1/12
Geschillenkamer
Beslissing ten gronde 117/2021 van 22 oktober 2021
Dossiernummer : DOS-2020-05264
Betreft : klacht wegens onbeveiligde verbinding website ziekenhuis
De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke
Hijmans, voorzitter en de heren Dirk Van Der Kelen en Frank De Smet, leden;
Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016
betreffende de bescherming van natuurlijke personen in verband met de verwerking van
persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn
95/46/EG (algemene verordening gegevensbescherming), hierna AVG;
Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit,
hierna WOG;
Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van
Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op
15 januari 2019;
Gelet op de stukken van het dossier;
heeft de volgende beslissing genomen inzake:
De klager: X, hierna “de klager”; .
.
.
De verweerder: Y, (voorheen genaamd [..]), hierna “de verweerder”;
Beslissing ten gronde 117/2021 - 2/12
I. Feiten en procedure
1. Op 14 november 2020 diende de klager een klacht in bij de
Gegevensbeschermingsautoriteit tegen verweerder.
2. Klager is patiënt bij de ziekenhuisinstelling van verweerder. Het voorwerp van de klacht
betreft het feit dat er op de website (…), welke behoort tot verweerder, gebruik werd
gemaakt van een contactformulier en een formulier voor de ombudsdienst van het
ziekenhuis. Het formulier dat door de websitebezoekers kon worden ingevuld, zou volgens
klager op onversleutelde wijze worden verzonden naar het ziekenhuis. Door gebruik te
maken van een onbeveiligde verbinding, zouden derden volgens klager kennis kunnen
nemen van de (gezondheids)gegevens.
3. Op 16 november 2020 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op
grond van de artikelen 58 en 60 WOG en wordt de klacht op grond van art. 62 § 1 WOG
overgemaakt aan de Geschillenkamer.
4. Op 16 december 2020 wordt overeenkomstig art. 96, §1 WOG het verzoek van de
Geschillenkamer tot het verrichten van een onderzoek overgemaakt aan de
Inspectiedienst, samen met de klacht en de inventaris van de stukken.
5. Op 26 januari 2020 wordt het onderzoek door de Inspectiedienst afgerond, wordt het
verslag bij het dossier gevoegd en wordt het dossier door de inspecteur-generaal
overgemaakt aan de Voorzitter van de Geschillenkamer (art. 91, §1 en §2 WOG). Het verslag
bevat vaststellingen met betrekking tot het voorwerp van de klacht en besluit dat er sprake
is van inbreuken op artikel 32, lid 1, lid 2 en lid 4 van de AVG en op 24, lid 1 van de AVG
wegens het treffen van onvoldoende maatregelen teneinde de veiligheid van de
(bijzondere) persoonsgegevens welke via de website van verweerder worden verwerkt te
waarborgen.
6. Het verslag bevat daarnaast vaststellingen die verder gaan dan het voorwerp van de klacht.
De Inspectiedienst stelt, in hoofdlijnen, vast dat er sprake is van inbreuken op de artikelen
24 lid 1, 38 lid 1 en 3 en op artikel 39 van de AVG vanwege het uitbrengen van adviezen
door de functionaris van gegevensbescherming aan de algemeen directeur en niet aan de
raad van bestuur terwijl dit orgaan de hoogste leidinggevende is binnen de organisatie van
verweerder. Volgens de Inspectiedienst zijn de informatie en de adviezen die de
functionaris voor gegevensbescherming heeft verstrekt overeenkomstig artikel 38, lid 1
Beslissing ten gronde 117/2021 - 3/12
en artikel 39 van de AVG over de beveiligingsmaatregelen voor de website (…)
onvoldoende overtuigend.
7. Op 7 april 2021 beslist de Geschillenkamer op grond van art. 95, §1, 1° en art. 98 WOG dat
het dossier gereed is voor behandeling ten gronde.
