Inzage, afschrift en de vraag "wie heeft mijn dossier bekeken?"

Het korte antwoord: een patiënt mag zijn dossier inzien en een afschrift krijgen. Vraagt hij het elektronisch te krijgen, dan lever je elektronisch. De eerste kopie is kosteloos. Je reageert binnen een maand. En de patiënt mag weten wie zijn elektronisch dossier heeft ingezien, en wanneer.

Hieronder staat wat dat in de praktijk betekent, en waar de wet minder duidelijk is dan je zou willen.

Wat de patiënt mag vragen

Twee wetten geven hetzelfde recht, elk vanuit een eigen hoek.

• De WGBO, de Wet op de geneeskundige behandelingsovereenkomst: je geeft de patiënt op verzoek inzage in en een afschrift van de gegevens uit het dossier (artikel 7:456 BW).
• De AVG, de Algemene verordening gegevensbescherming: iedereen heeft recht op inzage in en een kopie van zijn persoonsgegevens (artikel 15).

Het Europese Hof van Justitie besliste in 2023 dat een patiënt recht heeft op een getrouwe en begrijpelijke kopie. Dat omvat in elk geval de gegevens uit het dossier over diagnoses, onderzoeksuitslagen, beoordelingen en behandelingen. Een volledige kopie van documenten hoort erbij als dat nodig is om de gegevens te kunnen begrijpen of controleren.

Wat er niet onder valt: persoonlijke werkaantekeningen van de arts. Die horen ook niet in het dossier.

Wanneer je iets mag weglaten: als inzage de privacy van een ander schaadt (artikel 7:456 BW). Denk aan een familielid dat je in vertrouwen iets vertelde. Je weigert dan alleen dat deel, en je moet kunnen uitleggen waarom het belang van die ander zwaarder weegt. De privacy van de zorgverlener zelf is geen reden om een deel te weigeren.

Elektronisch, en kosteloos

Vraagt de patiënt om elektronische inzage of een elektronisch afschrift, dan lever je dat elektronisch. Dat staat in artikel 15d van de Wabvpz, de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg. Die elektronische inzage en dat afschrift zijn kosteloos.

Ook op papier vraag je voor de eerste kopie niets. Het Hof van Justitie besliste dat ook als de patiënt de kopie voor een ander doel wil gebruiken, bijvoorbeeld een aansprakelijkheidszaak.

Een redelijke vergoeding mag alleen bij extra kopieën, of bij een verzoek dat kennelijk ongegrond of buitensporig is. Bijvoorbeeld iemand die telkens opnieuw hetzelfde vraagt. Dat buitensporige karakter moet je dan kunnen aantonen (artikel 12 lid 5 AVG).

Binnen een maand

Je laat de patiënt onverwijld en uiterlijk binnen een maand na ontvangst weten wat je met het verzoek doet (artikel 12 lid 3 AVG). Bij een ingewikkeld verzoek of veel verzoeken mag je twee maanden verlengen. Dat meld je binnen die eerste maand.

Weiger je geheel of gedeeltelijk? Dan leg je binnen een maand uit waarom. Je wijst de patiënt erop dat hij een klacht kan indienen bij de Autoriteit Persoonsgegevens of naar de rechter kan (artikel 12 lid 4 AVG).

Een maand is kort als het verzoek in een algemene mailbox binnenkomt. Leg daarom vast op welke datum het binnenkwam.

Wie mag het vragen?

• De patiënt zelf, vanaf 12 jaar.
• Ouders met gezag, voor een kind jonger dan 16. Tussen 12 en 16 jaar hebben ouder en kind dit recht allebei.
• Vanaf 16 jaar krijgen ouders alleen inzage als het kind toestemming geeft.
• Een vertegenwoordiger van een patiënt die niet zelf kan beslissen, zoals een curator, mentor of partner (artikel 7:465 BW).
• Nabestaanden alleen in een beperkt aantal gevallen (artikel 7:458a BW).

Stel de identiteit vast

Het grootste risico bij een inzageverzoek is niet dat de patiënt te veel ziet. Het is dat iemand anders zijn dossier krijgt.

Twijfel je of de aanvrager echt de patiënt is? Dan mag je om aanvullende informatie vragen (artikel 12 lid 6 AVG). Vraag niet meer dan nodig.

Praktisch:

• Controleer een identiteitsbewijs aan de balie, of via een beeldverbinding.
• Maak geen kopie of scan van het identiteitsbewijs. De KNMG-richtlijn zegt dat een arts die niet mag maken of bewaren.
• Stuur een dossier niet naar een e-mailadres dat je niet kent of niet hebt gecontroleerd.
• Noteer hoe je de identiteit hebt vastgesteld.

Wie heeft mijn dossier bekeken?

Hier is de wet minder eenduidig dan de vraag.

