Het UMC Utrecht had opnieuw een datalek, het tweede in korte tijd. Onbevoegden kregen toegang tot het reserveringssysteem van het gastenverblijf, waar naasten van opgenomen patiënten kunnen overnachten. Een gast kreeg via WhatsApp berichten van buitenlandse nummers waarin precies zijn boekingsdata stonden, meldde Skipr op basis van RTV Utrecht. Volgens het ziekenhuis ging het niet om patiëntgegevens en worden alle getroffenen geïnformeerd.
Zo’n lek in een boekingssysteem voelt ver weg van het werk op de afdeling. Toch is het een goed moment om de vraag te stellen die bij medewerkers vaak blijft liggen. Wat moet jij doen als je een datalek ziet, of er zelf een veroorzaakt?
Een datalek is vaker iets kleins dan een hack
De Algemene verordening gegevensbescherming spreekt van een inbreuk in verband met persoonsgegevens. Dat is elke beveiligingsfout waardoor persoonsgegevens per ongeluk of onrechtmatig worden vernietigd, verloren gaan, gewijzigd worden, of bij iemand terechtkomen die er geen toegang toe hoort te hebben. Een hacker is daar niet voor nodig. Op een gewone werkdag kan het gaan om
- een ontslagbrief of uitslag die naar de verkeerde patiënt of huisarts is gemaild of gestuurd;
- een overdrachtslijst die in de kantine of de trein blijft liggen;
- een telefoon of laptop met cliëntgegevens die zoekraakt zonder versleuteling;
- een mail naar een groep ouders of cliënten waarin alle adressen zichtbaar zijn;
- een collega die een dossier opent van iemand bij wie hij niet betrokken is.
Dat laatste is naast een datalek ook een kwestie van beroepsgeheim. Wanneer inzien wel en niet mag, lees je in ons stuk over een patiëntendossier inzien. In de zorg gaat het bijna altijd om gezondheidsgegevens, en die gelden in de AVG als bijzondere persoonsgegevens met een zwaardere bescherming.
De meldplicht ligt bij je organisatie
De AVG legt de plicht om een datalek te melden bij de verwerkingsverantwoordelijke, dus bij het ziekenhuis, de zorgorganisatie of de praktijk. Volgens artikel 33 meldt de organisatie een lek zonder onredelijke vertraging en zo mogelijk binnen 72 uur nadat zij ervan weet bij de Autoriteit Persoonsgegevens. Dat hoeft niet als het lek waarschijnlijk geen risico oplevert voor de mensen om wie het gaat. Is het risico hoog, dan moet de organisatie volgens artikel 34 ook de betrokkenen zelf informeren, zoals het UMC Utrecht nu doet. Los daarvan moet elke inbreuk worden vastgelegd, ook als die niet bij de toezichthouder wordt gemeld.
Jij als medewerker hoeft dus niet zelf naar de Autoriteit Persoonsgegevens. De beoordeling of een lek gemeld moet worden, doet meestal de functionaris gegevensbescherming of een privacyfunctionaris, volgens de procedure van je organisatie.
Waarom jouw melding de klok laat lopen
Hier zit het punt dat in de praktijk vaak misgaat. De 72 uur gaan in zodra de organisatie het lek kent, en de organisatie kent het pas als iemand het intern meldt. Wie eerst wil uitzoeken of het echt zo erg is, of een verkeerd verstuurde brief liever stil probeert terug te halen, zet de organisatie op achterstand. De beoordeling of iets gemeld moet worden aan de toezichthouder is bovendien niet aan jou, en dat werkt in je voordeel. Je hoeft niet te weten of iets een meldplichtig datalek is. Je moet het alleen doorgeven.
Concreet betekent dat dit. Meld het direct volgens de procedure van je werk, meestal via de privacyfunctionaris, de servicedesk of een meldformulier. Zeg wat er is gebeurd, welke gegevens het betreft, van hoeveel mensen en wanneer. Beperk de schade waar dat kan, bijvoorbeeld door de ontvanger van een verkeerd gemailde brief te vragen die te verwijderen, maar zonder zelf het onderzoek te gaan doen. En leg voor jezelf vast wanneer je het hebt gemeld.
Als jij de fout maakte
De drempel om een eigen fout te melden is hoger dan die om iets van een ander door te geven. Toch is melden ook dan de beste route. Een verkeerd verstuurde mail is een vergissing die vaker voorkomt en die een organisatie met haar procedure kan opvangen. Een lek dat pas weken later via een patiënt of de pers boven komt, is dat niet meer. In de zorg hoort het melden van incidenten bij veilig werken, net als bij een medicatiefout. Vraag na hoe jouw organisatie met gemelde datalekken omgaat, zodat je dat weet voordat het je overkomt.
Werk je met gegevens in systemen van externe leveranciers, zoals het reserveringssysteem in Utrecht, dan blijft je organisatie verantwoordelijk. Hoe dat zit met gegevens bij buitenlandse cloudaanbieders, lees je in ons stuk over zorggegevens in een Amerikaanse cloud.