8. De Geschillenkamer beslist op basis van het verslag van de Inspectiedienst het dossier op
te delen in twee afzonderlijke zaken:
9. Ingevolge art. 92, 1° WOG zal de Geschillenkamer een beslissing ten gronde nemen met
betrekking tot het voorwerp van de klacht.
10. Ingevolge art. 92, 3° WOG zal de Geschillenkamer een beslissing ten gronde nemen naar
aanleiding van de vaststellingen die door de Inspectiedienst werden gedaan buiten de
scope van de klacht.
11. Op 7 april 2021 worden de betrokken partijen in kennis gesteld van de bepalingen zoals
vermeld in artikel 95, §2, alsook van deze in art. 98 WOG. Tevens worden zij op grond van
art. 99 WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen.
12. Voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht werd de
uiterste datum voor ontvangst van de conclusie van antwoord van de verweerder
vastgelegd op 19 mei 2021, deze voor de conclusie van repliek van de klager op 9 juni 2021
en, tenslotte, deze voor de conclusie van repliek van de verweerder op 30 juni 2021.
13. Op 9 april 2021 vraagt de klager een kopie van het dossier (art. 95, §2, 3° WOG), dewelke
hem werd overgemaakt op 12 april 2021.
14. Op 11 mei 2021 aanvaardt de klager elektronisch alle communicatie omtrent de zaak en
geeft hij te kennen gebruik te willen maken van de mogelijkheid om te worden gehoord,
overeenkomstig artikel 98 WOG.
15. Op 20 april 2021 aanvaardt de verweerder elektronisch alle communicatie omtrent de zaak
en geeft hij te kennen gebruik te willen maken van de mogelijkheid om te worden gehoord,
overeenkomstig artikel 98 WOG.
16. Op 19 mei 2021 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de
verweerder voor wat betreft de vaststellingen met betrekking tot het voorwerp van de
Beslissing ten gronde 117/2021 - 4/12
klacht. Verweerder stelt dat de bescherming van persoonsgegevens voldoende wordt
gewaarborgd middels de wettelijke geheimhoudingsplicht alsook door de in het
arbeidsreglement opgenomen bepalingen betreffende geheimhouding, minimale
gegevensverwerking en doelbinding. Derhalve stelt verweerder dat er enkel gegevens
kunnen worden verwerkt voor zover dat noodzakelijk is om het beoogde doel te realiseren.
Op het niet nakomen van voormelde bepalingen staan volgens het arbeidsreglement
sancties. Volgens verweerder toont de klager niet aan dat er persoonsgegevens, die
betrekking hebben op hem, zijn verwerkt via de (niet-beveiligde) website. Om voorgaande
reden ontbreekt het vereiste belang om een klacht in te dienen. De Inspectiedienst verwijst
in haar verslag naar een ander dossier jegens verweerder. Verweerder wijst erop geen
kennis te hebben van de inhoud van voornoemd dossier; om die reden is dat dossier in
onderhavig geval irrelevant.
17. Aan artikel 24 lid 1 AVG is volgens verweerder wel degelijk uitvoering gegeven. Allereerst
geeft verweerder te kennen gestart te zijn met een project met als einddoel een ISO27001
certificering. Deze certificering kan volgens verweerder worden beschouwd als de
wereldwijde standaard voor informatiebeveiliging. Ten tweede blijkt volgens verweerder
uit de verschillende overeenkomsten die zij heeft afgesloten met verwerkers van
persoonsgegevens dat er een gedetailleerde analyse is uitgevoerd met betrekking tot de
te verwerken persoonsgegevens in het kader van de verschillende
verwerkingsovereenkomsten. Ook dient de verwerker steeds een vragenlijst in te vullen
waarna de informatieveiligheid en de gegevensbescherming worden geëvalueerd en er
passende maatregelen worden getroffen.
