Elektronisch Medisch Dossier: Beveiligingsnormen 2026

Het elektronisch medisch dossier cumuleert twee regimes die elkaar niet overlappen: dat van de bescherming van persoonsgegevens, dat gezondheidsinformatie beschouwt als een bijzondere categorie die in principe verboden is, en dat van het Franse Wetboek van Volksgezondheid, dat zijn eigen bewaartermijnen en toegangsrechten oplegt. Conformiteit met het eerste betekent niet automatisch conformiteit met het tweede, en de meeste vastgestelde tekortkomingen vloeien voort uit deze verwarring.

De hosting: een verplichte certificering

Elke persoon die persoonsgegevens over gezondheid host voor rekening van derden, in het kader van preventie-, diagnose- of zorgactiviteiten, moet hiervoor gecertificeerd zijn.

Deze verplichting is structureel en wordt vaak te laat ontdekt. Ze hangt niet af van het volume aan gegevens noch van de omvang van de structuur: een praktijk die haar bedrijfssoftware toevertrouwt aan een online dienstverlener moet zich ervan verzekeren dat de hosting van de gegevens wordt verzorgd door een gecertificeerde actor. De verantwoordelijkheid voor deze controle ligt bij de verwerkingsverantwoordelijke, dat wil zeggen bij de zorgverlener of de instelling, en niet bij de dienstverlener.

Hieruit vloeien twee praktische punten voort: het onderaannemingscontract moet deze certificering en de reikwijdte ervan uitdrukkelijk vermelden, en een verandering van dienstverlener of infrastructuur veronderstelt dat deze dekking opnieuw wordt gecontroleerd.

Het regime voor gezondheidsgegevens

Gegevens over gezondheid vallen onder een bijzondere categorie waarvan de verwerking in principe verboden is. De verwerking is alleen rechtmatig als ze onder een van de limitatief voorziene uitzonderingen valt — met name de gezondheidszorg, de preventieve geneeskunde, of de uitdrukkelijke toestemming van de betrokkene.

Deze omgekeerde architectuur heeft een directe consequentie: voor elke verwerking moet men in staat zijn om de uitzondering aan te wijzen waarop ze steunt. Een secundair gebruik van de gegevens — interne statistieken, verbetering van een tool, onderzoek — vloeit niet automatisch voort uit de rechtmatigheid van de zorgverwerking; het vereist een eigen rechtsgrondslag.

Daarbij komen de algemene verplichtingen: register van verwerkingsactiviteiten, informatieverstrekking aan betrokkenen, vastgestelde bewaartermijnen, effectbeoordeling wanneer de verwerking een hoog risico inhoudt — wat vaak het geval is bij een geïnformatiseerd patiëntendossier.

De bewaartermijnen

Deze vallen onder het Franse Wetboek van Volksgezondheid en niet louter onder het beginsel van opslagbeperking.

Het medisch dossier dat wordt opgesteld in een zorginstelling wordt twintig jaar bewaard vanaf het laatste verblijf of de laatste ambulante raadpleging. Twee bijzondere regels komen hierbovenop:

• Voor een patiënt die minderjarig was op het moment van de zorgverlening, wordt de bewaartermijn verlengd tot zijn achtentwintigste verjaardag wanneer dat tijdstip later valt.
• Bij overlijden van de patiënt minder dan tien jaar na het laatste bezoek, wordt het dossier minstens tien jaar bewaard vanaf de datum van overlijden.

Deze termijnen worden opgeschort door elk minnelijk of gerechtelijk beroep dat de aansprakelijkheid van de instelling of van de zorgverleners in vraag stelt.

De samenhang met de verjaringstermijnen voor aansprakelijkheid is rechtstreeks: de vordering verjaart na tien jaar vanaf de consolidatie van de schade, en een voortijdig vernietigd dossier ontneemt de zorgverlener zijn belangrijkste verdedigingsmiddel — een onderwerp dat wordt uitgediept in ons artikel over de professionele burgerlijke aansprakelijkheid.

De traceerbaarheid van toegangen

Dit is de meest operationele vereiste, en ook diegene waarvan het ontbreken het moeilijkst te herstellen is.

Elke toegang tot het dossier moet worden gelogd: wie heeft geraadpleegd, welk element, op welke datum. Deze logging vervult twee onderscheiden en aanvullende functies.

Ze voorkomt en detecteert ongepaste toegangen, die een van de meest voorkomende inbreuken zijn binnen instellingen — het raadplegen van het dossier van een collega, een naaste, of een bekende.

Ze beschermt de zorgverlener, doordat ze toelaat aan te tonen dat een verweten toegang niet heeft plaatsgevonden, of dat een betwiste toegang wel degelijk kaderde binnen de zorgverlening. Zonder logboek kan een vermoeden noch bevestigd noch weerlegd worden.

