Het belang van de wetgeving inzake de bescherming van gezondheidsgegevens en informatieverstrekking

Ingang

Gezondheidsgegevens behoren tot de meest gevoelige en kritisch beschermde gegevensgroepen binnen persoonsgegevens. De ziekte, diagnose, behandelgeschiedenis, medicatiegebruik, laboratoriumresultaten, genetische kenmerken, psychiatrische aandoening, chirurgische informatie, zwangerschapsstatus, seksuele gezondheid, informatie over een eventuele handicap, bloedgroep, röntgenfoto's en medische rapporten van een persoon zijn niet zomaar technische gegevens; het zijn gegevens die een directe invloed kunnen hebben op iemands privéleven, sociale status, werkrelaties, gezinsleven, verzekeringsstatus en persoonlijke rechten.

De bescherming van gezondheidsgegevens is daarom niet alleen naleving van de Wet bescherming persoonsgegevens (KVKK ). Het is ook direct verbonden met de privacy van de patiënt, het recht op privacy, medische geheimen, medische ethiek, patiëntenrechten, ziekenhuismanagement, cyberbeveiliging, cybercriminaliteit en schadevergoeding. Als gezondheidsgegevens illegaal worden verkregen, gedeeld of gelekt, lijdt het slachtoffer niet alleen een schending van de privacy, maar kan hij of zij ook te maken krijgen met sociaal stigma, baanverlies, problemen met de verzekering, problemen binnen het gezin, psychische schade en financiële verliezen.

In Turkije is een van de belangrijkste regelgevingen met betrekking tot de bescherming van gezondheidsgegevens de Wet nr. 6698 inzake de bescherming van persoonsgegevens(KVKK). Volgens artikel 6 van de KVKK vallen gezondheidsgegevens van individuen onder de categorie bijzondere categorieën persoonsgegevens. Bijzondere categorieën persoonsgegevens zijn gegevens die, indien onrechtmatig verwerkt, kunnen leiden tot discriminatie of ernstige schade voor de betrokkene. Daarom vereisen gezondheidsgegevens een veel hoger beschermingsniveau dan gewone contact- of identiteitsgegevens. Artikel 6 van de KVKK noemt onder andere gezondheidsgegevens, gegevens over het seksuele leven, biometrische gegevens en genetische gegevens als bijzondere categorieën persoonsgegevens.

Wat zijn gezondheidsgegevens?

Gezondheidsgegevens zijn alle informatie die betrekking heeft op de fysieke of mentale gezondheid van een persoon. Dit begrip is vrij breed. Ziekenhuisdossiers, onderzoeksgegevens, diagnose- en behandelverslagen, testresultaten, röntgenfoto's, operatieverslagen, ontslagbrieven, recepten, informatie over medicijngebruik, bloedonderzoeken, genetische testresultaten, psychologische evaluatieverslagen, rapporten van de medische tuchtcommissie, invaliditeitsrapporten, invaliditeitsbeoordelingen, vaccinatiegegevens en informatie over chronische ziekten kunnen allemaal als gezondheidsgegevens worden beschouwd.

Gezondheidsgegevens beperken zich niet tot officiële dossiers in ziekenhuizen. Gegevens zoals hartslag, slaap, stappen, calorieën, bloeddruk, bloedsuiker, menstruatiecyclus, zwangerschapsregistratie, stemming en sportprestaties, verzameld via mobiele gezondheidsapps, kunnen afhankelijk van de specifieke situatie ook als gezondheidsgegevens worden beschouwd. Smartwatches, draagbare technologie, telegeneeskunde-apps, online platforms voor psychologische begeleiding en digitale afsprakensystemen kunnen eveneens persoonlijke gezondheidsgegevens verwerken.

De bescherming van gezondheidsgegevens is daarom niet alleen een verantwoordelijkheid van ziekenhuizen en artsen. Ook particuliere ziekenhuizen, klinieken, tandartsen, psychologen, laboratoria, apotheken, bedrijven in medisch toerisme, verzekeringsmaatschappijen, werkgevers, digitale gezondheidsapplicaties, softwarebedrijven, cloudserviceproviders en callcenters kunnen gezondheidsgegevens verwerken. Deze personen en organisaties zijn verplicht om bij de verwerking van gezondheidsgegevens te voldoen aan de Wet bescherming persoonsgegevens (KVKK), specifieke wetgeving, patiëntenrechten en de regels van de wetgeving inzake informatietechnologie.

Waarom worden gezondheidsgegevens beschouwd als bijzondere categorie persoonsgegevens?

