GDPR voor tandartsen in België

Tandartsen verwerken bijzondere categorieën persoonsgegevens (gezondheidsgegevens) en zijn daardoor onderhevig aan de strengste AVG/GDPR-regels. De GBA hanteert voor zorgverleners hogere verwachtingen dan voor gewone KMO's.

Dit artikel behandelt de praktische verplichtingen voor een Belgische tandartspraktijk. Wil je snel weten of je praktijkwebsite voldoet? Doe de gratis scan voor je praktijkwebsite en je krijgt direct een overzicht van de risicopunten.

---

Patiëntgegevens als bijzondere categorie

Alles wat je over een patiënt bijhoudt is potentieel gezondheidsdata: anamnese, behandelingsverslagen, röntgenopnames, medicatie-informatie, allergieën. Dit zijn bijzondere categorieën persoonsgegevens in de zin van artikel 9 AVG.

Extra verplichtingen voor bijzondere categorieën:

• Uitdrukkelijke toestemming vóór verwerking (of een andere geldige rechtsgrond, zoals uitvoering van een zorgovereenkomst)
• Verwerkingsregister bijhouden
• Passende technische en organisatorische beveiligingsmaatregelen
• Strikte toegangsbeperking: alleen bevoegd personeel

---

Het e-health platform en Belpic

Belgische zorgverleners gebruiken het e-health platform voor elektronisch voorschrijven, raadpleging van patiëntendossiers en communicatie met mutualiteiten. Dit platform valt onder het toezicht van het eHealth-agentschap en de GBA.

Je verplichtingen bij gebruik van e-health:

• Gebruik uitsluitend aangemelde en erkende softwarepakketten
• Zorg voor beveiligde toegang (tweefactorauthenticatie via eID of Itsme)
• Beperk toegang tot patiëntendossiers tot behandelende zorgverleners
• Documenteer wie toegang heeft en waarom

---

Bewaartermijnen

Belgische richtlijnen voor medische dossiers:

Na afloop van de bewaartermijn moeten dossiers op veilige wijze worden vernietigd.

---

Meldingsplicht bij datalekken

Een datalek is elke inbreuk op de beveiliging die leidt tot, of kan leiden tot, verlies, ongeoorloofde toegang of openbaarmaking van persoonsgegevens.

Voorbeelden in een tandartspraktijk:

• Hackaanval op je praktijksoftware
• Gestolen of verloren laptop met patiëntgegevens
• Brand of waterschade die papieren dossiers vernietigt
• E-mail met patiëntgegevens naar verkeerde ontvanger gestuurd

Procedure:

1. Constateer het lek en documenteer de feiten
2. Beoordeel de ernst: hoeveel patiënten, wat voor data, welk risico?
3. Meld binnen 72 uur bij de GBA via meldingsformulier op gegevensbeschermingsautoriteit.be
4. Bij hoog risico voor patiënten: informeer de betrokkenen ook rechtstreeks

---

Website van je tandartspraktijk

Je praktijkwebsite verwerkt persoonsgegevens zodra je een contactformulier of online afsprakensysteem hebt.

Verplicht:

• Privacyverklaring bereikbaar via de footer: beschrijft de gegevensverwerking voor patiëntcontact en afspraken
• Cookiebanner als je analytics (Google Analytics) gebruikt, want patiënten-IP-adressen zijn persoonsgegevens
• Ondernemingsnummer (KBO) zichtbaar in de footer, wettelijk verplicht voor alle Belgische bedrijven
• Veilig contactformulier via HTTPS

---

Verwerkersregister

Voor tandartspraktijken is een verwerkingsregister in de praktijk altijd verplicht. De uitzondering uit artikel 30(5) AVG voor organisaties met minder dan 250 medewerkers geldt niet wanneer je structureel bijzondere categorieën persoonsgegevens verwerkt, en patiëntdossiers vallen daar volledig onder. Een tandartspraktijk valt dus niet onder de KMO-uitzondering.

Het register beschrijft welke gegevens je verwerkt, waarvoor, door wie, hoe lang en welke beveiligingsmaatregelen je neemt.

---

Praktische checklist voor tandartsen

---

Controleer je praktijkwebsite gratis

Scan je website gratis →

---

Bronnen

• GBA, Gevoelige gegevens (gezondheid)
• eHealth-agentschap
• GBA, Gegevensinbreuk melden
• GBA, Beslissingen van de Geschillenkamer
• Wet van 20 november 2022 (bewaartermijn 10 jaar), economie.fgov.be

---

Dit is technische analyse, geen juridisch advies. Raadpleeg een juridisch adviseur of de GBA voor je specifieke situatie.