EPD-privacy: geen externe toegang zonder toestemming; wel inzage in inbasket- en DIM-aantekeningen

Rb. Noord-Nederland 17 september 2025, IT 4977; ECLI:NL:RBNNE:2025:3761 ([eiser] tegen UMCG). De rechtbank behandelt de vorderingen van de vader ([eiser]) tegen het UMCG over inzage/afgifte van het volledige patiëntendossier en logging van zijn in 2021 overleden zoon. Hij vordert (i) een verklaring voor recht dat het UMCG onrechtmatig handelde door een externe deskundige zonder zijn (en de zoon’s) toestemming toegang te geven tot EPD en loggegevens, (ii) primair volledige inzage/afgifte via een door UMCG aan te maken beheerders-account voor zijn partijdeskundige met onbeperkte download/printmogelijkheden (subsidiair: verklaring voor recht dat UMCG tekortschiet/onrechtmatig handelt door geen volledig dossier/logging in te richten, te bewaren of te verstrekken), plus dwangsom en kosten. Het UMCG voert aan dat al (elektronisch) is verstrekt wat moet, dat logging/privacy van medewerkers grenst aan wat verstrekt kan worden, en dat “admin-toegang” geen wettelijke basis heeft. Een poging tot minnelijke regeling (gezamenlijke deskundige met inzage-account) strandt.

De rechtbank past HR 1-12-2023 (ECLI:NL:HR:2023:1682), art. 7:457 BW en art. 88 Wet BIG toe: zonder expliciete, rechtsgeldige toestemming mag een derde geen inzage krijgen; dat geldt ook post mortem. Dat levert hier echter geen onrechtmatige daad jegens [eiser] pro se op, zodat vordering (i) afwijst. Ook de primaire vordering tot admin-toegang wordt afgewezen: geen wettelijke grondslag en risico op toegang tot andere vertrouwelijke gegevens. Als vertegenwoordiger (art. 7:458a lid 1 onder a BW) kan [eiser] wél inzage/afschrift van dossiergegevens claimen; de rechtbank beoordeelt per categorie: toewijsbaar zijn (a) inbasket-berichten die de behandeling/gezondheid betreffen, voor zover die gegevens niet al elders in het dossier staan, en (b) aantekeningen over de DIM-melding (aard/toedracht, tijdstip, namen betrokkenen; art. 10 lid 3 Wkkgz). Niet toewijsbaar (voor zover niet al verstrekt of verwerkt): alle info bij “ontbrekende contactdata” (te ruim), OK-logboeken/OK-rapporten en eerdere versies van klinische notities (inhoud zit in operatieverslag/laatste versie), presentatie complicatiebespreking (beschermd door ‘veilig melden’, art. 9 lid 6 Wkkgz), researchstudies en orderdetails (aanvragen). Het “holtertape-document” had verstrekt moeten worden; UMCG zegt dit alsnog te doen. Dictum: verklaring voor recht dat UMCG onrechtmatig handelde door geen volledig dossier te verstrekken (beperkt tot inbasket-gegevens en DIM-aantekeningen); overige vorderingen afgewezen. Proceskosten: [eiser] € 3.015 (incl. nakosten), uitvoerbaar bij voorraad.

4.2.6.

Uit het vorenstaande moet worden geconcludeerd dat het UMCG heeft gehandeld in strijd met het bepaalde in art. 7:457 lid 1 BW en art. 88 Wet BIG door [onderzoeker] inzage te vertrekken in het medisch dossier van [zoon van eiser] terwijl toestemming van de zijde van de patiënt daarvoor ontbrak. Dat betekent echter niet dat, zoals de vordering inhoudt, het UMCG aldus onrechtmatig heeft gehandeld tegenover [eiser] pro se. De patiëntenrechten waarop hij tegenover het UMCG aanspraak maakt, ontleent [eiser] immers aan die van [zoon van eiser] , die hem daartoe als diens vertegenwoordiger heeft aangewezen. Omdat [eiser] het onrechtmatig karakter van het handelen en nalaten door het UMCG uitsluitend onderbouwt met de schending door het UMCG van de patiëntrechten van [zoon van eiser] , levert dat handelen en nalaten ten aanzien van [eiser] zelf geen onrechtmatige daad op. Daarom zal de vordering onder I. worden afgewezen.

4.7.2.

Inbasketberichten voor zover deze betrekking hebben op de behandeling of gezondheid van [zoon van eiser] .

Het UMCG betwist niet dat zij [eiser] geen inbasketberichten die betrekking hebben op de behandeling of gezondheid van [zoon van eiser] heeft verstrekt. Het stelt dat inbasketberichten deel uitmaken van het interne communicatiesysteem van het UMCG en dat interne communicatie geen deel uitmaakt van het medisch dossier. De rechtbank verwerpt dat standpunt. Het begrip ‘patiëntendossier’ is een verzamelbegrip waaronder alle door hulpverleners gehanteerde vormen van registratie van patiëntgegevens worden begrepen. Het hoeft dus niet zo te zijn dat sprake is van één fysiek dossier dat zich op één locatie bevindt.3 Of bepaalde gegevens of stukken tot het medische dossier behoren is niet afhankelijk van de wijze waarop zij zijn opgeslagen. Als gegevens voldoen aan de hiervoor onder 4.6.4. weergegeven maatstaf, is het UMCG in beginsel - rekening houdend met de privacy van derden, waaronder zijn medewerkers - gehouden om die aan [eiser] te verstrekken. Daarbij geldt dat de dossierplicht van art. 7:454 lid 1 BW het UMCG niet verplicht om dezelfde gegevens meerdere malen in het medisch dossier te bewaren. Omdat het UMCG categorisch nalaat inbasketberichten die betrekking hebben op de gezondheid of behandeling van [zoon van eiser] te delen, is dit onderdeel van de vordering toewijsbaar, echter enkel voor zover dit gegevens betreffen die niet ook al op een andere wijze in het patiëntendossier zijn verwerkt.