Gezondheidsgegevens worden beschouwd als bijzondere categorieën persoonsgegevens omdat openbaarmaking ervan ernstige schade aan de betrokkene kan veroorzaken. Als bijvoorbeeld een derde partij erachter komt dat iemand een psychiatrische behandeling ondergaat, hiv-positief is, een kankerbehandeling krijgt, een abortus heeft ondergaan, drager is van een erfelijke aandoening of een verslavingsbehandeling volgt, kan dit directe gevolgen hebben voor zijn of haar sociale, professionele en gezinsleven.

Een eenvoudig, expliciet toestemmingsformulier of een algemeen privacybeleid is daarom onvoldoende voor de verwerking van gezondheidsgegevens. De voorwaarden voor gegevensverwerking, de informatieplicht, de toegangsautorisatie, de gegevensbeveiliging, de bewaartermijn, de overdracht naar het buitenland, de melding van datalekken en de procedures voor gegevensvernietiging van gezondheidsgegevens moeten nauwkeuriger worden beheerd.

Binnen het huidige kader van artikel 6 van de KVKK (Wet op de bescherming van persoonsgegevens) is de verwerking van bijzondere categorieën persoonsgegevens in het algemeen verboden; verwerking is echter toegestaan ​​in de uitzonderlijke gevallen die in de wet worden genoemd. Wat gezondheidsgegevens betreft, is het met name belangrijk dat de verwerking wordt uitgevoerd door personen of bevoegde instellingen en organisaties die gebonden zijn aan een geheimhoudingsplicht, voor doeleinden zoals de bescherming van de volksgezondheid, preventieve geneeskunde, medische diagnose, behandeling en zorgverlening, en de planning en het beheer van gezondheidszorg en de financiering daarvan.

Basisprincipes in de verwerking van gezondheidsgegevens

Bij de verwerking van gezondheidsgegevens moeten de algemene beginselen van de Wet bescherming persoonsgegevens (KVKK) worden nageleefd. Deze beginselen omvatten: naleving van de wet en de regels van billijkheid, nauwkeurigheid en, indien nodig, tijdigheid, verwerking voor specifieke, expliciete en legitieme doeleinden, relevantie, beperking en proportionaliteit ten opzichte van het doel, en bewaring gedurende de noodzakelijke periode.

Een ziekenhuis kan bijvoorbeeld informatie verwerken die nodig is voor de diagnose en behandeling van een patiënt. Het opvragen van onnodige informatie die niets met de behandeling te maken heeft, het gebruiken van gezondheidsgegevens voor marketingdoeleinden, het delen van patiëntenlijsten met derden of het toestaan ​​van onbeperkte toegang tot alle patiëntendossiers aan medewerkers brengt echter juridische risico's met zich mee.

Het proportionaliteitsbeginsel is met name belangrijk bij gezondheidsgegevens. Een kliniek mag iemand die een afspraak aanvraagt ​​vragen naar zijn of haar naam, achternaam, telefoonnummer en de reden van de afspraak. Echter, als een eenvoudig intakeformulier een gedetailleerde medische voorgeschiedenis, een volledige lijst met medicijnen, erfelijke aandoeningen en onnodige persoonlijke informatie opvraagt, kan dit problemen opleveren met betrekking tot het principe van dataminimalisatie. De zorginstelling mag alleen de gegevens opvragen die noodzakelijk zijn voor de dienstverlening en mag deze gegevens niet gebruiken voor andere doeleinden dan de gespecificeerde.

Regelgeving inzake persoonsgegevens over de gezondheid

Een van de specifieke regelgevingen op het gebied van gezondheidsgegevens in Turkije is de Verordening inzake Persoonsgegevens van de Gezondheid. Volgens het Ministerie van Volksgezondheid is de Verordening gepubliceerd in het Staatsblad van 21 juni 2019, nummer 30808, en in werking getreden. De Verordening is opgesteld om de procedures en principes te reguleren die moeten worden gevolgd in de processen van de centrale en provinciale organisaties van het ministerie, aangesloten zorgaanbieders en aanverwante instellingen.

