ECLI:NL:RBDHA:2021:3090, Rechtbank Den Haag, 31-03-2021, AWB - 20 _ 1516 — RBDHA:2021:3090

Samenvatting

De Autoriteit Persoonsgegevens heeft aan een ziekenhuis een bestuurlijke boete van € 460.000,- en een last onder dwangsom opgelegd. Het ziekenhuis had volgens de Autoriteit Persoonsgegevens artikel 32 van de Algemene Verordening gegevensbescherming (AVG) overtreden, omdat er niet genoeg maatregelen waren genomen om de persoonsgegevens van patiënten te beschermen. Zo had het ziekenhuis de zogenoemde tweefactor authenticatie moeten invoeren en heeft het ziekenhuis de logging van de toegang tot de patiëntendossiers niet regelmatig gecontroleerd. De rechtbank is van oordeel dat de Autoriteit Persoonsgegevens een boete en een last onder dwangsom mocht opleggen. Wel was de boete volgens de rechtbank te hoog. Het basisboetebedrag van € 310.000,- acht de rechtbank op zichzelf niet onredelijk. De rechtbank is het ook eens met de Autoriteit Persoonsgegevens dat het boetebedrag verhoogd mocht worden vanwege de aard, ernst en duur van de overtreding en de opzettelijke/nalatige aard van de overtreding. Met deze twee boeteverhogende omstandigheden (tweemaal € 75.000,-) was het totale boetebedrag vastgesteld op € 460.000,-. De rechtbank vindt dit bedrag echter in dit geval te hoog en ziet aanleiding de boete te matigen tot € 350.000,-. De rechtbank vindt het namelijk van belang dat het ziekenhuis wel een aantal maatregelen heeft genomen om te voorkomen dat persoonsgegevens in het digitale patiëntendossier worden ingezien door onbevoegde medewerkers. Ook heeft het ziekenhuis nog tijdens de bezwaarfase alsnog de tweefactor authenticatie ingevoerd en de logging geïntensiveerd. De door het ziekenhuis getroffen maatregelen tonen volgens de rechtbank in ieder geval de bereidwilligheid om met de problematiek in de organisatie aan de slag te gaan en nuanceren de nalatigheid die het ziekenhuis wordt verweten.