Elektronisch medisch dossier: 2026 beveiligingsnormen

Het elektronisch medisch dossier combineert twee regimes die niet samenvallen: dat van de bescherming van persoonsgegevens, waarbij gezondheidsgegevens als een bijzondere categorie worden behandeld die in beginsel verboden is, en dat van het Franse Wetboek van Volksgezondheid, dat zijn eigen bewaartermijnen en eigen toegangsrechten oplegt. Conformiteit met het eerste betekent niet automatisch conformiteit met het tweede, en de meeste vastgestelde inbreuken vloeien voort uit die verwarring.

Hosting: een verplichte certificering

Elke partij die persoonsgegevens over gezondheid host voor rekening van derden, in het kader van preventie-, diagnose- of zorgactiviteiten, moet daarvoor gecertificeerd zijn.

Deze verplichting is structurerend en wordt vaak te laat ontdekt. Ze hangt niet af van het gegevensvolume of de omvang van de organisatie: een praktijk die haar bedrijfssoftware toevertrouwt aan een onlinedienstverlener moet zich ervan verzekeren dat de hosting van de gegevens wordt verzorgd door een gecertificeerde partij. De verantwoordelijkheid voor die controle ligt bij de verwerkingsverantwoordelijke, dat wil zeggen de zorgverlener of de instelling, en niet bij de dienstverlener.

Daaruit vloeien twee praktische punten voort: het onderaannemingscontract moet deze certificering en haar toepassingsgebied expliciet vermelden, en een wijziging van dienstverlener of infrastructuur vereist dat deze dekking opnieuw wordt gecontroleerd.

Het regime voor gezondheidsgegevens

Gegevens over gezondheid vallen onder een bijzondere categorie waarvan de verwerking in beginsel verboden is. De verwerking is enkel rechtmatig als ze onder een van de limitatief opgesomde uitzonderingen valt — met name zorgverlening, preventieve geneeskunde, of de expliciete toestemming van de betrokkene.

Deze omgekeerde opzet heeft een direct gevolg: voor elke verwerking moet men kunnen aanwijzen welke uitzondering deze onderbouwt. Een secundair gebruik van gegevens — interne statistieken, verbetering van een tool, onderzoek — vloeit niet automatisch voort uit de rechtmatigheid van de zorgverwerking; het vereist een eigen rechtsgrondslag.

Daarnaast gelden de algemene verplichtingen: een register van verwerkingsactiviteiten, informatie aan betrokkenen, vastgestelde bewaartermijnen, een effectbeoordeling wanneer de verwerking een hoog risico inhoudt — wat vaak het geval is bij een geautomatiseerd patiëntendossier.

De bewaartermijnen

Deze vallen onder het Franse Wetboek van Volksgezondheid en niet louter onder het beginsel van opslagbeperking.

Het medisch dossier dat binnen een zorginstelling wordt aangelegd, wordt twintig jaar bewaard vanaf het laatste verblijf of de laatste ambulante consultatie. Twee bijzondere regels komen daar bovenop:

• Voor een minderjarige patiënt op het moment van de behandeling loopt de bewaartermijn door tot zijn achtentwintigste verjaardag, indien dat later valt.
• Bij overlijden van de patiënt minder dan tien jaar na het laatste contact, wordt het dossier ten minste tien jaar bewaard vanaf de datum van overlijden.

Deze termijnen worden geschorst bij elk minnelijk of contentieus beroep dat de aansprakelijkheid van de instelling of de zorgverleners in het geding brengt.

De samenhang met de verjaringstermijnen voor aansprakelijkheid is rechtstreeks: de vordering verjaart tien jaar na de consolidatie van de schade, en een voortijdig vernietigd dossier ontneemt de zorgverlener zijn belangrijkste verdedigingsmiddel — een kwestie die uitgebreid wordt besproken in ons artikel over de professionele burgerlijke aansprakelijkheid.

De traceerbaarheid van toegang

Dit is de meest operationele vereiste, en degene waarvan het ontbreken het moeilijkst is recht te trekken.

Elke toegang tot het dossier moet worden gelogd: wie heeft wat geraadpleegd, en op welke datum. Deze logging vervult twee afzonderlijke, aanvullende functies.

Ze voorkomt en detecteert onterechte toegang, wat een van de meest voorkomende inbreuken binnen instellingen is — het raadplegen van het dossier van een collega, een naaste, of een bekende.

Ze beschermt de zorgverlener, doordat kan worden aangetoond dat een verweten toegang niet heeft plaatsgevonden, of dat een betwiste toegang wel degelijk verband hield met de behandeling. Zonder logboek kan een vermoeden noch worden bevestigd, noch worden weerlegd.

