Ziekenhuis op vingers getikt wegens onrechtmatige raadpleging EPD
Gegevensbeschermingsautoriteit legt berisping op
De Geschillenkamer van de Gegevensbeschermingsautoriteit berispt een ziekenhuisgroep omdat een kinesitherapeut inzage had in het EPD van een patiënte en zo de resultaten van een NIPT-test kon inzien.
Herman Nys, em. prof. medisch recht KU Leuven
De zaak voor de Geschillenkamer was ingespannen door de moeder. Zij had met haar kinesitherapeut via WhatsApp berichten uitgewisseld over hun respectieve zwangerschappen. In een daarvan schreef de kinesitherapeut van de moeder (vrije vertaling): “Verloopt alles goed? Als ik me mijn spionage goed herinner, is het een meisje?”
De moeder repliceerde “Na erover te hebben nagedacht, moet ik je eerlijk zeggen dat we behoorlijk overstuur zijn. We wilden het pas bij de geboorte ontdekken. Ik denk dat je nieuwsgierigheid misplaatst was en voor ons de verrassing heeft verpest. Dat is erg jammer.”
De moeder vroeg bij de ziekenhuisgroep waar de kinesitherapeut als zelfstandige werkzaam was een lijst op van de toegangen tot haar EPD. Uit dat document bleek dat de kinesitherapeut binnen een periode van vier dagen drie keer toegang had en ook de resultaten van de NIPT-test kon inzien. De ziekenhuisgroep verbrak daarop de samenwerkingsovereenkomst met de kinesitherapeut om dringende reden. De ouders dienden, ook in naam van het kind, een klacht in tegen de ziekenhuisgroep bij de Gegevensbeschermingsautoriteit.
Kwaliteit van de zorg en noodzaak van toegang tot het EPD
Volgens de Geschillenkamer hebben ziekenhuizen als opdracht multidisciplinaire zorg te verstrekken. De gedeelde toegang, door meerdere gezondheidszorgbeoefenaars, tot het EPD van een patiënt vormt de basis van deze interdisciplinariteit en draagt bij tot de verbetering van de kwaliteit van de zorg.
Wanneer een arts de laboratoriumresultaten of het verslag van een collega kan raadplegen, is hij beter in staat passende therapeutische beslissingen te nemen.
De Geschillenkamer herinnert er evenwel aan dat deze toegang tot medische gegevens strikt beperkt moet blijven tot de informatie die voor elke beroepsbeoefenaar onmisbaar is om zijn functie optimaal uit te oefenen.
Enkel toegang noodzakelijk voor specifieke zorg
De Geschillenkamer kon niet instemmen met het argument van de ziekenhuisgroep dat volledige toegang tot het EPD door alle zorgverleners noodzakelijk zou zijn om kwalitatieve multidisciplinaire zorg te verlenen. In werkelijkheid is het niet de bedoeling dat alle zorgverleners alle documenten met betrekking tot een patiënt kunnen raadplegen. Enkel de documenten die noodzakelijk zijn voor het verstrekken van specifieke zorg zouden door de betrokken zorgverlener mogen worden geraadpleegd.
Bovendien moet de ziekenhuisgroep, die uit meerdere instellingen bestaat en beschikt over één EPD dat toegankelijk is voor al deze sites, specifieke maatregelen treffen om deze verruimde toegankelijkheid van de informatie in het EPD te compenseren.
Genetische gegevens vragen extra bescherming
In deze casus zijn de in het EPD opgenomen gegevens, met uitzondering van enkele gegevens waarmee de patiënt kan worden geïdentificeerd, per definitie bijzondere categorieën van gegevens zoals bedoeld in artikel 9 van de AVG (GDPR) aangezien het gaat om gezondheidsgegevens en soms zelfs om genetische gegevens.
Dit soort gegevens vereist een versterkte bescherming, met name vanwege het verhoogde risico dat de verwerking ervan met zich meebrengt voor de rechten en vrijheden van de betrokkenen.
De Geschillenkamer oordeelde dat de ziekenhuisgroep niet heeft kunnen aantonen dat hij alle technische en organisatorische maatregelen heeft getroffen die noodzakelijk zijn om een beveiligingsniveau te waarborgen dat voldoet aan de vereisten van de AVG, aangezien (i) een kinesitherapeut toegang heeft kunnen verkrijgen tot genetische testgegevens betreffende een ongeboren kind die niet noodzakelijk waren voor het verlenen van zorg aan een patiënt, en (ii) deze onrechtmatige toegangen alleen konden worden ontdekt dankzij de klacht van de klagers.
Berisping, geen geldboete
Op basis van de voorgaande elementen stelt de Geschillenkamer vast dat de door de ziekenhuisgroep ingevoerde technische en organisatorische maatregelen onvoldoende zijn, gezien het risiconiveau van de verwerking voor de rechten en vrijheden van de betrokkenen. De ziekenhuisgroep heeft derhalve de AVG geschonden. Daarvoor wordt een berisping opgelegd.
De Geschillenkamer stelt vast dat, ondanks het gebrek aan technische maatregelen die onrechtmatige toegang tot het medisch dossier beperken, talrijke organisatorische maatregelen door de ziekenhuisgroep werden ingevoerd en dat zijn reactie bij kennisname van de verwerking het belang van gegevensbescherming binnen zijn organisatie aantoont.
Deze overwegingen rechtvaardigen volgens de Geschillenkamer dat geen geldelijke sanctie wordt opgelegd.