Door Bram van de Berg
Bij een datalek denken de meeste mensen aan hackers. In de zorg is de werkelijkheid alledaagser: de meeste meldingen gaan over gegevens die naar de verkeerde ontvanger zijn gestuurd.
Wat is een datalek?
Volgens de Autoriteit Persoonsgegevens (AP) is een datalek bijvoorbeeld:
- persoonsgegevens die naar een verkeerde geadresseerde zijn verstuurd;
- een medewerker die zonder bevoegdheid in een medisch dossier kijkt;
- een verloren usb-stick of laptop met gegevens die niet versleuteld zijn;
- een cyberaanval waarbij persoonsgegevens zijn buitgemaakt;
- gijzelsoftware die gegevens ontoegankelijk maakt.
Er zijn drie soorten, en één incident kan in meer dan één soort vallen:
- Vertrouwelijkheid
- Iemand heeft gegevens gezien of gekregen die daar geen recht op had.
- Integriteit
- Gegevens zijn gewijzigd door iemand die dat niet mocht, of per ongeluk.
- Beschikbaarheid
- De organisatie kan niet meer bij de gegevens, of ze zijn vernietigd.
Wat doe je als het gebeurt?
De AP geeft vijf stappen. Loop ze altijd allemaal door:
- Krijg overzicht. Wat is er gebeurd, wanneer, welke gegevens, van hoeveel mensen?
- Stop het lek en beperk de schade. Schat meteen de risico’s in.
- Bepaal of je moet melden bij de AP. Zo ja, doe dat direct.
- Bepaal of je de betrokkenen moet inlichten. Zo ja, doe dat zo snel mogelijk.
- Leg het vast in je eigen register van datalekken.
Wanneer moet je een datalek melden?
Je meldt een datalek bij de AP, tenzij het niet waarschijnlijk is dat het een risico oplevert voor de mensen om wie het gaat. De betrokkenen zelf licht je in als het lek waarschijnlijk een hoog risico voor hen oplevert.
Dat vraagt om een inschatting. De AP noemt als factoren onder meer de aard van het incident, hoe gevoelig de gegevens zijn en om hoeveel het gaat, en hoe makkelijk iemand eruit te herkennen is. Bij medische dossiers is het volgens de AP duidelijk: daar is het risico er.
Binnen 72 uur
Melden moet binnen 72 uur nadat je er kennis van hebt genomen. Dat moment is niet de eerste vage aanwijzing, maar het punt waarop je redelijk zeker weet dat er persoonsgegevens zijn geraakt.
- Melden kan alleen via het meldformulier op de website van de AP, niet per telefoon, post of e-mail.
- Je kunt een melding later aanvullen, aanpassen of intrekken.
- Op de melding zelf krijg je meestal geen reactie.
Werk je met een leverancier die gegevens voor je verwerkt? Dan kun je die schriftelijk machtigen om namens jou te melden. De zorgaanbieder blijft wel verantwoordelijk voor een melding op tijd.
De betrokkenen inlichten
Moet je patiënten of cliënten inlichten, dan ben je verplicht dat in een duidelijk bericht te doen, afgestemd op wat er is gebeurd. De AP heeft daarvoor acht aanbevelingen met voorbeeldteksten.
Hoe vaak gebeurt het in de zorg?
Vaak. Uit de sectoren gezondheid en welzijn kwamen in 2024 ruim 6.800 meldingen, meer dan uit welke andere sector ook. De AP ziet dat lang niet alle zorgaanbieders hun beveiliging op orde hebben en kondigde eind 2025 steekproeven aan.
Ook meekijken in een dossier is een datalek, en daar zijn boetes voor uitgedeeld:
- Het HagaZiekenhuis in Den Haag kreeg in 2019 een boete van 460.000 euro, later door de rechter verlaagd tot 350.000 euro, omdat dossiers intern onvoldoende waren beveiligd.
- Het OLVG in Amsterdam kreeg in 2021 een boete van 440.000 euro omdat het te weinig deed tegen onbevoegde inzage.
Voorkomen
De AP raadt aan te beginnen met een risicoanalyse: welke gegevens heb je, waar staan ze, en langs welke wegen gaan ze de deur uit? Daar kies je maatregelen bij, en die loop je regelmatig opnieuw na. Voor zorgaanbieders is dat uitgewerkt inNEN 7510.
Omdat de verkeerde ontvanger de meest voorkomende fout is, loont het daar te beginnen: controleer het adres voor je verstuurt, en gebruik voor patiëntgegevens veilige e-mail.