Dit jaar kwamen meerdere incidenten aan het licht waarbij GGZ-medewerkers medische dossiers raadpleegden zonder dat zij betrokken waren bij de behandeling. Een ex-pati毛nt in Eindhoven ontdekte dat 160 medewerkers inzage hadden gehad in haar gegevens. In Gelderland bekeken tien medewerkers die niet bij de behandeling betrokken waren het dossier van een oud-profvoetballer en in Rotterdam kreeg een pati毛nte, na een uitvraag door de Autoriteit Persoonsgegevens, een loglijst met meer dan 360 namen te zien van GGZ-medewerkers die haar dossier hadden bekeken.
In Trouw sprak Martin Buijsen, hoogleraar Gezondheidsrecht aan Erasmus School of Law, zich uit over de juridische implicaties. 鈥淎lleen leden van het behandelteam mogen het dossier inzien,鈥 zegt hij. 鈥淒e wet is daar helder over. Anderen hebben toestemming van de pati毛nt nodig. Toch komt het regelmatig voor dat zorgmedewerkers ongeoorloofd in dossiers kijken, al niet vaak in zulke grote aantallen.鈥
De rol van de Autoriteit Persoonsgegevens
De Autoriteit Persoonsgegevens (AP) heeft de bevoegdheid om sancties op te leggen, maar doet dat niet vaak. 鈥淗oewel de zorgsector koploper is in datalekken, zijn er nog niet zoveel boetes opgelegd,鈥 aldus Buijsen. 鈥淚n 2021 kreeg het OLVG een boete van 440.000 euro wegens onvoldoende beveiliging van medische dossiers. In 2019 kreeg het HagaZiekenhuis een vergelijkbare boete en een last onder dwangsom wegens tekortschietende interne beveiliging.鈥
Alleen het bijhouden van logbestanden is onvoldoende invulling van de zorgplicht, benadrukt hij. 鈥淒e AP verlangt dat er actief beveiligd wordt. Dat kan betekenen dat ook voor medewerkers binnen de instelling gewerkt wordt met two-factor-authenticatie. Alleen registreren wie inlogt is onvoldoende.鈥
Onbevoegde inzage: geen beroepsgeheimschending, w茅l privacy-inbreuk
Een schending van het beroepsgeheim is dit strikt genomen niet, legt Buijsen uit. 鈥淗et medisch beroepsgeheim wordt geschonden wanneer een geheimhoudingsplichtige hulpverlener zonder doorbrekingsgrond gegevens deelt met een derde. Daarvan is hier geen sprake. Wel is het een schending van de informationele privacy van de pati毛nt. Instellingen zijn verplicht die gegevens afdoende te beveiligen.鈥
- Professor
- Meer informatie
Lees het artikel uit Trouw .
- Gerelateerde content