Het belang van deze regelgeving ligt in het feit dat gezondheidsgegevens niet alleen onder de algemene bepalingen van de Wet bescherming persoonsgegevens (KVKK) vallen, maar ook specifiek rekening houdend met het unieke karakter van de gezondheidszorg. De gezondheidszorg vereist continuïteit, toegankelijkheid en snelle toegang tot accurate informatie. Deze behoefte sluit echter de privacy van de patiënt niet uit. Zorgverleners zijn verplicht de nodige technische en administratieve maatregelen te nemen om de privacy van alle gezondheidsgegevens te beschermen, waaronder testresultaten, onderzoeken, diagnoses, behandelingen, rapporten, beeldmateriaal en patiëntendossiers. Het Ministerie van Volksgezondheid heeft met deze regelgeving verduidelijkt dat niemand gedwongen kan worden zijn of haar gezondheidsgegevens te delen, behalve wanneer dit noodzakelijk is voor de verlening van zorg, en dat zorginstellingen verplicht zijn de nodige maatregelen te nemen om de privacy van alle patiëntgegevens te beschermen.

e-Nabız en de digitalisering van gezondheidsgegevens

e-Nabız is een van de belangrijkste digitale systemen voor de bescherming van gezondheidsgegevens . Volgens het Ministerie van Volksgezondheid is e-Nabız een website waarmee burgers via één portaal toegang hebben tot hun eigen gezondheidsinformatie. Het doel van e-Nabız is om burgers en door burgers gemachtigde artsen in staat te stellen effectief en efficiënt toegang te krijgen tot hun persoonlijke gezondheidsgegevens via informatie- en communicatietechnologieën.

Het e-Nabız-systeem biedt veel gemak in de gezondheidszorg. Patiënten kunnen hun eerdere testresultaten, recepten, röntgenfoto's, rapporten en onderzoeksverslagen inzien, en artsen hebben tijdens de behandeling toegang tot de medische voorgeschiedenis van de patiënt. Dit kan de kwaliteit van de behandeling verbeteren, onnodige onderzoeken verminderen en snelle besluitvorming in noodsituaties mogelijk maken.

De gemakkelijke toegang tot digitale gegevens brengt echter ook een grotere verantwoordelijkheid met zich mee voor de beveiliging ervan. De veiligheid van gegevens die worden verwerkt in gecentraliseerde systemen voor elektronische patiëntendossiers, zoals e-Nabız, is cruciaal, niet alleen voor de privacy van individuen, maar ook voor de volksgezondheid en de betrouwbaarheid van de gezondheidszorg. Op de informatiepagina van het Ministerie van Volksgezondheid over het e-Nabız-systeem voor elektronische patiëntendossiers staat dat het Ministerie van Volksgezondheid van de Republiek Turkije de verwerkingsverantwoordelijke is voor de persoonsgegevens die in e-Nabız worden verwerkt.

Verantwoordelijkheid van zorginstellingen onder de wetgeving inzake de bescherming van persoonsgegevens

Ziekenhuizen, klinieken, dokterspraktijken, laboratoria, medische centra, tandartspraktijken, psychologische adviescentra en bedrijven in het gezondheidstoerisme treden vaak op als verwerkingsverantwoordelijke bij de verwerking van persoonsgegevens. De verwerkingsverantwoordelijke is de persoon die de doeleinden en middelen van de verwerking van persoonsgegevens bepaalt. Een zorginstelling wordt beschouwd als verwerkingsverantwoordelijke als zij besluit welke patiëntgegevens worden verzameld, in welk systeem deze worden opgeslagen, welk personeel er toegang toe heeft en met welk laboratorium of welke zorgverzekeraar deze worden gedeeld.

In deze context moeten zorginstellingen patiënten informeren, het verzamelen van onnodige gegevens vermijden, de toegang tot gezondheidsgegevens beperken, geheimhoudingsverplichtingen opleggen aan hun medewerkers, contracten afsluiten met gegevensverwerkers, hun digitale systemen beveiligen, de Raad van Bestuur en relevante personen op de hoogte stellen in geval van datalekken, en procedures voor opslag en vernietiging van gegevens implementeren.

Volgens de Turkse wet op de bescherming van persoonsgegevens (KVKK) zijn gegevensverwerkers verplicht de nodige technische en administratieve maatregelen te nemen om een ​​passend beveiligingsniveau te waarborgen, onrechtmatige verwerking en toegang tot persoonsgegevens te voorkomen en de bewaring van persoonsgegevens te garanderen. De Autoriteit stelt dat de te nemen maatregelen moeten worden bepaald aan de hand van de structuur, activiteiten en risico's van elke gegevensverwerker; de omvang van het bedrijf en de aard van de verwerkte persoonsgegevens zijn hierbij ook van belang. Aangezien gezondheidsgegevens een gevoelig karakter hebben, dienen de beveiligingsmaatregelen in zorginstellingen strenger te zijn.

