De Autoriteit Persoonsgegevens heeft op de eigen website uitleg gegeven over wanneer er sprake is van grootschalige gegevensverwerking in de zorg. De nieuwe privacywetgeving vereist namelijk bij grootschalige verwerking dat er een functionaris voor de gegevensbescherming (FG) is aangesteld.

Ook moet er in bepaalde een data protection impact assessment (DPIA) worden gedaan. De FG is iemand die binnen de organisatie toezicht houdt op de toepassing en naleving van de Algemene verordening gegevensbescherming (AVG). Overheidsinstanties en publieke organisaties zijn altijd verplicht om een FG aan te stellen, ongeacht het type gegevens dat ze verwerken. In het geval van zorgaanbieders is dit van een aantal zaken afhankelijk.

Bij huisartsenpraktijken en instellingen voor medisch specialistische zorg is er sprake van grootschalige verwerking als er meer dan 10.000 patiënten staan ingeschreven of gemiddeld per jaar worden behandeld én de gegevens van deze patiënten in één informatiesysteem staan. In het geval van ziekenhuizen, zorggroepen, huisartsenposten en apotheken is de verwerking van patiëntgegevens altijd grootschalig en moet er dus een FG zijn aangesteld.

Voor andere zorgaanbieders geldt het criterium van 10.000 patiënten niet. Deze organisaties moeten aan de hand van vier factoren zelf beoordelen of er grootschalig gegevens worden verwerkt. Het gaat om het aantal patienten waarvan gegevens worden verwerkt, de hoeveelheid verwerkte persoonsgegevens, de duur van de gegevensverwerking en de geografische reikwijdte van de verwerking.

Voor organisaties die niet grootschalig gegevens verwerken kan het volgens de Autoriteit Persoonsgegevens nog steeds nuttig zijn om een FG aan te stellen. De functionaris voor de gegevensbescherming kan organisaties helpen bij het voldoen aan de AVG. De toezichthouder adviseert zorgaanbieders dan ook om een FG aan te stellen. Om de kosten en organisatorische lasten te beperken is het mogelijk om de FG te "delen" met andere zorgaanbieders of voor een beperkt aantal uren in te huren.