PDF's in de zorg: medische dossiers en patiëntprivacy

Een patiënt mailt een kliniek een gescande PDF van een oude ontslagbrief. De receptioniste moet die samenvoegen met twee andere rapporten voordat de arts ze ziet. Dus opent ze de eerste gratis PDF-tool die naar boven komt, sleept drie bestanden vol diagnoses, medicatielijsten en een burgerservicenummer naar binnen, en klikt op samenvoegen.

Niets lijkt mis. Het samengevoegde bestand wordt gedownload, de arts leest het, de dag gaat verder. Maar die drie documenten hebben zojuist de kliniek verlaten en zijn op de server van een vreemde beland, en het waren geen gewone documenten.

Dit is geen juridisch of medisch advies. Ik ben niet je functionaris voor gegevensbescherming en elke kliniek heeft eigen regels om te volgen. Maar gezondheidsgegevens zitten onder de AVG in een aparte, striktere doos, en dat verandert hoe je elke PDF die ze draagt moet behandelen.

Waarom gezondheidsgegevens anders worden behandeld

De meeste persoonsgegevens onder de AVG zijn al beschermd. Gezondheidsgegevens krijgen een extra laag. De verordening noemt het een bijzondere categorie, en die staat naast zaken als religieuze overtuiging, seksuele geaardheid en biometrische gegevens. De basisregel voor bijzondere persoonsgegevens is dat het verwerken ervan verboden is, tenzij je voldoet aan een van een korte lijst specifieke voorwaarden, zoals de uitdrukkelijke toestemming van de patiënt of het verlenen van zorg door een zorgprofessional.

Dat woord “verwerken” is breed. Het dekt het lezen van het bestand, het opslaan ervan, het wijzigen ervan en het delen ervan. Twee rapporten samenvoegen telt. Een dossier splitsen om één pagina te sturen telt. Een scan comprimeren om hem te mailen telt. Dus op het moment dat er een zorg-PDF bij betrokken is, hanteer je de meest gevoelige klasse gegevens die de wet erkent, en de lat voor onzorgvuldig handelen ligt veel hoger.

Een medisch dossier draagt doorgaans ook meer dan de diagnose. Er staat meestal een naam, een geboortedatum, een adres, een patiëntnummer, soms een verzekeringsnummer. Elk daarvan is op zichzelf identificerend. Gebundeld met een medische aandoening schetsen ze een compleet beeld van een persoon op een van zijn meest private momenten.

Wat een uploadsite werkelijk met het bestand doet

Wanneer je die PDF naar een online tool stuurt, verlaat het bestand je controle. Het reist naar een server die jij niet beheert, wordt daar verwerkt, en kan worden gecachet, in de wachtrij gezet of gekopieerd voordat er iets terugkomt. Onder de AVG wordt dat bedrijf een verwerker die namens jou handelt, en jij, de kliniek of de behandelaar, blijft de verwerkingsverantwoordelijke voor de gegevens.

De verwerkingsverantwoordelijke krijgt echte plichten op het moment dat er een verwerker bij betrokken is. Je hebt een schriftelijk contract met dat bedrijf nodig dat uitspelt wat ze met de gegevens mogen doen en wanneer ze die verwijderen. Voor bijzondere gezondheidsgegevens moet je er ook zeker van zijn dat de hele opzet de juiste waarborgen heeft. Een gratis tool die je via een zoekopdracht vond, geeft je hier zelden iets van. Je hebt geen contract met ze, je weet niet waar hun servers staan, en je kunt niet zeggen wie het bestand nog meer zou kunnen aanraken.

Voor gezondheidsgegevens is er ook een scherpere rand. Als de server buiten de EU staat, heb je een internationale doorgifte van bijzondere persoonsgegevens gemaakt, het soort waar de AVG de meeste wrijving omheen legt. Voor een vakantiefoto zou dat niet uitmaken. Voor het oncologierapport van een patiënt heb je stilletjes een probleem gecreëerd dat je niet kunt documenteren.

Het datalek dat je zou moeten melden

Medische dossiers zijn precies wat aanvallers en datahandelaren willen. Een gelekte medische geschiedenis kun je niet resetten zoals een wachtwoord. Als gevoelige patiëntgegevens blootgesteld raken via een dienst waarvoor je niet kon instaan, kan dat een datalek zijn, en datalekken waarbij gezondheidsgegevens betrokken zijn, zijn de lekken die toezichthouders het serieust nemen. Meldplichten, patiëntmeldingen en de reputatieschade voor een kliniek volgen allemaal uit één onzorgvuldige upload.

Het frustrerende is dat de taak zelf, een paar bestanden samenvoegen of comprimeren, het pand nooit had hoeven verlaten.

Houd het bestand op je eigen machine

Hier is de oplossing, en die is lichter dan het probleem. Als de PDF je apparaat nooit verlaat, raakt geen enkele externe verwerker hem aan. Geen contract om achteraan te zitten, geen doorgifte om te rechtvaardigen, geen derde partij die het zou kunnen lekken. Je bent nog steeds de verwerkingsverantwoordelijke en je bent de patiënt nog steeds de gebruikelijke zorg verschuldigd, maar een hele laag risico bestaat simpelweg niet, omdat de gegevens bleven waar ze waren.

Dit is het idee achter tools die volledig in je browser draaien. De code doet het werk lokaal, in het geheugen van je computer, en het bestand blijft staan. Zo hebben we reader.me gebouwd. Wanneer je een medische PDF samenvoegt, splitst of comprimeert, wordt die in je browser verwerkt en bereikt hij nooit een server van ons. Wil je bewijs, open dan de DevTools van je browser, kijk naar het tabblad Network terwijl je werkt, en je zult niets met je document naar buiten zien gaan.

Twee alledaagse klussen zijn het belangrijkst voor zorgbestanden:

• Wanneer een dossier met een wachtwoord binnenkomt en je het kent, kun je dat wachtwoord lokaal verwijderen zodat het bestand makkelijker te bewerken is, zonder het ergens heen te sturen.
• Wanneer je een dossier moet doorsturen en het eerst wilt vergrendelen, kun je de PDF versleutelen met een wachtwoord, rechtstreeks op je machine, en het vervolgens delen via een kanaal dat de patiënt verwacht.

Gewoontes voor klinieken, artsen en patiënten

Een paar eenvoudige regels houden zorg-PDF’s uit de problemen:

• Behandel elk medisch document als bijzondere persoonsgegevens. Ontslagbrieven, labuitslagen, recepten, verwijsbrieven en toestemmingsformulieren kwalificeren allemaal, zelfs één gescande pagina.
• Sleep nooit een patiëntdossier in een willekeurige online tool. Geen contract en geen duidelijke serverlocatie betekent dat het de gegevens van je patiënten niet krijgt, punt.
• Kies standaard tools die in je browser draaien voor routineklussen zoals samenvoegen, splitsen of comprimeren. Als het lokaal werkt, is er geen verwerker om te toetsen en gaat er niets over een grens.
• Vergrendel bestanden voordat je ze stuurt. Een wachtwoord op de PDF en een verstandig bezorgkanaal verslaan een open bijlage.
• Ben je de patiënt, vraag dan hoe je kliniek met je bestanden omgaat. Dat mag je.

De regels rond gezondheidsgegevens klinken zwaar, en dat zijn ze, omdat de gegevens dat zijn. Maar de dagelijkse oplossing is klein. Houd het bestand op je machine, gebruik tools die niet uploaden, en het zwaarste deel van het probleem bereikt je nooit. Als je de langere versie wilt van hoe uploaden deze plichten in gang zet, schreef ik apart over de AVG en het uploaden van PDF’s.