Schending van de privacy van patiënten en onrechtmatige verspreiding van gezondheidsgegevens

Wat is de privacy van de patiënt?

Patiëntprivacy heeft betrekking op de bescherming van informatie over iemands fysieke, mentale, sociale en persoonlijke leven tijdens de zorgverlening; het waarborgen dat het onderzoek, de diagnose, de behandeling en de zorg vertrouwelijk verlopen; en het voorkomen dat de gezondheidsinformatie van een patiënt wordt gedeeld met onbevoegde derden. Informatie over iemands ziekte, diagnose, medicatiegebruik, operatiegeschiedenis, psychiatrische aandoening, zwangerschap, seksuele gezondheid, genetische informatie, testresultaten, beeldvorming, invaliditeitsstatus, verslavingsbehandeling of infectieziekten valt onder de privacywetgeving.

De Patiëntenrechtenverordening is van toepassing op alle publieke en private instellingen en organisaties die gezondheidszorg verlenen en heeft tot doel te waarborgen dat patiënten zorg ontvangen op een wijze die de menselijke waardigheid respecteert en dat zij gebruik kunnen maken van wettelijke beschermingsmiddelen tegen schendingen van hun rechten. Daarom is de privacy van de patiënt niet alleen een ethische, maar ook een wettelijke verplichting voor particuliere ziekenhuizen, staatsziekenhuizen, klinieken, laboratoria, beeldvormingscentra, apotheken en zorgverleners.

Schending van de privacy kan niet alleen plaatsvinden door het openbaar maken van medische gegevens aan derden, maar ook door ongepaste onderzoeken, het luidkeels bekendmaken van een diagnose in het ziekenhuis, ongeoorloofde toegang tot een patiëntendossier, ongeoorloofde toegang tot e-Nabız (het Turkse nationale gezondheidsinformatiesysteem), het delen van patiëntgegevens op sociale media of het onrechtmatig delen van gegevens met werkgevers, familieleden, verzekeringsmaatschappijen of andere instellingen.

Waarom worden gezondheidsgegevens beschouwd als bijzondere categorie persoonsgegevens?

Volgens Wet nr. 6698 inzake de bescherming van persoonsgegevens zijn persoonsgegevens alle informatie die betrekking heeft op een geïdentificeerde of identificeerbare natuurlijke persoon. Dezelfde wet wijst bepaalde gegevens, zoals gezondheidsgegevens, gegevens over het seksuele leven, biometrische gegevens en genetische gegevens, bijzondere categorieën persoonsgegevens . Gezondheidsgegevens worden strenger beschermd omdat ze direct verband houden met de privacy en persoonlijke rechten van een persoon.

Volgens de Turkse wet op de bescherming van persoonsgegevens (KVKK) is de verwerking van bijzondere categorieën persoonsgegevens zonder de uitdrukkelijke toestemming van de betrokkene over het algemeen verboden. Gegevens met betrekking tot gezondheid en seksueel leven mogen alleen zonder uitdrukkelijke toestemming worden verwerkt door personen of bevoegde instellingen en organisaties die gebonden zijn aan een geheimhoudingsplicht, met als doel de bescherming van de volksgezondheid, preventieve geneeskunde, medische diagnose, behandeling en zorgverlening, en de planning en het beheer van gezondheidszorg en de financiering daarvan. Deze uitzondering betekent niet dat gezondheidsgegevens vrijelijk met iedereen kunnen worden gedeeld; het staat alleen verwerking toe die beperkt is tot de doeleinden en personen die in de wet zijn gespecificeerd.

Daarom kan zelfs een simpele mededeling van een ziekenhuis, arts of zorgverlener als "de patiënt is hier behandeld" in sommige gevallen al een datalek vormen. Dit komt omdat het ziekenhuis, de afdeling en de diagnose van een behandeling als gezondheidsgegevens worden beschouwd. Bescherming van de privacy is nog crucialer in vakgebieden zoals psychiatrie, verloskunde en gynaecologie, infectieziekten, seksuele gezondheid, IVF, verslavingszorg, kanker, genetische testen en arbeidsongeschiktheidsrapporten.

Op welke manieren komt de privacy van de patiënt tot uiting?

