Met de komst van de Algemene verordening gegevensbescherming (AVG) in 2018 stonden veel organisaties voor een enorme opgave.
Hoe richt je je processen honderd procent compliant in? Nu, ruim een jaar later, is de eerste boete uitgedeeld door de Autoriteit Persoonsgegevens. Ook binnen de zorg wordt er nadrukkelijker gekeken naar de handhaving van de AVG. Meldingen worden nader onderzocht en zo kwam het dat vorige week het eerste ziekenhuis werd beboet. Het moge duidelijk zijn dat de AP ook zorginstanties strenger is gaan controleren.
Zorgprofessional voelt zich beperkt
De inachtneming van de AVG leeft zeer in de zorg. Er is echter geregeld een duidelijk verschil te bemerken tussen hoe het beleid geformuleerd is en hoe dit in de praktijk wordt nageleefd. Dit komt door de aard van deze organisaties in combinatie met de druk die met de dagelijkse werkzaamheden gepaard gaat. Artsen en verpleegkundigen zijn vanzelfsprekend gericht op de behandeling van hun patiënten. Ze voelen zich daarbij tegenwoordig vaak met handen en voeten gebonden aan strikte privacyregels. Dit gevoel vindt zijn oorsprong vooral in administratieve regels en beperkingen in de toegang tot informatie. Het is dan ook zeer denkbaar dat personeel de manier waarop de organisatie de privacy waarborgt ervaart als een extra belasting. Dit terwijl dat juist niet het geval zou mogen zijn. Het gevolg is dat medewerkers manieren zoeken om hun werk efficiënt te kunnen doen en daardoor afwijken van het gestelde beleid; er ontstaan als het ware olifantenpaadjes. Daarbij kan het gebeuren dat patiëntgegevens wel erg gemakkelijk gedeeld en ingezien worden.
Angst versus vertrouwen
De intenties van het personeel zijn zuiver. Het is hun missie om de patiënt optimale zorg te bieden. De bescherming van patiëntgegevens mag echter nooit worden vergeten. Het hebben van een gezamenlijk gedragen en uitgesproken normbesef is daarbij cruciaal. Bij organisaties in de zorg levert de AVG in de hoofden van beleidsmakers soms een dilemma op: leggen we in het kader van de AVG ons personeel de nodige beperkingen op om de bescherming van de privacy te garanderen? Of werken we met minimale extra regels en vanuit vertrouwen?
Dit laatste, het werken vanuit vertrouwen, klinkt mooi, maar is niet eenvoudig. Nog steeds zullen er de nodige regels zijn, maar in tegenstelling tot de eerste keuze, is het uitgangspunt niet de beperking (het tegemoet komen aan de angst voor privacyschending), maar de gezamenlijke verantwoordelijkheid om goede en professionele zorg te verlenen. Vergis je niet: dit vereist een open cultuur en de mogelijkheid om elkaar aan te spreken op misstanden. Daar waar veel ziekenhuizen kiezen voor overwegend technische maatregelen, moet er juist aandacht zijn voor de intrinsieke overtuiging van medewerkers. Privacybescherming vormt inmiddels een vast onderdeel van hun werk. Voor het verwerken van persoonsgegevens moet er een wettelijke grondslag zijn. Door samen met de medewerkers de AVG te bespreken en het perspectief van de patiënt aan te nemen, bouw je aan een gezamenlijk verantwoordelijkheidsgevoel. Immers: wat gij niet wil dat u geschiedt…
Monitoring als middel tot verbetering
Vertrouwen is goed, maar goede controle blijft noodzakelijk. Het vormt een belangrijk onderdeel van de passende beveiliging van persoonsgegevens. Monitoring speelt hier een grote rol in. Door monitoring zijn organisaties in staat gedragsveranderingen in gang te zetten en misstappen in de toekomst te voorkomen. Daarnaast kom je er door monitoring achter wanneer personeel niet de gebaande paden volgt en kun je hen hierop aanspreken. Blijvende voorlichting is een andere maatregel. Soms gaan mensen namelijk onbewust de fout in. Kijk samen naar waar het fout ging en verbeter waar nodig. Op deze manier is monitoring duidelijk bedoeld om te komen tot verbetering en niet om te waarschuwen of te oordelen. Werk vanuit het besef van kwaliteit, veiligheid en privacy. Kom met voorbeelden en maak het bespreekbaar. Zo wordt er gewerkt aan een werkbare invulling van de AVG, waarbij deze de te leveren zorg niet belemmert. De kans dat het AVG-beleid breed wordt gedragen en waarbij iedereen zich gezamenlijk verantwoordelijk voelt, wordt hiermee aanmerkelijk vergroot.