18. De Inspectiedienst stelt volgens de verweerder bovendien ten onrechte vast dat de
geheimhoudingsverplichting door het ziekenhuis als verwerkingsverantwoordelijke niet
wordt nageleefd en dat evenmin is aangetoond dat inbreuken op de
geheimhoudingsverplichting effectief kunnen worden gesanctioneerd. Er wordt volgens
verweerder wel degelijk gesanctioneerd en in geval van het overtreden van het
beroepsgeheim door een arts is zelfs ontslag mogelijk. Volgens verweerder toont de
Inspectiedienst niet aan dat er effectief persoonsgegevens, laat staan
gezondheidsgegevens, worden verwerkt via het niet-beveiligd formulier op de website.
Ook is volgens verweerder niet aangetoond dat onbevoegden toegang hebben verkregen
tot eerdergenoemde gegevens. Verweerder geeft te kennen reeds op 22 december 2020
uit eigen beweging beslist te hebben om de contactformulieren te verwijderen.
Verweerder is een vereniging zonder winstoogmerk en heette ten tijde van het indienen
van de klacht [..]. Nadien heeft de instelling haar activiteiten uitgebreid met een
revalidatiecentrum. Sindsdien gaat zij verder onder de naam Y.
Beslissing ten gronde 117/2021 - 5/12
19. Verweerder is van mening dat zij eveneens aan de vereisten uit de artikelen 24 en 32 AVG
voldoet, daar waar het gaat om de interne systemen waarvan gebruik wordt gemaakt
binnen het ziekenhuis. Aangezien er een link is tussen de website van het ziekenhuis
enerzijds en de interne systemen anderzijds, is volgens verweerder gekozen voor een
“two-factor” authenticatie. Onder andere uit het voorgaande blijkt volgens verweerder dat
er wel voldoende beveiligingsmaatregelen zijn getroffen.
20. Eén van de vaststellingen van de Inspectiedienst buiten de scope van de klacht is dat de
functionaris voor gegevensbescherming geen advies zou hebben uitgebracht en niet zou
gerapporteerd hebben aan het hoogste orgaan binnen de instelling over de te nemen
beveiligingsmaatregelen binnen het ziekenhuis. Verweerder meent zich te allen tijde
bewust te zijn geweest van het belang van de functionaris voor gegevensbescherming en
heeft derhalve steeds een beroep gedaan op de functionaris voor gegevensbescherming.
Voorgaande blijkt volgens verweerder onder andere uit het feit dat de functionaris steeds
nauw betrokken is in gevallen waarin er een verwerkingsovereenkomst wordt afgesloten
tussen verweerder en haar verwerkers. De functionaris wordt tevens geconsulteerd en
betrokken bij de bouw van de nieuwe website teneinde er zeker van te zijn dat toekomstige
verwerkingen via de website voldoen aan de wettelijke bepalingen, aldus verweerder.
Daarenboven maakt de functionaris voor gegevensbescherming deel uit van het
zogenaamde Comité Informatieveiligheid welke een voorbereidende en adviserende rol
vervult naar het directiecomité toe betreffende privacy-aangelegenheden binnen het
ziekenhuis. De algemeen directeur is volgens verweerder wel degelijk het hoogst
leidinggevend gezag binnen het ziekenhuis. Derhalve is er volgens verweerder geen sprake
van een schending van artikel 38 lid 3 AVG.
21. Bijkomend brengt verweerder in dat het nimmer de bedoeling is geweest dat de
contactformulieren op de website ertoe zouden dienen om gezondheidsgegevens uit te
wisselen. Het elektronisch patiëntendossier is immers streng beveiligd, volgens
verweerder. Er is volgens verweerder ook geen sprake van verwerking van
persoonsgegevens op grote schaal middels de contactformulieren, zoals vastgesteld door
de Inspectiedienst. Verweerder wijst erop dat niet over het hoofd mag worden gezien dat
er op de website een formulier kon worden ingevuld welke terechtkomt bij de
ombudsdienst en derhalve losstaat van het patiëntendossier. Verweerder verzoekt om
rekening te houden met een aantal verzachtende omstandigheden, namelijk dat er geen
persoonsgegevens zijn geraadpleegd door derden op ongeoorloofde wijze en dat, wanneer
persoonsgegevens in het ziekenhuis of op de servers van het ziekenhuis terechtkomen, de
instelling er alles aan doet om die gegevens zeer sterk te beveiligen.
