Vergroot contrast

Haga beboet voor onvoldoende interne beveiliging patiëntendossiers

Het HagaZiekenhuis heeft de interne beveiliging van patiëntendossiers niet op orde. Dit blijkt uit onderzoek van de Autoriteit Persoonsgegevens (AP). Dit onderzoek volgde toen bleek dat tientallen medewerkers van het ziekenhuis onnodig het medisch dossier van een bekende Nederlander hadden ingezien. De AP legt het HagaZiekenhuis voor de onvoldoende beveiliging een boete op van 460.000 euro.

Om het ziekenhuis te dwingen de beveiliging van patiëntendossiers te verbeteren legt de AP het Hagaziekenhuis tegelijkertijd een last onder dwangsom op. Als het HagaZiekenhuis de beveiliging niet voor 2 oktober 2019 verbeterd heeft, moet het ziekenhuis elke twee weken 100.000 euro betalen, met een maximum van 300.000 euro. Het HagaZiekenhuis heeft inmiddels aangegeven maatregelen te nemen.

Vertrouwelijke relatie zorgverlener-patiënt

Aleid Wolfsen, voorzitter van de AP: ‘De AP vindt het een kwalijke zaak dat een ziekenhuis de interne beveiliging van patiëntendossiers niet op orde heeft. Daarbij past een ferme boete. De relatie tussen een zorgverlener en een patiënt hoort volstrekt vertrouwelijk te zijn. Ook binnen de muren van een ziekenhuis. Het maakt daarbij niet uit wie je bent.’

Beveiliging van patiëntendossiers

Een ziekenhuis moet alle technische en organisatorische maatregelen treffen om ervoor te zorgen dat patiëntgegevens veilig zijn. Het HagaZiekenhuis heeft op twee onderdelen onvoldoende beveiligingsmaatregelen getroffen:

  1. Het ziekenhuis moet regelmatig controleren wie welk dossier raadpleegt. Op deze manier kan het ziekenhuis tijdig signaleren wanneer iemand onbevoegd toch een dossier raadpleegt en daartegen maatregelen nemen.
  2. Bij een goede beveiliging hoort authenticatie waarbij ten minste twee factoren betrokken worden. De identiteit van een gebruiker om toegang te krijgen tot een patiëntendossier wordt dan bijvoorbeeld vastgesteld met een code of een wachtwoord in combinatie met een personeelspas.

Rechtsmiddelen

Tegen het besluit van de AP staan nog rechtsmiddelen open.

Update februari 2020: beslissing op bezwaar

Het HagaZiekenhuis tekende bezwaar aan tegen de last onder dwangsom en de boete die de AP oplegde. De AP heeft inmiddels het besluit heroverwogen.

De AP heeft na controle geconcludeerd dat het ziekenhuis passende maatregelen heeft genomen om de beveiliging van patiëntendossiers te verbeteren. Het HagaZiekenhuis voldoet daarom aan de last onder dwangsom. De AP kan in de (nabije) toekomst opnieuw onderzoeken of het ziekenhuis de last onder dwangsom naleeft.

De AP ziet geen aanleiding om terug te komen op de bestuurlijke boete. De bezwaren die het ziekenhuis aanvoert, werpen namelijk geen andere kijk op de zaak. Ook veranderen relevante feiten en omstandigheden hierdoor niet.