Steeds meer organisaties maken gebruik van cloudoplossingen voor het verwerken van gezondheidsgegevens. Dat biedt praktische voordelen, maar vraagt ook om zorgvuldige afwegingen. De Autoriteit Persoonsgegevens (AP) heeft daarom de praktijkgids ‘Gezondheidsgegevens in de cloud’ gepubliceerd.
De praktijkgids bouwt voort op de eerdere praktijkgids van de AP over patiëntgegevens in de cloud, maar is geactualiseerd en verbreed. De praktijkgids richt zich nu niet alleen op patiëntgegevens binnen de behandelrelatie, maar op gezondheidsgegevens in bredere zin. Zoals gegevens in medische dossiers, gegevens over gezondheid in relatie tot werk, testresultaten en gegevens uit digitale zorgtoepassingen. Ook komen de verschillende organisaties die daarbij betrokken zijn aan bod, zoals zorgaanbieders, arbodiensten, IT-leveranciers en andere ketenpartners.
‘Gezondheidsgegevens geven unieke inzichten in iemands lichaam, iemands leven. Mensen moeten erop kunnen vertrouwen dat organisaties zorgvuldig met die gegevens omgaan, ook in een digitale omgeving. Dat vraagt van organisaties dat zij hun verantwoordelijkheid nemen voor zorgvuldige omgang met de gezondheidsgegevens die aan hen zijn toevertrouwd, door bewuste keuzes te maken. En niet alleen omdat het moet volgens de wet, maar vooral omdat dit raakt aan privacy, autonomie en vertrouwen in de zorg,’ zegt Monique Verdier, vicevoorzitter van de AP.
De praktijkgids gaat onder meer in op:
Organisaties kunnen de praktijkgids op strategisch, tactisch en operationeel niveau gebruiken bij besluitvorming over het verwerken van gezondheidsgegevens in de cloud.
Om organisaties op weg te helpen, is er het stappenplan gezondheidsgegevens in de cloud. Dit helpt organisaties om allereerst de belangrijkste aandachtspunten in kaart te brengen. Vervolgens vinden zij meer informatie over deze aandachtspunten in de praktijkgids.
‘Organisaties die gezondheidsgegevens in de cloud verwerken, blijven daarvoor volledig verantwoordelijk. Die verantwoordelijkheid kun je niet uitbesteden aan een cloudleverancier. In de praktijk zien we dat het misgaat als er onvoldoende zicht is op waar gegevens worden opgeslagen, welke partijen erbij betrokken zijn of onder welke wetgeving die verwerking valt. Het gaat goed als organisaties vooraf risico’s in kaart brengen, duidelijke afspraken maken en de regie houden over de aan hen toevertrouwde gegevens’, aldus Verdier.