Schending van de privacy van een patiënt kan op veel verschillende manieren plaatsvinden. Een van de meest voorkomende voorbeelden is wanneer een zorgverlener de diagnose, testresultaten of behandelinformatie van een patiënt deelt met diens familie, werkgever, buren, een andere patiënt of derden zonder toestemming van de patiënt. Familie zijn geeft niet automatisch recht op inzage in de gezondheidsgegevens van een patiënt. Zelfs als de patiënt wilsbekwaam is en geen expliciete toestemming heeft gegeven, hebben de partner, moeder, vader of kind niet automatisch toegang tot alle gezondheidsinformatie.

Een ander type overtreding is wanneer ziekenhuispersoneel uit nieuwsgierigheid, persoonlijke vijandigheid, kennismaking, echtscheidingsprocedures, zakelijke relaties of sociale doeleinden toegang krijgt tot de gegevens van een patiënt uit het e-Nabız-systeem of het ziekenhuisinformatiesysteem. Toegang tot gezondheidsgegevens mag alleen worden verleend voor zover dat noodzakelijk is voor de zorgverlening en door bevoegd personeel. Met de wijzigingen in de Verordening inzake Persoonsgegevens van 3 december 2025 zijn de regels met betrekking tot welke artsen toegang hebben tot gezondheidsgegevens, voor welke duur en in welke mate, duidelijker vastgelegd. Zo is de toegang door artsen die een patiënt raadpleegt voor zorgverlening beperkt tot de procedures die direct verband houden met de verleende zorgverlening zijn afgerond.

Ook via berichten op sociale media kunnen privacyschendingen plaatsvinden. Het zonder toestemming delen van foto's van operaties, geboortefoto's, voor- en nafoto's van cosmetische ingrepen, afbeeldingen van een patiënt die nog steeds herkenbaar is, zelfs als het gezicht bedekt is, testresultaten, foto's uit een patiëntenkamer of beelden van ambulance-interventies kan leiden tot aansprakelijkheid op grond van patiëntenrechten, de Wet bescherming persoonsgegevens (KVKK) en persoonlijke rechten.

Bescherming van de privacy binnen het ziekenhuis

Patiëntprivacy gaat niet alleen over gegevensbeveiliging. Het beschermen van de lichamelijke privacy van de patiënt tijdens onderzoeken, het voorkomen dat onnodige personen in de onderzoekskamer aanwezig zijn, het niet hardop voorlezen van patiëntinformatie, het niet openbaar maken van diagnoses in ziekenhuisgangen, het niet onbeveiligd achterlaten van patiëntdossiers en het niet plaatsen van gevoelige informatie samen met patiëntnamen op prikborden, vallen ook onder privacy.

Als bijvoorbeeld gevoelige informatie van een patiënt, zoals diens hiv-status, hepatitis, zwangerschap, psychiatrische diagnose, seksueel misbruik, miskraam, verslaving of kanker, in een spoedeisende hulp of polikliniek wordt gedeeld op een manier die anderen kunnen horen, kan dit worden beschouwd als een schending van de privacy van de patiënt. Evenzo zouden privacyregels strikter moeten worden toegepast in verloskamers, intensive care-afdelingen, operatiekamers en afdelingen voor verloskunde en gynaecologie.

De Patiëntenrechtenverordening regelt het recht van de patiënt op toegang tot informatie over zijn of haar gezondheidstoestand, evenals het recht om zijn of haar medische dossiers en gegevens in te zien en er kopieën van te verkrijgen, rechtstreeks of via een vertegenwoordiger of wettelijke voogd. Dit recht behoort echter toe aan de patiënt; de zorginstelling mag de gegevens van de patiënt niet aan derden verstrekken die daar geen verband mee hebben.

Ongeautoriseerde toegang tot e-Nabız-gegevens

Het e-Nabız-systeem is een belangrijk digitaal gezondheidssysteem dat de toegang tot individuele medische dossiers vergemakkelijkt. Toegang tot e-Nabız en ziekenhuisinformatiesystemen geeft zorgverleners echter geen onbeperkt inzagerecht. Een zorgverlener mag de medische dossiers van een persoon met wie geen behandelrelatie bestaat of van wie de dossiers niet nodig zijn voor de geleverde zorg, niet inzien.

