nr 09augustus 2014Informatiebeveiliging gaat ons allemaal aan! Samen moeten we ons bewust zijn van de beveiliging en bescherming van patiëntgegevens, onderzoeksgegevens en andere gevoelige informatie. In deze nieuwsbrief belichten we verschillende alledaagse onderwerpen vanuit het perspectief van informatiebeveiliging en privacybescherming. We informeren je over de regels, voorzien je van praktische handvatten en geven je tips.

“Bij verwerkingen van persoonsgegevens kun je denken aan adres, geboortedatum en geslacht. Maar ook aan gods-dienst en inkomen. Kortom, alle persoonsgegevens die directe of indirecte informatie geven over een persoon”, vertelt Michel. “In ons onderzoek, onderwijs en onze zorg vinden voortdurend verwerkingen van persoonsgegevens plaats. Veel medewerkers staan er niet bij stil deze te mel-den. Sommigen weten zelfs niet dat dit verplicht is. Dat moet veranderen.”

Wettelijk verplicht én noodzakelijkAlle verwerkingen van persoonsgegevens moeten worden gemeld. Dit is vastgelegd in de Wet bescherming persoons-gegevens (Wbp). Michel: “Naast dat het wettelijk verplicht is om deze verwerkingen te melden, is het noodzakelijk voor het ziekenhuis op de hoogte te zijn van alle verwerkin-gen van persoonsgegevens. Immers, als je geen overzicht hebt, kun je geen risico’s inschatten. Bovendien kan het ziekenhuis alleen adequate ondersteuning bieden aan medewerkers als het inzicht heeft in de verwerkingen.”

Nu: melden bij FGMichel vervolgt: “Momenteel meld je verwerkingen van per-soonsgegevens in beide ziekenhuizen via een formulier bij de FG. In het AMC is dat Beer Franken en in het VUmc ben ik dat samen met Thijs Kliphuis.” Zowel het AMC als het VUmc signaleren dat verwerkingen van persoonsgegevens op dit moment te weinig worden gemeld. De ziekenhuizen hebben daarom de handen ineengeslagen en het Centraal Meldpunt Gegevensverwerking opgericht. 

Toekomst: melden bij Centraal Meldpunt GegevensverwerkingDe Clinical Research Unit (CRU) van het AMC ontwikkelt het Centraal Meldpunt Gegevensverwerking voor beide zie-kenhuizen. Michel: “Het is de bedoeling dat medewerkers alle verwerkingen in het kader van onderzoek, onderwijs en zorg in de toekomst bij dit meldpunt bekendmaken. Zeker in het kader van de aankomende wet- en regelgeving en de boetes die daarmee samenhangen, is het belangrijk dat het ziekenhuis goed op de hoogte is van de verwerkingen, han-delt volgens de Wbp en zich voorbereidt op de Europese Algemene Verordening Gegevensbescherming.” 

Het project bevindt zich momenteel in de testfase. Zodra het meldpunt live gaat, worden medewerkers geïnformeerd.

Verwerk je persoonsgegevens? Meld het!In het AMC en VUmc vinden continu verwerkingen van persoonsgegevens plaats. Wat verstaan we onder deze ver-werkingen? Wist je dat je ze verplicht moet melden? En wat gebeurt er vervolgens met je melding? Michel Paardekooper, Functionaris Gegevensbescherming (FG) Onderzoek in het VUmc, geeft uitleg over het hoe en waarom.

Michel Paardekooper (VUmc)

‘Trust me, I’m a doctor’ – over logging

Patiëntgegevens mogen alleen beschikbaar zijn voor degenen die een actuele behandelrelatie hebben met de patiënt. Het AMC en VUmc regelen hun systemen daarom zo in dat zo min mogelijk medewerkers toegang krijgen tot patiëntendossiers die niet voor hun ogen bestemd zijn. Omdat de toegang tot patiëntgegevens in de huidige systemen is ingesteld op niveau van specialisme, is onrechtmatige toegang tot die gegevens toch mogelijk. Jan Drapers (lid Medische Directie in het AMC) en Barend Klickermann (ICT-manager Infrastructuur Beheer in het VUmc) lichten toe hoe de ziekenhuizen daarmee omgaan.

Barend: “Ons huidige systeem, het ziekenhuisinformatie-systeem (ZIS), is technisch verouderd en de toegang tot patiëntgegevens wordt nu ingesteld op niveau van functio-naliteit en afdeling.” Jan vult aan: “Tot nu toe is altijd  prioriteit gegeven aan de beschikbaarheid van gegevens  in plaats van aan de afscherming van gegevens. Omdat de systemen nauwelijks onderscheid kunnen maken in de soort gegevens, heeft iemand met toegang meestal toegang tot alle gegevens.”

