Versterking van het privacy en AI-beleid voor GGz Breburg

GGz Breburg, een specialistische GGZ-instelling in Midden- en West-Brabant, stond op een kruispunt: haar ervaren privacy officer zou met pensioen gaan. Een nieuwe invulling van deze functie was noodzakelijk, zeker in een organisatie waar men werkt met de meest gevoelige gegevens van kwetsbare cliënten. “Privacy moet bij ons niet alleen kloppen volgens de wet, het moet ook in de organisatie goed landen,” aldus Marko Terpstra, directeur Services bij GGz Breburg.

Fysieke aanwezigheid belangrijk

In plaats van direct op zoek te gaan naar een nieuwe vaste collega, koos GGz Breburg bewust voor een interim-oplossing. ICTRecht leverde met Ravi Ramezani een professional die niet alleen juridische kennis meebracht, maar ook feeling had met gezondheidsrecht én met IT. Ravi werd gemiddeld twee dagen per week ingezet, met ten minste één vaste dag op locatie. “Fysieke aanwezigheid was belangrijk,” aldus Terpstra. “Om echt verbinding te maken met de organisatie en te begrijpen wat we doen.”

AI verantwoord invoeren 

Ravi’s opdracht begon met de formele invulling van de PO-rol, maar werd al snel breder. GGz Breburg stond midden in een digitaliseringsslag en had behoefte aan iemand die op meerdere vlakken kon meedenken en bijsturen. “Naast PO was Ravi in feite ook AI-officer en IT-adviseur,” zegt Terpstra. “Hij dacht mee over hoe we als organisatie AI verantwoord konden inzetten, nog voordat we zelf helemaal klaar waren om daar beleid op te voeren.”

Een van de concrete resultaten van de inzet van ICTRecht was het AI-beleid dat werd opgesteld. Dit generieke beleid richt zich vooral op het gebruik van generatieve AI-tools door medewerkers, zoals Copilot en ChatGPT. Het werd inmiddels geaccordeerd door de Raad van Bestuur. “Dat document is echt zijn nalatenschap aan de organisatie,” zegt Terpstra. “Hij dacht bovendien mee over hoe je zoiets intern uitrolt, bijvoorbeeld via de eigen GGZ-academie.” Naast het generieke gebruiksbeleid ontwikkelde Ravi ook een tweede, veel fundamenteler beleidsdocument waarmee AI-compliance kan worden geborgd. Dit document biedt een compleet raamwerk van idee tot ingebruikname voor hoe GGz Breburg AI-toepassingen verantwoord selecteert, beoordeelt, aanschaft en implementeert.

Daarmee legde hij de basis voor een duurzaam governance-model waarin risicobeoordeling, toezicht, compliance en menselijk toezicht integraal zijn ingebed. Het beleid onderscheidt zich door zijn praktische toepasbaarheid: eisen richting leveranciers en duidelijke rollen binnen GGz Breburg zijn hierin vastgelegd.

Actief meedenken

Ravi dacht verder ook actief mee over diverse lopende projecten, zoals het invoeren van cameratoezicht op een locatie in Tilburg. “Dat raakt direct onze privacy waarden. Je wil cliënten beschermen, maar ook veiligheid garanderen,” vertelt Terpstra. Ravi wist hierin de balans te bewaren en betrok juridische, ethische en technische aspecten op de juiste manier.

Daarnaast adviseerde hij over het digitaliseren van het verwerkingsregister. GGz Breburg werkte nog met Excel-lijsten en Ravi bracht alternatieven in kaart, waaronder een tool van ICTRecht zelf. Deze aanbevelingen waren onderdeel van zijn bredere inspanningen om het privacy beheer te professionaliseren en te standaardiseren.

Geen afwachtende houding 

De samenwerking werd breed als positief ervaren. “Ravi wachtte niet tot hij werd gevraagd, hij zorgde dat hij werd betrokken,” aldus Terpstra. “In plaats van klagen dat hij niet werd meegenomen, zette hij zichzelf aan tafel. Dat is precies wat je nodig hebt in een functie als deze.” Daarbij kon Ravi terugvallen op de achterban van ICTRecht. “Als hij zelf ergens de grens van zijn kennis bereikte, wist hij altijd precies wie hij moest raadplegen. Die rugdekking gaf vertrouwen.”

Na de interim-periode werd een vaste PO aangesteld. Dankzij een grondig en goed opgesteld overdrachtsdocument, “precies wat je van juristen mag verwachten”, kon de nieuwe collega direct van start. De structuur die Ravi had opgebouwd, bleef in stand.

Privacy is dus meer dan een wettelijke verplichting, het is een voorwaarde voor goede zorg.

Privacy in de keten

De impact van de samenwerking gaat verder dan de dagelijkse praktijk. “Wij zitten steeds vaker in samenwerkingsverbanden; met huisartsen, gemeenten en andere zorgaanbieders. Juist in die keten is het cruciaal dat privacy goed geborgd is. Ravi hielp ons dat strategisch op de kaart te zetten.”

Marko Terpstra ziet het beroepsgeheim als heilig: “Wat een cliënt aan een psychiater vertelt, moet veilig zijn. Dat vertrouwen is de kern van wat wij doen.” Privacy is dus meer dan een wettelijke verplichting, het is een voorwaarde voor goede zorg.

De samenwerking met ICTRecht is inmiddels grotendeels afgerond, maar GGz Breburg blijft via de flexibele schil betrokken. Voor specifieke vragen wordt ICTRecht nog steeds ingeschakeld.

Onze ervaring

"GGz Breburg is een bijzondere organisatie met een duidelijk doel: mensen beter maken. Dat ik daar als privacy officer aan heb kunnen bijdragen, maakt deze opdracht des te waardevoller," aldus Ravi Ramezani. "Wat ik mooi vond, is dat een organisatie zoals GGz Breburg echt wil meebewegen met nieuwe technologische ontwikkelingen zoals AI. Mijn rol binnen de organisatie beperkte zich niet alleen tot het adviseren rondom privacy zaken. Zo werd mijn input ook gevraagd voor IT-gerelateerde zaken, was ik juridisch sparringpartner en tevens ontwerper van het beleid en de governance rondom AI. Die combinatie maakte het soms uitdagend, maar ook bijzonder interessant. Zeker omdat de wetgeving rondom AI nog volop in ontwikkeling is, was het een leerzaam traject, zowel voor GGz Breburg als voor mij."