Patiënteninformatie en expliciete toestemming

Zorginstellingen moeten patiënten op een duidelijke en begrijpelijke manier uitleggen hoe hun persoonsgegevens worden verwerkt. Het patiënteninformatiedocument moet de volgende informatie bevatten: de identiteit van de verwerkingsverantwoordelijke, de categorieën van verwerkte gegevens, de doeleinden van de gegevensverwerking, de wettelijke grondslag, de personen en instellingen aan wie gegevens kunnen worden doorgegeven, de methoden voor gegevensverzameling en de rechten van de patiënt onder de Wet bescherming persoonsgegevens (KVKK).

Het belangrijkste punt hier is dat expliciete toestemming niet vereist is voor elk proces dat noodzakelijk is voor de levering van gezondheidszorgdiensten. Gezondheidsgegevens mogen in bepaalde omstandigheden zonder expliciete toestemming worden verwerkt als er wettelijke voorwaarden bestaan, zoals bij het verstrekken van medische diagnoses, behandelingen en zorg, de bescherming van de volksgezondheid en de planning en financiering van gezondheidszorgdiensten. Een aparte juridische beoordeling is echter nodig met betrekking tot het gebruik van gezondheidsgegevens voor marketingdoeleinden, de overdracht ervan aan derden voor reclamedoeleinden, onnodige profilering of verwerking voor doeleinden die geen verband houden met gezondheidszorgdiensten.

De expliciete toestemming van de patiënt moet ook geldig zijn. Expliciete toestemming moet vrijwillig worden gegeven, gebaseerd zijn op geïnformeerde kennis en betrekking hebben op een specifieke kwestie. Brede en vage toestemmingsformulieren die als verplichte voorwaarde voor toegang tot gezondheidszorg worden gesteld, kunnen juridisch betwistbaar zijn. Algemene verklaringen zoals "Ik ga akkoord met de verwerking van al mijn gezondheidsgegevens voor elk doel" brengen bijvoorbeeld een ernstig risico met zich mee bij gevoelige gegevens zoals gezondheidsgegevens.

Informatiemanagementsystemen voor ziekenhuizen en IT-wetgeving

De meeste zorggegevens worden tegenwoordig opgeslagen in digitale systemen. Ziekenhuisinformatiesystemen, laboratoriuminformatiesystemen, PACS/radiologiebeeldvormingssystemen, e-receptinfrastructuren, patiëntenportalen, online afsprakensystemen, telegeneeskunde-applicaties en mobiele gezondheidsapplicaties staan ​​centraal in de wetgeving rondom zorginformatica.

Het bijhouden van accurate medische dossiers alleen is niet voldoende voor de rechtmatige werking van deze systemen. Het is cruciaal om te weten wie toegang heeft tot het systeem, of de toegang wordt geregistreerd, of de bevoegdheden van voormalige medewerkers zijn ingetrokken, of de toegangsrechten van artsen en ondersteunend personeel beperkt zijn tot hun taken, of patiëntgegevens versleuteld zijn, of er veilige back-ups worden bewaard en of er een incidentresponsplan is voor het geval van een datalek.

Ongeautoriseerde toegang tot gezondheidsgegevens vormt een ernstige schending van de wetgeving inzake informatietechnologie. Zo kan bijvoorbeeld een ziekenhuismedewerker die uit nieuwsgierigheid de testresultaten van een kennis inziet, een arts die de dossiers van een patiënt inziet waarmee hij geen behandelrelatie heeft, een voormalig medewerker die toegang blijft houden tot het systeem, of het kopiëren van gezondheidsgegevens naar een USB-stick, leiden tot aansprakelijkheid op grond van zowel de Turkse wet op de bescherming van persoonsgegevens als het strafrecht.

Cyberbeveiligingsaspecten van gezondheidsgegevens

De gezondheidszorgsector is een van de sectoren met een hoog risico op cyberaanvallen. Ziekenhuizen en zorginstellingen verwerken grote hoeveelheden gevoelige gegevens en moeten een ononderbroken dienstverlening kunnen garanderen. Daarom vormen ransomware-aanvallen, datalekken, ongeautoriseerde toegang, phishing-aanvallen, het gebruik van zwakke wachtwoorden, kwetsbaarheden in verouderde software en beveiligingslekken bij leveranciers ernstige risico's voor de gezondheidszorgsector.

