Patiëntgegevens delen: wat zijn de juridische grenzen?

Gepubliceerd op 8 november 2025 · Laatst bijgewerkt op 14 oktober 2026

Een zorgverlener mag patiëntgegevens zonder toestemming alleen delen met anderen die rechtstreeks bij de behandeling betrokken zijn en met zijn vervanger; voor alle anderen is in beginsel toestemming van de patiënt nodig (artikel 7:457 BW). Uitzonderingen zijn een wettelijke plicht om gegevens te verstrekken, een conflict van plichten en, onder strikte voorwaarden, wetenschappelijk onderzoek (artikel 7:458 BW).

Naast het medisch beroepsgeheim uit de WGBO gelden de AVG, die gezondheidsgegevens als bijzondere persoonsgegevens extra beschermt, en specifieke zorgwetten voor elektronische uitwisseling. Hieronder leest u waar de grenzen liggen en wat dat betekent voor zorgverleners en patiënten.

Welke regels gelden voor patiëntgegevens?

Drie lagen regels lopen door elkaar: het medisch beroepsgeheim, de AVG en de wetten voor elektronische gegevensuitwisseling. Een zorgverlener moet aan alle drie voldoen.

• WGBO (artikel 7:446-7:468 BW): regelt het dossier, de geheimhouding, inzage en vernietiging.
• AVG en UAVG: gezondheidsgegevens zijn bijzondere persoonsgegevens (artikel 9 AVG). Verwerking door zorgverleners voor de behandeling is toegestaan op grond van artikel 9 lid 2 sub h AVG en artikel 30 lid 3 UAVG, omdat zij een beroepsgeheim hebben.
• Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz): regelt onder meer de uitdrukkelijke toestemming voor beschikbaarstelling via een elektronisch uitwisselingssysteem en het gebruik van het burgerservicenummer.
• Wet elektronische gegevensuitwisseling in de zorg (Wegiz): verplicht stap voor stap tot elektronische uitwisseling volgens vaste standaarden voor aangewezen gegevensstromen.

Toezicht op de AVG ligt bij de Autoriteit Persoonsgegevens; op de kwaliteit van zorg en het beroepsgeheim houdt ook de Inspectie Gezondheidszorg en Jeugd toezicht. Voor een overzicht van de algemene privacyregels, zie ons artikel over privacywetgeving in Nederland.

Met wie mag een zorgverlener gegevens delen zonder toestemming?

Met degenen die rechtstreeks betrokken zijn bij de uitvoering van de behandelingsovereenkomst en met zijn vervanger (artikel 7:457 lid 2 BW). Zij gelden niet als “anderen” voor wie het beroepsgeheim geldt.

Dat kan een collega in dezelfde praktijk zijn, maar ook een specialist in een ander ziekenhuis aan wie de patiënt is verwezen. Het gaat om de functie: de ontvanger moet de gegevens nodig hebben voor zijn taak in de behandeling. Een collega die niet bij de behandeling betrokken is, mag het dossier niet inzien, ook niet binnen hetzelfde ziekenhuis.

De patiënt kan bezwaar maken tegen het delen met een bepaalde betrokkene. De zorgverlener respecteert dat, maar moet de patiënt dan wel wijzen op de gevolgen voor de behandeling.

Wanneer is uitdrukkelijke toestemming nodig?

Bij beschikbaarstelling van gegevens via een elektronisch uitwisselingssysteem, zoals het Landelijk Schakelpunt. Volgens artikel 15a Wabvpz is daarvoor uitdrukkelijke toestemming van de patiënt nodig, en de patiënt kan bepalen welke categorieën gegevens beschikbaar komen.

Ook voor delen met partijen buiten de behandelrelatie, zoals een werkgever, verzekeraar of advocaat, is toestemming nodig. Een bedrijfsarts mag aan een werkgever alleen verzuimrelevante informatie geven, geen diagnose.

Welke uitzonderingen op het beroepsgeheim bestaan er?

Er zijn drie hoofduitzonderingen: een wettelijke plicht, een conflict van plichten en wetenschappelijk onderzoek onder voorwaarden. Buiten die uitzonderingen blijft het beroepsgeheim gelden, ook na het overlijden van de patiënt.

