Patiënteninformatie
Een kennis was laatst met zijn vader op medisch consult bij een specialist, toen de arts middenin het gesprek zijn beeldscherm omdraaide om het dossier van de patiënt te laten zien. Op dat beeldscherm zag mijn kennis tot zijn schrik niet alleen het dossier van zijn vader, maar ook een balkje met een afsprakenlijst. Daarop waren namen, foto’s en soms zelfs de aandoeningen van andere patiënten open en bloot zichtbaar.

Dit is dus een datalek.

De arts realiseerde zich niet dat hij die afsprakenlijst van zijn beeldscherm had moeten afhalen. Het datalek was weliswaar onbewust, maar sinds de wet Algemene Verordening Gegevensbescherming (AGV) vanaf 25 mei van dit jaar van kracht is, gaat het wel degelijk om een beboetbaar feit.

Kampeerwinkel
Een datalek is niet alleen een slecht beveiligde database die door hackers wordt gestolen of het onbedoeld tonen van medische informatie door een arts. Datalekken zijn er in allerlei soorten en maten. Zelfs een beeldscherm waarop persoonsgegevens staan is een potentieel datalek.

Onbewuste datalekken treden vaker op dan we denken. Zo was ik laatst in een kampeerwinkel, waar ik iets wilde bestellen. De medewerker tikte mijn naam en postcode in op een computer, maar kwam er toen achter dat ze achter de verkeerde console stond. Ze wilde al naar een andere computer lopen, toen ik haar vriendelijk vroeg wel eerst even mijn gegevens te wissen.

Het winkelmeisje keek me niet begrijpend aan en zei dat die informatie toch zo zou verdwijnen. Maar ondertussen kon het winkelende publiek wel mijn naam en adres zien. Hoewel minder ernstig dan het eerste voorbeeld, was het wel onzorgvuldig. Voordat ze naar een andere computer liep, had ze even de gegevens moeten wissen.

Privénummers op intranet
Zodra je data zoals naam, adres en leeftijd invoert op een computer, ben je volgens de wet persoonsgegevens aan het verwerken. Dat moet in veel gevallen met toestemming van de persoon in kwestie gebeuren terwijl de gegevens niet zomaar voor derden zichtbaar mogen zijn. Er zijn veel situaties waarin dit niet wordt nageleefd, zonder dat personeel, medewerkers of zelfs de werkgever zich ervan bewust zijn. Desalniettemin overtreed je als bedrijf de AVG en kan je in theorie een boete verwachten.

Zo’n vaart loopt het meestal niet. Toch is het raadzaam om als bedrijf eens goed na te denken of er geen onbewuste datalekken in de organisatie plaatsvinden. Dat kan net zo goed in een artsenpraktijk als in een winkel of kantooromgeving voorkomen. Neem het publiceren van de privénummers van je medewerkers op het intranet. Zonder hun expliciete toestemming en een duidelijk aanwijsbare noodzaak is dat niet toegestaan.

Privacybewustzijn
Werkgevers moeten ervoor zorgen dat hun medewerkers weten hoe zij correct met persoonsgegevens moeten omgaan. Als werkgever is het verstandig om je personeel bewust te maken van de privacyregels waar zij zich aan moeten houden. Dat geldt niet alleen voor het ziekenhuis, voor de kampeerwinkel en voor de werkgever die op intranet persoonsgegevens wil plaatsen.

Een training kan medewerkers bewustmaken van de privacy regels die voor hun van toepassing zijn. Daarnaast kan het de moeite lonen om eens met een privacy expert van gedachten te wisselen over hoe je als bedrijf of organisatie de nieuwe privacyregels hebt gewaarborgd.

Een onbewuste fout is per slot van rekening nog steeds een fout.

Ingeborg Ahlers is bedrijfsjurist gespecialiseerd in privacy vraagstukken.
www.ahlerslegal.com