Het versleutelen van de patiëntendatabase van een ziekenhuis is niet alleen een inbreuk op de privacy; het kan ook de zorgverlening verstoren. Het uitvallen van informatiesystemen in cruciale afdelingen zoals de spoedeisende hulp, de operatiekamer, het laboratorium en de intensive care kan de patiëntveiligheid direct in gevaar brengen. Daarom is de bescherming van zorggegevens vanuit het perspectief van de wetgeving inzake informatietechnologie niet alleen een kwestie van privacy, maar ook van continuïteit van de dienstverlening en patiëntveiligheid.

Zorgorganisaties moeten maatregelen implementeren zoals een streng wachtwoordbeleid, multifactorauthenticatie, toegangsbeperkingen, logbeheer, regelmatige penetratietests, back-ups, encryptie, firewalls, antivirussoftware, gebruikerstraining, datamasking, leveranciersbeveiliging en incidentresponsplannen. De mentaliteit dat "iedereen toegang heeft tot elk bestand" is onacceptabel, vooral in systemen die gevoelige zorggegevens verwerken.

Datalek in de gezondheidszorg en meldingstermijn van 72 uur

Het onrechtmatig verkrijgen van gezondheidsgegevens door anderen vormt een datalek. Voorbeelden hiervan zijn het online lekken van patiëntenlijsten, het versturen van laboratoriumresultaten naar de verkeerde persoon, ongeautoriseerde toegang tot andere systemen dan e-Nabız (het Turkse nationale gezondheidsinformatiesysteem), het door een ziekenhuismedewerker openbaar maken van patiëntgegevens aan derden, het zonder toestemming delen van patiëntfoto's door een bedrijf voor medisch toerisme, of een ransomware-aanval op de computer van een kliniek.

Volgens het besluit van de Autoriteit Persoonsgegevens van 24 januari 2019, nummer 2019/10, moet de verwerkingsverantwoordelijke de Autoriteit onmiddellijk en uiterlijk binnen 72 uur na constatering van het datalek op de hoogte stellen. Nadat de betrokkenen zijn geïdentificeerd, moeten zij zo spoedig mogelijk, direct of via een andere geschikte methode, worden geïnformeerd. Indien de kennisgeving niet binnen 72 uur kan plaatsvinden, moeten de redenen voor de vertraging aan de Autoriteit worden toegelicht.

Het melden van datalekken in de gezondheidszorg is bijzonder belangrijk. Als de betrokkene op de hoogte raakt van een datalek, kan hij of zij wachtwoorden wijzigen, voorzorgsmaatregelen nemen tegen fraude, zich beschermen tegen sociale of professionele schade en, indien nodig, juridische stappen ondernemen. Het verzwijgen van een datalek in de gezondheidszorg kan, wanneer het later wordt ontdekt, leiden tot veel ernstiger administratieve en juridische gevolgen voor de verwerkingsverantwoordelijke. De meest recente aankondigingen van de Wet bescherming persoonsgegevens (KVKK) benadrukken bovendien dat datalekken binnen 72 uur gemeld moeten worden.

Toegangsrechten en logboekregistraties in gezondheidsgegevens

Een van de belangrijkste kwesties bij de bescherming van gezondheidsgegevens is het recht op toegang. In zorginstellingen hebben artsen, verpleegkundigen, technici, medewerkers van de patiëntenadministratie, laboratoriumpersoneel, medewerkers van de facturatieafdeling, archiefmedewerkers, callcentermedewerkers en IT-personeel mogelijk op verschillende niveaus toegang tot gegevens. Het is echter overdreven om iedereen toegang te geven tot alle patiëntgegevens.

Toegangsrechten moeten beperkt blijven tot de taak die voorhanden is. Het kan onwettig zijn voor medewerkers die niet bij het behandelproces betrokken zijn om toegang te krijgen tot psychiatrische dossiers, genetische testresultaten of persoonlijke rapporten van een patiënt. Evenzo is het riskant voor facturatieafdelingen om buitensporige toegang te hebben tot medische gegevens, voor callcentermedewerkers om medische geschiedenissen in te zien, of voor IT-personeel om onbeperkte toegang te hebben tot inhoudelijke gegevens.

Daarom moet er in gezondheidsinformatiesystemen een op rollen gebaseerd autorisatiesysteem worden geïmplementeerd, moet toegang worden geregistreerd, moeten loggegevens regelmatig worden gecontroleerd en moet ongebruikelijke toegang worden gemonitord. Het moet mogelijk zijn om de vraag te beantwoorden: "Wie heeft toegang gehad tot de gegevens van welke patiënt, op welke datum en met welk doel?" Loggegevens zijn belangrijk voor interne audits, onderzoek naar datalekken en strafrechtelijke vervolging.

