Je staat in de winkel, je ziet een slimme weegschaal van Fitbit, een bloeddrukmeter van Withings of misschien wel een Apple Watch die belooft je hartslag in de gaten te houden. Je denkt: “Handig, ik meet even mijn gezondheid vanuit huis.” Maar wacht even.
▶Inhoudsopgave
Wat gebeurt er eigenlijk met al die medische data die jij verzamelt? Die informatie is veel persoonlijker dan je foto’s op Instagram. De AVG (Algemene Verordening Gegevensbescherming) is er niet voor niets, en fabrikanten hebben hier een flinke verantwoordelijkheid. Laten we eens kijken wat ze wettelijk moeten doen om jouw privacy te waarborgen, zonder dat het een saai juridisch verhaal wordt.
Waarom medische thuisdata extra gevoelig is
Stel je voor: je gebruikt een app op je telefoon om je stappen te tellen, je slaap te meten of je bloedsuiker te checken. Dit zijn medische gegevens, ook al kom je niet in een ziekenhuis. Onder de AVG vallen deze gegevens in de categorie “bijzondere persoonsgegevens”.
Dat betekent dat ze extra bescherming nodig hebben. Fabrikanten mogen deze data niet zomaar verwerken.
Ze moeten een duidelijke, wettige basis hebben. Denk aan jouw uitdrukkelijke toestemming of een noodzakelijke medische reden.
Zonder deze basis zijn ze in overtreding. Fabrikanten zoals Apple, Samsung en Garmin weten dit. Hun privacybeleid is vaak uitgebreid, maar dat betekent niet dat het altijd waterdicht is.
Jij als gebruiker moet weten wat er met je data gebeurt. En de fabrikant moet ervoor zorgen dat hun systemen veilig zijn en dat ze niet meer data verzamelen dan nodig.
Dit is niet alleen moreel verstandig, maar wettelijk verplicht.
De kern van de AVG voor fabrikanten
De AVG stelt eisen aan elke organisatie die persoonsgegevens verwerkt. Voor fabrikanten van medische thuisapparaten gelden extra regels. Ze moeten:
- Transparant zijn over welke data ze verzamelen en waarom.
- De data beveiligen tegen ongeautoriseerde toegang.
- De data niet langer bewaren dan nodig.
- Jouw rechten respecteren, zoals het recht op inzage, correctie en verwijdering.
Stel je voor dat je een bloeddrukmeter van Withings gebruikt. De app meet je bloeddruk en slaat de data op in de cloud.
Withings moet ervoor zorgen dat deze data versleuteld is en dat alleen jij en je arts er toegang toe hebben. Ze mogen deze data niet gebruiken voor reclame of aan derden verkopen zonder jouw toestemming. Als ze dit wel doen, overtreden ze de AVG.
De rol van toestemming
Toestemming is een sleutelbegrip. Fabrikanten mogen alleen medische gegevens verwerken als jij expliciet ja hebt gezegd. Dit betekent dat ze je duidelijk moeten uitleggen wat je toestemt. Geen verborgen clausules of ingewikkelde juridische taal.
Een voorbeeld: de app van Fitbit vraagt je om toestemming voor het delen van je hartslagdata met derden voor onderzoek.
Je moet weten dat dit gebeurt en waarom. Als je geen toestemming geeft, mogen ze deze data niet verwerken.
Let op: toestemming is niet eeuwig. Je kunt je toestemming altijd intrekken. Fabrikanten moeten hier rekening mee houden en je data verwijderen als je dat vraagt. Dit is een wettelijk recht onder de AVG.
Beveiliging: een must voor fabrikanten
Medische thuisdata is een goudmijn voor hackers. Fabrikanten moeten sterke beveiligingsmaatregelen nemen. Denk aan versleuteling van data, sterke wachtwoorden en tweefactorauthenticatie.
Apple is hier een goed voorbeeld. Hun Health-app slaat data op in een versleutelde omgeving en geeft jou de controle over wie er toegang toe heeft.
Andere fabrikanten, zoals Xiaomi, hebben soms kritiek gekregen op hun beveiliging. Het is belangrijk dat fabrikanten investeren in veilige systemen, want een datalek kan grote gevolgen hebben voor jouw privacy.
Datalekken en meldplicht
Als er een datalek is, moeten fabrikanten dit melden bij de Autoriteit Persoonsgegevens. Dit moet binnen 72 uur gebeuren. Als jouw medische gegevens zijn gelekt, moeten ze je ook informeren.
Stel je voor dat je slimme weegschaal van Withings een lek heeft en je gewicht en BMI op straat liggen.
