Beslissing ten gronde nr. 209/2025

(97)5 van het Comité van Ministers aan de lidstaten inzake de bescherming van medische gegevens. Nietofficiële vertaling van: “Medical data concerning unborn children should be considered as personal data and enjoy a protection comparable to the protection of the medical data of a minor.” 3 Beslissing ten gronde 209/2025 — 6/22 krijgen), mits zij later ook daadwerkelijk geboren worden. In andere lidstaten bieden bepaalde rechtsregels specifieke bescherming, wanneer aan deze zelfde voorwaarde is voldaan. Om te bepalen of de nationale wetgeving inzake gegevensbescherming ook informatie betreffende ongeboren kinderen beschermt, moet rekening worden gehouden met de algemene aanpak die het nationale rechtsstelsel hanteert, en met het feit dat het doel van de regels voor gegevensbescherming is personen te beschermen.”4 Aangezien de AVG op dit punt niet meer verduidelijking biedt dan Richtlijn 95/46/EG en geen enkel ander document van de EDPB specifiek op deze kwestie betrekking heeft, moet worden aangenomen dat het advies van de Groep artikel 29 (WP29) niet is vervangen door een recenter document en derhalve nog steeds nuttig en relevant blijft

2. De Geschillenkamer onderzoekt derhalve de Belgische rechtsorde om na te gaan of het standpunt ervan gericht is op de bescherming van het ongeboren kind en of bijgevolg moet worden aangenomen dat de AVG wel degelijk van toepassing is op de persoonsgegevens van ongeboren kinderen, los van de bescherming die aan deze gegevens wordt toegekend in hoofde van de moeder van het kind.
3. In Belgisch recht wordt rechtspersoonlijkheid verkregen bij de geboorte, op voorwaarde dat het kind levend en levensvatbaar wordt geboren
4. De Belgische wetgever heeft evenwel herhaaldelijk uitzonderingen bekrachtigd volgens welke het kind, wanneer zijn belang dit vereist, vanaf de verwekking als geboren wordt beschouwd, mits het levensvatbaar wordt geboren
5. Dit is met name het geval in het erfrecht. Deze uitzonderingen sluiten aan bij het Latijnse adagium “infans conceptus pro nato habetur quoties de commodis eius agitur”.
6. Sommige auteurs erkennen dit adagium als een algemeen rechtsbeginsel, terwijl anderen, zoals het Hof van Cassatie8, hier terughoudender in zijn, met name vanwege de gevolgen die dit zou kunnen hebben voor de aansprakelijkheid van gezondheidszorgbeoefenaars en ouders met betrekking tot handelingen tijdens de zwangerschap die gevolgen hebben voor het ongeboren kind
8. Een wetsvoorstel uit 2020, dat inmiddels is ingetrokken, stelde voor om een wettelijke basis te creëren voor het adagium “infans conceptus”, met als doel onder meer 4 Advies 4/2007 van de WP29 over het begrip persoonsgegeven. Zie “Is the guidance adopted by the Article 29 Working Party (WP 29) still relevant today ?”, beschikbaar op https://www.edpb.europa.eu/about-edpb/faq-frequently-asked-questions/guidance-adopted-article-29-working-partywp29-still en. 5 6 A. CASSIERS, Vers un droit à l’enfant parfait ?, Larcier, 2025, p.
9. 7 Artikelen 4.4 en 4.137 van het BW. 8 Hof van Cassatie, 2 maart 2012, RTDF, n°3, 2012, p. 712-
10. 9 A. CASSIERS, Vers un droit à l’enfant parfait ?, Larcier, 2025, p.
11. Beslissing ten gronde 209/2025 — 7/22 beschermingsmaatregelen voor het ongeboren kind tijdens de zwangerschap mogelijk te maken. De Raad van State heeft een negatief advies uitgebracht over dit voorstel, omdat hij van mening was dat dit voorstel ertoe zou leiden dat het ongeboren kind de facto rechtspersoonlijkheid zou krijgen, aangezien de tijdens de zwangerschap genomen beschermingsmaatregelen niet kunnen worden ingetrokken als niet aan de voorwaarde van levensvatbaarheid bij de geboorte wordt voldaan. De Raad van State is daarom van oordeel dat het niet opportuun is een algemene wettelijke basis te creëren voor het adagium “infans conceptus”, maar “dat het wellicht beter zou zijn om, in plaats van dit algemeen dispositief aan te nemen, in bepaalde onderdelen van specifieke wetten nauwkeurige juridische regelingen op te nemen waardoor het belang van het ongeboren kind beschermd zou worden”
12. De Geschillenkamer leidt uit de analyse van de Raad van State af dat het belang van het ongeboren kind in bepaalde, welomschreven omstandigheden kan worden beschermd, zonder dat het daarom opportuun is een algemene toepasselijkheid daarvan te erkennen.
13. De Geschillenkamer beoogt niet een eventueel algemeen rechtsbeginsel te erkennen of op algemene wijze een fictieve rechtspersoonlijkheid toe te kennen aan het ongeboren kind, maar wel te bepalen of in het onderhavige geval de Belgische rechtsorde al dan niet neigt naar een bescherming van het ongeboren kind. Door in bepaalde contexten een gerichte bescherming van het ongeboren kind te erkennen wanneer dit in zijn belang is en onder de voorwaarde dat het levend en levensvatbaar wordt geboren, is de Geschillenkamer van oordeel dat de Belgische wetgever in de betrokken context een beschermende benadering van het ongeboren kind ontwikkelt.
14. De Geschillenkamer leidt hieruit af dat, wat betreft ongeoorloofde toegang tot de gegevens van een ongeboren kind dat levend en levensvatbaar wordt geboren, de bescherming die door de AVG wordt geboden, in de context van het Belgische recht zoals hierboven beschreven en op basis van de elementen die door de Groep artikel 29 naar voren zijn gebracht, aldus moet worden opgevat dat zij ook de gegevens van ongeboren kinderen omvat, los van de bescherming die reeds kan worden geboden via de moeder voor de gegevens die haar betreffen.