Overdracht van gezondheidsgegevens aan derden

Gezondheidsgegevens kunnen in bepaalde situaties met derden worden gedeeld. Gegevensoverdracht kan bijvoorbeeld plaatsvinden in gevallen zoals laboratoriumonderzoek, radiologisch onderzoek, verwijzingsprocedures, verzekeringskwesties, procedures van de sociale zekerheid, verzoeken van de rechtbank of het openbaar ministerie, procedures op het gebied van arbeidsveiligheid en -gezondheid, facturering, coördinatie van medisch toerisme of medische consultaties.

Elke gegevensoverdracht moet echter een wettelijke basis, doel en reikwijdte hebben. Patiëntgegevens mogen niet onnodig met derden worden gedeeld. Het versturen van de volledige medische geschiedenis van een patiënt naar een zorgverzekeraar kan bijvoorbeeld overdreven zijn, terwijl alleen de informatie die nodig is voor een specifieke pre-autorisatieprocedure volstaat. Voor het delen van voor- en nafoto's van een patiënt voor reclamedoeleinden door een bedrijf in medisch toerisme is expliciete, specifieke en geldige toestemming vereist.

Ook de overdracht van gezondheidsgegevens naar het buitenland vereist speciale aandacht. Indien gezondheidsgegevens worden gedeeld met een arts, verzekeringsmaatschappij, medisch reisbureau, cloudprovider, CRM-systeem of buitenlands laboratorium, moeten de voorwaarden voor gegevensoverdracht naar het buitenland, zoals vastgelegd in artikel 9 van de Wet bescherming persoonsgegevens, worden beoordeeld.

Gezondheidstoerisme en digitale marketingprocessen

In de medische toerismesector is de bescherming van gezondheidsgegevens van bijzonder belang. In vakgebieden zoals haartransplantatie, cosmetische chirurgie, tandheelkundige behandelingen, IVF, obesitaschirurgie, oogbehandelingen en vergelijkbare gebieden worden foto's van patiënten, behandelresultaten, rapporten en persoonlijke gegevens op grote schaal digitaal verwerkt.

Bedrijven in het medisch toerisme maken vaak gebruik van WhatsApp, sociale media, CRM-systemen, internationale callcenters, online advertenties en cloudsystemen. Tijdens deze processen kunnen foto's van patiënten, medische dossiers, paspoortgegevens, accommodatiegegevens en behandelplannen worden verwerkt. Deze gegevens kunnen worden aangemerkt als gezondheidsgegevens of bijzondere categorieën persoonsgegevens.

Het delen van 'voor-en-na'-foto's voor reclamedoeleinden is een zeer gevoelig onderwerp. Het feit dat een patiënt een foto ter behandeling aanlevert, betekent niet automatisch dat hij of zij toestemming geeft voor het gebruik ervan in advertenties op sociale media. Toestemming moet specifiek, duidelijk, geïnformeerd en vrijwillig zijn. Er moet duidelijk worden vermeld op welk platform, voor welk doel en hoe lang de foto zal worden gebruikt.

Verwerking van gezondheidsgegevens door werkgevers

Werkgevers kunnen ook gezondheidsgegevens van werknemers verwerken. Dit kan onder meer gezondheidsrapporten van vóór de indiensttreding, periodieke onderzoeken, ongevallenregistraties, arbeidsongeschiktheidsrapporten, informatie over arbeidsongeschiktheid, zwangerschapsgegevens, gegevens over beroepsziekten en documenten met betrekking tot arbeidsgezondheid en -veiligheid omvatten.

De bevoegdheid van de werkgever om gezondheidsgegevens te verwerken is echter niet onbeperkt. De werkgever mag alleen gegevens verwerken die noodzakelijk zijn in het kader van de arbeidsrelatie, arbeidsveiligheid en -gezondheid, sociale zekerheid, salarisadministratie, verlof en wettelijke verplichtingen. De diagnose van een ziekte, het medicijngebruik of andere persoonlijke medische informatie van een werknemer mag niet met alle managers worden gedeeld. Gezondheidsrapporten mogen alleen worden verwerkt voor zover dat nodig is door de afdeling personeelszaken of de bedrijfsarts; gezondheidsinformatie van werknemers mag geen onderwerp van roddel op de werkvloer worden.

Het onnodig delen van informatie over een werknemer die psychiatrische behandeling ondergaat met teammanagers kan bijvoorbeeld een schending van gevoelige persoonsgegevens vormen. Evenzo kan het toestaan ​​van ongeautoriseerde toegang tot ongevallenrapporten, informatie over arbeidsongevallen of zwangerschappen juridische aansprakelijkheid met zich meebrengen.

