Gebruik van het rijksregisternummer in online agenda's
Ten gevolge van een recente uitspraak van de Belgische Gegevensbeschermingsautoriteit (GBA) rijst de vraag op welke wijze artsen moeten omgaan met het rijksregisternummer van patiënten bij het maken van een afspraak via een (extern) online platform. De GBA heeft namelijk gesteld dat de arts die het maken van afspraken mogelijk maakt via een online platform dient te worden gekwalificeerd als de verwerkingsverantwoordelijke en de aanbieder van het online platform als de verwerker.
Zodoende is het niet het online platform, maar de arts die een zgn. ‘rechtsgrond’ dient te hebben om het rijksregister rechtsgeldig te verwerken. Vraag is nu of u zich zorgen dient te maken indien u uw afsprakensysteem op deze manier organiseert.
Gebruik van het rijksregisternummer versus AVG
Zoals ondertussen welgekend, vallen artsen integraal onder het toepassingsgebied van de Algemene Verordening Gegevensbescherming1 (“AVG” of in het Engels “GDPR”) wanneer zij de persoonsgegevens2 van hun patiënten verwerken3. Ook het gebruik van het rijksregisternummer van patiënten is een verwerking van persoonsgegevens en aldus onderworpen aan de spelregels van de AVG.
In België geniet het rijksregisternummer bovendien een bijzonder beschermd statuut. Het rijksregisternummer kan enkel gebruikt worden indien men voldoet aan één van de voorwaarden van de Rijksregisterwet: een machtiging door de bevoegde minister, louter digitale identificatie en authenticatie of o.g.v. een wetsbepaling.4 In zoverre gebruik toegelaten is conform de Rijksregisterwet, zal men tegelijk ook moeten voldoen aan de AVG verplichtingen.
Rechtsgeldig gebruik van het rijksregisternummer
Artsen kunnen het rijksregisternummer gebruiken zonder de expliciete machtiging conform de Rijksregisterwet aangezien zij een therapeutische relatie hebben met hun patiënt en het rijksregisternummer moeten gebruiken om bv. toegang te verkrijgen tot het globaal medisch dossier. Het rijksregisternummer vormt daarbij de sleutel tot unieke identificatie waarvan het belang moet worden benadrukt, gelet op de gezondheid van de patiënt die centraal staat waarbij elk risico op persoonsverwisseling dient te worden uitgesloten.5
Bovendien is het bijhouden (of gebruik) van het rijksregisternummer o.a. wettelijk voorzien overeenkomstig art. 33, 1° van de Kwaliteitswet.6 Hierin wordt verwezen naar het verplicht opnemen van het ‘INSZ nummer’ van de patiënt in het patiëntendossier. Dit is de facto dezelfde als het rijksregisternummer (of het bisnummer voor personen zonder rijksregisternummer).7
Informatieplicht t.a.v. de patiënt
Conform de AVG kan een arts persoonsgegevens van patiënten (waaronder het rijksregisternummer) rechtsgeldig verwerken in het kader van het verlenen van de gezondheidszorg, mits ook voldaan is aan de andere verplichtingen onder de AVG (zoals bv. de informatieplicht t.a.v. de patiënt).8
Het correct gebruik van het rijksregisternummer is dus rechtstreeks gekoppeld aan de beginselen van de AVG. Het is zo dat – ook al mogen artsen het rijksregisternummer van de patiënten waarmee zij een therapeutische relatie hebben verwerken – de patiënt nog steeds voorafgaand moet worden geïnformeerd over de verwerking van diens persoonsgegevens.9 U dient aldus in uw privacyverklaring te vermelden dat u de identificatiegegevens van de patiënt verwerkt, alsook voor welke doeleinden en op basis van welke rechtvaardigingsgronden. Indien u heden werkt met de template zoals voorzien door BVAS en Arcas, dan bent u conform.
In de meeste gevallen zullen patiënten naar het online agendaplatform worden doorverwezen via de website van de arts. Aldus zal de patiënt in principe eerst via de website van de arts ‘passeren’ alwaar deze kennis zal (kunnen) nemen van de privacyverklaring van de arts. In dit geval wordt voorafgaandelijk voldaan aan de informatieverplichting door de arts.
Besluit
Samengevat mag het rijksregisternummer van patiënten dus verwerkt en gebruikt worden door artsen in het kader van hun beroepsactiviteit en aldus ook voor het inboeken van afspraken via een online platform in zoverre de artsen ook voldoen aan hun andere AVG verplichtingen.
1: Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming of “AVG”).
2: Art. 4, 1) AVG, “persoonsgegevens” zijn alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon („de betrokkene”); als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon.
3: Art. 4, 2) AVG, “verwerking” is een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens.
4: Art. 8, §1 wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen, BS 21 april 1984 (“Rijksregisterwet”).
5: Gegevensbeschermingsautoritieit 25 april 2024, beslissing ten gronde nr. 62/2024, nr. randnr. 59.
6: Wet van 22 april 2019 inzake de kwaliteitsvolle praktijkvoering in de gezondheidszorg, BS 14 mei 2019.
7: Art. 8, §1 wet van 15 januari 1990 houdende oprichting en organisatie van een Kruispuntbank van de sociale zekerheid, BS 22 februari 1990, 2 juni 1990 en 2 oktober 1990.
8: Art. 5 AVG: een verwerking kan slecht zover deze rechtmatig, behoorlijk en transparant is, voor een specifiek doel met gebruik van het minimum aan noodzakelijk persoonsgegevens die juist moeten zijn, niet te lang bewaard mogen blijven en voldoende beschermd zijn.
9: Art. 12 e.v. AVG.
