Datalekken van patiëntgegevens

Wat doe je wanneer patiëntgegevens betrokken raken bij een datalek? 

Het is altijd belangrijk om een datalek op de juiste manier aan te pakken. Dit is nog belangrijker wanneer een datalek gevoelige gegevens betreft. Gevoelige gegevens houden namelijk een verhoogd risico voor de rechten en vrijheden van betrokkenen in. Voer onderstaande stappen uit wanneer er sprake is van een datalek met patiëntgegevens.

1.  Maak een risicobeoordeling

• De AVG beschouwt gegevens over iemands gezondheid als gevoelige gegevens. Patiëntgegevens vallen dan ook onder de categorie bijzondere persoonsgegevens. Wanneer bijzondere persoonsgegevens betrokken raken bij een datalek, houdt dit een verhoogd risico in. 

• Ga na of je kunt achterhalen bij wie de patiëntgegevens terecht zijn gekomen; patiëntgegevens in handen van een anonieme hacker leveren meestal een hoger risico op dan dezelfde gegevens in handen van iemand die je kunt benaderen. 

• Wanneer een onbevoegde toegang tot de persoonlijke medische informatie van de patiënt krijgt, houdt dit tevens een inbreuk op het medische beroepsgeheim in. Zelfs als de onbevoegde kan worden gevraagd de gegevens te vernietigen, bestaat er een kans dat de inbreuk ernstige gevolgen kan hebben voor het privéleven van de patiënt. 

• Ook wanneer patiëntgegevens per ongeluk bij de verkeerde arts terechtkomen is er sprake van een datalek. Je kunt er echter in zo’n geval vanuit gaan dat de arts zich aan zijn beroepsgeheim zal houden. Er is dan sprake van een laag risico, aangezien de arts niets met de gegevens mag en zal doen, behalve deze zo snel mogelijk te verwijderen. 

• Het is mogelijk dat de behandelaar door de diefstal of het verlies helemaal niet meer over de medische gegevens van de patiënt beschikt. Dat betekent dat de continuïteit van de behandeling van de patiënt kan worden verstoord.

Download gratis onze checklist AVG opzetten

2. Ga na aan welke partijen melding van het datalek moet worden gedaan 

• Zoals in elke situatie noodzakelijk is, dient het datalek intern te worden geregistreerd. Leg vast op welke wijze het datalek is ontstaan en welke maatregelen zijn getroffen om het risico voor de rechten en de vrijheden van de betrokkenen te verkleinen. 

• Alhoewel er sprake is van een verhoogd risico wanneer bijzondere persoonsgegevens betrokken zijn bij een datalek, kan in bepaalde gevallen een datalek met patiëntgegevens een verwaarloosbaar risico opleveren, zodat melding aan de Autoriteit Persoonsgegevens mogelijk niet verplicht is. Denk bijvoorbeeld aan kleine lekken, zoals de situatie waarin een enkel patiëntgegeven naar de verkeerde arts is gestuurd. Meestal is het wél nodig om het lek te melden. Raadpleeg bij twijfel de eigen functionaris gegevensbescherming en/of een externe specialist. 

• In de meeste gevallen is er bij een datalek van patiëntgegevens sprake van een verhoogd risico, je bent dan verplicht dit ook aan de betrokken partijen kenbaar te maken. Ook hier dient een afweging gemaakt worden en in voorkomende gevallen zou het lek zonder gevolgen kunnen zijn voor de betrokkenen; melden aan de betrokkenen is dan niet verplicht. 

3. Voorkom toekomstige datalekken 

• Ga na of de gegevens kwaadwillig in de handen van een ander gekomen, of dat dit het gevolg is van onoplettendheid onder het personeel. Maak het personeel bewust van het belang van de bescherming van de patiëntgegevens. 

• Wees bij correspondentie over patiëntgegevens extra alert. Let goed op of de juiste ontvanger is geadresseerd.

In onze specials over datalekken hebben we ook geschreven over:

👉 Datalek en vereerd bezorgde post.

👉 Gestolen apparatuur en datalekken

👉 Identiteitsfraude

👉 Datalek door onoplettendheid

👉 Meldplicht bij datalekken

Basiscursus Datalekken

Een praktische training, waarin alle aspecten van een datalek worden behandeld: de wettelijke context en de gestelde eisen, de meldplicht, afhandelen, registratie, etc. Na het doorlopen van de training begrijp je hoe de AVG aankijkt tegen het voorkomen en behandelen van datalekken.

Inclusief een bruikbaar sjabloon voor een datalek procedure, met alle relevante onderdelen. Bovendien ontvang je een handig registratie document.

Lees ook: