Niet elk incident is een datalek: vijf lessen uit de huisartsenpraktijk

De vele praktijkvragen maakten duidelijk dat niet zozeer de regelgeving moeilijk wordt gevonden, maar vooral de vertaling ervan naar de dagelijkse werking van een huisartsenpraktijk. Dat is ook logisch. In een drukke praktijk worden dagelijks honderden persoonsgegevens verwerkt. Kleine menselijke fouten zijn dan bijna onvermijdelijk. De uitdaging bestaat er niet in om elke fout uit te sluiten, maar wel om te herkennen wanneer een situatie daadwerkelijk een datalek vormt en welke stappen vervolgens moeten worden genomen.
Hieronder bespreken we enkele misverstanden.

Misschien wel de belangrijkste boodschap van de webinar was het onderscheid tussen een incident en een datalek.
Een incident is elke gebeurtenis die een impact kan hebben op de vertrouwelijkheid, integriteit of beschikbaarheid van persoonsgegevens of informatiesystemen. Dat kan bijvoorbeeld gaan om:
•    een phishingmail;
•    een verloren laptop;
•    ransomware;
•    een verkeerde e-mail;
•    een foutieve software-update;
•    ondoordacht gebruik van AI.
Niet elk incident leidt echter automatisch tot een datalek.
Pas wanneer zo'n incident daadwerkelijk resulteert in het verlies van persoonsgegevens, een ongeoorloofde wijziging ervan, of wanneer onbevoegden toegang krijgen tot persoonsgegevens, spreken we van een datalek in de zin van de GDPR.
Dat onderscheid lijkt misschien theoretisch, maar bepaalt in de praktijk welke verplichtingen volgen.
Een phishingmail die u ontvangt maar onmiddellijk verwijdert, is bijvoorbeeld een beveiligingsincident, maar geen datalek. Klikt een medewerker echter op de link waardoor een aanvaller toegang krijgt tot patiëntgegevens, dan is de situatie fundamenteel anders.
 

In de praktijk leeft nog vaak de veronderstelling dat elk datalek automatisch aan de Gegevensbeschermingsautoriteit moet worden gemeld. Dat is niet het geval. Eerst moet worden beoordeeld welk risico het incident inhoudt voor de betrokken personen, alleen bij een reëel risico voor de rechten en vrijheden van personen is een melding aan de GBA vereist.
Daarbij wordt onder meer gekeken naar:
•    de aard van de persoonsgegevens;
•    de gevoeligheid van de gegevens;
•    het aantal betrokken patiënten;
•    de waarschijnlijkheid dat de gegevens misbruikt kunnen worden;
•    de mogelijke gevolgen voor de betrokkenen.
Indien sprake van een hoog risico moeten ook de betrokken patiënten worden geïnformeerd.
Dat betekent echter niet dat andere datalekken genegeerd mogen worden. Elk datalek moet immers intern worden geregistreerd en geëvalueerd. Die documentatieplicht is minstens even belangrijk als de eventuele meldingsplicht. Hiervoor kan het model dat ter beschikking gesteld wordt door Domus Medica worden gebruikt.
 

Wanneer men het woord datalek hoort, denkt men spontaan aan hackers, ransomware of georganiseerde cybercriminaliteit. Echter, in werkelijkheid blijken de meeste datalekken in huisartsenpraktijken een veel eenvoudigere oorzaak te hebben.
Tijdens de webinar kwamen onder meer volgende voorbeelden aan bod:
•    een medisch document dat naar de verkeerde patiënt wordt verstuurd;
•    een e-mail met patiëntgegevens naar een verkeerde ontvanger;
•    een vaccinatie-uitnodiging waarbij tientallen patiënten in CC in plaats van BCC worden geplaatst;
•    een ex-medewerker die nog steeds toegang heeft tot het EPD;
•    een USB-stick met patiëntgegevens die verloren gaat;
•    een cloudomgeving die per vergissing publiek toegankelijk wordt gemaakt;
•    een AI-agent die zonder voldoende controle toegang krijgt tot patiëntgegevens;
•    ransomware waarbij patiëntgegevens niet alleen worden versleuteld, maar ook worden buitgemaakt.
Daartegenover staan situaties die wel een beveiligingsincident vormen, maar niet noodzakelijk een datalek, zoals:
•    een phishingmail die tijdig wordt herkend en verwijderd;
•    een verdachte loginpoging die door multifactor-authenticatie wordt geblokkeerd;
•    een verloren laptop waarvan de volledige schijf correct versleuteld blijkt.
Juist daarom blijft een individuele risicoanalyse noodzakelijk. Twee ogenschijnlijk gelijkaardige situaties kunnen immers tot een andere conclusie leiden.
 