15. Deze interpretatie wordt bovendien bevestigd door het Comité van Ministers van de Raad van Europa
17. In deze context heeft de Geschillenkamer geoordeeld dat een teleologische lezing van het toepassingsgebied van de AVG, die tot doel heeft de gegevens van natuurlijke Advies van de Raad van State nr. 67.057 (AV) van 12 november 2020 over een wetsvoorstel ‘tot wijziging van het Burgerlijk Wetboek met het oog op prenatale rechtsbescherming’, beschikbaar op https://www.raadvst-consetat.be, p. 33/
18. 10 Aanbeveling nr. R

(97)5 van het Comité van Ministers aan de lidstaten inzake de bescherming van medische gegevens, aangenomen op 13 februari 1997. 11 Beslissing ten gronde 209/2025 — 8/22 personen te beschermen, aangewezen is. Indien immers zou worden aangenomen dat de persoonsgegevens van een ongeboren kind dat levend en levensvatbaar wordt geboren, niet onder de bescherming van de AVG vallen, zou dit leiden tot een lacune in de bescherming van deze gegevens zodra het kind is geboren. Zo zouden bijvoorbeeld gezondheidsgegevens met betrekking tot het ongeboren kind die door zijn moeder – die in dat geval de betrokkene zou zijn – kennelijk openbaar zijn gemaakt, kunnen worden verwerkt op basis van de in artikel 9.2.e voorziene rechtmatigheidsgrond, zonder dat het kind, eenmaal geboren, zich daartegen zou kunnen verzetten12. 34. Bovendien zou in dit specifieke kader het beperken van de bescherming van de gegevens betreffende het ongeboren kind tot hun loutere kwalificatie als persoonsgegevens betreffende de biologische moeder geen rekening houden met de bijzondere situaties waarin de ouders van het kind geen biologische band met het kind hebben, met name in gevallen van adoptie13. 35. Ten slotte zou in casu het niet erkennen van een autonome bescherming van de gegevens van het ongeboren kind na de geboorte van het kind kunnen leiden tot een fictieve bescherming van dezelfde gegevens in hoofde van twee verschillende personen, namelijk de moeder en het inmiddels geboren kind14. 36. Hoewel de wettelijke vertegenwoordigers van het kind over de bevoegdheid beschikken om het in rechte te vertegenwoordigen, kan deze bevoegdheid slechts worden uitgeoefend in het belang van het kind. Deze vereiste om in het belang van het kind te handelen verdwijnt echter wanneer de persoonsgegevens geacht worden betrekking te hebben op de moeder in plaats van op het kind. 37. Concluderend kan worden gesteld dat, indien de bescherming van de gegevens van ongeboren kinderen uitsluitend zou worden gewaarborgd via de bescherming van de gegevens van hun biologische moeder, dit zou leiden tot een verzwakking van de bescherming van de gegevens van minderjarigen, aangezien zij dan slechts beperkte controle zouden hebben over hen betreffende informatie die tijdens de zwangerschap werd verzameld. De Geschillenkamer stelt dan ook vast dat het kind beschikt over een belang om op te treden. 38. In dit geval worden de persoonsgegevens van de vader van het kind (hierna de “vader”) niet door het ziekenhuis verwerkt, aangezien er geen informatie is waarmee hij rechtstreeks of onrechtstreeks als betrokkene kan worden geïdentificeerd. De vader beschikt bijgevolg niet over een belang om op te treden als betrokkene. Niettemin is hij, K.PORMEISTER en Ł. DROŻDŻOWSKI, “Protecting the Genetic Data of Unborn Children : A Critical Analysis”, EDPL, 1/2018, p. 62. 12 13 Ibidem. 14 Ibidem. Beslissing ten gronde 209/2025 — 9/22 in zijn hoedanigheid van wettelijke vertegenwoordiger, bevoegd om op te treden namens het kind, van wie de persoonsgegevens wel worden verwerkt. 39. In ieder geval staat vast dat de moeder een belang heeft om op te treden, aangezien haar EPD door de kinesitherapeut werd geraadpleegd. Er heeft dus een verwerking van haar persoonsgegevens plaatsgevonden. De klacht is derhalve minstens in haar hoofde ontvankelijk. De Geschillenkamer is dus op geldige wijze gevat om deze te onderzoeken. II.3. Wat betreft de hoedanigheid van de partijen 40. De klagers zijn van mening dat de verweerder moet worden beschouwd als de verwerkingsverantwoordelijke voor de betrokken verwerking. Zij preciseren dat hun klacht betrekking heeft op de niet-naleving door de verweerder van zijn verplichtingen inzake gegevensbescherming, hetgeen de ongeoorloofde toegangen mogelijk heeft gemaakt. Volgens hen is ook de kinesitherapeut in fout, maar dit ontslaat de verweerder niet van zijn eigen verantwoordelijkheid. 41. De verweerder meent dat, aangezien de kinesitherapeut uit eigen beweging en buiten de door hem vastgestelde doeleinden de gegevens van de moeder heeft geraadpleegd, zij als enige verwerkingsverantwoordelijke moet worden aangemerkt voor de verwerking van de gegevens van de moeder wat betreft de raadpleging van de resultaten van de NIPT-test. 42. Het begrip “verwerkingsverantwoordelijke” wordt gedefinieerd als “een natuurlijke persoon of rechtspersoon [...] of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt”15. 43. De Geschillenkamer heeft eerder in herinnering gebracht dat de verwerking van gegevens door een werknemer van een organisatie in het kader van haar activiteiten wordt geacht plaats te vinden onder het gezag van die organisatie. In bepaalde uitzonderlijke situaties waarin de werknemer op onrechtmatige wijze de hem toevertrouwde bevoegdheid overschrijdt door zelf de doeleinden van een verwerking van persoonsgegevens vast te stellen, kan de werknemer evenwel optreden als verwerkingsverantwoordelijke16. Dit standpunt wordt eveneens onderschreven door de EDPB in zijn richtsnoeren over de begrippen “verwerkingsverantwoordelijke” en “verwerker” in de AVG17. 