Datalek in de zorg: wat moet u direct doen?

Een datalek in de zorg is zelden een spectaculaire hack. Het is een brief naar het verkeerde adres, een verloren telefoon met praktijkmail, een e-mail met alle adressen in de cc, een gestolen laptop, of een medewerker die in een dossier keek zonder behandelrelatie. Omdat het om gezondheidsgegevens gaat, wegen die situaties zwaarder dan in veel andere sectoren.

Hieronder staat het stappenplan in de volgorde waarin u het op zo'n dag daadwerkelijk doorloopt.

Stap 1 — Stel het incident veilig

Beperk eerst de schade. Dit gaat vóór alle papierwerk, en kost meestal de eerste minuten tot uren.

• Trek toegang in van een account dat mogelijk is misbruikt, of wijzig het wachtwoord.
• Wis een verloren of gestolen apparaat op afstand, als dat kan.
• Vraag een verkeerde ontvanger de e-mail te verwijderen en dat te bevestigen.
• Haal een onbedoeld gedeeld document offline.
• Betrek uw ICT- of EPD-leverancier als het om hun systeem gaat.

Let op dat u geen sporen wist die u later nodig heeft. Logbestanden, de originele mail of de melding van een medewerker zijn straks uw bewijs van wat er is gebeurd.

Stap 2 — Leg de feiten vast

Noteer meteen wat u weet, ook als het beeld nog onvolledig is. Het exacte moment van ontdekking is daarbij het belangrijkste gegeven: daar begint de klok.

• Wanneer is het gebeurd, en wanneer ontdekte u het?
• Wat is er precies gebeurd, en hoe kwam het aan het licht?
• Welke gegevens zijn betrokken — namen, adressen, BSN, medische gegevens?
• Hoeveel personen zijn betrokken, en om wie gaat het?
• Wie heeft de gegevens kunnen inzien?
• Welke maatregelen heeft u al genomen?

Weet u iets nog niet, schrijf dan op dát u het niet weet en wanneer u het denkt te weten. Een melding met open punten is beter dan een te late melding: aanvullen mag.

Stap 3 — Beoordeel het risico voor de betrokkenen

Nu volgt de kern van de afweging. De vraag is niet hoe vervelend het incident voor uw organisatie is, maar welk risico het oplevert voor de mensen van wie de gegevens zijn.

Weeg mee:

• Aard van de gegevens. Gezondheidsgegevens zijn bijzondere persoonsgegevens; een lek daarvan is al snel ingrijpend. Een BSN verhoogt het risico op identiteitsfraude.
• Omvang. Eén dossier of het hele bestand maakt verschil, al kan één dossier bij gevoelige zorg zwaar wegen.
• Kwetsbaarheid van de betrokkenen. Denk aan jeugdzorg, GGZ of mensen in een beschermde situatie.
• Wie de gegevens heeft gekregen. Een collega-zorgverlener met geheimhoudingsplicht is iets anders dan een onbekende ontvanger.
• Beveiliging van de gegevens. Was het apparaat versleuteld en het wachtwoord onbekend, dan is het risico wezenlijk kleiner.
• Mogelijke gevolgen. Stigmatisering, financiële schade, fraude of verlies van vertrouwen in de zorgrelatie.

Deze afweging maakt u het liefst niet alleen. Betrek uw privacycontactpersoon of functionaris gegevensbescherming, en leg vast wie heeft meebeslist.

Stap 4 — Bepaal of een melding bij de AP nodig is

Melden bij de AP is aan de orde wanneer het waarschijnlijk is dat het datalek een risico oplevert voor de rechten en vrijheden van de betrokkenen. Is dat onwaarschijnlijk, dan hoeft u niet te melden — maar u moet dat oordeel wel kunnen onderbouwen.

Ter illustratie, met de nadrukkelijke kanttekening dat elk geval op zichzelf moet worden beoordeeld:

Twijfelt u serieus, dan is melden doorgaans de veiliger keuze. De AP biedt op haar website uitleg en een meldformulier; de actuele criteria vindt u daar.

