Patiëntendossiers amper beschermd

Ziekenhuizen beveiligen hun computers onvoldoende. De instellingen zijn zich ‘zeer beperkt’ bewust van de risico’s hiervan.

Dit concluderen de Inspectie voor de Gezondheidszorg (IGZ) en het College Bescherming Persoonsgegevens (CBP) in een gezamenlijk rapport over computergebruik in ziekenhuizen.

Twintig ziekenhuizen – twee academische, negen grote en negen kleine – die ‘een redelijke doorsnede’ vormen van de Nederlandse hospitalen, zijn onderzocht. Er is gesproken met de directie, de chef-automatisering en een medisch specialist.

In de ziekenhuizen zijn patiëntgegevens vaak makkelijk toegankelijk voor al het verplegend personeel. In tweederde van de instellingen gebruiken groepen verpleegsters en artsen in opleiding dezelfde toegangscodes. ‘Door het gebruik van groepsaccounts was niet meer te achterhalen wie een dossier had ingezien of veranderd’, stelt het rapport.

Het rapport geeft als voorbeeld een voorzitter van de raad van bestuur van een ziekenhuis. Na opname in zijn eigen ziekenhuis hebben verscheidene medewerkers die hem niet behandelden, zich toegang verschaft tot zijn elektronisch medisch dossier. Gewoon, omdat het kon. Het ziekenhuis verbond hier geen consequenties aan maar op aandringen van de IGZ en CBP is dit ‘opnieuw in overweging genomen’.

De IGZ en het CBP eisen van alle ziekenhuizen voor 1 februari 2009 een plan van aanpak om de computerbeveiliging op orde te krijgen. Bij geen van de onderzochte ziekenhuizen was dat het geval.

Tijdens het onderzoek vielen in dertien van de twintig ziekenhuizen een keer de systemen uit. Dat is gevaarlijk want de ‘uitval door bijvoorbeeld stroomstoring kan leiden tot verlies van gegevens.’ In vijf gevallen was sprake van ‘onrechtmatige inzage van medische gegevens’.

Goede beveiliging is volgens het rapport een voorwaarde voor de start van het Elektronisch Patiënt Dossier (EPD), dat CDA-minister Ab Klink (Volksgezondheid) volgend jaar wil invoeren. Daarbij krijgen zorgverleners na toestemming van de patiënt toegang tot allerlei patiëntgegevens. Nu is beperkt sprake van gegevensuitwisseling.

Positief is volgens het rapport dat ‘ziekenhuizen weloverwogen omgaan met het aansluiten van externen, inclusief huisartsen, op het ziekenhuissysteem’. Maar afspraken ontbreken volgens het rapport vaak.