15 Artikel 4.7) van de AVG. 16 Beslissing ten gronde 64/2025 van 1 april 2025. EDPB, Richtsnoeren 07/2020 over de begrippen “verwerkingsverantwoordelijke” en “verwerker” in de AVG, 7 juli 2021, punt 19, beschikbaar op: https://www.edpb.europa.eu/system/files/202310/edpb guidelines 202007 controllerprocessor final nl.pdf. 17 Beslissing ten gronde 209/2025 — 10/22 44. Gezondheidszorgbeoefenaars hebben toegang tot de medische dossiers van hun patiënten om kwalitatieve zorg te kunnen bieden. De verweerder verplicht hen om alleen die gegevens van patiënten te raadplegen die nodig zijn voor hun functie en in het kader van de therapeutische relatie met de patiënt18. 45. De therapeutische relatie of band wordt doorgaans begrepen als “de relatie tussen een bepaalde patiënt en één of meerdere beroepsbeoefenaars in de gezondheidszorg die betrokken zijn bij de diagnostische, preventieve of zorgverlenende handelingen ten opzichte van de patiënt”19. 46. De partijen betwisten niet dat de kinesitherapeut minstens tot januari 2021 als kinesitherapeut van de moeder heeft gehandeld, namelijk tot het moment waarop de moeder een bij haar geplande medische afspraak uitstelde. De klagers zijn van mening dat na januari 2021 geen enkele afspraak meer heeft plaatsgevonden en dat de bestaande therapeutische relatie derhalve als beëindigd moest worden beschouwd. De verweerder betwist deze interpretatie in zijn conclusie en is van oordeel dat de therapeutische relatie op het ogenblik van de raadpleging nog steeds bestond. Dit standpunt verschilt van het standpunt dat hij innam ten tijde van de raadpleging, aangezien hij de beëindiging van de overeenkomst met de kinesitherapeut om dringende reden rechtvaardigde door te verwijzen naar het feit dat deze “op ongepaste en herhaalde wijze de medische, persoonlijke en vertrouwelijke gegevens heeft geraadpleegd van een patiënt met wie [zij] geen therapeutische relatie heeft”20. 47. De moeder laat de kinesitherapeut in haar WhatsApp-bericht van 9 maart weten dat zij diezelfde dag de NIPT-test heeft laten uitvoeren en dat haar werd meegedeeld dat de resultaten binnen twee weken beschikbaar zouden zijn. De kinesitherapeut antwoordt haar dat de resultaten ongeveer zeven werkdagen vanaf de volgende dag beschikbaar zouden zijn. De Geschillenkamer stelt vast dat de betwiste toegangen hebben plaatsgevonden op 16, 17 en 19 maart 2021, zijnde ongeveer een week na dit gesprek tussen de moeder en de kinesitherapeut. De Geschillenkamer stelt dan ook vast dat de kinesitherapeut de resultaten heeft geraadpleegd na een privégesprek met de moeder rond het moment waarop de resultaten van de test van de moeder bekend zouden worden gemaakt. 48. Tijdens de hoorzitting voert de raadsman van de verweerder aan dat het mogelijk is dat de moeder de kinesitherapeut toestemming heeft gegeven of heeft gevraagd om haar Omzendbrief inzake medisch beroepsgeheim en bescherming van de persoonlijke levenssfeer, stuk 6 overgelegd door de verweerder. 18 Nota betreffende de elektronische bewijsmiddelen van een therapeutische relatie en een zorgrelatie van het Sectoraal Comité van de Sociale Zekerheid en van de Gezondheid van 18 oktober 2011, gewijzigd op 6 juli 2021. 19 Brief tot beëindiging van de samenwerkingsovereenkomst tussen ziekenhuisgroep Y en mevrouw Z, stuk 10 van de verweerder. 20 Beslissing ten gronde 209/2025 — 11/22 dossier te raadplegen om sneller de resultaten van de NIPT-test te verkrijgen. De raadsman van de klagers betwist deze interpretatie met klem. De Geschillenkamer kan het betoog van de raadsman van de verweerder op dit punt niet volgen, aangezien er geen enkel bewijs bestaat van een dergelijke toestemming of verzoek. De verwerkingsverantwoordelijke moet kunnen aantonen dat zijn verwerking in overeenstemming is met de AVG21. Wanneer de rechtmatigheid van de verwerking berust op toestemming, is het aan de verwerkingsverantwoordelijke om aan te tonen dat deze toestemming is verkregen. Bovendien vermeldt de kinesitherapeut in haar gesprek van augustus met de moeder dat zij aan “spionage” heeft gedaan. De Geschillenkamer stelt vast dat de kinesitherapeut, door het gebruik van de term “spionage”, wist dat zij handelde buiten een eventuele therapeutische relatie en zonder toestemming van de moeder. 49. De Geschillenkamer stelt vast dat de raadpleging van de resultaten van een genetische test door de kinesitherapeut niet noodzakelijk was om kinesitherapeutische zorg aan de moeder te verstrekken. Het bestaan van een eventuele therapeutische relatie tussen een patiënt en een zorgverlener maakt de raadpleging van alle gezondheidsgegevens van de patiënt door diezelfde zorgverlener niet rechtmatig22, in het bijzonder gelet op de gevoeligheid van genetische gegevens. Deze raadpleging had dus niet mogen plaatsvinden in het kader van de eventuele therapeutische relatie tussen de kinesitherapeut en de moeder. Het is dus niet nodig om te bepalen of deze therapeutische relatie nog steeds bestond op het moment van de betwiste feiten. 