Het Elektronisch patiënten dossier wordt een soort open huis, waar talloze zorgverleners toegang tot krijgen, maar waar monitoring ernstig tekort schiet. De lijst met mensen die een EPD mogen inzien is lang, zeer lang. Het gaat onder andere om de verpleegkundige, doktersassistente, fysiotherapeut, artsen uit het gezondheidscentrum, patholoog, apotheker, co-assistenten, medisch studenten, biochemici, fysici, paramedici, diëtisten, spelbegeleiders op een kinderafdeling, secretaressen, functionarissen belast met het feitelijk beheer van het patiëntendossier, functionarissen belast met de financiële afwikkeling, mensen die rechtstreeks betrokken zijn bij de medische behandeling, vervangers van al deze mensen en automatiseringsmedewerkers die UZI-passen krijgen.

Daarnaast kunnen opsporingsambtenaren of een geheime dienst in bijzondere gevallen de gegevens vorderen. Webwereld en het tijdschrift Medisch Contact vroegen via de de Wet openbaarheid van bestuur (Wob) documenten bij het College Bescherming Persoonsgegevens (CBP) op.

Monitoring
Ondanks dat zoveel mensen toegang krijgen, schiet de monitoring op misbruik ernstig tekort. Het systeem logt iedereen die een dossier bekijkt, maar kan alleen met terugwerkende kracht optreden. Het kwaad is dan al geschied. Het Ministerie van Volksgezondheid stelt dat alleen in het geval van een behandelrelatie tussen arts en patiënt de gegevens mogen worden ingezien. Toch erkent het departement dat dit technisch niet is te controleren, tot grote woede van het CBP: “Het is onvoldoende dat achteraf kan worden vastgesteld dat iemand zijn boekje te buiten is gegaan en onbevoegd toegang heeft gekregen tot een medisch dossier. Nog daargelaten dat het waarschijnlijk onbegonnen werk is om al die loggegevens daadwerkelijk te controleren.”

Niet alleen is het technisch lastig, de wil om toezicht te houden ontbreekt. Zowel het CBP als de Inspectie voor de Gezondheidszorg (IGZ) zijn hiervoor niet uitgerust. Het ministerie stelt dat misbruik door "de samenhang tussen wetten, beveiliging, toezicht, communicatie en de keten van identificatie, authenticiteit, autorisatie en logging" voorkomen zal worden

Onzeker
Volgens IT-journalist Brenno de Winter die het WOB-verzoek indiende, moeten mensen met een EPD zich onzeker gaan voelen. "Want dit is een standaard beveiligingsprobleem: Op het moment dat je weet dat er een echte pakkans is, heb je kans met repressie iets te bereiken. Nu is die er niet en zijn de straffen niet zoveel waard. Slechts een handjevol mensen zal de logregels gaan opvragen, want mensen met twijfel over nut en noodzaak hebben zich inmiddels al bij de honderdduizenden mensen gevoegd, die zich hebben uitgeschreven. Daar hoor ik ook bij."

De Winter vindt dat het EPD op de schop moet. "Het is niet aan mij om een alternatief te leveren voor een slecht systeem. Hier is de beveiliging matig en dan moet je heroverwegen. Er moet een compleet andere manier van authenticatie en autorisatie komen. Uitgangspunt zou moeten zijn dat de patiënt expliciet toestemming geeft. Dat kan digitaal."

In het geval de medische toestand of leeftijd van de patiënt dit niet toestaat, moet er een andere procedure komen, zo merkt hij op. "Bijvoorbeeld een automatische procedure, waarbij de patiënt op de hoogte wordt gebracht en mogelijk een commissie over de toegang oordeelt. Klopt het niet dan wordt direct een strafrechtelijke procedure gestart. Het is gedoe, maar het gaat om heel gevoelige gegevens. Uit de recente historie weten we dat de politie er niet voor terugdeinst medische dossiers op te vragen."