Hoe kan de praktijk de toestemming regelen?

Het is de verantwoordelijkheid van de praktijk om de toestemming te regelen. De praktijk moet zelf maatregelen treffen die daarvoor nodig zijn. Dit kan bijvoorbeeld door in het privacystatement en/of behandelovereenkomst te vermelden dat er door een extern bureau audits worden uitgevoerd en dat gegevens hier anoniem voor worden gebruikt. De patiënt moet hier toestemming voor geven; net als voor bijvoorbeeld het aanleveren van data naar een derde persoon (bijv. een meetbureau). Deze verantwoordelijkheid ligt bij de praktijk en niet bij het auditbureau.