Beslissing ten gronde 117/2021 - 6/12
22. Verweerder geeft te kennen dat zij beseft dat een beveiligingscertificaat voor het
webformulier sneller had moeten worden geïmplementeerd toen daar op gewezen werd.
Echter, er is vooralsnog niet aangetoond dat er sprake is geweest van schade in hoofde van
betrokkene. Er is geen sprake geweest van toegang door onbevoegden tot
persoonsgegevens.
23. Bovendien zijn er door de pandemie enkele sleutelmedewerkers uitgevallen, waardoor er
vertraging is opgelopen in het integreren van bepaalde maatregelen. De verweerder is niet
eerder veroordeeld voor inbreuken op de AVG en is gestart aan een project met als
einddoel het behalen van een ISO 27001 certificering en verzoekt rekening te houden met
voornoemde elementen als verzachtende omstandigheden.
24. Op 14 juni 2021 ontvangt de Geschillenkamer de conclusie van repliek van de klager, wat
betreft de vaststellingen met betrekking tot het voorwerp van de klacht. De klager is van
mening dat de wijziging van de structuur en samenstelling van het ziekenhuis er niet toe
had mogen leiden dat de website niet voldoet aan de beginselen van gegevensverwerking.
Immers, de AVG trad reeds in 2018 in werking, waardoor de verweerder reeds twee jaar in
overtreding is op de AVG. Als reactie op het betoog van verweerder dat bezoekers niet
verplicht zijn om het contactformulier te gebruiken, brengt klager in dat er van
websitebezoekers niet kan worden verwacht dat zij behoedzaam zijn bij het invullen van
een online contactformulier dat door verweerder wordt gefaciliteerd. Nu er gebruik
gemaakt wordt van een formulier, dient de verbinding van de website beveiligd te zijn. Dat
er geheimhoudingsplichten gelden voor de medewerkers is volgens klager ook irrelevant,
nu de persoonsgegevens die worden verzonden via het contactformulier onbeveiligd zijn
en worden blootgesteld aan het gevaar om door derden te worden onderschept en
meegelezen in het netwerkverkeer. Klager deelt de visie van verweerder dat hij geen
belang zou hebben bij het indienen van een klacht niet. Het formulier staat immers online
zonder dat dit beveiligd is en kan door een ieder worden ingevuld en verstuurd. Het kan
volgens klager niet de bedoeling zijn dat hij betrokkenen zou moeten opsporen die het
formulier wel hebben ingevuld om hen vervolgens te vragen een klacht in te dienen bij de
GBA.
25. Op 26 juli 2021 worden de partijen ervan in kennis gesteld dat de hoorzitting zal
plaatsvinden op 4 oktober 2021.
26. Op 4 oktober 2021 wordt de verweerder gehoord door de Geschillenkamer. Alhoewel
behoorlijk opgeroepen en een bevestiging aanwezig te zullen zijn, verscheen de klager niet.
Beslissing ten gronde 117/2021 - 7/12
27. Op 11 oktober 2021 wordt het proces-verbaal van de hoorzitting aan de partijen
voorgelegd.
28. Op 18 oktober 2021 ontvangt de Geschillenkamer vanwege de verweerder de volgende
opmerkingen met betrekking tot het proces-verbaal: verweerder heeft ter zitting
aangegeven dat de nieuwe website momenteel online is en aangegeven dat de
functionaris voor gegevensbescherming rapporteert aan het auditcomité dat bestaat uit
een vertegenwoordiging van de Raad van Bestuur.
