Toestemming medisch dossier naar nieuwe website

[PatrickDeelen]

Onze zoon krijgt thuiszorg en de verslaglegging daarvan is voor ons zichtbaar via www.carenzorgt.nl.

Binnenkort willen ze de website een update geven en komen ze opeens met de vraag of we hiermee akkoord zijn. In de FAQ staat dit:

Waarom vragen we jouw toestemming?

We willen jouw gegevens overzetten van de huidige Caren naar de nieuwe versie, zodat we ze daar verder kunnen verwerken. Als er een bestaande koppeling is met het digitale zorgsysteem van jouw zorgorganisatie, willen we deze uitwisseling van gegevens voortzetten. Omdat het hierbij vaak gaat om medische gegevens (zogenaamde bijzondere persoonsgegevens), hebben we hiervoor jouw uitdrukkelijke toestemming nodig

Ik heb daarop gevraagd waarom er toestemming gegeven moet worden voor een software update. Daarop kreeg ik dit antwoord.

Goedendag,

In dit geval is het geen update maar een gehele nieuwe pagina. Gegevens moeten van de ene naar de andere pagina worden overgezet en daar moet toestemming voor worden gegeven.

Met vriendelijke groet,

Het voelt voor mij een beetje gek.

Waarom zou dit nodig zijn?

[AW_Bos]

Het is een migratie naar een compleet nieuw systeem. Waarschijnlijk is er binnen de organisatie van Caren wat aangepast waardoor er opnieuw toestemming nodig is? Als het intern was, bijv, een update van Beheersysteem A naar B, dan is er geen toestemming nodig.

[ Voor 23% gewijzigd door AW_Bos op 20-08-2025 10:27 ]

[Bernard0343]

Zou het zo kunnen zijn dat de gegevens naar een ander datacenter verplaatst worden? Als de 'verwerker' (lees; de eigenaar/huurder van de hardware waarop deze gegevens opgeslagen zijn) wijzigt, zou je daarvoor opnieuw toestemming moeten geven.

[F_J_K]

Vraag aan Caren: wat als ik geen toestemming geef?

Als het strikt noodzakelijk is voor uitvoer van de diensten (zorg leveren) dan is er geen toestemming nodig. Anders moet je ook nee kunnen zeggen. Waarbij er dan wel consequenties kunnen zijn, zoals dat de zorgdossiers mondeling / op papier of zo worden gedeeld.

Als er toestemming nodig is, en bij de eerdere toestemming is gezegd wat de maatregelen zijn (zoals (gebruik van portal merk X') dan is het niet vreemd om nu toestemming te vragen voor gebruik van portal Y. Prima zelfs.

[digifun]

Waarom moeilijk gaan doen ?

Denk je nu echt dat ze rare dingen gaan doen met je data ?

De zorg loopt zoveel stroever door de privacy eisen , is in de praktijk echt een probleem.

[JackBol]

digifun schreef op woensdag 20 augustus 2025 @ 12:23:
Waarom moeilijk gaan doen ?

Dit. Als ze slechte intenties hebben, vragen ze echt geen toestemming. Het gebeurt regelmatig dat gegevens vanuit een systeem naar een ander systeem overzet moeten worden. Als daarbij een nieuwe subprocessor toegang krijgt tot de data, moet daar toestemming voor gevraagd worden.

Vraag anders even de privacy verklaring op. Daar staat het door hun juristen tot op de letter in uitgespeld.

[Bernard0343]

F_J_K schreef op woensdag 20 augustus 2025 @ 12:10:
Vraag aan Caren: wat als ik geen toestemming geef?

Als het strikt noodzakelijk is voor uitvoer van de diensten (zorg leveren) dan is er geen toestemming nodig. Anders moet je ook nee kunnen zeggen. Waarbij er dan wel consequenties kunnen zijn, zoals dat de zorgdossiers mondeling / op papier of zo worden gedeeld.

Als er toestemming nodig is, en bij de eerdere toestemming is gezegd wat de maatregelen zijn (zoals (gebruik van portal merk X') dan is het niet vreemd om nu toestemming te vragen voor gebruik van portal Y. Prima zelfs.