50. Op basis van het voorgaande is de Geschillenkamer van oordeel dat de kinesitherapeut de haar door de verweerder toevertrouwde bevoegdheid heeft overschreden en derhalve moet worden beschouwd als de enige verwerkingsverantwoordelijke wat betreft de raadpleging van de resultaten van de NIPT-test. 51. Niettegenstaande deze vaststelling blijft ziekenhuisgroep Y verwerkingsverantwoordelijke wat betreft het bijhouden en het ter beschikking stellen van de EPD’s van zijn patiënten aan de gezondheidszorgbeoefenaars die binnen de ziekenhuisgroep werkzaam zijn. Het komt de ziekenhuisgroep dan ook toe technische en organisatorische maatregelen te treffen die de naleving van de bepalingen van de AVG waarborgen23. 21 Artikelen 5.2 en 24 van de AVG. Advies Federale Commissie “Rechten van de patiënt”, advies in verband met de “Nota betreffende de therapeutische relatie”, opgesteld door de Werkgroep G19 van het eHealth-platform, Rev.dr.santé, 2009-10, liv. 3, p. 167. 22 23 Zie punt II.5. Beslissing ten gronde 209/2025 — 12/22 II.4. Wat betreft de verwerking van de persoonsgegevens van de moeder die vermeend zonder rechtmatigheidsgrond en voor een onverenigbaar doeleinde heeft plaatsgevonden 52. Om rechtmatig te zijn, moet elke verwerking van persoonsgegevens berusten op een in de AVG voorziene rechtmatigheidsgrond en een doeleinde nastreven dat verenigbaar is met het doeleinde waarvoor de gegevens werden verzameld. 53. De verweerder is van oordeel dat hij, aangezien hij niet de verwerkingsverantwoordelijke is voor de betwiste verwerking, geen verwerking zonder rechtmatigheidsgrond heeft verricht. 54. De klagers concluderen niet omtrent dit punt. 55. De Geschillenkamer verwijst naar het voorgaande en oordeelt dat er geen aanleiding is om de rechtmatigheid te onderzoeken van de verwerking die in hoofde van de verweerder zou zijn verricht, aangezien is vastgesteld dat hij niet de verwerkingsverantwoordelijke is wat betreft de raadpleging van de resultaten van de NIPT-test door de kinesitherapeut. II.5. Wat betreft de verplichting om technische en organisatorische maatregelen te treffen (5.1.f), 5.2, 24 en 32) 56. Zoals in de voorgaande sectie werd vastgesteld, is de kinesitherapeut verwerkingsverantwoordelijke voor de raadpleging van de medische gegevens van de moeder. De verweerder is evenwel verwerkingsverantwoordelijke voor de verwerking van de gezondheidsgegevens van zijn patiënten in het kader van het beheer van het EPD. Zo is de verweerder onder meer verantwoordelijk voor het beheer van de toegang tot deze software en voor de beveiliging van de daarin vervatte gegevens. 57. In zijn hoedanigheid van verwerkingsverantwoordelijke is de verweerder met name verplicht technische en organisatorische maatregelen te treffen om de conformiteit van de verwerking met de AVG te waarborgen en deze conformiteit aan te tonen24. 58. Gelet op zijn rol als verwerkingsverantwoordelijke voor de gegevens in het EPD, is hij gehouden technische en organisatorische maatregelen te nemen om de conformiteit van de verwerking met de AVG te waarborgen, met name om de beveiliging van de verwerkte gegevens te verzekeren. Bijgevolg moet de verweerder maatregelen treffen om onrechtmatige toegang tot de gegevens in de EPD's van patiënten te voorkomen of op zijn minst te beperken. Wat betreft het standpunt van de verweerder 24 Artikel 5.2 en artikel 24 van de AVG. Beslissing ten gronde 209/2025 — 13/22 59. De verweerder licht de maatregelen toe die hij heeft getroffen om de conformiteit van de verwerking met de AVG te waarborgen. 60. Voorafgaandelijk legt hij uit dat het, gelet op de noodzaak om kwalitatieve zorg te garanderen die een multidisciplinaire opvolging vereist, voor een ziekenhuis niet mogelijk is om “op voorhand te bepalen welke gezondheidszorgactoren toegang zullen moeten hebben tot welke gegevens van welke patiënt” (vrije vertaling). Hij preciseert daarom dat alle zorgverleners (en met name de kinesitherapeuten) technisch gezien toegang kunnen krijgen tot de dossiers van alle patiënten binnen de ziekenhuisgroep. Daarentegen beschikken het “nursing”-personeel, het medisch secretariaat en het administratief personeel (met name boekhouding/facturatie) over veel beperktere toegangsrechten, die strikt beperkt zijn tot wat noodzakelijk is voor hun functie. De verweerder verduidelijkt tijdens de hoorzitting dat in de software verschillende standaardprofielen zijn gecreëerd. Elk van deze profielen verleent vooraf bepaalde toegangsrechten binnen het EPD. Wanneer een nieuwe medewerker in dienst treedt, kent de beheerder hem een standaardprofiel toe dat gekoppeld is aan specifieke toegangsrechten die verband houden met zijn functie binnen de ziekenhuisgroep. In dit geval beschikte de kinesitherapeut over een profiel “zorgverlener”, wat betekent dat zij volledige toegang had tot het EPD van de moeder, net zoals een arts. 61. De verweerder legt tevens uit dat de keuze van een verwerker voor de levering van EPD-software beperkt is door de krappe markt in België. Hij betwist dat hij een onbetrouwbare leverancier heeft gekozen en wijst erop dat de geselecteerde verwerker negen op de tien ziekenhuizen in België uitrust. De verweerder geeft bovendien aan dat hij herhaaldelijk contact heeft opgenomen met deze verwerker om informatie te verkrijgen over het beheer van de therapeutische relatie binnen de software. Tot op heden heeft deze laatste geen wijzigingen aangebracht in zijn software. De verweerder voegt eraan toe dat een verandering van verwerker niet mogelijk is, aangezien de implementatie van nieuwe software minimaal drie jaar in beslag zou nemen en zeer hoge kosten met zich zou meebrengen25, zonder garantie dat deze nieuwe software een bevredigende oplossing zou bieden voor de toegangsproblemen zoals die door de klagers aan de kaak zijn gesteld. 