De verwerkersovereenkomst: wat erin moet en waar je op let

Je EPD-leverancier bewaart de dossiers van je patiënten, maar jij blijft er wettelijk verantwoordelijk voor. Die verhouding regelt de verwerkersovereenkomst: het contract dat vastlegt wat de leverancier wel en niet met de gegevens mag. De AVG verplicht zo'n overeenkomst zodra een externe partij persoonsgegevens namens jou verwerkt, en bij een EPD gaat het om de gevoeligste categorie die er is. Toch tekenen veel praktijkhouders het document ongelezen mee met het contract. Dit artikel zet op een rij wat erin moet staan en waar je op let voordat je tekent.

De rolverdeling: jij bent verantwoordelijk, de leverancier verwerkt

De AVG kent twee rollen. De verwerkingsverantwoordelijke bepaalt het doel en de middelen van de verwerking; de verwerker handelt uitsluitend in opdracht. Bij een EPD is de verdeling helder: jij als zorgaanbieder hebt de behandelrelatie en houdt het dossier bij, dus jij bent verwerkingsverantwoordelijke. De EPD-leverancier verwerkt de gegevens namens jou en mag ze niet voor eigen doeleinden gebruiken. Niet voor productverbetering, niet voor statistiek, niet voor het trainen van AI-modellen, tenzij jij daar expliciet opdracht voor geeft.

Die rolverdeling heeft een praktische consequentie: gaat er iets mis bij de leverancier, dan kijkt de Autoriteit Persoonsgegevens ook naar jou. Een goede verwerkersovereenkomst is dus geen papierwerk voor de leverancier, maar jouw belangrijkste instrument om grip te houden op wat er met je dossiers gebeurt.

Wat er verplicht in moet staan

Artikel 28 lid 3 AVG somt op wat een verwerkersovereenkomst minimaal regelt:

• Onderwerp, duur, aard en doel van de verwerking, plus de soorten persoonsgegevens (medische gegevens) en categorieën betrokkenen (patiënten). Vage omschrijvingen als 'alle gegevens die nodig zijn voor de dienstverlening' zijn een rode vlag.
• Verwerking uitsluitend op jouw instructie: de leverancier mag niets met de gegevens doen buiten jouw gedocumenteerde opdracht om.
• Geheimhouding voor iedereen die bij de leverancier met de gegevens werkt.
• Passende technische en organisatorische beveiligingsmaatregelen. In de zorg betekent dat concreet: benoem NEN 7510 en waar relevant NEN 7512 en NEN 7513, niet alleen de wettelijke standaardformule.
• Regels voor subverwerkers: wie de leverancier zelf weer inschakelt, en onder welke voorwaarden.
• Ondersteuning bij verzoeken van patiënten (inzage, kopie, vernietiging) en bij je meldplicht rond datalekken.
• Wissen of teruggeven van alle gegevens na afloop van de dienstverlening.
• Medewerking aan audits, zodat jij kunt controleren of de afspraken worden nageleefd.

Subverwerkers: weet wie er nog meer aan tafel zit

Vrijwel geen enkele EPD-leverancier doet alles zelf. Hosting, betalingen en AI-functies lopen via subverwerkers, en elk van die partijen raakt aan jouw gegevens. De AVG eist dat de leverancier daarvoor jouw toestemming heeft. Dat kan specifiek (per subverwerker) of algemeen: de leverancier mag wijzigen, maar moet je vooraf informeren zodat je bezwaar kunt maken. Het vernieuwde model van de brancheorganisaties zorg hanteert die meldingsplicht met bezwaarmogelijkheid als uitgangspunt.

Waar je op let: staat er een concrete, actuele lijst van subverwerkers in een bijlage, met per partij de locatie en de functie? Een leverancier die niet kan of wil vertellen wie zijn subverwerkers zijn, kan de vraag waar je gegevens staan ook niet beantwoorden. Hoe je die vraag zelf stelt, lees je in Waar staan je patiëntgegevens echt?

Doorgifte buiten de EER

Persoonsgegevens mogen alleen naar landen buiten de Europese Economische Ruimte als daar een passend beschermingsniveau is geregeld. Voor medische dossiers kiezen veel zorgaanbieders een hardere lijn: opslag en verwerking uitsluitend binnen de EER, zodat de juridische complexiteit van doorgiftemechanismen helemaal niet speelt. Check daarbij niet alleen de leverancier zelf maar ook de subverwerkers: een Europees bedrijf dat host bij een Amerikaanse cloudprovider valt via die provider alsnog onder Amerikaanse wetgeving.