De wijzigingen in de Verordening inzake Persoonsgegevens in 2025 hebben de voorwaarden voor toegang tot gezondheidsgegevens, de beveiligingsinstellingen van e-Nabız en de toegangsbeperkingen met betrekking tot de verlening van gezondheidsdiensten opnieuw gedefinieerd. De wijzigingen hebben met name toegangsbeperkingen vastgelegd voor situaties zoals de geregistreerde huisarts van de betrokkene, de arts die hij of zij heeft geraadpleegd, de artsen die werkzaam zijn bij de zorginstelling waar de betrokkene is opgenomen, en toegang via de spoedeisende hulp.

Het kan daarom onrechtmatige toegang tot gegevens vormen als een ex-partner, buur, familielid, werkgever of een kennis uit de zorgsector toegang krijgt tot de e-Nabız-gegevens van een patiënt. Patiënten kunnen hun toegangsgeschiedenis tot e-Nabız controleren en, in geval van verdachte toegang, dit melden bij het Ministerie van Volksgezondheid, het betreffende ziekenhuis, de Autoriteit Persoonsgegevens (KVKK) en, indien nodig, het Openbaar Ministerie.

Gezondheidsgegevens delen met de werkgever

Een veelvoorkomende overtreding in de praktijk is het overmatig delen van gezondheidsinformatie van een werknemer met de werkgever. Hoewel de werkgever in sommige gevallen informatie mag verkrijgen over ziekteverlof, rustperiodes of arbeidsgeschiktheid van een werknemer, mogen gedetailleerde diagnoses, psychiatrische voorgeschiedenis, zwangerschapsstatus, testresultaten, medicatiegebruik of specifieke behandelinformatie in principe niet met de werkgever worden gedeeld.

Een voorbeeld hiervan is een schending van de privacy: een ziekenhuis dat de werkgever informeert over de specifieke ziekte waarvoor een werknemer zich ziek meldt; een personeelsafdeling die informatie over de kankerstatus, zwangerschap, psychiatrische aandoening of infectieziekte van een werknemer deelt met andere werknemers; of een bedrijfsarts die gevoelige gezondheidsinformatie openbaar maakt in strijd met zijn geheimhoudingsplicht.

In arbeidsrelaties mogen gezondheidsgegevens alleen worden verwerkt voor beperkte doeleinden, zoals arbeidsveiligheid en -gezondheid, geschiktheid voor het werk, rapportage of wettelijke verplichtingen. Het beginsel van relevantie, beperking en proportionaliteit is met name belangrijk voor gezondheidsgegevens. De Wet bescherming persoonsgegevens (KVKK) schrijft voor dat persoonsgegevens rechtmatig, eerlijk, voor specifieke en legitieme doeleinden en op een wijze die relevant, beperkt en proportioneel is ten opzichte van het doel waarvoor ze worden verwerkt, moeten worden verwerkt.

Gezondheidsinformatie verstrekken aan familieleden

Familieleden van een patiënt hebben geen toegang tot alle gezondheidsgegevens van de patiënt. Als de patiënt bij bewustzijn is, in staat is weloverwogen beslissingen te nemen en zelfstandig keuzes kan maken, mag gezondheidsinformatie alleen met toestemming van de patiënt aan familieleden worden verstrekt. De patiënt kan een andere persoon machtigen om informatie over zijn of haar gezondheidstoestand op te vragen; indien nodig kan een schriftelijke vastlegging van deze machtiging vereist zijn.

Omgekeerd, als de patiënt minderjarig, wilsonbekwaam, bewusteloos is of niet in staat is beslissingen te nemen, kan het nodig zijn de ouder, voogd of wettelijke vertegenwoordiger te informeren. In noodsituaties mag informatie worden gedeeld die nodig is om het leven of de lichamelijke integriteit van de patiënt te beschermen, mits dit op een proportionele manier gebeurt.

Het bekendmaken van de uitslag van een zwangerschapstest van een volwassen vrouw aan haar familie, het onthullen van de diagnose van een psychiatrische patiënt aan diens partner, het informeren van een werkgever of familielid over de uitslag van een hiv-test, of het delen van informatie over abortussen of gynaecologische onderzoeken met derden, kan bijvoorbeeld een ernstige schending van de privacy vormen. In dergelijke gevallen is het verweer van de zorginstelling dat "een familielid erom vroeg" onvoldoende.