• Wettelijke plicht: bijvoorbeeld de meldplicht bij bepaalde infectieziekten op grond van de Wet publieke gezondheid.
• Conflict van plichten: de zorgverlener mag het geheim doorbreken als dat de enige manier is om ernstige schade voor de patiënt of een ander te voorkomen. De Meldcode huiselijk geweld en kindermishandeling geeft daarvoor een stappenplan.
• Wetenschappelijk onderzoek en statistiek: zonder toestemming alleen als vragen om toestemming redelijkerwijs niet mogelijk is of niet kan worden verlangd, het onderzoek een algemeen belang dient, het niet zonder de gegevens kan worden uitgevoerd en de patiënt geen bezwaar heeft gemaakt (artikel 7:458 BW).

Een zorgverlener die het geheim zonder grond doorbreekt, kan tuchtrechtelijk en civielrechtelijk worden aangesproken. Opzettelijke schending van een beroepsgeheim is bovendien strafbaar (artikel 272 Wetboek van Strafrecht).

Welke rechten heeft de patiënt over zijn dossier?

De patiënt heeft recht op inzage en een kopie, op correctie en aanvulling, en op vernietiging van het dossier. De zorgverlener bewaart het dossier in beginsel twintig jaar (artikel 7:454 BW).

• Inzage en kopie: artikel 7:456 BW en artikel 15 AVG; de eerste kopie is gratis en de zorgverlener reageert binnen een maand.
• Correctie: onjuiste gegevens laten verbeteren (artikel 16 AVG); de patiënt kan ook een eigen verklaring laten toevoegen (artikel 7:454 lid 2 BW).
• Vernietiging: op verzoek, binnen drie maanden, tenzij het bewaren van aanmerkelijk belang is voor een ander of een wettelijke plicht zich verzet (artikel 7:455 BW).
• Bezwaar tegen onderzoek: de patiënt kan bezwaar maken tegen gebruik van zijn gegevens voor wetenschappelijk onderzoek (artikel 7:458 BW).

Na het overlijden van de patiënt krijgen nabestaanden onder voorwaarden inzage, bijvoorbeeld als de patiënt daar toestemming voor gaf of als er een zwaarwegend belang is (artikel 7:458a BW). Meer over de rechten van betrokkenen leest u op onze pagina over privacyrecht.

Wat vraagt de AVG verder van zorgaanbieders?

Beveiliging, documentatie en het melden van datalekken. Een zorgaanbieder moet passende technische en organisatorische maatregelen nemen (artikel 32 AVG); in de zorg betekent dat in de praktijk werken volgens de NEN 7510-normen.

• DPIA: verplicht bij verwerkingen met een hoog privacyrisico, zoals grootschalige verwerking van gezondheidsgegevens of de inzet van nieuwe technologie (artikel 35 AVG).
• Functionaris gegevensbescherming: verplicht bij grootschalige verwerking van gezondheidsgegevens, zoals in ziekenhuizen (artikel 37 AVG). Verwerking van patiëntgegevens door een individuele arts of andere zorgverlener geldt volgens overweging 91 AVG niet als grootschalig; een kleine praktijk met één zorgverlener valt daarom meestal niet onder deze plicht.
• Datalekken: melden aan de Autoriteit Persoonsgegevens binnen 72 uur, en aan de patiënt als het lek een hoog risico voor hem oplevert (artikel 33 en 34 AVG). Zie ons artikel over wanneer u een datalek moet melden.
• Logging: in elektronische dossiers moet worden vastgelegd wie welke gegevens heeft ingezien.

De Autoriteit Persoonsgegevens kan bij overtreding een boete opleggen van maximaal € 20 miljoen of 4% van de wereldwijde jaaromzet (artikel 83 AVG). Een patiënt kan daarnaast schadevergoeding vorderen, ook voor immateriële schade (artikel 82 AVG).

Wat verandert er door AI en de European Health Data Space?

Voor AI in de zorg gelden de AVG en de AI-verordening naast elkaar. Medische hulpmiddelen met AI zijn onder de AI-verordening in de regel hoog-risico, en een AI-toepassing mag een behandelbeslissing niet zelfstandig nemen zonder betekenisvolle menselijke tussenkomst (artikel 22 AVG).