De toegangsrechten moeten bovendien gedifferentieerd worden naargelang de opdrachten: het behoren tot het zorgteam geeft geen toegang tot het volledige dossier, maar enkel tot de informatie die noodzakelijk is, zoals uiteengezet in ons artikel over het medisch beroepsgeheim.

Het toegangsrecht van de patiënt

De patiënt krijgt rechtstreeks toegang tot alle informatie over zijn gezondheid, zonder zijn verzoek te moeten motiveren.

De mededeling gebeurt ten vroegste na een bedenktijd en ten laatste binnen een termijn die langer wordt wanneer de informatie ouder is dan vijf jaar. Eventuele kosten beperken zich tot de kostprijs van reproductie en verzending.

Twee beperkingen omkaderen dit recht: informatie verzameld bij derden die niet betrokken zijn bij de zorgverlening is hiervan uitgesloten, evenals informatie die dergelijke derden betreft. Na overlijden valt de toegang van rechthebbenden onder een afzonderlijk regime, beperkt tot de informatie die noodzakelijk is voor het ingeroepen motief.

Gebruiksscenario's

Verandering van bedrijfssoftware. Controleer de hostingcertificering van de nieuwe dienstverlener, de omkeerbaarheid van de gegevens, en het exportformaat. Een migratie zonder herstelplan stelt bloot aan verlies van dossiers waarvan de bewaartermijnen nog steeds lopen.

Groepspraktijk. Differentieer de toegangsrechten per zorgverlener en per patiënt in plaats van het volledige dossier voor iedereen open te stellen. Dit is het meest voorkomende controlepunt, en het hangt evenzeer af van de organisatie als van de techniek — een onderwerp behandeld in ons artikel over de administratieve conformiteit van een medische praktijk.

Toegangsverzoek van een patiënt. Controleer de identiteit, isoleer de uitgesloten informatie, respecteer de toepasselijke termijn naargelang de ouderdom. Registreer het verzoek en het antwoord: het naleven van de termijn moet bewezen kunnen worden.

Veelgestelde vragen

Is een gecertificeerde hostingprovider verplicht? Ja, zodra gezondheidsgegevens worden gehost voor rekening van een derde in een context van preventie, diagnose of zorg. De controle ligt bij de verwerkingsverantwoordelijke, niet bij de dienstverlener.

Hoe lang moet een medisch dossier worden bewaard? Twintig jaar vanaf het laatste bezoek aan de instelling, met verlenging tot de achtentwintigste verjaardag van de patiënt indien deze minderjarig was, en minstens tien jaar vanaf een overlijden dat zich binnen de tien jaar voordeed.

Kan de patiënt zijn dossier raadplegen? Ja, rechtstreeks en zonder motief, binnen de voorziene termijnen, die langer worden voor informatie ouder dan vijf jaar. Enkel de kosten van reproductie en verzending kunnen worden gevraagd.

Is het loggen van toegangen verplicht? Ja, en het beschermt zowel de zorgverlener als de patiënt: zonder logboek kan een betwiste toegang noch bevestigd noch weerlegd worden.

Kan een zorgverlener elk dossier van de structuur raadplegen? Nee. De toegang beperkt zich tot de informatie die noodzakelijk is voor zijn opdracht in de zorgverlening aan de betrokken patiënt. De toegangsrechten moeten dienovereenkomstig gedifferentieerd worden.

Mogen de gegevens voor statistische doeleinden gebruikt worden? Niet op grond van de zorgverwerking. Elk secundair gebruik vereist een eigen rechtsgrondslag, en indien nodig een specifieke informatieverstrekking aan de betrokkenen.

Wat u moet onthouden

Twee regimes overlappen elkaar en moeten afzonderlijk behandeld worden. De gegevensbescherming vereist dat voor elke verwerking de uitzondering wordt aangewezen die ze rechtmatig maakt — het zorgdoel dekt geen secundaire gebruiken. Het Wetboek van Volksgezondheid legt zijn bewaartermijnen op, die in decennia worden geteld en worden opgeschort bij een beroep.

Tussen de twee door dient één maatregel beide regimes tegelijk: de logging van toegangen, gekoppeld aan gedifferentieerde toegangsrechten. Dit maakt het mogelijk aan te tonen dat de grens van het 'noodzakelijke voor de opdracht' werd nageleefd, en het beschermt ook de zorgverlener wanneer hem een toegang wordt verweten. Deze redenering sluit aan bij die welke van toepassing is op het verkrijgen van toestemming: wat niet wordt vastgelegd, kan noch bewezen noch weerlegd worden.