De Autoriteit Persoonsgegevens heeft zich op 15 februari direct tot de Raden van Bestuur van zorginstellingen in Nederland gericht, om te benadrukken dat zorgvuldig omgaan met patiëntgegevens ‘integraal deel uitmaakt van goede patiëntenzorg’. Pieter Lacroix, Managing Director Sophos Nederland, is verheugd dat de discussie over de veiligheid van data breder wordt getrokken dan het IT-domein. “De Autoriteit Persoonsgegevens richt zich hiermee tot het hoogste bestuursorgaan, en geeft daarmee een krachtig signaal af: de bescherming van persoonsgegevens is een verantwoordelijkheid voor de gehele organisatie.” Tegelijkertijd vindt Lacroix het zorgwekkend dat zo’n signaal kennelijk nog nodig is.
Sophos maakt zich al langer sterk voor bewustwording rond de bescherming van persoonsgegevens. Lacroix: “Uit onderzoek dat wij vorig jaar hebben gehouden in de aanloop naar de invoering van de meldplicht datalekken, bleek al dat de kennis van de materie, maar ook de bijbehorende wet- en regelgeving, bij het gros van de organisaties, ook in de zorg, volstrekt onvoldoende was.”
Kennelijk is dat de Autoriteit Persoonsgegevens ook opgevallen. In de brief noemt de AP ‘regelmatig terugkerende signalen’ over patiëntdossiers, die onder ogen komen van medewerkers van zorginstellingen die daar niets mee te maken hadden. Hoewel de AP op basis van eigen onderzoek onder negen zorginstellingen constateert dat deze inmiddels voldoen aan de wettelijke vereisten, acht de autoriteit het klaarblijkelijk toch nodig het bestuur van dergelijke instellingen te waarschuwen orde op zaken te stellen. In de afsluitende regels van de brief stelt de AP zelfs onomwonden dat zij ‘altijd kan besluiten nieuw onderzoek te doen’ als zij opnieuw signalen krijgt over onbevoegde toegang tot patiëntgegevens, en wijst in dit verband fijntjes op de meldplicht datalekken.
Desgevraagd wil de AP niet ingaan op eventuele meldingen die in dit verband reeds zijn gedaan, maar, meent Lacroix: “We mogen ervan uitgaan dat de autoriteit deze open brief niet voor niets heeft opgesteld: als de autoriteit het nodig vindt de zorginstellingen er publiekelijk op te wijzen dat zij aan de vereisten van de Wet bescherming persoonsgegevens moeten voldoen, is er iets aan de hand.”
“Voor de goede orde,” stelt Lacroix, “dit is geen uniek probleem voor de zorg. Je kunt hooguit zeggen dat de hoeveelheid, en de gevoeligheid van de persoonsgegevens in die branche erg hoog ligt. Maar wij hebben alle reden om aan te nemen dat de naïviteit van organisaties op dit gebied niet voorbehouden is aan de zorg.” Wat deze brief volgens Lacroix wel eens te meer aantoont is dat de bescherming van data geen zaak is die alleen het externe verkeer aangaat. “Ook binnen organisaties bestaat de verplichting om te zorgen dat persoonsgegevens niet worden ingezien door ongeautoriseerd personeel. Dat betekent dat voor de toegang tot deze gegevens helder en controleerbaar beleid moet worden opgesteld – en dat de hele organisatie van het belang van het navolgen van dat beleid op de hoogte moet worden gebracht.”
Lacroix wijst er nogmaals op dat uitstel van maatregelen om de organisatie voor te bereiden op de meldplicht datalekken een groot risico met zich meebrengt. “Patiënten hebben het recht hun zorgen over de bescherming van hun gegevens kenbaar te maken. De Autoriteit Persoonsgegevens kan al bij geringe verdenking van ziekenhuizen vereisen dat zij de beveiliging van hun IT-infrastructuur inzichtelijk maken. Daarop kan een berisping volgen of bij ernstige tekortkomingen zelfs een boete tot 820.000 euro.”
Meer informatie:
Open brief Autoriteit Persoonsgegevens
Datalek ziekenhuizen treft ruim 200.000 patiënten
Meldplicht datalekken
Onderzoek: Meldplicht datalekken onbekend bij managers
7 november (online seminar op 1 middag)Praktische tutorial met Alec Sharp Alec Sharp illustreert de vele manieren waarop conceptmodellen (conceptuele datamodellen) procesverandering en business analyse ondersteunen. En hij behandelt wat elke data-pr...
11 t/m 13 november 2024Praktische driedaagse workshop met internationaal gerenommeerde trainer Lawrence Corr over het modelleren Datawarehouse / BI systemen op basis van dimensioneel modelleren. De workshop wordt ondersteund met vele oefeningen en pr...
18 t/m 20 november 2024Praktische workshop met internationaal gerenommeerde spreker Alec Sharp over het modelleren met Entity-Relationship vanuit business perspectief. De workshop wordt ondersteund met praktijkvoorbeelden en duidelijke, herbruikbare ...
26 en 27 november 2024 Organisaties hebben behoefte aan data science, selfservice BI, embedded BI, edge analytics en klantgedreven BI. Vaak is het dan ook tijd voor een nieuwe, toekomstbestendige data-architectuur. Dit tweedaagse seminar geeft antwoo...
De DAMA DMBoK2 beschrijft 11 disciplines van Data Management, waarbij Data Governance centraal staat. De Certified Data Management Professional (CDMP) certificatie biedt een traject voor het inleidende niveau (Associate) tot en met hogere niveaus van...
3 april 2025 (halve dag)Praktische workshop met Alec Sharp [Halve dag] Deze workshop door Alec Sharp introduceert conceptmodellering vanuit een non-technisch perspectief. Alec geeft tips en richtlijnen voor de analist, en verkent datamodellering op c...
10, 11 en 14 april 2025Praktische driedaagse workshop met internationaal gerenommeerde spreker Alec Sharp over herkennen, beschrijven en ontwerpen van business processen. De workshop wordt ondersteund met praktijkvoorbeelden en duidelijke, herbruikba...
15 april 2025 Praktische workshop Datavisualisatie - Dashboards en Data Storytelling. Hoe gaat u van data naar inzicht? En hoe gaat u om met grote hoeveelheden data, de noodzaak van storytelling en data science? Lex Pierik behandelt de stromingen in ...
Deel dit bericht