Is de privacy van de medische gegevens van honderdduizenden Nederlanders in het geding, of is er sprake van een storm in een glas water? Het Algemeen Dagblad kwam enkele dagen geleden met een achtergrondartikel over het verplaatsen van medische data voor analytische doeleinden door het bedrijf Medical Research Data Management (MRDM) naar een Nederlands datacentrum van Google Cloud Platform. Gezien de wijze waarop technologie- en internetbedrijven met de privacy omgaan van mensen, zou dit een potentieel privacy-gevaar zijn.
MRDM verwerkt medische data in opdracht van partijen die wettelijk verantwoordelijk zijn voor die data, met een vooraf afgestemd doel. Ziekenhuizen geven MRDM opdracht om de gegevens te verwerken ten behoeve van kwaliteitsverbetering, kostenbeheersing en/of onderzoek. MRDM begon zeven jaar geleden als onderdeel van het Leids Universitair Medisch Centrum (LUMC), maar zou inmiddels de grootste verwerker zijn van medische data.
Verwerking medische data
MDRM verwerkt medische gegevens van zo’n 120 ziekenhuizen en is daarmee volgens de AVG gegevensverwerker. Doel is onder meer om de kwaliteit van behandelingen te vergelijken, voor zorgverzekeraars, ziekenhuizen etc. Het bedrijf verwerkt volgens het AD gegevens voor 22 landelijke kwaliteitsregistraties, zoals voor obesitasbehandelingen, borstimplantaten, diabetes, longkanker en Parkinson. De gegevens worden vanuit het EPD gepseudonimiseerd (patiëntgegevens worden vervangen door een nummer). Voor de registratie van borstkanker ontvangt MRDM bijvoorbeeld alle informatie over een behandeling, van medicijngebruik, het aantal ingrepen tot complicaties en opnamedagen.
Per registratie worden gegevens uit het EPD gehaald en beveiligd met encryptie (versleuteling) naar MRDM gestuurd. Omdat MRDM niet gegevensverantwoordelijk is (de gegevens worden in opdracht van de gegevensverantwoordelijken verwerkt), hoeft het bedrijf hiervoor geen toestemming te vragen aan patiënten. Uit oogpunt van efficiency en kosten heeft MRDM er voor gekozen om de miljarden datapunten die het verwerkt, voortaan op te slaan op het Google Cloud Platform. Het betreft de Nederlandse vestiging in de Eemshaven.
Twijfels over privacy
Google is verplicht om zich bij de opslag van gegevens in Nederland te houden aan alle Nederlandse regels op het gebied van kwaliteit, beveiliging en privacy. Desondanks zou het volgens een aantal door het AD geciteerde beveiligings- en privacy experts twijfelachtig zijn of de privacy van de betrokken gegevens door Google wel goed beschermd worden. Zo zou de Amerikaanse overheid wel vaker gegevens opgevraagd hebben van die buiten het grondgebied van de VS opgeslagen zijn. Verder wordt er op gewezen dat de reputatie van Google zelf op het gebied van privacy op zijn minst wat deuken heeft opgelopen in de afgelopen jaren. Zo verkoopt Google surf- en NAW-gegevens van gebruikers van zijn diensten (zoals de zoekmachines) door aan commerciële partijen – denk aan marketing- en advertentiebedrijven.
MRDM zelf heeft in het AD-artikel en op de eigen website gereageerd door te stellen dat de data-opslag bij Google aan alle wettelijke vereisten voldoet en dat de privacy via Google Cloud opgeslagen medische gegevens beschermd is. ‘Veilige omgang met privacygevoelige data is onze belangrijkste kernwaarde, wat in alle aspecten van de technologie en bedrijfsvoering is doorgevoerd. MRDM laat zich regelmatig extern auditen en heeft transparante afspraken met ziekenhuizen over de dienstverlening. In maart 2019 is MRDM opnieuw succesvol extern geauditeerd voor NEN7510 en ISO27001.’
Bewuste keuze voor Google
Volgens de dataverwerker is er bewust voor gekozen om data te hosten op het Google Cloud Platform op locatie Eemshaven, vanwege de hoge en aantoonbare veiligheidsstandaarden die het Google Cloud Platform hanteert. ‘Als grote leverancier van dataopslag, is Google veel beter in staat om hun infrastructuur te beveiligen en te beheren dan een kleinere partij. Gegevens worden ten allen tijden versleuteld opgeslagen en zijn niet toegankelijk voor onbevoegden. Bovendien is Google Cloud Platform volledig gescheiden van de consumentendiensten van Google.’
Google heeft zelf geen toegang tot de gegevens, benadrukt MRDM en is daartoe wettelijk ook niet bevoegd. Google kan dus zelf niets met de gegevens doen. De gegevens blijven in Nederland en vallen onder Nederlandse wet- en regelgeving. De dataverwerker stelt verder dat het alle stakeholders in de zorg betrekt bij haar werkzaamheden en procedures op het gebied van dataopslag en -verwerking.
‘Het is goed dat de discussie wordt gevoerd of het wenselijk is dat een internationale hosting leverancier, met locatie in Nederland, Nederlandse gezondheidsgegevens mag opslaan', besluit MRDM. 'Hiermee maken we als Nederland bewuste keuzes op het gebied van privacy en security. MRDM draagt dan ook graag bij aan deze discussie.’