62. De verweerder licht verschillende middelen toe die worden gebruikt om het ziekenhuispersoneel te informeren over het verbod om gegevens te raadplegen van patiënten met wie zij geen therapeutische relatie hebben. 25 Informatie verstrekt door de verweerder tijdens de hoorzitting. Beslissing ten gronde 209/2025 — 14/22 a. De personeelsleden verbinden zich er contractueel toe om alleen toegang te verkrijgen tot de gegevens van patiënten met wie zij een therapeutische relatie hebben en die zij nodig hebben voor de opvolging van de zorg. b. De verweerder heeft eveneens een informaticahandvest aangenomen dat van toepassing is op alle zorgverleners die binnen zijn instelling werkzaam zijn. Het gedeelte over de toegang tot medische gegevens luidt als volgt (vrije vertaling): “De toegang tot medische gegevens moet voldoen aan de geldende wettelijke, deontologische en reglementaire vereisten. In het bijzonder geldt dat: • een zorgverlener (medisch, verpleegkundig of paramedisch) medische gegevens slechts mag raadplegen of gebruiken, zelfs kortstondig, indien er een voorafgaande en te rechtvaardigen therapeutische relatie bestaat tussen hem of haar en de patiënt op wie de gegevens betrekking hebben; • het personeel van de administratieve diensten (secretariaten, IT, facturatie, boekhouding, enz.) medische gegevens uitsluitend mag raadplegen binnen het kader van zijn opdracht. Er dient een voorafgaande en te rechtvaardigen administratieve relatie te bestaan tussen de administratieve zorgverlener en de patiënt op wie de gegevens betrekking hebben.” c. De verweerder legt tevens een interne omzendbrief voor met als titel “Bescherming van de persoonlijke levenssfeer en medisch beroepsgeheim” (vrije vertaling), waarin medewerkers aan het volgende worden herinnerd (vrije vertaling): “De toegang tot patiëntgegevens is strikt beperkt tot wat noodzakelijk is voor de uitoefening van de functie en moet worden gerechtvaardigd door de therapeutische (of administratieve) band die met de patiënt bestaat.” d. Het algemeen reglement van de verweerder, dat van toepassing is op alle personen die op zijn verschillende sites werkzaam zijn, bepaalt het volgende (vrije vertaling): “De toegang tot het elektronisch patiëntendossier is strikt individueel en is onderworpen aan de regels inzake vertrouwelijkheid en beroepsgeheim. Een arts mag slechts toegang hebben tot het medisch dossier van een patiënt in het kader van het bestaan van een therapeutische band met deze patiënt. Elk misbruik kan aanleiding geven tot zware sancties.” e. De verweerder merkt tevens op dat op de inlogpagina van de EPD-software vermeld staat dat toegang tot het medisch dossier alleen is toegestaan wanneer er een therapeutische relatie met de betrokken patiënt bestaat. Beslissing ten gronde 209/2025 — 15/22 63. Voorts preciseert de verweerder dat de logbestanden van het EPD worden geregistreerd. Deze konden overigens aan de moeder worden overgemaakt toen zij daarom verzocht. 64. Tot slot herinnert de verweerder eraan dat de overeenkomst tussen hem en de kinesitherapeut met onmiddellijke ingang werd beëindigd na de melding van de feiten wegens de onrechtmatige raadpleging. Wat betreft het standpunt van de klagers 65. De klagers herinneren gegevensbescherming aan door standaardinstellingen, de beginselen ontwerp en en van verantwoordingsplicht, gegevensbescherming gegevensbeveiliging door waaraan verwerkingsverantwoordelijken onderworpen zijn. Zij verwijzen naar aanbeveling nr. 11/01 van 19 april 2011 betreffende het toegangsrecht van de patiënt tot de bestemmelingen van zijn medische dossier. In deze aanbeveling benadrukt het Sectoraal Comité van de Sociale Zekerheid en van de Gezondheid het belang van het treffen van doeltreffende beveiligingsmaatregelen ter bescherming van elektronische gezondheidsdossiers tegen onrechtmatige toegang, en somt het enkele voorbeelden van dergelijke maatregelen op. 66. De klagers verwijzen eveneens naar de nota van de GBA over de verwerking van gegevens uit patiëntendossiers, waarin het volgende wordt gepreciseerd: “Zo moet een instelling zich er o.m. van vergewissen dat de persoonsgegevens overeenkomstig hun classificatie slecht toegankelijk zijn voor de personen (en toepassingsprogramma’

