De elektronische patiëntendossiers (EPD) die medici gebruiken voor het uitwisselen van medische gegevens zijn onveilig en in strijd met de privacywetgeving, zo concludeert het College bescherming persoonsgegevens (CBP). Het CBP onderzocht de verwerking bij de Centrale Huisartsenpost Gorinchem (CHP) en de Stichting Schakelpunt Informatie Transmurale Zorg Midden-Holland (SPITZ-MH). Zo worden patiënten niet persoonlijk geïnformeerd over opname van hun gegevens in het regionaal elektronisch patiëntendossier.

Zo is het mogelijk dat mensen die tegen het landelijk EPD bezwaar maakten, zonder het te weten reeds in een regionaal EPD zijn opgenomen. Verder schoot de beveiliging ernstig tekort. Er waren onvoldoende maatregelen genomen om te zorgen dat alleen artsen die een behandelrelatie met de patiënt hebben, toegang tot het dossier krijgen. Het grasduinen in de dossiers wordt wel ‘gelogd’, maar er is geen structurele controle om na te gaan of artsen zonder behandelrelatie onbevoegd toegang hadden gezocht tot een patiëntendossier. "Gezien de privacygevoeligheid van de gegevens is het van het grootste belang dat de geconstateerde onrechtmatigheden zo snel mogelijk worden weggenomen", aldus het CBP.

Zorgwekkend
De privacywaakhond vindt het zorgwekkend dat beide regionale EPD's mensen niet persoonlijk informeren als hun persoonsgegevens worden opgenomen. "Deze overtredingen zijn zorgwekkend aangezien mensen moeten weten wie welke gegevens met welk doel verwerkt. Als zij niet op de hoogte zijn gesteld dat hun persoonsgegevens in een regionaal EPD worden opgenomen, kunnen zij ook hun rechten niet uitoefenen, zoals het recht hiertegen bezwaar te maken."

Beveiliging
In het geval van SPITZ-MH zijn er op een waarschuwingsscherm na, geen maatregelen genomen om te voorkomen dat een zorgverlener gaat grasduinen in de persoonlijke gegevens van patiënten waar hij of zij geen enkele relatie mee heeft. De CHP ‘logt’ de raadplegingen wel, maar heeft hiernaast geen maatregelen genomen om te voorkomen dat een waarnemend huisarts gegevens inziet van een patiënt die op dat moment niet bij hem in behandeling is. Net als de CHP logt ook SPITZ-MH de raadplegingen, maar zijn die niet op verdachte situaties gericht, waardoor de logging niet effectief kan worden gebruikt, merkt het CBP op.

Verder maakt de CHP gebruik van een externe dienstverlener die de autorisaties van gebruikers van het systeem kan aanpassen. Hierdoor worden de mogelijkheden tot onbevoegde inzake onnodig verruimd. "Deze onderzoeksresultaten zijn zorgwekkend omdat de wet vereist dat degenen die persoonsgegevens verwerken, een passend beveiligingsniveau hanteren om persoonsgegevens te beveiligen tegen onrechtmatige verwerking."