Onderzoek van de Universiteit van Amsterdam wijst uit dat de beveiliging van het Elektronisch Patiëntendossier ernstig tekort schiet. Zo wordt onvoldoende rekening gehouden met inbraken in zorginformatiesystemen of het Landelijk Schakelpunt (LSP). Bovendien is de mandatering waarmee artsen hun medewerkers namens henzelf toegang geven tot het EPD, erg eenvoudig te misbruiken om toegang te krijgen tot een dossier. Informaticus Guido van 't Noordende onderzocht de beveiligingsarchitectuur van het EPD. Hij komt tot de conclusie dat de beveiliging en daarmee de confidentialiteit en privacy van patiëntgegevens in het EPD, niet afdoende gewaarborgd is.

Voor het opvragen van een dossier hebben zorgverleners zoals artsen een eigen smartcard (‘UZI-pas') waarmee ze toegang krijgen bij het LSP. Dit schakelpunt zoekt vervolgens het dossier op bij de informatiesystemen die de EPD's beheren. Van 't Noordende stelt dat in het geval van een inbraak in het LSP of de ziekenhuissystemen die de mandatering regelen, de beveiliging onvoldoende is.

Inzage
Zorgverleners kunnen andere medewerkers toestemming geven voor toegang tot het LSP en dossiers. Maar het LSP heeft geen mogelijkheden om te controleren dat de medewerker echt gemandateerd is. Er wordt geen bewijs meegestuurd op het moment dat de medewerker namens de arts iets opvraagt. Ziekenhuizen hebben een systeem dat mandatering regelt, maar die zouden ook aangevallen kunnen worden door hackers.

Een ander probleem is dat een patiënt moet aangeven dat hij of zij een behandelrelatie heeft met de arts voordat die het EPD van die persoon kan raadplegen. Deze toestemming is, net als de toestemming die de arts aan de medewerker geeft voor het opvragen van een dossier, decentraal geregeld en niet zichtbaar voor het LSP, dat de toestemming dus niet kan controleren.

Van 't Noordende ziet ook een probleem bij een inbraak in het LSP, want op dit moment kan de aanvaller dan in feite alle patiëntendossiers opvragen. Er kan decentraal (bij de systemen die de opgevraagde dossiers bevatten) niet gezien worden of er een zorgverlener achter de aanvraag zit. De protocollen bij het LSP geven hiervoor niet voldoende veiligheid. Inbreken in het LSP is niet eenvoudig, maar volgens de onderzoeker ook niet uit te sluiten. Dat ziekenhuissystemen te hacken zijn is in het verleden al aangetoond.

Smartcard
Verder waarschuwt Van 't Noordende dat een patiënt zijn of haar EPD wel kan inzien om bijvoorbeeld ongewenste te dingen te verwijderen, maar dat die bewuste gegevens nooit helemaal verdwijnen. Het LSP bewaart de gewiste gegevens namelijk voor een bepaalde periode (reconstructiehorizon).

De onderzoeker stelt daarom dat patiënten zeggenschap moeten krijgen over welke informatie in hun EPD wordt opgeslagen. Een aanvullende oplossing is dat iedere patiënt een smartcard krijgt. Dan wordt de verwijderde informatie versleuteld waardoor alleen de patiënt ooit nog bij de gewiste informatie kan. Op die manier is verwijderde informatie niet meer terug te vinden bij een inbraak in het LSP.