Het beschikbaar maken van cliëntgegevens via een cliëntenportaal (PGO in beleidsspeak), is volgens mij een verplichting die een instelling heeft vanuit de wet Wegiz. Volgens mij is de informatie in de OP vrij duidelijk. De gegevens worden gemigreerd, het zijn bijzondere persoonsgegevens, vandaar de vraag van deze instelling. Keurig van ze.

[F_J_K]

Bernard0343 schreef op woensdag 20 augustus 2025 @ 12:27:
[..] volgens mij een verplichting die een instelling heeft vanuit de wet Wegiz. [..] vandaar de vraag van deze instelling. Keurig van ze.

Nope. Niet voor de zekerheid toestemming vragen waar dat niet nodig is.

AVG art 6. De grondslag kan zijn o.a. noodzakelijk voor de uitvoering van een overeenkomst, noodzakelijk om te voldoen aan een wettelijke verplichting, of toestemming. Als het wettelijk verplicht is ga je niet om toestemming vragen. Je ziet de politie al aankomen met de vraag om toestemming van verwerken van je gegevens om je en boete te geven.

AVG art 7: als je toestemming vraag dan moet die te allen tijde zijn in te trekken. En dat kan niet als het wettelijk verplicht is.

En de Guidelines 05/2020 on consent en wat jurisprudentie zeggen meer expliciet dat je geen toestemming mag vragen waar een andere grondslag geldt.

31. If a controller seeks to process personal data that are in fact necessary for the performance of a contract, then consent is not the appropriate lawful basis.

Al kan je ook 'gewoon toestemming geven' als je niets spannends verkeerd ziet gaan er verder geen last van hebt en niet met de FG in overleg wilt.

[Jazzy]

Blijft een eigenaardig verhaal. Als je de organisatie al eens toestemming hebt gegeven om die gegevens te verwerken en er aan die verwerking blijkbaar niets verandert, waarom dan opnieuw om toestemming vragen?

[Bernard0343]

F_J_K schreef op woensdag 20 augustus 2025 @ 12:49:
[...]

Nope. Niet voor de zekerheid toestemming vragen waar dat niet nodig is.

AVG art 6. De grondslag kan zijn o.a. noodzakelijk voor de uitvoering van een overeenkomst, noodzakelijk om te voldoen aan een wettelijke verplichting, of toestemming. Als het wettelijk verplicht is ga je niet om toestemming vragen. Je ziet de politie al aankomen met de vraag om toestemming van verwerken van je gegevens om je en boete te geven.

AVG art 7: als je toestemming vraag dan moet die te allen tijde zijn in te trekken. En dat kan niet als het wettelijk verplicht is.

En de Guidelines 05/2020 on consent en wat jurisprudentie zeggen meer expliciet dat je geen toestemming mag vragen waar een andere grondslag geldt.
[...]

Al kan je ook 'gewoon toestemming geven' als je niets spannends verkeerd ziet gaan er verder geen last van hebt en niet met de FG in overleg wilt.

Klopt, het beschikbaar stellen van gegevens via een cliëntenportaal is een wettelijke verplichting, dus had de instelling deze toestemming achterwege moeten laten. Aan de andere kant, je kan deze 'fout' ook zien als een poging om zo zorgvuldig mogelijk te zijn (en dan iéts verder te gaan dan mag/moet/nodig is).
Let wel, als de infrastructuur van het cliëntenportaal ook wordt gebruikt om informatie te delen met andere zorgverleners (dus van buiten Sherpa) dan is toestemming wél vereist (Zie hier, onder kopje 'Toestemming in verschillende wetten').

Wat ik trouwens wél, mogelijk, als issue zie is dat, TS (mede?) om deze toestemming wordt gevraagd. Als zijn zoon 16 of ouder én wilsbekwaam is, zou híj deze toestemming moeten verlenen. Maar als de zoon van TS jonger of wilsonbekwaam is, is deze instelling bij TS aan het goede adres.

....overigens @PatrickDeelen , de laatste alinea was een tikje off-topic én een prive gedachte mijnerzijds. Het is, pertinent, geen vraag om meer over je gezinssituatie te delen dan in de OP staat.

