AVG-boetes in de zorg: de precedenten en wat je ervan leert

AVG-boetes in de zorg draaien bijna nooit om een spectaculaire hack — ze draaien om toegangsbeveiliging die niet op orde is. De twee bekendste precedenten zijn ziekenhuisboetes. Het HagaZiekenhuis kreeg in 2019 de allereerste AVG-boete van de Autoriteit Persoonsgegevens (AP): €460.000, omdat tientallen medewerkers onbevoegd het dossier van een bekende Nederlander inzagen; de rechter matigde die later tot €350.000 [1][2]. Het OLVG volgde met €440.000, omdat het tussen 2018 en 2020 geen tweefactorauthenticatie afdwong en zijn toegangslogs nauwelijks controleerde [3][4]. Beide vielen op artikel 32 AVG: onvoldoende passende beveiliging van gezondheidsgegevens. De les is telkens dezelfde — je moet niet alleen kúnnen zien wie een dossier opent, je moet dat ook echt controleren, en de toegang met een tweede factor afschermen. En dit geldt niet alleen voor grote ziekenhuizen: ook een kleine praktijk kreeg een boete, voor een onbeveiligde website [7]. Hieronder de precedenten, waarom ze vielen, en wat je er concreet van leert.

Dit artikel is zorgvuldig samengesteld en van bronnen voorzien, maar is geen juridisch advies. Leg beleidskeuzes altijd voor aan je eigen jurist, FG of DPO.

HagaZiekenhuis: de eerste AVG-boete (€460.000 → €350.000)

In 2018 meldde het HagaZiekenhuis in Den Haag een datalek: tientallen medewerkers hadden onbevoegd het medisch dossier van een bekende Nederlander ingekeken. De AP onderzocht niet zozeer wíe er had gekeken, maar wat het ziekenhuis had gedaan om dat te voorkomen. Het antwoord: te weinig. In september 2019 legde de AP de allereerste boete onder de AVG op — €460.000 — omdat de interne beveiliging van de patiëntendossiers niet voldeed [1].

De boete was opgebouwd uit een basisbedrag van €310.000 plus twee verhogingen van €75.000, voor de ernst en de verwijtbaarheid [1]. Twee tekortkomingen sprongen eruit: het ziekenhuis controleerde de logbestanden — de registratie van wie welk dossier opent — niet regelmatig, en het gebruikte geen tweefactorauthenticatie voor toegang tot dossiers. Het HagaZiekenhuis ging in beroep. Op 31 maart 2021 matigde de rechtbank Den Haag de boete tot €350.000, omdat het ziekenhuis intussen tweefactorauthenticatie had ingevoerd, de logging had geïntensiveerd en al waarschuwingssignalen en verplichte privacytraining had ingericht [2]. De kern bleef echter overeind: de beveiliging was ten tijde van het lek onvoldoende.

OLVG: dezelfde fout, €440.000

Ruim een jaar later kreeg het Amsterdamse OLVG een vrijwel identieke boete: €440.000, opgelegd begin 2021 [3]. De AP stelde vast dat het ziekenhuis in de periode 2018 tot 2020 te weinig had gedaan om onbevoegde toegang tot medische dossiers te voorkomen. Twee dingen ontbraken, exact dezelfde twee als bij Haga [3][4]:

• Geen tweefactorauthenticatie. Voor toegang vanuit het ziekenhuis volstond een gebruikersnaam en wachtwoord — één factor. Goede beveiliging van gezondheidsgegevens vraagt om een tweede factor, bijvoorbeeld een code of een personeelspas naast het wachtwoord.
• Nauwelijks logcontrole. Het OLVG legde de toegang wél automatisch vast, maar controleerde die logs veel te weinig: in de onderzochte periode werden slechts enkele steekproeven gedaan, terwijl regelmatige controle nodig was om onbevoegde inzage op te sporen [4].

Anders dan Haga tekende het OLVG geen bezwaar of beroep aan en accepteerde de boete. Het ziekenhuis voerde tijdens het onderzoek al verbeteringen door: een structurele procedure voor het beoordelen van de logs en tweefactorauthenticatie voor toegang van binnenuit [3].

De rode draad: artikel 32 AVG

Beide boetes vielen op hetzelfde artikel: artikel 32 AVG. Dat verplicht je om "passende technische en organisatorische maatregelen" te nemen zodat de beveiliging aansluit bij het risico. Voor gezondheidsgegevens — bijzondere persoonsgegevens met extra bescherming — ligt die lat hoog. De AP vertaalde "passend" in deze zaken heel concreet naar twee eisen: tweefactorauthenticatie op de toegang tot dossiers, en het daadwerkelijk en regelmatig controleren van de toegangslogs.