II. Ontvankelijkheid klacht
29. De Geschillenkamer gaat allereerst in op de vraag of de klacht ontvankelijk is. Verweerder
voert aan dat de klager geen belang heeft om zich te beklagen over de website en het
contactformulier van verweerder omdat er geen sprake is van verwerking van zijn
persoonsgegevens door verweerder. Om deze reden dient de klacht volgens verweerder
onontvankelijk dan wel ongegrond te worden verklaard.
30. Artikel 58 WOG bepaalt: ”Eenieder kan schriftelijk, gedateerd en ondertekend een klacht
of een verzoek indienen bij de Gegevensbeschermingsautoriteit”. Conform artikel 60,
alinea 2 WOG is een klacht ontvankelijk wanneer zij: -opgesteld is in één van de landstalen;
-een uiteenzetting van de feiten bevat, alsook de nodige indicaties voor de identificatie van
de verwerking waarop zij betrekking heeft; -zij behoort tot de bevoegdheid van de
Gegevensbeschermingsautoriteit”.
31. De Geschillenkamer heeft in een eerdere beslissing als volgt overwogen omtrent deze
kwestie :
”Hoewel de AVG de 'klacht' benadert vanuit het standpunt van de betrokkene, door de
controleautoriteiten verplichtingen op te leggen wanneer een persoon een klacht
indient (zie de artikelen 57, 1., f) en 77 van de AVG), belet de AVG niet dat het nationaal
recht andere personen dan de betrokkenen de mogelijkheid geeft om een klacht in te
dienen bij de nationale controleautoriteit. De mogelijkheid van een dergelijke
aanhangig making stemt overigens overeen met de opdrachten die door de AVG aan
de controleautoriteiten worden toegekend. In dat opzicht en algemeen genomen, zorgt
elke controleautoriteit voor: de monitoring en handhaving van de toepassing van de
AVG (artikel 57, 1.,a) AVG), en de verrichting van alle andere taken die verband houden
Beslissing ten gronde 117/2021 - 8/12
met de bescherming van persoonsgegevens (artikel 57, 1., v) AVG).” 1De voorwaarde is
wel dat de klager blijkt geeft te beschikken over voldoende belang.
32. De klager heeft in het klachtenformulier aangegeven dat hij op de website zocht naar de
gegevens van zijn behandelend arts en vervolgens opmerkte dat er een onbeveiligde
verbinding werd gebruikt voor zowel de website als de contactformulieren. Er is echter niet
gebleken dat er gegevens van de klager zijn verwerkt.
33. Ten overvloede wijst de Geschillenkamer in dit verband op een recent door het Hof van
Cassatie gewezen arrest. In dat arrest heeft het hof bepaald dat iedere betrokkene die
meent dat er sprake is van een inbreuk op zijn rechten uit hoofde van de AVG een klacht
kan neerleggen bij de toezichthoudende autoriteit. Echter kunnen ook betrokkenen wiens
persoonsgegevens niet zijn verwerkt in bepaalde gevallen een klacht indienen. De
voorwaarde daarbij is echter dat deze betrokkene een bepaald voordeel of een bepaalde
dienst niet heeft kunnen verkrijgen omdat hij vanwege het bestaan van de vermeend
inbreukmakende praktijk, zijn toestemming met de verwerking heeft geweigerd. 2 In casu
kan volgens de Geschillenkamer niet worden gesteld dat er sprake was van het niet gebruik
kunnen maken van een dienst, nu er eveneens andere opties bestonden zoals telefonische
contactopname of het ter plaatse invullen van de formulieren.