Dat is niet alleen gênant, maar kan ook leiden tot identiteitsdiefstal of discriminatie. Fabrikanten moeten hier serieus werk van maken.
Gegevensminimalisatie: minder is meer
Een belangrijk principe van de AVG is gegevensminimalisatie. Fabrikanten mogen alleen gegevens verzamelen die nodig zijn voor het doel van de app of het apparaat.
Een fitnesstracker hoeft niet te weten waar je woont of wat je politieke voorkeur is.
Als een app te veel data vraagt, is dat een rode vlag. Let hierop bij het kopen van een apparaat. Kies voor fabrikanten die duidelijk uitleggen waarom ze welke data nodig hebben.
Bijvoorbeeld: de Apple Watch meet je hartslag en slaap. Apple beweert dat ze deze data alleen gebruiken om je gezondheid te verbeteren en niet voor reclame. Dit is een voorbeeld van gegevensminimalisatie. Fabrikanten die deze principes volgen, voldoen beter aan de AVG.
Doorgifte aan derde landen
Veel fabrikanten slaan data op in de cloud, vaak buiten Europa. De AVG stelt strenge eisen aan de doorgifte van persoonsgegevens naar landen buiten de EU. Fabrikanten moeten ervoor zorgen dat deze landen een vergelijkbaar niveau van bescherming bieden.
Dit kan via standaardcontractuele clausules of bindende bedrijfsregels. Apple en Google gebruiken bijvoorbeeld datacenters in Europa om te voldoen aan deze eisen.
Fabrikanten die dit niet doen, overtreden de AVG.
Wat jij kunt doen als gebruiker
Hoewel de verantwoordelijkheid bij de fabrikant ligt, kun jij ook stappen ondernemen.
Lees het privacybeleid van de app of het apparaat. Geef alleen toestemming voor data die echt nodig is. Gebruik sterke wachtwoorden en schakel tweefactorauthenticatie in. En als je twijfelt, kies dan voor fabrikanten die bekend staan om hun privacybeleid, zoals Apple of Withings.
Conclusie
Medische thuisdata is gevoelig en valt onder de strengere regels van de AVG. Fabrikanten zijn wettelijk verplicht om transparant te zijn, sterke beveiliging te bieden en je rechten te respecteren.
Of je nu een Fitbit, Apple Watch of Withings apparaat gebruikt, je moet weten dat je data veilig is. Door bewuste keuzes te maken en op de hoogte te blijven, kun je genieten van de voordelen van slimme gezondheidsapparaten zonder je privacy op het spel te zetten.
Veelgestelde vragen
Wat gebeurt er met de medische data die ik verzamel met mijn slimme apparaten?
De data die je verzamelt met apparaten zoals een Fitbit of bloeddrukmeter, valt onder de AVG als ‘bijzondere persoonsgegevens’.
Hoe beschermt de AVG fabrikanten van medische apparaten?
Fabrikanten moeten dus extra zorg dragen voor de beveiliging en privacy van deze informatie, en ze mogen deze niet zomaar delen met derden zonder jouw expliciete toestemming. De AVG stelt fabrikanten van apparaten zoals bloeddrukmeters en hartslagmeters aan om transparant te zijn over welke data ze verzamelen, deze veilig te bewaren en te beveiligen, en jouw rechten te respecteren, zoals het recht om je gegevens in te zien en te laten verwijderen. Ze mogen alleen data verwerken met jouw expliciete toestemming.
Is toestemming altijd nodig om medische data te verwerken?
Niet altijd. De AVG vereist toestemming voor de meeste gevallen, maar er zijn uitzonderingen, zoals wanneer de verwerking noodzakelijk is voor een medische reden of wanneer de wet dit vereist.
Wat is de ‘wettelijke basis’ voor het verwerken van mijn medische data?
Fabrikanten moeten je duidelijk uitleggen wat je precies toestaan, zonder verborgen clausules.
Hoe lang moeten fabrikanten mijn medische data bewaren?
De wettelijke basis voor het verwerken van medische data is meestal jouw expliciete toestemming. Fabrikanten mogen deze data alleen verwerken als je akkoord bent, en ze moeten je duidelijk uitleggen waarom ze de data willen gebruiken. Zonder deze basis is de verwerking in strijd met de AVG. Fabrikanten mogen medische data alleen zo lang bewaren als strikt noodzakelijk is voor de beoogde verwerking, bijvoorbeeld voor het leveren van de service of voor wettelijke archivering. Ze moeten er ook voor zorgen dat de data versleuteld is en alleen toegankelijk is voor geautoriseerde personen.