Juridische ondersteuning

De directe gevolgen op juridisch gebied voor zorgaanbieders voor de kwaliteitsregistraties die zijn opgenomen in het register:  

• Zorgaanbieders worden verplicht om rechtmatig, zonder toestemming van de cliënt, (bijzondere) persoonsgegevens te verstrekken aan kwaliteitsregistraties
• Er is geen verwerkersovereenkomst meer nodig tussen zorgaanbieder en verwerker van de gegevens voor de kwaliteitsregistratie
• Er is geen deelnameovereenkomst meer nodig tussen zorgaanbieder en registratiehouder
• Er is geen hoofdovereenkomst meer nodig tussen zorgaanbieder en verwerker van de gegevens voor de kwaliteitsregistratie. Dit betekent:
  • Aanmerkelijk verlichting van de administratieve lasten bij zorgaanbieders die verwerkersovereenkomsten afsluiten;
  • Organisatorisch lastenverlichting voor zorgaanbieders doordat zij geen toezicht meer hoeven te houden op en geen verantwoordelijkheid meer hoeven te nemen voor de Verwerkers die zijn ingeschakeld om de gegevensverwerking voor de kwaliteitsregistraties uit te voeren.
• Wel nodig is een dienstverleningsovereenkomst tussen registratiehouder en zorgorganisatie
• De zorgaanbieder is verantwoordelijk voor de pseudonimisering van de te verstrekken gegevens. Zo kunnen de registratiehouder en verwerker niet beschikken over de sleutel van de gepseudonimiseerde gegevens of de ongepseudonimiseerde gegevens;
  • Bij voorkeur wordt hiervoor een Trusted Third Party (TTP) ingeschakeld,
  • Om alsnog op patiëntniveau koppelingen mogelijk te maken van gegevens afkomstig van meerdere bij het zorgproces betrokken zorgverleners is regie op de pseudonimiseren noodzakelij Dit proces moet nog worden ingericht.

Een direct gevolg op praktisch/organisatorisch vlak voor de kwaliteitsregistraties die zijn opgenomen in het register:

• Zorgorganisaties zijn verplicht de gevraagde data-aanlevering te organiserenvoor de kwaliteitsregistraties die zijn opgenomen zijn in het register van het Zorginstituut.

De registratiehouder van een kwaliteitsregistratie is een rechtspersoon (zonder winstoogmerk) die verantwoordelijk is voor de inhoudelijke ontwikkeling en instandhouding van een kwaliteitsregistratie. De registratiehouder bepaalt doel en middelen van de kwaliteitsregistratie en zorgt ervoor dat organisaties van zorgverleners en cliënten nauw betrokken zijn.

• Registratiehouders krijgen een wettelijke verwerkingsgrondslag voor het verwerken van (bijzondere) persoonsgegevens.
• De registratiehouder van een kwaliteitsregistratie bepaalt de scope van de gegevensuitvraag en -verwerking en is daarmee verwerkingsverantwoordelijke in de zin van de AVG. Een verwerkingsverantwoordelijke moet (aantoonbaar) voldoen aan de AVG. Daarmee is rekening gehouden bij het opstellen van de toetsingscriteria.
  • Dit is een wezenlijke verandering t.o.v. de huidige situatie en kan grote impact hebben op, zeker voor de kleinere registraties en de registraties die niet over een bureau-organisatie beschikken. Het moeten voldoen aan wetgeving kan niet gefaseerd ingevoerd worden. In de toetsingscriteria is hiermee rekening gehouden door gradaties aan te brengen in de bewijslast voor het aantonen van naleving van onder andere de AVG.
• Kwaliteitsregistraties moeten voldoen aan wettelijke eisen (waaronder de aanwezigheid van draagvlak bij relevante organisaties van zorgaanbieders, zorgverleners, cliënten en zorgverzekeraars) om opgenomen te worden in het register van het Zorginstituut.

Een verwerker mag uitsluitend gegevens verwerken in opdracht van en zoals bepaald door de Verwerkingsverantwoordelijke. Het opdrachtgeverschap voor de verwerking van gegevens van kwaliteitsregistraties verschuift van zorgaanbieder naar registratiehouder: 

• Er komt een nieuwe verwerkersovereenkomst (plus hoofdovereenkomst) tussen registratiehouder en verwerker.
• Er is slechts één opdrachtgever (verwerkingsverantwoordelijke registratiehouder) voor de verwerking van gegevens van één kwaliteitsregistratie. Nu zijn er doorgaans (in theorie, in de praktijk coördineert de registratiehouder de opdrachten aan verwerkers) evenveel opdrachtgevers als deelnemers aan de kwaliteitsregistratie. Dit kan in theorie leiden tot tegenstrijdige opdrachten of conflicten, bijvoorbeeld bij het goedkeuren van een nieuwe sub-verwerker.

Bij de verstrekking van de gegevens door Verstrekker aan de Verwerker moet gebruik gemaakt worden van een Trusted Third Party (TTP): 

• Gegevens moeten aan de bron gepseudonimiseerd worden;
• Om alsnog op patiëntniveau koppelingen mogelijk te maken van gegevens afkomstig van meerdere bij het zorgproces betrokken zorgverleners is regie op de pseudoniemen noodzakelijk.
• Dit betekent dat dit proces ingericht moet worden!