Drie Nederlandse ziekenhuizen hebben bij het laten digitaliseren van patiëntdossiers de Wet bescherming persoonsgegevens (Wbp) overtreden. Dat blijkt uit onderzoek van de Autoriteit Persoonsgegevens.

Begin dit jaar kwam in het nieuws dat het Belgische scanbedrijf iGuana in opdracht van ziekenhuizen medische dossiers in een gevangenis scanklaar liet maken, bijvoorbeeld door nietjes te verwijderen. De Autoriteit Persoonsgegevens deed daarop navraag bij enkele ziekenhuizen om vast te stellen of deze ziekenhuizen een bewerkersovereenkomst met het scanbedrijf hadden afgesloten die aan de wettelijke eisen voldoet.

Eén ziekenhuis bleek geen bewerkersovereenkomst te hebben gesloten. Twee andere ziekenhuizen hadden wel bewerkersovereenkomsten gesloten, maar deze voldeden niet aan alle wettelijke eisen. Zo ontbraken er details over de duur van de opslag en de beveiliging van de gegevens of was er niet expliciet een plicht tot geheimhouding opgenomen. Dit is in strijd met de Wet bescherming persoonsgegevens.

Een ziekenhuis mag de verwerking van medische gegevens, bijvoorbeeld het inscannen van medische dossiers, uitbesteden aan een andere organisatie. Het ziekenhuis moet volgens de Wbp in dat geval een bewerkersoverkomst sluiten met de organisatie die de dienst levert. De toezichthouder heeft de ziekenhuizen een korte termijn gesteld om alsnog een bewerkersovereenkomst te sluiten die voldoet aan de wettelijke vereisten. Dit zal hierna worden gecontroleerd.