Al jaren heb ik een medicijntje: iedere dag één pilletje. Om die pillen te krijgen, moet ik vier keer per jaar naar de apotheek. In ons briljante zorgsysteem mag je medicijnen maar drie maanden vooruit krijgen. Mijn apotheek weet precies wanneer de pillen op raken, bestelt alvast nieuwe en meldt in een mailtje dat er iets voor me klaarligt.
Nu ging het anders worden, schreven ze. In een e-mail zouden ze me waarschuwen dat mijn betreffende medicijn bijna op was, vragen of ik eventueel iets anders wilde en na mijn bevestiging gaan bestellen. Zo gauw het binnen was, zou ik bericht krijgen welk medicijn binnen was en om overzicht te houden, zouden ze voortaan mijn volledige medicatielijst meesturen zodat ik alles goed kon controleren. Wat een service, hoor ik u denken.
Jammer alleen dat de apotheek hier een heel stel wetten overtreedt.

Niet openbaar zonder toestemming
In de Grondwet, de Wbp, de Wgbo en in de AVG, die de Wbp aan het vervangen is, staat duidelijk dat bijzondere persoonsgegevens, en dat zijn medische gegevens toch echt, niet openbaar mogen worden gemaakt zonder mijn toestemming.
Wanneer in een e-mail mijn medicatieoverzicht verstuurd wordt, kan in principe de hele wereld dat lezen. Het is vergelijkbaar met het versturen van je intieme gegevens geschreven op een ansichtkaart. De postsorteerder en de bezorger, in geval van e-mail de providers waarlangs de mail gaat, kunnen alles lezen. Dat doen ze vast niet, maar het kan en dus mag het niet.

Daarnaast: ik had hier helemaal geen toestemming voor gegeven. ‘Meneer, vindt u het goed dat we uw medicatieoverzicht, en daaruit afleidbaar wat u allemaal voor gênants mankeert, in de lokale krant publiceren?’ Ik dacht het niet.

Zelf mag ik mijn wijzigingen per e-mail doorgeven. Oké, ik word dus uitgenodigd door mijn zorgverlener om mijn eigen medicatie openbaar te maken. Dat is opmerkelijk. Ik ga dat niet doen, maar velen zullen er niet bij stilstaan en dan is het kwaad geschied.

Een dikke datalek in wording
Wat we hier hebben, is een dikke datalek in wording. Dit moet de verantwoordelijke melden bij de AP. Zo niet dan kan een boete volgen van maximaal 810.000 euro en kan ik een andere apotheek zoeken want dan gaat de huidige failliet. De verantwoordelijke in deze is de apotheker zelf. Ik kan alleen een melding doen op de kliklijn van de AP.

Dat de apotheek dit niet helemaal snapt, is kwalijk maar dat een leverancier dit systeem zo aan de apotheek oplevert is natuurlijk een schandaal. Anno 2017 mogen we toch verwachten dat leveranciers software maken die voorzien is van technieken die de privacy beschermen en ten minste niet schaden? De leverancier, die blijkbaar de apotheker verlokt heeft hieraan mee te werken, hoort flink op z’n kop te krijgen.

Ik heb, dat ben ik immers aan mijn stand verplicht, geprotesteerd bij de apotheker. Die pakte het goed op. Alle leuke maar privacy-schendende nieuwe diensten gaan niet door of zodanig aangepast dat het wel kan. Bij mijn apotheker in ieder geval wel.

Berend de Vries, managing partner Comfort-IA