Datalek in de zorg: wat moet je nu doen?

Beperk het incident en bescherm bewijs

Wijs één incidentcoördinator aan en schakel de betrokken zorgprofessional, ICT en privacyfunctie in. Leg het ontdekmoment, getroffen systemen, soorten gegevens, vermoedelijke ontvangers en eerste maatregelen vast. Kies maatregelen die het lek stoppen zonder onnodig behandelprocessen of technisch bewijs te beschadigen.

Bij een verkeerde ontvanger kan een verzoek om verwijdering met bevestiging de risico-inschatting ondersteunen. Het terugroepen van een e-mail bewijst op zichzelf niet dat niemand de gegevens heeft gezien. De AP adviseert bij complexe aanvallen zo nodig forensische expertise in te schakelen.

Bepaal wanneer de meldtermijn begon

Volgens de EDPB is een organisatie op de hoogte wanneer zij met een redelijke mate van zekerheid weet dat een beveiligingsincident persoonsgegevens heeft geraakt. Een eerste onderzoek mag duidelijkheid geven, maar moet voortvarend starten. Wacht niet op een volledig forensisch rapport of een bestuursvergadering om de termijn te laten lopen.

Komt de melding van een leverancier die als verwerker optreedt, laat dan direct de bekende feiten en vervolgmomenten aanleveren. De verwerker moet de verantwoordelijke organisatie zonder onnodige vertraging informeren. Houd zelf de tijdlijn en besluitvorming bij: de leverancier neemt de verantwoordelijkheid voor uw AVG-melding niet over.

Maak twee afzonderlijke meldbesluiten

Een melding aan de AP is vereist, tenzij risico voor de rechten en vrijheden van personen onwaarschijnlijk is. Informeren van patiënten of cliënten is in beginsel vereist bij waarschijnlijk hoog risico; de wettelijke uitzonderingen vragen een afzonderlijke beoordeling. Een medische gegevensset maakt de afweging serieus, maar vervangt de beoordeling van het concrete incident niet.

Beoordeel wat iemand kan overkomen door verlies, misbruik of ontbrekende informatie. Denk ook aan noodzakelijke zorg die door onbeschikbare gegevens vertraging oploopt. De EDPB noemt tijdelijke onbeschikbaarheid van kritieke medische gegevens uitdrukkelijk als een situatie die risico voor patiënten kan opleveren.

Meld tijdig, vul aan en leg de opvolging vast

Als melding nodig is terwijl onderzoek nog loopt, meldt u eerst de bekende informatie en vult u die later aan. De AP bevestigt dat een eerste melding binnen de termijn kan worden gevolgd door een vervolgmelding. Communiceer naar patiënten begrijpelijk over het incident en praktische stappen, via een passende contactroute.

Registreer feiten, gevolgen, maatregelen en de redenen voor de meldbesluiten in het datalekregister. Dit geldt ook bij niet melden. Sluit af met een concrete eigenaar en een controle van de verbeteractie, bijvoorbeeld of gewijzigde verzendinstellingen of autorisaties in de praktijk werken.

Draag een lopend incident veilig over aan de volgende dienst

Een incident dat aan het einde van een werkdag wordt ontdekt, loopt door terwijl medewerkers wisselen. Maak daarom één overdrachtsnotitie voor de opvolgende coördinator. Vermeld het tijdstip van kennisname, de uiterste relevante beslismomenten, bevestigde feiten, onzekerheden en reeds genomen maatregelen. Geef ieder open onderzoekspunt een eigenaar en terugkoppelmoment. Zo hoeft een nieuwe dienst de tijdlijn niet uit losse e-mails te reconstrueren.

Houd patiëntveiligheid en privacybesluitvorming zichtbaar naast elkaar. Wie controleert bijvoorbeeld of de juiste behandelaar nog over noodzakelijke informatie beschikt? Wie bewaakt een eventuele AP-melding? En wie kan de patiënt passend informeren? Een technische herstelmelding sluit deze vragen niet automatisch af. Leg ook vast wanneer nieuwe informatie reden is om een eerder meldbesluit opnieuw te bekijken.

Gebruik een afgeschermde overdracht en verwijs naar het incidentnummer; kopieer geen complete patiëntdossiers naar algemene mailboxen. Laat de opvolger de taakovername bevestigen. De PO kan het overzicht coördineren en de FG onafhankelijk adviseren, terwijl de organisatie zorgt dat bevoegde beslissers tijdig beschikbaar blijven.