1. s)die hiertoe uitdrukkelijk gemachtigd zijn.” en “Ook de implementatie van een mechanisme voor (a posteriori) controle- en monitoring van de effectieve toegang tot een patiëntendossier is noodzakelijk, in het bijzonder wanneer vooraf gedefinieerde toegangs- en gebruikersrechten door gezondheidszorgbeoefenaars kunnen worden ‘doorbroken/overruled’.”26 67. De klagers verwijzen tevens naar de beslissingen 77/202227 en 103/202328 van de Geschillenkamer, die betrekking hadden op gelijkaardige gevallen van toegang tot medische dossiers. In die beslissingen benadrukte de Geschillenkamer het belang van het in aanmerking nemen van de risico’s bij de beoordeling van het te implementeren beveiligingsniveau. Beschikbaar via https://www.gegevensbeschermingsautoriteit.be/publications/nota-over-de-verwerking-van-gegevensuit-patientiendossier.pdf. 26 Beslissing 77/2022 van 11 mei 2022 van https://dataprotectionauthority.be/publications/bevel-nr.-77-2022.pdf. 27 de Geschillenkamer, Beslissing 103/2023 van 26 juli 2023 van de Geschillenkamer, beschikbaar https://www.autoriteprotectiondonnees.be/publications/avertissement-n-103-2023.pdf. 28 beschikbaar (in het Frans) via via Beslissing ten gronde 209/2025 — 16/22 Beoordeling door de Geschillenkamer Kwaliteit van de zorg en noodzaak van toegang tot het EPD 68. Ziekenhuizen hebben als opdracht multidisciplinaire zorg te verstrekken. De gedeelde toegang, door meerdere gezondheidszorgbeoefenaars, tot het EPD van een patiënt vormt de basis van deze interdisciplinariteit en draagt bij tot de verbetering van de kwaliteit van de zorg. Wanneer een arts de laboratoriumresultaten of het verslag van een collega kan raadplegen, is hij beter in staat passende therapeutische beslissingen te nemen. De Geschillenkamer herinnert er evenwel aan dat deze toegang tot medische gegevens strikt beperkt moet blijven tot de informatie die voor elke beroepsbeoefenaar onmisbaar is om zijn functie optimaal uit te oefenen. Verantwoordelijkheid van de verwerker 69. Voorts herinnert de Geschillenkamer eraan dat een verwerkingsverantwoordelijke de verantwoordelijkheid voor een niet-naleving van de AVG niet kan afwentelen op zijn verwerker. De verwerkingsverantwoordelijke moet immers een verwerker kiezen die “afdoende garanties met betrekking tot het toepassen van passende technische en organisatorische maatregelen [biedt] [...] opdat de verwerking aan de vereisten van deze verordening voldoet en de bescherming van de rechten van de betrokkene is gewaarborgd”29. De Geschillenkamer kan dan ook niet instemmen met het argument van de verweerder dat bepaalde maatregelen niet kunnen worden ingevoerd omdat zijn verwerker die mogelijkheid volgens hem niet biedt. Beheer van de toegang tot medische dossiers 70. Bovendien kan de Geschillenkamer niet instemmen met het argument van de verweerder dat volledige toegang tot het EPD door alle zorgverleners noodzakelijk zou zijn om kwalitatieve multidisciplinaire zorg te verlenen. In werkelijkheid is het niet de bedoeling dat alle zorgverleners alle documenten met betrekking tot een patiënt kunnen raadplegen. Enkel de documenten die noodzakelijk zijn voor het verstrekken van specifieke zorg zouden door de betrokken zorgverlener mogen worden geraadpleegd. Bovendien moet de verweerder, die uit meerdere instellingen bestaat en beschikt over één EPD dat toegankelijk is voor al deze sites, specifieke maatregelen treffen om deze verruimde toegankelijkheid van de informatie in het EPD te compenseren. 29 Artikel 28.1 van de AVG. Beslissing ten gronde 209/2025 — 17/22 71. Zo werd bijvoorbeeld in het kader van de uitwisseling van gezondheidsgegevens binnen het eHealth-netwerk een toegangsmatrix ingevoerd om te bepalen tot welke soorten documenten een beroepsbeoefenaar toegang heeft naargelang zijn rol30. In dit geval bepaalt deze matrix dat kinesitherapeuten geen toegang hebben tot laboratoriumverslagen. 72. De verweerder voert aan dat deze matrix niet toepasbaar zou zijn, omdat het eHealthnetwerk een ander doel nastreeft dan het EPD: het eerste zou gericht zijn op het vergemakkelijken van de uitwisseling van gegevens tussen alle gezondheidszorgbeoefenaars die tot het netwerk behoren, terwijl het EPD gericht zou zijn op het waarborgen van een multidisciplinaire opvolging van de patiënt. In dat verband stelt de Geschillenkamer vast dat deze matrix eenvoudigweg illustreert dat het mogelijk is om toegangsniveaus tot bepaalde soorten gegevens vast te leggen in functie van de werkelijke behoeften van zorgverleners, zonder dat het nut van een dergelijke gegevensdeling wordt verminderd. Het behoort weliswaar niet tot de bevoegdheid van de Geschillenkamer om deze toegangsrechten te bepalen of te valideren, maar enkel om vast te stellen dat een dergelijke differentiatie mogelijk is en bovendien reeds werd toegepast, in tegenstelling tot wat de verweerder aanvoert. De Geschillenkamer stelt evenmin dat de matrix van het eHealth-netwerk als zodanig moet worden toegepast op het EPD waarvoor de verweerder verwerkingsverantwoordelijke is; zij wijst alleen op de technische haalbaarheid van een dergelijk toegangsbeheersysteem in het kader van andere software en platforms. Technische en organisatorische maatregelen 73. De Geschillenkamer neemt nota van de door de verweerder beschreven organisatorische maatregelen. 74. Zij herinnert eraan dat de getroffen technische en organisatorische maatregelen passend moeten zijn om een op het risico afgestemd beveiligingsniveau te waarborgen31 en de verwerkingsverantwoordelijke in staat te stellen aan te tonen dat de verwerking in overeenstemming is met de AVG32. De stand van de techniek, de uitvoeringskosten, alsook de aard, de omvang, de context en de doeleinden van de verwerking, evenals de risico’s voor de rechten en vrijheden van de betrokkenen moeten in aanmerking worden genomen om te bepalen in hoeverre de maatregelen passend zijn. Toegangsmatrix beschikbaar via https://brusselshealthnetwork.be/nl/patienten/ik-blijf-op-de-hoogte/mijn-gedeeldgezondheidsdossier/wie-heeft-er-toegang-tot-mijn-dossier/, geraadpleegd op 7 oktober 2025. 