Beperk het incident en bescherm bewijs
Wijs één incidentcoördinator aan en schakel de betrokken zorgprofessional, ICT en privacyfunctie in. Leg het ontdekmoment, getroffen systemen, soorten gegevens, vermoedelijke ontvangers en eerste maatregelen vast. Kies maatregelen die het lek stoppen zonder onnodig behandelprocessen of technisch bewijs te beschadigen.
Lees de toelichting
Bij een verkeerde ontvanger kan een verzoek om verwijdering met bevestiging de risico-inschatting ondersteunen. Het terugroepen van een e-mail bewijst op zichzelf niet dat niemand de gegevens heeft gezien. De AP adviseert bij complexe aanvallen zo nodig forensische expertise in te schakelen.
Bepaal wanneer de meldtermijn begon
Volgens de EDPB is een organisatie op de hoogte wanneer zij met een redelijke mate van zekerheid weet dat een beveiligingsincident persoonsgegevens heeft geraakt. Een eerste onderzoek mag duidelijkheid geven, maar moet voortvarend starten. Wacht niet op een volledig forensisch rapport of een bestuursvergadering om de termijn te laten lopen.
Lees de toelichting
Komt de melding van een leverancier die als verwerker optreedt, laat dan direct de bekende feiten en vervolgmomenten aanleveren. De verwerker moet de verantwoordelijke organisatie zonder onnodige vertraging informeren. Houd zelf de tijdlijn en besluitvorming bij: de leverancier neemt de verantwoordelijkheid voor uw AVG-melding niet over.
Maak twee afzonderlijke meldbesluiten
Een melding aan de AP is vereist, tenzij risico voor de rechten en vrijheden van personen onwaarschijnlijk is. Informeren van patiënten of cliënten is in beginsel vereist bij waarschijnlijk hoog risico; de wettelijke uitzonderingen vragen een afzonderlijke beoordeling. Een medische gegevensset maakt de afweging serieus, maar vervangt de beoordeling van het concrete incident niet.
Lees de toelichting
Beoordeel wat iemand kan overkomen door verlies, misbruik of ontbrekende informatie. Denk ook aan noodzakelijke zorg die door onbeschikbare gegevens vertraging oploopt. De EDPB noemt tijdelijke onbeschikbaarheid van kritieke medische gegevens uitdrukkelijk als een situatie die risico voor patiënten kan opleveren.
Meld tijdig, vul aan en leg de opvolging vast
Als melding nodig is terwijl onderzoek nog loopt, meldt u eerst de bekende informatie en vult u die later aan. De AP bevestigt dat een eerste melding binnen de termijn kan worden gevolgd door een vervolgmelding. Communiceer naar patiënten begrijpelijk over het incident en praktische stappen, via een passende contactroute.
Lees de toelichting
Registreer feiten, gevolgen, maatregelen en de redenen voor de meldbesluiten in het datalekregister. Dit geldt ook bij niet melden. Sluit af met een concrete eigenaar en een controle van de verbeteractie, bijvoorbeeld of gewijzigde verzendinstellingen of autorisaties in de praktijk werken.
Wat moet in ieder geval zijn geregeld?
Bescherm patiënten en beperk het incident
Leg kennisneming, feiten en onzekerheden vast
Beoordeel beschikbaarheid én vertrouwelijkheid
Motiveer AP-melding en patiëntcommunicatie afzonderlijk
Meld op tijd en vul ontbrekende feiten aan
Registreer ieder datalek en controleer verbeteracties
Deze uitleg is algemeen en vervangt geen beoordeling van uw specifieke organisatie, wettelijke positie, verwerking of incident.