Let op het woord "daadwerkelijk". Beide ziekenhuizen hádden logging — de techniek registreerde netjes wie wat opende. Wat ontbrak, was de menselijke controle daarop. Een logboek dat niemand leest, voorkomt geen misbruik; het documenteert het alleen achteraf. De boodschap van de AP is dus niet "koop meer software", maar "richt je proces zo in dat onbevoegde toegang wordt opgemerkt en afgeschrikt". Meer over die controleerbaarheid lees je in de AVG-checklist voor AI-notetakers.

Niet alleen ziekenhuizen: ook kleine praktijken

Het is verleidelijk om te denken dat dit een probleem van grote ziekenhuizen is. Dat klopt niet. De AP houdt toezicht op de hele zorgsector, van academisch ziekenhuis tot solopraktijk. Zo kreeg een orthodontiepraktijk een boete van €12.000 omdat de website persoonsgegevens over een onversleutelde verbinding verstuurde, waardoor gevoelige gegevens — waaronder het BSN — onvoldoende beveiligd waren [7].

Het bedrag is kleiner, maar het patroon is hetzelfde: gezondheidsgegevens die niet passend beveiligd zijn. Voor een kleine praktijk kan €12.000 bovendien harder aankomen dan €440.000 voor een groot ziekenhuis. De verplichting uit artikel 32 schaalt met je risico, niet met je omvang.

Hoe hoog kan een AVG-boete worden?

De ziekenhuisboetes van vier ton lijken fors, maar zijn ver verwijderd van het wettelijke maximum. Artikel 83 AVG kent twee categorieën: tot €10 miljoen of 2% van de wereldwijde jaaromzet voor lichtere overtredingen, en tot €20 miljoen of 4% van de wereldwijde jaaromzet voor de zwaarste — steeds het hoogste van de twee bedragen [8]. Voor de meeste zorgorganisaties is de omzetgrens niet aan de orde en telt vooral het vaste maximum.

Binnen die grenzen bepaalt de AP de hoogte aan de hand van vaste boetebeleidsregels, met per overtreding een bandbreedte en basisbedrag [6]. Daarbij wegen onder meer de ernst, het aantal betrokkenen, de verwijtbaarheid en de mate van meewerken mee [8]. De Haga-zaak laat zien hoe dat uitpakt: aantoonbaar verbeteren en meewerken drukte de boete van €460.000 naar €350.000 [2]. Alle opgelegde boetes worden sinds 2018 gepubliceerd; het overzicht staat op de site van de AP [5].

Wat je ervan leert: zes concrete lessen

De precedenten wijzen allemaal dezelfde kant op. Zes lessen die je vandaag kunt toepassen:

• Zet tweefactorauthenticatie op alle toegang tot gezondheidsgegevens — ook op toegang van binnen je eigen netwerk. Eén wachtwoord is niet "passend" bevonden.
• Loggen is niet genoeg; controleer je logs echt. Leg vast wie welk dossier opent én kijk er structureel naar. Een auditlog die niemand leest, telde in beide zaken niet mee.
• Regel autorisaties op need-to-know. Niet iedere medewerker hoeft bij ieder dossier te kunnen. Hoe krapper de toegang, hoe kleiner de kans op onbevoegde inzage.
• Beveilig ook de randgevallen. Websites, formulieren en gegevensoverdracht horen versleuteld te zijn — juist daar ging het bij de kleine praktijk mis.
• Minimaliseer wat je bewaart. Verwerk je gesprekken of opnames, houd dan geen gegevens langer dan nodig. Minder data betekent minder risico en een kleinere aanvalslijst.
• Kun je aantonen wat er gebeurde? Verbeteren en meewerken drukte de Haga-boete. Wie achteraf precies kan laten zien wie wat deed, staat sterker — bij een lek én bij de toezichthouder.

Dit is precies de filosofie waarop Verbinn is gebouwd: de verwerking gebeurt volledig lokaal op één Mac in je eigen pand, elke inzage en goedkeuring landt in een append-only auditlog, en elke zin in een verslag is klikbaar terug te leiden naar de letterlijke bronregel — zodat controleerbaarheid geen papieren belofte is, maar iets wat het systeem afdwingt. Hoe je opnames los daarvan AVG- en WGBO-proof inricht, lees je in Cliëntgesprekken opnemen: wat mag er volgens de AVG en WGBO?.