De Wabvpz zegt in artikel 15e dat in een elektronisch afschrift op verzoek staat wie bepaalde informatie heeft ingezien of opgevraagd, en op welke datum. Dat artikel geldt sinds 1 juli 2020. De toelichting bij de inwerkingtreding spreekt vooral over gegevens die via een uitwisselingssysteem tussen zorgaanbieders worden gedeeld.

De Autoriteit Persoonsgegevens en de KNMG beschrijven het breder: de patiënt heeft het recht te weten wie er in zijn dossier heeft gekeken.

Het Europese Hof van Justitie besliste in 2023 over logbestanden in het algemeen. Onder de AVG heeft iemand recht op de datums en de doelen van het raadplegen van zijn gegevens. De namen van medewerkers hoeven er volgens het Hof niet standaard bij, tenzij die nodig zijn om de eigen rechten echt te kunnen uitoefenen. Dat arrest ging over een bank, niet over een medisch dossier.

Wat betekent dit voor jou? Reken erop dat je moet kunnen laten zien wanneer het dossier is geopend en door wie. Dat kan alleen als je EPD dat vastlegt. En een logboek helpt pas echt als iemand er af en toe naar kijkt.

Een werkwijze voor je praktijk

1. Spreek af waar verzoeken binnenkomen en wie ze oppakt.
2. Noteer de ontvangstdatum en reken de uiterste datum uit.
3. Stel de identiteit vast en noteer hoe.
4. Stel het afschrift samen. Controleer of het compleet is en of er gegevens van anderen in staan.
5. Lever via een veilig kanaal.
6. Leg vast wat je hebt geleverd en wanneer.

Start je een nieuwe kliniek? Neem dit mee in je inrichting, zie kliniek starten.

Wat Epdee hierin doet, en wat niet

• Epdee legt vast wie een dossier opent. Het openen van de persoonsgegevens, het openen van het medisch dossier en het downloaden van het dossier als PDF komen elk in de audittrail. Dat geldt ook voor het toevoegen of stoppen van medicatie en overgevoeligheden.
• Uit die vastlegging is per patiënt af te leiden wie keek. Met datum en tijd, naam en rol van de medewerker, en wat er gebeurde. IP-adressen horen daar bewust niet bij.
• Niet alles geeft een regel per patiënt. Een naam die in de agenda of de patiëntenlijst voorbijkomt, of een export van de hele praktijk, staat niet in het overzicht van die ene patiënt.
• Toegang tot het dossier hangt aan een behandelrelatie. Heb je die niet, dan kun je noodtoegang gebruiken met een verplichte reden. Die reden staat in het toegangsoverzicht. Noodtoegang houdt niemand tegen; het maakt zichtbaar wie keek en waarom.
• Epdee kent een registratie voor verzoeken van patiënten, onder Privacyverzoeken in de zijbalk. Daarin staan de ontvangstdatum en de uiterste datum van een maand. Je koppelt het verzoek aan het dossier door te zoeken op naam of geboortedatum. Afronden kan pas nadat je hebt vastgelegd hoe je de identiteit hebt gecontroleerd.
• Het toegangsoverzicht is een uitdraai. Is de identiteit vastgelegd, dan maakt een beheerder er een PDF van: wie de gegevens van de patiënt opende of wijzigde, wanneer, met welke rol, en de reden bij noodtoegang. Je kiest een periode van één, twee of vijf jaar. Het overzicht zegt er zelf bij wat er niet in staat.
• De dossier-PDF is de basis van het afschrift, nog niet het hele dossier. Hij bevat persoonsgegevens, afspraken met notities, facturen, verwijzingen, medicatie en overgevoeligheden (ook wat gestopt is) en de antwoorden op vragenlijsten, bij de vragen zoals de patiënt ze zag. Bijlagen van verwijzingen staan erin genoemd, maar het bestand zelf niet: lever dat apart mee. Verzekeringsgegevens en verrichtingen zitten er in de huidige versie niet in. Controleer het afschrift dus voordat je het levert.
• Wat nog niet af is. De patiënt kan inzage niet zelf in een portaal opvragen of ophalen. De uitdraai lever je dus zelf, via een veilig kanaal.

Dit artikel is geen juridisch advies. Stand: september 2026.

Bronnen

• Burgerlijk Wetboek boek 7, artikelen 456, 458a en 465 (wetten.overheid.nl)
• Wabvpz, artikelen 15d en 15e (wetten.overheid.nl)
• Besluit inwerkingtreding artikelen 15d en 15e Wabvpz, Stb. 2020, 178
• AVG, artikelen 12 en 15 (EUR-Lex)
• Hof van Justitie EU, 26 oktober 2023, C-307/22 (kopie uit het medisch dossier)
• Hof van Justitie EU, 22 juni 2023, C-579/21 (logbestanden)
• Autoriteit Persoonsgegevens: Rechten bij het dossier met gezondheidsgegevens
• KNMG-richtlijn Omgaan met medische gegevens (2024)
• Rijksoverheid: Mag ik mijn medisch dossier inzien?