NEN 7510 voor fysiotherapiepraktijken
Een fysiotherapiepraktijk moet patiëntgegevens beveiligen volgens NEN 7510 , maar hoeft niet te certificeren. De KNGF zegt het in de voorwaarden voor je EPD zonder omwegen: zorginstellingen moeten voldoen aan NEN 7510, je moet bijhouden wie in het dossier kijkt en iedereen heeft een persoonlijk account. Voor de meeste praktijken komt het neer op een goed gekozen EPD, veilig mailen en een paar vaste werkafspraken.
Deze pagina werkt NEN 7510 voor kleine praktijken uit voor de fysiotherapie. Je leest wat de KNGF verwacht, wat je EPD-leverancier regelt en wat je zelf vastlegt. Met een actielijst die je kunt overnemen.
Moet een fysiotherapiepraktijk NEN 7510 certificeren?
Nee, certificering is niet verplicht. Wel moet je passende maatregelen nemen volgens de AVG en de Wabvpz , die naar NEN 7510 verwijst. De IGJ toetst of je aantoonbaar volgens de norm werkt.
Een certificaat is één manier om dat te laten zien. Voor een gewone praktijk volstaat meestal aantoonbaar werken volgens de norm, met af en toe een onafhankelijke blik. Wat dat inhoudt, lees je op onafhankelijke beoordeling of certificering.
Wat verwacht de KNGF van je EPD?
Je elektronisch patiëntendossier (EPD), bijvoorbeeld Intramed, FysioRoadmap of SpotOnMedics, is het belangrijkste systeem in je praktijk. De KNGF noemt een aantal voorwaarden. Deze tabel zet ze naast wat je zelf controleert.
| KNGF-voorwaarde | Wat je controleert |
|---|---|
| Leverancier heeft een certificaat voor NEN 7510 of ISO 27001 | Certificaat opvragen en kijken of de EPD-dienst binnen de scope valt |
| Logging van dossierinzage volgens NEN 7513 | Staat logging aan, en kun je een overzicht per patiënt maken? |
| Iedereen heeft een persoonlijk account | Geen gedeelde logins, ook niet voor stagiairs of invallers |
| Dossier 20 jaar bewaren vanaf de laatste wijziging | Hoe lever je gegevens aan bij een overstap of praktijkbeëindiging? |
De KNGF adviseert daarnaast veilig inloggen met tweestapsverificatie én een eenmalige identiteitscontrole, voor behandelaars en patiënten. Dat geldt bijvoorbeeld voor een patiëntportaal of online afspraken maken.
Een gecertificeerd EPD is maar een deel van het werk. De KNGF benadrukt dat informatiebeveiliging veel meer is dan alleen een gecertificeerd EPD. Je werkplekken, mail, oefenapps en medewerkers horen er ook bij.
Veilig mailen met huisartsen en patiënten
Fysiotherapeuten mailen veel: eindverslagen naar de huisarts, oefenschema’s naar patiënten, afspraakbevestigingen. Volgens de KNGF mail je patiëntgegevens alleen veilig als je werkt volgens NTA 7516.
Twee punten uit het KNGF-advies zijn praktisch belangrijk. Een afspraakbevestiging bevat al gezondheidsinformatie, omdat die verraadt dat iemand onder behandeling is. En leveranciers konden zich tot mei 2022 laten certificeren voor NTA 7516, dus een certificaat zegt nu weinig. Vraag je leverancier per eis wat de dienst regelt.
Voor verwijzingen komt er een alternatief voor mail. De KNGF meldt dat KNGF en VECOZO in 2026 de dienst Verwijzen voor fysiotherapie introduceren, waarmee praktijken digitale verwijzingen ontvangen.
Oefenapps, video’s en andere tools
Veel praktijken gebruiken naast het EPD een oefenapp, een online agenda, een tool voor vragenlijsten of een betaalsysteem. Elke tool die patiëntgegevens verwerkt, valt onder NEN 7510 en de AVG.
| Tool | Waar je op let |
|---|---|
| Oefenapp met video’s (zoals Physitrack) | Verwerkersovereenkomst, inloggen patiënt, koppeling met het EPD |
| Online agenda | Welke gegevens ziet de patiënt bij het boeken, staat er een behandelreden in? |
| Vragenlijsttool | Waar worden antwoorden opgeslagen en hoe lang? |
| WhatsApp met patiënten | Niet gebruiken voor gezondheidsinformatie; kies een beveiligde chat |
Leg per tool vast wie de leverancier is en of er een verwerkersovereenkomst is. Zo ontstaat vanzelf een eenvoudig verwerkingsregister.