Jazzy schreef op woensdag 20 augustus 2025 @ 13:05:
Blijft een eigenaardig verhaal. Als je de organisatie al eens toestemming hebt gegeven om die gegevens te verwerken en er aan die verwerking blijkbaar niets verandert, waarom dan opnieuw om toestemming vragen?

Misschien omdat in de aanvankelijke toestemmingsverklaring de leverancier van het cliëntenportaal expliciet genoemd staat, als ze dan van leverancier wisselen, moeten ze dat aan de cliënt (of zijn wettelijk vertegenwoordiger) melden.

[ Voor 30% gewijzigd door Bernard0343 op 20-08-2025 13:32 ]

[Orion84]

Jazzy schreef op woensdag 20 augustus 2025 @ 13:05:
Blijft een eigenaardig verhaal. Als je de organisatie al eens toestemming hebt gegeven om die gegevens te verwerken en er aan die verwerking blijkbaar niets verandert, waarom dan opnieuw om toestemming vragen?

Veel kans gewoon een of andere better safe than sorry kronkel in hun processen. Of er verandert iets wezenlijks in hoe/waar de gegevens verwerkt worden, maar dan zou je verwachten dat ze toelichten wat die relevante verandering dan is waar ze nieuwe toestemming voor nodig hebben.

[sambalbaj]

Gaat het niet alleen over het overzetten zelf.
Blijkbaar gaat dit niet vanzelf tussen twee versies van dezelfde entiteit en moet het overzetten zelf gebeuren via een derde partij waarvoor de toestemming er nog niet was.

[PatrickDeelen]

Dank allemaal voor jullie reacties,

Naar aanleiding van het eerst bericht van @Bernard0343 heb ik ze nog gevraagd of ze gebruik gaan maken van een ander datacenter of cloud van een andere provider voor opslag. Daarop stuurde ze dit:

Goedendag,

Bedankt voor uw bericht.

De data zal opgeslagen worden in hetzelfde data center. Al jouw informatie is opgeslagen op onze servers. We slaan afbeeldingen op bij een derde partij (Amazon Webservices in Ierland) waar wij ook een verwerkersovereenkomst mee hebben afgesloten.

Meer informatie hier over kunt u vinden in onze privacy statement

Ik hoop u zo voldoende te hebben geïnformeerd.

Met vriendelijke groet,

Carenzorgt is trouwens niet de zorgverlener maar een derde partij die een koppeling maakt met de daadwerkelijke zorgverlener om online toegang tot het dossier mogelijk te maken. We moeten dus wel akkoord gaan met de voorwaarden van carenzorgt als derde partij.

Hoe dan ook, wellicht is het inderdaad niet meer dan over zorgvuldigheid en had het eigenlijk niet gehoeven.

[lordgandalf]

Het is waarschijnlijk zo dat de leverancier van het systeem wat veranderd en mogelijk hoeven ze daar officieel geen toestemming voor te vragen maar omdat ze de gebruiker toch de keuze willen geven vragen ze het uit beleefdheid. Want zoals al getoond is als het nodig is voor hun service mogen ze de gegevens gewoon verwerken maar aangezien mensen toch wat scared zijn ivm medische data doen ze dit om mensen gerust te stellen en te laten weten wat er met hun data gebeurd. Kreeg ook zo een mail van mijn huisarts die van systeem a naar b ging.

[kodak]

De reacties dat het vragen om toestemming niet zomaar relevant is lijken vooral de bedoeling te hebben om te bagatelliseren dat recht geven belangrijk is. Zeker in de zorg is je personen recht laten behouden heel belangrijk. De tijd dat de belangen van zorg(medewerkers) boven de personen staat is behoorlijk omstreden. Het toestemming vragen gaat niet slechts om ja of nee, het gaat ook om bewust een keuze maken om bijvoorbeeld in te stemmen. Zoals om genoeg onderbouwing krijgen en vragen kunnen stellen voordat je voor een voldongen feit staat. En daar is in de periode om een keuze te maken meestal ook opzettelijk gelegenheid voor. Je hoeft er geen gebruik van te maken. En je kunt het natuurlijk ook vervelend vinden dat personen een keuze krijgen of zelfs geen vertouwen in een ander systeem kunnen hebben. Maar de wetgever geeft niet zomaar de vrijheid niet zomaar recht te nemen omdat het kan.