30 31 Artikel 32.1 van de AVG. 32 Artikel 24 van de AVG. Beslissing ten gronde 209/2025 — 18/22 75. In het onderhavige geval zijn de in het EPD opgenomen gegevens, met uitzondering van enkele gegevens waarmee de patiënt kan worden geïdentificeerd, per definitie bijzondere categorieën van gegevens zoals bedoeld in artikel 9 van de AVG, aangezien het gaat om gezondheidsgegevens en soms zelfs om genetische gegevens. Dit soort gegevens vereist een versterkte bescherming, met name vanwege het verhoogde risico dat de verwerking ervan met zich meebrengt voor de rechten en vrijheden van de betrokkenen. Bovendien kan uit het grote aantal patiënten van de verweerder worden afgeleid dat er sprake is van een grootschalige gegevensverwerking33. Met deze twee elementen moet rekening worden gehouden bij de afweging van de te nemen beveiligingsmaatregelen. 76. In het onderhavige geval berust de doeltreffendheid van de meeste organisatorische maatregelen die door de verweerder zijn getroffen, hoofdzakelijk op (
2. i)de goede wil van de personen die gemachtigd zijn om toegang te krijgen tot het EPD, (
3. ii)een controle achteraf na een klacht van een patiënt en (iii) de bestraffing van geïdentificeerde overtreders. Dit geldt voor alle maatregelen die in punt 61 zijn beschreven. Dergelijke maatregelen zijn essentieel voor de eerbiediging van het beveiligingsbeginsel, maar vormen op zichzelf geen voldoende waarborg om aan te tonen dat de verweerder heeft voldaan aan zijn middelenverbintenis om passende beveiliging te waarborgen ter voorkoming van onrechtmatige verwerkingen. 77. Naast deze organisatorische maatregelen voert de verweerder ook aan dat hij een systeem heeft ingevoerd voor het registreren van logbestanden inzake de toegang tot de patiëntendossiers34. De Geschillenkamer herinnert eraan dat het registreren van logbestanden een onmisbaar element is voor de eerbiediging van het beginsel van verantwoordingsplicht, aangezien deze het mogelijk maken om achteraf de rechtmatigheid van de toegang tot het medisch dossier van een betrokkene te verifiëren. De Geschillenkamer merkt echter op dat geen enkele willekeurige controle van deze logbestanden is voorzien. Er is wel een poging tot willekeurige controles ondernomen, maar deze is stopgezet vanwege de werklast die dit met zich meebracht en het gebrek aan doeltreffendheid van deze willekeurige controles (onrechtmatige toegang blijft uitzonderlijk). De registratie van deze logbestanden wordt dus enkel gebruikt wanneer iemand de verweerder hierover bevraagt. Het ontbreken van willekeurige controles vermindert de doeltreffendheid van de beveiligingsmaatregel. In het onderhavige geval werd de onrechtmatige toegang door de verweerder alleen ontdekt omdat de klagers dit hadden gemeld. De Geschillenkamer stelt vast dat er geen In 2024 vonden er 1.036.179 consultaties en ambulante kinesitherapiesessies plaats op de verschillende sites van de verweerder, zonder rekening te houden met de opnames in klassieke hospitalisatie (52.526) en in daghospitalisatie (75.932). Deze cijfers staan in het jaarverslag 2024 van de verweerder. 33 34 Artikel 40 van de wet van 22 april 2019 inzake de kwaliteitsvolle praktijkvoering in de gezondheidszorg, BS, 14 mei 2019. Beslissing ten gronde 209/2025 — 19/22 aanwijzingen zijn dat de verweerder zelf kennis zou hebben genomen van de onrechtmatige toegangen indien geen klacht was ingediend. 78. Bovendien heeft de verweerder de overeenkomst met de kinesitherapeut met onmiddellijke ingang beëindigd nadat hij had vastgesteld dat deze op onrechtmatige wijze toegang had verkregen tot het dossier van de klager. Het behoort echter niet tot de bevoegdheid van de Geschillenkamer om zich uit te spreken over de gepastheid van een dergelijke sanctie. In het onderhavige geval kan de Geschillenkamer deze beëindiging van de overeenkomst slechts beschouwen als een afschrikkingsmaatregel ten aanzien van het overige zorgpersoneel van de verweerder, dat niet voorbij kan gaan aan de strengheid waarmee de verweerder elke ongeoorloofde toegang tot gegevens sanctioneert en de versterkte gegevensbeveiliging als gevolg daarvan. 79. Gelet op al het voorgaande is de Geschillenkamer van oordeel dat de verweerder niet heeft kunnen aantonen dat hij alle technische en organisatorische maatregelen heeft getroffen die noodzakelijk zijn om een beveiligingsniveau te waarborgen dat voldoet aan de vereisten van de AVG, aangezien (
4. i)een kinesitherapeut toegang heeft kunnen verkrijgen tot genetische testgegevens betreffende een ongeboren kind die niet noodzakelijk waren voor het verlenen van zorg aan een patiënt, en (