De strafrechtelijke aspecten van gezondheidsgegevens

Het onrechtmatig verkrijgen, vastleggen of verspreiden van gezondheidsgegevens kan ook strafrechtelijke gevolgen hebben. Het Turkse Wetboek van Strafrecht definieert het onrechtmatig vastleggen, openbaar maken, verspreiden of verkrijgen van persoonsgegevens als afzonderlijke misdrijven. Omdat gezondheidsgegevens een gevoelige aard hebben, wordt de ernst van de handeling in elk specifiek geval zwaarder beoordeeld.

Het versturen van een medisch dossier van een patiënt door een ziekenhuismedewerker naar een derde partij, het inzien van de medische dossiers van een arts met wie geen behandelrelatie bestaat, het delen van patiëntfoto's op sociale media door een medewerker van een kliniek, het openbaar maken van dossiers van psychologische begeleiding of de ongeoorloofde publicatie van laboratoriumresultaten kunnen bijvoorbeeld misdrijven tegen persoonsgegevens en in sommige gevallen schendingen van het recht op privacy vormen volgens het Turkse Wetboek van Strafrecht.

Gezondheidsgegevens kunnen soms worden gebruikt als middel voor bedreigingen of chantage. Uitspraken zoals "Ik zal je familie over je ziekte vertellen", "Ik zal je rapport naar je werkgever sturen" of "Ik zal je behandelingsfoto's delen" kunnen, afhankelijk van de specifieke omstandigheden, tegelijkertijd bedreigingen, chantage, onrechtmatige verspreiding van persoonsgegevens en schending van de privacy vormen.

Patiëntenrechten

Personen van wie de gezondheidsgegevens worden verwerkt, hebben veel rechten op grond van de Wet bescherming persoonsgegevens (KVKK). Zij kunnen te weten komen of hun gegevens worden verwerkt, informatie daarover opvragen indien dit het geval is, het doel van de verwerking inzien, navragen of de gegevens op de juiste wijze voor dat doel worden gebruikt, te weten komen aan welke derden de gegevens zijn doorgegeven, correctie van onvolledige of onjuiste gegevens verzoeken, verwijdering of vernietiging ervan verzoeken indien aan de voorwaarden is voldaan, en een schadevergoeding eisen voor geleden schade als gevolg van onrechtmatige verwerking.

In de gezondheidszorg zijn deze rechten ook verweven met patiëntenrechten. Een patiënt kan bijvoorbeeld inzage willen in zijn of haar eigen medische dossiers, correctie van onjuiste gegevens willen aanvragen, willen weten met welke instellingen zijn of haar gegevens zijn gedeeld, of contact willen opnemen met de gegevensbeheerder als hij of zij vermoedt dat zijn of haar gezondheidsgegevens zonder toestemming zijn gedeeld. De gegevensbeheerder moet tijdig en op een onderbouwde manier op het verzoek reageren.

Verzoeken om verwijdering van gezondheidsgegevens worden echter niet altijd direct ingewilligd. Zorginstellingen kunnen verplicht zijn medische dossiers gedurende bepaalde perioden te bewaren. In dat geval moet de verantwoordelijke voor de gegevensverwerking uitleggen welke gegevens worden bewaard en om welke wettelijke redenen.

Aansprakelijkheid voor schadevergoeding in gevallen van datalekken in de gezondheidszorg

De onrechtmatige verwerking of openbaarmaking van gezondheidsgegevens kan leiden tot aansprakelijkheid voor zowel materiële als morele schade. Omdat gezondheidsgegevens tot de meest persoonlijke informatie van een persoon behoren, is de kans op morele schade groot in geval van een inbreuk. Zo kan de ongeoorloofde openbaarmaking van patiëntgegevens over hiv, psychiatrische behandeling, zwangerschap, verslaving, kanker of erfelijke aandoeningen ernstige morele schade veroorzaken.

Er kunnen ook financiële schadegevallen ontstaan. Als het datalek met betrekking tot gezondheidsgegevens leidt tot baanverlies, problemen met de verzekering, verstoring van de behandeling, risico op fraude of economisch verlies, kan een schadevergoeding worden geëist. De aansprakelijkheid van de zorginstelling kan worden verzwaard als bewezen wordt dat zij de noodzakelijke technische en administratieve maatregelen niet heeft genomen, de toegang van medewerkers niet heeft gecontroleerd, het datalek te laat heeft gemeld of gegevens heeft gedeeld zonder de uitdrukkelijke toestemming van de patiënt.