Gezondheidsgegevens delen op sociale media

Het is heel gebruikelijk geworden dat zorgverleners of klinieken foto's van patiënten delen op sociale media. "Voor-en-na"-foto's worden vaak gebruikt, vooral in de cosmetische chirurgie, haartransplantatie, tandheelkunde, bevalling, IVF, obesitaschirurgie en dermatologie. Het delen van dergelijke afbeeldingen zonder de uitdrukkelijke toestemming van de patiënt is echter wettelijk verboden.

Zelfs als het gezicht van een patiënt onherkenbaar is gemaakt, kunnen persoonsgegevens als verwerkt worden beschouwd als de identiteit van de patiënt kan worden achterhaald aan de hand van tatoeages, stem, lichaamsbouw, datum, locatie, behandelingsproces of verklarende tekst. Bovendien worden afbeeldingen met gezondheidsgegevens met extra zorgvuldigheid behandeld. De enkele toestemming van een patiënt voor een behandeling betekent niet automatisch dat hij of zij ook instemt met het delen van zijn of haar afbeelding voor reclame- of promotiedoeleinden.

Voor berichten op sociale media moet expliciete toestemming specifiek, geïnformeerd en vrijwillig gegeven zijn. Een vage vermelding als "mijn foto's kunnen gebruikt worden" in het algemene transactieformulier is mogelijk niet in alle gevallen voldoende. De patiënt moet weten welke van zijn of haar afbeeldingen gedeeld zullen worden, op welk platform, met welk doel en hoe lang.

Verantwoordelijkheden van de gegevensbeheerder

Ziekenhuizen, klinieken, laboratoria, beeldvormingscentra, privépraktijken of instellingen die gezondheidszorg verlenen, kunnen worden beschouwd als verwerkingsverantwoordelijken of verwerkers van persoonsgegevens met betrekking tot de persoonsgegevens die zij verwerken. Volgens de Wet bescherming persoonsgegevens (KVKK) is een verwerkingsverantwoordelijke een natuurlijke of rechtspersoon die de doeleinden en middelen van de verwerking van persoonsgegevens bepaalt en verantwoordelijk is voor de inrichting en het beheer van het gegevensregistratiesysteem.

Artikel 12 van de KVKK (Wet op de bescherming van persoonsgegevens) verplicht verwerkingsverantwoordelijken om de nodige technische en administratieve maatregelen te nemen om onrechtmatige verwerking van persoonsgegevens te voorkomen, onrechtmatige toegang tot persoonsgegevens te verhinderen en de bewaring van persoonsgegevens te waarborgen. Hetzelfde artikel bepaalt dat verwerkingsverantwoordelijken en gegevensverwerkers persoonsgegevens die zij hebben verkregen niet onrechtmatig aan anderen mogen bekendmaken of gebruiken voor andere doeleinden dan het verwerkingsdoel; deze verplichting blijft van kracht, ook nadat zij hun functie hebben verlaten.

Een ziekenhuis kan zich daarom niet in elk geval aan de verantwoordelijkheid onttrekken door te zeggen: "Onze medewerker heeft de gegevens gelekt, wij zijn niet verantwoordelijk." Het ziekenhuis is verplicht de toegangsrechten te beperken, logboeken bij te houden, personeel te trainen, geheimhoudingsverplichtingen te verkrijgen, gegevensbeveiligingsbeleid vast te stellen, ongeautoriseerde toegang te voorkomen en de nodige meldingen te doen in geval van een datalek.

Welke rechten heeft een patiënt?

Volgens artikel 11 van de KVKK (Wet op de bescherming van persoonsgegevens) heeft de betrokkene het recht om bij de verwerkingsverantwoordelijke na te vragen of zijn of haar persoonsgegevens worden verwerkt, om informatie te vragen indien deze worden verwerkt, om het doel van de verwerking te kennen en te weten of de gegevens in overeenstemming met dat doel worden gebruikt, om te weten aan welke derden de gegevens zijn doorgegeven, om correctie van onvolledige of onjuiste gegevens te vragen, om verwijdering of vernietiging ervan te vragen indien aan de voorwaarden is voldaan, en om schadevergoeding te eisen indien hij of zij schade heeft geleden als gevolg van de onrechtmatige verwerking van zijn of haar persoonsgegevens.

