Mag ik patiëntgesprekken of medische opnames laten transcriberen?

Medische audiogegevens zijn dubbel beschermd: als gezondheidsgegevens (bijzondere categorie volgens Art. 9 AVG) en door het medisch beroepsgeheim (§ 203 StGB in Duitsland; vergelijkbare regels in de hele EU). Slordig omgaan hiermee riskeert niet alleen AVG-boetes, maar ook tuchtrechtelijke maatregelen en strafrechtelijke vervolging.

Wat concreet nodig is:

1. Rechtsgrond volgens Art. 9, lid 2 AVG. Meestal lid a) (uitdrukkelijke toestemming) of h) (medische diagnose/zorg). Alleen „geïnformeerde\" toestemming – een algemene vinkjes-knop volstaat niet.

2. § 203 StGB. Sinds de hervorming van 2017 mogen beroepsbeoefenaren met geheimhoudingsplicht externe dienstverleners inschakelen, maar moeten: - hen contractueel tot geheimhouding verplichten, - hen informeren over de strafrechtelijke aansprakelijkheid volgens § 203, lid 4, - hen zorgvuldig kiezen.

3. DPA met geheimhoudingsverplichtingen. Een standaard-DPA volstaat niet – het contract moet verwijzen naar § 203 StGB en al het personeel van de verwerker tot geheimhouding verplichten (ook na afloop). DeepScript stelt een uitgebreide DPA beschikbaar voor dit geval.

4. Gegevensopslag in de EU + geen sub-verwerking in de VS. Voor gezondheidsgegevens is Schrems II bijzonder scherp – een doorgifte naar de VS is praktisch niet te rechtvaardigen.

5. TOM's van het hoogste niveau. End-to-end-versleuteling, audit-logs van elke toegang, strikt rechtenbeheer, regelmatige beveiligingsaudits.

6. Pseudonimisering / anonimisering waar mogelijk. Vervang patiëntnamen vóór verzending door pseudoniemen als je dicteersysteem dat toelaat. Art. 32 AVG beveelt pseudonimisering expliciet aan.

7. Bewaartermijnen. Verwijder audio direct na de transcriptie; bewaar de transcripttekst volgens de wettelijke bewaarplicht (in Duitsland vaak 10 jaar voor medische documentatie, § 630f BGB) – los van de aanbieder, in je eigen IT.

Let op: HIPAA geldt alleen in de VS. Wie patiëntgegevens van Amerikaanse burgers transcribeert, heeft daarnaast een Business Associate Agreement (BAA) en HIPAA-conforme infrastructuur nodig. De meeste EU-aanbieders, waaronder DeepScript, zijn geen HIPAA-covered entities, maar dekken het duidelijk strengere AVG-kader.

Praktische tip: kies bij medische transcripties altijd het Premium-model – fouten in medicijnnamen of diagnoses kunnen ernstige gevolgen hebben.