Kennisbank
Ontdek je een datalek, dan heb je onder de AVG 72 uur om het bij de Autoriteit Persoonsgegevens te melden, tenzij een risico voor patiënten onwaarschijnlijk is. De volgorde is nuchter: eerst het lek dichten, dan de omvang vastleggen, dan de melding afwegen. Elk datalek gaat sowieso in je datalekregister, ook de lekken die je niet meldt.
Een datalek in je praktijk is vervelend, maar geen ramp zolang je weet wat je moet doen. De wet geeft je een duidelijke volgorde en een duidelijke termijn. Onder de AVG geldt: melden bij de Autoriteit Persoonsgegevens (AP) binnen 72 uur na ontdekking, tenzij het onwaarschijnlijk is dat het lek een risico oplevert voor je patiënten. De praktische volgorde in de eerste uren is: eerst dichten, dan documenteren, dan de melding afwegen. Dit artikel loopt die stappen met je door.
Een datalek is een inbreuk op de beveiliging die per ongeluk of onrechtmatig leidt tot vernietiging, verlies, wijziging, ongeoorloofde verstrekking van of toegang tot persoonsgegevens. Het gaat dus om meer dan een hack. In de zorg zie je deze situaties het vaakst:
Hoe sneller je handelt, hoe kleiner de impact. Werk in vier stappen en houd de volgorde aan:
Het uitgangspunt is dat je een datalek meldt. Je hebt daarvoor maximaal 72 uur na ontdekking. Belangrijk: de klok begint te lopen zodra iemand in de praktijk redelijkerwijs een datalek kan vermoeden, niet pas wanneer je het volledig hebt onderzocht of wanneer de praktijkhouder is ingelicht. Die 72 uur zijn kalenderuren, dus weekenden en feestdagen tellen mee. Lukt het niet op tijd, dan meld je alsnog en licht je de vertraging toe.
Melden hoeft niet als het onwaarschijnlijk is dat het lek een risico oplevert voor de rechten en vrijheden van je patiënten. Een bekend voorbeeld in de zorg is een lek naar een betrouwbare ontvanger met een wettelijk beroepsgeheim, bijvoorbeeld een andere arts, die bevestigt de gegevens te hebben vernietigd. Twijfel je? Doe dan een voorlopige melding. Blijkt het loos alarm, dan trek je die weer in. De melding doe je digitaal via het meldloket op de website van de AP. Bewaar een pdf of uitdraai voor je administratie.
Niet elk gemeld datalek hoef je ook aan patiënten te melden; dat is een aparte afweging. Je informeert de betrokkenen wanneer het lek waarschijnlijk een hoog risico inhoudt voor hun rechten en vrijheden. Denk aan diefstal van medische gegevens of BSN, of gegevens die kunnen leiden tot stigmatisering of identiteitsfraude. Bij gelekte gegevens van gevoelige aard kun je er in de regel van uitgaan dat informeren nodig is.
Informeren mag achterwege blijven als de gegevens onbegrijpelijk zijn voor onbevoegden, bijvoorbeeld door sterke versleuteling, als je maatregelen hebt genomen die het hoge risico hebben weggenomen, of als het informeren een onevenredige inspanning zou vergen. Voor patiënten geldt niet de 72-uurstermijn maar onverwijld: zonder onredelijke vertraging, zodra de omvang en impact duidelijk zijn. Leg in begrijpelijke taal uit wat er is gebeurd, wat de gevolgen kunnen zijn, wat jij hebt gedaan en wat de patiënt zelf kan doen.
De AVG verplicht elke praktijk een intern datalekregister bij te houden. Daarin komen alle datalekken, dus ook de kleine kwesties die je niet bij de AP hebt gemeld. Per incident leg je vast:
Heb je patiënten geïnformeerd, neem dan ook de tekst van die brief of e-mail op. Het register is niet alleen een verplichting: je gebruikt het in je jaarlijkse beoordeling om patronen te zien en herhaling te voorkomen.
Als praktijkhouder ben je verwerkingsverantwoordelijke: jij bepaalt doel en middelen van de verwerking en bent wettelijk eindverantwoordelijk voor het tijdig melden bij de AP en de patiënten. Die rol kun je niet doorschuiven. Je EPD-leverancier is verwerker en verwerkt gegevens uitsluitend in jouw opdracht.
Bij een lek in het systeem van de leverancier moet die jou direct informeren, zodat jij de 72-uurstermijn haalt. Voor het volledig invullen van het meldformulier heb je vaak informatie van je verwerker nodig. Leg deze afspraken, over beveiliging, geheimhouding en directe melding, vast in een verwerkersovereenkomst. Zonder die overeenkomst loop je zowel onder de AVG als onder NEN 7510 een compliancerisico.
NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg. De norm vraagt om een gestructureerd managementsysteem (ISMS) dat risico's identificeert en aanpakt, met maatregelen gebaseerd op beschikbaarheid, integriteit en vertrouwelijkheid (BIV). Een vaste procedure voor het herkennen en melden van datalekken hoort daarbij.
De aanvullende norm NEN 7513 gaat over logging: het stelselmatig vastleggen van wie wanneer welk dossier heeft ingezien. Zonder betrouwbare logging kun je achteraf niet reconstrueren of er een lek is geweest en welke gegevens zijn geraadpleegd. Goede logging maakt je incidentonderzoek dus niet alleen mogelijk, maar ook geloofwaardig richting de toezichthouder.
De AP mag bij overtreding van de AVG direct een boete opleggen, tot maximaal 20 miljoen euro of 4 procent van de wereldwijde jaaromzet. In de praktijk gaat het meestal om lagere bedragen, maar de les is helder. Een school kreeg een boete van 50.000 euro omdat een datalek met gestolen gegevens onterecht als een intern probleem werd afgedaan en niet was gemeld. De gevolgen van niet melden zijn vrijwel altijd ernstiger dan die van een melding die achteraf niet nodig bleek.
Voor de zorg komt daar de Inspectie Gezondheidszorg en Jeugd (IGJ) bij. Die gebruikt NEN 7510 als toetsingskader en kijkt bij een incident of je aantoonbaar volgens de norm werkt. Ontbreken die waarborgen, dan kan dat leiden tot handhaving. Kort gezegd: een nuchtere, vastgelegde aanpak beschermt je patiënten en jezelf.