Een patiënt kan contact opnemen met een zorgverlener en de volgende vragen stellen: Wie heeft mijn gezondheidsgegevens ingezien? Op welke data is toegang verleend? Met wie zijn mijn gegevens gedeeld? Op welke wettelijke basis zijn ze verwerkt? Welke van mijn gegevens worden bewaard? Hoe worden onjuiste gegevens gecorrigeerd? Welke maatregelen zijn genomen als er sprake was van onrechtmatige gegevensdeling?

De patiënt kan ook correcties in zijn of haar medisch dossier aanvragen. De Patiëntenrechtenverordening erkent het recht van de patiënt om zijn of haar medisch dossier in te zien en er kopieën van te verkrijgen, evenals het principe dat dossiers alleen mogen worden ingezien door personen die direct betrokken zijn bij de zorgverlening. Daarom moeten zowel het recht van de patiënt op toegang tot informatie als het recht op bescherming van de privacy in samenhang worden beschouwd.

Hoe vraag ik een KVKK-aanvraag (Wet bescherming persoonsgegevens) aan?

Als een patiënt meent dat zijn of haar gezondheidsgegevens onrechtmatig zijn verwerkt of gedeeld, moet hij of zij eerst contact opnemen met de verantwoordelijke voor de gegevensverwerking. Volgens artikel 13 van de Wet bescherming persoonsgegevens (KVKK) dient de betrokkene zijn of haar verzoek schriftelijk of via andere door de Raad vastgestelde methoden in bij de verantwoordelijke voor de gegevensverwerking. De verantwoordelijke voor de gegevensverwerking is verplicht het verzoek zo spoedig mogelijk, en uiterlijk binnen dertig dagen, te behandelen, afhankelijk van de aard van het verzoek.

Aanvragen kunnen worden ingediend bij de hoofdbehandelend arts van het ziekenhuis, de directie van het privéziekenhuis, de vertegenwoordiger van de gegevensbeheerder, het contactadres van de KVKK (Wet bescherming persoonsgegevens), het KEP-adres (geregistreerd e-mailadres) of het officiële aanvraagkanaal van de instelling. De aanvraag moet duidelijk de identificatiegegevens van de patiënt, de datum van de inbreuk, de verdachte toegang of het delen van gegevens, de gevraagde informatie en documenten, de aard van de schade en de gewenste actie vermelden.

Als de verwerkingsverantwoordelijke het verzoek afwijst, een ontoereikend antwoord geeft of niet binnen de gestelde termijn reageert, ontstaat het recht om een ​​klacht in te dienen bij de Autoriteit Persoonsgegevens (KVKK). Volgens artikel 14 van de KVKK kan de betrokkene binnen dertig dagen na kennisname van het antwoord, en in ieder geval binnen zestig dagen na de datum van het verzoek, een klacht indienen bij de Autoriteit. Een directe klacht bij de Autoriteit kan niet worden ingediend zonder eerst de aanvraagprocedure te doorlopen.

Kan een klacht op grond van de AVG een schadevergoeding vervangen?

Nee. Het aanvragen van een vergoeding op grond van de Wet bescherming persoonsgegevens (KVKK) en het indienen van een klacht bij de Autoriteit Persoonsgegevens zijn administratieve toezichtsmechanismen. Indien de Autoriteit Persoonsgegevens een overtreding constateert, kan zij de verwerkingsverantwoordelijke bevelen de onrechtmatigheid te herstellen, gegevensbeveiligingsmaatregelen te treffen of administratieve sancties op te leggen. De patiënt kan echter ook een aparte schadevergoedingsprocedure starten op grond van de algemene bepalingen om eventuele immateriële of morele schade te verhalen.

Artikel 14 van de KVKK (Wet op de bescherming van persoonsgegevens) stelt expliciet dat degenen wier persoonlijke rechten zijn geschonden, recht hebben op schadevergoeding overeenkomstig de algemene bepalingen. Bovendien bepaalt artikel 11 van de KVKK dat een persoon die schade heeft geleden als gevolg van de onrechtmatige verwerking van persoonsgegevens, een vergoeding voor die schade kan eisen.

De patiënt kan daarom zowel een klacht indienen bij de verwerkingsverantwoordelijke als een klacht over een schending van de AVG, en tevens een rechtszaak aanspannen voor schadevergoeding wegens schending van persoonlijke rechten, morele schade, reputatieschade, baanverlies, schade aan het gezinsleven of psychische gevolgen.