34. De klager is niet verschenen op de hoorzitting waardoor de Geschillenkamer geen nadere
uitleg van de klager heeft kunnen verkrijgen. Aan de hand van de omschrijving van de
klacht door klager en de ingebrachte stukken dient de Geschillenkamer vast te stellen dat
de klager bij de indiening van de klacht een algemeen publiek belang nastreefde bestaande
uit de bescherming van de privacyrechten van een ieder die de website van verweerder
bezoekt en eventueel gebruik maakt van de contactformulieren op de website. De klager
heeft niet aannemelijk gemaakt over enig persoonlijk belang te beschikken. Het feit dat hij
patiënt was van het betreffende ziekenhuis is in de gegeven omstandigheden, waarin niet
is gebleken dat zijn persoonsgegevens zijn verwerkt via het contactformulier en evenmin
dat hij de intentie had om gebruik te maken van dat contactformulier, onvoldoende om dit
belang vast te stellen.
1
Beslissing 80/2020 d.d. 17 december 2020 van de Geschillenkamer. Zie ook beslissing 30/2020 van de Geschillenkamer.
2
Arrest Hof van Cassatie c.20.0323.N/1 d.d. 7 oktober 2021
Beslissing ten gronde 117/2021 - 9/12
35. Na onderzoek van de klacht in de procedure ten gronde is dus gebleken dat de klacht niet
voldoet aan de voorwaarden voor ontvankelijkheid. De Geschillenkamer stelt derhalve vast
dat de klacht niet-ontvankelijk is en was wegens gebrek aan persoonlijk belang. Derhalve
zal de Geschillenkamer de klacht en de daaropvolgende vaststellingen van de
inspectiedienst binnen en buiten de scope van de klacht niet weerhouden voor het
opleggen van administratieve sancties. De Geschillenkamer beslist daarom om over te
gaan tot een technisch sepot.3
II. Algemene overwegingen
Technische en organisatorische maatregelen
36. Eén en ander neemt niet weg dat het Inspectierapport een aantal gebreken aan het licht
heeft gebracht in de wijze waarop de verweerder gegevens verwerkt. Aan de hand van de
bevindingen in het Inspectierapport wenst de Geschillenkamer een aantal algemene
overwegingen te wijden aan de materie betreffende het treffen van voldoende
beveiligingsmaatregelen teneinde een veilige verwerking van persoonsgegevens te
waarborgen. Hiermee geeft de Geschillenkamer uitvoering aan de algemene opdracht van
de GBA om bij te dragen aan een hoog niveau van gegevensbescherming.
37. Artikel 24 lid 1 AVG bepaalt : ”Rekening houdend met de aard, de omvang, de context en
het doel van de verwerking, alsook met de qua waarschijnlijkheid en ernst uiteenlopende
risico's voor de rechten en vrijheden van natuurlijke personen, treft de verwerkings-
verantwoordelijke passende technische en organisatorische maatregelen om te
waarborgen en te kunnen aantonen dat de verwerking in overeenstemming met deze
verordening wordt uitgevoerd. Die maatregelen worden geëvalueerd en indien nodig
geactualiseerd.”
Artikel 32 lid 1 AVG bepaalt ”Rekening houdend met de stand van de techniek, de
uitvoeringskosten, alsook met de aard, de omvang, de context en de
verwerkingsdoeleinden en de qua waarschijnlijkheid en ernst uiteenlopende risico's voor de
rechten en vrijheden van personen, treffen de verwerkingsverantwoordelijke en de
verwerker passende technische en organisatorische maatregelen om een op het risico
afgestemd beveiligingsniveau te waarborgen, die, waar passend, onder meer het volgende
omvatten: a) de pseudonimisering en versleuteling van persoonsgegevens; b) het
vermogen om op permanente basis de vertrouwelijkheid, integriteit, beschikbaarheid en
3
Sepotbeleid Geschillenkamer van 18 juni 2021 onder 3.1.A.5
Beslissing ten gronde 117/2021 - 10/12
veerkracht van de verwerkingssystemen en diensten te garanderen; c) het vermogen om
bij een fysiek of technisch incident de beschikbaarheid van en de toegang tot de
persoonsgegevens tijdig te herstellen; d) een procedure voor het op gezette tijdstippen
testen, beoordelen en evalueren van de doeltreffendheid van de technische en
organisatorische maatregelen ter beveiliging van de verwerking.
