De zzp’er in de zorg: een verwerkingsverantwoordelijke of verwerker onder de AVG?

Laatste update 21 oktober 2022 om 14:22

Onder de Algemene verordening gegevensbescherming (AVG) is het van belang om te beoordelen of een zzp’er persoonsgegevens verwerkt als verwerkingsverantwoordelijke (hierna: verantwoordelijke), verwerker of onder intern beheer. Naar aanleiding daarvan blijkt aan welke regels jij je dient te houden.

Hoofdregel

Degene die doel en middelen bepaalt is verantwoordelijke. Een zorgaanbieder bepaalt in de meeste gevallen op basis van haar expertise welke zorg benodigd is en hoe, daarmee bepaalt de zorgaanbieder doel en middelen. Een zorgaanbieder is dus in de regel verantwoordelijke, dit gaat ook op voor de zzp’er in de zorg.

Veel zzp’ers werken samen met een instelling, in dat geval zijn meerdere verhoudingen mogelijk en is de zzp’er niet vanzelfsprekend verantwoordelijke. Per geval moet beoordeeld worden wat de positie van de zzp’er en de instelling is. Het kan zelfs voorkomen dat een zzp’er gelijk staat aan een medewerker. In dat geval is sprake van intern beheer. Grofweg ziet het beslismodel er als volgt uit:

Aanknopingspunten

Uit het schema blijkt dat een aantal verhoudingen tot de mogelijkheden behoort. Overigens bestaat er nog een extra optie, de gezamenlijke verantwoordelijkheid. Dat doet zich zelden voor, maar kan wel als partijen samen iets ontwikkelen zoals bijvoorbeeld een app. Het schema lijkt simpel, maar het beantwoorden van de drie vragen is minder makkelijk dan het lijkt. De uitkomsten lichten wij daarom in de rest van het artikel toe.

Intern beheer

De cruciale vraag is wie daadwerkelijk de beslissingen neemt binnen een organisatie. Oftewel wie bepaalt de concrete invulling van de (zorg)taken. Daarbij is van belang wie de gedragsregels opstelt, de beslissingen neemt, de ICT-systemen beheert en wie declareert. Ook is van belang met wie de patiënt een geneeskundige behandelingsovereenkomst afsluit. Het kan voorkomen dat de behandelovereenkomst wordt gesloten met de instelling. Overigens kan daarbij afgevraagd worden of het daadwerkelijk gaat om een zzp’er of eerder om een verkapte medewerker. Wat er ook van zij, als de instelling de behandelovereenkomst sluit is het de instelling die beslist hoe en wanneer zorg wordt geleverd. In dat geval is hoogstwaarschijnlijk sprake van intern beheer. Dit betekent dat de instelling in beginsel zorg moet dragen voor de AVG-verplichtingen en er geen verwerkersovereenkomst nodig is met de zpp’er.

Twee verantwoordelijken

Het is ook heel goed mogelijk dat de behandelovereenkomst wordt gesloten tussen de zzp’er en de patiënt, maar de instelling wel een rol inhoudelijke speelt in de zorg. Deze handelswijze is ook raadzaam gelet op de vereiste zelfstandigheid van de zzp’er. De zelfstandigheid wordt des te meer duidelijk als de zzp’er een eigen locatie heeft en haar eigen ICT-systemen beheert.

Indien zowel de instelling als de zzp’er verantwoordelijke zijn moeten beide organisaties voldoen aan de AVG-verplichtingen, denk aan een eigen verwerkingsregister, datalekregister en een grondslag voor de verwerking. Pas bij deze verhouding op met gegevensuitwisseling. De zzp’er moet het medisch dossier bijhouden en mag dit niet zondermeer delen met de instelling. Er moet een grondslag voor deze uitwisseling gevonden worden en schriftelijke afspraken zijn verstandig.

Verantwoordelijke & verwerker

Het komt ook voor dat een instelling de zzp’er slechts faciliteert bij haar dienstverlening en geen eigen zorgtaken heeft. Denk aan ICT-ondersteuning en het overnemen van het declaratieproces. In dat geval kan het zo zijn dat de instelling verwerker is en de zzp’er verantwoordelijke. Doet deze verhouding zich voor dan moet een verwerkersovereenkomst afgesloten worden, er worden namelijk gegevens verwerkt door een verwerker ten behoeve van de verantwoordelijke. Deze situatie kan zich ook omgekeerd voordoen, maar dat zal niet vaak het geval zijn indien de zzp’er zorgaanbieder is. Een zorgaanbieder bepaalt immers zelf hoe zij de zorg zal inrichten en kan gelet op die zelfstandigheid, uitzonderingen daargelaten, niet als verwerker worden aangemerkt.

Conclusie

Positie bepalen voor de zzp’er, zeker bij samenwerking met een instelling kan lastig zijn en de uitkomsten divers. Als er sprake is van intern beheer dan is het aan de instelling om te voldoen aan de AVG-verplichtingen. Zijn het twee losse verantwoordelijken dan moeten beide partijen voldoen aan alle AVG-verplichtingen. Gaat het om de relatie verwerker-verantwoordelijke dan hebben beide partijen eigen AVG-verplichtingen (die kunnen afwijken) en moeten afspraken gemaakt worden in een verwerkersovereenkomst. Per geval moet daarom positie bepaald worden.

Dit artikel is geschreven door Kitty ten Bras jurist bij Eldermans|Geerts.