Aansprakelijkheid onder het strafrecht

Het onrechtmatig delen van gezondheidsgegevens kan in sommige gevallen leiden tot strafrechtelijke aansprakelijkheid. Volgens artikel 136 van het Turkse Wetboek van Strafrecht wordt iemand die onrechtmatig persoonsgegevens van een ander verstrekt, verspreidt of verkrijgt, gestraft met een gevangenisstraf van twee tot vier jaar.

Een voorbeeld hiervan is een ziekenhuismedewerker die de testresultaten van een patiënt naar diens ex-partner stuurt, een arts die de psychiatrische diagnose van een patiënt met derden deelt, een verpleegkundige die een screenshot van het e-Nabız (elektronisch patiëntendossier) van de patiënt op sociale media plaatst, een medewerker van een kliniek die foto's van cosmetische ingrepen publiceert zonder toestemming van de patiënt, of het overdragen van gezondheidsgegevens aan derden voor commerciële doeleinden. Al deze feiten kunnen worden beschouwd onder artikel 136 van het Turkse Wetboek van Strafrecht.

Afhankelijk van de aard van het incident kunnen bovendien ook artikelen 134 (schending van de privacy), 135 (registratie van persoonsgegevens), 138 (verzuim om gegevens te vernietigen), ambtsmisbruik of andere vormen van misdrijf aan de orde komen. Strafrechtelijke onderzoeken en de procedure in het kader van de Wet bescherming persoonsgegevens (KVKK) verschillen van elkaar. De KVKK richt zich op administratieve controle en gegevensbescherming, terwijl strafrechtelijke onderzoeken zich richten op de strafrechtelijke aansprakelijkheid van de dader.

Kan ik een vergoeding eisen voor materiële en immateriële schade?

Schadevergoeding voor materiële en immateriële schade kan worden geëist vanwege schending van de privacy van de patiënt. Immateriële schade is met name belangrijk vanwege de gevoelige aard van gezondheidsgegevens. Het verspreiden van informatie over de psychiatrische behandeling van een patiënt op de werkplek, het delen van informatie over zwangerschap of miskraam met familie, het bekendmaken van informatie over hiv of infectieziekten aan derden, het ongeautoriseerd publiceren van foto's van cosmetische ingrepen of het bekendmaken van een kankerdiagnose zonder toestemming van de patiënt kunnen allemaal aanzienlijke immateriële schade veroorzaken.

Een financiële vergoeding is aan de orde als een datalek aantoonbare economische schade heeft veroorzaakt. Een patiënt kan bijvoorbeeld een schadevergoeding eisen als hij of zij zijn of haar baan is kwijtgeraakt, een verzekeringsaanvraag is afgewezen, psychologische hulp nodig heeft gehad vanwege schending van de privacy, reputatieschade heeft geleden door medische foto's, of kosten heeft gemaakt als gevolg van onrechtmatige gegevensdeling.

In een schadevergoedingsprocedure wordt rekening gehouden met de aard van de inbreuk, de gevoeligheid van de gedeelde gegevens, met wie de gegevens zijn gedeeld, de frequentie van het delen, de impact op het sociale en professionele leven van de patiënt, of de inbreuk opzettelijk of door nalatigheid is gepleegd, het gedrag van de gegevensbeheerder na de inbreuk en de emotionele schade die de patiënt heeft geleden.

Schending van de privacy in een privékliniek

Als er sprake is van een schending van de privacy in een privékliniek, privélaboratorium, beeldvormingscentrum, esthetisch centrum of privépraktijk, kunnen privaatrechtelijke, consumentenrechtelijke, AVG- en strafrechtelijke procedures tegelijkertijd worden overwogen. Privéklinieken zijn verplicht de gezondheidsgegevens van patiënten te beschermen, deze alleen toegankelijk te maken voor bevoegd personeel, patiëntendossiers vertrouwelijk te behandelen en gegevens alleen voor wettige doeleinden te verwerken.

Een privékliniek kan aansprakelijk worden gesteld voor handelingen zoals het bekijken van een patiëntendossier door een medewerker uit persoonlijke nieuwsgierigheid, het delen van patiëntenfoto's voor reclamedoeleinden, het overdragen van patiënteninformatie aan tussenpersonen of derden, het verspreiden van patiënteninformatie in WhatsApp-groepen of het voorbereiden van promotiemateriaal zonder de uitdrukkelijke toestemming van de patiënt.

