De rechtbank in Den Haag heeft de boete die de Autoriteit Persoonsgegevens oplegde aan het HagaZiekenhuis verlaagd. Aanvankelijk moest het Haagse ziekenhuis een boete van 460.000 euro betalen. De rechter vindt dat de toezichthouder het boetebedrag tot twee keer toe ten onrechte heeft verhoogd. Om die reden is de boete verlaagd naar 350.000 euro.
Dat blijkt uit het vonnis van de rechtbank in Den Haag.
Beveiliging van patiëntendossiers niet op orde
Voor het begin van deze zaak moeten we terug naar juli 2019. De Autoriteit Persoonsgegevens oordeelde na grondig onderzoek dat het HagaZiekenhuis onvoldoende deed om patiëntendossiers te beveiligen. Zo hadden tientallen medewerkers onterecht toegang tot het medisch dossier van een bekende Nederlander (Samantha de Jong, beter bekend als ‘Barbie’).
“Een ziekenhuis moet alle technische en organisatorische maatregelen treffen om ervoor te zorgen dat patiëntgegevens veilig zijn”, zo schreef de toezichthouder destijds. Ziekenhuizen moeten regelmatig controleren wie welke dossiers raadpleegt. Ook behoort de beveiliging de identiteit van de gebruiker vast te stellen aan de hand van ten minste twee factoren, zoals een code of wachtwoord in combinatie met een personeelspas. Op beide vlakken voldeed het HagaZiekenhuis niet aan de regels.
“De AP vindt het een kwalijke zaak dat een ziekenhuis de interne beveiliging van patiëntendossiers niet op orde heeft”, zo zei bestuursvoorzitter Aleid Wolfsen afgelopen jaar over de zaak. “Daarbij past een ferme boete. De relatie tussen een zorgverlener en een patiënt hoort volstrekt vertrouwelijk te zijn. Ook binnen de muren van een ziekenhuis. Het maakt daarbij niet uit wie je bent.” De toezichthouder oordeelde dat een boete van 460.000 euro op zijn plaats was.
Rechtbank vindt boeteverlaging ‘passend en geboden’
De rechtbank in Den Haag oordeelt niet dat de boete onterecht is. In de ogen van de rechter is hij wel te hoog. De basisboete van de Autoriteit Persoonsgegevens bedroeg 310.000 euro. Op basis van artikel 7 in de Boetebeleidsregels heeft de toezichthouder het bedrag twee keer verhoogd met een bedrag van 75.000 euro. Eén keer vanwege “de aard, ernst en duur van de [privacy]inbreuk”, en één maal vanwege de “nalatige aard” van het HagaZiekenhuis om tussen januari 2018 en juni 2019 passende beveiligingsmaatregelen te treffen.
De basisboete is volgens de rechtbank niet onredelijk. Gezien de misstanden vond de rechter het tevens redelijk dat het basisbedrag werd verhoogd. De verhoging van tweemaal 75.000 euro echter vindt de rechtbank onevenredig. Het HagaZiekenhuis heeft namelijk wel degelijk maatregelen getroffen om te voorkomen dat persoonsgegevens in het digitale patiëntendossier kunnen worden ingezien door onbevoegde medewerkers. Ze krijgen een extra waarschuwing in beeld te zien als ze een dossier openen zonder dat ze daartoe bevoegd zijn. Verder heeft het ziekenhuis een e-learningcursus over het onderwerp verplicht gesteld, tweefactorauthenticatie ingevoerd, logging geïntensifieerd en arbeidsovereenkomsten aangescherpt.
“Al deze door eiseres getroffen maatregelen tonen in ieder geval de bereidwilligheid van eiseres om met de problematiek in de organisatie aan de slag te gaan en nuanceren de nalatigheid die eiseres wordt verweten”, schrijft de rechtbank in haar vonnis. De Autoriteit Persoonsgegevens heeft hier geen rekening mee gehouden bij het bepalen van het boetebedrag. De rechtbank ziet daarentegen aanleiding om de boete te verlagen van 460.000 naar 350.000 euro. Dat laatste bedrag is ‘passend en geboden’.
HagaZiekenhuis stopt met digitale vragenlijsten
Uit vrees om nog een boete opgelegd te krijgen van de Autoriteit Persoonsgegevens, besloot het HagaZiekenhuis vorig jaar juli om te stoppen met het afnemen van digitale vragenlijsten van ConsultAssistent. Uit onderzoek bleek dat ConsultAssistent op een aantal punten niet voldeed aan de Algemene Verordening Gegevensbescherming (AVG).
Voordat de patiënten de vragenlijst afnamen, werd niet goed uitgelegd op welke manier de ingevulde gegevens gebruikt zouden worden. Ook vroeg het ziekenhuis niet duidelijk genoeg om toestemming van de patiënt om deze gegevens te mogen gebruiken. Tot slot was er geen geldige overeenkomst tussen het HagaZiekenhuis en het bedrijf dat ConsultAssistent had ontwikkeld.
Deze uitkomsten waren voor het HagaZiekenhuis aanleiding om voorlopig te stoppen met het afnemen van digitale vragenlijsten met ConsultAssistent. Het ziekenhuis zegt te betreuren wat er hier is gebeurd en dat het niet voldeed aan de kwaliteitseisen die het HagaZiekenhuis hanteert. Het incident is gemeld bij de Autoriteit Persoonsgegevens.