Wanneer heb je een FG en een DPIA nodig?
De Autoriteit Persoonsgegevens noemt de verwerking door een zorgaanbieder grootschalig boven de 10.000 ingeschreven patiënten, of gemiddeld meer dan 10.000 per jaar, in één informatiesysteem (AP-uitleg ). Dan zijn een functionaris gegevensbescherming (FG) en een DPIA verplicht.
Een gemiddelde solopraktijk zit daar ruim onder. Een praktijk met meerdere vestigingen in één EPD kan de grens wel halen. Tel dan alle patiënten in het systeem mee, niet per locatie.
Voorbeeld: NEN 7510-actielijst voor een fysiotherapiepraktijk
Fictief voorbeeld. Fysiotherapie Het Anker heeft acht fysiotherapeuten, een manueel therapeut, twee secretaresses en 3.200 nieuwe patiënten per jaar. De praktijkhouder loopt de KNGF-voorwaarden langs en maakt deze lijst.
| Risico | Maatregel | Eigenaar | Klaar |
|---|---|---|---|
| Secretaresses delen één EPD-account | Persoonlijke accounts, rechten per rol | Praktijkhouder | Direct |
| Eindverslagen via gewone mail naar huisarts | Veilige maildienst volgens NTA 7516 | Praktijkhouder | Maart |
| Oefenapp zonder verwerkersovereenkomst | Overeenkomst opvragen en vastleggen | Praktijkhouder | Februari |
| Laptop voor huisbezoeken niet versleuteld | Schijfversleuteling en vergrendeling na 5 minuten | IT-partner | Februari |
| Behandelaars appen met patiënten | Afspraak: alleen via de beveiligde chat van het EPD | Alle behandelaars | Direct |
| Geen datalekprocedure | Eén A4 met stappen en contactgegevens AP en Z-CERT | Praktijkhouder | Maart |
Een gestolen onversleutelde laptop met behandelverslagen is een meldplichtig datalek. Op datalek melden lees je wat je binnen 72 uur doet.
Bewaartermijn van het fysiotherapeutisch dossier
Ook voor fysiotherapeuten geldt de WGBO: je bewaart het dossier 20 jaar na de laatste wijziging. Dat staat ook in de KNGF-voorwaarden voor het EPD. Hoe je met dossiers omgaat, beschrijft de KNGF-richtlijn Fysiotherapeutische dossiervoering .
Stop je met je praktijk of stap je over naar een ander EPD, dan neem je de dossiers mee of houd je ze raadpleegbaar. Meer over termijnen, logs en vernietigen lees je op bewaartermijn medisch dossier.
Aanpak per type fysiotherapiepraktijk
Solopraktijk
Kies een EPD met een NEN 7510- of ISO 27001-certificaat en zet logging aan. Gebruik een veilige maildienst en versleutel je laptop. Leg in twee pagina’s vast hoe je werkt en wat je doet bij een incident.
Dat is een middag werk en een uur per jaar onderhoud.
Veelgestelde vragen over NEN 7510 in de fysiotherapie
Is een certificaat van de EPD-leverancier genoeg?
Nee. Het certificaat dekt de dienst van de leverancier. Je eigen accounts, werkplekken, mail en apps vallen erbuiten. Die regel en documenteer je zelf.
Mag ik met patiënten appen via WhatsApp?
Voor afspraken zonder medische inhoud kiezen sommige praktijken daarvoor, maar ook een bericht over een behandeling kan gezondheidsinformatie bevatten. Gebruik voor alles wat over de behandeling gaat een beveiligde chat of maildienst.
Meer lezen
- NEN 7510 voor kleine praktijken - De algemene aanpak voor kleine zorgpraktijken
- NTA 7516: veilig mailen - Wat de norm voor veilige mail vraagt
- NEN 7510 voor tandartspraktijken - Dezelfde aanpak voor de mondzorg
- KNGF over digitalisering - Informatie van de beroepsorganisatie