid van zorgaanbieder en registratiehouder (zoals door sommigen werd verwacht).  

Verwachte gevolgen voor de verschillende partijen

Een verwerker mag uitsluitend gegevens verwerken in opdracht van en zoals bepaald door de Verwerkingsverantwoordelijke. Het opdrachtgeverschap voor de verwerking van gegevens van kwaliteitsregistraties verschuift van zorgaanbieder naar registratiehouder: 

  • Er komt een nieuwe verwerkersovereenkomst (plus hoofdovereenkomst) tussen registratiehouder en verwerker.
  • Er is slechts één opdrachtgever (verwerkingsverantwoordelijke registratiehouder) voor de verwerking van gegevens van één kwaliteitsregistratie. Nu zijn er doorgaans (in theorie, in de praktijk coördineert de registratiehouder de opdrachten aan verwerkers) evenveel opdrachtgevers als deelnemers aan de kwaliteitsregistratie. Dit kan in theorie leiden tot tegenstrijdige opdrachten of conflicten, bijvoorbeeld bij het goedkeuren van een nieuwe sub-verwerker.

 

 

Bij de verstrekking van de gegevens door Verstrekker aan de Verwerker moet gebruik gemaakt worden van een Trusted Third Party (TTP): 

  • Gegevens moeten aan de bron gepseudonimiseerd worden;
  • Om alsnog op patiëntniveau koppelingen mogelijk te maken van gegevens afkomstig van meerdere bij het zorgproces betrokken zorgverleners is regie op de pseudoniemen noodzakelijk.
  • Dit betekent dat dit proces ingericht moet worden!

N.B. De wet is nog niet definitief vastgesteld. We baseren de informatie op deze pagina op het gepubliceerde voorstel voor de wetswijziging (het consultatiedocument). Op advies is het wetvoorstel op sommige punten aangepast, zodra hier meer bekend over is wordt deze pagina geüpdatet.