Het grootste deel van de Nederlandse zorgdata staat via het elektronisch patiëntendossier in de cloud van Amerikaanse softwarebedrijven. Minister Sterk van VWS ziet geen reden om daar iets aan te veranderen. Dat meldde Skipr op basis van haar antwoorden op Kamervragen, begin oktober. Voor wie dagelijks in dat dossier werkt, rijst de vraag wat dit betekent voor het beroepsgeheim. Ligt daar nu een risico bij jou, of bij je organisatie?
Wat de minister erkent en besluit
De vragen gingen over de CLOUD Act, een Amerikaanse wet die autoriteiten in de Verenigde Staten onder voorwaarden toegang geeft tot gegevens bij Amerikaanse cloudbedrijven, ook als die gegevens buiten de VS zijn opgeslagen. Zo’n verzoek kan gepaard gaan met een geheimhoudingsbevel. Een zorginstelling hoort dan dus niet altijd dat er gegevens zijn opgevraagd. Volgens vakblad Computable erkent het kabinet daarmee voor het eerst dat Amerikaanse wetgeving kan botsen met de Europese privacyregels, en weet het niet of er ooit Nederlandse zorgdata zijn opgevraagd.
Toch wijst het kabinet een voorstel af om nieuwe verhuizingen van zorgdata naar niet-Europese cloudleveranciers alleen nog toe te staan als er harde afspraken zijn over transparantie. Volgens de minister biedt de AVG voldoende waarborgen. Ze benadrukt dat er risico’s zijn, maar legt de beoordeling daarvan bij de zorginstellingen zelf. Zij kiezen hun leverancier en moeten volgens de minister ook nadenken over een exitstrategie, als onderdeel van hun informatiebeveiliging volgens de norm NEN 7510.
Wat bij je organisatie ligt
De keuze voor een epd en de plek waar de data staan, is een beslissing van de zorgaanbieder. Die is onder de AVG verantwoordelijk voor de verwerking van patiëntgegevens en moet zorgen voor passende beveiliging. Dat de minister de verantwoordelijkheid zo nadrukkelijk bij de instellingen legt, betekent dat de afweging per organisatie verschilt. Wil je weten hoe jouw instelling dat heeft gedaan, dan is de functionaris gegevensbescherming of de privacy officer de aangewezen persoon om het aan te vragen.
Voor jou als zorgverlener verandert er door dit besluit niets aan de regels. Je beroepsgeheim gaat over wat jij met informatie over een patiënt doet. Wat dat precies inhoudt, lees je in ons stuk over het beroepsgeheim in de zorg.
Wat bij jou ligt
Juist omdat de organisatie het opslagrisico draagt, wordt het des te belangrijker dat de risico’s die wel in jouw handen liggen klein blijven. Dat zijn er drie.
Ten eerste open je alleen dossiers van patiënten bij wie je betrokken bent. Elk epd houdt bij wie wat inziet, en nieuwsgierig kijken is een overtreding, zoals we uitlegden in ons artikel over het inzien van een patiëntendossier.
Ten tweede zet je geen patiëntgegevens in eigen apps, privé-mail of gratis AI-diensten. Daar heeft je organisatie geen afspraken mee gemaakt en dan is er geen enkele waarborg meer. Meer daarover in ons stuk over AI-tools en patiëntgegevens.
Ten derde meld je het als je denkt dat er iets misgaat met gegevens, bijvoorbeeld een verkeerd verstuurde brief of een collega die gegevens deelt die hij niet zou moeten delen. Een datalek moet de organisatie zelf binnen korte tijd beoordelen en zo nodig melden, en dat kan alleen als jij het intern doorgeeft.
Waarom dit debat niet klaar is
De discussie over Amerikaanse cloudleveranciers in de zorg loopt al langer, en met deze antwoorden is ze niet voorbij. Het kabinet erkent het risico van geheime opvragingen, maar laat het oplossen aan de instellingen. Wij denken dat het verstandig is om dat te volgen, ook als je zelf geen invloed hebt op de keuze. Een zorgverlener die weet waar de grenzen van zijn eigen verantwoordelijkheid liggen, kan patiënten die ernaar vragen ook eerlijk antwoord geven.