2. Bij de beoordeling van het passende beveiligingsniveau wordt met name rekening
gehouden met de verwerkingsrisico's, vooral als gevolg van de vernietiging, het verlies, de
wijziging of de ongeoorloofde verstrekking van of ongeoorloofde toegang tot
doorgezonden, opgeslagen of anderszins verwerkte gegevens, hetzij per ongeluk hetzij
onrechtmatig.”
3. Het aansluiten bij een goedgekeurde gedragscode als bedoeld in artikel 40 of een
goedgekeurd certificeringsmechanisme als bedoeld in artikel 42 kan worden gebruikt als
element om aan te tonen dat dat de in lid 1 van dit artikel bedoelde vereisten worden
nageleefd.
4. De verwerkingsverantwoordelijke en de verwerker treffen maatregelen om ervoor te
zorgen dat iedere natuurlijke persoon die handelt onder het gezag van de
verwerkingsverantwoordelijke of van de verwerker en toegang heeft tot
persoonsgegevens, deze slechts in opdracht van de verwerkingsverantwoordelijke
verwerkt, tenzij hij daartoe Unierechtelijk of lidstaatrechtelijk is gehouden.”
35. Gezondheidsgegevens behoren volgens artikel 9 AVG tot bijzondere
persoonsgegevens. Overweging 51 bij de AVG omschrijft die gegevens als : ”
Persoonsgegevens die door hun aard bijzonder gevoelig zijn wat betreft de
grondrechten en fundamentele vrijheden, verdienen specifieke bescherming aangezien
de context van de verwerking ervan significante risico’s kan meebrengen voor de
grondrechten en fundamentele vrijheden.” Derhalve dient de verwerking van
gezondheidsgegevens gepaard te gaan met de grootste zorg en dienen alle mogelijke
technische en organisatorische maatregelen te worden getroffen om deze gegevens te
beschermen. De hoofdtaak van een ziekenhuis is het verlenen van medische zorg. Het
is derhalve niet onaannemelijk dat er door patiënten gebruik werd gemaakt van die
contactformulieren om gegevens omtrent hun gezondheidssituatie met het ziekenhuis
te delen. Bovendien dient het formulier voor de ombudsdienst er veelal toe om
ongenoegen en klachten kenbaar te maken, voornamelijk over een behandeling in het
ziekenhuis en die indirect te maken hebben met die medische behandeling, waardoor er
vaak wel gezondheidsgegevens verstrekt worden.
Beslissing ten gronde 117/2021 - 11/12
36. Zoals uit bovengenoemde artikelen blijkt, is de verwerkingsverantwoordelijke verplicht om
de nodige technische en organisatorische maatregelen te treffen teneinde te garanderen
dat gegevensverwerking in overeenstemming met de AVG wordt uitgevoerd.
Ziekenhuizen wier hoofdtaak het verlenen van medische zorg is, verwerken op regelmatige
basis en grote hoeveelheden gezondheidsgegevens. Zij dienen derhalve extra waakzaam
te zijn en er op toe te zien dat deze gegevens worden verwerkt in overeenstemming met
de AVG. De Geschillenkamer wijst erop dat persoonsgegevens betreffende de gezondheid
(en de doorgifte hiervan) voldoende beveiligd moeten worden en dat de gegevens daarom
en onder andere voldoende sterk versleuteld moeten verzonden worden van de computer
van de gebruiker naar de server die een website met een formulier aanbiedt. Dit kan
gebeuren door gebruik te maken van een beveiligingscertificaat .