De toegangsrechten moeten daarenboven worden gedifferentieerd naargelang de taken: het behoren tot het zorgteam geeft geen toegang tot het volledige dossier, maar enkel tot de informatie die noodzakelijk is, zoals uiteengezet in ons artikel over het medisch beroepsgeheim.

Het toegangsrecht van de patiënt

De patiënt heeft rechtstreeks toegang tot alle informatie over zijn gezondheid, zonder zijn verzoek te moeten motiveren.

De mededeling gebeurt op zijn vroegst na een bedenktijd en op zijn laatst binnen een termijn die wordt verlengd wanneer de informatie ouder is dan vijf jaar. Eventuele kosten beperken zich tot de kostprijs van reproductie en verzending.

Twee beperkingen omkaderen dit recht: informatie die is verkregen van derden die niet betrokken waren bij de behandeling, is ervan uitgesloten, net als informatie over dergelijke derden. Na overlijden geldt voor de toegang van erfgenamen een afzonderlijk regime, beperkt tot de informatie die noodzakelijk is voor de aangevoerde reden.

Gebruiksscenario's

Wijziging van bedrijfssoftware. Controleer de hostingcertificering van de nieuwe dienstverlener, de overdraagbaarheid van gegevens, en het exportformaat. Een migratie zonder herstelplan stelt bloot aan verlies van dossiers waarvoor de bewaartermijnen nog steeds lopen.

Groepspraktijk. Differentieer de toegangsrechten per zorgverlener en per patiënt in plaats van het volledige dossier voor iedereen open te stellen. Dit is het meest voorkomende controlepunt, en het is zowel een organisatorische als een technische kwestie — een onderwerp dat wordt behandeld in ons artikel over de administratieve conformiteit van een medische praktijk.

Toegangsverzoek van een patiënt. Controleer de identiteit, isoleer de uitgesloten informatie, respecteer de termijn die van toepassing is naargelang de ouderdom van de gegevens. Registreer het verzoek en het antwoord: het naleven van de termijn moet bewezen kunnen worden.

Veelgestelde vragen

Is een gecertificeerde hostingpartij verplicht? Ja, zodra gezondheidsgegevens worden gehost voor rekening van een derde in het kader van preventie, diagnose of zorg. De controle ligt bij de verwerkingsverantwoordelijke, niet bij de dienstverlener.

Hoe lang moet een medisch dossier worden bewaard? Twintig jaar vanaf het laatste contact met de instelling, met verlenging tot de achtentwintigste verjaardag van de patiënt indien hij minderjarig was, en ten minste tien jaar vanaf een overlijden dat binnen die tien jaar plaatsvond.

Mag de patiënt zijn dossier inzien? Ja, rechtstreeks en zonder motivering, binnen de voorziene termijnen, die worden verlengd voor informatie ouder dan vijf jaar. Enkel de kosten van reproductie en verzending mogen worden aangerekend.

Is het loggen van toegang verplicht? Ja, en het beschermt zowel de zorgverlener als de patiënt: zonder logboek kan een betwiste toegang noch worden bevestigd, noch worden weerlegd.

Mag een zorgverlener elk dossier van de organisatie raadplegen? Nee. De toegang beperkt zich tot de informatie die noodzakelijk is voor zijn taak bij de behandeling van de betrokken patiënt. De toegangsrechten moeten dienovereenkomstig worden gedifferentieerd.

Mogen de gegevens voor statistische doeleinden worden gebruikt? Niet op grond van de zorgverwerking. Elk secundair gebruik vereist zijn eigen rechtsgrondslag, en indien nodig een specifieke informatieverstrekking aan de betrokkenen.

Om te onthouden

Twee regimes komen samen en moeten afzonderlijk worden behandeld. De gegevensbescherming vereist dat voor elke verwerking wordt aangewezen welke uitzondering deze rechtmatig maakt — het zorgdoel dekt geen secundair gebruik. Het Franse Wetboek van Volksgezondheid legt zijn eigen bewaartermijnen op, die in decennia worden gerekend en worden geschorst bij een beroepsprocedure.

Tussen beide regimes bestaat er één mechanisme dat beide tegelijk dient: de logging van toegang, gecombineerd met gedifferentieerde toegangsrechten. Daarmee kan worden aangetoond dat de grens van het "noodzakelijke voor de taak" is gerespecteerd, en het beschermt tevens de zorgverlener wanneer hem een toegang wordt verweten. Deze redenering sluit aan bij die welke geldt voor het verkrijgen van toestemming: wat niet wordt geregistreerd, kan noch worden bewezen, noch worden weerlegd.