Datalek bij drie ziekenhuizen
3 reactiesDoor een ‘ernstige fout’ zijn de gegevens van patiënten van het St. Anna Ziekenhuis in Geldrop, het Canisius-Wilhelmina Ziekenhuis in Nijmegen en een Belgisch ziekenhuis op straat komen te liggen. Daarover heeft het Belgische IT-bedrijf iGuana, verantwoordelijk voor het versturen van de databestanden, de ziekenhuizen maandag geïnformeerd.
Het bedrijf benadrukt dat het niet gaat om medische dossiers en dat de informatie niet bruikbaar is voor derden. Bij het St. Anna Ziekenhuis gaat het om gegevens van 4559 patiënten. Het gaat om patiëntnummer, naam, geboortedatum, geslacht het specialisme en locatie. In een reactie op de website zegt het ziekenhuis het onacceptabel te vinden dat dit heeft kunnen gebeuren. Ook zegt het ziekenhuis melding te hebben gedaan bij de Autoriteit Persoonsgegevens (voorheen College Bescherming Persoonsgegevens) en bij de Inspectie voor de Gezondheidszorg. Sinds januari 2016 kan deze autoriteit bestuurlijke boetes tot ruim 8 ton uitdelen als er geen melding wordt gedaan van een datalek waarbij persoonsgegevens in handen vallen van mensen die daartoe geen toegang mogen hebben.
Bij het Canisius-Wilhelmina Ziekenhuis kon een pdf-bestand met een technische beschrijving van software, waar ook screenshots in staan met de naam en het patiëntnummer van vijftig patiënten, door iedereen gedownload worden. In het geval van het Belgische ziekenhuis gaat het volgens iGuana om onbruikbare gegevens.
Volgens het digitaliseringsbedrijf ging het mis door een menselijke fout, waardoor gebruik is gemaakt van een onbeveiligde webserver. Deze server is inmiddels offline gehaald.
iGuana is een bedrijf dat onder meer papieren medische dossiers voor ziekenhuizen digitaliseert. Tot eind 2014 liet het bedrijf een deel van het voorbereidende werk, zoals nietjes en paperclips verwijderen, door gedetineerden doen. Vanwege de ‘verkeerde beeldvorming bij klanten en in de publieke opinie’, is de onderneming hiermee gestopt.
ANP/Simone Paauw
R. Petru
kinderarts-intensivist CMIO, Nijmegen
Het woord datalekken suggereert een nieuw probleem terwijl we juist met voortschrijdend inzicht kijken naar een eeuwenoud proces en wel moeten concluderen dat het onveilig is. De meeste datalekken zijn gerelateerd aan het kwijtraken van papieren, aan... het printen, scannen, kopiëren, meenemen of versturen van onbeveiligde gegevens. Dit laatste is juist vooral met papier, röntgenfilm en onbeveiligde schijfjes een probleem. Het is oneindig veel gemakkelijker om een USB stick goed te beveiligen dan een stapel papieren dossiers in een artsentas of de brief aan een collega of patiënt die per post verstuurd wordt. Nog beter zou het zijn om helemaal geen gegevens meer te hoeven verplaatsen of te dupliceren (printen) maar de rechtmatige gebruiker op een, altijd veilige, manier toegang te geven tot de bron van de gegevens. Dit moet, naar mijn mening, dan ook ons doel zijn samen met een goede beveiligde digitale communicatie tussen zorgverleners en patiënten.
De angst voor het digitale heeft in mijn ogen veel weg van vliegangst. Ondanks dat vliegen de veiligste vorm van vervoer is voelen velen zich veiliger in de auto waar we, voor ons gevoel, meer controle hebben en het proces beter denken te begrijpen.
De bezorgdheid rond datalekken zou juist een reden moeten zijn om door te pakken naar een goed beveiligd elektronisch patiëntendossier.
J.A.H. Holslag
Coassistent, Oosterbeek
Ik herken mij in de reactie van dokter Jongejan, je wordt gedwongen in een elektronisch dossier te werken. Er is geen mogelijkheid dit te controleren op veiligheid als arts. En formeel ben je tuchtrechtelijk aansprakelijk als het mis gaat. gelukkig b...en ik als coassistent nog niet tuchtrechtelijk aanspreekbaar, maar ik voel de morele verantwoordelijkheid niet minder. Ik ben van de digitale generatie en absoluut voor digitaal administreren, maar hier is in mijn ogen een serieus probleem.
Ik vind het goed dat door de meldplicht de omvang van het probleem duidelijk gaat worden.
W.J. Jongejan
huisarts n.p. , Woerden nl
Het is zeker niet de eerste keer dat het uitbesteden van handelingen met medische dossiers misgaat. In januari 2015 kwam boven water dat door het Universitair Medisch Centrum Groningen het vernietigen van medische dossiers uitbesteed was aan het bedr...ijf Virol, die het op zijn beurt weer liet uitvoeren door het werkvoorzieningsschap Synergon. De bedoeling was dat papier, röntgenfoto's, plastic, paperclips etc gescheiden werden voor de vernietiging. Daarbij bleek dat mensen van Synergon zich vermaakten met de inhoud van de dossiers en sommige mensen uit de dossiers kenden. Het probleem nu, bij het uitbesteden van het scannen aan iGuana in België, is ook het directe gevolg van het uitbesteden bij inschrijving van kwetsbare processen met medische gegevens. Het bedrijf iGuana is verantwoordelijk voor het datalek met de server. Evenzeer is het ziekenhuismanagement verantwoordelijk voor het uitbesteden van een kwetsbaar proces op een wijze die alleen maar tot een "race to the bottom" qua betaling voor de diensten kan leiden. Het gecontracteerde bedrijf zal vervolgens creatief een zo laag mogelijk arbeidsloon proberen te realiseren met daardoor grote privacy-risico's. Dit soort processen uitvoeren met medische dossiers hoort in het ziekenhuis zelf thuis met eigen personeel, waardoor verantwoord gewerkt kan worden. Het trieste is dat de behandelend arts tuchtrechtelijk aansprakelijk is bij doorbreking van het beroepsgeheim. Tot een veroordeling zal het gezien de handelingen van het management waarschijnlijk niet komen, maar het veroorzaakt wel een uiterst oncomfortabele situatie voor de behandelende artsen.