Zorginstanties die gezondheidsgegevens opslaan in de cloud moeten rekening houden met de risico's die hierbij komen kijken, zo stelt de Autoriteit Persoonsgegevens (AP). Volgens de privacytoezichthouder maken steeds meer organisaties gebruik van cloudoplossingen voor het verwerken van gezondheidsgegevens. Dit soort gegevens zijn echter bijzondere persoonsgegevens waarmee zorgvuldig moet worden omgegaan. Daarnaast is het gebruik van de cloud niet zonder risico's, aldus de AP in een nieuwe praktijkgids voor zorginstanties.

"Gezondheidsgegevens geven unieke inzichten in iemands lichaam, iemands leven. Mensen moeten erop kunnen vertrouwen dat organisaties zorgvuldig met die gegevens omgaan, ook in een digitale omgeving", zegt AP-vicevoorzitter Monique Verdier. Ze voegt toe dat organisaties hun verantwoordelijkheid moeten nemen voor het zorgvuldig omgaan met de gezondheidsgegevens die aan hen zijn toevertrouwd. "En niet alleen omdat het moet volgens de wet, maar vooral omdat dit raakt aan privacy, autonomie en vertrouwen in de zorg."

In de praktijkgids behandelt de Autoriteit Persoonsgegevens verschillende onderwerpen, zoals de rol van verwerkers en subverwerkers, het uitvoeren van risicoanalyses en het gebruik van buitenlandse cloudproviders. De AP merkt op dat geopolitieke verhoudingen in een rap tempo veranderen, waardoor leveranciers die niet onder Europese wetgeving en jurisdictie vallen, verplichtingen hebben aan derde landen en de autoriteiten daar.

"Dit maakt het bieden van het op grond van de AVG vereiste, gelijkwaardige beschermingsniveau voor bijzondere persoonsgegevens, zoals gezondheidsgegevens, erg lastig. Het is belangrijk dat u vanwege deze risico’s genoeg onderzoek doet naar passende cloudleveranciers. En dat u overweegt om de aan u toevertrouwde gezondheidsgegevens slechts te laten verwerken door leveranciers die alleen onder de EER-wet- en regelgeving en jurisdictie vallen", legt de toezichthouder uit.

Verder stelt Verdier dat organisaties die gezondheidsgegevens in de cloud verwerken daarvoor zelf volledig verantwoordelijk blijven. "Die verantwoordelijkheid kun je niet uitbesteden aan een cloudleverancier. In de praktijk zien we dat het misgaat als er onvoldoende zicht is op waar gegevens worden opgeslagen, welke partijen erbij betrokken zijn of onder welke wetgeving die verwerking valt. Het gaat goed als organisaties vooraf risico’s in kaart brengen, duidelijke afspraken maken en de regie houden over de aan hen toevertrouwde gegevens."