Volgens de Autoriteit Persoonsgegevens brengen steeds meer zorgaanbieders hun patiëntengegevens onder in de cloud, maar is dat niet zonder gevaren. De toezichthouder heeft daarom een Praktijkgids (pdf) opgesteld hoe dit op een verantwoorde en veilige manier kan worden gedaan en wat de wet hier over zegt.

Patiëntengegevens zijn namelijk bijzondere persoonsgegevens waarmee zorgvuldig moet worden omgegaan en waarbij voor verwerking van deze gegevens strenge regels gelden. Bovendien vallen patiëntgegevens onder het medisch beroepsgeheim van de zorgaanbieder. De cloud kan voor zorgverleners een goede oplossing zijn, maar brengt ook risico's met zich mee, aldus de Autoriteit Persoonsgegevens.

Door het werken met patiëntgegevens in de cloud kan een zorgverlener mogelijk niet of pas te laat ontdekken dat informatie in verkeerde handen terecht is gekomen. Ook kunnen patiëntgegevens terechtkomen in een land waar de wettelijke bescherming van persoonsgegevens niet of onvoldoende is geregeld. Daarnaast kan de cloudprovider de gegevens voor zichzelf gebruiken zonder dat hiervoor toestemming is gegeven.

Het is echter niet nodig voor zorgverleners om toestemming aan de patiënt te vragen om hun patiëntgegevens in de cloud te plaatsen. Ook het medisch beroepsgeheim schrijft niet voor dat hiervoor toestemming moet worden gevraagd. Wel gelden er speciale regels voor de opslag van gegevens buiten de EU.

In de Praktijkgids wordt vervolgens uitgelegd hoe zorgverleners de juiste cloudprovider kunnen kiezen en waar op moet worden gelet als de gegevens eenmaal in de cloud staan, alsmede wat de consequenties zijn als de regels worden overtreden. Onder de nieuwe Europese privacyregels die volgend jaar van kracht worden kan de Autoriteit Persoonsgegevens een boete opleggen van maximaal 20 miljoen euro of 4 procent van de totale wereldwijde jaaromzet.