De Autoriteit Persoonsgegevens (AP) heeft besloten aan het HagaZiekenhuis een boete van € 460.000,– op te leggen, omdat het HagaZiekenhuis de interne beveiliging van patiëntendossiers niet op orde heeft. Dit blijkt uit onderzoek van de AP. Dit onderzoek volgde toen bleek dat tientallen medewerkers van het ziekenhuis onnodig het medisch dossier van een bekende Nederlander hadden ingezien.
Aanleiding onderzoek AP
Op 4 april 2018 heeft het HagaZiekenhuis een melding van een datalek bij de AP gedaan. Het datalek had betrekking op onrechtmatige inzage in een patiëntendossier van een bekende Nederlander. Uit intern onderzoek door het HagaZiekenhuis volgt dat in de onderzochte periode 197 medewerkers, waarvan 100 onrechtmatig, inzage hebben gehad in het patiëntendossier. Naar aanleiding hiervan heeft de AP in oktober 2018 besloten onder meer nader onderzoek te doen naar de beveiligingsmaatregelen van het HagaZiekenhuis.
Beveiligingsverplichting
AVG
Om de veiligheid te waarborgen en te voorkomen dat de verwerking van persoonsgegevensinbreuk maakt op de AVG, dient de verwerkingsverantwoordelijke op grond van artikel 32 van de AVG de aan de verwerking inherente risico’s te beoordelen en maatregelent e treffen om risico’s te beperken. Die maatregelen dienen een passend niveau van beveiliging te waarborgen, rekening houdend met de stand van de techniek en de uitvoeringskosten afgezet tegen de risico’s en de aard van de te beschermen persoonsgegevens. Gezondheidsgegevens behoren vanwege de gevoeligheid tot een bijzondere categorie van persoonsgegevens. Om deze reden gelden voor de bescherming van die gegevens zeer hoge eisen.
NEN 7510 en NEN 7513
Om te bepalen of beveiligingsmaatregelen passend zijn, dient in het voorliggende geval te worden aangesloten bij algemeen geaccepteerde beveiligingsstandaarden binnen de praktijk van de informatiebeveiliging in de zorg, NEN7510 en NEN 7513.
NEN 7510 van december 2017 ziet op Medische informatica en Informatiebeveiliging in de zorg en bestaat uit twee delen: deel 1 (7510-1) bevat normatieve voorschriften voor het managementsysteem en deel 2 (7510-2) bevat de beheersmaatregelen. NEN 7513 ziet onder meer op logging. In NEN 7510 en 7513 staat centraal dat informatie in de zorg vaak vertrouwelijk van aard is. Als zorgorganisatie moeten er dus maatregelen getroffen worden om patiëntgegevens veilig te houden.
Tweefactor authenticatie
In NEN 7510-2 staat dat gezondheidsinformatiesystemen die persoonlijke gezondheidsinformatie verwerken, de identiteit van gebruikers behoren vast te stellen. Dit behoort te worden gedaan door middel van authenticatie waarbij ten minste twee factoren betrokken worden.
Uit het onderzoek van de AP volgt dat authenticatie in het HagaZiekenhuis tot het elektronisch patiëntendossier plaatsvindt met gebruikmaking van de personeelspas. In de andere situatie, inloggen zonder personeelspas, vindt authenticatie plaats op basis van een gebruikersnaam en wachtwoord, waarna het dossier geraadpleegd kan worden. De identiteit van de gebruiker om toegang te krijgen tot dit systeem kan in dit geval aldus plaatsvinden uitsluitend op basis van kennis (code of een wachtwoord), zonder bezit (personeelspas). Daarmee ontbreekt een noodzakelijk benodigde tweede factor die bijdraagt aan een passend beveiligingsniveau en wordt niet voldaan aan het vereiste van tweefactor authenticatie.
(controle) op logging
In NEN 7513 staat dat de logging in het algemeen het mogelijk moet maken dat achteraf onweerlegbaar vast te stellen is welke gebeurtenissen hebben plaatsgevonden op een patiëntendossier. Daartoe moeten alle systemen die gegevens bevatten die deel uitmaken van een patiëntdossier, daarover ten minste bijhouden:
· welke gebeurtenis heeft plaatsgevonden;
· datum en tijdstip van de gebeurtenis;
· welke cliënt het betrof; – wie de gebruiker was;
· wie de verantwoordelijke gebruiker was namens wie de gebruiker optrad.
De AP stelt vast dat het HagaZiekenhuis ook op dit punt geen passend beveiligingsbeleid heeft. Daarbij acht de AP van belang de schaal van de verwerking van gezondheidsgegevens door het ziekenhuis en het ontbreken van een regelmatige controle op raadpleging van het patiëntendossier, als gevolg waarvan medewerkers toegang kunnen verkrijgen tot meer gegevens dan waartoe zij in eerste instantie bevoegd zijn.
Slot
Om het ziekenhuis te dwingen de beveiliging van patiëntendossiers te verbeteren legt de AP het Hagaziekenhuis tegelijkertijd een last onder dwangsom op. Als het HagaZiekenhuis de beveiliging niet voor 2 oktober 2019 verbeterd heeft, moet het ziekenhuis elke twee weken 100.000 euro betalen, met een maximum van 300.000 euro. Het HagaZiekenhuis heeft al aangegeven maatregelen te nemen.