Compliancechecklist voor zorginstellingen

Organisaties die zorggegevens verwerken, moeten eerst een data-inventarisatie opstellen. Hierin moet worden vastgelegd welke patiëntgegevens worden verzameld, met welk doel ze worden verwerkt, wie er toegang toe heeft, in welke systemen ze worden opgeslagen, aan wie ze worden overgedragen, of er gegevens naar het buitenland worden overgedragen, hoe lang ze worden bewaard en welke beveiligingsmaatregelen er zijn getroffen.

Ten tweede moeten patiënteninformatieteksten op een begrijpelijke manier worden opgesteld en gepresenteerd. Voor verschillende processen, zoals online afspraken, callcenters, onderzoeken, laboratoriumtests, medisch toerisme, beeldvorming, psychologische begeleiding en digitale gezondheidsapplicaties, kan aparte of gelaagde informatie nodig zijn.

Ten derde moeten toegangsrechten worden beperkt. Elke medewerker mag alleen toegang hebben tot de gegevens die nodig zijn voor zijn of haar functie. Accounts van voormalige medewerkers moeten worden gesloten, toegang moet worden geregistreerd en ongebruikelijke toegang moet worden gecontroleerd.

Ten vierde moet de technische beveiliging gewaarborgd zijn. Maatregelen zoals encryptie, back-ups, multifactorauthenticatie, logbeheer, firewalls, penetratietesten, datamasking, antivirussoftware, op rollen gebaseerde toegang en veilig cloudgebruik moeten worden geïmplementeerd.

Ten vijfde moet er een plan voor de reactie op een datalek worden opgesteld. Dit plan moet specificeren wie wat zal doen in geval van een datalek, hoe technisch bewijsmateriaal zal worden beschermd, hoe de raad van bestuur binnen 72 uur op de hoogte zal worden gesteld, hoe patiënten zullen worden geïnformeerd en of er een strafrechtelijke klacht bij het openbaar ministerie moet worden ingediend.

Conclusie

De bescherming van gezondheidsgegevens is een van de meest cruciale gebieden binnen het informatierecht en de wetgeving inzake bescherming van persoonsgegevens in het digitale tijdperk. Gezondheidsgegevens worden beschouwd als bijzondere categorieën persoonsgegevens en kunnen een directe invloed hebben op iemands privéleven, lichamelijke integriteit, psychische gesteldheid, maatschappelijke reputatie en economische toekomst. Daarom vereisen de verwerking, opslag, overdracht en bescherming van gezondheidsgegevens grote aandacht en strenge beveiligingsmaatregelen.

Ziekenhuizen, klinieken, laboratoria, tandartsen, psychologen, bedrijven in medisch toerisme, verzekeringsmaatschappijen, werkgevers en digitale gezondheidsapplicaties moeten voldoen aan de Wet bescherming persoonsgegevens (KVKK), de Verordening inzake persoonlijke gezondheidsgegevens, patiëntenrechten, professionele geheimhoudingsverplichtingen en de wetgeving inzake informatietechnologie bij de verwerking van gezondheidsgegevens. De Verordening inzake persoonlijke gezondheidsgegevens van het Ministerie van Volksgezondheid en het e-Nabız-systeem bieden belangrijke juridische en technische kaders voor de verwerking van en toegang tot gezondheidsgegevens in een digitale omgeving.

De sleutel tot de bescherming van gezondheidsgegevens ligt niet alleen in het opstellen van documenten; het gaat erom een ​​veilig systeem op te zetten, de toegang te beperken, informatie correct te verspreiden, gegevens proportioneel te verwerken, regelmatig audits uit te voeren en effectief om te gaan met datalekken. Wanneer een datalek zich voordoet, moet de verantwoordelijke voor de gegevensverwerking de Raad binnen 72 uur na constatering van het lek op de hoogte stellen en de betrokken personen zo spoedig mogelijk informeren.

Kortom, de bescherming van gezondheidsgegevens is niet alleen een kwestie van naleving van de AVG; het is een strategisch gebied dat patiëntveiligheid, privacy, kwaliteit van de zorg, reputatie van de instelling, cyberbeveiliging en juridische verantwoordelijkheid omvat. Het is cruciaal dat alle instellingen die gezondheidsgegevens verwerken dit proces professioneel beheren, zowel om de fundamentele rechten van patiënten te beschermen als om risico's zoals administratieve boetes, schadeclaims, strafrechtelijke onderzoeken en reputatieschade te voorkomen.