Datalekken: de termijn moet bij jouw meldplicht passen

Bij een ernstig datalek heb jij als verwerkingsverantwoordelijke 72 uur om te melden bij de Autoriteit Persoonsgegevens. Die klok begint te lopen zodra jij het lek kent, dus de verwerkersovereenkomst moet regelen dat de leverancier je snel informeert. De AVG zegt alleen 'zonder onredelijke vertraging'; in de praktijk wordt vaak een concrete termijn van 24 of 48 uur afgesproken. Staat er geen termijn in, vraag er dan een. Wat je zelf doet als het misgaat, staat in Datalek in je praktijk: dit doe je in de eerste 72 uur.

Audits, aansprakelijkheid en de exit

• Audits: je hebt recht op controle, maar de invulling is vrij. Praktisch: voor een EPD volstaat meestal een geldig NEN 7510-certificaat of een onafhankelijk auditrapport in plaats van zelf een auditor sturen. Let op bepalingen die kosten rekenen voor het uitoefenen van je wettelijke rechten; meewerken aan audits en AVG-verzoeken hoort bij de dienstverlening.
• Aansprakelijkheid: richting de patiënt zijn jij en de leverancier hoofdelijk aansprakelijk voor schade door AVG-schendingen; dat valt niet weg te contracteren. Onderling kan de schadeverdeling wel worden geregeld. Wees alert op clausules die de aansprakelijkheid van de leverancier beperken tot een bedrag dat niet in verhouding staat tot het risico, of die boetes van de AP volledig uitsluiten.
• De exit: bij einde contract moet de leverancier alle gegevens wissen of teruggeven, inclusief kopieën, en daar bewijs van leveren. Leg ook het exportformaat vast: een machineleesbaar, gangbaar formaat maakt het verschil tussen een soepele overstap en maandenlang gedoe. Meer daarover in Overstappen van EPD zonder dataverlies en Vendor lock-in bij EPD's.

Het BOZ-model: niet zelf het wiel uitvinden

De gezamenlijke brancheorganisaties in de zorg (waaronder ActiZ en de NVZ) publiceren een modelverwerkersovereenkomst die is toegesneden op medische gegevens: het BOZ-model. Het is sectorbreed gedragen en het advies is om de modeltekst ongewijzigd te laten en specifieke afspraken in een bijlage op te nemen. Legt je leverancier een eigen document voor, dan is het BOZ-model een bruikbare meetlat: alles wat daarin wel staat en in het voorstel van de leverancier niet, is een gespreksonderwerp.

De vijf meest gemaakte fouten

• Vage omschrijvingen van gegevens en doeleinden, waardoor onduidelijk blijft wat de leverancier eigenlijk mag.
• Alleen 'passende maatregelen' als beveiligingsafspraak, zonder concrete zorgnormen zoals NEN 7510. Wat die norm inhoudt, lees je in Wat betekent NEN 7510 voor je praktijk?
• Betalen voor wettelijke plichten: kosten voor medewerking aan inzageverzoeken of audits.
• Geen exit-afspraken: niets geregeld over teruggave, vernietiging en exportformaat bij einde contract of faillissement van de leverancier.
• De overeenkomst nooit meer bekijken: subverwerkers wijzigen, functies komen erbij (denk aan AI-verslaglegging, zie AI-verslaglegging in de GGZ), en de overeenkomst moet meegroeien. Plan een jaarlijkse check.

Checklist voordat je tekent

• Staan aard, doel, soorten gegevens en categorieën betrokkenen concreet beschreven?
• Wordt NEN 7510 (en waar relevant NEN 7513 voor logging) expliciet genoemd?
• Is er een actuele subverwerkerslijst met locatie en functie per partij, en word je vooraf geïnformeerd bij wijzigingen?
• Blijven alle gegevens binnen de EER, ook bij de subverwerkers?
• Staat er een concrete meldtermijn voor datalekken die ruim binnen jouw 72 uur valt?
• Kun je naleving controleren via een certificaat of auditrapport, zonder extra kosten?
• Is de aansprakelijkheid van de leverancier in verhouding tot het risico?
• Is geregeld wat er bij einde contract met de gegevens gebeurt, in welk formaat je ze krijgt en dat je bewijs van vernietiging ontvangt?

Een verwerkersovereenkomst leest niemand voor zijn plezier. Maar de tien minuten die deze checklist kost, zijn goed besteed: het document bepaalt wat er met de gevoeligste gegevens van je praktijk gebeurt, wie daarbij mag meekijken en hoe je er weer uitkomt. Een leverancier die deze vragen vlot en concreet beantwoordt, heeft zijn zaken doorgaans ook technisch op orde.