In dit geval dient de patiënt eerst een schriftelijk verzoek in te dienen bij het privéziekenhuis, met het verzoek om inzage in de toegangslogboeken, informatie over met wie de gegevens zijn gedeeld, eventuele toestemmingsformulieren en de genomen maatregelen naar aanleiding van het datalek. Indien het ziekenhuis geen afdoende reactie geeft, kan de patiënt overwegen een klacht in te dienen op grond van de Wet bescherming persoonsgegevens (KVKK), een klacht in te dienen op grond van de consumentenwetgeving, een schadevergoedingseis in te dienen en een strafrechtelijke klacht in te dienen bij het Openbaar Ministerie.

Schending van de privacy in een staatsziekenhuis

Als er in een staatsziekenhuis, stadsziekenhuis, opleidings- en onderzoeksziekenhuis of openbaar universitair ziekenhuis een schending van de privacy plaatsvindt, kunnen administratieve beroepsprocedures, tuchtprocedures, klachten op grond van de AVG, strafrechtelijke onderzoeken en volledige gerechtelijke procedures worden gestart. Gezondheidszorg in staatsziekenhuizen wordt beschouwd als openbare dienstverlening. Als de privacy van een patiënt wordt geschonden door nalatigheid van overheidspersoneel of de directie, kan de directie aansprakelijk worden gesteld.

Als bijvoorbeeld een medewerker van een staatsziekenhuis zonder toestemming toegang krijgt tot het elektronisch patiëntendossier (e-Nabız) ​​of andere ziekenhuisgegevens van een patiënt, patiëntinformatie deelt met een familielid of medische documenten aan een derde partij verstrekt, kan er sprake zijn van strafrechtelijke aansprakelijkheid van de medewerker, tuchtrechtelijke aansprakelijkheid van het ziekenhuisbestuur en nalatigheid van de directie bij het verlenen van diensten.

Een patiënt die schade heeft geleden in een openbaar ziekenhuis kan bij de betreffende instantie een verzoek indienen tot vergoeding van materiële en immateriële schade. Indien de instantie het verzoek afwijst of niet binnen de gestelde termijn reageert, kan een volledige gerechtelijke toetsingsprocedure worden gestart bij de bestuursrechtbank. Daarnaast kunnen ook procedures op grond van de Wet bescherming persoonsgegevens (KVKK) en het openbaar ministerie worden gestart.

Hoe moet bewijsmateriaal worden verzameld?

Het verzamelen van bewijsmateriaal is cruciaal in zaken betreffende schending van de privacy van patiënten en datalekken in de gezondheidszorg. Omdat datalekken vaak digitaal plaatsvinden, zijn logbestanden, toegangslogboeken, screenshots, berichten, berichten op sociale media, e-mailcorrespondentie, activiteiten in patiëntendossiers, camerabeelden en getuigenverklaringen allemaal belangrijk.

De patiënt dient zijn/haar toegangsgeschiedenis tot e-Nabız te controleren; bij verdachte toegang dient hij/zij de datums en tijden te noteren. Indien er gegevens via sociale media zijn gedeeld, dient een screenshot te worden gemaakt, de deellink te worden opgeslagen en, indien mogelijk, een notariële verklaring te worden opgesteld. Indien gezondheidsgegevens via WhatsApp of sms zijn gedeeld, mogen de berichten niet worden verwijderd, dient een screenshot te worden gemaakt en dient een back-up van het apparaat te worden bewaard.

In het schriftelijke verzoek aan het ziekenhuis dient u te vragen om: "informatie over welke medewerker mijn persoonlijke gezondheidsgegevens heeft ingezien, op welke datum en om welke reden; opheldering over de vraag of mijn gegevens aan derden zijn doorgegeven; overlegging van alle relevante documenten met expliciete toestemming; en informatie over de genomen maatregelen indien onrechtmatige toegang is geconstateerd.".

Wat moeten de patiënt of diens familieleden doen?

Als er een vermoeden bestaat van schending van de privacy van een patiënt, is de eerste stap het documenteren van het incident. Gedeelde informatie, berichten, schermafbeeldingen, content van sociale media, getuigenverklaringen, reacties van het ziekenhuis, toegangsgegevens van e-Nabız en ander bewijsmateriaal moeten worden bewaard. Er moet snel actie worden ondernomen om te voorkomen dat bewijsmateriaal wordt verwijderd.