37. In aansluiting op het bovenstaande is in overweging 83 van de AVG bepaald : ”Teneinde de
veiligheid te waarborgen en te voorkomen dat de verwerking inbreuk maakt op deze
verordening, dient de verwerkingsverantwoordelijke of de verwerker de aan de verwerking
inherente risico's te beoordelen en maatregelen, zoals versleuteling, te treffen om die
risico's te beperken. Die maatregelen dienen een passend niveau van beveiliging, met
inbegrip van vertrouwelijkheid, te waarborgen, rekening houdend met de stand van de
techniek en de uitvoeringskosten afgezet tegen de risico's en de aard van de te
beschermen persoonsgegevens. Bij de beoordeling van de gegevensbeveiligingsrisico's
dient aandacht te worden besteed aan risico's die zich voordoen bij
persoonsgegevensverwerking, zoals de vernietiging, het verlies, de wijziging, de
ongeoorloofde verstrekking van of de ongeoorloofde toegang tot de doorgezonden,
opgeslagen of anderszins verwerkte gegevens, hetzij per ongeluk hetzij onrechtmatig,
hetgeen met name tot lichamelijke, materiële of immateriële schade kan leiden.”
Uitbrengen van verslag door functionaris voor gegevensbescherming
38. De richtlijn voor de functionaris voor gegevensbescherming geeft de volgende uitleg aan
het uitbrengen van verslag aan de hoogste leidinggevende zoals bedoeld in artikel 38 lid 3:
”Als de verwerkingsverantwoordelijke of de verwerker beslissingen nemen die niet in de
lijn liggen van de algemene verordening gegevensbescherming en het advies van de
functionaris voor gegevensbescherming, moet deze laatste de kans krijgen om zijn/haar
afwijkende mening duidelijk te maken aan de hoogste leidinggevende en aan diegenen die
de beslissingen nemen. In dat opzicht wordt in artikel 38, lid 3, voorzien dat de functionaris
voor gegevensbescherming "rechtstreeks verslag [uitbrengt] aan de hoogste
leidinggevende van de verwerkingsverantwoordelijke of de verwerker". Via een dergelijke
Beslissing ten gronde 117/2021 - 12/12
directe rapportage wordt verzekerd dat het hogere management (bv. de raad van bestuur)
op de hoogte is van het advies en de aanbevelingen die de functionaris voor
gegevensbescherming verstrekt in het kader van zijn missie om de
verwerkingsverantwoordelijke of de verwerker te informeren en te adviseren. 4Uit de
hierboven aangehaalde tekst blijkt derhalve dat de functionaris voor
gegevensbescherming rechtstreeks verslag moet kunnen uitbrengen aan de hoogste
leidinggevende. De Geschillenkamer sluit niet uit dat dit de algemeen directeur kan zijn
binnen een ziekenhuis
39. De Geschillenkamer herinnert eraan dat de verantwoordingsplicht zoals neergelegd in
artikel 5.2 AVG met zich meebrengt dat de verwerkingsverantwoordelijke kan aantonen
dat hij voldoet aan de plichten zoals omschreven in de AVG.
IV. Publicatie van de beslissing
40. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de
Geschillenkamer, wordt deze beslissing gepubliceerd op de website van de
Gegevensbeschermingsautoriteit. Het is evenwel niet nodig dat daartoe de
identificatiegegevens van de partijen rechtstreeks worden bekendgemaakt.
OM DEZE REDENEN,
beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging, om:
- Op grond van artikel 100 § 1, 1° WOG, voorliggende klacht te seponeren.
Tegen deze beslissing kan op grond van art. 108, §1 WOG, beroep worden aangetekend binnen een
termijn van dertig dagen, vanaf de kennisgeving, bij het Marktenhof, met de
Gegevensbeschermingsautoriteit als verweerder.
(get). Hielke Hijmans
Voorzitter van de Geschillenkamer
4
Richtlijnen voor de functionaris voor gegevensbescherming van de Werkgroep 29, WP 243 rev.01, p. 18