Datalek melden in de zorg: wat moet u als huisarts of apotheek doen?

Wat is een datalek in de zorg?

Een datalek is een beveiligingsincident waarbij persoonsgegevens verloren gaan of bij iemand komen die ze niet mag zien. Het gaat dus niet alleen om hackers. Ook een mail aan de verkeerde patiënt is een datalek.

• Een mail met een verwijsbrief aan de verkeerde ontvanger.
• Een gestolen of kwijtgeraakte laptop of telefoon zonder versleuteling.
• Een medewerker die via phishing zijn inloggegevens heeft afgegeven.
• Ransomware die bestanden met patiëntgegevens versleutelt.
• Een collega die zonder reden een dossier inziet.

Waarom weegt datalek melden in de zorg extra zwaar?

Patiënten vertellen u dingen die ze niemand anders vertellen. Dat vertrouwen hangt af van hoe u met hun gegevens omgaat. Een datalek raakt dus niet alleen de wet, maar ook de relatie met de patiënt.

Daarom is open en snel handelen belangrijk. Een praktijk die een datalek goed afhandelt, houdt het vertrouwen van patiënten vaak beter vast dan een praktijk die het stil probeert te houden.

Wanneer moet u een datalek melden?

Volgens de AVG meldt u een datalek bij de Autoriteit Persoonsgegevens (AP), tenzij het waarschijnlijk geen risico oplevert voor de betrokkenen. Dat beoordeelt u zelf, op basis van een risico-inschatting.

Gezondheidsgegevens zijn bijzondere persoonsgegevens. Een lek daarvan weegt daarom zwaar. Twijfelt u, maak de risico-inschatting dan samen met uw privacyadviseur of uw ICT-partner.

Het risico hangt af van de situatie. Een brief die bij een collega-zorgverlener in de behandelrelatie terechtkomt, weegt anders dan een uitslag bij een onbekende. Ook het aantal patiënten en het soort gegevens tellen mee.

Meldt u niet of te laat, terwijl het wel had gemoeten, dan kan de AP een boete opleggen. Leg daarom altijd vast waarom u wel of niet meldt.

Binnen 72 uur bij de AP

U meldt een datalek binnen 72 uur nadat u het ontdekt. Dat doet u via het meldformulier op de website van de AP. Heeft u nog niet alle informatie, meld dan toch op tijd en vul de melding later aan.

Wat staat er in een melding bij de AP?

In de melding beschrijft u wat er is gebeurd. U noemt om welke gegevens het gaat en om hoeveel patiënten ongeveer. U beschrijft de mogelijke gevolgen en welke maatregelen u heeft genomen. Ook geeft u een contactpersoon op.

Patiënten informeren bij een hoog risico

Levert het datalek waarschijnlijk een hoog risico op voor de patiënten, dan informeert u hen ook zelf. Doe dat zo snel mogelijk. Vertel wat er is gebeurd en wat zij kunnen doen om de schade te beperken.

Wat vertelt u de patiënt?

Leg in gewone taal uit wat er is gebeurd en welke gegevens het betreft. Beschrijf de mogelijke gevolgen en wat u heeft gedaan om de schade te beperken. Geef aan bij wie de patiënt terechtkan met vragen.

Bel een patiënt bij gevoelige gegevens liever op dan dat u een brief stuurt. Zo kunt u vragen meteen beantwoorden.

Datalek melden in de zorg: de stappen

1. Overzicht krijgen. Wat is er gebeurd, om welke gegevens gaat het en om hoeveel patiënten?
2. Schade beperken. Blokkeer een account, haal een computer van het netwerk of vraag een ontvanger een mail te verwijderen.
3. Risico inschatten. Bepaal of u moet melden bij de AP en of u patiënten moet informeren.
4. Melden. Meld zo nodig binnen 72 uur bij de AP en informeer patiënten bij een hoog risico.
5. Registreren. Zet elk datalek in uw interne datalekregister, ook als u het niet meldt.

Wat zet u in het datalekregister?

De AVG verplicht u om een datalekregister bij te houden. Daarin staan alle datalekken, ook de kleine. Leg per datalek vast wat er gebeurde, wat de gevolgen waren en welke maatregelen u nam.

Noteer ook of u het datalek heeft gemeld en waarom wel of niet. De AP heeft een voorbeeld van een datalekregister op haar website. Dat is een goed startpunt.

Wat doet uw ICT-partner bij een datalek?

Een ICT-partner die uw systemen beheert, is een verwerker. Ontdekt die een datalek, dan moet hij u dat zonder onredelijke vertraging melden. De melding bij de AP blijft uw verantwoordelijkheid als zorgaanbieder.

Leg in de verwerkersovereenkomst vast hoe snel en op welke manier uw ICT-partner u informeert. Bij een technisch datalek helpt uw ICT-partner ook met de vraag wat er is gebeurd en of het lek dicht is.

Welke fouten ziet u bij datalekken in de praktijk?

• Pas na dagen melden, omdat niemand wist wie verantwoordelijk was.
• Alleen het wachtwoord wijzigen na phishing, terwijl de aanvaller nog toegang heeft.
• Een datalek niet registreren, omdat het niet gemeld hoefde te worden.
• Geen verwerkersovereenkomst met de ICT-partner, waardoor afspraken over melden ontbreken.

Al deze fouten zijn te voorkomen met een korte procedure die iedereen kent. Spreek af wie de eerste melding binnen de praktijk ontvangt en wie de beoordeling doet.

Hoe voorkomt u een datalek?

• Laat iedereen inloggen met een eigen account en in twee stappen.
• Versleutel laptops en telefoons.
• Mail patiëntgegevens alleen via een beveiligde mailoplossing.
• Train uw team in het herkennen van phishing. Lees hoe u omgaat met phishing.
• Werk volgens NEN 7510 en leg vast wie welk dossier inziet.

Checklist: bent u voorbereid op een datalek?

• Iedereen weet bij wie hij een datalek intern meldt.
• Er is een datalekregister.
• U weet hoe u binnen 72 uur bij de AP meldt.
• Met uw ICT-partner en leveranciers zijn verwerkersovereenkomsten afgesloten.
• Er is een voorbeeldtekst om patiënten te informeren.

Hoe Westers helpt

Met MijnVeiligePraktijk richt Westers de beveiliging van uw praktijk in volgens NEN 7510 en de AVG, met 24/7 monitoring. Gaat er toch iets mis, dan handelen we direct en helpen we het lek te dichten.

Westers regelt al ruim 20 jaar de ICT van huisartsen, apotheken en GGZ. Lees ook wat u doet bij een HIS-storing.