De tweede stap is het indienen van een schriftelijke aanvraag bij de verantwoordelijke voor de gegevensverwerking. In particuliere ziekenhuizen kan de aanvraag worden ingediend bij de ziekenhuisdirectie en de GDPR-afdeling; in staatsziekenhuizen kan dit bij de hoofdgeneesheer, de provinciale gezondheidsdirectie of het ministerie van Volksgezondheid. De aanvraag moet duidelijk de aard van de overtreding vermelden, welke gegevens zijn gedeeld, wie ze heeft gedeeld, de omvang van de schade en de gestelde eisen.

De derde stap is het indienen van een klacht bij de Autoriteit Persoonsgegevens (KVKK) als er geen reactie wordt ontvangen of als de reactie onvoldoende is. Het is belangrijk om te onthouden dat een klacht niet rechtstreeks bij de Autoriteit kan worden ingediend zonder eerst een aanvraag bij de KVKK in te dienen. Als er binnen dertig dagen na de aanvraag geen reactie wordt gegeven, of als de reactie onvoldoende is, moet er een klacht worden ingediend bij de Autoriteit, waarbij de termijnen in acht moeten worden genomen.

De vierde stap is het indienen van een strafrechtelijke klacht bij het Openbaar Ministerie en, afhankelijk van de ernst van het incident, een schadevergoedingseis. Als het onrechtmatig delen van gezondheidsgegevens opzettelijk was, aan derden is verstrekt, via sociale media is verspreid of de privacy van de patiënt ernstig heeft aangetast, moeten strafrechtelijke stappen en schadevergoedingsmogelijkheden sterk worden overwogen.

Conclusie: Gezondheidsgegevens behoren tot de meest gevoelige persoonsgegevens

De privacy van de patiënt is een fundamenteel onderdeel van de gezondheidszorg. De gezondheidsinformatie van een patiënt mag alleen worden verwerkt voor zover dat nodig is voor de behandeling en door bevoegd personeel. Patiëntdiagnoses, testresultaten, operatiegeschiedenis, psychiatrische status, zwangerschapsinformatie, genetische gegevens, informatie over seksuele gezondheid of gegevens uit het elektronisch patiëntendossier (e-Nabız) ​​mogen niet worden gedeeld met onbevoegde personen.

Volgens de Turkse wet op de bescherming van persoonsgegevens (KVKK) worden gezondheidsgegevens beschouwd als bijzondere categorieën persoonsgegevens en vallen ze onder een strengere beschermingsplicht. Ziekenhuizen, klinieken of zorginstellingen die als gegevensverwerker optreden, zijn verplicht om onrechtmatige toegang te voorkomen, de gegevensbeveiliging te waarborgen, toezicht te houden op hun medewerkers, toegangsrechten te beperken en de nodige meldingen te doen in geval van datalekken.

Personen van wie de privacy als patiënt is geschonden, kunnen verschillende juridische stappen ondernemen, waaronder het indienen van een klacht bij de gegevensbeheerder, een klacht op grond van de Wet bescherming persoonsgegevens (KVKK), een aanvraag bij de provinciale gezondheidsdirectie of het ministerie van Volksgezondheid, een strafrechtelijke klacht bij het openbaar ministerie, een schadevergoedingseis (afhankelijk van of het een particulier of openbaar ziekenhuis betreft) en, indien nodig, een administratieve procedure. De onrechtmatige openbaarmaking, verspreiding of verkrijging van persoonsgegevens kan ook leiden tot strafrechtelijke aansprakelijkheid op grond van artikel 136 van het Turkse Wetboek van Strafrecht.

Daarom mag het proces bij illegale uitwisseling van gezondheidsgegevens of schending van de privacy van patiënten niet beperkt blijven tot een simpele "klacht"; bewijsmateriaal moet worden bewaard, schriftelijke verzoeken moeten worden ingediend, GDPR-termijnen mogen niet worden overschreden en zowel strafrechtelijke als schadevergoedingsmogelijkheden moeten worden overwogen. Een sterk juridisch proces bij datalekken in de gezondheidszorg is alleen mogelijk door te documenteren hoe het lek is ontstaan ​​en concreet aan te tonen welke materiële en morele schade de patiënt heeft geleden.