De termijn van 72 uur

De 72 uur beginnen te lopen op het moment dat u van het datalek op de hoogte raakt — niet op het moment dat het lek ontstond, en niet wanneer uw onderzoek klaar is. Weekend en feestdagen tellen mee.

• Loopt uw onderzoek nog? Meld dan alvast met de informatie die u heeft en vul later aan.
• Bent u te laat? Meld alsnog, met vermelding van de reden van de vertraging. Niet melden is een groter probleem dan te laat melden.
• Komt het lek bij een leverancier vandaan? Die moet u als verwerker zonder onnodige vertraging informeren; úw termijn begint zodra u het weet. Leg in de verwerkersovereenkomst vast dat zij dit direct doen.

Stap 5 — Informeer de betrokkenen indien nodig

Naast de melding bij de AP bestaat een aparte plicht om de betrokkenen zelf te informeren: wanneer het datalek waarschijnlijk een hoog risico voor hen oplevert. Dat is een zwaarder criterium dan voor de melding aan de AP. Het kan dus voorkomen dat u wel meldt bij de AP, maar de betrokkenen niet hoeft te informeren.

Informeert u wel, doe dat dan in gewone taal en vermeld ten minste:

• wat er is gebeurd en welke gegevens het betreft;
• wat de mogelijke gevolgen voor hen zijn;
• wat u eraan heeft gedaan en nog doet;
• wat zij zelf kunnen doen, bijvoorbeeld alert zijn op phishing;
• bij wie zij terechtkunnen met vragen.

Onderschat de zorgrelatie hier niet: patiënten en cliënten nemen een eerlijke, snelle mededeling doorgaans beter op dan een bericht dat maanden later via een omweg komt.

Stap 6 — Leg het vast in uw interne datalekregister

Dit is de stap die het vaakst wordt overgeslagen, en tegelijk de stap waar een toezichthouder als eerste naar vraagt. Alle datalekken moeten intern worden gedocumenteerd — ook de kleine, ook de niet-gemelde.

Leg per incident vast:

• datum en tijd van het incident en van de ontdekking;
• de feiten: wat, welke gegevens, hoeveel betrokkenen;
• de risicoafweging en wie daarbij betrokken was;
• het besluit: wel of niet melden bij de AP, met motivering;
• of en hoe betrokkenen zijn geïnformeerd;
• de genomen en geplande maatregelen.

Een gemotiveerd besluit om níét te melden is een volwaardige uitkomst — maar alleen als het is vastgelegd. Zonder dossier is achteraf niet te onderscheiden of u een afweging heeft gemaakt of het incident bent vergeten.

Stap 7 — Volg op en verbeter

Een incident is de goedkoopste les die u kunt krijgen. Sluit het daarom pas af als deze vragen zijn beantwoord:

• Wat maakte dit mogelijk — techniek, proces of werkdruk?
• Welke maatregel voorkomt herhaling, en wie voert die uit vóór wanneer?
• Moet dit terug in uw risicoregister? De NEN 7510-checklistlaat zien hoe risico's en maatregelen aan elkaar hangen.
• Moeten collega's iets weten, zonder de betrokken medewerker aan de schandpaal?

Dat laatste is belangrijker dan het klinkt. In organisaties waar melden gevolgen heeft voor de melder, worden incidenten stiller — en dan verliest u precies het zicht dat u nodig heeft.

Vier veelgemaakte fouten

1. Alles melden "voor de zekerheid". Melden zonder afweging zegt niets over uw beheersing. De afweging is het punt.
2. Wachten tot het onderzoek klaar is. De termijn wacht niet; meld met wat u heeft.
3. Alleen melden, niet vastleggen. Het interne register is een zelfstandige verplichting.
4. Kleine incidenten niet registreren. Juist het patroon van kleine incidenten laat zien waar uw echte risico zit.

Wilt u weten hoe u een inzage- of privacyverzoek van een patiënt afhandelt? Dat leest u in een inzage- of privacyverzoek correct afhandelen. Hoe deze registraties in de praktijk samenkomen, ziet u bij de modules van ComplyFort.