Frans ziekenhuis krijgt boete van 500.000 euro voor datalek met patiëntgegevens

Een half miljoen boete voelt misschien stevig, maar patiëntgegevens zijn geen handelswaar. Ziekenhuizen moeten hun beveiliging gewoon op orde hebben. Datalekken raken echte mensen.

Een boete uit de algemene ziekenhuispot raakt uiteindelijk vooral personeel en patiënten — de bestuurders die jarenlang op beveiliging bezuinigden voelen er waarschijnlijk weinig van. Leg de verantwoordelijkheid dus ook bij leveranciers en bestuurders persoonlijk, én geef slachtoffers automatische compensatie; anders blijft privacy een risico dat netjes over de samenleving wordt uitgesmeerd.

Een boete is geen schadevergoeding, maar slachtoffers naar de rechter sturen is ook geen serieuze oplossing als ze eerst moeten bewijzen welke concrete schade een gestolen medisch dossier heeft veroorzaakt. Het echte probleem is dat privacy in de zorg pas aandacht krijgt ná een incident; MFA, beperkte toegangsrechten en logging zijn geen luxeprojecten maar basisbeheer. En wie dat jarenlang laat liggen, moet niet verbaasd zijn dat “de ziekenhuispot” uiteindelijk de rekening betaalt.

Wat mij opvalt: bij medische gegevens gaat het niet alleen om identiteitsfraude of een paar vervelende spambrieven. In zo’n dossier kunnen diagnoses, verslavingsproblemen, vruchtbaarheidsbehandelingen of psychische klachten staan die iemand jaren later nog kunnen achtervolgen. Daarom zou de CNIL naast de boete ook openbaar moeten maken welke concrete verbeteringen en controles het ziekenhuis nu verplicht moet uitvoeren; anders blijft het vooral een bedrag in een jaarverslag.

Ja goed, beveiliging moet beter, maar ik hoop ook dat ze mensen gewoon duidelijk vertellen wat er precies is ingezien en wat je nu zelf moet doen. Niet maanden later een vage brief sturen waar niemand wijs uit wordt, daar worden patiënten alleen maar onrustiger van.

De engelen fluisteren dat het gevaar niet stopt bij de gestolen gegevens... medische informatie kan jaren later nog tegen iemand worden gebruikt, bij verzekeringen, sollicitaties of identiteitsfraude. En die vertrouwenspersonen niet informeren maakt de vibratie helemaal scheef: je weet dan niet eens dat jouw naam in dat dossier zat. 500.000 euro is een signaal, maar het echte licht komt pas als ziekenhuizen vooraf aantoonbaar hun beveiliging op orde moeten hebben...

Wat mij vooral zorgen baart is dat patiëntgegevens steeds verder worden gedigitaliseerd terwijl onze kinderen al leren dat alles ergens wordt opgeslagen. Een medisch dossier is geen boodschappenlijstje: diagnoses, behandelingen en familiegegevens kunnen een leven lang aan iemand blijven kleven. Natuurlijk moet de beveiliging technisch op orde zijn, maar ook bewust minder gegevens verzamelen en niet iedereen alles laten zien hoort bij zorgvuldigheid.