Allemaal potentieel patiëntDat we zorgvuldig moeten omgaan met patiëntgegevens  en niet zomaar in elk patiëntendossier mogen kijken, staat buiten kijf. Toch zien ze in zowel het AMC als het VUmc regelmatig dat medewerkers patiëntgegevens raadplegen zonder daarvoor geautoriseerd te zijn. “Omdat het op dit moment niet mogelijk is dit met techniek tegen te gaan, werken we in het AMC met een gedragscode die wordt onderschreven bij in dienst treden. Iedere medewerker geeft aan de regels te kennen en belooft deze na te komen. Daarmee kunnen we het vertrouwen van patiënten waar-maken dat hun gegevens door ons veilig worden beheerd”, aldus Jan. “We zijn immers allemaal potentieel patiënt, dus we zouden ons moeten kunnen voorstellen wat we ervan vinden als anderen zomaar onze gegevens zouden kunnen bekijken.”

Onderzoek logbestandenBarend: “Het benaderen van patiëntgegevens wordt gelogd. Deze gegevens verzamelen we in logbestanden die we steekproefsgewijs onderzoeken. Daarnaast controleren we de bestanden als we een melding vanuit het huis krijgen. Bijvoorbeeld als een patiënt vermoedt dat zijn gegevens zijn bekeken door medewerkers die daarvoor niet geautoriseerd 

zijn.” Jan geeft aan dat het AMC dezelfde procedure volgt en vult aan: “Dergelijke meldingen kunnen ook van mede-werkers komen die patiënt zijn in ons ziekenhuis. Ze geven aan het gevoel te hebben dat collega’s in hun dossier hebben gekeken.”

Geen behandelrelatie? Grote consequenties“Als uit ons onderzoek blijkt dat er inderdaad geen behandel-relatie is met de patiënt van wie de gegevens zijn geraad-pleegd, dan is er sprake van een ernstige overtreding van de gedragscode. De consequenties daarvan kunnen groot zijn. Tenminste een berisping of ontslag”, vervolgt Jan. “Juist omdat de techniek nog niet toereikend is, moeten we het hebben van onderlinge afspraken. Men moet zich daar-aan houden. Alleen dan kunnen we samen patiëntgegevens veiligstellen en het vertrouwen van patiënten waarmaken.”

EVA biedt betere privacybeschermingJan en Barend zijn het erover eens: het toekomstige pro-gramma EVA (Elektronisch Patiëntendossier AMC-VUmc) biedt betere mogelijkheden om patiëntgegevens goed te beschermen. Nadat beide ziekenhuizen het nieuwe systeem in gebruik hebben genomen, zullen de toezichthouders (College bescherming persoonsgegevens en Inspectie voor de Gezondheidszorg) niet accepteren dat de wettelijke regels niet worden gerespecteerd. Bij de inrichting van EVA moet naast de beschikbaarheid van patiëntgegevens veel meer aandacht worden besteed aan de afscherming van deze gegevens op geleide van de behandelrelatie. Barend: “Veel minder medewerkers krijgen dan toegang tot een patiëntendossier.” Jan vult aan: “Achteraf controleren en ons beroepen op de gedragscode is dan naar verwachting een stuk minder noodzakelijk.”

Meld ook je collega’s aan voor de nieuwsbrief InformatiebeveiligingWeten jij en je collega’s precies wat informatiebeveiliging en privacybescherming inhoudt? Via de interne, digitale nieuwsbrief Informatiebeveiliging ontvangen jullie elk kwartaal recente informatie, praktische handvatten en tips die je meteen kunt gebruiken tijdens je dagelijkse werkzaamheden. Enthousiasmeer je collega’s en meld je afdeling aan!

V.l.n.r.: Jan Drapers (AMC) en Barend Klickermann (VUmc)

Ziekenhuizen zijn verantwoordelijk voor een juiste en veilige verwerking van gegevens. Bedenk daarom altijd voordat je gegevens uitwisselt of het wel nodig is dat de ontvangende partij over die gegevens beschikt. “Als je besluit gegevens uit te wisselen, maak dan duidelijke afspraken met de ontvangende partij. Je moet er immers van op aan kunnen dat ook zij de gegevens juist en veilig verwerken”, aldus Beer Franken, Functionaris Gegevensbescherming (FG) in het AMC.

Bij gegevensuitwisseling gaat het niet alleen om identifice-rende gegevens. Beer: “Met alleen leeftijd, beroep en woonplaats kun je een persoon niet identificeren. Maar deze gegevens samen kunnen een unieke combinatie vormen waardoor ze toevalligerwijs wel tot één persoon leiden. Iemand is 57 jaar, schilder van beroep en woont in Hippolytushoef… Je raadt het al.” Daarnaast wijst Beer  erop alert te zijn bij het invoeren van gegevens in een portal. Bijvoorbeeld het aantal vuurwerkongelukken tijdens de jaarwisseling. “Dit soort portals worden meestal niet beheerd door het ziekenhuis. Nadat de gegevens zijn inge-voerd, hebben we er dus geen grip meer op. Ben je daarvan bewust en zorg dat je vooraf afspraken maakt.”

