GDPR voor tandartsen in België

Tandartsen verwerken bijzondere categorieën persoonsgegevens (gezondheidsgegevens) en zijn daardoor onderhevig aan de strengste AVG/GDPR-regels. De GBA hanteert voor zorgverleners hogere verwachtingen dan voor gewone KMO's.

Dit artikel behandelt de praktische verplichtingen voor een Belgische tandartspraktijk.

---

Patiëntgegevens als bijzondere categorie

Alles wat je over een patiënt bijhoudt is potentieel gezondheidsdata: anamnese, behandelingsverslagen, röntgenopnames, medicatie-informatie, allergieën. Dit zijn bijzondere categorieën persoonsgegevens in de zin van artikel 9 AVG.

Extra verplichtingen voor bijzondere categorieën:

• Uitdrukkelijke toestemming vóór verwerking (of een andere geldige rechtsgrond, zoals uitvoering van een zorgovereenkomst)
• Verwerkingsregister bijhouden
• Passende technische en organisatorische beveiligingsmaatregelen
• Strikte toegangsbeperking: alleen bevoegd personeel

---

Het e-health platform en Belpic

Belgische zorgverleners gebruiken het e-health platform voor elektronisch voorschrijven, raadpleging van patiëntendossiers en communicatie met mutualiteiten. Dit platform valt onder het toezicht van het eHealth-agentschap en de GBA.

Je verplichtingen bij gebruik van e-health:

• Gebruik uitsluitend aangemelde en erkende softwarepakketten
• Zorg voor beveiligde toegang (tweefactorauthenticatie via eID of Itsme)
• Beperk toegang tot patiëntendossiers tot behandelende zorgverleners
• Documenteer wie toegang heeft en waarom

---

Bewaartermijnen

Belgische richtlijnen voor medische dossiers:

Na afloop van de bewaartermijn moeten dossiers op veilige wijze worden vernietigd.

---

Meldingsplicht bij datalekken

Een datalek is elke inbreuk op de beveiliging die leidt tot, of kan leiden tot, verlies, ongeoorloofde toegang of openbaarmaking van persoonsgegevens.

Voorbeelden in een tandartspraktijk:

• Hackaanval op je praktijksoftware
• Gestolen of verloren laptop met patiëntgegevens
• Brand of waterschade die papieren dossiers vernietigt
• E-mail met patiëntgegevens naar verkeerde ontvanger gestuurd

Procedure:

1. Constateer het lek en documenteer de feiten
2. Beoordeel de ernst: hoeveel patiënten, wat voor data, welk risico?
3. Meld binnen 72 uur bij de GBA via meldingsformulier op gegevensbeschermingsautoriteit.be
4. Bij hoog risico voor patiënten: informeer de betrokkenen ook rechtstreeks

---

Website van je tandartspraktijk

Je praktijkwebsite verwerkt persoonsgegevens zodra je een contactformulier of online afsprakensysteem hebt.

Verplicht:

• Privacyverklaring bereikbaar via de footer: beschrijft de gegevensverwerking voor patiëntcontact en afspraken
• Cookiebanner als je analytics (Google Analytics) gebruikt, want patiënten-IP-adressen zijn persoonsgegevens
• Ondernemingsnummer (KBO) zichtbaar in de footer, wettelijk verplicht voor alle Belgische bedrijven
• Veilig contactformulier via HTTPS

---

Verwerkersregister

Elke Belgische praktijk met meer dan 250 medewerkers is verplicht een verwerkingsregister bij te houden. Voor kleinere praktijken is het niet formeel verplicht, maar wel sterk aanbevolen als de verwerking risico's inhoudt, wat bij gezondheidsgegevens altijd het geval is.

Het register beschrijft: welke gegevens je verwerkt, waarvoor, door wie, hoe lang, en welke beveiligingsmaatregelen je neemt.

---

Praktische checklist voor tandartsen

---

Controleer je praktijkwebsite gratis

Scan je website gratis →

---

Bronnen

• GBA, Zorg en privacy
• eHealth-agentschap
• GBA, Meld een datalek

---

Dit is technische analyse, geen juridisch advies. Raadpleeg een juridisch adviseur of de GBA voor je specifieke situatie.