5. ii)deze onrechtmatige toegangen alleen konden worden ontdekt dankzij de klacht van de klagers. 80. De Geschillenkamer houdt er rekening mee dat verschillende zorgverleners toegang moeten kunnen hebben tot patiëntendossiers om kwalitatieve zorg te kunnen verstrekken, desgevallend in noodsituaties. Zij benadrukt evenwel dat extra aandacht moet worden besteed aan het beheer van de toegang tot het EPD. Het is immers moeilijk voorstelbaar dat een kinesitherapeut, die geen arts is, de resultaten van NIPTtests moet raadplegen om zijn zorg te kunnen verlenen. 81. In het kader van deze meervoudige toegangen tot een NIPT-test door een kinesitherapeut is de Geschillenkamer bijgevolg van oordeel dat de verweerder, die onvoldoende maatregelen heeft getroffen inzake het beheer van de toegang tot het EPD en derhalve niet kan aantonen dat de verwerking in overeenstemming is met de AVG, de artikelen 5.1.f), 5.2, 24 en 32 van de AVG heeft geschonden. III. Sanctie 82. Op basis van de voorgaande elementen stelt de Geschillenkamer vast dat de door de verweerder ingevoerde technische en organisatorische maatregelen onvoldoende zijn gezien het risiconiveau van de verwerking voor de rechten en vrijheden van de Beslissing ten gronde 209/2025 — 20/22 betrokkenen. De verweerder heeft derhalve de artikelen 5.1.f), 5.2, 24 en 32 van de AVG geschonden. 83. In het licht van het voorgaande en op grond van de bevoegdheden die haar door de wetgever zijn toegekend, beslist de Geschillenkamer om de verweerder een berisping te geven wegens zijn inbreuk op de artikelen 5.1.f), 5.2, 24 en 32 van de AVG, overeenkomstig artikel 100, § 1, 5°, van de WOG. 84. De Geschillenkamer is van oordeel dat deze sanctie in elk van de gevallen, gelet op alle omstandigheden van het onderhavige geval en overeenkomstig de vereisten van artikel 84 van de AVG, passend is in het licht van de vastgestelde schendingen. 85. De Geschillenkamer houdt immers rekening met de bijzondere omstandigheden van de ziekenhuiscontext, die vereisen dat de toegang tot een medisch dossier niet overmatig wordt afgesloten, zodat op efficiënte wijze interdisciplinaire zorg kan worden verleend. Zij stelt vast dat, ondanks het gebrek aan technische maatregelen die onrechtmatige toegang tot het medisch dossier beperken, talrijke organisatorische maatregelen door de verweerder werden ingevoerd en dat zijn reactie bij kennisname van de verwerking het belang van gegevensbescherming binnen zijn organisatie aantoont. Deze overwegingen rechtvaardigen dat geen geldelijke sanctie wordt opgelegd. 86. Niettemin is het, gelet op de hierboven uiteengezette elementen, zoals de hoeveelheid door de verweerder verwerkte gegevens en de gevoeligheid ervan, absoluut noodzakelijk dat de verweerder over voldoende maatregelen beschikt om de beveiliging van zijn verwerking overeenkomstig de AVG te waarborgen en dat de Geschillenkamer beslist hem een berisping te geven met betrekking tot de artikelen 5.1.f), 5.2, 24 en 32 van de AVG. IV. Best practices 87. De Geschillenkamer wenst enkele voorbeelden van best practices te geven die de verweerder kunnen helpen zijn interne processen te versterken en het aantal herhalingen van soortgelijke incidenten te verminderen. De Geschillenkamer is zich ervan bewust dat de invoering van bepaalde voorgestelde maatregelen de medewerking vereist van de verwerker van de verweerder en moedigt deze dan ook ten zeerste aan om met de verweerder samen te werken teneinde de conformiteit van zijn software met de AVG te verbeteren. 88. In de eerste plaats merkt de Geschillenkamer op dat meer transparantie tegenover patiënten met betrekking tot de verwerking van de in hun EPD opgenomen gegevens essentieel lijkt, gelet op de bijzondere gevoeligheid van deze informatie. De Geschillenkamer beveelt aan om bijvoorbeeld in de privacyverklaring een duidelijke en Beslissing ten gronde 209/2025 — 21/22 gedetailleerde beschrijving op te nemen van de wijze waarop de toegang tot de gegevens in het EPD wordt beheerd, evenals de specifieke mogelijkheid om de toegangslogbestanden op te vragen. Een dergelijke aanpak zou bijdragen tot het versterken van het vertrouwen van de patiënten en het mogelijk maken te voldoen aan de transparantievereisten van de AVG. 89. In de tweede plaats moet bijzondere aandacht worden besteed aan de afbakening van wie toegang krijgt tot welke soorten gegevens in het EPD. De eHealth-toegangsmatrix is een goed voorbeeld van hoe fijnmazig toegangsrechten kunnen worden ingesteld. Door enkel toegang te verlenen tot bepaalde soorten gegevens in het EPD, afhankelijk van wat elke zorgverlener nodig heeft om zijn zorg te kunnen verstrekken, zou een bijkomende technische barrière worden gecreëerd tegen onrechtmatige raadplegingen van gegevens. 90. Dit sluit echter niet uit dat een mechanisme kan worden ingevoerd waarmee, indien nodig, kan worden afgeweken van de vooraf bepaalde toegangsrechten volgens het “Break the Glass”-principe. In dat kader kan een gezondheidszorgbeoefenaar die standaard geen toestemming heeft om bepaalde gegevens te raadplegen, daar toch toegang toe krijgen mits hij zijn verzoek uitdrukkelijk motiveert. De verplichting om een motivering te geven en de systematische registratie van logbestanden van dergelijke uitzonderlijke toegangen versterken de traceerbaarheid en dragen bij tot het beperken van het risico op ongeoorloofde toegang. 91. Ten slotte is het ook een best practice om willekeurige controles van logbestanden uit te voeren. Door de toegangslogbestanden te analyseren, kan niet alleen abnormaal of niet-conform gedrag worden opgespoord, maar kunnen ook eventuele organisatorische of technische tekortkomingen worden geïdentificeerd. Een proces van periodieke controle, gekoppeld aan een escalatieprocedure in geval van een incident, zou de algemene beveiliging van het systeem versterken en onrechtmatige toegang helpen voorkomen.