Lek Erasmus MC Rotterdam schaadt jonge hiv-patiënten

Hoewel het Erasmus Medisch Centrum dit niet wil bevestigen, lijkt een lijst met gegevens van jonge hiv-patiënten te zijn gelekt door toedoen van een mailinglijst. Dit meldt RTL-nieuws op maandag 19 maart 2018. Volgens RTL zouden e-mailadressen zijn gelekt door een menselijke fout. Het datalek betreft 46 patiënten, wat neerkomt op iets minder dan een kwart van alle jonge patiënten die in Nederland worden behandeld voor hiv. Ook zijn e-mailadressen van ouders uitgelekt. Het Erasmus MC heeft bij de Autoriteit Persoonsgegevens melding gemaakt van het datalek.

Het datalek bij het Erasmus maakt duidelijk dat de gevoeligheid van persoonsgegevens in hoge mate wordt bepaald door de context waarin ze worden gebruikt. Het uitlekken van e-mailadressen als zodanig is natuurlijk niet prettig, maar heeft in de praktijk weinig serieuze gevolgen voor de rechten en vrijheden van betrokkenen. Dit wordt echter anders wanneer uit de inhoud van een mailinglijst kan worden afgeleid dat een betrokkene leidt aan een aandoening waaraan nog altijd een groot sociaal stigma kleeft. De gevolgen voor de betrokkenen kunnen in zulk geval buitengewoon ernstig zijn.

Wat verder opmerkelijk is aan dit nare datalek, is dat de kring van belanghebbenden nog wijder kan worden getrokken dan de betrokkenen in de zin van de AVG. Kinderen die lijden aan het hiv-virus hebben dit in sommige gevallen gekregen van de ouders, soms in het kader van misbruik. De uitgelekte informatie maakt dus niet alleen (op meerdere manieren) inbreuk op de rechten en vrijheden van de betrokkenen (de kinderen), maar ook op die van ouders. Voor de goede orde, dit soort aannames hoeft niet waar of bewezen te zijn om verregaande consequenties te hebben voor betrokkenen en andere belanghebbenden. Denk hierbij aan uitsluiting, discriminatie of zelfs (fysiek) geweld.

Ten slotte wil ik hier nog ingaan op het belang van communicatie. Bij een communicatiestrategie hoort ook een duidelijk privacy-afweging. Wie patiënten wil informeren over behandelmethoden van hun ziekte, dient dat op een manier te doen die hun privacy in voldoende mate beschermt. Een mailinglijst lijkt in dat opzicht een vreemde keuze, omdat er altijd de mogelijkheid bestaat dat een dergelijk bestand uitlekt, met alle gevolgen van dien. Het is dan ook goed om te horen dat het Erasmus de nieuwsbrief heeft beëindigd. Dit is is een serieuze maatregel.

Communicatie kan echter ook helpen om de gevolgen van een datalek te beperken. Wanneer een datalek eenmaal plaatsgevonden heeft, is de eerste opdracht van de verantwoordelijke organisatie om de gevolgen van het datalek zoveel mogelijk te beperken. De weigering van het Erasmus om te bevestigen dat het om gegevens van hiv-patiënten gaat, past in dit beeld. Door de weigering probeert het Erasmus de schade van het datalek niet nog verder te laten oplopen.

Het bovenstaande bewijst maar weer eens dat het lekken van schijnbaar onschuldige data potentieel grote gevolgen kan hebben voor een grote groep betrokkenen. Een goed communicatieplan, waarin privacy een leidende rol speelt, kan helpen om datalekken, zoals die bij het Erasmus, te voorkomen. Mocht dan toch nog een datalek plaatsvinden, dan is goede communicatie essentieel om de schade van een datalek te verminderen.

Heeft u vragen over communicatie en datalekken? Neem contact op met Certafin. Wij helpen u graag.