Microsoft 365 in de zorg: hoe zit het met de AVG?

Mag u Microsoft 365 gebruiken in de zorg?

Ja, veel zorgpraktijken doen dat. De AVG verbiedt het niet. Wel bent u als praktijk verantwoordelijk voor de persoonsgegevens die u erin verwerkt. Dat blijft zo, ook als Microsoft de gegevens voor u opslaat.

Wat telt, is hoe u het inricht en waarvoor u het gebruikt. Daar gaat dit artikel over. Het is geen juridisch advies. Twijfelt u, vraag het dan aan uw functionaris gegevensbescherming of een jurist.

Wat vraagt de AVG als u Microsoft 365 gebruikt?

• Een verwerkersovereenkomst. Microsoft verwerkt gegevens voor u. Daarvoor is een verwerkersovereenkomst nodig. Bij Microsoft zit die in de zakelijke voorwaarden. Beheert een ICT-partner uw omgeving, dan sluit u ook met die partner een verwerkersovereenkomst.
• Beveiliging. U neemt passende maatregelen om de gegevens te beschermen. In de zorg is NEN 7510 daarvoor de norm.
• Een inschatting van de risico's. Verwerkt u gezondheidsgegevens op grote schaal, dan kan een DPIA verplicht zijn.
• Uitleg aan patiënten. In uw privacyverklaring staat welke systemen u gebruikt en waarvoor.

Wat staat er in een verwerkersovereenkomst?

In een verwerkersovereenkomst legt u vast wat de verwerker met uw gegevens mag en moet doen. De AVG noemt een aantal vaste onderdelen:

• De verwerker verwerkt de gegevens alleen in opdracht van u.
• Wie met de gegevens werkt, heeft geheimhouding.
• De verwerker beveiligt de gegevens goed.
• De verwerker schakelt alleen andere partijen in met uw toestemming.
• De verwerker helpt u bij een datalek of een vraag van een patiënt.
• Na afloop worden de gegevens teruggegeven of verwijderd.

Moet u een DPIA doen?

Een DPIA is een inschatting van de privacyrisico's van een verwerking. Die is verplicht als een verwerking een hoog risico heeft, bijvoorbeeld bij gezondheidsgegevens op grote schaal.

Of dat voor uw praktijk geldt, hangt af van de omvang. Een gezondheidscentrum of GGZ-instelling met veel patiënten komt daar eerder aan dan een solopraktijk. Ook als het niet verplicht is, helpt een DPIA om de risico's op een rij te zetten.

Waar staan uw gegevens?

Microsoft heeft in februari 2025 de EU Data Boundary afgerond. Daarmee worden gegevens van zakelijke klanten voor onder meer Microsoft 365 opgeslagen en verwerkt binnen de EU en de EFTA-landen.

Microsoft noemt wel uitzonderingen, bijvoorbeeld bij beveiligingsincidenten die een wereldwijde aanpak vragen. Microsoft is bovendien een Amerikaans bedrijf. Weeg dat mee als u de risico's inschat.

Welke instellingen regelt u in Microsoft 365?

• Tweestapsverificatie voor iedereen, met beheerders voorop.
• Persoonlijke accounts, geen gedeelde inlog voor de balie.
• Beperkte rechten: iedereen ziet alleen wat nodig is voor het werk.
• Logging aan, zodat u kunt nagaan wie wat heeft gedaan.
• Een aparte back-up van mail en bestanden.
• Delen buiten de praktijk alleen als het nodig is, en met beveiligde links.
• Beveiligde e-mail als u toch patiëntgegevens moet mailen.

Horen patiëntgegevens in Microsoft 365?

Het dossier hoort in het HIS. Gebruik mail, Teams en OneDrive niet als tweede dossier. Een verwijsbrief of uitslag die u toch in Microsoft 365 bewaart, valt onder dezelfde regels als het dossier.

Zorg dat u weet waar zulke bestanden staan en wie erbij kan. Ruim op wat niet meer nodig is.

Let ook op Teams. Een chatbericht over een patiënt is snel gestuurd, maar blijft daarna bewaard. Spreek in het team af welke informatie wel en niet in een chat hoort, en verwijs voor medische zaken naar het HIS.

Hoe mailt u veilig met patiëntgegevens?

Gewone mail is niet bedoeld voor medische gegevens. Een bericht kan bij de verkeerde ontvanger terechtkomen of onderweg worden meegelezen. Gebruik daarom beveiligde e-mail als u patiëntgegevens moet versturen.

In de zorg is NTA 7516 de norm voor veilig mailen met gezondheidsgegevens. NEN publiceerde die in 2019. Vraag uw leverancier of de beveiligde mail daaraan voldoet.

En Copilot?

Met Copilot doorzoekt en vat AI uw mail en bestanden samen. Daar horen eigen privacyvragen bij, zeker bij gegevens van patiënten. Zet Copilot dus niet zomaar aan. Maak eerst een inschatting van de risico's en spreek af waarvoor uw team het wel en niet gebruikt.

Wat als het toch misgaat?

Wordt een mailbox gehackt of komen patiëntgegevens bij de verkeerde terecht, dan is dat een datalek. Zo'n datalek meldt u binnen 72 uur bij de Autoriteit Persoonsgegevens. Leg ook vast wat er is gebeurd en wat u heeft gedaan.

Wie in de praktijk houdt dit bij?

Privacy is geen eenmalige klus. Wijs daarom iemand aan die de afspraken bijhoudt, bijvoorbeeld de praktijkmanager. Die weet welke overeenkomsten er zijn en wanneer ze opnieuw bekeken moeten worden.

Bekijk de instellingen en afspraken minstens één keer per jaar opnieuw. Microsoft 365 verandert regelmatig, en uw praktijk ook. Denk aan nieuwe medewerkers, een tweede locatie of een nieuwe functie zoals Copilot.

Checklist: Microsoft 365 en de AVG in uw praktijk

• Er is een verwerkersovereenkomst met Microsoft en met uw ICT-partner.
• U heeft de risico's ingeschat, en zo nodig een DPIA gedaan.
• Tweestapsverificatie staat aan voor iedereen.
• Iedereen heeft een persoonlijk account met alleen de rechten die nodig zijn.
• Logging staat aan en er is een aparte back-up.
• Patiëntgegevens staan in het HIS, niet los in mail of Teams.
• Uw privacyverklaring noemt Microsoft 365.

Hoe Westers helpt

Westers regelt al ruim 20 jaar de ICT van huisartsen, apotheken en GGZ, en is zelf NEN 7510- en ISO 27001-gecertificeerd. We richten Microsoft 365 voor zorgpraktijken in volgens NEN 7510. We regelen tweestapsverificatie, rechten, logging en back-ups, en bewaken uw omgeving 24/7.

Lees meer over de cloud en Microsoft 365 of bel ons op 088 - 87 20 200.