"Het AZ Turnhout maakte gisteren zelf bekend dat zij met een datalek te kampen hebben: de gegevens van bepaalde patiënten zouden zijn gestolen en er zou door de ‘dief’ mee worden gedreigd deze gegevens openbaar te maken. Wat nadat de GDPR van kracht wordt?"

Dat vraagt meester Jellina Buelens (Arcas Law) zich af. "Er wordt nu door het ziekenhuis onderzocht over welke gegevens het precies gaat, hoe dit is kunnen gebeuren en welke maatregelen dienen te worden genomen. Tevens werden de betrokken patiënten op de hoogte gebracht en werd de Privacycommissie ingelicht."

"Op dit moment is een melding van een datalek aan de Privacycommissie niet wettelijk verplicht. Onder de huidige wetgeving is de kans bovendien klein dat het AZ Turnhout een fout zal worden verweten indien het AZ Turnhout kan aantonen dat het de gepaste technische en organisatorische maatregelen heeft getroffen die nodig zijn voor de bescherming van persoonsgegevens.

"Indien een dergelijk datalek zich evenwel zou voordoen na 25 mei 2018, zou dit voor het betrokken ziekenhuis mogelijk wel verdergaande gevolgen kunnen hebben. Vanaf die datum dienen alle ziekenhuizen namelijk de veel striktere GDPR-regelgeving te hebben geïmplementeerd, wat onder andere impliceert dat er een data protection officer (DPO) dient te worden aangesteld, dat er een register van verwerkingsactiviteiten dient te worden bijgehouden en dat de verwerking van sommige gegevens dient te worden voorafgegaan door een data protection impact assessment (DPIA). Elk datalek dient bovendien onmiddellijk te worden gemeld."

Indien na 25 mei 2018 bij de vaststelling van een datalek, zoals heden in het AZ Turnhout, zou blijken dat de wettelijke verplichtingen niet werden voldaan, loopt het betrokken ziekenhuis het risico op zeer hoge boetes tot wel € 20.000.000,-. Het is dan ook belangrijk dat elk ziekenhuis tijdig het nodige doet om te voldoen aan de striktere privacyregels die binnenkort van toepassing zullen zijn!

Jellina Buelens

Advocaat Arcas Law