Door Bram van de Berg
Een uitslag, een verwijsbrief, een vraag aan een collega: veel daarvan gaat per e-mail. Dat mag, maar niet zomaar. Medische gegevens mogen alleen per e-mail als die voldoende beveiligd is.
Mag je patiëntgegevens mailen?
Het is niet verboden. De Autoriteit Persoonsgegevens zegt wel dat er genoeg veiliger manieren zijn om met andere zorgaanbieders uit te wisselen. Wie toch voor e-mail kiest, moet dat kunnen verantwoorden en veilige e-mail gebruiken van een leverancier waarmee een contract is gesloten.
Artsenfederatie KNMG zegt het praktischer. Er is geen aparte wet over het mailen van medische gegevens. Het mag alleen als het voldoende beveiligd is, bijvoorbeeld zo:
- een versleuteld document, met het wachtwoord via een ander kanaal, zoals sms;
- een beveiligde e-mailtoepassing;
- een portaal waar de ontvanger in twee stappen inlogt.
Ga altijd eerst na of de ontvanger de gegevens wel mag krijgen. En bedenk dat een e-mailadres zelf al iets kan verraden.
Wat is NTA 7516?
NTA 7516 is een afspraak uit 2019, uitgegeven door normalisatie-instituut NEN, met eisen voor veilige e-mail en chat waarmee zorgverleners onderling en met patiënten gezondheidsgegevens uitwisselen. NTA staat voor Nederlandse Technische Afspraak. De eisen gaan over beschikbaarheid, vertrouwelijkheid en de juistheid van het bericht, over de vraag of diensten van verschillende leveranciers met elkaar kunnen mailen, en over gebruiksgemak.
Is NTA 7516 verplicht?
Nog niet. NEN noemt de afspraak zelf ‘(nog) niet verplicht’. De huisartsenvereniging zegt hetzelfde: het is een richtlijn uit de praktijk, geen wet. De plicht om gegevens goed te beveiligen is er wel.
Het keurmerk bestaat niet meer
Dit gaat vaak mis. In 2020 kwam er een certificatieschema, met een keurmerk en een register van leveranciers. Dat schema is vervallen: op 15 mei 2022 zijn alle certificaten van leveranciers ingetrokken. De afspraak zelf geldt nog.
Er is op dit moment dus geen officieel register van gecertificeerde veilige-maildiensten. Zegt een leverancier ‘NTA 7516-gecertificeerd’ te zijn, vraag dan wat daarmee wordt bedoeld.
Er komt een echte norm: NEN 7516
Op verzoek van het ministerie van VWS zet NEN de afspraak om in een volwaardige norm, NEN 7516, met een deel over e-mail en een deel over chat. Dat is in 2023 aangekondigd. De norm moet de basis worden voor een nieuw certificatieschema en kan later onder de wet verplicht worden gesteld.
Tot die norm er is, blijft NTA 7516 de maatstaf.
En WhatsApp?
Niet verboden, wel onverstandig. Volgens de KNMG zijn veiligheid en vertrouwelijkheid bij een dienst als WhatsApp niet te garanderen. Gebruik het alleen voor gegevens die voor de ontvanger niet tot een patiënt te herleiden zijn. Bij een foto is dat lastig. Het advies is een app die voor zorgverleners is gemaakt.
Wat moet een praktijk regelen?
- Een dienst voor veilige e-mail, met een contract met de leverancier.
- Afspraken in de praktijk. Wie mag wat versturen, en wie beheert de accounts? Dat blijft de eigen verantwoordelijkheid, ook met een goede leverancier.
- Vindbaar zijn. Zet het veilige e-mailadres van de praktijk in het landelijke zorgadresboek, zodat anderen weten waar ze het heen moeten sturen.
- De afspraak lezen. NTA 7516 is gratis in te zien bij NEN Connect.