Uit de reacties blijkt dat vele artsen zich meer zorgen maken over mogelijke sancties vanuit de Gegevensbeschermingsautoriteit dan over de gevolgen van het datalek zelf. Nochtans blijkt uit beslissingen van deze Gegevensbeschermingsautoriteit dat niet alleen het datalek zelf, maar vooral ook de preventie, beoordeling, documentatie en opvolging ervan van belang zijn.
Veel belangrijker is dus:
•    waren passende beveiligingsmaatregelen genomen?
•    werd het incident tijdig herkend?
•    werd een risicoanalyse uitgevoerd?
•    werd het incident correct geregistreerd?
•    werden, indien nodig, meldingen gedaan?
•    werden corrigerende maatregelen genomen om herhaling te voorkomen?
Een datalek kan immers nooit volledig worden uitgesloten. Wat de toezichthouder vooral verwacht, is dat een praktijk haar verantwoordelijkheid neemt en op een gestructureerde manier met dergelijke situaties omgaat.
 

Een incident hoeft niet uitsluitend als een probleem te worden bekeken. Het kan ook een waardevol leermoment zijn. Na een incident stelt de praktijk best vragen zoals:
•    Hoe kon dit gebeuren?
•    Welke beveiligingsmaatregel ontbrak?
•    Welke procedure kan worden verbeterd?
•    Hoe vermijden we dat hetzelfde incident zich opnieuw voordoet?
Praktijken die incidenten systematisch analyseren en de nodige verbetermaatregelen nemen, verhogen niet alleen hun GDPR-conformiteit, maar versterken ook de kwaliteit en de veiligheid van hun zorgverlening.
 

Om huisartsenpraktijken hierbij praktisch te ondersteunen, werken Domus Medica en Apogado samen rond GDPR, cybersecurity en artificiële intelligentie.
Leden van Domus Medica kunnen daardoor gebruikmaken van een aantal voordelige begeleidingspakketten, waaronder:
•    een GDPR QuickScan, die in korte tijd de belangrijkste aandachtspunten binnen de praktijk in kaart brengt;
•    een implementatiepakket GDPR & cybersecurity dat enerzijds verdere ondersteuning biedt bij zaken als het verwerkingsregister, privacyverklaringen en procedures, en anderzijds ook de cybersecurity-risico’s van de praktijk in kaart brengt.
Het doel van deze samenwerking is niet alleen om te voldoen aan de GDPR, maar vooral om huisartsen te ondersteunen bij een veilige, kwaliteitsvolle en toekomstgerichte verwerking van patiëntgegevens.
Voor meer info hierrond verwijzen we naar: https://www.domusmedica.be/lid-worden-van-domus-medica/aan-de-slag-met-gdpr-en-cybersecurity-de-huisartsenpraktijk
 

Datalekken maken vandaag onvermijdelijk deel uit van de digitale realiteit van elke huisartsenpraktijk. Niet elk incident kan worden voorkomen, en niet elke menselijke fout is uit te sluiten. De uitdaging bestaat er dan ook niet in om een praktijk volledig risicovrij te maken, maar wel om incidenten tijdig te herkennen, correct te beoordelen en er op een gestructureerde manier op te reageren.
Het onderscheid tussen een incident en een datalek vormt daarbij de eerste en misschien wel belangrijkste stap. Een goede risicoanalyse, duidelijke interne afspraken en een cultuur waarin medewerkers incidenten durven melden en eruit leren, zijn minstens even belangrijk als technische beveiligingsmaatregelen.
Uiteindelijk gaat de GDPR niet alleen over het naleven van wettelijke verplichtingen. Ze ondersteunt ook wat voor elke zorgverlener vanzelfsprekend zou moeten zijn: het zorgvuldig beschermen van het vertrouwen dat patiënten in hun huisarts stellen. Juist daarom verdienen patiëntgegevens dezelfde zorg en aandacht als de medische behandeling zelf.
 

ir. Koert Van Espen, 

CEO Apogado