Fout in aanlevering data naar de Nederlandse Zorgautoriteit

Amethist gebruikt het elektronisch patiëntendossier ‘USER’. Wij zijn door Avinty (de softwareleverancier voor USER) op de hoogte gesteld van een datalek van patiëntgegevens richting de Nederlandse Zorgautoriteit (NZa). Hierbij zijn gepseudonimiseerde patiëntgegevens van patiënten die met een verklaring aangegeven hadden dit niet toe te staan, toch bij de NZa terechtgekomen. Wij hebben na de melding van Avinty direct een verzoek bij de NZa gedaan om alle aangeleverde gegevens te vernietigen en dat is ook gebeurd.

Het datalek is ontstaan door een programmeerfout bij Avinty, die niet ontdekt is tijdens het testen. Avinty verwerkt de persoonsgegevens voor Amethist, maar Amethist blijft hiervoor verantwoordelijk.

Over welke gegevens gaat het?

Amethist is verplicht om gepseudonimiseerde patiëntgegevens bij de NZa aan te leveren in het kader van verbetering van de zorgvraagtypering. Gepseudonimseerd betekent hier dat de NZa niet (direct) kan herleiden om welke persoon het gaat. De informatie die de NZA verwerkt, bevat gegevens op patiëntniveau maar zonder direct identificeerbare kenmerken zoals naam, (pseudo-)BSN, geslacht, geboortedatum, woonplaats, postcode, informatie met data van de verblijfsdagen, zorgtrajectnummer en type consult. Zij behandelen deze gegevens als bijzondere persoonsgegevens.

Patiënten kunnen er echter voor kiezen om hier met een verklaring bezwaar tegen te maken. In dat geval mag Amethist de zorginhoudelijke gegevens niet naar de NZa sturen, ook niet als ze gepseudonimiseerd zijn. Door de eerdergenoemde programmeerfout is dit laatste onbedoeld toch gebeurd. Doordat de gegevens gespeudonimseerd waren is het niet waarschijnlijk dat dit datalek negatieve gevolgen heeft voor betrokkenen.

Inmiddels heeft Avinty ons laten weten dat dit probleem is opgelost. Binnenkort leveren wij opnieuw gegevens aan bij de NZa, uiteraard nu zonder de zorginhoudelijke gegevens van patiënten die daartegen eerder bezwaar hebben aangetekend. We zijn immers verplicht om dit te doen.