Voorwaarden voor gegevensuitwisselingUiteraard zijn er situaties waarbij gegevensuitwisseling legitiem is. Dan moet in ieder geval aan de volgende belangrijkste voorwaarden zijn voldaan:–   Er moet een grondslag zijn, zoals een wettelijke plicht 

of toestemming van de patiënt.–   Het doel van de gegevensuitwisseling moet duidelijk 

zijn en alleen de gegevens die bijdragen aan het doel mogen worden uitgewisseld.

–   Maak afspraken met de ontvangende partij. Bijvoorbeeld over veilig verwerken voor uitsluitend het vastgestelde doel.

–   Binnenkort moeten we in Nederland datalekken gaan melden. Spreek daarom met de ontvangende partij af dat zij je op de hoogte brengen in geval van een lek van ‘jouw’ gegevens.

Gegevensuitwisseling, hoe ga je daarmee om?

Meld gegevensuitwisseling bij de FGDe zaken op het gebied van gegevensuitwisseling in het AMC en VUmc moeten beter worden geregeld. De aandacht voor privacy neemt namelijk toe, de Nederlandse en Europese wet- en regelgeving op dit gebied wordt aangescherpt en de boetes voor overtredingen zijn nu aanzienlijk hoger dan voorheen. Beer: “Medewerkers moeten zorgvuldig omgaan met gegevens en uitwisseling melden bij de FG. In het VUmc zijn dat Thijs Kliphuis en Michel Paardekooper. In het AMC ben ik dat. Wij moeten namelijk weten welke gegevens uitgewisseld worden, zodat we inzicht en overzicht hebben. Samen bewaken we zo de privacy van onze patiënten én de reputatie van het AMC en VUmc.”

Beer Franken (AMC)

Om verlies en diefstal van patiëntinformatie zo veel mogelijk te voorkomen, proberen het AMC en VUmc het gebruik van gegevensdragers (bijvoorbeeld laptops, externe harde schijven of usb-sticks) en e-mail met patiëntgegevens te ontmoedigen. Beide ziekenhuizen bieden verschillende oplossingen om toch veilig gegevens uit te kunnen wisselen:1  Externe Toegang (AMC), VIEW (VUmc): om op afstand in te loggen op de ICT-systemen van het ziekenhuis.2   UMC Teamwerk (AMC en VUmc): om online documenten te delen en samen te werken aan documenten.  

Let op: nog niet geschikt voor vertrouwelijke (patiënt)gegevens.3   FileSender (AMC): om bestanden tot wel 100Gb te versturen. Let op: nog niet volledig geschikt om vertrouwelijke 

(patiënt)gegevens mee uit te wisselen. 

Even opfrissen: zo wissel je veilig gegevens uit

Verwerk je persoons-gegevens? Meld het!

‘Trust me, I’m a doctor’ – over logging

Gegevens -uitwisseling, hoe ga je daarmee om?

Even opfrissen: zo wissel je veilig gegevens uit

Meld àlle verwerkingen van persoonsgegevens  bij de Functionaris Gegevensverwerking (nu) of  het Centraal Meldpunt Gegevensverwerking  (toekomst).

Raadpleeg alleen patiëntgegevens van de patiënten waarmee je een behandelrelatie hebt.

Geef prioriteit aan de afscherming van patiënt-gegevens.

Maak bij gegevensuitwisseling duidelijke afspraken met de ontvangende partij.

Meld gegevensuitwisseling bij de Functionaris Gegevensbescherming.

Maak gebruik van de oplossingen die het AMC en VUmc bieden om gegevens uit te wisselen.

Meld niet alleen verwerkingen in het kader  van onderzoek.

Kijk niet zomaar in een patiëntendossier. 

Geef geen prioriteit aan de beschikbaarheid  van patiëntgegevens.

Voer geen gegevens in portals in die niet door  het ziekenhuis worden beheerd.

Wissel nooit meer gegevens uit dan de gegevens  die bijdragen aan het doel.

Gebruik geen oplossingen in de cloud om  gegevens uit te wisselen.

Do’s Don’ts

Colofon

De IBA-nieuwsbrief is een uitgave  

over informatiebeveiliging en privacy-

bescherming van het AMC en VUmc. 

Redactie Beer Franken (AMC),  

Thijs Kliphuis (VUmc), Marja Vrolijk 

(VUmc) en Kim Bogers (Tekstschrijvers.nl) 

Tekstschrijver Kim Bogers 

(Tekstschrijvers.nl)  

Fotografie en film Marie Louise Nijsing 

Photography  

Vormgeving Katja Hilberg Ontwerpers 

E-mail cisppo@amc.nl