Ziekenhuis moet patiënt laten weten welke gegevens uit haar medisch dossier zijn bekeken en waarom, want alleen schermnamen is te weinig

Het ziekenhuis moet die uitleg binnen een maand na de beschikking van 30 september 2026 geven. De uitspraak is van één rechter in één zaak, maar ze rust op het inzagerecht uit de Europese privacywet AVG, dat voor iedere zorginstelling geldt.

De vrouw had in mei 2024 een onderzoek met een videocapsule laten doen. Daarna vroeg ze het ziekenhuis meerdere keren om inzage. In april 2026 diende ze een uitgebreid verzoek in: de volledige logoverzichten van haar dossier, een kopie van het dossier zelf, de logging van de software waarin de beelden van het onderzoek staan, een specificatie van de medewerkers die de gelogde activiteiten uitvoerden en alle andere persoonsgegevens die het ziekenhuis over haar verwerkte.

Een deel kreeg ze tijdens de procedure alsnog. Op 7 september 2026 ontving ze haar dossier en de logoverzichten tot en met 15 april 2026. Ook een overzicht van haar overige gegevens leverde het ziekenhuis aan.

Uit de overzichten bleek per keer van welke afdeling en in welke functie iemand keek, en welk scherm hij of zij opende. Wat er op die schermen stond en waarom iemand keek, stond er niet in.

Volgens de rechtbank is het raadplegen van een dossier zelf een verwerking van persoonsgegevens. Onder artikel 15 van de AVG heb je recht op een kopie: een getrouwe en begrijpelijke weergave van de persoonsgegevens die worden verwerkt. Een globale omschrijving of een verwijzing naar categorieën is dat niet. Uit een schermnaam kun je hooguit afleiden dat er mogelijk persoonsgegevens zijn bekeken, maar niet welke.

De AVG geeft je ook uitdrukkelijk recht op informatie over het doel. Daarom moet het Diakonessenhuis per raadpleging toelichten welke persoonsgegevens zijn ingezien en waarvoor.

Een recht op de namen van wie keek, heb je op grond van dit AVG-inzagerecht volgens de rechtbank in beginsel niet. Medewerkers werken onder het gezag van het ziekenhuis. Alleen als je die informatie echt nodig hebt om je rechten uit te oefenen, kan dat anders zijn, en dan moet het ziekenhuis jouw belang afwegen tegen de privacy van het personeel.

Afdeling en functie noemen zonder naam, zoals het ziekenhuis bij het dossier deed, kan volgens de rechter een goede tussenweg zijn. Voor de beelden van het onderzoek moet het ziekenhuis wel specificeren welke medewerkers de gelogde activiteiten uitvoerden, voor zover dat nog niet was gebeurd en met inachtneming van hun privacyrechten.

Het ziekenhuis zei dat het de activiteiten technisch niet aan specifieke medewerkers kon koppelen omdat iedereen één gezamenlijk account gebruikte. De rechter vond dat geen excuus: maar vier medewerkers hadden toegang, dus het was weinig moeite om hun te vragen wie op welke datum de beelden had geraadpleegd.

Ze wilde logoverzichten volgens de zorgnorm NEN 7513. Daar geeft artikel 15 van de AVG op zichzelf geen recht op, oordeelde de rechtbank. Ook haar klacht dat de nieuwe kopie van het dossier afweek van een oudere, werkte ze niet genoeg uit. Een dwangsom vond de rechter niet nodig, omdat het ziekenhuis had toegezegd mee te werken.

Het ziekenhuis betaalt wel de proceskosten: €341 aan griffierecht. De patiënt voerde de zaak zelf, zonder advocaat.

Je kunt bij je ziekenhuis vragen wie je dossier heeft geraadpleegd. Een kopie van het dossier vraag je meestal aan via een vaste afdeling of een formulier op de website. Ook het Diakonessenhuis had deze patiënt op die mogelijkheid gewezen.

Is het overzicht dat je krijgt te globaal, vraag dan schriftelijk om een toelichting: welke gegevens zijn per keer bekeken en met welk doel. Verwijs naar artikel 15 van de AVG. Zorgen over je zorgkosten, zoals de verwachte zorgpremie voor 2027, lopen via je verzekeraar, maar je dossier en de inzage daarin regel je bij de zorgverlener zelf.