Weer datalek door uitbestede werkzaamheden van ziekenhuizen

Je kon er gewoon op wachten, wanneer het eerste grote datalek in de medische sector in 2016 gemeld zou worden aan het meldpunt datalekken van de Autoriteit Persoonsgegevens. Een Belgisch bedrijf, iGuana N.V., dat medische dossiers inscant voor digitale opslag in opdracht van ziekenhuizen blijkt gegevens van patiënten op een onbeveiligde computerserver gezet te hebben. Deze server was gedurende 33 dagen vrij toegankelijk via het internet. Het programma Meldpunt van Omroep Max presenteerde heden dit nieuws en zal er op dinsdag 26 januari om 19.25u op de televisiezender NPO 2 een 25 minuten durende documentaire aan wijden met als presentatrice de journaliste Elles de Bruijn.

iGuana

Naar aanleiding van deze uitzending kwam iGuana N.V. vandaag met een persverklaring waarin de oorzaak uit de doeken wordt gedaan, maar tegelijk sprake is van een hoge mate van damage-control. In deze verklaring staat niet dat het om data van in totaal ruim 158.000 Nederlanders en Belgen gaat. Er wordt slechts gesproken over een pdf-bestand met 52 patiënten van het Canisius-Wilhelmina ziekenhuis in Nijmegen en over een bestand met gegevens van 4559 patiënten van het St. Anna ziekenhuis te Geldrop. Bij die mensen ging het om 6236 datarecords, omdat meerdere patiënten bij meerdere specialisten geweest waren. iGuana benadrukt dat het niet om dossiergegevens gaat maar om data (bedoeld wordt: administratieve gegevens W.J). Het bedrijf meldt dat ze door logging-gegevens kan zien dat de data twee maal gedownload zijn: door een concurrent uit dezelfde sector en door Omroep Max. Of het bij die concurrent ook weer door anderen is ingezien vermeld het verhaal niet. Hierdoor wordt ongezegd gesuggereerd dat deze twee getipt moeten zijn geweest dat het downloaden mogelijk was. De helft van het persbericht is gewijd aan het tot eind 2014 uitvoeren van voorbereidende werkzaamheden voor het scannen van dossiers door gedetineerden in Belgische gevangenissen. Daarbij wordt nadrukkelijk gesteld dat die niet het echte scanwerk deden, maar nietjes, paperclips verwijderden etc. Dat tijdens dat proces uitgebreid kennis genomen kon worden van medische gegevens van patiënten met hun adresgegevens wordt daarbij niet genoemd, maar kon wel plaatsvinden.

Nederlandse ziekenhuizen

In het pdf-bestand betreffende het Canisius-Wilhelmina-ziekenhuis zijn naam en patiëntennummers zichtbaar en bij één is het BSN-nummer herkenbaar. In de gegevens van de 4559 mensen uit het St.Anna-ziekenhuis te Geldrop zijn het patiëntidentificatienummer, de naam, geboortedatum, het geslacht en het behandelend specialisme naar buiten gekomen. Hoewel iGuana sterk benadrukt dat het niet om medische data(dossierinhoud) gaat is er wel degelijk sprake van privacy-schending met een medische inhoud door de mogelijkheid het behandelend specialisme te zien. Uiteraard hebben de ziekenhuizen het datalek gemeld aan het meldpunt datalekken van de Autoriteit Persoonsgegevens.

Herleidbaarheid

Het alleen spreken over data en niet over dossiers vermindert de belangrijkheid van het datalek niet. De data die gelekt zijn makkelijker te herleiden tot individuen met adres en woonplaats dan men denkt. De informaticus Matthijs Koot liet in zijn proefschrift in 2012 al duidelijk zien hoe met een beperkte dataset mensen als individu herleidbaar waren zonder niet al te grote ingrepen. De impact van de compromittering van deze gegevens is dus veel groter dan iGuana N.V. wil doen geloven.

Eerder

Helaas is er niets nieuws onder zon. In januari 2015 kwam een schandaal naar buiten rond medische dossiers van het Universitair Medisch Centrum Groningen(UMCG). Het vernietigen van dossiers was uitbesteed aan het bedrijf Virol dat op haar beurt weer het scheiden van papieren, röntgenfoto’s en plastic had uitbesteed aan het werkvoorzieningsschap Synergon. Mensen die daar werkten maakteen grappen en grollen over de inhoud van de te vernietigen dossiers.

Race to the bottom

In het huidige klimaat van bezuinigingen in de zorg kijkt het management van zorginstellingen naar steeds creatievere oplossingen om de kosten laag te houden. Daardoor wordt werk uitbesteed en gekeken hoe dat zo goedkoop mogelijk kan. De tijd dat een ziekenhuis zijn eigen dossiers binnen de muren van het ziekenhuis inscant en vernietigt is blijkbaar al lang voorbij. Het management van ziekenhuizen die het bewerken en verwerken van medische dossiers uitbesteden zijn daardoor even goed verantwoordelijk voor de ontstane situatie als het bedrijf iGuana N.V. Het trieste is dat de behandelend arts tuchtrechtelijk aansprakelijk is bij doorbreking van het beroepsgeheim. Tot een veroordeling zal het gezien de handelingen van het management waarschijnlijk niet komen, maar het veroorzaakt wel een uiterst oncomfortabele situatie voor de behandelende artsen.

Het probleem met het uitbesteden van zeer privacy-gevoelige processen door het ziekenhuismanagement is net als met het uitrollen van een stuk deeg:  “wat je in de lengte wint, verlies je in de breedte”.

W.J. Jongejan

Aanvulling: link naar statement van St. Anna ziekenhuis  25-01-2016 om 23.29u

Aanvulling: tekst Alinea “Race to the bottom” aangepast 26-01-2016 om 17.31u