De Europese verordening over de European Health Data Space (Verordening (EU) 2025/327) is op 26 maart 2025 in werking getreden en wordt gefaseerd van toepassing. Vanaf maart 2029 moeten patiëntsamenvattingen en e-recepten tussen lidstaten kunnen worden uitgewisseld; vanaf maart 2031 volgen onder meer medische beelden, labuitslagen en ontslagbrieven. Voor hergebruik van gegevens voor onderzoek en beleid (secundair gebruik) gelden eigen regels, ook gefaseerd vanaf 2029.

Wie een AI-toepassing wil inzetten of gegevens voor onderzoek wil gebruiken, doet vooraf een DPIA en controleert of de leverancier als verwerker een verwerkersovereenkomst heeft getekend (artikel 28 AVG). Zie ook ons artikel over de voorbereiding op de AI Act.

Waar let u als zorgverlener op?

• Is de ontvanger rechtstreeks betrokken bij de behandeling, of is toestemming nodig?
• Heeft de patiënt uitdrukkelijk toestemming gegeven voor beschikbaarstelling via een elektronisch uitwisselingssysteem (artikel 15a Wabvpz)?
• Deelt u niet meer gegevens dan de ontvanger nodig heeft?
• Is er een verwerkersovereenkomst met elke IT-leverancier die patiëntgegevens verwerkt?
• Weet uw organisatie hoe binnen 72 uur een datalek wordt gemeld?

Waar let u als patiënt op?

• Vraag inzage of een kopie van uw dossier; de eerste kopie is gratis.
• Bepaal zelf of en welke gegevens via het Landelijk Schakelpunt beschikbaar komen.
• Maak bezwaar als u niet wilt dat uw gegevens voor onderzoek worden gebruikt.
• Vraag vernietiging van uw dossier als u dat wilt; de zorgverlener beslist binnen drie maanden.

Wat kunnen wij voor u doen bij het delen van patiëntgegevens?

• Beoordelen of een gegevensstroom voldoet aan de WGBO, de AVG en de Wabvpz.
• Opstellen of beoordelen van verwerkersovereenkomsten, privacyverklaringen en toestemmingsformulieren.
• Begeleiden van een DPIA bij nieuwe systemen of AI-toepassingen.
• Bijstaan bij een datalek, een onderzoek van de Autoriteit Persoonsgegevens of een tuchtklacht.
• Procederen over inzage, vernietiging of schadevergoeding, met onze specialisten ICT- en privacyrecht.

Samengevat

• Zonder toestemming alleen delen met rechtstreeks betrokkenen bij de behandeling en de vervanger (artikel 7:457 BW).
• Beschikbaarstelling via een elektronisch uitwisselingssysteem vereist uitdrukkelijke toestemming (artikel 15a Wabvpz).
• Uitzonderingen: wettelijke plicht, conflict van plichten en onderzoek onder voorwaarden (artikel 7:458 BW).
• De patiënt heeft recht op inzage, correctie en vernietiging; het dossier wordt in beginsel twintig jaar bewaard.
• Datalekken meldt u binnen 72 uur aan de Autoriteit Persoonsgegevens.

Veelgestelde vragen

Mag mijn huisarts gegevens doorsturen naar de specialist?

Ja, als de specialist rechtstreeks bij uw behandeling betrokken is, bijvoorbeeld na een verwijzing (artikel 7:457 lid 2 BW). U kunt daar bezwaar tegen maken.

Mag mijn werkgever mijn medische gegevens opvragen?

Nee. Een werkgever mag geen diagnose of medische gegevens verwerken; de bedrijfsarts geeft alleen informatie over wat u wel en niet kunt in het werk.

Hoe lang wordt mijn medisch dossier bewaard?

In beginsel twintig jaar, of langer als dat uit de zorg van een goed hulpverlener voortvloeit (artikel 7:454 BW). U kunt eerder om vernietiging vragen (artikel 7:455 BW).

Mogen mijn gegevens zonder toestemming voor onderzoek worden gebruikt?

Alleen onder de strikte voorwaarden van artikel 7:458 BW, en niet als u daartegen bezwaar heeft gemaakt. Vaak worden gegevens daarvoor eerst gepseudonimiseerd.

Lees ook: privacy by design in het mkb en aansprakelijkheid bij fouten van AI.